Datenschutzerklärung

Mobile App „Dienstplan" (Android-Paket und iOS-Bundle de.bany.dp08) – privates Projekt zur Optimierung der Dienstplanung eines ärztlichen Teams, kein offizielles Produkt eines Krankenhauses.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und sonstiger datenschutzrechtlicher Bestimmungen ist:

Bernd Rydzewski
Bertha-von-Suttner-Weg 16
47877 Willich
E-Mail: mail@bany.de
Website: bany.de

Die App ist ein mobiler Client für das privat betriebene Web-Backend unter dp.bany.de. Sie wird derzeit ausschließlich an einen geschlossenen Kreis ärztlicher und administrativer Mitarbeiterinnen und Mitarbeiter der Anästhesie verteilt (Internal-Testing-Phase).

2. Geltungsbereich

Diese Erklärung gilt für die Datenverarbeitung, die durch die Nutzung der mobilen App auf dem Gerät der Nutzerin / des Nutzers sowie durch die Kommunikation mit dem Backend dp.bany.de entsteht. Für das Backend selbst und den Inhalt der dortigen Datenbanken ist die in § 1 genannte verantwortliche Stelle zuständig.

3. Welche Daten werden verarbeitet?

3.1 Beim Login

• Benutzername und Passwort, die an das Backend übertragen werden.
• Auf Wunsch (Biometrie aktivieren): ein vom Backend ausgegebener Authentifizierungs-Token, der lokal im Android Keystore / iOS Keychain der Geräte verschlüsselt abgelegt wird, um eine erneute Anmeldung per Fingerabdruck oder Face ID zu ermöglichen. Die biometrische Prüfung selbst erfolgt ausschließlich durch die Betriebssystem-API des Endgeräts; die App erhält vom Betriebssystem nur eine Erfolgs- oder Fehlermeldung und hat keinen Zugriff auf biometrische Rohdaten.
• Technische Verbindungsdaten (IP-Adresse, User-Agent, Zeitstempel) auf Backend-Seite zur Sicherung der Verfügbarkeit und Abwehr von Missbrauch.

3.2 Eigene Profil-Daten

Beim ersten Start lädt die App die im Backend hinterlegten Daten zur eigenen Person und ermöglicht das Bearbeiten:

• Titel, Vorname, Nachname, Dienstplanname
• Qualifikation, Diensttelefon, E-Mail-Adresse, Mobilfunknummer
• Anschrift (Straße, Hausnummer, PLZ, Ort)
• Einheitliche Fortbildungsnummer (EFN)

Diese Felder werden bei Änderung an das Backend übermittelt und dort in der Personalstammdaten-Tabelle aktualisiert.

3.3 Daten anderer Mitarbeiter

Damit die Mitarbeiter-Liste, die Anwesenheits-Übersicht und der Dienstplan-Ausschnitt funktionieren, lädt die App vom Backend beruflich-dienstliche Daten anderer Mitarbeiter (Name, Qualifikation, Diensttelefon, dienstliche E-Mail-Adresse, Mobilfunknummer, sowie Dienst- bzw. Abwesenheitsstatus für den jeweils angezeigten Tag). Diese Daten werden ausschließlich zur Anzeige innerhalb der App verwendet und nicht auf dem Gerät dauerhaft gespeichert.

3.4 Eigener Dienstplan, Wünsche, Anträge, Krankmeldungen

Beim Anzeigen, Anlegen oder Ändern eines Dienst-Wunsches, eines Frei-Antrags oder einer Krankmeldung werden die entsprechenden Eingaben (Datum, Zeit, Grund-Code) an das Backend übermittelt und dort gespeichert. Die App selbst legt diese Inhalte nicht persistent auf dem Gerät ab.

3.5 vCard-Export

Beim Export von Kontaktdaten als vCard wird eine temporäre Datei im vom Betriebssystem bereitgestellten Cache-Verzeichnis erzeugt und an das vom Nutzer ausgewählte Ziel-System weitergereicht (z. B. Mail-App, Adressbuch). Die Datei kann vom Betriebssystem nach Ablauf des Cache-Lebenszyklus automatisch entfernt werden.

