AV-Vertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO für die Zusatzfunktion Synchronisierung
Fassung 1.0, Stand November 2026

zwischen

dem Kunden, der die Zusatzfunktion Synchronisierung zu seiner Kima-Lizenz gebucht hat (Träger oder Einrichtung, wie bei der Buchung angegeben)
– nachfolgend „Verantwortlicher“ –

und

Wi3e Digital UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Robin Wieske
Friedrich-Ebert-Straße 55, 42103 Wuppertal
Amtsgericht Wuppertal, HRB 36283
– nachfolgend „Auftragsverarbeiter“ –

Präambel

Kima ist eine Webanwendung, die ihre Daten im Browser auf dem Gerät des Verantwortlichen speichert. Ohne die Zusatzfunktion Synchronisierung verarbeitet der Auftragsverarbeiter keine Planungsdaten des Verantwortlichen (§ 8 Abs. 2 der AGB); dieser Vertrag gilt nur, sofern der Verantwortliche die Zusatzfunktion gebucht hat. Mit ihr gleichen die Geräte einer Einrichtung ihre Planungsdaten über einen Server des Auftragsverarbeiters ab. Die Daten werden dafür auf den Geräten Ende-zu-Ende-verschlüsselt; der Schlüssel verlässt die Geräte des Verantwortlichen nicht. Der Server speichert nur verschlüsselte Daten und die zum Betrieb nötigen Metadaten. Auch diese Speicherung ist eine Verarbeitung im Auftrag, die dieser Vertrag regelt.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen beim Betrieb der Zusatzfunktion Synchronisierung (§ 10a der AGB). Der Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.
2. Der Vertrag beginnt mit der Buchung der Zusatzfunktion und läuft, solange die Zusatzfunktion gebucht ist. Er endet mit ihr, ohne dass es einer Kündigung bedarf. Die Pflichten nach § 10 (Löschung) und die Vertraulichkeit gelten bis zur vollständigen Löschung der Daten fort.

§ 2 Art und Zweck der Verarbeitung

1. Der Auftragsverarbeiter nimmt die auf den Geräten des Verantwortlichen verschlüsselten Änderungen und Gesamtstände der Planungsdaten entgegen, speichert sie und stellt sie den vom Verantwortlichen gekoppelten Geräten zum Abruf bereit (Speichern, Bereitstellen, Löschen). Er verwaltet die gekoppelten Geräte und ihre Zugangsberechtigungen.
2. Zweck ist allein der Abgleich der Planungsdaten zwischen den Geräten einer Einrichtung. Die Synchronisierung ist keine Datensicherung des Verantwortlichen.
3. Der Auftragsverarbeiter kann die verschlüsselten Inhalte nicht entschlüsseln. Er wertet weder Inhalte noch Metadaten für eigene Zwecke aus, insbesondere nicht für Werbung oder Analysen.
4. Die Verarbeitung findet ausschließlich in Rechenzentren in Deutschland statt. Eine Verlagerung in ein Land außerhalb der EU bzw. des EWR bedarf der vorherigen Zustimmung des Verantwortlichen und der Erfüllung der Art. 44 ff. DSGVO.

