gemäß Art. 28 DSGVO - Version 4.1 - Stand: Oktober 2026
zwischen
[Kunde / Träger / Einrichtung] („Verantwortlicher“)
und
997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13, 67677 Enkenbach-Alsenborn
(im Folgenden: „Auftragsverarbeiter“)
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Kita-Management-Software app.bienenstock-kita.de.
(2) Die Verarbeitung beginnt mit Abschluss des Software-Nutzungsvertrags und gilt für die Dauer der Nutzung der Software durch den Verantwortlichen. Der Software-Nutzungsvertrag kommt mit der Bestätigung der rechtlichen Dokumente (AGB, dieser AVV, Datenschutzhinweise) per Checkbox durch die vertragsschließende Person zustande (Einzelheiten in §12). Der Software-Nutzungsvertrag umfasst ausdrücklich auch das kostenlose Paket.
Die Verarbeitung umfasst folgende konkrete Vorgänge:
Zwecke der Verarbeitung:
Verarbeitete Datenarten, differenziert nach Betroffenengruppen:
Grundsatz der Datenminimierung - Pflicht- und optionale Felder (Art. 5 Abs. 1 lit. c DSGVO)
Der Klarname des Kindes ist nicht Pflicht; bleibt er leer, wird „Kein Name“ angezeigt. Ein Betrieb mit Kürzel oder Spitzname ist vorgesehen. Die Pflichtangaben in den Tabellen sind für Check-in, Kapazität und den Betreuungsvertrag erforderlich. Optionale Angaben werden nur verarbeitet, wenn der Verantwortliche sie erfasst oder die zugehörige Funktion aktiviert (Art. 5 Abs. 1 lit. c DSGVO).
Kinder
| Pflichtangaben | Optional |
|---|---|
| Kennung/Pseudonym, Betreuungsfaktor, Gruppe, Betreuungsart, Geburtsdatum, Alterskategorie (abgeleitet aus dem Geburtsdatum), Check-in-/Check-out-Zeitstempel, Abwesenheitsgründe (krank, urlaub, termin, sonstiges), Betreuungszeit von/bis, Unterbrechung über Mittag, Stundenumfang pro Woche, Zahl der Betreuungstage pro Woche, Betreuungsdauer Schulkind, Wochenendbetreuung, Betreuung am Vor- und Nachmittag, Teilnahme am Mittagessen, Mittagessen-Kategorie, Aufnahmedatum, Aufnahmemonat/-jahr, gültig ab/bis, Austrittsdatum | Name bzw. Pseudonym/Kürzel, Vor- und Nachname, Wohnort, Straße, Postleitzahl, Ort, Archivierungszeitstempel, amtliche Kind-Nummer, BG-Nummer, Gebietsfremd-Kennzeichen, Betreuungszeitraum (Vertragsbeginn und -ende), E-Mail-Adresse am Kind-Datensatz (für Beleg- und Dokumentenversand, einschließlich Essensabrechnung), Abrechnungsmerkmale der Essensabrechnung (Zeitraum, abgerechnet), Freitext-Notizen, Kinderfoto (nur bei erteilter Freigabe „Foto des Kindes auf den Geräten der KiTa“ der Eltern; ohne KI), Geschlecht, Schulbesuch, Klassenstufe, Pendlerkind, Betreuung nach § 64a SchulG, Eingliederungshilfe (körperlich, geistig, seelisch), BTHG-finanzierter Platz, erhöhter Förderbedarf, vorrangige Familiensprache, Eltern ausländischer Herkunft, geflüchtetes Kind aus der Ukraine, Allergien und Unverträglichkeiten, Essenshinweis-Freitext |
Statistik- und Landesreporting-Felder sowie besondere Kategorien nach Art. 9 DSGVO stehen in der Spalte Optional und werden nur erhoben, soweit die Einrichtung sie erfasst (Landesreporting bzw. amtliche Statistik nach § 47 SGB VIII, oder operativ Allergien/Essenshinweise). Art.-9-Daten werden getrennt und mit erhöhtem Schutzniveau verarbeitet. Die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO stellt der Verantwortliche sicher. Bei aktiviertem Lieferanten-Zugang gehen Allergien und Essenshinweise an den vom Verantwortlichen benannten Essenslieferanten (Empfänger auf Weisung, nicht Unterauftragsverarbeiter).
Personal
| Pflichtangaben | Optional |
|---|---|
| Name bzw. Kürzel, Kennung/Pseudonym, Personal-Typ (sofern konfiguriert), Check-in-/Check-out-Zeitstempel | Gruppenzuordnung, Personalnummer, Einstellungsdatum, Befristung des Arbeitsvertrags, Vertragsende, Drittanstellung, Qualifikation zur Praxisanleitung, Arbeitsbereiche, Arbeitszeitmodell, tägliche Arbeitszeiten, Wochenstunden, Monatsstunden, Arbeitsort-Kennzeichen (Homeoffice, Ausflug, außer Haus), geplante Dienste, Abwesenheiten, Dienstplan-Vorlagen, Stundenkonto, Sitzungsdaten der Personal-App (Refresh-Tokens, gehasht gespeichert) und Hash des persönlichen App-Passworts, Teilnahme an Personal-Terminen, Raumreservierungen, Kürzel als annehmende Person einer Barzahlung (auf dem Beleg für die Sorgeberechtigten sichtbar), Geschlecht, Geburtsmonat und -jahr, Beschäftigungsumfang, Berufsausbildungsabschluss, Stellung im Beruf, Art der Beschäftigung, Arbeitsbereich, tarifliche Eingruppierung, Zeitmeldungen, Krankmeldungen |
Statistik- und Landesreporting-Felder des Personals stehen in der Spalte Optional und werden nur erhoben, soweit für die amtliche Statistik einzelner Bundesländer erforderlich. Chat und Pinnboard: unten unter Nachrichten.
Eltern/Sorgeberechtigte (via Eltern-App und API):
Personal (zusätzlich via Personal-App; Anlage 2B):
Nutzerkonten (alle Rollen):
Protokolldaten (Logs):
Nachrichten:
Gruppenreporte, Tagesreporte und Meldungen:
Kita-Metadaten (optional, soweit konfiguriert):
Weitere betroffene Personen (soweit die jeweilige Funktion genutzt wird):
KI-Funktionen (nach Maßgabe der Voreinstellungen und Schalter; Einzelheiten in Anhang C):
Die KI-Funktionen können einzeln an- und abgeschaltet werden; mit einer abgeschalteten Funktion entfallen auch die zugehörigen Datenkategorien. Der Träger kann Funktionen sperren und die KI-Datenschutz-Stufe nach oben begrenzen. Je nach Einstellung werden folgende Daten verarbeitet:
Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der folgenden Pflichten gemäß Art. 28 Abs. 3 DSGVO:
(1) Weisungsbindung (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation -, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
(2) Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Auftrags fort.
(3) Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c i.V.m. Art. 32 DSGVO)
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen gewährleistet der Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau. Die konkreten Maßnahmen sind in §5 dieses Vertrags beschrieben.
(4) Unterauftragsverarbeiter (Art. 28 Abs. 3 Satz 2 lit. d i.V.m. Art. 28 Abs. 2 und 4 DSGVO)
Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen in Anspruch. Die in Anlage 1 und Anlage 2A genannten Unterauftragsverarbeiter gelten mit Vertragsschluss als genehmigt; jede weitere Hinzuziehung oder Ersetzung bleibt bis zur Bestätigung technisch gesperrt (§9).
(5) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den Art. 15 bis 22 DSGVO genannten Rechte der betroffenen Personen. Hierzu zählen insbesondere das Auskunftsrecht (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), die Mitteilungspflicht (Art. 19), das Recht auf Datenübertragbarkeit (Art. 20), das Widerspruchsrecht (Art. 21) sowie das Recht auf Nichtunterwerfung unter automatisierte Einzelentscheidungen (Art. 22).
(6) Unterstützung bei Sicherheitspflichten (Art. 28 Abs. 3 Satz 2 lit. f DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere die Unterstützung bei:
(7) Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO)
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, damit der Verantwortliche seine Meldepflicht gemäß Art. 33 Abs. 1 DSGVO (72-Stunden-Frist gegenüber der Aufsichtsbehörde) einhalten kann. Die Meldung enthält mindestens:
(8) Löschung und Rückgabe (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)
Nach Abschluss der Erbringung der Verarbeitungsdienstleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Einzelheiten sind in §8 dieses Vertrags geregelt.
(9) Nachweispflichten (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und unterstützt Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Die Einzelheiten sind in §7 dieses Vertrags geregelt.
(10) Verarbeitungsverzeichnis (Art. 30 Abs. 2 DSGVO)
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchführt, das die in Art. 30 Abs. 2 lit. a bis d DSGVO genannten Angaben enthält.
Der Auftragsverarbeiter hat folgende Maßnahmen nach Art. 32 Abs. 1 lit. a-d DSGVO implementiert. Gemäß Art. 32 Abs. 1 DSGVO sind unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen umfassen insbesondere:
Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu personenbezogenen Daten (Art. 32 Abs. 2 DSGVO).
Die Maßnahmen orientieren sich an den Schutzzielen des § 64 Abs. 3 BDSG:
Die nachfolgende Darstellung beschreibt die konkreten Umsetzungen dieser Schutzziele. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst (Art. 32 Abs. 1 lit. d DSGVO).
Änderungen der TOMs werden wie folgt unterschieden:
1. Zutrittskontrolle (logisch)
Supabase Auth mit JWT und automatischem Token-Refresh; Row-Level Security (RLS) auf allen Datenbanktabellen; Column-Level Security auf der Kita-Tabelle.
2. Zugangskontrolle
Client-seitig: getrennte Passwörter je Rolle (Admin, Personal, Eltern, Lieferant); Admin-Passwort mit zusätzlichem, kurzlebigem Server-Token für sensible Aktionen; persönliches Passwort je Person in der Personal-App; API-Key-Authentifizierung für die Eltern-API; serverseitige Begrenzung von Fehlversuchen je Netz und je Einrichtung.
Betreiber-seitig: Zugang zu Produktivsystemen, Datenbanken und Infrastruktur ist auf autorisiertes Personal beschränkt und durch individuelle Authentifizierung gesichert.
3. Zugriffskontrolle
Client-seitig: RLS-Policies auf Datenbankebene; rollenbasiertes Berechtigungskonzept mit den Stufen Träger-Manager, Kita-Admin und Staff. Kita-Admin und Staff greifen ausschließlich auf Daten der eigenen Einrichtung zu. Ein Trägerkonto sieht die Daten der dem Träger zugeordneten Kitas; vom Trägerkonto eingeladene Nutzer erhalten nach Annahme der Einladung ebenfalls Einsicht und Bearbeitung dieser Kita-Daten. Eine Einsicht in Daten anderer Träger besteht nicht.
Betreiber-seitig: Zugriff auf personenbezogene Daten ausschließlich nach dem Prinzip der Erforderlichkeit (Need-to-know), beschränkt auf Wartung, Support und Fehlerbehebung.
4. Weitergabekontrolle
TLS 1.2/1.3 für sämtliche Datenübertragungen; HTTPS-only-Konfiguration (Vercel); keine unverschlüsselten Schnittstellen.
5. Eingabekontrolle
Client-seitige Validierung (Formik + Yup); serverseitige Validierung; Protokollierung aller Check-in-/Check-out-Vorgänge mit Zeitstempel.
6. Verfügbarkeitskontrolle
Supabase Managed Database (Frankfurt) mit automatisierten Backups und Point-in-Time Recovery; Vercel Edge-Netzwerk mit Ausfallsicherheit; Reconnection-Logik mit exponentiellem Backoff (2 s → 30 s), danach Wiederholung im 60-Sekunden-Takt.
7. Trennungskontrolle
Datenbankebene: Mandantentrennung über Row-Level Security (RLS) auf allen Tabellen - jede Policy prüft die Zugehörigkeit zur jeweiligen Einrichtung (kita_id). Column-Level Security (CLS) auf sensiblen Spalten (z. B. Passwörter). Blanket Denial als Baseline (REVOKE ALL für unauthentifizierte Zugriffe). Storage-Buckets ebenfalls RLS-geschützt.
Applikationsebene: Frontend nutzt ausschließlich eingeschränkte API-Schlüssel (kein Service-Role-Key); Service-Role-Key nur serverseitig in API-Routes. Realtime-Subscriptions durch RLS gefiltert. Einrichtungen können ausschließlich eigene Daten einsehen. Trägerkonten (einschließlich eingeladener Nutzer) sehen und bearbeiten die Daten der dem Träger zugeordneten Kitas; eine trägerübergreifende Einsicht besteht nicht.
8. Pseudonymisierung
Optional konfigurierbar: Kürzel anstelle von Klarnamen in der Anzeige; pseudonymisierte Kind-IDs (Kind-Codes) in der Eltern-App.
9. Fehlerüberwachung
Technische Fehlerereignisse werden an Sentry (Functional Software, Inc.) in der EU-Region Frankfurt (FRA) übermittelt. Stacktraces und technische Metadaten ohne Chat-, Prompt- oder Audio-Nutzlasten; bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ. Session Replay zeichnet Bildschirmabläufe der Web-Anwendung zur Fehlerreproduktion auf, auch auf Check-in-Tablets und den öffentlichen Seiten für Sorgeberechtigte; Texte und Eingaben werden maskiert, Bilder und Medien nicht aufgezeichnet; soweit die Maskierung im Einzelfall nicht greift, können sichtbare Namen enthalten sein.
10. Offline-Betrieb der Check-in-Tablets
Damit der Check-in bei Netzausfall weiterläuft, speichert das Tablet eine Arbeitskopie im lokalen Browser-Speicher (IndexedDB): Kinder (Name, Kürzel bzw. PIN, Gruppe, Betreuungsart, Betreuungsfaktor, Essensmerkmal), Personal (Name, Kürzel bzw. PIN, Gruppe, Personaltyp) sowie die Statusmeldungen des laufenden Tages; noch nicht übertragene Buchungen werden bis zur Synchronisierung zwischengespeichert. Die Kopie liegt nur auf dem jeweiligen Gerät und wird bei Abmeldung oder Kontowechsel gelöscht. Der Verantwortliche sichert die Geräte durch Gerätesperre und Geräteverschlüsselung.
