Datenschutz-Folgenabschätzung: App „FamLoop Go“
Grundlage nach Art. 35 DSGVO für Träger der Kinder- und Jugendhilfe · Stand: Oktober 2026 (Android; iPhone-Fassung im Bau) · bereitgestellt von der CertBoard GmbH (Auftragsverarbeiter)
1. Beschreibung der Verarbeitung
Zweck: Fachkräfte und Leitung sehen unterwegs auf dem Diensthandy ihren Tag und ihre Familien, schreiben die Dokumentation, schreiben im Team und mit Familien, tragen Fahrten mit Belegen ein und melden sich krank oder beantragen Urlaub – statt am Rechner oder im Browser des Handys. In der Android-Fassung dazu: Akte und Unterlagen lesen, Termine planen, Aufgaben, Vertretung, Handgeld, Abrechnung, Jugendamtkontakte und, freiwillig, „Wo ist wer?“. Die iPhone-Fassung beginnt mit Kalender, Termin, Dokumentation, Team- und Klienten-Chat, Abwesenheit und Fahrten.
Betroffene: Familien in Familienhilfe und begleitetem Umgang (Eltern, Kinder, weitere Bezugspersonen), Kontakte in Jugendämtern; Beschäftigte des Trägers, die die App nutzen – mit eigenen Geräte-, Protokoll-, Abwesenheits-, Fahrt-, Abrechnungs- und gegebenenfalls Standortdaten.
Daten: Termine mit Uhrzeit, Familie, Anschrift (im begleiteten Umgang nie eine Privatanschrift) und Telefon, Hinweise am Termin, Marken wie „§ 8a“ nur als Wort; Dokumentationen, Akte und Unterlagen nach den Rechten wie im Web; Nachrichten im Team und mit Familien; Fahrten, Belege, Kassenbons; Krankmeldungen und Anträge; Abrechnungen. Dazu Geräteangaben (Gerätename, App-Version, Zeitpunkte, wer freigegeben oder abgemeldet hat und warum), ein Abruf-Protokoll je Handy (Zeitpunkt, Art, gekürzte IP-Adresse, beim Öffnen einer Familie, Dokumentation oder Unterlage deren Kennung), für eine Messung je abgesagtem Termin, wann die App der Fachkraft die Absage zuerst abgerufen hat (iPhone gegen Android, 90 Tage), und – nur bei „Wo ist wer?“ – der letzte genaue Standort. Die Inhalte enthalten Sozialdaten und besondere Kategorien (Art. 9 DSGVO, etwa Gesundheit, auch auf Kassenbons aus der Apotheke) sowie Angaben zum Kinderschutz.
Ablauf: Die Fachkraft lädt die App (Android: von der Adresse des Trägers; iPhone: von famloop.de) und meldet sich mit E-Mail-Adresse und Passwort an. Das Handy wartet, bis es freigegeben ist – durch die Leitung im Back-Office oder, wenn der Träger es erlaubt, durch die Person selbst mit einem QR-Code von der Seite „FamLoop Go“ in der Planungs-App (zehn Minuten gültig; bei Trägern ab dem 17.10.2026 ab Werk aus). Ein iPhone gibt immer die Leitung frei. Danach trägt das Handy einen eigenen Schlüssel, fragt beim Server des Trägers nach Neuem und zeigt Benachrichtigungen ohne Namen und ohne Text, nur Mo–Fr 8–20 Uhr (Android etwa alle zehn Minuten, iPhone sobald das iPhone es zulässt). Eingaben gehen sofort an den Server; ohne Netz warten Entwürfe und Fahrten verschlüsselt auf dem Handy und gehen von selbst, sobald wieder Netz da ist.
