Datenschutzerklärung - luca App

Verarbeitungstätigkeit luca

Wir, Max-Planck-Institut für chemische Energiekonversion, setzen das luca-System zur Erfassung von Kontaktinformationen von Gästen, Kunden:innen und Besuchern:innen zur Unterstützung der Kontaktnachverfolgung im Zusammenhang mit der Bekämpfung von COVID Infektionen ein.

Hier werden Sie informiert, welche Daten bei der Kontaktdatenübermittlung mittels des luca-Systems durch uns als Verantwortlichem erhoben oder uns bereitgestellt werden, wie wir Ihre personenbezogenen Daten speichern und verarbeiten und welche Rechte Ihnen als betroffene Person hinsichtlich Ihrer personenbezogenen Daten zustehen.

A. VERANTWORTLICH

Der für die Verarbeitung personenbezogener Daten Verantwortliche ist
Max-Planck-Gesellschaft zur Förderung der Wissenschaften e.V. (MPG)
Hofgartenstraße 8
D-80539 München
Telefon: +49 (89) 2108-0
Kontaktformular: www.mpg.de/kontakt/anfragen
Internet: www.mpg.de

Die Datenschutzbeauftragte der Verantwortlichen ist

Heidi Schuster
Hofgartenstraße 8
D-80539 München
Telefon: +49 (89) 2108-1554

datenschutz(at)mpg.de

B. ERHEBUNG PERSONENBEZOGENER DATEN

Zur Unterstützung der Bekämpfung von COVID Infektionen, erheben wir bei Ihrem Einchecken in unse-rer Lokation Ihre personenbezogenen Daten unter der Voraussetzung, dass Sie sich damit einverstanden erklären. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Dieses Einchecken und das damit verbundene Übermitteln Ihrer personenbezogenen Daten an uns erfolgt bevorzugt durch den Service luca in einer der folgenden Formen:

Nutzung der luca App
Nutzung der luca Web-App
Nutzung des luca Badge
Nutzung des digitalen luca Kontaktformulars

Das Einchecken mittels App kann dadurch erfolgen, dass entweder Sie unseren QR-Code scannen oder wir Ihren. Sofern Sie sich dafür entscheiden, unseren QR-Code zu scannen, ist das Einschalten der Kamera des Endgerätes erforderlich. Gespeichert wird jedoch nur die Aufnahme des QR-Codes. Weitere neue Daten werden nicht erhoben. Sofern Sie sich über das Kontaktformular im Browser bei uns anmelden, werden die unter Teil C beschriebenen Kontaktangaben neu erhoben.

C. ART DER VERARBEITETEN DATEN

Wir können die folgenden Daten von Ihnen verarbeiten:

Kontaktdaten: Name, Vorname, Anschrift, Telefonnummer, E-Mail-Adresse.
Aufenthaltsdaten: Name bzw. Bezeichnung der Gastronomen:innen, Veranstalter:innen und sonstigen Gewerbetreibenden, bei denen Sie sich aufgehalten haben sowie Datum Ihres Aufenthalts, Beginn und Ende Ihres Aufenthalts, Adresse Ihres Aufenthalts, Geo-Koordinaten Ihres Aufenthalts.
Zusätzliche Eingabedaten: Sonstige Informationen, die Sie durch Eingabefelder in der luca Applikation einreichen, wie z. B. Ihre Tischplatznummer.
Testergebnisdaten: QR-Code mit Informationen zu vollzogenen COVID-19-Tests, insb. Infektionsstatus der getesteten Person
Testergebnis, Impf- oder Genesenenausweis Daten: Soweit das in der luca App hinterlegte Dokument vorgezeigt wird und der zur Verifizierung hinterlegte QR-Code ggf. gescannt wird, werden damit nachfolgende Daten verarbeitet. Vor- und Nachname sowie Geburtsdatum, Infektionsstatus sowie zusätzlich:
- Bei dem Testergebnis: Typ des Tests (PCR oder Antigentest), Angaben zum Testhersteller, zur Teststelle sowie zur Ausgabestelle des Zertifikats, Test- und Ausstellungszeitpunkt
- Bei dem Genesenenausweis: Datum der Positivtestung, Angaben zur Herausgabestelle, Gültigkeitszeitraum
- Bei dem Impfausweis: Datum der Impfung, Anzahl der Impfungen, Angaben zum Impfstoff
- (Krankheit, Hersteller, Produkt), Angaben zur Herausgabestelle
Funktionale Daten: Datenzuordnungs-IDs, Schlüssel und QR-Codes.
Temporäre Nutzungsdaten: Daten, die bei der Nutzung der luca App zeitweise anfallen können, also IP-Adresse, IP-Standort, Art und Version des eingesetzten Browsers und installierter Browser Plug-Ins, Informationen zum genutzten mobilen Netzwerk, Zeitzonen-Einstellungen, Betriebssystem und Plattform.

