Datenschutzerklärung

Verantwortliche Stelle

Besonderheit für Feuerwehren: Für die Mitglieder- und Übungsdaten, die eine Feuerwehr in der App erfasst, ist die Feuerwehr selbst verantwortliche Stelle. Wir bearbeiten diese Daten in ihrem Auftrag (Auftragsbearbeitung nach Art. 9 DSG).

Welche Daten wir bearbeiten

• Website: Beim Besuch fallen technische Zugriffsdaten an (z. B. IP-Adresse in Server-Logs des Hostings). Die Website-Statistik läuft ohne Cookies und ohne persönliche Profile.
• Kontakt und Interessenten: Name, E-Mail, Telefon, Feuerwehr und Ihre Nachricht, wenn Sie uns schreiben oder anfragen — zur Bearbeitung der Anfrage und zur Betreuung des Kontakts. Aus der früheren Beta-Warteliste sind Name, E-Mail und Feuerwehr weiterhin gespeichert; das Anmeldeformular gibt es nicht mehr. Für diese Daten sind wir selbst verantwortliche Stelle, nicht Auftragsbearbeiter.
• App-Konto: E-Mail-Adresse, Anzeigename, optional Funktion, Telefonnummer und Profilbild. Die Anmeldung läuft mit einem per E-Mail zugestellten Code, einem Passkey oder einem Passwort; der Code dient zudem dem Nachweis der E-Mail-Adresse und der Wiederherstellung. Welche Daten dafür anfallen, steht im Abschnitt «Anmeldung und Sicherheit».
• Organisationsdaten: Mitgliedschaften und Rollen, Übungen und Termine, Anwesenheiten, Gruppen, Dokumente und Fahrzeugdaten — die Daten, mit denen eine Feuerwehr plant.
• Einladungen und System-E-Mails:E-Mail-Adressen von Eingeladenen sowie ein Protokoll versendeter System-E-Mails (Empfänger, Betreff, Zustellstatus).
• Benachrichtigungen: Ihre persönlichen Einstellungen dazu, worüber und auf welchem Weg Sie informiert werden möchten, sowie ein Protokoll je Benachrichtigung — wer sie erhalten hat, auf welchem Weg, ob sie zugestellt wurde und weshalb nicht. Dieses Protokoll ist zu einer Übung innerhalb Ihrer Feuerwehr für jene Personen sichtbar, die die Übung bearbeiten dürfen; ein «wegen Einstellung übersprungen» ist dort erkennbar.
• Push-Mitteilungen aufs Gerät: Wenn Sie Push einschalten, speichern wir die vom Browser vergebene Adresse Ihres Geräts beim Push-Dienst, dessen Schlüssel sowie die Browser- und Gerätebezeichnung. Push ist standardmässig aus und pro Gerät einzeln einzuschalten.
• Feedback: Nachricht, betroffene Seite und technische Angaben (Browser), wenn Sie Feedback aus der App senden.
• Angaben zu Auftraggebern: Feuerwehren, die Übungen für Dritte durchführen (z. B. Ausbildungszentren), können zu einer Übung Angaben zum Auftraggeber erfassen — darunter eine Kontaktperson mit Name, Telefonnummer und E-Mail. Diese Felder sind freier Text und nur für angemeldete Personen der jeweiligen Feuerwehr sichtbar. Verantwortlich dafür ist die Feuerwehr, die sie erfasst.

Öffentliche Übungslinks. Eine Feuerwehr kann eine Übung als öffentlichen Link freigeben. Wer diesen Link kennt, sieht die eingeteilten Personen ohne Login — standardmässig abgekürzt (Vorname und erster Buchstabe des Nachnamens). Die Feuerwehr kann zusätzlich freischalten, dass die vollen Namen erscheinen und dass die Profilbilder der eingeteilten Personen angezeigt werden; beides ist getrennt einstellbar und standardmässig aus. Die verantwortliche Person der Übung wird immer mit Namen genannt.

