gemäß Art. 28 DSGVO - Version 3.13 - Stand: September 2026
zwischen
[Kunde / Träger / Einrichtung] („Verantwortlicher")
und
997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13, 67677 Enkenbach-Alsenborn
(im Folgenden: „Auftragsverarbeiter")
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Kita-Management-Software app.bienenstock-kita.de.
(2) Die Verarbeitung beginnt mit Abschluss des Software-Nutzungsvertrags und gilt für die Dauer der Nutzung der Software durch den Verantwortlichen. Der Software-Nutzungsvertrag kommt mit der Bestätigung der rechtlichen Dokumente (AGB, dieser AVV, Datenschutzhinweise) per Checkbox durch die vertragsschließende Person zustande (Einzelheiten in §12). Jede Annahme wird mit Name, Konto, Zeitstempel und Versionsnummer protokolliert. Die vertragsschließende Person erhält die vereinbarten Unterlagen vollständig per E-Mail. Check-in-Terminals zeigen keinen Annahme-Dialog. Der Software-Nutzungsvertrag umfasst ausdrücklich auch kostenlose Testzeiträume.
Die Verarbeitung umfasst folgende konkrete Vorgänge:
Zwecke der Verarbeitung:
Verarbeitete Datenarten, differenziert nach Betroffenengruppen:
Grundsatz der Datenminimierung - Pflicht- und optionale Felder (Art. 5 Abs. 1 lit. c DSGVO)
Der Klarname des Kindes ist nicht Pflicht; bleibt er leer, wird „Kein Name" angezeigt. Ein Betrieb mit Kürzel oder Spitzname ist vorgesehen. Die Pflichtangaben in den Tabellen sind für Check-in, Kapazität und den Betreuungsvertrag erforderlich. Optionale Angaben werden nur verarbeitet, wenn der Verantwortliche sie erfasst oder die zugehörige Funktion aktiviert (Art. 5 Abs. 1 lit. c DSGVO).
Kinder
| Pflichtangaben | Optional |
|---|---|
| Kennung/Pseudonym, Betreuungsfaktor, Gruppe, Betreuungsart, Geburtsdatum, Alterskategorie (abgeleitet aus dem Geburtsdatum), Check-in-/Check-out-Zeitstempel, Abwesenheitsgründe (krank, urlaub, termin, sonstiges), Betreuungszeit von/bis, Unterbrechung über Mittag, Stundenumfang pro Woche, Zahl der Betreuungstage pro Woche, Betreuungsdauer Schulkind, Wochenendbetreuung, Betreuung am Vor- und Nachmittag, Teilnahme am Mittagessen, Mittagessen-Kategorie, Aufnahmedatum, Aufnahmemonat/-jahr, gültig ab/bis, Austrittsdatum | Name bzw. Pseudonym/Kürzel, Vor- und Nachname, Wohnort, Straße, Postleitzahl, Ort, Archivierungszeitstempel, amtliche Kind-Nummer, BG-Nummer, Gebietsfremd-Kennzeichen, Betreuungszeitraum (Vertragsbeginn und -ende), E-Mail-Adresse am Kind-Datensatz (für Beleg- und Dokumentenversand, einschließlich Essensabrechnung), Abrechnungsmerkmale der Essensabrechnung (Zeitraum, abgerechnet), Freitext-Notizen, Avatar-Illustration, Aussehens-Beschreibung (Haar, Hautfarbe, Gesichts-/Lippenform), Geschlecht, Schulbesuch, Klassenstufe, Pendlerkind, Betreuung nach § 64a SchulG, Eingliederungshilfe (körperlich, geistig, seelisch), BTHG-finanzierter Platz, erhöhter Förderbedarf, vorrangige Familiensprache, Eltern ausländischer Herkunft, geflüchtetes Kind aus der Ukraine, Allergien und Unverträglichkeiten, Essenshinweis-Freitext |
Statistik- und Landesreporting-Felder sowie besondere Kategorien nach Art. 9 DSGVO stehen in der Spalte Optional und werden nur erhoben, soweit die Einrichtung sie erfasst (Landesreporting bzw. amtliche Statistik nach § 47 SGB VIII, oder operativ Allergien/Essenshinweise). Art.-9-Daten werden getrennt und mit erhöhtem Schutzniveau verarbeitet. Die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO stellt der Verantwortliche sicher. Bei aktiviertem Lieferanten-Zugang gehen Allergien und Essenshinweise an den vom Verantwortlichen benannten Essenslieferanten (Empfänger auf Weisung, nicht Unterauftragsverarbeiter). Avatar-Illustration: Anhang C; keine Namen, IDs oder Geburtsdaten in den Bild-Prompts.
Personal
| Pflichtangaben | Optional |
|---|---|
| Name bzw. Kürzel, Kennung/Pseudonym, Personal-Typ (sofern konfiguriert), Check-in-/Check-out-Zeitstempel | Gruppenzuordnung, Personalnummer, Einstellungsdatum, Befristung des Arbeitsvertrags, Vertragsende, Drittanstellung, Qualifikation zur Praxisanleitung, Arbeitsbereiche, Arbeitszeitmodell, tägliche Arbeitszeiten, Wochenstunden, Monatsstunden, Arbeitsort-Kennzeichen (Homeoffice, Ausflug, außer Haus), geplante Dienste, Abwesenheiten, Dienstplan-Vorlagen, Stundenkonto, Sitzungsdaten der Erzieher-App (Refresh-Tokens), Geschlecht, Geburtsmonat und -jahr, Beschäftigungsumfang, Berufsausbildungsabschluss, Stellung im Beruf, Art der Beschäftigung, Arbeitsbereich, tarifliche Eingruppierung, Zeitmeldungen, Krankmeldungen |
Statistik- und Landesreporting-Felder des Personals stehen in der Spalte Optional und werden nur erhoben, soweit für die amtliche Statistik einzelner Bundesländer erforderlich. Chat und Pinnboard: unten unter Nachrichten.
Eltern/Sorgeberechtigte (via Eltern-App und API):
Personal (zusätzlich via Erzieher-App und API):
Nutzerkonten (alle Rollen):
Protokolldaten (Logs):
Nachrichten:
Gruppenreporte, Tagesreporte und Meldungen:
Kita-Metadaten (optional, soweit konfiguriert):
Optionale KI-Funktionen (nur bei Aktivierung; Einzelheiten in Anhang C):
Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der folgenden Pflichten gemäß Art. 28 Abs. 3 DSGVO:
(1) Weisungsbindung (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation -, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
(2) Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Auftrags fort.
(3) Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c i.V.m. Art. 32 DSGVO)
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen gewährleistet der Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau. Die konkreten Maßnahmen sind in §5 dieses Vertrags beschrieben.
(4) Unterauftragsverarbeiter (Art. 28 Abs. 3 Satz 2 lit. d i.V.m. Art. 28 Abs. 2 und 4 DSGVO)
Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen in Anspruch. Die in Anlage 1 und Anlage 2 genannten Unterauftragsverarbeiter gelten mit Vertragsschluss als genehmigt. Jede Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter bleibt technisch gesperrt, bis die vertragsschließende Person die aktualisierte Vereinbarung gelesen und per Checkbox bestätigt hat. Die Einzelheiten sind in §9 dieses Vertrags geregelt.