Technik: Server und Sicherung in Deutschland (siehe AVV Nr. 10); keine App-Stores, keine Werbe-, Analyse- oder Benachrichtigungsdienste Dritter (kein Google Firebase, kein Benachrichtigungsdienst von Apple), keine Dienste für Absturzberichte. Android: App und Aktualisierungen vom Server des Trägers. Auf dem Handy liegen, verschlüsselt mit einem Schlüssel, der nur auf diesem Handy liegt (Android Keystore, AES-GCM), nur der zuletzt geholte Tag und noch nicht angekommene Entwürfe – nach 24 bzw. 72 Stunden nicht mehr lesbar und beim nächsten Aufruf gelöscht – sowie noch nicht angekommene Fahrten. Einziger Dienst Dritter auf dem Handy ist der Kartendienst von OpenStreetMap für die Karte in „Wo ist wer?“ (AVV Nr. 10c und 11). iPhone (nur wenn der Träger „Go auf dem iPhone“ gesondert einschaltet, Vorgabe aus): App über famloop.de geladen; Anbieter gegenüber Apple ist die CertBoard GmbH; Apple prüft jede neue Version („Notarisierung“) und erfährt bei Installation und Aktualisierung, dass auf dem Gerät „FamLoop Go“ installiert wird. Diese Daten verarbeitet Apple in eigener Verantwortung nach den Bedingungen, die für Gerät und Apple-Konto gelten (Apple Distribution International Ltd., Irland); keine Verarbeitung im Auftrag des Verantwortlichen oder des Auftragsverarbeiters. Bei Diensthandys, die der Träger über seine Geräteverwaltung führt (bei Apple „betreut“), regelt er sein Verhältnis zu Apple über seine Geräteverwaltung. Kein Standort; „Weg zeigen“ übergibt der Karten-App von Apple nur die Anschrift, ohne Namen.
2. Notwendigkeit und Verhältnismäßigkeit
- Rechtsgrundlage: für die Daten der Familien die Durchführung der Hilfe (Art. 6 Abs. 1 b, c, e DSGVO i. V. m. §§ 61 ff. SGB VIII, § 35 SGB I, §§ 67 ff. SGB X), wie in der Planungs-App; für die Daten der Beschäftigten das Arbeitsverhältnis und die Pflichten aus Arbeits- und Sozialrecht (Art. 6 Abs. 1 b und c DSGVO; § 26 Abs. 1 BDSG seit EuGH, 30.03.2023, C-34/21, nur ergänzend); für Krankmeldungen Art. 9 Abs. 2 b DSGVO i. V. m. § 26 Abs. 3 BDSG; soweit geschlossen, eine Betriebs- oder Dienstvereinbarung (Art. 88 DSGVO). Für kirchliche Träger gelten an deren Stelle KDG bzw. DSG-EKD. „Wo ist wer?“ ist freiwillig. Grundlage ist die Einwilligung der Fachkraft (Art. 6 Abs. 1 a, Art. 7 DSGVO; zur Freiwilligkeit § 26 Abs. 2 BDSG), elektronisch festgehalten, Widerruf jederzeit durch Ausschalten; sie umfasst den Abruf der Kartenbilder bei OpenStreetMap. Niemand darf Nachteile haben, der nicht teilt.
- Datenminimierung: Die App zeigt nichts über die Rechte im Web hinaus. Offline nur der heutige Tag und eigene, noch nicht gesendete Entwürfe und Fahrten, keine Akte; Unterlagen nur in der App, beim Schließen gelöscht. Im begleiteten Umgang nie eine Privatanschrift; „§ 8a“ ohne Inhalt. Benachrichtigungen ohne Namen und Text. Vom Standort nur der letzte Punkt, kein Verlauf, keine Koordinaten im Abruf-Protokoll, nie eine Privatanschrift als Text.
- Alternative ohne App: Die Planungs-App im Browser bleibt vollständig nutzbar; Krankmeldung und Urlaub gehen auch dort.
- Speicherbegrenzung: auf dem Handy Tag und Entwürfe nach 24 bzw. 72 Stunden nicht mehr lesbar und beim nächsten Aufruf gelöscht, alles bis zum Abmelden; Geräte-Schlüssel endet mit neuem Passwort, nach 30 Tagen ohne Nutzung, mit Abmelden durch die Leitung, ausgeschaltetem Zugang oder erreichtem Austrittsdatum; Abruf-Protokoll: Abrufe des Tagesplans 90 Tage, übrige Einträge zwölf Monate; Standort höchstens 30 Minuten; Akteninhalte nach den Aufbewahrungsfristen des Trägers.
- Information: Der Träger informiert seine Beschäftigten nach Art. 13 DSGVO; einen vorbereiteten
Hinweis für FamLoop Go mit den Angaben des Trägers stellt der Auftragsverarbeiter unter
/unterwegs/datenschutzder Adresse des Trägers bereit. Für die Familien ändert die App die Zwecke nicht; ihre Information bleibt beim Träger.
