Vertrag zur Auftragsverarbeitung

Fassung 2026-10-13

Präambel

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er wird zwischen der Einrichtung oder dem Träger, für den ein Konto bei Kibo handelt (im Folgenden „Verantwortlicher“), und Florian van der Galiën, Rupprechtstr. 19, 95444 Bayreuth (im Folgenden „Auftragsverarbeiter“) geschlossen. Er gilt für alle Kitas, die diesem Konto gehören, und ergänzt die Allgemeinen Geschäftsbedingungen des Dienstes (im Folgenden „Hauptvertrag“). Wie er zustande kommt und dokumentiert wird, regelt § 14.

§ 1 Gegenstand, Dauer und Abgrenzung

(1) Gegenstand ist der Betrieb der Anwendung „Kibo“, eines digitalen schwarzen Bretts für Kitas, für den Verantwortlichen:

das Speichern und Anzeigen der Bretter seiner Kitas und der dort angepinnten Zettel unter dem Link der Kita (Kita-Link) und den Adressen der einzelnen Bretter,
das Anzeigen des Namens der Kita und, wenn er eingetragen ist, ihres Datenschutz-Kontakts auf diesen Seiten,
das Entgegennehmen von Meldungen zu Zetteln, ihre Bearbeitung durch die Kita und die Benachrichtigung ihrer Inhaberin oder ihres Inhabers und ihrer Admins per E-Mail,
die Benachrichtigungen über neue Zettel an Geräte, auf denen sie für ein Brett eingeschaltet wurden,
die Mitgliedschaften und Rollen der Personen, die eine Kita verwalten, und die Einladungen dazu,
der Export der Daten einer Kita (§ 12 Abs. 2).

(2) Der Vertrag gilt, solange der Auftragsverarbeiter für den Verantwortlichen Daten nach diesem Vertrag verarbeitet, auch in der Testphase und solange eine Kita pausiert ist. Er endet mit dem Hauptvertrag, frühestens aber mit der Löschung der Daten nach § 12.

(3) Nicht Gegenstand dieses Vertrags ist, was der Auftragsverarbeiter als eigener Verantwortlicher zu eigenen Zwecken verarbeitet; dazu gibt die Datenschutzerklärung des Dienstes Auskunft:

Konten: die Konten aller Personen, die eine Kita verwalten – Inhaberinnen und Inhaber ebenso wie eingeladene Admins –, mit Name, E-Mail-Adresse, Anmeldedaten (Passwort als Hash, Zwei-Faktor-Anmeldung, Passkeys), Sitzungen mit IP-Adresse und Browserkennung und den Einträgen für vertrauenswürdige Geräte, außerdem die E-Mails zu Anmeldung und Konto. Ausgenommen ist, was Teil der Mitgliedschaft in einer Kita ist: Name, E-Mail-Adresse und Rolle eines Mitglieds, wie die Kita sie in ihrer Mitgliederliste, bei offenen Einladungen und bei abgeschlossenen Meldungen („abgeschlossen von …“) sieht – das verarbeitet der Auftragsverarbeiter im Auftrag.
Abo und Rechnung: Daten zum Abo, zur Rechnung und zur Zustimmung zu Hauptvertrag und diesem Vertrag.
Schutz vor Missbrauch: Zähler und Prüfwerte, mit denen der Dienst als Ganzes – über alle Kitas hinweg – vor Spam, Überlastung und dem Erraten von Passwörtern geschützt wird (Erwägungsgrund 49 DSGVO). Ausgenommen sind die Prüfwerte, mit denen Kibo einen Zettel erkennt, der auf demselben Brett schon hängt, und Anmerkungen, die zu demselben Zettel schon gemeldet wurden: Sie vergleichen nur innerhalb eines Bretts oder eines Zettels, gehen mit dem Zettel und sind Teil der Leistung nach Abs. 1.
Server-Protokolle und die Sicherheit des Betriebs.
Hinweise auf rechtswidrige Inhalte an den Auftragsverarbeiter nach Art. 16 bis 18 der Verordnung (EU) 2022/2065 (Digital Services Act, DSA): die E-Mail mit dem Hinweis und einer Kopie des Zettels, Name und E-Mail-Adresse der meldenden Person, die Eingangsbestätigung, die Prüfung, die Entscheidung und gegebenenfalls die Meldung an Strafverfolgungsbehörden. Das ist eine eigene gesetzliche Pflicht des Auftragsverarbeiters als Anbieter eines Hostingdienstes. Der Fall, den die Kita zu derselben Meldung bekommt, und die Kopie des Zettels darin bleiben Verarbeitung im Auftrag; § 4 Abs. 4 regelt, was gilt, wenn der Auftragsverarbeiter einen Zettel deshalb entfernt.
die Zählung der Aufrufe der Startseite des Dienstes und die gespeicherten Fassungen des Hauptvertrags und dieses Vertrags.

(4) Darüber hinaus verarbeitet der Auftragsverarbeiter die Daten, die er im Auftrag verarbeitet, für keine eigenen Zwecke; insbesondere wertet er sie nicht aus, gibt sie nicht weiter und nutzt sie nicht für Werbung oder zum Training von Modellen. Bestimmt er unter Verstoß gegen diesen Vertrag die Zwecke und Mittel einer Verarbeitung selbst, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst das Erheben, Speichern, Anzeigen, Übermitteln an die Abrufenden, Zustellen von Benachrichtigungen und E-Mails, Exportieren und Löschen der in § 3 genannten Daten. Sie findet automatisiert in der Anwendung statt; Personen des Auftragsverarbeiters sehen die Daten nur, soweit es für Betrieb, Sicherheit, Wiederherstellung oder eine Weisung nötig ist.

