Datenschutzhinweise zur Notfallverarbeitung

1. Anwendungsbereich

Diese Hinweise beschreiben die Verarbeitung personenbezogener Daten, wenn ERWIN zur Meldung, Alarmierung, Navigation, Kommunikation, Koordination oder Dokumentation eines Notfalls an oder im Umfeld einer aktivierten WEA genutzt wird.

Die Verarbeitung im Zusammenhang mit dem App-Retter-Konto, der Registrierung, der Qualifikationsprüfung und der Bereitschaftsverwaltung ist in den Datenschutzhinweisen für App-Retter beschrieben. Die Verarbeitung im Zusammenhang mit der Anlagenregistrierung ist in den Datenschutzhinweisen zur Anlagenregistrierung beschrieben.

2. Betroffene Personen

• von einem Notfall betroffene, verletzte oder erkrankte Personen;

• alarmierte App-Retter und weitere unterstützende Kräfte;

• Mitarbeitende von Leitstellen, Rettungsdienst, Feuerwehr, Betreiber, Betriebsführer und Serviceunternehmen;

• betriebliche Notfall- und Ansprechpartner.

3. Verantwortliche Stellen

3.1 Die Verantwortlichkeit ist wie folgt verteilt

3.2 Kontakt PulseTEC

PulseTEC GmbH, Hochackerstraße 63, 85521 Riemerling, Deutschland

Geschäftsführer: Dr. Martin Kleehaus

E-Mail: info@pulsetec.de

Datenschutzkontakt: datenschutz@pulsetec.de

Datenschutzbeauftragter: heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, datenschutz@heydata.eu.

Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

3.3 Nutzung des ERWIN-WebPortals

Betriebsführer und Serviceunternehmen mit entgeltlichem Zugang zum ERWIN-WebPortal koordinieren Einsätze eigenverantwortlich. Für diese Verarbeitungen sind sie Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO; PulseTEC stellt lediglich die technische Plattform bereit und handelt insoweit als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. PulseTEC koordiniert Einsätze nicht selbst und trifft keine Einsatzentscheidungen.

3.4 Standortanzeige gegenüber koordinierenden Stellen

Im Bereitschaftszustand wird kein Standort an Betriebsführer, Serviceunternehmen, Anlagenbetreiber oder Arbeitgeber übermittelt. Nach Annahme einer Alarmierung wird die Position des annehmenden App-Retters der für diesen Einsatz koordinierenden Stelle angezeigt – einer Organisation mit kostenpflichtigem Zugang zum ERWIN-WebPortal oder einer angebundenen Leitstelle –, auch wenn der App-Retter dort nicht beschäftigt ist. Bis zur Annahme sind nur Rückmeldung, Status und Entfernung zum Einsatzort sichtbar.

Die Anzeige endet, sobald der App-Retter am Einsatzort eintrifft, den Einsatz abbricht oder beendet oder die koordinierende Stelle den Einsatz beendet oder abbricht. Danach ist die Position für die koordinierende Stelle nicht mehr sichtbar. Eine Verwendung zur Leistungs- oder Verhaltenskontrolle ist unzulässig; PulseTEC verpflichtet die koordinierenden Organisationen hierauf im Auftragsverarbeitungsvertrag.

3.5 Gemeinsame Verantwortlichkeit mit Leitstellen (Art. 26 DSGVO)

Für die Übergabe von Einsatzdaten an eine angebundene Leitstelle sind PulseTEC und die jeweilige Leitstelle gemeinsam Verantwortliche. Der wesentliche Inhalt der Vereinbarung nach Art. 26 Abs. 1 DSGVO lautet:

• PulseTEC verantwortet die technische Übergabe, ihre Protokollierung und die Information betroffener Personen über den Übergabevorgang nach Art. 13 und 14 DSGVO.

• Die Leitstelle verantwortet die Verwendung der übergebenen Daten in ihrer eigenen Einsatzbearbeitung nach dem jeweils einschlägigen Landesrettungsdienstrecht.

