Vertrag zur Auftragsverarbeitung

Version 1.0 · Stand: 30. Oktober 2026

nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)

zwischen der Tagespflegeperson, die in Tagesbande eine Tagespflege angelegt hat und diesem Vertrag in der App zugestimmt hat (im Folgenden „Verantwortliche“),

und Jannik Pohl, JP Webstudio, Von-Etzbach-Straße 9, 40764 Langenfeld (Rheinland), E-Mail: info@jpwebstudio.de (im Folgenden „Auftragsverarbeiter“).

> Kurz gesagt: Du bist für die Daten deiner Tagespflege verantwortlich. Wir speichern und verarbeiten sie nur für dich, nur so, wie du es in der App veranlasst, und nicht für eigene Zwecke. Wir schützen sie, helfen dir bei Anfragen der Eltern und sagen dir sofort Bescheid, wenn etwas passiert.

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt der Verantwortlichen die App Tagesbande mit Server, Datenbank und Foto-Speicher bereit (Leistung nach den Nutzungsbedingungen). Dabei verarbeitet er personenbezogene Daten, für die die Verantwortliche verantwortlich ist (Anlage 1).

1.2 Der Vertrag gilt, solange die Verantwortliche Tagesbande nutzt, also bis ihre Tagespflege gelöscht ist, und darüber hinaus, solange der Auftragsverarbeiter noch Daten der Verantwortlichen hat.

1.3 Nicht Gegenstand dieses Vertrags sind Daten, für die der Auftragsverarbeiter selbst verantwortlich ist: die Konten aller Nutzer (E-Mail-Adresse, Name, Anmeldung), die Zustimmungen zu den Rechtstexten, die öffentliche Platzsuche einschließlich Platzangebot, Profilfotos und Platzanfragen sowie technische Protokolle für Betrieb und Sicherheit. Darüber informiert die Datenschutzerklärung von Tagesbande.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Art: Erheben über die App, Speichern, Ordnen, Anzeigen für die berechtigten Personen, Übermitteln innerhalb der App (an Eltern, Familienmitglieder und Vertretung nach den Rollen der App), Erstellen von Exporten und PDFs auf dem Gerät, Löschen.

2.2 Zweck: Organisation der Kindertagespflege der Verantwortlichen: Anwesenheit, Tagesbericht, Fotos, Nachrichten, Abmeldungen, Kinderakte, Einwilligungen, Medikamente, Vorfälle, Monatsabschluss, Abrechnung mit dem Jugendamt, Essensgeld, Vertretung.

2.3 Art der Daten und Kategorien betroffener Personen: siehe Anlage 1.

2.4 Ort: Die Daten werden auf einem eigenen Server des Auftragsverarbeiters im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Deutschland) gespeichert, die Sicherungen verschlüsselt in der EU. Drittländer regelt Abschnitt 8.

3. Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, auch bei Übermittlungen in Drittländer, es sei denn, das Recht der EU oder Deutschlands verpflichtet ihn zu einer Verarbeitung. In diesem Fall teilt er ihr das vorher mit, sofern das Recht das nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

3.2 Weisungen sind: diese Vereinbarung, die Nutzung der App durch die Verantwortliche und ihre Vertretung (z. B. Kind anlegen, Foto teilen, Kind endgültig löschen, Familie einladen) und Weisungen in Textform (E-Mail). Mündliche Weisungen bestätigt die Verantwortliche in Textform.

3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er es der Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

3.4 Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, nicht für Werbung, nicht zum Training von KI-Modellen und gibt sie nicht an Dritte weiter, außer an die Unterauftragsverarbeiter nach Abschnitt 7.

4. Vertraulichkeit

4.1 Zugang zu den Daten hat beim Auftragsverarbeiter nur Jannik Pohl. Er ist zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Diese Pflicht gilt auch nach dem Ende des Vertrags. Weitere Personen erhalten nur Zugang, wenn sie vorher schriftlich zur Vertraulichkeit verpflichtet wurden.