3.6 Push-Benachrichtigungen

Push-Benachrichtigungen sind optional und können in den App-Einstellungen jederzeit aktiviert oder deaktiviert werden. Wenn Push aktiviert ist, werden folgende gerätebezogene Daten erhoben und verarbeitet:

• Eine gerätespezifische Kennung (Geräte-ID): eine lokal erzeugte zufällige UUID (Version 4), die im sicheren Speicher des Geräts (Android Keystore / iOS Keychain) abgelegt wird und über App-Neustarts sowie FCM-Token-Rotationen stabil bleibt.
• Plattform (Android oder iOS), App-Version und Betriebssystem-Version.
• Der vom Firebase-SDK auf dem Gerät erzeugte Push-Token (FCM-Token).

Diese Daten werden beim Login an das Backend (dp.bany.de) übermittelt und dort mit der Nutzerkennung verknüpft, damit Benachrichtigungen gezielt an das jeweilige Gerät zugestellt werden können. Das Backend leitet den Push-Token zur Zustellung an Firebase Cloud Messaging (FCM) von Google LLC (USA) weiter; auf iOS-Geräten erfolgt die abschließende Zustellung über den Apple Push Notification Service (APNs) von Apple Inc. (USA). Zu den damit verbundenen Drittlandübermittlungen siehe § 6.

Der FCM-Payload ist generisch gehalten (kein Name, kein Datum, kein Inhalt des Anlasses): Titel und Benachrichtigungstext sind neutral. Im Daten-Payload stehen lediglich ein Kategoriebezeichner (z. B. freetime.updated), die eigene Nutzerkennung der Empfängerin / des Empfängers sowie ggf. eine Datensatz-Referenz (z. B. ein Datum, um die passende Ansicht zu öffnen). Namen, Alter oder sonstige Inhalte Dritter werden nicht übertragen. Die inhaltlichen Details ruft die App erst nach Antippen der Benachrichtigung per authentifiziertem API-Call vom Backend ab.

Bei Deaktivierung der Push-Benachrichtigungen in den App-Einstellungen oder beim Abmelden aus der App wird der gespeicherte Push-Token beim Backend abgemeldet; das Gerät erhält danach keine Benachrichtigungen mehr über diese App.

3.7 Geräte-Freischaltung (QR-Code-Pairing)

Der Zugang der App wird pro Gerät einmalig über einen QR-Code freigeschaltet, den die Nutzerin / der Nutzer in der bereits angemeldeten Webanwendung unter „Meine Daten" selbst erzeugt und mit der App abscannt. Dabei werden verarbeitet:

• Die oben genannte Geräte-ID (lokal erzeugte UUID) sowie ein vom Gerät vergebener Anzeigename (z. B. das Gerätemodell).
• Ein vom Backend ausgegebenes, langlebiges Geräte-Credential, das ausschließlich im sicheren Speicher des Geräts (Android Keystore / iOS Keychain) abgelegt wird und belegt, dass dieses Gerät freigeschaltet ist.

Das Backend führt eine Liste der freigeschalteten Geräte je Nutzerkennung (Geräte-ID, Anzeigename, Zeitpunkt). Freigeschaltete Geräte lassen sich in der Webanwendung einsehen und einzeln wieder entkoppeln (z. B. bei Verlust) — danach ist über das betreffende Gerät kein Zugang mehr möglich. Zweck ist der Schutz vor unbefugtem Zugriff: Das bloße Kennen von Benutzername und Passwort genügt ohne freigeschaltetes Gerät nicht.

3.8 Kamera

Für das Abscannen des Freischalt-QR-Codes (§ 3.7) fordert die App Zugriff auf die Kamera an. Die Kamera wird ausschließlich zum Erkennen des QR-Codes auf dem Gerät verwendet; dabei werden keine Bilder oder Videos gespeichert oder übertragen. Die Berechtigung kann jederzeit in den Geräteeinstellungen entzogen werden.

