Datenschutzerklärung

Geltungsbereich

Diese Hinweise gelten für die native Sani-Alert-App und das Admin-Portal auf sani-alert.com im derzeitigen Testbetrieb. Die folgenden Angaben beschreiben den tatsächlich eingerichteten Stand vom 31. Oktober 2026.

1. Verantwortlicher

Simon Zeiler Kreuzleite 24 85276 Pfaffenhofen Deutschland E-Mail: Mail@simon-zeiler.de Telefon: +49 176 55776410 Datenschutzanfragen kannst du an dieselbe E-Mail-Adresse richten.

2. Konten und Anmeldung

Bei der Registrierung speichern wir Vorname, Nachname, Account-ID, Rolle und Kontostatus. Bei manueller Registrierung speichern wir einen sicheren Passwort-Hash. Optional kann nach dem Gruppencode Sign in with Apple verwendet werden. Dabei erhalten wir eine appbezogene Apple-Benutzerkennung, bei erstmaliger Zustimmung den Namen und eine von Apple bestätigte E-Mail-Adresse. Du kannst bei Apple deine E-Mail verbergen; dann erhalten wir eine private Weiterleitungsadresse. Diese E-Mail ist für berechtigte Administratoren sichtbar. Die Anmeldung wird anhand signierter Apple-Tokens und einer einmaligen Anfragekennung geprüft. Für die serverseitige Apple-Anbindung wird ein Apple-Refresh-Token verschlüsselt gespeichert. Es wird kein Apple-Passwort an uns übermittelt. Der Gruppencode ordnet das Konto einer Rolle zu. Zur Anmeldung benötigen wir Vorname, Nachname und Passwort. Das Passwort wird nicht im Klartext gespeichert. Administratoren können für ein bestehendes Konto einen Einmal-Anmeldecode erzeugen. Serverseitig werden nur dessen Hash, Konto-Zuordnung und Erstellungs- sowie Ablaufzeit gespeichert. Der Code gilt höchstens 24 Stunden und wird bei Verwendung oder Ersetzung ungültig. Erfolgreiche Erstellung und Anmeldung werden ohne Klartextcode protokolliert. Sitzungen werden mit Konto, Gerätebezeichnung, Erstellungszeit und letzter Prüfung erfasst; serverseitig liegt nur ein Hash des Sitzungstokens vor.

3. Einsätze, Dienste und Mitteilungen

Wir verarbeiten Raumnummer, optionale Hinweise, Erstellername, Zeitpunkte, Dienstteam, Rückmeldungen sowie optionale Einsatznotizen mit Autor und Zeitpunkt. Konten, Einsätze, Teams, Dienstzeiten und Registrierungs-Gruppencodes werden einer Schule zugeordnet. Schuladministratoren verwalten ausschließlich ihre eigene Schule. Der zentrale Betreiber-Administrator kann für die Verwaltung zwischen allen Schulen wechseln; App-Updates und Wartungsmeldungen werden ausschließlich zentral verwaltet. Dienstpläne verknüpfen Personen und Teams mit Dienstzeiten. Für Sanitäter kann nach dem Öffnen der App eine Einsatzkarte als Live Activity auf dem Sperrbildschirm und in der Dynamic Island erscheinen. Darin stehen Raum, Einsatznummer und eigener Status, keine medizinischen Freitexte oder Namen betroffener Personen. Statusaktionen verlangen eine Geräteentsperrung und eine gültige Serversitzung. Zur Aktualisierung verarbeitet der Server eine Aktivitätskennung und einen ActivityKit-Push-Token, zugeordnet zu Sitzung und Einsatz. Die Zuordnung wird beim Ende oder Abmelden bereinigt; bei fehlgeschlagenem Push-Ende werden Einträge spätestens nach Ablauf der Aktivität und weiterer 24 Stunden im laufenden Push-Dienst entfernt. Die reguläre Aktivitätslaufzeit beträgt höchstens acht Stunden. Teams enthalten Namen, numerischen Zuordnungscode, Mitglieder und geplante Zeiträume. Administratoren sehen, welche Sanitäter ein angemeldetes Konto haben. Mitteilungen enthalten Empfänger, beteiligte Person, Einsatzbezug, Status, Nachrichtentext und Gelesen-Zeitpunkt. Zur Nachvollziehbarkeit werden Konto- und Einsatzaktionen protokolliert. Bitte nutze im Test nur fiktive Fallangaben und erfasse keine Namen betroffener Patienten, Diagnosen oder sonstigen personenbezogenen Gesundheitsdaten. Für den echten schulischen Einsatz muss der verantwortliche Schulträger die Zulässigkeit und insbesondere die Voraussetzungen nach Art. 9 DSGVO gesondert klären.

