Datenschutz-Folgenabschätzung: App „FamLoop me“
Grundlage nach Art. 35 DSGVO für Träger im begleiteten Umgang · Stand: Oktober 2026 (ergänzt um die iPhone-Fassung) · bereitgestellt von der CertBoard GmbH (Auftragsverarbeiter)
1. Beschreibung der Verarbeitung
Zweck: Eltern und weitere Beteiligte im begleiteten Umgang sehen ihre Termine, sagen ab, schlagen Ersatz vor, stimmen Verschiebungen zu, lesen freigegebene Berichte und schreiben mit der Fachkraft – auf dem eigenen Android-Handy oder iPhone statt im Browser. Optional (je Familie von der Fachkraft eingeschaltet, mit Zustimmung beider Eltern): moderiertes Schreiben der Eltern untereinander.
Betroffene: Umgangsnehmende und -gebende Eltern, weitere Bezugspersonen mit Zugang; mittelbar Kinder (über Termine und Nachrichten); Fachkräfte und Koordination des Trägers.
Daten: Namen, Rolle, Termine und Termin-Verlauf, Absagegründe, Nachrichten, freigegebene Berichte und Rückmeldungen, Verfügbarkeiten, Kontaktangaben; Geräteangaben (Gerätename, App-Version, Zeitpunkte), Anmelde-Codes, Protokolldaten (Zeitpunkt, Art, IP-Adresse). Bei „Eltern untereinander“: Nachrichten, Bilder, Dateien und Reaktionen zwischen den Eltern, Zustimmungen, Moderationsstufen, Freigaben, zurückgehaltene Nachrichten. Die Inhalte können Sozialdaten und besondere Kategorien (Art. 9 DSGVO, etwa Gesundheit) sowie Angaben zu Konflikten und Schutzbedarfen enthalten.
Ablauf: Die Fachkraft gibt der Person einen Anmelde-Code (8 Zeichen, einmal, höchstens 7 Tage, bei Schutzbedarf 15 Minuten; persönlich, per SMS oder Telefon). Die App findet über ein zentrales Verzeichnis (nur Prüfwert, Adresse, Ablauf) den Träger und tauscht den Code gegen einen Geräte-Schlüssel; ein Handy je Person. Danach fragt die App beim Server des Trägers nach Neuem (Android alle 15 Minuten, iPhone sobald das iPhone es erlaubt; jeweils nur 7–20 Uhr) und zeigt eine inhaltslose Benachrichtigung.
Technik: Server und Sicherung in Deutschland (siehe AVV Nr. 10); keine App-Stores, keine Dienste Dritter auf dem Handy, keine Benachrichtigungsdienste Dritter, keine Drittlandübermittlung. Android: App nur über den Träger geladen. iPhone (nur wenn der Träger die iPhone-Fassung gesondert einschaltet): App über famloop.de geladen; Anbieter gegenüber Apple ist die CertBoard GmbH; Apple prüft jede neue Version, bevor sie verteilt wird („Notarisierung“), und erfährt bei Installation und Aktualisierung, dass auf dem Gerät „FamLoop me“ installiert wird – als eigene Verantwortliche gegenüber der Person, der das Gerät gehört, nicht im Auftrag des Trägers (AVV Nr. 10b).
2. Notwendigkeit und Verhältnismäßigkeit
- Rechtsgrundlage: Durchführung der Hilfe (Art. 6 Abs. 1 b, c, e DSGVO i. V. m. §§ 61 ff. SGB VIII, § 35 SGB I, §§ 67 ff. SGB X); die App-Nutzung ist freiwillig, das Schreiben der Eltern untereinander beruht auf Einwilligung (Art. 6 Abs. 1 a), jederzeit widerrufbar.
- Datenminimierung: Die App zeigt nichts über den Termin-Bereich im Browser hinaus (kein Jugendamt, keine Dokumentation, keine Raum- oder Privatanschriften). Offline nur kommende Termine.
