Datenschutzrichtlinie

1. Verantwortlicher und Auftragsverarbeiter

Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) für die Verarbeitung personenbezogener Daten ist der jeweilige Kita-Träger bzw. die Einrichtung, die die Software nutzt.

Auftragsverarbeiter gemäß Art. 28 DSGVO ist:

997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13
67677 Enkenbach-Alsenborn
E-Mail: info@bienenstock-kita.de

Die 997 Ventures UG verarbeitet personenbezogene Daten ausschließlich im Auftrag und auf Weisung des Verantwortlichen. Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter ist im Auftragsverarbeitungsvertrag (AVV) geregelt.

2. Erhebung und Verarbeitung personenbezogener Daten

2.1 Automatisch erfasste Daten (Serverprotokolle)

Bei jedem Zugriff auf die Web-App werden automatisch folgende Informationen erfasst:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei(en)
• Website, von der der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser, Betriebssystem und Access-Provider

Zum Schutz vor dem Erraten von Passwörtern speichern wir bei Fehlversuchen für rund eine Stunde einen nicht umkehrbaren Prüfwert des Netzes und des falsch eingegebenen Werts, nicht die IP-Adresse oder den Wert selbst.

Zweck: Verbindungsaufbau, Sicherheit, Systemstabilität, Missbrauchserkennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

2.2 Registrierungsdaten

• Name, E-Mail-Adresse, Passwort (verschlüsselt gespeichert)
• Account-Informationen, ggf. Telefonnummer und Organisation

Zweck: Vertragserfüllung, Authentifizierung, Kontoverwaltung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2a Trägerkonten: Einsicht, Einladung und Bearbeitung

Ein Trägerkonto kann die Daten der dem Träger zugeordneten Einrichtungen (Kitas) einsehen. Inhaber eines Trägerkontos können weitere Nutzer per E-Mail einladen, dem Trägerkonto beizutreten. Nach Annahme der Einladung erhalten diese Nutzer denselben Zugang: sie können die Daten der zugeordneten Kitas einsehen und bearbeiten. Eine Einsicht in Daten anderer Träger besteht nicht. Die Einladung und die Zuweisung von Zugängen liegen in der Verantwortung des Trägers als Verantwortlichem.

Zweck: Trägersteuerung und Zusammenarbeit über mehrere Einrichtungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.3 Nutzungsdaten (Kita-Betrieb)

Die Pflicht- und Optional-Aufteilung steht in AVV §3. Der Klarname des Kindes ist nicht Pflicht; bleibt er leer, wird „Kein Name“ angezeigt. Alterskategorie folgt aus dem Geburtsdatum. Pro Mitarbeitendem sind Name bzw. Kürzel, Kennung/Pseudonym, Check-in-/Check-out-Zeitstempel und - sofern konfiguriert - der Personal-Typ Pflicht. Statistik-, Landesreporting- und Art.-9-Angaben sowie Einrichtungs-/Konfigurationsdaten (z. B. Schwellenwerte, Öffnungszeiten, Essensabsage-Fristen, Trägervorgaben) sind optional.

• Stammdaten: Namen, Geburtsdatum, Betreuungsart/-modus, Gruppenzugehörigkeiten; optional auf Wunsch des Trägers: amtliche Kind-Nummer (Bezeichnung trägerabhängig), BG-Nummer, Gebietsfremd-Kennzeichen und Betreuungszeitraum (Vertragsbeginn/-ende)
• Anwesenheitszeiten (Bring- und Abholzeiten via Check-in-/Check-out-Terminal)
• Verworfene Check-in-Aktionen: bleiben nach Löschung der betroffenen Person bewusst erhalten (dokumentierte Aufbewahrung, siehe 8.)
• Arbeits- und Anwesenheitszeiten des Personals (Terminal sowie Homeoffice-Check-in und Zeitmeldungen über die Personal-App), einschließlich Arbeitsort-Kennzeichen je Zeitstempel (Homeoffice, Ausflug, außer Haus)
• Personalzeiten-Auswertungen für Leitung und Träger (einrichtungsbezogen und trägerübergreifend, inkl. Export); Mitarbeitende können ihre eigenen Zeiten einsehen
• Weitere Kind-Stammdaten: Geschlecht, vertragliche Betreuungszeit, Teilnahme am Mittagessen, Schulbesuch, Wochenendbetreuung, Aufnahme-, Austritts- und Archivierungszeitpunkt; optional E-Mail-Adressen und Telefonnummer der Sorgeberechtigten am Kind-Datensatz (für Dokumenten- und Essensabrechnungs-Belege des Trägers sowie für QR-Brief, Einwilligungsanfragen und Bestätigungen von Gesprächsterminen der Einrichtung) sowie optionale Abrechnungsmerkmale der Essensabrechnung
• Optional: Freitext-Notizen zum Kind, auch in der Gruppenansicht für das Personal sichtbar - der Umfang der personenbezogenen Daten ergibt sich aus der jeweiligen Eingabe
• Optional: Foto des Kindes zur Wiedererkennung durch das Personal, nur mit erteilter Freigabe „Foto des Kindes auf den Geräten der KiTa“ der Eltern; es wird nicht mit KI verarbeitet und bei Widerruf der Freigabe gelöscht.
• Personalstammdaten und -planung: Personaltyp/Beschäftigungsart, Personalnummer, Vertragsdaten (Einstellungsdatum, Befristung, Vertragsende, Drittanstellung, Praxisanleitung, Arbeitsbereiche), tägliche/wöchentliche/monatliche Arbeitszeiten, geplante Dienste, Abwesenheiten, Dienstplan-Vorlagen, Stundenkonto, Sitzungsdaten der Personal-App (gehasht gespeichert)
• Statistik-/Landesreporting-Daten (optional, nur soweit für die amtliche Statistik bzw. das Landesreporting einzelner Bundesländer erforderlich): u. a. Geschlecht, Geburtsmonat/-jahr, Klassenstufe/Altersgruppe, Betreuungsumfang, Wohnort (Kind) sowie Beschäftigungsumfang, Berufsausbildungsabschluss, Stellung im Beruf, Art der Beschäftigung, Arbeitsbereich und tarifliche Eingruppierung (Personal)
• Besondere Kategorien (Art. 9 DSGVO): Allergien/Unverträglichkeiten (Gesundheit) sowie optionaler Essenshinweis-Freitext (faktisch Allergie- und Ernährungsangaben; der Umfang ergibt sich aus der jeweiligen Eingabe) - bei aktiviertem Lieferanten-Zugang Weitergabe an den vom Träger benannten Essenslieferanten; Angaben zu Behinderung bzw. Eingliederungshilfe (einschließlich BTHG-finanzierter Plätze) sowie zu Herkunft und vorrangiger Familiensprache - optional, nur soweit für das Landesreporting erforderlich. Die Verarbeitung erfolgt ausschließlich im Auftrag; die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO stellt der verantwortliche Träger sicher
• E-Mail-Adressen der Sorgeberechtigten und Versandprotokoll (welches Dokument wann an welche Adresse versendet wurde)
• Anwendungseigene Fehlerprotokolle, soweit im Kontext eine Personen-ID enthalten ist (ergänzend zur Fehlerüberwachung über Sentry, siehe 2.8)
• Umfrage-Stimmen mit Geräte-ID (eine Stimme je Gerät, um Mehrfachabstimmungen zu verhindern)
• Interaktionen innerhalb der App, Zeitstempel
• Gruppenreporte, Tagesreporte und Meldungen als Freitext; Speicherung auf deutschen Servern. Tagesreporte und Notizen zum Kind sehen Eltern in der Eltern-App nur, wenn das Personal sie ausdrücklich mit „Mit Eltern teilen“ freigibt und die Einrichtung die Anzeige in der Eltern-App eingeschaltet hat (voreingestellt aus)
• Freigaben je Kind mit Erteilung (Zeitpunkt, Herkunft Einrichtung oder Eltern, Wortlaut) und Widerruf; Einwilligungen der Sorgeberechtigten per bestätigter E-Mail. Bei der Bestätigung werden weder Name noch IP-Adresse noch Gerät gespeichert; nachgewiesen wird die Bestätigung über die hinterlegte Adresse, nicht die Person.
• Abholberechtigte (Name, Beziehung, Herkunft, bei Meldung durch Eltern Vollmachtstext und Zeitpunkt der Bestätigung, Zeitpunkt der Ausweisprüfung ohne Ausweisdaten), gemeldete Abholungen und Übergabe-Nachweise (übergebene Person, Ausnahme-Grund, bestätigende Erzieher:in, Zeitpunkt)
• Termine mit Zu- und Absagen je Kind; Gesprächsanfragen und Personal-Termine; Raumreservierungen
• Optional: Elternzahlungen und Mitgliedsbeiträge (Zahlungsposten, Verwendungszweck-Code, Barzahlungen mit Name bzw. Kürzel der annehmenden Person, Rechnungsempfänger) sowie, bei Bankanbindung, Betrag, Buchungstag und Verwendungszweck von Umsätzen, die einer Elternzahlung zugeordnet werden oder zuzuordnen sind (Name und IBAN des Zahlenden werden nur beim Abruf verarbeitet, nicht gespeichert; siehe 5.)
• Optional: Aufnahme eines Elterngesprächs mit vorheriger Einwilligung (Name, Rolle, Unterschrift oder bestätigte E-Mail); die Aufnahme wird nach der Auswertung gelöscht
• Optional (Träger): Bewerbungen um einen Betreuungsplatz über das Anmeldeportal

