Datenschutzhinweise für die Apps von leitstelle.live

Stand: 04.11.2026 · Version 1.17

Diese Hinweise gelten für die Anwendungen von leitstelle.live:

• Leitstelle (app.leitstelle.live) – Arbeitsplatz für Disposition, Lagebild, Kommunikation und Dokumentation,
• Leitstelle Mobil – Android-App für Tablets (Paket live.leitstelle.tablet, im Store „leitstelle.live Mobil“), mit der die Leitstelle auf einem Tablet genutzt wird, zum Beispiel von der Einsatzleitung vor Ort,
• Portal (portal.leitstelle.live) – Verwaltung von Organisation, Personal, Einheiten, Einsätzen und Einstellungen,
• Einsatz-App – Android-App (Paket live.leitstelle.app) und Web-App (einsatz-app.leitstelle.live) für Einsatzkräfte,
• Alarmmonitor – Android-App (Paket live.leitstelle.monitor), Windows-Anwendung und Web-App (monitor.leitstelle.live) für Bildschirme in Wachen,
• Anmeldung (sso.leitstelle.live) – zentrale Anmeldung für alle Anwendungen,
• Hilfe (hilfe.leitstelle.live) – Anleitungen und Hilfeartikel,
• Konsole (konsole.leitstelle.live) – interne Betriebsverwaltung von Wulffapps.

Für unsere Websites, die Registrierung und den Vertrag mit Ihrer Organisation gilt die Datenschutzerklärung.

Wir verwenden in Leitstelle, Leitstelle Mobil, Portal, Einsatz-App, Alarmmonitor, Anmeldung und Konsole keine Werbung, keine Analyse- oder Tracking-Dienste und keine Absturzberichts-Dienste von Drittanbietern und verkaufen keine Daten. Auf der öffentlichen Hilfe (hilfe.leitstelle.live) kann Google Analytics nach Einwilligung laufen; das steht in der Datenschutzerklärung und überträgt keine Kontodaten.

1. Wer ist verantwortlich?

leitstelle.live ist eine Software für Leitstellen und Einsatzorganisationen, zum Beispiel Hilfsorganisationen, Feuerwehren, Sanitätsdienste, Werkfeuerwehren und Veranstalter. Die Apps werden Ihnen von der Organisation bereitgestellt, für die Sie tätig sind. Sie legt Ihren Zugang an, bestimmt, welche Funktionen genutzt werden, und entscheidet, wofür und wie lange die Daten verarbeitet werden.

Ihre Organisation ist Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für alle Daten, die in den Apps im Rahmen ihrer Tätigkeit verarbeitet werden: Benutzerkonten, Personal, Einheiten, Standorte, Einsätze, Patienten, Kommunikation, Dokumente und die zugehörigen Protokolle. Die Kontaktdaten Ihrer Organisation und gegebenenfalls ihres Datenschutzbeauftragten erhalten Sie von Ihrer Organisation.

Wulffapps (Jan Wulff, Alte Str. 5e, 50769 Köln) betreibt die Plattform und verarbeitet diese Daten im Auftrag Ihrer Organisation als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Wir verwenden diese Daten nur nach Weisung Ihrer Organisation und nicht für eigene Zwecke.

Eigene Verantwortung von Wulffapps besteht nur für folgende, klar abgegrenzte Verarbeitungen:

Für diese Verarbeitungen erreichen Sie uns unter datenschutz@leitstelle.live. Einen Datenschutzbeauftragten haben wir nicht benannt.

2. Anmeldung und Benutzerkonto

Daten. Name, Benutzername, E-Mail-Adresse, gegebenenfalls Profilbild, Rolle und Berechtigungen, Zuordnung zu Organisation, Einheiten und Einsätzen, Passwort (nur als Hash), Einstellungen zur Zwei-Faktor-Anmeldung (Passkeys mit öffentlichem Schlüssel, geheimer Schlüssel der Authenticator-App, Wiederherstellungscodes als Hash, Mobilnummer für SMS-Codes), Anmeldezeitpunkte, IP-Adresse und Browser- bzw. App-Kennung bei der Anmeldung, aktive Sitzungen.

Anmeldung. Sie melden sich über die zentrale Anmeldung mit Passwort, Passkey oder einem Code per E-Mail an; je nach Einstellung Ihrer Organisation folgt ein zweiter Faktor (Passkey, Authenticator-App, Wiederherstellungscode, Code per E-Mail oder SMS). Bei Passkeys bleibt der private Schlüssel auf Ihrem Gerät bzw. in Ihrem Passwort-Manager; wir speichern nur den öffentlichen Schlüssel. Codes per SMS versenden wir, sofern dieses Verfahren plattformweit freigeschaltet ist, über die seven communications GmbH & Co. KG (seven.io), Willestr. 4–6, 24103 Kiel (Abschnitt 7).

