Informationen zur Verarbeitung von personenbezogenen Daten auf der Lernplattform Moodle der Hochschule für Wirtschaft & Gesellschaft des BFI Wien sowie der EEC der HWG des BFI Wien GmbH

Verantwortliche für die Datenverarbeitung

Verantwortliche für die Datenverarbeitung auf der Lernplattform Moodle ist die Hochschule für Angewandte Wissenschaft für Wirtschaft und Gesellschaft des BFI Wien (in der Folge kurz „HWG“ genannt), Wohlmutstraße 22, 1020 Wien, datenschutz@hwg.at. Externer Datenschutzbeauftragter ist Leopold Aichinger, der über die Datenschutz-Adresse der HWG erreichbar ist.

Bei Datenverarbeitungen, die im Rahmen der Lehre in den Bereich der Weiterbildung fallen, können die EEC der HWG des BFI Wien GmbH (in der Folge kurz „EEC“ genannt), Wohlmutstraße 22, 1020 Wien, datenschutz@hwg.at , und die HWG gegebenenfalls als gemeinsame Verantwortliche gemäß Art 26 DSGVO agieren, wobei sämtliche Verpflichtungen im Rahmen gemeinsamer Verantwortlichkeit die HWG wahrnimmt.

Zwecke und Rechtsgrundlagen der Datenverarbeitung

Die Lernplattform Moodle wird Lehrenden, Mitarbeiter:innen sowie Studierenden, Bewerber:innen und externen Nutzer:innen der HWG und EEC zur Verfügung gestellt. Die Lernplattform wird von dem von der HWG beauftragten Unternehmen eDaktik GmbH, Möhringgasse 20/5a, 1150 Wien, in Zusammenarbeit mit der IT-Abteilung und dem Teaching & Learning Center der HWG betrieben und gewartet.

Für die Authentifizierung in Moodle werden die Accounts des zentralen User Management Systems (Active Directory) der HWG verwendet. Die Accountdaten und dazugehörigen personenbezogenen Daten werden im Active Directory für die Nutzer:innen der HWG und EEC verwaltet. Die Passwörter werden daher nicht in Moodle gespeichert, Accountdaten von Bewerber:innen und externen Nutzer:innen werden in Moodle gespeichert.

Lehrende, Studierende und Mitarbeiter:innen werden in Moodle für die entsprechenden Lehrveranstaltungen/Kurse gemäß Angaben des HWG User Accounts in Ihren Rollen als Trainer:in oder Teilnehmer:in automatisch gespeichert. Bewerber:innen und externe Nutzer:innen werden manuell mit Angabe des Namens und der E-Mail-Adresse in Kurse eingeschrieben.

Im Rahmen von Bewerbung, Studium und Lehre erfolgt die Datenverarbeitung zum Zweck der zur Verfügungstellung und Prüfung des vermittelten Lehrinhalts sowie der Gewährleistung des Studienerfolgs.

Rechtsgrundlage bei der Prüfungsdurchführung sind überwiegende berechtigte Interessen der HWG und EEC (Art 6 Abs 1 lit f DSGVO), die in der Erfüllung des Bildungsauftrages und Erreichung der Qualifikationsziele des Studiums durch Nutzung zeitgemäßer Medien zum Ausdruck kommen. Rechtsgrundlage beim Identitätsnachweis und der Online Prüfungsaufsicht ist die Erfüllung der rechtlichen Verpflichtung der HWG und EEC (Art 6 Abs 1 lit c DSGVO iVm §§ 13a und 20 FHG).

Für Mitarbeiter:innen erfolgt die Datenverarbeitung zum Zweck der Zurverfügungstellung relevanter betrieblicher Informationen und zum Nachweis der Kompetenzerlangung in einzelnen Wissensgebieten. Rechtsgrundlage ist die Erfüllung rechtlicher Verpflichtungen der HWG und EEC (Art 6 Abs 1 lit c DSGVO) sowie überwiegend berechtigte Interessen (Art 6 Abs 1 lit f DSGVO).

Die Verarbeitung personenbezogener Daten externer Nutzer:innen erfolgt im Rahmen des jeweiligen Auftrags. Rechtsgrundlage ist die vertragliche Basis sowie überwiegende berechtigte Interessen der HWG und EEC (Art 6 Abs 1 lit b und f DSGVO).