Zweck: Organisation des Kita-Betriebs, Erfüllung gesetzlicher Dokumentationspflichten (§ 45, § 47 SGB VIII), Kapazitätsdokumentation, Landesreporting/amtliche Statistik, Kommunikation mit Sorgeberechtigten einschließlich Dokumenten- und Essensabrechnungs-Belegen, Verpflegungssteuerung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung); für besondere Kategorien personenbezogener Daten Art. 9 Abs. 2 DSGVO (insbesondere lit. g i. V. m. dem einschlägigen Landesrecht bzw. lit. a).

2.4 Kommunikationsdaten

• Nachrichten zwischen Einrichtung und Sorgeberechtigten, auch an eine einzelne Familie (in der Eltern-App und auf Wunsch der Einrichtung per E-Mail im Namen der Einrichtung); Antworten der Sorgeberechtigten nur als vorgegebene Aktion („OK“, „Annehmen“, „Termin“, „Beitreten“) mit Zeitpunkt, kein Freitext. Freigaben erteilen Sorgeberechtigte weiterhin nur über die bestätigte E-Mail.
• Essensabmeldungen und sonstige Mitteilungen über die Eltern-App
• Versand von Dokumenten an Sorgeberechtigte per E-Mail (Adresse am Kind-Datensatz) inkl. Versandprotokoll (welches Dokument wann an welche Adresse)
• Interner Personal-Chat (Inhalt, Zeitstempel, Absender-Name bzw. -Kürzel); nicht für sensible Inhalte bestimmt; automatische Löschung nach der von der Einrichtung gewählten Aufbewahrung (1 bis 7 Tage, voreingestellt 1 Tag) um Mitternacht in der Zeitzone der Einrichtung; Pinnboard-Nachrichten sind von dieser Löschung dauerhaft ausgenommen. Die Einrichtung kann je Regel einstellen, ob das System automatische Hinweise zur Arbeitszeit in den Chat schreibt (Pflichtpause voreingestellt aus, „geplant, aber nicht da“ und „Tages-Arbeitszeit erreicht“ voreingestellt an, „Nicht ausgecheckt“ immer an); diese Hinweise nennen die betroffene Person und sind im Chat für das Team sichtbar. Arbeitszeit-Korrekturen aus der Personal-App gehen als Anpassungsantrag an die Leitung, nicht in den Team-Chat.
• E-Mails an Sorgeberechtigte im Namen der Einrichtung: QR-Brief (je nach Einstellung der Einrichtung mit oder ohne Eltern-Passwort), Einwilligungsanfragen, Bestätigung eines vereinbarten Gesprächstermins. Die E-Mails gehen im Namen der Einrichtung („[Name der Einrichtung] via Bienenstock“) an die eine Adresse, die die Einrichtung beim Kind hinterlegt hat. Ob sie zugestellt werden, verfolgt die Software nicht. Freigabe- und Aufnahme-Anfragen werden mit Empfängeradresse im Versandprotokoll festgehalten.
• Nachrichten zwischen Einrichtung und Träger einschließlich E-Mail-Kopien an den Verteiler der Einrichtung und Weiterleitungen durch den Träger
• Kontaktanfragen und Support-Nachrichten
• Hochgeladene Dateien (z. B. Dokumentation)

Freitextfelder: An vielen Stellen können Nutzer frei Text eingeben: Notizen, Nachrichten, Begründungen, Chat. Der Inhalt ergibt sich allein aus der Eingabe und kann im Einzelfall auch Gesundheitsdaten oder Daten Dritter enthalten. Die Oberfläche bittet an Feldern, die der KI-Assistent lesen kann, keine Gesundheitsdaten einzutragen; übermittelt und gespeichert wird der Text so, wie er geschrieben wurde. Die Einrichtung weist ihre Nutzer an, was in Freitexte gehört. Wir werten Freitexte nicht für eigene Zwecke aus. Wer sie lesen kann und wann sie gelöscht werden, richtet sich nach der Funktion (Anlage 4 des AVV). Freitexte an Eltern oder auf der Website der Einrichtung erscheinen erst, wenn die Einrichtung sie ausdrücklich freigibt oder veröffentlicht.