- Alternative ohne App: Der Termin-Bereich im Browser und der Kontakt mit der Fachkraft bleiben vollständig erhalten; niemand wird benachteiligt, der die App nicht nutzt.
- Speicherbegrenzung: Geräte-Schlüssel endet nach Abmelden, 90 Tagen ohne Öffnen, Ende des Zugangs oder des letzten Falls; „Eltern untereinander“ nach Fallende 30 Tage lesbar, dann geschlossen; Akteninhalte nach den Aufbewahrungsfristen des Trägers.
- Information: Datenschutzhinweis nach Art. 13 unter
/familie/datenschutzder Adresse des Trägers, verlinkt auf der Ladeseite und im Termin-Bereich. Für die iPhone-Fassung nennt der Hinweis zusätzlich, was Apple bei der Installation erfährt; die iPhone-Fassung lässt sich erst einschalten, wenn er ergänzt ist.
3. Risiken für die Betroffenen
| Risiko | Bewertung ohne Maßnahmen |
|---|---|
| Fremde lesen auf einem geteilten oder verlorenen Handy Termine und Nachrichten (z. B. der andere Elternteil in hochstrittigen Familien, Gewaltschutz). | hoch |
| Ein Code oder Handy wird von der falschen Person angemeldet; ein Elternteil verschafft sich Zugang zu den Daten des anderen. | hoch |
| Der andere Elternteil erfährt im Schreiben untereinander Aufenthaltsort, neue Kontaktdaten oder Termine, trotz Kontaktverbot. | hoch |
| Verletzende oder drohende Nachrichten zwischen den Eltern; Druck auf Kinder. | mittel |
| Inhalte auf dem Sperrbildschirm, in Bildschirmfotos oder Gerätesicherungen (Cloud). | mittel |
| Abfluss von Sozialdaten bei App-Anbietern, Benachrichtigungs- oder Analysediensten. | mittel |
| iPhone: Apple erfährt bei der Installation, dass eine Person mit diesem Gerät eine App der Jugendhilfe nutzt. | gering |
| iPhone: Ein Elternteil fotografiert Nachrichten im Schreiben untereinander ab und nutzt sie gegen den anderen. | mittel |
| Manipulierte App-Datei. | mittel |
| Unbemerkte, unbefugte Zugriffe beim Träger. | mittel |
4. Maßnahmen
| Risiko | Maßnahmen (umgesetzt) |
|---|---|
| Geteiltes/verlorenes Handy | Sperre beim Öffnen (Gerätesperre oder eigener Code) einschaltbar, auf dem iPhone (Face ID oder Gerätecode) voreingestellt an; Abmelden löscht alles auf dem Handy; Koordination und Fachkraft können ein Handy abmelden und eine Person für die App sperren; offline nur kommende Termine, verschlüsselt (Android Keystore, AES-GCM; iPhone: Verschlüsselung des iPhones, der Schlüssel geht auf kein anderes Gerät über); 90 Tage ohne Öffnen beenden den Zugang. iPhone: Nach dem Löschen und neuen Installieren verwirft die App alle alten Schlüssel, damit ein gemeinsames Apple-Konto keinen Zugang mitnimmt. |
| Falsche Anmeldung | Code nur von der Fachkraft, einmal, kurz gültig (bei Schutzbedarf 15 Minuten); die App zeigt vor dem Anmelden den Vornamen („Sind Sie …?“), „Nein, das bin ich nicht“ macht den Code ungültig; ein Handy je Person – ein neues meldet das alte ab; Protokoll je Code (wer erzeugt, welches Handy eingelöst); Geräte-Schlüssel nur als Prüfwert gespeichert. |
| Kontakt trotz Verbot | „Eltern untereinander“ ist je Träger und je Familie aus, bis die Fachkraft einschaltet und beide Eltern zustimmen; bei „Gewaltschutz / Kontaktverbot“, „Keine Begegnung der Eltern“ oder § 8a ist direkter Kontakt gesperrt – höchstens „Freigabe“: jede Nachricht geht erst nach Prüfung durch die Fachkraft weiter; keine Dateien, kein Link zur App, kein Name des anderen; der Name des Gegenübers erscheint bei „Nur über die Fachkraft“ nicht. |
