Vertrag zur Auftragsverarbeitung
Inhalt
TESTFASSUNG 8 für den Durchstich auf dem Testserver. Keine Rechtswirkung, keine veröffentlichte Fassung.
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die DS81 beim Betrieb von SanOPS im Auftrag des Kunden verarbeitet. Die Anlagen 1 bis 4 sind Bestandteil des Vertrags.
1 Parteien und Geltung
Auftraggeber und Verantwortlicher ist der in der Registrierung beziehungsweise Bestellung bezeichnete Kunde („Auftraggeber“).
Auftragnehmer und Auftragsverarbeiter ist:
DS81 – Manufaktur für digitale Systeme
Inhaber: Daniel Schuboth
Frankenhainer Weg 25
34613 Schwalmstadt
Deutschland
Datenschutzkontakt: datenschutz@sanops.app
Dieser Vertrag ist Bestandteil des SanOPS-Vertrags. Er gilt ab dem Beginn der Verarbeitung, also bereits während des Tests, und weiter im Lesemodus, in der Exportphase und bis zum Abschluss der Löschung. Bei Widersprüchen gehen seine Regelungen anderen vertraglichen Bestimmungen vor. Ein gesonderter Datenschutzbeauftragter ist bei DS81 nicht benannt; Ansprechpartner ist Daniel Schuboth.
Der Auftraggeber nimmt den Vertrag elektronisch an. Der Annahmenachweis hält Auftraggeber, handelnde Person, Fassung und Zeitpunkt fest. Eine neue Fassung ändert frühere Nachweise nicht.
2 Gegenstand, Art, Zweck und Dauer
DS81 stellt SanOPS bereit: eine Plattform für Hilfsorganisationen und Unternehmen zur Organisation von Mitgliedern und Gliederungen, Sanitätsdienstplanung, Einsatzführung mit Lage und Patientendokumentation, Kommunikation, Material und Kursen. Im Auftrag werden Daten erhoben, erfasst, geordnet, gespeichert, angepasst, abgefragt, nach den vergebenen Rechten bereitgestellt, im vereinbarten Umfang übermittelt, exportiert, eingeschränkt und gelöscht. Dazu gehören Administration, Fehlerbehebung, Datensicherung und Wiederherstellung.
Der Umfang richtet sich nach Variante, gebuchten Modulen und Einstellungen des Auftraggebers. Nicht genutzte Module erweitern den Auftrag nicht. Die Datenarten und betroffenen Personen beschreibt Anlage 1.
DS81 verwendet die Daten ausschließlich zur Durchführung dieses Auftrags. Werbung, Verkauf von Daten, Profilbildung zu eigenen Zwecken und das Training allgemeiner KI-Modelle sind nicht Gegenstand des Auftrags. SanOPS trifft keine automatisierten Entscheidungen über Personen und erstellt keine automatischen Sichtungs- oder Diagnosevorschläge.
Der Auftrag dauert bis zur Löschung der Daten nach Anlage 4.
3 Eigene Verantwortung von DS81
Nicht zu diesem Auftrag gehören Verarbeitungen, für die DS81 selbst Zwecke und Mittel festlegt: persönliche SanOPS-Konten (Name, E-Mail, Anmeldung, Sitzungen, Geräte für Benachrichtigungen, persönliche Einstellungen), Registrierung, Vertrag, Abrechnung, Unterstützung, Sicherheit der Plattform und die Website. Sie beschreibt die Datenschutzerklärung von SanOPS. Ebenfalls in eigener Verantwortung verarbeitet DS81 das Profilfoto und die persönlichen Nachweise (Qualifikationen und Fortbildungen mit Dateien), die eine Person in ihrem Konto ablegt, sowie Feedback, das Personen an SanOPS senden. Gibt eine Person einen Nachweis für den Auftraggeber frei, stellt DS81 ihn dem Auftraggeber bereit, solange Freigabe und Mitgliedschaft bestehen; das Profilfoto zeigt SanOPS während einer bestehenden Mitgliedschaft an. Was der Auftraggeber daraus erstellt, gehört zum Auftrag: Prüfentscheidungen mit zugeordneter Qualifikation, Gültigkeit und Begründung, die Kennzeichnung zurückgezogener Nachweise und das Protokoll der Dateiabrufe.
Beanstandungen, die eine Person ausdrücklich an SanOPS richtet, prüft und beantwortet DS81 in eigener Verantwortung zur Sicherheit der Plattform und zum Schutz von Personen vor Missbrauch. Das betrifft nur die Beanstandung mit dem von der Person eingereichten Ausschnitt, nicht die Nachrichten, aus denen er stammt. Beanstandungen, die eine Person an Vertrauenspersonen des Auftraggebers richtet, bearbeiten diese für den Auftraggeber; DS81 verarbeitet sie in dessen Auftrag (Anlage 1). Fällt die letzte zuständige Vertrauensperson weg, übernimmt DS81 eine noch offene Beanstandung nach dem vorstehenden Satz.
Das Abrechnungssystem von DS81 gehört zum selben Rechtsträger und ist kein weiterer Auftragsverarbeiter. Daten des Auftrags dürfen nicht durch Umbenennung in Betriebs- oder Sicherheitsdaten aus dem Auftrag herausgenommen werden.
