Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im VA-Kalender der Stadtgemeinde Spielberg unter https://calender.spielberg.at.
1. Verantwortliche Stelle und Datenschutzkontakt
Mario M. Wolfsberger Marktpassage 1/B1 8724 Spielberg, Österreich Telefon: +43 3512 75230 212 E-Mail: mario.wolfsberger@spielberg.gv.at Schriftliche Anfragen können an diese Anschrift mit dem Zusatz „Datenschutz“ gerichtet werden.
2. Zwecke und verarbeitete Daten
Die Anwendung dient der Verwaltung von Veranstaltungen, Terminen und Sitzungseinladungen sowie der Zusammenarbeit berechtigter Benutzerinnen und Benutzer. Verarbeitet werden insbesondere Name, Benutzername, E-Mail-Adresse, Rolle, Berechtigungen, Kontostatus und letzter Anmeldezeitpunkt. Für zur Erstellung von Sitzungseinladungen berechtigte Personen werden Abteilung, Telefon und Mobiltelefon für die Signatur erfasst.
Bei Terminen und Einladungen werden die eingegebenen Inhalte, Zeitpunkte, Orte, Zuständigkeiten, Empfänger, Anlagen, Bearbeitungsverläufe und Versandinformationen verarbeitet. Kontaktdaten des Erstellers können Bestandteil der an Empfänger versandten Signatur sein. Bitte geben Sie nur Daten ein, die für den jeweiligen Termin erforderlich sind.
3. Rechtsgrundlagen
Die Verarbeitung personenbezogener Daten erfolgt nach der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG). Die dienstliche Terminorganisation und Benutzerverwaltung erfolgen, soweit zur Durchführung eines vertraglichen Dienstverhältnisses erforderlich, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Bei öffentlich-rechtlichen Dienstverhältnissen sind die einschlägigen dienstrechtlichen Verpflichtungen und öffentlichen Aufgaben maßgeblich. Für die Organisation gesetzlich vorgesehener Gemeinderatssitzungen und deren Einberufung erfolgt die erforderliche Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c beziehungsweise lit. e DSGVO in Verbindung mit der Steiermärkischen Gemeindeordnung 1967, insbesondere § 51. Erforderliche Maßnahmen zum Schutz der personenbezogenen Daten und zur Absicherung der Anwendung erfolgen zur Erfüllung der Verpflichtungen nach Art. 32 DSGVO.
4. Anmeldung, Authenticator und Passkeys
Zur Anmeldung werden geschützte Passwortprüfwerte und Sitzungsdaten verarbeitet. Bei Einrichtung eines Authenticators werden die dafür notwendigen geschützten Einrichtungsdaten gespeichert. Wiederherstellungscodes werden als Prüfwerte gespeichert. Bei Passkeys speichert die Anwendung öffentliche Schlüssel und technische Angaben zum registrierten Zugangsmittel. Private Passkey-Schlüssel und gegebenenfalls zur Geräteentsperrung verwendete biometrische Daten werden der Kalender-Anwendung nicht übermittelt.
5. Freiwillige Anmeldung mit ID Austria
Sobald ID Austria für diese Anwendung freigeschaltet ist, können Benutzerinnen und Benutzer ihr bereits vorhandenes Kalenderkonto nach einer Sicherheitsprüfung mit ID Austria verknüpfen und sich anschließend damit anmelden. Es erfolgt keine automatische Kontoanlage und keine Vergabe zusätzlicher Rollen oder Berechtigungen. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO kommt infrage, wenn sie tatsächlich informiert, nachweisbar und ohne Nachteile verweigerbar beziehungsweise widerrufbar ist. Die freiwillige Auswahl einer Anmeldemethode allein sollte nicht pauschal als datenschutzrechtliche Einwilligung bezeichnet werden. Diesen Punkt müssen wir mit eurem tatsächlich vorgesehenen Verknüpfungsablauf abstimmen.
