Vertrag zur Auftragsverarbeitung (AVV)
Entwurf, Stand November 2026. Bitte vor dem Start anwaltlich prüfen lassen. Die Zustimmung erfolgt elektronisch beim Einrichten der Kindertagespflege in der App und wird mit Zeitpunkt gespeichert.
zwischen der Kindertagespflegeperson, die Buntopia nutzt (Verantwortliche),
und Hyacinthe Herve Mekiedjie Nikam, Buntopia, Heinrich-Grebe-Straße 19/1, 75210 Keltern (Auftragsverarbeiter).
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für die Verantwortliche die Software Buntopia und verarbeitet dabei personenbezogene Daten in ihrem Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art, Zweck, Daten und Betroffene
| Zweck | Organisation und Abrechnung der Kindertagespflege, Information der Eltern |
|---|---|
| Art der Verarbeitung | Speichern, Synchronisieren, Anzeigen, Übermitteln an berechtigte Eltern, Löschen |
| Datenarten | Stammdaten von Kindern und Eltern, Kontaktdaten, Betreuungszeiten, Mahlzeiten, Notizen, Abwesenheiten, Rechnungsdaten; besondere Kategorien: Gesundheitsdaten (Allergien, Unverträglichkeiten) |
| Betroffene | betreute Kinder, Eltern/Erziehungsberechtigte, Notfallkontakte |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, die durch die Nutzung der App-Funktionen erteilt wird, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet.
4. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (TLS) zwischen App und Server
- Hosting der Datenbank in einem Rechenzentrum in Frankfurt am Main
- Mandantentrennung und Zugriffsbeschränkung auf Datenbankebene (Row Level Security): jede Einrichtung sieht nur ihre Daten, Eltern nur die ihres Kindes
- Passwörter nur als Hash gespeichert; Zugang zu Verwaltungsoberflächen nur für den Auftragsverarbeiter, geschützt durch starke Passwörter und Zwei-Faktor-Anmeldung
- Protokollierung von Zustimmungen; Exportfunktion für Datensicherungen
6. Unterauftragsverarbeiter
Die Verantwortliche genehmigt folgende Unterauftragsverarbeiter:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Supabase Inc., USA | Datenbank, Anmeldung, Synchronisierung | Rechenzentrum Frankfurt (EU); Absicherung über EU-Standardvertragsklauseln |
| ALL-INKL.COM – Neue Medien Münnich | Versand von System-E-Mails, Webseite | Deutschland |
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter die Verantwortliche vorab; sie kann der Änderung widersprechen.
7. Unterstützung der Verantwortlichen
Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen sowie bei Meldungen von Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter die Daten der Verantwortlichen nach Ablauf von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Vorher kann die Verantwortliche ihre Daten über die Exportfunktion sichern.
9. Kontrollen
Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach vorheriger Ankündigung.
10. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.