Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung regelt die Verarbeitung personenbezogener Organisationsdaten in kidda durch DS81 im Auftrag des Kita-Trägers. Die Anlagen 1 bis 4 sind Bestandteil des Vertrags.

Geltungsbereich

Dieser Vertrag gilt für den gesamten Organisationsbetrieb einschließlich einer kostenlosen Demo. Die vereinbarten Sicherungs-, Rückgabe- und Löschverfahren sowie der Schutz optional gespeicherter Nachrichtenentwürfe gelten ab Beginn der Verarbeitung personenbezogener Organisationsdaten.

1 Parteien und Geltung

Auftraggeber und Verantwortlicher ist der im Registrierungs- beziehungsweise Bestellnachweis bezeichnete Kita-Träger mit den dort festgehaltenen Identitäts- und Kontaktangaben.

Auftragnehmer und Auftragsverarbeiter ist:
DS81 – Manufaktur für digitale Systeme
Inhaber: Daniel Schuboth
Frankenhainer Weg 25
34613 Schwalmstadt
Deutschland
Datenschutzkontakt: kontakt@kidda.express

Dieser Vertrag ist Bestandteil des kidda-Nutzungsvertrags. Er gilt ab Beginn der Verarbeitung personenbezogener Organisationsdaten auch während einer kostenlosen Demo oder einer vereinbarten Lese-, Export- oder Wechselphase. Der Auftrag endet erst nach Rückgabe beziehungsweise Löschung der Daten und dem geregelten Auslaufen verbleibender Kopien.

Bei Widersprüchen gehen die Datenschutzpflichten dieses Vertrags anderen vertraglichen Bedingungen vor. Zwingendes Recht und Rechte betroffener Personen bleiben unberührt. Der Auftraggeber teilt DS81 zusätzlich anwendbare besondere gesetzliche oder kirchliche Anforderungen rechtzeitig mit, damit ihre Erfüllung vor einer davon betroffenen Verarbeitung abgestimmt und dokumentiert werden kann.

Die elektronische Annahme in Textform ist zulässig. Der Annahmenachweis ordnet Auftraggeber, handelnde berechtigte Person, Fassung und Zeitpunkt eindeutig zu. Eine elektronische Annahme ersetzt keine erforderliche Vertretungsberechtigung. Frühere Nachweise werden bei einer neuen Fassung nicht nachträglich verändert.

2 Gegenstand Dauer Art und Zweck

DS81 stellt kidda zur Organisation von Trägern und Kindertageseinrichtungen bereit. Im Auftrag werden Daten erfasst, geordnet, gespeichert, verändert, abgefragt, nach den vergebenen Rechten bereitgestellt, im vereinbarten Funktionsumfang übermittelt, exportiert, beschränkt und gelöscht. Dazu gehören notwendige Administration, Fehlerbehebung, Datensicherung und Wiederherstellung.

Die Zwecke sind die Verwaltung von Einrichtungen, Gruppen und berechtigten Personen, Betreuung und Abholung, Anwesenheit und Abwesenheiten, Dienstplanung und Zeitkonten, interne und elternbezogene Kommunikation sowie bereitgestellte Termine, Rückmeldungen, Umfragen und Essensplanung. Der konkrete Umfang ergibt sich aus den gebuchten beziehungsweise freigegebenen Funktionen und den dokumentierten Weisungen des Auftraggebers.

DS81 verwendet Auftragsdaten ausschließlich zur Durchführung dieses Auftrags. Werbung, Verkauf personenbezogener Daten und Training allgemeiner KI-Modelle mit Organisationsinhalten sind nicht Gegenstand des Auftrags.

Die notwendige Fehlerbehebung umfasst eine auf konkrete technische Störungen begrenzte Diagnose der angeforderten Funktionen, einschließlich solcher Fehler, die ausschließlich bei der Ausführung im Browser entstehen. Soweit dabei personenbezogene Organisationsdaten betroffen sind, werden sie weiterhin im Auftrag und nur zur Eingrenzung und Beseitigung der Störung verarbeitet. Die Bezeichnung als technische Diagnose ändert die Verantwortlichkeit für diese Daten nicht. Eine Nutzung für Werbung, Verhaltensprofile oder eine eigene Auswertung fachlicher Organisationsinhalte ist damit nicht vereinbart.

3 Datenarten und betroffene Personen

Betroffen sind Beschäftigte und weitere Teammitglieder, Kinder, Eltern und Sorgeberechtigte, Abholberechtigte und Notfallkontakte, Vertreter und Ansprechpartner des Trägers sowie andere vom Auftraggeber rechtmäßig einbezogene Personen.

Verarbeitet werden die in Anlage 4 bezeichneten Stamm-, Kontakt-, Rollen-, Betreuungs-, Anwesenheits-, Planungs-, Kommunikations- und Nachweisdaten. Namen und Inhalte können auch bei einer Person ohne eigenes Konto personenbezogen sein. Die bloße Bezeichnung eines Datensatzes als Organisations- oder Sachdatum hebt diesen Personenbezug nicht auf.

Die vorgesehenen Krankmeldungen und bestimmte Nachweise können Gesundheitsdaten im Sinne von Art. 9 DSGVO enthalten. Andere besondere Kategorien können sich aus erforderlichen Angaben etwa zur Ernährung oder aus Freitexten ergeben. Sie dürfen nur im vereinbarten Funktionsumfang und in der notwendigen, zugriffsbeschränkten Form verarbeitet werden. Für eine Abwesenheitsmeldung ist regelmäßig keine Diagnose erforderlich. Medizinische Patientenakten, umfassende Befunde, Angaben zu Straftaten nach Art. 10 DSGVO und sachfremde sensible Inhalte sind nicht Gegenstand des Auftrags.

Der Auftraggeber bestimmt und dokumentiert die jeweils erforderlichen Rechtsgrundlagen, auch nach Art. 9 Abs. 2 DSGVO beziehungsweise nach anwendbarem Beschäftigungs- oder kirchlichem Datenschutzrecht. Dieser Vertrag und die Annahme einer Datenschutzerklärung schaffen keine eigene Rechtsgrundlage für beliebige Gesundheitsdaten.