(2) Zweck ist allein, dem Verantwortlichen den Aushang seiner Kitas bereitzustellen: Eltern und andere Personen, denen die Kita den Link gibt, lesen die Bretter, pinnen Zettel an, melden Zettel und lassen sich über neue Zettel benachrichtigen; die Kita verwaltet Bretter, Zettel, Meldungen und ihr Team.

§ 3 Art der Daten und Kreis der betroffenen Personen

(1) Verarbeitet werden folgende Arten personenbezogener Daten:

Kita und Bretter: Name der Kita, der Kita-Link (eine zufällige Kennung aus 22 Zeichen), der Datenschutz-Kontakt der Kita (eine E-Mail-Adresse oder ein Link), Art, Name und Beschreibung der Bretter und ihre Einstellungen. Personenbezogen sind sie, soweit sie eine Person nennen.
Inhalte der Zettel: Kategorie, Überschrift, Text, Name oder Kürzel der anpinnenden Person und – soweit angegeben – ein Kontaktfeld, zum Beispiel Telefonnummer oder E-Mail-Adresse, außerdem Zeitpunkt des Anpinnens und des Ablaufs und ein Hash des Schlüssels, mit dem die anpinnende Person den Zettel wieder abnimmt. Die Zettel können weitere personenbezogene Daten enthalten, die die anpinnende Person in den Text schreibt (Abs. 3).
Prüfwerte gegen doppelte Zettel und Meldungen: ein HMAC aus Brett und normalisiertem Text eines Zettels beziehungsweise aus Zettel und Anmerkung einer Meldung, der nach 24 Stunden abläuft und spätestens mit dem Zettel gelöscht wird; der Text selbst wird dafür nicht gespeichert.
Meldungen: zu jedem gemeldeten Zettel ein Fall mit einer Kopie des Zettels (Kategorie, Überschrift, Text, Name, Kontakt, Zeitpunkte), den Gründen und Anmerkungen der Meldungen und ihren Zeitpunkten, dem Stand des Falls und, sobald er abgeschlossen ist, wann, von welchem Mitglied oder ob vom Auftragsverarbeiter (§ 4 Abs. 4) und ob der Zettel entfernt wurde. Wer gemeldet hat, speichert der Fall nicht – weder Konto noch Adresse noch Netz. Um Missbrauch zu begrenzen, zählt der Auftragsverarbeiter Meldungen je Netz, auch je Brett und je Zettel, allein als HMAC-Zähler, die nach höchstens etwa einem Tag gelöscht werden; das ist sein eigener Schutz vor Missbrauch (§ 1 Abs. 3). Dazu die Benachrichtigungen an Inhaberin, Inhaber und Admins: Empfänger, Stand, Zeitpunkte und die E-Mail selbst, die keinen Text des Zettels und keine Anmerkung enthält.
Benachrichtigungs-Abos von Geräten, auf denen Benachrichtigungen für ein Brett eingeschaltet wurden: Zustelladresse (Endpunkt) beim Push-Dienst des Browsers, zwei Schlüssel zur Verschlüsselung der Nachricht, Zeitpunkt der Aktivierung, Stand des Gelesenen, Zeitpunkt des letzten Besuchs (höchstens einmal am Tag vermerkt) und der letzten Zustellung, Zahl der fehlgeschlagenen Zustellungen.
Mitgliedschaften und Einladungen: Mitgliedschaft und Rolle (Inhaberin oder Inhaber, Admin) der Personen, die eine Kita verwalten, mit Name und E-Mail-Adresse, wie die Kita sie sieht (§ 1 Abs. 3), außerdem offene Einladungen mit der eingeladenen E-Mail-Adresse, der einladenden Person, Ablauf und Stand und die Einladungsmail.

(2) Betroffen sind:

die Beschäftigten und Beauftragten des Verantwortlichen, die seine Kitas verwalten, und Personen, die dazu eingeladen werden,
Eltern, Sorgeberechtigte und andere Personen, die Zettel anpinnen, lesen, melden oder Benachrichtigungen einschalten,
Personen, die in Zetteln oder Meldungen genannt werden, auch Kinder.

(3) Auf den Brettern können Kinder genannt werden, etwa mit dem Vornamen bei einer Fundsache. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Angaben zur Gesundheit eines Kindes, sind nicht vorgesehen, lassen sich in freiem Text aber nicht ausschließen; Kibo prüft Zettel vor dem Anpinnen nicht auf ihren Inhalt. Der Verantwortliche legt fest, wofür seine Bretter da sind, weist die Eltern darauf hin, was nicht auf die Bretter gehört, bearbeitet Meldungen (Kibo bietet dafür den Grund „Persönliche Daten“) und entfernt Zettel mit solchen Daten. Jeder Zettel läuft nach höchstens 30 Tagen ab und wird dann gelöscht (§ 12 Abs. 1); wurde er gemeldet, bleibt eine Kopie im Meldungsfall bis zu 90 Tage nach der ersten Meldung erhalten (§ 12 Abs. 1), und Sicherungen enthalten die Daten danach noch bis zu 16 Tage (§ 12 Abs. 6).

§ 4 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch was die Übermittlung in ein Drittland oder an eine internationale Organisation betrifft (§ 5), es sei denn, das Recht der Europäischen Union oder eines Mitgliedstaats, dem er unterliegt, verpflichtet ihn zu einer anderen Verarbeitung; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und aus dem, was die Mitglieder einer Kita in der Anwendung tun – etwa dem Anlegen, Ändern und Löschen von Brettern, dem Entfernen von Zetteln, dem Abschließen einer Meldung mit oder ohne Entfernen des Zettels, dem Erneuern des Kita-Links, dem Eintragen des Datenschutz-Kontakts, dem Ein- und Ausschalten der Benachrichtigungen eines Bretts, dem Einladen und Entfernen von Mitgliedern und dem Export. Weitere Weisungen erteilt der Verantwortliche in Textform an kontakt@mein-kibo.de; mündliche Weisungen bestätigt er unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert die Weisungen in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Entfernt der Auftragsverarbeiter einen Zettel, weil er nach dem DSA dazu verpflichtet ist oder einen Hinweis auf einen rechtswidrigen Inhalt für begründet hält, handelt er nach Abs. 1 aufgrund des Unionsrechts. Er unterrichtet den Verantwortlichen darüber in dessen Meldungen: Ein offener Fall zu dem Zettel wird als „vom Betreiber entfernt“ abgeschlossen, ebenso der zuletzt abgeschlossene, wenn die Kita den Zettel hängen gelassen hatte; gibt es zu dem Zettel keinen Fall, unterrichtet er ihn in Textform. Im Übrigen nimmt er an Inhalten der Bretter nichts vor, was der Verantwortliche nicht angewiesen hat.