Cookies und Speicher im Browser. Leitstelle, Portal, Hilfe und Anmeldung nutzen ein Sitzungs-Cookie und ein Cookie zum Schutz vor Formularfälschung. Außerdem speichern die Anwendungen Einstellungen der Oberfläche (zum Beispiel Layout, Filter, Ansichten) im Speicher Ihres Browsers. Die Leitstelle hält für den Notfall ein PDF mit den wichtigsten Einsatzdaten im Browser vor; es wird beim Abmelden, beim Wechsel oder Ende des Einsatzes und spätestens 24 Stunden nach dem letzten Abruf gelöscht. Die Leitstelle legt außerdem über einen sogenannten Service Worker ihre Anwendungsdateien (Programmcode, Schriften, Bilder) im Browser ab, damit sie schneller startet und auch bei einer Verbindungsstörung aufgerufen werden kann; Daten Ihrer Organisation enthält dieser Speicher nicht.

Speicher auf dem Mobilgerät. Die Einsatz-App speichert auf dem Gerät ein Zugangstoken, eine zufällig erzeugte Installationskennung, Ihre Einstellungen, einen Zwischenspeicher des aktuellen Auftrags für den Offline-Betrieb und noch nicht übertragene Aktionen (zum Beispiel Statusmeldungen ohne Netz). Zwischenspeicher und Token werden beim Abmelden gelöscht.

Speicher in Leitstelle Mobil. Leitstelle Mobil speichert auf dem Tablet ein Zugangstoken, das 24 Stunden nach der Anmeldung abläuft, eine zufällig erzeugte Installationskennung, Ihre Einstellungen und den Stand der Ersteinrichtung. Wie die Leitstelle im Browser hält die App außerdem das Notfall-PDF und, wenn der Notbetrieb genutzt wird, den Notbetrieb-Stand und den Ausgangskorb vor. Beim Abmelden werden Zugangstoken, Notfall-PDF, Notbetrieb-Stand und Ausgangskorb gelöscht; Installationskennung und Einstellungen bleiben bis zur Deinstallation der App erhalten.

Notbetrieb. Hat Ihre Organisation den Notbetrieb gebucht und ist er am Arbeitsplatz eingeschaltet (in Leitstelle Mobil ist er voreingestellt, in der Leitstelle im Browser schalten Sie ihn selbst ein), speichert die Anwendung den zuletzt geladenen Stand des aktiven Einsatzes auf dem Gerät, damit er bei einer Störung der Verbindung zu unserem Server lesbar bleibt. Dieser Stand enthält keine Personal- oder Kontaktdaten wie Namen, Telefonnummern oder E-Mail-Adressen; Patienten sind nur mit Kennung, Sichtungskategorie, Zuordnung und Verbleib enthalten. Für die Anzeige ohne Verbindung werden zusätzlich Ihr Name, Ihr Benutzername und Ihre Rechte in der Leitstelle gespeichert. Der Stand wird beim Abmelden, nach Ablauf der Anmeldung, beim Wechsel oder Ende des Einsatzes und spätestens 24 Stunden nach seiner letzten Aktualisierung gelöscht. Haben Sie Zugriff auf ein Postfach im Eingang, hält die Anwendung außerdem die E-Mails und Faxe des laufenden Einsatzes der letzten 24 Stunden mit Absender, Empfängern und Text vor, in der Leitstelle im Browser auch Anhänge bis 1 MB je Datei; diese Ablage wird ebenso gelöscht und zusätzlich, wenn Sie den Notbetrieb ausschalten. Einträge für das Einsatztagebuch, die Sie während einer Störung erfassen, legt die Anwendung im Ausgangskorb auf dem Gerät ab und überträgt sie, sobald die Verbindung wieder besteht. Sie werden nach der Übertragung, beim Verwerfen oder beim Abmelden gelöscht.

Diese Speicher- und Lesevorgänge auf Ihrem Gerät bzw. in Ihrem Browser sind für die von Ihnen genutzten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Zugriff auf Standort, Kamera, Mikrofon und Benachrichtigungen erhalten die Apps nur, wenn Sie ihn in Ihrem Betriebssystem erlauben (Abschnitt 4).

