Systembeschreibung zur Prüfung durch Datenschutzbeauftragte

AUFGABE DES DOKUMENTS

Diese Unterlage soll neben dem allgemeinen Informationsmaterial einen vertieften Einblick in die mit dem Betrieb von Infoscreens über mySignage.de verbundenen Abläufe ermöglichen.

ZWECK DES SYSTEMS

mySignage ist eine cloudbasierende SaaS-Plattform mit folgenden Funktionen

• Mediendatenbank
  • Speicherung von Bildern / Videos
  • Schaffung von Text- / Bildinhalten (analog HTML-Seiten)
• Widget – Nutzung
  • vordefinierte Systemkomponenten in Form von z.B. Nachrichten, Wetter, Bundesliga
  • Aufbereitung von Schnittstellendaten (CSV, JSON, XML, etc.) aus externen Quellen
• Playlist – Organisation
  • Abspielreihenfolgen
  • Anzeigedauern
  • Regeln für Ausspielungen (z.B. wetterabhängig)
• Verwaltung von PlayerPCs
  • Konfiguration
  • Überwachung und Incident – Abwicklung per User-Information
  • Dokumentation
• Benutzerverwaltung
  • Benutzerrechte
  • Rollendefinitionen

Auf Basis der o.g. Funktionen ist es den Redakteuren möglich, per Internet an das System angebundene PlayerPCs mit einem definierten Inhalt zu bespielen.

SYSTEMKOMPONENTEN

SOFTWARE-ENTWICKLUNG

Die Software-Entwicklung findet in unseren Räumen in Vreden statt und verfügt über eigenständige Serverkapazitäten und für Tests einer Laufzeitumgebung, die der Produktivumgebung in allen notwendigen Belangen voll umfänglich entspricht.
Die Entwickler des Systems sind allesamt langjährige Mitarbeiter und über datenschutzrelevante Abläufe geschult.
Systemtests von Funktionserweiterungen werden durch separate Mitarbeiter durchgeführt; die Dokumentation des Systems und evtl. Änderungen erfolgt jeweils bei Verfügbarkeit der Erweiterung und ist Voraussetzung für deren Freigabe.

RECHENZENTRUM

Strait betreibt eine eigene Serverinfrastruktur auf Basis mehrerer ProxMox-Cluster in einem Rechenzentrum eines Zugangsproviders. Die Systeme sind intern mit 10Gbit vernetzt.
Das mysignage – System ist auf Basis der Programmiersprache Coldfusion der Fa. Adobe entwickelt. Der Serverbetrieb findet auf Ubuntu-Linux (LTS) und Lucee – Laufzeitumgebungen statt.
Als Datenbank dienen Clustersysteme auf Basis von MySQL in einer jeweils aktuellen LTS-Version.

Netzanbindung

Unsere Systeme sind über das RZ mehrfach redundant sowohl zum DECIX Frankfurt als auch nach Amsterdam mit ausreichendem Durchsatz angebunden. Die Auslastung liegt i.d.R. bei < 15%.

SCHNITTSTELLEN

mySignage verfügt über ein sehr leistungsfähiges System zur Integration von Daten aus dynamischen Datenquellen.
Diese Schnittstellen werden automatisiert entsprechend der durch den Redakteur definierten Vor abgefragt, zwischengespeichert und dann den betroffenen PlayerPCs zum Download angeboten.
Der Kunde ist dafür verantwortlich, dass die Systemstabilität und Updatefrequenz der Datenbereitstellung gewährleistet bleibt. Der verantwortliche Redakteur wird bei Problemen des spezifischen Abrufs automatisch vom System informiert.
Die allgemeine Überwachung der Schnittstellensysteme erfolgt durch mySignage.

VIDEOKONVERTIERUNG

mySignage konvertiert automatisch die hochgeladenen Videos – egal mit welcher Codierung – in ein Format, dass im Rahmen der Ausspielung genutzt werden kann. Wir bedienen uns hierbei einer Cloudplattform eines externen Dienstleisters. Die Datenhaltung ist hierbei auf den reinen Konvertierungsablauf beschränkt.