Anmeldung und Sicherheit

Für die Anmeldung in der App bearbeiten wir die folgenden Daten. Sie liegen bei Supabase in der Schweiz, in einem eigenen Bereich der Datenbank, der nicht über deren öffentliche Schnittstelle zugänglich ist.

• Passwort: Wenn Sie ein Passwort festlegen, speichern wir nur einen Hash davon (Verfahren Argon2id, mit einem eigenen Zufallswert je Passwort), nie das Passwort selbst. Es hat mindestens 12 und höchstens 128 Zeichen.
• Passkeys: Wenn Sie einen Passkey einrichten, speichern wir seinen öffentlichen Schlüssel, die Kennung des Passkeys, einen Namen (optional) und Angaben zum Passkey: die Geräteart (einzelnes Gerät oder auf mehreren Geräten synchronisiert), ob er gesichert ist, die Übertragungswege und das Modell des Authentikators. Der private Schlüssel verlässt Ihr Gerät nie. Die Anmeldung verlangt die Bestätigung am Gerät mit PIN, Fingerabdruck oder Gesicht.
• Zweiter Faktor (freiwillig): Wenn Sie eine Authenticator-App einschalten, speichern wir deren Geheimnis und Ihre Backup-Codes verschlüsselt, dazu die Zahl der Fehleingaben und eine allfällige Sperrzeit. Wählen Sie «Diesem Gerät 30 Tage vertrauen», legen wir dafür einen Eintrag mit der Kennung Ihres Kontos an und setzen ein Cookie. Auf einem gemeinsamen Gerät gibt es diese Wahl nicht.
• E-Mail-Code: Für die Anmeldung ohne Passkey oder Passwort, den Nachweis Ihrer E-Mail-Adresse und die Wiederherstellung schicken wir Ihnen einen sechsstelligen Code. Er gilt zehn Minuten und erlaubt drei Fehlversuche. Wir speichern nur einen Hash des Codes, zusammen mit Ihrer E-Mail-Adresse und der Zahl der Versuche. Bis die E-Mail versendet ist, liegt der Code in der Versandwarteschlange; danach wird er dort entfernt.
• Sitzungen und Geräteliste: Mit jeder Anmeldung legen wir eine Sitzung an: mit einem Sitzungskennzeichen, Ihrer IP-Adresse und der Browserangabe (User-Agent) zum Zeitpunkt der Anmeldung, den Zeitpunkten von Anmeldung und letzter Aktivität, der Art der Anmeldung und der Angabe, ob Sie «Gemeinsames Gerät» gewählt haben. Unter «Anmeldung & Sicherheit» sehen Sie Ihre angemeldeten Geräte mit Browser, Betriebssystem und letzter Aktivität und melden einzelne oder alle anderen Geräte ab. Die IP-Adresse zeigen wir dort nicht an, und die App wertet sie nicht aus. Eine Sitzung endet 60 Tage nach der letzten Nutzung, auf einem gemeinsamen Gerät 12 Stunden nach der Anmeldung.
• Anmeldeprotokoll: Bei jeder Anmeldung, jedem fehlgeschlagenen Anmeldeversuch, jeder Abmeldung und jedem Beenden einer Sitzung auf einem anderen Gerät speichern wir den Zeitpunkt, die Art der Anmeldung, die vollständige IP-Adresse und die Browserkennung, ausser bei fehlgeschlagenen Versuchen auch die Benutzerkennung. Zu fehlgeschlagenen Versuchen speichern wir keine E-Mail-Adresse. Wir nutzen diese Angaben, um Missbrauch und unberechtigte Zugriffe auf Konten zu erkennen und nachzuweisen. Die Einträge werden nach 365 Tagen automatisch gelöscht.
• Zähler gegen Missbrauch: Um das Erraten von Passwörtern und Codes zu begrenzen, zählen wir die Anfragen an die Anmeldung je IP-Adresse und Pfad sowie die Versuche je E-Mail-Adresse (Code-Versand, Passwort-Anmeldung, Passwort festlegen), auch für Adressen ohne Konto. Ein Zähler enthält die IP-Adresse oder einen mit einem geheimen Schlüssel gebildeten Hash der E-Mail-Adresse (nie die Adresse selbst), die Zahl der Versuche und den Zeitpunkt des letzten.
• Letzte Anmeldung: Den Zeitpunkt Ihrer letzten Anmeldung speichern wir zu Ihrem Konto. Die Administratorinnen und Administratoren Ihrer Organisation sehen ihn in der Mitgliederliste, damit sie erkennen, wer die App noch nutzt.
• Anmeldung einrichten: Wenn Sie die Aufforderung «Anmeldung einrichten» mit «Später» wegklicken, speichern wir Zeitpunkt und Zahl der Wegklicks, damit wir sie nicht bei jedem Öffnen zeigen.