3. Daten in der Einsatzführung

Je nachdem, welche Funktionen Ihre Organisation nutzt, werden verarbeitet:

• Personal: Name, Qualifikationen, Funktionen, Erreichbarkeit (Telefon, E-Mail), Verfügbarkeit, Zuordnung zu Einheiten,
• Einsätze und Aufträge: Einsatzort und Einsatzadressen, Stichworte, Meldende Personen mit Kontaktdaten, Einsatztagebuch, Aufträge und Rückmeldungen, Fahrzeugstatus (FMS), Zeitpläne, Lagekarten,
• Kommunikation: Chat-Nachrichten, Nachrichten und Aufgaben, Alarmierungen und Rückmeldungen, versendete SMS, E-Mails und Sprachanrufe, Verbindungsdaten von Telefonaten,
• Eingang: E-Mails und Faxe, die an die Postfächer Ihrer Organisation gehen oder aus ihnen versendet werden, mit Anhängen, Bearbeitungsstand und Zuordnung zu Einsätzen, das Adressbuch des Eingangs (Kontakte, Verteiler, gesperrte Absender) sowie Entwürfe (Abschnitt 7),
• Dokumente und Fotos, die Sie hochladen oder aufnehmen,
• Patientendaten im Sanitäts- und Rettungsdienst (Abschnitt 6),
• Registrierungen externer Kräfte über einen Link bzw. QR-Code (Name, Organisation, Qualifikation, Telefon),
• Gruppenalarm: Erreichbarkeit, Verfügbarkeit, Abwesenheiten, Rückmeldungen zu einem Alarm und – wenn Sie zustimmen – Ihr Standort bis zur Ankunft (Abschnitt 5).

Zweck. Alarmierung, Disposition, Führung und Dokumentation von Einsätzen und Diensten Ihrer Organisation.

Rechtsgrundlage. Die Rechtsgrundlage bestimmt Ihre Organisation. In Betracht kommen insbesondere die Erfüllung eines Arbeits-, Dienst- oder Mitgliedschaftsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO, bei Beschäftigten in Verbindung mit Art. 88 DSGVO und dem jeweils geltenden Beschäftigtendatenschutzrecht), rechtliche Pflichten und öffentliche Aufgaben, etwa nach Rettungsdienst-, Feuerwehr- oder Katastrophenschutzgesetzen (Art. 6 Abs. 1 lit. c und e DSGVO), berechtigte Interessen der Organisation (Art. 6 Abs. 1 lit. f DSGVO) oder Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Wer sieht die Daten? Nur Personen Ihrer Organisation mit der entsprechenden Berechtigung (zum Beispiel die Leitstelle, Führungskräfte, die eingesetzten Kräfte) sowie – auf Anweisung Ihrer Organisation – Empfänger, an die die Organisation Daten übermittelt (zum Beispiel Alarmmonitore, Schnittstellen zu anderen Systemen, Einsatzberichte per E-Mail). Die Daten verschiedener Organisationen sind voneinander getrennt.

4. Berechtigungen der Apps

Die Einsatz-App fragt Berechtigungen erst an, wenn die zugehörige Funktion genutzt oder im Einrichtungsassistenten eingerichtet wird. Sie können jede Berechtigung jederzeit in den Android-Einstellungen (Apps → Einsatz-App → Berechtigungen) entziehen; die übrigen Funktionen bleiben nutzbar.

Die App übermittelt außerdem regelmäßig einen technischen Bereitschaftsstatus an den Server: App-Version, Plattform (Android oder Web), Installationskennung, Gerätehersteller und -modell sowie, ob die für Alarme nötigen Berechtigungen und Einstellungen aktiv sind. Ihre Organisation sieht so, ob Ihr Gerät Alarme zuverlässig empfangen kann. Der Akkustand wird nur in der App angezeigt und nicht übertragen.

Auf Wunsch können Sie einen Diagnosebericht (Bereitschaftsstatus und technische Angaben zu empfangenen Benachrichtigungen, ohne Nachrichtentexte und Zugangsdaten) über die Teilen-Funktion von Android selbst versenden, zum Beispiel an den Administrator Ihrer Organisation.

Alarmmonitor (Android). Die Android-App des Alarmmonitors benötigt nur die Berechtigung INTERNET. Sie greift weder auf Standort noch auf Kamera, Mikrofon oder Kontakte zu.

Web-App. Im Browser fragt die Einsatz-App über die Berechtigungsabfrage Ihres Browsers nach Standort, Kamera, Mikrofon und Benachrichtigungen. Ein Standort im Hintergrund ist in der Web-App nicht möglich.

Leitstelle Mobil (Android). Leitstelle Mobil fragt Berechtigungen an, wenn die zugehörige Funktion eingerichtet oder genutzt wird; Sie können sie jederzeit in den Android-Einstellungen entziehen. Die App greift weder auf den Standort noch auf die Kamera, das Mikrofon, Ihre Kontakte oder Ihre Anrufliste zu.