11. Einwilligungen und Nachweise
Eine Einwilligung mit Herkunft „Eltern“ entsteht nur über einen Link an die von der Einrichtung hinterlegte Adresse; die Einrichtung kann Freigaben zusätzlich selbst eintragen (Herkunft „Einrichtung“, Anlage 5 §2 Abs. 3). Der Link enthält ein einmaliges Token, das nur als Prüfwert gespeichert wird, eine Stunde gilt und aus Fehlerprotokollen entfernt wird. Aufrufen und Bestätigen sind getrennt, damit ein automatischer Abruf des Links keine Einwilligung auslöst. Der bestätigte Wortlaut wird gespeichert; eine geänderte Freigabe macht offene Links ungültig. Erteilte Einwilligungen sind nicht nachträglich änderbar; eine von Eltern erteilte Einwilligung kann nur der Server schreiben. Unterschriften liegen in einem privaten Speicher ohne Zugriff aus dem Browser.
12. Bankanbindung
Nur lesender Zugriff auf das Konto der Einrichtung; Zugangs-Tokens AES-256-GCM-verschlüsselt, nur serverseitig lesbar und beim Trennen gelöscht; gespeichert werden nur Angaben zu zugeordneten Eingängen und vom Verantwortlichen zugeordneten Ausgängen, nie Name oder IBAN von Zahlenden oder Empfängern.
Stand: Oktober 2026. Sofort wirksame TOM-Anpassungen werden dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt. Alle übrigen TOM-Änderungen folgen §12 Abs. 3.
(1) Der Verantwortliche ist gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Er bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 Abs. 1 DSGVO).
(2) Der Verantwortliche stellt sicher, dass die Verarbeitung im Einklang mit den Grundsätzen des Art. 5 Abs. 1 DSGVO erfolgt, insbesondere:
(3) Der Verantwortliche ist insbesondere verantwortlich für:
(4) Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen hinsichtlich Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen sind schriftlich oder in einem elektronischen Format zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
(5) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse der Verarbeitung feststellt.
(6) Ist der Verantwortliche ein öffentlicher Träger (Stelle nach § 35 SGB I), sind die Daten von Kindern und Eltern Sozialdaten nach § 61 Abs. 1 SGB VIII und § 67 Abs. 2 SGB X; § 80 SGB X gilt unmittelbar. Bei freien Trägern ist der Schutz dieser Daten nach § 61 Abs. 3 SGB VIII in entsprechender Weise zu gewährleisten. Die Beauftragung eines webbasierten Anbieters gilt nach der IFP-Expertise KitaApps (3. Auflage, 2025) typischerweise als anzeigepflichtige Auftragsverarbeitung nach § 80 Abs. 1 SGB X. Die Anzeige obliegt dem Verantwortlichen. Das IFP empfiehlt sie mindestens vier Wochen vor Vertragsschluss; das ausfüllbare Formular liegt bei der Expertise. Der Auftragsverarbeiter reicht die Anzeige nicht ein.
(7) Für kirchliche Träger gelten neben der DSGVO das KDG (katholisch) bzw. das DSG-EKD (evangelisch) mit eigenen Aufsichtsbehörden. Inhaltlich sind die Anforderungen an Auftragsverarbeitung und technische Maßnahmen weitgehend parallel; zuständige Stellen sind gesondert zu ermitteln. Die ergänzenden Regelungen für kirchliche und öffentliche Träger enthält Anlage 3.
(8) Zugänge. Trägerkonten und das Konto der Einrichtung sind Anmeldekonten mit E-Mail und Passwort. Im Trägerbereich kann jedes Konto weitere persönliche Konten einladen; alle Konten haben dieselben Rechte (Einsicht und Bearbeitung aller zugeordneten Einrichtungen). Abgestufte Rollen gibt es derzeit nicht; ein Konto entfernt der Auftragsverarbeiter auf Anfrage. Das Konto der Einrichtung nutzt die Leitung gemeinsam; einzelne Bereiche schützen zusätzlich die Seitensperren (§3). Der Verantwortliche
Bei geteilten Zugängen lässt sich nicht nachvollziehen, welche Person gehandelt hat; das betrifft auch den Nachweis der Vertragsbestätigung nach §12, der Name und Konto der bestätigenden Person festhält.
(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags und der datenschutzrechtlichen Vorgaben zu überprüfen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Die Überprüfung kann erfolgen durch:
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage aktuelle Nachweise über die Einhaltung der technischen und organisatorischen Maßnahmen zur Verfügung. Hierzu zählen insbesondere die Zertifizierungen und Auditberichte der eingesetzten Unterauftragsverarbeiter.
(3) Aufwand, der über eine Prüfung pro Kalenderjahr sowie die gesetzlich geschuldete Unterstützung hinausgeht, wird nach Zeitaufwand zu marktüblichen Sätzen vergütet.
(1) Gesetzliche Aufbewahrungspflichten für die im Auftrag verarbeiteten Daten, insbesondere nach § 47 Abs. 2 SGB VIII, nach Landesrecht sowie nach haushalts-, zuwendungs- oder steuerrechtlichen Vorschriften, obliegen allein dem Verantwortlichen. Der Auftragsverarbeiter speichert die Daten nur für die Dauer dieses Vertrags und nach Weisung des Verantwortlichen; eine eigene gesetzliche Speicherpflicht des Auftragsverarbeiters im Sinne des Art. 28 Abs. 3 Satz 2 lit. g DSGVO besteht nicht.
(2) Während der Vertragslaufzeit richten sich Löschfristen nach den Weisungen des Verantwortlichen (in der Software konfigurierbare Aufbewahrungsdauer). Der Auftragsverarbeiter löscht Daten nicht vor Ablauf der vom Verantwortlichen festgelegten Frist, es sei denn, der Verantwortliche weist dies an. Einzelne Personen (Kinder, Personal) werden in der Software archiviert und nicht sofort gelöscht, damit der Verantwortliche seine Aufbewahrungspflichten erfüllen kann; archivierte Datensätze sind aus der laufenden Nutzung entfernt. Löschanträge betroffener Personen (Art. 17 DSGVO) setzt der Auftragsverarbeiter auf Weisung des Verantwortlichen um, indem er die betreffenden Datensätze endgültig löscht, soweit keine Aufbewahrungspflicht des Verantwortlichen entgegensteht.
(3) Der Verantwortliche kann jederzeit, spätestens bis zum Vertragsende, einen vollständigen Export in maschinenlesbarem Format (CSV) sowie Anwesenheitsnachweise als PDF abrufen; dies ist die Rückgabe im Sinne des Art. 28 Abs. 3 Satz 2 lit. g DSGVO. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei allen Exporten und Datenübergaben und stellt den Export auf Wunsch über einen sicheren Übertragungsweg bereit.
(4) Der Auftragsverarbeiter löscht sämtliche personenbezogenen Daten in Produktivsystemen 30 Tage nach Vertragsende oder, falls früher, 7 Tage nach vom Verantwortlichen bestätigtem Export. Kopien in Datensicherungen werden spätestens 30 Tage nach Vertragsende durch Rotation überschrieben und bis dahin nicht wiederhergestellt, außer zur Wiederherstellung auf Weisung. Verworfene Check-in-Aktionen (discarded_actions) bleiben nach Löschung einer einzelnen Person bewusst erhalten (dokumentierte Aufbewahrung, §3); sie werden gleichwohl mit dem übrigen Datenbestand nach Satz 1 gelöscht. Nach Abschluss erhält der Verantwortliche eine Löschbestätigung (Datum, Umfang, Systeme).
(5) Der Verantwortliche ist dafür verantwortlich, die exportierten Unterlagen für die Dauer seiner gesetzlichen Aufbewahrungsfristen selbst vorzuhalten.
(6) Kostenloses Paket: Endet die Nutzung des kostenlosen Pakets, gelten für Export und Löschung Abs. 3 und 4.
(7) Ein vom Auftragsverarbeiter überlassenes Leihgerät (Tablet) ist vor der Rückgabe von sämtlichen Daten zu befreien und auf Werkseinstellungen zurückzusetzen. Der Auftragsverarbeiter prüft die Rücksetzung nach Rückerhalt des Geräts und führt sie erforderlichenfalls erneut durch.
(8) Automatische Löschfristen einzelner Funktionen (unabhängig von Abs. 4):
(1) Der Verantwortliche genehmigt mit Vertragsschluss den Einsatz der in Anlage 1 und Anlage 2A genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).
(2) Jede Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters ist technisch gesperrt, bis die vertragsschließende Person die aktualisierte Vereinbarung (einschließlich der geänderten Anlage) gelesen und per Checkbox bestätigt hat. Vor dieser Bestätigung fließen keine personenbezogenen Daten an den neuen oder ersetzten Anbieter. Ein 14-Tage-Einspruch ohne Sperre findet nicht statt. Bis zur Bestätigung bleiben ausschließlich die zuvor genehmigten Unterauftragsverarbeiter im Einsatz.
(3) Für Aufforderung zur Bestätigung, E-Mail und Erinnerung gilt §12 Abs. 1 und 2.
(4) Der Auftragsverarbeiter stellt gemäß Art. 28 Abs. 4 DSGVO sicher, dass mit jedem Unterauftragsverarbeiter ein Vertrag geschlossen wird, der diesem mindestens dieselben Datenschutzpflichten auferlegt wie in diesem AVV festgelegt.
(1) Speicherorte: Personenbezogene Daten werden ausschließlich innerhalb der Europäischen Union gespeichert; Ausnahmen regelt abschließend Abs. 2. Zum Stand dieses Vertrags sind die Unterauftragsverarbeiter so konfiguriert:
Die Personal-App sendet ihre Anfragen direkt an die Anwendung (Vercel, Frankfurt). Meldungen aus beiden Apps (Abmeldungen, Essensabsagen, Abholmeldungen, Zeiten, Check-in/Check-out, Krankmeldungen, Chat-Nachrichten) werden ausschließlich innerhalb Deutschlands an Supabase übergeben.
(2) Ausnahmen: Folgende Datenflüsse können systembedingt über Infrastruktur außerhalb der EU laufen:
Das Kernprodukt benötigt keinen dieser Flüsse. Der Verantwortliche kann sie sowie die übrigen KI-Funktionen jederzeit deaktivieren bzw. nicht einsetzen.
(3) Keine Drittlandübermittlung im Übrigen: Zum Zeitpunkt des Vertragsschlusses besteht - außer nach Abs. 2 - keine aktive Datenübermittlung in Drittländer im Sinne von Art. 44 DSGVO, die auf eine dauerhafte Speicherung außerhalb der EU abzielt. Die DPF- und SCC-Grundlagen nach Abs. 4 und 5 sichern gegenüber den US-Muttergesellschaften der eingesetzten Cloud-Anbieter und gegenüber potenziellen Zugriffen nach US-Recht (insbesondere CLOUD Act) ab, für die Bild-Erzeugung auch die Verarbeitung auf dem globalen Endpunkt.
(4) Überwachung der Transfergrundlage: Der Auftragsverarbeiter überwacht fortlaufend die Gültigkeit des EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Datenübermittlungen bzw. potenzielle Zugriffsmöglichkeiten in die USA werden derzeit bei folgenden Unterauftragsverarbeitern (auch) auf Grundlage des DPF abgesichert:
(5) Fallback auf Standardvertragsklauseln: Für die vorgenannten Dienste mit Ausnahme von Apple (APNs) bestehen ergänzend Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 als eigenständige Transfergrundlage gemäß Art. 46 Abs. 2 lit. c DSGVO. Bei Wegfall, Aussetzung oder Ungültigerklärung des EU-U.S. DPF stellt der Auftragsverarbeiter die Transfergrundlage bei diesen Diensten ohne Unterbrechung des Dienstes auf die SCCs um und informiert den Verantwortlichen hierüber unverzüglich, spätestens innerhalb von 30 Tagen nach Kenntnisnahme. Für APNs bietet Apple keine SCCs an; iOS-Push kann in diesem Fall deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen. Für Supabase Inc. gelten Standardvertragsklauseln (2021/914).
(6) Ergänzende Schutzmaßnahmen (Transfer Impact Assessment): Im Einklang mit den EDSA-Empfehlungen 01/2020 werden folgende zusätzliche technische und organisatorische Schutzmaßnahmen angewendet:
(7) Eskalation bei Wegfall auch der SCCs: Sollten auch die Standardvertragsklauseln durch Urteil des EuGH oder verbindlichen Beschluss einer Aufsichtsbehörde als unzureichend eingestuft werden, ergreift der Auftragsverarbeiter mindestens eine der folgenden Maßnahmen und informiert den Verantwortlichen mit mindestens 14 Tagen Vorlauf:
(8) Auswirkungen auf das Kernprodukt: Die Datenlokalisierungdes Kernprodukts ist von einem Wegfall des EU-U.S. DPF nicht betroffen - alle personenbezogenen Kerndaten verbleiben an ihrem Speicherort nach Abs. 1. Betroffen ist ausschließlich die rechtliche Transfergrundlage für diejenigen Dienstleister, deren Muttergesellschaft ihren Sitz in den USA hat (konkret: Vercel Inc., Supabase Inc., Functional Software, Inc. und Google). Für diese würden die SCCs als Transfergrundlage greifen (siehe Abs. 5), ohne dass der physische Speicherort oder der Dienstbetrieb unterbrochen wird. Sollten auch die SCCs durch Urteil oder behördlichen Beschluss als unzureichend eingestuft werden, würde der Auftragsverarbeiter auf EU-ansässige Ersatzanbieter ohne US-Muttergesellschaft migrieren. Die Push-Funktionalität der Eltern-App und der Personal-App (FCM, APNs, Expo) und die optionale KI-Bild-Erzeugung können in einem solchen Szenario deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine ihr zuzurechnende Verletzung der DSGVO verursacht werden. Der Auftragsverarbeiter haftet für das Verschulden seiner Mitarbeiter und von ihm eingesetzter Unterauftragsverarbeiter wie für eigenes Verschulden.
(1) Der Vertragsschluss erfolgt durch eine aktive Bestätigung (Checkbox) im authentifizierten Konto der vertragsschließenden Person. Vertragsschließende Person ist die im jeweiligen Konto angemeldete Person, die für den Verantwortlichen handelt. Wer Vertragspartei ist, richtet sich nach der Zuordnung der Einrichtung:
Jede Vertragsbestätigung und jede Kenntnisnahme wird mit Name, E-Mail, Rolle (Trägerkonto bzw. Kita-Leitung), Art des Vorgangs (Vertrag oder Kenntnisnahme), Zeitstempel, der Versionsnummer dieses AVV einschließlich seiner Anlagen (Anlage 1, Anlage 2A, Anlage 2B, Anlage 3, Anlage 4, Anlage 5, Anhang C) und der zuvor bestätigten Version gespeichert.