Zweck: Elternkommunikation, Verwaltung, Support.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, bei freiwilliger App-Nutzung).

2.5 Geräte- und Sitzungsdaten

• Browsertyp, Betriebssystem, Gerätekennung
• Geräte-ID bei Umfrage-Stimmen (ausschließlich, um eine Stimme je Gerät zu gewährleisten)
• Sitzungs-IDs
• Pseudonyme Push-Token (bei aktivierten Benachrichtigungen), in der Eltern-App verknüpft mit Gruppen und den auf dem Gerät hinterlegten Kind-Kennungen

Zweck: Sicherheit, Zustellung von Push-Benachrichtigungen, Sitzungsverwaltung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, bei Push-Benachrichtigungen).

2.6 Support über WhatsApp

Wir bieten optional Support über WhatsApp an. WhatsApp ist ein Dienst der Meta Platforms Inc. mit Sitz in den USA. Wenn Sie diesen Kanal nutzen, gilt Folgendes:

• Keine personenbezogenen Daten teilen: Senden Sie über WhatsApp keine personenbezogenen oder sensiblen Daten (z. B. Namen von Kindern, Geburtsdaten, Gesundheitsdaten, Fotos oder Dokumente mit personenbezogenen Inhalten). Der Kanal dient ausschließlich für allgemeine Anfragen und technischen Support.
• Datenspeicherung außerhalb der EU: WhatsApp-Nachrichten werden auf Servern von Meta Platforms Inc. verarbeitet und gespeichert, die sich auch außerhalb der Europäischen Union (insbesondere in den USA) befinden können. Mit der Nutzung von WhatsApp zur Kontaktaufnahme erklären Sie sich damit einverstanden, dass die Inhalte Ihrer Nachrichten außerhalb der EU gespeichert werden können.

Zweck: Optionaler Support-Kanal für allgemeine und technische Anfragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung des Kanals). Für datenschutzkonforme Kommunikation mit personenbezogenen Daten nutzen Sie bitte E-Mail an info@bienenstock-kita.de oder die Kommunikationsfunktionen innerhalb der Bienenstock-Plattform.

2.7 KI-Funktionen (Vertex AI / Gemini)

Wir bieten KI-gestützte Funktionen in der Verwaltungsoberfläche, im Träger-Bereich, am Gruppen-Tablet (Sprach-Diktat) und, nur wenn Ihre Einrichtung es einschaltet, in der Personal-App an. Die Check-in-Terminals haben keine KI-Funktionen; die Eltern-App nur die KI-Übersetzung, und nur auf der Stufe „Alle“. Die Funktionen lassen sich einzeln an- und abschalten.

Was die KI über Personen erfährt, bestimmt Ihre Einrichtung mit der KI-Datenschutz-Stufe: „Aus“, „Pseudonymisiert“ (Kinder und Erzieher:innen nur als Kennzeichen wie „Kind 7F3A“) oder „Alle“ (echte Namen der Erzieher:innen und Kinder; Voreinstellung, ein späterer Wechsel auf „Alle“ wird gesondert bestätigt). Der Träger kann eine Höchststufe festlegen; es gilt die niedrigere Stufe. Die Stufe gilt für die Funktionen, die Betriebsdaten lesen (Autopilot, Dienstplan-KI, Tagesanalyse, KI-Helfer der Personal-App, Träger-Autopilot, Monatsbericht). Was Ihr Team selbst schreibt (Team-Chat, Pinnwände, Notizen, Termine), liest die KI auf jeder Stufe außer „Aus“ so mit, wie es geschrieben wurde, auch Namen darin. Abwesenheitsgründe gehen nie bezogen auf eine Person an die KI.

Funktionen, die nur verarbeiten, was Sie eingeben, sprechen oder hochladen (Diktat, E-Mail-Helfer, Elterngespräch, KI-Textentwürfe, Website-Baukasten, Grundriss, Gefahren-KI, Handbuch-Entwurf, Hilfe- und AVV-Chat), richten sich nicht nach der Stufe: Daten gehen dort nur an die KI, wenn Sie die Funktion im Einzelfall selbst aufrufen; wer sie nicht nutzt, übermittelt nichts. Zusätzlich abschalten lassen sich der Website-Baukasten, das Sprach-Diktat (damit zugleich E-Mail-Helfer, Elterngespräch und KI-Textentwürfe) und der Grundriss; die Bild-Erzeugung und der KI-Helfer der Personal-App laufen nur nach Einschalten. KI-Funktionen sind in der Software einheitlich gekennzeichnet (violette Schaltflächen mit Funkel-Symbol).

Schutz bei Eingaben: Was Sie in KI-Funktionen eingeben, verantworten Sie bzw. Ihre Einrichtung. Zusätzlich weist die KI Eingaben mit Gesundheitsdaten, anderen besonders geschützten Daten, Zugangsdaten oder, je nach Stufe Ihrer Einrichtung, Namen zurück und bricht ab. Solche Eingaben werden nicht gespeichert; verarbeitet wurden sie bis dahin nur auf dem EU-Endpunkt, ohne Training.

Unterauftragsverarbeiter ist Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform), abgesichert durch das Vertex AI Data Processing Addendum. Eingaben werden nicht zum Training von KI-Modellen verwendet. Google speichert Eingaben grundsätzlich nicht dauerhaft; nur bei einem von automatischen Filtern erkannten Missbrauchsverdacht bis zu 90 Tage zur Missbrauchsprüfung in der EU. Alle Verarbeitungen von Text, Sprache und Bildinhalten laufen über den EU-Multiregion-Endpunkt (aiplatform.eu.rep.googleapis.com). Ausnahme ist die Erzeugung von Bildern (Website-Bilder, Terminal-Logo, Vorschaubilder von Gefahren-Themen) auf dem globalen Endpunkt; dorthin gehen nur Bildbeschreibungen ohne Personenbezug, beim Bild-Generator mit Nicht-EU-Modell außerdem Ihr Freitext und Ihre Referenzbilder.

