Datenschutzerklärung – IntraDB Datenportal (LMU)

1. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO

Ludwig-Maximilians-Universität München
Institut für Finance und Banking
Prof. Dr. Ralf Elsas-Nicolle (Institutsdirektor)
Ludwigstraße 28 (RG), Raum 515
80539 München
Telefon: +49 89 2180-2757
E-Mail: elsas@lmu.de

2. Datenschutzbeauftragte:r der LMU

Behördlicher Datenschutzbeauftragter der Ludwig-Maximilians-Universität München
Geschwister-Scholl-Platz 1, 80539 München
Telefon: +49 89 2180-2414
Kontaktformular: https://www.lmu.de/datenschutz

3. Zweck und Rechtsgrundlage der Verarbeitung

Das IntraDB Datenportal stellt Mitarbeitenden und Studierenden der LMU München sowie autorisierten externen Forschenden authentifizierten Zugriff auf Intra-Day-Finanzmarktdaten für Forschung und Lehre bereit. Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Authentifizierung, Autorisierung, Freischaltung neuer Nutzer:innen, Protokollierung des Datenzugriffs sowie der Erkennung und Verhinderung von Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. e und Abs. 3 DSGVO i.V.m. Art. 4 Abs. 1 BayDSG sowie Art. 2 Abs. 1 BayHIG (Aufgaben der Hochschulen in Forschung und Lehre). Für die Erkennung von Missbrauch und die manuelle Sperrung von Nutzer:innen gilt zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Aufrechterhaltung des sicheren Betriebs und der Einhaltung von Lizenzbedingungen).

4. Verarbeitete personenbezogene Daten

4.1 SAML-Login-Attribute

Beim Login über den Identity Provider der LMU München (https://lmuidp.lrz.de/idp/shibboleth) bzw. über die DFN-AAI-Föderation und eduGAIN werden mittels SAML 2.0 folgende Attribute an das Datenportal übermittelt und verarbeitet:

• uid – Benutzerkennung der Heimateinrichtung
• mail – dienstliche E-Mail-Adresse
• displayName – Anzeigename (Vor- und Nachname)
• eduPersonEntitlement – Berechtigungs-Tags
• eduPersonScopedAffiliation – Zugehörigkeit (z.B. member@lmu.de, student@lmu.de)

4.2 Freischaltungsverfahren

Neue Nutzer:innen müssen vor dem ersten Datenzugriff durch Administrator:innen manuell freigeschaltet werden. Dazu wird beim ersten Login automatisch ein Antrag mit folgenden Daten angelegt:

• E-Mail-Adresse (aus SAML-Attribut mail)
• Anzeigename (aus SAML-Attribut displayName)
• Heimateinrichtung (aus eduPersonScopedAffiliation)
• Status (pending, approved oder denied)
• Admin-Berechtigung (ja/nein)
• Zeitpunkt der Antragstellung und der Entscheidung
• Identität der entscheidenden Administrator:in

Bei jedem neu angelegten Antrag wird automatisch eine Benachrichtigung an die zuständige Administrator:in (K.Scheurer@lmu.de) per E-Mail versendet. Diese Mail enthält Name, E-Mail-Adresse, Einrichtung und Zeitpunkt des Antrags.

4.3 Download-Protokollierung (Statistik)

Zu jedem Datenabruf werden gespeichert:

• Einrichtung (z.B. lmu.de)
• dienstliche E-Mail-Adresse
• abgefragte ISIN(s)
• Börse und Library
• Zugriffsart (Web oder API)
• übertragene Datenmenge
• Zeitstempel

Diese Daten dienen der Auswertung der Dienstnutzung sowie der Erkennung von Missbrauch.

4.4 Automatisches Flagging

Das System erkennt automatisch auffälliges Download-Verhalten. Erfolgreiche Downloads werden in einer internen Übersicht markiert, wenn folgende Schwellen überschritten werden:

• mehr als 50 GB Download-Volumen an einem einzelnen Tag, oder
• mindestens 30 GB Download-Volumen an vier aufeinanderfolgenden Tagen.

Die Markierung umfasst E-Mail-Adresse, Grund und Zeitpunkt der Erkennung. Sie dient ausschließlich zur Information der Administrator:innen und führt nicht automatisch zu einer Sperrung.

4.5 Manuelle Sperrung

Administrator:innen können bei missbräuchlicher Nutzung den Zugang einzelner Nutzer:innen manuell sperren. Dazu werden E-Mail-Adresse, Grund und Zeitpunkt der Sperrung gespeichert. Die Sperrung bleibt bestehen, bis sie manuell aufgehoben wird. Betroffene werden bei einem Zugriffsversuch entsprechend informiert.

