Datenschutzerklärung für das AStA-Antragsportal

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie das AStA-Antragsportal nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf diesem Portal

Wer ist verantwortlich für die Datenerfassung auf diesem Portal?

Die Datenverarbeitung auf diesem Portal erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur Verantwortlichen Stelle“ in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen, indem Sie einen Antrag im Portal ausfüllen. Zum anderen werden technische Daten erfasst, die für den Betrieb des Portals notwendig sind.

Wofür nutzen wir Ihre Daten?

Die erfassten Daten werden ausschließlich zur Abwicklung von Anträgen beim AStA der Technischen Hochschule Lübeck genutzt. Hierzu zählen die Anzeige, Bearbeitung, Weiterleitung an das Freigabesystem Flowwer sowie der Versand von E-Mails im Zusammenhang mit Ihrem Antrag.

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Hierzu sowie zu weiteren Fragen zum Thema Datenschutz können Sie sich jederzeit an uns wenden.

2. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieses Portals nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wir weisen darauf hin, dass die Datenübertragung im Internet Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf diesem Portal ist:

Technische Hochschule Lübeck
Mönkhofer Weg 239
23562 Lübeck
Deutschland

Telefon: +49 451 300 6
E-Mail: [email protected]

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt oder Sie die Löschung Ihres Kontos veranlassen.

Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung auf diesem Portal

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

3. Datenerfassung auf dem Antragsportal

Anmeldung über Moodle

Zur Nutzung des Portals ist eine Anmeldung über Moodle erforderlich. Dabei werden folgende Daten von Moodle übertragen und im Portal gespeichert:

• Moodle-Kennung (iss, sub, Client, Deployment/Kurs-ID, Rollen)
• Name, E-Mail-Adresse und ggf. Matrikelnummer (aus dem Moodle-Profil, nur wenn diese 4 bis 10 Ziffern hat)

Diese Daten werden zur Identifikation und zur Anzeige im Portal sowie für den Antrag benötigt. Die Speicherung erfolgt bis zur Löschung des Kontos.

Anträge und zugehörige Daten

Bei der Nutzung des Portals werden folgende Daten verarbeitet:

• Antragsdaten: Zweck, Erläuterung, Gremium/Haushaltsposten, Beträge, Links, Termine
• Bankdaten: Kontoinhaber*in und IBAN. Diese werden nur verschlüsselt gespeichert und ausschließlich bis zur Übergabe an das Freigabesystem Flowwer vorgehalten. Nach der Übergabe werden sie aus dem Portal gelöscht. In der Übersicht wird nur die Endung der IBAN angezeigt.
• Erstattungsanträge: Bei Erstattungsanträgen (z. B. Semesterticket, Doppelzahlung) werden neben Bankdaten zusätzlich Name, Matrikelnummer, Bewerbernummer, Hochschul-Mailadresse und der Grund der Erstattung erfasst. Der Grund der Erstattung kann Gesundheitsdaten im Sinne von Art. 9 DSGVO enthalten. Auch diese besonderen Kategorien von Daten werden nur verschlüsselt gespeichert und ausschließlich bis zur Übergabe an Flowwer vorgehalten, danach gelöscht.
• Anlagen und Nachweise: Hochgeladene Dateien wie Studienbescheinigungen, Schwerbehindertenausweise oder sonstige Belege werden nur bis zur Übergabe an Flowwer gespeichert und anschließend gelöscht.
• Erzeugtes PDF: Das für die Übergabe an Flowwer erzeugte PDF wird ebenfalls nur bis zur Übergabe vorgehalten und dann gelöscht.

Die übrigen Antragsdaten (ohne Bankdaten, ohne besondere Kategorien im Klartext) werden bis zur Löschung des Kontos gespeichert.

Entwürfe

Um Ihnen das Fortsetzen nicht abgeschickter Anträge zu ermöglichen, werden Entwürfe unterschiedlich gespeichert:

• Allgemeine Entwürfe: Angaben zu einem angefangenen Antrag werden ausschließlich lokal im Browser (localStorage) gespeichert, nicht auf dem Server. Sie werden nach DRAFT_TTL_HOURS (Standard: 48 Stunden) ab dem Anlegen automatisch verworfen, ohne Verlängerung. Außerdem werden sie bei Absenden, Verwerfen, Kontolöschung oder manueller Löschung entfernt.
• Bankdaten während der Eingabe: IBAN und Kontoinhaber*in werden während des Ausfüllens nur im Browser-Tab (sessionStorage) gespeichert und verfallen spätestens beim Schließen des Tabs.
• Erstattungsantrags-Entwürfe: Alle Eingaben zu Erstattungsanträgen (einschließlich Grund, Matrikelnummer, IBAN, Dateinamen der Nachweise) werden ausschließlich im Browser-Tab (sessionStorage) gespeichert. Sie verfallen beim Schließen des Tabs oder spätestens nach DRAFT_TTL_HOURS. Eine Speicherung auf dem Server findet nicht statt.

