← Zurück zur Einsatz-OS Website

Datenschutzerklärung für Einsatz-OS

Diese Datenschutzerklärung beschreibt, wie die Android-App Einsatz-OS mit Nutzer-, Geräte- und Einsatzdaten umgeht. Einsatz-OS ist als offline-first Assistenzsystem konzipiert. Die App arbeitet ohne Benutzerkonto, ohne Werbung und ohne Tracking.

Stand: 1. Oktober 2026 · gültig ab App-Version 1.4.0; die Abschnitte „Internet und Kopplung“, „Widgets auf dem Startbildschirm“ und das Lesen von Warntafeln gelten ab App-Version 1.4.2

1. Verantwortlicher

Verantwortlich für diese App und diese Datenschutzerklärung:

Pascal Schweitzer
Am Wäldchen 34
51515 Kürten
Deutschland
E-Mail: einsatzoperatingsystem@gmail.com

2. Zweck der App

Einsatz-OS ist ein digitales Assistenzsystem für ausgebildete Einsatzkräfte. Die App unterstützt unter anderem Atemschutzüberwachung, Gefahrgut-Schnellsuche, lokale Dokumentenablage, Quickchecks, Notizen, Fotos, Spracheingabe, Dienstplan, Lernmodus und Einsatzberichte. Die App ersetzt keine Ausbildung, keine Feuerwehr-Dienstvorschriften, keine lokale Alarm- und Ausrückeordnung und keine Entscheidungen der Einsatzleitung.

3. Welche Daten lokal verarbeitet werden können

Je nach Nutzung können in der App folgende Daten lokal auf dem Gerät gespeichert oder verarbeitet werden:

• ASÜ-Daten wie Truppnamen, optionale Klarnamen, Startzeiten, Druckwerte, Warnstatus und Mayday-Zeitpunkte. Klarnamen werden nur dann in ein exportiertes ASÜ-PDF übernommen, wenn dies in den Einstellungen ausdrücklich aktiviert wurde; die Voreinstellung ist „aus“.
• Einsatzberichte, Zeiten, Lageinformationen, Maßnahmen, Textbausteine und Notizen.
• Importierte Dokumente, PDF-Dateien, Tags, Hotkeys, Suchindexe und Dashboard-Pins.
• Fotos, die der Nutzer in der App aufnimmt oder importiert, sowie Texte aus der Spracheingabe. Die Spracheingabe erzeugt Text; Einsatz-OS speichert keine Audiodateien.
• Dienstplan-Einträge, ein optionales Wiederholungsprofil und der Zustand der Erinnerungsfunktion.
• Lernfortschritt, Punktestand und Übungsserie des Lernmodus.
• Persönliche Expositionsaufzeichnung nach §10a GefStoffV: Name, Geburtsdatum und Träger/Feuerwehr als einmalige Profilangabe sowie je Eintrag Datum, Uhrzeit, Einsatz- oder Übungsnummer, Einsatzort, Art der Tätigkeit, Gefahrstoff, Dauer, Höhe der Exposition, Art des Atemschutzes, Schutzkleidung und eine Bemerkung.
• Fotos, die einem noch nicht abgeschlossenen Einsatzbericht angehängt sind — verschlüsselt, gelöscht beim Abschluss des Berichts, spätestens nach sieben Tagen.
• Lokale Einstellungen wie Rolle, EULA-Bestätigung, PIN-/Biometrie-Einstellungen und App-Konfiguration.
• Für die Kopplung: ein auf dem Gerät erzeugtes Schlüsselpaar, ein zufälliges Abruf-Token, der frei gewählte Fahrzeugname dieses Geräts, die Kopplungscodes der gekoppelten Geräte (Fahrzeugname, Geräte-Kennung, öffentlicher Schlüssel, Adresse des Übermittlungsdienstes) sowie empfangene Lagepakete der letzten 24 Stunden.

Diese Daten werden grundsätzlich lokal im App-Speicher des jeweiligen Android-Geräts verarbeitet. Einsatz-OS überträgt diese Daten nicht automatisch an einen Server des Entwicklers. Einzige Ausnahme ist die freiwillige Kopplung: Auf Nutzeraktion sendet die App Lageinformationen Ende-zu-Ende verschlüsselt über den Übermittlungsdienst des Entwicklers an zuvor gekoppelte Geräte (siehe Abschnitt 4, „Internet und Kopplung“).

