Fassung 21.06.2024

Informationen über die Verarbeitung personenbezogener Daten gemäß Art. 12 Absatz 1 Satz 1 EU-Datenschutz-Grundverordnung

Art. 12 Absatz 1, Satz 1 der EU-Datenschutz-Grundverordnung (EU-DS-GVO), regelt: „Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 (…) in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; (…).“ Dieser Verpflichtung kommt der

als Verantwortlicher mit der nachfolgenden Information nach.

Beschreibung des Dienstes DFN-PKI

Der DFN-Verein organisiert mit dem Dienst DFN-PKI eine Public Key Infrastruktur, um digitale Zertifikate auszustellen, zu verteilen und zu prüfen. Dabei werden fortgeschrittene Zertifikate auf Basis des X.509 Standards verwendet.

Wofür werden personenbezogene Daten benötigt?

Die DFN-PKI verwendet personenbezogene Daten, um den Lebenszyklus von X.509-Zertifikaten zu verwalten.

Die Daten können in ausgestellten Zertifikaten enthalten sein, als Kontakt-Information oder als Audit-Nachweis benötigt werden, um die Vertrauenswürdigkeit der DFN-PKI nachweisen zu können.

Weiterhin werden personenbezogene Daten benötigt, um den Betrieb des Teilnehmerservice sicherzustellen.

Welche Daten werden gespeichert und verarbeitet?

• IP-Adressen, Zeitangaben und (für Teilnehmerservice-Mitarbeiter) die Namen von Nutzern der Web-Seiten und Web Services-Funktionen von pki.pca.dfn.de und ra.pca.dfn.de, sofern die Nutzer Funktionen im Bezug auf den Zertifikats-Lebenszyklus verwenden wie z.B. das Absenden eines Zertifikatantrags oder das Genehmigen eines Antrags.
• Daten, die in Zertifikate aufgenommen werden sollen:
  • Für Nutzerzertifikate: Vorname(n), Nachname(n), E-Mail-Adressen, Organisations- und Abteilungsnamen. Gegebenenfalls Gruppennamen oder Pseudonyme.
  • Für Serverzertifikate: Die Servernamen (FQDN)
• Kontaktdaten: Vorname(n), Nachname(n), E-Mail-Adresse, Organisations- und Abteilungsnamen
• Zertifikat- und Antragsdaten:
  • Öffentlicher Schlüssel
  • Fingerabdruck des öffentlichen Schlüssels
  • Vom Nutzer eingegebene PIN
  • Seriennummer des ausgegebenen Zertifikats
  • Unterschrift, Datum
  • Bei Nutzerzertifikaten: Die letzten 5 Stellen der Nummer des Ausweisdokuments (Für Zertifikate im Sicherheitsniveau "Grid" davon abweichend die vollständige Nummer)
  • Datum und Unterschrift des genehmigenden Teilnehmerservice-Mitarbeiters
• Daten von Teilnehmerservice-Mitarbeitern und handlungsberechtigten Personen:
  • Vorname(n), Nachname(n), E-Mail-Adresse, Organisations- und Abteilungsnamen, Organisationsadresse, Telefonnummer
  • Die letzten 5 Stellen der Nummer des Ausweisdokuments (Für Teilnehmerservice-Mitarbeiter, die im Sicherheitsniveau "Grid" tätig sind, davon abweichend die vollständige Nummer)
  • Handschriftliche Unterschrift
  • Gegebenenfalls Dokumente aus Identifizierungsverfahren wie z.b. Postident
  • E-Mail-Adressen zum Verteilen von Betriebsinformationen

Aufgrund welcher Rechtsgrundlage werden die Daten verarbeitet?

Die Verarbeitung Ihrer personenbezogener Daten erfolgt bei einem Nutzerzertifikat aufgrund der von Ihnen zu Beginn erteilten Einwilligung in die Datenverarbeitung durch den DFN-Verein gemäß Art. 6 Abs. 1 Buchstabe a) DSGVO. Die aufgrund der Einwilligung erhobenen Daten sind allesamt erforderlich für die Verwaltung des Lebenszyklus von X.509 Zertifikaten, so dass eine Teilnahme nur bei vollständiger Angabe der Informationen möglich ist. Sie können Ihre Einwilligung jederzeit widerrufen. Durch den Widerruf endet die Möglichkeit zur Teilnahme. Trotz des Widerrufs bleibt die Verarbeitung Ihrer Daten zwischen der Erteilung der Einwilligung und dem Zeitpunkt des Widerrufs zulässig. Nach erfolgtem Widerruf werden Ihre Daten gelöscht, soweit keine Löschhindernisse entgegenstehen. Die Löschung von veröffentlichten Daten auf Systemen Dritter ist durch deren Verbreitung allerdings praktisch nicht möglich. Die Seriennummern von gesperrten Zertifikaten müssen wir aus rechtlichen Gründen auch nach der Sperrung veröffentlichen.

Die Verarbeitung von personenbezogenen Daten erfolgt bei einem Serverzertifikat aufgrund von Art. 6 Abs. 1 Buchstabe b) zur Durchführung des Vertrages zwischen dem DFN-Verein und der betreffenden Teilnehmereinrichtung. Die Daten werden nach Beendigung des Vertragsverhältnisses gelöscht, soweit keine Löschhindernisse entgegenstehen. Die Seriennummern von gesperrten Zertifikaten müssen wir aus rechtlichen Gründen auch nach der Sperrung veröffentlichen.

Die Verarbeitung von personenbezogenen Daten von Teilnehmerservice-Mitarbeitern und handlungsberechtigten Personen erfolgt aufgrund von Art. 6 Abs. 1 Buchstabe b) zur Durchführung des Vertrages zwischen dem DFN-Verein und der betreffenden Teilnehmereinrichtung. Die Daten werden nach Beendigung des Vertragsverhältnisses gelöscht, soweit keine Löschhindernisse entgegenstehen.

An wen und wie werden die Daten weitergegeben?

Die folgenden Daten werden veröffentlicht:

• Die Seriennummer von Zertifikaten, die gesperrt wurden
• Die Zertifikate mit den enthaltenen Daten, wenn der Zertifikatinhaber darin eingewilligt hat. Der Zertifikatinhaber kann die Einwilligung zu Veröffentlichung widerrufen. Die Löschung von veröffentlichten Daten auf Systemen Dritter ist durch deren Verbreitung allerdings praktisch nicht möglich.
• Serverzertifikate werden bei Zustimmung zur Veröffentlichung zum Zeitpunkt der Zertifikatausstellung auf sog. Certificate Transparency Log Server hochgeladen. Diese Log Server werden von Dritten betrieben. Eine Veröffentlichung kann nicht rückgängig gemacht werden.

Im Rahmen der Verwaltung des Lebenszyklus von X.509 Zertifikaten werden die oben genannten Daten auch durch die DFN-CERT Services GmbH, Team PKI, Nagelsweg 41, 20097 Hamburg verarbeitet. Die Verarbeitung dort erfolgt aufgrund einer zwischen DFN-Verein und DFN-CERT Services GmbH bestehenden Vereinbarung zur Auftragsverarbeitung.

Wann werden die Daten gelöscht?

Die Daten werden gelöscht, wenn sie für die Verwaltung des Lebenszyklus des jeweiligen X.509 Zertifikats nicht mehr erforderlich sind.

Die Löschung von veröffentlichten Daten auf Systemen Dritter ist durch deren Verbreitung allerdings praktisch nicht möglich.

Hinweise zum Umgang mit Cookies und lokalem Browserspeicher:

Wenn Sie die Webschnittstelle der DFN-PKI verwenden, gilt: Cookies werden nur gesetzt, wenn der Nutzer dies in den Einstellungen seines Browsers zulässt und dies zur Nutzung der Webseite notwendig ist. Es kommen ausschließlich Sitzungscookies zum Einsatz, die keine personenbezogenen Daten enthalten. Sie dienen der eindeutigen Zuordnung der Anfragen mehrerer zeitgleich angemeldeter Nutzer sowie dem Vorhalten einiger vom Nutzer getroffener Konfigurationsoptionen und werden mit Schließen des Browsers automatisch gelöscht. Ohne die Annahme von Sitzungscookies ist die Nutzung der Webseite nicht möglich.

Im Rahmen der Beantragung von Zertifikaten werden je nach Verfahren Daten im Zwischenspeicher Ihres Browsers abgespeichert ("LocalStorage"). Diese umfassen:

• Für Nutzerzertifikate: Vorname(n), Nachname(n), E-Mail-Adressen, Organisations- und Abteilungsnamen. Gegebenenfalls Gruppennamen oder Pseudonyme.
• Für Serverzertifikate: Die Servernamen (FQDN) und Kontaktdaten (Vorname(n), Nachname(n), E-Mail-Adresse, Organisations- und Abteilungsnamen).
• Für alle Zertifikate: Öffentlicher Schlüssel, passwortgeschützte privater Schlüssel, passwortgeschützte Sperr-PIN, Antragsnummer, Datum der Beantragung.

Rechte betroffener Personen:

Art. 15 DSGVO regelt ein Auskunftsrecht, und damit das Recht einer betroffenen Person, eine Bestätigung zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und gegebenenfalls auf Auskunft über diese Daten und über Informationen unter anderem über die Verarbeitungszwecke, deren Herkunft, Empfänger, über die Dauer der Speicherung sowie über ihre Rechte.

Art. 16 DSGVO eröffnet das Recht, die Berichtigung sowie im Hinblick auf den Zweck die Vervollständigung sie betreffender unzutreffender personenbezogener Daten zu verlangen.

Art. 17 Abs. 1 DSGVO statuiert - mit bestimmten Ausnahmen - das Recht, die Löschung von Daten zu verlangen. Art. 17 Abs. 2 DSGVO regelt ein „Recht auf Vergessenwerden“, wenn die verantwortliche Stelle die zu löschenden Daten öffentlich gemacht hat.

In bestimmten Fällen kann nach Art. 18 DSGVO auch die Einschränkung der Verarbeitung verlangt werden – zum Beispiel, wenn der Verantwortliche die Daten nicht mehr, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt.

Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO gibt unter bestimmten Voraussetzungen einen Anspruch, eine Kopie von personenbezogenen Daten in einem üblichen und maschinenlesbaren Dateiformat zu erhalten.

Nach Art. 77 EU-DS-GVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Kontaktdaten der Datenschutzbeauftragten im DFN-Verein: