Datenschutzhinweise
Stand: 2. Oktober 2026
1. Verantwortliche Stelle
Thorsten Wengerter
Ludwig-Richter-Straße 4a
60433 Frankfurt am Main
E-Mail: kontakt@wilvaris.de
2. Aufruf der Website
Die Website wird über Firebase Hosting von Google bereitgestellt. Beim Abruf werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Browser-/Geräteangaben und Status der Antwort. Dies ist erforderlich, um die Website sicher und zuverlässig auszuliefern, Angriffe abzuwehren und Fehler zu untersuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb des Angebots.
WILVARIS entscheidet über Zwecke und Mittel der hier beschriebenen Verarbeitung und ist datenschutzrechtlich verantwortlich. Nach der Rollenbeschreibung von Firebase handeln Firebase-Kunden typischerweise als Verantwortliche und Google grundsätzlich als Auftragsverarbeiter. Für Firebase Paid Services ist die für EMEA ausgewiesene Vertragseinheit Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland; je nach Dienst können weitere Google-Unternehmen und Unterauftragsverarbeiter einbezogen sein. Firebase-Dienste können Daten abhängig vom einzelnen Dienst auch außerhalb der EU bzw. des EWR verarbeiten. Google stützt beschränkte Übermittlungen insbesondere auf anwendbare Angemessenheitsbeschlüsse und Standardvertragsklauseln. Weitere Informationen: Datenschutz und Sicherheit in Firebase und Firebase-Datenverarbeitungsbedingungen.
3. Firebase, Authentifizierung und Missbrauchsschutz
WILVARIS verwendet Firebase Authentication für persönliche Zugänge und für die technische, nicht persönliche Sitzung des öffentlichen MELDENDE-Zugangs. Dabei können technische Kennungen, Authentifizierungsdaten, IP-Adresse, Browser-/Geräteangaben und bei persönlichen Zugängen die E-Mail-Adresse verarbeitet werden. Firebase Authentication wird nach Angaben von Google ausschließlich in Rechenzentren in den USA betrieben.
Geschützte Backend-Aufrufe werden mit Firebase App Check und dessen unsichtbarem, score-basiertem reCAPTCHA-Enterprise-Provider gegen automatisierten Missbrauch abgesichert. Dabei können insbesondere IP-Adresse, User-Agent, Geräte-/Anwendungsdaten, Nutzerverhalten und Interaktionsmuster an Google übertragen und zur Risikobewertung verarbeitet werden. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Eingabewege und gespeicherten Daten. App Check und reCAPTCHA werden für die dafür vorgesehenen geschützten Funktionen eingesetzt. Google gibt an, die hierfür erhobenen Daten für Betrieb und Sicherheit, nicht für personalisierte Werbung zu verwenden. Hinweise von Google: App Check mit reCAPTCHA Enterprise, Datenschutzerklärung und Google-Cloud-Bedingungen.
4. Öffentlicher MELDENDE-Zugang über /m/<context>
Ein QR- oder Beobachtungslink enthält einen Orts- oder Projektkontext. Das bloße Öffnen des Links legt noch keine Beobachtung an. Erst nach einem bewussten Start wird eine technische, nicht persönliche Sitzung eingerichtet. Dabei werden eine zufällige technische Nutzerkennung, der Kontext, Zeitangaben und für die Zugriffskontrolle erforderliche Statusdaten verarbeitet.
Beim Absenden einer Beobachtung können folgende Angaben verarbeitet werden:
- Beschreibung und gewählte Einordnung der Beobachtung,
- freiwillige Fotos,
- freiwillige Standortdaten, wenn die Standortfreigabe aktiv erteilt wird,
- technische Zeit-, Versions-, Status- und Kontextdaten,
- optional eine E-Mail-Adresse, wenn eine Rückmeldung gewünscht wird.
Fotos und Freitext können Angaben zu anderen Personen enthalten. Bitte übermitteln Sie solche Inhalte nur, wenn dies für die Beobachtung erforderlich und rechtlich zulässig ist. Standortdaten und die Rückmelde-E-Mail sind freiwillig. Die Rückmelde-E-Mail wird über einen getrennten geschützten Übertragungsweg mit der Beobachtung verknüpft.
Die Verarbeitung der Beobachtung und der technischen Sitzungsdaten erfolgt zur Durchführung des von Ihnen gewünschten Meldevorgangs (Art. 6 Abs. 1 lit. b DSGVO) und zur sicheren, nachvollziehbaren Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Soweit eine freiwillige Rückmeldeadresse, Fotos oder ein genauer Standort nicht für den Meldevorgang erforderlich sind, beruht deren Verarbeitung auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.
5. Lokale Entwürfe, Offline-Warteschlange und Service Worker
Während der Eingabe kann der Browser einen Entwurf einschließlich Freitext, Fotos, Standort und optionaler Rückmelde-E-Mail lokal in IndexedDB speichern. Jeder gespeicherte Entwurf erhält eine Laufzeit von 24 Stunden. Ein abgelaufener Entwurf wird beim nächsten Zugriff auf die Anwendung bereinigt; deshalb erfolgt die tatsächliche lokale Löschung nicht zwingend exakt nach 24 Stunden.
