Datenschutzerklärung Shibboleth Identity Provider

Der Shibbboleth Identity Provider (IdP)

• idp.haw-landshut.de

wird vom Rechenzentrum der Hochschule Landshut, Am Lurzenhof 1, 84036 Landshut betrieben. Die dabei verarbeiteten personenbezogenen Daten unterliegen den geltenden datenschutzrechtlichen Bestimmungen, insbesondere dem Bayerischen Datenschutzgesetz (BayDSG) und dem Telemediengesetz (TMG).

Nachfolgend informieren wir Sie über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten. Diese Informationen können jederzeit von unserer Webseite abgerufen werden.

Authentifizierung über einen Identity Provider (IdP)

Beim Zugriff auf einen durch Shibboleth geschützten Webdienst erfolgt ein Redirect zur Login-Seite des IdP Ihrer Heimatorganisation (Hochschule Landshut). Benutzername und Passwort werden dabei ausschließlich zum Test auf Gültigkeit gegen einen Authentifizerungsserver (LDAP) verwendet. Der Webdienst, den Sie besuchen wollen, erhält danach nur eine Authentifizierungsbestätigung über das SAML-Protokoll, nie Ihr Passwort. Standardmäßig wird auch nicht Ihre Kennung, sondern nur ein pro Webdienst dauerhaft eindeutiges Pseudonym (Targeted ID) weitergegeben, anhand dessen der Webdienst Ihnen bei Wiederbesuch dasselbe Profil zuordnen kann.

Bei Shibboleth handelt sich außerdem um eine Single-Sign-On-Lösung (SSO),  d.h. solange die Session in Ihrem Browser und am IdP gültig ist, müssen Sie sich beim Besuch weiterer durch Shibboleth geschützter Webdienste nicht erneut authentifizieren. Nach erfolgter Authentifizierung speichert der IdP auf Ihrem Rechner ein Cookie mit einem Schlüssel. Über diesen Schlüssel realisiert der IdP lediglich Ihre Session und damit die SSO-Funktionalität. Das Cookie enthält darüber hinaus keine personenbezogenen Daten.

Logging

Bei jeder Authentifizierung speichert der IdP folgende Informationen temporär in Logdateien:

•     IP-Adresse des anfragenden Rechners
•     Datum und Uhrzeit des Zugriffs   
•     URL bzw. Identifikator des aufgerufenen Webdienstes
•     Benutzername
•     Art (Attributnamen) der zusätzlich übermittelten Daten, nicht jedoch deren Inhalt

Diese Logdateien werden spätestens nach 7 Tagen automatisch gelöscht. Ausnahme: Zugriff auf den DFN-Zertifikatsservice  SLCS (Short Lived Credential Service), für den wir aus vertraglichen Gründen Zugriffsdatum, Benutzerkennung, Name und Mailadresse dauerhaft archivieren müssen.                                                                                                                          

Die Logdatei-Einträge werden ausgewertet, um Angriffe auf den Identity Provider erkennen und entsprechend reagieren zu können.  Darüber hinaus können in Einzelfällen die Logdateien herangezogen werden, wenn Sie sich bei fehlgeschlagenem Zugriff auf einen Webdienst an unseren Support wenden, um die Fehlerursache zu finden.

Die in den Logeinträgen enthaltenen IP-Adressen und Benutzerkennungen werden vom Service IT nicht mit anderen Datenbeständen zusammengeführt und auch nicht für die Bildung von Zugriffsprofilen, User-Tracking oder Ähnlichem ausgewertet.

Weitergabe personenbezogener Daten   

Der IdP übermittelt personenbezogene Daten an den anfragenden Webdienst nur nach Ihrer expliziten Zustimmung. Dazu wird Ihnen nach erfolgreicher Authentifizierung eine digitale Visitenkarte mit allen Daten angezeigt, die der anfragende Webdienst bekommen würde. Hier können Sie die Übertragung auch ablehnen.  

