1. Überblick
Das Ernährungs- und Aktivitätsprotokoll ist eine Webanwendung der Deutschen Sporthochschule Köln, mit der Nutzer:innen im Rahmen von Studien ein mehrtägiges Aktivitäts- und Ernährungsprotokoll digital führen. Sie ersetzt den bisherigen Papierbogen. Das Fachpersonal der Hochschule wertet die Protokolle aus. Die Hochschule betreibt die Anwendung selbst. Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten beim Aufruf und bei der Nutzung der Anwendung verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und welche Rechte Sie haben.
Die Anwendung ist nicht öffentlich zugänglich. Ein Benutzerkonto erhalten Sie ausschließlich auf Einladung der Deutschen Sporthochschule Köln, entweder als Nutzer:in oder als Mitglied des Fachpersonals. Angaben, die sich auf eine konkrete Studie beziehen (Titel, Studienleitung, Ethikvotum, Aufbewahrungsfristen), erhalten Sie zusätzlich in der Teilnehmendeninformation und Einwilligungserklärung der jeweiligen Studie. Diese Datenschutzerklärung beschreibt die Anwendung als solche.
2. Verantwortliche Stelle
Verantwortlich für die Verarbeitung personenbezogener Daten im Ernährungs- und Aktivitätsprotokoll ist:
Deutsche Sporthochschule Köln Körperschaft des öffentlichen Rechts, vertreten durch den Rektor Am Sportpark Müngersdorf 6 50933 Köln Telefon: +49 221 4982-0 E-Mail: [EINTRAGEN: funktionale E-Mail-Adresse der durchführenden Einrichtung]
Durchführende Einrichtung innerhalb der Hochschule: [EINTRAGEN: Institut bzw. Abteilung, Ansprechperson der Studienleitung]
3. Datenschutzbeauftragte
Deutsche Sporthochschule Köln Die Datenschutzbeauftragte Am Sportpark Müngersdorf 6 50933 Köln E-Mail: datenschutz@dshs-koeln.de
4. Betrieb der Anwendung
Die Hochschule betreibt das Ernährungs- und Aktivitätsprotokoll in eigener Verantwortung. Für den technischen Betrieb nutzt sie Dienstleister, die ausschließlich in ihrem Auftrag und nach ihrer Weisung tätig sind (Auftragsverarbeiter, Art. 28 DSGVO): einen Anbieter für den Server, auf dem die Anwendung läuft, eine Datenbank- und Authentifizierungsplattform sowie einen Dienst für den Versand von System-E-Mails. Alle Dienstleister und die Orte der Verarbeitung sind in Abschnitt 15 aufgeführt.
Die Anwendung wurde von Kiebert Digital Solutions, Sebastian Kiebert, Hockenheim, im Auftrag der Hochschule entwickelt. Dieses Unternehmen betreibt die Anwendung nicht und hat keinen dauerhaften Zugriff auf Daten. Die Hochschule kann es fallweise für Einrichtung, Wartung und Fehlerbehebung hinzuziehen; auch dann handelt es im Auftrag und nach Weisung der Hochschule auf Grundlage einer Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) und ist zur Vertraulichkeit verpflichtet.
5. Aufruf der Anwendung: Server-Protokolldaten
Beim Aufruf jeder Seite übermittelt Ihr Browser technisch bedingt Daten an den Server, der die Anwendung ausliefert. Verarbeitet werden: IP-Adresse des aufrufenden Geräts, Datum und Uhrzeit des Aufrufs, aufgerufene Adresse (URL) und HTTP-Methode, HTTP-Statuscode, übertragene Datenmenge, Browsertyp und -version, Betriebssystem sowie gegebenenfalls die zuvor besuchte Seite (Referrer). Diese Daten werden in Server-Protokollen (Logfiles) gespeichert.
Zweck ist die Auslieferung der Anwendung, die Gewährleistung von Betriebssicherheit und Stabilität sowie die Erkennung und Abwehr von Angriffen und Fehlern. Eine Zusammenführung mit anderen Daten oder eine Auswertung zu Marketingzwecken findet nicht statt.
Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Verbindung mit § 3 Abs. 1 DSG NRW und § 3 HG NRW (Wahrnehmung der Aufgaben der Hochschule in Forschung und Lehre, hier: sicherer Betrieb der dafür eingesetzten IT).