4 Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er bestimmt die Rechtsgrundlagen, auch für besondere Kategorien nach Art. 9 DSGVO, informiert die betroffenen Personen, holt erforderliche Einwilligungen ein und legt angemessene Aufbewahrungsfristen fest. Er prüft insbesondere:
- die Verarbeitung von Gesundheitsdaten in der Patientendokumentation und die dafür geltenden Dokumentations- und Schweigepflichten;
- den Schutz Minderjähriger, erforderliche Zustimmungen der Sorgeberechtigten und die Einstellungen für Direktnachrichten nach den Hinweisen zu Minderjährigen;
- den Beschäftigtendatenschutz und mögliche Mitbestimmungsrechte;
- eigene Datenschutzhinweise für öffentliche Formulare (Anfragen von Sanitätsdiensten, Kursbuchungen) und deren Verlinkung in SanOPS;
- Freigaben an andere Kunden bei der Zusammenarbeit in Sanitätsdiensten und Einsätzen;
- die Vergabe des Rechts, freigegebene persönliche Nachweise zu prüfen, und die Prüfentscheidungen selbst;
- das Einschalten von Zusatzfunktionen mit erhöhtem Risiko, insbesondere der Spracherkennung (Abschnitt 9);
- die Notwendigkeit einer Datenschutz-Folgenabschätzung. Bei der Einsatzführung mit Patientendokumentation ist sie regelmäßig zu prüfen.
Der Auftraggeber vergibt Rollen nach dem Grundsatz der Erforderlichkeit, prüft sie regelmäßig und entzieht sie bei Wegfall der Aufgabe. Er kann bei der Registrierung oder später in den Organisationsdaten eine E-Mail-Adresse als Datenschutzkontakt angeben und ändern. Solange keine angegeben ist, gehen Mitteilungen nach diesem Vertrag an die Inhaber. Der Datenschutzkontakt empfängt Mitteilungen; Erklärungen des Auftraggebers wie den Widerspruch nach Abschnitt 8 geben die Inhaber ab.
5 Weisungen
DS81 verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet DS81 zu einer anderen Verarbeitung. In diesem Fall teilt DS81 dem Auftraggeber die Pflicht vorher mit, soweit das Recht dies nicht verbietet.
Die vereinbarten Funktionen, die Bedienung durch berechtigte Personen und die Einstellungen des Auftraggebers sind Weisungen. Weitere Weisungen erteilen Inhaber in Textform, etwa per E-Mail an datenschutz@sanops.app oder über die Anfrage an SanOPS im Kundenbereich. Mündliche Weisungen werden unverzüglich in Textform bestätigt.
Hält DS81 eine Weisung für rechtswidrig, informiert DS81 den Auftraggeber unverzüglich und setzt ihre Ausführung bis zur Klärung aus.
6 Vertraulichkeit und Schweigepflicht
DS81 setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt über das Ende der Tätigkeit hinaus.
Soweit der Auftraggeber oder seine Einsatzkräfte einer Schweigepflicht nach § 203 StGB unterliegen, wirkt DS81 als sonstige mitwirkende Person mit. DS81 verpflichtet die eingesetzten Personen in Textform zur Geheimhaltung, belehrt sie über die strafrechtlichen Folgen einer Verletzung und erhält Kenntnis von geschützten Geheimnissen nur, soweit dies für die Leistung erforderlich ist. Unterauftragsverarbeiter werden entsprechend verpflichtet, soweit sie Zugang zu geschützten Geheimnissen erhalten können.
7 Sicherheit der Verarbeitung
DS81 trifft dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage 2 beschreibt den vereinbarten Mindestumfang unter besonderer Berücksichtigung von Gesundheitsdaten und Daten Minderjähriger. Weiterentwicklungen dürfen das Schutzniveau nicht unterschreiten. DS81 überprüft die Wirksamkeit der Maßnahmen regelmäßig und dokumentiert wesentliche Änderungen.
Supportzugang. Benötigt DS81 zur Bearbeitung einer Anfrage Einsicht in Daten des Auftraggebers, beantragt DS81 eine Freigabe für einen benannten Bereich. Der Auftraggeber bestätigt sie für höchstens 240 Minuten oder lehnt sie ab. Die Einsicht ist nur lesend, Personen werden pseudonymisiert angezeigt, soweit der Auftraggeber nicht die Anzeige mit Namen wählt. Jede Einsicht erscheint im Protokoll des Auftraggebers. Einsatz- und Patientendaten sind vom Supportzugang ausgenommen. Ohne Freigabe sieht DS81 nur Stammdaten des Kunden, die Inhaber mit Kontaktdaten, Zähler und technische Vorfälle sowie Beanstandungen, die eine Person ausdrücklich an SanOPS richtet (Abschnitt 3), und zwar Grund, Beschreibung, eingereichten Ausschnitt und Antworten, ohne Angabe von Namen und Alter; Namen im Text selbst bleiben lesbar. Ausschnitte aus Einsatz-Chats sieht DS81 nicht.
