Datenschutzerklärung

1. Das Wichtigste in Kürze

Deinen Notfallplan, deine Gesundheitsangaben und die Meldungen deiner Gruppe verschlüsselt die App auf deinem Telefon, bevor sie es verlassen. Die Schlüssel bleiben auf den Telefonen der Gruppe. Unser Server speichert nur verschlüsselte Daten und die Angaben, die er braucht, um sie richtig zu verteilen. Für ein Konto brauchst du weder Namen noch E-Mail-Adresse noch Telefonnummer. Die App enthält keine Werbung, keine Analyse- und keine Tracking-Werkzeuge und fragt nicht nach deinem Standort.

2. Wer verantwortlich ist

Anbieter der App und Verantwortlicher im Sinne der DSGVO ist:

Weitere Angaben findest du im Impressum.

3. Was auf deinem Telefon bleibt

Plan, Treffpunkte, Kontaktkette mit Telefonnummern, Gesundheitsangaben und Meldungen liegen auf deinem Telefon in einer verschlüsselten Datenbank. Die App macht keine Cloud-Sicherung dieser Daten. Eine Sicherungsdatei entsteht nur, wenn du sie selbst anlegst; sie ist mit deinem Wiederherstellungscode verschlüsselt, und du bestimmst, wo sie liegt. Abschnitte anderer Mitglieder kommen nur hinein, wenn diese es erlaubt haben.

4. Was unser Server verarbeitet

Der Server läuft bei der Hetzner Online GmbH in Nürnberg (Deutschland). Er bekommt:

• Verschlüsselte Inhalte: Plan, Gesundheitsangaben, Meldungen deiner Gruppe. Lesen kann er sie nicht.
• Konto und Geräte: eine Konto-ID ohne Bezug zu deinem Namen, die öffentlichen Schlüssel deiner Geräte und deines Kontos. Die Liste deiner Geräte (Gerätekette) kann jeder abrufen, der deine Konto-ID kennt.
• Gruppen: welche Konten zu einer Gruppe gehören, wer wen eingeladen und bestätigt hat, wer welchen verschlüsselten Abschnitt lesen darf, wann Daten eingegangen sind und wie groß sie ungefähr sind. Daraus lässt sich ableiten, wer Verwalter einer Gruppe ist und wann in einer Gruppe viel los ist, etwa bei einem Notfall.
• Einladungen: Kennung, Gruppe und Ablauf einer Einladung; das Geheimnis im Einladungslink und den Beitrittscode bekommt er nie.
• Push-Token, wenn du Benachrichtigungen einschaltest (siehe Abschnitt 6).
• IP-Adresse: nur im Arbeitsspeicher, um massenhafte Anfragen zu bremsen, höchstens eine Stunde und eine Minute; sie wird nicht in der Datenbank gespeichert und nicht protokolliert. Auch wenn unser Dienst einmal nicht antwortet, enthält das Fehlerprotokoll des Webservers keine IP-Adresse, keine aufgerufene Adresse und keine Kopfzeilen der Anfrage.
• Karten: Lädst du Karten, sieht der Server dabei, für welche Bundesländer dein Telefon Karten abruft.

Zweck: den Plan zwischen den Telefonen deiner Gruppe abgleichen, Meldungen zustellen und Missbrauch abwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) für Konto, Gruppen und Abgleich; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für den Schutz vor Missbrauch und für die Kontaktdaten Dritter in deiner Kontaktkette.

5. Gesundheitsangaben

Gesundheitsangaben sind freiwillig. Die App fragt vorher nach deiner ausdrücklichen Einwilligung und verschlüsselt sie so, dass nur die Personen sie lesen, die du auswählst. Öffnen geht nur mit Fingerabdruck oder Gerätecode. Die Einwilligung gilt nur für Angaben über dich selbst. Du kannst sie in der App jederzeit widerrufen. Dann ersetzt die App deine Angaben durch einen leeren Stand. Was andere schon gesehen haben, und Kopien auf fremden Geräten oder verschlüsselt beim Server kann sie nicht sicher löschen.

Rechtsgrundlage: deine ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a DSGVO.

6. Benachrichtigungen über Google (Firebase Cloud Messaging)

Benachrichtigungen sind aus, bis du sie einschaltest. Erst dann startet die App den Dienst Firebase Cloud Messaging von Google. Bei einer Meldung deiner Gruppe weckt unser Server dein Telefon über Google. Der Weckruf enthält nichts; die Meldung holt die App danach verschlüsselt von unserem Server.

Google erfährt dabei: dein Push-Token und eine Installationskennung der App, die IP-Adresse deines Telefons, dass und wann dein Telefon geweckt wird und welche Telefone gleichzeitig geweckt werden. Google kann das dem Google-Konto deines Telefons zuordnen. Die Daten können in den USA verarbeitet werden. Unser Server speichert den Token je Gerät, ohne Gruppe und ohne Region.