3. Risiken für die Betroffenen
| Risiko | Bewertung ohne Maßnahmen |
|---|---|
| Ein verlorenes oder gestohlenes Diensthandy zeigt Fremden Termine mit Anschrift und Telefon von Familien, Dokumentationen, Nachrichten und Unterlagen – auch Angaben zum Kinderschutz. | hoch |
| Die App läuft auf einem privaten oder nicht verwalteten Handy; Sozialdaten liegen außerhalb der Kontrolle des Trägers, ohne Gerätesperre, Fernlöschung oder Regeln für Cloud und Tastatur. | hoch |
| Beschäftigtenkontrolle: „zuletzt aktiv“, „Wer ist online“, das Abruf-Protokoll, „Was wurde mit diesem Handy angesehen?“ und Abrechnungen anderer lassen Rückschlüsse auf Verhalten und Leistung einzelner Fachkräfte zu (§ 87 Abs. 1 Nr. 6 BetrVG, § 36 MAVO). | hoch |
| Standort („Wo ist wer?“): laufende Ortung der Beschäftigten, sozialer Druck, mitzumachen; der Standort während eines Termins verrät Kolleginnen, wo eine Familie wohnt. | hoch |
| Kartendienst: OpenStreetMap im Vereinigten Königreich erfährt IP-Adresse und Kartenausschnitt, also die Gegend, in der Teilende unterwegs sind. | gering |
| Bildschirmfotos und Belege landen in der privaten Mediathek, in Google Fotos oder iCloud (z. B. ein Kassenbon aus der Apotheke, eine abfotografierte Dokumentation). | mittel |
| Inhalte auf dem Sperrbildschirm oder in Gerätesicherungen (Cloud). | mittel |
| Diktat und Tastatur: Texte und Sprache der Dokumentation gehen an den Anbieter der Tastatur. | mittel |
| „Weg zeigen“: Die Anschrift der Familie geht an den Anbieter der Karten-App des Handys. | mittel |
| Ausgeschiedene oder abgemeldete Beschäftigte behalten Zugriff über ein altes Handy. | mittel |
| iPhone: Benachrichtigungen kommen verspätet; eine kurzfristige Absage wird zu spät gesehen. | mittel |
| iPhone: Apple erfährt bei der Installation, dass mit diesem Gerät eine App der Jugendhilfe genutzt wird. | gering |
| Manipulierte App-Datei. | mittel |
4. Maßnahmen
| Risiko | Maßnahmen (Android umgesetzt; iPhone beschlossen, im Bau) |
|---|---|
| Verlorenes Handy | Offline nur der heutige Tag und Entwürfe, nach 24 bzw. 72 Stunden nicht mehr lesbar und beim nächsten Aufruf gelöscht; verschlüsselt mit einem Schlüssel, der nur auf diesem Handy liegt (Android Keystore, AES-GCM; iPhone: Verschlüsselung des iPhones, Schlüssel im Schlüsselbund nur dieses Geräts); Abmelden auf dem Handy löscht alles; die Leitung meldet ein Handy im Back-Office ab, mit Grund und E-Mail an die Fachkraft, auch „Alle Handys abmelden“; danach löscht das Handy beim nächsten Kontakt Schlüssel, Tag, Entwürfe und wartende Fahrten; ab Version 1.69 auch noch nicht gesendete Belegfotos (davor bleiben sie bis zur nächsten Anmeldung im Speicher der App). „Was wurde mit diesem Handy angesehen?“ zeigt nach Verlust Tag, Familie und Art – nur an einem als verloren abgemeldeten Handy, nur für eine zweite Person der Leitung, jedes Öffnen festgehalten. iPhone: Sperre mit Face ID oder Gerätecode nach etwa drei Minuten im Hintergrund. Android: ab Version 1.69 Sperre mit Fingerabdruck oder Gerätecode nach drei Minuten im Hintergrund, voreingestellt an; davor schützt nur die Gerätesperre (siehe „Vom Träger zu ergänzen“). |
| Privates oder nicht verwaltetes Handy | Kein App-Store; ein neues Handy erhält erst nach Freigabe Daten; der Träger kann „Selbst freigeben per QR-Code“ abschalten, dann gibt nur die Leitung frei; Liste aller Handys mit Gerätename und Version im Back-Office. Der Server erkennt nicht, ob ein Handy ein Diensthandy ist – das sichert der Träger organisatorisch. |
| Beschäftigtenkontrolle | Schalter unter „Betriebsrat fragen“ je Funktion: „zuletzt aktiv“ und „Wer ist online“, „Was wurde mit diesem Handy angesehen?“, die Zahl im Team, wer die App noch nicht hat, Abrechnungen anderer, „Wo ist wer?“ (Vorgabe: an). Abrufe ohne Zutun der Person (Benachrichtigungen, Standort, Versionsprüfung) zählen nicht als „online“. Die Messung „Absage → gesehen“ speichert nur Termin, iPhone oder Android und Zeitpunkte und wird nach 90 Tagen gelöscht. Das Protokoll dient der Datensicherheit; Auswertungen oder Summen je Person bietet die App nicht an. |
