Im Klartext: Wir bauen LeoWatch ehrenamtlich für die Gemeinde — kostenlos, werbefrei, ohne kommerzielle Absicht. Deine Daten verkaufen wir nicht, und wir nutzen sie ausschließlich für die Funktion der Plattform. Punkt.
1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen von LeoWatch:
BOTFORCE GmbH
Wienerbergstraße 11/12A, A-1100 Wien, Österreich
FN 577602 s · ATU78077634
E-Mail: datenschutz@botforce.at
2. Welche Daten wir verarbeiten
Bei Registrierung
- E-Mail-Adresse (zur Anmeldung und Kommunikation)
- Anzeigename (selbst gewählt, kein echter Name erforderlich)
- Passwort (verschlüsselt, nie im Klartext gespeichert)
- Wer dich eingeladen hat (für die Vertrauenskette)
Als Admin oder Moderator
- Der Betreiber sieht, wann du dich zuletzt angemeldet hast, wie viele Einladungen du verschickt hast und ob du Push eingeschaltet hast — damit er merkt, wenn ein Ort ohne erreichbare Verwaltung dasteht, und helfen kann. Andere Mitglieder sehen das nicht.
- Nach 30 Tagen ohne Anmeldung bekommt der Betreiber einen Hinweis, nach 60 Tagen kann er die Admin-Rolle an ein anderes Mitglied übergeben; du bleibst dann Mitglied.
Beim Einladen
- Zu jedem Einladungslink: wann er erzeugt wurde, wann er abläuft, ob die Beitrittsseite geöffnet wurde und auf welcher Fläche der App er entstand (Einstellungen, Einrichtung …). Seit 23. Oktober 2026 kann, wer einen Link erzeugt, freiwillig eine kurze Notiz dazuschreiben, für wen er gedacht ist (höchstens 40 Zeichen, z. B. „Maria“). Diese Notiz sieht nur die Person, die den Link erzeugt hat — nicht die Admins, nicht die eingeladene Person, nicht andere Mitglieder.
- Beim Veranstaltungs-Link (QR-Code bei einem Fest): der Anlass, den der Admin eingibt (z. B. „Feuerwehrfest“), und bei jedem, der darüber beitritt, über welchen Link und bei welchem Anlass — damit die Vertrauenskette zeigt, wo jemand dazukam. Der Admin sieht die Namen der Beigetretenen, andere Mitglieder deines Orts sehen in der Kette den Anlass.
- Beim Gruppen-Link (seit 23. Oktober 2026; ein Link, den wir auf Wunsch eines Admins für eine Gruppe anlegen, die er persönlich kennt, z. B. seine WhatsApp-Gruppe): dasselbe wie beim Veranstaltungs-Link — der Anlass und bei jedem Beitritt, über welchen Link es war. Den Link stellt der Admin selbst in seine Gruppe; wir sehen weder die Gruppe noch ihre Mitglieder, nur wer über den Link beitritt.
- Lädt dich der Betreiber selbst in die Nachbarschaft deines Orts ein (Starthilfe für einen neuen Kreis), verwendet er deine E-Mail-Adresse oder Handynummer nur für diesen einen Versand (über Resend bzw. seven.io) und speichert sie nicht — ebenso wenig deinen Vornamen, falls er für die Anrede angegeben wurde. Die Admins des Orts erfahren per Mail, dass der Betreiber jemanden eingeladen hat, mit diesem Vornamen, aber ohne Adresse oder Nummer. Trittst du bei, steht in der Einladungskette „vom Betreiber eingeladen“ (bis 25. Oktober 2026 lief das im Namen des Admins).
Beim Melden eines Vorfalls
- GPS-Koordinaten des Vorfallsorts (erforderlich)
- Straßenname (automatisch ermittelt via OpenStreetMap oder aus deiner Adresseingabe)
- Freie Textbeschreibung (optional)
- Fotos (optional, EXIF-Daten werden vor dem Upload entfernt)
- Kennzeichen (optional)
- Kategorie und Zeitstempel
Bei Bestätigung einer Meldung
- Zuordnung deines Anzeigenamens zur Meldung („Maria hat bestätigt“) — für andere Mitglieder der Community sichtbar.