4 Eigene Verantwortlichkeit von DS81

Nicht zu diesem Auftrag gehören Verarbeitungen, für die DS81 selbst Zwecke und wesentliche Mittel festlegt: eigene Vertrags- und Rechnungsverwaltung, Zahlungsabwicklung, Verwaltung des persönlichen Plattformzugangs und notwendige Sicherheits- und Missbrauchsnachweise für den Plattformbetrieb. Sie sind in der Datenschutzerklärung beschrieben.

Fachliche Änderungs-, Zugriffs- und Freigabenachweise im Organisationsbereich bleiben Teil des Auftrags. DS81 darf Daten nicht durch eine bloße Umbenennung in Betriebs- oder Sicherheitsdaten aus dem Auftrag herausnehmen. Eigene Betriebsübersichten dürfen Organisationsinhalte nicht ohne rechtmäßige Grundlage für einen neuen eigenen Zweck verwenden.

5 Verantwortlichkeit des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information betroffener Personen, erforderliche Einwilligungen, die Auswahl seiner Inhalte und eine dem Zweck angemessene Aufbewahrung verantwortlich. Er prüft insbesondere Sorge- und Abholberechtigungen, den Beschäftigtendatenschutz, mögliche Mitbestimmung, den Zugang zu Gesundheitsdaten und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung.

Er benennt weisungsberechtigte Personen und einen erreichbaren Datenschutzkontakt in Textform. Solange kein abweichender Kontakt benannt ist, erfolgen Vertrags- und Datenschutzmitteilungen an die hinterlegten E-Mail-Adressen der vertretungsberechtigten Trägerverantwortlichen. Er hält diese Angaben aktuell und stellt sicher, dass wichtige Mitteilungen rechtzeitig bearbeitet werden.

Der Auftraggeber begrenzt Zugriffe nach Aufgaben und Erforderlichkeit, prüft sie regelmäßig und entzieht sie bei Wegfall der Berechtigung. Er verantwortet seine Endgeräte, selbst angefertigte Exporte, Kalenderabonnements und die Aufstellung freigegebener Anzeigen in Einrichtungen. Dies entbindet DS81 nicht von seinen eigenen gesetzlichen und vertraglichen Pflichten.

6 Weisungen

DS81 verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine abweichende Verarbeitung durch Unionsrecht oder das Recht eines Mitgliedstaats vorgeschrieben ist. In einem solchen Fall informiert DS81 den Auftraggeber vor der Verarbeitung über die Pflicht, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Die vereinbarten Funktionen, die von berechtigten Personen vorgenommenen Bedienhandlungen und die zulässigen Organisationseinstellungen bilden die anfänglichen Weisungen. Ergänzende Weisungen werden in nachweisbarer Form über einen berechtigten Zugang oder den vereinbarten Kontaktkanal erteilt. DS81 prüft die Berechtigung, dokumentiert die Weisung und bestätigt erforderliche Konkretisierungen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Hält DS81 eine Weisung für datenschutzwidrig, informiert DS81 den Auftraggeber unverzüglich und setzt die betroffene Handlung bis zur Klärung aus. Neue Zwecke, die über die vereinbarte Leistung hinausgehen, bedürfen einer entsprechenden rechtmäßigen Vereinbarung.

7 Vertraulichkeit und Sicherheit

DS81 verpflichtet die für den Auftrag eingesetzten Personen zur Vertraulichkeit, soweit sie nicht einer entsprechenden gesetzlichen Pflicht unterliegen, und unterweist sie im erforderlichen Umfang. Zugriff erhalten nur berechtigte Personen, soweit er für ihre Aufgabe notwendig ist. Die Vertraulichkeit gilt über das Ende der Tätigkeit hinaus.

DS81 trifft dem Risiko angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Anlage 1 beschreibt den vereinbarten Mindestumfang unter besonderer Berücksichtigung von Kindern und Gesundheitsdaten. Die Parteien prüfen die Eignung für die jeweilige Nutzung und dokumentieren erforderliche ergänzende Maßnahmen.

Technische Weiterentwicklungen dürfen den vereinbarten Schutz nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber zugänglich gemacht. DS81 überprüft die Wirksamkeit der Maßnahmen regelmäßig und behebt festgestellte Mängel angemessen und zeitnah.

8 Unterauftragsverarbeiter

Der Auftraggeber genehmigt allgemein den Einsatz der in Anlage 2 bezeichneten Unterauftragsverarbeiter für die dort beschriebenen Aufgaben und Daten. Andere Tätigkeiten, die keinen Zugriff auf Auftragsdaten erfordern, begründen allein keinen Unterauftrag für diese Daten. Die tatsächlichen Zugriffsmöglichkeiten sind bei der Einordnung zu berücksichtigen.

DS81 bindet Unterauftragsverarbeiter durch einen Vertrag mit im Wesentlichen denselben Datenschutzpflichten ein, prüft ausreichende Garantien und bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Vor einer Ergänzung oder Ersetzung informiert DS81 den Auftraggeber grundsätzlich mindestens 30 Kalendertage vor dem vorgesehenen Einsatz in Textform über Anbieter, Aufgabe, betroffene Daten, Ort und relevante Schutzmaßnahmen. Der Auftraggeber kann während dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Ein solcher Widerspruch wird geprüft; der betreffende neue Anbieter wird für die Auftragsdaten dieses Auftraggebers erst eingesetzt, wenn eine geeignete Lösung vereinbart oder der begründete Einwand ausgeräumt ist. Muss eine Änderung dringender erfolgen, ist eine vorherige gesonderte Zustimmung erforderlich.

Ist keine geeignete Lösung möglich, kann der Auftraggeber den betroffenen Leistungsteil beziehungsweise bei Unteilbarkeit den Nutzungsvertrag ohne gesonderte Beendigungsgebühr beenden. DS81 ermöglicht die sichere Rückgabe der Daten. Die bloße Veröffentlichung einer neuen Anbieterübersicht ersetzt die erforderliche individuelle Mitteilung nicht.

