Artikel 13 Datenschutz-Grundverordnung

Datenschutzerklärung

Diese Seite erklärt, welche personenbezogenen Daten Learny Amt verarbeitet und welche nicht.

1.Verantwortlicher und Auftragsverarbeitung

Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO für die Anwendung unter amt.learny.page ist:

Verantwortlicher: Emanuel Schmacher e.U.
Anschrift: Sielach 76
9133 Sittersdorf
Österreich
Kontakt in Datenschutzangelegenheiten: emanuel@schmacher.net
Datenschutzbeauftragte:r: Nicht bestellt, weil die Voraussetzungen des Art. 37 DSGVO für diesen Betrieb nicht vorliegen.

Im Behördenbetrieb ist die Dienststelle Verantwortliche

Betreibt eine Dienststelle die Anwendung für ihre Bediensteten, dann ist sie die Verantwortliche. Das oben genannte Unternehmen ist in diesem Fall Auftragsverarbeiter nach Art. 28 DSGVO. Für Behörden und öffentliche Stellen schreibt Art. 37 Abs. 1 lit. a DSGVO einen Datenschutzbeauftragten zwingend vor. Die technischen Eigenschaften der Anwendung bleiben dieselben.

Im Vorführbetrieb teilen sich alle Besuchenden die Konten

Auf der Seite Vorführung stehen vier Konten bereit, die sich alle Besucherinnen und Besucher teilen. Für diese Konten speichert die Anwendung weder die Netzadresse noch die Browserkennung. Sie zeigen keine fremden Anmeldungen und erlauben weder einen Passwortwechsel noch eine Änderung der Einwilligung. Ein dort abgegebener Erhebungsbogen wird geprüft, aber nicht gespeichert.

2.Welche Daten zu welchem Zweck verarbeitet werden

Die Anwendung verarbeitet nur Daten, die für den Betrieb erforderlich sind. Ein vollständiges technisches Verzeichnis aller Tabellen steht im Datenschutz-Datenblatt.

