Anmelden
Rechtliches · frühere Fassung

Auftragsverarbeitungsvertrag.

Fassung vom 26. Oktober 2026. Es gilt die aktuelle Fassung, sobald die Einrichtung sie bestätigt hat.

Vertrag über die Auftragsverarbeitung (AVV)

tenantic Kita · Stand: 26. Oktober 2026 · Grundlage: Art. 28 Abs. 3 DSGVO

Vertragsparteien

Verantwortlicher („Auftraggeber”): Die Einrichtung bzw. der Träger, die oder der diesen Vertrag in tenantic Kita abschließt (Name und Anschrift wie im Kundenkonto hinterlegt).

Auftragsverarbeiter („Auftragnehmer”): TIM-Systems (Geschäftsbezeichnung „Tenantic”), Inhaberin Caroline Mitterbauer, Uhlandstraße 11, 31162 Bad Salzdetfurth · info@tenantic.de

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag über die Nutzung der Software „tenantic Kita” („Hauptvertrag”).

§ 1 Gegenstand, Dauer, Art und Zweck

  1. Gegenstand: Bereitstellung und Betrieb der Software „tenantic Kita” als Online-Dienst (Software as a Service) zur Verwaltung einer Kindertageseinrichtung, einschließlich Personalplanung, Anwesenheit, Eltern-Kommunikation, Einwilligungsverwaltung und pädagogischer Entwicklungsdokumentation (Portfolio mit Fotos des Kindes bzw. seiner Werke, nur mit Einwilligung der Sorgeberechtigten) sowie Ablage von Dokumenten und Belegen der Einrichtung (z. B. Betriebs- oder Pflegeerlaubnis, Verträge, Ausgabenbelege). Dazu gehören außerdem:
    • der Elternbereich: Zugang für Eltern auf Einladung der Einrichtung (Web und App) mit Mitteilungen, Terminen, Krank- und Abwesenheitsmeldungen, Wochen- und Speiseplänen, dem Portfolio des eigenen Kindes, der Anmeldung eines Kindes, der Erklärung des Sorgerechts, digitalen Einwilligungen und der Pflege der Kinddaten (Kontakte, Abholberechtigte, Allergien, Medikamente);
    • der Chat: Nachrichten zwischen Eltern und Einrichtung sowie – nur nach eigener Freischaltung der Eltern – zwischen Eltern (Elterngruppen und Direktnachrichten);
    • Push-Benachrichtigungen an die Geräte von Eltern und Beschäftigten;
    • Ausflüge und Veranstaltungen (Teilnehmende, Begleitung, Fahrten, Notfallmappe), Unfallprotokolle und Unfallanzeigen an die Unfallversicherungsträger (Kinder und Beschäftigte), eine Inventarliste der Einrichtung, Nachweise und Schulungen der Beschäftigten (z. B. Erste Hilfe, Belehrung nach § 43 IfSG), Prüfungen und Fristen (z. B. Elektrogeräte, Feuerlöscher) sowie das automatische Auslesen von Belegen und Dokumenten auf Anforderung der Leitung.
  2. Dauer: Laufzeit des Hauptvertrags. Die Pflichten aus § 11 (Löschung und Rückgabe) gelten über das Vertragsende hinaus.
  3. Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Abfragen, Verwenden, Übermitteln per E-Mail und Push-Benachrichtigung an die vom Auftraggeber benannten Empfänger (Eltern, Beschäftigte), Bereitstellen im Elternbereich, Löschen. Unfallanzeigen übermittelt der Auftraggeber selbst an den Unfallversicherungsträger; die Software erstellt dafür nur das Formular.
  4. Zweck: ausschließlich die Erbringung der Leistungen aus dem Hauptvertrag. Eine Nutzung für eigene Zwecke des Auftragnehmers (z. B. Werbung, Analyse, Training von KI-Modellen) findet nicht statt.

§ 2 Kategorien betroffener Personen und Daten

Die vollständige Aufstellung steht in Anlage 1. Verarbeitet werden insbesondere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheitsdaten von Kindern und Beschäftigten) und Daten von Kindern.

