Datenschutzinformationen zu tech4comp-Studien (07.01.2025)

Über unsere App möchten wir Ihnen Services und Angebote des tech4comp-Projekts bereitstellen. Innerhalb des Forschungsprojektes soll u.a. die Frage beantwortet werden, ob und wie Sensoren zur Unterstützung von Mentoring eingesetzt werden können. Hierzu wird der Einsatz eines Moodmetric-EDA-Rings erprobt. Dabei werden stressbezogene Daten verarbeitet und übermittelt, mit der Zielstellung, Indikatoren für Mentoringanlässe zu erkennen. Wir behalten uns vor, unsere Datenschutzinformationen gelegentlich anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen darzustellen. Wir empfehlen Ihnen daher, die Datenschutzinformationen regelmäßig zu lesen, um über den Schutz der von uns verarbeiteten personenbezogenen Daten auf dem Laufenden zu bleiben.

Impressum nach §5 TMG

Hochschule für Technik, Wirtschaft und Kultur Leipzig (HTWK)
Professur für Diskrete Mathematik
Karl-Liebknecht-Straße 132, 04277 Leipzig

Ansprechpartner:
Prof. Dr. Martin Grüttmüller
E-Mail: martin.gruettmueller@htwk-leipzig.de

Datenschutzbeauftragte der HTWK:
Dresdner Institut für Datenschutz
Tel.: +49 (0) 351 / 655772-0
E-Mail: datenschutz@htwk-leipzig.de

Download der App

Die App wird über die App-Stores von Drittanbietern zum Download bereitgestellt. Das Herunterladen sowie die Nutzung erfolgen freiwillig und stellen nur ein Angebot dar. Beim Herunterladen der App über einen App-Store werden die erforderlichen Informationen an den jeweiligen App-Store übertragen, also insbesondere Nutzername, E-Mail-Adresse und Kundennummer Ihres Accounts, Zeitpunkt des Downloads, Zahlungsinformationen und die individuelle Gerätekennziffer. Auf diese Datenerhebung haben wir keinen Einfluss und sind nicht dafür verantwortlich.

Zugriffsberechtigungen der App

Zur technischen Funktionsfähigkeit der App und zur Bereitstellung der mit der App angebotenen Dienste benötigen wir verschiedene Zugriffsmöglichkeiten und Informationen. Je nach Betriebssystem wird bereits beim Installationsvorgang eine Erlaubnis für den Zugriff auf einzelne Funktionen und Informationen abgefragt. Die Zugriffsberechtigungen umfassen unter anderem den Standortzugriff (benötigt für Bluetooth-Scanning), das Einblenden von Benachrichtigungen, den Abruf von Netzwerkverbindungen, den Erhalt und Versand von Internetdaten, die Suche nach und Kommunikation mit Bluetoothgeräten, die Deaktivierung des Ruhezustands, die Ausführung als Vordergrunddienst, die Deaktivierung der Batterieoptimierung sowie den Zugriff auf die Kamera (QR-Code-Scan). Unter den Einstellungen des Endgeräts können diese Berechtigungen zum Teil manuell entzogen werden. Dabei ist jedoch zu berücksichtigen, dass unsere App ohne entsprechende Freigaben nur eingeschränkt bzw. gar nicht genutzt werden kann. Je nach App- Version werden vor oder nach der Installation Berechtigungen abgefragt.

Cookies und Trackingverfahren

Unsere App setzt keine eigenen Cookies oder Trackingverfahren ein. Allerdings nutzt die Apps sog. WebViews bzw. einen Zugriff auf den Browser. Hierbei handelt es sich um eine technische Einbindung eines fremden Webseitenangebots. Im Ergebnis erfolgen die gleichen Datenverarbeitungen wie bei einem direkten Besuch der Webseite. Verantwortlich für die Datenverarbeitung ist der Anbieter der Zielseite. Die App hat keinen Einfluss auf die dortige Datenverarbeitung. Wir bemühen uns um eine transparente Darstellung/Information vor Öffnung des WebViews/Weiterleitung.