| Standort | Nur Android; je Person freiwillig, Vorgabe aus, aus jederzeit ohne Grund. Mo–Fr 8–18 Uhr, nicht bei Abwesenheit – der Server nimmt sonst nichts an und löscht. Nur der letzte Punkt, nach 30 Minuten gelöscht, kein Verlauf. Sehen kann nur, wer selbst teilt, auch die Leitung; wer teilt, sieht, wer die Karte heute geöffnet hat. Solange geteilt wird, steht eine Anzeige auf dem Handy. Der Träger schaltet Karte und Hinweis „in der Nähe“ einzeln ab. Während eines Termins wird der genaue Standort gesendet (Entscheidung 04.10.2026); bei begleiteten Übergaben kann das eine Privatanschrift erkennbar machen. Restrisiko: Die Dienstanweisung regelt, ob bei Übergaben an Privatanschriften und bei Fällen mit Schutzregel geteilt wird. Auf dem iPhone gibt es keinen Standort. |
| Kartendienst | Kartenbilder nur in „Wo ist wer?“ und nur, wenn der Träger es anbietet; ohne Namen und Standorte; zwischengespeichert in der App. |
| Bildschirmfotos, Belege | Android: Bildschirmfotos gesperrt; Belegfotos mit der Kamera der App landen im eigenen Speicher der App, nie in der Galerie, und werden nach dem Senden gelöscht. iPhone: Bildschirmfotos technisch nicht zu verhindern – der Inhalt ist in der App-Übersicht sowie bei Bildschirmaufnahme und -spiegelung verdeckt; Belegfotos bleiben in der App, nie in der Mediathek. Wer einen Beleg aus der Galerie wählt, hat dort schon eine Kopie – das regelt die Dienstanweisung. |
| Sperrbildschirm, Sicherungen | Benachrichtigungen ohne Namen und ohne Text (einzige Ausnahme: „… ist in deiner Nähe“ nennt den Namen, auf dem Sperrbildschirm nicht); keine Gerätesicherung (Android: Sicherung für die App abgeschaltet; iPhone: von iCloud- und Gerätesicherung ausgenommen). |
| Diktat und Tastatur | Die Android-App hat kein eigenes Diktat. iPhone: Sprache wird in der App nur auf dem Gerät in Text umgewandelt. Die Tastatur gehört zum Gerät – ihr Diktat regelt der Träger über die Geräteverwaltung. |
| „Weg zeigen“ | Die App übergibt nur die Anschrift an die Karten-App, ohne Namen; welche Karten-App das ist, bestimmt der Träger über die Geräteverwaltung. |
| Ausgeschiedene | Ist der Zugang ausgeschaltet oder das Austrittsdatum erreicht, löscht das Handy nur den Tag; Entwürfe, Fahrten und Belegfotos bleiben verschlüsselt, bis die Leitung es abmeldet. Meldet die Leitung ein Handy ab, löscht es beim nächsten Kontakt Schlüssel, Tag, Entwürfe und wartende Fahrten, ab Version 1.69 auch noch nicht gesendete Belegfotos (davor bleiben sie bis zur nächsten Anmeldung im Speicher der App). Ein neues Passwort meldet alle Handys des Zugangs ab; 30 Tage ohne Nutzung ebenso. |
| Verspätete Benachrichtigungen (iPhone) | Die App sagt „Hinweise können sich verspäten“, holt bei jedem Öffnen sofort den Stand und zeigt Absagen von heute oben. Die Leitung sieht, wer das iPhone nutzt. Vier Wochen wird gemessen, wann Absagen gesehen werden (iPhone gegen Android); danach wird neu entschieden, ob der Benachrichtigungsdienst von Apple nötig ist. |
| Manipulierte App | Android: Laden nur von der Adresse des Trägers über verschlüsselte Verbindung, Aktualisierungen nur für ein freigegebenes Handy; jede Aktualisierung wird darauf geprüft, ob sie die feste digitale Unterschrift (Signatur) trägt. iPhone: Laden nur über famloop.de; jede Version ist von Apple geprüft („Notarisierung“) und digital unterschrieben. Beide: zu alte Versionen lässt der Server nicht mehr zu; Termine, Absagen und Entwürfe bleiben dabei erreichbar. |
Vom Träger zu ergänzen:
- Betriebsrat oder Mitarbeitervertretung: Zustimmung oder Vereinbarung zu Diensthandys mit FamLoop Go (Geräteverwaltung, Abruf-Protokoll, „zuletzt aktiv“, „Was wurde mit diesem Handy angesehen?“, Abrechnungen anderer, die Messung „Absage → gesehen“) und gesondert zu „Wo ist wer?“ (§ 87 Abs. 1 Nr. 6 BetrVG, § 36 MAVO). Bis dahin die betroffenen Schalter unter „Betriebsrat fragen“ ausschalten – sie stehen ab Werk auf „an“.