4. Berechtigungen und deren Zweck

Kamera

Die Kamera kann für Quick-Capture-Fotos oder Anhänge im Einsatzbericht genutzt werden. Fotos werden nicht automatisch in eine Cloud übertragen.

Auf Android kann die Kamera außerdem eine orange Gefahrgut-Warntafel lesen (Gefahrgut-Suche, Kamerasymbol). Das Foto wird ausschließlich auf dem Gerät mit der Texterkennung Tesseract ausgewertet – ohne Internet, ohne Übertragung an den Entwickler oder an Dritte, ohne Nutzungs- oder Gerätedaten. Ein aufgenommenes Foto liegt dafür kurz im Zwischenspeicher der App und wird nach dem Lesen gelöscht; ein Foto aus der Galerie wird nur gelesen, nicht kopiert. Das Ergebnis ist ein Vorschlag: gesucht wird erst, wenn der Nutzer es bestätigt, und nur diese Suche erscheint im lokalen Verlauf „Zuletzt gesucht“.

Mikrofon

Das Mikrofon kann für die Spracheingabe (Voice-to-Text) genutzt werden. Einsatz-OS legt dabei keine Audiodatei an; gespeichert wird nur der erkannte Text. Abhängig vom Android-Gerät und der eingerichteten Spracheingabe kann die eigentliche Spracherkennung durch Systemdienste des Geräteherstellers oder von Google erfolgen. Einsatz-OS betreibt hierfür keinen eigenen Server.

Benachrichtigungen, Vibration, Wake Lock und Foreground Service

Diese Berechtigungen werden für laufende Timer, ASÜ-Hinweise, Warnungen und die Stabilität laufender Hintergrundprozesse verwendet. Sie dienen dazu, dass wichtige Timer auch bei gesperrtem Bildschirm sichtbar bleiben.

Dateien, Medien und Dokumente

Dokumente, PDFs oder Bilder können über Android-Systemauswahlfunktionen in die App importiert oder an Berichte angefügt werden. Einsatz-OS fordert hierfür keinen dauerhaften Vollzugriff auf die Medienbibliothek an. Importierte Dokumente werden lokal im App-Speicher verarbeitet.

Standort

Die Standortberechtigung kann optional für die Wasserförderung genutzt werden, um auf aktive Nutzeraktion einmalig aktuelle Koordinaten in die Planung zu übernehmen. Einsatz-OS nutzt keine Hintergrundortung, kein Standort-Tracking und überträgt Standortdaten nicht automatisch an den Entwickler. Wenn Koordinaten oder Adressen in einer externen Karten-App geöffnet werden, gelten zusätzlich die Datenschutzbedingungen dieser Karten-App.

Internet und Kopplung

Die App ist offline-first aufgebaut. Sie fordert die Berechtigung für den Internetzugriff an und nutzt sie ausschließlich für die Kopplungsfunktion — und nur, wenn der Nutzer sie in der App ausdrücklich einschaltet (Schalter „Kopplung (braucht Internet)“ im Modul „Lage vor Ort“, standardmäßig aus). Solange der Schalter aus ist, baut die App keine Internetverbindung auf. Über die verwendete Android-Bibliothek AndroidX WorkManager enthält das App-Paket zusätzlich die Berechtigungen „Netzwerkverbindungen abrufen“ und „Beim Start ausführen“. Sie werden benötigt, damit geplante lokale Aufgaben — etwa Dienstplan-Erinnerungen — nach einem Neustart des Geräts erhalten bleiben. Es findet dabei keine Datenübertragung statt. Android-Teilen-, E-Mail-, Telefon- oder Kartenfunktionen können externe Apps öffnen, die eigene Internetverbindungen verwenden. Einsatz-OS nutzt keine Werbung und kein Tracking.

