Datenschutz · ES Fahrer und Disposition

ES Krankenfahrdienst GmbH
St.-Michael-Str. 9, 67547 Worms, Deutschland
es-krankenfahrdienst@outlook.de
06241 480 23 00

01Verantwortung und Geltungsbereich

Verantwortlich für den Kundenbetrieb und den zugehörigen Beta-Test ist die oben genannte ES Krankenfahrdienst GmbH. Datenschutzanfragen und Anträge auf Auskunft, Berichtigung oder Löschung können Sie an den angegebenen Kontakt richten. Pronio entwickelt und betreut die Software technisch und erhält im erforderlichen Umfang Zugriff zur Bereitstellung, Wartung und Fehlerbehebung.

Diese Hinweise gelten für die native Fahrer-App auf Android und iOS sowie die Web-Anwendung mit Fahrerbereich und Disposition. Sie ersetzen nicht die Datenschutzhinweise der allgemeinen Unternehmenswebsite. Die Anwendung richtet sich an berechtigte Beschäftigte und beauftragte Fahrer; Konten werden durch die Administration eingerichtet.

02Welche Daten verarbeitet werden

Wir verarbeiten die für den jeweiligen Zugang und Arbeitsschritt erforderlichen Angaben. Disposition und Administration haben weitergehende Rechte als Fahrer. Fahrer sehen die ihnen freigegebenen Aufträge, Nachrichten, Termine und Dokumente; die vollständige Patientenverwaltung ist für Fahrer nicht zugänglich.

Zugang: Name, E-Mail-Adresse, Benutzerkennung, Rolle, Fahrerzuordnung, Kontostatus, geschützte Passwortprüfwerte, Sitzungen und gegebenenfalls Daten zur Zwei-Faktor-Anmeldung. Kennwörter werden nicht im Klartext als Kontodaten gespeichert.
Arbeitsablauf: Fahrzeug und Kennzeichen, Schichten und Pausen, Termine, zugeordnete Fahrten, Annahmen/Ablehnungen, Zeit- und Statusmeldungen, Nachrichten, Fehlfahrt-/Stornierungsgründe und Änderungsnachweise.
Standort: Koordinaten, Messgenauigkeit, Mess- und Empfangszeit sowie Zuordnung zum Fahrer und seiner Fahrzeugschicht. Daraus können geschätzte Strecken und die nächstgelegene Adresse abgeleitet werden.
Fahrtenbuch: Fahrer-/Fahrzeugbezug, Start und Ziel, Zweck, Auftragsreferenzen, abgelesene Kilometerstände, GPS-Streckensummen, Messlücken und nachvollziehbare Ergänzungen.
Gerätestatus: Akkustand, Ladezustand, Energiesparmodus, Verbindungsart (etwa WLAN oder Mobilfunk), Erreichbarkeit, Hersteller/Modell, Betriebssystem- und App-Version. Unser Gerätestatusmodul erhebt keine WLAN-Namen, IMEI, SIM-Nummern, Werbe-IDs, privaten Kontakte, Fotos oder Anruflisten.
Technischer Betrieb: IP-Adresse, angeforderte Adresse, Zeitpunkt, Browser-/Geräteangaben, Fehler- und Sicherheitsereignisse sowie Push-Zustellkennungen und Zustellstatus. Bei Supportanfragen zusätzlich die von Ihnen mitgeteilten Angaben.

03Zwecke und Rechtsgrundlagen

Konten, Schichten, Aufträge und Statusmeldungen dienen der Organisation und Durchführung der vereinbarten Arbeit sowie der Kommunikation mit der Zentrale. Für Beschäftigte kommt § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO zur Anwendung, soweit die konkrete Verarbeitung für das Beschäftigungsverhältnis erforderlich ist. Bei unmittelbar vertraglich beauftragten selbstständigen Nutzern stützt sich die erforderliche Vertragsabwicklung auf Art. 6 Abs. 1 Buchst. b DSGVO.

