Auftragsverarbeitungsvertrag (AVV)

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 DSGVO, die sich aus dem Hauptvertrag ergeben. Er gilt einheitlich für alle Kunden, die den Hauptvertrag mit dem Auftragsverarbeiter abschließen.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen im Rahmen der Bereitstellung der Software „KITALE“.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet der Pflichten zur Rückgabe und Löschung gemäß § 10 dieses AVV.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Bereitstellung und des Betriebs der Software „KITALE“ für den Verantwortlichen, insbesondere:

• Verwaltung von Kinderstammdaten und Gruppenstrukturen
• Eltern- und Erzieherkommunikation
• Abwesenheitsmeldungen und Anwesenheitsdokumentation
• Essensbestellung, -abrechnung und Verpflegungsmanagement
• Verwaltung von Bildung-und-Teilhabe-Leistungen (BuT)
• KI-gestützter Assistent (Chatbot, Automatisierung) zur Unterstützung der Einrichtungsverwaltung
• Automatische Übersetzungen von Inhalten (z.B. Elternkommunikation)
• E-Mail-Versand (transaktionale E-Mails, Benachrichtigungen)
• Technischer Betrieb, Wartung und Support der Software
• Datensicherung (Backups) gemäß § 5 des Hauptvertrags

Folgende Kategorien personenbezogener Daten werden verarbeitet:

Von der Verarbeitung betroffen sind:

• Kinder, die in den Einrichtungen des Verantwortlichen betreut werden
• Eltern bzw. Erziehungsberechtigte der betreuten Kinder
• Erzieher, pädagogische Fachkräfte und sonstige Mitarbeiter des Verantwortlichen
• Ggf. weitere von der Einrichtung autorisierte Personen (z.B. Abholberechtigte)

Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung und die Wahrung der Rechte der betroffenen Personen, allein verantwortlich.

Der Verantwortliche erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel in Textform (E-Mail ist ausreichend). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt.

Der Verantwortliche ist verpflichtet, die erforderlichen Einwilligungen der betroffenen Personen (insbesondere der Eltern/Erziehungsberechtigten) einzuholen, soweit eine Einwilligung Rechtsgrundlage für die Verarbeitung ist. Dies gilt insbesondere für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO.

Der Verantwortliche benennt dem Auftragsverarbeiter einen Ansprechpartner für datenschutzrelevante Fragestellungen.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen („Weisungsgebundenheit“), es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zum Schutz personenbezogener Daten. Die aktuellen TOMs sind in Anhang A zu diesem AVV dokumentiert.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation).

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.

Die jeweils aktuell eingesetzten Unterauftragsverarbeiter sind in Anhang B zu diesem AVV aufgeführt. Der Anhang B wird vom Auftragsverarbeiter zentral gepflegt und in der jeweils gültigen Fassung unter https://kitale.de/auftragsverarbeitungsvertrag veröffentlicht. Mit Abschluss des Hauptvertrags stimmt der Verantwortliche dem Einsatz der zum jeweiligen Zeitpunkt in Anhang B gelisteten Unterauftragsverarbeiter zu.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform (z.B. per E-Mail) über den beabsichtigten Einsatz neuer oder den Wechsel bestehender Unterauftragsverarbeiter und aktualisiert Anhang B entsprechend. Der Verantwortliche kann dem Einsatz aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach Mitteilung schriftlich widersprechen. Die Regelungen des § 8.6 des Hauptvertrags gelten entsprechend.

Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten, die in diesem AVV festgelegt sind, insbesondere hinsichtlich der technischen und organisatorischen Maßnahmen und der Weisungsgebundenheit.

Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten durch seine Unterauftragsverarbeiter.

Der Auftragsverarbeiter setzt Degeler Consulting e.U. als eng begrenzten Unterauftragsverarbeiter zur Unterstützung im Zusammenhang mit KITALE ein. Der Zugriff durch Degeler Consulting e.U. erfolgt ausschließlich, soweit dies für Produktmanagement, Projektsteuerung, Kundenkommunikation, Vertragsabwicklung und Datenschutzprozessberatung erforderlich ist. Der Zugriff kann insbesondere Vertragsunterlagen, Software- und Administrationsoberflächen, Kunden- und Kommunikationsdaten, Supportdaten sowie technische Betriebsinformationen wie Logs oder Infrastrukturinformationen umfassen, jeweils nur im erforderlichen Umfang und ausschließlich auf Weisung des Auftragsverarbeiters. Eine Verarbeitung zu eigenen Zwecken durch Degeler Consulting e.U. ist ausgeschlossen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen gemäß Kapitel III der DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Wendet sich eine betroffene Person mit Anfragen direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und wartet dessen Weisung ab, sofern sich nicht bereits aus der Anfrage ergibt, dass diese an den Verantwortlichen gerichtet sein soll.

Der Auftragsverarbeiter stellt dem Verantwortlichen über die Software Export-Funktionen zur Verfügung, die es dem Verantwortlichen ermöglichen, Betroffenenrechte eigenständig zu erfüllen (z.B. Datenexport für Auskunftsersuchen, Löschung einzelner Datensätze).

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten (Datenschutzverletzung gemäß Art. 33 DSGVO) unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung.