Bei der Anmeldung wird zu ID Austria weitergeleitet. Dabei werden technische Angaben zur Anwendung und zur Absicherung des Anmeldevorgangs übertragen. ID Austria verarbeitet den Identifizierungsvorgang nach den für diesen Dienst geltenden Datenschutzinformationen.
Nach erfolgreicher Anmeldung erhält die Anwendung ein signiertes Identitätstoken. Die Registrierung sieht als Basisattribute das bereichsspezifische Personenkennzeichen (bPK), Vorname, Familienname und Geburtsdatum vor. Für die dauerhafte Kontozuordnung nutzt der Kalender ausschließlich einen aus dem bPK abgeleiteten, mit einem Anwendungsschlüssel geschützten Hashwert. Gespeichert werden außerdem die Kontozuordnung, die Konfigurationszuordnung sowie Verknüpfungs- und Nutzungszeitpunkte. Das bPK im Klartext, das Identitätstoken sowie daraus gelieferte Namen und das Geburtsdatum werden von dieser Anbindung nicht dauerhaft gespeichert. Die unabhängig davon im Kalenderkonto hinterlegten Stammdaten bleiben bestehen.
Die Verknüpfung kann unter „Anmeldeschutz“ nach erneuter Sicherheitsprüfung entfernt werden. Danach ist die Anmeldung mit dieser Verknüpfung nicht mehr möglich. Bestehende Termine, Benutzerkonten und zulässige Sicherheitsprotokolle werden dadurch nicht automatisch gelöscht. Alternative eingerichtete Anmeldeverfahren und Wiederherstellungscodes stehen entsprechend dem Kontoschutz zur Verfügung; nach einer Verknüpfung genügt das Passwort allein nicht mehr.
Informationen zu ID Austria: https://www.id-austria.gv.at
6. Empfänger, Hosting und Schnittstellen
Die Anwendung wird bei Infomaniak betrieben. Innerhalb der Gemeinde erhalten berechtigte Personen entsprechend ihren Aufgaben und Rollen Zugriff. E-Mail-Empfänger erhalten die für sie vorgesehenen Termin- und Einladungsinformationen einschließlich etwaiger Anlagen und Signaturen.
Für den E-Mail-Versand und -Empfang werden die von der Gemeinde eingerichteten Maildienste genutzt. Soweit die Microsoft-365-Kalendersynchronisation aktiviert ist, werden die hierfür konfigurierten Kalenderdaten mit Microsoft 365 ausgetauscht. Bei Nutzung von ID Austria erfolgt die Kommunikation mit dem ID-Austria-System.
DIENSTLEISTER: Für den technischen Betrieb und die Betreuung der Anwendung setzen wir folgende Dienstleister ein: - mawo-IT e.U. unterstützt bei Entwicklung, Wartung und technischer Betreuung. Soweit dafür ein Zugriff auf personenbezogene Daten erforderlich ist, erfolgt dieser im Rahmen der beauftragten Leistungen und der vereinbarten Berechtigungen. - Infomaniak stellt die Hosting-Infrastruktur für die Kalender-Anwendung und die zugehörige Datenbank bereit. Nach Angaben des Anbieters befinden sich dessen Hosting-Rechenzentren in der Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. - Microsoft stellt die von uns eingesetzten Microsoft-365-Dienste bereit. Bei aktivierten E-Mail- oder Kalenderschnittstellen werden die dafür erforderlichen Kontakt-, Termin- und Kommunikationsdaten verarbeitet. Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage einer Vereinbarung gemäß Art. 28 DSGVO. Innerhalb der Gemeinde erhalten ausschließlich entsprechend berechtigte Personen Zugriff. Einladungs- und Nachrichtenempfänger erhalten die jeweils für sie vorgesehenen Inhalte und Anlagen.
7. Cookies und lokale Einstellungen
Die Anwendung verwendet ein technisch notwendiges Sitzungscookie für die Anmeldung und den Schutz von Anfragen. Die konfigurierte Gültigkeitsdauer einer Anmeldesitzung beträgt bis zu sieben Tage. Nach Ablauf oder Abmeldung kann eine erneute Anmeldung erforderlich sein.
