Datenschutz-Datenblatt

Dieses Blatt unterscheidet durchgehend zwischen zwei Aussagen, die leicht verwechselt werden:

• Nicht vorgesehen bedeutet, dass die Daten vorhanden wären, die Auswertung aber nicht gebaut ist. Das ist eine Entscheidung, die sich mit einer neuen Fassung der Anwendung zurücknehmen ließe.
• Nicht formulierbar bedeutet, dass es keine Spalte gibt, in der die Antwort stehen könnte. Das liegt am Datenmodell. Wer das ändern will, muss den Quelltext ändern, eine Migration schreiben und den Dienststellenausschuss erneut um Zustimmung bitten.

Wo „nicht vorgesehen“ die zutreffende Antwort ist, steht das hier auch so. Das gilt auch dann, wenn „nicht formulierbar“ günstiger wirken würde.

Datenhaltung

Eine einzige SQLite-Datei auf dem Anwendungsserver

Angewandte Migrationen

Stand 5

Anzahl der Tabellen

30

Ohne Personenkennung

3 der Tabellen, aus denen Auswertungen entstehen

Drei Tabellen sind für den Aufbau des Systems entscheidend. Sie nehmen die Angaben auf, die niemandem zugeordnet werden sollen, und enthalten deshalb keine Personenkennung:

• besprechungsfrage enthält die Beiträge aus dem Sitzungsraum.
• denkfalle_zug enthält die Züge im Bauchgefühl-Test.
• barometer_antwort enthält die Einzelantworten des Klimabarometers.

Die Kennzahlen des Wirkungsbilds lesen außerdem die Tabellen frage, lernvermerk, besprechung, rolle_aktivitaet, barometer_lauf, barometer_teilnahme, person und organisationseinheit. Einige dieser Tabellen enthalten eine Personenkennung. Die Kennzahlen verwenden sie nur, um zu zählen, wie viele verschiedene Personen beigetragen haben oder noch tätig sind. So kann die Schwelle greifen. Aus person lesen sie nur, ob die Einwilligung zur Wirkungsmessung gesetzt ist. Einen Wert je Person geben sie nicht aus.

Die folgenden Fragen werden an Lernplattformen regelmäßig gestellt. Bei jeder Frage steht, ob sie am Datenmodell oder an einer Entscheidung scheitert, und warum.

Wer hat in der Besprechung welche Frage eingebracht?nicht formulierbar

Die Tabelle besprechungsfrage hat keine Spalte, in der eine Person stehen könnte. Sie enthält weder eine Kennung noch ein Pseudonym noch eine Gerätekennung. Darauf müssen sich alle verlassen können, die im Sitzungszimmer eine Frage eintippen, auch wenn die Sektionsleitung daneben sitzt. Der Webserver führt getrennt davon ein Zugriffsprotokoll mit Netzadresse und Uhrzeit jedes Aufrufs, aber ohne den Wortlaut. Damit sich beides nicht über die Sekunde verbinden lässt, speichert die Anwendung den Zeitpunkt eines Beitrags nur minutengenau.

Wer ist in welche Denkfalle getappt?nicht formulierbar

Die Tabelle denkfalle_zug hat keine Spalte person_id. Sie enthält Szenario, Fassung, Entscheidung, Sicherheitsangabe, Organisationseinheit und den minutengenauen Zeitpunkt. Ausgewertet wird ausschließlich die Verteilung über alle Durchgänge. Für die Übung kommt es didaktisch auf diese Verteilung an und nicht auf den Fehlgriff einer einzelnen Person.

Wie hat eine bestimmte Person im Klimabarometer geantwortet?nicht formulierbar

Die Tabelle barometer_antwort hat keine Personenspalte. Beim Abgeben schreibt die Anwendung zu jeder Antwort nur den Monat und weder Tag noch Uhrzeit. Jede Antwort bekommt eine eigene Zufallskennung, und die sieben Antworten werden in gemischter Reihenfolge an zufälligen Stellen der Tabelle abgelegt. Dadurch verbindet weder eine gemeinsame Kennung noch die Nachbarschaft in der Tabelle die Antworten eines Bogens. Die Teilnahme selbst steht als HMAC-Abdruck mit dem Monat in barometer_teilnahme. Dieser Abdruck lässt sich ohne den Serverschlüssel nicht zurückrechnen.

Wer hat wie viele Fragen gestellt?nicht vorgesehen

Die Antwort hat hier zwei Teile. Fragen aus dem Sitzungsraum haben keinen Verfasser, und anonym eingebrachte Fragen haben ebenfalls keinen. Im Frageregister wird der Verfasser gespeichert, damit es zu einer Frage eine Ansprechperson gibt. Es gibt jedoch keine Auswertungsfunktion, die nach Verfassern gruppiert. Die Funktionen in src/lib/kennzahl.ts nehmen keine Personenkennung entgegen. Eine Zählung je Person wäre außerdem eine personenbezogene Verarbeitung, über die nach § 9 Abs. 2 lit. f Bundes-Personalvertretungsgesetz das Einvernehmen mit dem Dienststellenausschuss herzustellen wäre.