Leitstelle Mobil meldet sich alle 35 Sekunden mit App-Version und Installationskennung bei unserem Server. So sieht Ihre Organisation, welche Tablets angemeldet sind, und die Zahl der genutzten Geräte kann nach dem gebuchten Paket bestimmt werden. Tritt bei einer Anfrage ein Serverfehler auf, sendet die App einen technischen Fehlerbericht (betroffene Schnittstelle, Fehlercode) an unseren Server.

Ansagen liest Leitstelle Mobil mit einer Stimme vor, die auf unserem Server erzeugt wird. Steht sie nicht zur Verfügung, nutzt die App die Sprachausgabe von Android, die den Text auf dem Gerät erzeugt.

Wurde Leitstelle Mobil als Installationsdatei aus dem Beta-Portal installiert, prüft die App beim Start, ob auf beta.leitstelle.live eine neue Version bereitsteht. Dabei erhält unser Server die IP-Adresse des Geräts und die installierte Version; Zugangsdaten werden nicht übertragen. Eine neue Version laden Sie selbst von dort herunter.

5. Standort

Einsatzbezogene Ortung. Solange Sie in der Einsatz-App angemeldet und einer Einheit zugeordnet sind und die Standortfreigabe für diese Einheit aktiv ist, überträgt die App Ihren genauen Standort (GPS) an die Leitstelle Ihrer Organisation, auch im Hintergrund. Die Position erscheint im Lagebild, damit die Leitstelle das passende Einsatzmittel alarmieren kann. Die Übertragung endet beim Abmelden. Die Standortfreigabe für die Einheit kann von Ihnen in der App und von der Leitstelle abgeschaltet werden; schalten Sie sie ab, wird Ihr bisheriger Positionsverlauf an dieser Einheit gelöscht.

Gruppenalarm. Sagen Sie bei einem Gruppenalarm zu, fragt die App – sofern Ihre Organisation dies vorsieht – einmalig, ob Sie Ihren Standort bis zur Ankunft teilen möchten. Die Freigabe endet automatisch bei Ankunft am Sammelpunkt, mit dem Ende des Alarms oder nach einem Zeitlimit. Die Standorte sehen nur Personen mit der entsprechenden Berechtigung, nicht die übrigen alarmierten Helfer.

Speicherdauer. Positionsmeldungen der Einheiten werden nach 90 Tagen gelöscht. Der Standortverlauf im Gruppenalarm wird 24 Stunden nach Ende des Alarms gelöscht; Ihre Organisation kann diese Frist zwischen 0 und 72 Stunden einstellen.

Standortdaten werden nicht für Werbung verwendet und nicht an Dritte verkauft. Zur Leistungs- oder Verhaltenskontrolle darf Ihre Organisation sie nur im Rahmen der für sie geltenden Vorschriften (zum Beispiel einer Dienst- oder Betriebsvereinbarung) nutzen.

Rechtsgrundlage. Die Rechtsgrundlage für die Ortung bestimmt Ihre Organisation (Abschnitt 3). Für den Zugriff auf den Standort Ihres Geräts holt die App Ihre Zustimmung ein (§ 25 Abs. 1 TDDDG); Sie können sie jederzeit in den Android-Einstellungen widerrufen.

6. Gesundheitsdaten

Im Sanitäts- und Rettungsdienst können Organisationen Daten zu Patienten erfassen: Name, Geburtsjahr, Geschlecht, Sichtungskategorie, Beschwerden, Maßnahmen, Vitalwerte, Übergabe und Transportziel. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Sie sind nur für berechtigte Personen der Organisation zugänglich. Rechtsgrundlage ist die der Organisation, insbesondere Art. 9 Abs. 2 lit. h und i DSGVO in Verbindung mit § 22 BDSG bzw. den Rettungsdienstgesetzen der Länder, im Notfall auch Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen). Meldungen per Push-Benachrichtigung oder SMS enthalten keine Namen von Patienten, sondern höchstens deren Kennung. Chat-Nachrichten werden mit dem Text übertragen, den Nutzer eingeben. An Kartendienste werden keine Patientendaten übermittelt.

7. Telefonie, SMS und E-Mail

Softphone. Telefonate zwischen Leitstelle, Einsatz-App und Telefonnetz laufen über unsere Telefonie-Vermittlung auf unserem Server in den Niederlanden (EU) und über den Telefonanbieter, den Ihre Organisation selbst eingerichtet hat. Für den Verbindungsaufbau ermitteln die Geräte ihre öffentliche IP-Adresse über einen sogenannten STUN-Server. Dafür nutzen wir unseren eigenen Server und derzeit zusätzlich den STUN-Server stun.l.google.com der Google LLC, USA; Google erhält dabei die öffentliche IP-Adresse Ihres Geräts, keine Gesprächsinhalte. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework. Gespeichert werden Verbindungsdaten (Gegenstelle, Zeitpunkt, Dauer, Ergebnis), keine Gesprächsinhalte. Verbindungsdaten werden standardmäßig nach 730 Tagen gelöscht.