PLAYERPC

Betriebssystem

Die PlayerPCs werden auf Basis von Android betrieben. Es handelt sich hierbei um eine LTS-Version (LongTermSupport) der Gekartel AG, Dresden, die (Stand 7/22) noch bis mind. 2025 supported wird. Da das Android auf die genau definierten Bedürfnisse des Players zugeschnitten ist, bedarf es nicht einer permanent aktualisierten Version, nur weil die Google-Android-Version einen Versionssprung mit neuen Features durchgeführt hat. Ein Autoupdate des Betriebssystems wird nicht durchgeführt. 
Die genutzten Systemtreiber werden durch Gekartel permanent auf Update-Notwendigkeiten hin überwacht. mySignage wird informiert, sofern eine manuelle Updatenotwendigkeit bestehen sollte.

Android-APP

Die Ausspielung der Inhalte auf den Monitoren wird durch eine von uns entwickelte Android-APP gesteuert. Das Update der App ist durch eine automatische Versionskontrolle im Rahmen des Heartbeats möglich. Das Update wird dann parallel zum lfd. Betrieb heruntergeladen und ausgeführt. Dieser Vorgang ist für die Kunden normalerweise nicht feststellbar.

Die App steuert auch das interne Caching der auszuspielenden Inhalte. Diese werden entsprechend der Gültigkeitsvorgaben auf dem Gerät zwischengespeichert. Bei Aktualisierungen der Playlist erfolgt automatisch ein Abgleich mit den vorhandenen Inhalten und der Download der fehlenden Inhalte wird durchgeführt.

Heartbeat

Die Player-PCs melden sich im Minutentakt bei der mySignage – Cloud. Hierbei erfolgt:

• Passive Überwachung und Fortschreibung des Player-Status
• Permanenter serverbasierender Abgleich mit der für den Player hinterlegten Einschaltzeit
• Prüfung auf Download-Notwendigkeit
  • neuer Inhalte
  • dynamischer Datenaktualisierungen
• Prüfung auf Player-Event-Vorgaben
• Aktualisierung von Einschaltzeiten, Konfigurationsvorgaben etc.
• Upload von evtl. angefallenen Statistikdaten (ausgespielte Inhalte)
• Upload von evtl. angefallenen Störungsdaten (Netzwerkverfügbarkeit etc.)
  Hierbei dann auch Upload von z.B. DNS-Einstellungen und deren Erreichbarkeit, sofern dies der Grund für die Störung war. In Abhängigkeit vom Ausfallgrund werden durch die Player-APP individuelle Tests durchgeführt, deren Ergebnisse dann auch (je nach Konfiguration) auf dem Bildschirm in Form eines verschlüsselten QR-Codes angezeigt werden. Hiermit ist dann auch die Information und Ticket-Eröffnung einer Störung möglich.
• Prüfung einer Update-Notwendigkeit

Zugriff auf Player / Remote-VPN

Es erfolgt KEINERLEI direkter Zugriff auf die PlayerPCs; es besteht auch keine Möglichkeit des Zugriffs.
Es ist keine Remote-Terminallösung oder VPN-Software auf den PCs installiert.

Netzwerkanbindung

Die PlayerPCs werden entweder per WLAN (2,4 oder 5Ghz) oder per Ethernet ins Filialnetz eingebunden.
Der Netzwerkzugriff muss über die folgenden Ports möglich sein:

Alle anderen Ports können gesperrt werden; werden nicht benutzt.

Master-/Slave-Installation

Für den Fall der Ausspielung identischer Inhalte auf mehreren PCs bietet es sich aus Kostengründen an, eine Master-/Slave-Installation zu nutzen.
Der Master-Player lädt hierbei alle Inhalte aus der mySignage-Cloud und stellt den Slave-PCs diese über einen lokalen Dienst auf Port 8080 zur Verfügung.

Darüber hinaus erfolgt hierbei auch eine Synchronisation der Playlist-Zeitabläufe, so dass ein simultaner Abspielablauf (Mall-Charakter) über alle Player gewährleistet wird.
Für die Nutzung von Broadcast-Services (Master-/Slave-Funktion und Koordinator) werden die Ports 9000 Service-Discovery (TCP) und 9015 Sync Broadcast (UDP) für die Abstimmung genutzt.

Player-Gruppen

Es ist möglich, dass Events in den Playlisten Aktionen auf anderen PlayerPCs steuern sollen. Auch dieser Push-Event wird über Port 8080 gesteuert.