Was die Kopplung tut: Geräte werden vorab per QR-Code miteinander verbunden; dieser Austausch läuft ohne Internet über die Kamera oder ein Foto. Der QR-Code enthält den frei gewählten Fahrzeugnamen, eine zufällige Geräte-Kennung, den öffentlichen Schlüssel des Geräts und die Adresse des Übermittlungsdienstes — keinen Personennamen. Danach kann ein Gerät auf ausdrückliche Aktion des Nutzers („Übergabe senden“) ein Lagepaket an die gekoppelten Geräte senden.

Was ein Lagepaket enthält: den Fahrzeugnamen des sendenden Geräts, den Sendezeitpunkt, den Übergabetext der Lage vor Ort (Lagebeschreibung, die letzten Tagebucheinträge, BMA-Angaben, eine laufende Lage des Lage-Assistenten), die Markierungen des Einsatzstellenbilds und — wenn der Nutzer es beim Senden anwählt — das Einsatzstellenfoto. Laufen Atemschutztrupps in der Atemschutzüberwachung, enthält der Übergabetext je Trupp die Truppbezeichnung, die dort eingetragenen Personen, die Einsatzzeit, Eintritts- und letzten Druckwert sowie den Status Rückzug oder Notfall. Der Nutzer entscheidet vor dem Senden, welche Angaben er eingetragen hat; die App sendet nichts ohne seine Aktion.

Empfang: Solange der Schalter an ist und das Modul „Lage vor Ort“ geöffnet ist, fragt die App alle 15 Sekunden beim Übermittlungsdienst nach wartenden Paketen für dieses Gerät. Empfangene Pakete werden nur angenommen, wenn sie von einem gekoppelten Gerät stammen; sie werden auf dem Gerät gespeichert und verfallen dort nach 24 Stunden.

Verschlüsselung: Die Inhalte werden auf dem sendenden Gerät Ende-zu-Ende verschlüsselt (X25519-Schlüsselaustausch, HKDF-SHA256, ChaCha20-Poly1305) und erst auf dem empfangenden Gerät entschlüsselt. Die Übertragung läuft ausschließlich über HTTPS. Der Übermittlungsdienst kann die Inhalte nicht lesen.

Was der Übermittlungsdienst verarbeitet: Der Übermittlungsdienst (Relay, relay.einsatzos.cloud) wird vom Entwickler betrieben; er läuft auf einem Server in Frankfurt am Main beim Hostinganbieter Hostinger. Er verarbeitet verschlüsselte Pakete, zufällige Geräte-Kennungen, Zeitpunkte, Paketgrößen und — technisch bedingt — die IP-Adresse der Verbindung. Es gibt keine Benutzerkonten. Zugriffsprotokolle werden nicht geschrieben. Ein Paket wird gelöscht, sobald das empfangende Gerät es abholt, spätestens nach 24 Stunden.

Empfehlung für die Nutzung: keine Gesundheitsangaben und keine Fotos von Personen oder Kfz-Kennzeichen übermitteln; Personennamen nur, soweit die eigene Feuerwehr das vorsieht.

Rechtsgrundlage und Verantwortlichkeit: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer eingeschalteten Funktion); für die technisch notwendige Verarbeitung der IP-Adresse Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb des Übermittlungsdienstes). Setzt eine Feuerwehr die Kopplung dienstlich ein, ist in der Regel ihr Träger (die Gemeinde) Verantwortlicher; der Entwickler verarbeitet die oben genannten technischen Daten als Auftragsverarbeiter. Die Kopplung ist eine neue Funktion in der Erprobung (Beta) und wird weiterentwickelt.

Beenden: Der Nutzer kann die Kopplung jederzeit ausschalten und einzelne Geräte entkoppeln. Das Löschen der App-Daten entfernt Schlüsselpaar, Abruf-Token, Kopplungen und empfangene Pakete. Push-Benachrichtigungen sind nicht eingebaut; die App weckt kein anderes Gerät.

Widgets auf dem Startbildschirm

Auf Wunsch zeigen Startbildschirm-Widgets die Dienste der nächsten Tage aus dem Dienstplan und, solange ein Atemschutztrupp läuft, die Zahl der laufenden Trupps, die Startzeit und die Truppbezeichnung – ohne Personennamen und ohne Druckwerte. Widgets sind auf dem Startbildschirm für jeden sichtbar, der das Gerät in der Hand hält; sie übertragen nichts. Ein Widget erscheint nur, wenn der Nutzer es selbst hinzufügt.