Darüber hinaus beruht die App auf einer Open-Source-Software (Flutter) und Google-Features (MLKit für QR-Code-Scanning), welche standardmäßig Trackingbibliotheken enthalten, wodurch Daten an verschiedene Drittanbieter übermittelt werden (z.B. Google Firebase). Eine entsprechende Nutzung ist durch die Anbieter der App nicht gewollt. Die Entwickler der App bemühen sich daher um eine entsprechende Deaktivierung/Löschung aus dem Code und prüfen auch zukünftige Updates entsprechend. Derzeit kann eine Übermittlung von Daten an entsprechende Drittanbieter nicht ausgeschlossen werden. Dies kann unter anderem Informationen über folgende Daten umfassen:

Es kann nicht ausgeschlossen werden, dass diese Daten durch die Anbieter mit weiteren Datensätzen aus anderen Quellen zusammengeführt werden. Darüber hinaus handelt es sich bei den Drittanbietern auch um Unternehmen aus sog. „unsicheren Drittländern“ (z.B. USA). Ein Zugriff z.B. durch US-Behörden kann daher nicht ausgeschlossen werden.

Funktionsumfang

Allgemein

Die App ermöglicht die Suche nach und die Kommunikation mit Moodmetric-EDA-Ringen zur Aufnahme von EDA- und Beschleunigungsdaten. Ergänzend werden Kontext- und Befindlichkeitsinformationen erfasst. Eine Live-Visualisierung und lokale Auswertungs- sowie Exporttools unterstützen die weitere Datenverwertung und die Selbstreflektion des Nutzenden. Einstellungen, z.B. zur Abtastrate des Rings oder den zur Synchronisation vorgesehenen Attributen, können manuell oder per QR-Code-Scan über eine Konfigurationansicht vorgenommen werden. Neben einer lokalen Verwahrung der Daten, lassen sich diese auch optional mit einem tech4comp-Server synchronisieren. Die für die Übertragung der Daten nötige Identifizierung des Nutzenden wird über einen Keycloak-Server des tech4comp-Netzwerks durchgeführt. Version 1.1.0 fügt eine Funktion zum bidirektionalen Austausch von Fragen und Feedback zwischen Lehrenden und Studierenden in Lehrveranstaltungen hinzu. Die Kommunikation erfolgt über einen MQTT-Broker im Kubernetes-Cluster des Projekts.

Welche Daten werden verarbeitet?

Besteht innerhalb der App die Möglichkeit einer Registrierung und Anmeldung in der App mit eigenen Zugangsdaten?

Registrierung, Login und Logout erfolgen über einen Authorization-Server des tech4comp-Netzwerks (auf Basis von Keycloak) und eine WebView, die aus der App heraus aufrufbar ist. Authentifizierung und Autorisierung werden über die Erweiterung flutter_appauth (basiert auf AppAuth) realisiert und folgen dadurch mutmaßlich RFC 8252 - OAuth 2.0 for Native Apps.

Die App erhält Access-Token, ID-Token, Refresh-Token und ist über den Access-Token in der Lage personenbezogene Daten (Subject, Vor- und Nachname, Username und Email-Adresse) vom Authorization- Server abzurufen.

Bei Logout werden Access-, ID- und Refresh-Token entfernt und die Session serverseitig beendet. Lokale Daten wie Subject und Email-Adresse werden ebenfalls verworfen.

Werden ausreichend komplexe Passwörter erzwungen oder zumindest empfohlen?

Zurzeit bestehen keine weiteren Richtlinien für Passwörter. Nutzenden wird jedoch empfohlen, ein Passwort von mindestens acht Zeichen Länge zu verwenden, das Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthält.

Werden gerätebezogene Daten als Identifizierungswert im Rahmen einer Authentifizierung verwendet?

Eine derartige Verwendung erfolgt nicht.

Werden lokal gespeicherte Zugangsdaten nach aktuellem Stand der Technik ausreichend verschlüsselt?

Access-, ID- und Refresh-Token werden in einem lokalen, verschlüsselten Speicher (Erweiterung hive mit AES 256 CBC und PKCS7 Padding) abgelegt. Access- und ID-Token werden mit Beendigung der App entfernt. Bei Absturz der App kann es vorkommen, dass Access- und ID-Token erst bei erneutem Start gelöscht werden. Der Schlüssel für die verschlüsselte Hive-Box wird über die Erweiterung flutter_secure_storage über Keychain (iOS) und KeyStore (Android) verwaltet.

Werden serverseitig gespeicherte Zugangsdaten nach aktuellem Stand der Technik ausreichend verschlüsselt?

