Rechtliches

Auftragsverarbeitungsvertrag.

Nach Art. 28 DSGVO · Stand: 30. Oktober 2026

Vertrag über die Auftragsverarbeitung (AVV)

tenantic Kita · Fassung vom 30. Oktober 2026 · Grundlage: Art. 28 Abs. 3 DSGVO

Vertragsparteien

Verantwortlicher („Auftraggeber”): Die Einrichtung bzw. der Träger, die oder der diesen Vertrag in tenantic Kita abschließt (Name und Anschrift wie im Kundenkonto hinterlegt).

Auftragsverarbeiter („Auftragnehmer”): TIM-Systems (Geschäftsbezeichnung „Tenantic”), Inhaberin Caroline Mitterbauer, Uhlandstraße 11, 31162 Bad Salzdetfurth · info@tenantic.de

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag über die Nutzung der Software „tenantic Kita” („Hauptvertrag”).

§ 1 Gegenstand, Dauer, Art und Zweck

Gegenstand: Bereitstellung und Betrieb der Software „tenantic Kita” als Online-Dienst (Software as a Service) zur Verwaltung einer Kindertageseinrichtung, einschließlich Personalplanung, Anwesenheit, Eltern-Kommunikation, Einwilligungsverwaltung und pädagogischer Entwicklungsdokumentation (Portfolio mit Fotos des Kindes bzw. seiner Werke, nur mit Einwilligung der Sorgeberechtigten) sowie Ablage von Dokumenten und Belegen der Einrichtung (z. B. Betriebs- oder Pflegeerlaubnis, Verträge, Ausgabenbelege). Dazu gehören außerdem:
- der Elternbereich: Zugang für Eltern auf Einladung der Einrichtung (Web und App) mit Mitteilungen, Terminen, Krank- und Abwesenheitsmeldungen, Wochen- und Speiseplänen, dem Portfolio des eigenen Kindes, der Anmeldung eines Kindes, der Erklärung des Sorgerechts, digitalen Einwilligungen und der Pflege der Kinddaten (Kontakte, Abholberechtigte, Allergien, Medikamente);
- der Chat: Nachrichten zwischen Eltern und Einrichtung sowie – nur nach eigener Freischaltung der Eltern – zwischen Eltern (Elterngruppen und Direktnachrichten);
- Push-Benachrichtigungen an die Geräte von Eltern und Beschäftigten;
- Ausflüge und Veranstaltungen (Teilnehmende, Begleitung, Fahrten, Notfallmappe), Unfallprotokolle und Unfallanzeigen an die Unfallversicherungsträger (Kinder und Beschäftigte), eine Inventarliste der Einrichtung, Nachweise und Schulungen der Beschäftigten (z. B. Erste Hilfe, Belehrung nach § 43 IfSG), Prüfungen und Fristen (z. B. Elektrogeräte, Feuerlöscher) sowie das automatische Auslesen von Belegen und Dokumenten auf Anforderung der Leitung.
Dauer: Laufzeit des Hauptvertrags. Die Pflichten aus § 11 (Löschung und Rückgabe) gelten über das Vertragsende hinaus.
Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Abfragen, Verwenden, Übermitteln per E-Mail und Push-Benachrichtigung an die vom Auftraggeber benannten Empfänger (Eltern, Beschäftigte), Bereitstellen im Elternbereich, Löschen. Unfallanzeigen übermittelt der Auftraggeber selbst an den Unfallversicherungsträger; die Software erstellt dafür nur das Formular.
Zweck: ausschließlich die Erbringung der Leistungen aus dem Hauptvertrag. Eine Nutzung für eigene Zwecke des Auftragnehmers (z. B. Werbung, Analyse, Training von KI-Modellen) findet nicht statt.

§ 2 Kategorien betroffener Personen und Daten

Die vollständige Aufstellung steht in Anlage 1. Verarbeitet werden insbesondere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheitsdaten von Kindern und Beschäftigten) und Daten von Kindern.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in der Bedienung der Software durch den Auftraggeber festgelegt. Einzelweisungen erfolgen in Textform an info@tenantic.de.
Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
Gesetzliche Pflichten zur Verarbeitung (Art. 28 Abs. 3 lit. a DSGVO) teilt der Auftragnehmer vorher mit, sofern das Recht dies nicht verbietet.
Eine solche Pflicht ist die Bearbeitung von Meldungen rechtswidriger Inhalte im Chat nach dem Digital Services Act (Art. 16, 17 DSA). Der Auftragnehmer sieht dafür nur die gemeldeten Inhalte ein, kann sie sperren oder entfernen und den Zugang der verantwortlichen Person zum Chat sperren. Er informiert den Auftraggeber über jede solche Maßnahme.

