Datenschutzerklärung

1. Verantwortlicher

David Leven
Deutzer Ring 5, WG 19.2
50679 Köln
E-Mail: hallo@unitos.app
Telefon: 01525 1799246

Es ist kein Datenschutzbeauftragter bestellt, da die Voraussetzungen nach Art. 37 DSGVO derzeit nicht vorliegen.

2. Übersicht der Verarbeitungen

unitOS ist eine webbasierte Anwendung (Progressive Web App) zur Einsatz- und Einheitenverwaltung für Hilfsorganisationen. Die Anwendung verarbeitet personenbezogene Daten in folgenden Bereichen:

• Personalverwaltung (Stammdaten, Rollen, Qualifikationen)
• Einladung und Registrierung neuer Mitglieder
• Authentifizierung und Zugriffskontrolle
• Qualifikations- und Compliance-Management
• Fahrzeugverwaltung
• Terminverwaltung
• Sanitätsdienst-Planung und -Anfragen
• Einsatzdokumentation (Personal, Trupps, Fahrzeuge, Einsätze, Einsatztagebuch, Lagekarte)
• Alarmierung (SMS/Anrufe)
• KI-Assistent (Unity)
• Organisationsinterne Nachrichten und E-Mail-Versand
• Dateispeicherung (Qualifikationsnachweise, Fahrzeugfotos, Logos)
• Fehlerüberwachung und Webanalyse

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Nutzungsvertrag, Mitgliedschaft)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (Dokumentationspflichten im Rettungsdienst)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Einsatzfähigkeit, Organisationsbetrieb, Systemstabilität)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (aktive Nutzung des KI-Assistenten)
• Art. 9 Abs. 2 lit. b DSGVO — Pflichten im Bereich Arbeitsrecht/Sozialschutz (medizinische Qualifikationen)
• Art. 9 Abs. 2 lit. h DSGVO — Gesundheitsversorgung (anonymisierte Patientendaten in der Einsatzdokumentation)

4. Welche Daten wir erheben

4.1 Bei der Registrierung

Vorname, Nachname, E-Mail-Adresse, Passwort. Optional: Telefonnummer, Geburtsdatum, Führerscheinklassen. Ihr Passwort wird ausschließlich als bcrypt-Hash gespeichert.

4.2 Bei der Nutzung der App

• Profildaten: Rollen, Funktionen, Qualifikationen (medizinisch/taktisch), Compliance-Nachweise, Avatar
• Aktivitätsdaten: Letzter Aktivitätszeitpunkt (einmal täglich)
• Dienstdaten: Schichtplanung, Anmeldungen, Einteilungen
• Einsatzdokumentation: Anwesenheitszeiten (Check-in/out), Truppzugehörigkeit, FMS-Status, Einsatztagebuch-Einträge, Lagekarten-Elemente
• Patientendaten: Ausschließlich anonymisiert — geschätztes Alter und Geschlecht. Es werden keine Namen, Adressen oder andere direkt identifizierende Merkmale von Patienten erfasst.
• Termine: Rückmeldungen (zugesagt/abgesagt/vielleicht), Notizen
• Nachrichten: Von Administratoren versendete Organisationsnachrichten

4.3 Bei Nutzung des Kontaktformulars (Website)

Name, E-Mail-Adresse, Organisationsname, Organisationstyp, Mitgliederzahl, Freitext-Nachricht. Diese Daten werden nicht in einer Datenbank gespeichert, sondern ausschließlich per E-Mail an uns weitergeleitet.

4.4 Automatisch erhobene Daten

Bei jedem Seitenaufruf werden durch Vercel Analytics aggregierte Nutzungsdaten erhoben (Seitenaufrufe, Gerätetyp, Performance-Metriken). Es werden keine IP-Adressen gespeichert.

4.5 Besondere Kategorien (Art. 9 DSGVO)

Medizinische Qualifikationen (z.B. Rettungssanitäter, Notfallsanitäter) und Compliance-Nachweise (z.B. Arbeitsmedizinische Vorsorge) können Gesundheitsdaten darstellen. Einsatznotizen und Abschlussnachrichten können ebenfalls gesundheitsbezogene Informationen enthalten.

5. Cookies und Sitzungsdaten

unitOS verwendet ausschließlich technisch notwendige Cookies:

Es werden keine Tracking-Cookies, Werbe-Cookies oder Cookies von Drittanbietern gesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

6. Empfänger und Drittdienste

Zur Bereitstellung von unitOS setzen wir folgende Dienstleister ein:

7. Datenübermittlung in Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA (Vercel, Resend, Twilio, Anthropic). Für diese Übermittlungen setzen wir Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO als Transfergarantie ein.