D. ZWECKE DER VERARBEITUNG | RECHTSGRUNDLAGE DER VERARBEITUNG

Zur Unterstützung der Bekämpfung von COVID Infektionen nehmen wir nach Ihrer Einwilligung Ihre Kontaktdaten und Aufenthaltszeiten auf, damit in Fällen von Neuerkrankungen die Gesundheitsbehörde ggf. eine Kontaktkette nachvollziehen kann. Wenn wir Daten von Ihnen erhalten haben, werden wir diese grundsätzlich nur für diesen Zweck verarbeiten.

Die folgende Übersicht beschreibt, zu welchen Zwecken und auf welcher Rechtsgrundlage wir Ihre personenbezogenen
Daten verarbeiten:

Ziff.	Verarbeitung und Zweck	Rechtsgrundlage
(1)	Erhebung Ihrer Kontaktdaten, Aufenthaltsdaten, Eingabedaten und Funktionalen Daten bei Besuch von unseren Räumlichkeiten und Veranstaltungen zur Erfüllung der gesetzlichen Verpflichtung	Art. 6 (1) 1 a) DSGVO: Einwilligung Einwilligung durch Scannen unseres QR-Codes, bzw. scannen lassen Ihres QR-Codes.
(2)	Ermittlung Ihres Aufenthalts durch Ein- und Auschecken. Diese Funktionen können unterstützt werden durch die Nutzung der Kamera- sowie GPS-Funktion Ihres Handys, sofern Sie sich freiwillig dafür entscheiden. Nur die Information, zu welchem Zeitpunkt Sie sich bei uns Einchecken bzw. den Radius unserer Lokation verlassen wird gespeichert.	Art. 6 (1) 1 a) DSGVO: Einwilligung Einwilligung durch Einschalten der GPS- bzw. Kamerafunktion, ggf. nach Aufforderung in der App. Sie können die Einwilligung jederzeit für die Zukunft widerrufen, indem Sie Ihre Kamera- bzw. GPS-Funktion ausschalten. (siehe auch Teil H.)
(3)	Verschlüsselte Speicherung und weitere Verarbeitung Ihrer Kontaktdaten, Eingabedaten und Funktionalen Daten innerhalb der IT-Infrastruktur der culture4life GmbH.	Art. 6 (1) 1 a) DSGVO: Einwilligung Einwilligung durch Scannen unseres QR-Codes, bzw. scannen lassen Ihres QR-Codes.
(4)	Abfragen und Auslesen Ihres COVID-Testergebnisses, Impf- oder Genesenenausweises	Art. 9 (2) a) i.V.m. 6 (1) 1 a) DSGVO: Einwilligung Einwilligung durch Zeigen des Test-, Impf- oder Genesenenzertifikats.
(5)	Übermittlung Ihrer Kontaktdaten, Aufenthaltsdaten, Eingabedaten und funktionalen Daten an Gesundheitsbehörden.	Art. 9 (2) a) i.V.m. 6 (1) 1 a) DSGVO: Einwilligung Einwilligung durch Scannen unseres QR-Codes, bzw. scannen lassen Ihres QR-Codes.