Zur Übermittlung bestimmte Beobachtungen können bei fehlender Verbindung in einer getrennten lokalen Offline-Warteschlange verbleiben. Für diese Warteschlange gibt es keine automatische 24-Stunden-Löschung. Die Übertragung wird erneut versucht, wenn die Seite online und geöffnet ist; eine Übertragung bei vollständig geschlossenem Browser ist nicht garantiert. Ein Eintrag darf lokal nur dann verworfen werden, wenn nachweislich noch kein Übertragungsversuch begonnen hat und die Person dies ausdrücklich bestätigt. Nach einem möglichen Übertragungsbeginn bleibt die lokale Löschung gesperrt, solange der Serverzustand nicht eindeutig geklärt ist. Das Löschen einer lokalen Kopie löscht keine möglicherweise bereits serverseitig gespeicherten Daten.
Der Service Worker speichert ausschließlich für die Offline-Funktion erforderliche statische Anwendungsdateien. Die öffentliche Companion-App und Download-Dateien gehören nicht zum Offline-Cache.
Soweit § 25 TDDDG auf die lokale Speicherung oder den Zugriff auf Informationen im Endgerät anwendbar ist, erfolgen diese Vorgänge nur, soweit sie für die von Ihnen ausdrücklich aufgerufenen Entwurfs-, Offline- und Sitzungsfunktionen unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG).
6. Persönliche Einladungen und Mitwirkendenzugänge
Persönliche Zugänge werden nur nach individueller Einladung oder einer ausdrücklich gestellten Mitwirkendenanfrage eingerichtet. Dabei können Name, E-Mail-Adresse, Einladungs- und Aktivierungsstatus, Rollen, technische Kennungen und Zeitangaben verarbeitet werden. Während der E-Mail-Link-Anmeldung kann die E-Mail-Adresse bis zum Abschluss im sessionStorage des aktuellen Browser-Tabs liegen. Die Verarbeitung erfolgt zur Durchführung der angefragten Zusammenarbeit (Art. 6 Abs. 1 lit. b DSGVO) und zur sicheren Verwaltung von Berechtigungen (Art. 6 Abs. 1 lit. f DSGVO).
7. Speicherung, Übertragung und Löschung
- Lokale Entwürfe: 24 Stunden Laufzeit; Bereinigung beim nächsten Zugriff.
- Offline-Warteschlange: bis zur bestätigten Übertragung oder bis zu einem ausdrücklich erlaubten sicheren Verwerfen; keine automatische Frist.
- Serverseitige Beobachtungen und Medien: solange sie für Einordnung, Bearbeitung, Nachvollziehbarkeit oder vereinbarte Projektarbeit erforderlich sind. Danach werden sie gelöscht oder, soweit sinnvoll und rechtlich möglich, anonymisiert. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
- Optionale Rückmeldeadressen: bis die Rückmeldung bzw. zugehörige Bearbeitung abgeschlossen ist oder eine wirksame Einwilligung widerrufen wird, soweit keine vorrangige Aufbewahrungspflicht besteht.
- Persönliche Konten und Rollen: für die Dauer der Mitwirkung; bei Beendigung werden Zugang und personenbezogene Kontodaten nach Prüfung verbleibender Pflichten gelöscht oder gesperrt.
Eine Anfrage auf Löschung oder Datenübertragung kann unter kontakt@wilvaris.de gestellt werden. Zur sicheren Zuordnung können Rückfragen erforderlich sein. Bei einer technischen MELDENDE-Sitzung hilft – soweit noch vorhanden – die konkrete Beobachtungs- oder Kontextangabe. Eine Datenübertragung wird in einem gängigen, maschinenlesbaren Format bereitgestellt, soweit Art. 20 DSGVO anwendbar ist.
8. Empfänger und Speicherorte
Für das Webangebot werden Firebase Hosting, Firebase Authentication, Cloud Firestore, Cloud Storage for Firebase, Cloud Functions for Firebase sowie Firebase App Check mit reCAPTCHA Enterprise eingesetzt. Daten werden nur an Dienstleister und berechtigte Beteiligte weitergegeben, soweit dies für Betrieb, Sicherheit und die Bearbeitung der Beobachtung erforderlich ist. Medien werden in dem für WILVARIS eingerichteten EU-Medienbereich gespeichert; andere Firebase-Dienste können entsprechend ihren Produkteigenschaften global oder – wie Firebase Authentication – in den USA verarbeitet werden.
9. Ihre Rechte
Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren. Für WILVARIS ist insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit erreichbar: Postfach 3163, 65021 Wiesbaden; Dienstgebäude Wilhelmstraße 7, 65185 Wiesbaden; Online-Beschwerde.
10. Änderungen dieser Hinweise
Diese Hinweise werden angepasst, wenn sich Funktionen, eingesetzte Dienste oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.