8 Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter für die dort beschriebenen Aufgaben, Daten und Orte. DS81 verpflichtet sie vertraglich auf im Wesentlichen dieselben Datenschutzpflichten und bleibt dem Auftraggeber für ihre Erfüllung verantwortlich.
Eine beabsichtigte Ergänzung oder Ersetzung teilt DS81 mindestens 30 Kalendertage vorher per E-Mail an den Datenschutzkontakt, ohne Datenschutzkontakt an die Inhaber, mit, mit Anbieter, Aufgabe, betroffenen Daten, Ort und Schutzmaßnahmen; die Inhaber sehen die Ankündigung außerdem in SanOPS. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung wird der neue Anbieter für die Daten dieses Auftraggebers nicht eingesetzt. Lässt sich keine Lösung finden, kann der Auftraggeber den betroffenen Leistungsteil oder, wenn er nicht abtrennbar ist, den Vertrag ohne Kosten beenden. Ist eine Änderung dringend, etwa zur Abwehr einer Sicherheitsgefahr, ist die vorherige Zustimmung des Auftraggebers erforderlich.
Dienste, die der Auftraggeber selbst vertraglich bezieht und in SanOPS anbindet, etwa Zahlungskonten bei Stripe oder PayPal oder eine eigene what3words-Lizenz, sind keine Unterauftragsverarbeiter von DS81. Der Auftraggeber weist DS81 mit dem Anbinden an, die dafür nötigen Daten an diese Dienste zu übermitteln.
9 Spracherkennung
SanOPS kann gesprochene Eingaben in Text umwandeln, etwa im Einsatztagebuch, in Meldungen und in der Patientendokumentation. Die Spracherkennung über einen Cloud-Dienst ist ausgeschaltet, bis der Auftraggeber sie in seinen Einstellungen ausdrücklich erlaubt. Beim Einschalten weist SanOPS auf die Datenschutzrisiken hin. In der Patientendokumentation bleibt sie auch dann ausgeschaltet, bis der Auftraggeber sie dort gesondert erlaubt.
Ist sie erlaubt, wird eine Aufnahme (höchstens 60 Sekunden) nach ihrem Ende über den Server von SanOPS an Amazon Transcribe in der Region Frankfurt übermittelt und dort in Text umgewandelt (Anlage 3), soweit die App sie nicht auf dem Gerät selbst erkennt. Der erkannte Text erscheint im Eingabefeld und bleibt bis zum Speichern bearbeitbar; eine gesonderte Bestätigung gibt es nicht. Für den Inhalt des gespeicherten Textes ist die Person verantwortlich, die ihn speichert; die Rolle des Auftraggebers als Verantwortlicher bleibt davon unberührt. Auf dem Server speichert SanOPS weder die Audioaufnahme noch den erkannten Text, bevor die Person ihn speichert; gespeichert wird nur der Text, den sie im jeweiligen Eintrag speichert. Ohne Verbindung erkennt die App Sprache auf dem Gerät selbst, sofern das Gerät dies unterstützt; eine Übermittlung an Apple oder Google findet dabei nicht statt. Andernfalls speichert die App eine Aufnahme im Einsatztagebuch verschlüsselt auf dem Gerät, übermittelt sie bei bestehender Verbindung auf demselben Weg an Amazon Transcribe und löscht sie danach sofort, spätestens nach 24 Stunden. In anderen Bereichen und im Browser steht das Diktat ohne Verbindung nicht zur Verfügung. Die Freigabe des Auftraggebers gilt für beide Wege.
10 Orte und Übermittlungen in Drittländer
Anwendung, Datenbank, Dateien und Sicherungen liegen in Rechenzentren in Deutschland. E-Mails und Spracherkennung laufen über die Region Frankfurt von Amazon Web Services. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur im Rahmen von Anlage 3 statt, insbesondere bei der Zustellung von Benachrichtigungen über Apple und Google und bei möglichen Zugriffen von Konzerngesellschaften in den USA. Dafür gelten die dort genannten Garantien nach Kapitel V DSGVO, insbesondere Standardvertragsklauseln und, soweit anwendbar, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Ein europäischer Standort allein schließt Zugriffe aus Drittländern nicht aus.
Behördliche Ersuchen prüft DS81 auf ihre rechtliche Verbindlichkeit, beschränkt eine zulässige Offenlegung auf das Notwendige und informiert den Auftraggeber, soweit zulässig.
11 Unterstützung und Rechte betroffener Personen
DS81 unterstützt den Auftraggeber bei Anfragen betroffener Personen nach Kapitel III DSGVO. Dafür stehen Funktionen zur Auskunft, Berichtigung, Löschung, Einschränkung und zum Export bereit, etwa der Export „Daten einer Person“. Anfragen, die bei DS81 eingehen und Daten des Auftraggebers betreffen, leitet DS81 unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst inhaltlich, soweit keine gesetzliche Pflicht besteht.
DS81 unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, und stellt dafür die nötigen Angaben zu SanOPS bereit.