§ 3 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in der Bedienung der Software durch den Auftraggeber festgelegt. Einzelweisungen erfolgen in Textform an info@tenantic.de.
  2. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
  3. Gesetzliche Pflichten zur Verarbeitung (Art. 28 Abs. 3 lit. a DSGVO) teilt der Auftragnehmer vorher mit, sofern das Recht dies nicht verbietet.

§ 4 Ort der Verarbeitung

  1. Die Daten werden in Rechenzentren in der Europäischen Union gespeichert:
    • Datenbank (Cloud Firestore): EU-Multi-Region eur3 (Belgien, Niederlande)
    • Server-Funktionen (Cloud Functions): europe-west3 (Frankfurt am Main)
    • Automatisches Auslesen von Belegen und Dokumenten (Google Vertex AI, Modell Gemini): europe-west3 (Frankfurt am Main); die Datei wird dafür übermittelt, aber nicht gespeichert und nicht zum Training verwendet
    • Dateispeicher für Fotos der Entwicklungsdokumentation, Dokumente und Belege der Einrichtung, Fotos abholberechtigter Personen und Nachweise zum Sorgerecht (Cloud Storage, derselbe Speicher): europe-west3 (Frankfurt am Main), Single-Region
  2. Folgende Verarbeitungen können durch Konzerngesellschaften der Unterauftragsverarbeiter auch außerhalb der EU erfolgen: Anmeldedienst (Firebase Authentication), Auslieferung der Anwendung über ein weltweites Netz (Firebase Hosting), Zustellung von Push-Benachrichtigungen (Firebase Cloud Messaging; auf Apple-Geräten zusätzlich über den Apple Push Notification service), Wartung und Support durch die Google-Gruppe. Grundlage: EU-US Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
  3. Eine Verlagerung in ein Drittland über Abs. 2 hinaus erfolgt nur mit vorheriger Zustimmung des Auftraggebers.

§ 5 Vertraulichkeit

Zugang zu den Daten des Auftraggebers haben ausschließlich die Inhaberin und der technische Betreuer des Auftragnehmers. Beide sind schriftlich auf die Vertraulichkeit verpflichtet; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Ein Zugriff erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder Support erforderlich ist.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er dem Auftraggeber mit.

§ 7 Unterauftragsverarbeiter

  1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
  2. Über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
  3. Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich gleichwertige Datenschutzpflichten auf.

§ 8 Unterstützung bei Rechten der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber mit technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen Betroffener, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

§ 9 Meldung von Datenschutzverletzungen und weitere Unterstützung

  1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Die Meldung an die Aufsichtsbehörde (72 Stunden) obliegt dem Auftraggeber.
  2. Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO).

§ 10 Kontrollrechte

  1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.
  2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach Terminabstimmung mit angemessener Vorlaufzeit (in der Regel 14 Tage) durchführen. Für die Rechenzentren der Unterauftragsverarbeiter genügt die Vorlage deren Zertifikate und Prüfberichte (z. B. ISO/IEC 27001, SOC 2).

§ 11 Löschung und Rückgabe nach Vertragsende

  1. Nach Ende des Hauptvertrags bleiben die Daten 30 Tage gesperrt erhalten. In dieser Zeit kann der Auftraggeber die Herausgabe in einem strukturierten, maschinenlesbaren Format (JSON oder CSV) verlangen; der Auftragnehmer stellt sie binnen 14 Tagen bereit. Auf Wunsch umfasst die Herausgabe auch die Fotodateien der Entwicklungsdokumentation (JPEG) mit einer Zuordnungsliste (Foto-Manifest) sowie die Dateien der Dokumente und Belege (PDF/JPEG) mit einer Zuordnungsliste und einer Belegtabelle (CSV). Belege unterliegen beim Auftraggeber in der Regel einer steuerlichen Aufbewahrungsfrist von 10 Jahren; der Auftragnehmer bewahrt sie nicht über das Vertragsende hinaus auf.
  2. Danach löscht der Auftragnehmer sämtliche Daten des Auftraggebers aus der Produktions-Datenbank und dem Dateispeicher automatisiert, einschließlich der Einträge der Entwicklungsdokumentation, aller Fotos, Dokumente und Belege der Einrichtung und der Zugänge von Beschäftigten, die keiner anderen Einrichtung angehören. Kopien in Datensicherungen der Datenbank werden mit Ablauf der Sicherungsfrist (14 Tage) überschrieben. Dateien (Fotos, Dokumente, Belege) sind nicht Teil der Datensicherungen; gelöschte Dateien sind beim Unterauftragsverarbeiter technisch noch 7 Tage wiederherstellbar (Soft Delete) und danach endgültig gelöscht.
  3. Ausgenommen sind Protokolleinträge über den Lebenszyklus des Kundenkontos, in denen die Kennung des Auftraggebers durch einen nicht umkehrbaren Hash ersetzt ist, sowie Rechnungs- und Vertragsunterlagen des Auftragnehmers im Rahmen gesetzlicher Aufbewahrungspflichten. Diese enthalten keine Daten von Kindern, Eltern oder Beschäftigten.
  4. Die Löschung wird auf Verlangen schriftlich bestätigt.