(2) Am Tag der Bereitstellung einer neuen Fassung und mit jeder Bestätigung nach Abs. 1 erhält die vertragsschließende Person per E-Mail die vollständigen Unterlagen: diesen AVV einschließlich sämtlicher Anlagen in der jeweiligen Versionsnummer sowie, nach Bestätigung, die Bestätigungsdatensätze (Name, E-Mail, Rolle, Zeitstempel). Zusätzlich enthalten die Mails Downloadlinks auf dieselben Fassungen. Dieselbe Fassung kann jederzeit auf der Webseite heruntergeladen, eingesehen und gespeichert werden (Druckfunktion). Eine gesonderte postale Rücksendung erfolgt nicht. Ausstehende Bestätigungen und geänderte Fassungen werden im Dashboard der vertragsschließenden Person angezeigt (Träger-Dashboard bei Trägerzuordnung, sonst Kita-Admin) und beim nächsten Anmeldevorgang in der Verwaltungsoberfläche vorgelegt. Steht die Bestätigung nach zwei Wochen noch aus, folgt eine Erinnerung per E-Mail. Weitere Erinnerungsmails unterbleiben. Zugeordnete Einrichtungen bleiben in der Zwischenzeit nutzbar.
(3) Wesentliche Änderungen dieses AVV einschließlich seiner Anlagen (neue Datenpunkte, neue Funktion mit Datenerhebung, andere als die bereits genehmigte Infrastruktur sowie sonstige Änderungen, die nicht unter Abs. 4 fallen) werden der vertragsschließenden Person im Dashboard angezeigt und am Tag der Bereitstellung per E-Mail übersandt, in der Regel mindestens 14 Tage vor dem vorgesehenen Beginn. Die betroffene Funktion bzw. die geänderte Verarbeitung bleibt technisch gesperrt, bis die vertragsschließende Person per Checkbox zugestimmt hat. Die übrige Software bleibt nutzbar; personenbezogene Daten fließen in die neue Verarbeitung erst nach dieser Bestätigung. Bis dahin bleibt die zuvor bestätigte Fassung maßgeblich. Betrifft die Änderung einen neuen oder ersetzten Unterauftragsverarbeiter, gilt zusätzlich die technische Sperre nach §9 Abs. 2.
(4) Kein Update-Verfahren (keine Checkbox, keine E-Mail, sofort maßgeblich) gilt für:
Sobald eine Präzisierung oder TOM-Anpassung neue Datenpunkte, eine neue Funktion mit Datenerhebung oder andere Infrastruktur betrifft, gilt Abs. 3.
(5) Die Checkbox im System ist das Regelverfahren für Abs. 1 und Abs. 3. Eine handschriftliche Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO). Die elektronische Bestätigung einschließlich der E-Mail nach Abs. 2 wahrt die Schriftform des §13 Abs. 1.
(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform; sie wird nach §12 Abs. 5 gewahrt. Verfahren und Ausnahmen regelt §12 Abs. 3 und 4.
(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Kaiserslautern.
(4) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen für Fragen der Verarbeitung personenbezogener Daten die Regelungen dieses Vertrags vor.
Der Auftragsverarbeiter setzt die folgenden Unterauftragsverarbeiter ein. Mit jedem besteht ein gesonderter Auftragsverarbeitungsvertrag (DPA). Personenbezogene Kerndaten werden nicht dauerhaft außerhalb der EU gespeichert. Zur Ausnahme der optionalen KI-Bild-Erzeugung (globaler Endpunkt) siehe Anhang C §1 Abs. 2.
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Realtime, Backend-Funktionen | Alle Kerndaten (Stamm-, Anwesenheits-, Kommunikations-, Authentifizierungsdaten) | EU (Frankfurt/AWS) | SOC 2 Type II, SCCs (2021/914) | Ja |
| Vercel Inc. | Hosting, Serverless Functions, cookielose, aggregierte Reichweitenmessung der Web-Anwendung (Vercel Web Analytics) | IP-Adressen, Sitzungsdaten, Request-Logs | EU (Frankfurt) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Zoho Corporation B.V. (Niederlande) | E-Mail-Postfach und -Speicherung | E-Mail-Adressen, Nachrichteninhalte | EU (Niederlande) | ISO 27001, SOC 2 Type II | Ja |
| Cloudflare, Inc. | Auslieferung der veröffentlichten Websites der Einrichtungen (Cloudflare Pages) | Öffentliche Website-Inhalte und Bilder, gegebenenfalls Personenfotos | Weltweites Auslieferungsnetz | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Brevo (Sendinblue) | Technische E-Mails sowie Versand und Empfang von E-Mails in Softwarefunktionen | E-Mail-Adressen, Inhalte der System- und Funktionsmails | Hosting: OVH (Frankreich und Deutschland). Speicherung: Google Cloud (Belgien) | ISO 27001, DPA; Speicherung bei Google Cloud Belgien abgesichert über EU-U.S. Data Privacy Framework und SCCs | Ja |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung und Session Replay der Web-Anwendung (EU-Region Frankfurt) | Fehlermeldungen, Stacktraces, technische Metadaten (bei Diktat-Fehlern: Bytegröße und MIME-Typ); keine Audio-, Chat- oder Prompt-Inhalte in den Fehlerereignissen. Session Replay der Web-Anwendung, maskiert (§5 Nr. 9) | EU (Frankfurt / Region FRA) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform) | KI-Funktionen nach Anhang C; Umfang je nach Schaltern und KI-Datenschutz-Stufe | Datenarten nach §3 („KI-Funktionen“) und Anhang C; an den globalen Endpunkt nur Bildbeschreibungen ohne Personenbezug, beim Bild-Generator mit Nicht-EU-Modell Freitext und Referenzbilder der Nutzer:in (Anhang C §3 Nr. 19); keine Nutzung zum Training von KI-Modellen | EU-Multiregion (aiplatform.eu.rep.googleapis.com), EU-Datenresidenz - mit der ausdrücklich benannten Ausnahme der Bild-Erzeugung (globaler Endpunkt, Anhang C) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja (Vertex AI Data Processing Addendum) |
Die E-Rechnung (XRechnung, ZUGFeRD) wird seit dem 01.10.2026 auf der eigenen Infrastruktur erzeugt; ein externer Dienst ist dafür nicht mehr beteiligt. Banken, deren Konten der Verantwortliche für den Abruf von Kontoumsätzen verbindet (§2, Bankanbindung), sind Vertragspartner des Verantwortlichen und keine Unterauftragsverarbeiter. Die Zahlung der Nutzungsgebühr per Kreditkarte wickelt Stripe Payments Europe, Ltd. (Irland) ab; Stripe erhält dabei nur Vertrags- und Zahlungsdaten des Kunden, keine im Auftrag verarbeiteten Daten, und ist kein Unterauftragsverarbeiter.
Stand: Oktober 2026. Neue oder ersetzte Unterauftragsverarbeiter werden gemäß §9 Abs. 2 erst nach gelesener Vereinbarung und Checkbox durch die vertragsschließende Person eingesetzt.
Die Wahl von Supabase (Datenbank, Authentifizierung, Storage) und Vercel (Hosting, Serverless Functions) als zentrale Infrastrukturanbieter - beide technisch auf AWS Frankfurt (eu-central-1) aufgesetzt - ist Ergebnis einer sorgfältigen Abwägung zwischen Datenschutz-Anforderungen und Betriebssicherheit gemäß Art. 32 Abs. 1 DSGVO. Maßgeblich waren folgende Kriterien:
Bewertete Alternativen und Ablehnungsgründe:
Die gewählte Kombination gewährleistet ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO(Schutz vor Verlust, Zerstörung, unbefugter Offenlegung) unter Beibehaltung der EU-Lokalisierung (Frankfurt). Die verbleibende Restrisiko-Exposition gegenüber den US-Muttergesellschaften ist rechtlich durch DPF/SCCs (§10 Abs. 4-5) und technisch durch die in §5 beschriebenen Maßnahmen abgesichert.
Die folgende Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen Eltern-App (iOS/Android). Sie gilt, sofern der Verantwortliche die Eltern-App als Erweiterung des Kernprodukts einsetzt; die App ist keine Voraussetzung für die Nutzung des Kernprodukts. Der Auftragsverarbeiter stellt innerhalb der Eltern-App eine Zustimmungsabfrage zu Datenschutzerklärung und Nutzungsbedingungen der App bereit. Die Sicherstellung einer darüber hinausgehenden wirksamen Einwilligung gemäß Art. 6 Abs. 1 lit. a, Art. 7 DSGVO liegt im Verantwortungsbereich und Ermessen des Verantwortlichen. §4 und §5 dieser Anlage (Push-Dienste, Wallet, Unterauftragsverarbeiter, internationale Übermittlung) gelten auch für die Personal-App (Anlage 2B).
(1) Die Nutzung der Eltern-App ist freiwillig und keine Voraussetzung für die Inanspruchnahme der Betreuungsleistungen. Die Nicht-Nutzung hat keinerlei Auswirkungen auf den Betreuungsvertrag oder die Qualität der Betreuung.
(2) Alle Informationen, die über die App bereitgestellt werden, sind auch auf anderem Wege verfügbar (z. B. Aushang, persönliches Gespräch).
(3) Die Rechtsgrundlage der Verarbeitung über die Eltern-App bestimmt der Verantwortliche (etwa eine Einwilligung nach Art. 6 Abs. 1 lit. a, Art. 7 DSGVO). Stützt er sich auf eine Einwilligung, ist ihr Widerruf jederzeit ohne Nachteile möglich. Unabhängig davon stimmen Sorgeberechtigte in der App deren Datenschutzhinweisen und Nutzungsbedingungen zu; Push-Benachrichtigungen erhalten sie nur nach eigener Zustimmung am Gerät.
Die Verarbeitung umfasst:
Nicht verarbeitet: Check-in-/Check-out-Zeiten von Kindern. Diese werden ausschließlich am Terminal in der Kita erfasst.
Datensparsamkeit: Die Eltern-App ist auf möglichst wenige Daten ausgelegt. Eltern legen kein Nutzerkonto an und geben keine eigenen Namen oder Kontaktdaten ein. Gibt ein Elternteil eine neue abholberechtigte Person an, werden deren Name und Beziehung zum Kind übermittelt. Die App erhebt keine Standortdaten, greift nicht auf Fotos, Kontakte oder Mikrofon zu und enthält keine Analyse- oder Tracking-Werkzeuge; die Kamera dient nur dem Scannen des Kind-Codes. Fachdaten werden nicht auf dem Gerät gespeichert, sondern bei jedem Aufruf aus der EU-Datenbank geladen. Auf dem Gerät verbleiben nur der Zugang zur Einrichtung, die Kind-Codes und die eigenen Rückmeldungen sowie für die Offline-Anzeige des Kalenders die Schließtage und Schließungen der Einrichtung und ihre Nachrichten mit Datum ab dem laufenden Monat (Titel, Text, Gruppe). Nutzen Sorgeberechtigte die App in einer anderen Sprache, werden Inhalte der Einrichtung (Nachrichten, Blog, Tagebuch-Einträge, Speiseplan) auf dem Gerät übersetzt (Apple Translation bzw. Google ML Kit, ohne Übermittlung an Dritte) und die Übersetzungen auf dem Gerät gespeichert (höchstens 500 Einträge). Die Web-Ansicht der Eltern-App zeigt nur die Ampel, Nachrichten der Einrichtung und den Kita-Status; sie wird von der Anwendung (Vercel, Frankfurt, Anlage 1) bereitgestellt.
Push-Benachrichtigungen: Alle Typen laufen als Expo-Push über den Cloudflare-Push-Worker. Die Fachdaten bleiben in Supabase Frankfurt gespeichert. Ohne den Transit über APNs, FCM und Expo ist eine Zustellung auf iOS und Android nicht möglich. Nachrichteninhalte werden bei den Push-Diensten nicht dauerhaft gespeichert (nur Transit der Zustellung). Eine technische Filterung der Freitexte findet nicht statt.
(1) Gruppen-Nachricht. Empfänger: Geräte der Eltern-App der Einrichtung, nach den bei der Registrierung hinterlegten Gruppen gefiltert. Einrichtungsweite Nachrichten gehen an alle registrierten Geräte der Einrichtung. Inhalt: Titel = Nachrichtentitel, Text = Nachrichtentext, jeweils wie vom Personal verfasst; dem Titel wird der Name der Einrichtung vorangestellt. Bestimmungsgemäß Organisationsangaben, keine sensiblen Daten zu Kindern.
(2) Ampel-Statuswechsel. Empfänger: Geräte der Eltern-App und der Personal-App. Nur bei Wechsel auf Gelb (fester Text: „Kita nah am Limit“) oder Rot (fester Text: „Kita voll ausgelastet“). Bei Grün erfolgt kein Push. An Schließtagen und außerhalb der Öffnungszeit unterdrückt. Die Einrichtung kann Gelb und Rot für die Eltern-App einzeln abschalten (voreingestellt an); Geräte der Personal-App erhalten beide stets.
(3) Termin-Erinnerung. Empfänger: Geräte der Gruppe bzw. der Einrichtung. Inhalt: „Termin: <Titel>“ bzw. „Heute: <Titel>“ und Datum/Uhrzeit; keine Namen von Kindern oder Gruppen.
(4) Gesprächstermin. Empfänger: Geräte, auf denen das betreffende Kind hinterlegt ist. Feste Texte ohne Kind, Gruppe, Zeit oder Person.
(5) Neuer Tagebuch-Eintrag. Empfänger wie (4). Fester Titel „Neue Notiz“ bzw. „Neuer Gruppenbericht“, kein Text.
(6) Zahlung eingegangen. Nur wenn die Einrichtung Elternzahlungen und die Eltern-App nutzt. Empfänger wie (4). Inhalt: Betrag und Bezeichnung des Anlasses; kein Name des Kindes.
(7) Nachricht an eine Familie. Empfänger wie (4). Fester Titel „Neue Nachricht“ mit dem Namen der Einrichtung, kein Text; den Inhalt holt die App aus der EU-Datenbank. Die Antwort-Aktionen (Anlage 4 §5 Abs. 7) gehen über die verschlüsselte API, nicht über Push.
Abmeldungen, Essensabsagen und Abholmeldungen laufen über die verschlüsselte API (Cloudflare-Worker in der EU nach Supabase Frankfurt), nicht über die Push-Payloads. Die Push-Nachricht ist der Anstoß; Inhalte holt die App aus der EU-Datenbank.