9 Orte und Drittlandzugriffe

Die vereinbarten Verarbeitungsorte sind in Anlage 2 beschrieben. Die Anwendungsdaten und Sicherungen liegen in Deutschland. E-Mails werden über die vereinbarte Region Frankfurt versendet.

Eine Übermittlung oder ein Zugriff außerhalb des Europäischen Wirtschaftsraums benötigt die dokumentierte Weisung beziehungsweise die in diesem Vertrag konkret vereinbarte Ermächtigung und eine zulässige Grundlage nach Kapitel V DSGVO. Der Auftraggeber ermächtigt DS81 zu den in Anlage 2 beschriebenen Übermittlungen für den vereinbarten E-Mail-Dienst und die ausdrücklich aktivierte mobile Zustellung im jeweils dort bezeichneten Umfang. Das ist keine pauschale Einwilligung zu beliebigen Drittlandverarbeitungen.

DS81 prüft die Anwendbarkeit eines Angemessenheitsbeschlusses beziehungsweise der Standardvertragsklauseln, den Schutz im Empfängerland und erforderliche ergänzende Maßnahmen. Ein europäischer Serverstandort allein schließt Drittlandzugriffe nicht aus. Bei Änderungen oder einem Wegfall notwendiger Garantien wird die betroffene Verarbeitung angepasst oder ausgesetzt; der Auftraggeber wird informiert.

Behördliche Zugriffsersuchen prüft DS81 auf ihre rechtliche Verbindlichkeit, begrenzt eine zulässige Offenlegung auf das notwendige Maß und informiert den Auftraggeber, soweit zulässig. Nicht mit dem anwendbaren Recht vereinbare Ersuchen werden nicht allein aufgrund ihres Eingangs befolgt.

10 Unterstützung und Betroffenenrechte

DS81 unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei den Rechten betroffener Personen nach Kapitel III DSGVO. Dazu gehören erforderliche Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Die angebotenen Funktionen und Exporte unterstützen dies; sie begrenzen keine weitergehenden gesetzlichen Ansprüche.

Geht eine Anfrage zu Auftragsdaten unmittelbar bei DS81 ein, wird sie nach erforderlicher Zuordnung unverzüglich an den Auftraggeber weitergegeben. DS81 entscheidet nicht eigenständig über die fachliche Berechtigung oder Offenlegung, soweit keine gesetzliche Pflicht besteht. Anfragen zu eigener Verantwortlichkeit bearbeitet DS81 selbst.

DS81 unterstützt bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, einer Datenschutz-Folgenabschätzung und erforderlichen vorherigen Konsultationen. DS81 stellt die hierfür verfügbaren und erforderlichen Angaben zur eigenen Verarbeitung bereit.

11 Datenschutzverletzungen

DS81 meldet dem Auftraggeber eine bekannt gewordene Verletzung des Schutzes seiner Auftragsdaten unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung darf nicht bis zum Abschluss einer Untersuchung zurückgehalten werden. Noch fehlende Angaben werden ohne unnötige Verzögerung nachgereicht.

Die Meldung enthält die verfügbaren Informationen über Art und Umfang des Vorfalls, betroffene Daten- und Personengruppen, mögliche Folgen, eine erreichbare Kontaktstelle und ergriffene beziehungsweise vorgesehene Gegenmaßnahmen. DS81 begrenzt Folgen, sichert erforderliche Nachweise, dokumentiert den Vorfall und unterstützt die Aufklärung und Abhilfe.

Der Auftraggeber entscheidet über Meldungen an die zuständige Aufsichtsbehörde und betroffene Personen, soweit nicht DS81 eine eigene gesetzliche Pflicht trifft. Die gegenüber dem Auftraggeber geltende unverzügliche Meldung ist von dessen möglicher 72-Stunden-Frist für eine Behördenmeldung zu unterscheiden.

12 Informationen und Kontrollen

DS81 stellt die zum Nachweis der Einhaltung dieses Vertrags und von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten unabhängigen Prüfer. Geeignete vorhandene Nachweise können die Prüfung erleichtern, ersetzen ein erforderliches Kontrollrecht aber nicht.

Die Parteien stimmen Umfang, Termin und Ablauf ab. Sicherheit, Vertraulichkeit anderer Auftraggeber und ein geordneter Betrieb werden gewahrt. Bei einem konkreten Verdacht, einem Vorfall oder einer behördlichen Anforderung bleibt eine angemessen kurzfristige Prüfung möglich. Ein pauschales jährliches Höchstkontingent oder eine Gebühr darf ein notwendiges gesetzliches Kontrollrecht nicht verhindern.

DS81 informiert den Auftraggeber unverzüglich, wenn eine Prüfungsweisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und wirkt an einer rechtmäßigen Durchführung mit. Zertifikate des Infrastrukturbetreibers beziehen sich auf dessen Geltungsbereich und werden nicht als eigene Zertifizierung von kidda ausgegeben.

13 Rückgabe und Löschung

Nach Abschluss der Verarbeitungsleistung wählt der Auftraggeber zwischen Rückgabe und Löschung. Der Standardablauf ermöglicht nach dem Nutzungsende 30 Tage zum Lesen und Exportieren. Bei einem Anbieterwechsel gelten die vereinbarten Übergangsfristen und mindestens 30 Tage Datenabruf nach Abschluss der Übergangsphase. Eine rechtmäßige abweichende Weisung, einschließlich einer früheren Löschung, wird berücksichtigt.

Die Rückgabe erfolgt regulär über den vollständigen Selbstbedienungs-Export im Datenexportbereich. Er umfasst ohne bewusste Einschränkung den gesamten noch gespeicherten Bestand der exportierbaren Auftragsdaten innerhalb der aktuellen Fach- und Exportrechte, einschließlich erforderlicher Originaldateien und Zuordnungen. Das ZIP-Paket enthält strukturierte JSON- und CSV-Dateien sowie Beschreibungen von Umfang, Feldern, Beziehungen und Dateien. Eine Auswahl bestimmter Einrichtungen, Datenbereiche oder Zeiträume erzeugt ein Teilpaket. Bereits rechtmäßig gelöschte Bestände werden nicht rekonstruiert.