3.9 Weiterbildungszahlen

Weiterbildungsassistent:innen können in der App die für die Facharzt-Anerkennung erforderlichen Verfahrens-/Fallzahlen erfassen (Eingriff/Einsatz, Datum, Anmerkung sowie die zugehörigen Zähler). Diese Eingaben werden an das Backend übermittelt und dort dem eigenen Benutzerkonto zugeordnet gespeichert. Die App zeigt der Nutzerin / dem Nutzer ausschließlich die eigenen Zahlen und den Fortschritt gegenüber den hinterlegten Zielen; der Zugriff ist über ein eigenes Recht gesteuert.

4. Zwecke und Rechtsgrundlagen

• Login, Profilbearbeitung, Dienstplan-Anzeige: Erfüllung des Beschäftigungsverhältnisses und damit verbundener organisatorischer Pflichten (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).
• Anzeige von Kollegen-Kontaktdaten: berechtigtes Interesse an einer funktionierenden innerbetrieblichen Erreichbarkeit (Art. 6 Abs. 1 lit. f DSGVO).
• Biometrie-gestützter Login auf dem Gerät: Einwilligung der Nutzerin / des Nutzers, jederzeit über die Einstellungen der App widerrufbar (Art. 6 Abs. 1 lit. a DSGVO).
• Push-Benachrichtigungen (optional): Einwilligung der Nutzerin / des Nutzers durch Erteilung der Benachrichtigungs-Berechtigung auf dem Gerät, jederzeit durch Deaktivierung in den App-Einstellungen oder Entzug der Berechtigung in den Geräteeinstellungen widerrufbar (Art. 6 Abs. 1 lit. a DSGVO).
• Übertragungssicherheit: berechtigtes Interesse an einem Schutz vor Mitlesen und Manipulation (Art. 6 Abs. 1 lit. f DSGVO).
• Geräte-Freischaltung (Pairing): berechtigtes Interesse an der Absicherung des App-Zugangs gegen unbefugte Nutzung (Art. 6 Abs. 1 lit. f DSGVO) im Rahmen des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).
• Kamera (QR-Scan): Einwilligung durch Erteilung der Kamera-Berechtigung, jederzeit in den Geräteeinstellungen widerrufbar (Art. 6 Abs. 1 lit. a DSGVO); die Kamera dient allein dem lokalen Scannen des Freischalt-QR-Codes.
• Weiterbildungszahlen: Erfüllung des Beschäftigungs- / Weiterbildungsverhältnisses und Nachweis der Weiterbildung (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).

5. Empfänger

Nutzer- und Dienstplandaten werden ausschließlich an das Backend unter dp.bany.de übertragen. Es werden keine Werbe-, Analyse- oder Tracking-Dienste eingebunden.

Für die Zustellung von Push-Benachrichtigungen ist Google LLC (Firebase Cloud Messaging, FCM) als Dienstleister am Datentransport beteiligt. Auf iOS-Geräten ist zusätzlich Apple Inc. (Apple Push Notification Service, APNs) an der letzten Zustellungsstufe beteiligt. Diese Anbieter erhalten den Push-Token des Geräts sowie den Benachrichtigungs-Payload. Dieser ist generisch (neutraler Titel/Text, technischer Kategoriebezeichner, eigene Nutzerkennung des Empfängers und ggf. eine Datensatz-Referenz) und enthält keine Namen, kein Alter und keine Inhalte Dritter (siehe § 3.6).

Mit Google besteht eine Auftragsverarbeitung auf Grundlage der Google-Datenverarbeitungsbedingungen, die mit der Nutzung von Firebase gelten. Apple ist ausschließlich an der technischen Zustellung (APNs) beteiligt.

6. Drittlandübermittlung

Für die Zustellung von Push-Benachrichtigungen werden Daten an Google LLC (Firebase Cloud Messaging, Sitz USA) und auf iOS-Geräten an Apple Inc. (APNs, Sitz USA) übertragen. Dabei werden Push-Token und Benachrichtigungs-Payload in die USA weitergeleitet.

Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO), an dem Google LLC und Apple Inc. teilnehmen; ergänzend gelten die EU-Standardvertragsklauseln (SCC, Art. 46 DSGVO) als zusätzliche Garantie.

Alle übrigen Daten (Login, Profil, Dienstplan, Wünsche, Anträge) verbleiben auf dem Server unter dp.bany.de im Geltungsbereich der DSGVO.

7. Speicherdauer

• Authentifizierungs-Token auf dem Gerät: bis zum Logout, dem Deaktivieren der Biometrie oder dem Deinstallieren der App.
• Push-Token (Gerätekennung) auf dem Gerät: bis zum Deaktivieren der Push-Benachrichtigungen, dem Logout oder dem Deinstallieren der App.
• Push-Token im Backend (dp.bany.de): wird beim Abmelden oder beim Deaktivieren der Push-Benachrichtigungen gelöscht; bei einem neuen Gerätetoken wird der bisherige Eintrag des Geräts ersetzt. Eine darüber hinausgehende, zeitbasierte Speicherung erfolgt nicht.
• Geräte-Credential (Freischaltung) auf dem Gerät: bis zum Widerruf der Freischaltung (Entkoppeln in der Webanwendung bzw. „erneut registrieren") oder dem Deinstallieren der App. Ein bloßer Logout löscht es nicht — das Gerät bleibt freigeschaltet.
• Eintrag des freigeschalteten Geräts im Backend: bis zum Entkoppeln (Widerruf) durch die Nutzerin / den Nutzer in der Webanwendung.
• Backend-seitig: gemäß den dort festgelegten Aufbewahrungsfristen für die gespeicherten Stamm- und Dienstplandaten.

8. Geräte-Berechtigungen

Die App fordert auf dem Endgerät folgende Berechtigungen an:

• Internet: für die Kommunikation mit dem Backend.
• Biometrie / Face ID (optional): nur, wenn die Anmeldung per Fingerabdruck oder Gesichtserkennung aktiviert wird. Die biometrischen Merkmale verlassen das Gerät niemals; die App erhält vom Betriebssystem ausschließlich eine Erfolgs- oder Fehlermeldung.
• Benachrichtigungen (optional): nur, wenn Push-Benachrichtigungen aktiviert werden (Android 13+ und iOS fragen die Berechtigung explizit ab). Dient ausschließlich der Zustellung dienstplanrelevanter Hinweise. Die Berechtigung kann jederzeit über die Geräteeinstellungen oder die App-Einstellungen entzogen werden.
• Kamera (optional): nur zum Abscannen des Freischalt-QR-Codes (§ 3.7/3.8). Dabei werden keine Bilder oder Videos gespeichert oder übertragen; die Berechtigung kann jederzeit über die Geräteeinstellungen entzogen werden.

Mikrofon, Standort, Adressbuch, Kalender und externe Speicherbereiche werden von der App nicht verwendet.

9. Tracking / Analyse

Die App enthält keine Werbe-SDKs, keine Analyse-Tools (z. B. Google Analytics, Firebase Analytics, Sentry, Crashlytics), keine Social-Media-Plugins. Ein Crash- oder Fehler-Reporting findet derzeit nicht statt.

Für die Zustellung von Push-Benachrichtigungen wird Firebase Cloud Messaging (FCM) eingesetzt. FCM ist ein reiner Nachrichtentransport; es findet keine Nutzungsanalyse, kein Profiling und kein Tracking durch FCM statt.

10. Datensicherheit

Die Kommunikation zwischen App und Backend erfolgt durchgängig per HTTPS mit TLS und gültigem Zertifikat. Auf dem Endgerät werden sicherheitsrelevante Daten (Token) ausschließlich über die Plattform-eigenen Schlüsselspeicher (Android Keystore, iOS Keychain) abgelegt.

11. Betroffenenrechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Bitte richten Sie entsprechende Anfragen an mail@bany.de.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

13. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich der Funktionsumfang der App oder die rechtlichen Rahmenbedingungen ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.

Stand: 5. Juli 2026