Vertrag zur Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO · Stand: September 2026
zwischen der Einrichtung, die kitos nutzt („Verantwortlicher“), und ALPTEC, Postfach 20251, Justus-Liebig-Straße 2-4, 41564 Kaarst, E-Mail: [email protected] („Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil der AGB (§ 7) und gilt ab Beginn der Testphase.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Software kitos als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich der Fristen für Export und Löschung nach § 8 der AGB.
2. Art, Zweck, Daten und Betroffene
- Zweck: Kommunikation und Organisation zwischen Einrichtung und Eltern (Nachrichten, Abfragen, Abwesenheiten, Anwesenheiten, Essensanmeldung, Termine, Formulare, Medien).
- Art der Verarbeitung: Speichern, Organisieren, Abfragen, Übermitteln an berechtigte Nutzer, Sichern und Löschen.
- Datenarten: Stammdaten der Kinder (Name, Geburtsdatum, Gruppe, Abholberechtigte, Notfallkontakt, Kinderarzt), freiwillige Gesundheitsangaben (Allergien, medizinische Hinweise), Anwesenheits- und Abwesenheitsdaten, Essensanmeldungen, Kontaktdaten von Eltern und Personal, Kommunikationsinhalte, Antworten auf Abfragen, digitale Unterschriften, Fotos, Videos und Audios.
- Betroffene: Kinder, Eltern und Sorgeberechtigte, Angehörige, Mitarbeitende der Einrichtung.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind durch diesen Vertrag, die AGB und die Nutzung der Funktionen der Software erteilt; weitere Weisungen erfolgen in Textform an [email protected]. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, es sei denn, eine gesetzliche Pflicht verlangt dies.
4. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Betrieb auf Servern in Deutschland; Zugang zum Server nur per Schlüssel-Authentifizierung für berechtigte Administratoren
- Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
- Speicherung von Passwörtern nur als Hash
- Mandantentrennung und Zugriffsbeschränkung auf Datenbankebene (Row Level Security): Eltern sehen nur eigene Kinder und für sie bestimmte Inhalte, Personal nur die eigene Einrichtung
- Private Ablage von Dateien; Zugriff nur über zeitlich begrenzte, signierte Links
- Tägliche Datensicherung mit 14 Tagen Aufbewahrung zur Wiederherstellbarkeit
- Datenbank und interne Dienste sind nicht öffentlich erreichbar; Zugriff nur über ein abgesichertes API-Gateway
- Löschfunktionen für Nutzer und Einrichtungen in der Software
Die Maßnahmen werden dem Stand der Technik angepasst; das Schutzniveau darf dabei nicht unterschritten werden.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Rechenzentrum/Server, Standort Deutschland
- Cloudflare, Inc., San Francisco, USA – Weiterleitung und Schutz des Datenverkehrs (EU-US Data Privacy Framework, Standardvertragsklauseln)
- 650 Industries, Inc. (Expo), USA – Zustellung von Push-Benachrichtigungen (Geräte-Token, Titel und Kurztext)
- Apple Inc. und Google LLC, USA – Zustellung von Push-Benachrichtigungen an iOS- bzw. Android-Geräte
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.
7. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Viele dieser Rechte können Betroffene direkt in der Software wahrnehmen. Wenden sich Betroffene unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen an den Verantwortlichen weiter.
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
9. Löschung und Rückgabe
Nach Ende des Vertrags stellt der Auftragsverarbeiter auf Anforderung innerhalb von 30 Tagen einen Export der Daten bereit und löscht die Daten spätestens 90 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im regulären Zyklus (14 Tage) überschrieben. Daten, die Eltern selbst in ihrem Konto angelegt haben, bleiben bis zur Löschung durch die Eltern bestehen.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.
11. Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags zum Datenschutz vor. Auf Wunsch stellen wir diesen Vertrag auch zur Unterzeichnung als PDF bereit – eine E-Mail an [email protected] genügt.