Datenschutzerklärung

1. Verantwortlicher

Verantwortliche Stelle

Wird FlorianDesk im Auftrag einer Feuerwehr, Kommune oder anderen Organisation eingesetzt, kann diese Organisation für die fachliche Verarbeitung ihrer Mitglieder- und Einsatzdaten verantwortlich sein. MB2k IT Solutions verarbeitet diese Daten dann nach den vertraglichen Weisungen der jeweiligen Organisation.

2. Umfang der Verarbeitung

Welche Daten FlorianDesk verarbeitet

• Benutzerkonten: Name, E-Mail-Adresse, Rolle, Berechtigungen, verknüpftes Mitglied, letzter Anmeldezeitpunkt sowie Version und Zeitpunkt der Datenschutz-Kenntnisnahme.
• Mitgliederdaten: Personalnummer, Stammdaten, Kontaktdaten, Anschrift, Geburtsdatum, Feuerwehrzugehörigkeit, Qualifikationen, Laufbahn, Abwesenheiten, Auszeichnungen und Fahrerlaubnisse.
• Besondere Daten: Untersuchungs- und Eignungstermine, Atemschutzdaten, Unterschriften sowie gegebenenfalls medizinische Dokumente.
• Dienst- und Organisationsdaten: Einsätze, Übungen, Teilnahmen, Fahrzeuge, Ausrüstung, Wartungen, Ausgaben, Zugangsmittel und zugehörige Historien.
• Dateien: Profil-, Einsatz- und Übungsfotos, Nachweise, Urkunden, Begründungen, Dokumente und Objektbilder.
• Kommunikationsdaten: In-App-Nachrichten, E-Mail-Zustellungen, Push-Abonnements, Zustellstatus und Fehlermeldungen.
• Technische Daten: Session- und Anmeldekennungen, Push-Endpunkt und Browserkennung, Server- und Fehlerprotokolle sowie für Karten- oder Adressabrufe notwendige Netzwerkdaten.

3. Zwecke und Rechtsgrundlagen

Warum die Daten verarbeitet werden

Die Verarbeitung dient der Bereitstellung und Absicherung von FlorianDesk, der Benutzer- und Rechteverwaltung, der Feuerwehr- und Organisationsverwaltung, der Dokumentation von Einsätzen, Übungen, Qualifikationen, Ausgaben und Wartungen, der Kommunikation und Fälligkeitserinnerung sowie dem Nachweis bereitgestellter Datenschutzhinweise.

Je nach Einsatzkontext erfolgt die Verarbeitung insbesondere auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Pflichten, Art. 6 Abs. 1 lit. e DSGVO zur Wahrnehmung öffentlicher Aufgaben oder Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einem sicheren und nachvollziehbaren Betrieb.

Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten werden nur verarbeitet, wenn zusätzlich eine Voraussetzung nach Art. 9 Abs. 2 DSGVO erfüllt ist, insbesondere aufgrund arbeits-, sozial- oder öffentlich-rechtlicher Pflichten. Freiwillige Funktionen wie Web Push oder die Standortfreigabe werden nur nach einer aktiven Freigabe am Endgerät verwendet.

4. Empfänger

Weitergabe und Auftragsverarbeitung

Innerhalb der jeweiligen Organisation erhalten nur Benutzer mit den vorgesehenen Rollen und Berechtigungen Zugriff. Darüber hinaus können Hosting-, Datenbank-, Backup-, E-Mail- und Push-Dienstleister als Auftragsverarbeiter oder technische Empfänger eingesetzt werden. Eine Übermittlung an Behörden erfolgt nur, soweit sie gesetzlich vorgeschrieben oder im Einzelfall zulässig ist.

Bei Diensten mit Sitz oder Infrastruktur außerhalb des Europäischen Wirtschaftsraums kann eine Drittlandübermittlung stattfinden. Maßgeblich sind der konkret eingesetzte Anbieter, ein Angemessenheitsbeschluss oder geeignete Garantien nach Art. 44 ff. DSGVO.