Prüfung auf bekannte Datenlecks. Beim Festlegen, Ändern und Zurücksetzen eines Passworts prüft unser Server, ob es in bekannten Datenlecks vorkommt (Pwned Passwords, ein Dienst von «Have I Been Pwned»). Dazu berechnet er die SHA-1-Prüfsumme des Passworts und sendet nur deren ersten fünf Zeichen an den Dienst. Der Dienst antwortet mit allen bekannten Fortsetzungen dazu; den Vergleich macht unser Server. Weder das Passwort noch Ihre E-Mail-Adresse noch eine Kennung gehen an den Dienst, und die Anfrage kommt von unserem Server, nicht von Ihrem Gerät. Ist der Dienst nicht erreichbar, nehmen wir das Passwort an und melden den Ausfall intern.

Zwecke der Bearbeitung

• Bereitstellung und Betrieb der Website und der App
• Login und Kontoverwaltung
• Kommunikation: Einladungen, Termin-Benachrichtigungen, Antworten auf Anfragen
• Produktverbesserung und Fehlerdiagnose
• Sicherheit und Missbrauchsvermeidung (z. B. Begrenzung von Anmeldeversuchen, Prüfung von Passwörtern auf bekannte Datenlecks)

Statistik, Produkt-Analyse und Cookies

Auf der Website nutzen wir Plausible Analytics: cookielos, ohne persönliche Profile, gehostet in der EU.

In der App nutzen wir PostHog (EU-Cloud). Damit erfassen wir, wie die App genutzt und wo sie fehlerhaft ist. Konkret:

• Seitenaufrufe sowie Klicks und Interaktionen. Seit 30. September 2026 erfassen wir dabei nur, dass und wo geklickt wurde — nicht den Text oder Inhalt des angeklickten Elements, also etwa keine Namen aus einer Liste.
• Fehlermeldungen des Browsers sowie Angaben zu Ladezeiten und Netzwerkaufrufen.
• Auswertungen darüber, wo auf einer Seite geklickt wird (Klickverteilung).
• Die technische Kennung Ihres Kontos und die Kennung Ihrer Organisation, damit die erfassten Ereignisse Ihrem Konto zugeordnet werden können — nicht Ihre E-Mail-Adresse.
• Anmeldeereignisse, serverseitig und ohne Bezug zu einer Person: ob eine Anmeldung gelungen ist und auf welchem Weg (Code, Passwort, Passkey, Authenticator-App), welcher Schritt einer Anmeldung mit welchem Fehlercode gescheitert ist und welche Art von Zugang (Passwort, Passkey, zweiter Faktor) eingerichtet wurde. Diese Ereignisse tragen weder eine Kennung Ihres Kontos noch Ihre E-Mail-Adresse noch Ihre IP-Adresse.

Sitzungsaufzeichnungen sind seit 5. September 2026 abgeschaltet.

