gemäß Art. 28 DSGVO - Version 3.9 - Stand: August 2026
zwischen
[Kunde / Träger / Einrichtung] („Verantwortlicher")
und
997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13, 67677 Enkenbach-Alsenborn
(im Folgenden: „Auftragsverarbeiter")
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Kita-Management-Software app.bienenstock-kita.de.
(2) Die Verarbeitung beginnt mit Abschluss des Software-Nutzungsvertrags und gilt für die Dauer der Nutzung der Software durch den Verantwortlichen. Der Software-Nutzungsvertrag kommt mit der Registrierung durch ausdrückliche Anerkennung der rechtlichen Dokumente (AGB, dieser AVV, Datenschutzhinweise) per Checkbox zustande; die Annahme wird elektronisch mit Zeitstempel protokolliert und dem Verantwortlichen per E-Mail bestätigt (Einzelheiten in §12). Er umfasst ausdrücklich auch kostenlose Testzeiträume.
Die Verarbeitung umfasst folgende konkrete Vorgänge:
Zwecke der Verarbeitung:
Verarbeitete Datenarten, differenziert nach Betroffenengruppen:
Grundsatz der Datenminimierung - Pflicht- und optionale Felder (Art. 5 Abs. 1 lit. c DSGVO)
Die Software ist bereits mit einem minimalen Pflichtdatensatz betriebsfähig. Die überwiegende Zahl der nachfolgend genannten Felder ist optional und wird nur verarbeitet, wenn der Verantwortliche sie aktiv erfasst oder die zugehörige Funktion aktiviert.
Kinder:
Kinder - Statistik-/Landesreporting-Daten (optional):
Werden nur erhoben, soweit für das gesetzliche Landesreporting bzw. die amtliche Kinder- und Jugendhilfestatistik (§ 47 SGB VIII) einzelner Bundesländer erforderlich:
Kinder - besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):
Optional; werden nur erhoben, soweit für das gesetzliche Landesreporting bzw. die amtliche Statistik einzelner Bundesländer erforderlich. Es handelt sich um besonders geschützte Daten, die getrennt und mit erhöhtem Schutzniveau verarbeitet werden:
Die Verarbeitung dieser Daten erfolgt ausschließlich im Auftrag des Verantwortlichen. Die Sicherstellung einer Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO (insbesondere lit. g i. V. m. dem einschlägigen Landesrecht bzw. eine Einwilligung nach lit. a) obliegt dem Verantwortlichen.
Personal/Mitarbeitende:
Personal - Statistik-/Landesreporting-Daten (optional):
Werden nur erhoben, soweit für das gesetzliche Landesreporting bzw. die amtliche Statistik einzelner Bundesländer erforderlich:
Eltern/Sorgeberechtigte (via Eltern-App und API):
Personal (zusätzlich via Erzieher-App und API):
Nutzerkonten (alle Rollen):
Protokolldaten (Logs):
Nachrichten:
Gruppenreporte, Tagesreporte und Meldungen:
Kita-Metadaten:
Optionale KI-Funktionen (nur bei Aktivierung; Einzelheiten in Anhang C):
Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der folgenden Pflichten gemäß Art. 28 Abs. 3 DSGVO:
(1) Weisungsbindung (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation -, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
(2) Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Auftrags fort.
(3) Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c i.V.m. Art. 32 DSGVO)
Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen gewährleistet der Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau. Die konkreten Maßnahmen sind in §5 dieses Vertrags beschrieben.
(4) Unterauftragsverarbeiter (Art. 28 Abs. 3 Satz 2 lit. d i.V.m. Art. 28 Abs. 2 und 4 DSGVO)
Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine oder gesonderte schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Die Einzelheiten sind in §9 dieses Vertrags geregelt.
(5) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den Art. 15 bis 22 DSGVO genannten Rechte der betroffenen Personen. Hierzu zählen insbesondere das Auskunftsrecht (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), die Mitteilungspflicht (Art. 19), das Recht auf Datenübertragbarkeit (Art. 20), das Widerspruchsrecht (Art. 21) sowie das Recht auf Nichtunterwerfung unter automatisierte Einzelentscheidungen (Art. 22).
(6) Unterstützung bei Sicherheitspflichten (Art. 28 Abs. 3 Satz 2 lit. f DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere die Unterstützung bei:
(7) Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO)
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, damit der Verantwortliche seine Meldepflicht gemäß Art. 33 Abs. 1 DSGVO (72-Stunden-Frist gegenüber der Aufsichtsbehörde) einhalten kann. Die Meldung enthält mindestens:
(8) Löschung und Rückgabe (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)
Nach Abschluss der Erbringung der Verarbeitungsdienstleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Einzelheiten sind in §8 dieses Vertrags geregelt.
(9) Nachweispflichten (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und unterstützt Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Die Einzelheiten sind in §7 dieses Vertrags geregelt.
(10) Verarbeitungsverzeichnis (Art. 30 Abs. 2 DSGVO)
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchführt, das die in Art. 30 Abs. 2 lit. a bis d DSGVO genannten Angaben enthält.
Der Auftragsverarbeiter hat folgende Maßnahmen nach Art. 32 Abs. 1 lit. a-d DSGVO implementiert. Gemäß Art. 32 Abs. 1 DSGVO sind unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen umfassen insbesondere:
Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu personenbezogenen Daten (Art. 32 Abs. 2 DSGVO).
Die Maßnahmen orientieren sich an den Schutzzielen des § 64 Abs. 3 BDSG:
Die nachfolgende Darstellung beschreibt die konkreten Umsetzungen dieser Schutzziele. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst (Art. 32 Abs. 1 lit. d DSGVO). Änderungen, die das Schutzniveau nicht unterschreiten, bedürfen keiner gesonderten Zustimmung.
1. Zutrittskontrolle (logisch)
Supabase Auth mit JWT und automatischem Token-Refresh; Row-Level Security (RLS) auf allen Datenbanktabellen; Column-Level Security auf der Kita-Tabelle.