(5) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den Art. 15 bis 22 DSGVO genannten Rechte der betroffenen Personen. Hierzu zählen insbesondere das Auskunftsrecht (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), die Mitteilungspflicht (Art. 19), das Recht auf Datenübertragbarkeit (Art. 20), das Widerspruchsrecht (Art. 21) sowie das Recht auf Nichtunterwerfung unter automatisierte Einzelentscheidungen (Art. 22).
(6) Unterstützung bei Sicherheitspflichten (Art. 28 Abs. 3 Satz 2 lit. f DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere die Unterstützung bei:
(7) Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO)
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, damit der Verantwortliche seine Meldepflicht gemäß Art. 33 Abs. 1 DSGVO (72-Stunden-Frist gegenüber der Aufsichtsbehörde) einhalten kann. Die Meldung enthält mindestens:
(8) Löschung und Rückgabe (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)
Nach Abschluss der Erbringung der Verarbeitungsdienstleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Einzelheiten sind in §8 dieses Vertrags geregelt.
(9) Nachweispflichten (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und unterstützt Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Die Einzelheiten sind in §7 dieses Vertrags geregelt.
(10) Verarbeitungsverzeichnis (Art. 30 Abs. 2 DSGVO)
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchführt, das die in Art. 30 Abs. 2 lit. a bis d DSGVO genannten Angaben enthält.
Der Auftragsverarbeiter hat folgende Maßnahmen nach Art. 32 Abs. 1 lit. a-d DSGVO implementiert. Gemäß Art. 32 Abs. 1 DSGVO sind unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen umfassen insbesondere:
Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu personenbezogenen Daten (Art. 32 Abs. 2 DSGVO).
Die Maßnahmen orientieren sich an den Schutzzielen des § 64 Abs. 3 BDSG:
Die nachfolgende Darstellung beschreibt die konkreten Umsetzungen dieser Schutzziele. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst (Art. 32 Abs. 1 lit. d DSGVO).
Änderungen der TOMs werden wie folgt unterschieden:
1. Zutrittskontrolle (logisch)
Supabase Auth mit JWT und automatischem Token-Refresh; Row-Level Security (RLS) auf allen Datenbanktabellen; Column-Level Security auf der Kita-Tabelle.
2. Zugangskontrolle
Client-seitig: 3-stufiges Passwort-System (Admin/Staff/Parent); passwortgeschützte Higher-Order-Komponente (withPasswordProtection); API-Key-Authentifizierung für die Eltern-API.
Betreiber-seitig: Zugang zu Produktivsystemen, Datenbanken und Infrastruktur ist auf autorisiertes Personal beschränkt und durch individuelle Authentifizierung gesichert.
3. Zugriffskontrolle
Client-seitig: RLS-Policies auf Datenbankebene; rollenbasiertes Berechtigungskonzept mit den Stufen Träger-Manager, Kita-Admin und Staff. Kita-Admin und Staff greifen ausschließlich auf Daten der eigenen Einrichtung zu. Ein Trägerkonto sieht die Daten der dem Träger zugeordneten Kitas; vom Trägerkonto eingeladene Nutzer erhalten nach Annahme der Einladung ebenfalls Einsicht und Bearbeitung dieser Kita-Daten. Eine Einsicht in Daten anderer Träger besteht nicht.
Betreiber-seitig: Zugriff auf personenbezogene Daten ausschließlich nach dem Prinzip der Erforderlichkeit (Need-to-know), beschränkt auf Wartung, Support und Fehlerbehebung.
4. Weitergabekontrolle
TLS 1.2/1.3 für sämtliche Datenübertragungen; HTTPS-only-Konfiguration (Vercel); keine unverschlüsselten Schnittstellen.
5. Eingabekontrolle
Client-seitige Validierung (Formik + Yup); serverseitige Validierung; Protokollierung aller Check-in-/Check-out-Vorgänge mit Zeitstempel.
6. Verfügbarkeitskontrolle
Supabase Managed Database (Frankfurt) mit automatisierten Backups und Point-in-Time Recovery; Vercel Edge-Netzwerk mit Ausfallsicherheit; Reconnection-Logik mit exponentiellem Backoff (500 ms → 5 s).
7. Trennungskontrolle
Datenbankebene: Mandantentrennung über Row-Level Security (RLS) auf allen Tabellen - jede Policy prüft die Zugehörigkeit zur jeweiligen Einrichtung (kita_id). Column-Level Security (CLS) auf sensiblen Spalten (z. B. Passwörter). Blanket Denial als Baseline (REVOKE ALL für unauthentifizierte Zugriffe). Storage-Buckets ebenfalls RLS-geschützt.
Applikationsebene: Frontend nutzt ausschließlich eingeschränkte API-Schlüssel (kein Service-Role-Key); Service-Role-Key nur serverseitig in API-Routes. Realtime-Subscriptions durch RLS gefiltert. Einrichtungen können ausschließlich eigene Daten einsehen. Trägerkonten (einschließlich eingeladener Nutzer) sehen und bearbeiten die Daten der dem Träger zugeordneten Kitas; eine trägerübergreifende Einsicht besteht nicht.
8. Pseudonymisierung
Optional konfigurierbar: Kürzel anstelle von Klarnamen in der Anzeige; pseudonymisierte Kind-IDs (Kind-Codes) in der Eltern-App.
9. Fehlerüberwachung
Technische Fehlerereignisse werden an Sentry (Functional Software, Inc.) in der EU-Region Frankfurt (FRA) übermittelt. Stacktraces und technische Metadaten ohne Chat-, Prompt- oder Audio-Nutzlasten; bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ. Session Replay zeichnet die Verwaltungsoberfläche zur Fehlerreproduktion auf und kann Kind- und Personennamen enthalten, soweit sie auf dem Bildschirm sichtbar sind.
Stand: September 2026. Sofort wirksame TOM-Anpassungen werden dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt. Alle übrigen TOM-Änderungen folgen §12 Abs. 3.
(1) Der Verantwortliche ist gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Er bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 Abs. 1 DSGVO).
(2) Der Verantwortliche stellt sicher, dass die Verarbeitung im Einklang mit den Grundsätzen des Art. 5 Abs. 1 DSGVO erfolgt, insbesondere:
(3) Der Verantwortliche ist insbesondere verantwortlich für:
(4) Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen hinsichtlich Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen sind schriftlich oder in einem elektronischen Format zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
(5) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse der Verarbeitung feststellt.
(6) Personenbezogene Daten von Kindern und Eltern in der Kindertagesbetreuung werden im Jugendhilferecht wegen § 61 Abs. 3 SGB VIII wie Sozialdaten behandelt. Die Beauftragung eines webbasierten Anbieters gilt nach der IFP-Expertise KitaApps (3. Auflage, 2025) typischerweise als anzeigepflichtige Auftragsverarbeitung nach § 80 Abs. 1 SGB X. Die Anzeige obliegt dem Verantwortlichen. Das IFP empfiehlt sie mindestens vier Wochen vor Vertragsschluss; das ausfüllbare Formular liegt bei der Expertise. Der Auftragsverarbeiter reicht die Anzeige nicht ein.
(7) Für kirchliche Träger gelten neben der DSGVO das KDG (katholisch) bzw. das DSG-EKD (evangelisch) mit eigenen Aufsichtsbehörden. Inhaltlich sind die Anforderungen an Auftragsverarbeitung und technische Maßnahmen weitgehend parallel; zuständige Stellen sind gesondert zu ermitteln.
