UniteOS · Sicherheit und DSGVO
Wir betreiben eure Community- und Kollaborationsplattform mit UniteOS von wechange in zertifizierten Rechenzentren in Deutschland und Finnland. Hier findet ihr die Antworten, die eure Datenschutzbeauftragten und eure IT vor einer Entscheidung brauchen, zum Nachlesen und zum Weitergeben.
Unsere Plattformen laufen bei der Hetzner Online GmbH aus Gunzenhausen, in Rechenzentren in Deutschland und Finnland. Hetzner ist für seine Rechenzentren und Hosting-Dienstleistungen nach ISO/IEC 27001:2022 zertifiziert, und TÜV Rheinland prüft die technischen und organisatorischen Maßnahmen jedes Jahr. Die Rechenzentren laufen mit Strom aus erneuerbaren Quellen.
Hetzner ist ein deutsches Unternehmen. Für die Standorte in Deutschland nimmt es nach eigener Auskunft nur Anfragen deutscher Behörden und Gerichte an, für Finnland nur Anfragen finnischer Stellen. Wo eure Daten liegen und wer sie verarbeitet, ist damit klar geregelt. Das ist eine wichtige Grundlage für die Datensouveränität eurer Organisation.
Eure Organisation bleibt verantwortlich für die Daten auf eurer Plattform, wir verarbeiten sie in eurem Auftrag. Dafür schließen wir mit euch einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Darin stehen die technischen und organisatorischen Maßnahmen und die Dienstleister, die wir für den Betrieb einsetzen. Den Vertrag und die Liste der Dienstleister bekommt ihr auf Anfrage vorab, damit eure Datenschutzbeauftragten sie in Ruhe prüfen können.
Wir verkaufen keine Daten, zeigen keine Werbung und werten das Verhalten eurer Nutzer:innen nicht für Werbung aus. Für katholische und evangelische Träger gelten KDG und DSG-EKD; sprecht uns an, was euer Vertrag dafür enthalten muss.
Die Plattform bietet eine Zwei-Faktor-Anmeldung mit einer App für Einmalcodes und Ersatzcodes für den Notfall.
Die Plattform lässt sich über OpenID Connect an das Anmeldesystem eurer Organisation anbinden. Eure Leute melden sich dann mit ihrem gewohnten Konto an.
Ihr legt fest, wer welche Bereiche sieht. Mitarbeitende, Engagierte, Mitglieder und Partnerorganisationen sehen nur, wofür ihr sie freischaltet.
Nutzer:innen können ihr Profil selbst löschen. Die Plattform deaktiviert es zuerst und löscht es nach einer Frist endgültig. Gruppenadmins können Daten aus ihren Gruppenbereichen exportieren.
Auf MokWi arbeiten Verwaltung, Vereine, Initiativen und engagierte Bürger:innen der KielRegion zusammen. Sie haben ihre eigenen Bereiche auf der Plattform, die interne IT der Verwaltung bleibt für sie geschlossen.
Kim Strupp, KielRegion GmbH
In vielen Vereinen und Projekten läuft die Abstimmung über Messenger auf privaten Handys. Die Stiftung Datenschutz sieht das kritisch, wenn eine App das Adressbuch ausliest: Der Verein wird dann für die Kontakte auf den privaten Geräten mitverantwortlich. Einen Chat in einem Mitgliederportal bewertet sie deutlich günstiger.
Auf eurer Plattform liegen Kontakte, Gespräche und Dokumente an einem Ort, den ihr verwaltet. Ihr könnt Auskunft geben, Daten löschen und Zugänge entziehen, wenn jemand geht. Zu euren Aufgaben gehören unter anderem das Verzeichnis der Verarbeitungstätigkeiten und passende Datenschutzhinweise für eure Mitglieder. Was ihr beachten müsst, wenn Ehrenamtliche und Partnerorganisationen auf eurer Plattform mitarbeiten, beschreibt unser Leitfaden DSGVO-konforme Zusammenarbeit mit Externen.
Kopiert diese Angaben und gebt sie weiter.
wechange eG, Berlin, als Auftragsverarbeiter nach Art. 28 DSGVO
Hetzner Online GmbH, Standorte in Deutschland und Finnland
ISO/IEC 27001:2022 für den Rechenzentrumsbetreiber, jährliche Prüfung der technischen und organisatorischen Maßnahmen durch TÜV Rheinland
UniteOS von wechange, Open Source unter AGPL, Code öffentlich auf GitHub
verschlüsselt über HTTPS
Zwei-Faktor-Anmeldung mit Einmalcodes verfügbar, Anbindung an euer Anmeldesystem über OpenID Connect möglich
keine Werbung, keine Werbe-Tracker, keine Dienste von Google
Gruppenadmins exportieren Daten aus einzelnen Gruppenbereichen als CSV oder JSON, Betreiber:innen der Plattform Nutzer- und Gruppendaten als CSV oder XLSX
Wie es um die übrigen Werkzeuge eurer Organisation steht, zeigt euch unser Datenschutz-Schnellcheck: In wenigen Minuten seht ihr, wo sie nach DSGVO, KDG oder DSG-EKD Fragen aufwerfen.
Wir betreiben die Plattformen nach den Vorgaben der DSGVO: mit Hosting in der EU, einem Vertrag zur Auftragsverarbeitung und Software, deren Code alle prüfen können. Ob eure Nutzung insgesamt passt, hängt auch davon ab, wie ihr die Plattform einsetzt. Dabei helfen euch eure Datenschutzbeauftragten, und wir beantworten ihre Fragen.
In Rechenzentren der Hetzner Online GmbH in Deutschland und Finnland.
Für unsere Plattformen wählen wir Rechenzentren in Deutschland und Finnland. Hetzner akzeptiert dort nach eigener Auskunft nur Anfragen deutscher beziehungsweise finnischer Behörden und Gerichte. Diese können Daten aufgrund internationaler Abkommen an ausländische Behörden weitergeben.
Gruppenadmins exportieren Daten aus einzelnen Gruppenbereichen, Betreiber:innen der Plattform Nutzer- und Gruppendaten. Mehr dazu und zum Wechsel des Anbieters steht auf unserer Seite zu Open Source und Hosting.
Wir zeigen euch die Plattform und beantworten die Fragen eurer Datenschutzbeauftragten und eurer IT direkt im Gespräch.