Ein Exportrecht ersetzt keine fachliche Berechtigung. Insbesondere Gesundheitsdaten, Personaldetails und interne Planungsinhalte bleiben auf den erlaubten Personenkreis beschränkt. Für die vollständige rechtmäßige Rückgabe können mehrere berechtigte Rollen beziehungsweise Pakete erforderlich sein. Direktgespräche sind aus dem Organisationspaket ausgenommen; der berechtigte persönliche Nachrichtenexport und gesondert geprüfte rechtmäßige Herausgaben bleiben möglich. DS81 prüft die Rechte beim Erstellen und erneut beim Download; ein bereits erzeugtes Paket bleibt nach einem maßgeblichen Rechteentzug gesperrt. Die Ausgabe darf keine Daten anderer Auftraggeber oder unberechtigt zugängliche Daten anderer Personen enthalten.

Fehlende oder fehlerhafte Quelldateien und festgestellte Unvollständigkeit werden im Paket ausgewiesen. Erforderliche Ergänzungen bei solchen Fehlern und gesondert zu prüfende rechtmäßige Herausgaben bearbeitet DS81 ergänzend über den Support. Vor der Herausgabe wird die Berechtigung geprüft; die Übermittlung erfolgt über einen geschützten Download oder einen anderen abgestimmten sicheren Weg. Ein PDF allein begrenzt den Rückgabeanspruch nicht. Strukturen, Formate, Schnittstellen und bekannte Einschränkungen werden im Exportbereich online beschrieben. Die Gültigkeit einzelner Pakete und erneute Anforderungen richten sich nach Anlage 3.

Nach Rückgabe beziehungsweise Ablauf der vereinbarten Abrufphase löscht DS81 die operativen Auftragsdaten und vorhandene Kopien nach Anlage 3, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Bei einer solchen Pflicht werden Umfang, Grundlage und weitere Aufbewahrung dem Auftraggeber mitgeteilt und die Daten auf diesen Zweck beschränkt. Eigene Rechnungs- und Vertragsnachweise sind getrennt zu behandeln.

Eine Sicherung darf bereits gelöschte Daten bis zu ihrem verbindlichen Ablauf enthalten. Sie ist abgeschottet, wird nicht gewöhnlich genutzt und unterliegt nach einer Wiederherstellung erneut den wirksamen Löschungen und Berechtigungsentziehungen. DS81 bestätigt die Rückgabe beziehungsweise Löschung und das geregelte Auslaufen von Kopien auf Anfrage in nachvollziehbarer Form.

Anlage 1 Technische und organisatorische Maßnahmen

Rechenzentrum und physischer Schutz

Anwendungsserver und zweiter Mail- und Sicherungsserver werden in Hetzner-Rechenzentren in Falkenstein, Deutschland, betrieben. Physischer Zutritt, Gebäudesicherung, Energieversorgung und Rechenzentrumsbetrieb liegen bei Hetzner. Der Infrastrukturbetreiber unterhält ein nach ISO/IEC 27001 zertifiziertes Informationssicherheitsmanagement im jeweiligen Zertifikatsumfang. Beide vereinbarten Server befinden sich in derselben Region; ein zweiter Standort in einer anderen Region ist nicht vereinbart.

Administrative Zugänge

Serveradministration ist auf berechtigte Personen beschränkt. SSH-Anmeldungen erfolgen ausschließlich mit Schlüsseln; auch ein administrativer Root-Zugang setzt einen Schlüssel voraus. Das Hosting-Verwaltungskonto ist durch eine Zwei-Faktor-Anmeldung geschützt. Authentifizierungsprotokolle dokumentieren administrative Anmeldungen. Eine vollständige Aufzeichnung aller einzelnen Administrationsbefehle wird nicht zugesagt.

Netz und Betrieb

Host-Firewalls begrenzen Zugriffe entsprechend den erforderlichen Diensten. Datenbank und interner Echtzeitdienst der Anwendung sind nicht unmittelbar öffentlich erreichbar. kidda nutzt eigene Systemkonten, Konfigurationen, Anwendungsdienste und Datenbankberechtigungen, getrennt von den weiteren Anwendungen desselben Betreibers. Die gemeinsam genutzte Infrastruktur wird bei Wartung und Ressourcenplanung berücksichtigt.

Sicherheitsupdates werden regelmäßig durch die berechtigte Administration geprüft und eingespielt, bei kritischen Sicherheitslücken zeitnah. Anwendungsänderungen werden vor einem Release mit geeigneten Fach- und Sicherheitsprüfungen kontrolliert. Erforderliche Wartung und Wiederanlauf werden nachvollziehbar dokumentiert.

Übertragung Speicherung und Geheimnisse

Webzugriffe erfolgen über HTTPS mit TLS 1.2 oder TLS 1.3. Passwörter und Wiederherstellungscodes werden als geschützte Prüfwerte gespeichert. Authenticator-Geheimnisse, besonders sensible Freitexte und dafür vorgesehene private Kontaktangaben werden mit den jeweiligen Anwendungsmechanismen geschützt. Betriebsschlüssel und private Konfigurationen sind durch Dateirechte auf berechtigte Dienste und Administratoren begrenzt.

Sicherungsarchive werden vor der Übertragung mit AES-256 verschlüsselt. Betriebsdaten liegen auf zugriffsgeschützten Serverdateisystemen. Eine vollständige Verschlüsselung der laufenden Serverdatenträger und Ende-zu-Ende-Verschlüsselung von Nachrichten sind nicht Bestandteil dieser Maßnahmen. Die Parteien berücksichtigen dies bei der Bewertung besonders sensibler Inhalte.