- Optionaler Beobachtungs-Kommentar (max. 200 Zeichen) — ebenfalls mit deinem Anzeigenamen für die Community sichtbar.
Beim Melden eines Inhalts
- Welche Meldung du gemeldet hast, der gewählte Grund (z. B. Spam, Beleidigung, falsche Information) und eine optionale Notiz (max. 500 Zeichen) — zusammen mit deinem Mitglieds-Bezug.
- Sichtbar für dich selbst, die Admins/Moderatoren deiner Community und den Plattform-Betreiber (BOTFORCE GmbH, siehe Abschnitt 7.1) — nicht für die gemeldete Person und nicht für andere Mitglieder.
- Zur Prüfung sehen Admins/Moderatoren außerdem, seit wann du dabei bist und wie viele deiner früheren Hinweise berechtigt oder verworfen waren. Sie können dir per E-Mail eine Rückfrage schicken; deine Antwort gibst du über einen persönlichen Link (ohne Anmeldung, 3 Tage gültig). Über das Ergebnis informieren wir dich per E-Mail — ohne den Namen der anderen Seite.
- Hast du die gemeldete Meldung selbst verfasst, kann die Moderation auch dir eine Rückfrage oder einen Hinweis schicken, ein Foto ausblenden (es bleibt dann nur für die Moderation abrufbar und wird wie die Meldung nach 90 Tagen gelöscht) oder die Meldung entfernen; darüber informieren wir dich per E-Mail. Wer den Hinweis gegeben hat, erfährst du nicht.
Beim Blockieren eines Mitglieds
- Welches Mitglied du blockiert hast, samt Zeitpunkt. Diese Liste ist rein persönlich: nur du siehst sie, die blockierte Person wird nicht benachrichtigt.
- Wirkung: Meldungen dieser Person werden für dich in Feed, Dashboard und Karte ausgeblendet. Für andere Mitglieder ändert sich nichts.
Bei SMS-Opt-in
- Handynummer (nur wenn du SMS-Benachrichtigung in Settings aktivierst)
- Zeitpunkt der Verifizierung (6-stelliger Code per SMS)
- Temporäre OTP-Codes zur Verifizierung (nach Gebrauch ungültig, spätestens einen Tag nach Ablauf gelöscht)
Bei Notruf-Reaktionen (HILFE-Knopf)
- „Ich komme hin“: Dein Anzeigename + Zeitpunkt werden der Community sichtbar, solange der Alarm aktiv ist. Rücknahme jederzeit möglich (Eintrag wird gelöscht).
- „Im Notfall anrufbar“ (Opt-in, separat von SMS):Wenn du selbst den HILFE-Knopf drückst und diese Option vorher aktiviert hast, wird deine verifizierte Handynummer den Nachbarn deiner Community angezeigt — ausschließlich während deines aktiven Alarms, maximal jedoch 2 Stunden ab Auslösung. Du kannst den Alarm jederzeit selbst beenden („Notfall vorbei“-Button), dann ist die Nummer sofort wieder unsichtbar. Nach 2 Stunden gilt das technisch gleiche, auch wenn du den Alarm vergisst zu schließen. Durchgesetzt server-seitig via Zugriffsfunktion.
- Route zum Vorfallsort: Bei Betätigung des Route- Buttons werden die GPS-Koordinaten des Vorfalls an Apple Maps (iOS) bzw. Google Maps (sonst) übergeben. Die Übergabe erfolgt über dein Gerät; LeoWatch übermittelt selbst keine Daten an diese Dienste.
Bei Anfragen über die Startseite und die Gründerseite
- Wer LeoWatch für seine Gemeinde anfragt oder eine Einladung sucht, gibt im Formular Name, E-Mail-Adresse und Gemeinde an, dazu eine freiwillige Nachricht und — bei einer Anfrage für einen Ort — ob er selbst anfangen will, jemanden kennt oder für die Gemeinde schreibt. Schlägt ein Gemeinde-Admin jemanden aus einer Nachbargemeinde als Gründer vor, speichern wir dieselben Angaben über diese Person und wer sie vorgeschlagen hat.
