Auftragsverarbeitungsvertrag (AVV)

Zwischen

dem Auftragsverarbeiter: Kigana GmbH, Walpersdorf 3, 83620 Feldkirchen‑Westerham (nachfolgend „Auftragsverarbeiter“) und
dem Verantwortlichen: [Name, Rechtsform, Anschrift einsetzen] (nachfolgend „Auftraggeber“)

(jeder eine „Partei“, gemeinsam die „Parteien“)

Diese AVV ist Bestandteil des zwischen den Parteien bestehenden Vertrages über die Erbringung der SaaS‑Leistungen für Kitas (der „Vertrag“).

1. Definitionen

„AVV“ bezeichnet diese Auftragsverarbeitungsvereinbarung einschließlich sämtlicher Anhänge und schriftlicher Änderungen.
„Kundendaten“ sind sämtliche personenbezogenen Daten, die der Auftragsverarbeiter im Auftrag des Auftraggebers verarbeitet.
„Anfrage der betroffenen Person“ hat die in Ziffer 9 bestimmte Bedeutung.
„Autorisierte Unterauftragsverarbeiter“ sind die in Anhang B aufgeführten und fortgeschriebenen Unterauftragsverarbeiter.
„Datenzentren“ sind die Orte, an denen Kundendaten gehostet/gespeichert werden.
„Datenverletzung“ hat die in Ziffer 10 bestimmte Bedeutung.

2. Verantwortlichkeiten und Weisungen

Der Auftraggeber ist Verantwortlicher; der Auftragsverarbeiter verarbeitet Kundendaten ausschließlich auf dokumentierte Weisungen des Auftraggebers und im Rahmen dieser AVV. Die Datenschutzrichtlinie/Privacy Policy des Auftragsverarbeiters findet auf die Auftragsverarbeitung keine Anwendung.
Der Auftraggeber trägt die Verantwortung für die Rechtmäßigkeit der Weitergabe und Verarbeitung der Kundendaten und erfüllt seine Informationspflichten.
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er Weisungen für rechtswidrig hält, und setzt deren Ausführung bis zur Klärung aus.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Erbringung der vertraglich geschuldeten SaaS‑Leistungen für Kitas; Verarbeitung von Kundendaten ausschließlich zur Vertragserfüllung und zur Einhaltung gesetzlicher Pflichten.
Dauer: Für die Laufzeit des Vertrages und – soweit erforderlich – für bis zu 60 Tage nach Vertragsende, sofern der Auftraggeber nicht eine frühere Löschung verlangt oder selbst durchführt.
Art/Zwecke sowie Kategorien personenbezogener Daten und betroffener Personen sind in Anhang A beschrieben.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind; die Verpflichtung wirkt über das Vertragsende hinaus.

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter implementiert geeignete, dem Risiko angemessene TOM und dokumentiert deren Einhaltung; regelmäßige Überprüfung, Bewertung und Aktualisierung. Details in Anhang C.

6. Unterauftragsverarbeiter

Allgemeine Genehmigung; Information und Widerspruch: Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage vor Beauftragung/Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann binnen 10 Tagen aus berechtigten datenschutzbezogenen Gründen widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber die betroffenen Dienste binnen 14 Tagen nach Entscheidung des Auftragsverarbeiters kündigen.
Notaustausch: Ist ein Austausch außerhalb der zumutbaren Kontrolle des Auftragsverarbeiters erforderlich, informiert er den Auftraggeber; der Auftraggeber kann sein Kündigungsrecht ausüben.
Gleichwertige Bindung, Verantwortung, Haftung: Der Auftragsverarbeiter bindet Unterauftragsverarbeiter zu gleichwertigen Pflichten und bleibt verantwortlich; Nichterfüllung durch Unterauftragsverarbeiter begründet Verantwortung wie für eigene Leistungen, vorbehaltlich der Haftungsbeschränkungen dieser AVV/des Vertrages.