Die Datenflüsse in Kurzform:

• Autopilot-Chat und „Eigener Export“ (Leitung, nach Admin-Passwort): Fragen, Kennzahlen, Protokolle je Person nach Stufe, Gruppennamen, Freitext des Teams. Vorgeschlagene Aktionen werden erst nach Bestätigung der Leitung ausgeführt.
• Dienstplan-KI: Dienstplan, Personen mit Vertragszeiten, Bedarf; läuft nur auf der Stufe „Alle“; ändert den Dienstplan direkt, jede Änderung ist markiert und kann rückgängig gemacht werden.
• Tagesanalyse (automatisch vor Schließzeit an Tagen mit hoher Auslastung, E-Mail an die Leitung): die erste ohne Rückfrage, weitere nur nach Zustimmung.
• KI-Helfer der Personal-App (nur nach Einschalten): beantwortet Fragen zu dem, was die App der Person ohnehin zeigt; für Erzieher:innen immer mit Kennzeichen.
• Träger-Autopilot: Kennzahlen der Einrichtungen, Personaldaten nach der Stufe jeder Einrichtung, Abwesenheitsgründe nur als Anzahl; Einrichtungen mit Stufe „Aus“ sind nicht enthalten. Monatsbericht: zusammengefasste Monatskennzahlen ohne Personennamen; vom Träger abschaltbar.
• Hilfe-Chat und AVV-Chat: Ihre Fragen und Produktdokumentation bzw. der AVV-Text; keine Betriebsdaten; nicht gespeichert.
• Sprach-Diktat (Gruppen-Tablet): Aufnahme nur zur Umwandlung in Text; sie kann Kinderstimmen, Namen und Beobachtungen enthalten. Die Aufnahme wird nie gespeichert, der Text im Tagesreport.
• E-Mail-Helfer: Ihre Beispiel-Mails (sie können Elternkorrespondenz enthalten) und Ihr Auftrag; der Entwurf wird gespeichert, bis Sie ihn löschen, und nie versandt.
• Elterngespräch: Aufnahme bis 30 Minuten nur mit vorher gespeicherten Einwilligungen, darunter mindestens eines Elternteils. Die KI schreibt einen internen Bericht und eine Fassung für die Eltern; der Bericht bleibt gespeichert, bis Sie ihn löschen; die Aufnahme wird nach der Auswertung gelöscht. Kindername und Kinddaten aus der Software gehen nicht an die KI.
• KI-Textentwürfe (Freigabe-Texte, Rückmeldung an den Träger): nur Ihre Stichworte.
• Website-Baukasten und Bild-Erzeugung: Ihre Angaben im Assistenten (EU) und Stilangaben für Bilder (global).
• Gefahren-KI, Vorschaubild, Handbuch-Entwurf, Grundriss: Themen und Notizen des Teams, Fotos (Grundriss- und Handbuch-Fotos werden nicht gespeichert). Das Vorschaubild eines Gefahren-Themas entsteht automatisch und ist über die Träger-Sperre „außerhalb der EU“ abschaltbar.
• KI-Übersetzung (nur auf der Stufe „Alle“): E-Mails der Einrichtung an Eltern (Namen, Daten, Links und Codes ersetzt die Software vorher durch Platzhalter), Inhalte der Eltern-App (Nachrichten, Termine, Blog, Gruppenberichte, Tagebuch-Notizen, mit allem, was darin steht) und, auf Knopfdruck der Leitung, das Thema einer Gesprächsanfrage zurück ins Deutsche. Gespeichert wird nur die Übersetzung, höchstens 30 Tage, nicht das Original. Push-Benachrichtigungen werden nicht übersetzt.
• Internet-Recherche (Autopilot, Träger-Autopilot, Rückmeldung an den Träger, Gefahren): Die KI kann eine allgemeine Frage ohne Namen oder Angaben zu Personen über die Google-Suche recherchieren und zeigt die Quellen an. Google kann diese Suchanfragen bis zu drei Tage speichern.
• Bild-Generator (nur nach Freischaltung durch den Träger und Einschalten): Sie beschreiben ein Bild und können Referenzbilder hochladen; Sie wählen ein EU-Modell oder ein Nicht-EU-Modell, die Software zeigt bei jedem an, wo es verarbeitet. Referenzbilder und Text dürfen keine Personen und keine personenbezogenen Daten enthalten (etwa frei nutzbare Bilder aus dem Internet). Die Bilder laden Sie herunter; wir speichern weder sie noch die Referenzbilder.
• Elternbriefe: Ein hochgeladener Brief geht vollständig an die KI, die persönliche Angaben durch Platzhalter ersetzt; gespeichert wird nur die bereinigte Vorlage. Beim Schreiben und Übersetzen sieht die KI nur Platzhalter, nie Namen oder Angaben von Kindern; die Werte setzt die Software ein. Versand per E-Mail nur mit Admin-Passwort, mit Versandprotokoll; nicht zugestellte E-Mails erscheinen ohne Adresse als Hinweis.
• KI-Datenwächter (voreingestellt an): prüft Texte an Eltern und die Öffentlichkeit vor dem Senden, zuerst ohne KI gegen die Namen der Kinder, dann mit KI (Kindernamen durch Platzhalter ersetzt). Der Datenwächter läuft nur auf der Stufe „Alle“; ohne KI-Guthaben nur der Namensabgleich ohne KI. Die KI ändert den Text nicht; einen kritischen Text sendet nur die Leitung mit dem Admin-Passwort. Nichts davon wird gespeichert.

Speicherung bei uns: Verlauf von Autopilot und Dienstplan-KI nach der von der Einrichtung gewählten Frist von einem bis sieben Tagen (voreingestellt bis zum Ende des Kalendertags); Übersetzungen höchstens 30 Tage; bestätigte Aktionen, Änderungen der Dienstplan-KI, Tagesanalysen und Monatsberichte bis zur Löschung nach Vertragsende (AVV §8); E-Mail-Entwürfe, Gesprächsberichte und Einwilligungen bis zur Löschung durch die Einrichtung; je Aufruf ein Nutzungsdatensatz ohne Inhalt für das KI-Guthaben. Fehler gehen an Sentry ohne Chat-, Prompt-, Audio- oder Bildinhalte (2.8).

Zweck: Beratung, Dienstplanung, Auskunft, Auswertungen für den Träger, Produkthilfe, Texterstellung, Dokumentation von Elterngesprächen, Gefährdungsbeurteilung, Illustration und Raumplanung, jeweils nach Maßgabe der Stufe und der Schalter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO im Rahmen des Auftrags des Kita-Trägers; für Aufnahmen von Elterngesprächen zusätzlich die Einwilligung der Teilnehmenden. Der Hinweisdialog vor der ersten Nutzung einzelner KI-Funktionen dient der Transparenz und ist keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Einzelheiten in Anhang C des AVV.

2.8 Fehlerüberwachung (Sentry)

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry (Functional Software, Inc.) auf der EU-Region Frankfurt (FRA, Deutschland) ein. Übermittelt werden Fehlermeldungen, Stacktraces und technische Metadaten. Chat-Inhalte, Prompts, Audio und Formulardaten werden nicht an Sentry gesendet; bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ. Zusätzlich ist Session Replay aktiv: Es zeichnet Bildschirmabläufe der Web-App zur Fehlerreproduktion auf, auch auf Tablets und auf den öffentlichen Seiten für Sorgeberechtigte (z. B. Anmeldeportal, Bestätigungsseite). Texte und Eingaben werden dabei maskiert, Bilder und Medien nicht aufgezeichnet. Soweit die Maskierung im Einzelfall nicht greift, können sichtbare Namen enthalten sein. Speicherung in der EU-Region Frankfurt.