• Betroffene Personen können ihre Rechte nach Art. 15 bis 22 DSGVO gegenüber jeder der beiden Stellen geltend machen. Ein bei der unzuständigen Stelle eingehendes Ersuchen wird unverzüglich weitergeleitet. Anlaufstelle bei PulseTEC: datenschutz@pulsetec.de.

• Meldungen nach Art. 33 und 34 DSGVO erfolgen durch die Stelle, in deren Verantwortungsbereich der Vorfall eingetreten ist; die jeweils andere Stelle wird unverzüglich informiert und unterstützt bei der Aufklärung.

4. Verarbeitete Daten

5. Zwecke und inhaltliche Grenzen

5.1 Zwecke

• Entgegennahme, technische Anlage und eindeutige Zuordnung eines Notfalls;

• Ermittlung, Auswahl und Alarmierung geeigneter und verfügbarer App-Retter;

• Bereitstellung von Navigation, Zufahrt, Zugang und Notfallinformationen;

• Kommunikation und Statuskoordination zwischen berechtigten Beteiligten;

• Unterstützung der Rettungskette und Schutz lebenswichtiger Interessen;

• Dokumentation, Nachvollziehbarkeit, Qualitätsmanagement und Rechtsverteidigung;

• IT-Sicherheit, Missbrauchsprävention, Fehleranalyse und Systemstabilität;

• statistische Auswertung und Produktverbesserung ausschließlich auf Grundlage wirksam anonymisierter oder aggregierter Daten.

5.2 Inhaltliche Grenzen für Gesundheitsdaten

In ERWIN werden Gesundheits- und Lageinformationen in zwei Stufen erfasst. Während des laufenden Notfalls werden nur die für Alarmierung, Auswahl geeigneter Kräfte und Lagebeurteilung erforderlichen Angaben verarbeitet. Nach Abschluss des Einsatzes dokumentiert der alarmierte App-Retter den Verlauf in einem strukturierten Einsatzprotokoll. Dieses erfasst insbesondere Bewusstseinszustand, Atmung, Kreislauf bei Ankunft und bei Übergabe, Verletzungstypen, durchgeführte Maßnahmen und die Altersgruppe der betroffenen Person.

Die Erfassung erfolgt über strukturierte Auswahlfelder. Ein Namensfeld für die betroffene Person ist nicht vorhanden. Freitextfelder sind mit einem Hinweis versehen, keine personenbezogenen Angaben zur betroffenen Person einzutragen.

Nicht erfasst werden:

• Namen und sonstige unmittelbar identifizierende Angaben zur betroffenen Person,
• Diagnosen sowie Angaben zu Medikation und Vorerkrankungen,
• freitextliche Beschreibungen des Gesundheitszustands, die über die strukturierten Angaben hinausgehen.

6. Rechtsgrundlagen

Die konkrete Rechtsgrundlage richtet sich nach Rolle und Zuständigkeit der jeweiligen Stelle nach Abschnitt 3. In Betracht kommen insbesondere:

• Art. 6 Abs. 1 lit. d DSGVO für Verarbeitungen zum Schutz lebenswichtiger Interessen, wenn die betroffene Person nicht rechtzeitig selbst handeln kann;
• Art. 6 Abs. 1 lit. c oder lit. e DSGVO in Verbindung mit einschlägigen gesetzlichen Aufgaben und Pflichten öffentlicher oder sonst gesetzlich verpflichteter Stellen;
• Art. 6 Abs. 1 lit. f DSGVO für die erforderliche Verarbeitung im berechtigten Interesse an schneller Notfallkoordination, Sicherheit, Dokumentation und Rechtsverteidigung, soweit keine überwiegenden Interessen entgegenstehen;
• Art. 6 Abs. 1 lit. b DSGVO für vertraglich erforderliche Verarbeitungen im Verhältnis zu registrierten App-Rettern und beteiligten Organisationen.

Für Gesundheitsdaten gilt gestuft:

• Solange die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben, stützt sich die Verarbeitung auf Art. 9 Abs. 2 lit. c in Verbindung mit Art. 6 Abs. 1 lit. d DSGVO.