Biometrie und Fingerabdruck

Biometrische Entsperrung kann zum Schutz der App verwendet werden. Biometrische Daten werden nicht durch Einsatz-OS gespeichert, sondern vom Android-System verwaltet. Die App verwendet die Android-Bibliothek AndroidX Biometric. Diese bringt für ältere Android-Versionen zusätzlich die Berechtigung „Fingerabdruck verwenden“ mit. Einsatz-OS wertet darüber keine biometrischen Merkmale aus; die Prüfung findet ausschließlich im Android-System statt. Als Rückfallebene kann eine PIN gesetzt werden; gespeichert wird davon nur ein Prüfwert, nicht die PIN selbst.

Dienstplan und Erinnerungen

Im Dienstplan eingetragene Dienste, ein optionales Wiederholungsprofil und der Zustand der Erinnerungsfunktion werden lokal auf dem Gerät gespeichert. Erinnerungen sind lokale Benachrichtigungen des Geräts; es wird kein Kalender-Konto ausgelesen und nichts an einen Server gesendet. Ein Export als Kalenderdatei (.ics) erfolgt nur auf ausdrückliche Aktion; die Datei wird dann über die Android-Teilen-Funktion an die vom Nutzer gewählte App übergeben.

Lernmodus

Im Lernmodus werden Lernfortschritt, Punktestand und Übungsserie lokal gespeichert. Diese Werte enthalten keine Klarnamen und verlassen das Gerät nicht.

Expositionsdokumentation nach §10a GefStoffV

Das Modul „Expositionsdokumentation" führt eine persönliche Aufzeichnung über Einsätze mit krebserzeugenden, keimzellmutagenen oder reproduktionstoxischen Gefahrstoffen. Es ist eine Zuarbeit zu dem Verzeichnis, das nach §10a GefStoffV der Träger der Feuerwehr als Arbeitgeber zu führen hat, und ersetzt dieses Verzeichnis nicht.

Erfasst werden einmalig im Profil Name, Geburtsdatum und Träger/Feuerwehr sowie je Eintrag Datum, Uhrzeit, Einsatz- oder Übungsnummer, Einsatzort, Art der Tätigkeit, Gefahrstoff, Dauer, Höhe der Exposition, Art des Atemschutzes, Schutzkleidung und eine Bemerkung. Es handelt sich dabei um Angaben zur Gesundheit einer namentlich benannten Person.

Die Eingabe erfolgt durch den Nutzer. Zeitpunkt, Dauer und Truppbezeichnung können auf ausdrückliche Aktion aus der Atemschutzüberwachung übernommen werden; Namen anderer Truppmitglieder werden dabei nicht übernommen.

Solange eine App-PIN eingerichtet ist, liegt das Modul hinter der App-Sperre. Wird die PIN in den Einstellungen entfernt — möglich nur nach Eingabe der bisherigen PIN oder nach einer biometrischen Bestätigung —, öffnet die App danach ohne Abfrage. Die Aufzeichnung bleibt dabei erhalten und ist dann nur noch durch die Bildschirmsperre des Geräts geschützt.

5. Weitergabe von Daten

Einsatz-OS gibt Daten nicht automatisch an den Entwickler oder an Dritte weiter. Eine Weitergabe kann aber erfolgen, wenn der Nutzer aktiv Systemfunktionen verwendet, zum Beispiel:

• Teilen oder Versand eines Einsatzberichts per E-Mail, Messenger oder anderer App.
• Öffnen des Telefon-Wählers für TUIS oder andere Fachstellen.
• Export von PDF-Berichten oder Dokumenten.
• Export der persönlichen Expositionsaufzeichnung als Textdatei oder als passwortgeschütztes PDF. Die Datei enthält Name, Geburtsdatum, Träger und die Expositionsangaben und wird über die Android-Teilen-Funktion an die vom Nutzer gewählte App übergeben. Ob die Datei geschützt wird, entscheidet der Nutzer im Exportdialog; ein Schutz wird nicht erzwungen.
• Nutzung systemeigener Spracheingabe oder anderer Android-Dienste.
• Senden eines Lagepakets an zuvor gekoppelte Geräte über die Kopplungsfunktion (Ende-zu-Ende verschlüsselt, siehe Abschnitt 4, „Internet und Kopplung“).