Datenarten

Daten, die vor dem Login auf der Lernplattform erhoben werden

Bereits beim Zugriff auf die Lernplattform über einen Webbrowser werden Daten an uns übertragen bzw. von uns erfasst. Diese Zugriffsdaten werden in sogenannten Serverlogs gespeichert und von Ihrem Browser automatisch an uns übermittelt. Das ist erforderlich, um den ordnungsgemäßen Betrieb der Lernplattform zu gewährleisten, Schwachstellen aufzudecken, Ressourcenmangel rechtzeitig zu erkennen und zu beheben sowie einen Missbrauch der Serverressourcen rechtzeitig zu identifizieren.

Zu den verarbeiteten Zugriffsdaten gehören: Name der abgerufenen Website, verwendeter Browsertyp und -version, verwendetes Betriebssystem der Besucher:innen, zuvor besuchte Seite der Besucher:innen (Referrer-URL), Uhrzeit der Serveranfrage, übertragene Datenmenge, Hostname des zugreifenden Rechners bzw. verwendete IP-Adresse.

Die Verarbeitung dieser Daten erfolgt im Rahmen des berechtigten Interesses der HWG bzw. EEC (Art 6 Abs 1 lit. f DSGVO). Diese Daten werden generell nicht an Dritte weitergegeben, außer im Falle eines vermuteten Angriffs oder illegalen Zugriffs. In solchen Fällen können die Logdaten zur Klärung und Verfolgung von Straftaten an technische Fachleute und Sicherheitsbehörden weitergeleitet werden.

a) Daten, die während bzw. nach dem Login erhoben werden

Um einen personalisierten Account für die Lernplattform zu erstellen, werden folgende Daten verarbeitet: Vorname, Nachname, E-Mail-Adresse, Profilfoto (Nutzerbild), persönliche Beschreibung (Jobtitle), Stadt. Weitere Daten können Sie auf Ihren Wunsch hin (freiwillig) in Ihrem Profil ergänzen, dazu zählen z.B. persönliche Beschreibung, Bildbeschreibung zum Nutzerbild, weitere Namen (Vorname, Nachname, mittlerer Name, Pseudonym), persönliche Interessen, Institution, Abteilung, Telefon-Nummer, Smartphone-Nummer, Adresse, Stadt.

Bei der Verwaltung und Betreuung der Lernplattform werden zudem folgende Daten verarbeitet: ausgewählte Sprache, Rolle der Teilnehmenden, erster bzw. letzter Zugriff auf die Lernplattform, Informationen zu Bewertungen (Bewertungen/Bewertungsübersicht), aktive Browsersessions inkl. IP-Adresse, Lehrgang / Kurs, Status im Lehrgang / Kurs, Zeitzone, Login, Aktivität auf Lernplattform, Uhrzeit der Serveranfrage, übertragene Datenmenge, MoodleNet-Profil-ID, Anmeldename, Logdaten, Abgaben von Aufgaben / Bewertungen, Kommunikation über die Werkzeuge, die in der Lernplattform enthalten sind. Die Verarbeitung der Daten, die während bzw. nach dem Login erhoben werden, erfolgen aufgrund Ihrer Einwilligung sowie aufgrund rechtlicher Verpflichtungen der HWG bzw. EEC und stützen wir auf die Rechtsgrundlagen Art 6 Abs 1 lit a und lit. c DSGVO.

b) Moodle-Learning Analytics

Auf der Lernplattform Moodle wird Learning Analytics verwendet, um Informationen über die Nutzung und den Lernerfolg der Teilnehmenden zu sammeln. Dabei werden Daten über Aktivitäten von Lernenden in der Plattform, wie beispielsweise Klicks auf Lernmaterialien, Uploads und erreichte Punkte, die in der Lernplattform standardmäßig in Logdaten erfasst werden, ausgewertet und dargestellt. Diese Informationen werden dazu verwendet, um personalisierte Lernempfehlungen und Unterstützung anzubieten sowie die Qualität des Lehrangebots zu verbessern. Alle Daten, die im Rahmen von Learning Analytics erhoben werden, unterliegen strengen Datenschutzbestimmungen und werden gemäß der Trusted Learning Analytics-Richtlinie der HWG vertraulich behandelt.

