Datenschutzerklärung

Version 2026-10 · in Kraft seit dem 7. Oktober 2026, ergänzt am 8. Oktober 2026 (Kartendienste, Modul Pikett) und am 9. Oktober 2026 (Modul Aktivitäten mit Ausgaben und Einnahmen, Luftbilder der Niederlande, Luxemburgs und Bayerns), neu formuliert am 11. Oktober 2026 (neutrale Sprache, ohne inhaltliche Änderung), ergänzt am 12. Oktober 2026 (Sprache des Kontos, deutsche und italienische Fassung, Kalender-Abo, Benachrichtigung bei neuem Gerät, geleakte Passwörter, Mindestalter, saisonales Logo)

Übersetzung aus dem Französischen. Bei Abweichungen zwischen den Sprachfassungen ist die französische Fassung massgebend.

Diese Erklärung legt dar, welche Personendaten echo118 bearbeitet, zu welchem Zweck und welche Rechte die betroffenen Personen haben. Sie stützt sich auf das schweizerische Bundesgesetz über den Datenschutz (DSG) und, für Personen in der Europäischen Union, auf die Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Marc Noorman, Renens (VD), Schweiz. Kontakt für alle Fragen zu Personendaten: contact@echo118.ch.

2. Bearbeitete Daten

Konto: Vorname oder Pseudonym, E-Mail-Adresse, gewählte Sprache (Französisch, Deutsch oder Italienisch), Passwort (nur als Hash gespeichert, nie lesbar), Version der akzeptierten Bedingungen und Datum der Registrierung. Bei aktivierter Zwei-Faktor-Authentisierung: deren geheimer Schlüssel und die Wiederherstellungscodes, verschlüsselt gespeichert.
Selbst erfasster Inhalt: Einsätze (Datum, Uhrzeit, Typ, Ort und Koordinaten, auf der Karte gesetzte Zeichnungen und kurze Texte, Ausgang, Dauer, Funktion, Fahrzeuge, Sold, Bemerkungen), Feuerwehren (mit Ein- und Austrittsdatum), Grade und Daten der Gradwechsel pro Feuerwehr, persönliche Listen und Einstellungen. Beim Import einer Datei wird deren Inhalt nur in Form der daraus erstellten Einsätze, Pikette oder Aktivitäten aufbewahrt; nur ihr Name und das Datum des Imports bleiben in der Liste der Importe, damit ein Import rückgängig gemacht werden kann. Mit «Aus einer Meldung ausfüllen» wird der eingefügte Text (SMS oder Alarm-E-Mail) nur auf dem Gerät gelesen: Er wird nie als solcher übermittelt. Was daraus erkannt wird (Typ, Ort, Feuerwehr, Fahrzeuge, Funktion und die als Bemerkung vorgeschlagene Beschreibung, aus der Zugangscodes und Telefonnummern entfernt werden), füllt das Formular aus, das vor dem Speichern wie jeder andere Einsatz geprüft und geändert werden kann. Die gewählten Zuordnungen werden im Konto gespeichert (ein kurzes Wort der Meldung, das mit einem Typ, einer Funktion, einem Fahrzeug oder einer Feuerwehr verknüpft ist, zum Beispiel «TP2 222» = das Fahrzeug «222»); sie lassen sich unter Profil > Typen und Funktionen löschen.
Pikett (freiwilliges Modul, nur wenn aktiviert): Daten und Zeiten der Pikette (Pikett- und Präsenzdienste) und der Vertretungen, Feuerwehr, Vorlage, Funktion, Sold, Bemerkung und, falls angegeben, die Initialen oder der Vorname der vertretenen oder vertretenden Kollegin bzw. des Kollegen. Die während eines Piketts eingegangenen Alarme werden allein durch den Vergleich der Uhrzeiten erkannt, ohne weitere Daten. Das Deaktivieren des Moduls blendet die Pikette aus, ohne sie zu löschen; sie werden mit dem Konto gelöscht.
Aktivitäten (freiwilliges Modul, nur wenn aktiviert): Übungen, Ausbildungen, Verstärkungen und andere Feuerwehraktivitäten: Typ, Titel, Daten und Zeiten (Einheiten oder Tage), Feuerwehr, Veranstalter (Ausbildungszentrum, andere Feuerwehr...), Übernachtung vor Ort oder nicht, Funktion, Fahrzeuge, erhaltene und bezahlte Beträge mit ihrer Bezeichnung, falls angegeben (z. B. «Benzin», «Essen», «Entschädigung»), erworbenes Zertifikat oder Brevet und dessen Ablaufdatum, Ort, Koordinaten und Zeichnungen (auf der Karte des Kontos angezeigt), Bemerkung. Das Deaktivieren des Moduls blendet die Aktivitäten aus, ohne sie zu löschen; sie werden mit dem Konto gelöscht.
Kalender-Abo (nur wenn ein Link erstellt wird): Name des Links, gewählter Inhalt (Einsätze, Pikette, Aktivitäten, mit oder ohne Details), Datum der Erstellung und Datum des letzten Abrufs durch den Kalender. Der geheime Link selbst wird nur als nicht lesbarer Hash gespeichert, wie ein Passwort.
Bekannte Geräte: Für jedes Gerät bzw. jeden Browser, mit dem bereits eine Anmeldung beim Konto erfolgte: Browser- und Systemtyp (z. B. «Chrome auf Windows»), Datum der ersten und der letzten Anmeldung sowie der Hash eines zufälligen technischen Cookies. Sie dienen nur dazu, per E-Mail über eine Anmeldung von einem noch unbekannten Gerät zu informieren; sie werden vergessen, wenn die anderen Geräte abgemeldet werden, wenn sich das Passwort ändert oder wenn die Zwei-Faktor-Authentisierung deaktiviert wird (höchstens 20 Geräte).
Technische Daten: IP-Adresse und Browsertyp im Zusammenhang mit den Anmeldesitzungen, begrenzte technische Protokolle für die Sicherheit (z. B. Begrenzung der Anmeldeversuche) sowie die üblichen Zugriffsprotokolle des Servers beim Hoster.

