AnmeldenKostenlos starten ↗
BLAULICHTWERK / RECHTLICHES

Datenschutz

Verantwortlicher und Kontakt

Denis Rüby
Einhardstraße 45
36039 Fulda
Deutschland

E-Mail: [email protected]

Stand: 28. Oktober 2026

Der Schutz deiner personenbezogenen Daten ist uns wichtig. Hier erfährst du, welche Daten bei der Nutzung von Blaulichtwerk verarbeitet werden, wofür wir sie benötigen und welche Rechte du hast. Bei Fragen zum Datenschutz erreichst du uns über die oben genannte Kontaktadresse.

1. Geltungsbereich und Verantwortlichkeiten

Diese Datenschutzerklärung gilt für die Website von Blaulichtwerk, den Kunden- und Betreiberbereich sowie die von uns gehosteten Department-Portale und Desktops. Personenbezogene Daten sind Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen, zum Beispiel ein Name, eine E-Mail-Adresse oder eine IP-Adresse. Für den Betrieb der zentralen Plattform ist Denis Rüby verantwortlich; die vollständigen Kontaktdaten findest du oben.

Betreibt ein Kunde ein eigenes Department, kann er für die dort erhobenen Daten und deren Nutzung selbst verantwortlich sein. Dazu zählen beispielsweise Mitarbeiterverwaltung, Bewerbungen und Ausbildungsunterlagen. Bei Fragen zu solchen Inhalten kannst du dich auch an die jeweilige Department-Leitung wenden. Verarbeiten wir diese Daten ausschließlich im Auftrag des Department-Betreibers, sind die Aufgaben und Datenschutzpflichten in einer gesonderten Vereinbarung zur Auftragsverarbeitung zu regeln.

2. Website-Aufruf, Hosting und Sicherheit

Wenn du unsere Website aufrufst, werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu gehören insbesondere deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse einschließlich übermittelter Parameter, Browser und Betriebssystem, übertragene Datenmenge sowie der Verbindungsstatus. Je nach Browsereinstellung kann auch die zuvor besuchte Seite übermittelt werden. Wir benötigen diese Daten, um die Website bereitzustellen, technische Fehler zu erkennen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform. Auch gekürzte oder als Prüfsumme gespeicherte Kennungen können weiterhin personenbezogen sein.

Serveranbieter IONOS

IONOS (vom Betreiber als Serveranbieter benannt). Bei einem Vertrag mit IONOS SE: Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Vertragspartner und tatsächlicher Serverstandort sind anhand des Vertrags zu bestätigen.

IONOS-Datenschutzhinweise · IONOS-Auftragsverarbeitung. Angaben über den eigenen IONOS-Webauftritt ersetzen keine Angaben zur Konfiguration unseres Servers.

3. Cloudflare als Proxy und Website-Schutz

Cloudflare ist vor den Server geschaltet. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Anfragen laufen über dieses Netzwerk; dabei können Verbindungs-, Anfrage- und Sicherheitsdaten verarbeitet werden. Das kann bei verschlüsselten Verbindungen auch die am Proxy verarbeiteten Anfragen betreffen. Zweck sind Auslieferung, Verfügbarkeit und Missbrauchsschutz; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Eine Verarbeitung in den USA oder anderen Drittländern ist möglich. Cloudflare beschreibt in seinem Auftragsverarbeitungszusatz Übermittlungen auf Grundlage des EU-US Data Privacy Framework sowie Standardvertragsklauseln für erfasste Drittlandübermittlungen. Welche Grundlage den konkreten Einsatz trägt, muss anhand des gültigen Vertrags, der betroffenen Empfänger und des tatsächlichen Dienstumfangs bestätigt werden. Eine reine EU-Verarbeitung oder ein bestimmtes Schutzniveau wird hier nicht ungeprüft zugesichert.

Noch zu ergänzen: tatsächlich aktivierte Cloudflare-Funktionen und Sicherheitscookies, Protokollfristen, Auftragsverarbeitungsvereinbarung und anwendbare Drittland-Transfergrundlage.

Cloudflare-Datenschutzhinweise · Cloudflare-Auftragsverarbeitung und Transferregelungen · Informationen zu Cloudflare-Cookies.

4. Registrierung, Anmeldung und Kundenverwaltung

Wenn du ein Konto erstellst, verarbeiten wir deinen Namen und deine E-Mail-Adresse. Dein Passwort wird als Hash gespeichert. Zusätzlich verwalten wir deine Konto-ID, Anmelde- und Sicherheitsinformationen, gebuchte oder zugewiesene Pakete, Department-Zuordnungen und Zugriffsrechte. So können wir dir dein Konto bereitstellen und die vereinbarten Funktionen ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Sicherheitskontrollen und die Protokollierung administrativer Änderungen dienen dem Schutz der Konten und beruhen auf Art. 6 Abs. 1 Buchst. f DSGVO.