In diesen Fällen gelten zusätzlich die Datenschutzbedingungen der jeweils verwendeten Dritt-App oder des jeweiligen Dienstes.

6. Speicherung, Löschung und Sicherung

Die App speichert Daten lokal auf dem Gerät. Dokumente im Tresor werden mit AES-256 verschlüsselt im geschützten App-Speicher abgelegt. Einsatzberichte, ASÜ-Sitzungsdaten, Quick-Capture-Notizen, Dienstplan und Einstellungen liegen unverschlüsselt im geschützten App-Speicher; sie sind für andere Apps nicht zugänglich, ihr Schutz hängt aber an der Gerätesperre. Fotos, die einem Einsatzbericht angehängt sind, gehören zum gespeicherten Entwurf: sie werden verschlüsselt im geschützten App-Speicher abgelegt, damit sie ein Beenden der App durch das System überstehen. Sie werden gelöscht, sobald der Bericht abgeschlossen oder verworfen wird, spätestens aber sieben Tage nach der letzten Änderung. Beim Teilen wird kurzzeitig eine unverschlüsselte Kopie im Zwischenspeicher der App abgelegt, die beim nächsten Export überschrieben wird. Nutzer können Berichte, Notizen, ASÜ-Daten, Dienstplan und Tresordokumente in der App einzeln löschen oder die App-Daten über die Android-Systemeinstellungen vollständig entfernen. Beim Deinstallieren der App werden die lokal gespeicherten App-Daten in der Regel vom Android-System gelöscht.

Die Einträge der Expositionsdokumentation werden mit AES-256-GCM verschlüsselt als Datei im geschützten App-Speicher abgelegt; der zugehörige Schlüssel liegt im Schlüsselspeicher des Android-Systems. Steht die Verschlüsselung auf dem Gerät nicht zur Verfügung, legt die App die Einträge unverschlüsselt ab und weist im Modul sichtbar darauf hin. Name, Geburtsdatum und Träger werden als Profilangaben unverschlüsselt in den lokalen Einstellungen der App gespeichert. Für Aufzeichnungen nach §10a GefStoffV nennt §10a Abs. 2 GefStoffV eine Aufbewahrung von 40 Jahren nach Ende der Exposition bei krebserzeugenden und keimzellmutagenen Stoffen der Kategorie 1A oder 1B und von 5 Jahren bei reproduktionstoxischen Stoffen dieser Kategorien. Einzelne Einträge lassen sich in der App löschen; die Profilangaben bleiben dabei bestehen und werden erst beim Löschen der App-Daten entfernt.

Beim Öffnen eines Tresordokuments legt die App eine entschlüsselte Kopie im Zwischenspeicher der App ab, damit die Anzeige sie darstellen kann. Diese Kopie bleibt dort liegen, bis dasselbe Dokument erneut geöffnet oder der Zwischenspeicher geleert wird; das Löschen des Dokuments im Tresor entfernt sie nicht. Auch erzeugte Ausdrucke und Exportdateien — ASÜ-Protokoll, Einsatzbericht, Fotos, Kalenderdatei des Dienstplans und Expositionsaufzeichnung — werden vor dem Teilen unverschlüsselt im Zwischenspeicher der App abgelegt. Bei ASÜ-Protokoll, Einsatzbericht, Fotos und Expositionsaufzeichnung wird der jeweils vorherige Ausdruck vor einem neuen Export gelöscht, die Kalenderdatei des Dienstplans wird überschrieben. Der Zwischenspeicher der App lässt sich über die Android-Systemeinstellungen leeren.

Lernfortschritt, Punktestand, Übungsserie, Tageszähler und Statistik des Lernmodus sowie Bestergebnisse und Durchlaufzähler der Szenarien lassen sich in den Einstellungen der App löschen.