§ 4 Ort der Verarbeitung

Die Daten werden in Rechenzentren in der Europäischen Union gespeichert:
- Datenbank (Cloud Firestore): EU-Multi-Region eur3 (Belgien, Niederlande)
- Server-Funktionen (Cloud Functions): europe-west3 (Frankfurt am Main)
- Automatisches Auslesen von Belegen und Dokumenten (Google Vertex AI, Modell Gemini): europe-west3 (Frankfurt am Main); die Datei wird dafür übermittelt, aber nicht gespeichert und nicht zum Training verwendet
- Dateispeicher für Fotos der Entwicklungsdokumentation, Dokumente und Belege der Einrichtung, Fotos abholberechtigter Personen und Nachweise zum Sorgerecht (Cloud Storage, derselbe Speicher): europe-west3 (Frankfurt am Main), Single-Region
- Nächtliche Sicherungskopie dieses Dateispeichers: europe-west10 (Berlin)
- Aufbereitung des Logos der Einrichtung (Google Vertex AI, Modell Gemini Image), nur wenn die Leitung ein Logo in schwacher Qualität hochlädt: europe-west4 (Niederlande); das Logo wird dafür übermittelt, aber dort nicht gespeichert und nicht zum Training verwendet
Folgende Verarbeitungen können durch Konzerngesellschaften der Unterauftragsverarbeiter auch außerhalb der EU erfolgen: Anmeldedienst (Firebase Authentication), Auslieferung der Anwendung über ein weltweites Netz (Firebase Hosting), Zustellung von Push-Benachrichtigungen (Firebase Cloud Messaging; auf Apple-Geräten zusätzlich über den Apple Push Notification service), Wartung und Support durch die Google-Gruppe. Grundlage: EU-US Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Eine Verlagerung in ein Drittland über Abs. 2 hinaus erfolgt nur mit vorheriger Zustimmung des Auftraggebers.

§ 5 Vertraulichkeit

Zugang zu den Daten des Auftraggebers haben ausschließlich die Inhaberin und der technische Betreuer des Auftragnehmers. Beide sind schriftlich auf die Vertraulichkeit verpflichtet; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Ein Zugriff erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder Support erforderlich ist.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er dem Auftraggeber mit.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
Über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich gleichwertige Datenschutzpflichten auf.

§ 8 Unterstützung bei Rechten der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber mit technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen Betroffener, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

§ 9 Meldung von Datenschutzverletzungen und weitere Unterstützung

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Die Meldung an die Aufsichtsbehörde (72 Stunden) obliegt dem Auftraggeber.
Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO).

§ 10 Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.
Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach Terminabstimmung mit angemessener Vorlaufzeit (in der Regel 14 Tage) durchführen. Für die Rechenzentren der Unterauftragsverarbeiter genügt die Vorlage deren Zertifikate und Prüfberichte (z. B. ISO/IEC 27001, SOC 2).

§ 11 Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags bleiben die Daten 30 Tage gesperrt erhalten. In dieser Zeit kann der Auftraggeber die Herausgabe in einem strukturierten, maschinenlesbaren Format (JSON oder CSV) verlangen; der Auftragnehmer stellt sie binnen 14 Tagen bereit. Auf Wunsch umfasst die Herausgabe auch die Fotodateien der Entwicklungsdokumentation (JPEG) mit einer Zuordnungsliste (Foto-Manifest) sowie die Dateien der Dokumente und Belege (PDF/JPEG) mit einer Zuordnungsliste und einer Belegtabelle (CSV). Belege unterliegen beim Auftraggeber in der Regel einer steuerlichen Aufbewahrungsfrist von 10 Jahren; der Auftragnehmer bewahrt sie nicht über das Vertragsende hinaus auf.
Danach löscht der Auftragnehmer sämtliche Daten des Auftraggebers aus der Produktions-Datenbank und dem Dateispeicher automatisiert, einschließlich der Einträge der Entwicklungsdokumentation, aller Fotos, Dokumente und Belege der Einrichtung und der Zugänge von Beschäftigten, die keiner anderen Einrichtung angehören. Kopien in Datensicherungen der Datenbank werden mit Ablauf der Sicherungsfrist (14 Tage) überschrieben. Gelöschte Dateien (Fotos, Dokumente, Belege) verschwinden in der folgenden Nacht auch aus der Sicherungskopie und sind dort längstens 14 Tage wiederherstellbar (Soft Delete); danach sind sie endgültig gelöscht.
Ausgenommen sind Protokolleinträge über den Lebenszyklus des Kundenkontos, in denen die Kennung des Auftraggebers durch einen nicht umkehrbaren Hash ersetzt ist, sowie Rechnungs- und Vertragsunterlagen des Auftragnehmers im Rahmen gesetzlicher Aufbewahrungspflichten. Diese enthalten keine Daten von Kindern, Eltern oder Beschäftigten.
Die Löschung wird auf Verlangen schriftlich bestätigt.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor.
Änderungen bedürfen der Textform.