Für die technische Erprobung, sichere Bereitstellung, Zugriffssteuerung und Störungsbearbeitung verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unsere Interessen sind ein funktionsfähiger, gegen Missbrauch geschützter Betrieb und die Prüfung der vorgesehenen Abläufe. Die Erforderlichkeit und die Rechte der betroffenen Personen sind dabei zu berücksichtigen. Gesetzlich erforderliche Nachweise beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit der jeweils einschlägigen Vorschrift.

Standort- und Gerätemeldungen sind zweckgebunden für Disposition, Erreichbarkeit und technische Betriebsbereitschaft vorgesehen, nicht für eine verdeckte Kontrolle privater Aktivitäten. Vor dem Einsatz mit Beschäftigten muss die konkrete betriebliche Regelung festgelegt und mitgeteilt werden. Eine Betriebssystem-Berechtigung oder das Anklicken der Datenschutzerklärung ersetzt keine datenschutzrechtliche Rechtsgrundlage oder freiwillige Einwilligung.

Soweit eine Verarbeitung tatsächlich auf Ihrer gesonderten Einwilligung beruht, gilt Art. 6 Abs. 1 Buchst. a DSGVO. Sie können diese jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

04Standort und Geräteinformationen während der Schicht

Nach Fahrzeugwahl und aktivem Schichtbeginn kann die native App den Standort an die Zentrale übermitteln. Dafür fragt sie die Standortberechtigungen des Betriebssystems ab. Bei entsprechender Freigabe funktioniert die Übertragung auch im Hintergrund und bei gesperrtem Bildschirm. Die Zentrale verwendet die Position für die Live-Karte, geeignete Auftragszuweisungen, Anfahrtszeiten und ergänzende Kilometer-Schätzungen.

Pause, Schichtende, Abmeldung oder „Ortung lokal stoppen“ stoppen die weitere Übertragung durch die App. Standortberechtigungen können außerdem in den Geräteeinstellungen entzogen werden. Kann die aktive Schicht längere Zeit nicht bestätigt werden, stoppt die native Ortung nach der eingebauten Sicherheitsfrist von fünf Minuten. Netz-, Betriebssystem- oder Energiespareinstellungen können die Übertragung früher unterbrechen. Im Web-Fahrerbereich hängt sie vom geöffneten Browser und dessen Berechtigungen ab.

Während einer bestätigten aktiven Schicht meldet die native App zusätzlich den beschriebenen Gerätestatus. Er hilft der Zentrale, etwa fehlende Verbindung oder niedrigen Akkustand zu erkennen. Die Gerätestatusübertragung kann im entsprechenden App-Bereich lokal gestoppt werden; Pause, Schichtende und Abmeldung stoppen sie ebenfalls. Die Disposition sieht Zeitstempel und kann veraltete Werte unterscheiden.

Ein Stopp der Übertragung löscht bereits gespeicherte Angaben nicht automatisch. Ohne aktuelle Position kann die Live-Planung neue Zuweisungen sperren; stimmen Sie in diesem Fall das weitere Vorgehen mit der Zentrale ab. GPS-Strecken sind Schätzungen und keine garantierten Tachowerte.

05Push-Mitteilungen und Nachrichten

Nach Ihrer Freigabe können Mitteilungen zu neuen Aufträgen, Änderungen oder Nachrichten auf dem Gerät erscheinen. Die native App verwendet Expo Push Service und darunter bei Android Firebase Cloud Messaging (Google), bei iOS Apple Push Notification service. Web-Push verwendet den Pushdienst Ihres Browsers. Dabei werden Zustellkennungen, technische Verbindungs-/Zustelldaten, eine allgemeine Mitteilung und gegebenenfalls eine interne Auftragsreferenz verarbeitet.