4.2 Unterliegt die Verantwortliche einer beruflichen Schweigepflicht (z. B. nach § 203 StGB als staatlich anerkannte Sozialpädagogin), wahrt der Auftragsverarbeiter diese Geheimnisse ebenso. Er ist darauf hingewiesen, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er ein fremdes Geheimnis unbefugt offenbart, das ihm bei der Mitwirkung bekannt geworden ist, und verpflichtet etwaige Mitwirkende entsprechend.

4.3 Inhalte (Tagesberichte, Fotos, Nachrichten, Angaben zur Gesundheit) sieht sich der Auftragsverarbeiter nur an, wenn es für die Behebung eines Fehlers, die Sicherheit oder eine Anfrage der Verantwortlichen nötig ist, und nur so weit wie nötig.

5. Sicherheit der Verarbeitung

5.1 Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Sie berücksichtigen, dass Daten von Kindern und Angaben zur Gesundheit verarbeitet werden.

5.2 Er darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie der Verantwortlichen mit.

6. Unterstützung der Verantwortlichen

6.1 Rechte der Betroffenen: Der Auftragsverarbeiter unterstützt die Verantwortliche mit technischen Mitteln dabei, Anfragen der Eltern und anderer Betroffener zu beantworten (Art. 28 Abs. 3 lit. e, Art. 12 bis 23 DSGVO). Die App enthält dafür: Anzeigen und Berichtigen aller Einträge, Export der Unterlagen der Tagespflege und der Daten einer Familie als Datei, Widerruf von Einwilligungen mit sofortiger Wirkung, Löschen einzelner Einträge, Fotos und Kinder. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an die Verantwortliche weiter und beantwortet sie nicht selbst, außer die Verantwortliche weist ihn dazu an.

6.2 Pflichten nach Art. 32 bis 36 DSGVO: Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Sicherheit, bei Meldungen von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. Er stellt dafür die Beschreibung in Anlage 2 und eine Kurz-Vorlage zur Folgenabschätzung bereit (in der App unter „Datenschutz-Hilfe für Tagesmütter“).

6.3 Datenschutzverletzungen: Erfährt der Auftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten der Verantwortlichen (z. B. unbefugter Zugriff, Verlust, falsche Freigabe), meldet er ihr das unverzüglich, möglichst innerhalb von 24 Stunden, per E-Mail an die Adresse ihres Kontos und in der App. Die Meldung enthält, soweit bekannt: was passiert ist, welche Daten und wie viele Personen betroffen sind, die wahrscheinlichen Folgen, was bereits getan wurde und wer Ansprechpartner ist. Fehlende Angaben reicht er nach. Er ergreift sofort Maßnahmen, um den Schaden zu begrenzen. Die Verantwortliche entscheidet über eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO, 72 Stunden) und an die Eltern (Art. 34 DSGVO); der Auftragsverarbeiter hilft dabei.

6.4 Der Auftragsverarbeiter berechnet für diese Unterstützung nichts, solange sie über die Funktionen der App oder mit geringem Aufwand möglich ist.

7. Unterauftragsverarbeiter

7.1 Die Verantwortliche ist einverstanden, dass der Auftragsverarbeiter die in Anlage 3 genannten Unterauftragsverarbeiter einsetzt (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).

7.2 Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzunehmen oder ersetzen (z. B. Umzug auf einen eigenen Server), informiert er die Verantwortliche mindestens 4 Wochen vorher in der App oder per E-Mail. Sie kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden beide keine Lösung, kann die Verantwortliche den Vertrag zum Zeitpunkt der Änderung kündigen und vorher ihre Daten exportieren. Muss ein Unterauftragsverarbeiter aus Sicherheitsgründen kurzfristig ersetzt werden, informiert der Auftragsverarbeiter unverzüglich danach.

7.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber der Verantwortlichen dafür, dass der Unterauftragsverarbeiter seine Pflichten erfüllt.