(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags und der datenschutzrechtlichen Vorgaben zu überprüfen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Die Überprüfung kann erfolgen durch:
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage aktuelle Nachweise über die Einhaltung der technischen und organisatorischen Maßnahmen zur Verfügung. Hierzu zählen insbesondere die Zertifizierungen und Auditberichte der eingesetzten Unterauftragsverarbeiter.
(1) Nach Beendigung der Verarbeitungstätigkeit wird der Auftragsverarbeiter gemäß Art. 28 Abs. 3 Satz 2 lit. g DSGVO alle personenbezogenen Daten innerhalb von 30 Tagen nach Wahl des Verantwortlichen löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
(2) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format (CSV oder Excel) über einen sicheren Übertragungsweg.
(3) Die Löschung umfasst sämtliche personenbezogenen Daten in Produktivsystemen. Daten in automatisierten Backup-Systemen werden spätestens innerhalb des regulären Backup-Rotationszyklus vollständig überschrieben. Verworfene Check-in-Aktionen (discarded_actions) bleiben nach Löschung einer einzelnen Person bewusst erhalten (dokumentierte Aufbewahrung, §3); sie werden gleichwohl mit Beendigung der Verarbeitungstätigkeit nach Abs. 1 gelöscht oder zurückgegeben.
(4) Der Auftragsverarbeiter stellt dem Verantwortlichen nach Abschluss der Löschung eine schriftliche Löschbestätigung aus, die Datum, Umfang und betroffene Systeme der Löschung benennt.
(5) Testphase: Wird die Nutzung nach Ablauf eines kostenlosen Testzeitraums nicht fortgeführt, endet die Verarbeitungstätigkeit mit dem letzten Tag der Testphase. Dem Verantwortlichen steht ab diesem Zeitpunkt ein Monat zur Verfügung, um die eingegebenen Daten zu exportieren bzw. zu sichern (Abs. 2). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten gemäß Abs. 3 und stellt die Löschbestätigung gemäß Abs. 4 aus.
(6) Ein für die Testphase bereitgestelltes Endgerät (Tablet) ist vor der Rückgabe von sämtlichen Daten zu befreien und auf Werkseinstellungen zurückzusetzen. Der Auftragsverarbeiter prüft die Rücksetzung nach Rückerhalt des Geräts und führt sie erforderlichenfalls erneut durch.
(1) Der Verantwortliche genehmigt mit Vertragsschluss den Einsatz der in Anlage 1 und Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).
(2) Jede Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters ist technisch gesperrt, bis die vertragsschließende Person die aktualisierte Vereinbarung (einschließlich der geänderten Anlage) gelesen und per Checkbox bestätigt hat. Vor dieser Bestätigung fließen keine personenbezogenen Daten an den neuen oder ersetzten Anbieter. Ein 14-Tage-Einspruch ohne Sperre findet nicht statt. Bis zur Bestätigung bleiben ausschließlich die zuvor genehmigten Unterauftragsverarbeiter im Einsatz.
(3) Die Aufforderung zur Bestätigung erscheint im Dashboard der vertragsschließenden Person (Träger-Dashboard, sobald die Einrichtung einem Träger zugeordnet ist, sonst Kita-Admin), am Verwaltungs-Desktop, nicht auf Check-in-Terminals. Gleichzeitig erhält die vertragsschließende Person die aktualisierte Vereinbarung per E-Mail. Steht die Bestätigung nach zwei Wochen noch aus, folgt eine Erinnerung. Weitere Erinnerungsmails unterbleiben (§12 Abs. 2).
(4) Der Auftragsverarbeiter stellt gemäß Art. 28 Abs. 4 DSGVO sicher, dass mit jedem Unterauftragsverarbeiter ein Vertrag geschlossen wird, der diesem mindestens dieselben Datenschutzpflichten auferlegt wie in diesem AVV festgelegt.
(1) Sämtliche personenbezogenen Kerndaten des Kernprodukts werden auf Servern innerhalb der Europäischen Union gespeichert (Hauptstandort: Supabase, Frankfurt/AWS). Serverless Functions und Datenspeicherung bei Vercel sowie Fehlerüberwachung (Sentry) sind auf die EU-Region Frankfurt konfiguriert. Technische E-Mails (Brevo) werden auf OVH in Frankreich und Deutschland gehostet; die Datenspeicherung bei Brevo erfolgt auf Google Cloud in Belgien. Eine dauerhafte Speicherung personenbezogener Kerndaten außerhalb der EU ist nicht konfiguriert. Zur Ausnahme der optionalen KI-Bild-Erzeugung siehe Abs. 2 und Anhang C.
(2) Auch für die optionale Eltern-App (iOS/Android) und die Erzieher-API werden sämtliche API-Anfragen und damit verbundene Daten seit der aktuellen Konfiguration innerhalb der EU verarbeitet: Die API-Vermittlung über Cloudflare ist auf Frankfurt (AWS eu-central-1 / Cloudflare Regional Services) beschränkt; Cloudflare KV (Eltern-Passwort, Push-Tokens, Geräte-IDs; Wallet-Pässe bis zu 5 Minuten) liegt in der EU-Datenresidenz. Abmeldungen, Essensabsagen und Abholmeldungen sowie Personal-Meldungen (Zeiten, Check-in/Check-out, Krankmeldungen, Chat-Nachrichten) werden ausschließlich innerhalb Deutschlands an Supabase (Frankfurt) übergeben. Die Datenflüsse, die systembedingt über außereuropäische Plattform-Infrastruktur laufen können, betreffen:
Push- und Wallet-Datenflüsse sind technisch zwingend durch die Plattformen Apple/iOS und Google/Android vorgegeben und können nicht auf EU-Infrastruktur begrenzt werden (Details siehe Anlage 2). Die Bild-Erzeugung ist optional und einzeln abschaltbar; sie wird gleichwohl ehrlich als Residenz-Ausnahme geführt, solange Google das Bildmodell nicht auf der EU-Multiregion bereitstellt.
(3) Konfigurationsstand - Datenhaltung ausschließlich in der EU: Zum Stand dieses Vertrags sind sämtliche eingesetzten Unterauftragsverarbeiter so konfiguriert, dass personenbezogene Daten ausschließlich innerhalb der Europäischen Union gespeichertwerden. Dies umfasst konkret:
Ausnahme Push-Routing: Bei aktiver Nutzung der Eltern-App oder der Personal-App (iOS/Android) müssen Push-Benachrichtigungen systembedingt über die globale Infrastruktur von Apple Push Notification service (APNs) und Firebase Cloud Messaging (FCM) sowie die Orchestrierungsschicht Expo geleitet werden. Diese Weiterleitung ist technisch zwingend und durch die Plattformen Apple/iOS und Google/Android vorgegeben; eine EU-ausschließliche Routing-Konfiguration ist auf Ebene dieser Push-Dienste nicht möglich. Die Fachdaten bleiben in Supabase Frankfurt gespeichert. Es erfolgtkeine dauerhafte Speicherung der Nachrichteninhalteauf der Push-Infrastruktur von APNs, FCM und Expo (reiner Transit der Zustellung). Die drei Push-Typen und ihre Inhalte stehen in Anlage 2 §2.