4.6 API-Token-Verwaltung

Bei der Erzeugung eines persönlichen API-Tokens werden zur Zuordnung der späteren API-Zugriffe gespeichert:

• Benutzerkennung (sub)
• E-Mail-Adresse
• Einrichtung

4.7 Technische Betriebsdaten

Zusätzlich werden technische Daten zur Aufrechterhaltung des Betriebs verarbeitet (Session-Identifier, Refresh-Tokens, Access-Tokens, Zugriffszeitpunkte).

5. Speicherdauer

• Refresh-Tokens (Session-Wiederherstellung): Gültigkeit 7 Tage ab Erstellung. Abgelaufene Tokens werden nach einer Karenzzeit von 30 Tagen (insgesamt 37 Tage nach Ausstellung) automatisch aus der Datenbank gelöscht.
• Access-Tokens (Cookie): Gültigkeit 15 Minuten, automatischer Ablauf im Browser.
• API-Tokens: Gültigkeit 30 Tage ab Erstellung. Das zugehörige Mapping (Benutzerkennung, E-Mail, Einrichtung) bleibt erhalten, solange Tokens des Nutzers aktiv sind.
• Zugriffsprotokolle des Webservers (u.a. IP-Adresse, Zeitstempel, aufgerufene URL): Diese werden vom Leibniz-Rechenzentrum (LRZ) als Betreiber der Hosting-Infrastruktur erhoben und gemäß dessen Aufbewahrungsfristen gespeichert. Details siehe Datenschutzerklärung des LRZ.
• Statistik-Einträge (Einrichtung, ISIN, Börse, Library, Zugriffsart, Datenmenge, Zeitstempel, E-Mail-Adresse): Werden 6 Monate gespeichert und anschließend automatisch gelöscht.
• Auto-Flagging (E-Mail, Grund, Zeitpunkt): Werden gespeichert, solange die Markierung aktiv ist. Eine Aufhebung durch Administrator:innen kann jederzeit erfolgen.
• Sperrungen (E-Mail, Grund, Zeitpunkt): Werden gespeichert, solange die Sperre besteht. Eine Aufhebung der Sperre durch Administrator:innen kann jederzeit erfolgen.
• Freischaltungsanträge (E-Mail, Name, Einrichtung, Status, Zeitpunkte): Werden gespeichert, solange das Konto besteht. Bei Löschung des Kontos werden auch die zugehörigen Einträge entfernt.

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies unter Beachtung gesetzlicher Aufbewahrungsfristen zur Aufgabenerfüllung erforderlich ist.

6. Technischer Betrieb / Auftragsverarbeitung

Der technische Betrieb des Webdienstes erfolgt mit Unterstützung des Leibniz-Rechenzentrums (LRZ) der Bayerischen Akademie der Wissenschaften, Boltzmannstraße 1, 85748 Garching bei München. Mit dem LRZ besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

7. Empfänger der Daten

Die personenbezogenen Daten werden nicht an Dritte weitergegeben. Eine Weitergabe erfolgt ausschließlich an den vom Institut für Finance und Banking betriebenen Backend-Server, der die angeforderten Marktdaten ausliefert. Benachrichtigungs-E-Mails über neue Freischaltungsanträge werden über die Mail-Infrastruktur des LRZ an die zuständige Administrator:in versendet.

8. Rechte der betroffenen Personen

Ihnen stehen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung dieser Rechte können Sie sich an die oben genannten Kontakte wenden. Ferner steht Ihnen ein Beschwerderecht beim Bayerischen Landesbeauftragten für den Datenschutz zu:
Hausanschrift: Wagmüllerstraße 18, 80538 München
Postanschrift: Postfach 22 12 19, 80502 München
Telefon: +49 89 212672-0
E-Mail: poststelle@datenschutz-bayern.de
Internet: https://www.datenschutz-bayern.de/

Privacy Policy (English)

This supplementary privacy notice describes the data processing specific to the IntraDB Data Portal. In addition, the general privacy policy of Ludwig-Maximilians-Universität München applies.

1. Controller (Art. 4 No. 7 GDPR)

Ludwig-Maximilians-Universität München
Institute for Finance and Banking
Prof. Dr. Ralf Elsas-Nicolle (Head of Institute)
Ludwigstraße 28 (RG), Room 515
80539 Munich, Germany
Phone: +49 89 2180-2757
Email: elsas@lmu.de

2. Data Protection Officer (LMU)

Official Data Protection Officer, LMU Munich
Geschwister-Scholl-Platz 1, 80539 Munich, Germany
Phone: +49 89 2180-2414
Contact form: https://www.lmu.de/datenschutz

3. Purpose and legal basis

The IntraDB Data Portal provides authenticated members and students of LMU Munich as well as authorised external researchers with access to intra-day financial market data for research and teaching. Personal data is processed for authentication, authorisation, manual approval of new users, logging of data access, and to detect and prevent abuse.

