DSGVO-konforme Datenverarbeitung mit academyFIVE

Die Datenschutzgrundverordnung (DSGVO) ist ein zentraler Bestandteil der academyFIVE Entwicklungsrichtlinien. Grundlegend dabei ist der Aspekt der Zugriffsberechtigungen, der sowohl bei der Konzeption neuer Features als auch bei der Weiterentwicklung bestehender Funktionen immer berücksichtigt wird.

Ausgewählte Beispiele für die Umsetzung der DSGVO in academyFIVE sind:

Rechtmäßigkeit der Verarbeitung (Art. 6):
Die Hochschule entscheidet, welche Daten in academyFIVE verarbeitet werden, und stellt sicher, dass die Rechtmäßigkeit der Verarbeitung gegeben ist. academyFIVE lässt sich entsprechend konfigurieren. Das System verfolgt dabei stets das Prinzip der Datensparsamkeit. 

• Assessment Days: Pflichtfelder betreffen ausschließlich Daten, die tatsächlich für das Auswahlverfahren notwendig sind. Alle weiteren Daten können optional angegeben werden.
• Onlinebewerbung: academyFIVE erfordert bei der Registrierung eine Datenschutz-relevante Zustimmung. Die Hochschule kann diese entsprechend ihrer Anforderungen ausgestalten und auf diesem Weg von den Bewerbern die Einwilligung in die Datenverarbeitung oder die Bestätigung der Kenntnisname der Datenschutzinformationen einholen. Darüber hinaus lassen sich zusätzliche Informationen zur Datenverarbeitung einbinden.
  
  

Bedingungen für die Einwilligung (Art. 7):

• Zustimmung: Bei der Dateneingabe gibt academyFIVE Hochschulen die Möglichkeit, die Zustimmung der betroffenen Person einzuholen.
• Widerruf – Beispiel E-Mail-Newsletter: Nur diejenigen Personen erhalten Newsletter, die dem zugestimmt haben. Die Abmeldung von einem Newsletter ist jederzeit über einen in der E-Mail enthaltenen Link möglich.

Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9):
Daten, bei denen eine Datenschutzverletzung schwerwiegende Folgen für den Betroffenen nach sich zieht, erachtet der Gesetzgeber als besonders schützenswert. academyFIVE verarbeitet – und verschlüsselt – auch solche Daten:

• Beim Eintragen von Prüfungsergebnissen wird beispielsweise über die Checkbox "Attest" vermerkt, ob ein ärztliches/amtsärztliches Attest vorliegt.
• Der Tab "Dokumente" im Personenprofil kann potenziell besonders schützenswerte Daten beinhalten, beispielsweise eine Begründung für eine Härtefallentscheidung oder einen Schwerbehindertennachweis.
  
  

Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13):
Beispiel Onlinebewerbung: Die Hochschule kann ein Informationsdokument hinterlegen, das sie selbst formuliert; Simovative stellt hier keine inhaltlichen Vorgaben.

Auskunftsrecht der betroffenen Person (Art. 15):
Jede betroffene Person hat das Recht, eine Auskunft zu verlangen, ob bzw. welche personenbezogene(n) Daten verarbeitet werden. academyFIVE bietet mehrere Ausgabemöglichkeiten:

• Personenprofil > Tab "Profil" > Kasten "Datenschutz" > Button "Export gemäß DSGVO": Datei (Json-Format) enthält die Daten, die academyFIVE archiviert.
• Statistik & Berichte > Berichte > DSGVO: Auf Anfrage kann Simovative Berichte zur Verfügung stellen; diese werden im Excel-Format ausgegeben.
  
  

Recht auf Berichtigung (Art. 16):
In academyFIVE lassen sich alle Daten editieren – die Organisation liegt auf Seiten der Hochschule.

Recht auf Löschung (Art. 17):
Anwender mit entsprechenden Zugriffsberechtigungen können Daten in academyFIVE löschen. Falls der Löschung eine Aufbewahrungsfrist entgegensteht, werden die aufbewahrungspflichtigen Daten ins Archiv transferiert. Gelöschte Profile sind unter Personen > Button "Archiv" (in der Tab-Leiste) für berechtigte Anwender einseh- und wiederherstellbar. Allerdings können dabei Daten wie Gruppenzugehörigkeit, Schlagwörter und Verteiler nicht wiederhergestellt werden. Dieses "alte" Archiv wird perspektivisch abgelöst.

Recht auf Einschränkung der Verarbeitung (Art. 18):
Dies wird allgemein als Sperren von Daten bezeichnet und zum Beispiel genutzt, wenn Daten aufgrund der Gesetzgebung vorgehalten werden müssen – und damit nicht gelöscht werden dürfen. Im „neuen“ academyFIVE Archiv ist es möglich, nicht mehr benötigte Daten mit entgegenstehender Aufbewahrungsfrist abzubilden: Im Archiv sind die Daten noch vorhanden, sie können aber nicht mehr bearbeitet werden.  

Recht auf Datenübertragbarkeit (Art. 20):
Um zum Beispiel den Wechsel zu einem anderen Anbieter zu erleichtern, müssen Daten in einem maschinenlesbaren Format exportierbar sein. academyFIVE bietet daher Exporte im CSV- und Json-Format.