Passwörter werden durch Keycloak vor der Speicherung bzw. Validierung standardmäßig mit dem PBKDF2- Algorithmus in 27.500 Iterationen gehasht und geschützt abgelegt.

Werden in der App lokale Session-Timeouts eingesetzt, die ein erneutes Einloggen nach einer gewissen Zeit erzwingen?

Nach Abruf des Refresh-Tokens wird dieser zusammen mit dem aktuellen Zeitstempel geschützt abgelegt. Wird bei erneutem Start der App festgestellt, dass der Refresh-Token älter als sieben Tage ist, wird dieser entfernt. Der Nutzende muss sich in der Folge erneut manuell anmelden.

Werden Passwörter bei der Eingabe maskiert?

Ja, standardmäßig mit ”•”.

Nach Anforderung werden per E-Mail ein Link und ein zugehöriger Code übermittelt. Diese verlieren nach 60 Minuten automatisch ihre Gültigkeit.

Welche (personenbezogenen) Daten werden an welche Empfänger zu welchem Zweck übertragen?

EDA- und Beschleunigungdaten sowie Befindlichkeits- und Kontextabstimmungen werden bei aktivierter Synchronisation zum Zweck von Studien bzw. des o.g. Forschungsprojekts an einen tech4comp-Server übertragen. Zur Zuordnung der Daten zu einem bestimmten Teilnehmenden und zur Absicherung des API- Endpoints erfolgt weiterhin die Übermittlung von Subject (Nutzer-ID), Username und Access-Token.

Bei jeglichen HTTP-Requests werden IP-Adresse und User-Agent übertragen. Das gilt gleichermaßen für den Zugriff auf das Backend, den Zugriff auf den Authorization-Server (Keycloak) und Firebase-Logging. Bei letzterem ist erneut zu bemerken, dass dies ein Bestandteil von MLKit darstellt und sich derzeit nicht deaktivieren lässt.

Zum Herstellen einer Verbindung zum MQTT-Broker werden der Access-Token und eine zufällig generierte Client-ID übermittelt.

Erfolgt eine verschlüsselte Datenübertragung nach aktuellem Stand der Technik?

Die Datenübertragung erfolgt verschlüsselt über HTTPS bzw. MQTTS.

Werden vertrauenswürdige Zertifikate verwendet und diese auch zur Verhinderung von Man-In-The- Middle-Angriffen überprüft?

Die Zertifikate werden vom DFN-Verein Global Issuing CA ausgestellt.

Welche personenbezogenen Daten werden lokal auf dem Gerät gespeichert?

Es erfolgt die Speicherung von EDA-, Beschleunigungs-, Kontext- und Befindlichkeitsdaten in einer lokalen, per SQLCipher verschlüsselten Datenbank. Nutzende können über einen Dialog die Daten entfernen.

Access- und ID-Token sowie zugehörige Nutzerinformationen werden zur Laufzeit und bei Login des Nutzenden verwaltet. Falls vorhanden, wird der Refresh-Token laufzeitunabhängig verwahrt.

Betroffenenrechte und Kontakt zum Datenschutzbeauftragten

Betroffene können jederzeit Auskunft über die sie betreffenden personenbezogenen Daten sowie gegebenenfalls Berichtigung oder Löschung beziehungsweise Einschränkung der Verarbeitung verlangen oder einer Verarbeitung widersprechen. Außerdem besteht zu ihren Gunsten ein Recht auf Datenübertragbarkeit. Darüber hinaus kann, sofern die Datenverarbeitung aufgrund einer Einwilligung durchgeführt wird, diese jederzeit für die Zukunft widerrufen werden. Zur Ausübung Ihrer Rechte stehen Ihnen unsere im Impressum genannten Ansprechpartner, Prof. Dr. Martin Grüttmüller und das Dresdner Institut für Datenschutz, zur Verfügung. Darüber hinaus haben Sie gemäß Art. 77 DS-GVO ein Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, wenn vermutet wird, dass die Verarbeitung der personenbezogenen Daten rechtswidrig erfolgt.

Es ist zu beachten, dass eine vollständige Beendigung der Datenübermittlung (insb. hinsichtlich Firebase-Logging) nur durch vollständige Deinstallation der App erreicht werden kann.

tech4comp 2025 | dev.tech4comp@gmail.com