§ 12 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.
  2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor.
  3. Änderungen bedürfen der Textform.

Der Vertrag wird elektronisch geschlossen: durch Bestätigung beim Anlegen einer Einrichtung bzw. bei der Buchung eines Pakets in tenantic Kita. Die bestätigte Fassung (Stand) wird mit Datum und bestätigender Person protokolliert.

Anlage 1 — Betroffene Personen und Datenkategorien

Belegt anhand der Datenmodelle der Software (Stand 25.10.2026).

Betroffene Daten Besonders schützenswert
Kinder Vor- und Nachname, Geburtsdatum, Geschlecht, Gruppe, Status, Eintritt/Austritt mit Grund, Anwesenheit (Kommen/Gehen, Abwesenheit), Abholberechtigte (bis zu fünf Personen), Notfallkontakte, Entwicklungsnotizen, Entwicklungsdokumentation (Beobachtungen, Lerngeschichten, Meilensteine, Werke) inkl. Fotos des Kindes bzw. seiner Werke — nur mit Einwilligung der Sorgeberechtigten; Teilnahme an Ausflügen und Veranstaltungen (Zu-/Absage, Fahrtzuordnung, Rückkehr-Check) Art. 9: Allergien, Medikamente (Name, Dosierung, Zweck, Zeitraum), Impfungen (Impfstoff, Datum, Chargennummer, impfende Stelle), besondere Bedürfnisse und Förderbedarf, Krank- und Abwesenheitsmeldungen der Eltern (Zeitraum, Art, optionale Notiz), Unfallprotokolle und Unfallanzeigen (Hergang, Verletzung, Erstversorgung, Arzt). Daten von Kindern (Erwägungsgrund 38)
Eltern / Sorgeberechtigte Vor- und Nachname, E-Mail, Telefonnummern, Anschrift, bevorzugter Kontaktweg, Sprachen, Beruf, Beziehung zum Kind, Sorgerecht, Abhol- und Entscheidungsberechtigung, Einwilligungen (Kategorie, Textversion, Prüfsumme, Zeitpunkt, Weg — digital oder schriftlich —, Widerruf), Lesebestätigungen und Terminrückmeldungen. Elternbereich: Zugang (E-Mail, Anmeldedaten), Erklärung zum Sorgerecht mit amtlichem Nachweis bei alleinigem Sorgerecht oder Vormundschaft (Dokument, Prüfergebnis der Leitung), Anmeldungen von Kindern, Chat-Nachrichten und Chat-Profil (Name, Vornamen und Gruppen der eigenen Kinder, Sichtbarkeit für andere Eltern), Meldungen von Chat-Inhalten an die Leitung, Gerätekennung für Push-Benachrichtigungen (Push-Token, Plattform) —
Beschäftigte, Praktikant:innen, Aushilfen Vor- und Nachname, E-Mail, Telefon, Qualifikation, Beschäftigungsart, Wochen- und Leitungsstunden, Vertragsbeginn/-ende, Gruppenzuordnung, Rolle und Zugang, Dienstplan, Arbeitszeiten, Stundenkonto/Plusstunden, Urlaub, Nachweise und Schulungen (Art, Datum, gültig bis, Anbieter, Bescheinigung als Datei, Prüfvermerk der Leitung), Vertretungsanfragen und -antworten, Chat-Nachrichten mit Eltern, Begleitung und Fahrten bei Ausflügen, Gerätekennung für Push-Benachrichtigungen; bei Arbeitsunfällen Geburtsdatum, Anschrift, Krankenkasse und Tätigkeit Art. 9: Krankheitstage und -stunden (ohne Diagnose); Arbeitsunfälle (Hergang, Verletzung, Körperteil, Erstversorgung, Arzt, Dauer der Arbeitsunfähigkeit)
Weitere Personen (von Eltern oder Einrichtung angegeben) Abholberechtigte und Notfallkontakte (Name, Beziehung, Telefon, optional ein Foto zur sicheren Erkennung beim Abholen); Begleitpersonen bei Ausflügen (Name, Telefon); Zeugen in Unfallanzeigen (Name) —
Weitere Nutzer:innen (z. B. Vorstand) Name, E-Mail, Rolle —
Dokumente und Belege der Einrichtung (vom Auftraggeber abgelegt) Dateien (PDF, Fotos) und Angaben dazu: Kategorie, Titel, Datum, Gültigkeit, Notiz; bei Belegen Datum, Bruttobetrag, Kategorie, Händler bzw. Beschreibung, Zahlungsart. Die Dateien können personenbezogene Daten der oben genannten Personen oder Dritter enthalten (z. B. Namen und Anschriften in Verträgen, Rechnungen oder Bescheiden); ihren Inhalt bestimmt der Auftraggeber. Nur wenn die Leitung es im Einzelfall anstößt („Hochladen & erkennen“, „Beleg automatisch auslesen“), wird die Datei automatisiert ausgelesen (Art, Datum, Betrag, Händler, Positionen bzw. Titel und Gültigkeit) und als Vorschlag angezeigt; das Ergebnis wird erst gespeichert, wenn die Leitung es bestätigt. Darüber hinaus wertet der Auftragnehmer den Inhalt nicht aus. Personalakten einzelner Beschäftigter sind nicht vorgesehen je nach Inhalt der Datei möglich; nicht vorgesehen

