Datenschutzerklärung

für die Anwendung
HERA – Helfer Entwicklung, Ressourcen und Ausbildung

1. Allgemeine Hinweise

(1) Der Schutz personenbezogener Daten ist dem Betreiber der Anwendung HERA – Helfer Entwicklung, Ressourcen und Ausbildung („HERA“) ein wichtiges Anliegen.

(2) Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung von HERA.

(3) HERA richtet sich an Organisationseinheiten des Technischen Hilfswerks (THW), insbesondere Ortsverbände.

2. Verantwortlichkeit

(1) Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten ist jeweils der THW-Ortsverband, der HERA nutzt.

(2) Der Betreiber von HERA handelt im Rahmen der Nutzung ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO.

(3) Anfragen zu den im Rahmen von HERA verarbeiteten personenbezogenen Daten sind daher grundsätzlich an den jeweiligen Ortsverband zu richten.

3. Gegenstand der Datenverarbeitung

(1) HERA ist eine webbasierte Anwendung zur Unterstützung organisatorischer, administrativer und ausbildungsbezogener Aufgaben innerhalb eines THW-Ortsverbands.

(2) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Erfüllung dieser Zwecke.

4. Kategorien verarbeiteter Daten

(1) Im Rahmen der Nutzung von HERA werden insbesondere folgende Daten verarbeitet:

a) Personenbezogene Daten

Stammdaten (z. B. Name, Geburtsdatum, Geburtsort)
Kontaktdaten (Adresse, E-Mail-Adresse, Telefonnummer)
Bankverbindungen
Sozialversicherungsnummer
Arbeitgeberdaten, Arbeitsverhältnis und zuständiges Finanzamt
Ausbildungs- und Qualifikationsdaten innerhalb des THW
Zugehörigkeit zu Organisationseinheiten
Belehrungen, Berechtigungen und Befähigungen

b) Gesundheitsdaten

Angaben zu Impfungen
Vorsorge- und Untersuchungsfälligkeiten

c) Organisations- und Sachdaten

Einheitenstrukturen
Dienst- und Terminplanungen inklusive Zu- und Absagen
Abmeldungen
Fahrzeuge, Ausstattung, Wartungs- und Prüftermine
Schadenmeldungen
Gefahrstoffkataster
Beschaffungs- und Budgetplanungen
Aktenverzeichnisse

5. Kategorien betroffener Personen

(1) Betroffene Personen sind insbesondere:

Mitglieder des Ortsverbands
Funktionsträgerinnen und Funktionsträger
Ausbilderinnen und Ausbilder
Anwärterinnen und Anwärter
Interessenten für die Mitwirkung im jeweiligen Ortsverband
ehemalige Mitglieder, soweit deren Daten gespeichert sind

6. Rechtsgrundlagen der Verarbeitung

(1) Die Verarbeitung personenbezogener Daten zur Nutzung von HERA erfolgt auf Grundlage der ausdrücklichen Einwilligung der betroffenen Person gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung wird beim ersten Aufruf der Anwendung über das Einwilligungs-Gate eingeholt.

(2) Soweit die Verarbeitung zur Erfüllung organisatorischer Aufgaben des Ortsverbands erforderlich ist, kann sie ergänzend auf Art. 6 Abs. 1 lit. b und lit. c DSGVO gestützt werden. Die Protokollierung sicherheits- und datenschutzrelevanter Vorgänge im Audit-Log wird auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachvollziehbarkeit und Sicherheit) gestützt.

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, erfolgt ausschließlich auf Grundlage der ausdrücklichen Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO.

7. Einwilligung und Widerruf

(1) HERA erhebt die Einwilligung zur Datenverarbeitung in zwei Stufen:

Generelle Einwilligung in die Speicherung und Verarbeitung der zur Nutzung von HERA notwendigen Daten. Ohne diese Einwilligung kann HERA nicht genutzt werden.
Optionale Einwilligung pro Datenkategorie für die Übernahme von Daten aus der Verwaltungssoftware THWin in HERA. Optional sind:
- Ausbildungsstand (Trainings- und Qualifikationsstand)
- Belehrungen (DGUV-Belehrungen, Bescheinigungen, zugehörige Anhänge)
- Kontaktdaten aus der Helferakte (verschlüsselt gespeicherte THWin-Stammdaten)
- Gesundheitsdaten im Sinne von Art. 9 DSGVO

(2) Jede Kategorie ist freiwillig und unabhängig wählbar. Personenbezogene Importe verarbeiten ausschließlich Daten von Personen, die der zugehörigen Datenkategorie eingewilligt haben.

