Wir, die CAMPUS 02 – Fachhochschule der Wirtschaft GmbH (kurz FH CAMPUS 02), Körblergasse 126, 8010 Graz, gewähren Mitarbeiter*innen, nebenberuflich Lehrenden und Studierenden Zugang zu den KI (künstlichen Intelligenz) gesteuerten bzw. gestützten Funktionen AI Assist und im Einzelfall auch zur Transkription der Software MAXQDA von der VERBI GmbH, Invalidenstr. 74, 10557 Berlin. Die Software MAXQDA wird zur qualitativen Daten- und Textanalyse, vor allem im Rahmen von Marktforschungsprojekten verwendet.

Bei dem AI Assist handelt es sich um einen virtuellen Forschungsassistenten, welcher mithilfe von KI verschiedene Funktionen bietet, wie die Textbearbeitung und -analyse. Vor der ersten Nutzung muss ein MAXQDA-Account erstellt werden. Durch die Transkription können Audiodateien transkribiert, also in einen schriftlichen Text übertragen werden. Die VERBI GmbH versichert, dass Daten nicht für das Training der verwendeten KI-Modelle verwendet wird.

Im Rahmen der Registrierung und Nutzung beider KI Funktionen durch Sie als Angehörige*r der FH werden insbesondere folgende personenbezogene Daten von MAXQDA verarbeitet:

• Account-Daten (wie Name, E-Mail-Adresse, Passwort), Informationen zu Betriebssystem und Hardware, UserID, verwendete MAXQDA Version, Datum sowie Uhrzeit der Nutzung, Sprache
• AI Assist Funktionen und Optionen, Textlänge, Token, OS Version
• Audiodateien (bei Nutzung der Transkriptionsfunktion) und deren Länge, Dateiname, eigenes Vokabular, Datum und Uhrzeit der Abschrift, Datum und Uhrzeit des Downloads bzw. der Bereitstellung der Datei
• sonstige Inhalts- bzw. Projektdaten (z.B. Texte)
• Nutzungsdaten (Login-Zeitpunkt, IP-Adresse, E-Mail-Adresse) in aggregierter Form

Die Nutzung von MAXQDA AI Assist & Transkription ist freiwillig. Es besteht keine Pflicht zur Bereitstellung Ihrer personenbezogenen Daten. Mit der beschriebenen Datenverarbeitung erfolgt keine automatisierte Entscheidungsfindung und kein Profiling.

Grundsätzlich werden die Daten direkt bei Ihnen als Nutzer*in erhoben. Je nach Formulierung der Eingaben kann die Verarbeitung jedoch auch Daten natürlicher Personen umfassen – in diesem Fall werden die Daten durch Eingabe einer Nutzerin*eines Nutzers erhoben. Um dem entgegenzuwirken, ist die Eingabe von personenbezogenen Daten organisatorisch durch die Nutzungsbedingungen (sofern möglich) untersagt.

Die im Zuge der Zurverfügungstellung und Nutzung der KI-Funktionen erfolgende Datenverarbeitung dient insbesondere dem Zweck der Lehre, Forschung und Verwaltung. Die Anwendung soll Studierende, nebenberuflich Lehrende und Mitarbeiter*innen im Rahmen der Forschungs-, Lehr-, Lern- und Verwaltungstätigkeit unterstützen.

Eine Verarbeitung von personenbezogenen Daten durch die Verbi GmbH erfolgt zum Zwecke der Bereitstellung der KI-Funktionen. Die Verbi GmbH sichert zu, dass keine Daten zum Training der KI verarbeitet werden.

Die Verarbeitung von personenbezogenen Daten basiert

• zum Zweck der Unterstützung der Forschung unter anderem auf dem Forschungsorganisationsgesetz (FOG), insbesondere auf dem zweiten Abschnitt des FOG (wie § 2d Abs. 2 Z 1 lit. c FOG, § 2f (5) FOG) iVm Art. 6 Abs. 1 lit. e und lit. f der Datenschutz-Grundverordnung (DSGVO),
• zum Zweck des effektiven und effizienten Lehrens und Lernens auf dem Fachhochschulgesetz (FHG), insbesondere § 3 Abs. 1 Z. 1 FHG iVm Art. 6 Abs. 1 lit. c DSGVO, § 2f (5) FOG und auch auf der Erfüllung des Ausbildungs-, Dienstvertrags sowie Lehrauftrags iVm Art. 6 Abs. 1 lit. b DSGVO,
• zum Zweck der effizienten Erfüllung gesetzlicher Aufgaben in der Verwaltung auf dem FHG, Allgemeinen Sozialversicherungsgesetz (ASVG), Bildungsdokumentationsgesetz (BilDokG), Hochschul-Qualitätssicherungsgesetz (HS-QSG), Einkommensteuergesetz (EStG), Umsatzsteuergesetz (UStG) iVm Art. 6 Abs. 1 lit. c DSGVO; sowie zur Erfüllung der Ausbildungs- und Dienstverträge auf Art. 6 Abs. 1 lit. b DSGVO. Zudem liegt in der Vermeidung eines unnötigen Verwaltungsaufwandes und in der effizienten Prozessgestaltung ein berechtigtes Interesse der FH.
• bei Eingaben der betroffenen Personen über eigene personenbezogene Daten auch auf der Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO.

Eine weitere Legitimation ergibt sich zudem aus dem KI-Gesetz (AI-Act), in dem in Art. 1 Abs. 1 die Förderung der Einführung einer auf Menschen ausgerichteten und vertrauenswürdigen KI mit gleichzeitiger Gewährleistung eines hohen Schutzniveaus und Unterstützung von Innovation vorgesehen wird.