Weiterverwendung durch Sorgeberechtigte. Inhalte, die die Eltern-App einem Elternteil anzeigt, sind mit der Anzeige an diesen weitergegeben. Sorgeberechtigte dürfen sie frei verwenden, auch mit eigenen Programmen oder KI-Diensten; diese Weiterverwendung verantworten sie selbst, der gewählte Dienst ist weder Unterauftragsverarbeiter noch Empfänger des Verantwortlichen. Der Verantwortliche berücksichtigt das bei Inhalten an Sorgeberechtigte (Anlage 4 §3 Abs. 4 und §5).
Für die Eltern-App und die Personal-App werden folgende zusätzliche Unterauftragsverarbeiter eingesetzt. Mit Cloudflare, Expo und Google (Firebase Cloud Messaging) besteht jeweils ein gesonderter Auftragsverarbeitungsvertrag (DPA). Mit Apple besteht für den Apple Push Notification service kein DPA; es gilt das Apple Developer Program License Agreement einschließlich Attachment 1.
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Cloudflare Inc. | API-Vermittlung der Eltern-App und Push-Versand beider Apps sowie Speicherung in Cloudflare KV (EU-Datenresidenz); kein Zugriff auf die Supabase-Datenbank | API-Transit der Eltern-App: pseudonymisierte Kind-ID, Kita-ID, Abmeldungen, Essensabsagen, Abholmeldungen, Umfrage-Stimmen mit Geräte-ID, Kindertagebuch und Gruppenreport; Push-Titel und -Text beider Apps. Speicherung in Cloudflare KV: siehe §10 Abs. 1 | EU (Frankfurt / Cloudflare Regional Services und Cloudflare KV mit EU-Datenresidenz) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Expo (650 Industries Inc.) | Orchestrierung Push-Versand (delegiert an Firebase Cloud Messaging und Apple Push Notification service) | Push-Tokens (pseudonym); Titel und Text je nach Push-Typ (Anlage 2A §2 und Anlage 2B §2); nur Transit der Zustellung | USA (Inhalte nur im Transit; Push-Tokens für die Dauer ihrer Gültigkeit, Anlage 2A §4) | SOC 2 Type II, SCCs | Ja |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Push-Zustellung Android | FCM-Registrierungs-Tokens (pseudonym); Titel und Text je nach Push-Typ (Anlage 2A §2 und Anlage 2B §2); nur Transit der Zustellung | Global (US-primär); Vertragspartner: Google Ireland Ltd. | ISO 27001/27017/27018, SOC 1/2/3, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Apple Distribution International Ltd. (APNs) | Push-Zustellung iOS | APNs-Device-Tokens (pseudonym); Titel und Text je nach Push-Typ (Anlage 2A §2 und Anlage 2B §2); nur Transit der Zustellung, TLS-verschlüsselt | Global (Apple-Infrastruktur EU/US) | ISO 27001, SOC 2; Apple Inc. im EU-U.S. Data Privacy Framework zertifiziert. Keine APNs-spezifischen SCCs | Nein (DPLA Attachment 1; kein Art.-28-Vertrag für APNs) |
| Google Ireland Ltd. (Google Wallet) | Ausstellung digitaler Wallet-Karten auf Android (Abholkarte; Dienstausweis nach Anlage 2B) | Inhalte der jeweiligen Karte (§3; Anlage 2B §3) | Global | EU-U.S. Data Privacy Framework, SCCs | Ja |
Hinweis zu Apple (APNs): Apple bietet für den Apple Push Notification service keinen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und keine APNs-spezifischen Standardvertragsklauseln an. Vertragliche Grundlage ist das Apple Developer Program License Agreement einschließlich Attachment 1 (Additional Terms for Apple Push Notification Service and Local Notifications). Ein Schedule 4 mit Datenschutzinhalt besteht im aktuellen DPLA nicht. Apple Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert. APNs ist Plattform-Infrastruktur von iOS; ohne diesen Weg ist iOS-Push nicht möglich.
APNs, FCM und Expo haben keinen Kontakt zur Supabase-Datenbank der Hauptanwendung. Nachrichteninhalte werden dort nicht dauerhaft gespeichert. Was Cloudflare in Cloudflare KV (EU-Datenresidenz) speichert, steht in §10 Abs. 1; Cloudflare hat keinen Zugriff auf die Supabase-Datenbank. Sofern der Verantwortliche oder die Sorgeberechtigten Push-Benachrichtigungen und Wallet-Items nicht aktivieren, entfällt der Einsatz von Expo (650 Industries Inc.), Firebase Cloud Messaging (Android) sowie Apple Push Notification service (iOS) als Unterauftragsverarbeiter. Voraussetzung hierfür ist, dass die Berechtigungsanfrage für Push-Dienste (iOS/Android) auf dem Endgerät abgelehnt wird. Die KV-Speicherung des Eltern-Passworts bleibt bestehen, solange die Eltern-App für die Einrichtung aktiviert ist.
Präzisierung zur „nur Transit“-Angabe in der Tabelle: Die für Apple Push Notification Service (APNs), Firebase Cloud Messaging (FCM) und Expo vermerkte Eigenschaft „nur Transit“ bezieht sich auf die Nachrichteninhalte (Push-Payload, Wallet-Inhalte)- diese werden bei den Push-Diensten nicht dauerhaft gespeichert, sondern ausschließlich für die Dauer der Zustellung verarbeitet (in Memory- bzw. Queue-Strukturen, nicht in Datenbanken). Die Geräte-Tokens selbst (APNs-Device-Tokens, FCM-Registrierungs-Tokens, ExpoPushTokens) werden bei den jeweiligen Push-Diensten für die Dauer der Token-Gültigkeit verarbeitet und gespeichert, da andernfalls eine Zustellung systembedingt nicht möglich wäre. Diese Token-Speicherung ist Bestandteil der Plattform-Infrastruktur und nicht Inhalt der eigentlichen Auftragsverarbeitung der Kita-Daten.
Keine technischen Alternativen: Eine EU-ausschließliche oder anbieterunabhängige Push-Infrastruktur für iOS und Android existiert auf Plattform-Ebene nicht. APNs ist der einzige zugelassene Zustellweg für iOS-Push, FCM der einzige zugelassene Zustellweg für Android-Push. Eine Verlagerung dieser Dienste in EU-Infrastruktur oder eine Vermeidung der Token-Speicherung bei den Push-Diensten ist auf Anwendungsebene weder konfigurierbar noch unterbindbar. Expo wird lediglich als Orchestrierungsschicht zwischen App und APNs/FCM eingesetzt, um eine plattformunabhängige Implementierung zu ermöglichen.
Manuelle Einwilligung des Nutzers (Opt-In): Die Verarbeitung durch APNs, FCM und Expo erfolgt ausschließlich auf Grundlage einer ausdrücklichen, manuellen Aktivierung der Push-Berechtigung durch den jeweiligen Nutzer über die Berechtigungsabfrage des Betriebssystems (iOS/Android). Das gilt für Sorgeberechtigte in der Eltern-App und für Mitarbeitende in der Personal-App. Wer die Personal-App herunterlädt und die Berechtigung am Gerät erteilt, willigt damit erneut in die Zustellung auf diesem Gerät ein. Lehnt der Nutzer die Berechtigung ab oder widerruft sie zu einem späteren Zeitpunkt in den Geräteeinstellungen, entfällt jede weitere Token-Erzeugung und -Übermittlung an die genannten Subprozessoren. Die Speicherung der Fachdaten bleibt in Supabase Frankfurt; der Transit über APNs, FCM und Expo ist für die Zustellung auf iOS und Android technisch nicht anders möglich.
Hinweis zur Rolle von Cloudflare: Cloudflare vermittelt API-Anfragen der Eltern-App und den Push-Versand beider Apps (Edge-Routing, TLS-Terminierung, DDoS-Schutz) und speichert in Cloudflare KV mit EU-Datenresidenz die in §10 Abs. 1 genannten Daten. Kindertagebuch und Gruppenreport werden über Cloudflare an die Eltern-App durchgeleitet und dort nicht gespeichert. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank des Auftragsverarbeiters. API-Transit und KV sind auf die EU konfiguriert (Cloudflare Regional Services / Frankfurt).
(1) Die Übermittlung an Cloudflare, Expo und Google (Firebase Cloud Messaging) erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission gemäß Art. 45 DSGVO (EU-U.S. Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795), soweit der jeweilige Anbieter zertifiziert ist. Ergänzend sind mit diesen Anbietern Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) abgeschlossen.
(2) Für APNs gilt das EU-U.S. Data Privacy Framework, soweit Apple Inc. zertifiziert ist. Apple schließt für APNs keine Standardvertragsklauseln. Es gilt das Developer Program License Agreement einschließlich Attachment 1.
(3) Der Auftragsverarbeiter prüft regelmäßig die Gültigkeit des EU-U.S. Data Privacy Framework. Bei Wegfall stellt er die Transfergrundlage bei den Anbietern mit vereinbarten Standardvertragsklauseln unverzüglich auf diese Klauseln als alleinige Transfergrundlage um. Für APNs entfällt in diesem Fall die DPF-Grundlage; iOS-Push kann dann deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen (§10 Abs. 8).
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: Oktober 2026.
Die folgende Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen Personal-App für Mitarbeitende der Einrichtung. Sie gilt, sofern der Verantwortliche die Personal-App einsetzt. Für Push-Dienste, Wallet, Unterauftragsverarbeiter und internationale Übermittlung gelten §4 und §5 der Anlage 2A.
(1) Die Verarbeitung erfolgt im Rahmen des Beschäftigungsverhältnisses zwischen dem Verantwortlichen und seinen Mitarbeitenden. Der Verantwortliche stellt die Rechtsgrundlage sicher, insbesondere nach Art. 6 Abs. 1 lit. b und c DSGVO, Art. 9 Abs. 2 lit. b DSGVO für Krankmeldungen, einer Betriebs- oder Dienstvereinbarung nach Art. 88 DSGVO bzw. den entsprechenden Landes- oder Kirchengesetzen.
(2) Die Nutzung der Personal-App ist für die Mitarbeitenden freiwillig. Die Arbeitszeit in der Einrichtung wird am Terminal erfasst; Abwesenheiten und Mitteilungen sind auch ohne App möglich. Aus der Nicht-Nutzung dürfen keine Nachteile entstehen.
Datensparsamkeit: Die Personal-App ist auf möglichst wenige Daten ausgelegt. Sie erhebt keine Standortdaten, greift nicht auf Fotos, Kontakte oder Mikrofon zu und enthält keine Analyse- oder Tracking-Werkzeuge; die Kamera dient nur dem Scannen des eigenen QR-Codes bei der Anmeldung. Stammdaten von Kindern und Kind-Codes zeigt die App nicht, zu Kindern nur Zählwerte; Freitexte von Kolleg:innen oder der Leitung und das von Eltern genannte Thema eines Gesprächstermins können aber Angaben zu Kindern enthalten. Fachdaten werden nicht auf dem Gerät gespeichert, sondern bei jedem Aufruf aus der EU-Datenbank geladen; auf dem Gerät verbleiben nur die Sitzungs-Tokens im geschützten Gerätespeicher. Eine Sitzung gilt höchstens 30 Tage.
Datenweg: Anfragen der Personal-App gehen verschlüsselt direkt an die Anwendung (Vercel, Frankfurt, Anlage 1) und von dort an Supabase Frankfurt, nicht über Cloudflare. Push-Nachrichten laufen über den Cloudflare-Push-Worker (Anlage 2A).
Team-Chat, Rufen und Hinweise. Empfänger sind ausschließlich Geräte der Personal-App. Der Verantwortliche kann den Team-Chat in der Personal-App abschalten (voreingestellt an).
Bestimmungsgemäß enthalten die Inhalte Organisations- und Arbeitszeitangaben, keine sensiblen Daten zu Kindern. Freie Texte werden technisch nicht gefiltert.
Mitarbeitende, die die Personal-App installieren, erteilen die Push-Berechtigung selbst am Gerät und können sie jederzeit in den Geräteeinstellungen widerrufen. Die Speicherung der Fachdaten bleibt in Supabase Frankfurt.
(1) Einstellungen. Der Verantwortliche legt in den Einstellungen fest, welche Funktionen der Personal-App genutzt werden. Voreinstellungen: Personal-App, Team-Chat, Ein- und Ausstempeln in der App und Nachrichten an Eltern an, jeweils abschaltbar; Tagesplan und Team-Woche nur bei aktiver Personalplanung (voreingestellt aus); Aufbewahrung des Team-Chats 1 Tag (wählbar 1 bis 7); automatische Hinweise nach §2; KI-Helfer aus (Anhang C §3 Nr. 4). Die Einstellungen sind Weisungen im Sinne dieses Vertrags.
(2) Endgeräte. Die Personal-App kann auf Dienstgeräten des Verantwortlichen und, soweit er dies zulässt, auf privaten Geräten der Mitarbeitenden genutzt werden. Der Auftragsverarbeiter empfiehlt den Betrieb ausschließlich auf einrichtungseigenen Dienstgeräten. Die App greift nicht auf private Inhalte des Geräts zu (§2). Der Auftragsverarbeiter stellt keine Geräteverwaltung (MDM) bereit und kann Geräte weder einsehen noch aus der Ferne löschen.
(3) Private Geräte. Lässt der Verantwortliche private Geräte zu, legt er vorher die Bedingungen fest (Dienstanweisung oder Betriebs- bzw. Dienstvereinbarung). Er stellt sicher, dass die Nutzung freiwillig ist, eine gleichwertige Alternative besteht (Terminal, Dienstgerät oder Meldung an die Leitung) und aus der Nicht-Nutzung keine Nachteile entstehen.
(4) Information. Der Verantwortliche informiert die Mitarbeitenden vor der ersten Nutzung (Art. 13 DSGVO), einschließlich der gewählten Einstellungen, und weist auf die Sorgfaltspflichten hin: Bildschirmsperre, keine Weitergabe von Passwort und Ausweis, Abmelden auf geteilten Geräten, unverzügliche Verlustmeldung, keine Gesundheits- oder Kinderdaten in freien Texten, keine Bildschirmfotos und keine Weitergabe.
(5) Geteilte Dienstgeräte. Die Anmeldung ist personenbezogen und gilt bis zu 30 Tage; eine automatische Abmeldung gibt es nicht. Der Verantwortliche regelt das Abmelden nach der Nutzung.