12 Verletzungen des Schutzes personenbezogener Daten
DS81 meldet dem Auftraggeber eine Verletzung des Schutzes seiner Daten unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Bekanntwerden, und wartet dafür nicht den Abschluss der Untersuchung ab. Die Meldung enthält die verfügbaren Angaben zu Art und Umfang, betroffenen Daten und Personen, möglichen Folgen, Kontaktstelle und Maßnahmen. Fehlende Angaben reicht DS81 nach. DS81 begrenzt die Folgen, sichert Nachweise und dokumentiert den Vorfall. Über Meldungen an die Aufsichtsbehörde und an betroffene Personen entscheidet der Auftraggeber.
13 Nachweise und Kontrollen
DS81 stellt die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag und aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Termin und Umfang werden abgestimmt; Sicherheit, Betrieb und die Vertraulichkeit anderer Kunden werden gewahrt. Bei einem konkreten Anlass bleibt eine kurzfristige Prüfung möglich. Zertifikate von Unterauftragsverarbeitern gelten nur für deren Umfang.
14 Übergaben und Zusammenarbeit zwischen Kunden
Übergibt der Auftraggeber eine Gliederung an einen anderen Kunden von SanOPS, überträgt DS81 auf seine Weisung die betroffenen Daten an diesen Kunden. Ab dem Stichtag ist der aufnehmende Kunde Verantwortlicher für diese Daten; für ihn gilt sein eigener Vertrag zur Auftragsverarbeitung. Gibt der Auftraggeber im Rahmen eines Sanitätsdienstes oder Einsatzes einem anderen Kunden Daten frei, stellt DS81 sie diesem Kunden auf Weisung des Auftraggebers im freigegebenen Umfang bereit.
15 Rückgabe und Löschung
Der Auftraggeber kann seine Daten jederzeit über den Export in einem gängigen, maschinenlesbaren Format abrufen. Nach dem Vertragsende stehen die Daten 90 Tage zum Lesen und Exportieren bereit, sofern nichts anderes vereinbart ist. Danach löscht DS81 die Daten des Auftraggebers und die vorhandenen Kopien nach Anlage 4, soweit keine gesetzliche Pflicht zur Speicherung besteht. Der Auftraggeber kann eine frühere Löschung verlangen. Eine Pflicht des Auftraggebers zur Aufbewahrung, etwa für Patientendokumentation, erfüllt er durch rechtzeitigen Export; sie berechtigt DS81 nicht zur weiteren Speicherung.
DS81 bestätigt die Löschung auf Anfrage in Textform. Die Löschung beginnt nicht, solange ein Einsatz des Auftraggebers läuft oder der Auftraggeber eine begründete Aufbewahrungssperre gesetzt hat; diese Gründe werden protokolliert.
16 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des SanOPS-Vertrags. Änderungen dieses Vertrags bedürfen der Annahme durch den Auftraggeber. Es gilt das Recht der Bundesrepublik Deutschland.
Anlage 1 Datenarten und betroffene Personen
Welche Daten verarbeitet werden, hängt von Variante, Modulen und Einstellungen ab. Nicht jeder Auftraggeber verarbeitet alle genannten Daten.
Betroffene Personen
Mitglieder, Helferinnen und Helfer, Beschäftigte und weitere Personen beim Auftraggeber, mit oder ohne eigenes Konto, auch Minderjährige; Kräfte anderer Kunden bei der Zusammenarbeit; Patientinnen und Patienten sowie Angehörige und Begleitpersonen; Auftraggeber von Sanitätsdiensten und deren Kontaktpersonen; Kursteilnehmende, buchende Personen und Ansprechpartner von Firmen; Ansprechpartner von Lieferanten und Partnern; weitere Personen, die der Auftraggeber in Dokumentation und Kommunikation erfasst.
Grundmodul
Kundenprofile (Name, Kontaktangaben, Mitgliedsnummer, Kennzeichen „minderjährig“, freiwillige Angaben wie Geburtsdatum und Notfallkontakt), Gliederungen, Mitgliedschaften mit Verlauf, Rollen und Rechte, Vorgaben, Beitrittscodes, Beitrittsanfragen und Einladungen, Qualifikationen und freigegebene Nachweise, Abwesenheiten (Zeitraum und persönliche Notiz), externe Personen, Importdateien, Logos und das Änderungsprotokoll. Zu freigegebenen persönlichen Nachweisen: Prüfentscheidungen (Ergebnis, zugeordnete Qualifikation, gültig bis, Begründung einer Ablehnung, prüfende Person, Zeitpunkt, Kennzeichen „Nachweis zurückgezogen“) und das Protokoll der Dateiabrufe. Profilfotos aus den Konten der Mitglieder werden während der Mitgliedschaft angezeigt, aber nicht beim Auftraggeber gespeichert (Abschnitt 3).
Sanitätsdienstplanung
Anfragen mit Angaben zu Auftraggeber, Kontaktpersonen, Veranstaltung, Orten, Zeiten, Besucherzahl und Freitexten; Kommunikation zum Vorgang; Kalkulationen, Angebote, Beauftragungen mit Nachweis (Name, Funktion, E-Mail, gekürzte IP-Adresse, Zeitpunkt), Rahmenvereinbarungen und Rechnungen; Rückmeldungen und Einteilungen der Kräfte, Aufwandsentschädigungen; Zahlungsdaten der Auftraggeber wie Mandate (IBAN verschlüsselt).