• Die nachträgliche Erstellung des strukturierten Einsatzprotokolls durch den App-Retter und seine Aufbewahrung stützt PulseTEC auf Art. 9 Abs. 2 lit. f in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO, weil Einsätze mit Personenschäden regelmäßig Haftungs-, Versicherungs- und Regressfragen auslösen und die Dokumentation zu deren Klärung erforderlich ist.

• Soweit ein Unternehmer ERWIN zur Erfüllung seiner Dokumentationspflicht nach § 24 Abs. 6 DGUV Vorschrift 1 nutzt, stützt sich diese Verarbeitung auf Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den arbeitsschutzrechtlichen Dokumentationspflichten des Unternehmers.

Für Leitstellen, Rettungsdienst und Feuerwehr richtet sich die Rechtsgrundlage nach dem jeweils einschlägigen Landes- und Fachrecht, insbesondere Art. 9 Abs. 2 lit. h und lit. i DSGVO.

7. Empfänger

• die auslösende oder koordinierende Leitstelle;

• alarmierte und annehmende App-Retter;

• Betriebsführer, zuständige Serviceunternehmen und Anlagenbetreiber mit kostenpflichtigem Zugang zum ERWIN-WebPortal, soweit einsatzbezogen erforderlich; hinsichtlich der Einsatzdokumentation beschränkt auf den operativen Teil nach Abschnitt 8. Anlagenbetreiber im kostenlosen Basiszugang erhalten lediglich eine Benachrichtigung ihrer hinterlegten Notfallkontakte über einen Einsatz an ihrer Anlage;

• PulseTEC und technische Dienstleister für Plattformbetrieb, Support, Hosting, Kommunikation und Sicherheit auf Grundlage von Verträgen nach Art. 28 DSGVO;

• Behörden, Gerichte, Versicherer oder Rechtsberater, soweit gesetzlich erforderlich oder zur Rechtsverteidigung notwendig;

• der zuständige Unfallversicherungsträger, soweit ein Versicherungsfall zu melden ist.

  Daten werden rollen- und ereignisbezogen bereitgestellt. Gesundheits- und personenbezogene Einsatzdaten sind nur denjenigen Beteiligten zugänglich, die sie für ihre konkrete Aufgabe benötigen. Empfänger dürfen die Informationen ausschließlich für den konkreten Einsatz verwenden.

8. Einsatzdokumentation und ihre Sichtbarkeit

Nach Abschluss eines Einsatzes erstellt der alarmierte App-Retter ein Einsatzprotokoll. Dessen Angaben sind nicht für alle Beteiligten in gleichem Umfang sichtbar. Maßgeblich ist allein die Rolle, mit der eine Organisation in ERWIN angemeldet ist – nicht ihre sonstige Rechtsstellung. Die Trennung erfolgt technisch über eine feldbezogene Zugriffssteuerung:

• Operative Angaben – Zeiten, Ablauf, Ort in der Anlage, besondere Gefahren, Sicherheitsbewertung und Kommunikation – sind für Anlagenbetreiber (nur mit kostenpflichtigem Zugang zum ERWIN-WebPortal), Betriebsführer und Serviceunternehmen der betroffenen Anlage sowie für die Leitstelle sichtbar. Sie enthalten keine Angaben zum Gesundheitszustand.

• Medizinische Angaben zur betroffenen Person sind für die Rollen Betreiber, Betriebsführer und Serviceunternehmen gesperrt – auch dann, wenn die betreffende Organisation zugleich Arbeitgeber der betroffenen Person ist. Sie stehen der Leitstelle, dem dokumentierenden App-Retter und PulseTEC zur Verfügung. Eine Herausgabe an weitere Stellen erfolgt nicht über einen Portalzugriff, sondern ausschließlich im Verfahren nach dem Absatz „Herausgabe außerhalb des Portals“.