Trennung von Trägern und Berechtigungen

kidda verwendet eine gemeinsame Anwendungsdatenbank mit logisch getrennten Organisationsdaten. Eine eigenständige Datenbank je Träger ist nicht vereinbart. Der Server prüft den aktiven Trägerkontext, Mitgliedschaften, Einrichtungszuordnungen und die benötigten Rechte. Unberechtigte Zugriffe zwischen Trägern und Einrichtungen werden serverseitig abgewiesen. Betreiberzugriffe mit erweitertem Umfang sind gesondert berechtigt und werden protokolliert.

Persönliche Konten und Rollen begrenzen Funktionen und Datenzugang. Team- und Elternkreise sind getrennt. Eltern erhalten nur die berechtigten Angaben zu ihren Kindern und ausdrücklich freigegebene Kontakte. Private Personalkontakte, Abwesenheiten und Personalangaben sind nicht allgemein für Eltern sichtbar. Betriebspersonen benötigen eine Zwei-Faktor-Anmeldung; Kundenkonten können sie aktivieren. Sicherheitskritische Änderungen erfordern eine erneute Bestätigung.

Gesundheitsdaten und Übermittlung

Gesundheitsbezogene Kategorien, vertrauliche Hinweise und Nachweisdateien werden auf die vorgesehenen Berechtigungen begrenzt. Gesundheitsanhänge erhalten gesonderte kurze Löschfristen. Berechtigungen für Exporte mit Gesundheitsdaten werden gesondert geprüft. Benachrichtigungen per E-Mail enthalten keine vollständigen Chattexte oder medizinischen Nachweise; der eigentliche Vorgang bleibt im geschützten Bereich.

Die Parteien beachten, dass auch die bloße Kennzeichnung als krank einen Gesundheitsbezug haben kann. Nicht erforderliche Diagnosen und Befunde werden nicht angefordert. Fehlerhafte Freigaben oder Inhalte werden nach Bekanntwerden korrigiert beziehungsweise auf Weisung entfernt.

Dateien und lokale Kopien

Private Dateien werden außerhalb einer frei zugänglichen öffentlichen Ablage gespeichert. Uploads werden auf zulässige Dateitypen, Größe und Zugriff geprüft; eine umfassende Virenprüfung jeder Datei wird nicht ohne tatsächlich eingesetzten Scanner zugesagt. Downloadberechtigungen werden serverseitig geprüft; befristete Links beschränken die Dauer ihres Abrufs.

Für Exportpakete werden die aktuellen Fach- und Exportrechte beim Erstellen und erneut bei jedem Download geprüft. Ein späterer maßgeblicher Rechteentzug sperrt den erneuten Abruf. Bereits heruntergeladene Kopien bleiben im Verfügungsbereich ihres Empfängers; dieser muss ihre weitere Verwendung und Löschung rechtmäßig sicherstellen.

Exporte, Anzeigen und Kalenderabonnements werden nur an berechtigte Empfänger bereitgestellt. Lokal gespeicherte Entwürfe dürfen nur im hierfür vereinbarten und rechtmäßig aktivierten Umfang entstehen. Der Auftraggeber unterweist seine Nutzer zum Schutz gemeinsam genutzter Geräte und heruntergeladener Dateien.

Nachvollziehbarkeit und Löschung

Fachlich erforderliche Änderungen, Freigaben, Rollenwechsel und relevante Zugriffe werden innerhalb des zugehörigen Organisationsbereichs nachvollziehbar gehalten. Protokolle werden auf erforderliche Angaben und ihre jeweiligen Fristen begrenzt. Gesundheitsinhalte werden nicht pauschal in allgemeine technische Logs übernommen.

Automatische Bereinigungen arbeiten nach den vereinbarten Fristen und Organisationseinstellungen. Ein gezielter rechtmäßiger Aufbewahrungsvorbehalt wird dokumentiert, zugriffsbeschränkt und regelmäßig überprüft. Nach Freigabe werden fällige Löschungen nachgeholt. Anwendungsdaten, eigene gesetzliche Unterlagen und Sicherungskopien werden nach ihren jeweiligen Zwecken behandelt.

Begrenzte technische Störungsdiagnose

Die automatische Diagnose erfasst bei konkreten Fehlern nur den erforderlichen technischen Zusammenhang: gekürzte Fehlermeldung und Fehlerart, begrenzte Ablaufspur beziehungsweise relative Fehlerstelle, betroffene Funktion, Seitenpfad ohne Abfrageparameter oder Fragment, Zeitpunkt, Anwendungsversion sowie gegebenenfalls technische Anfragereferenz, Auftrag oder begrenzte Betriebskennzahlen. Request- und Job-Inhalte, vollständige SQL-Abfragen und gebundene Werte werden nicht in diesen Diagnosebestand übernommen. Formularfelder, Nachrichtenverläufe und Seiteninhalte werden dafür nicht ausgelesen; Bildschirmaufnahmen, Sitzungswiedergaben und Klickverläufe sind nicht Bestandteil der Diagnose.

Erkennbare Zugangsdaten, Tokens, E-Mail-Adressen und URL-Abfrageparameter werden nach technischen Regeln entfernt oder maskiert. Da Fehlermeldungen unbeabsichtigt personenbezogene Angaben enthalten können, wird der verbleibende Fehlerkontext weiterhin als schutzbedürftig behandelt. Fehlerdetails und der auf zehn Aufnahmen begrenzte Verlauf werden verschlüsselt gespeichert. Zugriff erhalten nur dafür berechtigte Betreiberpersonen zur Störungsbearbeitung. Echtzeitmeldungen und E-Mail-Alarme enthalten nur begrenzte Vorfallangaben und einen Verweis auf die geschützte Bearbeitung, keine vollständigen Fehlertexte oder Ablaufspuren. Wiederholungen werden begrenzt und zu Vorfällen zusammengefasst. Die Diagnose legt keine neue dauerhafte Gerätekennung an und dient nicht der Leistungs- oder Verhaltenskontrolle betroffener Personen.