Einsatzführung und Lage
Einsatzstammdaten, Lage, Einheiten, Aufträge, Meldungen, Einsatztagebuch, Einsatz-Chat mit Anhängen, Statusmeldungen, Check-in und Check-out, Ortung von Personen oder Einheiten nur nach Aktivierung und mit Zustimmung der Person für den Einsatz oder aufgrund ihrer Einwilligung in die automatische Standortfreigabe, Standorte zu Alarmierungen nur auf deren Bitte und mit der Rückmeldung der Person, auch ohne Rückfrage aufgrund dieser Einwilligung, deren Nachweis (Zeitpunkt, Fassung und Prüfwert des Textes, Ende) und der Vermerk, dass die Person das Senden in einem Einsatz beendet hat, Bilder und Dateien, Sprachaufnahmen nur nach Einstellung.
Patientendokumentation
Gesundheitsdaten nach Art. 9 DSGVO: Identität der Patientinnen und Patienten, soweit bekannt, Sichtung, Beschwerden, Befunde, Vitalwerte, Maßnahmen, Medikamente, Verlauf, Übergabe, Unterschriften, Angaben zu Angehörigen und Begleitpersonen, Zugriffsprotokoll mit Begründungen.
Community
Nachrichten in Gruppen und Direktnachrichten, Aushänge, Lesebestätigungen und Reaktionen, Anhänge und Sprachnachrichten, Veranstaltungen mit Zu- und Absagen, Umfragen, Meldungen von Inhalten an Vertrauenspersonen des Auftraggebers. Ausschnitte aus Einsatz-Chats sehen Vertrauenspersonen nicht.
Material
Artikel, Lagerorte, Bestände, Bewegungen, Prüfungen und Wartungen mit den verantwortlichen Personen, Lieferungen und Bestellungen, Ausgaben an Personen.
Kurse
Kurse und Termine, Lehrkräfte, Buchungen mit buchender Stelle, Teilnehmende mit den vom Anbieter festgelegten Feldern (etwa Geburtsdatum, Arbeitgeber, Unfallversicherungsträger), Anwesenheit, Ergebnisse, Bescheinigungen mit Prüfdaten, Unterschriftsbilder, Rechnungen und Zahlungsdaten (Zahlungsreferenz, Betrag, Status, Mandate mit verschlüsselter IBAN), Abrechnungsstellen mit verschlüsselten Zugangsdaten der Zahlungskonten.
Technische Daten zum Auftrag
Zuordnung von Konten zu Mitgliedschaften, Zeitpunkte von Änderungen, Zugriffs- und Freigabeprotokolle, Synchronisationsdaten der Apps, Zustellstatus von E-Mails und Benachrichtigungen an Mitglieder.
Anlage 2 Technische und organisatorische Maßnahmen
Rechenzentrum und Server
SanOPS läuft auf einem virtuellen Server der Hetzner Cloud in Nürnberg, Deutschland, auf dem nur Anwendungen von DS81 betrieben werden. Physischer Zutritt, Energie und Gebäudesicherheit liegen bei Hetzner, das ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagement im jeweiligen Zertifikatsumfang betreibt. Die Administration ist auf berechtigte Personen beschränkt; Anmeldungen am Server erfolgen nur mit Schlüsseln, das Hetzner-Konto ist mit zweitem Faktor geschützt. SanOPS läuft unter einem eigenen Systembenutzer mit eigener Datenbank, eigenen Diensten und eigener Konfiguration, getrennt von anderen Anwendungen auf demselben Server. Datenbank und Echtzeitdienst sind nur intern erreichbar; Host-Firewalls begrenzen die Zugriffe auf die nötigen Dienste. Sicherheitsaktualisierungen werden regelmäßig, bei kritischen Lücken zeitnah eingespielt.
Übertragung und Verschlüsselung
Alle Verbindungen laufen über HTTPS mit aktuellem TLS und HSTS. Kontaktdaten, Zugangsdaten Dritter, Geheimnisse für den zweiten Faktor und IBAN werden in der Datenbank verschlüsselt gespeichert. Patientendaten werden mit einem eigenen, getrennt verwalteten Schlüssel verschlüsselt; gesucht wird nur über Prüfwerte. Hochgeladene Dateien werden mit einem eigenen Schlüssel je Datei verschlüsselt (XChaCha20-Poly1305) und nur über kurzlebige, an das Konto gebundene Adressen ausgeliefert. Die Datenbank der App auf dem Gerät ist verschlüsselt. Geheimnisse liegen nur in der geschützten Serverkonfiguration, nie im Quellcode oder in Protokollen.
Trennung der Kunden
Alle Kunden nutzen eine gemeinsame Datenbank. Jeder fachliche Datensatz trägt den Bezug zu seinem Kunden; ohne gesetzten Kundenkontext verweigert die Anwendung den Zugriff. Fremde Kennungen werden bei jeder Anfrage abgewiesen. Automatische Tests prüfen die Trennung bei jeder Änderung. Betreiberrechte geben keinen Zugriff auf Fachdaten der Kunden; ausgenommen sind an SanOPS gerichtete Beanstandungen (Abschnitt 3).