§ 5 Ort der Verarbeitung und Übermittlungen

(1) Der Auftragsverarbeiter und die Unterauftragsverarbeiter nach Anlage 2 Teil A verarbeiten die Daten ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, und zwar in Deutschland (Server, Datenbank und Sicherungen) sowie in den Niederlanden und in Deutschland (Mailversand). Auch Zugriffe für Wartung und Support finden nur aus der Europäischen Union oder dem Europäischen Wirtschaftsraum statt.

(2) Eine Verarbeitung außerhalb von Union und Wirtschaftsraum findet nur auf dokumentierte Weisung des Verantwortlichen statt und nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind. Der Auftragsverarbeiter teilt dem Verantwortlichen vorher mit, wohin und auf welcher Grundlage.

(3) Benachrichtigungen über neue Zettel stellt der Auftragsverarbeiter an den Push-Dienst zu, den der Browser des jeweiligen Geräts verwendet (Anlage 2 Teil B). Diese Dienste wählt nicht der Auftragsverarbeiter aus, und einige sitzen außerhalb der Union. Der Inhalt jeder Nachricht ist Ende-zu-Ende verschlüsselt; was die Dienste dennoch sehen, nennt Anlage 2 Teil B. Jedes neue Brett wird mit eingeschalteten Benachrichtigungen angelegt. Lässt der Verantwortliche Benachrichtigungen für ein Brett eingeschaltet, weist er damit diese Zustellung an; er kann sie für jedes Brett abschalten, was die Abos des Bretts löscht – solange die Kita pausiert ist, auf Weisung durch den Auftragsverarbeiter (§ 12 Abs. 1); eine pausierte Kita verschickt keine Benachrichtigungen. Will er keine Zustellung über Push-Dienste außerhalb der Union, schaltet er die Benachrichtigungen jedes Bretts ab, bevor Eltern sie einschalten.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugang zu den Daten nur, soweit es für die Durchführung dieses Vertrags, seine Verwaltung und seine Überwachung unbedingt erforderlich ist. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) Soweit die Daten Sozialdaten sind oder kirchlichem Datenschutzrecht unterliegen, umfasst die Verpflichtung auch das Sozialgeheimnis (§ 35 SGB I, § 78 SGB X) beziehungsweise das kirchliche Datengeheimnis (Anlage 3).

§ 7 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere ersetzen; das in Anlage 1 beschriebene Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter aus der Liste in Anlage 2 Teil A einzusetzen. Die Liste nennt für jeden Namen, Anschrift, Kontakt für den Datenschutz, Leistung und Ort der Verarbeitung; die jeweils aktuelle Fassung steht in Anlage 2 dieses Vertrags unter /avv.

(2) Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzunehmen oder austauschen, teilt er das dem Verantwortlichen mindestens sechs Wochen vorher in Textform an die E-Mail-Adresse des Kontos mit, mit denselben Angaben wie in Anlage 2.

(3) Der Verantwortliche kann der Änderung bis zum Ablauf dieser Frist in Textform widersprechen; eine Begründung ist nicht erforderlich. Die Parteien suchen dann eine Lösung. Hält der Auftragsverarbeiter an der Änderung fest, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen; das Entgelt für den Teil eines bezahlten Zeitraums, der nach der Kündigung liegt, erstattet der Auftragsverarbeiter anteilig. Bis dahin setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter für die Daten des Verantwortlichen nicht ein.

(4) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Auf Anfrage stellt er dem Verantwortlichen eine Kopie zur Verfügung; Geschäftsgeheimnisse darf er dabei schwärzen.

(5) Der Auftragsverarbeiter haftet dem Verantwortlichen für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter wie für eigenes Verhalten und teilt ihm mit, wenn ein Unterauftragsverarbeiter seine Pflichten nicht erfüllt.

(6) Keine Unterauftragsverarbeiter sind die Push-Dienste nach Anlage 2 Teil B (§ 5 Abs. 3) und Dienste, die nur Daten befördern, ohne darauf zuzugreifen, etwa Anbieter von Netzanbindung.

§ 9 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Die Anwendung stellt dafür zur Verfügung, dass die Kita jeden Zettel lesen und entfernen, Meldungen einsehen und abschließen, Bretter löschen, Benachrichtigungen abschalten, Mitglieder entfernen, Einladungen zurückziehen, den Kita-Link erneuern und ihre Daten exportieren kann (solange eine Kita pausiert ist, mit den Ausnahmen nach § 12 Abs. 1). Was sich darüber nicht erledigen lässt, erledigt der Auftragsverarbeiter auf Weisung.

(2) Der Verantwortliche kann auf seinen Brettern einen Datenschutz-Kontakt nennen, an den sich Eltern und andere betroffene Personen mit Fragen und Anträgen wenden. Er ist für dessen Richtigkeit verantwortlich; der Auftragsverarbeiter zeigt ihn nur an.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, beantwortet er den Antrag nicht selbst, sondern leitet ihn unverzüglich an den Verantwortlichen weiter, soweit er sich einer Kita zuordnen lässt, und nennt der Person den Datenschutz-Kontakt der Kita, soweit eingetragen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

§ 10 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die Adresse des Kontos und an eine weitere Adresse, die der Verantwortliche ihm in Textform nennt.