7. Standort der Verarbeitung und internationale Übermittlungen

Speicherort/Datenstandorte: siehe Anhang B.
Übermittlungen innerhalb von Ländern mit Angemessenheitsbeschluss sind zulässig. Drittlandtransfers ohne Angemessenheitsbeschluss werden erst nach Transferfolgenabschätzung und auf Grundlage geeigneter Übertragungsmechanismen durchgeführt.
Zusatzklauseln zu Übertragungsmechanismen siehe Anhang E.

8. Unterstützung des Auftraggebers

Der Auftragsverarbeiter unterstützt den Auftraggeber – soweit erforderlich und möglich – bei Betroffenenrechten, Sicherheit, Datenschutz‑Folgenabschätzungen und behördlichen Konsultationen.

9. Betroffenenanfragen

Betroffenenanfragen (einschließlich solcher von Sorgeberechtigten für Kinder) leitet der Auftragsverarbeiter unverzüglich an die benannte Kontaktstelle des Auftraggebers weiter und bearbeitet sie nur auf Weisung.

10. Meldung von Datenverletzungen

Der Auftragsverarbeiter benachrichtigt den Auftraggeber unverzüglich bei Kenntnis einer unbefugten oder rechtswidrigen Verarbeitung, Veränderung, Verlust, Zerstörung oder Offenlegung von bzw. Schaden/Zugriff auf Kundendaten, ergreift Abhilfemaßnahmen und koordiniert sich mit dem Auftraggeber.

11. Nachweis- und Auditrechte

Der Auftragsverarbeiter stellt die zur Nachweisführung erforderlichen Informationen (insb. Audit-/Sicherheitsberichte) zur Verfügung; diese sind vertraulich.
Vor-Ort‑Audits nach Vorankündigung, während üblicher Geschäftszeiten, im Rahmen des technisch und organisatorisch Zumutbaren, ohne unangemessene Beeinträchtigung und unter Vertraulichkeit; unangekündigte Prüfungen sind zulässig bei behördlicher Anordnung oder dokumentiertem Verdacht auf wesentliche Nichteinhaltung.

11a. Audit‑Spezifika (jährliche externe Prüfung)

Der Auftragsverarbeiter unterzieht seine Kontrollen mindestens jährlich einer unabhängigen externen Prüfung; primärer Prüfmechanismus ist die Vorlage des Prüfberichts.

12. Rückgabe und Löschung

Nach Vertragsende löscht der Auftragsverarbeiter sämtliche Kundendaten; vor Löschung stellt er auf Weisung eine Kopie in gängigem, maschinenlesbaren Format bereit. Gesetzliche Aufbewahrungen bleiben unberührt; in dieser Zeit Sperrung.

13. Zusammenarbeit mit Behörden; Drittzugriffe

Der Auftragsverarbeiter informiert den Auftraggeber – soweit rechtlich zulässig – über behördliche Anfragen und stimmt das Vorgehen ab.
Werden Auftraggeberdaten, während sie sich in der Kontrolle des Auftragsverarbeiters befinden, Gegenstand von Durchsuchung/Beschlagnahme, Pfändung, Maßnahmen in Insolvenzverfahren oder ähnlichen Eingriffen Dritter, informiert der Auftragsverarbeiter den Auftraggeber unverzüglich, befolgt angemessene Anweisungen zur Wahrung der Vertraulichkeit und weist beteiligte Parteien darauf hin, dass die Daten im Eigentum/Verantwortungsbereich des Auftraggebers stehen und der Auftraggeber Verantwortlicher i. S. d. DSGVO ist.

14. Haftung

Der Auftragsverarbeiter haftet nur für Datenschutzverletzungen, -kosten und -ausgaben, die entstehen, weil (i) er seinen Pflichten aus dieser AVV nicht nachkommt; (ii) er seinen gesetzlichen Pflichten als Auftragsverarbeiter nicht nachkommt; oder (iii) sein autorisierter Unterauftragsverarbeiter Datenschutzpflichten nicht erfüllt. Die Gesamthaftung unterliegt den Haftungsausschlüssen und -beschränkungen des Vertrages, sofern nicht anders vereinbart.