(3) Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(4) Der Widerruf hat folgende Wirkungen:

Widerruf einer optionalen Kategorie: Die der jeweiligen Kategorie zugeordneten Daten werden in HERA gelöscht.
Widerruf der generellen Einwilligung: Das Benutzerkonto wird gelöscht, der Mitgliederdatensatz wird anonymisiert. Ein Sperreintrag verhindert die erneute automatische Anlage durch Importe.

(5) Der Vorgang wird im Audit-Log dokumentiert.

8. Auftragsverarbeitung

(1) Der Betrieb von HERA erfolgt im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO.

(2) Zwischen dem jeweiligen Ortsverband und dem Betreiber von HERA besteht ein Auftragsverarbeitungsvertrag.

(3) Der Betreiber verarbeitet personenbezogene Daten ausschließlich auf Weisung des jeweiligen Ortsverbands.

9. Technische und organisatorische Maßnahmen

(1) Der Betreiber von HERA setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Personenbezogene Daten sowie besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, werden verschlüsselt gespeichert.

(3) Die Datenübertragung erfolgt verschlüsselt.

(4) Die im Einzelnen umgesetzten Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen (TOM)” zum Auftragsverarbeitungsvertrag dokumentiert.

10. Audit-Log und Protokollierung

(1) HERA führt ein zentrales Audit-Log, in dem datenschutz- und sicherheitsrelevante Vorgänge dokumentiert werden, insbesondere:

Erteilung, Ablehnung, Widerruf und Zurücksetzung von Einwilligungen
Anlage und Löschung von Benutzern und Mitgliedern
Ausführung von Datenminimierungsaktionen
Zurücksetzung von Ortsverbandsdaten
Sicherheitsrelevante Anmeldevorgänge (z. B. erfolgreiche und fehlgeschlagene Passwort-Anmeldungen, Magic-Link-Versand und -Nutzung, Einrichtung und Verifikation des zweiten Faktors)

(2) Pro Eintrag werden auslösende Person, betroffene Person, Organisation, Zeitpunkt sowie ergänzende Metadaten gespeichert.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Nachvollziehbarkeit datenschutz- und sicherheitsrelevanter Vorgänge sowie in der Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

11. Datenminimierung

(1) HERA stellt Personen mit der Rolle OV-Administration ein Werkzeug zur strukturierten Datenminimierung bereit. Damit können Daten einer Kategorie für ausgewählte Personen gezielt entfernt werden.

(2) Mögliche Aktionen sind insbesondere:

Löschung von Berechtigungen und Anhängen
Entfernung von Gesundheitsdaten aus dem organisationsbezogenen Datensatz
Entfernung verschlüsselt gespeicherter THWin-Daten
Löschung gespeicherter Ausbildungsfortschritte
Markierung von Mitgliedern ohne Einheitenzuordnung als gelöscht

(3) Jede Ausführung wird im Audit-Log mit Aktion, Anzahl und betroffenen Personen dokumentiert. Eine fehlgeschlagene Ausführung wird vollständig zurückgerollt.

12. Unterauftragsverarbeiter

(1) Zur Bereitstellung der Anwendung können Unterauftragsverarbeiter, insbesondere für Hosting-Leistungen, eingesetzt werden.

(2) Diese werden vertraglich gemäß Art. 28 DSGVO verpflichtet.

(3) Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter wird auf Anfrage durch den Betreiber zur Verfügung gestellt.

13. Speicherdauer

(1) Personenbezogene Daten werden nur so lange gespeichert, wie dies zur Erfüllung der Zwecke erforderlich ist oder eine Einwilligung der betroffenen Person besteht.

(2) Bei Widerruf einer optionalen Einwilligung werden die zugehörigen Daten unverzüglich gelöscht.

(3) Bei Widerruf der generellen Einwilligung wird das Benutzerkonto gelöscht und der Mitgliedsdatensatz anonymisiert.

(4) Soft-gelöschte Mitglieder werden für eine Wiederherstellungsfrist von sieben Tagen vorgehalten und anschließend automatisch anonymisiert.