Zugriffskontrolle
Persönliche Konten; Passwörter mit 12 bis 256 Zeichen, gespeichert als Argon2id-Prüfwert, mit Sperrliste und ohne Wiederholung der letzten fünf. Zweiter Faktor für alle Personen wählbar, für Betreiberkonten Pflicht. Rollen und Vorgaben wirken entlang der Gliederungen und geben nur die nötigen Rechte; eine Person kann sich keine weitergehenden Rechte selbst geben. Sicherheitsrelevante Änderungen verlangen eine erneute Bestätigung. Sitzungen sind einzeln einsehbar und beendbar und werden bei Passwortänderung beendet. Anmeldeversuche und Codes sind in Zahl und Zeit begrenzt.
Patientendaten
Zugriff nur für Personen mit Rolle im jeweiligen Einsatz. Nach dem Einsatzende ist jeder Abruf einer Patientenakte nur mit Begründung möglich und wird protokolliert. Auf Geräten werden Patientendaten nach dem Einsatzende gelöscht, sobald alle eigenen Änderungen übertragen sind, spätestens mit dem Ende der Nachdokumentationsfrist. Benachrichtigungen, E-Mails und Protokolle enthalten keine Patientendaten.
Integrität und Nachvollziehbarkeit
Änderungen werden mit Person, Zeitpunkt und Gegenstand in einem unveränderlichen Protokoll festgehalten, das in derselben Transaktion wie die Änderung geschrieben wird. Einsatztagebuch, Meldungen, Einsatz-Chat und Patientendokumentation können nicht überschrieben werden; Korrekturen sind neue Fassungen mit Bezug. Beim Abschluss eines Einsatzes entsteht ein Archiv mit Prüfsummen, dessen Prüfsumme im Protokoll steht.
Dateien
Uploads sind auf erlaubte Dateiarten und Größen begrenzt und werden anhand ihres Inhalts erkannt. Bilder werden neu kodiert; Standort- und Kameradaten werden entfernt. Anhänge und hochgeladene Dokumente werden vor der Freigabe auf dem Server mit einem Virenscanner geprüft. Dateien mit Befund werden nicht freigegeben; ist keine Prüfung möglich, bleiben neue Dateien gesperrt, bis sie geprüft sind.
Benachrichtigungen
Push-Benachrichtigungen enthalten nur Titel und kurze Texte aus einem festen Katalog, Kennungen und Zähler, nie Namen, Patientendaten oder Inhalte aus Einsätzen und Nachrichten. Ausgenommen sind Alarmierungen, Auftragsalarmierungen und Notrufe: Alarmierungen enthalten zusätzlich das von der Einsatzführung vergebene Stichwort und den Ort des Einsatzes oder den Treffpunkt, Auftragsalarmierungen die Einsatz- und Auftragsnummer, das Stichwort und den Ort des Auftrags, Notrufe die Einsatznummer und den Ort, nicht aber den weiteren Alarm- oder Auftragstext. SanOPS fügt keine Namen oder Diagnosen hinzu und weist die Einsatzführung beim Alarmieren und beim Anlegen eines Auftrags darauf hin, beides in Stichwort und Ort zu vermeiden. Ob sie auf dem Sperrbildschirm lesbar sind, richtet sich nach den Einstellungen des Geräts. Die App lädt die Inhalte danach geschützt vom SanOPS-Server.
Protokolle und Überwachung
Technische Protokolle enthalten keine Namen, E-Mail-Adressen, Inhalte, Zugangsdaten oder Patientendaten und werden nach 14 Tagen gelöscht. Störungen werden als Vorfälle mit Warnung an den Betreiber erfasst. Es werden keine Fremddienste für Fehleranalyse oder Nutzungsauswertung eingesetzt.
Sicherung und Wiederherstellung
Täglich wird eine Sicherung von Datenbank, Dateien und Konfiguration erstellt, mit AES-256 verschlüsselt und mit Prüfsumme auf einen getrennten Sicherungsspeicher (Hetzner Storage Box) übertragen. Bestehende Sicherungen werden dabei nicht überschrieben; die Prüfsumme wird nach der Übertragung kontrolliert. Die Schlüssel werden getrennt von den Sicherungen und offline aufbewahrt; ohne sie sind die Sicherungen nicht lesbar. Eine fehlende Sicherung löst nach 26 Stunden eine Warnung aus. Die Wiederherstellung wird vierteljährlich in einer getrennten Umgebung erprobt. Die Aufbewahrung der Sicherungen beträgt 30 Tage. Bei einer Wiederherstellung werden zwischenzeitlich wirksame Löschungen und entzogene Rechte erneut angewendet.
Verfügbarkeit im Einsatz
Die Apps arbeiten im Einsatz auch ohne Verbindung weiter und gleichen Änderungen nach Wiederverbindung ab. Laufende Einsätze werden von Zahlungs- und Vertragsstufen nicht unterbrochen.