2. Zugangskontrolle
Client-seitig: 3-stufiges Passwort-System (Admin/Staff/Parent); passwortgeschützte Higher-Order-Komponente (withPasswordProtection); API-Key-Authentifizierung für die Eltern-API.
Betreiber-seitig: Zugang zu Produktivsystemen, Datenbanken und Infrastruktur ist auf autorisiertes Personal beschränkt und durch individuelle Authentifizierung gesichert.
3. Zugriffskontrolle
Client-seitig: RLS-Policies auf Datenbankebene; rollenbasiertes Berechtigungskonzept mit den Stufen Träger-Manager, Kita-Admin und Staff. Kita-Admin und Staff greifen ausschließlich auf Daten der eigenen Einrichtung zu. Ein Trägerkonto sieht die Daten der dem Träger zugeordneten Kitas; vom Trägerkonto eingeladene Nutzer erhalten nach Annahme der Einladung ebenfalls Einsicht und Bearbeitung dieser Kita-Daten. Eine Einsicht in Daten anderer Träger besteht nicht.
Betreiber-seitig: Zugriff auf personenbezogene Daten ausschließlich nach dem Prinzip der Erforderlichkeit (Need-to-know), beschränkt auf Wartung, Support und Fehlerbehebung.
4. Weitergabekontrolle
TLS 1.2/1.3 für sämtliche Datenübertragungen; HTTPS-only-Konfiguration (Vercel); keine unverschlüsselten Schnittstellen.
5. Eingabekontrolle
Client-seitige Validierung (Formik + Yup); serverseitige Validierung; Protokollierung aller Check-in-/Check-out-Vorgänge mit Zeitstempel.
6. Verfügbarkeitskontrolle
Supabase Managed Database (Frankfurt) mit automatisierten Backups und Point-in-Time Recovery; Vercel Edge-Netzwerk mit Ausfallsicherheit; Reconnection-Logik mit exponentiellem Backoff (500 ms → 5 s).
7. Trennungskontrolle
Datenbankebene: Mandantentrennung über Row-Level Security (RLS) auf allen Tabellen - jede Policy prüft die Zugehörigkeit zur jeweiligen Einrichtung (kita_id). Column-Level Security (CLS) auf sensiblen Spalten (z. B. Passwörter). Blanket Denial als Baseline (REVOKE ALL für unauthentifizierte Zugriffe). Storage-Buckets ebenfalls RLS-geschützt.
Applikationsebene: Frontend nutzt ausschließlich eingeschränkte API-Schlüssel (kein Service-Role-Key); Service-Role-Key nur serverseitig in API-Routes. Realtime-Subscriptions durch RLS gefiltert. Einrichtungen können ausschließlich eigene Daten einsehen. Trägerkonten (einschließlich eingeladener Nutzer) sehen und bearbeiten die Daten der dem Träger zugeordneten Kitas; eine trägerübergreifende Einsicht besteht nicht.
8. Pseudonymisierung
Optional konfigurierbar: Kürzel anstelle von Klarnamen in der Anzeige; pseudonymisierte Kind-IDs (Kind-Codes) in der Eltern-App.
9. Fehlerüberwachung
Technische Fehlerereignisse werden an Sentry (Functional Software, Inc.) in der EU-Region Frankfurt (FRA) übermittelt. Stacktraces und technische Metadaten ohne Chat-, Prompt- oder Audio-Nutzlasten; bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ. Session Replay zeichnet die Verwaltungsoberfläche zur Fehlerreproduktion auf und kann Kind- und Personennamen enthalten, soweit sie auf dem Bildschirm sichtbar sind.
Stand: August 2026. Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt.
(1) Der Verantwortliche ist gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Er bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 Abs. 1 DSGVO).
(2) Der Verantwortliche stellt sicher, dass die Verarbeitung im Einklang mit den Grundsätzen des Art. 5 Abs. 1 DSGVO erfolgt, insbesondere:
(3) Der Verantwortliche ist insbesondere verantwortlich für:
(4) Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen hinsichtlich Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen sind schriftlich oder in einem elektronischen Format zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
(5) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse der Verarbeitung feststellt.
(6) Personenbezogene Daten von Kindern und Eltern in der Kindertagesbetreuung werden im Jugendhilferecht wegen § 61 Abs. 3 SGB VIII wie Sozialdaten behandelt. Die Beauftragung eines webbasierten Anbieters gilt nach der IFP-Expertise KitaApps (3. Auflage, 2025) typischerweise als anzeigepflichtige Auftragsverarbeitung nach § 80 Abs. 1 SGB X. Die Anzeige obliegt dem Verantwortlichen. Das IFP empfiehlt sie mindestens vier Wochen vor Vertragsschluss; das ausfüllbare Formular liegt bei der Expertise. Der Auftragsverarbeiter reicht die Anzeige nicht ein.
(7) Für kirchliche Träger gelten neben der DSGVO das KDG (katholisch) bzw. das DSG-EKD (evangelisch) mit eigenen Aufsichtsbehörden. Inhaltlich sind die Anforderungen an Auftragsverarbeitung und technische Maßnahmen weitgehend parallel; zuständige Stellen sind gesondert zu ermitteln.
(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags und der datenschutzrechtlichen Vorgaben zu überprüfen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Die Überprüfung kann erfolgen durch:
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage aktuelle Nachweise über die Einhaltung der technischen und organisatorischen Maßnahmen zur Verfügung. Hierzu zählen insbesondere die Zertifizierungen und Auditberichte der eingesetzten Unterauftragsverarbeiter.
(1) Nach Beendigung der Verarbeitungstätigkeit wird der Auftragsverarbeiter gemäß Art. 28 Abs. 3 Satz 2 lit. g DSGVO alle personenbezogenen Daten innerhalb von 30 Tagen nach Wahl des Verantwortlichen löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
(2) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format (CSV oder Excel) über einen sicheren Übertragungsweg.