- Zweck ist allein die Beantwortung der Anfrage; der Betreiber meldet sich per E-Mail. Wer einen Ort anfragt, erhält sofort eine Bestätigung an die angegebene Adresse (Versand über Resend, Abschnitt 4) — höchstens eine je Adresse und Stunde. Antwortet der Betreiber über LeoWatch, speichern wir Betreff und Text der Antwort bei der Anfrage, damit nachvollziehbar bleibt, was geantwortet wurde. Erledigte Anfragen werden samt diesen Antworten 180 Tage nach Erledigung gelöscht (Abschnitt 5); im Verwaltungsprotokoll bleibt danach nur, dass und wann geantwortet wurde.
Automatisch erhoben
- Sitzungs-Cookies nach der Anmeldung (Supabase), bis zur Abmeldung oder zum Ablauf der Sitzung. Ohne Anmeldung setzt LeoWatch keine Cookies. Eine Einwilligung ist dafür nicht nötig, weil die Cookies für die Anmeldung unbedingt erforderlich sind (§ 165 Abs. 3 TKG 2021).
- Lokaler Speicher im Browser: gewähltes Erscheinungsbild, Zeitpunkt des letzten Besuchs, weggeklickte Hinweise. Bleibt auf deinem Gerät und wird nicht übertragen.
- Offline-Speicher (Service Worker) für die Notrufnummern und die App-Dateien, damit die Web-App ohne Netz funktioniert.
- In der Betreiber-Konsole ein Einstellungs-Cookie für die Seitenleiste, ein Jahr gültig, sowie im lokalen Speicher die gewählte Ansicht der Gemeindeübersicht (Liste oder Karte) — beides nur für Betreiber-Konten.
- Nur auf den öffentlichen Seiten (Startseite, Gründerseite, Datenschutz, AGB, Impressum): eine anonyme Zählung der Seitenaufrufe mit Vercel Web Analytics — Seitenpfad, verweisende Seite, Land, Gerätetyp und Browser. Ohne Cookies und ohne Speicher auf deinem Gerät; die Kennung, mit der Aufrufe zusammengezählt werden, wechselt täglich und lässt sich keiner Person zuordnen. In der App, nach der Anmeldung und auf Einladungsseiten wird nicht gezählt.
- Bei Feedback-Abgabe: User-Agent und URL (zur Fehleranalyse)
- Hilfsorte auf der Notfallkarte (Arztpraxen, Apotheken, Defibrillatoren, Feuerwehr, Polizei) stammen aus OpenStreetMap, aus Eintragungen der Verwaltenden und — seit Oktober 2026 — aus einer Recherche öffentlicher Websites durch eine KI (Anthropic, USA; übermittelt werden nur Ortsname und die Namen bereits bekannter Hilfsorte, keine Daten von Mitgliedern). Jeder Eintrag wird mit seiner Quelle gespeichert, monatlich gegen sie geprüft und erst sichtbar, wenn ein Mensch ihn bestätigt hat.
- Wer ein Konto hat, aber noch keiner Nachbarschaft zugeordnet ist, kann uns über „Schreib uns“ eine Nachricht schicken — gespeichert werden Nachricht, der freiwillig genannte Ort und das Konto, damit der Betreiber antworten und die Person zuordnen kann. Sichtbar ist das nur dem Betreiber, keinem Kreis. Gelöscht wird es mit dem Konto.
- Bei Push-Benachrichtigungen: im Browser der Push-Endpoint deines Browsers, in der iPhone-App ein Geräte-Token des Expo-Push-Dienstes (siehe Abschnitt 4)
Was wir NICHT sammeln
- Kein Tracking über Seiten oder Tage hinweg (kein Google Analytics, kein Meta Pixel, keine Profile)
- Keine Werbe-Cookies
- Keine Standort-Tracking im Hintergrund
- Keine biometrischen Daten — Face ID bzw. Touch ID in der iPhone-App prüft dein Gerät selbst; LeoWatch erhält nur das Ergebnis. Das Passwort für diese Anmeldung liegt ausschließlich im Schlüsselbund deines Geräts, gesichert durch Face ID oder Gerätecode, und wird beim Abschalten der Funktion, beim Abmelden und beim Löschen des Kontos entfernt.