c) Cookies auf Moodle

Beim Besuch der Moodle-Seite werden Cookies gesetzt. Cookies sind kleine Textdateien, die in Ihrem Browser abgelegt werden. Es gibt zwei Arten von Cookies, die auf der Lernplattform verwendet werden:

• MoodleSession (Sitzungscookie): Dieses Cookie muss erlaubt sein, damit Sie in Moodle von Seite zu Seite angemeldet bleiben. Beim Abmelden oder beim Beenden des Webbrowsers wird das Cookie automatisch gelöscht (im Browser und auf dem Server).
• MoodleID (persistentes Cookie): Dieses Cookie dient der Bequemlichkeit und speichert Ihren Anmeldenamen im Webbrowser und bleibt auch nach dem Abmelden erhalten. Beim nächsten Besuch der Website ist Ihr Anmeldename dann bereits für die Anmeldung eingetragen. Dieses Cookie können Sie verbieten, müssen dann aber Ihren Anmeldenamen immer neu eingeben.

Viele Webbrowser lassen sich so konfigurieren, dass Cookies beim Schließen des Programms von selbst gelöscht werden. Sie können in Ihrem Browser die gesetzten Cookies einsehen, überwachen oder unterbinden. Ein generelles Verbot von Cookies für unsere Lernplattform ist jedoch nicht möglich, da beim erfolgreichen Login ein Sitzungscookie gesetzt wird.

Empfänger:innen Ihrer personenbezogenen Daten

Die von Ihnen mitgeteilten Daten werden durch Mitarbeiter:innen der HWG und EEC verarbeitet. Eine Weitergabe an Auftragsverarbeiter:innen erfolgt zur Erfüllung gesetzlicher Verpflichtungen der HWG/EEC. Wir gewährleisten dabei, dass die Übermittlung Ihrer Daten unter Wahrung der geltenden datenschutzrechtlichen Bestimmungen erfolgt.

Ihre personenbezogenen Daten werden im Zusammenhang mit der Nutzung der Lernplattform an folgende Auftragsverarbeiter:innen übermittelt:

• Moodle; die Plattform wird von der eDaktik GmbH, Möhringgasse 20/5a, 1150 Wien, und der HWG betrieben und gewartet.
• Microsoft Office 365; das Hosting erfolgt vorwiegend innerhalb der Europäischen Union entsprechend dem europäischen Datenschutzrecht. Einzelne Dienstleistungen und technischer Support können auch außerhalb der Europäischen Union bereitgestellt werden. Einzelne Ihrer Profildaten können daher auch in den USA gespeichert werden.
• OpenAI, USA: Der „OpenAI Chatblock“ wird genutzt und über eine API Schnittstelle zu OpenAI betrieben. Bei der Nutzung werden die Moodle User-ID, der Inhalt der Chatanfrage (prompt), die Antwort der KI und der Nutzungszeitpunkt an OpenAI weitergegeben.
• Integration von Social Plugins:
  • YouTube: Im Falle von eingebetteten YouTube-Videos können von YouTube auf dem von Ihnen genutzten Endgerät Cookies gesetzt werden, die YouTube eine Analyse des Nutzungsverhaltens zu Marktforschungs- und Marketing-Zwecken ermöglichen kann. YouTube ist ein Tochterunternehmen von Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. In welcher Weise YouTube Daten für eigene Zwecke verwendet, in welchem Umfang Aktivitäten einzelnen Nutzer:innen zugeordnet werden, wie lange diese Daten gespeichert und ob Daten an Dritte weitergegeben werden, wird nicht abschließend und klar benannt und ist uns nicht bekannt. Eine Datenübermittlung in Länder außerhalb der EU, wie in die USA, ist grundsätzlich möglich.

Bei Datenübertragung an ein Drittland: Wir weisen darauf hin, dass das Datenschutzniveau außerhalb der EU und des EWR nicht dem Niveau der Europäischen Union entspricht. Es besteht das Risiko, dass Ihre Daten z.B. von US-Behörden zu Kontroll- und Überwachungszwecken verarbeitet werden können, ohne dass Ihnen unter Umständen Rechtsbehelfsmöglichkeiten zur Verfügung stehen. Ausreichende Garantien für ein angemessenes Datenschutzniveau liegen durch vereinbarte Standardvertragsklauseln vor.