(3) Die Löschung umfasst sämtliche personenbezogenen Daten in Produktivsystemen. Daten in automatisierten Backup-Systemen werden spätestens innerhalb des regulären Backup-Rotationszyklus vollständig überschrieben. Verworfene Check-in-Aktionen (discarded_actions) bleiben nach Löschung einer einzelnen Person bewusst erhalten (dokumentierte Aufbewahrung, §3); sie werden gleichwohl mit Beendigung der Verarbeitungstätigkeit nach Abs. 1 gelöscht oder zurückgegeben.
(4) Der Auftragsverarbeiter stellt dem Verantwortlichen nach Abschluss der Löschung eine schriftliche Löschbestätigung aus, die Datum, Umfang und betroffene Systeme der Löschung benennt.
(5) Testphase: Wird die Nutzung nach Ablauf eines kostenlosen Testzeitraums nicht fortgeführt, endet die Verarbeitungstätigkeit mit dem letzten Tag der Testphase. Dem Verantwortlichen steht ab diesem Zeitpunkt ein Monat zur Verfügung, um die eingegebenen Daten zu exportieren bzw. zu sichern (Abs. 2). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten gemäß Abs. 3 und stellt die Löschbestätigung gemäß Abs. 4 aus.
(6) Ein für die Testphase bereitgestelltes Endgerät (Tablet) ist vor der Rückgabe von sämtlichen Daten zu befreien und auf Werkseinstellungen zurückzusetzen. Der Auftragsverarbeiter prüft die Rücksetzung nach Rückerhalt des Geräts und führt sie erforderlichenfalls erneut durch.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung gemäß Art. 28 Abs. 2 DSGVO zum Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche hat die Möglichkeit, innerhalb von 14 Tagen nach Benachrichtigung Einspruch gegen die Änderung zu erheben.
(3) Der Auftragsverarbeiter stellt gemäß Art. 28 Abs. 4 DSGVO sicher, dass mit jedem Unterauftragsverarbeiter ein Vertrag geschlossen wird, der diesem mindestens dieselben Datenschutzpflichten auferlegt wie in diesem AVV festgelegt.
(1) Sämtliche personenbezogenen Kerndaten des Kernprodukts werden auf Servern innerhalb der Europäischen Union gespeichert (Hauptstandort: Supabase, Frankfurt/AWS). Serverless Functions und Datenspeicherung bei Vercel sowie Fehlerüberwachung (Sentry) sind auf die EU-Region Frankfurt konfiguriert. Technische E-Mails (Brevo) werden auf OVH in Frankreich und Deutschland gehostet; die Datenspeicherung bei Brevo erfolgt auf Google Cloud in Belgien. Eine dauerhafte Speicherung personenbezogener Kerndaten außerhalb der EU ist nicht konfiguriert. Zur Ausnahme der optionalen KI-Bild-Erzeugung siehe Abs. 2 und Anhang C.
(2) Auch für die optionale Eltern-App (iOS/Android) und die Erzieher-API werden sämtliche API-Anfragen und damit verbundene Daten seit der aktuellen Konfiguration innerhalb der EU verarbeitet: Die API-Vermittlung über Cloudflare ist auf Frankfurt (AWS eu-central-1 / Cloudflare Regional Services) beschränkt; Cloudflare KV (Eltern-Passwort, Push-Tokens, Geräte-IDs; Wallet-Pässe bis zu 5 Minuten) liegt in der EU-Datenresidenz. Abmeldungen, Essensabsagen und Abholmeldungen sowie Personal-Meldungen (Zeiten, Check-in/Check-out, Krankmeldungen, Chat-Nachrichten) werden ausschließlich innerhalb Deutschlands an Supabase (Frankfurt) übergeben. Die Datenflüsse, die systembedingt über außereuropäische Plattform-Infrastruktur laufen können, betreffen:
Push- und Wallet-Datenflüsse sind technisch zwingend durch die Plattformen Apple/iOS und Google/Android vorgegeben und können nicht auf EU-Infrastruktur begrenzt werden (Details siehe Anlage 2). Die Bild-Erzeugung ist optional und einzeln abschaltbar; sie wird gleichwohl ehrlich als Residenz-Ausnahme geführt, solange Google das Bildmodell nicht auf der EU-Multiregion bereitstellt.
(3) Konfigurationsstand - Datenhaltung ausschließlich in der EU: Zum Stand dieses Vertrags sind sämtliche eingesetzten Unterauftragsverarbeiter so konfiguriert, dass personenbezogene Daten ausschließlich innerhalb der Europäischen Union gespeichertwerden. Dies umfasst konkret:
Ausnahme Push-Routing: Bei aktiver Nutzung der Eltern-App (iOS/Android) müssen Push-Benachrichtigungen systembedingt über die globale Infrastruktur von Apple Push Notification service (APNs) und Firebase Cloud Messaging (FCM) sowie die Orchestrierungsschicht Expo geleitet werden. Diese Weiterleitung ist technisch zwingend und durch die Plattformen Apple/iOS und Google/Android vorgegeben; eine EU-ausschließliche Routing-Konfiguration ist auf Ebene dieser Push-Dienste nicht möglich. Es erfolgt keine dauerhafte Speicherung der Nachrichteninhalteauf der Push-Infrastruktur von APNs, FCM und Expo (reiner Transit der Zustellung). Titel und Text der Nachricht werden an Expo übermittelt, wie sie das Personal verfasst; das Personal muss aktiv darauf achten, keine Namen oder sonstigen personenbezogenen Angaben in Titel oder Text aufzunehmen. Eine technische Filterung findet nicht statt (siehe Anlage 2 §2).