(2) Die Meldung enthält mindestens:

eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
Name und Kontaktdaten der Kontaktstelle des Auftragsverarbeiters: Florian van der Galiën, kontakt@mein-kibo.de,
die wahrscheinlichen Folgen der Verletzung,
die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Folgen.

(3) Lassen sich nicht alle Angaben zugleich machen, enthält die erste Meldung die zu diesem Zeitpunkt verfügbaren; die übrigen reicht der Auftragsverarbeiter ohne unangemessene weitere Verzögerung nach, sobald sie vorliegen, ebenso wesentliche neue Erkenntnisse.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung der betroffenen Personen (Art. 33 und 34 DSGVO) und dokumentiert die Verletzung, ihre Folgen und die ergriffenen Maßnahmen.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag erforderlich sind, und beantwortet Fragen dazu innerhalb von 30 Tagen in Textform.

(2) Kontrollen finden zunächst anhand von Unterlagen statt: der aktuellen Anlage 1 und Anlage 2, schriftlicher Auskünfte des Auftragsverarbeiters und von Nachweisen der Unterauftragsverarbeiter, etwa Zertifizierungen oder Prüfberichten des Hosters. Der Quelltext von Kibo ist öffentlich und kann ebenfalls herangezogen werden.

(3) Eine Prüfung vor Ort beim Auftragsverarbeiter, durch den Verantwortlichen selbst oder eine von ihm beauftragte, zur Verschwiegenheit verpflichtete Person, die nicht für einen Wettbewerber des Auftragsverarbeiters tätig ist, findet statt, wenn die Unterlagen nach Abs. 2 nicht ausreichen, wenn es Anhaltspunkte für einen Verstoß gegen diesen Vertrag gibt, nach einer Verletzung nach § 10 oder wenn eine Aufsichtsbehörde sie verlangt. Sie wird mindestens 30 Tage vorher angekündigt, außer bei einer Verletzung oder dringenden Anhaltspunkten, und findet zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs statt. Daten anderer Kunden sind davon ausgenommen. Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft.

(4) Die Rechte der zuständigen Aufsichtsbehörde bleiben unberührt; der Auftragsverarbeiter stellt ihr die Ergebnisse von Kontrollen auf Anfrage zur Verfügung.

(5) Jede Partei trägt die eigenen Kosten einer Kontrolle.

§ 12 Löschung und Rückgabe

(1) Während der Laufzeit löscht die Anwendung die Daten nach festen Fristen, ohne dass es einer Weisung bedarf:

Zettel nach Ablauf der beim Anpinnen gewählten Frist von 7, 14 oder 30 Tagen, spätestens eine Stunde danach; mit dem Zettel seine Prüfwerte nach § 3 Abs. 1,
Meldungen 30 Tage nach ihrem Abschluss und, auch wenn sie offen sind, spätestens 90 Tage nach der ersten Meldung, mit der Kopie des Zettels und den Benachrichtigungen dazu,
Benachrichtigungs-Abos, wenn die Person sie abschaltet, die Kita die Benachrichtigungen des Bretts abschaltet, den Kita-Link erneuert oder das Brett löscht, wenn der Push-Dienst meldet, dass es das Abo nicht mehr gibt, nach mindestens drei fehlgeschlagenen Zustellungen in Folge ohne erfolgreiche Zustellung in 30 Tagen, und spätestens 180 Tage nach dem späteren von letztem Besuch der Kita in diesem Browser und letzter erfolgreicher Zustellung,
Einladungen innerhalb einer Stunde, nachdem sie angenommen, abgelehnt oder zurückgezogen wurden oder nach sieben Tagen abgelaufen sind.

Der Verantwortliche kann Zettel, Bretter, Mitgliedschaften und Einladungen jederzeit selbst löschen und Meldungen abschließen. Solange eine Kita pausiert ist (Abschnitt „Nach dem Ablauf: Kulanz, Pausierung, Löschung“ des Hauptvertrags), kann er dort keine Bretter löschen, die Benachrichtigungen eines Bretts nicht abschalten und den Kita-Link nicht erneuern; Zettel entfernen, Meldungen abschließen, Mitglieder entfernen, Einladungen zurückziehen und der Export nach Abs. 2 bleiben möglich. Was er während der Pausierung nicht selbst tun kann, erledigt der Auftragsverarbeiter auf Weisung in Textform mit eigenen Mitteln, oder der Verantwortliche tut es selbst, sobald die Kita wieder freigeschaltet ist.

(2) Der Verantwortliche kann die Daten seiner Kitas jederzeit selbst und unentgeltlich exportieren, auch solange eine Kita pausiert ist, bis zu ihrer Löschung. Der Export ist eine Datei im Format JSON („kibo-kita-export“), das unter https://www.mein-kibo.de/docs/selbst-hosten/datenexport beschrieben ist, und enthält: den Namen der Kita; alle Bretter mit Art, Kategorien, Name, Beschreibung, Einstellung der Benachrichtigungen und den Zeitpunkten des Anlegens und der letzten Änderung; alle zum Zeitpunkt des Exports aktuellen Zettel mit Kategorie, Überschrift, Text, Name, Kontakt und den Zeitpunkten des Anpinnens und des Ablaufs. Nicht enthalten sind abgelaufene Zettel, die ohnehin gelöscht sind, der Kita-Link, die Hashes der Schlüssel zum Abnehmen, die Benachrichtigungs-Abos, die Meldungen samt Kopien der Zettel und den Benachrichtigungen dazu, die Mitgliedschaften und Einladungen und der Datenschutz-Kontakt. Wählt der Verantwortliche das, übergibt ihm der Auftragsverarbeiter auf Weisung in Textform auch die übrigen im Auftrag verarbeiteten Daten in einem strukturierten, gängigen Format (etwa JSON): die Meldungen mit den Kopien der Zettel, den Gründen und Anmerkungen und den Benachrichtigungen dazu, die Mitgliedschaften und Rollen, die Einladungen und den Datenschutz-Kontakt der Kita. Diese Daten stellt der Auftragsverarbeiter von Hand außerhalb der Anwendung zusammen; danach werden sie nach Abs. 3 gelöscht. Die heruntergeladene Datei liegt in der Verantwortung des Verantwortlichen.