Die Server-Protokolle werden nach [EINTRAGEN: z. B. 7] Tagen automatisch gelöscht. Der Server wird von der STRATO GmbH, Berlin, bereitgestellt und steht in einem Rechenzentrum in Deutschland. Die Anwendungs-Logs sind so gestaltet, dass sie keine Namen, E-Mail-Adressen oder Anmelde-Links enthalten.
6. Cookies und lokale Speicherung im Browser
Das Ernährungs- und Aktivitätsprotokoll verwendet ausschließlich technisch notwendige Cookies und Speicherfunktionen des Browsers. Es werden keine Cookies zu Analyse-, Tracking- oder Werbezwecken gesetzt, keine Inhalte von Drittanbietern nachgeladen und keine Schriftarten von externen Servern bezogen. Eine Einwilligung in Cookies ist deshalb nicht erforderlich; ein Cookie-Banner wird nicht angezeigt.
Im Einzelnen: – Anmelde-Cookie (Name beginnt mit „sb-" und endet auf „-auth-token", bei Bedarf aufgeteilt in mehrere Teile mit den Endungen „.0", „.1" usw.): enthält das Sitzungs-Token, mit dem Sie nach der Anmeldung als angemeldete Person erkannt werden. Es wird erst nach erfolgreicher Anmeldung gesetzt, beim Abmelden gelöscht und ist technisch auf eine Höchstdauer von 400 Tagen begrenzt. Ohne dieses Cookie ist eine Nutzung der Anwendung nicht möglich. – Lokaler Speicher (localStorage), Eintrag „mode-watcher-mode": speichert die Darstellungseinstellung hell/dunkel (Standardwert: Systemeinstellung Ihres Geräts), damit die Anwendung beim Laden ohne Flackern in der passenden Darstellung erscheint. Der Eintrag enthält keine personenbezogenen Daten und bleibt gespeichert, bis Sie die Website-Daten in Ihrem Browser löschen.
Rechtsgrundlage für das Speichern und Auslesen dieser Informationen auf Ihrem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten digitalen Dienst bereitzustellen). Für die anschließende Verarbeitung der Sitzungsdaten gelten die Rechtsgrundlagen der Abschnitte 8 und 13.
7. Zugang nur auf Einladung
Eine Selbstregistrierung ist nicht möglich. Das Fachpersonal lädt Nutzer:innen per E-Mail ein; die Administration der Hochschule lädt das Fachpersonal ein. Die E-Mail-Adresse, an die die Einladung geht, wird dafür vom einladenden Personal eingegeben und im Authentifizierungssystem gespeichert. Nach Annahme der Einladung ist die E-Mail-Adresse von Nutzer:innen für Fachpersonal und Administration in der Anwendung nicht mehr sichtbar. Offene Einladungen können vom einladenden Personal erneut versendet oder widerrufen werden.
8. Benutzerkonto und Anmeldung
Für jedes Konto werden verarbeitet: E-Mail-Adresse; Passwort (ausschließlich als kryptografischer Hash, das Passwort selbst wird nicht gespeichert); Rolle (Nutzer:in, Fachpersonal oder Administration); Zeitpunkte von Einladung, Kontoerstellung und letzter Anmeldung; Zugehörigkeit zu Studienprojekten; ein Sperrvermerk, falls ein Konto gesperrt wird; sowie ein automatisch erzeugter Teilnehmercode aus 10 Zeichen, der Sie in der Anwendung gegenüber dem Fachpersonal pseudonym kennzeichnet. Bei Nutzer:innen wird zusätzlich festgehalten, ob die Anleitung zur Protokollführung bestätigt wurde.
Zu jeder aktiven Anmeldesitzung speichert das Authentifizierungssystem außerdem den Zeitpunkt, die IP-Adresse und die Browserkennung (User-Agent), mit der die Sitzung aufgebaut wurde. Anmeldevorgänge (Einladung, Anmeldung, Passwortänderung, Abmeldung) werden in einem Authentifizierungsprotokoll mit Zeitpunkt und IP-Adresse festgehalten. Diese Daten dienen der Sicherheit der Konten, etwa der Erkennung missbräuchlicher Anmeldeversuche, und werden nicht zu anderen Zwecken ausgewertet.
Zwecke: Bereitstellung eines persönlichen, zugriffsgeschützten Kontos; Zuordnung Ihrer Eingaben zu Ihrem Konto bzw. Teilnehmercode; Schutz der Anwendung vor unbefugtem Zugriff.