Davon zu unterscheiden sind anwendungseigene Fehlerprotokolle in der Kita-Datenbank (error_logs). Diese können im Fehlerkontext eine Personen-ID enthalten, damit ein technischer Vorfall der betroffenen Check-in- oder Stammdaten-Aktion zugeordnet werden kann. Sie verbleiben auf den deutschen Servern und werden nicht an Sentry übermittelt.

Zweck: Betriebssicherheit, Fehlerbehebung, Qualitätssicherung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb) bzw. Art. 6 Abs. 1 lit. b DSGVO im Rahmen des Auftrags.

2a. Betroffene Personen

• Kinder der Einrichtung
• Eltern / Sorgeberechtigte
• Mitarbeitende der Einrichtung
• Nutzer von Trägerkonten, einschließlich per Einladung hinzugefügter Personen
• Abholberechtigte Personen
• Bewerberinnen und Bewerber um einen Betreuungsplatz (Kinder und Sorgeberechtigte)
• Rechnungsempfänger bei Mitgliedsbeiträgen; Zahlende bei Elternzahlungen (nur bei Bankanbindung)
• Teilnehmende an aufgenommenen Elterngesprächen
• Empfänger von E-Mail-Kopien und Weiterleitungen

3. Kamera und Mikrofon

Check-in-Terminal: Die Kamera dient dort ausschließlich der Erkennung von QR-Codes. Obwohl sie dauerhaft aktiviert sein kann, erfolgt keine Videoüberwachung im Sinne von § 4 BDSG: keine Aufzeichnung oder Speicherung von Bildmaterial, keine Beobachtung oder Auswertung von Personen oder Umgebungen, keine Weitergabe; die Erkennung erfolgt lokal auf dem Gerät.

Foto des Kindes (optional): In der Gruppenansicht kann das Personal mit der Kamera ein Foto eines Kindes aufnehmen oder eine Datei wählen, nur wenn die Sorgeberechtigten die Freigabe „Foto des Kindes auf den Geräten der KiTa“ erteilt haben. Das Foto wird auf dem Gerät verkleinert, von Standortdaten befreit und erst dann gespeichert.

Weitere Fotos (optional): Für Gefahren-Themen, den Grundriss und Handbuch-Entwürfe können Fotos aufgenommen oder hochgeladen werden (siehe 2.7).

Mikrofon (optional): Das Sprach-Diktat nimmt nur auf, solange die Nutzer:in es aktiv startet; die Aufnahme wird nur in Text umgewandelt und nie gespeichert. Die Leitung kann ein Elterngespräch aufnehmen, nur mit vorher gespeicherter Einwilligung mindestens eines Elternteils; die Aufnahme wird nach der Auswertung gelöscht.

4. Eltern-App und Personal-App

Die Eltern-App (separate App ohne Nutzerkonto; Nutzung über einen pseudonymen Kind-Code) bietet optionale Funktionen wie Push-Benachrichtigungen und digitale Wallet-Karten. Darüber hinaus werden API-Anfragen der Eltern-App (z. B. Essensabmeldungen, Abmeldungen, früheres Abholen, allgemeine Nachrichten, Kita-Status, Umfrage-Stimmen) über Cloudflare Workers an die Kita-Datenbank (Supabase) weitergeleitet. Dabei werden pseudonymisierte Kind-IDs und Kita-IDs übertragen. Umfrage-Stimmen werden mit einer Geräte-ID verknüpft, damit je Gerät nur eine Stimme gezählt wird; die Geräte-ID dient ausschließlich diesem Zweck. Check-in-/Check-out-Zeiten von Kindern werden nicht über Cloudflare verarbeitet. Diese Funktionen verwenden zusätzliche Dienstleister (Expo, Cloudflare), die nicht für die Web-App eingesetzt werden.

Die Personal-App (Handy, getrennte Store-App) sendet ihre Anfragen direkt an die Anwendung in Frankfurt. Mitarbeitende sehen ihre Arbeitszeiten und den Tagesplan des Teams und können Homeoffice-Check-in, Abwesenheits- und Krankmeldungen sowie Nachrichten des internen Personal-Chats übermitteln; ein Wallet-Dienstausweis ist optional. Arbeitszeit-Korrekturen gehen als Anpassungsantrag an die Leitung, nicht in den Team-Chat. Die Einrichtung kann die App sowie einzelne Funktionen (Team-Chat, Ein- und Ausstempeln, Nachrichten an Eltern) in ihren Einstellungen abschalten (voreingestellt an). Stammdaten von Kindern und Kind-Codes zeigt die App nicht, zu Kindern nur Zahlen; Freitexte von Kolleg:innen oder der Leitung und das von Eltern genannte Thema eines Gesprächstermins können aber Angaben zu Kindern enthalten. Einen KI-Helfer kann die Einrichtung für die Personal-App einschalten (voreingestellt aus); dann können Mitarbeitende Fragen zu ihren in der App sichtbaren Daten stellen (siehe 2.7). Push-Benachrichtigungen erhält nur, wer sie auf dem eigenen Gerät erlaubt. Wir empfehlen, die Personal-App auf einrichtungseigenen Dienstgeräten zu betreiben.

Nutzer:innen der Eltern-App und der Personal-App stimmen in der App selbst deren Datenschutzhinweisen und Nutzungsbedingungen zu; ohne diese Zustimmung lässt sich die App nicht nutzen. Dort werden auch die Push-Benachrichtigungen erklärt; sie lassen sich jederzeit in den Geräteeinstellungen abschalten.

Vollständige Erklärungen: Datenschutzerklärung der Eltern-App · Datenschutzerklärung der Personal-App.

5. Unterauftragsverarbeiter und Weitergabe an Dritte

Personenbezogene Daten werden nur in folgenden Fällen weitergegeben:

• Zur Vertragserfüllung oder zum App-Betrieb an Unterauftragsverarbeiter (Art. 6 Abs. 1 lit. b DSGVO)
• Bei gesetzlicher Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
• Bei berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO)
• Mit ausdrücklicher Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Folgende Unterauftragsverarbeiter werden eingesetzt. Mit jedem besteht ein Auftragsverarbeitungsvertrag (DPA):

Die vollständige Liste mit Zertifizierungen befindet sich in Anlage 1 des AVV.

Zur Reichweitenmessung der Web-App nutzen wir Vercel Web Analytics unseres Hosting-Anbieters Vercel (siehe Tabelle): zusammengefasste Seitenstatistiken, ohne Cookies. Tracking- oder Werbetools setzen wir nicht ein.