Der Vertrag wird elektronisch geschlossen: durch Bestätigung beim Anlegen einer Einrichtung bzw. bei der Buchung eines Pakets in tenantic Kita. Die bestätigte Fassung (Stand) wird mit Datum und bestätigender Person protokolliert.

Neue Fassungen kündigt der Auftragnehmer in der Software an; der Auftraggeber bestätigt sie dort. Bis zur Bestätigung gilt die zuletzt bestätigte Fassung. Alle früheren Fassungen bleiben unter tenantic-kita.de/avv abrufbar.

Anlage 1 — Betroffene Personen und Datenkategorien

Belegt anhand der Datenmodelle der Software (Stand 29.10.2026).

Betroffene	Daten	Besonders schützenswert
Kinder	Vor- und Nachname, Geburtsdatum, Geschlecht, Gruppe, Status, Eintritt/Austritt mit Grund, Anwesenheit (Kommen/Gehen, Abwesenheit), Abholberechtigte (bis zu fünf Personen), Notfallkontakte, Entwicklungsnotizen, Entwicklungsdokumentation (Beobachtungen, Lerngeschichten, Meilensteine, Werke) inkl. Fotos des Kindes bzw. seiner Werke — nur mit Einwilligung der Sorgeberechtigten; Teilnahme an Ausflügen und Veranstaltungen (Zu-/Absage, Fahrtzuordnung, Rückkehr-Check)	Art. 9: Allergien, Medikamente (Name, Dosierung, Zweck, Zeitraum), Impfungen (Impfstoff, Datum, Chargennummer, impfende Stelle), besondere Bedürfnisse und Förderbedarf, Krank- und Abwesenheitsmeldungen der Eltern (Zeitraum, Art, optionale Notiz), Unfallprotokolle und Unfallanzeigen (Hergang, Verletzung, Erstversorgung, Arzt). Daten von Kindern (Erwägungsgrund 38)
Eltern / Sorgeberechtigte	Vor- und Nachname, E-Mail, Telefonnummern, Anschrift, bevorzugter Kontaktweg, Sprachen, Beruf, Beziehung zum Kind, Sorgerecht, Abhol- und Entscheidungsberechtigung, Einwilligungen (Kategorie, Textversion, Prüfsumme, Zeitpunkt, Weg — digital oder schriftlich —, Widerruf), Lesebestätigungen und Terminrückmeldungen. Elternbereich: Zugang (E-Mail, Anmeldedaten), Erklärung zum Sorgerecht mit amtlichem Nachweis bei alleinigem Sorgerecht oder Vormundschaft (Dokument, Prüfergebnis der Leitung), Anmeldungen von Kindern, Chat-Nachrichten und Chat-Profil (Name, Vornamen und Gruppen der eigenen Kinder, Sichtbarkeit für andere Eltern), Meldungen von Chat-Inhalten an die Leitung, Bestätigung der Nutzungsregeln (Fassung, Zeitpunkt), Gerätekennung für Push-Benachrichtigungen (Push-Token, Plattform)	—
Beschäftigte, Praktikant:innen, Aushilfen	Vor- und Nachname, E-Mail, Telefon, Qualifikation, Beschäftigungsart, Wochen- und Leitungsstunden, Vertragsbeginn/-ende, Gruppenzuordnung, Rolle und Zugang, Dienstplan, Arbeitszeiten, Stundenkonto/Plusstunden, Urlaub, Nachweise und Schulungen (Art, Datum, gültig bis, Anbieter, Bescheinigung als Datei, Prüfvermerk der Leitung), Vertretungsanfragen und -antworten, Chat-Nachrichten mit Eltern, Begleitung und Fahrten bei Ausflügen, Gerätekennung für Push-Benachrichtigungen, Anmeldung mit Passkey (öffentlicher Schlüssel, Gerätebezeichnung, Zeitpunkte) bzw. früher eingerichtete Zwei-Faktor-Anmeldung (Bezeichnung der Authenticator-App, Zeitpunkt der Einrichtung), Bestätigung der Nutzungsregeln, Personalnummer; bei Arbeitsunfällen Geburtsdatum, Anschrift, Krankenkasse und Tätigkeit; Personalbogen für die Lohnabrechnung (nur wenn genutzt): Geburtsname, -datum, -ort und -land, Geschlecht, Staatsangehörigkeit, Anschrift, Steuer-ID, Steuerklasse, Kinderfreibeträge, Sozialversicherungsnummer, Krankenkasse und Versicherungsart, Zahl der Kinder unter 25 bzw. Elterneigenschaft, weitere Beschäftigungen, Befreiung von der Rentenversicherung (Minijob), Schul- und Berufsabschluss, Bankverbindung; vom Auftraggeber ergänzt: Tätigkeit, Eintritt, Befristung, Probezeit, Wochenstunden, Urlaubsanspruch, Vergütung (Tarif mit Entgeltgruppe und Stufe, Gehalt oder Stundenlohn), Zulagen, Zusatzversorgung, vermögenswirksame Leistungen, Kostenstelle	Art. 9: Krankheitstage und -stunden (ohne Diagnose); Arbeitsunfälle (Hergang, Verletzung, Körperteil, Erstversorgung, Arzt, Dauer der Arbeitsunfähigkeit); im Personalbogen Konfession (nur als Kirchensteuermerkmal) und Schwerbehinderung (ggf. Grad der Behinderung)
Weitere Personen (von Eltern oder Einrichtung angegeben)	Abholberechtigte und Notfallkontakte (Name, Beziehung, Telefon, optional ein Foto zur sicheren Erkennung beim Abholen); Begleitpersonen bei Ausflügen (Name, Telefon); Zeugen in Unfallanzeigen (Name)	—
Weitere Nutzer:innen (z. B. Vorstand)	Name, E-Mail, Rolle	—
Dokumente und Belege der Einrichtung (vom Auftraggeber abgelegt)	Dateien (PDF, Fotos) und Angaben dazu: Kategorie, Titel, Datum, Gültigkeit, Notiz; bei Belegen Datum, Bruttobetrag, Kategorie, Händler bzw. Beschreibung, Zahlungsart. Die Dateien können personenbezogene Daten der oben genannten Personen oder Dritter enthalten (z. B. Namen und Anschriften in Verträgen, Rechnungen oder Bescheiden); ihren Inhalt bestimmt der Auftraggeber. Nur wenn die Leitung es im Einzelfall anstößt („Hochladen & erkennen“, „Beleg automatisch auslesen“), wird die Datei automatisiert ausgelesen (Art, Datum, Betrag, Händler, Positionen bzw. Titel und Gültigkeit) und als Vorschlag angezeigt; das Ergebnis wird erst gespeichert, wenn die Leitung es bestätigt. Darüber hinaus wertet der Auftragnehmer den Inhalt nicht aus. Personalakten einzelner Beschäftigter sind nicht vorgesehen	je nach Inhalt der Datei möglich; nicht vorgesehen