Die Europäische Kommission hat am 10.07.2023 einen Angemessenheitsbeschluss zum Data Privacy Framework (Datenschutzabkommen zwischen EU und USA) gefasst. Wenn sich Anbieter in den USA gemäß dieser Datenschutzvorgaben (die unter anderem den Datenzugang der US-Behörden beschränken und Rechtsschutz für EU-Bürger:innen einräumen) zertifizieren, wird grundsätzlich ein angemessenes Datenschutzniveau für Datenübermittlungen gewährleistet. Welche Anbieter in der Liste aufgenommen sind, kann hier überprüft werden: https://www.dataprivacyframework.gov/s/participant-search. Microsoft und Google haben sich dieser Selbstzertifizierung unterzogen. Die Datenübermittlung kann daher auf den Angemessenheitsbeschluss zum Data Privacy Framework als gültige Rechtsgrundlage für Datenübermittlungen in die USA gestützt werden. Weiters gelten darüber hinaus die Standardvertragsklauseln und zusätzliche durch Microsoft und Google zugesicherte technisch-organisatorische Maßnahmen. Weitere Informationen zur Datenverarbeitung sind der Datenschutzerklärung von Microsoft (https://privacy.microsoft.com/dede/privacystatement) und Google (https://policies.google.com/privacy bzw. https://policies.google.com/technologies/types?hl=de) zu entnehmen.

Dauer der Speicherung Ihrer personenbezogenen Daten

Je nach Art der Datenverarbeitung speichern wir Ihre personenbezogenen Daten zwischen 6 Monate ab Bekanntgabe der Beurteilung (§ 13 Abs 6 und 7 FHG) bzw. bis zu 80 Jahre betreffend die in § 53 UG genannten Daten, jedenfalls bis zum Ablauf von Verjährungsfristen potentieller Rechtsansprüche oder so lange, wie dies gesetzliche Aufbewahrungspflichten erfordern.

Ihre Rechte als Betroffene:r

Nach der geltenden Rechtslage haben Sie betreffend Ihrer personenbezogenen Daten das Recht

• auf Auskunft, Berichtigung oder Löschung, Einschränkung der Verarbeitung und Widerspruch. Diese Rechte können bei der HWG geltend gemacht werden.
• auf Beschwerde, welches bei der zuständigen Aufsichtsbehörde (in Österreich: Österreichische Datenschutzbehörde) geltend gemacht werden kann.

Kontaktmöglichkeit

Hochschule für Wirtschaft und Gesellschaft des BFI Wien

Anschrift: Wohlmutstraße 22, 1020 Wien

Telefon: +43-1-7201286

E-Mail: datenschutz@hwg.at

Information on the processing of personal data on the Moodle learning platform of the of the UAS for Business & Society BFI Vienna and EEC of UAS for Business & Society BFI Vienna

Controller of data processing

The controller responsible for data processing on the Moodle learning platform is the UAS for Business & Society BFI Vienna (hereinafter referred to as "UAS"), Wohlmutstraße 22, 1020 Vienna, Austria, datenschutz@hwg.at. The external Data Protection Officer is Leopold Aichinger, who can be contacted via the UAS's data protection email address.

Where data processing takes place in the context of teaching activities related to continuing education, EEC of UAS for Business & Society BFI Vienna (hereinafter referred to as "EEC"), Wohlmutstraße 22, 1020 Vienna, Austria, datenschutz@hwg.at, and UAS may act as joint controllers pursuant to Article 26 of the General Data Protection Regulation (GDPR). In such cases, UAS assumes all obligations arising from joint controllership.

Purposes and legal bases of data processing

The Moodle learning platform is made available to teaching staff, employees, students, applicants and external users of UAS and EEC. The learning platform is operated and maintained by eDaktik GmbH, Möhringgasse 20/5a, 1150 Vienna, Austria, a company commissioned by UAS, in cooperation with the UAS IT Department and the Teaching & Learning Center.