(3) Nach Wahl des Verantwortlichen werden die Daten bei Ende der Verarbeitung zurückgegeben und danach gelöscht oder ohne Rückgabe gelöscht. Zurückgegeben werden sie durch den Export nach Abs. 2, den er vorher selbst vornimmt, und auf seine Weisung durch die Übergabe der übrigen Daten nach Abs. 2. Endet der Hauptvertrag, löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten:

sofort, wenn die Inhaberin oder der Inhaber das Konto löscht: Die Kitas des Kontos werden mit allen Daten nach § 3 gelöscht;
auf Weisung in Textform innerhalb von 30 Tagen;
nach einem Verlangen, zu wechseln oder die Daten löschen zu lassen, nach dem Abschnitt „Datenexport und Wechsel“ des Hauptvertrags: nach dem Ende der Abruffrist, die dort geregelt ist. Vom Zugang des Verlangens bis zum Ende der Abruffrist hält der Auftragsverarbeiter die Löschung 90 Tage nach dem Ablauf des Abos an; die Kitas bleiben im Umfang des Hauptvertrags nutzbar, und der Export nach Abs. 2 bleibt möglich;
im Übrigen nach den Fristen des Hauptvertrags: 90 Tage nach dem Ablauf des Abos, nachdem der Auftragsverarbeiter die Löschung mindestens 14 Tage vorher per E-Mail an die Adresse des Kontos angekündigt hat. Bis dahin bleibt der Export nach Abs. 2 möglich.

(4) Die Anwendung löscht nach Ablauf des Abos erst, wenn die Ankündigung dem Mailserver übergeben wurde, und wiederholt die Ankündigung bis dahin. Der Auftragsverarbeiter achtet auf Ankündigungen, die wiederholt nicht hinausgehen, und behebt die Zustellung, sodass die Löschung nach Abs. 3 spätestens 120 Tage nach dem Ablauf des Abos erfolgt. Lässt sich die Zustellung nicht beheben, löscht der Auftragsverarbeiter die Kitas spätestens 120 Tage nach dem Ablauf des Abos selbst.

(5) Der Auftragsverarbeiter bestätigt dem Verantwortlichen in Textform an die E-Mail-Adresse des Kontos die Löschungen, die er selbst vornimmt: die Löschung auf Weisung, die Löschung nach dem Ende der Abruffrist eines Verlangens nach Abs. 3 und die Löschung nach Abs. 4, wenn sich die Zustellung der Ankündigung nicht beheben ließ. Die Löschung, die die Anwendung 90 Tage nach dem Ablauf des Abos vornimmt und nach der das Konto bestehen bleibt, bestätigt er auf Anfrage, in Textform an die E-Mail-Adresse des Kontos. Löscht die Inhaberin oder der Inhaber das Konto, wirkt die Löschung sofort und wird nicht gesondert bestätigt.

(6) Sicherungskopien, die gelöschte Daten noch enthalten, werden nach höchstens 16 Tagen turnusmäßig gelöscht und bis dahin nur verwendet, um den Dienst nach einem Ausfall wiederherzustellen. Wird eine Sicherung zurückgespielt, laufen die Löschungen nach festen Fristen nach Abs. 1 innerhalb einer Stunde erneut. Der Auftragsverarbeiter teilt dem Verantwortlichen die Wiederherstellung mit und von wann die Sicherung stammt, also aus welchem Zeitraum Daten wieder vorhanden sein können, die zwischenzeitlich gelöscht worden waren; solche Daten löscht er auf Weisung des Verantwortlichen.

(7) Eine Pflicht, Daten über das Ende des Vertrags hinaus aufzubewahren, besteht für die im Auftrag verarbeiteten Daten nicht, soweit nicht das Recht der Union oder eines Mitgliedstaats sie vorschreibt; dann teilt der Auftragsverarbeiter dem Verantwortlichen das mit und verarbeitet die Daten nur noch dafür.

§ 13 Haftung

Für die Haftung gelten Art. 82 DSGVO und im Verhältnis der Parteien die Regelungen des Hauptvertrags.

§ 14 Vertragsschluss, Form und Dokumentation

(1) Der Vertrag wird elektronisch geschlossen: Das Konto stimmt ihm zusammen mit dem Hauptvertrag zu, indem es beim Anlegen seiner ersten Kita oder bei einer Rechnungsanforderung das Feld zur Zustimmung ankreuzt. Das Feld nennt die Fassung dieses Vertrags und verlinkt genau diese.

(2) Der Auftragsverarbeiter dokumentiert den Vertragsschluss: Er speichert zum Konto die Fassung und den Zeitpunkt der Zustimmung, bewahrt den Text jeder Fassung unverändert auf und hält ihn unter /avv/ abrufbar und speicherbar. Nach der Zustimmung wird an die E-Mail-Adresse des Kontos eine Bestätigung verschickt. Sie nennt den Auftragsverarbeiter mit Anschrift, das Konto mit Name und E-Mail-Adresse und die Kita mit ihrem Namen (beim Anlegen der ersten Kita) oder den Rechnungsempfänger mit Anschrift (bei einer Rechnungsanforderung), außerdem die Fassung, den Zeitpunkt und die Links zum Hauptvertrag und zu diesem Vertrag in dieser Fassung. Kommt die Bestätigung nicht an, stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage an kontakt@mein-kibo.de die Angaben zur Zustimmung in Textform zur Verfügung: den Auftragsverarbeiter, das Konto, Fassung und Zeitpunkt der Zustimmung und die Links auf den Text dieser Fassung unter /agb/ und /avv/.