Verarbeitungen mit Personenbezug
Daten	Zweck	Herkunft
Name, dienstliche E-Mail-Adresse, Rolle, Organisationseinheit	Zugang zur Anwendung, Zuordnung zur Dienststelle, Zuständigkeiten	Name und E-Mail-Adresse geben Sie bei der Registrierung selbst ein. Rolle und Organisationseinheit legt die Stelle fest, die den Einladungscode ausstellt.
Verwaltungsangaben zum Zugang: Zeitpunkt der Zustimmung zu dieser Information, Einwilligung in die Wirkungsmessung, ob der Zugang aktiv ist, Zeitpunkt der Einrichtung und Zeitpunkt der letzten Nutzung	Nachweis der Zustimmung, Steuerung der Wirkungsmessung und Sperre ausgeschiedener Zugänge. Der Zeitpunkt der letzten Nutzung macht verwaiste Konten erkennbar und wird höchstens einmal am Tag fortgeschrieben.	Eigene Eingabe und technisch beim Anmelden
Passwort	Anmeldung. Gespeichert wird nur ein scrypt-Ableitungswert und nie das Passwort selbst.	Eigene Eingabe
Sitzungen: Abdruck der Sitzungskennung, Beginn und Ablauf der Anmeldung, Netzadresse, Browserkennung	Angemeldet bleiben, Abmeldung an allen Geräten, Erkennen missbräuchlicher Anmeldungen. Gespeichert wird nicht die Sitzungskennung selbst, sondern nur ihr SHA-256-Abdruck. Für geteilte Vorführkonten werden weder Netzadresse noch Browserkennung gespeichert.	Technisch beim Anmelden
Anmeldeversuche: E-Mail-Adresse, Erfolg, Zeitpunkt, IP-Adresse	Schutz vor automatisiertem Durchprobieren von Passwörtern	Technisch beim Anmeldeversuch
Zugriffsprotokoll des Webservers: IP-Adresse, Zeitpunkt, aufgerufene Adresse samt Abfrageteil, Verweisadresse, Browserkennung	Abwehr und Aufklärung von Angriffen und Störungen. Das Protokoll führt der Webserver, nicht die Anwendung. Die Volltextsuche sendet den Suchbegriff im Abfrageteil der Adresse; Suchbegriffe stehen deshalb im Protokoll. Fragen, Versuchsvermerke und andere Eingaben werden als Formular gesendet und stehen dort nicht.	Technisch bei jedem Aufruf
Fragen, Versuchsvermerke, Antworten, Patenschaften	Frageregister und Wissensbestand der Dienststelle. Sie sind der fachliche Kern der Anwendung.	Eigene Eingabe
Versuche in der Fragesuche: der Rechtssatz, Ihre selbst formulierte Frage und der Zeitpunkt	Die Übung legt Ihnen beim nächsten Mal einen noch nicht bearbeiteten Rechtssatz vor. Sichtbar ist der Versuch nur für Sie selbst. Es gibt dazu keine Trefferquote und keinen Verlauf.	Eigene Nutzung
Lernstand zu einzelnen Lernaspekten: Stand, Selbsteinschätzung vor der Auflösung, ob die Vermutung zutraf, Zahl der Wiederholungen, Tag der nächsten Wiedervorlage und Zeitpunkt der letzten Änderung	Wiedervorlage von Lerninhalten und Kompetenzkompass. Sichtbar ist das nur für die betroffene Person selbst.	Eigene Nutzung
Angaben zur Urheberschaft: wer eine Richtlinie verfasst, ein Lernthema angelegt oder fachlich freigegeben, eine Besprechung moderiert und einen Einladungscode ausgestellt hat	Ansprechperson zu einem Eintrag, Vier-Augen-Prinzip bei der Freigabe eines Lernthemas und Nachvollziehbarkeit ausgestellter Zugänge. Bei einer Richtlinie im Wissensverzeichnis steht der Name der verfassenden Person beim Eintrag.	Eigene Nutzung
Tätigkeit als Multiplikator:in	Die Datei mit den einzelnen Tätigkeitsvermerken kann nur die Person selbst abrufen und weitergeben. Aus denselben Vermerken entsteht außerdem die zusammengefasste Kennzahl über tätige Multiplikator:innen. Diese Kennzahl erscheint erst ab 5 Personen und nennt niemanden.	Eigene Nutzung

Welche Angaben nötig sind und was ohne sie geschieht

Ein Zugang entsteht nur mit Ihrem Namen und Ihrer dienstlichen E-Mail-Adresse. Beide Felder sind Pflichtfelder der Registrierung, und ohne sie richtet die Anwendung keinen Zugang ein. Eine gesetzliche oder vertragliche Pflicht, diese Angaben zu machen oder diese Anwendung zu nutzen, besteht nicht. Alle übrigen Angaben sind freiwillig, und ihr Fehlen hat keine Folge.

Daten ohne Personenbezug

Drei Datenbestände enthalten von vornherein keine Personenkennung. In ihren Tabellen gibt es keine Spalte, in der eine Person stehen könnte.

Beiträge im Sitzungsraum: Die Anwendung erfasst nicht, wer in einer Besprechung eine Frage einbringt. Gespeichert werden die Besprechung, der Wortlaut und der Zeitpunkt auf die Minute genau.
Züge im Bauchgefühl-Test: Gespeichert werden das Szenario, die gezeigte Fassung, die Entscheidung, die Sicherheitsangabe, die Organisationseinheit und der Zeitpunkt auf die Minute genau. Ausgewertet wird nur die Verteilung über alle Teilnehmenden und nie der Weg einer einzelnen Person.
Antworten im Klimabarometer: Jede der sieben Antworten wird einzeln gespeichert, mit einer eigenen zufälligen Kennung, der Nummer der Aussage, dem Wert, dem Monat der Abgabe und der Erhebungswelle, zu der sie gehört. Über die Welle gehört die Antwort zu einer Organisationseinheit. Tag und Uhrzeit werden nicht gespeichert, und keine Kennung verbindet die sieben Antworten einer Person. Ein Ergebnis erscheint erst nach dem letzten Tag einer Erhebungswelle.