Ausnahme KI-Bild-Erzeugung: Die optionale Bild-Erzeugung (Anhang C §3 Nr. 4) läuft auf dem globalen Vertex-Endpunkt. Google stellt Bildmodelle nicht auf der EU-Multiregion bereit; für diesen Fluss gibt es daher keine EU-Residenz-Zusage. Übermittelt werden textliche Erscheinungsbeschreibungen (keine Namen, IDs, Geburtsdaten). Transfergrundlage: EU-U.S. Data Privacy Framework und Standardvertragsklauseln gegenüber Google. Der Fluss ist einzeln abschaltbar.
Zum Zeitpunkt des Vertragsschlusses besteht - mit Ausnahme des vorstehend beschriebenen Push-Routings und der optionalen KI-Bild-Erzeugung - keine aktive Datenübermittlung in Drittländer im Sinne von Art. 44 DSGVO, die auf eine dauerhafte Speicherung außerhalb der EU abzielt. Die nachfolgend genannten DPF- und SCC-Grundlagen dienen der rechtlichen Absicherung gegenüber den US-Muttergesellschaften der eingesetzten Cloud-Anbieter sowie gegenüber potenziellen Zugriffen nach US-Recht (insbesondere CLOUD Act) - und, für die Bild-Erzeugung, der Absicherung der Verarbeitung auf dem globalen Endpunkt.
(4) Überwachung der Transfergrundlage: Der Auftragsverarbeiter überwacht fortlaufend die Gültigkeit des EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Datenübermittlungen bzw. potenzielle Zugriffsmöglichkeiten in die USA werden derzeit bei folgenden Unterauftragsverarbeitern (auch) auf Grundlage des DPF abgesichert:
(5) Fallback auf Standardvertragsklauseln: Für die vorgenannten Dienste mit Ausnahme von Apple (APNs) bestehen ergänzend Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 als eigenständige Transfergrundlage gemäß Art. 46 Abs. 2 lit. c DSGVO. Bei Wegfall, Aussetzung oder Ungültigerklärung des EU-U.S. DPF stellt der Auftragsverarbeiter die Transfergrundlage bei diesen Diensten ohne Unterbrechung des Dienstes auf die SCCs um und informiert den Verantwortlichen hierüber unverzüglich, spätestens innerhalb von 30 Tagen nach Kenntnisnahme. Für APNs bietet Apple keine SCCs an; iOS-Push kann in diesem Fall deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen.
(6) Ergänzende Schutzmaßnahmen (Transfer Impact Assessment): Im Einklang mit den EDSA-Empfehlungen 01/2020 werden folgende zusätzliche technische und organisatorische Schutzmaßnahmen angewendet:
(7) Eskalation bei Wegfall auch der SCCs: Sollten auch die Standardvertragsklauseln durch Urteil des EuGH oder verbindlichen Beschluss einer Aufsichtsbehörde als unzureichend eingestuft werden, ergreift der Auftragsverarbeiter mindestens eine der folgenden Maßnahmen und informiert den Verantwortlichen mit mindestens 14 Tagen Vorlauf:
(8) Auswirkungen auf das Kernprodukt: Die Datenlokalisierungdes Kernprodukts ist von einem Wegfall des EU-U.S. DPF nicht betroffen - alle personenbezogenen Kerndaten verbleiben an ihrem bisherigen Speicherort (Supabase: Frankfurt/DE; Vercel: Frankfurt/DE; Sentry: Frankfurt/DE; Hetzner: Falkenstein/Nürnberg; Brevo: Hosting OVH Frankreich/Deutschland, Speicherung Google Cloud Belgien; Zoho: Niederlande). Betroffen ist ausschließlich die rechtliche Transfergrundlage für diejenigen Dienstleister, deren Muttergesellschaft ihren Sitz in den USA hat (konkret: Vercel Inc., Supabase Inc., Functional Software, Inc. und Google). Für diese würde die Transfergrundlage von DPF auf SCCs umgestellt (siehe Abs. 5), ohne dass der physische Speicherort oder der Dienstbetrieb unterbrochen wird. Sollten auch die SCCs durch Urteil oder behördlichen Beschluss als unzureichend eingestuft werden, würde der Auftragsverarbeiter auf EU-ansässige Ersatzanbieter ohne US-Muttergesellschaft migrieren. Die Push-Funktionalität der Eltern-App und der Personal-App (FCM, APNs, Expo) und die optionale KI-Bild-Erzeugung können in einem solchen Szenario deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine ihr zuzurechnende Verletzung der DSGVO verursacht werden. Der Auftragsverarbeiter haftet für das Verschulden seiner Mitarbeiter und von ihm eingesetzter Unterauftragsverarbeiter wie für eigenes Verschulden.
(1) Der Vertragsschluss erfolgt durch eine aktive Bestätigung (Checkbox) im authentifizierten Konto der vertragsschließenden Person. Vertragsschließende Person ist die im jeweiligen Konto angemeldete Person, die für den Verantwortlichen handelt. Wer Vertragspartei ist, richtet sich nach der Zuordnung der Einrichtung:
Jede Vertragsbestätigung und jede Kenntnisnahme wird mit Name, E-Mail, Rolle (Trägerkonto bzw. Kita-Leitung), Art des Vorgangs (Vertrag oder Kenntnisnahme), Zeitstempel, der Versionsnummer dieses AVV einschließlich seiner Anlagen (Anlage 1, Anlage 2, Anhang C) und der zuvor bestätigten Version gespeichert.
(2) Am Tag der Bereitstellung einer neuen Fassung und mit jeder Bestätigung nach Abs. 1 erhält die vertragsschließende Person per E-Mail die vollständigen Unterlagen: diesen AVV einschließlich sämtlicher Anlagen in der jeweiligen Versionsnummer sowie, nach Bestätigung, die Bestätigungsdatensätze (Name, E-Mail, Rolle, Zeitstempel). Zusätzlich enthalten die Mails Downloadlinks auf dieselben Fassungen. Dieselbe Fassung kann jederzeit auf der Webseite heruntergeladen, eingesehen und gespeichert werden (Druckfunktion). Eine gesonderte postale Rücksendung erfolgt nicht. Ausstehende Bestätigungen und geänderte Fassungen werden im Dashboard der vertragsschließenden Person angezeigt (Träger-Dashboard bei Trägerzuordnung, sonst Kita-Admin) und beim nächsten Anmeldevorgang in der Verwaltungsoberfläche vorgelegt. Steht die Bestätigung nach zwei Wochen noch aus, folgt eine Erinnerung per E-Mail. Weitere Erinnerungsmails unterbleiben. Zugeordnete Einrichtungen bleiben in der Zwischenzeit nutzbar.
(3) Wesentliche Änderungen dieses AVV einschließlich seiner Anlagen (neue Datenpunkte, neue Funktion mit Datenerhebung, andere als die bereits genehmigte Infrastruktur sowie sonstige Änderungen, die nicht unter Abs. 4 fallen) werden der vertragsschließenden Person im Dashboard angezeigt und am Tag der Bereitstellung per E-Mail übersandt, in der Regel mindestens 14 Tage vor dem vorgesehenen Beginn. Die betroffene Funktion bzw. die geänderte Verarbeitung bleibt technisch gesperrt, bis die vertragsschließende Person per Checkbox zugestimmt hat. Die übrige Software bleibt nutzbar; personenbezogene Daten fließen in die neue Verarbeitung erst nach dieser Bestätigung. Bis dahin bleibt die zuvor bestätigte Fassung maßgeblich. Betrifft die Änderung einen neuen oder ersetzten Unterauftragsverarbeiter, gilt zusätzlich die technische Sperre nach §9 Abs. 2.