Im lokalen Browserspeicher werden die gewählte Darstellung und die Entscheidung zum Installationshinweis gespeichert. Zurückgestellte Installationshinweise werden grundsätzlich nach 30 Tagen erneut angeboten. Diese Einstellungen können über die Browserfunktionen gelöscht werden. Die installierbare Web-App speichert über ihren Service Worker keine Kalenderinhalte für eine Offline-Nutzung. Die beschriebene Anwendung setzt keine Analyse- oder Werbetracker ein.
8. Protokollierung und Sicherheit
Zur Absicherung und Nachvollziehbarkeit können Anmelde- und Verwaltungsaktionen, betroffene Datensätze, Zeitpunkte, Benutzerzuordnungen, IP-Adressen und Browserangaben protokolliert werden. Beim Hosting können technische Zugriffs- und Fehlerprotokolle entstehen. Für die Zustellung von E-Mails werden Versandstatus und Fehler verarbeitet. Der Zugriff auf diese Informationen ist auf die zuständigen Personen beschränkt.
9. Speicherdauer und Löschung
Benutzerkonten werden ausschließlich für Mitarbeiterinnen und Mitarbeiter bereitgestellt. Die Zugriffsberechtigung besteht nur, solange sie für die dienstlichen Aufgaben benötigt wird. Bei Ausscheiden oder Wegfall der Aufgaben wird der Zugang gesperrt. Kontodaten werden gelöscht oder anonymisiert, sobald sie nicht mehr für die Benutzerverwaltung, die erforderliche Zuordnung dienstlicher Vorgänge oder gesetzliche Nachweispflichten benötigt werden. Termine, Einladungen und Anlagen werden entsprechend ihrem dienstlichen Zweck und den einschlägigen Aufbewahrungs- und Archivpflichten aufbewahrt. Sicherheits- und Fehlerprotokolle werden nur so lange vorgehalten, wie sie zur Untersuchung von Störungen oder Sicherheitsvorfällen erforderlich sind. Anschließend erfolgt ihre Löschung, sofern kein begründeter weiterer Aufbewahrungsbedarf besteht.
Zur Wiederherstellung bei technischen Störungen oder Datenverlust werden Sicherungskopien der Anwendung und ihrer Daten erstellt. Diese können auch personenbezogene Daten enthalten. Der Zugriff ist auf die mit Sicherung und Wiederherstellung betrauten Personen beschränkt. Sicherungskopien werden getrennt vom laufenden Betrieb aufbewahrt und nicht zur gewöhnlichen Bearbeitung von Mitarbeiterdaten verwendet. Nicht mehr benötigte Sicherungen werden gelöscht. Maßgeblich sind der erforderliche Wiederherstellungszeitraum und die Verfügbarkeit geeigneter neuerer Sicherungen. Bereits im laufenden System gelöschte Daten können bis zur Löschung der jeweiligen Sicherung darin enthalten bleiben. Nach einer Wiederherstellung werden erforderliche Löschungen und Kontosperren erneut berücksichtigt.
10. Ihre Rechte
Nach Maßgabe der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit die Voraussetzungen vorliegen, besteht ein Widerspruchsrecht, insbesondere bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO. Beruht eine Verarbeitung auf Einwilligung, kann diese mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Anfragen richten Sie bitte an die oben genannte Kontaktstelle. Sie können sich außerdem bei der Österreichischen Datenschutzbehörde beschweren: https://www.dsb.gv.at
11. Bereitstellung von Daten und automatisierte Entscheidungen
Für die Nutzung eines Kalenderkontos sind die erforderlichen Konto- und Berechtigungsdaten notwendig. Ohne diese Daten kann kein persönlicher Zugang bereitgestellt werden. Die Verknüpfung mit ID Austria ist freiwillig. Für die Nutzung der übrigen Funktionen gelten die jeweils eingerichteten Berechtigungen und Anmeldeverfahren.
Die Anwendung trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung und erstellt keine Profile zur Bewertung persönlicher Eigenschaften.