Ausnahme KI-Bild-Erzeugung: Die optionale Bild-Erzeugung (Anhang C §3 Nr. 4) läuft auf dem globalen Vertex-Endpunkt. Google stellt Bildmodelle nicht auf der EU-Multiregion bereit; für diesen Fluss gibt es daher keine EU-Residenz-Zusage. Übermittelt werden textliche Erscheinungsbeschreibungen (keine Namen, IDs, Geburtsdaten). Transfergrundlage: EU-U.S. Data Privacy Framework und Standardvertragsklauseln gegenüber Google. Der Fluss ist einzeln abschaltbar.
Zum Zeitpunkt des Vertragsschlusses besteht - mit Ausnahme des vorstehend beschriebenen Push-Routings und der optionalen KI-Bild-Erzeugung - keine aktive Datenübermittlung in Drittländer im Sinne von Art. 44 DSGVO, die auf eine dauerhafte Speicherung außerhalb der EU abzielt. Die nachfolgend genannten DPF- und SCC-Grundlagen dienen der rechtlichen Absicherung gegenüber den US-Muttergesellschaften der eingesetzten Cloud-Anbieter sowie gegenüber potenziellen Zugriffen nach US-Recht (insbesondere CLOUD Act) - und, für die Bild-Erzeugung, der Absicherung der Verarbeitung auf dem globalen Endpunkt.
(4) Überwachung der Transfergrundlage: Der Auftragsverarbeiter überwacht fortlaufend die Gültigkeit des EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Datenübermittlungen bzw. potenzielle Zugriffsmöglichkeiten in die USA werden derzeit bei folgenden Unterauftragsverarbeitern (auch) auf Grundlage des DPF abgesichert:
(5) Fallback auf Standardvertragsklauseln: Für alle vorgenannten Dienste bestehen ergänzend Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 als eigenständige Transfergrundlage gemäß Art. 46 Abs. 2 lit. c DSGVO. Bei Wegfall, Aussetzung oder Ungültigerklärung des EU-U.S. DPF stellt der Auftragsverarbeiter die Transfergrundlage ohne Unterbrechung des Dienstes auf die SCCs um und informiert den Verantwortlichen hierüber unverzüglich, spätestens innerhalb von 30 Tagen nach Kenntnisnahme.
(6) Ergänzende Schutzmaßnahmen (Transfer Impact Assessment): Im Einklang mit den EDSA-Empfehlungen 01/2020 werden folgende zusätzliche technische und organisatorische Schutzmaßnahmen angewendet:
(7) Eskalation bei Wegfall auch der SCCs: Sollten auch die Standardvertragsklauseln durch Urteil des EuGH oder verbindlichen Beschluss einer Aufsichtsbehörde als unzureichend eingestuft werden, ergreift der Auftragsverarbeiter mindestens eine der folgenden Maßnahmen und informiert den Verantwortlichen mit mindestens 14 Tagen Vorlauf:
(8) Auswirkungen auf das Kernprodukt: Die Datenlokalisierungdes Kernprodukts ist von einem Wegfall des EU-U.S. DPF nicht betroffen - alle personenbezogenen Kerndaten verbleiben an ihrem bisherigen Speicherort (Supabase: Frankfurt/DE; Vercel: Frankfurt/DE; Sentry: Frankfurt/DE; Hetzner: Falkenstein/Nürnberg; Brevo: Hosting OVH Frankreich/Deutschland, Speicherung Google Cloud Belgien; Zoho: Niederlande). Betroffen ist ausschließlich die rechtliche Transfergrundlage für diejenigen Dienstleister, deren Muttergesellschaft ihren Sitz in den USA hat (konkret: Vercel Inc., Supabase Inc., Functional Software, Inc. und Google). Für diese würde die Transfergrundlage von DPF auf SCCs umgestellt (siehe Abs. 5), ohne dass der physische Speicherort oder der Dienstbetrieb unterbrochen wird. Sollten auch die SCCs durch Urteil oder behördlichen Beschluss als unzureichend eingestuft werden, würde der Auftragsverarbeiter auf EU-ansässige Ersatzanbieter ohne US-Muttergesellschaft migrieren. Die Push-Funktionalität der Eltern-App (FCM, APNs) und die optionale KI-Bild-Erzeugung können in einem solchen Szenario deaktiviert werden, ohne das Kernprodukt zu beeinträchtigen.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine ihr zuzurechnende Verletzung der DSGVO verursacht werden. Der Auftragsverarbeiter haftet für das Verschulden seiner Mitarbeiter und von ihm eingesetzter Unterauftragsverarbeiter wie für eigenes Verschulden.
(1) Der Vertragsschluss erfolgt durch aktive Bestätigung (Checkbox) im Rahmen der Einrichtung des Systems. Mit der Bestätigung erklärt der Verantwortliche seine Zustimmung zu diesem Auftragsverarbeitungsvertrag in der jeweils gültigen Fassung. Die Bestätigung wird zusammen mit der Versionsnummer des Vertrags gespeichert.
(2) Der jeweils aktuelle Auftragsverarbeitungsvertrag kann jederzeit auf der Webseite des Auftragsverarbeiters heruntergeladen und eingesehen werden. Eine gesonderte Rücksendung des Vertrags erfolgt nicht.
(3) Bei Aktualisierungen des Auftragsverarbeitungsvertrags wird der Verantwortliche per E-Mail oder innerhalb der Software über die Änderungen informiert und um erneute Bestätigung gebeten.
(4) Dieser Vertrag kann durch aktive Bestätigung (Checkbox) im System, durch ausdrückliche Zustimmung per E-Mail oder durch elektronische Signatur geschlossen werden. Eine handschriftliche Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO).
(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.
(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Kaiserslautern.
Der Auftragsverarbeiter setzt die folgenden Unterauftragsverarbeiter ein. Mit jedem besteht ein gesonderter Auftragsverarbeitungsvertrag (DPA). Personenbezogene Kerndaten werden nicht dauerhaft außerhalb der EU gespeichert. Zur Ausnahme der optionalen KI-Bild-Erzeugung (globaler Endpunkt) siehe Anhang C §3 Nr. 4.
