Datenschutz
Sicherheitskonzept
Wie der Diversity Compass Daten schützt: welche Daten verarbeitet werden, wer sie sehen kann, wie sie gespeichert und wann sie gelöscht werden.
Das Wichtigste in Kürze
Getrennte Daten
Jede Institution sieht nur ihre eigenen Daten. Programme, Projekte, Personeneinschätzungen und Umfragen sind strikt nach Institution getrennt.
Anonyme Umfragen
Antworten werden ohne Konto und ohne Namen, E-Mail- oder IP-Adresse gespeichert und zusätzlich verschlüsselt.
Nur zusammengefasst
Ergebnisse gibt es erst ab einer Mindestzahl von Antworten und nur zusammengefasst, Frage für Frage.
Verschlüsselt
Alle Verbindungen sind verschlüsselt. Die Daten liegen auf einem Server in Deutschland.
Feste Löschfristen
Sie können Ihr Konto jederzeit selbst löschen. Ungenutzte Konten werden nach zwei Jahren entfernt, Sicherheitsprotokolle nach 180 Tagen, Sicherungen nach höchstens einem Monat.
Welche Daten verarbeitet werden
Der Diversity Compass arbeitet mit Daten, die besonderen Schutz verdienen. Deshalb wird nur erhoben, was für die Analyse nötig ist.
Konto
- Name der Institution, E-Mail-Adresse und Passwort; freiwillig Ansprechperson, Position, Adresse, künstlerischer Fokus der Institution und wie sie von uns erfahren hat; ob sie mehr als eine Spielstätte bespielt (davon hängt ab, ob das Dashboard einen Stadtplan zeigt)
- Nur für Anmeldung und Kontakt. Das Passwort wird nur in nicht umkehrbarer Form gespeichert.
Programm und Projekte
- Projekte, Spielstätten, Budgets, Besuchszahlen
- Nur für die eigene Institution sichtbar.
Personeneinschätzung
- Einschätzungen zu den Beteiligten eines Projekts
- Ohne Namen erfasst: nur Funktion, Altersgruppe und Einschätzung.
Umfrageantworten
- Antworten von Teilnehmenden, darunter sensible Angaben nach Art. 9 DSGVO
- Anonym, verschlüsselt gespeichert, nur zusammengefasst ausgewertet. Freitextantworten sieht die Institution im Wortlaut.
Diversity Check
- Antworten im Selbsttest auf der Website
- Bleiben im Browser und werden nicht übermittelt.
Zugang und Konten
Bestätigte E-Mail-Adresse
Ein Konto lässt sich erst nutzen, nachdem die E-Mail-Adresse über einen Link bestätigt wurde.
Starke Passwörter
Passwörter müssen mindestens zwölf Zeichen lang sein. Sie werden nicht im Klartext gespeichert, sondern nur in einer nicht umkehrbaren Form; auch der technische Dienstleister kann sie nicht einsehen.
Schutz vor Ausprobieren
Zu viele vergebliche Anmeldungen, Registrierungen oder Anfragen nach einem neuen Passwort in kurzer Zeit führen zu einer vorübergehenden Sperre.
Sicheres Zurücksetzen
Ein neues Passwort lässt sich nur über einen zeitlich begrenzten Link setzen, der an die hinterlegte E-Mail-Adresse geht. Die Anwendung verrät dabei nicht, ob eine Adresse registriert ist. Jeder Link gilt nur einmal und ist in der Datenbank nur in einer nicht lesbaren Form gespeichert – das gilt auch für die Links zur Bestätigung der E-Mail-Adresse.
Geschützte Sitzung
Die Anmeldung wird in einem verschlüsselten Cookie gehalten, das nur über gesicherte Verbindungen übertragen wird und von Skripten im Browser nicht gelesen werden kann. Wird das Passwort geändert oder zurückgesetzt, enden alle anderen Anmeldungen – auch die einer Person, die sich unberechtigt Zugang verschafft hat. Eine Anmeldung gilt höchstens sieben Tage. Werden einem Konto Rechte entzogen, gilt das sofort, auch für bereits bestehende Anmeldungen.
Benachrichtigung der Kontoinhaber:innen
Wird das Passwort geändert oder gelingt eine Anmeldung direkt nach mehreren Fehlversuchen, erhält die Person eine E-Mail. Nur sie kann beurteilen, ob sie das selbst war; wenn nicht, beendet ein Zurücksetzen des Passworts auch die fremde Anmeldung.
Trennung zwischen Institutionen
Mehrere Institutionen nutzen dieselbe Anwendung. Jede Anfrage wird auf dem Server geprüft: Gehört das angefragte Programm, das Projekt oder die Umfrage zur Institution der angemeldeten Person? Wenn nicht, wird der Zugriff verweigert, auch wenn jemand die Adresse eines fremden Datensatzes kennt oder errät.