(4) Kein Update-Verfahren (keine Checkbox, keine E-Mail, sofort maßgeblich) gilt für:
Sobald eine Schärfung oder TOM-Anpassung neue Datenpunkte, eine neue Funktion mit Datenerhebung oder andere Infrastruktur betrifft, gilt Abs. 3. Betrifft sie einen neuen oder ersetzten Unterauftragsverarbeiter, gilt zusätzlich die technische Sperre nach §9 Abs. 2.
(5) Die Checkbox im System ist das Regelverfahren für Abs. 1 und Abs. 3. Eine handschriftliche Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO). Die elektronische Bestätigung einschließlich der E-Mail nach Abs. 2 wahrt die Schriftform des §13 Abs. 1.
(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Die Schriftform wird durch die Checkbox der vertragsschließenden Person und die E-Mail nach §12 gewahrt. Schärfungen und sofort produktive TOM-Anpassungen nach §12 Abs. 4 bedürfen keiner erneuten Checkbox. Wesentliche Änderungen nach §12 Abs. 3 werden in der Regel 14 Tage vor dem vorgesehenen Beginn unterrichtet; die neue Verarbeitung bleibt bis zur Checkbox technisch gesperrt.
(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Kaiserslautern.
Der Auftragsverarbeiter setzt die folgenden Unterauftragsverarbeiter ein. Mit jedem besteht ein gesonderter Auftragsverarbeitungsvertrag (DPA). Personenbezogene Kerndaten werden nicht dauerhaft außerhalb der EU gespeichert. Zur Ausnahme der optionalen KI-Bild-Erzeugung (globaler Endpunkt) siehe Anhang C §3 Nr. 4.
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Realtime, Backend-Funktionen | Alle Kerndaten (Stamm-, Anwesenheits-, Kommunikations-, Authentifizierungsdaten) | EU (Frankfurt/AWS) | SOC 2 Type II, HIPAA-fähig, DSGVO-konform | Ja |
| Hetzner Online GmbH | Serverinfrastruktur (nur Verwaltung) | Verwaltungsdaten; kein Kontakt mit der Anwendung | Deutschland (Falkenstein/Nürnberg) | ISO 27001, ISO 27701, SOC 2 Type II, BSI C5 | Ja |
| Vercel Inc. | Hosting, Serverless Functions | IP-Adressen, Sitzungsdaten, Request-Logs | EU (Frankfurt) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Zoho Corporation Pvt. Ltd. | E-Mail-Postfach und -Speicherung | E-Mail-Adressen, Nachrichteninhalte | EU (Niederlande) | ISO 27001, SOC 2 Type II | Ja |
| Brevo (Sendinblue) | Technische E-Mails sowie Versand und Empfang von E-Mails in Softwarefunktionen | E-Mail-Adressen, Inhalte der System- und Funktionsmails | Hosting: OVH (Frankreich und Deutschland). Speicherung: Google Cloud (Belgien) | ISO 27001, DPA; Speicherung bei Google Cloud Belgien abgesichert über EU-U.S. Data Privacy Framework und SCCs | Ja |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung und Session Replay der Verwaltungsoberfläche (EU-Region Frankfurt) | Fehlermeldungen, Stacktraces, technische Metadaten (bei Diktat-Fehlern: Bytegröße und MIME-Typ); keine Audio-, Chat- oder Prompt-Inhalte in den Fehlerereignissen. Session Replay: Bildschirmaufzeichnung der Verwaltungsoberfläche zur Fehlerreproduktion - soweit Kind- oder Personennamen auf dem Bildschirm sichtbar sind, können sie in der Aufzeichnung enthalten sein | EU (Frankfurt / Region FRA) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Finbc GmbH (onefinance / finbc.de) | eRechnung und Vertragsabrechnung bei Angebotsannahme (Softwarevertrag, nicht Kita-Betriebsdaten) | Träger-Kontakt- und Rechnungsdaten (Name, Anschrift, E-Mail, Ansprechpartner, Leitweg-ID, USt-IdNr., Bestellnummer) | Deutschland | DPA | Ja |
| Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform) | Optionale KI-Funktionen - Opt-in, Kill-Switch je Datenfluss, Einwilligungsdialog vor erster Nutzung von Autopilot-Chat, Hilfe-Chat und Website-Baukasten (Einzelheiten in Anhang C) | Funktionsabhängige Eingaben gemäß Anhang C (Freitext, Aggregate, Organisationsbezeichnungen, Stimmeingabe nur zur Transkription - Audio wird nie gespeichert, Erscheinungsbeschreibungen, Website-Interviewantworten und -fotos); keine Nutzung zum Training von KI-Modellen | EU-Multiregion (aiplatform.eu.rep.googleapis.com), EU-Datenresidenz - mit der ausdrücklich benannten Ausnahme der Bild-Erzeugung (globaler Endpunkt, Anhang C §3 Nr. 4) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja (Vertex AI Data Processing Addendum) |
Stand: September 2026. Neue oder ersetzte Unterauftragsverarbeiter werden gemäß §9 Abs. 2 erst nach gelesener Vereinbarung und Checkbox durch die vertragsschließende Person eingesetzt.
Die Wahl von Supabase (Datenbank, Authentifizierung, Storage) und Vercel (Hosting, Serverless Functions) als zentrale Infrastrukturanbieter - beide technisch auf AWS Frankfurt (eu-central-1) aufgesetzt - ist Ergebnis einer sorgfältigen Abwägung zwischen Datenschutz-Anforderungen und Betriebssicherheit gemäß Art. 32 Abs. 1 DSGVO. Maßgeblich waren folgende Kriterien:
Bewertete Alternativen und Ablehnungsgründe:
Die gewählte Kombination maximiert das Schutzniveau nach Art. 32 DSGVO(Schutz vor Verlust, Zerstörung, unbefugter Offenlegung) unter Beibehaltung der EU-Lokalisierung (Frankfurt). Die verbleibende Restrisiko-Exposition gegenüber den US-Muttergesellschaften ist rechtlich durch DPF/SCCs (§10 Abs. 4-5) und technisch durch die in §5 beschriebenen Maßnahmen abgesichert.
Die folgende Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen Eltern-App (iOS/Android) und, soweit eingesetzt, der Personal-App (Push an Mitarbeitende). Sie gilt, sofern der Verantwortliche die jeweilige App als Erweiterung des Kernprodukts einsetzt. Die Apps sind keine Voraussetzung für die Nutzung des Kernprodukts. Der Auftragsverarbeiter stellt innerhalb der Eltern-App eine technische Einwilligungsabfrage (Zustimmung zur Datenschutzerklärung) bereit. Die Sicherstellung einer darüber hinausgehenden wirksamen Einwilligung gemäß Art. 6 Abs. 1 lit. a, Art. 7 DSGVO liegt im Verantwortungsbereich und Ermessen des Verantwortlichen.