Der Webserver führt getrennt davon ein Zugriffsprotokoll mit IP-Adresse, Uhrzeit und aufgerufener Adresse. Die Anwendung führt es mit diesen drei Beständen nicht zusammen. Damit sich ein Eintrag auch im Nachhinein nicht über die Uhrzeit zuordnen lässt, speichert die Anwendung dort nur die Minute oder den Monat.

Ein vierter Bestand gehört zum Klimabarometer und ist nicht anonym. Damit niemand doppelt teilnimmt, speichert die Anwendung einen HMAC-Abdruck aus der Kennung der Erhebungswelle und der Kennung der Person. Dieser Abdruck ist ein Pseudonym. Zurückrechnen lässt er sich nicht. Der Verantwortliche hat aber den Schlüssel. Er könnte damit für eine ihm bekannte Zugangskennung prüfen, ob sie teilgenommen hat. Die Antworten selbst sind davon getrennt gespeichert und lassen sich niemandem zuordnen.

3.Rechtsgrundlagen

Rechtsgrundlage je Verarbeitung
Verarbeitung	Rechtsgrundlage
Zugang zur Anwendung und Nutzung ihrer Lern- und Fragefunktionen durch Bedienstete im Behördenbetrieb	Art. 6 Abs. 1 lit. e DSGVO: Die Dienststelle nimmt eine Aufgabe im öffentlichen Interesse wahr, nämlich ihre Zuständigkeit für die Aus- und Fortbildung ihrer Bediensteten. Welche innerstaatliche Vorschrift ihr diese Aufgabe überträgt, benennt die Dienststelle nach Art. 6 Abs. 3 DSGVO selbst.
Betrieb dieser Vorführinstanz durch den Betreiber	Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht darin, die Anwendung für die Einreichung zur IÖB-Challenge 303 vorführbar und sicher zu halten. Ein Einzelunternehmen nimmt keine Aufgabe im öffentlichen Interesse wahr, lit. e trägt diesen Betrieb daher nicht.
Anmeldung, Sitzungsverwaltung, Abwehr missbräuchlicher Zugriffe	Art. 6 Abs. 1 lit. e DSGVO im Behördenbetrieb, Art. 6 Abs. 1 lit. f DSGVO beim Betrieb dieser Vorführinstanz. Art. 32 DSGVO ist keine Erlaubnisnorm, sondern verpflichtet zur Sicherheit der Verarbeitung.
Teilnahme an der Wirkungsmessung mit namentlichen Beiträgen	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Namentliche Fragen und Versuchsvermerke fließen nur mit Ihrer Einwilligung in die Kennzahlen ein. Die Einwilligung wird gesondert eingeholt und kann jederzeit widerrufen werden. Wer nicht einwilligt, hat dadurch keinen Nachteil. Es gibt keine dienstrechtliche Folge und keine Auswirkung auf die Nutzung der Anwendung.
Kennzahl über tätige Multiplikator:innen aus den Tätigkeitsvermerken	Art. 6 Abs. 1 lit. e DSGVO. Diese Kennzahl fragt nicht nach der Einwilligung, weil sie die Beständigkeit der Rolle misst und keine einzelne Person. Sie erscheint erst ab 5 Personen und nennt niemanden.
Daten der Person, die den Vertrag für eine Dienststelle abschließt	Art. 6 Abs. 1 lit. f DSGVO. Die Person handelt für die Dienststelle und ist nicht selbst Vertragspartei, deshalb trägt lit. b hier nicht. Das berechtigte Interesse besteht darin, den Vertrag mit der Dienststelle abzuschließen und abzuwickeln. Für die Daten der Bediensteten gilt lit. e, wie oben beschrieben.