Die vom System erzeugten Push-Nachrichten enthalten keine Patientennamen, Diagnosen, Fahrtadressen oder Nachrichtentexte aus der Zentrale. Die Einzelheiten werden nach Anmeldung in der Anwendung geladen. Interne Referenzen und Zustellkennungen sind dennoch schutzbedürftig. Push ist nicht als Ende-zu-Ende-verschlüsselter Kanal für Gesundheitsdaten vorgesehen.

Sie können Benachrichtigungen in den App-/Browser- oder Betriebssystemeinstellungen ausschalten. Der Datenabruf in der geöffneten Anwendung bleibt möglich; eine zeitnahe Aufmerksamkeit auf neue Angebote ist dann nicht durch Push gewährleistet. Das Löschen der App allein ist keine Kontolöschung.

06Empfänger, Hosting, Karten und Navigation

Innerhalb des Betriebs erhalten berechtigte Personen Daten entsprechend ihrer Aufgaben. Pronio übernimmt die technische Betreuung. Für den technischen Betrieb sind außerdem die unten genannten Dienste eingebunden. Zugriffe für Wartung und Support sind auf den erforderlichen Umfang zu begrenzen.

Vercel: Auslieferung der Web-Anwendung und ihrer Schnittstellen sowie private Dokumenten-/Sicherungsablage. Die Anwendung ist für die Region Frankfurt konfiguriert; weltweite Auslieferung und Support können weitere Regionen betreffen.
Supabase: PostgreSQL-Datenbank in Frankfurt für Konten und Betriebsdaten. Die Anmeldung läuft über die eigene Anwendung; es wird kein öffentliches Patientenverzeichnis bereitgestellt.
Expo, Google und Apple: technische Zustellung der nativen Push-Mitteilungen. Beim TestFlight-Bezug verarbeitet Apple zusätzlich Test- und gegebenenfalls Diagnoseangaben nach seinen eigenen Hinweisen.
HeiGIT/OpenRouteService: serverseitige Adresssuche, Routen-/Fahrzeitberechnung und Ermittlung einer Adresse aus Koordinaten. Der Dienst erhält dafür Suchadressen beziehungsweise genaue Koordinaten, einschließlich Fahrerpositionen bei entsprechenden Abfragen. Unser Routencode übermittelt keine Patientennamen oder medizinischen Freitexte. Bereits Adressen und Koordinaten können personenbezogen sein.
MapTiler: Kartenkacheln in der Disposition werden direkt vom Kartendienst geladen. Dabei erhält der Anbieter insbesondere IP-Adresse, technische Anfragedaten und den angefragten Kartenausschnitt. Fahrer-/Patientenbeschriftungen werden durch die Anwendung ergänzt und nicht als Kartenbeschriftungen an MapTiler gesendet.
Externe Navigation: Erst beim Öffnen einer Navigation wird die gewählte Zieladresse beziehungsweise Route an Google Maps oder Apple Maps übergeben. Der externe Dienst verarbeitet weitere Daten nach seinen Einstellungen und Hinweisen. Das Öffnen eines Telefonlinks übergibt die ausgewählte Nummer an die Telefonfunktion.

07Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Ein Datenbankstandort in Deutschland schließt internationale Verarbeitung nicht aus. Insbesondere bei Vercel, Supabase, Expo und den Push-/Navigationsdiensten können Gesellschaften oder Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums beteiligt sein, darunter in den USA. MapTiler hat seinen Sitz in der Schweiz.

Soweit eine Drittlandübermittlung stattfindet, muss sie auf einer anwendbaren Grundlage nach Art. 44 ff. DSGVO beruhen, etwa einem einschlägigen Angemessenheitsbeschluss oder geeigneten Garantien wie EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Die konkrete Vertrags- und Übermittlungskette ist Bestandteil der betrieblichen Freigabe. Allein diese Erklärung bestätigt keinen abgeschlossenen Auftragsverarbeitungsvertrag und keine ausschließliche EU-Verarbeitung. Informationen zu den konkret anwendbaren Garantien erhalten Sie über den Datenschutzkontakt.