(1) Die Nutzung der Eltern-App ist freiwillig und keine Voraussetzung für die Inanspruchnahme der Betreuungsleistungen. Die Nicht-Nutzung hat keinerlei Auswirkungen auf den Betreuungsvertrag oder die Qualität der Betreuung.
(2) Alle Informationen, die über die App bereitgestellt werden, sind auch auf anderem Wege verfügbar (z. B. Aushang, persönliches Gespräch).
(3) Die Verarbeitung personenbezogener Daten über die Eltern-App erfolgt auf Grundlage der Einwilligung gemäß Art. 6 Abs. 1 lit. a, Art. 7 DSGVO. Der Widerruf ist jederzeit ohne Nachteile möglich.
Die Verarbeitung umfasst:
Nicht verarbeitet: Check-in-/Check-out-Zeiten von Kindern. Diese werden ausschließlich am Terminal in der Kita erfasst.
Push-Benachrichtigungen, drei Typen: Alle drei Typen laufen als Expo-Push über den Cloudflare-Push-Worker. Die Fachdaten bleiben in Supabase Frankfurt gespeichert. Ohne den Transit über APNs, FCM und Expo ist eine Zustellung auf iOS und Android nicht möglich. Nachrichteninhalte werden bei den Push-Diensten nicht dauerhaft gespeichert (nur Transit der Zustellung). Eine technische Filterung der Freitexte findet nicht statt.
(1) Gruppen-Nachricht. Empfänger: Geräte der Eltern-App der Einrichtung, nach den bei der Registrierung hinterlegten Gruppen gefiltert. Einrichtungsweite Nachrichten gehen an alle registrierten Geräte der Einrichtung. Inhalt: Titel = Nachrichtentitel, Text = Nachrichtentext, jeweils wie vom Personal verfasst. Bestimmungsgemäß Organisationsangaben, keine kindbezogenen Sensibldaten.
(2) Ampel-Statuswechsel. Empfänger: Geräte der Eltern-App und der Personal-App. Nur bei Wechsel auf Gelb (fester Text: „Kita nah am Limit") oder Rot (fester Text: „Kita Voll Belegt"). Bei Grün erfolgt kein Push. An Schließtagen und außerhalb der Öffnungszeit unterdrückt.
(3) Team-Chat und Personal-Direktnachricht. Empfänger: ausschließlich Geräte der Personal-App. Zustellung an das gesamte Team, an eine Person oder an mehrere benannte Personen. Inhalt: Titel = Name bzw. Kürzel der verfassenden Person, Text = Chat-Text. Bestimmungsgemäß Organisationsangaben und persönliche Arbeitszeitangaben, keine kindbezogenen Sensibldaten. Dazu gehören automatische betriebliche Hinweise (etwa zur Pflichtpause oder zur geplanten, aber nicht erfolgten Anwesenheit), Hinweise aus der optionalen Autopilot-Funktion sowie der Hinweis „Vertragszeit erreicht", wenn die erfasste Arbeitszeit die vertragliche Sollzeit nach der in der Einrichtung hinterlegten Berechnungsbasis erreicht. Die Mitteilung „Überstunden genehmigt" (Umfang und Datum) geht nur an die betroffene Person, nicht an das Team.
Mitarbeitende, die die Personal-App herunterladen und die Push-Berechtigung am Gerät erteilen, willigen damit erneut in die Zustellung auf diesem Gerät ein. Die Speicherung der Fachdaten bleibt in Supabase Frankfurt.
Personenbezogene Vorgänge (Abmeldungen, Essensabsagen, Abholmeldungen, Personalzeiten, Chat-Verlauf) laufen über die verschlüsselte API (Cloudflare nach Supabase Frankfurt), nicht über die Push-Payloads. Die Push-Nachricht ist der Anstoß; Inhalte holt die App aus der EU-Datenbank.
Für die Eltern-App und die Personal-App werden folgende zusätzliche Unterauftragsverarbeiter eingesetzt. Mit Cloudflare, Expo und Google (Firebase Cloud Messaging) besteht jeweils ein gesonderter Auftragsverarbeitungsvertrag (DPA). Mit Apple besteht für den Apple Push Notification service kein DPA; es gilt das Apple Developer Program License Agreement einschließlich Attachment 1.
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Cloudflare Inc. | API-Vermittlung der Eltern- und Erzieher-App sowie Speicherung in Cloudflare KV (EU-Datenresidenz); kein Zugriff auf die Supabase-Datenbank | API-Transit: pseudonymisierte Kind-ID, Kita-ID, Abmeldungen, Essensabsagen, Abholmeldungen, Umfrage-Stimmen mit Geräte-ID, Kennung/Pseudonym des Personals, Personal-Meldungen, Chat-Nachrichten. KV dauerhaft je Einrichtung: Eltern-Passwort, Push-Tokens, Geräte-IDs. Wallet-Pässe (können den Kindnamen enthalten) bis zu 5 Minuten im KV | EU (Frankfurt / Cloudflare Regional Services und Cloudflare KV mit EU-Datenresidenz) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Expo (650 Industries Inc.) | Orchestrierung Push-Versand (delegiert an Firebase Cloud Messaging und Apple Push Notification service) | Anonymisierte Push-Tokens; Titel und Text je nach Push-Typ (Anlage 2 §2); nur Transit der Zustellung | USA (nur Transit, keine Speicherung) | SOC 2 Type II, SCCs | Ja |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Push-Zustellung Android | Anonyme FCM-Registrierungs-Tokens; Titel und Text je nach Push-Typ (Anlage 2 §2); nur Transit der Zustellung | Global (US-primär); Vertragspartner: Google Ireland Ltd. | ISO 27001/27017/27018, SOC 1/2/3, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Apple Distribution International Ltd. (APNs) | Push-Zustellung iOS | Anonyme APNs-Device-Tokens; Titel und Text je nach Push-Typ (Anlage 2 §2); nur Transit der Zustellung, TLS-verschlüsselt | Global (Apple-Infrastruktur EU/US) | ISO 27001, SOC 2; Apple Inc. im EU-U.S. Data Privacy Framework zertifiziert. Keine APNs-spezifischen SCCs | Nein (DPLA Attachment 1; kein Art.-28-Vertrag für APNs) |
Hinweis zu Apple (APNs): Apple bietet für den Apple Push Notification service keinen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und keine APNs-spezifischen Standardvertragsklauseln an. Vertragliche Grundlage ist das Apple Developer Program License Agreement einschließlich Attachment 1 (Additional Terms for Apple Push Notification Service and Local Notifications). Ein Schedule 4 mit Datenschutzinhalt besteht im aktuellen DPLA nicht. Apple Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert. APNs ist Plattform-Infrastruktur von iOS; ohne diesen Weg ist iOS-Push nicht möglich.