Nicht verarbeitet werden: Gruppenfotos, Videos, sonstige Dateien (außer Dokumenten und Belegen der Einrichtung einschließlich unterschriebener Einwilligungsformulare, Nachweisen zum Sorgerecht, Bescheinigungen zu Nachweisen der Beschäftigten und Fotos abholberechtigter Personen, siehe oben), Bilder oder Dateien im Chat (nur Text), Standortdaten sowie Bankverbindungen von Eltern oder Beschäftigten. Fotos von Erwachsenen gibt es nur als freiwilliges Foto einer abholberechtigten Person. Die Inventarliste enthält keine personenbezogenen Daten. Fotos der Entwicklungsdokumentation zeigen nur das jeweilige Kind bzw. sein Werk; Metadaten (z. B. Aufnahmeort, Kameradaten) werden beim Hochladen entfernt. Diagnosen werden nicht strukturiert erfasst; Freitextfelder (z. B. besondere Bedürfnisse, Entwicklungsnotizen, Einträge der Entwicklungsdokumentation) können jedoch gesundheitsbezogene Angaben enthalten und gelten daher als Art-9-Daten.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Aufgeführt sind die im System umgesetzten Maßnahmen.

1. Zutrittskontrolle Kein eigener Serverbetrieb. Die Rechenzentren betreibt Google mit Zutrittskontrollen nach ISO/IEC 27001 und SOC 2 (Nachweise bei Google).