Solche abgewiesenen Zugriffsversuche werden protokolliert und den Administrator:innen sofort per E-Mail gemeldet.
Die Administrator:innen von Wien Modern verwalten Institutionen und Konten. Sie sehen dabei Namen und E-Mail-Adressen der Konten und wie viele Programme, Projekte und Personen eine Institution angelegt hat, aber keine Inhalte: keine Projekte, Personeneinschätzungen oder Umfrageergebnisse. Direkten Zugang zu Server und Datenbank hat nur der technische Dienstleister.
Schutz der Umfragedaten
Anonym von Anfang an
Für die Teilnahme ist kein Konto nötig. Mit einer Antwort werden weder Name noch E-Mail- oder IP-Adresse gespeichert. Es gibt keine Verknüpfung zwischen einer Antwort und einer Person.
Verschlüsselt gespeichert
Antworten werden vor dem Speichern mit einem anerkannten, starken Verfahren (AES-256) verschlüsselt. Der Schlüssel ist nicht in der Datenbank gespeichert – wer nur eine Kopie der Datenbank hätte, könnte die Antworten nicht lesen.
Nur zusammengefasst
Die Institution sieht keine einzelnen Fragebögen, sondern Auswertungen über alle Teilnehmenden. Diese werden erst freigeschaltet, wenn genügend Antworten eingegangen sind. Jede Frage wird für sich ausgewertet und zeigt alle Anzahlen, auch eine Antwort, die nur eine Person gewählt hat; Antworten zu verschiedenen Fragen werden nicht miteinander verknüpft. Dieselbe Auswertung kann die Institution auch als Excel-Datei herunterladen. Antworten in Freitextfeldern sieht die Institution im Wortlaut; die Umfrage bittet deshalb darum, dort keine Namen und keine Details zu nennen, an denen jemand erkannt werden könnte.
Freiwillig und informiert
Teilnehmende werden vor Beginn über Zweck und Umgang mit den Daten informiert und willigen vor dem Absenden ausdrücklich ein. Die Umfrage richtet sich an Personen ab 18 Jahren. Bis auf das Geburtsjahr lässt sich jede Frage überspringen.
Zusage der Institution
Bevor eine Institution eine Umfrage veröffentlicht, bestätigt sie, dass sie die Ergebnisse nur zur Analyse ihres Programms nutzt und nicht versucht, Teilnehmende zu identifizieren.
Übertragung und Speicherung
Verschlüsselte Verbindung
Die Anwendung ist ausschließlich über HTTPS erreichbar. Unverschlüsselte Aufrufe werden automatisch umgeleitet.
Server in Deutschland
Anwendung, Datenbank und Redaktionssystem laufen auf einem Server des europäischen Anbieters Hetzner in Deutschland.
Datenbank nicht direkt erreichbar
Die Datenbank selbst ist aus dem Internet nicht erreichbar. An die Daten kommt man nur über die Anwendung und über gesicherte Wartungszugänge des technischen Dienstleisters; am Server selbst kann man sich nur mit einem kryptografischen Schlüssel anmelden, nicht mit einem Passwort. Eine Firewall lässt von außen nur die nötigen Zugänge zu.
Keine IP-Adressen im Protokoll des Webservers
Der Webserver protokolliert keine Seitenaufrufe. Aus den Fehlermeldungen, die er festhält, entfernt er die IP-Adressen.
Tägliche Sicherung
Jede Nacht werden die Datenbanken und die Bilder des Redaktionssystems gesichert; zusätzlich sichert Hetzner täglich den ganzen Server. Die Sicherungen dienen dazu, Daten nach einem technischen Fehler wiederherzustellen. Sie werden nach höchstens einem Monat gelöscht.
Schutz vor Angriffen
Eingaben werden geprüft
Alles, was in Formulare eingegeben oder als Datei hochgeladen wird, prüft der Server auf Art, Länge und Inhalt, bevor es gespeichert wird.
Kein Einschleusen von Schadcode
Eingegebene Texte werden immer als Text angezeigt und nie als Programmcode ausgeführt. Zusätzlich erlaubt die Anwendung dem Browser nur, ihre eigenen Skripte auszuführen.
Sichere Datenbankabfragen
Eingaben werden nie direkt in Datenbankbefehle eingefügt. Das verhindert die Manipulation von Abfragen.
Kein Einbetten in fremde Seiten
Die Anwendung lässt sich nicht in andere Websites einbinden, um Klicks abzufangen.
Eigene Tests
Für die Trennung der Institutionen, die automatische Löschung und das Erkennen von Angriffen auf Konten gibt es eigene Testprogramme.
Löschung und Aufbewahrung
Selbst löschen
In den Einstellungen können Sie Ihr Konto jederzeit löschen. Dabei werden alle Daten Ihrer Institution entfernt: Programme, Projekte, Personeneinschätzungen, Umfragen und deren Antworten. Einträge im Sicherheitsprotokoll bleiben bis zum Ende ihrer 180 Tage erhalten.
Automatische Löschung bei Inaktivität
Wird ein Konto zwei Jahre lang nicht genutzt, wird es samt allen Daten gelöscht. Vorher gehen zwei Hinweise per E-Mail an das Konto. Eine Anmeldung genügt, um die Löschung abzuwenden.
Unbestätigte Registrierungen
Konten, deren E-Mail-Adresse nie bestätigt wurde, werden nach wenigen Tagen automatisch entfernt.
Umfrageantworten
Sie werden mit der Umfrage, dem Programm oder dem Konto der Institution gelöscht. Eine einzelne abgesendete Antwort lässt sich niemandem zuordnen und deshalb auch nicht gezielt löschen.
Sicherheitsprotokolle
Protokolle über Anmeldungen werden nach 180 Tagen gelöscht.
Sicherungen
Gelöschte Daten verschwinden spätestens nach einem Monat auch aus den Sicherungen auf dem Server.
Überwachung und Umgang mit Vorfällen
Protokolliert werden sicherheitsrelevante Ereignisse rund um Konten: Registrierungen, Anmeldungen, fehlgeschlagene Versuche, Passwortänderungen und -Rücksetzungen, Löschungen und abgewiesene Zugriffe, jeweils mit E-Mail-Adresse, IP-Adresse, Browserkennung und Zeitpunkt. Welche Inhalte jemand ansieht, wird nicht protokolliert. Die Protokolle sind nur für den technischen Dienstleister einsehbar.
Auffälliges wird den Administrator:innen sofort per E-Mail gemeldet: gehäufte Fehlversuche bei einem Konto, auch wenn sie von verschiedenen Internetanschlüssen kommen; eine erfolgreiche Anmeldung direkt nach solchen Fehlversuchen; Zugriffsversuche auf Daten einer anderen Institution; die Anmeldung von Administrator:innen über einen bisher unbekannten Internetanschluss. Ebenso, wenn eine E-Mail der Anwendung nicht verschickt werden konnte – etwa ein Bestätigungs- oder Passwort-Link –, damit die Person auf anderem Weg erreicht werden kann.
Für den Fall einer Datenpanne gibt es einen festgelegten Ablauf: sofortige Eindämmung, Untersuchung der Ursache und, wenn ein Risiko für Betroffene besteht, Meldung an die Datenschutzbehörde durch Wien Modern als Verantwortlichen sowie Information der betroffenen Institutionen.
Externe Dienste
Die Plattform nutzt so wenige externe Dienste wie möglich, bevorzugt aus der EU. Es werden keine Dienste von Google und keine Werbe- oder Tracking-Dienste eingebunden; auch die Schriftarten kommen vom eigenen Server.
Hetzner
- Betrieb des Servers, tägliche Sicherung
- Europäischer Anbieter, Server in Deutschland. Vertrag zur Auftragsverarbeitung.
Resend
- Versand der Bestätigungs-, Rücksetz- und Hinweis-E-Mails
- Anbieter in den USA, zertifiziert unter dem EU-US Data Privacy Framework, mit Vertrag zur Auftragsverarbeitung. Übermittelt werden nur E-Mail-Adresse und Inhalt der Nachricht, keine Umfrage- oder Projektdaten.
CARTO
- Hintergrundkarte in der Auswertung
- Anbieter in den USA, zertifiziert unter dem EU-US Data Privacy Framework, mit Vertrag zur Auftragsverarbeitung über die Nutzungsbedingungen. Der Browser lädt die Kartenbilder direkt von CARTO; CARTO erhält dabei die IP-Adresse, kürzt sie sofort und löscht die Protokolle nach 30 Tagen. Projekt- oder Umfragedaten erhält CARTO nicht.
OpenStreetMap (Nominatim)
- Adressen von Spielstätten in Kartenpunkte umwandeln
- OpenStreetMap Foundation, Großbritannien; für Großbritannien hat die EU ein angemessenes Datenschutzniveau anerkannt (Angemessenheitsbeschluss). Die Anfrage stellt der Server der Plattform, nicht der Browser. Übermittelt werden nur die Adressen der Spielstätten.
Stadt Wien (Open Data)
- Grenzen der Wiener Bezirke für die Karte
- Der Server lädt die öffentlichen Geodaten von data.wien.gv.at. Dabei werden keine Daten der Plattform übermittelt.
Kontakt
Fragen zur Sicherheit?
Fragen zur Sicherheit oder der Verdacht auf eine Schwachstelle? Schreiben Sie an Wien Modern. Hinweise auf Sicherheitsprobleme werden vertraulich behandelt.
Wer verantwortlich ist, Ihre Rechte und alle Speicherfristen: Datenschutzerklärung