Datenschutz­erklärung

Verantwortlicher

Simon Marcel Linden
Mathiaskirchplatz 15
50968 Köln

kontakt@campus-rallye.koeln

Die Technische Hochschule Köln ist nicht Verantwortliche im Sinne der DSGVO. Dieses Angebot wird privat betrieben.

Was beim bloßen Aufruf passiert

Schriften und Stylesheets liegen auf demselben Server wie die Seite: keine Schriften von Google, keine Einbindungen sozialer Netzwerke, kein Content-Delivery-Netzwerk.

Von einem fremden Server geladen wird genau eines – die Reichweitenmessung auf der Startseite –, und das erst, nachdem du zugestimmt hast. Solange du nicht zugestimmt oder abgelehnt hast, steht im Quelltext der Seite nichts davon. Einzelheiten unten unter „Reichweitenmessung".

Beim Aufruf entstehen die üblichen Server-Protokolle mit IP-Adresse, Zeitpunkt, angeforderter Adresse und Browserkennung. Sie dienen dem Betrieb und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO) und werden kurzfristig gelöscht.

Cookies

Ohne deine Einwilligung werden nur diese Cookies gesetzt:

• checkpoint – hält die Sitzung zusammen, während das Anmeldeformular ausgefüllt wird. Enthält nur eine zufällige Kennung, keine Inhalte, keine Wiedererkennung über Sitzungen hinweg. Mit HttpOnly und SameSite=Lax gesetzt, verfällt mit dem Schließen des Browsers.
• checkpoint_messung – merkt sich deine Entscheidung zur Reichweitenmessung, damit wir nicht bei jedem Aufruf erneut fragen. Enthält nur ja oder nein und läuft nach sechs Monaten ab.

Beide sind für den Betrieb unbedingt erforderlich beziehungsweise gesetzlich vorgesehen; eine Einwilligung ist dafür nach § 25 Abs. 2 TDDDG nicht nötig.

Alle weiteren Cookies – die von Google Analytics – werden ausschließlich nach deiner Einwilligung gesetzt. Sie sind unten beschrieben.

Reichweitenmessung mit Google Analytics

Auf der Startseite setzen wir Google Analytics 4 ein, um zu erfahren, wie viele Menschen die Seite besuchen und welche Abschnitte sie lesen. Im Anmeldeformular und im Verwaltungsbereich findet keine Messung statt.

Nur mit deiner Einwilligung

Das Messskript wird erst geladen, nachdem du im Hinweis auf der Startseite zugestimmt hast. Vorher wird es nicht ausgeliefert: Es steht dann nicht im Quelltext der Seite, es wird nichts nachgeladen und es werden keine Cookies von Google gesetzt. Lehnst du ab oder entscheidest du gar nicht, bleibt es dabei.

Rechtsgrundlage ist deine Einwilligung nach § 25 Abs. 1 TDDDG für die Speicherung auf deinem Endgerät und nach Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung.

Widerruf

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – ohne Angabe von Gründen und genauso einfach, wie du sie erteilt hast: Reichweitenmessung ein- oder ausschalten. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Was übertragen wird

• die aufgerufene Seite und der Zeitpunkt des Aufrufs
• Browser, Betriebssystem, Gerätetyp und Bildschirmgröße
• der ungefähre Standort (Land, meist Region), abgeleitet aus der IP-Adresse
• die Herkunft des Besuchs, etwa die zuvor besuchte Seite
• eine zufällige Kennung in den Cookies _ga und _ga_…, mit der wiederkehrende Besuche erkannt werden; sie läuft nach zwei Jahren ab

Die IP-Adresse wird von Google gekürzt und nicht gespeichert. Wir selbst erhalten keine Berichte, aus denen sich einzelne Personen erkennen ließen, und führen die Messdaten mit keinen anderen Daten zusammen – insbesondere nicht mit den Anmeldungen.

Anbieter und Übermittlung in die USA

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Dabei können Daten an die Google LLC in den USA übermittelt werden. Für die USA besteht ein Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework); Google LLC ist unter diesem Rahmen zertifiziert. Ergänzend gelten die Standardvertragsklauseln. Ein Restrisiko lässt sich dennoch nicht ausschließen: US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, ohne dass dir dagegen die gleichen Rechtsbehelfe zustehen wie in der EU. Genau deshalb fragen wir vorher.

Speicherdauer

Die auf Nutzerebene erhobenen Daten löscht Google nach zwei Monaten. Aggregierte Berichte – etwa die Zahl der Aufrufe pro Monat – bleiben darüber hinaus erhalten, lassen aber keinen Bezug zu einzelnen Personen mehr zu.

Weitere Auskünfte

Wie Google mit Daten umgeht, steht in dessen Datenschutzerklärung: policies.google.com/privacy. Unabhängig von unserem Hinweis kannst du die Erfassung durch Google Analytics browserweit unterbinden, mit dem Deaktivierungs-Add-on: tools.google.com/dlpage/gaoptout.

Anmeldung einer Station

Wer eine Station anmeldet, gibt an:

• Fachschaft oder Einrichtung und eine E-Mail-Adresse
• Angaben zur Station: Gebäude, Raum, Anzahl der Mitwirkenden, Titel und Beschreibung des Spiels, benötigtes Material, Anmerkungen
• Namen und Mobilnummern der verantwortlichen Personen (Ansprechperson, Veranstaltungsleitung, Brandschutz)

Zweck ist die Planung und Durchführung der Veranstaltung: die Zuordnung der Stationen, die Erreichbarkeit am Veranstaltungstag und der Nachweis der Brandschutzhelfenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Angaben zur Teilnahme erforderlich sind, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (organisatorisches Interesse an einer geordneten Veranstaltung).