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Realtime, Backend-Funktionen | Alle Kerndaten (Stamm-, Anwesenheits-, Kommunikations-, Authentifizierungsdaten) | EU (Frankfurt/AWS) | SOC 2 Type II, HIPAA-fähig, DSGVO-konform | Ja |
| Hetzner Online GmbH | Serverinfrastruktur (nur Verwaltung) | Verwaltungsdaten; kein Kontakt mit der Anwendung | Deutschland (Falkenstein/Nürnberg) | ISO 27001, ISO 27701, SOC 2 Type II, BSI C5 | Ja |
| Vercel Inc. | Hosting, Serverless Functions | IP-Adressen, Sitzungsdaten, Request-Logs | EU (Frankfurt) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Zoho Corporation Pvt. Ltd. | E-Mail-Postfach und -Speicherung | E-Mail-Adressen, Nachrichteninhalte | EU (Niederlande) | ISO 27001, SOC 2 Type II | Ja |
| Brevo (Sendinblue) | Technische E-Mails sowie Versand und Empfang von E-Mails in Softwarefunktionen | E-Mail-Adressen, Inhalte der System- und Funktionsmails | Hosting: OVH (Frankreich und Deutschland). Speicherung: Google Cloud (Belgien) | ISO 27001, DPA; Speicherung bei Google Cloud Belgien abgesichert über EU-U.S. Data Privacy Framework und SCCs | Ja |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung und Session Replay der Verwaltungsoberfläche (EU-Region Frankfurt) | Fehlermeldungen, Stacktraces, technische Metadaten (bei Diktat-Fehlern: Bytegröße und MIME-Typ); keine Audio-, Chat- oder Prompt-Inhalte in den Fehlerereignissen. Session Replay: Bildschirmaufzeichnung der Verwaltungsoberfläche zur Fehlerreproduktion - soweit Kind- oder Personennamen auf dem Bildschirm sichtbar sind, können sie in der Aufzeichnung enthalten sein | EU (Frankfurt / Region FRA) | SOC 2 Type II, ISO 27001, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Finbc GmbH (onefinance / finbc.de) | eRechnung und Vertragsabrechnung bei Angebotsannahme (Softwarevertrag, nicht Kita-Betriebsdaten) | Träger-Kontakt- und Rechnungsdaten (Name, Anschrift, E-Mail, Ansprechpartner, Leitweg-ID, USt-IdNr., Bestellnummer) | Deutschland | DPA | Ja |
| Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform) | Optionale KI-Funktionen - Opt-in, Kill-Switch je Datenfluss, Einwilligungsdialog vor erster Nutzung von Autopilot-Chat, Hilfe-Chat und Website-Baukasten (Einzelheiten in Anhang C) | Funktionsabhängige Eingaben gemäß Anhang C (Freitext, Aggregate, Organisationsbezeichnungen, Stimmeingabe nur zur Transkription - Audio wird nie gespeichert, Erscheinungsbeschreibungen, Website-Interviewantworten und -fotos); keine Nutzung zum Training von KI-Modellen | EU-Multiregion (aiplatform.eu.rep.googleapis.com), EU-Datenresidenz - mit der ausdrücklich benannten Ausnahme der Bild-Erzeugung (globaler Endpunkt, Anhang C §3 Nr. 4) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja (Vertex AI Data Processing Addendum) |
Stand: August 2026. Änderungen werden gemäß §9 Abs. 2 dieses Vertrags mitgeteilt.
Die Wahl von Supabase (Datenbank, Authentifizierung, Storage) und Vercel (Hosting, Serverless Functions) als zentrale Infrastrukturanbieter - beide technisch auf AWS Frankfurt (eu-central-1) aufgesetzt - ist Ergebnis einer sorgfältigen Abwägung zwischen Datenschutz-Anforderungen und Betriebssicherheit gemäß Art. 32 Abs. 1 DSGVO. Maßgeblich waren folgende Kriterien:
Bewertete Alternativen und Ablehnungsgründe:
Die gewählte Kombination maximiert das Schutzniveau nach Art. 32 DSGVO(Schutz vor Verlust, Zerstörung, unbefugter Offenlegung) unter Beibehaltung der EU-Lokalisierung (Frankfurt). Die verbleibende Restrisiko-Exposition gegenüber den US-Muttergesellschaften ist rechtlich durch DPF/SCCs (§10 Abs. 4-5) und technisch durch die in §5 beschriebenen Maßnahmen abgesichert.
Die folgende Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen Eltern-App (iOS/Android) und gilt ausschließlich, sofern der Verantwortliche die Eltern-App als Erweiterung des Kernprodukts einsetzt. Die Eltern-App ist keine Voraussetzung für die Nutzung des Kernprodukts. Der Auftragsverarbeiter stellt innerhalb der Eltern-App eine technische Einwilligungsabfrage (Zustimmung zur Datenschutzerklärung) bereit. Die Sicherstellung einer darüber hinausgehenden wirksamen Einwilligung gemäß Art. 6 Abs. 1 lit. a, Art. 7 DSGVO liegt im Verantwortungsbereich und Ermessen des Verantwortlichen.
(1) Die Nutzung der Eltern-App ist freiwillig und keine Voraussetzung für die Inanspruchnahme der Betreuungsleistungen. Die Nicht-Nutzung hat keinerlei Auswirkungen auf den Betreuungsvertrag oder die Qualität der Betreuung.
(2) Alle Informationen, die über die App bereitgestellt werden, sind auch auf anderem Wege verfügbar (z. B. Aushang, persönliches Gespräch).
(3) Die Verarbeitung personenbezogener Daten über die Eltern-App erfolgt auf Grundlage der Einwilligung gemäß Art. 6 Abs. 1 lit. a, Art. 7 DSGVO. Der Widerruf ist jederzeit ohne Nachteile möglich.