(3) Dokumentiert ist der Vertrag im elektronischen Format (Art. 28 Abs. 9 DSGVO) durch die gespeicherte Fassung und den gespeicherten Zeitpunkt der Zustimmung, den unverändert abrufbaren Text dieser Fassung und die Bestätigung in Textform nach Abs. 2 – per E-Mail oder, wenn sie nicht ankam, auf Anfrage.

(4) Braucht der Verantwortliche eine unterschriebene Fassung, etwa nach Anlage 3, stellt ihm der Auftragsverarbeiter auf Anfrage an kontakt@mein-kibo.de die Fassung, der er zugestimmt hat, mit allen Anlagen und der aktuellen Anlage 2 (§ 8 Abs. 1) zur Verfügung: als zwei von ihm unterschriebene Exemplare auf Papier, von denen der Verantwortliche eines unterschreibt und zurückschickt oder, nach Wahl des Verantwortlichen, als Dokument, das beide Parteien qualifiziert elektronisch signieren. Inhaltlich ändert das nichts.

(5) Eine neue Fassung dieses Vertrags fragt der Dienst zusammen mit der des Hauptvertrags bei der nächsten Rechnungsanforderung ab; bis zur Zustimmung gilt die Fassung, der zuletzt zugestimmt wurde. Keine Änderung dieses Vertrags sind ein Wechsel der Unterauftragsverarbeiter nach § 8, mit Ankündigung und Recht zum Widerspruch, und der Ersatz von Maßnahmen nach § 7 Abs. 2: Damit nutzt der Auftragsverarbeiter die allgemeine Genehmigung und den Spielraum, die ihm dieser Vertrag einräumt; die jeweils aktuelle Anlage 2 steht unter /avv. Andere Änderungen gelten nur mit Zustimmung des Verantwortlichen in Textform.

§ 15 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Für Verantwortliche, die kirchlichem Datenschutzrecht unterliegen oder Sozialdaten verarbeiten, gilt ergänzend Anlage 3.

(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen

Teil A: Was die Anwendung tut

Diese Maßnahmen sind in Kibo eingebaut; der Quelltext ist öffentlich.

Verschlüsselung der Übertragung

Die Anwendung ist nur über HTTPS erreichbar; ohne https://-Adresse startet sie nicht. Anwendung und Datenbank sind von außen nicht erreichbar, nur der Reverse Proxy.
E-Mails gehen nur verschlüsselt an den Mailserver: TLS ab Version 1.2, entweder von Beginn an oder mit STARTTLS, das dann verlangt wird; das Zertifikat wird geprüft.
Benachrichtigungen sind Ende-zu-Ende verschlüsselt (RFC 8291, aes128gcm) und signiert (VAPID, RFC 8292). Sie enthalten nur den Namen des Bretts, die Überschrift eines neuen Zettels oder die Zahl der neuen Zettel, den Link zum Brett und die Zahl auf dem App-Symbol – nie Text, Name oder Kontakt. Zugestellt wird nur an die bekannten Push-Dienste der Browser (Anlage 2 Teil B).

Zugang und Zugriff

Anmeldung mit Passwort (gespeichert nur als Hash mit scrypt) und bestätigter E-Mail-Adresse. Wahlweise eine Zwei-Faktor-Anmeldung mit Einmalcodes (TOTP), deren Schlüssel und Backup-Codes verschlüsselt gespeichert werden, oder Passkeys, die bei Einrichtung und Anmeldung die Bestätigung durch das Gerät verlangen; einen Passkey hinzuzufügen verlangt das aktuelle Passwort.
Begrenzte Versuche: höchstens 10 Versuche pro 10 Minuten und Netz je Anmeldeweg (Passwort, Einmalcode, Backup-Code, Passkey) und 20 Anmeldeversuche pro Stunde und Konto.
Sitzungs-Cookies nur über HTTPS (Secure, Präfix __Secure-). Ein Zurücksetzen des Passworts beendet alle Sitzungen und löscht alle Passkeys.
Trennung nach Kitas: Jede Abfrage und Änderung im Admin-Bereich prüft die Mitgliedschaft in der Kita, um die es geht; Meldungen sind nur für Mitglieder ihrer Kita sichtbar. Einladen, Mitglieder entfernen und die Kita umbenennen kann nur die Inhaberin oder der Inhaber.
Öffentlicher Zugang zu den Brettern nur über den Kita-Link, eine Zufallskennung aus 22 Zeichen (128 Bit). Jede Abfrage prüft, dass das Brett zur Kita des Links gehört. Jedes Mitglied kann den Link erneuern; die bisherigen Links und alle Benachrichtigungs-Abos der Kita werden damit ungültig.
Den Schlüssel zum Abnehmen eines Zettels speichert der Server nur als Hash.
Die Seiten der Kitas sind für Suchmaschinen gesperrt (noindex), geben keine Herkunftsadresse weiter (Referrer-Policy: no-referrer) und werden nicht in gemeinsamen Caches gespeichert.
Sicherheits-Header auf jeder Seite (Content-Security-Policy, Schutz vor Einbettung in fremde Seiten, nosniff).
Die Anwendung läuft im Container ohne Root-Rechte und ohne die Möglichkeit, Rechte zu erlangen.