08Speicherung und Löschung

Maßgeblich sind der jeweilige Zweck, die Dauer des Test-/Nutzungsverhältnisses, berechtigte Nachweisinteressen und gesetzliche Aufbewahrungspflichten. Daten, die hierfür nicht mehr erforderlich sind, sind zu löschen oder zu anonymisieren. Nicht alle Datengruppen haben bereits eine automatische Löschroutine; Löschanfragen werden durch den Verantwortlichen geprüft und technisch umgesetzt. Eine Archivierung oder Kontosperre ist keine Löschung.

Anmeldesitzungen sind derzeit für zwölf Stunden ausgelegt und können bei fortgesetzter Nutzung erneuert werden; Abmeldung bzw. Entzug des Zugangs beendet die weitere Nutzung entsprechend der Sitzungsprüfung. Die Sitzungsfrist ist keine pauschale Löschfrist für sämtliche Kontoprotokolle.
Der laufende Standortbestand enthält grundsätzlich die letzte übermittelte Position je Fahrer; neue Messungen ersetzen sie. Ein Schichtende entfernt diese gespeicherte Position nicht automatisch. Summierte GPS-Strecken, Messlücken, Auftragszeiten und Fahrtenbucheinträge sind davon getrennte Nachweise.
Vom Gerätestatus wird jeweils der aktuelle zulässige Wert vorgehalten. Werte außerhalb der passenden aktiven Schicht oder älter als 24 Stunden werden ausgeblendet und beim nächsten erfolgreichen Wartungs-/Speicherlauf aus dem laufenden Bestand entfernt.
Die eigene Sicherungsroutine entfernt abgeschlossene ältere Sicherungen grundsätzlich nach sieben Tagen. Mindestens der jüngste vollständige Wiederherstellungspunkt bleibt erhalten und kann bei einer Störung länger bestehen. Löschungen aus dem laufenden Bestand wirken daher nicht sofort auf jede Sicherung; bei einer Wiederherstellung müssen Löschvorgaben erneut berücksichtigt werden. Gesonderte manuelle Prüf- oder Migrationssicherungen fallen nicht unter diese automatische Sieben-Tage-Routine und müssen separat geprüft und gelöscht werden.
Konten, Fahrten, Nachrichten, Dokumente und Änderungs-/Fahrtenbuchnachweise werden nicht allein durch App-Deinstallation oder Schichtende gelöscht. Für echte Betriebsdaten sind vor deren Aufnahme konkrete Aufbewahrungs- und Löschregeln festzulegen; es gilt keine pauschale unbegrenzte Speicherung.

09Speicher auf dem Gerät und Schutzmaßnahmen

Die Web-Anwendung verwendet technisch erforderliche Sitzungs-Cookies und lokale Einstellungen, etwa für die Anordnung der Arbeitsoberfläche. Der Web-Service-Worker stellt Push bereit und legt keine Offline-Kopie der Patientenakten an. In der nativen App werden die Serveradresse, Sitzung und erforderliche Steuerinformationen in geschütztem Gerätespeicher abgelegt. Während der Nutzung werden freigegebene Auftragsdaten im Arbeitsspeicher verarbeitet.

Technisch erforderliche Speicherung bzw. Zugriffe für den ausdrücklich angeforderten Dienst richten sich nach § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich die oben beschriebene Rechtsgrundlage. Es sind keine von uns eingebauten Werbetracker oder Werbeprofile vorgesehen. Betriebssystem, App-Store und externe Dienste können eigene technische Daten verarbeiten.