Nicht verarbeitet werden: Gruppenfotos, Videos, sonstige Dateien (außer Dokumenten und Belegen der Einrichtung einschließlich unterschriebener Einwilligungsformulare, Nachweisen zum Sorgerecht, Bescheinigungen zu Nachweisen der Beschäftigten und Fotos abholberechtigter Personen, siehe oben), Bilder oder Dateien im Chat (nur Text), Standortdaten sowie Bankverbindungen von Eltern oder Beschäftigten. Fotos von Erwachsenen gibt es nur als freiwilliges Foto einer abholberechtigten Person. Die Inventarliste enthält keine personenbezogenen Daten. Fotos der Entwicklungsdokumentation zeigen nur das jeweilige Kind bzw. sein Werk; Metadaten (z. B. Aufnahmeort, Kameradaten) werden beim Hochladen entfernt. Diagnosen werden nicht strukturiert erfasst; Freitextfelder (z. B. besondere Bedürfnisse, Entwicklungsnotizen, Einträge der Entwicklungsdokumentation) können jedoch gesundheitsbezogene Angaben enthalten und gelten daher als Art-9-Daten.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Aufgeführt sind die im System umgesetzten Maßnahmen.

1. Zutrittskontrolle Kein eigener Serverbetrieb. Die Rechenzentren betreibt Google mit Zutrittskontrollen nach ISO/IEC 27001 und SOC 2 (Nachweise bei Google).

2. Zugangskontrolle

  • Anmeldung nur mit persönlichem Zugang (E-Mail und Passwort oder Anmeldelink per E-Mail). Einladungen sind personengebunden und befristet.
  • Zugang zur Produktions-Konsole nur für Inhaberin und technischen Betreuer.
  • Die Anmeldung erfolgt mit persönlichem Zugang (E-Mail und Passwort oder Anmeldelink); eine Zwei-Faktor-Anmeldung wird nicht angeboten.

