Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

1.1 Gegenstand

Gegenstand des Auftrags ist die Bereitstellung der SaaS-Anwendung BKNL Orga als Auftragsverarbeitung gemäß Art. 28 DSGVO zur Verwaltung der Kindertageseinrichtung(en) des Auftraggebers.

1.2 Dauer

Dieser Vertrag tritt mit dem Datum der Unterschrift in Kraft und gilt für die Laufzeit des Hauptvertrags (Nutzungsvertrag BKNL Orga). Er endet automatisch mit Beendigung des Hauptvertrags. Die Verpflichtungen aus § 11 (Löschung) bleiben darüber hinaus bestehen.

§ 2 Art und Zweck der Verarbeitung

2.1 Art

Erhebung, Speicherung, Veränderung, Auslesung, Übermittlung, Abgleich, Verknüpfung, Einschränkung, Löschung sowie Bereitstellung personenbezogener Daten durch die SaaS-Plattform BKNL Orga.

2.2 Zweck

Verwaltung der Kindertageseinrichtung(en) des Auftraggebers — insbesondere: Verwaltung von Kindern, Eltern und Abholberechtigten; Personalverwaltung; Anwesenheitserfassung und Krankmeldungen; Elternbeitragsabrechnung und Forderungsverwaltung; Erstellung gesetzlich vorgeschriebener Berichte an Behörden (KIDZ, KDW, KJH); Kommunikation Einrichtung ↔ Eltern; pädagogische Dokumentation; Veranstaltungs- und Aktivitäts-Planung.

§ 3 Art der personenbezogenen Daten

Kinderdaten

• Name, Geburtsdatum, Geschlecht, Anschrift
• Staatsangehörigkeit, Muttersprache, Religion (besondere Kategorien nach Art. 9 DSGVO)
• Allergien, Krankheiten, U-Untersuchungs-Status (Art. 9 DSGVO)
• Foto (optional, mit Einwilligung), Anwesenheitszeiten, pädagogische Beobachtungen

Elterndaten

• Name, Anschrift, Kontaktdaten (Telefon, E-Mail)
• Beruf, Arbeitgeber (für Beitragsberechnung)
• Einkommensklasse (für Beitragsberechnung — keine Klartextzahlen)
• Familienstand, Sorgerechts-Status

Personaldaten

• Name, Anschrift, Geburtsdatum, Kontaktdaten
• Sozialversicherungsnummer, Steuer-ID, Bankverbindung (für Gehalt, optional)
• Ausbildung, Qualifikationen, Belehrungen
• Arbeitszeiten, Urlaub, Krankheitstage
• Gesundheitsdaten im Rahmen der Belehrungen (Art. 9 DSGVO)

Abholberechtigte

• Name, Telefon, Beziehung zum Kind, Foto (optional)

§ 4 Kategorien betroffener Personen

• Kinder (Minderjährige, besondere Schutzbedürftigkeit)
• Eltern / Erziehungsberechtigte
• Abholberechtigte
• Mitarbeitende der Einrichtung
• Ehrenamtliche
• Externe Ansprechpartner (Lieferanten, Behördenkontakte)

§ 5 Pflichten des Auftragnehmers

5.1 Verarbeitung nur auf Weisung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers. Weisungen sind in Textform zu erteilen.

5.2 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle mit der Datenverarbeitung beauftragten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

5.3 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die konkreten Maßnahmen sind in Anlage 1 (TOM-Liste) aufgeführt — Auszug einsehbar unter /sicherheit.html.

5.4 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei: Beantwortung von Anträgen Betroffener (Art. 12–23 DSGVO); Datenschutz-Folgenabschätzungen (Art. 35 DSGVO); Konsultationen mit Aufsichtsbehörden (Art. 36 DSGVO); Meldungen von Datenschutzverletzungen (Art. 33–34 DSGVO).

5.5 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Bekanntwerden in Textform.

5.6 Datenschutzbeauftragter

Der Auftragnehmer bestätigt die Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO), sofern gesetzlich erforderlich. Kontaktdaten: datenschutz@bknl.de (externer DSB wird vor Echtbetrieb benannt).

5.7 Verzeichnis von Verarbeitungstätigkeiten

Der Auftragnehmer führt ein Verzeichnis aller Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

§ 6 Rechte des Auftraggebers

6.1 Weisungsrecht

Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung in Textform zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

6.2 Kontroll- und Prüfungsrecht

Der Auftraggeber kann sich vor Ort und durch Stichproben von der Einhaltung der vereinbarten Maßnahmen überzeugen. Der Auftragnehmer ermöglicht solche Kontrollen nach vorheriger Ankündigung (mind. 14 Tage) zu üblichen Geschäftszeiten. Statt einer Vor-Ort-Prüfung kann der Auftragnehmer aktuelle Audit-Berichte (z. B. ISO 27001-Zertifikate oder Pentesting-Berichte) vorlegen.

