Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Hannes Kugas
KUGIS
Erhard-Zethner-Weg 5
95336 Mainleus
Deutschland

Telefon: +49 162 1075324
E-Mail: info@kugis.io

2. Überblick der Datenverarbeitung

TACTIX EMS ist eine Plattform zur digitalen Einsatzprotokollierung für den Rettungsdienst. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist.

3. Hosting und Datenbank

Website, Anwendung und Datenbank werden auf einem dedizierten Server der Hostinger International Ltd. im Rechenzentrum Frankfurt am Main, Deutschland, betrieben. Die PostgreSQL-Datenbank, in der Benutzerkonten, Einsatzprotokolle und Patientendaten gespeichert werden, läuft ausschließlich auf demselben Server. Es findet keine Verarbeitung in Drittländern außerhalb des EWR statt.

Der Hoster erhebt in Server-Logfiles Informationen, die Ihr Browser automatisch übermittelt:

• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer URL (die zuvor besuchte Seite)
• Hostname des zugreifenden Rechners
• IP-Adresse
• Uhrzeit der Serveranfrage

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb).

4. Benutzerkonten und Registrierung

Bei der Registrierung eines Benutzerkontos erheben wir folgende Daten:

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert, bcrypt-Hash)
• Account-Typ (Personal / Organisation / Enterprise)
• Organisationszugehörigkeit (sofern zutreffend)
• Registrierungs-Zeitpunkt

Bei einem zahlungspflichtigen Tarif (Personal oder Self-Service-Organisation) werden zusätzlich gespeichert:

• Stripe-Customer-ID (zur Verknüpfung mit dem Zahlungsdienstleister)
• Stripe-Subscription-ID, Status, Trial-Ende, nächste Abbuchung
• Gewählter Tarif und Abrechnungsintervall (monatlich/jährlich)

Diese Daten werden zur Bereitstellung unserer Dienste und Erfüllung des Nutzungsvertrags verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

5. Einsatz- und Patientendaten

Im Rahmen der Einsatzprotokollierung werden folgende Daten verarbeitet:

• Einsatzdetails (Ort, Zeit, Art des Einsatzes, Stichwort)
• Eingesetzte Einsatzmittel und Kräfte (z. B. Funkrufnamen)
• Lagekarten, Markierungen und Standortdaten
• Pseudonymisierte Patientendaten (Alter, Geschlecht, Verletzungsmuster, Sichtungskategorie SK1–SK4, ggf. eine vom System generierte Patientennummer oder ein PZC-Code)

Pseudonymisierung: TactixEMS erfasst keine Namen, Geburtsdaten oder anderen unmittelbar identifizierenden Merkmale von Patienten. Eine Re-Identifikation durch Dritte ist auf Grundlage der gespeicherten Daten allein nicht möglich. Damit handelt es sich grundsätzlich um pseudonyme Daten, die nur in Verbindung mit zusätzlichem Wissen Dritter (z. B. Patienten- übergabe in der Klinik) einer natürlichen Person zugeordnet werden könnten.

Verantwortlichkeit: Die Verantwortung für die rechtmäßige Erhebung und Verarbeitung der Einsatz- und Patientendaten liegt bei der jeweiligen Organisation (Rettungsdienst, Sanitätsdienst, Katastrophenschutz) bzw. beim einzelnen Nutzer im Personal-Tarif. Der Anbieter agiert insoweit als Auftragsverarbeiter im Sinne von Art. 28 DSGVO; die Konditionen sind in unserem Auftragsverarbeitungsvertrag geregelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit im Einzelfall Daten der besonderen Kategorien gemäß Art. 9 DSGVO (z. B. Gesundheitsdaten) verarbeitet werden — etwa durch Freitext- Einträge der Nutzer — stützt sich die Verarbeitung zusätzlich auf Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) bzw. die landesrechtlichen Vorschriften zur medizinischen Einsatzdokumentation.

6. Cookies und Session-Daten

Wir verwenden technisch notwendige Cookies für folgende Zwecke:

• Session-Cookie: Zur Aufrechterhaltung Ihrer Anmeldung
• CSRF-Token: Zum Schutz vor Cross-Site-Request-Forgery
• Theme-Präferenz: Zur Speicherung Ihrer Anzeigeeinstellungen

Diese Cookies sind für den Betrieb der Website erforderlich und werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gesetzt. Sie können Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden.

Wir verwenden keine Tracking- oder Marketing-Cookies.

7. Drittanbieter-Dienste

OpenStreetMap

Für die Kartendarstellung nutzen wir OpenStreetMap (OSM). Bei der Nutzung der Lagekarte werden Kartenkacheln von OSM-Servern geladen. Dabei wird Ihre IP-Adresse an die OpenStreetMap Foundation übertragen. Weitere Informationen: OSM Privacy Policy

Nominatim (Geocoding)

Für die Adresssuche nutzen wir den Nominatim-Dienst von OpenStreetMap. Bei einer Adresssuche wird die eingegebene Adresse an Nominatim übertragen.

8. Zahlungsabwicklung (Stripe)

Für kostenpflichtige Tarife (Personal und Self-Service-Organisation) nutzen wir den Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ("Stripe"). Stripe ist ein Auftragsverarbeiter im Sinne von Art. 28 DSGVO, soweit Daten unmittelbar in unserem Auftrag verarbeitet werden; im Übrigen ist Stripe als eigener Verantwortlicher zu betrachten (Stripe Services Agreement, einsehbar unter stripe.com/de/legal/ssa).