APNs, FCM und Expo haben keinen Kontakt zur Supabase-Datenbank der Hauptanwendung. Nachrichteninhalte werden dort nicht dauerhaft gespeichert. Cloudflare speichert zusätzlich in Cloudflare KV (EU-Datenresidenz) dauerhaft je Einrichtung das Eltern-Passwort, Push-Tokens und Geräte-IDs; Wallet-Pässe mit Kindname liegen bis zu 5 Minuten im KV. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank. Sofern der Verantwortliche oder die Sorgeberechtigten Push-Benachrichtigungen und Wallet-Items nicht aktivieren, entfällt der Einsatz von Expo (650 Industries Inc.), Firebase Cloud Messaging (Android) sowie Apple Push Notification service (iOS) als Unterauftragsverarbeiter. Voraussetzung hierfür ist, dass die Berechtigungsanfrage für Push-Dienste (iOS/Android) auf dem Endgerät abgelehnt wird. Die KV-Speicherung des Eltern-Passworts bleibt bestehen, solange die Eltern-App für die Einrichtung aktiviert ist.
Präzisierung zur „nur Transit"-Angabe in der Tabelle: Die für Apple Push Notification Service (APNs), Firebase Cloud Messaging (FCM) und Expo vermerkte Eigenschaft „nur Transit" bezieht sich auf die Nachrichteninhalte (Push-Payload, Wallet-Inhalte)- diese werden bei den Push-Diensten nicht dauerhaft gespeichert, sondern ausschließlich für die Dauer der Zustellung verarbeitet (in Memory- bzw. Queue-Strukturen, nicht in Datenbanken). Die Geräte-Tokens selbst (anonyme APNs-Device-Tokens, anonyme FCM-Registrierungs-Tokens, ExpoPushTokens) werden bei den jeweiligen Push-Diensten für die Dauer der Token-Gültigkeit verarbeitet und gespeichert, da andernfalls eine Zustellung systembedingt nicht möglich wäre. Diese Token-Speicherung ist Bestandteil der Plattform-Infrastruktur und nicht Inhalt der eigentlichen Auftragsverarbeitung der Kita-Daten.
Keine technischen Alternativen: Eine EU-ausschließliche oder anbieterunabhängige Push-Infrastruktur für iOS und Android existiert auf Plattform-Ebene nicht. APNs ist der einzige zugelassene Zustellweg für iOS-Push, FCM der einzige zugelassene Zustellweg für Android-Push. Eine Verlagerung dieser Dienste in EU-Infrastruktur oder eine Vermeidung der Token-Speicherung bei den Push-Diensten ist auf Anwendungsebene weder konfigurierbar noch unterbindbar. Expo wird lediglich als Orchestrierungsschicht zwischen App und APNs/FCM eingesetzt, um eine plattformunabhängige Implementierung zu ermöglichen.
Manuelle Einwilligung des Nutzers (Opt-In): Die Verarbeitung durch APNs, FCM und Expo erfolgt ausschließlich auf Grundlage einer ausdrücklichen, manuellen Aktivierung der Push-Berechtigung durch den jeweiligen Nutzer über die Berechtigungsabfrage des Betriebssystems (iOS/Android). Das gilt für Sorgeberechtigte in der Eltern-App und für Mitarbeitende in der Personal-App. Wer die Personal-App herunterlädt und die Berechtigung am Gerät erteilt, willigt damit erneut in die Zustellung auf diesem Gerät ein. Lehnt der Nutzer die Berechtigung ab oder widerruft sie zu einem späteren Zeitpunkt in den Geräteeinstellungen, entfällt jede weitere Token-Erzeugung und -Übermittlung an die genannten Subprozessoren. Die Speicherung der Fachdaten bleibt in Supabase Frankfurt; der Transit über APNs, FCM und Expo ist für die Zustellung auf iOS und Android technisch nicht anders möglich.
Hinweis zur Rolle von Cloudflare: Cloudflare vermittelt API-Anfragen der Eltern- und Erzieher-App (Edge-Routing, TLS-Terminierung, DDoS-Schutz) und speichert in Cloudflare KV mit EU-Datenresidenz dauerhaft je Einrichtung das Eltern-Passwort, Push-Tokens und Geräte-IDs. Wallet-Pässe (können den Kindnamen enthalten) liegen bis zu 5 Minuten im KV. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank des Auftragsverarbeiters. API-Transit und KV sind auf die EU konfiguriert (Cloudflare Regional Services / Frankfurt).
(1) Die Übermittlung an Cloudflare, Expo und Google (Firebase Cloud Messaging) erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission gemäß Art. 45 DSGVO (EU-U.S. Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795), soweit der jeweilige Anbieter zertifiziert ist. Ergänzend sind mit diesen Anbietern Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) abgeschlossen.
(2) Für APNs gilt das EU-U.S. Data Privacy Framework, soweit Apple Inc. zertifiziert ist. Apple schließt für APNs keine Standardvertragsklauseln. Es gilt das Developer Program License Agreement einschließlich Attachment 1.
(3) Der Auftragsverarbeiter prüft regelmäßig die Gültigkeit des EU-U.S. Data Privacy Framework. Bei Wegfall stellt er die Transfergrundlage bei den Anbietern mit vereinbarten Standardvertragsklauseln unverzüglich auf diese Klauseln als alleinige Transfergrundlage um. Für APNs entfällt in diesem Fall die DPF-Grundlage; iOS-Push kann dann deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen (§10 Abs. 8).
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: August 2026.
Diese Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen KI-Funktionen. Sie gilt ausschließlich, sofern der Verantwortliche den jeweiligen Datenfluss aktiviert. Die KI-Funktionen sind Bestandteil der Verwaltungsoberfläche (Web-App) und stehen nicht in der Eltern-App, der Erzieher-App oder auf den Check-in-Tablets zur Verfügung. Die Software ist ohne diese Funktionen vollständig nutzbar.
Die folgenden Feststellungen gelten für alle in §3 genannten Datenflüsse, soweit dort nicht ausdrücklich etwas Abweichendes bestimmt ist. Sie werden hier einmal getroffen und in den einzelnen Flüssen nicht wiederholt.
(1) Unterauftragsverarbeiter: Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform). Vertragliche Grundlage ist das Vertex AI Data Processing Addendum. Authentifizierung erfolgt ohne API-Keys über Workload Identity Federation (Vercel OIDC); lokale Entwicklung über Application Default Credentials (ADC). Hosting der aufrufenden Anwendung: Vercel (Anlage 1). Transfergrundlage bzw. Absicherung potenzieller Zugriffe: EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.
(2) Datenresidenz: Alle Datenflüsse außer der Bild-Erzeugung (§3 Nr. 4) laufen über den EU-Multiregion-Jurisdiktionsendpunkt (aiplatform.eu.rep.googleapis.com). Die Verarbeitung ist vertraglich auf die EU-Geografie beschränkt (kein Single-Region-Pinning auf Deutschland). Ausnahme Bild-Erzeugung: Bildmodelle werden von Google nicht auf der EU-Multiregion bereitgestellt. Dieser Datenfluss nutzt den globalen Endpunkt; für ihn besteht keine EU-Residenz-Zusage. Die Ausnahme ist in §3 Nr. 4 und in §10 des AVV ausdrücklich benannt.
(3) Modelle (Stand 14.08.2026): Text/Verstehen gemini-3.7-flash (EU); Diktat gemini-3.1-flash-lite (EU); Bild-Erzeugung gemini-3.1-flash-image (global).
(4) Kein Training: Eingaben werden nicht zum Training von KI-Modellen verwendet (Vertex-Vertragsbedingungen). Eine ausdrückliche Zero-Data-Retention-Konfiguration (ZDR) auf Google-Seite ist beantragt, zum Stand dieses Anhangs jedoch noch nicht bestätigt. Der Auftragsverarbeiter behauptet daher nicht mehr als die Trainingszusage. Bis zur ZDR-Freischaltung kann das Abuse-Monitoring von Google Prompts bis zu ca. 30 Tage speichern. Dieser Anhang ist nach bestätigter ZDR-Konfiguration anzupassen.