Diese Auswertung dient unserer eigenen Produktentwicklung und Fehlerbehebung, nicht der Werbung und nicht der Bewertung einzelner Personen. Wenn Sie das nicht möchten, können Sie die Ausführung dieser Skripte in Ihrem Browser blockieren (z. B. per Content-Blocker) — die App bleibt vollständig nutzbar.

Cookies setzt die App nur für ihren eigenen Betrieb: für Anmeldung und Sitzung, für den Zwischenschritt einer Anmeldung mit zweitem Faktor, für die gewählte Organisation, für den Hinweis zur Installation und, wenn Sie es wählen, für «Gemeinsames Gerät» und «Diesem Gerät 30 Tage vertrauen». Hinzu kommt das Cookie «__cf_bm» von Cloudflare: Der Dienst liegt vor der Datenbank bei Supabase und setzt es bei Anfragen der App an Supabase; es dient der Bot-Erkennung. Im Speicher des Browsers legt die App zudem die E-Mail-Adresse und den Weg (Code, Passwort oder Passkey) Ihrer letzten Anmeldung ab, um das Anmeldeformular vorzubereiten — auf einem gemeinsamen Gerät nicht —, dazu Ansichtseinstellungen, Entwürfe und Hinweise; PostHog legt dort für die Dauer eines Tabs eine zufällige Kennung ab. Diese Angaben bleiben auf Ihrem Gerät; Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen. Es gibt kein Werbetracking und keine Weitergabe zu Werbezwecken.

Hosting und Auftragsbearbeiter

Wir setzen folgende Dienstleister ein, die Personendaten in unserem Auftrag bearbeiten:

• Supabase — Datenbank, Konten und Anmeldedaten sowie Dateiablage der App. Die Kerndaten liegen in der Schweiz (AWS Zürich). (Schweiz · Anbieterin Supabase Inc., USA; Standardvertragsklauseln mit Schweizer Zusatz)
• Netlify — Hosting und Auslieferung der Website und der App. (EU (Frankfurt) · Anbieterin Netlify Inc., USA; Swiss–U.S. Data Privacy Framework)
• Infomaniak — Versand von System-E-Mails (z. B. Anmeldecodes, Einladungen). (Schweiz · Anbieterin Infomaniak Network SA, Genf; kein Auslandtransfer)
• Plausible Analytics — Cookielose Statistik der Website (nicht der App), nur aggregierte Zahlen. (EU (Estland/Deutschland); EU/EWR — angemessenes Datenschutzniveau)
• PostHog — Produkt-Analyse und Fehlerdiagnose in der App, ohne Sitzungsaufzeichnungen. (EU-Cloud · Anbieterin PostHog Inc., USA; Swiss–U.S. Data Privacy Framework)
• Apple — Zustellung von Push-Mitteilungen an Safari und an die installierte App auf iPhone, iPad und Mac. (USA · Apple Inc.; Swiss–U.S. Data Privacy Framework)
• Google — Zustellung von Push-Mitteilungen an Chrome und an Android-Geräte. (USA · Google LLC; Swiss–U.S. Data Privacy Framework)
• Mozilla — Zustellung von Push-Mitteilungen an Firefox. (USA · Mozilla Corporation; Standardvertragsklauseln)
• Microsoft — Zustellung von Push-Mitteilungen an Microsoft Edge. (USA · Microsoft Corporation; Swiss–U.S. Data Privacy Framework)

Zu den Push-Diensten. Welcher dieser vier Dienste eine Mitteilung zustellt, ergibt sich allein aus dem Browser, den Sie verwenden — wir wählen ihn nicht aus. Der Inhalt einer Push-Mitteilung ist verschlüsselt; entschlüsseln kann ihn nur Ihr eigener Browser, nicht der Push-Dienst. Diesem sind die Adresse Ihres Geräts, der Zeitpunkt und die Grösse der Übermittlung bekannt. Schalten Sie Push nicht ein, findet gar keine Bearbeitung durch diese Dienste statt.