§ 3 Art der personenbezogenen Daten

1. Inhaltsdaten (Ende-zu-Ende-verschlüsselt, für den Auftragsverarbeiter nicht lesbar): alle Daten, die der Verantwortliche in Kima erfasst, insbesondere
   • zu Kindern: Name, Geburtsdatum bzw. Alter, Gruppe, Betreuungsumfang und -zeiten, Familienzugehörigkeit, Freundschaften für die Planung, tägliche Anwesenheit und Betreuung;
   • zu Sorgeberechtigten: Name, soweit erfasst;
   • zu Beschäftigten: Name, Stammgruppe, Einsatzmöglichkeiten, Arbeitszeiten und Dienstplan, tägliche Einsätze;
   • Abwesenheiten von Kindern und Beschäftigten mit Zeitraum und, soweit erfasst, der Angabe „krank“;
   • Gruppen, Tagespläne, Planungsregeln und der Name der Einrichtung.
2. Besondere Kategorien: Die Angabe, dass ein Kind oder eine beschäftigte Person krank ist, ist ein Gesundheitsdatum nach Art. 9 Abs. 1 DSGVO. Auch sie wird nur verschlüsselt übertragen und gespeichert.
3. Metadaten (für den Betrieb nötig, nicht Ende-zu-Ende-verschlüsselt): die Kennung des Synchronisierungsbereichs und die zugehörige Lizenz-ID, die Zahl der gekoppelten Geräte und die vom Verantwortlichen vergebenen Gerätenamen, Hashwerte der Gerätezugangsdaten, Größe, Zeitpunkt und laufende Nummer jeder Übertragung, der Zeitpunkt der letzten Aktivität sowie die IP-Adressen der zugreifenden Geräte.

§ 4 Kategorien betroffener Personen

• Kinder, die die Einrichtung besuchen
• Sorgeberechtigte dieser Kinder
• Beschäftigte der Einrichtung (pädagogische Fach- und Hilfskräfte, Leitung)
• Nutzer der gekoppelten Geräte (über Gerätenamen und IP-Adressen)

§ 5 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (§ 6), es sei denn, er ist nach dem Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Er gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen mit.
4. Er informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die Daten dieses Vertrags betrifft, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
5. Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
6. Ansprechpartner für den Datenschutz beim Auftragsverarbeiter ist der Geschäftsführer, erreichbar unter hallo(at)kima-planer.de.
7. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 6 Weisungen

1. Die Weisungen des Verantwortlichen sind abschließend in diesem Vertrag und den Funktionen der Zusatzfunktion festgelegt: Mit dem Koppeln und Entfernen von Geräten, dem Bearbeiten von Daten und dem Beenden der Synchronisierung in der App erteilt der Verantwortliche die jeweilige Weisung.
2. Weitere Weisungen erteilt der Verantwortliche in Textform (z. B. per E-Mail an die Adresse in § 5 Abs. 6). Mündliche Weisungen bestätigt er unverzüglich in Textform.
3. Weisungen, die über die vereinbarte Leistung hinausgehen, behandeln die Parteien als Änderungswunsch.

§ 7 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Erfassung der Daten in Kima, und für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO). Das schließt die Rechtsgrundlage für Gesundheitsdaten nach Art. 9 Abs. 2 DSGVO ein.
2. Der Verantwortliche bewahrt den Schlüssel und die Kopplungscodes (QR-Codes) sicher auf, koppelt nur Geräte seiner Einrichtung und entfernt verlorene oder nicht mehr genutzte Geräte unverzüglich. Wer über einen Kopplungscode oder ein gekoppeltes Gerät verfügt, kann alle synchronisierten Daten lesen und ändern.
3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen im Voraus in Textform, bevor er einen weiteren Unterauftragsverarbeiter hinzuzieht oder einen bestehenden ersetzt. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Widerspricht er, kann er die Zusatzfunktion zum Zeitpunkt der Änderung beenden; den bereits gezahlten Preis für die verbleibende Laufzeit erstatten wir anteilig.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter für eigene Zwecke in Anspruch nimmt (z. B. Telekommunikation, Zahlungsabwicklung, E-Mail-Versand an den Kunden).

§ 9 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Da er die Inhaltsdaten nicht lesen kann, erfüllt der Verantwortliche Auskunft, Berichtigung und Löschung einzelner Personen in der App; die Änderungen werden auf alle Geräte übertragen, die Löschung einer Person entfernt deren Daten aus dem Synchronisierungsstand. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
2. Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen, insbesondere mit der Beschreibung der Maßnahmen in Anlage 1.