- Diensthandys: welche Geräte, wer sie ausgibt und zurücknimmt; Regel, dass private Handys nicht angemeldet werden; ob „Selbst freigeben per QR-Code“ abgeschaltet wird.
- Geräteverwaltung: Gerätesperre mit Code oder Fingerabdruck verpflichtend (die Android-App hat keine eigene Sperre), Verschlüsselung, Fernsperre und Fernlöschung; Tastatur ohne Diktat über das Internet; Karten-App für „Weg zeigen“; Kamera und Galerie ohne Abgleich in eine Cloud; Android: „Apps aus dieser Quelle“ nur für FamLoop Go; iPhone: nur Diensthandys aus der Geräteverwaltung.
- Verlust: wer meldet, wer abmeldet, wer „Was wurde mit diesem Handy angesehen?“ öffnet, wann die Meldung nach Art. 33 DSGVO geprüft wird.
- Austritt: Zugang ausschalten oder Austrittsdatum im Personalstamm pflegen, Gerät zurücknehmen.
- Dienstanweisung: keine Bildschirmfotos, Belege nur mit der Kamera der App, keine Meldekette stützt sich auf eine Benachrichtigung von FamLoop Go; Schulung der Fachkräfte.
- Information der Beschäftigten nach Art. 13 DSGVO (Hinweis unter
/unterwegs/datenschutzder Adresse des Trägers); Ansprechperson für Betroffene. - „Wo ist wer?“: ob es angeboten wird – auch mit Blick auf den Kartendienst von OpenStreetMap (AVV Nr. 11).
- Nicht Teil dieser Abschätzung: die Verbindung zu Google Kalender. Sie wird in der Planungs-App eingerichtet; dabei gehen die Termine mit Vorname des Kindes und Familienname an Google. Die Android-App zeigt nur deren Stand, die iPhone-Fassung gar nicht. Der Träger bewertet diese Funktion gesondert, bevor er sie zulässt.
5. Ergebnis
Mit den umgesetzten Maßnahmen schätzt der Auftragsverarbeiter das verbleibende Risiko als gering bis mittel ein, vergleichbar mit der Planungs-App im Browser auf einem verwalteten Gerät – vorausgesetzt, die App läuft nur auf verwalteten Diensthandys mit Gerätesperre. Ohne das bleibt das Risiko eines verlorenen Handys hoch. Für „Wo ist wer?“ und die Funktionen unter „Betriebsrat fragen“ hängt das Restrisiko an der Vereinbarung mit Betriebsrat oder Mitarbeitervertretung; diese Bewertung trifft der Träger. Für die iPhone-Fassung kommen hinzu, dass Apple von der Installation erfährt, Bildschirmfotos nicht zu verhindern sind und Benachrichtigungen sich verspäten können; dieses Restrisiko bewertet der Träger vor dem Einschalten. Ein hohes Restrisiko, das eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erfordern würde, sieht der Auftragsverarbeiter nicht – vorausgesetzt, der Träger setzt die Punkte unter „Vom Träger zu ergänzen“ um. Solange Selbst freigeben per QR-Code und die Schalter unter „Betriebsrat fragen“ an sind und die Sperre in der App ausgeschaltet ist, ist diese Voraussetzung nicht erfüllt; das Risiko eines verlorenen Handys bleibt dann hoch. (Stand 16.10.2026: Die Sperre beim Öffnen ist in beiden Fassungen voreingestellt an; Selbst freigeben ist für Träger ab dem 17.10.2026 ab Werk aus und für iPhones nie möglich.) Die Abschätzung ist bei wesentlichen Änderungen der App zu überprüfen, spätestens nach zwölf Monaten.
6. Freigabe durch den Träger
Träger: ______________________________
Geprüft und ergänzt von: ______________________________
Betriebsrat / Mitarbeitervertretung beteiligt am: ______________________________
Rat der/des Datenschutzbeauftragten eingeholt am: ______________________________
Freigegeben am: ____________ durch: ______________________________
iPhone-Fassung freigegeben am: ____________ durch: ______________________________
Siehe auch: Auftragsverarbeitung (Nr. 10c) · Folgenabschätzung FamLoop me · Datenschutz · Impressum