15. Laufzeit

Diese AVV bleibt bis zu 60 Tage nach Beendigung des Vertrages in Kraft, soweit Pflichten fortwirken.

16. Rangfolge

Rangfolge bei Widersprüchen: (i) Übertragungsmechanismen; (ii) Anhang E (Zusatzklauseln); (iii) diese AVV; (iv) der Vertrag.

17. Anwendbares Recht, Streitbeilegung

Es gilt die vertragliche Rechts- und Gerichtsstandsregelung; diese erstreckt sich auf diese AVV.

17a. Kontaktstellen; Datenschutzbeauftragter

Die Parteien benennen jeweils eine Datenschutz‑Kontaktstelle. Der Auftragsverarbeiter benennt einen Datenschutzbeauftragten (DSB), der die Aufsicht über internationale Datenübermittlungen ausübt und unter der Anbieteradresse erreichbar ist.

Ort, DatumOrt, Datum

Kigana GmbH (Auftragsverarbeiter)

Auftraggeber

Anhang A: Einzelheiten der Verarbeitung (Kita‑SaaS)

Zwecke der Verarbeitung:
Sicherstellen, dass der Auftraggeber über alle relevanten Informationen des Kindes verfügt, um den Betrieb zu führen und gesetzliche Anforderungen zu erfüllen; Verwaltung, Kommunikation, Dokumentation, Sicherheit, Nachweise.
Kita‑Verwaltung (Gruppen-/Belegungsplanung, Anwesenheit/Zeiterfassung), Kommunikation mit Eltern/Erziehungsberechtigten (Nachrichten, Aushänge, Genehmigungen), Entwicklungs-/Beobachtungsdokumentation, Bildungsdokumentation, Unfall-/Vorfallberichte, Ernährungs-/Allergiemanagement, Ruhe-/Schlafpläne, Medikamentengaben, Abrechnung/Verträge; Support/Sicherheit/Compliance.
Kategorien betroffener Personen:
Kinder der Einrichtung; Eltern/Erziehungsberechtigte; Mitarbeitende (pädagogisches/administratives Personal).
Kategorien personenbezogener Daten:
Stammdaten (Name, Geburtsdatum/-ort, Geschlecht, Sprachen, Ernährungsgewohnheiten),
Einrichtungs-/Vertragsdaten (Gruppenzugehörigkeit, Zeiten, Gebühren),
Kommunikationsdaten (Nachrichten, Aushänge, Mitteilungen, ggf. Foto-/Video‑Inhalte),
Anwesenheits-/Zeiterfassungsdaten,
Entwicklungs-/Beobachtungsdaten; Unfall-/Vorfallberichte,
Gesundheitsdaten (Allergien, Impfungen, Medikation, Verletzungen), ggf. sensible Angaben (Religion, Ethnie) soweit vom Auftraggeber erfasst,
Zahlungs-/Abrechnungsdaten (keine Speicherung kompletter Kartennummern in der SaaS).
Besondere Hinweise:
KI‑Funktionen (sofern aktiviert): Verarbeitung von Inhalten (Texte/Bilder) zur Bereitstellung generativer Ausgaben; Kundendaten werden nicht zum Training allgemeiner KI‑Modelle verwendet; eingesetzte Unterauftragsverarbeiter sind in Anhang B genannt.
Dauer der Verarbeitung: gem. Ziffer 3; Backups/Logiken ohne festgelegte Fristen, soweit nicht gesetzlich/vertraglich geboten.
Art der Verarbeitung:
Erheben, Speichern, Organisieren, Strukturieren, Anpassen, Auslesen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen.

Anhang B: Autorisierte Unterauftragsverarbeiter und Datenstandorte

Hinweis: Alle nachstehenden Dienste sind autorisierte Unterauftragsverarbeiter nur, wenn die jeweils korrespondierende Funktion in der Kita‑SaaS aktiviert ist. Es werden keine spezifischen Regionen festgelegt; internationale Übermittlungen erfolgen unter den in dieser AVV beschriebenen Mechanismen (einschließlich Anhang E).