3. Zugriffskontrolle

  • Serverseitig erzwungene Zugriffsregeln (Firestore Security Rules) mit Grundsatz „alles verboten, was nicht ausdrücklich erlaubt ist”.
  • Rollenmodell je Einrichtung (Leitung, festes Team, eingesetzte Fachkraft, Aushilfe, Praktikum, Hauswirtschaft, Vorstand). Gruppenkräfte sehen nur Kinder ihrer zugewiesenen Gruppen; Einwilligungen und Elterndaten nur Leitung und festes Team.
  • Rollen werden nur serverseitig vergeben und sind vom Gerät aus nicht veränderbar. Die Zugriffsregeln sind durch automatisierte Tests abgesichert.
  • Entwicklungsdokumentation: Lesen und Schreiben nur Leitung, festes Team und eingesetzte Fachkraft (nur Kinder ihrer zugewiesenen Gruppe); Aushilfe, Praktikum, Hauswirtschaft und Vorstand haben keinen Zugriff. Bearbeiten und Löschen nur durch die erstellende Person oder die Leitung. Einträge sind nur bei gültiger Einwilligung der Sorgeberechtigten möglich, Fotos nur mit zusätzlicher Foto-Einwilligung; die Prüfung erfolgt serverseitig.
  • Fotos liegen in einem eigenen Dateispeicher mit serverseitigen Zugriffsregeln (Cloud Storage Security Rules): nur Lesen, nur angemeldet, nur für die passende Einrichtung, Rolle und Gruppe und nur, solange der Eintrag nicht gesperrt ist. Schreiben vom Gerät aus ist verboten.
  • Dokumente und Belege der Einrichtung: Lesen, Anlegen, Ändern und Löschen nur durch die Leitung der Einrichtung (serverseitige Zugriffsregeln für Datenbank und Dateispeicher); alle anderen Rollen einschließlich Vorstand haben keinen Zugriff.
  • Elternbereich: Eltern erhalten nur auf Einladung der Einrichtung Zugang und sind keine Mitglieder der Einrichtung. Sie sehen ausschließlich ihre eigenen, von der Einrichtung verknüpften Kinder sowie die an sie gerichteten Mitteilungen, Termine und Pläne; Daten anderer Kinder oder Beschäftigter sind nicht abrufbar. Der Zugang wird serverseitig berechnet und endet für ein Kind mit dessen Austritt bzw. dem Ende der Verknüpfung.
  • Sorgerecht und Einwilligungen: Eltern erklären das Sorgerecht selbst; bei alleinigem Sorgerecht oder Vormundschaft ist ein amtlicher Nachweis erforderlich, den nur die Leitung und die erklärende Person öffnen können und den die Leitung prüft. Bei gemeinsamem Sorgerecht wird eine Einwilligung erst wirksam, wenn beide Sorgeberechtigten zugestimmt haben; die Leitung kann die Zustimmung eines Elternteils ohne App nur mit hochgeladenem, unterschriebenem Formular erfassen. Einwilligungen werden ausschließlich serverseitig gebildet.
  • Chat: Lesen und Schreiben nur für die Beteiligten eines Gesprächs. Elterngruppen und Direktnachrichten zwischen Eltern stehen nur Eltern offen, die sich dafür selbst sichtbar geschaltet haben; Beschäftigte, Leitung und Vorstand haben auf Gespräche zwischen Eltern keinen Zugriff. Gemeldete Nachrichten sieht die Leitung, die Personen im Chat sperren kann.
  • Fotos abholberechtigter Personen: Hochladen nur durch die Leitung und die Eltern des Kindes über eine Server-Funktion (verkleinert, ohne Metadaten); Lesen nur durch Beschäftigte mit Zugriff auf das Kind und die Eltern des Kindes.
  • Unfallanzeigen für Beschäftigte und die Inventarliste: nur Leitung (bzw. Leitung und festes Team für das Inventar).

4. Weitergabekontrolle

  • Verschlüsselte Übertragung (TLS) für alle Verbindungen.

  • E-Mail-Bestätigungen für Eltern über zufällige, 32-stellige, befristete Einmal-Links; die öffentlichen Bestätigungsseiten zeigen nur die nötigen Angaben und sind nicht auflistbar.

  • Fotos werden ausschließlich über eine Server-Funktion hochgeladen, die Rolle, Gruppe und Einwilligung prüft, die Dateigröße begrenzt (max. 1,5 MB), das Bild neu kodiert (JPEG, max. 1600 px plus Vorschaubild) und dabei alle Metadaten (EXIF einschließlich GPS-Aufnahmeort und Kameradaten) entfernt.