Die Verarbeitung umfasst:
Nicht verarbeitet: Check-in-/Check-out-Zeiten von Kindern. Diese werden ausschließlich am Terminal in der Kita erfasst.
Inhalt der Push-Benachrichtigungen: Titel und Text werden an Expo, APNs und FCM übermittelt, wie sie das Personal verfasst. Das Personal muss aktiv darauf achten, keine Namen, Kürzel, Kind-Codes oder sonstigen personenbezogenen Angaben in Titel oder Text aufzunehmen. Eine technische Filterung oder Ersetzung durch einen generischen Text (z. B. „Neue Nachricht") findet nicht statt. Die Nachrichteninhalte werden bei den Push-Diensten nicht dauerhaft gespeichert (nur Transit der Zustellung). Personenbezogene Vorgänge (Abmeldungen, Essensabsagen, Abholmeldungen) laufen über die verschlüsselte API (Cloudflare → Supabase), nicht über die Push-Payloads.
Für die Eltern-App werden folgende zusätzliche Unterauftragsverarbeiter eingesetzt. Mit jedem besteht ein gesonderter Auftragsverarbeitungsvertrag (DPA).
| Anbieter | Zweck | Verarbeitete Datenarten | Serverstandort | Zertifizierungen / Rechtsgrundlage | DPA |
|---|---|---|---|---|---|
| Cloudflare Inc. | API-Vermittlung der Eltern- und Erzieher-App sowie Speicherung in Cloudflare KV (EU-Datenresidenz); kein Zugriff auf die Supabase-Datenbank | API-Transit: pseudonymisierte Kind-ID, Kita-ID, Abmeldungen, Essensabsagen, Abholmeldungen, Umfrage-Stimmen mit Geräte-ID, pseudonymisierte Personal-ID, Personal-Meldungen, Chat-Nachrichten. KV dauerhaft je Einrichtung: Eltern-Passwort, Push-Tokens, Geräte-IDs. Wallet-Pässe (können den Kindnamen enthalten) bis zu 5 Minuten im KV | EU (Frankfurt / Cloudflare Regional Services und Cloudflare KV mit EU-Datenresidenz) | ISO 27001, SOC 2 Type II, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Expo (650 Industries Inc.) | Orchestrierung Push-Versand (delegiert an Firebase Cloud Messaging und Apple Push Notification service) | Anonymisierte Push-Tokens; Titel und Text der Nachricht wie vom Personal verfasst (Personal muss darauf achten, keine Namen aufzunehmen; nur Transit der Zustellung) | USA (nur Transit, keine Speicherung) | SOC 2 Type II, SCCs | Ja |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Push-Zustellung Android | Anonyme FCM-Registrierungs-Tokens; Titel und Text der Nachricht wie vom Personal verfasst (nur Transit der Zustellung) | Global (US-primär); Vertragspartner: Google Ireland Ltd. | ISO 27001/27017/27018, SOC 1/2/3, EU-U.S. Data Privacy Framework, SCCs | Ja |
| Apple Distribution International Ltd. (APNs) | Push-Zustellung iOS | Anonyme APNs-Device-Tokens; Titel und Text der Nachricht wie vom Personal verfasst (nur Transit der Zustellung, TLS-verschlüsselt) | Global (Apple-Infrastruktur EU/US) | ISO 27001, SOC 2; Apple Developer Program License Agreement Schedule 4; SCCs | Ja (Apple DPLA) |
APNs, FCM und Expo haben keinen Kontakt zur Supabase-Datenbank der Hauptanwendung. Nachrichteninhalte werden dort nicht dauerhaft gespeichert. Cloudflare speichert zusätzlich in Cloudflare KV (EU-Datenresidenz) dauerhaft je Einrichtung das Eltern-Passwort, Push-Tokens und Geräte-IDs; Wallet-Pässe mit Kindname liegen bis zu 5 Minuten im KV. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank. Sofern der Verantwortliche oder die Sorgeberechtigten Push-Benachrichtigungen und Wallet-Items nicht aktivieren, entfällt der Einsatz von Expo (650 Industries Inc.), Firebase Cloud Messaging (Android) sowie Apple Push Notification service (iOS) als Unterauftragsverarbeiter. Voraussetzung hierfür ist, dass die Berechtigungsanfrage für Push-Dienste (iOS/Android) auf dem Endgerät abgelehnt wird. Die KV-Speicherung des Eltern-Passworts bleibt bestehen, solange die Eltern-App für die Einrichtung aktiviert ist.
Präzisierung zur „nur Transit"-Angabe in der Tabelle: Die für Apple Push Notification Service (APNs), Firebase Cloud Messaging (FCM) und Expo vermerkte Eigenschaft „nur Transit" bezieht sich auf die Nachrichteninhalte (Push-Payload, Wallet-Inhalte)- diese werden bei den Push-Diensten nicht dauerhaft gespeichert, sondern ausschließlich für die Dauer der Zustellung verarbeitet (in Memory- bzw. Queue-Strukturen, nicht in Datenbanken). Die Geräte-Tokens selbst (anonyme APNs-Device-Tokens, anonyme FCM-Registrierungs-Tokens, ExpoPushTokens) werden bei den jeweiligen Push-Diensten für die Dauer der Token-Gültigkeit verarbeitet und gespeichert, da andernfalls eine Zustellung systembedingt nicht möglich wäre. Diese Token-Speicherung ist Bestandteil der Plattform-Infrastruktur und nicht Inhalt der eigentlichen Auftragsverarbeitung der Kita-Daten.
Keine technischen Alternativen: Eine EU-ausschließliche oder anbieterunabhängige Push-Infrastruktur für iOS und Android existiert auf Plattform-Ebene nicht. APNs ist der einzige zugelassene Zustellweg für iOS-Push, FCM der einzige zugelassene Zustellweg für Android-Push. Eine Verlagerung dieser Dienste in EU-Infrastruktur oder eine Vermeidung der Token-Speicherung bei den Push-Diensten ist auf Anwendungsebene weder konfigurierbar noch unterbindbar. Expo wird lediglich als Orchestrierungsschicht zwischen App und APNs/FCM eingesetzt, um eine plattformunabhängige Implementierung zu ermöglichen.