Sicherungen und Wiederherstellung

Verschlüsselte Sicherungen werden täglich erstellt. Lokale Kopien werden höchstens 14 Tage, Kopien auf dem zweiten Server höchstens 35 Tage gehalten. Die Bereinigung läuft unabhängig davon, ob eine neue Sicherung erfolgreich ist. Schlüssel werden getrennt vom Sicherungsarchiv und mit beschränktem Zugriff aufbewahrt.

Wiederherstellungstests einschließlich Datenbank, Dateien und Wiederanlauf der Anwendung erfolgen mindestens halbjährlich und zusätzlich nach wesentlichen Änderungen des Sicherungs- oder Wiederherstellungsverfahrens. Ergebnis, Integrität, Dauer und erforderliche Korrekturen werden dokumentiert. Es wird keine bestimmte Wiederanlaufzeit oder verlustfreie Wiederherstellung jedes unmittelbar vor einem Ausfall vorgenommenen Schreibvorgangs zugesagt.

Entwicklung und Wirksamkeitskontrolle

Entwicklungs- und Prüfumgebungen verwenden getrennte Datenbanken und Konfigurationen. Automatisierte Fachprüfungen verwenden geeignete synthetische Daten. Echte Kunden-, Kinder- oder Gesundheitsdaten werden nicht ohne rechtmäßige Grundlage und erforderliche gesonderte Schutzmaßnahmen in Entwicklungsumgebungen übernommen.

Wiederherstellungstests laufen in isolierten Kopien mit unterbundenem regulärem E-Mail-Versand. Testkopien werden nach Abschluss entfernt. Die Berechtigungs-, Lösch-, Vorfall- und Wiederherstellungsverfahren werden regelmäßig auf Wirksamkeit geprüft; Ergebnisse und Korrekturen sind nachvollziehbar.

Anlage 2 Unterauftragsverarbeiter und Orte

Hetzner Online GmbH

Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Aufgabe: Hosting der selbst administrierten Anwendung, Datenbank und Dateien; Hosting des Mail-Empfangs und des zweiten Sicherungsservers. Hetzner stellt die Infrastruktur bereit. Verwaltung und Betrieb der Anwendung liegen bei DS81.

Betroffene Daten: die im Auftrag gespeicherten Organisationsdaten und Dateien einschließlich zulässiger Kinder-, Beschäftigten- und Gesundheitsdaten; erforderliche technische Verbindungsdaten. Sicherungsarchive werden bereits vor der Übertragung verschlüsselt.

Ort: vereinbarte Server in Falkenstein, Deutschland. Der zweite Server steht ebenfalls dort und ist kein zusätzlicher Anwendungsstandort in einer anderen Region.

Vertragsgrundlage: Auftragsverarbeitungsvertrag mit Hetzner vom 13. Oktober 2026, Version 1.2, einschließlich der für den tatsächlichen kidda-Umfang geltenden Anlagen und Maßnahmen. Informationen zu den Infrastrukturmaßnahmen sind in den Hetzner TOMs zugänglich. Erforderliche Nachweise zum vereinbarten Unterauftrag stellt DS81 auf Anfrage bereit.

Amazon Web Services EMEA SARL

Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Aufgabe: Versand erforderlicher Funktions- und Vertrags-E-Mails mit Amazon SES.

Betroffene Daten: Empfängeradresse, Absender, Betreff, vereinbarter Nachrichtentext und erforderliche Zustellungsangaben; gegebenenfalls ausdrücklich bereitzustellende Vertrags- und Rechnungsunterlagen. Vollständige Chattexte, Diagnosen und Gesundheitsnachweise werden nicht als gewöhnliche Funktionsbenachrichtigung versendet.

Ort: Versandregion Frankfurt, Deutschland, eu-central-1. Notwendige Zugriffe durch Amazon Web Services, Inc. in den USA können trotz dieser Region nicht allein durch den Standort ausgeschlossen werden.

Vertragsgrundlage und Drittlandgarantien: AWS Data Processing Addendum mit EU-Standardvertragsklauseln nach Beschluss (EU) 2021/914 und erforderlichen ergänzenden Garantien. Soweit der Zertifizierungsumfang Empfänger und Datenart erfasst, kann der Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Beschluss (EU) 2023/1795 Anwendung finden. Die Zertifizierung von Amazon.com, Inc. umfasst Amazon Web Services, Inc.; sie gilt nicht pauschal als Absicherung aller Beschäftigtendaten. DS81 prüft den jeweiligen Umfang vor der Übermittlung. Vertragsgrundlagen und Garantien sind über den AWS Datenschutzbereich und auf Anfrage bei DS81 zugänglich.

Google LLC – Firebase Cloud Messaging

Anschrift: 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Aufgabe: Zustellung freigegebener mobiler Mitteilungen und stiller Aktualisierungssignale an Android-Geräte.

Übermittelte Auftragsdaten: Zustellkennung sowie die zur Zustellung erforderlichen allgemeinen Titel beziehungsweise Alarmarten, Organisationsname, Verweiskennungen und Zähler. Vollständige Chattexte, Bilder, Dateien und Sprachaufnahmen werden nicht über FCM versendet. Die App lädt berechtigte Inhalte gesondert von den kidda-Servern.

Vertragsgrundlage und Orte: Die Firebase-Nutzungsbedingungen beziehen für FCM die Google-API-Bedingungen und die Firebase-Datenverarbeitungsbedingungen ein. Für personenbezogene Kundendaten ist Google Unterauftragsverarbeiter. Kapitel 10 regelt internationale Übermittlungen einschließlich der jeweils anwendbaren Standardvertragsklauseln und Transfermechanismen. Eine ausschließliche Verarbeitung in Deutschland oder der EU ist für diesen Dienst nicht vereinbart. Die dort geregelten Unterauftragsverarbeiter, Informationen, Änderungsmitteilungen und Betroffenenrechte werden im Rahmen dieses Auftrags berücksichtigt.