Zur Einwilligung in die Wirkungsmessung

Wer nicht einwilligt, hat keinen Nachteil. Ein Wert erscheint erst ab 5 Beitragenden, und niemand sieht, wer teilgenommen hat. Gezählt werden Personen, wo der Eintrag eine Verfasserkennung oder einen Teilnahmevermerk trägt. Bei den Fragen je Besprechung zählen die Besprechungen und im Bauchgefühl-Test die Durchgänge je Fassung, weil diese Tabellen keine Person kennen. Die Anwendung lässt sich auch ohne Teilnahme uneingeschränkt nutzen. Die Einwilligung können Sie jederzeit in den Einstellungen widerrufen.

4.Keine Übermittlung an einen KI-Dienst

Diese Anwendung setzt kein Sprachmodell ein und übermittelt keinen Text an einen KI-Dienst. Daher gibt es dafür auch keinen Auftragsverarbeiter.

Schlagwortvorschläge und Selbsttests erzeugt der Anwendungsserver selbst mit einem statistischen Verfahren aus dem Text. Von den Schlagwortvorschlägen wird nur gespeichert, was die schreibende Person übernimmt. Selbsttests und ihre Ergebnisse werden nicht gespeichert.

Lerninhalte aus Rechtsquellen schreiben Multiplikator:innen selbst. Jeder Aspekt enthält ein wörtliches Zitat aus dem Normtext.

5.Empfänger und Auftragsverarbeiter

Stellen, die Daten erhalten
Empfänger	Rolle	Was übermittelt wird
Host Europe, Straßburg (Frankreich)	Auftragsverarbeiter nach Art. 28 DSGVO für den Serverbetrieb	Alle Daten der Anwendung liegen auf diesem Server in einer einzigen Datenbankdatei. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag, der den Auftragsverarbeiter an die Weisungen des Verantwortlichen bindet.
Mailversand	Kein Empfänger	Die Anwendung verschickt keine E-Mail, weder selbst noch über einen Dienst.
Führungskräfte der eigenen Dienststelle	Interne Empfänger	Übermittelt werden nur zusammengefasste Werte ab 5 Beitragenden. Gezählt werden Personen; bei den Fragen je Besprechung zählen die Besprechungen und im Bauchgefühl-Test die Durchgänge je Fassung. Eine personenbezogene Auswertung gibt es in keiner Form.

Die Anwendung wertet keine einzelnen Personen aus und meldet nichts an Vorgesetzte. Die Auswertungsfunktionen nehmen keine Personenkennung entgegen. Sichtbar ist für die Dienststelle und damit auch für ihre Führungskräfte, was jemand selbst mit Namen veröffentlicht: eine namentlich eingetragene Frage, eine Antwort oder ein Versuchsvermerk, den die Person für das Team oder die Dienststelle freigegeben hat.

6.Übermittlung in Drittländer

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Anwendungsserver und Datenbank stehen innerhalb der Europäischen Union, und zwar im Rechenzentrum Host Europe, Straßburg (Frankreich). Es gibt keinen KI-Dienst, und personenbezogene Daten werden nicht an Dritte übermittelt. Die einzige Verbindung des Servers nach außen ist der Abruf von Normtexten aus dem Rechtsinformationssystem des Bundes, das das Bundeskanzleramt in Österreich betreibt. Dabei werden der Suchbegriff oder die Kennung der gewünschten Norm übertragen, aber keine Angabe zur Person. Eine Übermittlung nach Kapitel V DSGVO, für die Standardvertragsklauseln oder ein Angemessenheitsbeschluss nötig wären, gibt es daher nicht.