Wer lernt am wenigsten?nicht vorgesehen

Die Tabelle aspekt_stand enthält die Wiedervorlage der Person und ist ausschließlich für sie selbst sichtbar. Es gibt keine Kennzahl über Lernstände, keine Rangfolge und keine Route, die einen fremden Lernstand ausliefert. Ein Vergleich von Lernständen wäre eine Bewertung von Personen. Solche Bewertungen können die eigene Lust am Lernen verdrängen; das beschreibt der Überrechtfertigungseffekt.

Wer war letzte Woche am wenigsten aktiv?nicht vorgesehen

Die Spalte person.zuletzt_aktiv_am gibt es, damit verwaiste Konten erkennbar sind. Sie wird in keiner Auswertung verwendet und in keiner Ansicht angezeigt, die eine andere Person sehen kann.

Die Schwelle und ihre Prüffunktion stehen in src/lib/kennzahl.ts. Dort werden auch die vier Kennzahlen des Wirkungsbilds berechnet. Die Verteilung im Bauchgefühl-Test berechnet src/components/denkfallen/auswertung.ts. Diese Datei fragt ihre Tabelle selbst ab, verwendet aber dieselbe Schwelle und dieselbe Prüffunktion. Unter der Schwelle von 5 wird kein Wert herausgegeben, auch kein gerundeter Wert und keine ungefähre Angabe. Auch ein gerundeter Wert aus zwei Personen sagt nämlich etwas über diese zwei Personen aus.

Gezählt werden Personen, wo die Tabelle eine Verfasserkennung oder einen Teilnahmevermerk hat. Das gilt für Versuchsvermerke, namentliche Fragen, Barometerbogen und die Tätigkeit der Multiplikator:innen. Bei den Fragen je Besprechung zählen die Besprechungen und im Bauchgefühl-Test die Durchgänge je Fassung, weil diese Tabellen keine Person kennen. Anonym eingebrachte Fragen zählen zur Menge, aber nicht zur Personenschwelle. Sind alle Fragen anonym, genügen fünf Fragen.

Bei Versuchsvermerken und namentlichen Fragen zählen nur Personen, die in die Wirkungsmessung eingewilligt haben. Dort zeigt die Kachel unter der Schwelle auch die Zahl der Beitragenden nicht an, weil diese Zahl verraten könnte, wer eingewilligt hat. Das Ergebnis einer Erhebungswelle des Klimabarometers erscheint erst nach ihrem letzten Tag.

Drei weitere Regeln verhindern, dass sich einzelne Beiträge aus dem Vergleich zweier Auswertungen errechnen lassen. Ein laufender Zeitraum wird nur bis zum Ende der Vorwoche ausgewertet. Die Werte ändern sich deshalb einmal in der Woche und nicht mit jedem Eintrag. Am Kurzbogen nimmt nur teil, wessen Zugang schon bestand, als die Erhebungswelle angelegt wurde. So lässt sich die Mindestzahl nicht mit neu eingerichteten Zugängen erreichen. Die Systemverwaltung kann im Wirkungsbild nur oberste Organisationseinheiten wählen, weil sich die Werte einer Abteilung und eines ihrer Referate sonst voneinander abziehen ließen.

Führungskräfte und Multiplikator:innen haben zwei getrennte Rollen, und keine steht über der anderen. Beide können Besprechungen moderieren, Richtlinien schreiben und das Wirkungsbild mit zusammengefassten Werten sehen. Die Rechtsquellen-Werkstatt, die Themenfreigabe, die Erhebungswellen und die Einladungscodes gibt es nur für Multiplikator:innen und die Systemverwaltung.

Die Eigenschaften, die dieses Blatt beschreibt, sind im Datenmodell festgelegt und nicht in einer Einstellung. Die Schwelle ist an genau einer Stelle definiert, nämlich in src/lib/kennzahl.ts. Die Kennzahlen des Wirkungsbilds werden dort berechnet, und die Verteilung im Bauchgefühl-Test durchläuft dieselbe Prüffunktion. Daneben zählen einige Ansichten ihre Einträge, zum Beispiel die offenen Fragen im Frageregister, die abgegebenen Bogen einer Erhebungswelle oder die Durchgänge eines Szenarios. Das sind Mengen von Einträgen und keine Auswertungen über Personen. Wer eine neue Auswertung braucht, erweitert src/lib/kennzahl.ts und trifft dort auf die Schwelle.

Die Migrationen in src/lib/schema.ts sind eine nummerierte, unveränderliche Liste. Eine ausgelieferte Migration wird nie mehr bearbeitet. Dadurch lässt sich nachvollziehen, wann eine Spalte entstanden ist. Eine nachträglich eingefügte Personenspalte wäre in dieser Liste sichtbar und ließe sich nicht stillschweigend einführen.