Google verarbeitet diese Daten für uns als Auftragsverarbeiter nach den Firebase Data Processing and Security Terms, die Teil der Firebase-Bedingungen sind. Beteiligt sein können danach Google Ireland Limited, die Google LLC in den USA und weitere Unternehmen der Google-Gruppe. Für Übermittlungen in die USA sehen diese Bedingungen das EU-US Data Privacy Framework vor, soweit das empfangende Google-Unternehmen danach zertifiziert ist, sowie Standardvertragsklauseln.

Du kannst Benachrichtigungen in der App jederzeit ausschalten; dann meldet die App das Telefon beim Server ab, der den Token löscht, und gibt den Token bei Google zurück. Ohne Netz holt sie das Abmelden nach. Ohne Benachrichtigungen siehst du Meldungen, wenn du die App öffnest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Der Zugriff auf dein Telefon für den Token erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, weil du den Dienst ausdrücklich einschaltest.

7. Prüfung des Schlüsselspeichers bei Google

Die App fragt höchstens einmal am Tag bei Google ab (https://android.googleapis.com/attestation/status), ob der Schlüsselspeicher deines Telefons als unsicher gemeldet ist. Die Liste ist für alle gleich. Google erfährt deine IP-Adresse und den Zeitpunkt, aber keine Inhalte und keine Kennung deines Kontos oder Geräts. Die Verarbeitung kann außerhalb der EU stattfinden. Für diese Abfrage gelten die Datenschutzhinweise von Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz deiner Schlüssel.

8. SMS an deine Kontaktkette

Wenn du es wählst, oder wenn dein Telefon beim Senden einer Meldung keine Verbindung hat, öffnet die App deine SMS-App mit einer fertigen SMS an die Nummern deiner Kontaktkette; senden musst du selbst. Die SMS enthält nur einen festen Satz mit dem Namen der App, etwa „Bin sicher. (Notfallvorsorge)“, keinen Standort und keinen eigenen Text. Dein Mobilfunkanbieter und die Empfänger erfahren dadurch auch, dass du die App nutzt. Die SMS geht unverschlüsselt über deinen Mobilfunkanbieter.

9. Was die App nicht tut

Keine Werbung, keine Analyse, kein Tracking, keine Absturzberichte an Dritte. Die App hat keine Berechtigung für deinen Standort. Sie ruft nur unseren Server und die oben genannten Dienste von Google ab.

10. Andere Empfänger

• Die Hetzner Online GmbH betreibt den Server in Deutschland und sieht technisch die verschlüsselten Daten und die Angaben aus Abschnitt 4.
• Google, wie in den Abschnitten 6 und 7 beschrieben.
• Sonst niemand.

11. Wie lange Daten bleiben

• Meldungen: alle einer Gruppe nach 30 Tagen ohne neue Meldung, jede spätestens nach 90 Tagen.
• Einladungen: einen Tag nach Ablauf; eine Einladung läuft nach höchstens 7 Tagen ab.
• Push-Token: beim Ausschalten, beim Entfernen des Geräts, wenn Google ihn als ungültig meldet, und nach 180 Tagen ohne Anmeldung.
• Austritt aus einer Gruppe: deine Mitgliedschaft und die Schlüssel, mit denen du die Daten der Gruppe lesen konntest, sofort. Deine Austrittserklärung bleibt, bis ein Verwalter dich aus der Gruppe entfernt; danach vermerkt der Server, dass du entfernt wurdest, solange die Gruppe besteht oder bis du wieder aufgenommen wirst, und in der Mitgliederkette der Gruppe bleibt dein Konto als früheres Mitglied stehen, solange die Gruppe besteht. Was du in der Gruppe eingetragen hast, etwa Teile des Plans oder deine Gesundheitsangaben, bleibt verschlüsselt in der Gruppe, bis sie gelöscht wird; Mitglieder, die du berechtigt hattest, können es auf ihren Geräten weiter lesen. Schlüssel für einzelne Abschnitte, die andere Mitglieder dir geschickt haben, liegen in deren verschlüsselten Sendungen und auf den Telefonen der Gruppe; beim Server bleiben sie, bis das Mitglied, dem der Abschnitt gehört, ihn neu verschlüsselt, dann entfernt der Server die alten Schlüssel, oder bis die Gruppe gelöscht wird. Alle Daten einer Gruppe löschen wir, sobald der Gründer als Letzter austritt.
• Sicherungen: Wir sichern die Datenbank des Servers jede Nacht und behalten die letzten 14 Sicherungen. Zusätzlich legt Hetzner täglich eine Sicherung des ganzen Servers an und behält davon die letzten sieben. Was wir gelöscht haben, kann in diesen Sicherungen deshalb insgesamt bis zu etwa drei Wochen erhalten bleiben.
• Konto, Gerätekette und Mitgliedschaften: solange das Konto besteht, bis du die Löschung beantragst.
• Nach einem Löschantrag in der App (unter „Konto löschen“) löschen wir dein Konto frühestens nach drei Tagen und spätestens nach einem Monat, nach einem Antrag per Mail frühestens nach 14 Tagen. Die drei Tage gelten auch nach jeder Änderung an deinen Geräten; so bemerkst du einen Antrag von einem verlorenen Telefon, bevor etwas gelöscht ist. Mit der Löschung sofort weg sind: die Anmeldung deines Kontos (unser Server nimmt danach von deinen Geräten nichts mehr an), die Schlüsselbünde deiner Geräte, deine Push-Token, deine Einladungen und Beitrittsanfragen, deine Meldungen, die Gruppenschlüssel, die für dich beim Server liegen, und deine Mitgliedschaften. Du trittst dabei aus jeder Gruppe aus; eine Gruppe, in der du allein bist, löschen wir ganz.
• Solange eine Gruppe besteht, in der du warst, bleiben derzeit: dein Konto-Eintrag beim Server (die Zeiten nur noch auf den Tag genau), die öffentlichen Schlüssel deiner Geräte (die anderen Telefone prüfen damit die Geschichte der Gruppe), dein Konto als früheres Mitglied in der Mitgliederkette, verschlüsselt, was du dort geteilt hast, und die Schlüssel für Abschnitte, die andere Mitglieder dir geschickt haben, bis diese ihre Abschnitte neu verschlüsseln. Unser Server kann diese Inhalte nicht lesen. Nennt keine Gruppe dein Konto mehr, löschen wir Konto-Eintrag und Geräteschlüssel binnen einer Stunde. Deine Konto-ID bleibt dauerhaft als gelöscht gesperrt, damit sie nicht erneut verwendet werden kann; sie verweist auf keine Person.
• In den Sicherungen steht der alte Stand noch so lange, wie oben unter „Sicherungen“ beschrieben. Spielen wir eine Sicherung unserer Datenbank ein, löschen wir dein Konto darin erneut. Müssten wir ein ganzes Abbild des Servers bei unserem Hoster einspielen, fehlten darin auch die Vermerke über Löschungen nach seinem Stand; solche Konten wären bis zu einem neuen Antrag wieder vorhanden.
• Antrag per Mail: Deine Mail und unsere Antwort bewahren wir als Nachweis in unserem Postfach auf, nicht beim Server der App, und zwar drei Jahre ab dem Ende des Jahres, in dem der Antrag erledigt wurde; danach löschen wir sie.