4. Zwecke und Rechtsgrundlagen

Der derzeitige freiwillige Test dient der Erprobung von Benutzerkonten, Alarmabläufen, Teamrückmeldungen und Dienstplanung. Dafür verarbeiten wir die erforderlichen Konto- und Testdaten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist die Entwicklung und sichere Erprobung des ausdrücklich angeforderten Dienstes mit eingeladenen Testpersonen. Technische Protokolle und Zugangskontrollen dienen außerdem der Angriffserkennung und Betriebssicherheit auf derselben Grundlage. Kontaktanfragen bearbeiten wir zur Kommunikation auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO; soweit sie vorvertragliche oder vertragliche Anliegen betreffen, auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Diese Grundlage für den Testbetrieb stellt keine Freigabe zur Verarbeitung echter Gesundheitsdaten dar.

Android-Push (Firebase Cloud Messaging)

Für Android verwenden wir nach Einrichtung Firebase Cloud Messaging (FCM) von Google. FCM verarbeitet Firebase-Installationskennungen, Zustell-Tokens und technische Verbindungsdaten, um Nachrichten an das Gerät zuzustellen. Unser Server speichert den Push-Token zusammen mit der angemeldeten Sitzung und dem Zustellstatus. Der Push enthält nur einen allgemeinen Hinweis und Einsatzkennungen, keine Namen, medizinischen Hinweise oder Einsatznotizen. Details lädt die App nach gültiger Anmeldung direkt über HTTPS vom Sani-Alert-Server. Google verarbeitet FCM-Daten auf globaler Infrastruktur; eine ausschließliche Verarbeitung in Deutschland wird nicht zugesichert. Firebase-Installationskennungen werden nicht bereits durch eine Abmeldung gelöscht. Google Analytics und Werbung sind für diese Anbindung nicht eingebunden. Benachrichtigungserlaubnis, Lautstärke und Nicht-stören-Einstellungen bleiben am Gerät einstellbar. Informationen des Anbieters: https://firebase.google.com/support/privacy. Die Android-Push-Anbindung ist eingerichtet; der abschließende Empfangstest auf einem echten Android-Gerät steht noch aus.

5. Technische Zugriffsdaten

Beim Aufruf des Portals und der API verarbeitet der Server die IP-Adresse, Zeitpunkt, angefragten Pfad, HTTP-Status sowie Browser- oder App-Kennung. Nginx führt Zugriffs- und Fehlerprotokolle. IP-bezogene Anmeldeversuche werden zur Begrenzung missbräuchlicher Anfragen erfasst. Passwörter und vollständige Sitzungstokens werden nicht absichtlich in Zugriffsprotokolle geschrieben.

6. Hosting, Empfänger und externe Dienste

API und SQLite-Datenbank werden auf einem eigenen Raspberry Pi hinter dem Internetanschluss des Betreibers betrieben. Berechtigte Administratoren verwalten Konten, Geräte, Sitzungen, Dienstpläne und Protokolle. Lehrer und Sanitäter können laufende Einsätze einsehen. Das Archiv ist für Sanitäter und Administratoren verfügbar. Sanitäter sehen ausschließlich ihre eigenen Dienstzeiten und zugewiesenen Teams; die vollständige Dienstplan- und Teamverwaltung ist Administratoren vorbehalten. Schüler sehen ausschließlich ihre eigenen laufenden Einsätze und vereinfachte Rückmeldungen: Die Kofferübernahme wird als „unterwegs“ angezeigt. Die technische Administration hat im erforderlichen Umfang Zugriff. IONOS stellt Domain- und DNS-Dienste einschließlich dynamischer DNS-Aktualisierung bereit. TLS-Zertifikate stammen von Let’s Encrypt; Zertifikats-Transparenzprotokolle enthalten die Domain, keine Einsatzinhalte. Beim Aufruf externer Links gelten zusätzlich die Hinweise des jeweiligen Anbieters. Im Portal sind keine Werbe-, Analyse- oder externen Schriftendienste eingebunden. Für iPhone-Entwicklungs-Builds ist Apple Push Notification service (APNs) eingerichtet. Bei erteilter Mitteilungsberechtigung übermitteln wir den gerätespezifischen Push-Token sowie einen allgemeinen Nachrichtentyp und eine Einsatzreferenz an Apple. Der Nachrichtentext enthält keine Patientennamen, Diagnosen, medizinischen Hinweise oder Einsatznotizen. Neue Einsatzalarme werden dem eingetragenen Dienstteam zugeordnet; Statusmeldungen gehen an den Ersteller, Abschlussmeldungen an Beteiligte. Wartungs- und Wiederherstellungsmeldungen gehen an angemeldete Geräte. Firebase Cloud Messaging ist nicht eingerichtet. Für Apple-Anmeldung und APNs ist Apple ein weiterer technischer Empfänger. Eine Verarbeitung durch Apple außerhalb der EU beziehungsweise des EWR kann nicht ausgeschlossen werden. Informationen zu Apples Verarbeitung und internationalen Übermittlungen stehen unter https://www.apple.com/legal/privacy/de-ww/.