Manuelle Einwilligung des Nutzers (Opt-In): Die Verarbeitung durch APNs, FCM und Expo erfolgt ausschließlich auf Grundlage einer ausdrücklichen, manuellen Aktivierung der Push-Berechtigung durch den jeweiligen Nutzer über die Berechtigungsabfrage des Betriebssystems (iOS/Android). Lehnt der Nutzer die Berechtigung ab oder widerruft sie zu einem späteren Zeitpunkt in den Geräteeinstellungen, entfällt jede weitere Token-Erzeugung und -Übermittlung an die genannten Subprozessoren.
Hinweis zur Rolle von Cloudflare: Cloudflare vermittelt API-Anfragen der Eltern- und Erzieher-App (Edge-Routing, TLS-Terminierung, DDoS-Schutz) und speichert in Cloudflare KV mit EU-Datenresidenz dauerhaft je Einrichtung das Eltern-Passwort, Push-Tokens und Geräte-IDs. Wallet-Pässe (können den Kindnamen enthalten) liegen bis zu 5 Minuten im KV. Cloudflare hat keinen Zugriff auf die Supabase-Datenbank des Auftragsverarbeiters. API-Transit und KV sind auf die EU konfiguriert (Cloudflare Regional Services / Frankfurt).
(1) Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission gemäß Art. 45 DSGVO (EU-U.S. Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795). Ergänzend sind Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) abgeschlossen.
(2) Der Auftragsverarbeiter prüft regelmäßig die Gültigkeit des EU-U.S. Data Privacy Framework und stellt bei Wegfall unverzüglich auf die vereinbarten Standardvertragsklauseln als alleinige Transfergrundlage um.
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: August 2026.
Diese Ergänzung regelt die Auftragsverarbeitung im Rahmen der optionalen KI-Funktionen. Sie gilt ausschließlich, sofern der Verantwortliche den jeweiligen Datenfluss aktiviert. Die KI-Funktionen sind Bestandteil der Verwaltungsoberfläche (Web-App) und stehen nicht in der Eltern-App, der Erzieher-App oder auf den Check-in-Tablets zur Verfügung. Die Software ist ohne diese Funktionen vollständig nutzbar.
Die folgenden Feststellungen gelten für alle in §3 genannten Datenflüsse, soweit dort nicht ausdrücklich etwas Abweichendes bestimmt ist. Sie werden hier einmal getroffen und in den einzelnen Flüssen nicht wiederholt.
(1) Unterauftragsverarbeiter: Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform). Vertragliche Grundlage ist das Vertex AI Data Processing Addendum. Authentifizierung erfolgt ohne API-Keys über Workload Identity Federation (Vercel OIDC); lokale Entwicklung über Application Default Credentials (ADC). Hosting der aufrufenden Anwendung: Vercel (Anlage 1). Transfergrundlage bzw. Absicherung potenzieller Zugriffe: EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.
(2) Datenresidenz: Alle Datenflüsse außer der Bild-Erzeugung (§3 Nr. 4) laufen über den EU-Multiregion-Jurisdiktionsendpunkt (aiplatform.eu.rep.googleapis.com). Die Verarbeitung ist vertraglich auf die EU-Geografie beschränkt (kein Single-Region-Pinning auf Deutschland). Ausnahme Bild-Erzeugung: Bildmodelle werden von Google nicht auf der EU-Multiregion bereitgestellt. Dieser Datenfluss nutzt den globalen Endpunkt; für ihn besteht keine EU-Residenz-Zusage. Die Ausnahme ist in §3 Nr. 4 und in §10 des AVV ausdrücklich benannt.
(3) Modelle (Stand 14.08.2026): Text/Verstehen gemini-3.7-flash (EU); Diktat gemini-3.1-flash-lite (EU); Bild-Erzeugung gemini-3.1-flash-image (global).
(4) Kein Training: Eingaben werden nicht zum Training von KI-Modellen verwendet (Vertex-Vertragsbedingungen). Eine ausdrückliche Zero-Data-Retention-Konfiguration (ZDR) auf Google-Seite ist beantragt, zum Stand dieses Anhangs jedoch noch nicht bestätigt. Der Auftragsverarbeiter behauptet daher nicht mehr als die Trainingszusage. Bis zur ZDR-Freischaltung kann das Abuse-Monitoring von Google Prompts bis zu ca. 30 Tage speichern. Dieser Anhang ist nach bestätigter ZDR-Konfiguration anzupassen.
(5) Einwilligungsdialog: Vor der ersten Nutzung von Autopilot-Chat, Hilfe-Chat oder Website-Baukasten erscheint ein kontobezogener Checkbox-Dialog. Die Zustimmung wird versioniert im Nutzerkonto gespeichert (user_metadata.aiConsentV1AcceptedAt). Der Dialog verweist auf diesen Anhang C. Eine Textänderung kann eine erneute Zustimmung (Re-Consent) erzwingen. Der Dialog dient der Transparenz und ist keine eigenständige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
(6) Keine serverseitige Chat-Speicherung beim Auftragsverarbeiter. Die Ratenbegrenzung erfolgt im Arbeitsspeicher. Stimmeingabe (nur Datenfluss 3) dient ausschließlich der Transkription; die Audiodatei wird nie gespeichert. Technische Fehler gehen an Sentry (Anlage 1) ohne Chat-, Prompt- oder Audio-Nutzlasten (bei Diktat-Fehlern höchstens Bytegröße und MIME-Typ). Session Replay der Verwaltungsoberfläche ist in Anlage 1 beschrieben.