Neben einem Pseudonym erhält der anfragende Webdienst vom IdP standardmäßig nur                                                                                                                                            

• Ihr Zugehörigkeitsverhältnis zur Hochschule Landshut (sog. Affiliation: Mitarbeiter, Lehrpersonal, Student, Alumnus, sonstiges Mitglied)               
• sowie ggf. speziell vereinbarte Zeichenketten (sog. Entitlements) für erweiterte Berechtigungen innerhalb des Webdienstes.

Auf Antrag des Webdienst-Betreibers können am IdP noch weitere personenbezogen Daten zur Weitergabe vorgesehen sein. Dies sind:

• Vor- und Nachname   
• Mailadresse
• Geburtsdatum
• Geschlecht
• Organisationseinheit innerhalb Ihrer Einrichtung (bei Mitarbeitern und Gästen) 
• Studiengangsinformationen, Fakultät und Matrikelnummer (bei Studierenden) 

Auch diese Daten werden Ihnen in der digitalen Vistenkarte vor der Weitergabe angezeigt.

Darüber hinaus erfolgt die Übermittlung personenbezogener Daten an staatliche Einrichtungen und Behörden nur im Rahmen zwingender nationaler Rechtsvorschriften oder wenn die Weitergabe im Fall von Angriffen auf unsere IT-Infrastruktur zur Rechts- oder Strafverfolgung erforderlich ist.  Eine Weitergabe zu anderen Zwecken an Dritte oder eine Veröffentlichung finden generell nicht statt.  

Ihre Rechte                            

Sie haben ein Auskunftsrecht über Ihre bei uns gespeicherten personenbezogenen Daten. Außerdem haben Sie das Recht auf Berichtigung unrichtiger Daten sowie Sperrung und Löschung, Wenn Sie diese Rechte wahrnehmen möchten, wenden Sie sich bitte schriftlich an uns.  Bitte beachten Sie, dass Ihre Daten nicht im IdP selbst gespeichert sind, sondern im Personen- und Benutzer-Management-System des Service IT.                                               

Links und Weiterleitungen 

Die Webseiten des IdP enthalten zum Teil Links auf Webseiten anderer Organisationen oder Firmen, bzw. leiten Sie auf solche Webseiten weiter. Auf die Gestaltung und die Inhalte dieser Webseiten haben wir keinen Einfluss und können nicht kontrollieren, wie deren Anbieter mit Ihren personenbezogenen Daten umgehen.

Gültigkeit und Aktualität

Mit der Nutzung von bzw. der Authentifizierung an einem IdP willigen Sie in die oben beschriebene Datenverwendung ein. Diese Datenschutzerklärung ist unmittelbar gültig und ersetzt alle früheren Erklärungen.

Durch die Weiterentwicklung der Authentifizierungs-Infrastruktur kann es notwendig werden, diese Datenschutzerklärung zu überarbeiten. Wir behalten uns vor, die Datenschutzerklärung jederzeit mit Wirkung für die Zukunft zu ändern, und empfehlen Ihnen, sich die jeweils aktuelle Datenschutzerklärung von Zeit zu Zeit erneut durchzulesen.

Datenschutzerklärung Outlook Web App

Der Webserver xmail.mwn.de und der darauf angebotene Dienst Outlook Web App (OWA) werden vom Leibniz-Rechenzentrum der Bayerischen Akademie der Wissenschaften (LRZ), Boltzmannstraße 1, 85748 Garching b. München betrieben. Die dabei verarbeiteten personenbezogenen Daten können der Datenschutzerklärung des LRZ entnommen werden https://www.lrz.de/datenschutzerklaerung.

Nachfolgend informieren wir Sie über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten. Diese Informationen können jederzeit von unserer Webseite abgerufen werden.