Pseudonymisierung und Datensparsamkeit

Zähler zum Schutz vor Missbrauch speichern statt IP-Adressen, E-Mail-Adressen oder Kita-Links nur einen HMAC mit einem zufälligen Schlüssel, der in der Datenbank liegt (und damit in ihren Sicherungen); sie sind pseudonymisiert, nicht anonym. Nur die Anmeldefunktion speichert IP-Adresse (bei IPv6 das /64-Netz) und Pfad im Klartext; diese Einträge werden spätestens rund zwei Stunden nach der letzten Anfrage gelöscht.
Doppelte Zettel und Anmerkungen werden über einen HMAC erkannt, nicht über den Text (§ 3 Abs. 1).
Der Topic-Header einer Benachrichtigung ist ein HMAC aus Brett und Zustelladresse, für jedes Abo ein anderer: Ein Push-Dienst kann daran weder das Brett erkennen noch, welche Geräte demselben Brett folgen.
Meldungen speichern nicht, wer gemeldet hat. Die E-Mails über neue Meldungen enthalten weder Text des Zettels noch Anmerkungen.
Die Protokolle der Anwendung enthalten keine IP-Adressen und keine Links; E-Mail-Adressen erscheinen nur gekürzt, Konten nur als Kennung. Die Beispiel-Konfiguration des Reverse Proxys schreibt keine Zugriffsprotokolle. Protokolle werden nach Größe rotiert (drei Dateien zu je 10 MB je Dienst).

Löschfristen

Zettel, Meldungen, Benachrichtigungs-Abos und Einladungen nach § 12 Abs. 1, geprüft stündlich.
Zähler zum Schutz vor Missbrauch spätestens gut zwei Stunden nach dem Ende ihres Zeitfensters, das höchstens einen Tag dauert; Prüfwerte spätestens eine Stunde nach ihrem Ablauf nach 24 Stunden oder mit dem Zettel.
Bestätigungs- und Zurücksetzungslinks, Anmelde-Challenges und Einträge für vertrauenswürdige Geräte spätestens eine Stunde nach ihrem Ablauf; abgelaufene Sitzungen stündlich.
Kitas mit allen Daten mit dem Konto ihrer Inhaberin oder ihres Inhabers und nach § 12 Abs. 3.

Verfügbarkeit

Ein Skript für Sicherungen der Datenbank (pg_dump, etwa täglich per Cron), das jede Sicherung vor dem Ablegen auf Lesbarkeit prüft, sie nur für den Betrieb lesbar ablegt und Sicherungen nach der eingestellten Aufbewahrung löscht.
Eine Statusabfrage, die nur antwortet, wenn die Datenbank antwortet; beim Herunterfahren werden laufende Anfragen zu Ende bearbeitet.

Teil B: Was der Betrieb tut

Rechenzentrum und Server: ein Server der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in einem Rechenzentrum in Deutschland. Zutritt, physische Sicherheit, Strom und Kühlung des Rechenzentrums verantwortet IONOS; Nachweise sind die Zertifizierungen, die IONOS veröffentlicht (§ 11 Abs. 2).
Administrativer Zugang: Zugriff auf Server, Datenbank und Sicherungen hat allein der Auftragsverarbeiter persönlich. Anmeldung am Server nur per SSH mit Schlüssel, ohne Passwort und ohne direkte Anmeldung als root; das Konto beim Hoster ist mit Zwei-Faktor-Anmeldung geschützt. Anmeldungen am Server protokolliert das Betriebssystem.
Sicherungen: täglich mit dem Skript aus Teil A; jede Sicherung wird 14 Tage aufbewahrt und spätestens nach 16 Tagen gelöscht. Die Sicherungen liegen auf demselben Server, nur für den Betrieb lesbar; eine Kopie außer Haus gibt es nicht.
Wiederherstellung: Die Wiederherstellung aus einer Sicherung wird mindestens vierteljährlich in einer getrennten Umgebung getestet; Datum und Ergebnis werden schriftlich festgehalten.
Aktualität: Sicherheitsupdates des Betriebssystems werden automatisch eingespielt; Updates der Anwendung und der Container-Images zeitnah, mindestens monatlich, bei Sicherheitslücken unverzüglich. Der Auftragsverarbeiter verfolgt die Sicherheitsmeldungen der eingesetzten Software.
Netz: Firewall, von außen sind nur SSH (22), HTTP (80, nur zur Weiterleitung auf HTTPS) und HTTPS (443) erreichbar; Reverse Proxy, Anwendung und Datenbank laufen in eigenen Container-Netzen, die Datenbank ist von außen nicht erreichbar.
Vorfälle: Auffälligkeiten in Protokollen und Fehlermeldungen prüft der Auftragsverarbeiter; eine Verletzung bewertet und dokumentiert er und meldet sie nach § 10. Kontaktstelle: Florian van der Galiën, kontakt@mein-kibo.de.
Organisation: Der Auftragsverarbeiter betreibt den Dienst selbst; setzt er weitere Personen ein, verpflichtet er sie vorher nach § 6 auf Vertraulichkeit. Er überprüft, bewertet und evaluiert diese Maßnahmen mindestens jährlich und hält das Ergebnis schriftlich fest.

Anlage 2: Unterauftragsverarbeiter und Push-Dienste

Teil A: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Kontakt für den Datenschutz	Leistung	Ort der Verarbeitung
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur	Datenschutzbeauftragter der IONOS SE, Anschrift wie links, datenschutz@ionos.de	Betrieb des Servers, auf dem Anwendung, Datenbank und Sicherungen liegen	Deutschland
Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande	legal@lettermint.co	Versand der E-Mails der Anwendung (Einladungen, Meldungen)	Niederlande, Deutschland

Teil B: Push-Dienste der Browser

Benachrichtigungen erreichen ein Gerät nur über den Push-Dienst, den sein Browser verwendet. Diese Dienste sind Übermittlungsdienste, die nicht der Auftragsverarbeiter auswählt: Der Browser der Person, die Benachrichtigungen einschaltet, meldet sich dort selbst an und teilt der Anwendung die Zustelladresse mit (§ 5 Abs. 3).