SMS und Sprachanrufe (zum Beispiel Gruppenalarm, Zwei-Faktor-Codes) versenden wir über die seven communications GmbH & Co. KG (seven.io), Willestr. 4–6, 24103 Kiel, Deutschland. seven erhält die Rufnummer und den Nachrichtentext bzw. den Ansagetext und verarbeitet sie in unserem Auftrag.

E-Mail. E-Mails der Plattform (zum Beispiel Benachrichtigungen, Einsatzberichte, Gruppenalarm) versenden wir über unseren eigenen Mailserver auf Servern der IONOS SE in Deutschland oder über ein Postfach, das Ihre Organisation selbst eingerichtet hat. Einen externen E-Mail-Dienstleister setzen wir nicht ein.

Eingang (Postfächer der Organisation). Hat Ihre Organisation den Eingang gebucht, empfangen und versenden Portal und Leitstelle E-Mails über die Postfächer der Organisation. Jede Organisation hat ein Postfach auf der Plattform mit einer Adresse aus dem Kürzel der Organisation und der Domäne org.leitstelle.live (zum Beispiel pul@org.leitstelle.live); E-Mails an dieses Postfach nimmt unser eigener Mailserver auf unserem Server in den Niederlanden (Abschnitt 12) entgegen. Bindet Ihre Organisation eigene Postfächer ein, gleichen wir E-Mails, Ordner und Lesestatus über IMAP und SMTP mit dem Mailserver der Organisation ab; die Zugangsdaten speichern wir verschlüsselt. Welche Nutzer ein Postfach lesen oder aus ihm senden dürfen, legt Ihre Organisation fest. Lesestatus, Bearbeiter und Erledigt gelten für alle, denen das Postfach zugeordnet ist; wer gerade eine Antwort schreibt, sehen die anderen Nutzer des Postfachs. Die Postfächer gehören der Organisation; persönliche Postfächer einzelner Nutzer gibt es nicht.

Prüfung eingehender E-Mails. Unser Mailserver nimmt E-Mails von Servern, die auf der Sperrliste von Spamhaus stehen, nicht an; dafür wird nur die IP-Adresse des einliefernden Servers abgefragt. Anhänge prüfen wir mit dem Virenscanner ClamAV auf unserem eigenen Server, Anhänge mit Schadsoftware werden nicht abgelegt. Die Anwendung wertet die Absenderprüfung (SPF, DKIM, DMARC) aus und kennzeichnet verdächtige E-Mails, zum Beispiel bei ähnlich aussehenden Absenderdomains. Den Inhalt von E-Mails im HTML-Format bereinigen wir auf dem Server und entfernen Zählpixel; externe Bilder werden erst geladen, wenn Sie Bilder laden wählen, dann erhält der Server, auf dem das Bild liegt, die IP-Adresse Ihres Geräts. Faxe erkennen wir per Texterkennung (Tesseract) auf unserem eigenen Server, damit sie durchsucht und ausgewertet werden können; auch PDF-Anhänge lesen wir für die Auswertung von Alarmierungen nur auf unserem Server aus. Inhalte des Eingangs geben wir nicht an Dritte weiter. Nur wenn Sie eine Adresse aus einer E-Mail auf der Karte zeigen oder übernehmen, wird diese Adresse wie eine eingegebene Suchadresse zur Adressermittlung übermittelt (Abschnitt 9). Weiterleitungen, automatische Antworten und Schnittstellen, die Ihre Organisation in Regeln festlegt, übermitteln E-Mails an die dort bestimmten Empfänger.

Fernmeldegeheimnis. Für E-Mails und Faxe im Eingang wahren wir das Fernmeldegeheimnis. Vom Inhalt und den Umständen der Kommunikation nehmen wir nur Kenntnis, soweit es für Zustellung, Ablage, die Abwehr unerwünschter E-Mails und von Schadsoftware sowie die Behebung von Störungen erforderlich ist. Die Prüfungen laufen automatisiert; die Postfächer sind für unseren Support auch bei einem freigegebenen Support-Zugang nicht einsehbar.

Empfangsbestätigung. Fordern Sie beim Senden eine Empfangsbestätigung an, enthält die E-Mail einen Link, der 30 Tage gültig ist. Der Empfang gilt erst als bestätigt, wenn der Empfänger auf der Seite hinter dem Link auf die Schaltfläche zur Bestätigung klickt; das bloße Öffnen der E-Mail oder des Links bestätigt nichts, ein Zählpixel verwenden wir nicht. Gespeichert werden der Zeitpunkt und die gekürzte IP-Adresse des Empfängers.