Übermittelte Daten

Beim Abschluss eines Abonnements werden folgende Daten an Stripe übermittelt:

• Name, E-Mail-Adresse, Rechnungsadresse
• Zahlungsdaten (Kreditkartendaten, IBAN o. Ä.) — diese geben Sie direkt im Stripe-Checkout ein und werden zu keinem Zeitpunkt von uns gespeichert
• USt-ID (nur bei Organisations-Tarif zur Reverse-Charge-Abwicklung)
• IP-Adresse (zur Steuer-Lokalisierung über Stripe Tax und zur Betrugsprävention über Stripe Radar)
• Browser- und Geräte-Informationen (zur Betrugsprävention)

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bezahlung des Abonnements) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtungen aus § 14 UStG zur Rechnungsstellung und § 147 AO zur Aufbewahrung).

Drittlandtransfer

Stripe verarbeitet Zahlungsdaten primär in der EU/EWR (Stripe Europe). Eine Übermittlung an die Stripe Inc. in den USA kann zur Erfüllung des Vertrags erforderlich sein. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Stripe-Datenschutzerklärung

Weitere Informationen zur Datenverarbeitung durch Stripe: stripe.com/de/privacy

9. Lokaler Speicher (Offline-Modus)

TactixEMS funktioniert auch ohne Internetverbindung (Progressive Web App, native iOS- und Android-App). Hierfür werden Daten im lokalen Speicher Ihres Endgeräts abgelegt:

• IndexedDB / SQLite (native): Einsatzdaten, Patientendaten, Stammdaten der Organisation, Sitzungs-Token (JWT), zwischen- gespeicherte Karten-Kacheln
• Service-Worker / Cache-API: Statische App-Ressourcen (HTML, CSS, JavaScript, Bilder) zur Offline-Nutzung
• localStorage: Theme-Präferenz, Spracheinstellung, zuletzt genutzte UI-Optionen

Die Speicherung erfolgt ausschließlich auf Ihrem Endgerät. Eine Übermittlung an uns oder Dritte findet nur durch die normale Synchronisation mit unserem Server statt. Beim Logout werden personenbezogene Daten aus dem lokalen Speicher entfernt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderliche technische Speicherung zur Bereitstellung der vom Nutzer ausdrücklich gewünschten Funktion). Eine Einwilligung ist nicht erforderlich, da die lokale Speicherung essenziell für die Offline-Funktion ist.

8. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen Manipulation, Verlust oder unberechtigten Zugriff zu schützen:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Verschlüsselte Passwort-Speicherung (bcrypt)
• Rollenbasierte Zugriffskontrolle
• Regelmäßige Sicherheitsupdates

9. Demo-Anfragen über das Demo-Formular

Wenn Sie über unser Demo-Formular auf der Website eine Demo-Anfrage stellen, verarbeiten wir die von Ihnen angegebenen Daten zur Bearbeitung Ihrer Anfrage und zur Kontaktaufnahme.

• E-Mail-Adresse
• Name der Organisation
• Zeitpunkt der Anfrage
• Technische Browser-Informationen wie User-Agent
• Optional: Quelle der Anfrage, z. B. UTM-Parameter

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) — die Daten werden zur Bearbeitung Ihrer Demo-Anfrage, zur Kontaktaufnahme sowie zur zugehörigen organisatorischen Nachverfolgung verwendet.

Zweckbindung: Ihre Daten werden nicht für Werbezwecke oder Newsletter verwendet, sofern Sie nicht gesondert eingewilligt haben.

Speicherdauer: Demo-Anfragen werden spätestens 12 Monate nach Abschluss des Kontakts gelöscht, sofern kein Vertragsverhältnis entstanden ist.

10. Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur solange, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist:

• Benutzerkonto: Bis zur Löschung des Kontos. Nach Kontolöschung: 30 Tage Aufbewahrung (Wiederherstellbarkeit), danach vollständige Löschung außer steuerrechtlich relevanten Daten.
• Einsatzprotokolle: Gemäß den gesetzlichen Aufbewahrungsfristen für medizinische Dokumentation (in der Regel 10–30 Jahre je nach Bundesland). Verantwortlich für die Einhaltung ist die jeweilige Organisation.
• Rechnungen und steuerrelevante Vertragsdaten: 10 Jahre gemäß § 147 Abs. 1 Nr. 4 AO bzw. § 14b UStG. Die Speicherung erfolgt sowohl bei uns als auch bei Stripe (steuerrechtliche Pflicht).
• Sonstige Vertragsdaten: Bis 3 Jahre nach Vertragsende (regelmäßige Verjährungsfrist nach § 195 BGB).
• Demo-Anfragen: 12 Monate nach Abschluss des Kontakts
• Server-Logs: 7 Tage

11. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format anfordern.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@kugis.io

12. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Zuständige Aufsichtsbehörde:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienste anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: April 2026

Weitere Informationen

Ergänzend gelten unsere Allgemeinen Geschäftsbedingungen sowie die Widerrufsbelehrung für Verbraucherinnen und Verbraucher.