(6) Mitbestimmung. Einzelne Funktionen sind geeignet, Verhalten oder Leistung zu überwachen, insbesondere erfasste Arbeitszeiten und Stundenkonto, Tagesplan mit aktueller Anwesenheit, eingeschaltete automatische Hinweise, Rufen mit Antwort, Umfragen mit personenbezogener Stimme, ein eingeschalteter KI-Helfer mit Namen für Leitungen sowie Zeiterfassung, Dienstplan-KI, Tagesanalyse, Träger-Autopilot und die Anwesenheitsmuster der KI-Funktionen (Anhang C §1 Abs. 14). Führt der Verantwortliche die Personal-App oder eine dieser Funktionen ein, beachtet er die Beteiligungsrechte der Arbeitnehmervertretung (§ 87 Abs. 1 Nr. 6 BetrVG, Personalvertretungsrecht, kirchliches Mitarbeitervertretungsrecht), schließt erforderlichenfalls eine Betriebs- oder Dienstvereinbarung und stellt die Schalter nach Abs. 1 entsprechend ein.
(7) Ausscheiden. Archiviert der Verantwortliche eine Person, beendet die Software alle ihre Sitzungen (ein bereits ausgestelltes Zugangstoken läuft höchstens 15 Minuten weiter), löscht ihr App-Passwort und meldet ihre Geräte vom Push-Versand ab; ihr Dienstausweis wird am Terminal nicht mehr angenommen.
(8) Verlust eines Geräts. Der Verantwortliche ersetzt in der Verwaltung den QR-Ausweis der Person; das wirkt wie Abs. 7. Der Auftragsverarbeiter unterstützt auf Anforderung.
(9) Sperrbildschirm. Push-Inhalte können auf dem Sperrbildschirm sichtbar sein und in der Mitteilungszentrale verbleiben; Mitarbeitende können die Vorschau in den Geräteeinstellungen abschalten.
Im Übrigen gelten Anlage 2A §4 und §5 sowie die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: Oktober 2026.
Diese Ergänzung regelt die Auftragsverarbeitung im Rahmen der KI-Funktionen. Sie stehen in der Verwaltungsoberfläche (Web-App), im Träger-Bereich, am Gruppen-Tablet (Sprach-Diktat) und, nur wenn die Einrichtung ihn einschaltet, als KI-Helfer in der Personal-App zur Verfügung; legt jemand in der Personal-App ein Gefahren-Thema an, entsteht dessen Vorschaubild nach §3 Nr. 15. An den Check-in-Terminals gibt es keine KI-Funktionen; in der Eltern-App nur die KI-Übersetzung (§3 Nr. 17), und nur, wenn die Einrichtung die Stufe 4 „Alle“ gewählt hat. Die KI-Funktionen lassen sich einzeln an- und abschalten; mit einer abgeschalteten Funktion entfallen die zugehörigen Datenflüsse. Wie viel die KI über Personen erfährt, regelt die KI-Datenschutz-Stufe (§1 Abs. 5). Ein Träger kann Funktionen für alle ihm zugeordneten Einrichtungen sperren und die Stufe nach oben begrenzen; die Einrichtungen können das nicht aufheben. Die Software ist ohne KI-Funktionen vollständig nutzbar.
Die folgenden Feststellungen gelten für alle in §3 genannten Datenflüsse, soweit dort nicht ausdrücklich etwas Abweichendes bestimmt ist. Sie werden hier einmal getroffen und in den einzelnen Flüssen nicht wiederholt.
(1) Unterauftragsverarbeiter: Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform). Vertragliche Grundlage ist das Vertex AI Data Processing Addendum. Authentifizierung erfolgt ohne API-Keys über Workload Identity Federation (Vercel OIDC); lokale Entwicklung über Application Default Credentials (ADC). Hosting der aufrufenden Anwendung: Vercel (Anlage 1). Transfergrundlage bzw. Absicherung potenzieller Zugriffe: EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.
(2) Datenresidenz: Alle Datenflüsse außer der Bild-Erzeugung laufen über den EU-Multiregion-Jurisdiktionsendpunkt (aiplatform.eu.rep.googleapis.com). Die Verarbeitung ist vertraglich auf die EU-Geografie beschränkt (kein Single-Region-Pinning auf Deutschland). Ausnahme Bild-Erzeugung: Bildmodelle werden von Google nicht auf der EU-Multiregion bereitgestellt. Dieser Datenfluss nutzt den globalen Endpunkt; für ihn besteht keine EU-Residenz-Zusage. An den globalen Endpunkt gehen ausschließlich Bildbeschreibungen ohne Personenbezug (Stil-, Farb- und Gestaltungsangaben einschließlich des Namens der Einrichtung sowie eine zuvor auf dem EU-Endpunkt erzeugte Beschreibung von Gegenständen ohne Personen); Fotos, Freitext der Einrichtung, Namen, Kennungen und Beschreibungen von Personen gehen nicht an den globalen Endpunkt. Davon abweichend gehen beim Bild-Generator mit dem Nicht-EU-Modell Freitext und Referenzbilder der Nutzer:in an den globalen Endpunkt (§3 Nr. 19). Die Ausnahme ist auch in §10 des AVV benannt.
(3) Modelle (Stand 19.10.2026), alle über Google Cloud (Vertex AI): Text/Verstehen gemini-3.8-flash (EU); schnelle Aufgaben wie Diktat, Übersetzung und Prüfungen gemini-3.5-flash-lite und gemini-3.1-flash-lite (EU); Claude Haiku 5.5 von Anthropic (claude-haiku-5-5, im Model Garden von Google Cloud auf dem Europa-Multiregion-Endpunkt, Verarbeitung in Europa; Vertragspartner bleibt Google); Bild-Erzeugung gemini-3.1-flash-image und gemini-3.1-flash-lite-image (global). Ein Wechsel auf ein anderes Modell desselben Unterauftragsverarbeiters auf demselben Endpunkt wird als Präzisierung nach §12 Abs. 4 dokumentiert.
(4) Kein Training: Eingaben werden nicht zum Training von KI-Modellen verwendet (Vertex-Vertragsbedingungen). Speicherung bei Google: Google speichert Eingaben grundsätzlich nicht dauerhaft. Erkennen automatische Sicherheitsfilter einen Missbrauchsverdacht, kann Google die betreffenden Prompts ausschließlich zur Missbrauchsprüfung bis zu 90 Tage speichern, und zwar in der für das Projekt gewählten EU-Multiregion.
(5) KI-Datenschutz-Stufe: Wie viel die KI über Personen erfährt, bestimmt eine Stufe mit drei Werten: a) „Aus“: Autopilot (einschließlich Dienstplan-KI, „Eigener Export“ und Tagesanalyse) und KI-Helfer der Personal-App sind abgeschaltet; b) „Pseudonymisiert“: Kinder und Erzieher:innen erscheinen nur als Kennzeichen (etwa „Kind 7F3A“, „Erzieher:in K2QM“); c) „Alle“: echte Namen der Erzieher:innen und der Kinder. Die Einrichtung wählt ihre Stufe in den Einstellungen; Voreinstellung ist „Alle“. Wer von einer niedrigeren Stufe auf „Alle“ wechselt, bestätigt dies gesondert. Der Verantwortliche prüft vor der Nutzung, ob die Voreinstellung seinen Anforderungen entspricht (Art. 25 Abs. 2 DSGVO), und wählt andernfalls eine niedrigere Stufe. Der Träger kann für alle ihm zugeordneten Einrichtungen eine Höchststufe festlegen; wirksam ist stets die niedrigere der beiden Stufen. Ohne festgelegte Höchststufe gilt keine Begrenzung. Kann die Software die Höchststufe eines Trägers nicht lesen, arbeitet sie mit „Pseudonymisiert“. Unabhängig von der Stufe gehen Abwesenheitsgründe und andere Gesundheitsangaben nie bezogen auf eine Person an die KI, sondern höchstens als Anzahl.
(6) Geltungsbereich der Stufe: Die Stufe gilt für die Funktionen, die Betriebsdaten der Software lesen: Autopilot-Chat, „Eigener Export“, Dienstplan-KI, Tagesanalyse, KI-Helfer der Personal-App sowie, je Einrichtung, Träger-Autopilot und Monatsbericht. Die Dienstplan-KI und der KI-Helfer für die Leitung laufen nur auf der Stufe „Alle“; der KI-Helfer für Erzieher:innen arbeitet auf jeder Stufe außer „Aus“ stets mit Kennzeichen. Die Stufe gilt nicht für Funktionen, die ausschließlich verarbeiten, was Nutzer:innen selbst eingeben, sprechen oder hochladen (etwa Diktat, E-Mail-Helfer, Elterngespräch, Textentwürfe, Grundriss, Website); diese werden über eigene Schalter gesteuert (Abs. 8). Was das Team selbst schreibt (insbesondere Team-Chat, Pinnwände, Notizen und Termine), liest die KI auf jeder Stufe außer „Aus“ so mit, wie es geschrieben wurde, einschließlich darin enthaltener Namen.
(7) Pseudonymisierung und Steuerung: Kennzeichen bildet der Auftragsverarbeiter vor der Übermittlung aus der internen Kennung der Person mit einem geheimen Schlüssel. Dieselbe Person trägt dauerhaft dasselbe Kennzeichen; Google kann daraus nicht auf die Person schließen. Die Zuordnung von Kennzeichen zu Namen kennt nur der Auftragsverarbeiter; sie wird mit dem Tagesverlauf gespeichert (Abs. 12), damit berechtigte Nutzer:innen die Antwort mit Namen sehen. Pseudonymisierte Daten bleiben personenbezogene Daten. Google sieht die Eingaben nur transitorisch, vorbehaltlich der Missbrauchsprüfung nach Abs. 4. Freitext und Uploads steuern die Nutzer:innen; die Oberfläche bittet, keine Gesundheitsdaten einzugeben, übermittelt wird gleichwohl, was eingegeben oder hochgeladen wird. Der Verantwortliche weist seine Nutzer:innen entsprechend an. Schaltflächen, die eine KI-Funktion auslösen, sind in der Verwaltungsoberfläche einheitlich gekennzeichnet (violett mit Funkel-Symbol).
(8) Schalter: Zusätzlich zur Stufe kann die Einrichtung einzeln abschalten: den Website-Baukasten, das Sprach-Diktat (damit zugleich E-Mail-Helfer, Elterngespräch, Elternbriefe und KI-Textentwürfe), den Grundriss aus Foto, die KI-Übersetzung (§3 Nr. 17) und den KI-Datenwächter (§3 Nr. 18). Nur nach Einschalten durch die Einrichtung laufen die Bild-Erzeugung und der KI-Helfer der Personal-App. Der Träger kann für alle ihm zugeordneten Einrichtungen einzelne Funktionen sperren, sämtliche Funktionen mit Verarbeitung außerhalb der EU sperren (derzeit die Bild-Erzeugung einschließlich der Vorschaubilder für Gefahren-Themen und des Nicht-EU-Modells im Bild-Generator) und den Monatsbericht abschalten. Kann die Software eine Sperre des Trägers nicht lesen, gilt sie als gesetzt. Eine Höchststufe „Aus“ des Trägers schaltet die Funktionen nach Abs. 6 Satz 1 ab, nicht die über eigene Schalter gesteuerten Funktionen. Nicht abschaltbar sind der Hilfe-Chat und der AVV-Chat, die keine Betriebsdaten verarbeiten. Funktionen, die nur auf ausdrücklichen Aufruf einer Nutzer:in arbeiten, übermitteln nichts, solange sie nicht genutzt werden. Die Gefahren-KI und der Handbuch-Entwurf haben derzeit keinen eigenen Schalter. Der Auftragsverarbeiter kann einzelne KI-Funktionen aus Sicherheits- oder Betriebsgründen jederzeit abschalten.
(9) Ausführung von Ergebnissen: KI-Ergebnisse sind Vorschläge und Entwürfe. Vom Autopilot vorgeschlagene Aktionen (etwa eine Nachricht an Eltern, ein Beitrag im Team-Chat, eine Pausenplanung oder ein Check-out) führt die Software erst aus, wenn die Leitung sie einzeln bestätigt und sich zuvor mit dem Admin-Passwort ausgewiesen hat. Ausnahme Dienstplan-KI: Sie ändert auf Anweisung der planenden Person den Dienstplan unmittelbar; jede Änderung wird gekennzeichnet, protokolliert und kann rückgängig gemacht werden. Kein KI-Ergebnis wird ohne Handlung einer Nutzer:in versandt; ausgenommen sind die Tagesanalyse und der Monatsbericht, die per E-Mail an die Leitung bzw. die Trägernutzer gehen.
(10) Automatische Abläufe: Grundsätzlich erfolgt ein Aufruf nur auf eine Handlung einer Nutzer:in. Ausnahmen: die Tagesanalyse, der Monatsbericht und das Vorschaubild eines neu angelegten Gefahren-Themas.
(11) Hinweisdialog: Vor der ersten Nutzung von Autopilot-Chat, Dienstplan-KI, „Eigener Export“, Hilfe-Chat, Träger-Autopilot und AVV-Chat erscheint ein kontobezogener Hinweisdialog; die Bestätigung wird versioniert im Nutzerkonto gespeichert. Der Dialog dient der Transparenz und ist keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
(12) Speicherung beim Auftragsverarbeiter (Server in Deutschland): a) Verlauf von Autopilot-Chat und Dienstplan-KI: je Nutzer:in, Einrichtung und Tag, höchstens 60 Einträge; automatische Löschung nach einer von der Einrichtung gewählten Frist von einem bis sieben Tagen (Voreinstellung: nach Ende des Kalendertags, in der Zeitzone der Einrichtung). „Eigener Export“, Hilfe-Chat, AVV-Chat, Träger-Autopilot und KI-Helfer der Personal-App werden nicht gespeichert. b) Bestätigte Autopilot-Aktionen und Änderungspakete der Dienstplan-KI (mit dem Stand vor der Änderung): bis zur Löschung nach §8 AVV. c) Tagesanalysen und Monatsberichte: bis zur Löschung nach §8 AVV. d) E-Mail-Helfer (Beispiel-Mails, Auftrag, Ergebnis), Elterngespräche (Bericht, Aufgaben, Fassung für die Eltern) und Einwilligungen in Aufnahmen einschließlich Unterschrift: bis die Einrichtung sie löscht, spätestens nach §8 AVV. e) je KI-Aufruf ein Nutzungsdatensatz ohne Inhalt (Einrichtung, Träger, Funktion, Modell, Mengenangaben) zur Abrechnung des KI-Guthabens. f) Übersetzungen nach §3 Nr. 17 mit einem Prüfwert des Originals, ohne das Original: höchstens 30 Tage. Ob Einträge nach a) bis c) Namen oder Kennzeichen enthalten, richtet sich nach der wirksamen Stufe (Abs. 5). Audio wird nie dauerhaft gespeichert: Diktate gehen direkt an die KI; Aufnahmen von Elterngesprächen liegen nur bis zum Ende der Auswertung in einem geschützten Speicher und werden danach gelöscht, auch wenn die Auswertung fehlschlägt. Fotos für Grundriss und Handbuch-Entwurf sowie Bilder und Referenzbilder des Bild-Generators sowie hochgeladene Dokumente und erzeugte Briefe der Elternbriefe werden nicht gespeichert; bereinigte Brief-Vorlagen bleiben gespeichert, bis die Einrichtung sie löscht (§3 Nr. 20). Technische Fehler gehen an Sentry (Anlage 1) ohne Chat-, Prompt-, Audio- oder Bildinhalte.