Datenübertragungen zur bereitgestellten Beta erfolgen über HTTPS. Persönliche Zugänge, Rollenprüfungen, Administrator-Zwei-Faktor-Anmeldung und private Dokumentenablage begrenzen den Zugriff. Nutzen Sie eine Gerätesperre, teilen Sie Ihre Zugangsdaten nicht und melden Sie verlorene Geräte der Zentrale. Diese Maßnahmen sind keine Zusage absoluter Sicherheit.

10Patientendaten und spätere betriebliche Nutzung

Die Software kann Namen, Anschriften, Kontaktdaten, Fahrthistorien, Transportanforderungen, Kostenträgerangaben und Dokumente verwalten. Schon Rollstuhlbedarf oder die Fahrt zu einer bestimmten Behandlung können Gesundheitsdaten offenbaren. Für den hier beschriebenen Beta-Test sind deshalb ausschließlich erfundene Patienten-/Fahrtdaten vorgesehen; reale Beschäftigten- und Testkontodaten werden dadurch nicht zu anonymen Daten.

Vor einer Nutzung mit echten Patienten muss der Verantwortliche zusätzlich eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO feststellen und dokumentieren sowie die betroffenen Personen nach Art. 13 bzw. 14 DSGVO informieren. Ein Beförderungsvertrag allein ersetzt diese Voraussetzung nicht. Insbesondere wird nicht pauschal unterstellt, dass jeder Krankenfahrdienst Gesundheitsdaten allein aufgrund von Art. 9 Abs. 2 Buchst. h DSGVO verarbeiten darf.

Soweit Daten später von Angehörigen, Einrichtungen, Auftraggebern oder Kostenträgern stammen, sind auch Herkunft, zulässige Übermittlung und die jeweiligen Informationspflichten zu klären. Eine gesonderte betriebliche Information und Freigabe muss vor dieser Nutzung erfolgen.

11Ihre Rechte und Beschwerden

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, können Sie ihr aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO widersprechen. Dann wird die Verarbeitung beendet, sofern keine nachweisbaren überwiegenden zwingenden Gründe oder erforderliche Rechtsansprüche entgegenstehen.

Wenden Sie sich dafür an es-krankenfahrdienst@outlook.de oder die oben genannte Anschrift. Benennen Sie den betroffenen Zugang bzw. Sachverhalt, aber senden Sie keine Passwörter. E-Mail-Anfragen werden über das angegebene Outlook-Postfach bei Microsoft verarbeitet; übermitteln Sie dort keine unnötigen medizinischen Unterlagen. Eine angemessene Identitätsprüfung schützt vor Auskünften an Unberechtigte. Einschränkungen, etwa durch Aufbewahrungspflichten oder Rechte anderer Personen, werden im Einzelfall erläutert.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für den Unternehmenssitz ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz eine Anlaufstelle.

12Erforderliche Angaben, Planung und Änderungen

Ohne Kontozuordnung ist kein geschützter Zugang möglich. Ohne die für einen Auftrag erforderlichen Status- oder Fahrzeugangaben kann dessen Bearbeitung nicht zuverlässig erfolgen. Fehlende Standort- oder Pushfreigaben schränken die zugehörigen Funktionen ein; daraus folgt keine allgemeine Zustimmung zu weiteren Verarbeitungen.

Die Software kann Fahrten anhand von Transportanforderungen, Verfügbarkeit, Zeitfenstern und Entfernungen vorschlagen oder zuweisen. Fahrer können Angebote annehmen oder ablehnen; die Zentrale kann eingreifen und Konflikte prüfen. Die Anwendung ist nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen vorgesehen.

Bei Änderungen der Funktionen, Anbieter oder betrieblichen Nutzung werden diese Hinweise angepasst. Der oben genannte Stand kennzeichnet die aktuelle Fassung. Wesentliche Änderungen sind betroffenen Nutzern vor der veränderten Verarbeitung mitzuteilen.

Weiterführende Hinweise

Diese Links öffnen Informationen der jeweiligen Anbieter. Erst beim Aufruf wird eine Verbindung zu deren Website hergestellt.