Die Meldung enthält mindestens:

• Eine Beschreibung der Art der Datenschutzverletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
• Eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• Eine Beschreibung der ergriffenen und vorgeschlagenen Maßnahmen zur Behebung und Minderung der Verletzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).

Soweit die Datenschutzverletzung durch den Auftragsverarbeiter oder seine Unterauftragsverarbeiter verursacht wurde, ergreift der Auftragsverarbeiter unverzüglich geeignete Maßnahmen zur Eindämmung und Behebung der Verletzung.

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten gemäß den Bestimmungen des § 9.4 und § 9.5 des Hauptvertrags (30-tägige Übergangsphase mit Export-Möglichkeit, anschließend vollständige Löschung).

Die Löschung umfasst sämtliche Kopien der Daten, einschließlich Backups und Sicherungskopien, sofern keine gesetzliche Aufbewahrungspflicht (z.B. nach AO, HGB) besteht. Im Falle gesetzlicher Aufbewahrungspflichten werden die betreffenden Daten gesperrt und nach Ablauf der jeweiligen Frist gelöscht.

Der Auftragsverarbeiter bestätigt dem Verantwortlichen die vollständige Löschung auf Anfrage schriftlich.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Der Verantwortliche ist berechtigt, Audits (Inspektionen) durchzuführen oder durch einen beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Die Audits können umfassen:

• Überprüfung der technischen und organisatorischen Maßnahmen
• Einsichtnahme in relevante Dokumentationen und Zertifizierungen
• Vor-Ort-Inspektionen der Rechenzentren (soweit verhältnismäßig und unter Berücksichtigung der Geheimhaltungsinteressen des Auftragsverarbeiters und anderer Kunden)

Audits sind mit einer Vorlaufzeit von mindestens 14 Tagen in Textform anzukündigen und während der üblichen Geschäftszeiten durchzuführen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung. Die Kosten der Audits trägt der Verantwortliche, es sei denn, das Audit deckt wesentliche Verstöße des Auftragsverarbeiters auf.

Der Auftragsverarbeiter kann den Nachweis der Einhaltung der Pflichten auch durch Vorlage geeigneter, aktueller Zertifizierungen oder Prüfberichte (z.B. ISO 27001, SOC 2) erbringen. Solche Nachweise können ein Vor-Ort-Audit ersetzen, sofern der Verantwortliche dem zustimmt.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR). Das Hosting erfolgt auf Servern in Deutschland (vgl. § 1.3 des Hauptvertrags).

Eine Übermittlung personenbezogener Daten in ein Drittland (außerhalb EU/EWR) oder an eine internationale Organisation bedarf der vorherigen schriftlichen Zustimmung des Verantwortlichen und ist nur unter den Voraussetzungen der Art. 44–49 DSGVO zulässig.

Sollte ein Unterauftragsverarbeiter personenbezogene Daten in einem Drittland verarbeiten, stellt der Auftragsverarbeiter sicher, dass angemessene Garantien gemäß Art. 46 DSGVO bestehen (z.B. Standardvertragsklauseln der EU-Kommission, Angemessenheitsbeschluss).

Die Parteien sind sich bewusst, dass im Rahmen der Nutzung der Software besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden können, insbesondere:

• Gesundheitsdaten von Kindern (Allergien, Unverträglichkeiten, Ernährungsbesonderheiten)
• Sozialdaten (BuT-Bescheide, Förderstatus)

Der Auftragsverarbeiter ergreift für diese besonderen Kategorien zusätzliche Schutzmaßnahmen, insbesondere:

• Verschlüsselung der Daten bei Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256 oder vergleichbar)
• Strenge Zugriffskontrolle nach dem Prinzip der geringsten Berechtigung (Least Privilege)
• Protokollierung sämtlicher Zugriffe auf besondere Kategorien personenbezogener Daten
• Regelmäßige Sensibilisierung und Schulung der Mitarbeiter im Umgang mit sensiblen Daten

Der Datenschutzbeauftragte des Auftragsverarbeiters (bzw. die datenschutzrechtliche Anlaufstelle) ist erreichbar unter:

• E-Mail: privacy@kitale.de

Der Verantwortliche teilt dem Auftragsverarbeiter die Kontaktdaten seines Datenschutzbeauftragten (sofern bestellt) bzw. seines datenschutzrechtlichen Ansprechpartners in Textform mit.

Dieser AVV ist integraler Bestandteil des Hauptvertrags. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

Der Auftragsverarbeiter ist berechtigt, diesen AVV sowie die Anhänge A und B bei Änderungen der Rechtslage, behördlichen Anforderungen oder bei Einsatz neuer Unterauftragsverarbeiter einseitig anzupassen, sofern dadurch das Datenschutzniveau nicht abgesenkt wird. Über wesentliche Änderungen wird der Verantwortliche mindestens 30 Tage vor Inkrafttreten in Textform (z.B. per E-Mail) informiert. Die jeweils aktuelle Fassung dieses AVV ist unter https://kitale.de/auftragsverarbeitungsvertrag abrufbar.

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt.

Auf diesen AVV findet das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts Anwendung. Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters (Hermaringen, Deutschland).