Pflichtangaben sind für den jeweiligen Zugang erforderlich; ohne sie können wir das Konto nicht bereitstellen. Die Nutzung des öffentlichen Informations- und Partnerbereichs benötigt kein Konto. Eine allgemeine Werbeeinwilligung ist keine Voraussetzung der Registrierung.

5. Departments, Mitarbeiterkonten und Inhalte

In den Systemen können unter anderem Anzeigenamen, E-Mail-Adressen, Rollen und Dienstgrade, Mitgliedschaften, Ausbildungsstände, Prüfungsergebnisse, Zertifikate, Bewerbungen, Terminangaben, Nachrichten und hochgeladene Unterlagen verarbeitet werden. Welche Funktionen genutzt werden, bestimmt die jeweilige Konfiguration. Plattform- und Department-Konten sind technisch getrennt. Berechtigte Department-Verwalter und Plattformbetreiber erhalten im vorgesehenen Umfang Zugriff; Betreiberzugriffe und Verwaltungsaktionen werden protokolliert.

Wir verarbeiten diese Daten für die vereinbarte Bereitstellung und Administration. Für eigene Plattformzwecke gelten je nach Zweck Art. 6 Abs. 1 Buchst. b oder f DSGVO. Soweit ein Department personenbezogene Angaben zu anderen Personen erhebt oder einträgt, muss es die dafür geltende Rechtsgrundlage und die Informationspflichten, gegebenenfalls nach Art. 14 DSGVO, selbst klären. Eine Bezeichnung als Roleplay-Datum schließt Personenbezug nicht aus. Reale medizinische Daten sind kein vorgesehener Zweck des LSMD-Systems.

6. Kontakt, Partner und Paket-Anfragen

Wenn du uns kontaktierst oder ein Paket anfragst, verarbeiten wir deine Kontaktdaten, den Inhalt deiner Nachricht und gegebenenfalls das zugehörige Produkt oder Department. Im Kundenbereich speichern wir außerdem den Bearbeitungsstatus, damit du den Verlauf deiner Anfrage verfolgen kannst. Bezieht sich deine Nachricht auf einen Vertrag oder dessen Vorbereitung, ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Andere Anfragen beantworten wir auf Grundlage unseres berechtigten Interesses an der Kommunikation nach Art. 6 Abs. 1 Buchst. f DSGVO. Bitte übermittle nur die Angaben, die für dein Anliegen erforderlich sind.

Informationen und Logos unserer Partner werden auf unseren eigenen Servern bereitgestellt. Durch das bloße Anzeigen dieser Inhalte wird keine Verbindung zu den Websites der Partner hergestellt. Wenn du einen externen Link öffnest, verbindet sich dein Browser mit dem jeweiligen Anbieter. Für die dortige Verarbeitung personenbezogener Daten gelten dessen Datenschutzhinweise. E-Mail-Links öffnen dein eingerichtetes Mailprogramm. Eine Nachricht wird erst versendet, wenn du sie selbst abschickst.

7. System-E-Mails und Wiederherstellung des Zugangs

Wir senden dir erforderliche Systemnachrichten, etwa zur Registrierung, zum Status deiner Anfrage oder zum Zurücksetzen deines Passworts. Dafür verarbeiten wir deine E-Mail-Adresse und die für die jeweilige Nachricht notwendigen Inhalte. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für die Nutzung des Kontos und Art. 6 Abs. 1 Buchst. f DSGVO für dessen Sicherheit. Diese Nachrichten dienen dem Betrieb deines Zugangs; es handelt sich nicht um einen Newsletter.

Mailversand über mail.dyhnunity.network. Anbieter laut verlinktem Impressum: Raphael Wiener, c/o IP-Management #2011, Ludwig-Erhard-Str. 18, 20459 Hamburg. Die konkrete Zuordnung zum Maildienst, dessen Speicherorte und Löschfristen sind zu bestätigen.

Dyhnunity-Anbieterangaben · Dyhnunity-Datenschutzhinweise. Die allgemeinen Website-Hinweise des Anbieters belegen für sich allein noch keine konkreten Fristen oder Vereinbarungen für den SMTP-Dienst.

Versandaufträge werden anwendungsseitig verschlüsselt zwischengespeichert. Nach erfolgreichem Versand bzw. endgültigem Abschluss wird ihr gespeicherter Nachrichteninhalt im normalen Verarbeitungsablauf entfernt; Versandmetadaten verbleiben vorübergehend zur Fehlerklärung. Passwortlinks sind einmalig nutzbar und höchstens 30 Minuten gültig. Ein Versandfehler oder eine nicht angeforderte Rücksetzung ermächtigt niemanden, dein bestehendes Passwort zu erfahren.

8. Cookies und lokale Speicherung

Die öffentlichen Informationsseiten starten von sich aus keine PHP-Anmeldesitzung. Im Kunden-, Betreiber- und Department-Bereich werden Sitzungscookies zur Anmeldung und zum Schutz von Formularen verwendet. Zusätzlich können folgende Speicherungen auftreten:

  • Zentrale Sitzung: pd_system_session, grundsätzlich als Browser-Sitzungscookie. Eine zentrale Anmeldung endet anwendungsseitig spätestens nach zwölf Stunden; bei Inaktivität nach zwei Stunden im Kundenbereich bzw. 30 Minuten im Betreiberbereich.
  • Department-Sitzung: ein installationsbezogener Cookie mit Präfix pd_original_. Eigene Sitzungs- und Sicherheitsregeln gelten zusätzlich.
  • Angemeldet bleiben: bei bewusst gewählter Funktion ein installationsbezogener Cookie mit Präfix pd_remember_, regelmäßig mit maximal 30 Tagen Laufzeit; Abmeldung oder Widerruf kann ihn vorher ungültig machen.
  • Cookie-Hinweis: pd_privacy_notice_v1 im lokalen Browserspeicher berücksichtigt die Bestätigung dieses Hinweises für 180 Tage. Ein abgelaufener Eintrag wird beim nächsten Aufruf entfernt; du kannst ihn jederzeit im Browser löschen. Die Bestätigung ist keine Einwilligung in Werbung oder Tracking.
  • Darstellung: Die Auswahl des Farbmodus wird unter bw_theme_v1 im lokalen Browserspeicher gespeichert, sobald du zwischen Dark und Light wechselst. Ohne Auswahl gilt Dark. Der Eintrag bleibt bis zum Ändern oder Löschen des Browserspeichers bestehen. Portale und Desktops können Menü-Zustand, angeheftete Anwendungen, Fenster-/Symbolpositionen und persönliche Anzeigeeinstellungen lokal speichern. Diese Angaben können eine interne Konto-ID enthalten und bleiben grundsätzlich bis zum Zurücksetzen oder Löschen des Browserspeichers bestehen.
  • Cloudflare: abhängig von aktivierten Sicherheitsfunktionen können zusätzliche Sicherheits- oder Prüf-Cookies gesetzt werden. Die konkret eingesetzten Cookies und Laufzeiten müssen in den Cloudflare-Betriebsangaben benannt werden.

Für unbedingt erforderliche Speicherung bzw. Zugriffe auf das Endgerät kommt § 25 Abs. 2 Nr. 2 TDDDG in Betracht; die anschließende Verarbeitung richtet sich nach der jeweiligen DSGVO-Rechtsgrundlage. Für darüber hinausgehende, einwilligungspflichtige Speicherungen ist vorab eine wirksame Einwilligung nötig. Ob einzelne Personalisierungsfunktionen unter die Ausnahme fallen, ist anhand ihrer tatsächlichen Erforderlichkeit zu prüfen. Cookies und lokale Daten kannst du in deinem Browser löschen; dadurch können Anmeldungen und persönliche Einstellungen verloren gehen.

9. Analyse, externe Inhalte und optionale Integrationen

Die zentrale Plattform enthält keine eingebauten Werbe- oder Analysedienste und keine extern geladenen Partner-Widgets. Damit wird keine Aussage über unbekannte Hosting-Einstellungen oder zusätzlich aktivierte Cloudflare-Funktionen getroffen. Department-Systeme bieten optional unter anderem Discord-Anbindungen, Google-Sheets-Synchronisation und externe Browser-/Dienst-Verknüpfungen. Bei Aktivierung können die konkret gewählten Kontokennungen, Rollen, Nachrichten, Personal- oder Ausbildungsangaben an diese Empfänger übertragen werden.

Noch zu bestätigen: keine weiteren Dienste aktiv, oder vollständige Angaben zu eingesetzten Integrationen, Daten, Empfängern, Rechtsgrundlagen, Einwilligungen und Drittlandübermittlungen.

Eine aktivierte Integration benötigt vor ihrer Nutzung passende zusätzliche Informationen und gegebenenfalls Einwilligungen sowie Datenschutzvereinbarungen. Die bloße Aufnahme dieser Möglichkeit in die Erklärung erlaubt keine beliebige Weitergabe von Daten.

10. Empfänger und Verarbeitung außerhalb des EWR

Empfänger können die eingesetzten Server-, Sicherheits- und Maildienstleister, berechtigte Administratoren sowie bei entsprechenden Pflichten öffentliche Stellen oder zur Anspruchsprüfung eingeschaltete Berater sein. Auftragsverarbeiter sind nach Art. 28 DSGVO vertraglich einzubinden, soweit die Voraussetzungen vorliegen. Ein Vertragsschluss oder eine ausschließlich europäische Datenverarbeitung wird ohne Prüfung der tatsächlichen Vereinbarungen nicht behauptet. Für Übermittlungen in Drittländer sind zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO zu beachten.