Was ein Telefon deiner Gruppe einmal geladen hat, bleibt auf diesem Telefon; das können wir nicht zurückholen.

12. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO) und kannst Einwilligungen jederzeit für die Zukunft widerrufen. Weil wir Inhalte nicht lesen können, können wir dir zu Inhalten keine Auskunft geben; die Inhalte siehst du in der App. Über die Angaben beim Server geben wir Auskunft; schreib dazu an datenschutz@blackfort-tec.de. Weil wir zu einem Konto weder Namen noch Kontaktdaten haben, stimmen wir dann mit dir ab, wie wir deine Anfrage sicher deinem Konto zuordnen; ohne diese Zuordnung können wir keine Auskunft geben.

Konto löschen: Die Löschung beantragst du in der App unter „Dein Konto“ → „Konto löschen“. Der Antrag geht signiert von deinem Telefon an unseren Server; einen Antrag aus der App kann also nur stellen, wer ein Telefon deines Kontos entsperrt in der Hand hat. Wir bearbeiten ihn frühestens nach drei Tagen und spätestens nach einem Monat; den Stand siehst du in der App. Bist du in einer Gruppe der einzige Verwalter und sind noch andere darin, machst du dort vorher ein anderes Mitglied zum Verwalter (in der App beim Mitglied „Rolle ändern“). Ohne die App kannst du die Löschung per Mail an datenschutz@blackfort-tec.de beantragen; nenne dazu die Konto-ID (in der App unter „Dein Konto“ → „Konto löschen“). Wir tragen den Antrag ein; die Telefone dieses Kontos zeigen einen Hinweis und können 14 Tage lang widersprechen. Ein Antrag mit fremder Konto-ID wird nur wirksam, wenn auf keinem Telefon des Kontos innerhalb von 14 Tagen widersprochen wird. Ohne Widerspruch löschen wir danach, spätestens einen Monat nach deiner Mail. Ist das Konto noch Mitglied einer Gruppe mit anderen, trittst du vorher in der App aus oder lässt dich von einem Verwalter entfernen. Deine Mail und unsere Antwort bewahren wir als Nachweis in unserem Postfach auf, nicht beim Server der App: drei Jahre, gerechnet ab dem Ende des Jahres, in dem der Antrag erledigt wurde; danach löschen wir sie. Ohne Telefon und ohne Konto-ID können wir dein Konto keiner Person zuordnen. Die Daten auf deinem eigenen Telefon löschst du, indem du die App deinstallierst. Wie das geht, steht auch auf der Seite Konto löschen.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

13. Pflicht zur Angabe, automatisierte Entscheidungen

Du musst keine Daten angeben. Ohne Konto funktioniert die App nicht; Gesundheitsangaben und Benachrichtigungen sind freiwillig. Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Stand: 5. November 2026