Abgrenzung: Google beschreibt daneben eigene Firebase-Dienstdaten, einschließlich technischer Dienstnutzung und IP-Adressen, für eigene Betriebs-, Sicherheits- und Verbesserungszwecke. Diese eigene Verarbeitung wird nicht pauschal als weisungsgebundener Unterauftrag behandelt. Die optionale Zusatznutzung für Nicht-Firebase-Produkte ist ausgeschaltet. Maßgeblich sind die ergänzenden Firebase-Datenschutzinformationen und Abschnitt 7 der kidda-Datenschutzerklärung.

Apple – technischer Empfänger mobiler Mitteilungen

Dienstanbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA; Apple Push Notification service für iPhone und iPad.

Umfang: Auf Anforderung der freigegebenen mobilen Mitteilungsfunktion übermittelt DS81 die Zustellkennung, allgemeine Titel beziehungsweise Alarmarten, Organisationsname, Verweiskennungen und Zähler an den Betriebssystemdienst. Vollständige Chattexte, Bilder, Dateien und Sprachaufnahmen sind nicht Bestandteil dieses Push-Inhalts. Eine ausschließliche Verarbeitung in Deutschland oder der EU wird nicht zugesagt.

Vertrags- und Rollenabgrenzung: Für APNs gelten die Apple-Entwicklerbedingungen, Anlage 1. Apple beschreibt dort eigene technische und diagnostische Verarbeitungszwecke. Apple wird für diese Zwecke nicht als ausschließlich weisungsgebundener Unterauftragsverarbeiter von DS81 dargestellt. Die Apple-Datenschutzerklärung benennt für Personen im Europäischen Wirtschaftsraum Apple Distribution International Limited in Irland als Verantwortlichen und beschreibt Verarbeitung durch Apple Inc. in den USA sowie Standardvertragsklauseln für ihre internationalen Übermittlungen. Die Ermächtigung in Abschnitt 9 betrifft nur die beschriebene, vom Träger freigegebene Zustellung und keine beliebige Weitergabe von Organisationsinhalten.

Zustellgültigkeit beider Dienste: Der Server fordert eine Gültigkeit von 60 Sekunden für Notfallalarme, einer Stunde für stille Funktionsfreigaben und einem Tag für gewöhnliche Mitteilungen an, jeweils ab Übergabe. Diese Zustellgültigkeit ist von der fachlichen Aufbewahrung und der Speicherung technischer Anbieterangaben zu unterscheiden.

Abgrenzung weiterer Dienste

Die eigenen Dienste und das eigene Abrechnungssystem von DS81 sind keine zusätzlichen fremden Unterauftragsverarbeiter. Banken, Steuerberater und die für eigene Kontaktanfragen eingesetzte Telefonie sind nach ihrer jeweiligen Rolle und dem betroffenen Zweck einzuordnen; sie erhalten nicht allein dadurch Zugriff auf fachliche Auftragsdaten.

Andere als die hier bezeichneten mobilen Zustelldienste sind nicht freigegeben. Bei Änderungen werden das Verfahren aus Abschnitt 8, die Rollenabgrenzung und die Voraussetzungen für internationale Übermittlungen erneut berücksichtigt. Informationen und Kopien der anwendbaren Garantien stellt DS81 auf Anfrage bereit.

Anlage 3 Rückgabe Fristen und Auslaufen von Kopien

Operative Daten

Der Auftraggeber legt die rechtmäßigen fachlichen Fristen fest. Die Standardwerte der Anwendung sind anfängliche technische Einstellungen, keine selbstständigen gesetzlichen Aufbewahrungspflichten. Sie sind vom Auftraggeber auf Erforderlichkeit zu prüfen und im verfügbaren Rahmen anzupassen; eine darüber hinaus notwendige rechtmäßige Löschweisung wird gesondert bearbeitet.

• Kinder, Elternzuordnungen und Abholung: regulär sechs Monate nach dem Austritt des Kindes, einstellbar zwischen einem und 24 Monaten. Eine nicht mehr anderweitig benötigte Elternzuordnung wird spätestens im Zuge der zugehörigen Löschung entfernt oder pseudonymisiert.
• Krankheitsbezogene Kinderabwesenheiten: spätestens zwölf Monate nach Ende der Abwesenheit beziehungsweise mit einer früheren Löschung des Kindes.
• Anwesenheit: regulär 24 Monate; erforderliche in Zeitnachweise übernommene Daten nach deren gesondertem Zweck.
• Dienstplan, Zeitkonten und Beschäftigungsnachweise: regulär sechs Jahre, gegebenenfalls zehn Jahre nach der gewählten und rechtmäßig erforderlichen fachlichen Frist. Lohnexporte haben eine gesonderte zehnjährige technische Frist. Nicht erforderliche Gesundheitsinhalte dürfen nicht pauschal ebenso lange gespeichert werden.
• Gesundheitsanhänge zu Beschäftigtenmeldungen: 30 Tage nach Abschluss der Bearbeitung, ohne Bearbeitung regulär 30 Tage nach Ende der Abwesenheit; Rücknahme oder Storno veranlassen die unmittelbare Entfernung. Freitexte der Meldung und Bearbeitung: regulär zwölf Monate nach Ende der Abwesenheit.
• Nachrichten: regulär 365 Tage; Aushänge regulär 730 Tage. Abweichende Gesprächsfristen und bewusst angeheftete Inhalte sind vom Auftraggeber gesondert auf weitere Erforderlichkeit zu prüfen.
• Fachliche Änderungs-, Berechtigungs- und Gesundheitszugriffsbelege: grundsätzlich drei Jahre mit auf den Nachweis begrenztem Inhalt. Interne Alarmnachweise: regulär fünf Jahre als technische Einstellung, vorbehaltlich der erforderlichen Prüfung durch den Auftraggeber.
• Bereitgestellte Exportpakete: jeweils sieben Tage ab Fertigstellung. Während der vertraglichen Lese- und Abrufphase können berechtigte Personen erneut Pakete anfordern, auch nach Ablauf eines früheren Pakets. Regulär sind fünf Anforderungen je Träger und Tag möglich; erforderliche weitergehende Unterstützung und Ergänzungen werden über den geschützten Supportweg bearbeitet. Die Anforderungsgrenze und Paketlaufzeit begrenzen den notwendigen Rückgabeanspruch nicht.