Authentication in Moodle is carried out using accounts from UAS‘s central User Management System (Active Directory). Account information and associated personal data are managed in Active Directory for UAS and EEC users. Passwords are therefore not stored in Moodle. Account information for applicants and external users is stored in Moodle.

Teaching staff, students and employees are automatically enrolled in the relevant courses on Moodle in their respective roles as teachers or participants, based on their UAS user accounts. Applicants and external users are manually enrolled in courses using their names and email addresses.

In the context of applications, studies and teaching, personal data is processed for the purpose of providing and assessing educational content and ensuring academic success.

The legal basis for processing personal data in connection with examinations is the overriding legitimate interests of UAS and EEC (Article 6 (1)(f) GDPR), which are reflected in fulfilling their educational mission and achieving the qualification objectives of degree programmes through the use of modern technologies. The legal basis for identity verification and online examination proctoring is compliance with legal obligations of UAS and EEC (Article 6 (1) (c) GDPR in conjunction with Sections 13a and 20 of the Austrian Universities of Applied Sciences Act (Fachhochschulgesetz, FHG)).

For employees, personal data is processed for the purpose of providing relevant operational information and documenting the acquisition of competencies in specific areas of knowledge. The legal bases are compliance with legal obligations of UAS and EEC (Article 6 (1) (c) GDPR) and overriding legitimate interests (Article 6 (1) (f) GDPR).

The processing of personal data of external users takes place within the scope of the respective contractual engagement. The legal bases are contractual obligations and the overriding legitimate interests of UAS and EEC (Article 6 (1) (b) and (f) GDPR).

Types of data

Data collected before logging in to the learning platform

When you access the learning platform via a web browser, data is transmitted to us or collected by us. This access data is stored in so-called server logs and automatically transmitted to us by your browser. This is necessary to ensure the proper operation of the learning platform, identify vulnerabilities, detect and resolve resource shortages at an early stage, and promptly identify misuse of server resources.

The access data processed includes: name of the website accessed, browser type and version used, operating system used by the visitor, previously visited website (referrer URL), time of the server request, amount of data transferred, hostname of the accessing computer or IP address used.

This data is processed on the basis of the legitimate interests of UAS or EEC (Article 6 (1) (f) GDPR). As a general rule, this data is not disclosed to third parties, except in cases of suspected attacks or unlawful access. In such cases, log data may be forwarded to technical experts and law enforcement authorities for the investigation and prosecution of criminal offences.

a) Data collected during or after login

To create a personalised account for the learning platform, the following data is processed: First name, last name, email address, profile picture (user picture), personal description (job title), and city. You may voluntarily add further information to your profile, including, for example: Personal description, description of your profile picture, additional names (first name, last name, middle name, pseudonym), personal interests, institution, department, telephone number, mobile phone number, address, and city.

In addition, the following data is processed for the administration and management of the learning platform: Selected language, participant role, first and last access to the learning platform, grading information (grades/grade overview), active browser sessions including IP address, programme/course, status within the programme/course, time zone, login information, activity on the learning platform, time of server requests, amount of data transferred, MoodleNet profile ID, username, log data, assignment submissions and grades, and communication via the tools provided within the learning platform. The processing of data collected during or after login is based on your consent as well as the legal obligations of UAS or EEC, pursuant to Article 6 (1) (a) and (c) GDPR.

b) Moodle learning analytics

Learning analytics is used on the Moodle learning platform to collect information about participants' platform usage and learning outcomes. Data relating to learners' activities on the platform, such as clicks on learning materials, uploads and points achieved, which are routinely recorded in the learning platform's log data, is analysed and presented. This information is used to provide personalised learning recommendations and support, as well as to improve the quality of teaching. All data collected within the framework of Learning Analytics is subject to strict data protection requirements and is treated confidentially in accordance with UAS's Trusted Learning Analytics Policy.

c) Cookies on Moodle

Cookies are set when you visit the Moodle website. Cookies are small text files stored in your browser. Two types of cookies are used on the learning platform:

• MoodleSession (session cookie): This cookie must be enabled to allow you to remain logged in while navigating between pages in Moodle. When you log out or close your web browser, the cookie is automatically deleted (both in the browser and on the server).
• MoodleID (persistent cookie): This cookie is used for convenience and stores your username in your web browser, even after you have logged out. When you next visit the website, your username will already be entered in the login form. You may disable this cookie, but you will then need to enter your username manually each time you log in.