Rechtsgrundlage: Für Nutzer:innen ist das Benutzerkonto Bestandteil der Studienteilnahme und beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO), siehe Abschnitt 10. Für Fachpersonal und Administration beruht die Verarbeitung auf Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Verbindung mit § 3 Abs. 1 DSG NRW, § 3 HG NRW und § 18 Abs. 1 DSG NRW (Datenverarbeitung im Beschäftigungskontext), siehe Abschnitt 13.
Speicherdauer: Kontodaten werden bis zur Löschung oder Anonymisierung des Kontos gespeichert (Abschnitt 17). Sitzungsdaten werden beim Abmelden sowie bei Löschung oder Anonymisierung des Kontos entfernt. Einträge des Authentifizierungsprotokolls werden nach [EINTRAGEN: z. B. 90] Tagen gelöscht.
9. E-Mail-Versand
Die Anwendung versendet ausschließlich systembedingte E-Mails: Einladungen, Links zum Zurücksetzen des Passworts und Anmelde-Links. Newsletter oder Werbung werden nicht versendet. Absenderadresse ist [EINTRAGEN: Absenderadresse der System-E-Mails, z. B. noreply@ … der Hochschule]. Verarbeitet werden Ihre E-Mail-Adresse, Betreff und Inhalt der jeweiligen System-E-Mail (einschließlich eines zeitlich begrenzt gültigen, personalisierten Links) sowie Zustellinformationen (Zeitpunkt, Zustellstatus).
Für den Versand nutzt die Hochschule den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiter. Resend speichert E-Mail-Adresse, Inhalt und Zustellprotokoll der versendeten Nachrichten für 30 Tage in den USA. Zur Drittlandübermittlung siehe Abschnitt 15.
Rechtsgrundlage: Der E-Mail-Versand ist notwendiger Bestandteil des Benutzerkontos und teilt dessen Rechtsgrundlage (Abschnitt 8).
10. Studienteilnahme: Einwilligung
Vor der ersten Nutzung als Nutzer:in müssen Sie in der Anwendung aktiv in die Verarbeitung Ihrer Daten für die Studie einwilligen; ohne Einwilligung ist nur das Abmelden möglich. Den vollständigen Einwilligungstext sehen Sie vor Ihrer Entscheidung in der Anwendung; er wird von der Deutschen Sporthochschule Köln für die jeweilige Studie freigegeben. Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) speichert die Anwendung den Zeitpunkt der Einwilligung und die Versionskennung des Textes, dem Sie zugestimmt haben. Wird der Einwilligungstext geändert, werden Sie bei der nächsten Anmeldung erneut um Ihre Einwilligung gebeten.
Die Teilnahme ist freiwillig. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Was mit Ihren Daten nach einem Widerruf geschieht, beschreibt Abschnitt 17.
11. Studienteilnahme: welche Daten erfasst werden
Als Nutzer:in geben Sie im Rahmen der Studie folgende Daten in die Anwendung ein oder das Fachpersonal hinterlegt sie für Sie: – Identitätsdaten: Vorname, Nachname und Geburtsdatum. Diese Angaben werden getrennt von den Protokolldaten gespeichert und sind in der Anwendung nur für Sie selbst einsehbar (Abschnitt 12). Aus dem Geburtsdatum berechnet die Anwendung zusätzlich Ihr Alter in Jahren zu Beginn eines Protokolls; in die Stammdaten wird nur dieses Alter übernommen, nicht das Geburtsdatum. – Stammdaten zur Protokollzuweisung: Körpergröße und Körpergewicht, die Sie einmal zu Beginn des Protokolls selbst angeben und bis zur Abgabe korrigieren können; Ihr Alter in Jahren zu Beginn des Protokolls (berechnet aus dem Geburtsdatum, siehe oben); sowie Sportart, Kaderstatus und Startdatum des Protokolls, die das Fachpersonal hinterlegt. – Protokolldaten: körperliche Aktivitäten mit Dauer und gegebenenfalls Uhrzeit; Ernährung mit Lebensmitteln, Mengen, Einheiten, Mahlzeit und gegebenenfalls Uhrzeit; eingenommene Supplemente; von Ihnen selbst angelegte Lebensmittel oder Aktivitäten; freiwillige Notizen zu einzelnen Einträgen; ein freiwilliger Freitext-Kommentar bei der Abgabe des Protokolls, sofern diese Funktion freigeschaltet ist; sowie die Zeitpunkte, zu denen Sie Protokolltage abgeschlossen und das Protokoll abgegeben haben.
Ein Geschlecht wird nicht erfasst.