8. Push-Benachrichtigungen

Für Alarmierungen und Nachrichten nutzen die Android-Apps Einsatz-App und Leitstelle Mobil den Dienst Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dazu erzeugt die App eine gerätebezogene Kennung (Push-Token), die wir speichern. Google erhält das Push-Token und den Inhalt der Benachrichtigung. Bei Alarmierungen in der Einsatz-App sind das in der Regel das Einsatzstichwort, der Einsatzort und der Alarmtext; auf dem Sperrbildschirm zeigt die App nur Stichwort und Einsatzort.

Leitstelle Mobil erhält Push-Benachrichtigungen nur, solange Sie in der App „im Dienst“ sind. Eine Benachrichtigung enthält Titel und Text der Meldung (zum Beispiel „KTW 1 hat die Alarmierung abgelehnt“), die Art der Meldung und technische Kennungen von Meldung, Einsatz, Einheit bzw. Chat-Unterhaltung, bei Chat-Nachrichten Titel und Text der Nachricht. Meldungen enthalten keine Namen von Patienten, sondern höchstens deren Kennung; Chat-Nachrichten werden mit dem eingegebenen Text übertragen.

Push nur mit Hinweis. Ihre Organisation kann in ihren Einstellungen festlegen, dass Push-Benachrichtigungen der Einsatz-App nur einen Hinweis ohne Einsatzinhalte enthalten (Einstellung „Push nur mit Hinweis, Inhalt nach Abruf in der App“). Die Einsatz-App lädt Stichwort, Einsatzort und Alarmtext dann nach dem Empfang bzw. Öffnen verschlüsselt von unserem Server; Google erhält in diesem Fall nur das Push-Token, den Hinweis sowie technische Kennungen und die Art der Mitteilung. Standardmäßig ist der vollständige Inhalt eingestellt, damit die Alarmierung auch bei schlechter Verbindung sofort lesbar ist.

Google verarbeitet diese Daten als Unterauftragsverarbeiter. Eine Übermittlung an Google LLC in den USA ist möglich; sie stützt sich auf das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Push-Tokens ohne aktive Sitzung löschen wir nach 90 Tagen Inaktivität. Die Firebase-Bibliothek der Apps wird ausschließlich für Benachrichtigungen verwendet; Firebase Analytics und Crashlytics sind nicht eingebunden.

Antworten auf Support-Anfragen. Die Einsatz-App erhält eine Push-Benachrichtigung, wenn wir eine Ihrer Support-Anfragen beantworten, eine Rückfrage stellen oder sie als gelöst markieren (Abschnitt 11). Die Benachrichtigung enthält die Nummer und den Betreff der Anfrage, nicht den Text der Antwort. Sie entfällt, wenn Sie in Ihren Benachrichtigungseinstellungen „Antwort auf deine Anfrage“ auf die tägliche Zusammenfassung stellen. Leitstelle Mobil erhält keine Push-Benachrichtigungen zu Support-Anfragen. Für diese Benachrichtigungen sind wir selbst verantwortlich; Google verarbeitet sie in unserem Auftrag.

Die Leitstelle im Browser und die Web-Apps (Einsatz-App, Alarmmonitor) erhalten Aktualisierungen über eine direkte Verbindung zu unserem Server, ohne Push-Dienst eines Dritten.

9. Karten, Geocoding, Routen und Wetter

Die Übermittlung an die OpenStreetMap Foundation und an What3Words stützt sich auf den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich, die an Open-Meteo auf den Angemessenheitsbeschluss für die Schweiz.

Navigation. Tippen Sie auf „Navigation starten“, öffnet die App Ihre Navigations-App bzw. Google Maps mit der Zieladresse. Ab dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

10. Alarmmonitor

Der Alarmmonitor zeigt in einer Wache Alarmierungen, Einsatzdaten, Fahrzeugstatus und Karten Ihrer Organisation an und kann Alarmtexte vorlesen. Er verarbeitet den Monitor-Zugang, den Gerätenamen und die angezeigten Einsatzdaten. Die Sprachausgabe wird auf unserem Server erzeugt. Steht sie nicht zur Verfügung, nutzt der Alarmmonitor die Sprachausgabe Ihres Browsers bzw. Betriebssystems; je nach Browser und eingestellter Stimme kann dabei eine Online-Stimme des Browser-Anbieters (zum Beispiel Google oder Microsoft) verwendet werden, an die der vorgelesene Alarmtext übermittelt wird. Die Windows-Anwendung prüft beim Start und danach stündlich, ob eine neue Version auf leitstelle.live bereitsteht, und lädt Updates nur von dort.