  • Für Fotos gibt es keine öffentlichen Download-Links; der Dateispeicher erzwingt die Sperre öffentlichen Zugriffs (Public Access Prevention). Bilder werden nur nach Anmeldung geladen.

  • Dateien zu Dokumenten und Belegen werden ebenfalls ausschließlich über eine Server-Funktion hochgeladen, die die Rolle prüft, nur PDF, JPEG und PNG bis 10 MB annimmt, PDFs anhand ihrer Dateisignatur prüft und Bilder ohne Metadaten neu kodiert. Sie liegen im selben Dateispeicher ohne öffentliche Links und werden nur nach Anmeldung geladen.

  • Push-Benachrichtigungen enthalten nur einen kurzen Hinweis (z. B. „Neue Mitteilung: Titel“, „Neue Nachricht“) und einen Link in die App; Gesundheitsdaten werden nicht per Push versandt. Ausnahme: In Gesprächen zwischen Eltern zeigt die Benachrichtigung den Anfang der Nachricht (höchstens 120 Zeichen). Gerätekennungen werden beim Abmelden, bei ungültig gewordenen Kennungen und bei der Kontolöschung entfernt.

5. Eingabekontrolle

  • Datensätze speichern, wer sie wann angelegt und geändert hat.
  • Einwilligungen sind unveränderlich; nur ein Widerruf ist möglich, mit Zeitpunkt und Person.
  • Protokoll über Lebenszyklus des Kundenkontos und Einladungen. Ein vollständiges Zugriffsprotokoll auf Kinderdaten besteht nicht.
  • Löschungen in der Entwicklungsdokumentation werden ohne Inhalte protokolliert (Anzahl, Grund, Eintragskennungen).

6. Auftragskontrolle Unterauftragsverarbeiter nur gemäß Anlage 3 und mit Auftragsverarbeitungs- bedingungen. Datenschutz-Prüfmatrix: jede Produktänderung wird vor Veröffentlichung auf Datenschutzfolgen geprüft.

7. Verfügbarkeitskontrolle

  • Datenbank in einer EU-Multi-Region mit Replikation über mehrere Standorte.
  • Löschschutz der Produktions-Datenbank aktiv.
  • Point-in-Time-Recovery (7 Tage) und tägliche Sicherung mit 14 Tagen Aufbewahrung.
  • Fotos der Entwicklungsdokumentation liegen in einem Single-Region- Dateispeicher in Frankfurt am Main ohne Versionierung; sie sind nicht Teil von Point-in-Time-Recovery und Datenbanksicherung. Gelöschte Fotos sind 7 Tage wiederherstellbar (Soft Delete), danach endgültig gelöscht. Das gilt ebenso für Dateien zu Dokumenten und Belegen (derselbe Speicher).
  • Gelöschte Einträge der Entwicklungsdokumentation liegen 30 Tage in einem nur für die Leitung sichtbaren Papierkorb und können wiederhergestellt werden.
  • Offline-Fähigkeit der Anwesenheitserfassung auf dem Kita-Tablet.