5. Karten, Adressen und externe Datenquellen

Externe Kartendienste

FlorianDesk bindet Kartenkacheln von OpenStreetMap, OpenTopoMap und Esri World Imagery ein. Beim Anzeigen einer solchen Karte wird die IP-Adresse des Endgeräts zusammen mit technischen Abrufdaten und dem sichtbaren Kartenausschnitt an den ausgewählten Anbieter übertragen.

Adress- und Ortssuchen werden an den öffentlichen Dienst Nominatim der OpenStreetMap Foundation gesendet. Dies betrifft auch eine eingegebene Mitgliederanschrift, wenn die Schaltfläche zur Adresssuche verwendet wird. Die Browser-Standortfunktion wird nur nach Freigabe durch den Benutzer aufgerufen; eine ausgewählte Position kann anschließend als Einsatz- oder Kartenobjekt gespeichert werden.

Für Kartenobjekte und Warn- beziehungsweise Wetterinformationen greift der Server außerdem auf Overpass-Instanzen, den Deutschen Wetterdienst und BBK/warnung.bund.de zu. Dabei wird grundsätzlich die Serveradresse von FlorianDesk und nicht die IP-Adresse des angemeldeten Benutzers übermittelt.

• Datenschutz der OpenStreetMap Foundation
• Informationen zu OpenTopoMap
• Datenschutzerklärung von Esri

6. Cookies und Gerätespeicher

Anmeldung und Offline-Funktion

FlorianDesk verwendet ein technisch notwendiges Session-Cookie. Es ist mit HttpOnly und SameSite=Lax geschützt und endet grundsätzlich mit der Browsersitzung. Nach erfolgreicher Anmeldung wird außerdem das Cookie floriandesk_remember zur Wiederherstellung der Anmeldung gesetzt. Es ist bis zu einem Jahr gültig, enthält einen zufälligen Anmeldeschlüssel und wird beim Abmelden entfernt; serverseitig wird nur der Hash des geheimen Token-Anteils gespeichert.

Für die installierbare Web-App speichert ein Service Worker ausschließlich statische Programmdateien wie Stylesheets, Skripte, Schriften und Symbole im lokalen Browser-Cache. Personenbezogene Anwendungsseiten werden nicht für die Offline-Nutzung zwischengespeichert. FlorianDesk setzt keine Analyse- oder Marketing-Cookies ein.

7. Benachrichtigungen

E-Mail und Web Push

E-Mail-Benachrichtigungen werden über den konfigurierten SMTP-Dienst versandt. Web Push wird erst nach Aktivierung durch den Benutzer und Erteilung der Browserberechtigung eingerichtet. Dabei speichert FlorianDesk den Push-Endpunkt, Verschlüsselungsschlüssel und eine Browserkennung. Die verschlüsselte Nachricht wird über den Push-Dienst des Browsers, beispielsweise von Apple, Google oder Mozilla, zugestellt. Ein Push-Abonnement kann über die Anwendung oder die Browsereinstellungen beendet werden.

8. Speicherdauer

Löschung und Aufbewahrung

Anwendungsdaten werden gespeichert, solange sie für den jeweiligen Verwaltungs- und Dokumentationszweck, zur Vertragserfüllung oder aufgrund gesetzlicher Aufbewahrungspflichten benötigt werden. Autorisierte Benutzer können dafür vorgesehene Datensätze und Dateien löschen. Vertragsbezogene Daten werden nach Vertragsende entsprechend den vereinbarten Lösch- und Rückgaberegeln behandelt.

Nachweise über die Datenschutz-Kenntnisnahme bleiben für die Dauer des Benutzerkontos gespeichert. Beim Löschen des Benutzerkontos werden die zugehörigen Nachweise automatisch gelöscht.

Abgelaufene dauerhafte Anmeldeschlüssel werden bereinigt, Push-Abonnements bei Deaktivierung oder technischer Ungültigkeit gelöscht und technische Protokolle nur so lange aufbewahrt, wie dies zur Fehleranalyse, Sicherheit oder Erfüllung rechtlicher Pflichten erforderlich ist.

9. Rechte betroffener Personen

Ihre Datenschutzrechte

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Datenschutzanfragen können an info@mb2k.de oder an die jeweils verantwortliche Organisation gerichtet werden. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.