7.Was ausdrücklich nicht stattfindet

Die folgenden Punkte sind Zusagen, die sich am Verhalten der Anwendung überprüfen lassen:

Die Anwendung verwendet keine Analysewerkzeuge, keine Reichweitenmessung und keine Zählpixel.
Es gibt keine Werbe- oder Wiedererkennungscookies. Die Anwendung setzt ein einziges Cookie, nämlich die Sitzungskennung nach dem Anmelden. Dieses Cookie ist für den angeforderten Dienst unbedingt erforderlich und braucht deshalb nach § 165 Abs. 3 TKG 2021 keine Einwilligung.
Die Anwendung lädt keine externen Schriften und bindet keine Inhalte fremder Server ein.
Es gibt keine Profilbildung, die Sie gegenüber anderen bewertet. Aus Ihrem Lernstand errechnet die Anwendung die Wiedervorlage und den Kompetenzkompass. Diese Berechnung sehen nur Sie selbst, und sie erzeugt weder eine Note noch Punkte noch eine Entscheidung über Sie.
Es gibt keine automatisierte Entscheidung nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.
Die Anwendung bewertet keine Personen. Es gibt keine Punkte, keine Rangliste, keine Lernsträhne und kein Kompetenzniveau, das die Anwendung feststellt.
Die Anwendung nutzt keine Biometrie und keine Emotionserkennung und greift nicht auf Kamera oder Mikrofon zu. Art. 5 Abs. 1 lit. f der Verordnung (EU) 2024/1689 verbietet KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, ausgenommen aus medizinischen Gründen oder aus Sicherheitsgründen. Dieses Verbot gilt seit 2. Februar 2025. Auf Biometrie verzichtet die Anwendung unabhängig davon.
Die Anwendung fragt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ab und sieht dafür kein Feld vor.
Daten werden weder an Dritte verkauft noch Dritten überlassen.

Die freien Textfelder prüft die Anwendung nicht auf ihren Inhalt. Bitte schreiben Sie Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO deshalb nicht in diese Felder.

8.Speicherdauer und Löschung

Speicherdauer je Datenbestand
Datenbestand	Dauer
Anmeldeversuche	Werden nach 24 Stunden gelöscht. Nach einer erfolgreichen Anmeldung werden die früheren Fehlversuche derselben Adresse sofort entfernt.
Sitzungen	Eine Sitzung gilt 12 Stunden ab der Anmeldung. Abgelaufene Sitzungen werden laufend gelöscht. Beim Abmelden wird die Sitzung sofort gelöscht.
Zugriffsprotokoll des Webservers	Wird nach 30 Tagen gelöscht.
Konto: Name, E-Mail-Adresse, Rolle, Einheit und die Verwaltungsangaben zum Zugang	Bleibt für die Dauer der Nutzung gespeichert. Nach dem Ausscheiden oder auf Verlangen wird das Konto mit allen Verwaltungsangaben gelöscht.
Fragen und Versuchsvermerke	Bleiben als Wissensbestand der Dienststelle erhalten. Wird ein Konto gelöscht, wird auch die Angabe der verfassenden Person entfernt. Der fachliche Inhalt bleibt ohne Personenangabe bestehen. Anonym eingebrachte Fragen haben von Beginn an keinen Verfasser.
Richtlinien, Lernthemen und Besprechungen samt den Angaben zur Urheberschaft	Bleiben als Wissensbestand der Dienststelle erhalten. Wird ein Konto gelöscht, werden die Angaben zur verfassenden, anlegenden, freigebenden und moderierenden Person entfernt. Der fachliche Inhalt bleibt ohne Personenangabe bestehen.
Ausgestellte Einladungscodes	Werden mit dem Konto der ausstellenden Person gelöscht. Ein damit bereits eingerichteter Zugang bleibt davon unberührt.
Lernstand, Versuche in der Fragesuche und Tätigkeitsnachweis	Werden mit dem Konto gelöscht.
Sitzungsbeiträge, Züge im Bauchgefühl-Test, Antworten im Klimabarometer	Diese Daten haben keinen Personenbezug und bleiben als Zeitreihe erhalten. Eine Löschung nach Art. 17 DSGVO wäre gegenstandslos, weil sich kein Eintrag einer Person zuordnen lässt.