Auth0 (Okta, Inc., USA) – optional, nur bei Aktivierung der Login-/MFA‑Funktion Zweck: Authentifizierung/Autorisierung (sichere Anmeldung, Zugriffsverwaltung, MFA). Datenkategorien: E‑Mail, Benutzername, verschlüsselte Passwörter, IP‑Adresse, Geräteinformationen, Login‑Zeitstempel, Identifikations-/Nutzungsdaten. Datenschutz: https://auth0.com/privacy
Amazon Web Services (AWS, Amazon Web Services, Inc., USA) – optional, nur bei Aktivierung des Hosting‑Stacks Zweck: Hosting/Serverinfrastruktur für Webanwendungen und Daten. Datenkategorien: Bestands‑, Kontakt‑, Inhalts‑, Vertrags‑, Nutzungs‑, Meta‑, Kommunikationsdaten. Datenschutz: https://aws.amazon.com/de/privacy
Devcycle (Taplytics, Inc., Kanada) – optional, nur bei Aktivierung von Feature‑Flags/A‑B‑Tests Zweck: Feature‑Flags, gezielte Freischaltung, Experimente, Nutzungsanalyse. Datenkategorien: IP‑, Geräte-/Browserinformationen, Nutzungsdaten, Feature‑Flag‑Status, technische/analytische Daten. Datenschutz: https://devcycle.com/privacy
DigitalOcean (DigitalOcean, LLC, USA) – optional, nur bei Aktivierung des Infrastruktur‑Moduls Zweck: Cloud‑Infrastruktur, Hosting, Speicher, Netzwerk. Datenkategorien: IP‑Adressen, Nutzungs‑, Meta‑, Kommunikations‑ sowie ggf. Inhaltsdaten. Datenschutz: https://www.digitalocean.com/legal/privacy-policy
Google Maps (Google LLC/Google Ireland Limited) – optional, nur bei Aktivierung von Kartendiensten Zweck: Kartendarstellung, interaktive Kartenfunktionen, Standort-/Routenplanung. Datenkategorien: Standort-/Nutzungsdaten, Geräte-/Browserinformationen, ggf. IP‑Adresse. Datenschutz: https://policies.google.com/privacy?hl=de
Instatus (Instatus, Inc.) – optional, nur bei Aktivierung von Statusseiten/Benachrichtigungen Zweck: Bereitstellung von Statusseiten; Nutzerinformation über Verfügbarkeit/Störungen. Datenkategorien: IP‑Adressen, technische Status‑/Nutzungsdaten, Zeitstempel, ggf. E‑Mail‑Adressen. Datenschutz: https://instatus.com/privacy
Mailersend (The Remote Company, Inc., USA) – optional, nur bei Aktivierung des transaktionalen/automatisierten E‑Mail‑Versands Zweck: Zustellung transaktionaler/automatisierter E‑Mails (Benachrichtigungen, Bestätigungen, Infos). Datenkategorien: E‑Mail‑Adressen, E‑Mail‑Inhalte, IP‑Adressen, Metadaten (Versandzeitpunkt, Zustellstatus), ggf. Nutzungsdaten. Datenschutz: https://www.mailersend.com/legal/privacy-policy
Sentry (Functional Software, Inc., USA) – optional, nur bei Aktivierung von Error‑Monitoring/Logging Zweck: Fehlerüberwachung und ‑protokollierung; Ursachenanalyse; Stabilitätsverbesserung. Datenkategorien: IP‑, Geräte-/Browserinformationen, Fehlerprotokolle, Zeitstempel, technische/analytische Daten. Datenschutz: https://sentry.io/privacy/
SnapShooter (DigitalOcean, LLC, USA) – optional, nur bei Aktivierung des Backup‑Services Zweck: Automatisierte Sicherung/Wiederherstellung von Serverdaten, Datenbanken, Anwendungen; Backup‑Monitoring. Datenkategorien: Serverdaten, Backup‑Inhalte, Metadaten, ggf. Kommunikationsdaten. Datenschutz: https://www.digitalocean.com/legal/privacy-policy
Stripe (Stripe Payments Europe Ltd., Irland; verbundene Unternehmen) – optional, nur bei Aktivierung von Zahlungsfunktionen Zweck: Zahlungsabwicklung; Betrugsüberwachung/‑prävention/‑aufdeckung; Compliance. Datenkategorien: Identitäts‑/Kontaktdaten (Name, E‑Mail, Land, Telefonnummer, Adresse), Geräteinformationen, IP‑Adresse, Zahlungs‑/Transaktionsdaten; ggf. Daten von Finanzdienstleistern/Partnern/Identitätsprüfern, öffentlich zugängliche Quellen; Cookies/Technologien. Datenschutz: https://stripe.com/de/privacy

