Datenschutz und Datensicherheit

Diese Seite beschreibt, wie LORVIS technisch mit Ihren Daten umgeht – als Grundlage für Ihr Verarbeitungsverzeichnis und für Gespräche mit Ihrem Datenschutzbeauftragten.

Wo die Daten liegen

• Ein Server in Frankfurt am Main, Deutschland. Anwendung, Datenbank und Dateien – Feuerwehrpläne, Objektbilder, Einsatzfotos – liegen dort. Portal (manager.lorvis.de) und Fahrzeug-Frontend (app.lorvis.de) werden aus demselben Betrieb bedient.
• Keine Verarbeitung außerhalb der EU ist ein fester Grundsatz der Entwicklung – auch nicht für Nebensächlichkeiten.
• Fremde Inhalte, die Sie selbst einbinden – Web-Inhalte, eigene Seiten und Radiosender im Lagedashboard –, lädt das Gerät direkt beim jeweiligen Anbieter.
• Keine fremden Schriften, Symbole oder Skripte im Einsatzpfad. Schriften und Symbole werden von LORVIS selbst ausgeliefert, nicht von einem CDN.
• Auf dem Gerät liegt eine Kopie dessen, was das Gerät für den Einsatz im Funkloch braucht – und nur das, was es sehen darf (siehe unten).

Trennung der Organisationen

Jeder Datensatz mit fachlichem Inhalt gehört genau einer Organisation. Die Anwendung filtert bei jedem Zugriff danach – kein Endpunkt liefert Daten einer fremden Organisation aus.

Geteilt wird nur, was eine Organisation ausdrücklich freigibt: über Datenfreigabe an Nachbarorganisationen, oder im Verbund mit ihren Einheiten. Ein geteilter Datensatz ist am Gerät als solcher gekennzeichnet.

Wer was sieht

Das Portal unterstützt die Anmeldung mit zweitem Faktor (Authenticator-App) und mit Passkeys.

Sensible Daten nur an freigegebene Geräte

Einige Angaben gehen nur an Geräte mit ausdrücklicher Freigabe für sensible Daten – festgelegt je Gerät im Portal unter Geräte:

• Zugangsdaten von Web-Inhalten und von Kacheln des Lagedashboards
• als sensibel markierte Kontakte – etwa Schlüsselinhaber
• als sensibel markierte Objekthinweise und Dokumente – „Schlüssel liegt im Depot, Code 4711"
• Name, Geburtsdatum und Anschrift aus dem Rettungsdienstprotokoll

Gestrichen wird beim Abgleich, nicht erst in der Anzeige: Was nicht freigegeben ist, kommt gar nicht erst auf das Gerät. Ein sensibel markierter Hinweis wird dabei ganz ausgeblendet, nicht nur sein Inhalt – eine leere Zeile verriete sonst, dass es ihn gibt. Wird etwas nachträglich als sensibel markiert, entfernt der nächste Abgleich es von Geräten ohne Freigabe.

Gesundheitsdaten (Art. 9 DSGVO)

Patienten- und Protokolldaten sind Gesundheitsdaten. LORVIS begrenzt, wie lange sie vorgehalten werden, und löscht sie selbst:

Die Frist beginnt beim Anlegen und verlängert sich nicht durch spätere Bearbeitung – das gilt auch für Patienten, die eine Alarmquelle angelegt hat. Gelöscht wird täglich und automatisch – und zwar so, dass der Datensatz auch von den Geräten verschwindet, nicht nur vom Server.

Gelöscht heißt: der Inhalt ist weg. Name, Geburtsdatum, Befund, Vitalwerte und Maßnahmen werden aus der Datenbank entfernt – auch bei einem Patienten oder Protokoll, das jemand vorher von Hand gelöscht hat. Stehen bleibt nur ein leerer Vermerk („hier war ein Datensatz"), an dem die Geräte beim nächsten Abgleich erkennen, dass sie ihn ebenfalls löschen müssen. In den nächtlichen Sicherungen verschwinden die Daten, sobald die älteren Sicherungen turnusgemäß wegfallen.

