Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung vom 2. November 2026

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber"):

Einrichtung:

Anschrift:

Vertreten durch:

Auftragsverarbeiter (nachfolgend „Auftragnehmer"):

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung und des Betriebs der Software „Termido" (nachfolgend „Hauptvertrag").
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und zur Verschwiegenheit bestehen darüber hinaus fort.
3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es die Verarbeitung personenbezogener Daten betrifft.

§ 2 Art, Umfang und Zweck der Verarbeitung

Art und Zweck: Speicherung, Organisation, Auslesen, Verwendung, Übermittlung an die betroffene Person und Löschung personenbezogener Daten zum Zweck der Verwaltung der Kindertagesbetreuung. Das umfasst: die Aufnahme und Verwaltung betreuter Kinder samt ihrer Sorgeberechtigten und weiteren Bezugspersonen, die Zuordnung zu Betreuungsgruppen und die gebuchten Betreuungszeiten, die Anwesenheit der Kinder samt Abmeldungen, Mitteilungen und Umfragen an Eltern (etwa zu Schließungen oder als Elternbrief), die Verwaltung von Schließtagen, den Personaleinsatz (Gruppenzuordnung, Dienstplan, Vertretung, Arbeitszeit, Urlaub und Abwesenheiten) sowie — je nach gebuchtem Paket — Elterngespräche mit Einladung, Buchung, Erinnerung und Wiedervorlage, die Führung einer Kinderakte mit Formularen und Dokumenten und ein Elternportal, über das Sorgeberechtigte Mitteilungen lesen, Umfragen beantworten, ihr Kind abmelden, Formulare einreichen und der Einrichtung schreiben.

Kategorien betroffener Personen:

• Betreute Kinder des Auftraggebers
• Sorgeberechtigte sowie weitere Bezugspersonen dieser Kinder (etwa abholberechtigte Personen und Notfallkontakte)
• Beschäftigte des Auftraggebers — sowohl solche mit Zugang zur Anwendung als auch solche, die nur im Dienstplan oder in einer Gruppe geführt werden

Arten der verarbeiteten Daten:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) fallen an mehreren Stellen an, und der Auftragnehmer weist ausdrücklich auf jede hin:

1. Beim Kind. Soweit der Auftraggeber in Formularen Gesundheitsangaben erhebt — etwa Allergien, Medikamente, ärztlich veranlasste Kostformen —, verarbeitet der Auftragnehmer diese ausschließlich verschlüsselt und ausschließlich weisungsgebunden. Der Auftraggeber entscheidet allein, welche Felder er erhebt und als sensibel kennzeichnet. Allergien, Ernährungsform und die zu Hause gesprochenen Sprachen können auf Gesundheit, Religion oder Herkunft schließen lassen; die Anwendung führt diese drei Angaben deshalb auch in den Stammdaten verschlüsselt. Nach Religion oder Herkunft selbst fragt Termido nicht.
2. Bei der Abmeldung eines Kindes. Der Abmeldegrund „krank" ist eine Angabe zur Gesundheit. Er ist eine feste Auswahl ohne Diagnose; meldet die Familie ihr Kind im Elternportal ab, wählt sie aus denselben Werten.
3. Bei Beschäftigten. Der Abwesenheitsgrund „krank" ist eine Angabe zur Gesundheit. Er wird bewusst ohne Diagnose und ohne Krankheitsbezeichnung geführt. Lesen können ihn nur die Leitung und die betroffene Person; alle anderen in der Einrichtung sehen „abwesend", was für die Vertretung genügt. Die Auswertung der Fehltage sieht nur die Leitung. Der Auftraggeber prüft in eigener Verantwortung, ob diese Verarbeitung für seinen Betrieb zulässig ist, und ob eine Mitbestimmung zu beteiligen ist.
4. In Nachrichten. Schreibt eine Familie über das Elternportal oder eine Beschäftigte als Antwort an die Leitung, steht darin oft eine Gesundheitsangabe („Mia hat Fieber"). Der Inhalt dieser Nachrichten wird verschlüsselt gespeichert; Benachrichtigungen darüber enthalten den Text nicht.
5. In Mitteilungen. E-Mails und SMS gehen über die Versanddienstleister aus Anlage 2, deren Verträge besondere Kategorien nach Art. 9 DSGVO ausschließen. Der Auftraggeber setzt deshalb in Mitteilungen, Elternbriefe und deren Anhänge keine Gesundheitsangaben zu einzelnen Kindern oder Beschäftigten (§ 6 Nr. 6); die Anwendung weist beim Verfassen darauf hin. Eine Information an alle Eltern ohne Personenbezug — etwa der Hinweis auf Läusebefall in einer Gruppe — ist davon nicht betroffen.