Essenslieferant: Ist der optionale Lieferanten-Zugang aktiviert, kann der vom Träger benannte Essenslieferant Essenshinweise (einschließlich Allergie- und Ernährungsangaben) einsehen. Der Lieferant ist Empfänger auf Weisung des Verantwortlichen, nicht Unterauftragsverarbeiter der 997 Ventures UG.

Bankanbindung (optional): Verbindet die Einrichtung ihr eigenes Bankkonto (z. B. bei Qonto), ruft Bienenstock dort auf Weisung der Einrichtung nur lesend Umsätze ab, um Elternzahlungen zuzuordnen. Die Bank ist Vertragspartnerin der Einrichtung, nicht Unterauftragsverarbeiterin der 997 Ventures UG. Name und IBAN von Zahlenden werden dabei abgerufen, aber nicht gespeichert; gespeichert werden nur Verwendungszweck, Betrag und Buchungstag von zugeordneten oder noch zuzuordnenden Eingängen und von Ausgängen, die die Einrichtung einem Anlass zuordnet. Alle übrigen Umsätze werden verworfen.

Zahlung des Vertrags per Kreditkarte: Zahlt ein Kunde (Träger oder Einrichtung) die Nutzungsgebühr per Kreditkarte, wickelt Stripe Payments Europe, Ltd. (Irland) die Zahlung ab. Stripe erhält dafür Name, E-Mail-Adresse, Rechnungsangaben und die Kartendaten; die Kartendaten erhält ausschließlich Stripe, nicht wir. Daten von Kindern, Eltern oder Personal gehen nicht an Stripe. Stripe ist hierfür eigener Verantwortlicher, nicht Unterauftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Datenübermittlung außerhalb der EU

Sämtliche personenbezogenen Kerndaten der Web-App werden ausschließlich auf Servern innerhalb der Europäischen Union gespeichert (Hauptstandort: Supabase, Frankfurt/AWS). Serverless Functions und Datenspeicherung bei Vercel sowie Fehlerüberwachung (Sentry) sind auf Frankfurt konfiguriert. Technische E-Mails (Brevo) werden auf OVH in Frankreich und Deutschland gehostet; die Datenspeicherung bei Brevo erfolgt auf Google Cloud in Belgien. Es besteht keine Konfiguration auf dauerhafte Speicherung außerhalb der EU.

Rechtliche Absicherung gegenüber US-Muttergesellschaften: Supabase Inc., Vercel Inc., Functional Software, Inc. (Sentry) und Google (Vertex AI sowie Speicherung technischer E-Mails bei Google Cloud Belgien über Brevo) haben ihren Sitz bzw. ihre Muttergesellschaft in den USA. Potenzielle Zugriffsmöglichkeiten - insbesondere nach US-CLOUD-Act - sind über den Angemessenheitsbeschluss EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) sowie ergänzend über Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) abgesichert. Eine dauerhafte Speicherung personenbezogener Kerndaten außerhalb der EU findet nicht statt.

Ausnahme KI-Bild-Erzeugung: Die optionale Bild-Erzeugung (Website-Bilder, Terminal-Logo, Vorschaubilder von Gefahren-Themen) läuft auf dem globalen Vertex-Endpunkt und erhält nur Bildbeschreibungen ohne Personenbezug, weil Google Bildmodelle nicht auf der EU-Multiregion anbietet. Beim Bild-Generator wählen Sie zwischen einem EU-Modell und einem Nicht-EU-Modell; beim Nicht-EU-Modell gehen Ihr Freitext und Ihre Referenzbilder dorthin. Für diesen Datenfluss besteht keine EU-Residenz-Zusage. Transfergrundlage sind DPF und SCCs gegenüber Google; Einzelheiten in Anhang C des AVV.

Hinweis zu den Handy-Apps: Für die separate Eltern-App (ohne Account, pseudonymisiert) und die Personal-App werden zusätzliche Dienste eingesetzt:

• Cloudflare (API-Vermittlung der Eltern-App, Push-Versand beider Apps) - EU-Datenresidenz (Frankfurt / Cloudflare Regional Services und Cloudflare KV). API-Transit ohne Zugriff auf die Supabase-Datenbank. In Cloudflare KV dauerhaft je Einrichtung: Eltern-Passwort der Einrichtung, Name der Einrichtung, Push-Tokens und Geräte-IDs mit Gruppenzuordnung und den auf dem Gerät hinterlegten Kind-Kennungen (damit kindbezogene Mitteilungen nur die Geräte dieses Kindes erreichen); Wallet-Pässe mit Kindname bis zu 5 Minuten.
• Apple Push Notification service, Firebase Cloud Messaging, Expo - Push-Zustellung iOS/Android über den Cloudflare-Push-Worker, nur wenn die Person Mitteilungen auf ihrem Gerät erlaubt hat. Typen: Ampel-Statuswechsel (Eltern- und Personal-App, nur Gelb/Rot, feste Texte, nicht bei Grün, nicht an Schließtagen/außerhalb der Öffnungszeit). Eltern-App: Gruppen-Nachricht (Titel und Text wie vom Personal), Nachricht der Einrichtung an eine Familie (fester Titel ohne Text, nur an die Geräte dieses Kindes), Termin-Erinnerung, Gesprächstermin, neu geteilter Tagesreport bzw. neue Notiz (ohne Inhalt und ohne Namen) und Zahlungseingang (Betrag und Anlass, kein Name des Kindes, nur an die Geräte dieses Kindes). Personal-App: Team-Chat (Name und Text, je nach Markierung an das Team, eine Gruppe oder eine Person), Ruf an eine Person, automatische Hinweise zur Arbeitszeit (an die betroffene Person, „geplant, aber nicht da“ an das Personal der Gruppe), Personal-Termin (ohne Namen). Plattformbedingt teilweise globale (US-)Infrastruktur, technisch zwingend. Fachdaten bleiben in Supabase Frankfurt. Nachrichteninhalte nur Transit, keine dauerhafte Speicherung bei diesen Diensten. Eine technische Filterung der Freitexte findet nicht statt.

Cloudflare verarbeitet keine Check-in-/Check-out-Zeiten von Kindern oder Personal. Details zu allen Subprozessoren der Handy-Apps finden sich in der Datenschutzerklärung der Eltern-App und der Datenschutzerklärung der Personal-App.

7. Cookies und ähnliche Technologien

Wir setzen ausschließlich technisch notwendige Cookies ein, um die Funktionalität der Web-App sicherzustellen (z. B. Sitzungsverwaltung, Authentifizierung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für technisch notwendige Cookies. Tracking- oder Marketing-Cookies werden nicht eingesetzt.

8. Speicherdauer

Personenbezogene Daten werden nur solange gespeichert, wie dies zur Erreichung der Verarbeitungszwecke erforderlich ist oder der Verantwortliche (Kita-Träger) eine längere Speicherung anweist.