(13) KI-Guthaben: KI-Funktionen verbrauchen ein monatliches bzw. einmaliges Guthaben der Einrichtung bzw. des Trägers. Ist es aufgebraucht, verweigert die Software weitere Aufrufe; Hilfe-Chat und AVV-Chat sind kostenlos und davon ausgenommen, automatische Abläufe (Abs. 10) werden nicht gesperrt.
(14) Zweckbindung bei Daten von Beschäftigten: Die Software verarbeitet Anwesenheits-, Arbeitszeit- und Dienstplandaten des Personals zu drei Zwecken: Einhaltung der Aufsichtspflicht und des Personalschlüssels zum Schutz der Kinder, Arbeitszeiterfassung und Abrechnung sowie Einhaltung des Arbeitszeitrechts. Für die Planung der Besetzung können die KI-Funktionen Anwesenheitsmuster beschreiben, auch bezogen auf einzelne Beschäftigte (etwa übliche Ankunftszeiten oder Häufung von Abwesenheiten an bestimmten Wochentagen). Sie bewerten dabei weder Leistung noch Verhalten: keine Urteile, keine Rangfolgen, keine Vergleiche zwischen Personen, keine Vermutungen über Gründe oder Gesundheit. Die Dienstplan-KI plant aus Verträgen, Abwesenheiten, Qualifikation und Bedarf. Die Beteiligungsrechte der Arbeitnehmervertretung (§ 87 Abs. 1 Nr. 6 BetrVG, Personalvertretungs- und Mitarbeitervertretungsrecht) bleiben unberührt; der Verantwortliche kann den Einsatz dieser Funktionen in einer Betriebs- oder Dienstvereinbarung regeln und die KI-Datenschutz-Stufe entsprechend einstellen.
(15) Schutz bei Eingaben: Was Nutzer:innen in KI-Funktionen eingeben, liegt in der Verantwortung des Verantwortlichen und seines Personals (Anlage 4 §3). Als zusätzliche technische Schutzmaßnahme ist die KI angewiesen, Eingaben, die bestimmte Angaben enthalten, nicht zu verarbeiten. Sie weist stattdessen auf den Fehler hin und bricht den Vorgang ab, ohne die Angabe zu wiederholen, ohne Werkzeuge aufzurufen und ohne Aktionen vorzuschlagen:
Ausgenommen sind das Sprach-Diktat (wörtliche Umwandlung in Text) und die Auswertung aufgenommener Elterngespräche. Eine abgebrochene Eingabe wird nicht gespeichert. Sie hat die KI zu diesem Zeitpunkt jedoch bereits erreicht und wurde, wie alle Eingaben, ausschließlich auf dem EU-Endpunkt verarbeitet (Abs. 2), dort nicht zum Training verwendet und beim Unterauftragsverarbeiter nicht dauerhaft gespeichert (Abs. 4). Die Erkennung beruht auf der KI und ist nicht lückenlos; sie ersetzt nicht die Pflichten des Verantwortlichen nach Anlage 4 §3.
(16) Internet-Recherche: Im Autopilot-Chat, im Träger-Autopilot, im Chat „Mit KI schreiben“ der Rückmeldung an den Träger und bei „KI destillieren“ (Gefahren) kann die KI eine allgemeine Frage im Internet recherchieren (Google-Suche) und die Antwort mit Quellen anzeigen. Die Frage enthält keine Namen, Adressen oder Angaben zu Kindern, Sorgeberechtigten oder Beschäftigten; eine Frage mit einem Namen aus der laufenden Anfrage lehnt die Software ab. Google kann Suchanfragen bis zu drei Tage speichern; das lässt sich nicht abschalten. Der Auftragsverarbeiter kann die Funktion zentral abschalten.
Beratung und Auswertung der Einrichtung (Autopilot-Chat, „Eigener Export“, Tagesanalyse), Dienstplanung (Dienstplan-KI), Auskunft für Beschäftigte (KI-Helfer der Personal-App), Auswertungen für den Träger (Träger-Autopilot, Monatsbericht), Produkthilfe und Vertragserläuterung (Hilfe-Chat, AVV-Chat), Umwandlung von Sprache in Text (Diktat), Entwurf von Texten (E-Mail-Helfer, KI-Textentwürfe, Website), Dokumentation von Elterngesprächen, Gefährdungsbeurteilung und Handbücher (Gefahren-KI, Handbuch-Entwurf), Illustration (Bild-Erzeugung) und Raumplanung (Grundriss aus Foto), jeweils nach Maßgabe der Stufe und der Schalter nach §1.
1. Autopilot-Chat und „Eigener Export“ (Verwaltungsoberfläche, nur nach Admin-Passwort). Eingaben: Fragen der Leitung, Seitenpfad und Werkzeugausgaben, also Kennzahlen (Ampel, Kapazität, Anwesenheit nach Kategorie, Unterbesetzung, Plan/Ist, Öffnungszeiten, Schwellen, Betreuungsmodelle), Protokolle je Person (Anwesenheit, Ereignisse, Dienst- und Pausenpläne) nach Stufe, Gruppen- und Betreuungsmodellnamen sowie Freitext des Teams (§1 Abs. 6). Beim „Eigenen Export“ formuliert die KI einen Rechenweg, den der Auftragsverarbeiter in einer abgeschotteten Umgebung auf den Daten der Einrichtung ausführt; die Daten, über die der Rechenweg läuft, sieht die KI dabei nicht. Aktionen nach §1 Abs. 9. Stufe: wie eingestellt.
2. Dienstplan-KI (Personalplanung). Eingaben: Dienstplan des sichtbaren Zeitraums, Personen mit Vertragszeiten, geplanten Minuten und Abwesenheit ohne Grund, Personalbedarf je 15 Minuten, Kinder nur als Summen. Ändert den Dienstplan unmittelbar (§1 Abs. 9). Stufe: nur „Alle“.
3. Tagesanalyse (automatisch kurz vor Schließzeit an Tagen mit hoher Auslastung; die erste ohne Rückfrage, jede weitere nur nach Zustimmung der Leitung; entfällt bei Stufe „Aus“). Eingaben wie Nr. 1. Empfänger: Leitung per E-Mail. Speicherung nach §1 Abs. 12 c.
4. KI-Helfer der Personal-App (nur nach Einschalten durch die Einrichtung). Beantwortet Fragen zu dem, was die App der angemeldeten Person ohnehin anzeigt (eigene Arbeitszeit, Dienstplan, Auslastung, Team-Chat, Pinnwände, Gefahren, Handbücher); nur lesend. Für Erzieher:innen stets mit Kennzeichen, für die Leitung mit Namen des Personals auf der Stufe „Alle“. Freitext nach §1 Abs. 6. Keine Speicherung beim Auftragsverarbeiter.
5. Träger-Autopilot (Träger-Bereich, nur Nutzer:innen mit Trägerrolle). Eingaben: Fragen der Trägernutzer und Werkzeugausgaben über die zugeordneten Einrichtungen, also Kennzahlen, geplante Stunden, Dienste, Stundenkonten und Abwesenheitstage je Person mit Genehmigungsstatus; Abwesenheitsgründe nur als Anzahl. Namen des Personals und Ereignistexte (die Kindernamen enthalten können) nur von Einrichtungen auf „Alle“, sonst Kennzeichen. Für jede Einrichtung gilt die niedrigere Stufe aus ihrer eigenen Einstellung und der Höchststufe des Trägers; Einrichtungen mit Stufe „Aus“ sind nicht enthalten. Keine Speicherung.
6. Monatsbericht (automatisch am Monatsersten; vom Träger abschaltbar). Eingaben: aggregierte Monatskennzahlen ohne Personennamen, Namen der Einrichtungen und Bezeichnungen von Schließtagen. Empfänger: Trägernutzer per E-Mail. Speicherung nach §1 Abs. 12 c.
7. Hilfe-Chat. Eingaben: frei formulierte Fragen, Seitenpfad und Produktdokumentation; keine Betriebsdaten. Keine Speicherung.
8. AVV-Chat (Träger-Bereich). Eingaben: frei formulierte Fragen und der Text dieses Vertrags; keine Betriebsdaten. Die KI erläutert ausschließlich den Vertragstext und gibt keine Rechtsberatung. Keine Speicherung.
9. Sprach-Diktat (Gruppen-Tablet: Tagesreport, Bericht zu einem Kind). Eingabe: Sprachaufnahme; sie kann Kinderstimmen, Namen und Beobachtungen enthalten. Nur Umwandlung in Text; der Text wird im Tagesreport gespeichert, die Aufnahme nie.
10. E-Mail-Helfer. Eingaben: von der Einrichtung eingefügte Beispiel-Mails (sie können Namen und Inhalte von Elternkorrespondenz enthalten) und der getippte oder gesprochene Auftrag. Ergebnis: ein Entwurf, der nicht versandt wird. Speicherung nach §1 Abs. 12 d.
11. Elterngespräch (nur nach Admin-Passwort). Eingabe: Aufnahme eines Gesprächs von höchstens 30 Minuten; sie enthält alles Gesprochene, einschließlich Namen und gegebenenfalls Angaben zu Gesundheit und Entwicklung des Kindes. Namen oder andere Daten des Kindes aus der Software gehen nicht an die KI. Die Software wertet eine Aufnahme nur aus, wenn für das Gespräch vorab gespeicherte Einwilligungen vorliegen, darunter mindestens die eines Elternteils; Einwilligungen werden auf dem Bildschirm unterschrieben oder per bestätigter E-Mail erteilt und gelten für genau eine Aufnahme. Ergebnis: interner Bericht mit Aufgaben und eine Fassung für die Eltern, die nicht versandt werden. Speicherung nach §1 Abs. 12 d.
12. KI-Textentwürfe (Freigabe-Texte; Rückmeldung an den Träger). Eingaben: Titel und Stichworte, wie die Einrichtung sie eingibt. Das Ergebnis füllt das Formular; keine Speicherung vor dem Übernehmen.
13. Website-Baukasten. Eingaben: Antworten der Leitung im Einrichtungs-Assistenten (Texte, Kontakt- und Impressumsangaben) und gegebenenfalls zwei eigene Stilbilder; die Stilbilder beschreibt die KI auf dem EU-Endpunkt, an die Bild-Erzeugung geht nur diese Beschreibung. Gestaltung und Texte auf dem EU-Endpunkt; Bilder nach Nr. 14.
14. Bild-Erzeugung für Website und Terminal-Logo (nur nach Einschalten durch die Einrichtung; durch den Träger sperrbar). Eingaben: Stil-, Farb- und Gestaltungsangaben und der Name der Einrichtung; keine Personendaten, keine Fotos. Globaler Endpunkt (§1 Abs. 2).
15. Vorschaubild eines Gefahren-Themas (automatisch nach dem Anlegen, auch aus der Personal-App; durch die Nicht-EU-Sperre des Trägers ausgeschlossen). Schritt 1 (EU-Endpunkt): das Foto oder der Text des Themas; die KI beschreibt nur Gegenstände und die Gefahr, keine Personen, und verwirft Fotos, die hauptsächlich Personen zeigen. Schritt 2 (globaler Endpunkt): nur diese Beschreibung. Das Vorschaubild wird beim Thema gespeichert.
16. Grundriss aus Foto, Gefahren-KI und Handbuch-Entwurf. Grundriss: ein Foto einer Raumskizze (es kann Personen zeigen, wenn diese im Bild sind), nicht gespeichert. Gefahren-KI: Thema und Notizen des Teams, so wie sie geschrieben wurden; Ergebnis sind Vorschläge, die erst die Leitung übernimmt. Handbuch-Entwurf: bis zu fünf Fotos eines gedruckten Leitfadens oder eine Beschreibung der Leitung; Fotos werden nicht gespeichert.
17. KI-Übersetzung (Schalter „Übersetzung“, voreingestellt an; wirksam nur auf der Stufe „Alle“, soweit die Höchststufe des Trägers sie zulässt). Übersetzt wird in die Sprache der Sorgeberechtigten, die die Einrichtung beim Kind hinterlegt oder, solange dort keine steht, die Sorgeberechtigten in der Eltern-App gewählt haben (Deutsch, Englisch, Türkisch, Arabisch, Ukrainisch, Russisch, Polnisch, Rumänisch): a) E-Mails der Einrichtung an Sorgeberechtigte (Einwilligungsanfragen, Abholvollmacht, QR-Brief, Terminbestätigung); Namen, Daten, Links und Codes werden vorher durch Platzhalter ersetzt und gehen nicht an die KI, den freien Text der Einrichtung liest die KI so, wie er geschrieben wurde; b) Inhalte in der Eltern-App (Nachrichten, Termine, Blog, Gruppenberichte, Tagebuch-Notizen, Notizen zu Gesprächsanfragen); die KI liest den gesamten Text so, wie er geschrieben wurde, einschließlich Namen und, in Tagebuch-Notizen, gegebenenfalls Gesundheitsangaben zum Kind; c) das Thema einer Gesprächsanfrage der Sorgeberechtigten, auf Knopfdruck der Leitung zurück in die Sprache der Einrichtung. Verarbeitung auf dem EU-Endpunkt (§1 Abs. 2). Gespeichert wird nur die Übersetzung mit einem Prüfwert des Originals, nicht das Original (§1 Abs. 12 f). Push-Benachrichtigungen werden nicht übersetzt. Ohne KI-Übersetzung bleibt die Übersetzung auf dem Gerät der Sorgeberechtigten (Anlage 2A).