§ 3 Weisungsrecht des Auftraggebers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Konfiguration der Anwendung durch den Auftraggeber — insbesondere die Einstellungen zu Benachrichtigungen und Erinnerungen, Empfängerkreisen von Mitteilungen und Umfragen, Wiedervorlagen von Elterngesprächen, der Erfassung von Bring- und Abholzeiten und Aufbewahrungsfristen sowie die Auswahl der erhobenen Formularfelder — gilt als Weisung. Weisungen im Einzelfall erfolgen in Textform an die in § 12 genannte Kontaktadresse.
3. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer verpflichtet alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit, soweit diese nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. Sicherheit der Verarbeitung. Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Er darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.
3. Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde.
4. Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenkategorien und Personenzahl, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen.
5. Kontaktstelle. Ansprechpartner für den Datenschutz beim Auftragnehmer ist Sven Augstein, erreichbar unter kontakt@mytermido.de.
6. Ort der Verarbeitung. Die Verarbeitung findet in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Der jeweilige Ort ist in Anlage 2 für jeden Unterauftragsverarbeiter angegeben. Bei einem Unterauftragsverarbeiter — Brevo, Versand von E-Mails — kann im Rahmen von Support und Wartung ein Zugriff aus einem Drittland erfolgen; dies ist in Anlage 2 ausgewiesen. Grundlage sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie, für die Vereinigten Staaten, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Eine darüber hinausgehende Verarbeitung in einem Drittland erfolgt nur nach vorheriger Zustimmung des Auftraggebers und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von zwei Wochen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, darf jede Partei den Hauptvertrag zum geplanten Wechseltermin kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dem dieses Vertrags entspricht, und bleibt dem Auftraggeber gegenüber für deren Verhalten verantwortlich.
4. Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die keine Verarbeitung personenbezogener Daten des Auftraggebers zum Gegenstand haben (z. B. Telekommunikation, Reinigung), gelten nicht als Unterauftragsverarbeitung.

§ 6 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er beurteilt die Zulässigkeit der Verarbeitung und erteilt die erforderlichen Weisungen.
2. Er holt die erforderlichen Einwilligungen selbst ein, dokumentiert sie und pflegt Widerrufe unverzüglich in der Anwendung nach. Das betrifft insbesondere den SMS-Versand. Der Elternbrief geht an die Familien der Einrichtung, die ihm nicht widersprochen haben; jede Mail trägt einen Abmeldelink, und der Auftraggeber beurteilt, ob diese Widerspruchslösung für seinen Betrieb trägt. Für Betriebsmitteilungen (etwa „Heute geschlossen") sieht die Anwendung bewusst keine Einwilligung und keinen Abmeldelink vor, weil sie der Erfüllung des Betreuungsvertrags dienen; ob diese Einordnung für seinen Betrieb trägt, beurteilt der Auftraggeber.
3. Er beurteilt, ob er für die Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen muss. Bei Daten von Kindern und bei Gesundheitsangaben liegt das nahe; der Auftragnehmer unterstützt nach § 4 Nr. 3, entscheidet aber nicht.
4. Er benennt eine Ansprechperson für Datenschutzfragen und teilt dem Auftragnehmer Änderungen unverzüglich mit.
5. Er hält Zugangsdaten geheim und beschränkt die Berechtigungen seiner Beschäftigten auf das erforderliche Maß; die Anwendung stellt hierfür ein Rollenmodell bereit.
6. Er setzt in Mitteilungen, Elternbriefen und deren Anhängen keine Gesundheitsangaben oder sonstigen besonderen Kategorien nach Art. 9 DSGVO zu einzelnen Kindern oder Beschäftigten. Die Versanddienstleister nach Anlage 2 sind vertraglich nicht für solche Daten ausgelegt; Angaben zu einem einzelnen Kind gehören in dessen Akte, nicht in den Versand.

