1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Stabstrainer ist ein Produkt der Marke aiddevs, einer eingetragenen Marke der 8devs GmbH.

2. Datenschutzbeauftragter

3. Erhobene Daten

Im Rahmen der Nutzung von Stabstrainer werden folgende personenbezogene Daten verarbeitet:

Kontodaten

• E-Mail-Adresse (Pflicht)
• Vorname und Nachname (Pflicht)
• Passwort (als bcrypt-Hash gespeichert, nicht im Klartext)
• Anzeigename, Telefonnummer, Abteilung (optional)

Nutzungsdaten

• IP-Adresse und User-Agent bei der Anmeldung
• Zeitpunkt der letzten Anmeldung
• Fehlgeschlagene Anmeldeversuche
• Sitzungsdaten (automatisch nach 30 Minuten Inaktivität beendet)

Übungsdaten

• Teilnahme an Stabsübungen und zugewiesene Rollen
• Eingaben in Sachgebieten (Einsatztagebuch, Aufgaben, Nachrichten, Vordrucke)
• Kartenmarkierungen und Lageinformationen
• Antworten auf Lageeinspielungen und Bewertungen
• Lernfortschritt im Lernmodus

Feedback und Fehlermeldungen

• Meldungstext, Kategorie und Bewertung
• E-Mail-Adresse und Name der meldenden Person, Organisation
• Technische Angaben (Gerätetyp, Betriebssystem, Browser, Anwendungsversion)
• Optional: Bildschirmfoto der aktuellen Ansicht und selbst angehängte Bilder (siehe Abschnitt 12)

4. Zweck der Verarbeitung

• Vertragserfüllung: Bereitstellung des Benutzerkontos, Durchführung von Stabsübungen einschließlich der KI-Funktionen, Auswertung und Lernmodus
• IT-Sicherheit: Schutz vor unberechtigtem Zugriff durch Sicherheitsprotokolle, Rate Limiting und Audit-Logging
• Systembenachrichtigungen: E-Mail-Benachrichtigungen zu Kontoaktivitäten (z.B. Passwort-Zurücksetzung)
• Fehlerbehebung und Produktverbesserung: Bearbeitung von Feedback und Fehlermeldungen aus der Anwendung
• Produktverbesserung aus Einzeltrainings: Auswertung des Trainingsverlaufs, nur mit Einwilligung (siehe Abschnitt 13)

5. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Die Verarbeitung der Kontodaten und Übungsdaten, einschließlich der KI-Funktionen, ist für die Nutzung der Plattform erforderlich.
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse: Sicherheitsprotokolle und Audit-Logs dienen dem Schutz der Plattform und ihrer Nutzenden. Feedback und Fehlermeldungen werden auf dieser Grundlage bearbeitet (Interesse an Fehlerbehebung und Produktverbesserung).
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Optionale Cookies (funktional, analytisch), das automatische Bildschirmfoto bei Fehlermeldungen und die Übermittlung von Einzeltrainings zur Produktverbesserung erfolgen nur mit Ihrer ausdrücklichen Zustimmung.

6. Speicherdauer

• Kontodaten: Bis zur Löschung des Kontos. Bei der Löschung werden E-Mail-Adresse, Name, Telefonnummer und weitere Profildaten sofort anonymisiert; in Nachrichten, Einsatztagebuch und Antworten auf Lageeinspielungen wird Ihr Name durch „Gelöschte Person“ ersetzt.
• Sitzungsdaten: Maximal 8 Stunden (absolute Sitzungsdauer) bzw. 30 Minuten nach letzter Aktivität
• Übungsdaten: Bis zur Löschung der Übung durch die Organisation. Für hochgeladene Dateien kann die Systemadministration zusätzlich eine Frist nach Übungsende festlegen, nach der sie automatisch gelöscht werden.
• Sicherheitsprotokolle (Audit-Log): Die Einträge werden nicht gelöscht. IP-Adressen werden nach 90 Tagen aus den Einträgen entfernt. Nach einer Kontolöschung verweisen die Einträge auf das anonymisierte Konto.
• Protokoll der KI-Anfragen: Anfrage und Antwort jeder Text-KI-Anfrage werden gekürzt 100 Tage gespeichert, danach werden die Texte gelöscht. Siehe Abschnitt 11.
• Feedback und Fehlermeldungen: Siehe Abschnitt 12.

7. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können jederzeit eine Kopie Ihrer gespeicherten Daten anfordern. Nutzen Sie dafür die Exportfunktion in Ihrem Profil.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können unrichtige Daten in Ihrem Profil jederzeit korrigieren.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihres Kontos beantragen. Ihre personenbezogenen Daten werden anonymisiert.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten als maschinenlesbaren JSON-Export herunterladen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren.

