Datenschutz und Datensicherheit bei der FAUcard


Datenschutz

  • Die Funktionen der FAUcard beruhen auf der Erhebung, Verarbeitung und Nutzung personenbezogener Daten in automatisierten Verfahren. Entsprechend den diesbzgl. Bestimmungen des Bayerischen Datenschutzgesetzes hat deshalb der Datenschutzbeauftrage der Universität das Verfahren der Einführung und Verwendung der FAUcard von Anfang an begleitet und auf der Grundlage der technischen Verfahrensbeschreibung für die Studierenden- und die Bediensteten-FAUcard freigegeben.

  • Alle für den Einsatz der FAUcard erhobenen, verarbeiteten und genutzten Daten werden nur für die Erstellung und Verwaltung der FAUcard sowie für die Nutzbarmachung ihrer Funktionen verwendet. Die Weitergabe von Daten an einzelne Funktionsträger (Studentenwerk, Universitätsbibliothek, Schließanlagenverwalter etc.) erfolgt nur insoweit, als dies zur jeweiligen Aufgabenerfüllung notwendig ist.

  • Auf der FAUcard sind folgende optisch lesbare personenbezogene Informationen aufgedruckt:
    • FAU ID (= eindeutiges Merkmal des Karteninhabers/der Karteninhaberin im Identity Management System der FAU)
    • CHIP ID (= eindeutige Nummer des Chips der Karte)
    • Nachname, Vorname, Lichtbild (bei der FAUcard für Bedienstete optional) und Matrikelnummer (bei der FAUcard für Studierende) zur optischen Identifizierung des Karteninhabers/der Karteninhaberin
    • Gültigkeitszeitraum, innerhalb dessen die Karte als Ausweis verwandt werden darf (bei der FAUcard für Bedienstete optional)
    • Bilbliotheksnummer in Barcode- und Nummerndarstellung (=eindeutiges Merkmal des Karteninhabers/der Karteninhaberin für das Bibliothekssystem)

  • Auf dem Chip der FAUcard sind folgende Merkmale gespeichert:
    • Allgemeine Merkmale (einsehbar von allen berechtigten Lesegeräten):
      - CHIP-ID
    • Für die Bezahlfunktionen des Studentenwerks (einsehbar nur von Lesegeräten des Studentenwerks):
      - Benutzergruppe (Studierende, Beschäftigte, Gäste)
      - Geldbörsensaldo
      - Gültigkeitszeitraum
      - Geldbörsennummer
      - Geldbörsenversionsnummer
      - Geldbörsenstatus aktiv/gesperrt
      - Token für Rabattierungen
    • Für die Ausweisfunktion der Universitätsbibliothek (einsehbar nur von Lesegeräten der Bibliothek):
      - Bibliotheksnummer
      - Ggfs. Nummer des Mietschließfaches (Applikation vorgesehen, aber noch nicht im Einsatz)
    • Für die elektronische Zutrittskontrolle (einsehbar nur von SIPORT-Lesegeräten):
      - Siport-Ausweisnummer
      - Siport-Ausweisversionsnummer
      - Gültigkeitsdauer
      - Offline-Berechtigungen
    • Für die elektronische Zeiterfassung (nur FAUcard für Bedienstete: kein separates Merkmal, von den AIDA-Lesegeräten wird nur die CHIP-ID ausgelesen).

  • Jeder Funktionsträger hat nur Zugriff auf die Daten, die ihm zur Wahrnehmung seiner Aufgaben zur Verfügung gestellt werden. Eine Zusammenführung der Daten an zentraler Stelle ist technisch nicht implementiert und wird auch nicht beabsichtigt.

  • Dadurch und durch die Verwendung einer sog. Random ID (=zufällig erzeugte ID beim Lesen der Karte durch ein fremdes Lesegerät) können bei der Verwendung der Karte weder Nutzungs- noch Bewegungsprofile erzeugt werden.

  • In der Mehrzahl der Fälle bedient sich die FAU für die Herstellung und den Versand der FAUcard eines auf solche Prozesse spezialisierten externen Dienstleisters. Dieser ist auf die datenschutzkonforme Verarbeitung der Daten (Zweckbindung, Löschung der Daten nach Versand) verpflichtet.

  • Sollte in besonderen Fällen, z.B. zur Abwehr einer missbräuchlichen Nutzung der Karte, der Datenaustausch zwischen mehreren Funktionsträgern erforderlich sein, so geschieht dies nur nach vorheriger Information und laufender Einbeziehung des Datenschutzbeauftragten.

Datensicherheit

  • Die im Chip der Karte abgelegten Daten sind mit einer Schlüssellänge von 128 bit verschlüsselt (AES-Verfahren). Dadurch ist nach heutigem Stand der Technik ein umfassender Schutz der Daten vor unbefugter Ausspähung gewährleistet.

  • Auch der Datenaustausch zwischen den Karte und Kartenlesern erfolgt verschlüsselt, so dass Unbefugte diesen nicht auswerten können.

  • Alle Online-Komponenten des Systems (Onlinebezahl- und Abbuchungsterminals, Validierungsstationen, etc.) werden in einem besonders geschützten Netz (VLAN) betrieben.

 

Nach oben