§ 7 Rechte betroffener Personen

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
3. Der Auftragnehmer berichtigt, löscht oder sperrt Daten ausschließlich nach Weisung des Auftraggebers. Die Anwendung stellt dem Auftraggeber Funktionen zur Auskunft, zur Berichtigung und zur Löschung bzw. Anonymisierung bereit.

§ 8 Nachweise und Kontrollen

1. Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.
2. Der Auftraggeber darf sich nach vorheriger Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung überzeugen. Kontrollen erfolgen vorrangig durch Auskünfte und Selbstauskünfte; Vor-Ort-Kontrollen sind auf das erforderliche Maß zu beschränken und dürfen den Betrieb nicht unangemessen stören.
3. Für den Aufwand von Vor-Ort-Kontrollen, die über eine Kontrolle pro Kalenderjahr hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 9 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht oder anonymisiert der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern der Auftraggeber nicht vorher die Herausgabe verlangt und soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. Auf Verlangen stellt der Auftragnehmer die Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit.
3. Die Löschung einer Einrichtung entfernt die Daten in der Datenbank vollständig und räumt zusätzlich die hochgeladenen Dateien vom Datenträger. Sie ist innerhalb der Anwendung nicht umkehrbar.
4. Erhalten bleibt ausschließlich ein Nachweis der Löschung: Name und Kennung der Einrichtung, Zeitpunkt, das löschende Konto und eine Zählung dessen, was entfernt wurde. Er enthält keine Daten betroffener Personen. Ohne diesen Nachweis wäre die Löschung nicht belegbar, weil das Protokoll der Einrichtung mit ihr verschwindet.
5. Sicherungskopien werden im Zuge der regulären Rotation überschrieben. Bis dahin bleiben sie ausschließlich für Wiederherstellungszwecke gesperrt.
6. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie zwingenden datenschutzrechtlichen Vorgaben nicht entgegenstehen.

§ 11 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
2. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem zertifizierten Rechenzentrum in Deutschland mit Zutrittssicherung, Videoüberwachung und Besucherprotokollierung durch den Rechenzentrumsbetreiber.
• Zugangskontrolle: Zugang zur Anwendung nur über persönliche Benutzerkonten mit Passwort. Passwörter werden ausschließlich als Hash (bcrypt) gespeichert; nach zu vielen Fehlversuchen sperrt sich ein Konto vorübergehend. Ein Link zum Zurücksetzen des Passworts wird nur als Hash gespeichert, gilt eine Stunde und lässt sich einmal verwenden; für den Betreiberzugang gibt es ihn bewusst nicht. Der Betreiberzugang, über den Einrichtungen angelegt und im Supportfall eingesehen werden können, ist zusätzlich durch einen zweiten Faktor (TOTP) geschützt; das Löschen einer Einrichtung verlangt einen frisch eingegebenen Code. Administrativer Serverzugang erfolgt über SSH mit Schlüsselauthentifizierung, die Firewall gibt nur die benötigten Dienste frei.
• Zugriffskontrolle: Rollenmodell mit abgestuften Rechten (Leitung, Mitarbeitende, Empfang). Als sensibel gekennzeichnete Formularfelder sind für die Rolle Empfang maskiert. Eine Support-Sitzung des Auftragnehmers erhält kein Sonderrecht, sondern ein gewöhnliches Zugangstoken der Einrichtung; sie ist auf 30 Minuten befristet und wird im Protokoll der Einrichtung vermerkt, mit Nennung beider Beteiligten.
• Trennungskontrolle: Strikte Mandantentrennung. Jeder Datensatz trägt die Kennung des Betriebs; der Datenzugriff erfolgt ausschließlich über eine Schicht, die diesen Filter technisch erzwingt. Die Trennung ist durch automatisierte Tests abgesichert.
• Pseudonymisierung und Verschlüsselung: Transportverschlüsselung (TLS) für alle Zugriffe. Als sensibel gekennzeichnete Formularantworten werden zusätzlich verschlüsselt in der Datenbank abgelegt. Ein-Klick-Links aus E-Mails und SMS sind kryptografisch signiert und zeitlich befristet.