Kundenzähler, Sensorik

Es ist möglich, dass Kundenzähler, QR-Scanner oder andere Sensoren an unsere Systeme angebunden werden. Diese Benutzerszenarien sollten speziell für den Einzelfall beschrieben werden.

DATEN

AUSSPIEL-INHALTE

Im Rahmen der Redaktion erfolgt die Schaffung von Inhalten, Nutzung von Widgets oder Dateninhalten, die dann in der Folge auf Monitoren ausgegeben werden.
Hierbei kann grundsätzlich nicht ausgeschlossen werden, dass personenbezogene Daten (z.B. in Form von Kontaktdaten von Ansprechpartnern) genutzt / ausgespielt werden. Dies ist ja oftmals das definierte Handlungsziel.
Der Kunde hat sicherzustellen, dass die Nutzung dieser Daten urheberrechtlich abgeklärt und datenschutzkonform erfolgt.

Mediendaten

Auf die Cloudserver können Mediendaten in unterschiedlichsten Formaten hochgeladen werden.
Es obliegt dem Kunden / Redakteuren, die Konformität mit Nutzungs- und Urheberrechten sowie geltenden Gesetzen zu gewährleisten.
mySignage führt keine automatisierte oder gar manuelle Kontrolle des hochgeladenen Materials durch.

Schnittstellen-Daten

Im Rahmen der Nutzung von dynamischen, datengetriebenen Templates (also z.B. eine Tabelle mit Börsenkursen oder Flugzeiten) wird ein Datenabruf aus Fremdsystemen durchgeführt. Der Kunde ist dafür verantwortlich, dass die Erlaubnis zur Datennutzung für den Ausspielzweck und die Zielgruppe vorliegt.

Zugriff auf Kundendaten

Unser interner Support kann u.U. aufgrund von Anforderungen der Redakteure (Spontan-Schulung mit Livedaten etc.) Kundendaten einsehen. Damit ist für den Fall von Kontaktdaten in Ausspielinhalten eine evtl. Einsichtnahme in solche Daten nicht zu verhindern. Eine Vereinbarung zur Auftragsdatenverarbeitung macht also vermutlich Sinn, um einfache Supportabläufe zu gewährleisten.

BENUTZERDATEN

Das System erlaubt grundsätzlich die Nutzung von anonymisierten Benutzerdaten, sofern für den Betrieb und die Anmeldeabläufe eine Nutzung der mit dem Benutzerkonto verbundenen E-Mail-Adresse gewährleistet ist. Dies kann durchaus auch in Form von E-Mail-Aliasen erfolgen. Inwieweit sich daraus Nachteile für den Anwender ergeben ist durch den Kunden abzuwägen.
Passwörter werden gehasht verschlüsselt in der Datenbank gespeichert; eine Passwort-Wiederherstellung ist nicht möglich. Bei Verlust kann nur durch die Passwort-Vergessen-Funktion durch Einfordern einer Änderungs-E-Mail ein neues Passwort gesetzt werden.

SUPPORT / ÜBERWACHUNG

SERVER und Schnittstellensysteme

Unser RZ sowie die einzelnen Server und Serverinstanzen werden permanent überwacht. Ein Ausfall wird über geeignete Systeme an die jeweils Verantwortlichen gemeldet.

KUNDENSEITIGE SUPPORTABLÄUFE

Jede Überwachung macht irgendwann auch Benachrichtigungen notwendig. Wir haben uns entschieden, dies wie folgt zu machen:

• Interne Systemnachricht
• Statusfortschreibung
• Email bei ERSTMALIGEM Auftreten des Vorfalls und WENN NOCH KEINE Email erfolgte.
  Ein Ausfall eines 2. Players führt also nicht zu einer 2. Email! Ein Spammen findet nicht statt.
• Login des Benutzers begründet erneute E-Mail, wenn neuer Event dies erfordert.

Datenlieferanten

Für den Datenfeed ist der Konfigurator der Schnittstelle zuständig. Es kann im System für einzelne Bereiche oder den Kunden komplett eine zuständige Person (Benutzer) definiert werden, der bei Problemen mit Datenlieferungen informiert wird.

Player-Ausfälle

Typische Probleme mit Playern sind >99% auf Netzwerkprobleme zurückzuführen. Unser System stellt derartige Probleme zeitnah fest und informiert den Benutzer, der für den Kunden oder Bereich als Verantwortlicher im System hinterlegt wurde.