2. Zugangskontrolle

Anmeldung nur mit persönlichem Zugang (E-Mail und Passwort oder Anmeldelink per E-Mail). Einladungen sind personengebunden und befristet. Ein Anmeldelink mit eingebetteter Adresse muss vor der Anmeldung ausdrücklich bestätigt werden.
Neue Konten werden erst angelegt, nachdem die E-Mail-Adresse mit einem sechsstelligen Code bestätigt wurde.
Anmeldung mit Passkey (Face ID, Fingerabdruck, Windows Hello oder Geräte-PIN; Standard WebAuthn/FIDO2). Der private Schlüssel verlässt das Gerät nicht; gespeichert wird nur der öffentliche Schlüssel. Für Inhaber:in und Leitung ist ein Passkey Pflicht (nach einer Übergangsfrist von 14 Tagen ab Einführung, Kontoanlage bzw. Mitgliedschaft; in der Web-App nach Fristablauf durchgesetzt); alle anderen können ihn freiwillig einrichten. Bis Passkeys auch in den Apps für iOS und Android verfügbar sind, bleibt dort die Anmeldung mit Passwort möglich. Ohne Passkey-Gerät gibt es einen Notzugang mit Passwort und einem Code per E-Mail. Eine bereits eingerichtete Zwei-Faktor-Anmeldung mit Authenticator-App bleibt wirksam.
Begrenzung von Anmelde- und Code-Versuchen je Adresse und je Internetanschluss (IP-Adresse nur als Prüfwert, nach einer Stunde gelöscht).
Modus „Geteiltes Gerät“ für Kita-Tablets: Abmeldung nach 15 Minuten ohne Bedienung, keine dauerhafte Speicherung von Daten auf dem Gerät.
Zugang zur Produktions-Konsole nur für Inhaberin und technischen Betreuer.

3. Zugriffskontrolle

Serverseitig erzwungene Zugriffsregeln (Firestore Security Rules) mit Grundsatz „alles verboten, was nicht ausdrücklich erlaubt ist”.
Rollenmodell je Einrichtung (Leitung, festes Team, eingesetzte Fachkraft, Aushilfe, Praktikum, Hauswirtschaft, Vorstand). Die Leitung sieht alle Kinder. Das feste Team sieht Kinder, Eltern, Abholberechtigte, Einwilligungen sowie Krank- und Abwesenheitsmeldungen nur der ihm zugewiesenen Gruppen; die Leitung kann einzelnen Personen (z. B. Springkräften) ausdrücklich alle Gruppen freigeben. Eingesetzte Fachkräfte und Aushilfen sehen nur Kinder ihrer zugewiesenen Gruppen, aber keine Eltern- und Einwilligungsdaten. Mitteilungen und Termine an einzelne Gruppen sieht das Team nur für die eigenen Gruppen; als vertraulich markierte Mitteilungen sieht nur die Leitung.
Rollen werden nur serverseitig vergeben und sind vom Gerät aus nicht veränderbar. Entzieht die Leitung einen Zugang, wirkt das sofort. Die Zugriffsregeln sind durch automatisierte Tests abgesichert.
Entwicklungsdokumentation: Lesen und Schreiben nur Leitung, festes Team (zugewiesene Gruppen bzw. alle Gruppen nach Freigabe) und eingesetzte Fachkraft (nur Kinder ihrer zugewiesenen Gruppe); Aushilfe, Praktikum, Hauswirtschaft und Vorstand haben keinen Zugriff. Bearbeiten und Löschen nur durch die erstellende Person oder die Leitung. Einträge sind nur bei gültiger Einwilligung der Sorgeberechtigten möglich, Fotos nur mit zusätzlicher Foto-Einwilligung; die Prüfung erfolgt serverseitig.
Fotos liegen in einem eigenen Dateispeicher mit serverseitigen Zugriffsregeln (Cloud Storage Security Rules): nur Lesen, nur angemeldet, nur für die passende Einrichtung, Rolle und Gruppe und nur, solange der Eintrag nicht gesperrt ist. Schreiben vom Gerät aus ist verboten.
Dokumente und Belege der Einrichtung: Lesen, Anlegen, Ändern und Löschen nur durch die Leitung der Einrichtung (serverseitige Zugriffsregeln für Datenbank und Dateispeicher); alle anderen Rollen einschließlich Vorstand haben keinen Zugriff.
Elternbereich: Eltern erhalten nur auf Einladung der Einrichtung Zugang und sind keine Mitglieder der Einrichtung. Sie sehen ausschließlich ihre eigenen, von der Einrichtung verknüpften Kinder sowie die an sie gerichteten Mitteilungen, Termine und Pläne; Daten anderer Kinder oder Beschäftigter sind nicht abrufbar. Der Zugang wird serverseitig berechnet und endet für ein Kind mit dessen Austritt bzw. dem Ende der Verknüpfung.
Sorgerecht und Einwilligungen: Eltern erklären das Sorgerecht selbst; bei alleinigem Sorgerecht oder Vormundschaft ist ein amtlicher Nachweis erforderlich, den nur die Leitung und die erklärende Person öffnen können und den die Leitung prüft. Bei gemeinsamem Sorgerecht wird eine Einwilligung erst wirksam, wenn beide Sorgeberechtigten zugestimmt haben; die Leitung kann die Zustimmung eines Elternteils ohne App nur mit hochgeladenem, unterschriebenem Formular erfassen. Einwilligungen werden ausschließlich serverseitig gebildet.
Chat: Lesen und Schreiben nur für die Beteiligten eines Gesprächs. Elterngruppen und Direktnachrichten zwischen Eltern stehen nur Eltern offen, die sich dafür selbst sichtbar geschaltet haben; Beschäftigte, Leitung und Vorstand haben auf Gespräche zwischen Eltern keinen Zugriff. Gemeldete Nachrichten sieht die Leitung, die Personen im Chat sperren kann. Meldungen rechtswidriger Inhalte an den Auftragnehmer siehe § 3 Abs. 4.
Fotos abholberechtigter Personen: Hochladen nur durch die Leitung und die Eltern des Kindes über eine Server-Funktion (verkleinert, ohne Metadaten); Lesen nur durch Beschäftigte mit Zugriff auf das Kind und die Eltern des Kindes.
Unfallanzeigen für Beschäftigte und die Inventarliste: nur Leitung (bzw. Leitung und festes Team für das Inventar).

