Datenschutzhinweis

1. Verantwortlicher

k2a.ai GmbH (Reinvent-IT)
<Straße Hausnummer>
<PLZ Ort>, Österreich
E-Mail: <datenschutz@…>

Die Partnerorganisationen des Konsortiums übermitteln die Kontaktdaten ihrer Beschäftigten als eigene Verantwortliche. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO wurde geprüft und verneint: Zweck und Mittel des Portals bestimmt allein der Verantwortliche.

2. Welche Daten

• Stammdaten: Anrede, Titel, Vor- und Nachname, E-Mail-Adresse, Partnerorganisation, Rolle im Projekt, Ansprechpartner, Quelle der E-Mail-Adresse.
• Zugangsdaten der Plattformen: Zitadel-Benutzer-ID, Microsoft-Gast-ID, GitHub-Benutzername und -ID.
• Etappenstand: je Etappe der Zustand (offen, eingeladen, erledigt), Zeitpunkte, Prüfergebnisse der Plattform-Schnittstellen in Kurzform.
• Nachweis (Audit): wer wann welchen Zugang erhalten, geprüft oder verloren hat, mit Zeitpunkt und handelnder Person (Admin, Mitglied, System). Beim Einlösen des Links zusätzlich das Land der Verbindung (aus den Cloudflare-Verbindungsdaten), nach 90 Tagen gelöscht.
• Hilfeanfragen: Ihr Freitext, nachdem Links und Zahlenfolgen automatisch entfernt wurden, Etappe und Fehlercode.
• Betriebsdaten: Prüfsummen (Hashes) des Einladungslinks und des Einmalcodes, Sitzungskennung, Zähler für Fehlversuche und Rate-Limits, Versandprotokoll der E-Mails (nur Vorlagenname, Zeitpunkt und Hash der Adresse).
• Verschlüsselt und kurzlebig: der persönliche Einlöselink der Microsoft-Einladung, bis zur Annahme oder höchstens 90 Tage.

Nicht gespeichert: Passwörter, Einmalcodes und Einladungscodes im Klartext, IP-Adressen, Browser-Kennungen, Telefonnummern, Inhalte der versendeten E-Mails, der Stand anderer Mitglieder in Ihrer Ansicht.

3. Zwecke

• Einrichtung und Verwaltung der Projektzugänge (Zugangsverwaltung).
• Schutz vor Missbrauch des Einladungslinks (Einmalcode, Fehlversuchszähler, Rate-Limits, Länderhinweis).
• Nachweis der Zugangsvergabe und des Zugangsentzugs gegenüber dem Konsortium (Zusage aus Arbeitspaket 1, Sicherheitsanforderungen nach NIS2).
• Unterstützung bei Problemen (Hilfeanfragen, Erinnerungen).

4. Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das berechtigte Interesse liegt in einer sicheren, nachvollziehbaren Zugangsverwaltung für ein Forschungskonsortium mit mehreren Partnern. Interessenabwägung in Kürze: Verarbeitet werden nur dienstliche Kontaktdaten und technische Kennungen, die für die Zugänge ohnehin nötig sind; die Daten stammen aus dem Projektkontext, in dem die Betroffenen mitarbeiten, und sind für sie erwartbar; es werden keine Inhalte, keine Standortverläufe und keine IP-Adressen gespeichert; das Land wird nur zum Missbrauchsschutz erfasst und nach 90 Tagen gelöscht. Die Interessen der Betroffenen überwiegen daher nicht.

Die Teilnahme an der Signal-Gruppe ist freiwillig; das Portal speichert dazu nur Ihre Antwort (ja, nein, später) und die Bestätigung des Administrators, keine Telefonnummer.

5. Empfänger und Auftragsverarbeiter

• Cloudflare, Inc. (USA, EU-Niederlassung Cloudflare Germany GmbH): Betrieb des Portals (Workers, D1-Datenbank mit EU-Jurisdiktion), Cloudflare Access für den Login der Mitglieder- und Admin-Bereiche. Cloudflare Access protokolliert Anmeldungen mit E-Mail-Adresse und IP-Adresse. Verarbeitung am jeweils nächstgelegenen Rechenzentrum, Standardvertragsklauseln und EU-US Data Privacy Framework.
• Zitadel (Zitadel GmbH, Schweiz; Instanz in der EU-Region): Projekt-Login mit Passwort und zweitem Faktor.
• Microsoft Ireland Operations Ltd.: Microsoft-365-Tenant von Reinvent-IT in der EU für die Dokumentenablage (SharePoint), Gastkonten (Entra ID) und den Versand der Portal-E-Mails aus onboarding@sccrm.ai.
• GitHub, Inc. (USA, Microsoft-Konzern): Aufgaben-Board und Projektordner; GitHub erhält Ihren Benutzernamen für die Einladung. Drittlandübermittlung auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln.
• Administratoren des Projekts (zwei benannte Personen bei Reinvent-IT) sehen alle Datensätze und das Audit.

6. Speicherdauer

• Stammdaten, Etappenstand und Audit: bis zum Projektende plus drei Jahre, geplant bis 28.02.2032. Nach einem Offboarding bleiben nur die Nachweisfelder.
• Betriebsdaten (Hilfeanfragen nach Erledigung, Versandprotokoll, Rate-Limit-Zähler, Länderangabe im Audit, verschlüsselter Einlöselink): 90 Tage.
• Sitzungen: 12 Stunden.
• Einladungslinks: 14 Tage ab Versand, mindestens aber 72 Stunden nach dem Einlösen; der Hash bleibt 30 Tage nach Ablauf.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO). Wenden Sie sich dafür an den Verantwortlichen (Abschnitt 1) oder an Ihren Ansprechpartner im Projekt.

Sie haben außerdem das Recht auf Beschwerde bei der Datenschutzbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

8. Datenquelle und Pflicht zur Bereitstellung

Ihre Stammdaten stammen von Ihrer Partnerorganisation beziehungsweise aus der Projektkommunikation (Teams-Einladung, Signatur, Protokoll). Ohne diese Daten können keine Projektzugänge eingerichtet werden; eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht.

9. Cookies und Technik

Das Portal setzt keine Cookies außer dem technisch notwendigen Sitzungs-Cookie (__Host-ob, 12 Stunden, nur bis zum ersten Projekt-Login) und den Cookies von Cloudflare Access für den Login. Es gibt kein Tracking, keine Analyse-Dienste, keine externen Schriften oder Skripte. Die Seite fragt nie nach einem Passwort; Passwörter werden ausschließlich bei Zitadel, Microsoft und GitHub eingegeben.