Bei der Verarbeitung von Diktataufnahmen handelt es sich zwar grundsätzlich um die Verarbeitung biometrischer Daten, da Aufzeichnungen der Stimme objektiv dafür geeignet sind, Personen zu identifizieren. Nachdem diese biometrischen Daten in diesem Fall allerdings nicht zum Zweck der eindeutigen Identifizierung einer natürlichen Person herangezogen werden dürfen, werden keine besonderen Kategorien personenbezogener Daten verarbeitet, eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO ist daher nicht erforderlich.

Etwaige bei uns gespeicherte personenbezogene Daten, wie zB Benutzerdaten, werden grundsätzlich nach Beendigung des Ausbildungs-, Dienstvertrags bzw. Lehrauftrags unter Berücksichtigung der jeweils gültigen rechtlichen Aufbewahrungspflichten sukzessive gelöscht (die jeweiligen Datenschutzerklärungen sind hier abrufbar).

Verbi und ihre herangezogenen Drittanbieter halten die personenbezogenen Daten solange wie es für den Zweck der Bereitstellung ihrer Dienste erforderlich ist. Im Rahmen des AI Assist werden die Daten auf Servern in der EU verarbeitet. Die in AI Assist eingegebenen Daten werden in der Regel sofort nach der Verarbeitung, spätestens jedoch 30 Tage nach Verarbeitung von den Servern gelöscht. Im Rahmen der Transkription werden die hochgeladenen Dateien sowie das erstellte Transkript automatisch nach 7 Tagen beim Dienstleister gelöscht. Das Transkript ist anschließend im MAXQDA Account auf Servern in Deutschland verfügbar. Das Transkript wird 7 Tage nach dem Download gelöscht. Accountdaten werden für die Dauer der Vertragsbeziehung verarbeitet.

Die Speicherdauer verlängert sich in allen Fällen um eine etwaige darüberhinausgehend längere Dauer der Anhängigkeit eines gerichtlichen oder behördlichen Verfahrens, in dem die FH CAMPUS 02 Parteistellung hat und diese Daten verfahrensgegenständlich sind.

Ihre personenbezogenen Daten werden von uns vertraulich behandelt und grundsätzlich nur durch Mitarbeiter*innen der FH CAMPUS 02 intern verarbeitet.

Auch von uns eingesetzte Auftragsverarbeiter*innen können zur Erfüllung der beschriebenen Zwecke Daten für uns verarbeiten, wenn diese hinreichende Garantien für die Sicherheit der Daten bieten. Die oben genannten Datenkategorien werden zB. im Supportfall durch externe IT-Dienstleister*innen eingesehen und verarbeitet.

Hosting in der EU und Drittlandsübermittlung

Als Auftragsverarbeiter wird die Verbi GmbH eingesetzt. Bei der Nutzung von AI Assist und der Transkription werden Daten auf einem Cloudserver gespeichert und zur Weiterverarbeitung mit Methoden der künstlichen Intelligenz an Sub-Dienstleister weitergegeben. Eine regelmäßig aktualisierte Liste der eingesetzten Dienstleister bzgl AI Assist und Transkription findet sich hier: https://www.maxqda.com/de/drittdienstleister

Die Sub-Dienstleister verarbeiten Daten als Auftragsverarbeiter für die Verbi GmbH, welche zu diesem Zweck einen Auftragsverarbeitungsvertrag mit den Dienstleistern geschlossen hat. Grundsätzlich finden das Hosting und die Datenverarbeitung innerhalb der EU statt. Sofern im Einzelfall personenbezogene Daten in einem Drittland verarbeitet werden (da sich Muttergesellschaften in einem Drittland befinden und eine Übermittlung nicht ausgeschlossen werden kann), für das die EU-Kommission keinen Angemessenheitsbeschluss erlassen hat, trifft die Verbi GmbH mit dem Abschluss von Standardvertragsklauseln oder anderen Garantien gemäß Art. 46 ff DSGVO geeignete Maßnahme für die Übermittlung.

Zu den von der Verbi GmbH herangezogenen Dienstleistern gehören Amazon Web Services EMEA SARL (AWS), 38 Avenue John F. Kennedy, L-1855, Luxemburg, wobei sich die Muttergesellschaft in den USA befindet, sowie Cantab Research Limited, 296 Cambridge Science Park, Milton Road, Cambridge, CB4 0WD, United Kingdom. Hinsichtlich des United Kingdom besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Die Europäische Kommission hat am 10.07.2023 einen Angemessenheitsbeschluss zum Data Privacy Framework (Datenschutzabkommen zwischen EU und USA) gefasst. Wenn sich Anbieter in den USA gemäß dieser Datenschutzvorgaben (die unter anderem den Datenzugang der US-Behörden beschränken und Rechtsschutz für EU-Bürger*innen einräumen) zertifizieren, wird grundsätzlich ein angemessenes Datenschutzniveau für Datenübermittlungen gewährleistet. Welche Anbieter in der Liste aufgenommen sind, kann hier überprüft werden: https://www.dataprivacyframework.gov/s/participant-search

So hat sich Amazon Web Services dieser Selbstzertifizierung unterzogen. Die Datenübermittlung kann daher auch auf den Angemessenheitsbeschluss zum Data Privacy Framework als gültige Rechtsgrundlage für Datenübermittlungen in die USA gestützt werden.

Weitere Informationen sind der Datenschutzerklärung, den AGB und der Website der Verbi GmbH zu entnehmen: https://www.maxqda.com/wp/wp-content/uploads/sites/1/VERBI_Datenschutzerklaerung_Software_DE.pdf

https://www.maxqda.com/de/wp/wp-content/uploads/sites/1/VERBI_AGB-MAXQDA-Add-Ons_de.pdf

https://www.maxqda.com/de/produkte/ai-assist

https://www.maxqda.com/de/ki-und-datenschutz