18. KI-Datenwächter (Schalter „KI-Datenwächter“, voreingestellt an und stets angezeigt). Der KI-Datenwächter läuft nur auf der Stufe „Alle“, weil die KI dafür den vollständigen Text lesen muss; auf den übrigen Stufen ist er aus, und die Oberfläche zeigt das an. Ohne KI-Guthaben läuft nur der Namensabgleich ohne KI. Bevor ein in der Web-App geschriebener Text an Sorgeberechtigte oder die Öffentlichkeit geht (Nachrichten und Pinnwand einschließlich Umfragen, Nachrichten an eine Familie, Termine, freigegebene Gruppenberichte und Tagebuch-Notizen, Blog, Website-Texte und Impressum), wird er geprüft. Zuerst gleicht der Server ihn ohne KI mit den Namen der Kinder der Einrichtung ab; die Namensliste verlässt den Server nicht. Danach prüft die KI (mit Guthaben) auf die Angaben nach §1 Abs. 15 a) sowie auf Namen oder erkennbare Beschreibungen einzelner Kinder und erwachsener Privatpersonen; Vornamen und volle Namen der Kinder sind dabei durch Platzhalter ersetzt, andere Namen gehen so, wie sie geschrieben wurden. Bei einer Nachricht an eine Familie gilt der Name des gewählten Kindes nicht als Fund. Die KI liefert nur ein Urteil und die Kategorie und ändert den Text nicht. Einen kritischen Text kann nur die Leitung nach erneuter Eingabe des Admin-Passworts senden. Ist die Prüfung nicht möglich, wird der Text gesendet und ein Hinweis angezeigt. Texte werden nicht gespeichert; gezählt wird nur der Vorgang, ohne Text und ohne Person. Texte aus der Personal-App werden derzeit nicht geprüft. Die Prüfung ist nicht lückenlos und ändert nichts an Anlage 4 §5 Abs. 5.
19. Bild-Generator (nur nach Freischaltung durch den Träger, voreingestellt aus, und Einschalten durch die Einrichtung; als KI-Funktion gekennzeichnet). Nutzer:innen beschreiben ein Bild in freiem Text und können ein Referenzbild hochladen, erst nachdem sie bestätigt haben, dass es keine Personen oder Kinder zeigt; ohne diese Bestätigung nimmt der Server es nicht an. Sie wählen ein Modell; die Software weist bei jedem aus, ob es in der EU oder außerhalb der EU (globaler Endpunkt, §1 Abs. 2, keine EU-Residenz-Zusage) verarbeitet. Freitext und Referenzbilder gehen unverändert an das gewählte Modell. Referenzbilder dürfen keine Personen und keine anderen personenbezogenen Daten zeigen (zulässig sind etwa frei nutzbare Bilder aus dem Internet oder eigene Bilder ohne Personen); der Freitext enthält keine Namen und keine Beschreibungen realer Personen. Diese Pflicht obliegt den Nutzer:innen (Anlage 4 §3); die Software prüft Referenzbilder nicht. Erzeugte Bilder werden auf das Gerät der Nutzer:in heruntergeladen; erzeugte Bilder und Referenzbilder werden beim Auftragsverarbeiter nicht gespeichert. Die Sperre des Trägers „Bild-KI außerhalb der EU sperren“ schaltet alle Modelle außerhalb der EU ab.
20. Elternbriefe (über den Schalter des Sprach-Diktats; Versand nur mit Admin-Passwort). a) Vorlage: Die Einrichtung lädt einen vorhandenen Brief hoch (PDF, Word-Datei oder Foto). Die KI erhält das Dokument vollständig, so wie es ist, und ersetzt persönliche Angaben durch Platzhalter (etwa „{Kind}“, „{Eltern}“); verbliebene E-Mail-Adressen und Telefonnummern entfernt die Software zusätzlich. Gespeichert wird nur die bereinigte Vorlage, bis die Einrichtung sie löscht, mit der Zahl der entfernten Angaben je Kategorie, nie deren Werte; das hochgeladene Dokument wird nicht gespeichert. Für den Inhalt des hochgeladenen Dokuments ist der Verantwortliche verantwortlich (Anlage 4 §3). b) Brief: Auf einen Änderungswunsch schreibt die KI einen Brief mit Platzhaltern; Namen und Angaben von Kindern erreichen die KI dabei nie. Die Software setzt je Kind die Werte ein (Name, Pseudonym, Geburtstag, Alter, Gruppe, Betreuungsmodell, Aufnahme- und Schuleintrittsdatum; als „Eltern“ erscheint „Eltern von“ mit dem Vornamen des Kindes). Hat die Einrichtung die Sprache der Sorgeberechtigten hinterlegt, übersetzt die KI die Platzhalter-Fassung (Nr. 17). c) Ausgabe: je Kind ein PDF zum Herunterladen (ZIP) oder eine E-Mail mit Brieftext und PDF an die beim Kind hinterlegte Adresse der Sorgeberechtigten (Absender „[Name der Einrichtung] via Bienenstock“, Versand über Brevo, Anlage 1), je Kind und Versand höchstens einmal. Jede versandte E-Mail steht im Versandprotokoll; E-Mails, die nicht zugestellt werden konnten, stehen ohne Adresse und ohne Fehlertext als Hinweis für die Einrichtung, bis sie ihn erledigt. Den Brieftext prüft der KI-Datenwächter nicht. Verarbeitung auf dem EU-Endpunkt (§1 Abs. 2).
(1) Die Verarbeitung erfolgt im Auftrag und nach Weisung des Verantwortlichen; die Wahl der Stufe und das Ein- und Ausschalten der Funktionen nach §1 sind Weisungen.
(2) Soweit besondere Kategorien personenbezogener Daten betroffen sein können (insbesondere Diktat, Elterngespräch und Freitext des Teams), stellt der Verantwortliche eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher.
(3) Aufnahmen von Gesprächen (§3 Nr. 11) setzen die Einwilligung aller Gesprächsteilnehmenden voraus (§ 201 StGB). Die Software prüft nur, ob gespeicherte Einwilligungen nach §3 Nr. 11 vorliegen; die Einholung der Einwilligung aller Anwesenden, auch des Personals, obliegt dem Verantwortlichen.
(4) Der Hinweisdialog nach §1 Abs. 11 ist keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: Oktober 2026.
Ist der Verantwortliche eine Stelle im Geltungsbereich des Gesetzes über den Kirchlichen Datenschutz (KDG), gelten die Pflichten dieses Vertrags zugleich als Pflichten nach § 29 KDG; Verweise auf die DSGVO sind insoweit als Verweise auf die entsprechenden Vorschriften des KDG zu lesen. Der Auftragsverarbeiter weist den Verantwortlichen unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung gegen das KDG oder andere kirchliche Datenschutzbestimmungen verstößt. Er unterstützt den Verantwortlichen gegenüber der für diesen zuständigen kirchlichen Datenschutzaufsicht und gewährt ihr auf Anforderung des Verantwortlichen die Auskünfte und Nachweise nach § 7 dieses Vertrags.
Ist der Verantwortliche eine Stelle im Geltungsbereich des Kirchengesetzes über den Datenschutz der EKD (DSG-EKD), gelten die Pflichten dieses Vertrags zugleich als Pflichten nach § 30 DSG-EKD; Verweise auf die DSGVO sind insoweit als Verweise auf die entsprechenden Vorschriften des DSG-EKD zu lesen. Der Auftragsverarbeiter weist den Verantwortlichen unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung gegen das DSG-EKD oder andere kirchliche Datenschutzbestimmungen verstößt. Er unterstützt den Verantwortlichen gegenüber der für diesen zuständigen kirchlichen Datenschutzaufsicht und gewährt ihr auf Anforderung des Verantwortlichen die Auskünfte und Nachweise nach § 7 dieses Vertrags. Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf das Datengeheimnis.
(1) Sozialgeheimnis. Soweit der Verantwortliche eine in § 35 SGB I genannte Stelle ist, verarbeitet der Auftragsverarbeiter Sozialdaten im Sinne des § 67 Abs. 2 SGB X. Er wahrt das Sozialgeheimnis (§ 35 SGB I) und verarbeitet die Daten ausschließlich zu dem Zweck, zu dem sie ihm überlassen wurden. Die mit der Verarbeitung befassten Beschäftigten werden vor Aufnahme ihrer Tätigkeit schriftlich auf das Sozialgeheimnis verpflichtet; die Verpflichtung gilt über das Beschäftigungsende hinaus.
(2) Anzeige. Dem Verantwortlichen obliegt die Anzeige nach § 80 Abs. 1 SGB X. Der Auftragsverarbeiter stellt die dafür erforderlichen Angaben (TOM, Datenarten, Betroffenenkreis, Unterauftragsverarbeiter) auf Anforderung binnen zehn Werktagen bereit und teilt Änderungen an Unterauftragsverhältnissen so rechtzeitig mit, dass eine erneute Anzeige vor ihrer Wirksamkeit möglich ist.
(3) Verarbeitungsort. Sozialdaten werden ausschließlich in der EU, im EWR, in der Schweiz oder in Staaten mit Angemessenheitsbeschluss nach Art. 45 DSGVO verarbeitet (§ 80 Abs. 2 SGB X). Die KI-Bild-Erzeugung auf dem globalen Endpunkt (Anhang C) erhält keine personenbezogenen Daten und damit keine Sozialdaten, sondern ausschließlich Bildbeschreibungen ohne Personenbezug; beim Bild-Generator mit Nicht-EU-Modell dürfen Freitext und Referenzbilder keine personenbezogenen Daten enthalten, was die Nutzer:innen verantworten (Anhang C §3 Nr. 19). Wer dennoch jede Verarbeitung außerhalb der EU ausschließen will, schaltet sie mit der Einstellung „Bild-KI außerhalb der EU sperren“ im Träger-Bereich für alle Einrichtungen ab. Push-Benachrichtigungen der Eltern-App und der Personal-App (Transit über Apple und Google, §10) erhalten nur Nutzer:innen, die den eigenen Datenschutzhinweisen und Nutzungsbedingungen der jeweiligen App selbst zugestimmt haben; dort werden sie über die Push-Benachrichtigungen informiert und können sie jederzeit abschalten. Ohne Zustimmung zu Datenschutzhinweisen und Nutzungsbedingungen lässt sich die App nicht nutzen; Push-Benachrichtigungen bleiben davon getrennt freiwillig. Der Auftragsverarbeiter empfiehlt, die Personal-App ausschließlich auf einrichtungseigenen Dienstgeräten zu betreiben; Push-Benachrichtigungen lassen sich dort in den Geräteeinstellungen abschalten. Aufsichtsbehörde des Auftragsverarbeiters ist die nach § 40 BDSG zuständige Behörde (§ 80 Abs. 4 Satz 3 SGB X).
Stand: Oktober 2026.
Freitextfelder sind Eingabefelder, in die Nutzer beliebigen Text schreiben oder diktieren können, etwa Notizen, Nachrichten, Begründungen, Beschreibungen und Chat-Beiträge. Welche personenbezogenen Daten in einem Freitextfeld stehen, bestimmt allein, wer schreibt. Der Auftragsverarbeiter kann den Inhalt weder vorab begrenzen noch nachträglich erkennen.
(1) Hohes Risiko (Inhalte über einzelne Kinder, Gesundheit oder das Verhalten von Beschäftigten liegen nahe, oder der Text erreicht Eltern, die KI oder den Träger):
(2) Mittleres Risiko (Personenbezug wahrscheinlich, Empfängerkreis begrenzt): Begründungen von Zeitkorrekturen, Dienst- und Bericht-Notizen; Termine für Eltern und Personal; Abholberechtigte und Ausnahme-Übergaben; Notizen zu Zahlungen; Rückmeldungen an den Träger und Antworten, interne Notizen des Trägers zu Bewerbungen; Texte der eigenen Website und des Blogs (öffentlich); Eingaben an KI-Funktionen.
(3) Geringes Risiko (Organisationsangaben): Bezeichnungen von Gruppen, Räumen, Modellen und Anlässen; Raumreservierungen, Schließtag-Gründe, Handbuch-Artikel und Freigabe-Beschreibungen.
Die aktuelle Liste der Felder mit Empfängern und Löschung stellt der Auftragsverarbeiter auf Anfrage in Textform bereit.
(1) Der Verantwortliche entscheidet, ob und wofür sein Personal Freitextfelder nutzt, und weist die Nutzer an, nur aufzunehmen, was für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. c DSGVO).
(2) Besondere Kategorien (Art. 9 DSGVO), insbesondere Diagnosen, Vermutungen über Erkrankungen, Medikamente und Verletzungen, sowie Sozialdaten, Angaben zu Sorgerecht, Familienkonflikten und Kontaktverboten werden nur eingetragen, soweit dafür eine Rechtsgrundlage besteht und das Feld dafür bestimmt ist; im internen Personal-Chat, in Nachrichten an Sorgeberechtigte, Gefahren-Notizen und Eingaben an KI-Funktionen nie.
(3) Bewertungen der Leistung oder des Verhaltens einzelner Beschäftigter gehören nicht in den Personal-Chat und nicht in Gefahren-Notizen. Der Verantwortliche beachtet die Vorschriften zu Beschäftigtendaten und, soweit vorhanden, die Mitbestimmung der Arbeitnehmervertretung.
(4) Vor der Freigabe eines Textes an Sorgeberechtigte oder der Veröffentlichung auf der Website prüft der Verantwortliche, ob der Text Daten Dritter enthält, insbesondere anderer Kinder.
(5) Der Verantwortliche löscht Freitexte, die er nicht mehr benötigt; die Software bietet dafür Löschfunktionen.
(1) Der Auftragsverarbeiter wertet Freitexte nicht für eigene Zwecke aus, analysiert sie nicht inhaltlich und nutzt sie nicht zum Training von KI-Modellen.
(2) An KI-Funktionen gehen Freitexte nur nach Anhang C und abhängig von den Einstellungen des Verantwortlichen (Stufe und Schalter, Anhang C §1 Abs. 5 bis 8). Funktionen, die ein Nutzer im Einzelfall auslöst (etwa E-Mail-Helfer, Elterngespräch, Gefahren-KI, Text- und Handbuch-Entwürfe), übermitteln den ausgewählten Text vollständig; bei eingeschalteter KI-Übersetzung (Anhang C §3 Nr. 17) gilt das für die übersetzten Inhalte.
(3) Freitexte werden nicht technisch gefiltert. Ausnahmen sind die Zurückweisung von KI-Eingaben (Abs. 5) und der KI-Datenwächter für Texte an Sorgeberechtigte und die Öffentlichkeit (Anhang C §3 Nr. 18).