Many web browsers can be configured to automatically delete cookies when the browser is closed. You can view, monitor or block cookies through your browser settings. However, completely disabling cookies for our learning platform is not possible, as a session cookie is required for successful login.

Recipients of your personal data

The data you provide is processed by employees of UAS and EEC. Personal data is disclosed to data processors for the purpose of fulfilling the legal obligations of UAS /EEC. We ensure that any transfer of your data complies with applicable data protection regulations.

In connection with the use of the learning platform, your personal data is transferred to the following data processors:

• Moodle: The platform is operated and maintained by eDaktik GmbH, Möhringgasse 20/5a, 1150 Vienna, Austria, and UAS.
• Microsoft Office 365: Hosting primarily takes place within the European Union in accordance with European data protection legislation. Certain services and technical support may also be provided outside the European Union. Some of your profile data may therefore also be stored in the United States.
• OpenAI, USA: The "OpenAI Chat Block" is used and operated through an API interface with OpenAI. When using this service, the Moodle user ID, the content of the chat request (prompt), the AI-generated response, and the time of use are transmitted to OpenAI.
• Integration of Social Plugins
  • YouTube: When YouTube videos are embedded, YouTube may place cookies on your device. These cookies may enable YouTube to analyse user behaviour for market research and marketing purposes. YouTube is a subsidiary of Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. The exact manner in which YouTube uses data for its own purposes, the extent to which activities are attributed to individual users, how long such data is stored, and whether data is transferred to third parties are not clearly or conclusively specified and are not known to us. Transfers of data to countries outside the European Union, such as the United States, are generally possible.

Transfers of data to third countries: We would like to point out that the level of data protection outside the European Union (EU) and the European Economic Area (EEA) may not correspond to the level of protection provided within the European Union. There is a risk that your data may, for example, be processed by US authorities for control and surveillance purposes, potentially without effective legal remedies being available to you. Adequate safeguards for an appropriate level of data protection are provided through agreed Standard Contractual Clauses.

On 10 July 2023, the European Commission adopted an adequacy decision concerning the EU-US Data Privacy Framework (the data protection agreement between the EU and the United States).

Where US service providers are certified under these data protection requirements, which include restrictions on access to data by US authorities and legal remedies for EU citizens, an adequate level of protection for data transfers is generally ensured. You can verify which providers are included in the list of certified organisations here: https://www.dataprivacyframework.gov/s/participant-search Microsoft and Google have completed this self-certification process. Data transfers to the United States can therefore be based on the adequacy decision concerning the EU-US Data Privacy Framework as a valid legal basis. In addition, Standard Contractual Clauses and supplementary technical and organisational measures guaranteed by Microsoft and Google apply. Further information on data processing can be found in the privacy policies of Microsoft and Google: Microsoft Privacy Statement: https://privacy.microsoft.com/dede/privacystatement; Google Privacy Policy: https://policies.google.com/privacy; Google – Types of Cookies and Similar Technologies: https://policies.google.com/technologies/types?hl=de

Retention period of your personal data

Depending on the type of data processing, we retain your personal data for periods ranging from six months after notification of an assessment result (Sections 13 (6) and (7) of the Austrian Universities of Applied Sciences Act (FHG)) to up to 80 years for data specified in Section 53 of the Austrian Universities Act (Universitätsgesetz, UG). In any case, data will be retained until the expiry of limitation periods for potential legal claims or for as long as statutory retention obligations require.

Your rights as a data subject

According to applicable law, regarding your personal data you have the right to

• access, rectification, erasure, restriction of processing and objection. These rights can be exercised vis-à-vis the UAS.
• lodge a complaint with the competent supervisory authority (in Austria: the Austrian Data Protection Authority – Österreichische Datenschutzbehörde).

Contact Information

University of Applied Sciences for Business & Society BFI Vienna

Address: Wohlmutstraße 22, 1020 Vienna, Austria

Phone: +43-1-7201286

E-mail: datenschutz@hwg.at