Verantwortlich für die Datenverarbeitung auf dieser Website sind:
Julián Freiria Lopez
Hans-Vetter-Straße 157
79650 Schopfheim
Frederik Böse
Bodenackerstraße 1A
79541 Lörrach
E-Mail: kontakt@rettworks.de
Diese Website wird auf einem Server in Deutschland gehostet. Beim Aufruf verarbeitet der Webserver technisch notwendig Ihre IP-Adresse sowie Angaben zur Anfrage (aufgerufene Seite, Browsertyp), um die Seite an Ihren Browser auszuliefern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Website). Der Webserver legt für diese Website keine Zugriffsprotokolle (Access-Logs) an; die Daten werden nach der Auslieferung nicht gespeichert.
Diese Website wird ausschließlich über HTTPS ausgeliefert. Die Verbindung zwischen Ihrem Browser und unserem Server ist dadurch verschlüsselt.
Alle Schriftarten sind lokal auf unserem Server eingebunden. Beim Besuch dieser Website wird keine Verbindung zu Servern von Google oder anderen Drittanbietern aufgebaut. Es werden keine externen Inhalte nachgeladen.
Diese Website verwendet keine Cookies, keine Tracking-Dienste und keine Analyse-Werkzeuge.
Wenn Sie das Demo-Formular absenden, werden Ihre Angaben (Name, Organisation, E-Mail-Adresse, Größe der Organisation, Nachricht) verschlüsselt an unseren Server übertragen und von dort per E-Mail an unser Postfach weitergeleitet. Auf dem Server selbst werden die Angaben nicht gespeichert. Zum Schutz vor Missbrauch wird Ihre IP-Adresse höchstens eine Stunde lang ausschließlich im Arbeitsspeicher vorgehalten, um die Zahl der Anfragen pro Absender zu begrenzen; sie wird weder protokolliert noch an Dritte weitergegeben.
Für den Versand und unsere E-Mail-Postfächer nutzen wir Microsoft 365 der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Anfragen per Formular oder E-Mail werden dort gespeichert. Mit Microsoft besteht ein Vertrag zur Auftragsverarbeitung. Eine Übermittlung in die USA kann nicht ausgeschlossen werden; Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Wir verarbeiten Ihre Angaben ausschließlich zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses) bzw. lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und am Schutz vor Missbrauch). Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.
Die eingebundenen Videos werden direkt von unserem eigenen Server ausgeliefert. Es findet keine Übertragung an Videoplattformen oder andere Dritte statt.
RettWorks ist eine Anwendung für Hilfsorganisationen (z. B. DRK-Ortsvereine) zur Verwaltung von Material, Diensten, Einsätzen und Mitgliedern. Sie besteht aus einer Webanwendung und der App „RettWorks“ für iOS und Android. Die App ist kein eigenständiger Dienst: Alle fachlichen Daten liegen auf dem Server der Organisation, bei der Sie angemeldet sind.
Verantwortlich für die Verarbeitung der Daten, die Sie in der Anwendung sehen oder eingeben (etwa Dienstpläne, Einsatzdokumentation, Mitgliederdaten oder Chatnachrichten), ist die jeweilige Organisation. Anfragen zu diesen Daten und zu Ihren Rechten nach Ziffer 9 richten Sie bitte zuerst an diese Organisation. Die Anwendung wird auf Servern der jeweiligen Organisation in Deutschland betrieben. Wir entwickeln und warten die Software; soweit wir dabei Zugriff auf personenbezogene Daten erhalten, handeln wir ausschließlich nach Weisung der Organisation. Selbst verantwortlich sind wir für das Serververzeichnis (8.3) und für die Bereitstellung der App.
Die App wird über den Apple App Store und Google Play vertrieben. Beim Herunterladen verarbeiten Apple bzw. Google Daten wie Ihre Konto-Kennung und den Zeitpunkt des Downloads in eigener Verantwortung; darauf haben wir keinen Einfluss. Es gelten die Datenschutzhinweise von Apple bzw. Google.
Beim ersten Start fragt die App eine Liste der verfügbaren RettWorks-Server ab (discover.bosnow.de), damit Sie Ihre Organisation auswählen können. Dabei werden keine Angaben über Sie übermittelt, nur die technisch nötigen Verbindungsdaten. Die Anfrage läuft über das Netzwerk-Gateway des Server-Standorts; unser Dienst erhält dadurch nicht Ihre IP-Adresse, sondern nur die des Gateways, und protokolliert Zeitpunkt und Anzahl der Anfragen. Diese Protokolle werden nach 14 Tagen gelöscht. Die Serverliste wird auf dem Gerät zwischengespeichert. Nach der Auswahl kommuniziert die App nur noch mit dem Server Ihrer Organisation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen Einrichtung der App).