6.3 Eigentum an Daten

Alle verarbeiteten Daten verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer erwirbt keinerlei Nutzungsrechte über den Vertragszweck hinaus.

§ 7 Unterauftragsverarbeiter

7.1 Aktuelle Unterauftragsverarbeiter

Unternehmen	Sitz	Tätigkeit	DSGVO-Status
Hetzner Online GmbH	Gunzenhausen, DE	Hosting Cloud-Server, Backup	AVV vorhanden, EU-Standort
Let's Encrypt (ISRG)	USA	TLS-Zertifikate (kein PII)	Standardvertragsklauseln

Keine KI-Anbieter als Sub-Auftragsverarbeiter. Die optionale KI-Übersetzung läuft als lokales Open-Source-Modell (Ollama, gemma2:2b) auf demselben Hetzner-Server — kein Datenfluss an OpenAI, Anthropic, Google, Microsoft oder vergleichbare Anbieter.

Bei Inanspruchnahme weiterer Subunternehmer informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage vorher. Der Auftraggeber kann der Einbeziehung aus wichtigem Grund widersprechen.

7.2 Sorgfältige Auswahl

Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und schließt mit ihnen AVV-Verträge nach Art. 28 DSGVO, die gleichwertige Verpflichtungen zu denen dieses Vertrags enthalten.

§ 8 Datenübermittlung in Drittländer

Eine Datenübermittlung in Länder außerhalb der EU/des EWR erfolgt nur, wenn die in Art. 44 ff. DSGVO genannten Voraussetzungen erfüllt sind (Angemessenheitsbeschluss, Standardvertragsklauseln, Genehmigung der Aufsichtsbehörde). Stand heute werden alle Daten ausschließlich innerhalb Deutschlands (Hetzner-Standorte) gespeichert und verarbeitet.

§ 9 Mitteilungs- und Informationspflichten

Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit:

• Verletzungen des Schutzes personenbezogener Daten (siehe § 5.5)
• Anfragen Betroffener, die fälschlicherweise an ihn gerichtet werden
• Anfragen oder Maßnahmen von Aufsichtsbehörden
• Beendigung des Vertragsverhältnisses mit einem Unterauftragsverarbeiter
• Wesentliche Änderungen der technischen und organisatorischen Maßnahmen

§ 10 Vergütung

Mit der vereinbarten Vergütung des Hauptvertrags sind sämtliche Leistungen aus diesem AVV abgegolten. Vor-Ort-Audits sind separat zu vergüten.

§ 11 Beendigung / Löschung

11.1 Datenrückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber innerhalb von 30 Tagen alle personenbezogenen Daten in einem gängigen, maschinenlesbaren Format (CSV, JSON oder SQL-Export) zur Verfügung.

11.2 Löschung

Nach erfolgter Rückgabe — spätestens 60 Tage nach Vertragsbeendigung — löscht der Auftragnehmer sämtliche personenbezogene Daten einschließlich aller Sicherungskopien. Eine Löschbestätigung erfolgt in Textform.

11.3 Aufbewahrungspflichten

Soweit gesetzliche Aufbewahrungspflichten des Auftragnehmers dem entgegenstehen (z. B. handels- oder steuerrechtlich), wird die Aufbewahrung gegenüber dem Auftraggeber dokumentiert und nach Ablauf der Fristen gelöscht.

§ 12 Haftung

Die Haftung richtet sich nach den Vorschriften des Hauptvertrags und Art. 82 DSGVO. Im Außenverhältnis haftet der Auftragnehmer dem Betroffenen gegenüber für Schäden, die durch eine seinem Verantwortungsbereich zuzurechnende Verletzung dieses Vertrages oder der DSGVO entstanden sind, gesamtschuldnerisch mit dem Auftraggeber.

§ 13 Schlussbestimmungen

13.1 Schriftform

Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform; dies gilt auch für die Aufhebung des Schriftformerfordernisses. Die elektronische Form ist ausgeschlossen.

13.2 Salvatorische Klausel

Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

13.3 Rangfolge

Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie den Datenschutz betreffen.

13.4 Anwendbares Recht und Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Ludwigshafen am Rhein.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) — Auszug einsehbar unter /sicherheit.html
• Anlage 2: Liste der eingesetzten Unterauftragsverarbeiter — siehe § 7.1
• Anlage 3: Datenkategorien-Übersicht — siehe § 3