E. EMPFÄNGER:INNEN PERSONENBEZOGENER DATEN

Das luca-System wird von der culture4life GmbH betrieben. Deren Unterauftragsnehmer:innen sind Anbieter:innen von Softwarewartungs- und Softwarebetriebsleistungen (derzeit neXenio GmbH) sowie Anbieter:innen von IT-Infrastrukturleistungen (derzeit Deutsche Telekom AG sowie Bundesdruckerei Gruppe GmbH). Es besteht eine Vereinbarung zur Auftragsverarbeitung zwischen dem Verantwortlichen und der culture4life GmbH. Die genannten Empfänger:innen und Unterauftragsnehmer:innen können
Ihre personenbezogenen Daten in keiner anderen Weise als zur Unterstützung der Kontaktpersonenermittlung für uns verwenden.

Darüber hinaus können wir Ihre personenbezogenen Daten auf Nachfrage an die Gesundheitsbehörden freigeben um die Nachverfolgung zur ermöglichen.

F. ÜBERMITTLUNG AN DRITTLÄNDER

Eine Übermittlung an ein Drittland oder eine internationale Organisation wird nicht vorgenommen.

G. DAUER DER SPEICHERUNG PERSONENBEZOGENER DATEN

Wir speichern Ihre personenbezogenen Daten für die Dauer von 4 Wochen. Ihre personenbezogenen Daten werden nach Ablauf von vier Wochen gelöscht.

H. RECHTE DER BETROFFENEN PERSON

Hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten haben Sie folgende in der DSGVO vorgesehenen Rechte:

Das Recht, eine Aussage darüber zu verlangen, ob Ihre personenbezogenen Daten verarbeitet werden und, sofern dies der Fall ist, das Recht auf Auskunft über diese Daten: Bei Verwendung des luca-Systems werden Ihre Daten verschlüsselt gespeichert, sodass das Nutzergeheimnis in seiner unverschlüsselten Form grundsätzlich nur im Besitz der Nutzers:in verbleibt. Daher können wir im Regelfall nicht nachverfolgen, ob personenbezogene Daten einer bestimmten Person im luca-System verarbeitet werden. So wie wir besitzt unser Auftragnehmer culture4life ebenfalls nicht die zur Entschlüsselung notwendigen Schlüssel und kann Ihr verschlüsseltes Datenobjekt Ihnen nicht zuordnen, nicht entschlüsseln und nicht einsehen. Anders als wir selbst, können Sie in der eigenen Historie und den eigenen Kontaktdaten alle via luca App erhobenen und verschlüsselt gespeicherten Daten einsehen. Innerhalb der luca App haben Sie ebenfalls die Möglichkeit Ihren bei uns erhobenen Aufenthalt herunterzuladen, indem Sie den Auskunftsbutton bedienen. Alle Ihre von uns verarbeiteten Daten werden in einem regelmäßigen Zeitraum von 28 Tagen aus dem luca-System automatisch gelöscht.
Das Recht, die Berichtigung Ihrer personenbezogenen Daten zu verlangen, sofern diese unrichtig oder unvollständig sind (Art. 16 DSGVO). Sie können ausschließlich selbst ihre Kontaktdaten in der luca App berichtigen. Dieses Recht wird von den Funktionalitäten der luca App bereitgestellt. Zur Ausübung müssen Sie nur in den entsprechenden Bereich innerhalb der luca App gehen und die Korrektur/ Änderung vornehmen. Ihre Aufenthaltsdaten können nicht berichtigt werden. Eine solche Korrektur ist aufgrund der Verschlüsselung von uns sowie unserem Auftragnehmer culture4life nicht durchführbar.
Das Recht, unter bestimmten Voraussetzungen zu verlangen, dass Ihre personenbezogenen Daten unverzüglich gelöscht werden (sog. „Recht auf Vergessenwerden“) (Art. 17 DSGVO. Bei Verwendung des luca-Systems verbleibt Ihr Schlüssel/Nutzergeheimnis in seiner unverschlüsselten Form grundsätzlich nur in Ihrem Besitz. Die bei uns erhobenen Daten sind mit dem Schlüssel des Gesundheitsamtes verschlüsselt. Ohne diese Schlüssel können wir die vorgenannten Daten Ihrer Person nicht zuordnen und demgemäß nicht löschen. Alle Ihre von uns verarbeiteten Daten werden in einem regelmäßigen Zeitraum von 28 Tagen aus dem luca-System automatisch gelöscht.
Das Recht, unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen (Art. 18 DSGVO). Auch dieses Recht können wir aufgrund der Verschlüsselung und da uns selbst die zur Entschlüsselung notwendigen Schlüssel nicht vorliegen, nicht erfüllen.
Das Recht, in bestimmten Situationen der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen, sofern die Verarbeitung auf einem berechtigten Interesse von uns oder eines Dritten gemäß Art. 6 (1) 1 f) DSGVO beruht oder Ihre personenbezogenen Daten für Zwecke der Direktwerbung verarbeitet werden (Art. 21 DSGVO).
Das Recht, eine hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten gegenüber uns erteilte Einwilligung (für das Erheben des Auscheckzeitpunktes mittels Geo-Fencing sowie bei der Nutzung Ihrer Kamera) jederzeit zu widerrufen. Ein solcher Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die bis zu Ihrem Widerruf erfolgt ist. Bitte beachten Sie, dass bei Widerruf die verschlüsselten Daten aufgrund der Verschlüsselung Ihnen nicht zugeordnet und daher bis zu ihrer automatischen Löschung nicht von einer Verarbeitung ausgeschlossen werden können.