Sie melden sich entweder mit E-Mail-Adresse und Passwort an oder durch Auflegen Ihres NFC-Chips bzw. Ihrer NFC-Karte. Bei der NFC-Anmeldung liest die App ausschließlich die technische Kennung (UID) des Chips und sendet sie verschlüsselt an den Server, der sie mit den hinterlegten Chips Ihrer Organisation abgleicht. Weitere Inhalte des Chips werden nicht gelesen.
Nach erfolgreicher Anmeldung erhält die App ein Zugangs-Token (15 Minuten gültig) und ein Erneuerungs-Token (30 Tage gültig). Beide werden im geschützten Speicher Ihres Geräts abgelegt (iOS-Schlüsselbund bzw. Android Keystore). Beim Abmelden werden die Token vom Gerät gelöscht und auf dem Server ungültig gemacht. Zum Schutz vor Missbrauch führen fehlgeschlagene Passwort-Anmeldungen zu einer vorübergehenden Kontosperre, und NFC-Anmeldeversuche werden je IP-Adresse begrenzt; die IP-Adresse wird dafür nur kurzzeitig im Arbeitsspeicher gehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO.
Je nach Ihren Berechtigungen in der Organisation werden in der App angezeigt und verschlüsselt (HTTPS) übertragen: Ihr Profil (Name, Kontaktdaten, Qualifikationen); Dienste und Veranstaltungen mit Schichteinteilungen, Abwesenheiten und Helferstunden; Chatnachrichten samt Lesebestätigungen; Kontaktdaten anderer Mitglieder (Name, E-Mail, Telefonnummern, Funktion); Inventar, Bestellungen, Kleidung, Fahrzeuge, Medizinprodukte sowie Raum- und Mietbuchungen; Schadensmeldungen und Übergabeprotokolle einschließlich Fotos und Unterschriften; Einsatzdokumentation und Erste-Hilfe-Protokolle.
Einsatzdokumentation und Erste-Hilfe-Protokolle können Gesundheitsdaten von Patientinnen und Patienten enthalten (Art. 9 DSGVO), etwa Name, Geburtsdatum, Anschrift, Krankenkasse, Vitalwerte und getroffene Maßnahmen. Diese Daten werden ausschließlich zur Dokumentation des Einsatzes gespeichert und nicht weiter ausgewertet oder weitergegeben. Die Klarnamen sind nachträglich nur für Personen mit einer besonderen Berechtigung der Organisation einsehbar. Rechtsgrundlage ist Art. 9 Abs. 2 lit. c und h DSGVO in Verbindung mit den Dokumentationspflichten der Organisation im Sanitäts- und Rettungsdienst.
Die App fragt nur die Berechtigungen ab, die für die jeweilige Funktion nötig sind. Außer NFC können Sie jede davon ablehnen oder später in den Systemeinstellungen widerrufen, ohne dass die übrige App unbrauchbar wird.
NFC: zum Lesen der Chip-Kennung bei der Anmeldung (8.4).
Kamera: zum Scannen von QR-Codes an Medizinprodukten und Material sowie zum Fotografieren von Schäden. QR-Codes werden ausschließlich auf dem Gerät ausgewertet.
Fotos: nur für Bilder, die Sie selbst für eine Schadensmeldung auswählen.
Kalender (optional): Die App legt einen eigenen Kalender „DRK IMS“ an und trägt dort Ihre Dienste und Veranstaltungen ein. Andere Kalender werden nicht ausgelesen.
Kontakte (optional): Die App legt eine Kontaktgruppe „DRK IMS“ mit Name, E-Mail-Adresse und Telefonnummern der Mitglieder Ihrer Organisation an. Ihre übrigen Kontakte werden weder an uns noch an die Organisation übertragen.
Hintergrundaktualisierung (iOS): etwa alle vier Stunden, um Kalender und Kontakte aktuell zu halten.
Mitteilungen: siehe 8.7.
Die in Kalender und Adressbuch angelegten Einträge liegen danach auf Ihrem Gerät. Synchronisiert Ihr Gerät diese Daten mit einem Cloud-Dienst (z. B. iCloud oder Google), gelten dafür dessen Bedingungen. Nach dem Abschalten der Synchronisierung können Sie Kalender und Kontaktgruppe in den Geräteeinstellungen löschen.
Wenn Sie Mitteilungen erlauben, nutzt die App den Dienst Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; auf iOS-Geräten erfolgt die Zustellung zusätzlich über den Apple Push Notification Service. Ihr Gerät erhält dafür eine Gerätekennung (Push-Token), die die App zusammen mit dem Betriebssystem (iOS/Android) an den Server Ihrer Organisation übermittelt; dort wird sie Ihrem Benutzerkonto zugeordnet. Außerdem wird Ihr Gerät für Mitteilungen an alle Mitglieder Ihrer Organisation angemeldet.