Befund, Werte und Maßnahmen eines Protokolls gehen auf die Geräte der Einheit; Name, Geburtsdatum und Anschrift nur an Geräte mit Freigabe für sensible Daten (siehe oben).

Dateien

Dokumente, Einsatzbilder und eigene Rettungskarten liegen als Dateien auf dem Server in Frankfurt. Eine im Portal entfernte Datei bleibt noch 30 Tage liegen, damit ein Gerät, das gerade im Einsatz ist und noch nicht abgeglichen hat, sie weiter öffnen kann; danach wird sie gelöscht und zählt nicht mehr zum Speicher. Endet ein Vertrag, werden mit den übrigen Daten auch alle Dateien der Organisation gelöscht – Dokumente, Einsatzbilder und eigene Rettungskarten.

Nach dem Vertragsende und nach dem Entfernen einer Einheit

Wird eine Organisation stillgelegt – nach dem Vertragsende oder weil sie sich selbst auflöst –, kommt sie zunächst ins Archiv; das lässt sich noch rückgängig machen. 30 Tage danach werden alle Daten der Organisation und ihrer Einheiten endgültig gelöscht – mit ihnen die Anfrage über die Website, aus der der Vertrag entstand, samt Schriftwechsel. Bleiben muss nur, was für Rechnungen gesetzlich aufzubewahren ist (Name und Anschrift der Organisation, Vertrag, Abrechnung, Zahlungen).

Dasselbe gilt für eine einzeln entfernte Einheit: 30 Tage nach dem Entfernen sind ihre Daten gelöscht, sie gehen nicht an die Hauptorganisation über.

Eine Anfrage über die Website, aus der kein Vertrag wurde, löschen wir 12 Monate nach ihrer letzten Änderung.

Zugangsdaten verschlüsselt

Kennwörter und Schlüssel, die LORVIS für Sie aufbewahrt, liegen in der Datenbank verschlüsselt: Zugangsdaten von Web-Inhalten und Dashboard-Kacheln, Zugangsdaten der Alarmquellen, der Zugangsschlüssel für LARDIS:ONE und die Anbindung an Nextcloud.

Zahlungsdaten berührt LORVIS nie: IBAN und Kartennummer werden ausschließlich beim Zahlungsdienstleister eingegeben (siehe Vertrag).

Geräte

• Ein abgemeldetes Gerät behält nichts außer den Kartenpaketen – Token und Bestand sind sofort weg.
• Eine gelöschte Lizenz koppelt nicht mehr, der Lizenzschlüssel ist sofort wertlos.
• Ein gesperrtes Gerät löscht beim nächsten Kontakt seine Daten – für ein verlorenes oder gestohlenes Tablet. Nach dem Entsperren muss es neu gekoppelt werden – siehe Ein Gerät sperren.
• Konten: Ein abgeschaltetes Konto ist sofort abgemeldet, auch in offenen Browsern; nach einem Passwortwechsel enden alle anderen Anmeldungen – siehe Benutzer und Rollen.
• Bildschirmsperre: Wer ein Gerät offen zugänglich liegen hat, kann am Gerät eine PIN-Sperre einschalten – siehe Einstellungen.
• Der Scanner arbeitet vollständig auf dem Gerät; kein Kamerabild verlässt das Tablet.

Sicherungen

Datenbank und Dateien werden jede Nacht gesichert und 14 Tage aufbewahrt. Einmal in der Woche wird eine Sicherung probeweise wiederhergestellt und geprüft – eine Sicherung, die sich nicht zurückspielen lässt, ist keine.

Ihre Daten gehören Ihnen

Alle Bestände lassen sich jederzeit vollständig herunterladen – als JSON und CSV, ohne Antrag und ohne Wartezeit. Siehe Datenexport.