Sitzungen

Für die Anmeldung im Portal wird nur ein Hash des Session-Tokens gespeichert. Die Sitzung bleibt maximal 8 Stunden aktiv, wird jedoch nach 30 Minuten Inaktivität gelöscht.

Server-Log-Dateien

Der Provider des Portals erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien. Dies sind:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Weitergabe von Daten

Flowwer (Freigabesystem des AStA)

Nach dem Absenden wird das erzeugte PDF mit Anlagen sowie Name, Betrag, Kontoverbindung und Zweck des Antrags an das Freigabesystem Flowwer des AStA übergeben. Dort gelten die eigenen Datenschutzbestimmungen des AStA für Flowwer. Eine Löschung im Antragsportal hat keine Auswirkung auf bereits in Flowwer gespeicherte Daten.

E-Mail-Versand

Der Versand von E-Mails im Zusammenhang mit Anträgen erfolgt über den SMTP-Server des AStA. Die E-Mails enthalten nur die Vorgangsnummer, den Zweck, den Status und einen Link zum Portal. Bankdaten, sensible Angaben oder Anhänge werden nicht per E-Mail versendet.

Keine weiteren Weitergaben

Eine Weitergabe an sonstige Dritte findet nicht statt. Im Browser werden keine externen Schriften, Skripte oder sonstige Ressourcen von Drittanbietern geladen.

5. Konto löschen

Sie können Ihr Konto jederzeit über den Link „Konto löschen“ in der Kopfzeile unter dem Profilbild löschen. Durch die Löschung werden in einer Transaktion folgende Daten entfernt:

• Identitäten, Sitzungen
• Name, E-Mail-Adresse
• Alle Uploads, PDFs
• Angaben und Bankdaten aller Anträge
• Offene Benachrichtigungen

Nach der Löschung kann sich niemand mehr mit dem bisherigen Konto anmelden. Ein neuer Login legt ein neues, leeres Konto an.

Es bleiben nur Vorgangsnummern und Ereignisse (Art, Betrag, Statusverlauf) erhalten. Diese werden an eine zufällige, pseudonyme ID gebunden, deren Zuordnung zum Konto mit der Löschung entfernt wird. Das Ereignis account.deleted speichert lediglich die Anzahl der Anträge. Eine Rückführung zu einer Person ist damit nicht mehr möglich.

Auf dem verwendeten Gerät werden lokal gespeicherte Entwürfe nach erfolgreicher Kontolöschung entfernt. Auf anderen Geräten verfallen sie nach Ablauf von DRAFT_TTL_HOURS.

Solange ein Antrag noch nicht an Flowwer übergeben wurde (in der Regel wenige Minuten nach dem Absenden), kann das Konto nicht gelöscht werden. Der Löschdialog weist in diesem Fall darauf hin. Bereits an Flowwer übergebene Anträge werden dort weiterbearbeitet.

6. Ihre Rechte

• Auskunft: Über „Meine Anträge“ können Sie alle zu Ihrem Konto gespeicherten Antragsdaten einsehen. Bankdaten werden dort nur als Endung angezeigt.
• Berichtigung: Anträge können nach dem Absenden nicht mehr bearbeitet werden. Falls ein Antrag fehlerhaft ist, kann ein neuer Antrag gestellt werden.
• Löschung: Sie können Ihr Konto jederzeit vollständig löschen (siehe Abschnitt 5).
• Einschränkung der Verarbeitung: Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten unter den gesetzlichen Voraussetzungen zu verlangen.
• Datenübertragbarkeit: Soweit anwendbar, haben Sie das Recht, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruch: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogenen Daten Widerspruch einzulegen.

Zur Ausübung Ihrer Rechte können Sie sich jederzeit an die oben genannte verantwortliche Stelle wenden.

7. Backups

PostgreSQL-Backups und Write-Ahead-Logs können gelöschte Daten bis zu ihrer Rotation enthalten. Die Aufbewahrungsdauer wird so gewählt, dass sie den datenschutzrechtlichen Anforderungen entspricht (Empfehlung: maximal 30 Tage). Anwendungslogs enthalten keine personenbezogenen Daten, jedoch technische IDs und Zeitstempel; deren Aufbewahrung ist ebenfalls begrenzt.

Stand: Oktober 2026