Vertrag zur Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO · Fassung 1 · Stand: Oktober 2026
zwischen der Kindertageseinrichtung oder ihrem Träger, die KitaKadabra nutzt (nachfolgend „Verantwortlicher“),
und Manuel Rakers, Hasselsstraße 41, 40599 Düsseldorf, E-Mail hallo@kitakadabra.de (nachfolgend „KitaKadabra“).
1 · Gegenstand, Abschluss und Dauer
KitaKadabra verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten, soweit das für den Betrieb der Nutzerkonten der Einrichtung nötig ist.
Dieser Vertrag gehört zum Nutzungsvertrag über die Web-Anwendung KitaKadabra, auch zum kostenlosen Testvertrag. Die Leitung oder Co-Leitung schließt ihn für die Einrichtung elektronisch ab: bei der Registrierung oder mit dem Haken in der Anwendung (Art. 28 Abs. 9 DSGVO). Er wird mit dem Nutzungsvertrag wirksam. Als Nachweis speichert KitaKadabra die Fassung, den Zeitpunkt sowie Name und E-Mail-Adresse der Person, die zustimmt.
Der Vertrag läuft so lange wie der Nutzungsvertrag, einschließlich des Ruhezustands von 90 Tagen nach dessen Ende (AGB Ziffer 6).
2 · Umfang – und ausdrückliche Grenze
Zweck: Anmeldung und Verwaltung der Zugänge, Speichern der Einstellungen und Vorlagen der Einrichtung, Bearbeiten von Rückmeldungen und Hilfe-Anfragen.
Datenarten, insbesondere:
- zu den Zugängen, die die Einrichtung anlegt (Leitung, Co-Leitung, Gruppen, Vertretungen): Name, E-Mail-Adresse, Rolle, Passwort in verschlüsselter Form, Anmelde-Zeitpunkte und Einstellungen (zum Beispiel Favoriten);
- Logo oder Wasserzeichen der Einrichtung;
- Vorlagen (Banner, Seitenrand und Titel) mit dem Namen der Person, die sie gespeichert hat;
- Rückmeldungen und Hilfe-Anfragen mit Name, E-Mail-Adresse und Rolle der absendenden Person;
- Protokolleinträge zu den Zugängen und Zählwerte zur Nutzung.
Betroffene Personen: Beschäftigte und Beauftragte der Einrichtung, für die ein Zugang angelegt ist.
Ausdrücklich NICHT Gegenstand dieses Vertrags und der Verarbeitung: Fotos, Portfolioseiten, Collagen und Angaben zu Kindern. Diese Inhalte werden nur im Browser auf den Geräten der Einrichtung verarbeitet und erreichen KitaKadabra zu keinem Zeitpunkt. Die datenschutzrechtliche Verantwortung dafür liegt vollständig bei der Einrichtung.
Ebenfalls nicht Gegenstand sind die Daten, die KitaKadabra für den Vertrag selbst braucht (Stammdaten der Einrichtung, Buchung, Rechnungen und Zahlungen). Dafür ist KitaKadabra selbst verantwortlich. Einzelheiten stehen in der Datenschutzerklärung.
3 · Weisungen
KitaKadabra verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch was die Übermittlung in Drittländer betrifft (Ziffer 6). Als Weisung gilt die Nutzung der Anwendung in ihren vorgesehenen Funktionen. Weitere Weisungen erteilt der Verantwortliche in Textform. Ist KitaKadabra gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt es das vorher mit, soweit das Gesetz es erlaubt.
Hält KitaKadabra eine Weisung für rechtswidrig, informiert es den Verantwortlichen unverzüglich.
4 · Vertraulichkeit
Alle Personen, die bei KitaKadabra mit den Daten arbeiten, sind zur Vertraulichkeit verpflichtet.
5 · Technische und organisatorische Maßnahmen
KitaKadabra trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Übertragung nur verschlüsselt (TLS);
- Passwörter nur als Hash gespeichert;
- Zugriffsschutz auf Zeilenebene: Jede Einrichtung sieht nur ihre eigenen Daten, und was ein Zugang darf, hängt an seiner Rolle;
- Datenbank und Anmeldedienst in einem Rechenzentrum in Frankfurt am Main;
- keine Inhalte von fremden Servern beim Seitenaufruf (keine fremden Schriften oder Programmbibliotheken), kein Tracking;
- Datensparsamkeit: Fotos und Seiten werden gar nicht erst übertragen.
6 · Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Dienst | Zweck | Ort und Absicherung |
|---|---|---|
| Supabase Pte. Ltd., Singapur | Datenbank, Anmeldedienst, Ablage des Logos | Daten in Frankfurt am Main (EU). Zugriffe für Betrieb und Unterstützung auch aus Drittländern, abgesichert durch die EU-Standardvertragsklauseln |
| Netlify, Inc., San Francisco, USA | Auslieferung der Web-Anwendung | USA, EU-U.S. Data Privacy Framework, hilfsweise EU-Standardvertragsklauseln |
| Plus Five Five, Inc. (Resend), San Francisco, USA | Versand kontobezogener E-Mails | USA, EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln |
KitaKadabra verpflichtet seine Unterauftragsverarbeiter vertraglich auf einen gleichwertigen Datenschutz (Art. 28 Abs. 4 DSGVO). Über beabsichtigte Änderungen informiert KitaKadabra den Verantwortlichen vorab in Textform. Er kann aus wichtigem Grund widersprechen.
Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter, sondern verarbeitet Zahlungsdaten in eigener Verantwortung.
7 · Unterstützung des Verantwortlichen
KitaKadabra unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit die Daten bei KitaKadabra liegen.
8 · Meldung von Verletzungen
KitaKadabra meldet dem Verantwortlichen Verletzungen des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
9 · Löschung und Rückgabe
Nach Ende des Nutzungsvertrags und Ablauf des Ruhezustands von 90 Tagen löscht KitaKadabra alle im Auftrag verarbeiteten Daten. Auf Wunsch stellt KitaKadabra vorher eine Übersicht der gespeicherten Zugänge bereit. Den Nachweis dieses Vertrags (Fassung und Zeitpunkt) bewahrt KitaKadabra ohne Name und E-Mail-Adresse auf. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
10 · Nachweis und Kontrolle
KitaKadabra weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach. Es ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach vorheriger Absprache. Der Verantwortliche kann einmal jährlich sowie aus konkretem Anlass weitergehende Auskünfte verlangen.
11 · Neue Fassungen
Ändert sich dieser Vertrag, bekommt er eine neue Fassungsnummer. Die Leitung oder Co-Leitung stimmt ihr in der Anwendung zu. Bis dahin gilt die bisherige Fassung. Jede Fassung bleibt unter kitakadabra.de/avv-fassung-1, -2 usw. abrufbar.
12 · Schlussbestimmungen
Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Bei Widersprüchen zu den AGB geht dieser Vertrag in Datenschutzfragen vor.