Insbesondere gilt:

• Anwesenheitsdaten (Bring- und Abholzeiten): Der Kita-Träger ist nach § 47 Abs. 2 SGB VIII verpflichtet, einrichtungsbezogene Aufzeichnungen, auch zur Belegung der Einrichtung, mindestens fünf Jahre aufzubewahren; weitere Fristen können sich aus Landesrecht sowie haushalts- oder steuerrechtlichen Vorschriften ergeben. Diese Pflicht trifft den Träger als Verantwortlichen. Wir speichern die Daten in seinem Auftrag, solange er es festlegt und längstens bis zum Vertragsende. Vorher kann der Träger alle Daten exportieren; danach löschen wir sie (AVV §8).
• Verworfene Check-in-Aktionen: bleiben nach Löschung bzw. Archivierung der betroffenen Person bewusst erhalten (dokumentierte Aufbewahrung zur Nachvollziehbarkeit der Terminal-Aktionen). Sie werden mit dem übrigen Vertragsbestand gelöscht oder zurückgegeben (AVV §8).
• Registrierungsdaten: Für die Dauer des Vertragsverhältnisses sowie 30 Tage nach Kündigung (Datenexport-Frist).
• Serverprotokolle: Maximal 90 Tage, sofern kein Sicherheitsvorfall vorliegt.
• Interner Personal-Chat: Automatische Löschung nach der von der Einrichtung gewählten Aufbewahrung (1 bis 7 Tage, voreingestellt 1 Tag), jeweils um Mitternacht in der Zeitzone der Einrichtung; das gilt auch für automatische Hinweise im Chat. Pinnboard-Nachrichten sind von dieser Löschung dauerhaft ausgenommen und bleiben gespeichert, bis sie manuell entfernt werden oder das Vertragsverhältnis endet.
• Gruppenreporte, Tagesreporte und Meldungen (Freitext): Speicherung auf deutschen Servern, solange der Träger sie vorhält bzw. das Vertragsverhältnis besteht.
• Kind-Notizen, Kinderfoto, Kontaktangaben der Sorgeberechtigten am Kind-Datensatz: solange der Kind-Datensatz besteht bzw. das Vertragsverhältnis andauert; das Kinderfoto wird beim Widerruf der Freigabe gelöscht. Notizen und Foto sind optional, der Inhalt richtet sich nach der jeweiligen Eingabe.
• Einwilligungsanfragen per E-Mail: Empfängeradresse und Prüfwert des Links werden bei Bestätigung, bei Ersetzung durch eine neue Anfrage oder spätestens rund eine Stunde nach Ablauf des einstündigen Links gelöscht; unbestätigte Anfragen nach 30 Tagen. Bestätigte Anfragen bleiben als Nachweis. Das Versandprotokoll von Freigabe- und Aufnahme-Anfragen bleibt, bis die Einrichtung es löscht, längstens bis zum Vertragsende.
• Einwilligungen in die Aufnahme eines Elterngesprächs: nicht genutzte nach 30 Tagen, mit dem Bild der Unterschrift; genutzte bleiben beim Gespräch, bis die Einrichtung es löscht.
• Bewerbungen im Anmeldeportal: unbestätigte nach sieben Tagen; abgelehnte oder zurückgezogene zwölf Monate nach Abschluss.
• Passwort-Fehlversuche: Prüfwerte nach rund einer Stunde.
• Bankumsätze (bei Bankanbindung): Verwendungszweck, Betrag und Buchungstag gespeicherter Umsätze (siehe 5.), solange der Träger sie vorhält bzw. das Vertragsverhältnis besteht; Name und IBAN nie. Von der Einrichtung aussortierte Eingänge behalten nur Umsatzkennung und Betrag, damit sie nicht erneut eingelesen werden.
• Versandprotokoll an Sorgeberechtigte: Nachweis, welches Dokument oder welcher Essensabrechnungs-Beleg wann an welche Adresse versendet wurde; solange der Träger es vorhält bzw. das Vertragsverhältnis besteht.
• Umfrage-Stimmen: mit Geräte-ID (eine Stimme je Gerät); solange die Umfrage bzw. das Vertragsverhältnis besteht.
• Anwendungseigene Fehlerprotokolle (error_logs): einschließlich Personen-ID im Fehlerkontext; auf deutschen Servern, solange für die Fehlerbehebung erforderlich bzw. das Vertragsverhältnis besteht.
• KI-Funktionen: Verlauf von Autopilot und Dienstplan-KI nach der von der Einrichtung gewählten Frist von 1 bis 7 Tagen (voreingestellt bis zum Ende des Kalendertags), danach automatische Löschung; Übersetzungen höchstens 30 Tage (nur die Übersetzung, nicht das Original); Hilfe-Chat, AVV-Chat, Träger-Autopilot und KI-Helfer der Personal-App ohne Speicherung. Bestätigte Autopilot-Aktionen, Änderungen der Dienstplan-KI, Tagesanalysen und Monatsberichte, solange der Träger sie vorhält bzw. das Vertragsverhältnis besteht. E-Mail-Entwürfe, Berichte zu Elterngesprächen und Einwilligungen in Aufnahmen, bis die Einrichtung sie löscht, spätestens bis zum Vertragsende. Nutzungsdatensätze ohne Inhalt für das KI-Guthaben bis zum Vertragsende. Sprachaufnahmen nie dauerhaft. Bei Google nur bei Missbrauchsverdacht bis zu 90 Tage (siehe 2.7).
• Diktat-Audio: Stimmeingabe ausschließlich zur Transkription; die Audiodatei wird nie gespeichert. Nur der transkribierte Text im Tagesreport auf deutschen Servern, solange der Träger ihn vorhält.
• Fehlerberichte (Sentry): Technische Ereignisse ohne Chat-/Prompt-/Audio-Nutzlasten sowie Session Replay der Web-App (Texte und Eingaben maskiert, siehe 2.8), begrenzt auf die bei Sentry konfigurierte Aufbewahrung in der EU-Region Frankfurt.

Nach Beendigung des Vertragsverhältnisses werden die Daten innerhalb von 30 Tagen nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (siehe AVV §8). Es liegt in der Verantwortung des Kita-Trägers, vor Löschung für die Einhaltung seiner gesetzlichen Aufbewahrungspflichten zu sorgen.

9. Unterscheidung: Pflichtdaten und freiwillige Daten

Pflichtdaten (Bring- und Abholzeiten)

Die Erfassung der Bring- und Abholzeiten erfolgt am Check-in-/Check-out-Terminal in der Kita. Diese Dokumentation ist gesetzlich vorgeschrieben (§ 45, § 47 SGB VIII, §§ 1631, 832 BGB) und Bestandteil des Betreuungsvertrags. Eine Abwahl (Opt-out) ist nicht möglich.

