Mängelmelder und DSGVO: Datenschutz nach Maß
Die sicherste personenbezogene Angabe ist die, die gar nicht erst entsteht. Ortsmelder ist deshalb so gebaut, dass eine Gemeinde selbst bestimmt, wie viel Personenbezug ihr Mängelmelder überhaupt zulässt: von „nur festgelegte Kategorien, kein Freitext, kein Foto“ bis zu einem Foto, das für Fremde mathematisch unkenntlich gerechnet wird. Was die Gemeinde nicht freischaltet, kann niemand eingeben. Mehr dazu unter Was gespeichert wird.
Datensparsamkeit by Design
Unabhängig von Einstellungen gilt grundsätzlich (Datenschutz durch Technikgestaltung, Art. 25 DSGVO):
- Keine Cookies, nichts von Dritten auf der Seite, die Bürgerinnen und Bürger sehen; kein Konto, kein Name, keine E-Mail-Adresse.
- Keine IP-Adresse im Klartext: Zum Schutz vor Mehrfachmeldungen gibt es nur einen geschlüsselten Hash, lediglich für wenige Minuten.
- Scans werden anonym gezählt. Dies ist Grundlage für die Priorisierung von Meldungen und die allgemeine Statistik. Hierbei werden keine Daten erhoben, die eine Zuordnung zu Endgeräten oder Personen erlauben.
- Fotos werden im Browser bereinigt, bevor sie das Gerät verlassen (siehe unten): Metadaten wie der Aufnahmeort verlassen das Endgerät des Meldenden erst gar nicht.
Die Datenschutzstufen im Überblick
Es kann nach Wunsch festgelegt werden: was Bürgerinnen und Bürger eingeben dürfen (Stufen A und B) sowie was Fremde von bestehenden Meldungen sehen (Stufen 0 bis 3).
Was eingegeben werden darf
| Stufe | Einstellung | Was die Person eingeben kann | Personenbezug möglich? |
|---|---|---|---|
| A | Die Meldemöglichkeit „Sonstiges“ ist abgeschaltet (Meldearten) | Es gibt nur festgelegte Kategorien, dazu der Ort. Kein Freitextfeld, kein Foto-Upload. | Weder Freitext noch Foto-Upload möglich: Es gibt keine Stelle, an der personenbezogene Daten hochgeladen werden könnten. |
| B | Die Meldemöglichkeit „Sonstiges“ ist eingeschaltet (der Standard) | Zusätzlich können durch den Meldenden Überschrift, Beschreibungstext und Foto optional angegeben werden. Es erfolgt ein deutlicher Hinweis, hierbei nichts Persönliches anzugeben. | Ja, durch das, was jemand schreibt oder fotografiert. Auch für diesen Fall ist der Umgang mit Textfeldern und Bildern klar geregelt und einstellbar. Es gibt keine öffentliche Karte oder Liste von Meldungen. Um die Zuordnung zu bestehenden Meldungen zu ermöglichen, werden Meldenden bestehende Meldungen angezeigt. Hierbei ist festlegbar, ob sie lediglich die Kategorie oder auch Inhalte der Vormeldungen sehen können. Fotos werden immer so verfremdet, dass darauf keine personenbezogenen Daten (Gesichter, Kfz-Kennzeichen) sichtbar sind. |
Was Fremde von bestehenden Meldungen sehen
Auf der Seite für freie Meldungen zeigt die Prüfung „Was ist in der Nähe schon gemeldet?“, was bereits vorliegt. Wie viel davon Fremde sehen, stellt die Gemeinde unter Ohne QR-Code ein:
| Stufe | Fremde sehen | Hinweis |
|---|---|---|
| 0 (Voreinstellung) | Nur die Kategorie und wie lange eine Vormeldung her ist | Keine Anzeige von Freitextfeldern der Vormeldungen |
| 1 | Kategorie und Überschrift | Mitarbeitende können einzelne Meldungen mit „Nicht öffentlich anzeigen“ ausnehmen. |
| 2 | Kategorie, Überschrift und Text | Mitarbeitende können einzelne Meldungen mit „Nicht öffentlich anzeigen“ ausnehmen. |
| 3 | Optional zusätzlich eine unkenntlich gerechnete Kopie des Fotos | Umgebung erkennbar, Gesichter, Kennzeichen und Schrift nicht. |
Die Voreinstellung ist die strengste Stufe: Wer nichts einstellt, zeigt Fremden nur die Kategorie.