11. Speicherdauer, Löschung und Sicherungen

Wir speichern personenbezogene Daten so lange, wie sie für den jeweiligen Zweck benötigt werden. Bei Konten und Department-Inhalten richtet sich dies insbesondere nach der Dauer des Nutzungsverhältnisses. Entfällt der Zweck, sind die Daten zu löschen, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe zur Sicherung von Rechtsansprüchen entgegenstehen. Solche Ausnahmen betreffen nur die dafür erforderlichen Daten, nicht automatisch sämtliche Kontoinhalte.

  • Passwortlinks verlieren spätestens nach 30 Minuten ihre Nutzbarkeit. Abgelaufene Rücksetzdatensätze werden im Mailverarbeitungsablauf nach weiterer Übergangsfrist von etwa einem Tag bereinigt.
  • Abgeschlossene Versandprotokolle werden im normalen Mailverarbeitungsablauf nach 30 Tagen bereinigt. Die tatsächliche Ausführung hängt von Seitenaufrufen bzw. dem eingerichteten Mail-Worker ab.
  • Einträge zur Begrenzung zentraler Fehlversuche werden bei weiteren entsprechenden Aufrufen nach Ablauf ihres 15-Minuten-Fensters bereinigt. Department-Sicherheitsereignisse sind in der aktuellen Anwendung zur wiederkehrenden Bereinigung nach 30 Tagen vorgesehen.
  • Für Betreiberprotokolle und privat archivierte Department-Dateien besteht in der aktuellen Anwendung keine allgemeine automatische Löschfrist. Diese Daten und Backups müssen nach einem tatsächlich umgesetzten Löschkonzept geprüft und entfernt werden; eine Löschung über die Department-Oberfläche allein vernichtet nicht sämtliche Sicherungskopien.

Noch zu ergänzen: umgesetzte Fristen für Hosting-/Cloudflare-/SMTP-Protokolle, Kontakt- und Anfragedaten, Betreiberprotokolle, Konten, Department-Archive und Backups sowie Löschverantwortlichkeiten.

12. Deine Rechte

Nach Maßgabe der DSGVO stehen dir folgende Rechte zu:

  • Auskunft: Du kannst erfahren, ob und welche personenbezogenen Daten wir über dich verarbeiten (Art. 15 DSGVO).
  • Berichtigung: Unrichtige Daten kannst du berichtigen und unvollständige Daten ergänzen lassen (Art. 16 DSGVO).
  • Löschung und Einschränkung: Unter den gesetzlichen Voraussetzungen kannst du die Löschung deiner Daten oder eine Einschränkung ihrer Verarbeitung verlangen (Art. 17 und 18 DSGVO).
  • Datenübertragbarkeit: Soweit die gesetzlichen Voraussetzungen erfüllt sind, kannst du die von dir bereitgestellten Daten in einem gängigen, maschinenlesbaren Format erhalten (Art. 20 DSGVO).
  • Widerruf: Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen. Die Verarbeitung vor dem Widerruf bleibt davon unberührt.
  • Widerspruch: Beruht die Verarbeitung auf berechtigten Interessen, kannst du aus Gründen deiner besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung kannst du jederzeit widersprechen (Art. 21 DSGVO).

Für die Ausübung deiner Rechte genügt eine Nachricht an die oben genannte E-Mail-Adresse. Falls es zur sicheren Zuordnung deiner Anfrage erforderlich ist, bitten wir dich um zusätzliche Angaben zur Bestätigung deiner Identität.

Du kannst dich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, etwa an deinem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für den Sitz in Hessen ist insbesondere erreichbar: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden; [email protected]; Beschwerdemöglichkeit beim HBDI.

13. Automatisierte Entscheidungen und Aktualisierungen

Der zentrale Plattformbetrieb enthält keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO. Technische Schutzsperren und automatisierte Auswertung von Roleplay-Ausbildungsprüfungen dienen den jeweils beschriebenen Funktionen. Ob anders konfigurierte Department-Verfahren weitergehende Informationen benötigen, beurteilt der dafür Verantwortliche. Diese Erklärung ist bei geänderten Funktionen, Dienstleistern oder Verarbeitungsvorgängen anzupassen.

Rechtsquellen: Datenschutz-Grundverordnung · § 25 TDDDG. Anbieterinformationen wurden am 28. Oktober 2026 geprüft; die Bestätigung der konkreten Verträge und Einstellungen bleibt erforderlich.