Gerätestatus der Windows-Anwendung. Die Windows-Anwendung übermittelt mit ihrem regelmäßigen Lebenszeichen den technischen Zustand des Geräts: Zustand und Lautstärke der Tonausgabe, ob Vollbildmodus, automatischer Start und Alarmdruck aktiv sind, den Namen des ausgewählten Druckers, die Anzahl der Bildschirme und den Stand von Updates. Berechtigte Ihrer Organisation sehen diese Angaben im Portal unter „Aktive Monitore“ und können den Monitor von dort neu starten. Gespeichert wird nur der zuletzt gemeldete Stand. Er wird zusammen mit der Sitzung gelöscht (Abschnitt 13, Zeile „Beendete Sitzungen“).

Speicher auf dem Gerät. Die Windows-Anwendung speichert ihre Einstellungen, eine PIN nur als Hash, ein Protokoll mit Programmstart, Programmende und Fehlermeldungen (höchstens etwa 2 MB) sowie Absturzberichte auf dem Gerät. Protokoll und Absturzberichte werden nicht automatisch an uns übertragen.

Alarmdruck. Ist der Alarmdruck eingeschaltet, gibt die Windows-Anwendung neue Alarme und Stornierungen mit den Alarmdaten (zum Beispiel Stichwort, Einsatzort, Meldung und Einheiten) auf dem von Ihrer Organisation ausgewählten Drucker aus. Für den Umgang mit den Ausdrucken ist Ihre Organisation verantwortlich.

11. Hilfe, Support und Konsole

Hilfe. Die Hilfe zeigt Anleitungen an. Für die Anmeldung gilt Abschnitt 2. Wir protokollieren nicht, welche Artikel Sie lesen.

Support-Anfragen. Aus Portal, Leitstelle, Leitstelle Mobil, Einsatz-App und Hilfe können Sie eine Anfrage an den Support von leitstelle.live stellen; im Portal sehen Sie unter „Support“ Ihre Anfragen mit Status und Verlauf, in der Einsatz-App unter „Hilfe & Support“. Am Alarmmonitor öffnet ein QR-Code das Formular im Portal auf Ihrem eigenen Gerät. Mit der Anfrage sendet die Anwendung technische Angaben mit (zum Beispiel Anwendung und Version, aufgerufene Seite, Browser und Betriebssystem, gegebenenfalls die Kennung des geöffneten Einsatzes und zuletzt aufgetretene Fehlermeldungen); Sie sehen sie vor dem Absenden und können sie abwählen. Inhalte von Einsätzen und Patientendaten werden nicht mitgesendet; bitte tragen Sie keine Patientendaten ein. In Portal und Leitstelle können Sie ein Bildschirmfoto anhängen, das in Ihrem Browser erzeugt wird; im Portal können Sie vorher Bereiche schwärzen. Anhänge werden auf unserem eigenen Server auf Schadsoftware geprüft. Ihre Anfrage sehen außer uns die Personen Ihrer Organisation, die alle Anfragen der Organisation sehen dürfen, und die Beobachter der Anfrage. Über Antworten informieren wir Sie in der Glocke, per E-Mail nach Ihren Benachrichtigungseinstellungen und in der Einsatz-App per Push-Benachrichtigung (Abschnitt 8). Im Portal können Sie außerdem Ideen ansehen und für sie abstimmen. Für Support-Anfragen und Ideen sind wir selbst verantwortlich (Abschnitt 1); Einzelheiten, insbesondere zu Speicherfristen, stehen in Abschnitt 15 der Datenschutzerklärung.

Prüfung auf Schadsoftware. Dateien, die Sie in den Apps hochladen (zum Beispiel Einsatzdokumente, Fotos, Anhänge von Support-Anfragen), prüfen wir mit dem Virenscanner ClamAV auf unserem eigenen Server, bevor sie abrufbar sind. Die Dateien werden dafür an keinen Dritten übermittelt. Wird Schadsoftware gefunden oder kann eine Datei nicht geprüft werden, wird sie gelöscht und die Anwendung zeigt einen Hinweis.

Konsole. Die Konsole ist nur für Mitarbeitende von Wulffapps zugänglich (Anmeldung immer mit zweitem Faktor). Über sie betreiben und überwachen wir die Plattform. Zugriff auf Daten einer Organisation nehmen wir nur vor, soweit es für Betrieb, Störungsbehebung oder Support im Auftrag der Organisation erforderlich ist. Dafür gibt es zwei Wege: Zu einer Support-Anfrage kann Ihre Organisation uns einen Support-Zugang für 24, 48 oder 72 Stunden freigeben. Er erlaubt nur lesende Einsicht in Portal und Leitstelle ohne Patientendaten, kann jederzeit widerrufen werden und endet automatisch. Solange wir Einsicht nehmen, zeigen Portal und Leitstelle allen Nutzern der Organisation einen Hinweis; die aufgerufenen Ansichten werden im Protokoll der Organisation festgehalten (je Ansicht und Minute zusammengefasst). Unabhängig davon können Plattform-Administratoren von Wulffapps über einen Wechsel in die Organisation auf deren Daten zugreifen; dieser Wechsel wird im Protokoll der Organisation festgehalten, ein Hinweis in den Apps erscheint dabei nicht (Auftragsverarbeitungsvertrag § 5 Abs. 3).