Metadaten: das Foto ist sauber, bevor es hochgeladen wird
Ein Handyfoto trägt oft mehr mit sich als das Bild: Aufnahmeort (GPS), Aufnahmezeit, Gerätetyp. Genau das soll bei einer Meldung nicht an die Gemeinde gehen. Deshalb passiert die Bereinigung im Browser der meldenden Person, nicht erst auf dem Server: Das Foto wird dort neu gespeichert und verkleinert. Dabei werden alle Metadaten (EXIF, einschließlich GPS) nicht mitgenommen. Erst dieses bereinigte Foto wird hochgeladen; die Meldung kennt den Ort, den die Person auf der Karte gewählt hat, aber nie den, der durch das Endgerät möglicherweise im Foto abgespeichert wurde.
Der Server macht dasselbe noch einmal, als zweite Sicherung, falls ein Browser die Bereinigung nicht kann (er lädt dann das Original hoch, und der Server entfernt die Metadaten beim Speichern). Auch Mitarbeitende sehen also nie die Metadaten eines Fotos.
Das Foto, das nichts verrät
Stufe 3 ist die einzige, bei der überhaupt ein Bild für Fremde sichtbar wird, und sie verlässt sich nicht darauf, dass eine Software Gesichter und Kennzeichen „findet“ und schwärzt. Das lässt sich nicht garantieren. Stattdessen wird das ganze Bild auf etwa 32 Pixel Kantenlänge heruntergerechnet und erst danach wieder vergrößert und weichgezeichnet. Was beim Herunterrechnen verloren geht, ist nicht mehr vorhanden, nicht nur verdeckt: Auch mit nachträglichem Schärfen lässt sich ein Kennzeichen daraus nicht zurückholen. Übrig bleibt, was für die Meldung zählt: ein Haufen Sperrmüll, ein umgestürzter Baum, eine grobe Zuordnung des Ortes oder Sachverhaltes.
Das Original sehen nur Mitarbeitende der Gemeinde, die die Meldung bearbeiten. Wer auch das ausschließen möchte, wählt Stufe A, dann können Meldende erst gar keine Bilder hochladen.
Optional: den Fortschritt verfolgen, ohne Namen und ohne E-Mail-Adresse
Wer eine Meldung einreicht (Meldungsarten mit Text und Foto), kann auf Wunsch der Gemeinde einen Link bekommen, unter dem sich der Stand verfolgen lässt: eingegangen, in Bearbeitung, erledigt, dazu die Notizen, die die Mitarbeitenden für die meldende Person als zugänglich markiert haben.
- Kein Name, keine E-Mail-Adresse, kein Konto. Die Plattform fragt nie nach persönlichen Angaben und verschickt keine E-Mails an Bürgerinnen und Bürger.
- Der Link wird nur einmal angezeigt, direkt nach dem Absenden der Meldung.
- Aufbewahren geschieht auf dem Gerät der Person: Link kopieren, über das Teilen-Menü weitergeben, als QR-Code mitnehmen (zum Beispiel per Foto des Bildschirms) oder mit „Per E-Mail an mich selbst“.
Letzteres öffnet das eigene Mailprogramm der Person mit einer vorbereiteten Nachricht (
mailto:), in die sie ihre Adresse selbst einträgt. Die Nachricht wird von ihrem Gerät gesendet, nicht von der Plattform: die Adresse erreicht unseren Server nie. - Der Link zeigt die Meldung, wie sie gesendet wurde, den Status und, wenn gewünscht, als für Meldende sichtbar markierte Notizen der Mitarbeitenden.
Bei den Ein-Klick-Meldungen („Behälter voll“, „Tüten leer“, eigene Meldearten) gibt es bewusst keinen Link: Dort genügt ein Tipp, und wer den QR-Code später noch einmal scannt, sieht „schon gemeldet“.
Welche Kombination passt für Sie?
- Möglichst wenig Risiko: Stufe A mit Sichtbarkeit 0. Die Mitarbeitenden bekommen Art, Ort und Zeitpunkt; ein Problembaum mit genauen Kategorien ersetzt den Freitext.
- Ausgewogen: Stufe B, Sichtbarkeit 0 oder 1. Mitarbeitende lesen Text und Foto, Fremde sehen nur die Kategorie oder die Überschrift.
- Möglichst anschaulich: Stufe B, Sichtbarkeit 3. Fremde sehen, dass an einer Stelle schon Sperrmüll liegt, ohne dass ein Gesicht oder ein Kennzeichen erkennbar wäre.
Jede Stufe lässt sich später ändern. Bereits eingegangene Meldungen bleiben dabei, wie sie sind.