Technischer Fehlerkontext

Fehlerdetails und jede einzelne Aufnahme des Diagnoseverlaufs werden nach 55 Tagen für die gewöhnliche Anwendung ausgesondert und im täglichen Bereinigungslauf entfernt, spätestens innerhalb von acht Wochen ab der jeweiligen Erfassung. Dies gilt auch bei noch offenen oder erneut auftretenden Vorfällen; ein neues Auftreten verlängert die Frist älterer Details nicht. Die zusammengefassten Vorfallangaben ohne diese Fehlerdetails, insbesondere Code, Status, Häufigkeit, Zeitpunkte und technische Referenz, werden zur Nachverfolgung der Bearbeitung grundsätzlich bis zwölf Monate nach Behebung gehalten. Eine längere zweckgebundene Aufbewahrung einzelner erforderlicher Nachweise bedarf eines gesonderten rechtmäßigen Grundes und ersetzt keine pauschale Verlängerung der Diagnosefrist. Für Sicherungskopien gelten ausschließlich die nachfolgenden gesonderten Auslauffristen und Wiederherstellungsregeln.

Auftragsende

Ohne besondere Wechselphase stehen nach Nutzungsende grundsätzlich 30 Tage zum Lesen und Exportieren zur Verfügung. Bei einem Anbieterwechsel werden die vereinbarten Übergangs- und anschließenden Abrufphasen berücksichtigt. Eine vorgesehene Organisationslöschung darf einen rechtzeitig vereinbarten Wechsel nicht unterbrechen.

Nach Rückgabe beziehungsweise Ende der Abrufphase werden die operativen Daten und Dateien gelöscht. Benötigt der Auftraggeber einzelne Unterlagen aufgrund einer eigenen gesetzlichen Pflicht länger, muss er deren rechtmäßige weitere Aufbewahrung sicherstellen oder rechtzeitig eine geeignete gesonderte Vereinbarung treffen. Eine eigene Pflicht des Auftraggebers ist keine pauschale Erlaubnis für DS81, alle Organisationsdaten unbefristet vorzuhalten.

Sicherungskopien

Täglich erzeugte verschlüsselte Sicherungskopien laufen auf dem Anwendungsserver spätestens 14 Tage, auf dem zweiten Server spätestens 35 Tage nach ihrer Erstellung aus. Diese Höchstfristen gelten auch für zusätzliche Sicherungen vor Wartung oder Änderungen. Die altersabhängige Bereinigung wird unabhängig vom Erfolg neuer Sicherungen durchgeführt.

Eine vor der operativen Löschung erzeugte Kopie kann gelöschte Daten bis zum Ende dieser jeweiligen Frist enthalten. Sie wird nur abgeschottet für zulässige Wiederherstellungszwecke gehalten. Bei einer Wiederherstellung werden wirksame Löschungen und entzogene Berechtigungen vor einer erneuten gewöhnlichen Nutzung erneut angewendet. Isolierte Testkopien werden nach Abschluss des Tests entfernt.

DS81 dokumentiert die erforderlichen Nachweise zum Sicherungs- und Wiederherstellungsverfahren und bestätigt auf Anfrage den erfolgten Ablauf. Eine unbegrenzte Aufbewahrung einer „letzten guten Sicherung“ ist nicht vereinbart.

Anlage 4 Datenkategorien und besondere Schutzbedürfnisse

Stammdaten Kontakte und Beziehungen

Namen, E-Mail-Adressen und erforderliche weitere Kontaktangaben; freiwillig eingetragenes Geburtsdatum; Träger, Einrichtung und Gruppe; Aufnahme, Austritt und Beschäftigungszuordnung; Eltern-Kind-Bezug, Sorge- und Abholberechtigung; erforderliche Notfallkontakte. Kinder benötigen kein eigenes Konto.

Betrieb Planung und Betreuung

Gespeicherte Gruppenbetreuungszeiten, Buchungsstunden und Belegungszahlen, Anwesenheit und Abholung, Schließtage, Einsatzrollen, Arbeitsumfang, Qualifikations- und Nachweisangaben, Dienst- und Vertretungspläne, Urlaub und weitere Abwesenheiten, Arbeitszeiten, Zeitkonten, Freigaben und erforderliche Lohnexportdaten.

Kommunikation und Dateien

Nachrichten und Aushänge mit Verfasser, Zeitpunkten, Empfängerkreis, erforderlichen Lesebestätigungen, Reaktionen und Anhängen; Termine, Kalenderfreigaben, Umfragen und Rückmeldungen; erforderliche Angaben der Essensplanung; vom Auftraggeber rechtmäßig verwendete Bilder und Dateien.

Gesundheit und weitere besondere Kategorien

Krankheitsbezogene Abwesenheitskategorie, Zeitraum und erforderliche begrenzte Angaben zur Bearbeitung; zulässige Nachweise mit gesonderter Zugriffsbeschränkung; gegebenenfalls erforderliche Hinweise, die einen Gesundheits- oder Religionsbezug erkennen lassen. DS81 verarbeitet diese Kategorien ausschließlich im vereinbarten Auftrag. Der Auftraggeber darf keine über den Betreuungs- oder Beschäftigungszweck hinausgehenden Diagnosen, Befunde oder sonstigen sensiblen Informationen eingeben.

Zugänge und fachliche Nachweise

Organisationsbezogene Nutzerkennungen, Rollen und Rechte; Einladungen, Freigaben und erforderliche Änderungs- und Zugriffsbelege. Nur notwendige Personenbezüge werden verwendet. Die Datenarten werden getrennt nach Zweck, Berechtigung und Frist behandelt; ein gemeinsamer Trägerbezug erlaubt keine allgemeine Offenlegung aller Daten an alle Mitglieder.

Stand: 21. Oktober 2026