§ 10 Löschung und Rückgabe

1. Die vollständigen Daten liegen auf den Geräten des Verantwortlichen; eine Rückgabe durch den Auftragsverarbeiter ist daher nicht erforderlich. Der Verantwortliche kann sie jederzeit in der App exportieren.
2. Endet die Zusatzfunktion oder die Lizenz, kann der Server für 30 Tage nur noch gelesen werden, damit die Geräte ihren Stand abgleichen können. Danach löscht der Auftragsverarbeiter den Synchronisierungsbereich mit allen gespeicherten Daten und Metadaten nach § 3 automatisch. Auf Weisung des Verantwortlichen löscht er ihn früher.
3. Bereits während der Laufzeit werden ältere Übertragungen gelöscht, sobald ein neuerer Gesamtstand vorliegt, und die Zugangsdaten entfernter Geräte ungültig gemacht.
4. Die Synchronisierungsdaten sind nicht Teil der Datensicherungen des Auftragsverarbeiters, sodass die Löschung nach Absatz 2 auch Sicherungskopien umfasst. Die IP-Adressen in den Protokollen des Webservers werden nach 14 Tagen gelöscht.
5. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere diese Beschreibung der Maßnahmen und die Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen nach ISO/IEC 27001).
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Diese sind mit angemessener Frist (in der Regel 14 Tage) anzumelden, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Ohne konkreten Anlass genügt in der Regel eine Prüfung pro Jahr; vorrangig werden schriftliche Auskünfte und Nachweise genutzt.
3. Der Auftragsverarbeiter kann für Inspektionen vor Ort, die über eine Prüfung pro Jahr hinausgehen, eine angemessene Vergütung verlangen, es sei denn, ein Verstoß des Auftragsverarbeiters war Anlass der Prüfung.

§ 12 Haftung

1. Für Schäden, die einer betroffenen Person wegen einer nicht der DSGVO entsprechenden Verarbeitung entstehen, haften die Parteien nach Art. 82 DSGVO.
2. Im Verhältnis der Parteien zueinander gilt § 9 der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt. Wer im Außenverhältnis Schadensersatz leistet, kann von der anderen Partei den Teil zurückfordern, der deren Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

§ 13 Vertragsschluss und Schlussbestimmungen

1. Der Vertrag kommt zustande, wenn der Verantwortliche bei der Buchung der Zusatzfunktion Synchronisierung bestätigt, ihn in dieser Fassung abzuschließen. Der Auftragsverarbeiter speichert dazu die Lizenz, die Fassung und den Zeitpunkt. Der Vertrag ist damit in einem elektronischen Format abgeschlossen (Art. 28 Abs. 9 DSGVO).
2. Benötigt der Verantwortliche eine unterzeichnete Ausfertigung, kann er diese Seite drucken oder als PDF speichern, unterzeichnen und an den Auftragsverarbeiter senden; dieser schickt eine gegengezeichnete Ausfertigung zurück.
3. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Eine neue Fassung bietet der Auftragsverarbeiter mit einer Frist von mindestens vier Wochen an; bis zur Annahme gilt die bisherige Fassung.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Wuppertal.

Für den Verantwortlichen (nur bei unterzeichneter Ausfertigung):

Ort, Datum: ……………………………………

Name, Funktion, Unterschrift: ……………………………………

Für den Auftragsverarbeiter:

Ort, Datum: ……………………………………

Robin Wieske, Geschäftsführer: ……………………………………

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung und Pseudonymisierung

• Ende-zu-Ende-Verschlüsselung: Die Inhaltsdaten werden auf den Geräten des Verantwortlichen mit AES-GCM (256 Bit) verschlüsselt, bevor sie das Gerät verlassen. Der Schlüssel wird auf einem Gerät des Verantwortlichen zufällig erzeugt und nur beim Koppeln per QR-Code von Gerät zu Gerät weitergegeben. Er wird nie an den Server übertragen; der Auftragsverarbeiter kann die Inhalte nicht entschlüsseln.
• Integrität: Jede Übertragung ist authentifiziert verschlüsselt und an Bereich, Gerät und laufende Nummer gebunden; veränderte Daten erkennen die Geräte und verwerfen sie.
• Transportverschlüsselung: Alle Verbindungen zum Server laufen ausschließlich über HTTPS (TLS).
• Zugangsdaten der Geräte: Der Server speichert von den Gerätezugangsdaten nur einen Hashwert (SHA-256).
• Geringe Metadaten: Die Übertragungen werden auf feste Größenstufen aufgefüllt, damit ihre Größe wenig über den Inhalt verrät.

Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland (Falkenstein bzw. Nürnberg) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert.
• Zugangskontrolle: Zugang zum Server nur für den Auftragsverarbeiter mit persönlichen Schlüsseln; der Verwaltungsbereich verlangt für jede Anmeldung einen zweiten Faktor.
• Zugriffskontrolle: Ein Gerät erhält Zugriff nur auf den Bereich, für den es gekoppelt wurde, und nur, solange die Lizenz mit Zusatzfunktion gültig ist; das wird bei jeder Anfrage geprüft. Ein entferntes Gerät wird sofort abgewiesen. Der Verwaltungsbereich zeigt je Bereich nur Metadaten (Gerätezahl, Größe, letzte Aktivität), nie Inhalte.
• Trennungskontrolle: Jede Einrichtung hat einen eigenen Bereich mit eigenem Schlüssel.
• Vertraulichkeit der Personen: Zugriff auf die Systeme hat nur der Auftragsverarbeiter selbst; befugte Personen sind zur Vertraulichkeit verpflichtet.

Integrität

• Weitergabekontrolle: keine Weitergabe der Daten an Dritte außer an die Unterauftragsverarbeiter nach Anlage 2; Transport nur verschlüsselt (oben).
• Eingabekontrolle: Der Webserver protokolliert Zugriffe ohne Inhalte; die Protokolle werden nach 14 Tagen gelöscht. Verwaltungsvorgänge (z. B. das Löschen eines Bereichs) werden ohne Inhaltsdaten im Ereignisprotokoll festgehalten. Auf dem Server findet keine Reichweitenmessung statt.

Verfügbarkeit und Belastbarkeit

• Die vollständigen Daten liegen auf jedem gekoppelten Gerät; ein Ausfall des Servers verzögert nur den Abgleich, die Planung auf den Geräten läuft weiter.
• Begrenzungen je Gerät, Bereich und IP-Adresse (Zahl der Geräte, Speichergröße, Anfragen) schützen vor Überlastung und Missbrauch.
• Überwachung der Erreichbarkeit und des Serverzustands mit Benachrichtigung bei Störungen.
• Die übrigen Datenbanken des Servers (Lizenzen, Kunden) werden täglich verschlüsselt im Object Storage der Hetzner Online GmbH in Deutschland gesichert. Die Synchronisierungsdaten sind davon ausgenommen (§ 10 Abs. 4).

Löschung

• Ältere Übertragungen werden gelöscht, sobald ein neuerer Gesamtstand vorliegt.
• Wird ein Gerät entfernt, erzeugen die verbliebenen Geräte einen neuen Schlüssel; die mit dem alten Schlüssel verschlüsselten Daten werden danach gelöscht.
• 30 Tage nach dem Ende der Zusatzfunktion oder der Lizenz wird der Bereich automatisch und vollständig gelöscht (§ 10 Abs. 2).

Regelmäßige Überprüfung

• Automatisierte Tests der Zugriffsregeln, der Löschfristen und der Begrenzungen bei jeder Änderung der Software.
• Zeitnahe Sicherheitsaktualisierungen des Betriebssystems und der verwendeten Bibliotheken.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.

Anlage 2: Unterauftragsverarbeiter

Den E-Mail-Versand (z. B. Lizenzschlüssel, Rechnungen) nutzt der Auftragsverarbeiter nur für die Kommunikation mit dem Kunden in eigener Verantwortung; Daten der Synchronisierung werden nicht per E-Mail übertragen. Der E-Mail-Dienstleister ist daher kein Unterauftragsverarbeiter nach diesem Vertrag.