Bitte beachten Sie, dass wir Ihre personenbezogenen Daten grundsätzlich nicht in Form von Klardaten, sondern verschlüsselt verarbeiten, und wir daher in bestimmten Fällen nicht in der Lage sein werden, einer entsprechenden Aufforderung durch Sie zur Gewährung der vorgenannten Rechte nachzukommen.

Zur Ausübung dieser Rechte gegenüber uns können Sie sich auch an uns unter den in Teil A dieser Datenschutzerklärung genannten Kontaktdaten wenden. Ungeachtet der vorstehenden Rechte haben sie das Recht, Beschwerde bei unserer zuständigen Aufsichtsbehörde für Datenschutz und Informationsfreiheit einzulegen. Die Anschrift lautet:

Landesbeauftragte für Datenschutz und Informationsfreiheit
Bayerische Landesamt für Datenschutzaufsicht, Postfach 606, 91511 Ansbach

Widerruf der Einwilligung (Art. 7 Abs. 3 DS-GVO)
Auskunft (Art. 15 DS-GVO)
Berichtigung (Art. 16 DS-GVO)
Löschung (Art. 17 Abs. 1 DS-GVO)
Einschränkung der Verarbeitung (Art. 18 DS-GVO)
Datenübertragbarkeit (Art. 20 DS-GVO)
Widerspruch gegen die Verarbeitung (Art. 21 DS-GVO)
Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DS-GVO).

I. VERSION

Dies ist die aktuelle Fassung unserer Datenschutzerklärung. Wir behalten uns vor, diese Datenschutzerklärung anzupassen (insbesondere im Falle von Änderungen der Rechtslage oder Änderungen unserer Dienste). Änderungen dieser Datenschutzerklärung werden Ihnen gesondert, ggf. vor Wirksamwerden einer Änderung unserer Dienste mitgeteilt. Es empfiehlt sich gleichwohl, diese Datenschutzerklärung in regelmäßigen Abständen abzurufen.