Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

1. Beschreibung der Verarbeitung

OpenHospi ist eine kostenlose, Open-Source-Plattform, auf der Studierende in den Niederlanden Zimmer finden und anbieten können. Nutzer authentifizieren sich über institutionelle SSO, erstellen Profile, inserieren Zimmer, durchsuchen Angebote, bewerben sich auf Zimmer und kommunizieren über Ende-zu-Ende verschlüsselten Chat. Alle Nutzer sind verifizierte Studierende an niederländischen Bildungseinrichtungen. Die Verarbeitung umfasst Profildaten, Wohnungsdaten, Kommunikationsdaten, Bewerbungsdaten, Sitzungsdaten, Push-Benachrichtigungs-Tokens und Einwilligungsdatensätze.

2. Notwendigkeit und Verhältnismäßigkeit

Die Datenerhebung beschränkt sich auf das für die Plattformfunktion strikt Notwendige, gemäß dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO).

• Profildaten ermöglichen die Vermittlung (Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO)
• Standortdaten ermöglichen die geografische Suche
• E2E-verschlüsselter Chat gewährleistet die Kommunikationsprivatsphäre (Art. 25 und Art. 32 DSGVO)
• Keine Daten werden verkauft oder zu Marketingzwecken an Dritte weitergegeben
• Es werden keine automatisierten Entscheidungen im Einzelfall oder Profiling eingesetzt (Art. 22 DSGVO)

3. Risiko: Verarbeitung von Profildaten

4. Risiko: Standortdaten (Zimmerkoordinaten)

5. Risiko: Chatnachrichteninhalt

6. Risiko: Fotospeicherung

8. Risiko: Moderation, temporär entschlüsselte Nachrichten

9. Risiko: Kalender-Feed-URL-Leck

10. Risiko: Crash-Reporting-Daten

11. Kinder (Art. 8 DSGVO)

Alle Nutzer authentifizieren sich über institutionelle SSO, was eine Einschreibung an einer akkreditierten niederländischen Bildungseinrichtung erfordert. Dies stellt wirksam sicher, dass alle Nutzer 16 Jahre oder älter sind, gemäß Art. 5 UAVG (in Umsetzung von Art. 8 Abs. 1 DSGVO). Eine separate Altersverifikation ist daher nicht erforderlich.

12. Fazit

Die Verarbeitungstätigkeiten von OpenHospi weisen nach Umsetzung der Maßnahmen akzeptable Restrisiken auf. Die Plattform setzt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) um, durch Ende-zu-Ende-Verschlüsselung, Row-Level Security, Datenminimierung, automatisierte Aufbewahrungsregeln und transparente Verarbeitung. Es verbleiben keine hohen Restrisiken, die eine vorherige Konsultation der Autoriteit Persoonsgegevens gemäß Art. 36 DSGVO erfordern würden.