Angaben zu Körpergewicht, Ernährung, Supplementen und Trainingsumfang sind Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO und damit besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ihre Verarbeitung erfolgt nur auf Grundlage Ihrer ausdrücklichen Einwilligung.
Bitte tragen Sie in Freitextfelder (Notizen, Kommentar, Bezeichnungen eigener Lebensmittel oder Aktivitäten) keine Namen oder sonstigen Angaben zu anderen Personen ein.
Zweck: Durchführung der wissenschaftlichen Studie, in die Sie eingewilligt haben, insbesondere die Erhebung und Auswertung Ihres Aktivitäts- und Ernährungsverhaltens im Protokollzeitraum. Die Auswertung erfolgt durch das Fachpersonal der Deutschen Sporthochschule Köln; hierfür können die Protokolldaten unter Ihrem Teilnehmercode als Datei (CSV) exportiert und mit hochschulinterner Auswertungssoftware verarbeitet werden.
Rechtsgrundlage: Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO und, für Gesundheitsdaten, Art. 9 Abs. 2 lit. a DSGVO (Einwilligung).
12. Pseudonymisierung: wer welche Daten sieht
Die Anwendung ist so gebaut, dass das Fachpersonal für seine Arbeit Ihren Namen nicht benötigt und ihn auch nicht sehen kann: – Sie selbst sehen alle Ihre Daten einschließlich Name, Geburtsdatum und Teilnehmercode. – Das Fachpersonal der Studienprojekte, denen Sie zugeordnet sind, sieht Ihre Stamm- und Protokolldaten ausschließlich unter Ihrem Teilnehmercode. Name, Geburtsdatum und E-Mail-Adresse sind für das Fachpersonal technisch nicht abrufbar; die Zugriffsbeschränkung ist in der Datenbank selbst verankert (Row-Level Security) und nicht nur in der Oberfläche. – Die Administration der Hochschule verwaltet Konten und hat projektübergreifend die Sicht des Fachpersonals, ebenfalls ohne Namen, Geburtsdaten oder E-Mail-Adressen von Nutzer:innen. – Exporte für die Auswertung enthalten ausschließlich den Teilnehmercode, niemals Namen. – Die Administrierenden der Hochschule, die die Datenbankverwaltung betreuen, können technisch auf alle Daten zugreifen; dieser Zugriff ist auf Betrieb und Wartung beschränkt. Dasselbe gilt, wenn die Hochschule fallweise den externen Dienstleister aus Abschnitt 4 hinzuzieht.
Wichtig für Ihr Verständnis: Es handelt sich um eine Pseudonymisierung, nicht um eine Anonymisierung. Solange eine Zuordnung zwischen Teilnehmercode und Person besteht, sei es in der Anwendung selbst oder in Unterlagen der Studienleitung, bleiben die Daten personenbezogen. In kleinen Studiengruppen kann zudem die Kombination aus Sportart, Kaderstatus und Alter Rückschlüsse auf einzelne Personen zulassen. Diese Merkmale sind Bestandteil der Forschungsfragestellung und werden deshalb erhoben.
13. Konten des Fachpersonals und der Administration
Für Mitglieder des Fachpersonals und der Administration werden neben den Kontodaten aus Abschnitt 8 ein Anzeigename (Vor- und Nachname) sowie die Zuordnung zu Studienprojekten gespeichert. Der Anzeigename ist für alle anderen Mitglieder des Fachpersonals und der Administration sichtbar, damit Konten einander zugeordnet werden können; für Nutzer:innen ist er nicht abrufbar. Außerdem wird festgehalten, welches Personalkonto Protokollvorlagen erstellt, Protokolle zugewiesen oder Mitglieder zu Projekten hinzugefügt hat.
Zweck ist die Organisation und Nachvollziehbarkeit der Studiendurchführung. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Verbindung mit § 3 Abs. 1 DSG NRW und § 3 HG NRW sowie § 18 Abs. 1 DSG NRW. Der Anzeigename wird gelöscht, wenn das Konto gelöscht oder die Rolle auf „Nutzer:in" geändert wird; Bearbeitungsvermerke an Vorlagen und Zuweisungen bleiben nach Löschung des Kontos ohne Personenbezug erhalten.
14. Kontaktaufnahme
Wenn Sie sich per E-Mail an die Studienleitung, die Datenschutzbeauftragte oder den technischen Support der Hochschule wenden, werden Ihre Angaben (E-Mail-Adresse, Inhalt, Zeitpunkt) zur Bearbeitung Ihres Anliegens verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Verbindung mit § 3 Abs. 1 DSG NRW; bei Anfragen zu Ihren Rechten Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO in Verbindung mit Art. 12 ff. DSGVO. Die Korrespondenz wird gelöscht, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
15. Empfänger, Auftragsverarbeiter und Drittlandübermittlung
Innerhalb der Hochschule erhalten nur das Fachpersonal der Projekte, denen Sie zugeordnet sind, die Administration und die mit dem Betrieb betrauten Administrierenden Zugriff (Abschnitt 12). Eine Weitergabe an sonstige Dritte findet nicht statt, es sei denn, die Hochschule ist gesetzlich dazu verpflichtet. Eine Nutzung zu Werbezwecken oder ein Verkauf von Daten ist ausgeschlossen.
Für den technischen Betrieb setzt die Hochschule folgende Auftragsverarbeiter (Art. 28 DSGVO) ein: – STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Deutschland): Bereitstellung des Servers, auf dem die Anwendung läuft. Rechenzentren ausschließlich in Deutschland. – Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513: Datenbank, Authentifizierung und tägliche Datensicherung. Die Daten werden in der Region Frankfurt am Main (Deutschland) auf Infrastruktur der Amazon Web Services, Inc. gespeichert. Unterauftragsverarbeiter von Supabase sind insbesondere Amazon Web Services, Inc. (Hosting) und Supabase, Inc. (USA, Supportleistungen). – Plus Five Five, Inc. (Resend), San Francisco (USA): Versand der System-E-Mails (Abschnitt 9). – Kiebert Digital Solutions, Sebastian Kiebert, Hockenheim (Deutschland): fallweise Einrichtung, Wartung und Fehlerbehebung im Auftrag der Hochschule (Abschnitt 4), ohne dauerhaften Datenzugriff.
Mit allen genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung.
Drittlandübermittlung: Die Speicherung Ihrer Daten erfolgt in Deutschland. In folgenden Fällen ist eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums möglich: – Supabase Pte. Ltd. hat ihren Sitz in Singapur; im Rahmen von Support und Plattformbetrieb kann Personal von Supabase Pte. Ltd. und Supabase, Inc. (USA) auf Daten zugreifen. Grundlage sind die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, Module 2 und 3), ergänzt um eine dokumentierte Bewertung der Rechtslage in den Empfängerländern (Transfer Impact Assessment). – Der E-Mail-Versand über Resend findet in den USA statt; dort werden E-Mail-Adresse, Inhalt und Zustellprotokoll für 30 Tage gespeichert. Die Plus Five Five, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Eine Kopie der Standardvertragsklauseln können Sie über die Datenschutzbeauftragte anfordern.
16. Speicherdauer
– Server-Protokolle: [EINTRAGEN: z. B. 7] Tage (Abschnitt 5). – Authentifizierungsprotokoll: [EINTRAGEN: z. B. 90] Tage (Abschnitt 8). – E-Mail-Zustellprotokolle bei Resend: 30 Tage (Abschnitt 9). – Kontodaten, Identitätsdaten und Einwilligungsnachweis: bis zur Löschung oder Anonymisierung des Kontos (Abschnitt 17). Der Einwilligungsnachweis wird darüber hinaus so lange aufbewahrt, wie die auf die Einwilligung gestützte Verarbeitung andauert und ein Nachweis erforderlich sein kann. – Protokoll- und Stammdaten (Forschungsdaten): [EINTRAGEN: Aufbewahrungsfrist laut Studienplan bzw. Teilnehmendeninformation, z. B. 10 Jahre nach Abschluss der Studie entsprechend den Leitlinien zur Sicherung guter wissenschaftlicher Praxis]. Danach werden die Daten gelöscht oder anonymisiert. – Datensicherungen: Die Datenbank wird täglich gesichert; Sicherungen werden 7 Tage aufbewahrt und danach automatisch überschrieben. Gelöschte oder anonymisierte Daten können daher bis zu 7 Tage in Sicherungen fortbestehen. Sicherungen werden ausschließlich zur Wiederherstellung nach einem technischen Ausfall verwendet.