Schlüsselpaar, Abruf-Token, Fahrzeugname und Kopplungscodes der Kopplungsfunktion liegen in den lokalen Einstellungen der App. Empfangene Lagepakete — einschließlich eines mitgesendeten Fotos — werden dort für höchstens 24 Stunden gespeichert und dann von der App entfernt; einzelne Pakete lassen sich vorher ausblenden. Entkoppeln entfernt den Kopplungscode des jeweiligen Geräts.

Aus Sicherheitsgründen ist das Android-Backup für die App deaktiviert. Sensible Tresor-, Authentifizierungs-, ASÜ- und Berichtsdaten sollen nicht automatisch in Cloud-Backups übertragen werden. Auch beim Umzug auf ein neues Gerät überträgt Android keine Daten der App; sie startet dort wie neu installiert.

Daten löschen

Einsatz-OS: Feuerwehr offline (Entwickler: siehe Abschnitt 1) führt keine Benutzerkonten. Alle Eingaben liegen nur auf dem eigenen Gerät; der Entwickler kann sie weder einsehen noch löschen. So löschen Nutzer ihre Daten selbst:

• In der App: Einstellungen → „Alles Lokale zurücksetzen“ entfernt alle auf diesem Gerät eingegebenen Daten in einem Schritt, einschließlich Tresor, Kopplungsschlüssel, Kopplungen und empfangener Lagepakete.
• Einzelne Daten: Berichte, Notizen, ASÜ-Daten, Dienstplan und Tresordokumente lassen sich in den jeweiligen Modulen löschen; die Kopplung lässt sich im Modul „Lage vor Ort“ ausschalten und einzelne Geräte entkoppeln.
• Ohne App: Android-Einstellungen → Apps → Einsatz-OS → Speicher → „Daten löschen“, oder die App deinstallieren.

Was beim Übermittlungsdienst der Kopplung liegt (verschlüsselte Pakete, zufällige Geräte-Kennung, Zeitpunkte, Paketgröße), wird gelöscht, sobald das empfangende Gerät ein Paket abholt, spätestens nach 24 Stunden. Eine zusätzliche Aufbewahrung gibt es nicht, Zugriffsprotokolle werden nicht geschrieben. Wer dennoch eine Löschung anfragen möchte, schreibt an einsatzoperatingsystem@gmail.com; weil der Dienst keine Konten führt, sind nach spätestens 24 Stunden keine Daten mehr vorhanden, die einer Person zugeordnet werden könnten.

7. Sicherheit

Einsatz-OS ist auf lokale Datenhaltung, minimale Datenweitergabe und offline-first Nutzung ausgelegt. Sensible Dokumente und Einsatzdaten sollten nur verarbeitet werden, wenn dies nach lokalen Vorgaben der Feuerwehr, Organisation oder Dienststelle erlaubt ist. Bei BYOD-Geräten liegt die sichere Gerätekonfiguration, Gerätesperre und regelmäßige Datenlöschung auch in der Verantwortung des Nutzers.

8. Kinder und Jugendliche

Einsatz-OS richtet sich nicht an Kinder unter 13 Jahren und ist nicht für die Nutzung durch Kinder bestimmt. Zielgruppe sind ausgebildete Einsatzkräfte und berechtigte Nutzer im BOS-/Feuerwehrumfeld.

9. Website

Diese Website setzt keine Cookies und nutzt keine Tracking- oder Analyse-Dienste. Beim Aufruf der Website können technisch notwendige Serverzugriffsdaten durch den Hostinganbieter verarbeitet werden, zum Beispiel IP-Adresse, Zeitpunkt des Abrufs, abgerufene Datei, Browsertyp und Betriebssystem. Diese Verarbeitung ist technisch erforderlich, um die Website auszuliefern. Hostinganbieter: Hostinger operations, UAB, Švitrigailos str. 34, 03230 Vilnius, Litauen.

10. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen der App, rechtliche Anforderungen oder technische Abläufe ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar.

11. Kontakt

Fragen zum Datenschutz können jederzeit per E-Mail an einsatzoperatingsystem@gmail.com gestellt werden.