8. Cookies und lokale Speicherung

Stabstrainer verwendet die folgenden Cookie-Kategorien:

Notwendige Cookies

Session-Token zur Authentifizierung (Dauer: maximal 8 Stunden). Diese Cookies sind für den Betrieb der Plattform zwingend erforderlich.

Funktionale Cookies

Benutzereinstellungen wie Kartenstil, bevorzugtes Sachgebiet und Tour-Status (localStorage). Nur mit Ihrer Zustimmung.

Analytische Cookies

Derzeit werden keine analytischen Cookies eingesetzt. Sollte sich dies ändern, werden Sie erneut um Einwilligung gebeten.

9. Serverstandort und Datenweitergabe an Dritte

Die Anwendung und ihre Datenbank werden auf Servern der Hetzner Online GmbH in Deutschland betrieben. Dort läuft auch das Sprachmodell, das die Text-KI-Funktionen bereitstellt (siehe Abschnitt 11).

Eine Weitergabe Ihrer personenbezogenen Daten an Dritte erfolgt nur, soweit dies zur Durchführung und Auswertung der Übungen oder für die unten genannten Zwecke erforderlich ist. Empfänger können sein:

• OpenRouter Inc. (USA) – nur für die KI-Bilderzeugung und, falls die Systemadministration darauf umschaltet, als Rückfallpfad für Text-KI-Funktionen (siehe Abschnitt 11). In diesen Fällen werden Daten in die USA übermittelt.
• aidCRM, das interne Ticket- und CRM-System der 8devs GmbH – für Feedback, Fehlermeldungen (siehe Abschnitt 12), Vorregistrierungen sowie die Verwaltung von Lizenzen und Zugängen Ihrer Organisation (E-Mail-Adresse, Name, Rolle, Status und letzte Anmeldung der Zugänge).
• Slack – in der Standardkonfiguration wird das Team über neue Feedback-Meldungen per E-Mail in einem internen Slack-Kanal benachrichtigt (siehe Abschnitt 12).

Mit Auftragsverarbeitern bestehen bzw. werden Verträge nach Art. 28 DSGVO geschlossen.

10. Technische und organisatorische Maßnahmen

• Verschlüsselung aller Daten während der Übertragung (TLS)
• Passwort-Hashing mit bcrypt (Kostenfaktor 12, BSI-konform)
• Automatisches Session-Timeout nach 30 Minuten Inaktivität
• Rate Limiting zum Schutz vor Brute-Force-Angriffen
• Rollenbasierte Zugriffskontrolle (RBAC)
• Optionale Zwei-Faktor-Authentifizierung (TOTP)
• Audit-Logging aller sicherheitsrelevanten Aktionen

11. Einsatz von Künstlicher Intelligenz

Stabstrainer bietet KI-Funktionen zur Trainingsunterstützung. Die Systemadministration kann die KI für jede Organisation ein- oder ausschalten; ist sie ausgeschaltet, werden für diese Organisation keine KI-Anfragen gestellt.

Zweck der KI-Nutzung

• Erstellung und Überarbeitung von Szenarien und Lageeinspielungen
• Simulierte Sachgebiete, KI-Gegenstellen und Fachberatung, Antworten auf Nachrichten und Vordrucke
• Sichter-Zuordnung eingehender Meldungen
• Simuliertes Social-Media-Umfeld und KI-Agenten (z. B. Presse, Bevölkerung)
• Wetterlage, Lagebild Bevölkerung und Dispositionsvorschläge
• Einzeltraining und Micro-Simulationen
• Coach für die Übungsleitung und KI-gestützte Nachbesprechung
• Bilderzeugung für Szenarien und Lageeinspielungen

Verarbeitete Daten

An das Sprachmodell werden Übungsinhalte übermittelt – darunter Betreff und Freitext von Nachrichten, Vordrucken und Anfragen an KI-Gegenstellen, Eingaben in der Nachbesprechung sowie Szenario- und Organisationsdaten (z. B. Einheiten und Fahrzeuge). Diese Freitexte können personenbezogene Angaben enthalten. Namen der Nutzenden werden nicht übermittelt; als Absenderkennung dient das Sachgebiet bzw. „der Stab“. Bitte verzichten Sie in Freitextfeldern auf nicht benötigte personenbezogene Daten.

Anbieter und Verarbeitungsort

• Textfunktionen: Ein selbst betriebenes Open-Weight-Sprachmodell (Qwen3-30B-A3B-Instruct-2507 des Qwen-Teams von Alibaba Cloud, Lizenz Apache 2.0; als Rückfall Mistral Small 3.2 von Mistral AI, Lizenz Apache 2.0) über LiteLLM auf Servern bei Hetzner in Deutschland. OpenRouter Inc. (USA) steht als Rückfallpfad bereit, auf den nur die Systemadministration umschalten kann; in diesem Fall werden die Anfragen über OpenRouter an dort angebotene Modelle übermittelt und unter anderem in den USA verarbeitet. Anthropic und OpenAI werden nicht direkt angesprochen.
• Bilderzeugung: Über OpenRouter Inc. (USA) mit dem Modell Google Gemini 2.5 Flash Image, sofern die Bilderzeugung eingeschaltet ist. Übermittelt wird die Bildbeschreibung aus dem Szenario bzw. der Lageeinspielung. Dabei werden Daten in die USA übermittelt. Erzeugte Bilder tragen das Wasserzeichen „KI-generiert / Stabstrainer“.

Protokollierung

Anfrage und Antwort jeder Text-KI-Anfrage werden gekürzt gespeichert, um Fehler zu finden und die Qualität zu sichern. Einsehen kann dieses Protokoll nur die Systemadministration. Nach 100 Tagen werden die Texte gelöscht; Angaben zu Modell, Tokenverbrauch und Kosten bleiben erhalten. Die Frist kann von der Systemadministration angepasst werden. Eine Kontolöschung verkürzt diese Frist nicht. Die Bilderzeugung wird nicht in diesem Protokoll geführt; gespeichert werden das Bild mit seiner Bildbeschreibung sowie Modell und Kosten.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Details finden Sie auf der KI-Transparenzseite.

12. Feedback und Fehlermeldungen

Über die Hilfe-Funktion können Sie Feedback und Fehlermeldungen senden. Die Meldung wird in Stabstrainer gespeichert und an aidCRM, das interne Ticketsystem der 8devs GmbH, übergeben. In der Standardkonfiguration wird das Team zusätzlich per E-Mail in einem internen Slack-Kanal benachrichtigt; diese Benachrichtigung enthält Meldungstext, Name, E-Mail-Adresse, Organisation und technische Angaben.

• Fehlermeldungen bleiben vertraulich. An aidCRM gehen Ihre E-Mail-Adresse (für Rückfragen), der Meldungstext, technische Angaben zu Gerät und Version sowie die letzten Bedienschritte ohne Inhalte.
• Vorschläge, Lob und sonstige Rückmeldungen können nach interner Freigabe öffentlich sichtbar werden. An aidCRM geht dafür nur der Titel des Beitrags, ohne E-Mail-Adresse, Gerätedaten oder Bilder.
• Bildschirmfoto: Ein automatisches Bildschirmfoto der aktuellen Ansicht wird nur erstellt, wenn Sie das Häkchen setzen (Voreinstellung: aus). Es kann personenbezogene Daten und Einsatzdaten zeigen, die in der Ansicht zu sehen sind. Bei Fehlermeldungen geht es mit der Meldung an aidCRM. Selbst angehängte Bilder werden bei Fehlermeldungen ebenfalls übergeben.
• Speicherdauer: Übergebene Bilder liegen in aidCRM in einem geschützten Bereich und werden dort nach 30 Tagen automatisch gelöscht. Die Meldung selbst bleibt in aidCRM bis zu ihrer Erledigung gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für das automatische Bildschirmfoto Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

13. Einzeltraining: Verwendung zur Produktverbesserung

Beim Start eines Einzeltrainings können Sie freiwillig zustimmen, dass das Training zur Verbesserung des Stabstrainers verwendet wird (Voreinstellung: aus). Nur dann wird nach Abschluss ein Bericht per E-Mail an die Systemadministration der 8devs GmbH gesendet. Er enthält den Trainingsverlauf (Lageeinspielungen, Nachrichten, Vordrucke), Kennzahlen wie Dauer und Reaktionszeiten sowie Ihren Namen und Ihre E-Mail-Adresse. Die Auswertung dient dazu, KI-Antworten und Trainingsmaterial zu verbessern.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie gilt nur für das jeweilige Training. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an datenschutz@stabstrainer.de. Die versendete E-Mail wird im Postfach der Systemadministration nach dessen Löschregeln aufbewahrt.

14. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

Zuständige Datenschutzaufsichtsbehörde: Der/die Landesbeauftragte für den Datenschutz des jeweiligen Bundeslandes.