(5) Einwilligungsdialog: Vor der ersten Nutzung von Autopilot-Chat, Hilfe-Chat oder Website-Baukasten erscheint ein kontobezogener Checkbox-Dialog. Die Zustimmung wird versioniert im Nutzerkonto gespeichert (user_metadata.aiConsentV1AcceptedAt). Der Dialog verweist auf diesen Anhang C. Eine Textänderung kann eine erneute Zustimmung (Re-Consent) erzwingen. Der Dialog dient der Transparenz und ist keine eigenständige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
(6) Keine serverseitige Chat-Speicherung beim Auftragsverarbeiter. Die Ratenbegrenzung erfolgt im Arbeitsspeicher. Stimmeingabe (nur Datenfluss 3) dient ausschließlich der Transkription; die Audiodatei wird nie gespeichert. Technische Fehler gehen an Sentry (Anlage 1) ohne Chat-, Prompt- oder Audio-Nutzlasten (bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ). Session Replay der Verwaltungsoberfläche ist in Anlage 1 beschrieben.
(7) Empfänger und Steuerung: Google sieht die jeweiligen Eingaben nur transitorisch - vorbehaltlich der offenen ZDR-Konfiguration nach Abs. 4. Die Leitung bzw. der jeweilige Nutzer steuert Freitext und Uploads. Die Benutzeroberfläche fordert auf, keine personenbezogenen Daten in Freitextfelder einzugeben; übermittelt wird gleichwohl, was eingegeben oder hochgeladen wird. Der Verantwortliche stellt sicher, dass seine Nutzer diese Vorgabe einhalten; der Auftragsverarbeiter mahnt sie technisch an, kann sie jedoch nicht verhindern.
(8) Kill-Switch: Jeder der in §3 genannten Datenflüsse ist einzeln abschaltbar. Ein Abruf erfolgt ausschließlich auf manuelle Nutzeraktion; es findet kein automatischer Datenabfluss statt.
Beratung (Autopilot-Chat), Hilfe (Hilfe-Chat), Diktat (Sprache → Tagesreport), Illustration (Bild-Erzeugung) und Website-Entwurf (Website-Baukasten) - jeweils nur für den vom Verantwortlichen aktivierten Datenfluss.
1. Autopilot-Chat (/admin/autopilot) - live für alle Admins
Zweck: Beratung zur aktuellen Lage der Einrichtung. Eingaben: frei formulierte Prompts der Leitung (Kontext der letzten acht Nachrichten), der aktuelle Seitenpfad sowie nur-lesende, aggregierte Werkzeugausgaben: Ampelstatus, Kapazitätssummen und -prozente, Anwesenheitszahlen nach Alterskategorie / Gruppe / Personaltyp / Arbeitsmodus, Unterbesetzungsintervalle, Plan-vs-Ist-Minuten, Öffnungszeiten und Schwellenwerte, Betreuungsmodell-Auslastung / -Limits / Ausweichzahlen, geplante Besetzungszahlen und Ankunftszeiten. Organisationsbezeichnungen: Gruppennamen und Betreuungsmodellnamen werden übermittelt (Entscheidung August 2026; organisatorische Labels, keine Personen). Namen, Kennungen/Pseudonyme und Personen-IDs sind by design ausgeschlossen. Freitext ist nutzergesteuert (§1 Abs. 7).
2. Hilfe-Chat - live für alle Admin- und Träger-Nutzer
Zweck: Hilfe bei der Bedienung der Software. Eingaben: frei formulierte Fragen, Seitenpfad sowie bereinigte Handbuchthemen (Produktdokumentation, keine Betriebsdaten). Geringstes Risiko der fünf Flüsse; dasselbe Freitext-Restrisiko wie in §1 Abs. 7.
3. Diktat → Tagesreport (Gruppenansicht, VoiceRecorder) - sensibelster erklärter Fluss
Zweck: Diktat von Beobachtungen in den Tagesreport. Nur Transkription: Die Stimmeingabe wird ausschließlich zur Umwandlung in Text an Google übermittelt. Die Audiodatei wird nie gespeichert - weder beim Auftragsverarbeiter noch bei Google; sie wird nicht geloggt. Sentry erhält im Fehlerfall nur Bytegröße und MIME-Typ. Die Aufnahme kann Kinderstimmen, Namen und Beobachtungen enthalten, also personenbezogene Daten von Kindern. Verarbeitung ausschließlich über den EU-Endpunkt (harte Vorgabe im Code). Nur der transkribierte Text wird beim Auftragsverarbeiter im Tagesreport auf deutschen Servern gespeichert, nicht bei Google.
4. Bild-Erzeugung (Kinder-Avatare, Terminal-Logo, Website-Bilder) - ausdrücklich benannte Residenz-Ausnahme
Zweck: Illustration, damit Personal Kinder am Avatar erkennt sowie Logos und Website-Bilder erzeugen kann. Die Funktion ist optional; der Umfang der personenbezogenen Daten ergibt sich aus der jeweiligen Eingabe. Eingaben: Text-Prompts, die seit dem 25.07.2026 bewusst Erscheinungsbeschreibungen enthalten (Haarfarbe, -länge und -struktur, Hautfarbe, Gesichts- und Lippenform) - personenbezogene Daten. Namen, IDs und Geburtsdaten sind in den Prompts nicht enthalten. Die erzeugte Illustration wird am Kind-Datensatz gespeichert. Residenz: Dieser Fluss läuft auf dem globalen Endpunkt, weil Bildmodelle nicht auf der EU-Multiregion angeboten werden; ein EU-Residenz-Versprechen besteht für ihn nicht. Angaben zur Hautfarbe können je nach konkreter Formulierung Daten offenbaren, aus denen die rassische oder ethnische Herkunft hervorgeht (Art. 9 DSGVO); die Sicherstellung einer Rechtsgrundlage obliegt dem Verantwortlichen.
5. Website-Baukasten (/api/ai/website und /analyze)
Zweck: Entwurf der KiTa-Website. Eingaben: Interviewantworten der KiTa (Selbstbeschreibungen; können naturgemäß Adresse, Kontaktdaten und Mitarbeiternamen enthalten, soweit die Leitung sie eingibt) sowie hochgeladene Fotos zur Designanalyse (Fotos können Personen zeigen; die Upload-Hinweise sollen dies spiegeln). EU-Endpunkt; derselbe Einwilligungsdialog wie in §1 Abs. 5.
Zusätzlich, der Vollständigkeit halber
Eine interne Testroute sendet einen festen Testsatz. Der Fluss ist vernachlässigbar, wird aber nicht verschwiegen.
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO im Auftrag des Verantwortlichen (Aktivierung und Kill-Switch). Soweit besondere Kategorien personenbezogener Daten betroffen sein können (insbesondere Diktat-Beobachtungen und Erscheinungsbeschreibungen nach §3 Nr. 3 und 4), stellt der Verantwortliche eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher. Der Einwilligungsdialog nach §1 Abs. 5 ist keine eigenständige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: August 2026.