Regelungen zum Identitätsmanagement
Zunächst gelten für die Nutzung von Diensten, auch das Identitätsmanagement und daran gebundene Dienste, die allgemeinen Nutzungsregelungen des LUIS bzw. der LUH. Für das Identitätsmanagment wurde Anfang 2017 für die Beschäftigten eine Dienstvereinbarung abgeschlossen, die zusätzliche Dinge für das IdM und die Anbindung von Zielsystemen regelt. Die Dienstvereinbarung hat Anlagen, in denen z.B. die Datenfelder aufgelistet und erklärt und die Zielsysteme beschrieben werden. Der Zugriff zu diesen Papieren ist auf das Netz der LUH (Intranet) beschränkt:
- Dienstvereinbarung: S.2-6 im Verkündungsblatt 5/2017
- Datenkatalog (Anlage 2)
- Zielsysteme (Anlage 6)
Die Dienstvereinbarung gilt als Mitbestimmung des Personalrates nur für Beschäftigte der LUH. Sie wird aber analog und soweit übertragbar auch für Studierende eingehalten, insbesondere die Anlagen beschreiben auch die Datenfelder und Zielsysteme für alle Nutzenden im IdM.
Datenschutz
Zwar sammelt ein zentrales System erst einmal mehr Daten (alle benötigten Nutzenden mit allen benötigten Attributen), dennoch dient das IdM auch dem Datenschutz:
- Einige Zielsysteme kommen mit weniger Daten aus als vorher (z.B. "gehört zur LUH" ist für das Zielsystem nicht mehr benutzerbezogen, es sind dann keine Benutzeraccounts mehr nötig).
- Es erfolgt auch eine Deprovisionierung beim Ausscheiden aus der LUH, Benutzerdaten zu Accounts bleiben nicht einfach in den Zielsystemen liegen.
- Die Benutzerdaten werden aus dem IdM heraus aktuell gehalten und sind ggf. nur an einer Stelle zu berichtigen.
- Die Nutzenden haben mit dem IdM einen besseren Überblick, in welchen Systemen welche Daten stecken (zumindest für die direkten Zielsysteme) und können die personenbezogenen Daten im IdM selbst einsehen.
- Es gibt klare Regelungen, Zuständigkeiten und Dokumentationen und die Beteiligung des Datenschutzbeauftragten ist erfolgt.
- Zielsysteme haben eine bessere, aktuelle Nutzerverwaltung, was die Daten in den Zielsystemen besser schützt.
Für das IdM wurde ein Datenschutzkonzept in Absprache mit dem Datenschutzbeauftragten erstellt. Eine entsprechende Meldung für das Verzeichnis der Verarbeitungstätigkeiten gem. Art. 30 DSGVO liegt dem Datenschutzbeauftragten der LUH vor.