Datenschutzhinweise

Informationen nach Art. 13 DSGVO zur Verarbeitung personenbezogener Daten beim Review-Bidding des bakule symposiums im Projekt BaKuLe (Bamberger Kulturen der Lehre gemeinsam gestalten) der Universität Bamberg.

Verantwortliche Stelle

Fachlich verantwortlich für den Dienst ist die BaKuLe-Projektleitung: Prof. Dr. Stefan Hörmann (Vizepräsident für Lehre und Studierende) und Prof. Dr. Dominik Herrmann (Co-Projektleiter). Betreut wird der Dienst vom Projektkoordinationsteam: Prof. Dr. Julia Franz, Prof. Dr. Konstantin Lindner, Lorenz Mrohs (Leitender Koordinator) und Prof. Dr. Dominik Herrmann. Technisch betreibt ihn der Lehrstuhl für Privatsphäre und Sicherheit in Informationssystemen (Prof. Dr. Dominik Herrmann).

Datenschutzbeauftragter

Zwecke und Rechtsgrundlagen der Verarbeitung

Der Dienst verteilt die anonymisierten Einreichungen für das bakule symposium auf die Reviewer:innen. Sie geben an, wie gern sie eine Einreichung begutachten möchten (Bids). Das Projektkoordinationsteam berechnet daraus die Zuteilung und trägt sie in pretalx ein. Zur Anmeldung nutzen wir Links, die an Ihre E-Mail-Adresse gehen; ein Passwort gibt es nicht.

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. e DSGVO i. V. m. Art. 4 Abs. 1 BayDSG (Wahrnehmung einer Aufgabe im öffentlichen Interesse).

Welche Daten wir verarbeiten

• Reviewer:innen: Ihre E-Mail-Adresse (das Projektkoordinationsteam übernimmt sie aus der Reviewer-Liste), Ihre Bids je Einreichung mit Zeitpunkt der letzten Änderung, auf Wunsch eine Obergrenze für die Zahl der Reviews und ein Kommentar an die Organisation, der Zeitpunkt Ihrer letzten Anmeldung sowie die berechnete Zuteilung.
• Anmeldung und Sitzung: Vom einmaligen Anmelde-Link speichern wir nur einen Prüfwert (Hash), zusammen mit Ihrer Adresse. Ein Link gilt 30 Minuten und genau einmal. Danach gilt eine Sitzung 14 Tage; gespeichert werden ein Prüfwert der Sitzung, Ihre Adresse, Erstellungszeit und Ablaufzeit. Die Sitzung wird über ein Cookie gehalten (siehe unten). Zu Reviewer:innen speichern wir außerdem, wann der Eintrag angelegt wurde.
• Einreichungen: Code, Titel, Abstract, Literatur, Format und Themenfeld aus pretalx. Namen und Kontaktdaten der Autor:innen werden nicht importiert und nicht gespeichert (double-blind).
• Admins: Ihre Aktionen im Admin-Bereich werden mit Adresse und Zeitpunkt protokolliert (Nachvollziehbarkeit, IT-Sicherheit). Admins können die Zuteilung als CSV-Datei (Code, Titel, Adresse der Reviewer:in, Bid) auf ihr eigenes Gerät herunterladen; diese Datei liegt dann außerhalb des Dienstes.
• Missbrauchsschutz: Zum Schutz vor Massenanfragen zählen wir Anmeldeversuche je IP-Adresse und je E-Mail-Adresse. Dafür speichern wir nur Prüfwerte (Hashes) mit täglich wechselndem Schlüssel. Die Werte sind pseudonymisiert: Ohne den geheimen Schlüssel des Servers lässt sich die Adresse nicht daraus ermitteln. Sie werden bei der Bereinigung nach etwa 48 Stunden gelöscht.

Server-Logfiles

Bei jedem Zugriff auf dieses Angebot werden automatisch folgende Daten in Protokolldateien des vorgeschalteten Webservers gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und Ressourcen
• HTTP-Statuscode
• Übertragene Datenmenge
• Browser-Typ und -Version (User-Agent)
• Verweisende Seite (Referer)

Diese Daten werden zur Gewährleistung der IT-Sicherheit und Betriebsstabilität verarbeitet. Das Einmal-Token in Anmelde-Links (/login/…) wird im Protokoll durch einen Platzhalter ersetzt. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Die Protokolldateien werden spätestens nach 7 Tagen gelöscht; bei sicherheitsrelevanten Vorfällen kann eine längere Speicherung erfolgen. Der Dienst selbst speichert keine IP-Adressen und schreibt weder Anmelde-Links noch Mail-Inhalte in sein Protokoll.

Cookies und Tracking

Wir setzen genau ein Cookie (bidding_session), das technisch notwendig ist: Es hält Ihre Anmeldung (14 Tage), schützt die Formulare vor Fremdzugriff (CSRF-Schutz) und merkt sich die gewählte Sprache sowie kurze Rückmeldungen nach einem Formular. Es ist als „HttpOnly“, „Secure“ und „SameSite=Lax“ gekennzeichnet. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir setzen keine Analyse- oder Tracking-Werkzeuge ein und laden keine externen Ressourcen (Schriften, Skripte, Bilder).

E-Mail-Versand

Anmelde-Links und Erinnerungen an Reviewer:innen versenden wir über den Mailserver der Universität Bamberg. Eine Erinnerung nennt die Zahl Ihrer bisher vergebenen positiven Bids und die Frist. Mails an Adressen, die nicht freigeschaltet sind, werden nicht verschickt; die Antwort der Webseite ist in beiden Fällen dieselbe.

Empfänger

Ihre Bids, Ihre Obergrenze und Ihren Kommentar sehen die Admins, also das Projektkoordinationsteam. Andere Reviewer:innen sehen sie nicht. Die berechnete Zuteilung (Ihre E-Mail-Adresse und die Codes der Ihnen zugeteilten Einreichungen) wird in pretalx eingetragen, wo Sie als Reviewer:in ohnehin registriert sind. Das Symposium verwaltet Einreichungen und Begutachtungen mit dem gehosteten Dienst pretalx.com. Dessen Betreiber verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Darüber hinaus geben wir keine Daten weiter.

Speicherdauer

Nach Abschluss des Review-Verfahrens löschen wir Einreichungen, Bids, Kommentare, Zuteilungen und Reviewer-Adressen aus dem Dienst. Abgelaufene Anmelde-Links und Sitzungen sind sofort unbrauchbar und werden bei der regelmäßigen Bereinigung des Dienstes gelöscht. Von der Datenbank gibt es tägliche Sicherungen, die 14 Tage aufbewahrt werden; gelöschte Daten verschwinden dort spätestens nach dieser Frist. Das Protokoll der Admin-Aktionen (enthält u. a. Reviewer-Adressen) leert das Projektkoordinationsteam am Ende des Verfahrens. Hochgeladene Dateien werden nur für die Vorschau kurz in der Datenbank zwischengespeichert (ohne Autor:innen-Spalten) und bei der Bereinigung nach spätestens 6 Stunden gelöscht. Server-Logfiles: siehe oben (7 Tage).

Hosting

Dieses Angebot wird auf Infrastruktur der Otto-Friedrich-Universität Bamberg betrieben. Eine Übermittlung personenbezogener Daten in Drittländer findet nicht statt.

Ihre Rechte

Ihnen stehen gegenüber der Universität folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung der Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an den Datenschutzbeauftragten der Universität. Ihre Adresse brauchen wir, damit Sie sich anmelden können; ohne Bids können wir Ihre Wünsche bei der Zuteilung nicht berücksichtigen.

Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren:

Stand: November 2026