7. Speicherung auf deinem Gerät

Die App speichert den Sitzungstoken im gerätegebundenen iPhone-Schlüsselbund, zugänglich bei entsperrtem Gerät. Bei Apple-Anmeldung wird der erstmals geteilte Name ebenfalls gerätegebunden im Schlüsselbund zwischengespeichert, damit eine unterbrochene Kontoerstellung fortgesetzt werden kann. Die gewählte Serveradresse liegt in den lokalen App-Einstellungen. Das Passwort wird in der App nicht gespeichert. Im Admin-Portal liegt der Sitzungstoken im sessionStorage des Browser-Tabs. Dieser für den gewünschten Login notwendige Zugriff auf den Endgerätespeicher erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Tracking- oder Werbe-Cookies werden nicht eingesetzt. Abmelden entfernt den lokalen Sitzungstoken; die Administration kann Sitzungen serverseitig widerrufen. Reguläre Sitzungen haben aktuell keinen festen automatischen Ablauf.

8. Berechtigungen und Sicherheit

Die Kamera wird nur für den von dir gestarteten QR-Code-Scan angefragt. Ein QR-Bild wird dafür nicht auf den Server hochgeladen. Die App fordert keinen Standortzugriff an. Verbindungen erfolgen über HTTPS mit regulärer Zertifikatsprüfung. Dies ist eine Transportverschlüsselung und keine Ende-zu-Ende-Verschlüsselung der Datenbank. Rollen und Sitzungskontrollen begrenzen den Zugriff. Zusätzlich zur Aktualisierung bei geöffneter App können erlaubte Push-Mitteilungen über APNs auch bei geschlossener App angezeigt werden. Apple und die iOS-Einstellungen beeinflussen die Zustellung; sie wird nicht garantiert. Critical Alerts sind beantragt, aber noch nicht freigegeben.

9. Speicherdauer und Löschung

Konten und Testdaten werden gespeichert, solange sie für den laufenden Test und dessen Auswertung erforderlich sind; spätestens bei Abschluss des Tests werden nicht mehr benötigte Daten gelöscht. Eine automatische Löschfrist für Konten, Einsätze und das Aktionsarchiv ist derzeit nicht implementiert. Löschungen werden auf Anfrage und beim Abschluss des Tests manuell vorgenommen, soweit keine gesetzlichen Aufbewahrungsgründe oder erforderliche Rechtsverteidigung entgegenstehen. Abmeldung oder administrativer Widerruf beendet Sitzungen. Administratoren können Konten löschen. Dabei werden Anmeldedaten, Gerätezuordnungen und Teammitgliedschaften entfernt und bestehende Protokollzuordnungen als „Gelöschtes Konto“ geführt. Einsatztexte bleiben erhalten und müssen bei enthaltenen personenbezogenen Angaben gesondert geprüft werden. Alte Einträge der Anmeldedrosselung werden bei weiteren Anmeldeversuchen nach dem Fünf-Minuten-Fenster bereinigt. Nginx-Protokolle werden täglich bei vorhandenem Inhalt rotiert und in 14 rotierenden Archivdateien aufbewahrt; bei geringer Nutzung können diese älter als 14 Kalendertage sein. Technische Systemprotokolle werden zusätzlich nach den Größen- und Rotationsgrenzen des Betriebssystems bereinigt. Tägliche SQLite-Sicherungen werden bei der nächsten Sicherung nach 14 Tagen entfernt. Gelöschte Daten können bis dahin in Sicherungen enthalten sein; diese werden nicht für den laufenden Betrieb ausgewertet. Vor echtem Schulbetrieb müssen ein verbindliches Löschkonzept und dessen technische Umsetzung festgelegt werden.

10. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Bei einer Verarbeitung nach Art. 6 Abs. 1 Buchst. f DSGVO kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO). Eine etwaige Einwilligung kannst du jederzeit für die Zukunft widerrufen. Wende dich hierzu an Mail@simon-zeiler.de. Wir können zur Vermeidung unberechtigter Auskünfte einen angemessenen Identitätsnachweis verlangen. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Wohnort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für nichtöffentliche Stellen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, eine Anlaufstelle: Online-Beschwerde beim BayLDA.

11. Erforderliche Angaben und automatisierte Entscheidungen

Name und Gruppencode sowie entweder ein Passwort oder eine bestätigte Apple-Anmeldung sind für die Kontoerstellung erforderlich; zur Alarmierung ist die Raumnummer erforderlich. Hinweise und Einsatznotizen sind freiwillig. Ohne die notwendigen Angaben ist die jeweilige Funktion nicht nutzbar. Es erfolgt kein Profiling und keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Die Zuordnung eines Dienstteams erfolgt anhand der eingetragenen Dienstzeiten.

12. Änderungen

Bei einer Änderung des Betreibers, echtem Schulbetrieb oder Erweiterung der technischen Dienste werden diese Hinweise entsprechend angepasst. Stand: 31. Oktober 2026.