Für jede Benachrichtigung überträgt der Server Titel, Text und einen technischen Verweis (z. B. auf eine Veranstaltung oder einen Chatraum) an Google. Der Text kann personenbezogene Angaben enthalten, etwa den Namen des Absenders und den Anfang einer Chatnachricht oder den Namen einer Veranstaltung. Gesundheitsdaten aus der Einsatzdokumentation werden nicht per Push versendet. Eine Übermittlung an Google LLC in die USA kann nicht ausgeschlossen werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch das Erlauben von Mitteilungen erteilen und jederzeit in den Systemeinstellungen widerrufen können; einzelne Benachrichtigungsarten lassen sich zusätzlich in der App abschalten. Beim Abmelden wird die Gerätekennung vom Server gelöscht, ungültig gewordene Kennungen entfernt der Server automatisch.
Die App lädt ihre Schriftarten beim ersten Start von Servern der Google Ireland Limited (Google Fonts) und speichert sie danach auf dem Gerät. Dabei wird Ihre IP-Adresse an Google übermittelt; eine Übermittlung in die USA kann nicht ausgeschlossen werden (EU-US Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung der App).
Auf Ihrem Gerät werden die Anmelde-Token (im geschützten Speicher), die gewählte Server-Adresse, die zwischengespeicherte Serverliste, Ihre App-Einstellungen sowie noch nicht gesendete Chatnachrichten gespeichert, bis eine Verbindung besteht. Beim Deinstallieren der App werden diese Daten gelöscht; ausgenommen sind die von Ihnen erlaubten Kalender- und Kontakteinträge (8.6).
Die App enthält keine Werbung, keine Analyse- oder Tracking-Dienste und kein externes Absturz-Reporting.
Einige Funktionen nutzen auf dem Server externe Dienste; Ihr Gerät baut dabei keine direkte Verbindung zu diesen Diensten auf.
E-Mail-Benachrichtigungen werden über den E-Mail-Dienst versendet, den Ihre Organisation festgelegt hat (z. B. Microsoft 365 der Microsoft Ireland Operations Limited oder ein eigener Mailserver). Versendete Benachrichtigungen werden 90 Tage protokolliert.
Wetter und Ortsangaben: Für Veranstaltungen werden Koordinaten bzw. Ortsnamen an Open-Meteo (open-meteo.com) und an OpenStreetMap Nominatim (OpenStreetMap Foundation, Vereinigtes Königreich) übermittelt. Angaben zu Ihrer Person werden dabei nicht übertragen.
Feedback und Fehlermeldungen: Wenn Sie über die Feedback-Funktion eine Rückmeldung senden, wird sie mit Ihrem Namen gespeichert. Zur Aufbereitung wird der Text an einen KI-Dienst der layer7 GmbH, Reutackerstraße 42, 79591 Eimeldingen, übermittelt; das Sprachmodell läuft im eigenen Rechenzentrum der layer7 GmbH in Deutschland, eine Weitergabe an weitere Anbieter findet nicht statt. Anschließend wird die Rückmeldung mit Ihrem Namen in unserem Ticketsystem auf GitHub (GitHub B.V., Niederlande, bzw. GitHub Inc., USA; zertifiziert nach dem EU-US Data Privacy Framework) erfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Fehlern und Verbesserungswünschen). Bitte geben Sie im Feedback keine Patientendaten ein.
Anmeldung mit Vereins- oder Firmenkonto (nur Webanwendung): Nutzt Ihre Organisation eine Anmeldung über einen Identitätsanbieter wie Microsoft Entra ID, verarbeitet dieser Ihre Anmeldedaten in Verantwortung der Organisation.
Server-Protokolle: Die Server schreiben technische Protokolle zur Fehleranalyse und Abwehr von Angriffen, die im Fehlerfall auch IP-Adressen enthalten können. Diese Protokolle werden nach 14 Tagen automatisch gelöscht.
Chats zu Veranstaltungen werden automatisch gelöscht, standardmäßig 12 Monate nach der letzten Schicht der Veranstaltung; die Frist kann die Organisation anpassen. Für alle übrigen Daten, etwa Einsatzdokumentation, Helferstunden und Mitgliederdaten, legt die jeweilige Organisation die Löschfristen im Rahmen ihrer gesetzlichen Aufbewahrungspflichten fest. Eine Kopie Ihrer Daten (Art. 15 und 20 DSGVO) können Sie in der Webanwendung unter Konto → Persönliche Daten herunterladen. Die Löschung Ihres Kontos beantragen Sie bei Ihrer Organisation.
Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten: Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21). Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — für Baden-Württemberg: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Stand dieser Datenschutzerklärung: September 2026.