17. Widerruf, Anonymisierung und Löschung
Wenn Sie Ihre Einwilligung widerrufen oder aus der Studie ausscheiden, wenden Sie sich an die Studienleitung (Kontakt in Abschnitt 2 und in Ihrer Teilnehmendeninformation). Die Anwendung sieht dafür zwei Wege vor: – Anonymisierung: Name, Geburtsdatum, E-Mail-Adresse und Passwort werden gelöscht, das Konto wird dauerhaft gesperrt und alle Anmeldesitzungen werden beendet. Die bereits erhobenen Protokoll- und Stammdaten verbleiben unter dem Teilnehmercode im Datenbestand der Studie, sofern die Teilnehmendeninformation dies vorsieht und eine Löschung die Ziele der Studie voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen würde (Art. 17 Abs. 3 lit. d DSGVO). – Vollständige Löschung: Sämtliche Daten einschließlich der Protokolldaten werden unwiderruflich gelöscht.
Welcher Weg gilt, richtet sich nach Ihrer Erklärung und den Festlegungen der jeweiligen Studie. In beiden Fällen kann eine Zuordnung Ihres Teilnehmercodes zu Ihrer Person, die außerhalb der Anwendung besteht (etwa in Unterlagen der Studienleitung), nur durch die Studienleitung selbst beseitigt werden.
18. Ihre Rechte
Sie haben gegenüber der Deutschen Sporthochschule Köln folgende Rechte: – Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO), – Berichtigung unrichtiger Daten (Art. 16 DSGVO); Name und Geburtsdatum können Sie selbst in der Anwendung unter „Konto" ändern, – Löschung (Art. 17 DSGVO), – Einschränkung der Verarbeitung (Art. 18 DSGVO), – Datenübertragbarkeit (Art. 20 DSGVO), soweit die Verarbeitung auf Ihrer Einwilligung beruht, – Widerspruch gegen eine Verarbeitung, die auf Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO beruht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO), – Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Soweit Daten zu wissenschaftlichen Forschungszwecken verarbeitet werden, können die Rechte auf Auskunft, Berichtigung, Einschränkung und Widerspruch nach § 17 Abs. 5 DSG NRW eingeschränkt sein, wenn ihre Wahrnehmung die Forschungszwecke voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen würde und die Einschränkung dafür notwendig ist.
Zur Wahrnehmung Ihrer Rechte wenden Sie sich an die Studienleitung oder an die Datenschutzbeauftragte (Abschnitte 2 und 3). Bitte nennen Sie dabei Ihren Teilnehmercode, damit Ihr Anliegen ohne Umwege zugeordnet werden kann.
19. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für die Deutsche Sporthochschule Köln zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2–4 40213 Düsseldorf Postfach 20 04 44, 40102 Düsseldorf Telefon: +49 211 38424-0 E-Mail: poststelle@ldi.nrw.de
20. Freiwilligkeit der Angaben
Die Teilnahme an der Studie und damit die Bereitstellung Ihrer Daten ist freiwillig; es besteht keine gesetzliche oder vertragliche Pflicht dazu. Ohne die in den Abschnitten 8, 10 und 11 genannten Daten kann die Anwendung jedoch nicht genutzt und die Studienteilnahme nicht durchgeführt werden. Aus einer Nichtteilnahme oder einem Widerruf entstehen Ihnen keine Nachteile in Studium oder Training. Für das Fachpersonal ergibt sich die Nutzung der Anwendung aus den dienstlichen Aufgaben.
21. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Automatische Plausibilitätsprüfungen in der Anwendung (etwa der Hinweis, dass die Aktivitäten eines Tages nicht 24 Stunden ergeben) dienen ausschließlich der Vollständigkeit Ihrer Eingaben und haben keine rechtliche oder vergleichbare Wirkung.
22. Datensicherheit
Die Übertragung zwischen Ihrem Browser, dem Anwendungsserver und der Datenbank erfolgt ausschließlich verschlüsselt (TLS/HTTPS). Passwörter werden nur als Hash gespeichert. Die Datenbank bei Supabase ist im Ruhezustand verschlüsselt. Zugriffsrechte sind auf Datenbankebene je Datensatz durchgesetzt (Row-Level Security) und werden automatisiert getestet. Identitätsdaten von Nutzer:innen werden getrennt von den Protokolldaten gespeichert. Der Zugriff auf die Verwaltungsoberflächen der Infrastruktur ist auf die zuständigen Administrierenden der Hochschule beschränkt.
23. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung wird angepasst, wenn sich die Anwendung, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist jederzeit ohne Anmeldung unter [EINTRAGEN: Internetadresse der Anwendung]/datenschutz abrufbar; das Datum des Standes finden Sie am Anfang dieser Erklärung.