(5) Für einzelne Datenkategorien gelten zusätzliche, automatisch durchgesetzte Aufbewahrungsfristen:

Gelesene Benachrichtigungen werden 7 Tage nach Kenntnisnahme gelöscht.
Ungelesene Benachrichtigungen werden 30 Tage nach Erstellung gelöscht.
Versand-Protokolle (In-App, Push, E-Mail) werden 30 Tage nach Versand gelöscht.
Soft-gelöschte Kalendereinträge werden 7 Tage nach Löschung endgültig entfernt, einschließlich Anhängen, Teilnehmenden, Fahrzeug- und Ortsverknüpfungen sowie Zu- und Absagen.
Abwesenheiten von Mitgliedern werden 7 Tage nach Ende der Abwesenheit gelöscht.
Detaillierte Importprotokoll-Einträge werden 24 Stunden nach Erstellung gelöscht; die zusammenfassende Importstatistik wird auf die letzten zehn Importvorgänge je Typ begrenzt.
Nicht abgeschlossene Verbandbuch-Entwürfe werden 24 Stunden nach Erstellung gelöscht.
Eingereichte Verbandbuch-Einträge werden gemäß DGUV 5 Jahre nach dem abschließenden Speichern gelöscht.
Sitzungs-Tokens (users_tokens) werden 14 Tage nach Erstellung verworfen und stündlich aus der Datenbank entfernt; bei aktiver Nutzung der Anwendung werden sie automatisch erneuert. Kurzlebige Anmelde-Tokens (Magic-Link, Pending-2FA) werden unmittelbar nach Ablauf gelöscht, Bestätigungs-Tokens (E-Mail-Wechsel, Onboarding, OV-Beanspruchung, OV-Setup) 7 Tage nach Erstellung.
Sicherheitsrelevante Ereignisse im Ereignisprotokoll (Anmeldungen, 2FA-Vorgänge, Magic-Link, Datenexporte, Konsens-Ereignisse u. a.) werden 90 Tage nach Erstellung gelöscht.
Belehrungen, Berechtigungen und Bescheinigungen werden bei jedem THWin-Berechtigungsimport aktualisiert. Im Import nicht mehr enthaltene Einträge werden aus der Anwendung entfernt; Einträge mit hochgeladenen Bescheinigungen werden zur manuellen Prüfung soft-gelöscht. Beim Ausscheiden aus dem Ortsverband werden sämtliche zugehörigen Datensätze einschließlich hochgeladener Bescheinigungen sofort gelöscht.
Bewerbungsdaten (Interessenten- und Kontaktinformationen, hochgeladene Aufnahmeantrags-Dokumente, Onboarding-Historie) werden 7 Tage nach Stornierung der Bewerbung durch die bewerbende Person oder nach Ablehnung durch den Ortsverband automatisch gelöscht.
Nachrichten zwischen Ortsverband und Bewerber:innen werden bei Storno oder Ablehnung gemeinsam mit dem Bewerber-Account innerhalb der 7-Tage-Frist gelöscht. Bei aufgenommenen Mitgliedern bleiben die Nachrichten für die Dauer der Mitgliedschaft erhalten und werden 7 Tage nach Beendigung der Mitgliedschaft automatisch gelöscht.
Gesundheitsdaten der Mitglieder werden bei jedem THWin-Gesundheitsdatenimport vollständig durch die importierten Datensätze ersetzt; eine Historie wird nicht gespeichert. Mitglieder, die nicht im aktuellen Import enthalten sind (insbesondere ausgetretene oder soft-gelöschte Mitglieder), verlieren ihre Gesundheitsdaten unwiderruflich beim nächsten Import.

(6) Nach Beendigung der Nutzung der Anwendung erfolgt die Löschung der personenbezogenen Daten entsprechend den Weisungen des jeweiligen Ortsverbands, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(7) Einträge des Audit-Logs werden zur Erfüllung der Rechenschaftspflicht 90 Tage aufbewahrt und anschließend automatisch gelöscht.

14. Rechte der betroffenen Personen

(1) Betroffene Personen haben gegenüber dem jeweils verantwortlichen Ortsverband folgende Rechte:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch (Art. 21 DSGVO)
Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

(2) HERA unterstützt das Recht auf Auskunft nach Art. 15 DSGVO durch eine Exportfunktion. Betroffene Personen können in ihren Kontoeinstellungen eine Datenauskunft anfordern. Die Exportdatei wird nicht unmittelbar an die betroffene Person ausgeliefert, sondern ausschließlich der OV-Administration bereitgestellt. Die OV-Administration prüft die enthaltenen Daten vor der Aushändigung, dokumentiert Download und Aushändigung im Audit-Log und übergibt die Auskunft anschließend manuell.

(3) Unbeschadet anderer Rechtsbehelfe steht den betroffenen Personen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

15. Meldung von Datenschutzverletzungen

(1) Der Betreiber von HERA unterstützt den verantwortlichen Ortsverband bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.

16. Änderungen dieser Datenschutzerklärung

(1) Der Betreiber behält sich vor, diese Datenschutzerklärung anzupassen, insbesondere bei:

rechtlichen Änderungen,
technischer Weiterentwicklung der Anwendung,
Erweiterung des Funktionsumfangs.

17. Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieser Datenschutzerklärung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Version 2, Stand: 07.05.2026