4. Weitergabekontrolle

Verschlüsselte Übertragung (TLS) für alle Verbindungen.
E-Mail-Bestätigungen für Eltern über zufällige, 32-stellige, befristete Einmal-Links; die öffentlichen Bestätigungsseiten zeigen nur die nötigen Angaben und sind nicht auflistbar.
Fotos werden ausschließlich über eine Server-Funktion hochgeladen, die Rolle, Gruppe und Einwilligung prüft, die Dateigröße begrenzt (max. 1,5 MB), das Bild neu kodiert (JPEG, max. 1600 px plus Vorschaubild) und dabei alle Metadaten (EXIF einschließlich GPS-Aufnahmeort und Kameradaten) entfernt.
Für Fotos gibt es keine öffentlichen Download-Links; der Dateispeicher erzwingt die Sperre öffentlichen Zugriffs (Public Access Prevention). Bilder werden nur nach Anmeldung geladen.
Dateien zu Dokumenten und Belegen werden ebenfalls ausschließlich über eine Server-Funktion hochgeladen, die die Rolle prüft, nur PDF, JPEG und PNG bis 10 MB annimmt, PDFs anhand ihrer Dateisignatur prüft und Bilder ohne Metadaten neu kodiert. Sie liegen im selben Dateispeicher ohne öffentliche Links und werden nur nach Anmeldung geladen.
Push-Benachrichtigungen enthalten nur einen kurzen Hinweis (z. B. „Neue Mitteilung: Titel“, „Neue Nachricht“ mit dem Namen der absendenden Person) und einen Link in die App. Nachrichtentexte und Gesundheitsdaten werden nicht per Push versandt; Hinweise zum Sorgerecht nennen nur den Vornamen des Kindes. Gerätekennungen werden beim Abmelden, bei ungültig gewordenen Kennungen und bei der Kontolöschung entfernt.
Die Anwendung wird mit Sicherheits-Headern ausgeliefert (u. a. HSTS, Schutz vor Einbettung in fremde Seiten; Content Security Policy zunächst im Prüfmodus).
E-Mails sind je Einrichtung und Tag, das automatische Auslesen je Person und Monat mengenmäßig begrenzt; Versandprotokolle enthalten keine Empfängeradressen.
Personalbogen: Die Beschäftigten geben ihre Angaben über einen zufälligen, 14 Tage gültigen Einmal-Link oder im eigenen Konto ein. An das vom Auftraggeber benannte Lohnbüro gehen die Angaben nur auf Veranlassung der Leitung — nie als E-Mail-Inhalt, sondern über einen 14 Tage gültigen Link, der zusätzlich einen Zugangscode der Einrichtung verlangt (getrennter Übermittlungsweg, höchstens fünf Fehlversuche). Jedes Ansehen, Senden und Abrufen wird ohne Inhalte protokolliert.

5. Eingabekontrolle

Datensätze speichern, wer sie wann angelegt und geändert hat.
Einwilligungen sind unveränderlich; nur ein Widerruf ist möglich, mit Zeitpunkt und Person.
Protokoll über Lebenszyklus des Kundenkontos und Einladungen. Ein vollständiges Zugriffsprotokoll auf Kinderdaten besteht nicht.
Löschungen in der Entwicklungsdokumentation werden ohne Inhalte protokolliert (Anzahl, Grund, Eintragskennungen); ebenso die endgültige Löschung einzelner Kinder, Eltern und Beschäftigter.
Die Annahme von AGB und diesem Vertrag wird je Fassung mit Zeitpunkt und bestätigender Person gespeichert, frühere Annahmen bleiben erhalten.