Bekanntgabe ins Ausland

Die Kerndaten der App liegen in der Schweiz. Einzelne Dienstleister bearbeiten Daten in der EU/im EWR (angemessenes Datenschutzniveau) und in den USA. Welche Garantie für welchen Dienstleister gilt, steht oben in der Liste: entweder die Zertifizierung unter dem Swiss–U.S. Data Privacy Framework oder die anerkannten Standardvertragsklauseln. Auch wenn Daten in der Schweiz oder in der EU gespeichert sind, kann ein Zugriff aus den USA nicht ausgeschlossen werden, wenn die Anbieterin dort ihren Sitz hat — dafür gelten dieselben Garantien.

Aufbewahrung

Wir bearbeiten Personendaten so lange, wie es für den Betrieb des Kontos bzw. der Organisation nötig ist oder gesetzliche Pflichten es verlangen. Übungs- und Organisationsdaten bleiben grundsätzlich erhalten, solange die Feuerwehr die App nutzt — sie sind der Zweck des Produkts. Anderes löschen wir automatisch nach Frist: das Protokoll versendeter System-E-Mails (Empfänger, Betreff, Zustellstatus) nach 30 Tagen, nicht angenommene Einladungen und Übungen im Papierkorb nach 90 Tagen, Benachrichtigungen nach 12 Monaten.

Anmeldedaten. Wer sich abmeldet, löscht die Sitzung dieses Geräts sofort. Eine nicht beendete Sitzung löschen wir 30 Tage nach ihrem Ablauf. Einträge für Codes, den Zwischenschritt der Anmeldung mit zweitem Faktor und das Gerätevertrauen löschen wir einen Tag nach ihrem Ablauf, die Zähler gegen Missbrauch einen Tag nach ihrer letzten Anfrage. Einträge im Anmeldeprotokoll löschen wir 365 Tage nach ihrer Entstehung. Passwort-Hash, Passkeys und Daten des zweiten Faktors bleiben, solange das Konto besteht; Passkeys und zweiten Faktor entfernen Sie unter «Anmeldung & Sicherheit» selbst.

Wird eine Organisation entfernt, wird sie zunächst ausgeblendet und ist nicht mehr erreichbar; die Daten bestehen im Hintergrund weiter. Endgültig gelöscht werden sie nach Vertragsende, spätestens 90 Tage danach, auf Wunsch der Feuerwehr früher; die Löschung bestätigen wir schriftlich. Für die Löschung eines Benutzerkontos oder eine Datenherausgabe melden Sie sich unterdatenschutz@brandmeister.app, wir setzen das um.

Zugriff durch uns

Für Support, Fehlerbehebung und Betrieb kann es nötig sein, dass wir Einblick in die Daten einer Organisation nehmen. Einen technischen Sonderzugang haben wir dafür nicht: Es gibt keine Berechtigung, die uns Zugriff auf beliebige Organisationen verschafft. Wo wir Einblick brauchen, erhalten wir von der Feuerwehr eine gewöhnliche Mitgliedschaft in ihrer Organisation, die sie jederzeit wieder entziehen kann. Der Zugriff ist auf das Nötige beschränkt, erfolgt anlassbezogen und ist vertraulich. Wir geben Daten nicht an Dritte weiter, ausser an die oben genannten Auftragsbearbeiter oder wenn wir gesetzlich dazu verpflichtet sind.

Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Personendaten sowie auf Berichtigung, Löschung und Datenherausgabe, soweit das DSG dies vorsieht. Wenden Sie sich dafür andatenschutz@brandmeister.app. Mitglieder einer Feuerwehr wenden sich für die von ihrer Feuerwehr erfassten Daten am besten direkt an diese; wir unterstützen die Feuerwehr bei der Umsetzung.

Änderungen dieser Erklärung

Das Produkt entwickelt sich weiter — diese Erklärung wird angepasst, wenn sich unsere Dienste oder Abläufe ändern. Es gilt die jeweils hier veröffentlichte Fassung.