| Verletzende Nachrichten | Moderationsstufen (Direkt · Fachkraft liest mit · Freigabe · Nur über die Fachkraft), Stopp-Liste mit Zurückhalten und Pause, Begrenzung je Tag und Länge, nichts löschbar (Nachweis), Vorschläge zum Lockern nur mit Zusage aller. |
| Sperrbildschirm, Bildschirmfotos, Sicherungen | Benachrichtigungen ohne Inhalt; keine Gerätesicherung (Android: allowBackup=false; iPhone: von iCloud- und Gerätesicherung ausgenommen); keine Vorschläge in Siri, Spotlight oder Widgets; Bilder ohne Ort-, Geräte- und Zeitangaben gespeichert. Bildschirmfotos: auf Android gesperrt (FLAG_SECURE); auf dem iPhone technisch nicht zu verhindern – der Inhalt ist in der App-Übersicht sowie bei Bildschirmaufnahme und -spiegelung verdeckt, und im Schreiben untereinander lesen beide Eltern, gleich mit welchem Handy: „Was Sie schreiben, kann der andere Elternteil abfotografieren.“ Wer ein Bildschirmfoto macht, wird nicht erfasst. |
| Dienste Dritter | Keine App-Stores, kein Firebase, kein Benachrichtigungsdienst von Apple, keine Werbe- oder Analysebibliotheken und keine Dienste für Absturzberichte; das Handy fragt selbst beim Server des Trägers; Server in Deutschland; zentrales Code-Verzeichnis ohne Namen und Falldaten. iPhone: eigener Schalter je Träger, voreingestellt aus. |
| Manipulierte App | Android: Laden nur von der Adresse des Trägers über verschlüsselte Verbindung; die App ist signiert, Aktualisierungen werden gegen den festen Signatur-Fingerabdruck geprüft. iPhone: Laden nur über famloop.de; jede Version ist von Apple notarisiert und signiert, das iPhone prüft das vor dem Öffnen; auf dem App-Zettel und auf famloop.de/me steht famloop.de als einzige Quelle. Beide: Notschalter, der die App für alle abschaltet; zu alte Versionen der App lässt der Server nicht mehr zu. |
| Unbefugte Zugriffe beim Träger | Rechte wie im Termin-Bereich (eigene Fälle, Vertretung, Koordination); Zugriffsprotokoll; die Familie sieht, wer mitliest („Gelesen wird das von Ihrer Fachkraft und von der Koordination“). |
Vom Träger zu ergänzen: wer Codes ausgibt und wie (Büro, SMS, Telefon); Bestand auf Gewaltschutz durchsehen, bevor die erste Familie die App bekommt; wer „Eltern untereinander“ moderiert und vertritt; Löschfristen der Akte; Schulung der Fachkräfte; Ansprechperson für Betroffene.
5. Ergebnis
Mit den umgesetzten Maßnahmen schätzt der Auftragsverarbeiter das verbleibende Risiko als gering bis mittel ein, vergleichbar mit dem Termin-Bereich im Browser. Für die iPhone-Fassung kommt hinzu, dass Apple von der Installation erfährt und Bildschirmfotos nicht zu verhindern sind; dieses Restrisiko bewertet der Träger vor dem Einschalten. Ein hohes Restrisiko, das eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erfordern würde, sieht er nicht – vorausgesetzt, der Träger setzt die Punkte unter „Vom Träger zu ergänzen“ um. Die Abschätzung ist bei wesentlichen Änderungen der App zu überprüfen, spätestens nach zwölf Monaten.
6. Freigabe durch den Träger
Träger: ______________________________
Geprüft und ergänzt von: ______________________________
Rat der/des Datenschutzbeauftragten eingeholt am: ______________________________
Freigegeben am: ____________ durch: ______________________________
Siehe auch: Auftragsverarbeitung (Nr. 10b) · Datenschutz · Impressum