6. Auftragskontrolle Unterauftragsverarbeiter nur gemäß Anlage 3 und mit Auftragsverarbeitungs- bedingungen. Datenschutz-Prüfmatrix: jede Produktänderung wird vor Veröffentlichung auf Datenschutzfolgen geprüft.

7. Verfügbarkeitskontrolle

Datenbank in einer EU-Multi-Region mit Replikation über mehrere Standorte.
Löschschutz der Produktions-Datenbank aktiv.
Point-in-Time-Recovery (7 Tage) und tägliche Sicherung mit 14 Tagen Aufbewahrung.
Fotos der Entwicklungsdokumentation, Dokumente und Belege liegen in einem Single-Region-Dateispeicher in Frankfurt am Main. Er wird jede Nacht in einen getrennten Sicherungsspeicher in Berlin (andere Region) gespiegelt. Gelöschte Dateien sind im Original 7 Tage, in der Sicherung 14 Tage wiederherstellbar (Soft Delete), danach endgültig gelöscht.
Gelöschte Einträge der Entwicklungsdokumentation liegen 30 Tage in einem nur für die Leitung sichtbaren Papierkorb und können wiederhergestellt werden.
Offline-Fähigkeit der Anwesenheitserfassung auf dem Kita-Tablet.

8. Löschung

Nach Vertragsende automatisierte Löschung aller Daten des Auftraggebers nach 30 Tagen (§ 11).
Die Löschung erfasst alle Datensätze der Einrichtung, die verknüpften Eltern-Bestätigungsseiten, alle Einträge und Fotos der Entwicklungsdokumentation sowie die Zugänge von Beschäftigten ohne weitere Mitgliedschaft; sie ist durch automatisierte Tests abgesichert (zwei Einrichtungen, nur eine wird gelöscht).
Entwicklungsdokumentation: Bei Widerruf (oder späterer Ablehnung) der Einwilligung werden Einträge bzw. Fotos sofort gesperrt und nach 7 Tagen automatisch endgültig gelöscht; wird innerhalb dieser Frist erneut eingewilligt, wird die Sperre aufgehoben. Nach dem Austritt des Kindes wird das Portfolio nach 3 Monaten gelöscht. Einträge im Papierkorb werden nach 30 Tagen endgültig gelöscht. Die Löschläufe erfolgen täglich und automatisiert.
Dokumente und Belege werden nicht automatisch gelöscht (steuerliche Aufbewahrungspflicht des Auftraggebers); die Leitung löscht sie bei Bedarf selbst, dabei wird auch die Datei gelöscht. Nach Vertragsende werden sie wie alle Daten gelöscht (§ 11).
Beim Abmelden wird der lokale Speicher auf dem Gerät gelöscht, damit auf geteilten Kita-Tablets keine Daten der vorherigen Person sichtbar bleiben. Endet der Zugang einer Person zu einer Einrichtung, wird der lokale Speicher spätestens beim nächsten Start der App gelöscht.
Löscht ein Elternteil sein Konto, werden Zugänge, Chat-Profil und Gerätekennungen gelöscht; eigene Chat-Nachrichten bleiben für die anderen Beteiligten ohne Namen („Gelöschtes Konto“) im Verlauf. Der Elterndatensatz der Einrichtung bleibt bestehen und wird von der Einrichtung verwaltet.
Entfernte oder ersetzte Fotos abholberechtigter Personen werden automatisch gelöscht.
Nachweise zum Sorgerecht (Dateien) werden automatisch gelöscht, sobald das Kind die Einrichtung verlassen hat (Austrittsdatum erreicht; täglicher Löschlauf), spätestens mit dem Vertragsende (§ 11). Die Erklärung selbst (Art des Sorgerechts, Prüfergebnis) bleibt beim Elterndatensatz.
Chat-Nachrichten und Meldungen von Chat-Inhalten werden 12 Monate nach dem Senden bzw. der Meldung automatisch gelöscht (täglicher Löschlauf). Gespräche mit der Einrichtung zu einem Kind werden 3 Monate nach dessen Austritt vollständig gelöscht.
Einzelne Kinder, Elternteile und Beschäftigte kann die Leitung jederzeit endgültig löschen (Bestätigung durch Eingabe des Namens, Protokoll ohne Inhalte). Gelöscht werden sofort alle Daten der Person einschließlich Gesundheitsangaben, Krank- und Abwesenheitsmeldungen, Fotos, Nachweisen und Nachrichten. Eltern ohne weiteres Kind in der Einrichtung werden mit gelöscht.
Ausgenommen sind Datensätze mit gesetzlicher Aufbewahrungspflicht (Art. 17 Abs. 3 lit. b DSGVO). Sie werden gesperrt (nur für Inhaber:in und Leitung lesbar) und nach Fristablauf automatisch gelöscht: Unfälle von Kindern und Beschäftigten 5 Jahre ab dem Unfall, Einwilligungen samt Formular 3 Jahre, Dienstplan und Arbeitszeiten 2 Jahre (§ 16 Abs. 2 ArbZG), Stundenabschlüsse bis zum Ende des sechsten Kalenderjahres. Anwesenheiten bleiben nur ohne Personenbezug (Gruppe, Tag, anwesend oder abwesend, Dauer) für Statistik und Förderabrechnung.
Kinder werden 6 Monate nach dem Austrittsdatum automatisch gelöscht. Die Leitung wird 14 Tage vorher benachrichtigt und kann die Löschung einmal um 6 Monate verschieben. Nachweise ausgeschiedener Beschäftigter (z. B. Führungszeugnis) werden 3 Monate nach Vertragsende gelöscht (§ 72a Abs. 5 SGB VIII). Die Löschläufe erfolgen täglich und automatisiert.
Ausflüge bleiben gespeichert, bis die Einrichtung sie löscht oder der Vertrag endet (§ 11).
Personalbogen: Die Angaben bleiben, solange die Person beschäftigt ist, und werden 3 Monate nach dem Vertragsende automatisch gelöscht (täglicher Löschlauf); die Leitung kann sie jederzeit vorher löschen. Führend für das Lohnkonto ist das Lohnprogramm des Auftraggebers bzw. seines Lohnbüros.

