Datenschutz-Folgenabschätzung: App „FamLoop me“

Grundlage nach Art. 35 DSGVO für Träger im begleiteten Umgang · Stand: Oktober 2026 · bereitgestellt von der CertBoard GmbH (Auftragsverarbeiter)

Die Datenschutz-Folgenabschätzung ist Aufgabe des Trägers als Verantwortlichem. Dieses Dokument beschreibt die App, die Risiken und die eingebauten Schutzmaßnahmen so, wie der Auftragsverarbeiter sie umgesetzt hat. Der Träger prüft es, ergänzt seine eigenen Abläufe (wer Codes ausgibt, wer moderiert, Löschfristen), holt – falls benannt – den Rat seiner Datenschutzbeauftragten ein (Art. 35 Abs. 2) und gibt es unten frei. Erst danach wird die App beim Träger eingeschaltet.

1. Beschreibung der Verarbeitung

Zweck: Eltern und weitere Beteiligte im begleiteten Umgang sehen ihre Termine, sagen ab, schlagen Ersatz vor, stimmen Verschiebungen zu, lesen freigegebene Berichte und schreiben mit der Fachkraft – auf dem eigenen Android-Handy statt im Browser. Optional (je Familie von der Fachkraft eingeschaltet, mit Zustimmung beider Eltern): moderiertes Schreiben der Eltern untereinander.

Betroffene: Umgangsnehmende und -gebende Eltern, weitere Bezugspersonen mit Zugang; mittelbar Kinder (über Termine und Nachrichten); Fachkräfte und Koordination des Trägers.

Daten: Namen, Rolle, Termine und Termin-Verlauf, Absagegründe, Nachrichten, freigegebene Berichte und Rückmeldungen, Verfügbarkeiten, Kontaktangaben; Geräteangaben (Gerätename, App-Version, Zeitpunkte), Anmelde-Codes, Protokolldaten (Zeitpunkt, Art, IP-Adresse). Bei „Eltern untereinander“: Nachrichten, Bilder, Dateien und Reaktionen zwischen den Eltern, Zustimmungen, Moderationsstufen, Freigaben, zurückgehaltene Nachrichten. Die Inhalte können Sozialdaten und besondere Kategorien (Art. 9 DSGVO, etwa Gesundheit) sowie Angaben zu Konflikten und Schutzbedarfen enthalten.

Ablauf: Die Fachkraft gibt der Person einen Anmelde-Code (8 Zeichen, einmal, höchstens 7 Tage, bei Schutzbedarf 15 Minuten; persönlich, per SMS oder Telefon). Die App findet über ein zentrales Verzeichnis (nur Prüfwert, Adresse, Ablauf) den Träger und tauscht den Code gegen einen Geräte-Schlüssel; ein Handy je Person. Danach fragt die App beim Server des Trägers nach Neuem (alle 15 Minuten, 7–20 Uhr) und zeigt eine inhaltslose Benachrichtigung.

Technik: Server und Sicherung in Deutschland (siehe AVV Nr. 10); App nur über den Träger geladen, keine App-Stores, keine Dienste Dritter auf dem Handy, keine Drittlandübermittlung.

2. Notwendigkeit und Verhältnismäßigkeit

Rechtsgrundlage: Durchführung der Hilfe (Art. 6 Abs. 1 b, c, e DSGVO i. V. m. §§ 61 ff. SGB VIII, § 35 SGB I, §§ 67 ff. SGB X); die App-Nutzung ist freiwillig, das Schreiben der Eltern untereinander beruht auf Einwilligung (Art. 6 Abs. 1 a), jederzeit widerrufbar.
Datenminimierung: Die App zeigt nichts über den Termin-Bereich im Browser hinaus (kein Jugendamt, keine Dokumentation, keine Raum- oder Privatanschriften). Offline nur kommende Termine.
Alternative ohne App: Der Termin-Bereich im Browser und der Kontakt mit der Fachkraft bleiben vollständig erhalten; niemand wird benachteiligt, der die App nicht nutzt.
Speicherbegrenzung: Geräte-Schlüssel endet nach Abmelden, 90 Tagen ohne Öffnen, Ende des Zugangs oder des letzten Falls; „Eltern untereinander“ nach Fallende 30 Tage lesbar, dann geschlossen; Akteninhalte nach den Aufbewahrungsfristen des Trägers.
Information: Datenschutzhinweis nach Art. 13 unter /familie/datenschutz der Adresse des Trägers, verlinkt auf der Ladeseite und im Termin-Bereich.