• Selbstauskünfte des App-Retters zu eigener Qualifikation, Eigenschutz, psychosozialer Belastung und Verbesserungsvorschlägen sind für alle anderen Stellen gesperrt. Sie werden ausschließlich für das Qualitätsmanagement von PulseTEC ausgewertet und an Dritte nur aggregiert und ohne Einzelfallbezug weitergegeben.

Die Bereitstellung des operativen Teils an Betriebsführer, Serviceunternehmen und Anlagenbetreiber mit kostenpflichtigem Zugang ist eine Übermittlung an eigenständig Verantwortliche. Diese verarbeiten die Angaben in eigener Verantwortung für Arbeitssicherheit und Verbesserung der betrieblichen Abläufe.

Abgrenzung zur Einsatzkoordination: Diese Regelung betrifft ausschließlich das nachgelagerte Einsatzprotokoll. Während eines laufenden Einsatzes erhalten koordinierende Stellen weiterhin die zur Lagebeurteilung erforderlichen Angaben nach Maßgabe von Abschnitt 3. Die dortige Kenntnis führt nicht dazu, dass ihnen das Protokoll später in vollem Umfang zugänglich wird.

Herausgabe außerhalb des Portals: Medizinische Angaben aus dem Einsatzprotokoll werden nur auf schriftliche Anforderung und nach Prüfung des Einzelfalls herausgegeben, beschränkt auf das für den geltend gemachten Zweck Erforderliche. In Betracht kommen:

• die betroffene Person selbst;

• ihr Arbeitgeber, soweit er eine konkrete gesetzliche Pflicht darlegt, die die Angaben erfordert – etwa die Unfallanzeige nach § 193 SGB VII. Ein Portalzugang begründet diesen Anspruch nicht; er ist unabhängig von der Rolle in ERWIN zu prüfen;

• der zuständige Unfallversicherungsträger;

• Behörden und Gerichte im Rahmen ihrer Zuständigkeit.

Beauftragte Dritte wie Sachverständige, Gutachter oder Rechtsberater erhalten keine unmittelbare Herausgabe. Sie erhalten die Angaben ausschließlich über die Stelle, die sie beauftragt hat, und in deren Verantwortung.

Jede Herausgabe wird mit Anforderndem, Zweck, Rechtsgrundlage, Umfang und Datum dokumentiert. Die betroffene Person wird über eine Herausgabe informiert, soweit dies möglich ist und der Zweck der Herausgabe dem nicht entgegensteht.

9. Verarbeitung außerhalb der EU und des EWR

Die Verarbeitung personenbezogener Daten in ERWIN erfolgt auf Servern innerhalb der Europäischen Union. Für zwei Funktionen werden externe Dienste eingesetzt, bei denen eine Verarbeitung außerhalb der EU beziehungsweise des EWR nicht ausgeschlossen werden kann:

• Zustellung von Push-Benachrichtigungen über den Apple Push Notification Service (Apple Inc.) und Firebase Cloud Messaging (Google LLC). Übermittelt werden ausschließlich der Push-Token des Endgeräts und der Benachrichtigungsinhalt. Gesundheitsdaten und Klarnamen betroffener Personen sind darin nicht enthalten.

• Karten- und Navigationsdienste der Google Maps Platform (Google LLC) für die Darstellung des Einsatzorts und die Routenführung. Dabei werden der Standort des Endgeräts und der Einsatzort an Google übermittelt.

Soweit diese Anbieter Daten außerhalb der EU oder des EWR verarbeiten, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework) oder hilfsweise auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der Garantien kann über datenschutz@pulsetec.de angefordert werden.

10. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist oder verbindliche Aufbewahrungspflichten bestehen.

Aufbewahrung im Streitfall (Legal Hold): Bestehen konkrete Anhaltspunkte für einen Rechtsstreit, ein behördliches oder staatsanwaltschaftliches Verfahren oder einen geltend gemachten Anspruch, werden die betroffenen Daten von der automatischen Löschung ausgenommen, gekennzeichnet und bis zur abschließenden Klärung eingeschränkt verarbeitet (Art. 17 Abs. 3 lit. e, Art. 18 Abs. 2 DSGVO). Die Aussetzung wird dokumentiert und regelmäßig überprüft.