(4) Löschfristen: der interne Personal-Chat nach §3 des AVV (Pinnboard-Beiträge ausgenommen); der Verlauf des Autopilot-Chats nach Anhang C §1 Abs. 12; Gesprächsaufnahmen unmittelbar nach der Auswertung; Bewerbungen nach §8 Abs. 8. Alle übrigen Freitexte bleiben gespeichert, bis der Verantwortliche sie löscht oder der Vertrag endet (§8).
(5) Zur Unterstützung des Verantwortlichen weist die KI Eingaben mit unzulässigen Angaben zurück (Anhang C §1 Abs. 15).
(1) Einige Freitextfelder geben ihren Inhalt an Sorgeberechtigte oder die Öffentlichkeit weiter. Die Software kennzeichnet diese Felder für das Personal sichtbar und zeigt an, wer den Text erhält.
(2) Empfängerkreise:
(3) Formate:
Push-Benachrichtigungen dazu folgen Anlage 2A §2.
(4) Mit der Anzeige sind die Inhalte an die Empfänger weitergegeben; Sorgeberechtigte dürfen sie frei weiterverwenden, auch mit eigenen Programmen und KI-Diensten (Anlage 2A).
(5) Der Verantwortliche weist sein Personal an, bei Texten an alle, an Gruppen und an die Öffentlichkeit äußerst zurückhaltend zu sein: keine Namen oder erkennbaren Beschreibungen anderer Kinder, keine Gesundheitsdaten, keine Angaben zu Familien, Konflikten oder Vorfällen einzelner Personen. Auch Texte zu einem Kind enthalten keine Angaben über andere Kinder. Nachrichten an eine Familie enthalten nur, was diese Familie betrifft; Gesundheitsangaben zum eigenen Kind nur, soweit für den Zweck erforderlich. Der Verantwortliche prüft vor dem Senden das gewählte Kind, denn ein Versand an die falsche Familie ist eine Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO).
(6) Der KI-Datenwächter (Anhang C §3 Nr. 18) unterstützt dabei; die Pflichten nach Abs. 5 bleiben beim Verantwortlichen.
(7) Nachricht an eine Familie. a) Versand: Die Leitung wählt ein Kind und schreibt einen Text; vor dem Senden zeigt die Software das gewählte Kind deutlich an. Die Nachricht erscheint in der Eltern-App auf den Geräten dieses Kindes (Push nach Anlage 2A §2 (7)). Auf Wunsch der Leitung geht sie zusätzlich per E-Mail an die beim Kind hinterlegte Adresse der Sorgeberechtigten (Absender „[Name der Einrichtung] via Bienenstock“, Versand über Brevo, Anlage 1; nur nach erneuter Eingabe des Admin-Passworts; Eintrag im Versandprotokoll; Zustellung wie Anlage 5 §4 Abs. 2). b) Antworten: Sorgeberechtigte antworten nicht mit Freitext, sondern nur mit einer von der Leitung vorgegebenen Aktion, in der App oder über einen befristeten Link in der E-Mail: „OK“ (Kenntnisnahme), „Annehmen“, „Termin“ (Auswahl eines vorgeschlagenen Termins) oder „Beitreten“ (Zusage zu einem Termin der Einrichtung). Gespeichert werden die Aktion und ihr Zeitpunkt beim Kind. Betrifft „Annehmen“ eine Freigabe, läuft die Erteilung ausschließlich über die Einwilligung per E-Mail nach Anlage 5; eine Antwort in der App ist keine Erteilung. Wer geantwortet hat, prüft die Software nicht über die Kenntnis des Links bzw. den Zugang zur Eltern-App hinaus. c) Speicherung: Nachricht und Antworten bleiben gespeichert, bis der Verantwortliche sie löscht oder der Vertrag endet (§4 Abs. 4).
Stand: Oktober 2026.
(1) Diese Anlage beschreibt die Funktionen „Freigaben“, „Einwilligung per E-Mail“, „Abholberechtigte“, „Abholperson anmelden“ (Eltern-App) und „Übergabe-Nachweis“ (Gruppenansicht).
(2) Die Software ist dabei ein Werkzeug zur Dokumentation und Kommunikation. Sie hält fest, was die Einrichtung einträgt und was über die Bestätigungsseite bestätigt wird, und sie zeigt dem Personal Hinweise an. Sie trifft keine Entscheidung darüber, ob eine Einwilligung wirksam ist oder ob ein Kind an eine Person übergeben wird. Diese Entscheidungen trifft allein der Verantwortliche durch sein Personal.
(1) Der Verantwortliche legt Freigaben an (Titel und Beschreibung) und bestimmt ihren Inhalt allein. Die Software unterscheidet nicht zwischen Einwilligungen nach der DSGVO, Einwilligungen in Maßnahmen am Kind und sonstigen Erlaubnissen. Entwürfe der KI-Funktion „Mit KI formulieren“ sind keine Rechtsberatung (Anhang C).
(2) Jede Einrichtung hat eine feste Freigabe „Foto des Kindes auf den Geräten der KiTa“ mit vorgegebenem Text, den der Verantwortliche nicht ändern kann. Ohne aktive Erteilung kann kein Foto des Kindes gespeichert oder angezeigt werden; beim Widerruf wird das Foto gelöscht, spätestens beim täglichen Abgleich.
(3) Eine Freigabe entsteht auf einem von zwei Wegen:
a) Eintrag durch die Einrichtung. Das Personal setzt in der Verwaltung den Haken beim Kind. Gespeichert werden der Zeitpunkt, die Herkunft „Einrichtung“ sowie Titel und Beschreibung im damaligen Wortlaut. Ein Beleg, etwa eine unterschriebene Erklärung, wird nicht gespeichert; diesen bewahrt der Verantwortliche selbst auf.
b) Bestätigung per E-Mail. Die Einrichtung löst je Kind und Freigabe eine E-Mail an die Adresse aus, die sie beim Kind hinterlegt hat (§4). Die E-Mail enthält Titel und Beschreibung und einen Link zur Bestätigungsseite. Der Link gilt eine Stunde und nur einmal. Das Aufrufen der Seite bewirkt nichts; erst der Klick auf „Freigabe erteilen“ speichert die Erteilung mit Herkunft „Eltern“, Zeitpunkt und dem gemailten Wortlaut.
(4) Die Bestätigung scheitert, wenn bis dahin Titel oder Beschreibung geändert, die Freigabe archiviert oder widerrufen, die hinterlegte Adresse geändert oder das Kind archiviert wurde. Eingewilligt wird stets in den gemailten Wortlaut.
(5) Gespeichert werden bei der Bestätigung weder Name noch IP-Adresse noch Gerät der Person, die klickt. Die Bestätigung weist nach, dass über das hinterlegte Postfach bestätigt wurde, nicht, welche Person bestätigt hat.
(6) Den Widerruf erklären die Sorgeberechtigten gegenüber der Einrichtung; das Personal trägt ihn in der Verwaltung ein. Erteilungen und Widerrufe werden nicht geändert oder gelöscht, sondern ergänzt. Löscht der Verantwortliche ein Kind, statt es zu archivieren, werden auch dessen Erteilungen gelöscht.
(7) Sorgeberechtigte sehen die Freigaben ihres Kindes in der Eltern-App ohne Änderungsmöglichkeit. Das Personal sieht Freigaben in der Verwaltung; an Gruppenansicht und Personal-App werden sie nicht angezeigt, ausgenommen die Wirkung der Foto-Freigabe.
(1) Die Einrichtung pflegt je Kind eine Liste abholberechtigter Personen (Name, Beziehung). Personen werden deaktiviert, nicht gelöscht.
(2) Ist die Funktion „Abholperson in der App anmelden“ eingeschaltet (voreingestellt ausgeschaltet), kann in der Eltern-App
a) eine bereits hinterlegte Person für einen Tag als abholende Person gemeldet werden. Dafür genügen das Eltern-Passwort der Einrichtung und der Kind-Code; eine E-Mail-Bestätigung erfolgt nicht;
b) eine neue Person mit Name und Beziehung angegeben werden. Sie wird erst gespeichert, wenn die Abholvollmacht über die beim Kind hinterlegte Adresse im Verfahren nach §2 Abs. 3 lit. b bestätigt ist (Link eine Stunde gültig). Die Vollmacht lautet: „Ich/Wir als Sorgeberechtigte bevollmächtigen [Name] ([Beziehung]), [Vorname des Kindes] in der Einrichtung [Name] abzuholen. Die Vollmacht gilt bis zum Widerruf gegenüber der KiTa. Die abholende Person weist sich bei der Abholung aus.“ Gespeichert werden Name, Beziehung, Vollmachtstext und Zeitpunkt der Bestätigung.
(3) Eine so angelegte Person trägt den Hinweis „Neu – Ausweis prüfen“, bis das Personal in der Verwaltung „Ausweis geprüft“ einträgt. Gespeichert wird nur der Zeitpunkt, keine Ausweisdaten und nicht, wer geprüft hat.
(4) Über eine gemeldete Abholung erfährt das Personal ohne Namen: durch einen automatischen Hinweis im Personal-Chat (mit dem Chat gelöscht) und am Tag der Abholung durch einen Hinweis in der Gruppenansicht. Name, Beziehung und Prüf-Hinweis stehen im Übergabe-Dialog. Push-Benachrichtigungen werden dafür nicht versandt.
(5) Im Übergabe-Nachweis dokumentiert das Personal, an wen das Kind übergeben wurde bzw. wer es gebracht hat, ausnahmsweise an eine nicht hinterlegte Person mit Begründung, und wer die Übergabe bestätigt. Die Angabe „Bestätigt von“ ist Dokumentation; sie wird nicht durch eine persönliche Anmeldung abgesichert. Der Nachweis ist freiwillig, vom Check-in und Check-out getrennt und kann nicht geändert oder gelöscht werden.
(6) Die Software verhindert keine Übergabe und keinen Check-out, auch nicht an eine Person ohne Ausweisprüfung oder ohne Eintrag in der Liste.
(1) Die E-Mails nach §§2 und 3 gehen an die eine Adresse, die die Einrichtung im Kind-Datensatz für die Einrichtung hinterlegt. Sie werden im Namen der Einrichtung versandt (Absender „[Name der Einrichtung] via Bienenstock“) über den in Anlage 1 genannten E-Mail-Dienst.
(2) Als versandt gilt eine E-Mail, wenn der Mailserver sie angenommen hat. Ob sie zugestellt, als Spam einsortiert oder gelesen wird, erfährt die Software nicht; Rückläufer werden nicht ausgewertet. Für Freigaben zeigt die Verwaltung „wartet auf Bestätigung“ und nach Ablauf „nicht bestätigt“; für Abholvollmachten zeigt sie erst die bestätigte Person.
(3) Freigabe-Anfragen werden im Versandprotokoll mit Empfängeradresse festgehalten (§8 Abs. 8).
Die Software prüft nicht:
a) wer eine Bestätigung auslöst, und ob das Postfach einem Sorgeberechtigten gehört oder Dritten zugänglich ist;
b) ob die hinterlegte Adresse richtig ist;
c) Bestehen und Umfang des Sorgerechts, gerichtliche Entscheidungen, Umgangs- oder Kontaktverbote;
d) ob beide Sorgeberechtigten zustimmen, soweit das erforderlich ist;
e) die Identität der abholenden Person;
f) Inhalt, Wirksamkeit und Rechtsgrundlage einer Freigabe sowie die Richtigkeit von Einträgen der Einrichtung;
g) wer in der Eltern-App eine Abholung meldet und wer im Übergabe-Nachweis als bestätigende Person ausgewählt wird.
Der Verantwortliche stellt durch Organisation und Anweisung seines Personals insbesondere sicher, dass
a) Freigabe-Texte rechtlich geprüft sind, Zweck, Umfang, Empfänger, Dauer und Widerruf nennen und für die jeweilige Freigabe eine Rechtsgrundlage besteht;
b) die beim Kind hinterlegte E-Mail-Adresse richtig ist, zu einem Sorgeberechtigten gehört und bei Änderungen aktualisiert wird;
c) er prüft, ob für eine Freigabe oder Abholvollmacht die Zustimmung beider Sorgeberechtigten erforderlich ist, und sie in diesem Fall einholt, etwa durch eine zweite Erklärung auf Papier;
d) Angaben zum Sorgerecht, zu gerichtlichen Entscheidungen und zu Kontaktverboten außerhalb der Software oder in einem dafür bestimmten Feld berücksichtigt werden (Anlage 4 §3 Abs. 2);
e) das Personal bei jeder Abholung durch eine ihm nicht bekannte Person deren Identität anhand eines amtlichen Ausweises prüft, bevor es das Kind übergibt, und die Prüfung in der Verwaltung einträgt;
f) über jede Übergabe das Personal vor Ort entscheidet, unabhängig von Einträgen und Hinweisen der Software, und dass Hinweise der Software (Chat, Gruppenansicht, Meldungen) im Betrieb tatsächlich gelesen werden;
g) Eintragungen per Haken nur vorgenommen werden, wenn die Freigabe tatsächlich erteilt ist, und der Beleg dafür außerhalb der Software aufbewahrt wird;
h) Widerrufe unverzüglich eingetragen und abholberechtigte Personen deaktiviert werden, sobald die Berechtigung endet;
i) das Personal weiß, welche Freigaben für ein Kind gelten, bevor es danach handelt;
j) Sorgeberechtigte, die keine E-Mail nutzen wollen oder können, eine gleichwertige Möglichkeit auf Papier haben;
k) die Eltern über diese Funktionen informiert werden (Muster-Hinweis auf Anfrage);
l) Kinder archiviert statt gelöscht werden, solange der Nachweis von Einwilligungen benötigt wird.
(1) Der Auftragsverarbeiter speichert Erteilungen, Widerrufe, Vollmachten und Übergabe-Nachweise so, dass sie nachträglich nicht geändert werden können; eine Erteilung mit Herkunft „Eltern“ kann nur über die Bestätigungsseite entstehen.
(2) Er stellt Bestätigungslinks mit einmaligem Token bereit, das nur als Prüfwert gespeichert wird und eine Stunde gilt, und löscht Empfängeradresse und Prüfwert nach §8 Abs. 8.
(3) Weitergehende Leistungen, insbesondere die Prüfung von Identität, Sorgerecht oder Wirksamkeit, die Zustellung von E-Mails oder die Verhinderung von Übergaben, schuldet der Auftragsverarbeiter nicht.
Stand: Oktober 2026.