Ein Push-Dienst sieht die Zustelladresse, die er selbst vergeben hat, Zeitpunkt und Größe jeder Nachricht, die IP-Adresse des Servers und die Header: Gültigkeit (ein Tag), Dringlichkeit, Topic (Anlage 1) und die Signatur mit dem öffentlichen Schlüssel der Instanz und der Kontaktadresse des Betriebs. Den Inhalt kann er nicht lesen.

Push-Dienst (Browser)	Anbieter	Sitz	Grundlage der Übermittlung
Firebase Cloud Messaging (Chrome und andere Chromium-Browser, meist auch Samsung Internet)	Google LLC	USA	EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023)
Apple Push Notification Service (Safari, iPhone und iPad)	Apple Inc.	USA	EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023)
Mozilla Push Service (Firefox)	Mozilla Corporation	USA	EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023)
Windows Push Notification Services (Edge unter Windows)	Microsoft Corporation	USA	EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023)
Samsung Push Service (Samsung Internet mit Samsungs eigenem Push-Dienst)	Samsung Electronics Co., Ltd.	Südkorea	Angemessenheitsbeschluss der Kommission für die Republik Korea vom 17. Dezember 2021

Anlage 3: Kirchliche und kommunale Träger

Teil A: Kirchliche Träger

(1) Unterliegt der Verantwortliche dem Gesetz über den Kirchlichen Datenschutz (KDG) oder dem Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD), gilt dieser Teil ergänzend. Verweise dieses Vertrags auf Vorschriften der DSGVO meinen dann zugleich die entsprechenden Vorschriften des KDG in seiner ab dem 1. März 2026 geltenden Fassung oder des DSG-EKD, insbesondere für Art. 28 DSGVO § 29 KDG und § 30 DSG-EKD; „Aufsichtsbehörde“ meint auch die für den Verantwortlichen zuständige kirchliche Datenschutzaufsicht.

(2) Die Informations- und Kontrollrechte nach § 11 kann auch die für den Verantwortlichen zuständige kirchliche Datenschutzaufsicht ausüben, zu denselben Bedingungen. Der Auftragsverarbeiter beantwortet ihre Anfragen und unterstützt den Verantwortlichen bei Meldungen an sie.

(3) Die Verarbeitung findet nach § 5 nur in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Ob der Verantwortliche die Zustellung von Benachrichtigungen über Push-Dienste außerhalb davon (Anlage 2 Teil B) nach kirchlichem Recht zulassen kann, prüft er selbst. Jedes neue Brett wird mit eingeschalteten Benachrichtigungen angelegt (§ 5 Abs. 3); lässt er die Zustellung nicht zu, schaltet er die Benachrichtigungen jedes Bretts ab, bevor Eltern sie einschalten.

(4) Anlage 1 ist so gefasst, dass der Verantwortliche sie für seine eigene Dokumentation verwenden kann, auch für die Prüfung der Maßnahmen vor Beginn und in regelmäßigen Abständen, die § 30 Abs. 3 DSG-EKD verlangt. Der Auftragsverarbeiter beantwortet Fragen dazu nach § 11 Abs. 1 und teilt wesentliche Änderungen auf Anfrage mit.

(5) Form: Für das DSG-EKD genügt die Textform (§ 30 Abs. 3 DSG-EKD); wie der Vertrag dokumentiert ist, beschreibt § 14 Abs. 3. § 29 Abs. 9 KDG verlangt die Schriftform; ob der elektronische Abschluss sie ersetzt, ist nicht geklärt. Verantwortliche nach dem KDG erhalten deshalb auf Anfrage eine unterschriebene Fassung nach § 14 Abs. 4. Muss der Verantwortliche den Vertrag nach kirchlichem Recht genehmigen lassen oder ein kirchliches Muster verwenden, unterstützt ihn der Auftragsverarbeiter dabei.

(6) Die Verpflichtung zur Vertraulichkeit nach § 6 umfasst das Datengeheimnis nach kirchlichem Recht.

Teil B: Kommunale Träger und Sozialdaten

(1) Ob die Daten auf den Brettern Sozialdaten sind (§ 67 Abs. 2 SGB X, § 61 SGB VIII), beurteilt der Verantwortliche. Sind sie es, gilt zusätzlich § 80 SGB X.

(2) Der Verantwortliche zeigt die Beauftragung seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vorher an (§ 80 Abs. 1 SGB X). Die Angaben dafür enthält dieser Vertrag: den Auftragsverarbeiter (Präambel), die technischen und organisatorischen Maßnahmen (Anlage 1), die Art der Daten und den Kreis der betroffenen Personen (§ 3), die Aufgabe, für die verarbeitet wird (§§ 1 und 2), die Unterauftragsverarbeiter (Anlage 2) und die ergänzenden Weisungen (§ 4 Abs. 2). Der Auftragsverarbeiter ergänzt auf Anfrage, was die Behörde darüber hinaus braucht.

(3) Die Verarbeitung findet nach § 5 nur in der Europäischen Union oder im Europäischen Wirtschaftsraum statt (§ 80 Abs. 2 SGB X). Für die Push-Dienste nach Anlage 2 Teil B gilt Teil A Abs. 3 entsprechend: Jedes neue Brett wird mit eingeschalteten Benachrichtigungen angelegt; lässt der Verantwortliche die Zustellung außerhalb davon nicht zu, schaltet er die Benachrichtigungen jedes Bretts ab, bevor Eltern sie einschalten.

(4) Ob ein nicht-öffentlicher Auftragsverarbeiter beauftragt werden darf (§ 80 Abs. 3 SGB X), prüft der Verantwortliche.

(5) Die Verpflichtung zur Vertraulichkeit nach § 6 umfasst das Sozialgeheimnis.

Stand: Oktober 2026