12. Hosting, Datensicherung und Sicherheit

Alle Anwendungen und Daten liegen auf einem Server der one.com Group AB, Kopenhagen, in einem Rechenzentrum in den Niederlanden (EU). Auf demselben Server betreiben wir den Mailserver für die Postfächer der Organisationen (Abschnitt 7) und die Telefonie-Vermittlung. Unseren Mailserver für die übrigen E-Mails der Plattform betreiben wir auf Servern der IONOS SE, Montabaur, in Deutschland. Datensicherungen werden mit AES-256-GCM verschlüsselt, bevor sie den Server verlassen, und zusätzlich bei Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburg) in der Region Stockholm (Schweden) gespeichert; AWS hat keinen Zugriff auf den Schlüssel. Ein Zugriff aus den USA ist nicht ausgeschlossen; er stützt sich auf das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.

Alle Verbindungen zwischen Apps und Server sind per TLS verschlüsselt. Zugriff erhalten nur angemeldete Personen im Rahmen ihrer Rolle. Die Daten jeder Organisation sind logisch von denen anderer Organisationen getrennt.

13. Speicherdauer

Die Speicherfristen der fachlichen Daten legt Ihre Organisation fest. Ohne eigene Festlegung gelten folgende Standardfristen:

Daten, die zu einem noch geplanten oder laufenden Einsatz gehören, werden nicht vorzeitig gelöscht. Endet der Vertrag Ihrer Organisation, kann sie ihre Daten innerhalb von 30 Tagen exportieren; danach löschen wir sie. Gelöschte Daten können noch bis zu zwölf Monate in verschlüsselten Datensicherungen enthalten sein.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

Bitte richten Sie Ihr Anliegen an Ihre Organisation. Sie ist für die Daten in den Apps verantwortlich und kann Ihren Zugang und Ihre Daten berichtigen, exportieren oder löschen. Ein Benutzerkonto kann in der App selbst nicht gelöscht werden, weil Konten von der Organisation verwaltet werden. Wenden Sie sich an uns (datenschutz@leitstelle.live), leiten wir Ihre Anfrage unverzüglich an Ihre Organisation weiter und unterstützen sie bei der Bearbeitung. Für die Verarbeitungen, für die wir selbst verantwortlich sind (Abschnitt 1), bearbeiten wir Ihre Anfrage direkt.

Auf der Seite Konto löschen ist der Weg über Ihre Organisation beschrieben; dort nehmen wir auch Löschanfragen entgegen.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit Daten auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO verarbeitet werden, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Der Widerspruch ist an Ihre Organisation zu richten bzw. – für die Verarbeitungen in eigener Verantwortung von Wulffapps – an datenschutz@leitstelle.live.

Beschwerderecht. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der für Ihre Organisation zuständigen Behörde oder an Ihrem Aufenthaltsort. Für Wulffapps zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

15. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Ob Sie die Apps nutzen und welche Angaben dafür erforderlich sind, regelt Ihre Organisation. Ohne Benutzerkonto ist eine Nutzung nicht möglich. Berechtigungen wie Standort, Kamera oder Mikrofon sind freiwillig; ohne sie stehen die zugehörigen Funktionen nicht zur Verfügung.

Die Apps schlagen der Leitstelle Einsatzmittel vor, zum Beispiel nach Entfernung und Verfügbarkeit. Die Entscheidung trifft immer ein Mensch. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

16. Kinder und Jugendliche

Die Apps richten sich an Einsatzkräfte und Mitarbeitende von Organisationen und nicht an Kinder. Setzt eine Organisation die Apps für minderjährige Mitglieder ein, ist sie dafür verantwortlich, dass die dafür geltenden Voraussetzungen erfüllt sind.

17. Änderungen

Wir passen diese Hinweise an, wenn sich die Apps, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils unter https://leitstelle.live/datenschutz-apps veröffentlichte Fassung.

18. Kontakt

Wulffapps, Jan Wulff, Alte Str. 5e, 50769 Köln, Deutschland
E-Mail: datenschutz@leitstelle.live · Telefon: +49 155 671 26031