echo118 richtet sich an Personen ab 16 Jahren (Nutzungsbedingungen, Art. 2): Von jüngeren Personen werden nicht wissentlich Daten erhoben, und ein Konto, das nachweislich von einer Person unter 16 Jahren eröffnet wurde, wird gelöscht.

3. Zwecke

Erbringung des Dienstes: das persönliche Einsatzbuch jeder Nutzerin und jedes Nutzers führen und auf allen Geräten zugänglich machen.
Sicherheit: Schutz der Konten, Verhinderung von Missbrauch und Eindringversuchen (darunter die Benachrichtigung bei einer Anmeldung von einem neuen Gerät und die Ablehnung bereits geleakter Passwörter).
Mitteilungen zum Konto: Bestätigung der Adresse, Zurücksetzen des Passworts, wichtige Informationen zum Dienst.

echo118 zeigt keine Werbung, betreibt kein Profiling und verkauft oder vermietet keine Daten. Die Bearbeitung beruht auf der Vertragserfüllung (Nutzungsbedingungen) und, für die Sicherheit, auf einem berechtigten Interesse (Art. 6 Abs. 1 lit. b und f DSGVO für die betroffenen Personen).

4. Daten über andere Personen

echo118 ist für die eigenen Daten der Nutzerin oder des Nutzers gedacht. Es gilt die Verpflichtung, keine Informationen zu erfassen, die eine gerettete Person, eine Zeugin, einen Zeugen oder Dritte identifizieren (Name, Telefonnummer usw.), keine Gesundheitsdaten und keine Informationen, die unter das Amtsgeheimnis fallen oder deren Aufbewahrung die Weisungen der eigenen Feuerwehr verbieten. Einzige Ausnahme: Im Modul Pikett dürfen die Initialen oder der Vorname der vertretenen oder vertretenden Kollegin bzw. des Kollegen notiert werden, und nichts weiter über diese Person.

5. Empfänger und Auftragsbearbeiter

Hosting und Versand der E-Mails: Infomaniak Network SA, Genf (Schweiz). Die Daten werden in Rechenzentren in der Schweiz gespeichert.
Luftbilder und Adressen in der Schweiz: Bundesamt für Landestopografie swisstopo (Dienste geo.admin.ch). Der Browser lädt die Luftbilder und Adressvorschläge direkt von diesen Servern des Bundes, die dadurch die IP-Adresse, die angezeigten Gebiete, den gesuchten Text (einschliesslich der in einer eingefügten Meldung erkannten Adresse) oder die Position eines auf der Karte gesetzten Punktes (um die nächstgelegene Adresse vorzuschlagen) erhalten - aber keine Daten des Kontos. Der GPS-Standort des Geräts wird nur beim Tippen auf «Mein Standort» gelesen und nur mit dem gespeicherten Einsatz gespeichert.
Karte: Die Karte (Schweiz und ganze Welt, Daten von OpenStreetMap) wird von OpenFreeMap (Hyperknot Software Kft., Ungarn) geladen, das die IP-Adressen nicht in seinen Protokollen speichert. Unter «Luftbild» stammen die Satellitenbilder von EOX IT Services GmbH (Österreich), und beim Zoomen lädt der Browser auch die amtlichen Luftbilder des IGN (Institut national de l'information géographique et forestière, Frankreich), von basemap.at (österreichische Verwaltungen, Österreich), von PDOK (Kadaster, Niederlande), des Geoportals Luxemburg und der Bayerischen Vermessungsverwaltung (Deutschland), für diese Länder und die angrenzenden Regionen, einschliesslich der Schweiz. Diese Dienste erhalten die IP-Adresse und die angezeigten Gebiete, nie die Daten des Kontos.
Adressen ausserhalb der Schweiz: Photon (komoot GmbH, Deutschland; Daten von OpenStreetMap), nur wenn die eingegebene Adresse nicht in der Schweiz gefunden wird oder auf Wunsch («ausserhalb der Schweiz suchen»), und um die Adresse eines ausserhalb der Schweiz gesetzten Punktes vorzuschlagen.
Prüfung der Passwörter: Beim Festlegen oder Ändern eines Passworts prüft der Server von echo118, ob es in bekannten Datenlecks vorkommt, mit dem Dienst Pwned Passwords von Have I Been Pwned (Troy Hunt, Australien; verteilt über Cloudflare). Übermittelt werden nur die ersten 5 Zeichen des SHA-1-Hashs des Passworts, die Hunderten von Passwörtern gemeinsam sind: weder das Passwort noch der vollständige Hash noch die E-Mail- oder IP-Adresse der Nutzerin oder des Nutzers, und niemand kann identifiziert werden. Antwortet der Dienst nicht, wird das Passwort akzeptiert.

Abonnierter Kalender (nur auf Wunsch der Nutzerin oder des Nutzers): Der selbst gewählte Kalenderdienst (zum Beispiel Apple iCloud, Google Kalender oder Microsoft Outlook) ruft den Abo-Link regelmässig ab und erhält so die gewählten Termine: Titel, Daten und Zeiten und, wenn die Option «Details» angekreuzt ist, Feuerwehr, Funktion, Fahrzeuge, Ort und Bemerkungen. Diese Dienste können sich ausserhalb der Schweiz befinden, namentlich in den USA; was sie mit diesen Daten tun, richtet sich nach ihren eigenen Bedingungen. Der Link besteht nur mit Zwei-Faktor-Authentisierung und lässt sich jederzeit deaktivieren (Profil > Kalender-Abo); alle Links werden automatisch deaktiviert, wenn die anderen Geräte abgemeldet werden, wenn sich das Passwort ändert oder wenn die Zwei-Faktor-Authentisierung deaktiviert wird.

Zugriff des Betreibers: Für Betrieb und Sicherheit des Dienstes hat der Betreiber technisch Zugriff auf die Datenbank. Er sieht den Inhalt der Einsatzbücher nicht ein, ausser bei technischer Notwendigkeit (Störung, Sicherheit), auf Anfrage der Nutzerin oder des Nutzers oder aufgrund einer gesetzlichen Pflicht.

Die Daten der Konten und Einsatzbücher werden von echo118 nie ins Ausland übermittelt; nur ein selbst erstelltes Kalender-Abo sendet die gewählten Termine an den selbst gewählten Kalenderdienst (siehe oben). Die Anzeige der Karte und die Adresssuche ausserhalb der Schweiz nutzen die oben genannten Dienste, die alle in der Europäischen Union niedergelassen sind (Staaten, deren Datenschutz die Schweiz als angemessen anerkennt): Sie erhalten die IP-Adresse und die angezeigten Gebiete oder den gesuchten Text, nie die Daten des Kontos. Keine weiteren Dritten haben Zugriff auf die Daten, ausser aufgrund einer gesetzlichen Pflicht.

6. Cookies und lokale Speicherung

echo118 verwendet nur ein technisches Cookie, das für die Anmeldesitzung nötig ist, sowie den lokalen Speicher des Browsers für die Einstellungen von Design (hell/dunkel), saisonalem Logo (und der zuletzt gesehenen Erklärungsblase) und Sprache, und den Speicher des Tabs, um Filter, geöffnete Bereiche und Kartenposition während des Besuchs zu behalten (beim Schliessen gelöscht). Bei aktivierter Zwei-Faktor-Authentisierung kommen zwei technische Cookies hinzu: eines vorübergehend (10 Minuten), für die Eingabe des Codes; das andere nur, wenn «Diesem Gerät vertrauen» angekreuzt ist, damit auf diesem Gerät 30 Tage lang kein Code mehr verlangt wird. Ein technisches Cookie «bekanntes Gerät» (400 Tage gültig, zufällig, ohne Bezug zur Identität der Person) erkennt ein bereits verwendetes Gerät, damit nur bei einer Anmeldung von einem neuen Gerät eine E-Mail verschickt wird; wird es gelöscht, folgt einfach bei der nächsten Anmeldung eine E-Mail. Es werden keine Werbe- oder Analyse-Cookies verwendet; ein Einwilligungsbanner ist daher nicht nötig. Dieses Cookie kann in den Browsereinstellungen abgelehnt oder gelöscht werden (Art. 45c FMG): Dann ist es einfach nicht mehr möglich, bei echo118 angemeldet zu bleiben.

7. Aufbewahrungsdauer

Die Daten werden aufbewahrt, solange das Konto besteht.
Beim Löschen des Kontos werden alle seine Daten sofort aus der Datenbank gelöscht. Aus den Sicherungen verschwinden sie spätestens nach 21 Tagen (automatische Rotation der Sicherungen der Website und des Hosters).
Anmeldesitzungen laufen nach 30 Tagen Inaktivität ab.

8. Sicherheit

Verschlüsselte Verbindung (HTTPS), gehashte Passwörter, sichere Cookies, strikte Trennung der Konten, Begrenzung der Anmeldeversuche, freiwillige Zwei-Faktor-Authentisierung (Code einer Authentifizierungs-App), tägliche Sicherungen und Server in der Schweiz bei einem nach ISO 27001 zertifizierten Hoster. Da kein System unfehlbar ist, wird empfohlen, ein nur hier verwendetes Passwort zu wählen, die Zwei-Faktor-Authentisierung zu aktivieren und nicht mehr genutzte Geräte abzumelden.

9. Rechte der betroffenen Personen

Jede Nutzerin und jeder Nutzer kann jederzeit:

die eigenen Daten direkt in der App einsehen und berichtigen;
sie exportieren (Profil > Meine Daten: Tabelle CSV oder vollständige Datei JSON);
das eigene Konto endgültig löschen (Profil > Meine Daten);
Auskunft über die Bearbeitung verlangen oder ihr widersprechen, mit einer Nachricht an die obige Kontaktadresse.

Es ist auch möglich, sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten zu wenden (EDÖB, www.edoeb.admin.ch).

10. Änderungen und Sprache

Diese Erklärung kann sich ändern. Bei wichtigen Änderungen werden die Nutzerinnen und Nutzer vor deren Inkrafttreten in der App oder per E-Mail informiert.

Diese Erklärung liegt auf Französisch, Deutsch und Italienisch vor. Bei Abweichungen zwischen diesen Fassungen ist die französische Fassung massgebend.