Entwicklung und Betrieb
Entwicklung und automatische Tests verwenden ausschließlich erfundene Daten und getrennte Datenbanken. Releases werden aus geprüften Ständen gebaut und erst nach erfolgreichen Prüfungen ausgerollt. Echte Kundendaten werden nicht in Entwicklungsumgebungen übernommen.
Organisation
Datenschutzanfragen und Vorfälle bearbeitet Daniel Schuboth über datenschutz@sanops.app. Ein Register für Betroffenenanfragen und Datenschutzverletzungen führt Fristen nach. Die Maßnahmen werden bei wesentlichen Änderungen und mindestens jährlich überprüft.
Anlage 3 Unterauftragsverarbeiter und Orte
Hetzner Online GmbH – Hosting
Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland.
Aufgabe: Bereitstellung des Servers für Anwendung, Datenbank, Dateien, Echtzeitdienst und Kartendaten. Betrieb und Verwaltung der Anwendung liegen bei DS81.
Daten: alle im Auftrag gespeicherten Daten einschließlich Gesundheitsdaten.
Ort: Nürnberg, Deutschland.
Grundlage: Auftragsverarbeitungsvertrag mit Hetzner vom 29. Oktober 2026, Version 1.2.
Hetzner Online GmbH – Storage Box
Aufgabe: Speicher für die verschlüsselten Sicherungen.
Daten: verschlüsselte Archive aller im Auftrag gespeicherten Daten. Hetzner hat keinen Zugriff auf die Schlüssel.
Ort: Falkenstein, Deutschland.
Grundlage: wie oben.
Amazon Web Services EMEA SARL – E-Mail (Amazon SES und Amazon SNS)
Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg.
Aufgabe: Versand von E-Mails an Mitglieder, Auftraggeber und Kursteilnehmende im Auftrag des Kunden (Amazon SES) und Rückmeldung von Zustellungen, Unzustellbarkeit und Beschwerden an SanOPS (Amazon SNS).
Daten: Empfängeradresse, Absender, Betreff, Nachrichtentext, Anhänge (etwa Angebote, Rechnungen und Teilnahmebescheinigungen) und Zustellstatus. E-Mails enthalten keine Patientendaten.
Ort: Region Frankfurt am Main (eu-central-1). Zugriffe von Amazon Web Services, Inc. aus den USA sind nicht ausgeschlossen.
Grundlage: AWS Data Processing Addendum mit Standardvertragsklauseln nach Beschluss (EU) 2021/914; soweit anwendbar Angemessenheitsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework).
Amazon Web Services EMEA SARL – Spracherkennung (Amazon Transcribe)
Aufgabe: Umwandlung von Sprache in Text, nur wenn der Kunde die Spracherkennung erlaubt hat (Abschnitt 9).
Daten: Audioaufnahme des Diktats und erkannter Text, gegebenenfalls mit Gesundheitsdaten, wenn der Kunde die Spracherkennung in der Patientendokumentation erlaubt.
Ort: Region Frankfurt am Main (eu-central-1). Zugriffe aus den USA sind nicht ausgeschlossen.
Grundlage: wie oben. DS81 hat der Verwendung von Inhalten zur Verbesserung von AWS-Diensten widersprochen.
Apple Inc. – Benachrichtigungen an iPhone und iPad
Dienst: Apple Push Notification service, Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA.
Aufgabe: Zustellung von Benachrichtigungen und Alarmierungen an iOS-Geräte, einschließlich kritischer Hinweise nach Freigabe durch die Person und den Kunden.
Daten: Gerätekennung für die Zustellung, Titel und kurze Texte aus festem Katalog, Kennungen und Zähler, bei Alarmierungen, Auftragsalarmierungen und Notrufen zusätzlich Stichwort und Ort des Einsatzes oder Auftrags. SanOPS fügt keine Namen, Patientendaten oder Nachrichteninhalte hinzu; Stichwort und Ort vergibt die Einsatzführung.
Ort und Grundlage: USA; Apple Developer Program License Agreement einschließlich der Regelungen zu APNs; Standardvertragsklauseln beziehungsweise Data Privacy Framework nach den Angaben von Apple. Apple verarbeitet technische Daten des Dienstes teilweise zu eigenen Zwecken; insoweit ist Apple nicht weisungsgebunden.
Google LLC – Benachrichtigungen an Android-Geräte
Dienst: Firebase Cloud Messaging, Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Aufgabe: Zustellung von Benachrichtigungen und Alarmierungen an Android-Geräte.
Daten: wie bei Apple.
Ort und Grundlage: USA und weitere Standorte von Google; Firebase-Datenverarbeitungsbedingungen mit Standardvertragsklauseln. Google verarbeitet technische Dienstdaten teilweise zu eigenen Zwecken; insoweit ist Google nicht weisungsgebunden.
Keine Unterauftragsverarbeiter
- Das Abrechnungssystem von DS81 (derselbe Rechtsträger).