Nutzung des OWA-Dienstes

Wenn Sie sich am Webserver xmail.mwn.de in den OWA-Dienst einloggen, werden die folgenden Informationen temporär in einer Logdatei gespeichert:

• Ihre HAW-Kennung
• Datum und Uhrzeit des Verbindungsaufbaus und des Verbindungsabbaus
• Name des konkreten Servers, über den die Verbindung aufgebaut wurde
  (Erläuterung dazu: Der OWA-Dienst wird aus Lastgründen auf einem Cluster von Servern erbracht)
• Information, ob der Login-Versuch erfolgreich war oder nicht

Wenn Sie sich von einer IP-Adresse einloggen, die nicht der HAW Landshut zugehört, laufen die Verbindungen über eine Firewall, auf der zusätzlich folgende Daten in einer Logdatei festgehalten werden:

• IP-Adresse des anfragenden Rechners
• Erkennungsdaten des verwendeten Browser- und Betriebssystems (sofern vom anfragenden Webbrowser übermittelt)
• Angeforderte URL

Die Verarbeitung der Daten in diesen Logdateien geschieht wie folgt:

• Die Logeinträge werden ausgewertet, um Störungen des Dienstes oder Angriffe auf den Dienst zu erkennen und entsprechend reagieren zu können.
• In Einzelfällen, d.h. bei gemeldeten Störungen, Fehlern und Sicherheitsvorfällen wird manuell ausgewertet.
• Einträge, die älter sind als sieben Tage, werden gelöscht.

Die eingesetzte Software verwendet zur Session-Verwaltung Cookies. Bei Anklicken der Option, dass es sich um einen "privaten Computer" handelt, wird außerdem die zuletzt von Ihnen eingegebene HAW-Kennung in einem Cookie gespeichert. Darüber hinaus wird keine Art von User Tracking eingesetzt, insbesondere erfolgt keine Auswertung für Reichweitenanalysen oder ähnliches.

Weitergabe personenbezogener Daten

Die Übermittlung personenbezogener Daten an staatliche Einrichtungen und Behörden erfolgt nur im Rahmen zwingender nationaler Rechtsvorschriften oder wenn die Weitergabe im Fall von Angriffen auf unsere IT-Infrastruktur zur Rechts- oder Strafverfolgung erforderlich ist. Eine Weitergabe zu anderen Zwecken an Dritte oder eine Veröffentlichung finden nicht statt.

Ihre Rechte

Sie haben ein Auskunftsrecht über Ihre bei uns gespeicherten personenbezogenen Daten. Außerdem haben Sie das Recht auf Berichtigung unrichtiger Daten sowie Sperrung und Löschung. Wenn Sie diese Rechte wahrnehmen möchten, wenden Sie sich bitte schriftlich an uns.

Gültigkeit und Aktualität

Mit der Nutzung des OWA-Dienstes willigen Sie in die oben beschriebene Datenverwendung ein. Diese Datenschutzerklärung ist unmittelbar gültig und ersetzt alle früheren Erklärungen.

Durch die Weiterentwicklung des OWA-Dienstes kann es notwendig werden, diese Datenschutzerklärung zu überarbeiten. Wir behalten uns vor, die Datenschutzerklärung jederzeit mit Wirkung für die Zukunft zu ändern, und empfehlen Ihnen, sich die jeweils aktuelle Datenschutzerklärung von Zeit zu Zeit erneut durchzulesen.

Der Service IT übernimmt keine Haftung für Schäden, die durch das Laden und Starten der Software oder durch Aktivitäten im Rahmen der Fernwartung oder in zeitlicher Nähe zur Support-Leistung entstehen. Der Kunde/die Kundin ist für die Sicherheit seiner Daten verantwortlich (externes Backup). Sollten sich Probleme oder Mängel bei der Fernwartungsverbindung ergeben, wird der Berater nur auf ausdrücklichen Wunsch des Kunden/der Kundin fortfahren.

Die Fernwartung erfolgt auf ausdrücklichen Wunsch des Kunden/der Kundin. Es werden weder persönliche Daten noch Daten des Computersystems erhoben oder gespeichert. Der Service IT-Berater erhält durch die Fernwartung Zugriff auf die Datenbestände. Die Fernwartungsverbindung kann vom Kunden/von der Kundin jederzeit beendet werden.