Die Unterauftragsverarbeiter unterfallen dem Informations-/Widerspruchsverfahren, Notaustausch und der Haftungssystematik gemäß Ziffer 6.

Anhang C: Technische und organisatorische Maßnahmen (TOM)

Transport‑ und Zugangssicherheit: mindestens TLS/SSL 256‑bit; WPA oder besser für WLAN; VPN‑gesicherter Fernzugriff; starke Passwort‑Policy (z. B. ≥ 10 Zeichen, Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen), verpflichtend für privilegierte Rollen; regelmäßige Erneuerung bei besonderen Rollen.
Rollen-/Berechtigungskonzepte: Least‑Privilege, Need‑to‑know; differenzierte Zugriffssteuerung für besondere Kategorien (Gesundheits-/Allergie‑/Unfalldaten).
Protokollierung/Monitoring: Anwendungsprotokolle für administrative Zugriffe; Auswertung bei Sicherheitsereignissen.
Test/Überprüfung: regelmäßige externe Penetrationstests; dokumentierte Wirksamkeitstests.
Verfügbarkeit/Notfall: Backup‑ und Wiederherstellungspläne; Business Continuity; regelmäßige Tests.
Entwicklung/Test: Trennung von Produktiv-/Testumgebungen; Nutzung anonymisierter/pseudonymisierter Daten für Tests.

Anhang D: Aufbewahrungs- und Löschkonzept

Grundsatz: Löschung mit Vertragsende gem. Ziffer 12; gesetzliche Aufbewahrungen bleiben unberührt (Sperrung). Dienstleisterspezifische Fristen werden nicht festgelegt, sofern nicht gesetzlich/vertraglich geboten.

Anhang E: Zusatzklauseln zu Übertragungsmechanismen

Personenbezogene Daten werden sowohl während der Übertragung als auch im Ruhezustand mit Verschlüsselungstechnologie nach Industriestandard geschützt.
Soweit rechtlich zulässig, widersetzt sich der Auftragsverarbeiter Anfragen nach ausländischem Sicherheitsrecht (einschließlich Section 702 FISA) und nutzt rechtliche Mechanismen zur Anfechtung von Zugriffsanordnungen.
Der Auftragsverarbeiter informiert den Auftraggeber – soweit gesetzlich zulässig – über bindende rechtliche Forderungen in Bezug auf personenbezogene Daten.
Der Datenschutzbeauftragte des Auftragsverarbeiters übt die Aufsicht über internationale Datenübermittlungen aus.

Rangfolgenhinweis

Bei Konflikten gilt die Rangfolge: (i) Übertragungsmechanismen; (ii) Anhang E; (iii) diese AVV; (iv) der Vertrag.

Abschluss

Diese Endfassung ist unmittelbar einsatzbereit. Wenn Sie die Anbieter‑Liste künftig ergänzen oder die Aktivierung einzelner Dienste ändern, genügt eine Aktualisierung von Anhang B unter Beachtung des Informations-/Widerspruchsverfahrens nach Ziffer 6.