- Karten und Adresssuche: SanOPS betreibt Kartendaten und Adresssuche auf dem eigenen Server mit Daten von OpenStreetMap; dabei werden keine Daten an Dritte übermittelt. Eingaben in die Adresssuche werden nicht protokolliert; zur schnelleren Antwort liegt bis zu 30 Tage statt des Textes nur ein Prüfwert mit den öffentlichen Treffern im Zwischenspeicher. Ein Anbieter für Luftbilder wird erst nach dem Verfahren in Abschnitt 8 ergänzt.
- Zertifikate für eigene Domains des Kunden werden bei Let's Encrypt beantragt; übermittelt wird nur der Domainname.
- Dienste, die der Kunde selbst bezieht (Abschnitt 8): Zahlungskonten bei Stripe und PayPal, Banken für SEPA-Lastschriften, what3words mit eigener Lizenz.
Anlage 4 Rückgabe, Fristen und Löschung
Vorbelegte Fristen
Die folgenden Werte sind Vorbelegungen. Der Auftraggeber prüft sie und passt sie im angegebenen Rahmen an; sie sind keine gesetzlichen Pflichten.
| Daten | Vorbelegung | Rahmen |
|---|---|---|
| Patientendokumentation | 10 Jahre ab Einsatzende | 10–30 Jahre |
| Einsatzarchiv und Einsatz-Chat | 10 Jahre ab Einsatzende | 3–30 Jahre |
| Ortungsverläufe | 30 Tage ab Einsatzende | 0–180 Tage |
| Standorte zu Alarmierungen | 30 Tage ab Aufzeichnung, außer bei angeordneter Aufbewahrung des Einsatzes | nicht einstellbar |
| Nachweis der automatischen Standortfreigabe | 3 Jahre nach Ende der Einwilligung | nicht einstellbar |
| Vermerk über das Beenden des Sendens in einem Einsatz | 30 Tage, mindestens bis zum Ende des Einsatzes | nicht einstellbar |
| Audioaufnahmen aus Diktat | nicht auf dem Server gespeichert; ohne Verbindung bis zu 24 Stunden verschlüsselt auf dem Gerät | nicht einstellbar |
| Abgelehnte und zurückgezogene Anfragen von Sanitätsdiensten ohne Angebot | 12 Monate | einstellbar |
| Kommentare zu Absagen von Kräften | 90 Tage | – |
| Namen in Diensteinteilungen von Sanitätsdiensten | 10 Jahre nach Dienstende | – |
| Community-Nachrichten außerhalb von Einsätzen | 12 Monate | 3–36 Monate |
| Aushänge | 24 Monate | 6–60 Monate |
| Meldungen von Inhalten an Vertrauenspersonen | 3 Jahre nach Abschluss | nicht einstellbar |
| Kontaktdaten nach Ende der letzten Mitgliedschaft | 30 Tage | – |
| Name und Zeiträume ehemaliger Mitglieder | solange Fachdaten sie benötigen, danach Pseudonymisierung | – |
| Einladungen, Beitrittsanfragen, abgelaufene Codes | 90 Tage nach Abschluss | – |
| Prüfentscheidungen zu persönlichen Nachweisen | bis zur Pseudonymisierung des ehemaligen Mitglieds | – |
| Teilnehmerdaten von Kursen | 3 Jahre nach Kursende, Erste-Hilfe-Dokumentation 5 Jahre | – |
| Bescheinigungen mit Prüfdaten | Gültigkeit plus 1 Jahr | – |
| Rechnungen an Auftraggeber und Teilnehmende | 8 Jahre (Buchungsbelege) beziehungsweise 10 Jahre | gesetzlich |
| Mandate von Auftraggebern und Teilnehmenden | 14 Monate nach der letzten Lastschrift, mindestens wie die Rechnung | – |
| Exportpakete | 7 Tage ab Erstellung | – |
Nach Ablauf einer Frist werden die Daten automatisch gelöscht. Es bleibt ein Löschprotokoll ohne Inhalte (Umfang, Zeitpunkt, Frist). Eine Aufbewahrungssperre, etwa wegen eines laufenden Verfahrens, kann die verantwortliche Gliederung mit Begründung setzen; sie hält die Löschung an und wird regelmäßig überprüft.
Testende ohne Vertrag
Nach dem Testende folgen 30 Tage Lesemodus. Danach werden die Daten des Auftraggebers gelöscht; die Inhaber werden 7 Tage vorher erinnert.
Vertragsende
Nach dem Vertragsende folgt eine Exportphase von 90 Tagen, bei Individuellen Angeboten gegebenenfalls länger. Die Inhaber werden 30, 7 und 1 Tag vor ihrem Ende erinnert. Danach werden alle Daten des Auftraggebers gelöscht, sobald kein Einsatz läuft und keine Aufbewahrungssperre besteht. Persönliche Konten von Mitgliedern bleiben bestehen und unterliegen der Datenschutzerklärung.
Sicherungen
Gelöschte Daten können in Sicherungen bis zu deren Ablauf enthalten bleiben. Sicherungen sind verschlüsselt, werden nur zur Wiederherstellung verwendet und laufen nach der in Anlage 2 genannten Dauer aus. Nach einer Wiederherstellung werden wirksame Löschungen erneut angewendet.
Fragen dazu beantworten wir gern unter datenschutz@sanops.app.