9.Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte:

Auskunft (Art. 15 DSGVO) über die Daten, die zu Ihnen verarbeitet werden.
Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
Löschung (Art. 17 DSGVO).
Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit (Art. 20 DSGVO), soweit die Verarbeitung auf Einwilligung oder Vertrag beruht.
Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage des Art. 6 Abs. 1 lit. e oder lit. f DSGVO, aus Gründen, die sich aus Ihrer besonderen Situation ergeben.
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft. Die Einwilligung in die Wirkungsmessung können Sie jederzeit in den eigenen Einstellungen widerrufen.

Hinweis auf Ihr Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen. Das gilt für alle Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruhen. Nach einem Widerspruch werden Ihre Daten nicht mehr verarbeitet, außer der Verantwortliche weist zwingende schutzwürdige Gründe nach. Den Widerspruch richten Sie formlos an die in Abschnitt 1 genannte Adresse.

Unter Meine Daten finden Sie Ihre Kontoangaben, Ihre Anmeldungen und Anmeldeversuche, Ihre Fragen, Patenschaften und Antworten, Ihre Versuchsvermerke, Ihren Lernstand, Ihre Versuche in der Fragesuche, Ihre Tätigkeitsvermerke, die von Ihnen ausgestellten Einladungen sowie die Richtlinien, Lernthemen und Besprechungen, bei denen Sie als verfassende, anlegende, freigebende oder moderierende Person vermerkt sind. Diese Angaben können Sie dort auch in maschinenlesbarer Form herunterladen. Bei Richtlinien, Lernthemen und Besprechungen enthält die Datei nur Titel und Zeitpunkte, nicht den Text. Diese Inhalte gehören zum Wissensbestand der Dienststelle, an dem mehrere Personen mitwirken.

Für alle weiteren Anliegen genügt eine Nachricht an emanuel@schmacher.net. Die Antwort erhalten Sie unverzüglich, jedenfalls binnen eines Monats (Art. 12 Abs. 3 DSGVO). Diese Frist kann um zwei Monate verlängert werden. Über eine Verlängerung und ihre Gründe werden Sie innerhalb des ersten Monats verständigt.

10.Beschwerderecht bei der Datenschutzbehörde

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Andere Rechtsbehelfe bleiben Ihnen daneben erhalten. In Österreich ist das die folgende Behörde:

Behörde: Österreichische Datenschutzbehörde
Anschrift: Barichgasse 40–42
1030 Wien
Elektronische Post: dsb@dsb.gv.at
Web: www.dsb.gv.at

Betreibt eine Dienststelle die Anwendung, können Sie sich zusätzlich an den zuständigen Dienststellenausschuss wenden. Nach § 9 Abs. 2 lit. f Bundes-Personalvertretungsgesetz ist mit dem Dienststellenausschuss das Einvernehmen herzustellen, wenn ein System zur Verarbeitung personenbezogener Daten der Bediensteten eingeführt wird. Erfasst sind dabei nur Systeme, die über die Ermittlung von allgemeinen Angaben zur Person oder über die Ermittlung von fachlichen Voraussetzungen hinausgehen. Das Bundes-Personalvertretungsgesetz gilt für die Dienststellen des Bundes. In den Ländern und Gemeinden gelten die Personalvertretungsgesetze der Länder.

11.Änderungen dieser Information

Wenn sich die Anwendung ändert, wird auch diese Information angepasst. Das Datum des aktuellen Stands steht am Ende dieser Seite. Sollen künftig mehr Daten verarbeitet werden, informiert der Betreiber vorher die Dienststellen, die die Anwendung nutzen. Eine eigene Funktion gibt es dafür in der Anwendung nicht.

Stand: 23. September 2026