(7) Empfänger und Steuerung: Google sieht die jeweiligen Eingaben nur transitorisch - vorbehaltlich der offenen ZDR-Konfiguration nach Abs. 4. Die Leitung bzw. der jeweilige Nutzer steuert Freitext und Uploads. Die Benutzeroberfläche fordert auf, keine personenbezogenen Daten in Freitextfelder einzugeben; übermittelt wird gleichwohl, was eingegeben oder hochgeladen wird. Der Verantwortliche stellt sicher, dass seine Nutzer diese Vorgabe einhalten; der Auftragsverarbeiter mahnt sie technisch an, kann sie jedoch nicht verhindern.
(8) Kill-Switch: Jeder der in §3 genannten Datenflüsse ist einzeln abschaltbar. Ein Abruf erfolgt ausschließlich auf manuelle Nutzeraktion; es findet kein automatischer Datenabfluss statt.
Beratung (Autopilot-Chat), Hilfe (Hilfe-Chat), Diktat (Sprache → Tagesreport), Illustration (Bild-Erzeugung) und Website-Entwurf (Website-Baukasten) - jeweils nur für den vom Verantwortlichen aktivierten Datenfluss.
1. Autopilot-Chat (/admin/autopilot) - live für alle Admins
Zweck: Beratung zur aktuellen Lage der Einrichtung. Eingaben: frei formulierte Prompts der Leitung (Kontext der letzten acht Nachrichten), der aktuelle Seitenpfad sowie nur-lesende, aggregierte Werkzeugausgaben: Ampelstatus, Kapazitätssummen und -prozente, Anwesenheitszahlen nach Alterskategorie / Gruppe / Personaltyp / Arbeitsmodus, Unterbesetzungsintervalle, Plan-vs-Ist-Minuten, Öffnungszeiten und Schwellenwerte, Betreuungsmodell-Auslastung / -Limits / Ausweichzahlen, geplante Besetzungszahlen und Ankunftszeiten. Organisationsbezeichnungen: Gruppennamen und Betreuungsmodellnamen werden übermittelt (Entscheidung August 2026; organisatorische Labels, keine Personen). Namen, PINs und Personen-IDs sind by design ausgeschlossen. Freitext ist nutzergesteuert (§1 Abs. 7).
2. Hilfe-Chat - live für alle Admin- und Träger-Nutzer
Zweck: Hilfe bei der Bedienung der Software. Eingaben: frei formulierte Fragen, Seitenpfad sowie bereinigte Handbuchthemen (Produktdokumentation, keine Betriebsdaten). Geringstes Risiko der fünf Flüsse; dasselbe Freitext-Restrisiko wie in §1 Abs. 7.
3. Diktat → Tagesreport (Gruppenansicht, VoiceRecorder) - sensibelster erklärter Fluss
Zweck: Diktat von Beobachtungen in den Tagesreport. Nur Transkription: Die Stimmeingabe wird ausschließlich zur Umwandlung in Text an Google übermittelt. Die Audiodatei wird nie gespeichert - weder beim Auftragsverarbeiter noch bei Google; sie wird nicht geloggt. Sentry erhält im Fehlerfall nur Bytegröße und MIME-Typ. Die Aufnahme kann Kinderstimmen, Namen und Beobachtungen enthalten, also personenbezogene Daten von Kindern. Verarbeitung ausschließlich über den EU-Endpunkt (harte Vorgabe im Code). Nur der transkribierte Text wird beim Auftragsverarbeiter im Tagesreport auf deutschen Servern gespeichert, nicht bei Google.
4. Bild-Erzeugung (Kinder-Avatare, Terminal-Logo, Website-Bilder) - ausdrücklich benannte Residenz-Ausnahme
Zweck: Illustration, damit Personal Kinder am Avatar erkennt sowie Logos und Website-Bilder erzeugen kann. Die Funktion ist optional; der Umfang der personenbezogenen Daten ergibt sich aus der jeweiligen Eingabe. Eingaben: Text-Prompts, die seit dem 25.07.2026 bewusst Erscheinungsbeschreibungen enthalten (Haarfarbe, -länge und -struktur, Hautfarbe, Gesichts- und Lippenform) - personenbezogene Daten. Namen, IDs und Geburtsdaten sind in den Prompts nicht enthalten. Die erzeugte Illustration wird am Kind-Datensatz gespeichert. Residenz: Dieser Fluss läuft auf dem globalen Endpunkt, weil Bildmodelle nicht auf der EU-Multiregion angeboten werden; ein EU-Residenz-Versprechen besteht für ihn nicht. Angaben zur Hautfarbe können je nach konkreter Formulierung Daten offenbaren, aus denen die rassische oder ethnische Herkunft hervorgeht (Art. 9 DSGVO); die Sicherstellung einer Rechtsgrundlage obliegt dem Verantwortlichen.
5. Website-Baukasten (/api/ai/website und /analyze)
Zweck: Entwurf der KiTa-Website. Eingaben: Interviewantworten der KiTa (Selbstbeschreibungen; können naturgemäß Adresse, Kontaktdaten und Mitarbeiternamen enthalten, soweit die Leitung sie eingibt) sowie hochgeladene Fotos zur Designanalyse (Fotos können Personen zeigen; die Upload-Hinweise sollen dies spiegeln). EU-Endpunkt; derselbe Einwilligungsdialog wie in §1 Abs. 5.
Zusätzlich, der Vollständigkeit halber
Eine interne Testroute sendet einen festen Testsatz. Der Fluss ist vernachlässigbar, wird aber nicht verschwiegen.
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO im Auftrag des Verantwortlichen (Aktivierung und Kill-Switch). Soweit besondere Kategorien personenbezogener Daten betroffen sein können (insbesondere Diktat-Beobachtungen und Erscheinungsbeschreibungen nach §3 Nr. 3 und 4), stellt der Verantwortliche eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher. Der Einwilligungsdialog nach §1 Abs. 5 ist keine eigenständige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Im Übrigen gelten die Bestimmungen des Auftragsverarbeitungsvertrags.
Stand: August 2026.