Institutionelle Grundlage für Datenverarbeitungsvereinbarungen.

Gegenstand

Eine Datenverarbeitungsvereinbarung sollte, soweit erforderlich, festlegen, wie NODOVOX und die Institution technische, institutionelle, analytische, Kontakt- und bibliografische Integrationsdaten verwalten.

Die endgültigen Bedingungen werden durch Vertrag, technischen Anhang, kommerziellen Anhang oder ein von den Parteien unterzeichnetes spezifisches Dokument festgelegt.

Rollen der Parteien

Die rechtlichen Rollen jeder Partei sollten nach vertraglichem Umfang, anwendbarer Rechtsordnung und Art der betroffenen Daten definiert werden.

• vertragsschließende Institution;
• NODOVOX als Technologieanbieter;
• integrierte Anbieter oder Repositorien;
• autorisierte technische Dritte, sofern vorhanden.

Mögliche Daten

Je nach Fall kann NODOVOX Folgendes verarbeiten:

• institutionelle Kontaktdaten;
• technische Sitzungsdaten;
• technische IP-Daten für Sicherheit, institutionelle Zuordnung oder Missbrauchsprävention;
• Such- und Nutzungsereignisse;
• aggregierte Metriken;
• Kennungen von Institutionen, Anbietern oder Sammlungen;
• Sicherheits-, Fehler- oder Rate-Limit-Logs;
• von Institutionen, Repositorien oder Anbietern bereitgestellte bibliografische Metadaten.

Nicht erforderliche Daten für grundlegende Discovery

Für den grundlegenden institutionellen Discovery-Betrieb benötigt NODOVOX nicht:

• vollständige Studierendendatenbanken;
• Personalausweis- oder Matrikelnummern von Endnutzern;
• institutionelle Passwörter;
• Campus-Zugangsdaten;
• individuelle akademische Verläufe;
• interne Verwaltungsdaten, die für den Dienst nicht erforderlich sind.

Zwecke

Die Verarbeitung kann betrieblichen, technischen, Support-, Sicherheits-, Interoperabilitäts- und aggregierten institutionellen Messzwecken dienen.

• die Plattform betreiben;
• Metadaten, Holdings, Kataloge, Sammlungen oder Repositorien integrieren;
• technischen oder institutionellen Support bereitstellen;
• Missbrauch, Spam oder unbefugte Zugriffe verhindern;
• aggregierte Berichte erstellen;
• den technischen Betrieb prüfen;
• Discovery, Metadaten und Nutzererfahrung verbessern.

Trennung und Zugriff

Institutionelle Portale sollten Informationen nach Institution filtern und eine unbefugte Offenlegung von Daten anderer Kunden, Anbieter oder Quellen verhindern.

Administrativer Zugriff sollte auf autorisierte Personen und konkrete betriebliche Erfordernisse beschränkt sein.

Betriebliche Sicherheit

NODOVOX setzt Kontrollen ein, um die öffentliche Offenlegung interner Dokumentation, Backups, Logs, Dumps, Testdateien und sensibler technischer Ressourcen zu reduzieren.

Spezifische Maßnahmen können durch technische Anhänge, SLAs, Vertraulichkeitsvereinbarungen oder institutionelle Anforderungen erweitert werden.

Aufbewahrung und Löschung

Aufbewahrungsfristen sollten nach Zweck, Support, Sicherheit, Prüfung, Vertrag und technischen Anforderungen festgelegt werden.

Am Ende einer Vertragsbeziehung können die Parteien je nach Fall Rückgabe, begrenzte Aufbewahrung, Anonymisierung oder Löschung der Daten vereinbaren.

Vorfälle und Anfragen

Vorfallmeldungen, Informationsersuchen oder Fragen zur Datenverarbeitung sollten über vereinbarte institutionelle Kanäle bearbeitet werden.

Bezug zu anderen Dokumenten

Dieses Dokument wird durch Datenschutzrichtlinie, Nutzungsbedingungen, Cookies und Sitzungen, Sicherheit und Vertrauen, SLA, SaaS-Vertrag und technische Anhänge ergänzt.