11. Automatisierte Auswahl und Alarmierung

ERWIN kann anhand von Entfernung, Qualifikation, Beruf, Freigabestatus, Verfügbarkeit, organisatorischer Zuordnung und weiteren konfigurierten Kriterien geeignete Personen automatisiert auswählen und alarmieren.

Diese Auswahl dient der technischen Alarmverteilung. Sie entfaltet keine ausschließlich automatisierte rechtliche oder vergleichbar erhebliche Wirkung im Sinne von Art. 22 DSGVO: Sie begründet keine Pflicht des App-Retters, ändert seinen Status nicht und hat keine Folgen für sein Rechtsverhältnis.

Entscheidungen über den Freigabestatus, die Sperrung oder den Ausschluss eines App-Retters werden ausschließlich von natürlichen Personen getroffen. Eine automatisierte Auswertung des individuellen Annahmeverhaltens mit Folgen für den Nutzerstatus findet nicht statt.

Einsatzentscheidungen verbleiben bei den zuständigen Personen und Organisationen.

12. Information von Notfallbetroffenen

Angaben zu einer von einem Notfall betroffenen Person werden nicht von dieser selbst, sondern von meldenden oder koordinierenden Personen erfasst. Die Information nach Art. 14 DSGVO erfolgt daher nachgelagert:

• Diese Datenschutzhinweise sind öffentlich abrufbar unter https://www.pulsetec.de/datenschutz

• Auf Anfrage erteilt PulseTEC einer betroffenen Person Auskunft über die zu ihrem Einsatz gespeicherten Daten. Anlaufstelle: datenschutz@pulsetec.de.

• Während eines laufenden Einsatzes unterbleibt die Information, soweit sie die Hilfeleistung verzögern oder lebenswichtige Interessen beeinträchtigen würde. Soweit sich eine individuelle Information als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, stützt sich PulseTEC auf Art. 14 Abs. 5 lit. b DSGVO.

13. Datensicherheit

• rollenbasierte Berechtigungen und Prinzip der minimalen Rechte;

• Verschlüsselung der Übertragung und angemessene Sicherung gespeicherter Daten;

• Protokollierung sicherheitsrelevanter Zugriffe und Änderungen;

• Qualifikations- und Freigabeprozesse für App-Retter;

• Backup-, Wiederherstellungs- und Notfallverfahren;

• regelmäßige Prüfung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

14. Rechte betroffener Personen

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, auf Datenübertragbarkeit, soweit anwendbar, auf Widerruf einer Einwilligung sowie auf Beschwerde bei einer Datenschutzaufsichtsbehörde.

Wir beantworten Anträge unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Geht ein Antrag während eines laufenden Einsatzes ein, bearbeiten wir ihn nach Einsatzabschluss innerhalb dieser Frist. Einen Löschantrag zu Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, können wir nach Art. 17 Abs. 3 lit. e DSGVO ablehnen; wir teilen Ihnen dies mit.

Zentrale Anlaufstelle: datenschutz@pulsetec.de.

15. Test- und Übungsalarme

Test- und Übungsalarme werden in der App und in allen Benachrichtigungen eindeutig als solche gekennzeichnet. Sie enthalten keine personenbezogenen Gesundheitsdaten realer Personen. Übungsdaten werden getrennt gespeichert, nicht in die Einsatzstatistik übernommen und spätestens 30 Tage nach der Übung gelöscht.

16. Grenzen des Systems

ERWIN ist ein ergänzendes digitales Koordinationssystem und ersetzt weder den Notruf 112 noch die gesetzlichen und betrieblichen Notfall-, Rettungs- und Arbeitsschutzmaßnahmen. Verfügbarkeit und Datenübermittlung können durch externe Dienste, Netze, Endgeräte, Berechtigungen und Entscheidungen Dritter beeinflusst werden.