Legal basis: Art. 6 (1)(e) and (3) GDPR in conjunction with Art. 4 (1) Bavarian Data Protection Act (BayDSG) and Art. 2 (1) of the Bavarian Higher Education Act (BayHIG). For abuse detection and manual blocking, Art. 6 (1)(f) GDPR also applies (legitimate interest in maintaining secure operation and compliance with licence terms).

4. Processed personal data

4.1 SAML login attributes

Upon login via the LMU Identity Provider (https://lmuidp.lrz.de/idp/shibboleth) or via the DFN-AAI federation and eduGAIN, the following SAML 2.0 attributes are transmitted and processed:

• uid – user identifier of the home institution
• mail – institutional email address
• displayName – display name (first and last name)
• eduPersonEntitlement – entitlements
• eduPersonScopedAffiliation – institutional affiliation (e.g. member@lmu.de, student@lmu.de)

4.2 Approval workflow

New users must be manually approved by an administrator before they can access data. On first login, a request is automatically created containing:

• email address (from SAML attribute mail)
• display name (from SAML attribute displayName)
• home organisation (from eduPersonScopedAffiliation)
• status (pending, approved or denied)
• admin flag (yes/no)
• time of request and time of decision
• identity of the deciding administrator

For each newly created request, an automatic notification email is sent to the responsible administrator (K.Scheurer@lmu.de). This email contains the name, email address, affiliation and request timestamp.

4.3 Download logging (statistics)

For each data download the following information is stored:

• affiliation (e.g. lmu.de)
• institutional email address
• requested ISIN(s)
• exchange and library
• access type (web or API)
• data volume transferred
• timestamp

These data are processed to evaluate service usage and to detect abuse.

4.4 Automatic flagging

The system automatically detects unusual download activity. Successful downloads are flagged in an internal overview if the following thresholds are exceeded:

• more than 50 GB downloaded on a single day, or
• at least 30 GB downloaded on four consecutive days.

The flag stores email address, reason and time of detection. It is intended solely to inform administrators and does not automatically result in a block.

4.5 Manual blocking

Administrators may manually block individual users in case of abuse. For this purpose, email address, reason and time of the block are stored. The block remains in place until lifted manually. Affected users are notified when attempting to access the service.

4.6 API token management

When a personal API token is generated, the following data is stored to enable mapping of subsequent API calls:

• user identifier (sub)
• email address
• affiliation

4.7 Technical operational data

In addition, technical data such as session identifiers, refresh tokens, access tokens and access timestamps are processed for operational purposes.

5. Storage period

• Refresh tokens (session continuity): Valid for 7 days after creation. Expired tokens are automatically deleted from the database after an additional grace period of 30 days (i.e. 37 days after issuance in total).
• Access tokens (cookie): Valid for 15 minutes, expire automatically in the browser.
• API tokens: Valid for 30 days after creation. The associated mapping (user identifier, email, affiliation) is retained as long as the user has active tokens.
• Web server access logs (incl. IP address, timestamp, requested URL): These are collected by the Leibniz Supercomputing Centre (LRZ) as operator of the hosting infrastructure and stored according to its retention policy. See the LRZ privacy policy for details.
• Statistical entries (affiliation, ISIN, exchange, library, access type, data volume, timestamp, email): Retained for 6 months and then automatically deleted.
• Auto-flagging entries (email, reason, time): Retained as long as the flag is active. Administrators may lift flags at any time.
• Blocks (email, reason, time): Retained as long as the block is active. Administrators may lift blocks at any time.
• Approval requests (email, name, affiliation, status, timestamps): Retained as long as the account exists. If the account is deleted, the corresponding entries are removed.

Personal data is generally stored only as long as necessary to fulfil the respective purpose, taking statutory retention periods into account.

6. Technical operation / Data processor

The technical operation of the web service is supported by the Leibniz Supercomputing Centre (LRZ) of the Bavarian Academy of Sciences and Humanities, Boltzmannstraße 1, 85748 Garching, Germany. A data processing agreement (Art. 28 GDPR) has been concluded with the LRZ.

7. Recipients

Personal data is not shared with third parties. Data is only forwarded to the backend server operated by the Institute for Finance and Banking to deliver the requested market data. Notification emails about new approval requests are sent via the LRZ mail infrastructure to the responsible administrator.

8. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and objection (Art. 21). You may also lodge a complaint with the Bavarian Data Protection Commissioner:
Address: Wagmüllerstraße 18, 80538 Munich, Germany
P.O. Box: 22 12 19, 80502 Munich, Germany
Phone: +49 89 212672-0
Email: poststelle@datenschutz-bayern.de
Web: https://www.datenschutz-bayern.de/