9. Trennungskontrolle

Mandantentrennung: Jeder Datensatz ist einer Einrichtung zugeordnet; die Zugriffsregeln prüfen die Zugehörigkeit bei jedem Zugriff.
Getrennte Systeme für Entwicklung, Test und Produktion. In Entwicklung und Test werden keine echten Kinderdaten verwendet.

10. Verschlüsselung Daten werden bei Google standardmäßig verschlüsselt gespeichert (AES-256) und verschlüsselt übertragen. Die Angaben des Personalbogens (u. a. Steuer-ID, Sozialversicherungsnummer, Bankverbindung) sind zusätzlich auf Anwendungsebene verschlüsselt (AES-256-GCM); der Schlüssel liegt getrennt im Secret Manager und ist nur der Server-Funktion zugänglich.

11. Überprüfung und Weiterentwicklung Regelmäßige Sicherheitsprüfung der verwendeten Software-Bibliotheken; bekannt gewordene Schwachstellen werden bewertet und zeitnah durch Aktualisierung behoben. Halbjährliche Überprüfung dieser Maßnahmen durch Inhaberin und technischen Betreuer; zuletzt umfassendes Sicherheits- und Datenschutz-Audit im Oktober 2026 mit anschließender Umsetzung der Ergebnisse.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Verarbeitete Daten	Ort
Google (Firebase / Google Cloud)	Datenbank, Server-Funktionen, Dateispeicher (Cloud Storage), Anmeldung, Auslieferung der Anwendung, automatisches Auslesen von Belegen und Dokumenten sowie Aufbereitung des Logos (Vertex AI, Gemini)	alle Daten aus Anlage 1	EU (`eur3`, `europe-west3`; Fotos, Dokumente, Belege und das Auslesen: `europe-west3` Frankfurt am Main, Sicherungskopie der Dateien `europe-west10` Berlin, Logo-Aufbereitung `europe-west4` Niederlande); Anmeldung und Auslieferung auch weltweit, siehe § 4
Hostinger	Versand von E-Mails (Einladungen, Mitteilungen, Terminen, Vertretungsanfragen)	E-Mail-Adressen von Eltern und Beschäftigten, Namen, Inhalt der Mitteilungen	EU
Apple (Apple Distribution International Ltd., Irland)	Zustellung von Push-Benachrichtigungen auf iPhone und iPad (Apple Push Notification service), nur wenn die Person Benachrichtigungen zugelassen hat	Gerätekennung, Inhalt der Benachrichtigung (siehe Anlage 2 Nr. 4)	weltweit; Grundlage EU-US Data Privacy Framework und/oder Standardvertragsklauseln

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind: Stripe (Abrechnung zwischen Auftragnehmer und Auftraggeber, keine Daten aus Anlage 1), DATEV (der Lohn-Export wird im Browser erzeugt und vom Auftraggeber selbst heruntergeladen), GitHub (nur Programmcode).

Frühere Fassungen: 29. Oktober 2026 · 26. Oktober 2026