3. Risiken für die Betroffenen

Risiko	Bewertung ohne Maßnahmen
Fremde lesen auf einem geteilten oder verlorenen Handy Termine und Nachrichten (z. B. der andere Elternteil in hochstrittigen Familien, Gewaltschutz).	hoch
Ein Code oder Handy wird von der falschen Person angemeldet; ein Elternteil verschafft sich Zugang zu den Daten des anderen.	hoch
Der andere Elternteil erfährt im Schreiben untereinander Aufenthaltsort, neue Kontaktdaten oder Termine, trotz Kontaktverbot.	hoch
Verletzende oder drohende Nachrichten zwischen den Eltern; Druck auf Kinder.	mittel
Inhalte auf dem Sperrbildschirm, in Bildschirmfotos oder Gerätesicherungen (Cloud).	mittel
Abfluss von Sozialdaten bei App-Anbietern, Benachrichtigungs- oder Analysediensten.	mittel
Manipulierte App-Datei.	mittel
Unbemerkte, unbefugte Zugriffe beim Träger.	mittel

4. Maßnahmen

Risiko	Maßnahmen (umgesetzt)
Geteiltes/verlorenes Handy	Sperre beim Öffnen (Gerätesperre oder eigener Code) einschaltbar; Abmelden löscht alles auf dem Handy; Koordination und Fachkraft können ein Handy abmelden und eine Person für die App sperren; offline nur kommende Termine, verschlüsselt (Android Keystore, AES-GCM); 90 Tage ohne Öffnen beenden den Zugang.
Falsche Anmeldung	Code nur von der Fachkraft, einmal, kurz gültig (bei Schutzbedarf 15 Minuten); die App zeigt vor dem Anmelden den Vornamen („Sind Sie …?“), „Nein, das bin ich nicht“ macht den Code ungültig; ein Handy je Person – ein neues meldet das alte ab; Protokoll je Code (wer erzeugt, welches Handy eingelöst); Geräte-Schlüssel nur als Prüfwert gespeichert.
Kontakt trotz Verbot	„Eltern untereinander“ ist je Träger und je Familie aus, bis die Fachkraft einschaltet und beide Eltern zustimmen; bei „Gewaltschutz / Kontaktverbot“, „Keine Begegnung der Eltern“ oder § 8a ist direkter Kontakt gesperrt – höchstens „Freigabe“: jede Nachricht geht erst nach Prüfung durch die Fachkraft weiter; keine Dateien, kein Link zur App, kein Name des anderen; der Name des Gegenübers erscheint bei „Nur über die Fachkraft“ nicht.
Verletzende Nachrichten	Moderationsstufen (Direkt · Fachkraft liest mit · Freigabe · Nur über die Fachkraft), Stopp-Liste mit Zurückhalten und Pause, Begrenzung je Tag und Länge, nichts löschbar (Nachweis), Vorschläge zum Lockern nur mit Zusage aller.
Sperrbildschirm, Bildschirmfotos, Sicherungen	Benachrichtigungen ohne Inhalt; Bildschirmfotos gesperrt (FLAG_SECURE); keine Gerätesicherung (allowBackup=false); Bilder ohne Ort-, Geräte- und Zeitangaben gespeichert.
Dienste Dritter	Keine App-Stores, kein Firebase, keine Werbe- oder Analysebibliotheken; das Handy fragt selbst beim Server des Trägers; Server in Deutschland; zentrales Code-Verzeichnis ohne Namen und Falldaten.
Manipulierte App	Laden nur von der Adresse des Trägers über verschlüsselte Verbindung; die App ist signiert, Aktualisierungen werden gegen den festen Signatur-Fingerabdruck geprüft; Notschalter, der die App für alle abschaltet.
Unbefugte Zugriffe beim Träger	Rechte wie im Termin-Bereich (eigene Fälle, Vertretung, Koordination); Zugriffsprotokoll; die Familie sieht, wer mitliest („Gelesen wird das von Ihrer Fachkraft und von der Koordination“).

Vom Träger zu ergänzen: wer Codes ausgibt und wie (Büro, SMS, Telefon); Bestand auf Gewaltschutz durchsehen, bevor die erste Familie die App bekommt; wer „Eltern untereinander“ moderiert und vertritt; Löschfristen der Akte; Schulung der Fachkräfte; Ansprechperson für Betroffene.

5. Ergebnis

Mit den umgesetzten Maßnahmen schätzt der Auftragsverarbeiter das verbleibende Risiko als gering bis mittel ein, vergleichbar mit dem Termin-Bereich im Browser. Ein hohes Restrisiko, das eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erfordern würde, sieht er nicht – vorausgesetzt, der Träger setzt die Punkte unter „Vom Träger zu ergänzen“ um. Die Abschätzung ist bei wesentlichen Änderungen der App zu überprüfen, spätestens nach zwölf Monaten.

6. Freigabe durch den Träger

Träger: ______________________________
Geprüft und ergänzt von: ______________________________
Rat der/des Datenschutzbeauftragten eingeholt am: ______________________________
Freigegeben am: ____________ durch: ______________________________

Siehe auch: Auftragsverarbeitung (Nr. 10b) · Datenschutz · Impressum