Die Datenbank mit Ihren personenbezogenen Daten wird ausschließlich in der EU (Frankfurt, aws eu-central-1) betrieben. An US-Dienste werden nur die für den jeweiligen Zweck minimal erforderlichen Daten übermittelt:

• Resend: Empfänger-E-Mail, Vorname, Betreff, Nachrichteninhalt
• Twilio: Telefonnummer, Alarmtext (Stichwort, Adresse, Einheiten)
• Anthropic: Profil-ID (keine Klarnamen), Organisations-Name, Rolleninformationen, Chat-Nachrichten, Tool-Ergebnisse
• Vercel: HTTP-Requests, aggregierte Analytics-Daten

MapTiler (Schweiz) unterliegt dem Angemessenheitsbeschluss der EU-Kommission. OpenStreetMap und Open-Meteo erhalten keine personenbezogenen Daten.

8. KI-Assistent (Unity)

unitOS bietet einen optionalen KI-Assistenten auf Basis von Anthropic Claude. Bei der Nutzung werden Ihre Chat-Nachrichten sowie Ergebnisse von Datenbankabfragen (z.B. Mitgliederlisten, Qualifikationen) an Anthropic in die USA übermittelt.

• Die Nutzung ist freiwillig — der Assistent wird nur bei aktiver Interaktion aufgerufen
• Anthropic speichert API-Daten nicht dauerhaft und verwendet sie laut eigener Angabe nicht für Modelltraining
• Jeder Tool-Aufruf wird in einem Audit-Log protokolliert (nur für Administratoren einsehbar)
• Rate-Limit: 30 Anfragen pro Stunde und Nutzer
• Bilder die dem Assistenten gesendet werden, werden an Anthropic übermittelt — diese können personenbezogene Daten enthalten

9. Alarmierung (SMS und Anrufe)

Bei der Einsatzdokumentation können Einsatzleiter eine SMS- oder Sprachalarmierung auslösen. Dabei wird die hinterlegte Telefonnummer zusammen mit dem Alarmtext (Einsatzstichwort, Adresse, disponierte Einheiten) an Twilio (USA) übermittelt. Es werden keine Patientendaten in Alarmnachrichten übertragen.

10. Dateispeicherung

Folgende Dateien können hochgeladen werden:

• Qualifikationsnachweise (PDF, Bilder) — können personenbezogene Daten enthalten (Name, Geburtsdatum auf Zertifikaten)
• Fahrzeugfotos — potenziell sichtbare Kennzeichen
• Organisationslogos — keine personenbezogenen Daten

Alle Dateien werden in Supabase Storage (EU Frankfurt) gespeichert. Der Zugriff ist durch organisationsspezifische Berechtigungen eingeschränkt. Dateien werden bei Profil-Löschung oder Organisations-Löschung mitgelöscht.

11. Fehlerüberwachung (Sentry)

Zur Sicherstellung der Systemstabilität verwenden wir Sentry (Sentry GmbH, Deutschland). Bei Fehlern werden automatisch technische Informationen erfasst: Fehlermeldung, Stacktrace, Browser-/Geräteinformationen. Serverseitig werden keine personenbezogenen Daten an Sentry übermittelt (sendDefaultPii: false).

12. Webanalyse (Vercel Analytics)

Wir verwenden Vercel Analytics zur Erfassung aggregierter Seitenaufrufe und Vercel Speed Insights für Performance-Metriken (Core Web Vitals). Es werden keine IP-Adressen gespeichert und keine Cookies gesetzt. Die Daten werden ausschließlich zur Verbesserung der Anwendung verwendet.

13. Speicherdauer und Löschung

14. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) — Sie können Auskunft über Ihre gespeicherten Daten verlangen
• Berichtigung (Art. 16 DSGVO) — Sie können Ihre Profildaten jederzeit in der App bearbeiten
• Löschung (Art. 17 DSGVO) — Sie können Ihr Profil selbstständig über die Kontoeinstellungen löschen. Alle verknüpften Daten werden dabei mitgelöscht.
• Einschränkung (Art. 18 DSGVO) — Ihr Administrator kann Ihr Konto auf „inaktiv“ setzen
• Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten als PDF exportieren (Helferakte, Dienstberichte, Einsatzberichte)
• Widerspruch (Art. 21 DSGVO) — Sie können der Verarbeitung Ihrer Daten widersprechen
• Beschwerde — Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren (in NRW: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW)

Für die Ausübung Ihrer Rechte wenden Sie sich bitte an: hallo@unitos.app

15. Datensicherheit

Wir treffen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere:

• Verschlüsselte Übertragung aller Daten (HTTPS/TLS)
• Verschlüsselte Speicherung (AES-256 at Rest)
• Rollenbasierte Zugriffskontrolle auf 3 Ebenen (Datenbank, Applikation, Oberfläche)
• Mandantentrennung (jede Organisation sieht nur ihre eigenen Daten)
• Brute-Force-Schutz und Rate-Limiting
• Restriktive Content Security Policy
• Regelmäßige automatische Backups

Eine vollständige Beschreibung unserer Sicherheitsmaßnahmen stellen wir auf Anfrage zur Verfügung.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen an der Anwendung oder bei neuen rechtlichen Anforderungen anzupassen. Die aktuelle Version ist stets unter dieser URL abrufbar.