Freiwillige Daten (über die Eltern-App)

Die Eltern-App funktioniert ohne Nutzerkonto; die Nutzung erfolgt über einen pseudonymen Kind-Code aus dem Kita-System. Namen oder Kontaktdaten geben Eltern nur ein, wenn die Einrichtung entsprechende Funktionen einschaltet (z. B. eine neue Abholperson melden oder ein Gespräch anfragen; beide voreingestellt aus). Pseudonyme Daten sind weiterhin personenbezogene Daten im Sinne der DSGVO. Alle über die App übermittelten Informationen - z. B. Essensabmeldungen, Abholbenachrichtigungen oder sonstige Mitteilungen - sind freiwillig. Es besteht keine Pflicht zur Nutzung der App. Details: Datenschutzerklärung der Eltern-App.

Personal-App

Die Personal-App ist eine getrennte Store-App für Mitarbeitende (Kennung/Pseudonym, Zeitmeldungen, Chat). Details: Datenschutzerklärung der Personal-App.

10. Betroffenenrechte

Als betroffene Person - und als Erziehungsberechtigter im Namen Ihres Kindes - stehen Ihnen folgende Rechte gemäß der DSGVO zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die gespeicherten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige oder unvollständige Daten können Sie korrigieren lassen.
• Recht auf Löschung (Art. 17 DSGVO): Vorbehaltlich gesetzlicher Aufbewahrungspflichten des Trägers (Art. 17 Abs. 3 lit. b DSGVO, z. B. § 47 Abs. 2 SGB VIII).
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Für freiwillig übermittelte Daten jederzeit möglich. Für Pflichtdaten besteht kein Widerspruchsrecht (Art. 6 Abs. 1 lit. c DSGVO).
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Verantwortlichkeit: Verantwortlich für die Datenverarbeitung ist der jeweilige Kita-Träger. Die 997 Ventures UG verarbeitet die Daten als Auftragsverarbeiter ausschließlich im Auftrag und auf Weisung der Kita. Anfragen zu Ihren Rechten richten Sie an Ihre Kita.

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP).

11. Datensicherheit

Wir setzen umfassende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein:

• Verschlüsselung: TLS 1.2/1.3 bei Übertragung (HTTPS-only, keine unverschlüsselten Schnittstellen), AES-256 bei Speicherung
• Zugriffskontrollen: Rollenbasierte Zugriffsbeschränkung, Authentifizierung; Mandantentrennung auf Datenbankebene über Row-Level Security (kita_id-Prüfung) auf jeder Tabelle. Trägerkonten (einschließlich eingeladener Nutzer) sehen und bearbeiten die Daten der dem Träger zugeordneten Kitas, nicht anderer Träger
• Verfügbarkeit: Regelmäßige Backups, redundante Infrastruktur, DDoS-Schutz
• Pseudonymisierung: Kind-Codes anstelle von Klarnamen in der Eltern-App; optional pseudonymisierter Betrieb der Web-App möglich
• Überprüfung: Regelmäßige Sicherheitsaudits, Evaluierung der Maßnahmen

Meldung von Datenschutzverletzungen: Im Falle einer Verletzung des Schutzes personenbezogener Daten informieren wir den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, damit dieser seine 72-Stunden-Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO einhalten kann.

Die Speicherung der Kerndaten erfolgt ausschließlich auf Servern in der Europäischen Union. Zur Ausnahme der optionalen KI-Bild-Erzeugung (globaler Endpunkt) siehe 2.7. Detaillierte TOMs werden auf Anfrage zur Verfügung gestellt.

12. Minderjährigenschutz

Unsere Web-App richtet sich primär an Erziehungsberechtigte und Kita-Mitarbeiter. Die Verarbeitung personenbezogener Daten von Kindern erfolgt ausschließlich im Rahmen des Betreuungsverhältnisses und auf Grundlage des Betreuungsvertrags zwischen Kita und Erziehungsberechtigten.

13. Pseudonymisierung

Die Software bietet die Möglichkeit, mit pseudonymisierten Daten der Kinder sowie des Personals zu arbeiten. In der Eltern-App werden standardmäßig Kind-Codes anstelle von Klarnamen verwendet. Für weitere Pseudonymisierungsoptionen in der Web-App wenden Sie sich an info@bienenstock-kita.de.

14. Transparenzinformationen gemäß Art. 13 & 14 DSGVO

Die Kita oder der Träger ist nach Art. 4 Nr. 7 DSGVO der Verantwortliche für die Datenverarbeitung und damit verpflichtet, die betroffenen Personen (Eltern, Mitarbeitende) über die Verarbeitung zu informieren.

Wir stellen auf unserer Plattform ein Musterformular für Transparenzinformationen zur Verfügung. Für die Vollständigkeit und Rechtmäßigkeit bei Nutzung dieses Formulars übernimmt der Auftragsverarbeiter keine Haftung.

15. Sozialdaten und Anzeige nach § 80 SGB X

Daten von Kindern und Eltern in der Kita werden im Jugendhilferecht wie Sozialdaten behandelt (§ 61 Abs. 3 SGB VIII). Die Beauftragung von Bienenstock ist eine Auftragsverarbeitung nach Art. 28 DSGVO; der Träger prüft zusätzlich die Anzeige nach § 80 Abs. 1 SGB X bei der zuständigen Kitaaufsicht. Angaben zum Auftragsverarbeiter, Standort und zu den TOMs stehen unter bienenstock-kita.de/anzeige-sgb-x. Das IFP-Formular liegt bei der Expertise KitaApps.

Kirchliche Träger beachten KDG bzw. DSG-EKD und deren Aufsicht. Foto- und Videodokumentation von Kindern ist nicht Kern von Bienenstock. Ein Foto eines Kindes zur Wiedererkennung gibt es nur mit der Freigabe „Foto des Kindes auf den Geräten der KiTa“ der Sorgeberechtigten; es wird nicht mit KI verarbeitet. Gesprächsaufnahmen gibt es nur mit vorheriger Einwilligung und nur bis zur Auswertung.

16. Verknüpfte Dokumente

Die folgenden Dokumente sind Bestandteil des Datenschutzkonzepts und ergänzen diese Richtlinie:

• Auftragsverarbeitungsvertrag (AVV) - inkl. Anlage 1 (Unterauftragsverarbeiter) und Anhang C (KI-Funktionen)
• Angaben für die Anzeige nach § 80 SGB X
• Datenschutzerklärung der Eltern-App
• Datenschutzerklärung der Personal-App
• Nutzungsbedingungen

17. Änderungen dieser Datenschutzrichtlinie

Wir behalten uns vor, diese Datenschutzrichtlinie bei Bedarf anzupassen. Die aktuelle Version ist jederzeit unter bienenstock-kita.de/datenschutzrichtlinie abrufbar.

Bei Fragen zum Datenschutz wenden Sie sich bitte an: info@bienenstock-kita.de