8. Löschung

  • Nach Vertragsende automatisierte Löschung aller Daten des Auftraggebers nach 30 Tagen (§ 11).
  • Die Löschung erfasst alle Datensätze der Einrichtung, die verknüpften Eltern-Bestätigungsseiten, alle Einträge und Fotos der Entwicklungsdokumentation sowie die Zugänge von Beschäftigten ohne weitere Mitgliedschaft; sie ist durch automatisierte Tests abgesichert (zwei Einrichtungen, nur eine wird gelöscht).
  • Entwicklungsdokumentation: Bei Widerruf (oder späterer Ablehnung) der Einwilligung werden Einträge bzw. Fotos sofort gesperrt und nach 7 Tagen automatisch endgültig gelöscht; wird innerhalb dieser Frist erneut eingewilligt, wird die Sperre aufgehoben. Nach dem Austritt des Kindes wird das Portfolio nach 3 Monaten gelöscht. Einträge im Papierkorb werden nach 30 Tagen endgültig gelöscht. Die Löschläufe erfolgen täglich und automatisiert.
  • Dokumente und Belege werden nicht automatisch gelöscht (steuerliche Aufbewahrungspflicht des Auftraggebers); die Leitung löscht sie bei Bedarf selbst, dabei wird auch die Datei gelöscht. Nach Vertragsende werden sie wie alle Daten gelöscht (§ 11).
  • Beim Abmelden wird der lokale Speicher auf dem Gerät gelöscht, damit auf geteilten Kita-Tablets keine Daten der vorherigen Person sichtbar bleiben.
  • Löscht ein Elternteil sein Konto, werden Zugänge, Chat-Profil und Gerätekennungen gelöscht; eigene Chat-Nachrichten bleiben für die anderen Beteiligten ohne Namen („Gelöschtes Konto“) im Verlauf. Der Elterndatensatz der Einrichtung bleibt bestehen und wird von der Einrichtung verwaltet.
  • Entfernte oder ersetzte Fotos abholberechtigter Personen werden automatisch gelöscht.
  • Nachweise zum Sorgerecht (Dateien) werden automatisch gelöscht, sobald das Kind die Einrichtung verlassen hat (Austrittsdatum erreicht; täglicher Löschlauf), spätestens mit dem Vertragsende (§ 11). Die Erklärung selbst (Art des Sorgerechts, Prüfergebnis) bleibt beim Elterndatensatz.
  • Chat-Nachrichten und Meldungen von Chat-Inhalten werden 12 Monate nach dem Senden bzw. der Meldung automatisch gelöscht (täglicher Löschlauf). Gespräche mit der Einrichtung zu einem Kind werden 3 Monate nach dessen Austritt vollständig gelöscht.
  • Krank- und Abwesenheitsmeldungen, Ausflüge und Unfallanzeigen bleiben gespeichert, bis die Einrichtung sie löscht oder der Vertrag endet (§ 11). Fristen für Unfallanzeigen legt die Einrichtung fest.

9. Trennungskontrolle

  • Mandantentrennung: Jeder Datensatz ist einer Einrichtung zugeordnet; die Zugriffsregeln prüfen die Zugehörigkeit bei jedem Zugriff.
  • Getrennte Systeme für Entwicklung, Test und Produktion. In Entwicklung und Test werden keine echten Kinderdaten verwendet.

10. Verschlüsselung Daten werden bei Google standardmäßig verschlüsselt gespeichert (AES-256) und verschlüsselt übertragen.

11. Überprüfung und Weiterentwicklung Regelmäßige Sicherheitsprüfung der verwendeten Software-Bibliotheken; bekannt gewordene Schwachstellen werden bewertet und zeitnah durch Aktualisierung behoben. Halbjährliche Überprüfung dieser Maßnahmen durch Inhaberin und technischen Betreuer.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter Leistung Verarbeitete Daten Ort
Google (Firebase / Google Cloud) Datenbank, Server-Funktionen, Dateispeicher (Cloud Storage), Anmeldung, Auslieferung der Anwendung, automatisches Auslesen von Belegen und Dokumenten (Vertex AI, Gemini) alle Daten aus Anlage 1 EU (eur3, europe-west3; Fotos, Dokumente, Belege und das Auslesen: europe-west3 Frankfurt am Main); Anmeldung und Auslieferung auch weltweit, siehe § 4
Hostinger Versand von E-Mails (Einladungen, Mitteilungen, Terminen, Vertretungsanfragen) E-Mail-Adressen von Eltern und Beschäftigten, Namen, Inhalt der Mitteilungen EU

| Apple (Apple Distribution International Ltd., Irland) | Zustellung von Push-Benachrichtigungen auf iPhone und iPad (Apple Push Notification service), nur wenn die Person Benachrichtigungen zugelassen hat | Gerätekennung, Inhalt der Benachrichtigung (siehe Anlage 2 Nr. 4) | weltweit; Grundlage EU-US Data Privacy Framework und/oder Standardvertragsklauseln |

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind: Stripe (Abrechnung zwischen Auftragnehmer und Auftraggeber, keine Daten aus Anlage 1), DATEV (der Lohn-Export wird im Browser erzeugt und vom Auftraggeber selbst heruntergeladen), GitHub (nur Programmcode).