Die Angabe der Mobilnummern ist freiwillig, erleichtert aber die Abstimmung am Veranstaltungstag erheblich.

Bestätigung per Einmalcode

Nach der Auswahl der Fachschaft geht ein sechsstelliger Code an die angegebene Adresse. Erst nach dessen Eingabe wird die Anmeldung fortgesetzt. Das verhindert Eintragungen unter fremdem Namen.

Gespeichert wird ausschließlich ein Hash des Codes, nie der Code selbst. Er verfällt nach zehn Minuten.

Schutz vor Missbrauch

Damit sich nicht beliebig viele Codes anfordern lassen, zählen wir die Anfragen je Stunde. Dafür werden IP-Adresse und E-Mail-Adresse nicht im Klartext gespeichert, sondern nur als Prüfsumme mit geheimem Zusatzwert (HMAC-SHA256). Ein Rückschluss auf die ursprüngliche Adresse ist daraus nicht möglich. Die Zähler werden nach einem Tag gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Öffentlich sichtbare Angaben

Auf der Startseite erscheinen ausschließlich der Name der Fachschaft oder Einrichtung und der Titel des Spiels. Namen, Mobilnummern und Räume werden nicht veröffentlicht. Sie sind nur für das Orga-Team im geschützten Bereich sichtbar.

Vorbelegte Daten aus der Vorjahresplanung

Für einen Teil der Fachschaften liegen Angaben aus der Planung des Vorjahres vor, darunter Namen und Mobilnummern. Sie erscheinen als Vorschlag im Formular, damit nichts doppelt eingetragen werden muss.

Ausgeliefert werden sie erst nach bestätigtem Einmalcode und nur an die Adresse, die der jeweiligen Fachschaft zugeordnet ist. Wer diese Angaben gelöscht haben möchte, erreicht uns über die Kontaktadresse.

E-Mail-Versand

Verschickt werden:

• der Bestätigungscode an die angegebene Adresse,
• eine Bestätigung mit den eingetragenen Angaben, sobald eine Station angemeldet oder geändert wurde – ohne die Mobilnummern,
• eine Nachricht an die Ansprechadresse einer Fachschaft, wenn das Orga-Team sie im geschützten Bereich hinterlegt,
• eine interne Meldung an die Zugänge des Orga-Teams über eine neue oder geänderte Anmeldung. Sie enthält den Namen der Fachschaft, die Angabe zur Teilnahme und die Nummer der Anmeldung – keine Namen, Mobilnummern oder Räume.

Dafür wird die jeweilige E-Mail-Adresse an den Postausgangsserver übergeben:

STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin

Der Versand läuft über das Postfach beim selben Anbieter, der auch die Website betreibt. Ein zusätzlicher Versanddienstleister wird nicht eingesetzt, und die Adressen werden zu keinem anderen Zweck verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Nachrichten gehören zur Durchführung der Anmeldung. Ein Werbe- oder Newsletter- versand findet nicht statt.

Hosting

Die Website wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, betrieben. STRATO verarbeitet die Daten ausschließlich in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die Server stehen in Deutschland.

Beim Aufruf entstehen dort die üblichen Server-Protokolle. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zugänge des Orga-Teams

Für den Verwaltungsbereich bestehen persönliche Zugänge mit Name, E-Mail-Adresse und Rolle. Passwörter werden ausschließlich als Hash gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Protokoll des Verwaltungsbereichs

Änderungen im Verwaltungsbereich werden mitgeschrieben. Festgehalten werden Zeitpunkt, Name und E-Mail-Adresse des handelnden Zugangs, die Art des Zugriffs, der betroffene Datensatz sowie der Wert vor und nach der Änderung. Betrifft eine Änderung eine Anmeldung, stehen die geänderten Angaben damit auch im Protokoll. Ebenfalls vermerkt werden An- und Abmeldungen und gescheiterte Anmeldeversuche mit der eingegebenen E-Mail-Adresse.

Nicht gespeichert werden Passwörter, Hashes, Token und Einmalcodes – auch nicht als früherer Wert. Die IP-Adresse steht nur als Hash darin und lässt sich daraus nicht zurückrechnen.

Zweck ist die Nachvollziehbarkeit in einem Team, das sich den Zugang teilt, und das Zurückholen versehentlich überschriebener Texte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Einträge werden nach 365 Tagen gelöscht. Einsehen kann das Protokoll nur, wer den jeweiligen Bereich ohnehin sehen darf.

Speicherdauer

Anmeldungen werden bis zum Abschluss der Veranstaltung und der Nachbereitung aufbewahrt, längstens bis zum Ende des folgenden Semesters. Danach werden sie gelöscht.
Einmalcodes verfallen nach zehn Minuten und werden spätestens mit der Anmeldung gelöscht.
Auf Wunsch löschen wir eure Angaben jederzeit früher.

Weitergabe

Die Angaben aus der Anmeldung werden nicht verkauft und nicht zu Werbezwecken genutzt. Sie werden ausschließlich innerhalb des Orga-Teams der Veranstaltung verwendet und nicht in Länder außerhalb der EU übermittelt.

Davon getrennt zu sehen ist die Reichweitenmessung auf der Startseite: Sie findet nur mit deiner Einwilligung statt, und dabei können Daten in die USA gelangen. Sie betrifft ausschließlich den Besuch der Startseite, nicht die Angaben aus einer Anmeldung.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21).

Soweit eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit widerrufen (Art. 7 Abs. 3 DSGVO): Reichweitenmessung ein- oder ausschalten.

Wende dich dafür formlos an die oben genannte Kontaktadresse.

Unabhängig davon steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
ldi.nrw.de