Integrität

• Eingabekontrolle: Revisionssicheres Protokoll sicherheitsrelevanter Vorgänge (Anlage, Änderung, Absage, Löschung, Einwilligungsänderungen, Benachrichtigungen) mit handelnder Person und Zeitstempel.
• Weitergabekontrolle: Versand von Benachrichtigungen ausschließlich über die zentrale Versandlogik, die Einwilligung, Erreichbarkeit und Kontingent prüft und jeden Ausgang protokolliert — auch dann, wenn bewusst nicht versendet wurde.
• Schutz vor Manipulation: Sicherheits-Header und eine strikte Content-Security-Policy auf allen öffentlichen Seiten, Begrenzung der Anfragerate (Rate-Limiting) auf öffentlichen Endpunkten.

Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Sicherung von Datenbank und Dokumenten mit 30 Tagen Vorhaltung. Die Sicherung liegt derzeit auf demselben Server; eine räumlich getrennte Zweitkopie ist in Vorbereitung.
• Automatisierte Erneuerung der TLS-Zertifikate.
• Regelmäßige Prüfung auf verfügbare Sicherheitsaktualisierungen.
• Wiederherstellbarkeit aus der Sicherung; Wiederherstellungstests nach Bedarf.

Verfahren zur Überprüfung und Bewertung

• Automatisierte Testsuite, die insbesondere Mandantentrennung, Berechtigungen und Versandregeln bei jeder Änderung prüft.
• Datenschutz durch Technikgestaltung: Es werden nur die zur Organisation der Betreuung erforderlichen Daten erhoben. Welche Angaben zu einem Kind über die Stammdaten hinaus erhoben werden, entscheidet der Auftraggeber über die Formulare; Termido gibt keine Gesundheitsfelder vor. Der Abwesenheitsgrund von Beschäftigten kennt vier feste Werte und keine Diagnose.
• Auftragskontrolle: Unterauftragsverarbeiter werden vertraglich verpflichtet und in Anlage 2 geführt.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Für den E-Mail-Versand wird der vom Auftragnehmer eingerichtete Versandweg verwendet. Brevo bleibt während der Umstellung und zur Abwicklung bereits verarbeiteter Daten aufgeführt. Lettermint speichert Nachrichteninhalt, Anhänge, Empfängeradressen und Nachrichtenmetadaten bis zu 28 Tage. Analysedaten werden bis zu 28 Tage, ab dem 8. November 2026 bis zu 90 Tage aufbewahrt; Empfänger sind dort als HMAC-Wert und Domain abgebildet. Öffnungs- und Klicktracking sind für Termido ausgeschaltet. Diese Anbieterfristen gelten zusätzlich zu den Weisungen nach § 3; erforderliche vorzeitige Löschungen werden beim Anbieter veranlasst.

Weitere Unterauftragsverarbeiter setzen wir derzeit nicht ein. Vor der Aufnahme eines weiteren Unterauftragsverarbeiters informieren wir den Auftraggeber nach § 6 dieses Vertrages.

Unterschriften

Ort, Datum: