Wenn etwas schiefgeht

Wie du uns ein Sicherheitsproblem meldest, was dann passiert und wann wir dich informieren.

Wie du uns ein Sicherheitsproblem meldest, was wir dann tun und wie wir Betroffene und Hochschulen informieren.

Verantwortlich sind wir, nicht deine Hochschule

Für die in UNI-fied verarbeiteten Daten sind wir die verantwortliche Stelle im Sinne der DSGVO. Meldepflichten aus einem Vorfall in unserer Anwendung treffen uns, nicht die Hochschule.

Eine Schwachstelle oder einen Vorfall melden

Schreib an die Kontaktadresse aus dem Impressum und beschreib, was du beobachtet hast und wie es sich nachvollziehen lässt. Bitte melde Sicherheitsprobleme nicht über das Feedback-Board: Es ist öffentlich lesbar.

Reaktionszeiten

Eine Selbstverpflichtung, keine vertraglich geschuldete Leistung. Wir nennen sie, damit du einschätzen kannst, womit du rechnen darfst.

Eingangsbestätigung

Du weißt dann, dass deine Meldung angekommen ist und wer sie bearbeitet.

Erste Einschätzung

Was wir bis dahin wissen, was noch offen ist und ob wir etwas abgeschaltet haben.

Wenn Studierende oder Hochschulsysteme betroffen sind

• Hier warten wir keine Frist ab.

Was wir tun

Nach jeder Meldung, in dieser Reihenfolge.

Bestätigen

Wir melden den Eingang zurück, auch wenn wir noch keine Antwort haben.

Prüfen

Wir stellen fest, ob und in welchem Umfang der gemeldete Sachverhalt zutrifft.

Abschalten, falls nötig

Einzelne Anbindungen können wir auf unserer Seite deaktivieren. Du musst dafür nichts tun und keine neue Version installieren.

Zurückmelden

Wer gemeldet hat, erfährt Ursache und Maßnahme, nicht nur, dass es behoben sei.

Wer informiert wird

Bei einer Verletzung des Schutzes personenbezogener Daten.

Die Aufsichtsbehörde

• Art. 33 DSGVO

Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden, nachdem uns die Verletzung bekannt geworden ist.

Du, wenn du betroffen bist

• Art. 34 DSGVO

Wir benachrichtigen die betroffenen Personen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.

Deine Hochschule

• Freiwillig

Sind Hochschulsysteme oder ihre Nutzerinnen und Nutzer berührt, informieren wir auch die Hochschule, obwohl uns kein Gesetz dazu verpflichtet.

When something goes wrong

How to report a security problem, what happens next and when we inform you.

How to report a security problem to us, what we do then, and how we inform the people affected and universities.

We are responsible, not your university

For the data processed in UNI-fied we are the controller under the GDPR. Reporting duties arising from an incident in our application fall on us, not on the university.

Report a vulnerability or an incident

Write to the contact address in the imprint, describing what you saw and how to reproduce it. Please don't report security problems on the feedback board: it is publicly readable.

Response times

A self-commitment, not a contractual obligation. We state them so you know what to expect.

Acknowledgement

You know your report has arrived and who is handling it.

First assessment

What we know by then, what is still open and whether we have switched anything off.

When students or university systems are affected

• Here we don't wait for any deadline.

What we do

• After every report, in this order.

Acknowledge

We confirm receipt, even before we have an answer.

Investigate

We establish whether, and how far, the reported issue is real.

Switch off if needed

We can disable individual integrations on our side. You don't have to do anything or install a new version.

Report back

Whoever reported it learns the cause and the fix, not just that it has been resolved.

Who is informed

• In the event of a personal data breach.

The supervisory authority

• Art. 33 GDPR

Notified within 72 hours of us becoming aware of the breach.

You, if you are affected

• Art. 34 GDPR

We notify the people affected when there is a high risk to their rights and freedoms.

Your university

• Voluntary

If university systems or their users are touched, we inform the university too, although no law requires us to.