3. Zweck und Rechtsgrundlage
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung der Plattform (Anmeldung, Meldungen, Feed) | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Anonyme Zählung der Aufrufe der öffentlichen Seiten | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: wissen, ob Gemeinden die Seite finden); kein Zugriff auf dein Gerät, daher keine Einwilligung nach § 165 Abs. 3 TKG 2021 |
| Vertrauenskette (wer wen eingeladen hat) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Community-Sicherheit) |
| Meldung an Polizei (auf Initiative des Users) | Art. 6 Abs. 1 lit. d DSGVO (Schutz lebenswichtiger Interessen) + Art. 6 Abs. 1 lit. a (Einwilligung durch aktive Handlung) |
| Push-Benachrichtigungen (Browser/Geräte-Push) | Art. 6 Abs. 1 lit. a DSGVO (aktive Einwilligung in Settings) |
| E-Mail-Benachrichtigungen bei neuen Meldungen | Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion der Plattform; jederzeit in Settings deaktivierbar) |
| Wöchentliche Zusammenfassung (Sonntag-Abend-Mail mit Stats der Woche) | Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion: Übersichtlichkeit der Nachbarschaftslage; nutzt nur bereits in der App vorhandene Daten, keine zusätzliche Erhebung; jederzeit über den E-Mail-Toggle in Settings abschaltbar) |
| Admin-Broadcast (E-Mail über Plattform-Updates an opted-in Mitglieder) | Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion: Information über Funktions-Änderungen; selten, manuell von einem Admin ausgelöst) |
| SMS bei dringenden Meldungen | Art. 6 Abs. 1 lit. a DSGVO (aktive Einwilligung durch Handynummer-Eingabe und Verifizierung; jederzeit widerrufbar) |
| Direktanruf an Alarm-Auslöser („Im Notfall anrufbar“) | Art. 6 Abs. 1 lit. a DSGVO (separate, zusätzliche Einwilligung zum SMS-Opt-in; nur während aktivem eigenem Alarm wirksam) |
| Helfer-Liste („Ich komme“) mit Anzeigename + Zeitpunkt | Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion: Duplizierung von Wegen vermeiden, Auslöser sieht dass Hilfe unterwegs ist; freiwillige Eintragung, jederzeit widerrufbar) |
| Bestätigung + optionaler Kommentar zu einer Meldung | Art. 6 Abs. 1 lit. b DSGVO (Kernfunktion: Mehrfach-Meldungen bündeln, Kontext für die Community; freiwillige Handlung) |
| Anfragen über die Startseite (Gemeinde anfragen, Einladung anfragen, Gründer vorschlagen) | Art. 6 Abs. 1 lit. b DSGVO (Maßnahme auf Anfrage der betroffenen Person vor einem Vertrag) bzw. lit. f (berechtigtes Interesse, eine vorgeschlagene Person zu kontaktieren — sie kann der Kontaktaufnahme jederzeit widersprechen) |
| Rechtliche Aufbewahrungspflichten | Art. 6 Abs. 1 lit. c DSGVO |
4. Auftragsverarbeiter (Sub-Provider)
Wir setzen folgende Dienstleister mit DSGVO-konformen AVV ein:
- Supabase Inc. (USA / EU) — Datenbank, Auth, Storage. Daten werden in der EU-Region gehostet. Standardvertragsklauseln (SCC) vereinbart.
- Vercel Inc. (USA) — Hosting der Web-Anwendung und anonyme Zählung der Aufrufe der öffentlichen Seiten (Web Analytics, ohne Cookies). SCC vereinbart.
- Resend, Inc. (USA) — Transaktionale E-Mails (Anmeldelinks, Benachrichtigung bei Nachbarschafts-Meldungen, Bestätigung einer Anfrage, Antwort des Betreibers auf eine Anfrage, Einladung durch den Betreiber im Namen eines Admins). SCC vereinbart.
- seven communications GmbH & Co. KG (Deutschland, “seven.io”) — SMS-Zustellung bei dringenden Meldungen, Verifizierungs-Codes und Einladungen durch den Betreiber im Namen eines Admins. Verarbeitung in der EU; AVV nach DSGVO geschlossen.
- Expo (650 Industries, Inc.) (USA) — Zustellung von Push-Benachrichtigungen an die iPhone-App über den Expo-Push-Dienst und Apples Push-Dienst (APNs). Übermittelt werden ein Geräte-Token sowie Titel und Text der Benachrichtigung: die Kategorie einer Meldung und ihre Kurzbeschreibung, so wie die meldende Person sie geschrieben hat; bei Hinweisen an die Moderation auch die Straße. Expo speichert das Geräte-Token, Titel und Text nur für die Dauer des Versands. Grundlage der Übermittlung in die USA: Standardvertragsklauseln der EU-Kommission (Modul 2), vereinbart in Abschnitt 3.2 der Nutzungsbedingungen von Expo; Expo nimmt nach eigener Angabe zudem am EU-U.S. Data Privacy Framework teil.
- Anthropic PBC (USA) — KI-gestützte Analyse (nur aggregierte, anonymisierte Daten, keine personenbezogenen Meldungen) und Recherche von Hilfsorten auf öffentlichen Websites (nur Ortsname und bekannte Hilfsorte). SCC vereinbart.
- OpenStreetMap Foundation (UK) — Kartenkacheln, Reverse-Geocoding (Straßennamen) und die Adresssuche beim Melden (der eingegebene Suchtext und die Gemeinde, nur über unseren Server, ohne deine IP-Adresse). Beim Anzeigen einer Karte lädt dein Browser bzw. die App die Kacheln direkt von
tile.openstreetmap.org; die OSM Foundation erhält dabei deine IP-Adresse und den gezeigten Kartenausschnitt. Zweck: Kartendarstellung und Ortsbestimmung; Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.
Hinweis zu Apple Maps / Google Maps: Wenn du den “Route dorthin”-Button eines Notfall-Alarms nutzt, öffnet dein Gerät die native Karten-App mit den GPS-Koordinaten des Vorfallsorts. Diese Übergabe erfolgt ausschließlich über dein Gerät und nicht über unsere Server; es handelt sich daher nicht um eine Auftragsverarbeitung durch LeoWatch. Die Datenschutzbedingungen von Apple bzw. Google gelten gesondert.
5. Speicherdauer
- Mitgliedsdaten: bis zum Widerruf / Kontolöschung
- Incidents mit Fotos/Kennzeichen: 90 Tage, danach automatische Anonymisierung (Kennzeichen und Fotos werden gelöscht, Ort/Kategorie/Zeit bleiben für Statistik)
- Polizei-Weiterleitungen: 1 Jahr (Nachweisführung)
- Notiz „für wen?“ am Einladungslink: sofort gelöscht, sobald der Link angenommen oder widerrufen ist; nach Ablauf (höchstens 7 Tage) spätestens in der folgenden Nacht
- Inhalts-Meldungen (Grund + Notiz): als Nachweis der Moderationsprüfung, längstens bis die gemeldete Meldung oder dein Konto gelöscht wird (dann automatisch mit)
- Rückfragen, Hinweise und Mitteilungen der Moderation samt deiner Antwort: zusammen mit der Inhalts-Meldung, zu der sie gehören; mit deinem Konto sofort
- Blockierungen: bis du sie selbst aufhebst bzw. bis zur Kontolöschung
- Verwaltungsprotokoll (siehe Abschnitt 7.1): 365 Tage, danach automatische Löschung
- Einmalcodes zur Nummern-Bestätigung: nach Gebrauch ungültig; abgelaufene Codes werden spätestens nach 1 Tag gelöscht
- Zähler der Anfragebegrenzung (Schlüssel aus Konto-ID, IP-Adresse oder — für die Bestätigung einer Anfrage — einem Hashwert der E-Mail-Adresse, gegen Missbrauch): 1 Tag; Sperren mit ihrem Ablauf
- SMS-Zustellberichte (Zustellstatus, ohne Rufnummer): 90 Tage
- Selbsttest-Läufe (Prüfprotokolle des Betriebs, mit dem auslösenden Konto): 90 Tage
- Zustellvermerke von Aussendungen (wer eine Rundmail erhalten hat): 365 Tage
- Anfragen über die Startseite (Name, E-Mail, Gemeinde, Nachricht): 180 Tage nach Erledigung, danach automatische Löschung; offene Anfragen bis zur Erledigung
- Server-Logs: 30 Tage (Sicherheitsanalyse)
6. Deine Rechte
Du hast gegenüber BOTFORCE GmbH folgende Rechte:
- Auskunft (Art. 15 DSGVO) — welche Daten wir von dir haben
- Berichtigung (Art. 16) — falsche Daten korrigieren
- Löschung (Art. 17) — „Recht auf Vergessenwerden“
- Einschränkung (Art. 18) — Verarbeitung einschränken
- Datenübertragbarkeit (Art. 20) — Daten in maschinenlesbarer Form
- Widerspruch (Art. 21) — gegen Verarbeitung auf Basis berechtigter Interessen
- Beschwerde bei der Datenschutzbehörde: dsb.gv.at
Anfragen richtest du bitte an datenschutz@botforce.at. Bearbeitung erfolgt innerhalb von 30 Tagen.
7. Sicherheit
- HTTPS-verschlüsselte Übertragung (TLS 1.3)
- Passwörter mit bcrypt gehasht
- Row-Level-Security in der Datenbank
- Zugriffskontrolle: nur eingeladene Mitglieder sehen Meldungen
- Regelmäßige Sicherheits-Audits geplant
- EXIF-Metadaten werden vor Foto-Upload entfernt
7.1 Zugriff des Plattform-Betreibers
BOTFORCE GmbH betreibt LeoWatch als Verantwortlicher (Abschnitt 1) für mehrere Nachbarschaften. Für Betrieb, Störungsbehebung und die Einrichtung neuer Gemeinden besteht ein administrativer Zugang, der auch über die Grenzen einer einzelnen Community hinausreicht. Dieser Zugang ist keine Weitergabe an Dritte — er liegt beim Verantwortlichen selbst. Er ist technisch beschränkt:
- Er erfordert eine Zwei-Faktor-Anmeldung. Ein Passwort allein genügt nicht; die Datenbank selbst weist Zugriffe ohne zweiten Faktor ab.
- Verwaltungshandlungen an fremden Konten und Inhalten — Meldungen entfernen oder freigeben, Mitglieder umbenennen, sperren, löschen, Rollen ändern, Aussendungen verschicken — werden in einem unveränderlichen Protokoll mit Zeitpunkt, handelnder Person und Begründung festgehalten. Niemand kann dort Einträge ändern oder löschen, auch der Betreiber nicht.
- Das Protokoll der eigenen Community ist für deren Admins einsehbar.
8. Datenweitergabe an Dritte
Eine Weitergabe an Dritte erfolgt nur:
- An die Polizei, wenn du aktiv den “An Polizei melden”-Button nutzt (du erzeugst die Nachricht selbst)
- An Auftragsverarbeiter (siehe Abschnitt 4) zur technischen Bereitstellung
- An andere Mitglieder deiner Community: dein Anzeigename (bei Meldungen, Bestätigungen, Helfer-Eintragungen), und — nurbei aktivem eigenem HILFE-Alarm und nur bei vorheriger Einwilligung — deine verifizierte Handynummer für Direktanrufe.
- Bei gesetzlicher Verpflichtung (z.B. Gerichtsbeschluss)
9. Kinder und Jugendliche
LeoWatch richtet sich an Erwachsene ab 16 Jahren (§ 4 Abs. 4 DSG). Jüngere Personen dürfen den Dienst nur mit Zustimmung der Erziehungsberechtigten nutzen.
10. Änderungen dieser Erklärung
Bei wesentlichen Änderungen informieren wir dich per E-Mail oder in der App mindestens 14 Tage vor Inkrafttreten.
Stand: 23. Oktober 2026