8. Drittländer

8.1 Die Daten werden ausschließlich in der EU verarbeitet (Server in Deutschland, Sicherungen in der EU). Eine Übermittlung in Drittländer findet nicht statt.

8.2 Andere Übermittlungen in Drittländer finden nur nach vorheriger Information nach Abschnitt 7.2 und nur mit geeigneten Garantien nach Art. 44 ff. DSGVO statt.

9. Nachweise und Kontrollen

9.1 Der Auftragsverarbeiter stellt der Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die aktuelle Fassung der Anlagen und die Nachweise der Unterauftragsverarbeiter (z. B. das Zertifikat nach ISO/IEC 27001 des Rechenzentrums von Hetzner).

9.2 Die Verantwortliche oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung prüfen, nach Anmeldung mit angemessener Frist, zu üblichen Zeiten und ohne den Betrieb zu stören. Eine Prüfung vor Ort beim Unterauftragsverarbeiter ersetzt der Auftragsverarbeiter durch dessen Prüfberichte und Zertifikate. Die Aufsichtsbehörde kann jederzeit prüfen.

10. Löschen und Rückgabe am Ende

10.1 Die Verantwortliche kann jederzeit alle Unterlagen ihrer Tagespflege als Datei exportieren (Einstellungen > Export) und Fotos über das Teilen-Menü sichern.

10.2 Löscht die Verantwortliche ihr Konto, löscht der Auftragsverarbeiter sofort die Tagespflege mit allen Kindern, Einträgen, Nachrichten und Fotos (Art. 28 Abs. 3 lit. g DSGVO). Sicherungskopien beim Unterauftragsverarbeiter werden nach dessen Sicherungszyklus überschrieben, spätestens nach 30 Tagen. Eine gesetzliche Pflicht des Auftragsverarbeiters, Betreuungsdaten aufzubewahren, besteht nicht.

10.3 Aufbewahrungspflichten der Verantwortlichen (z. B. Abrechnung, Steuer, Unfälle) erfüllt sie selbst mit dem Export, bevor sie löscht.

11. Pflichten der Verantwortlichen

Die Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Insbesondere informiert sie die Eltern (Art. 13 DSGVO), holt die nötigen Einwilligungen ein, prüft, ob sie eine Datenschutz-Folgenabschätzung braucht, führt ein Verzeichnis ihrer Verarbeitungstätigkeiten und setzt nur zuverlässige, zur Verschwiegenheit verpflichtete Personen als Vertretung ein. Hilfen und Vorlagen dafür stehen in der App unter „Datenschutz-Hilfe für Tagesmütter“. Fehler oder Unregelmäßigkeiten, die sie bemerkt, teilt sie dem Auftragsverarbeiter unverzüglich mit.

12. Haftung

Für Schäden aus Verstößen gegen die DSGVO haften die Vertragspartner nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

13. Schlussbestimmungen

13.1 Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Die Verantwortliche stimmt ihm in der App zu; Fassung und Zeitpunkt werden gespeichert. Sie kann ihn jederzeit in der App lesen und über „Teilen“ als Datei sichern oder ausdrucken.

13.2 Änderungen bedürfen der Textform. Ändert der Auftragsverarbeiter diesen Vertrag, legt er die neue Fassung in der App zur Zustimmung vor.

13.3 Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

13.4 Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam.

Anlage 1: Daten und betroffene Personen

Betroffene Personen

• Kinder in der Tagespflege
• Eltern und andere Sorgeberechtigte
• Familienmitglieder mit Zugang (z. B. Großeltern)
• Abholberechtigte und Notfallkontakte
• die Verantwortliche selbst und ihre Vertretung

Daten

• Stammdaten der Kinder: Vorname, Nachname, Geburtsdatum, Garderobenzeichen, Betreuungsumfang, Bewilligungszeitraum, Beginn, Ende, Kündigung
• Kontaktdaten: Namen, Beziehung zum Kind, Telefonnummern von Abholberechtigten und Notfallkontakten
• Betreuungsalltag: Anwesenheit mit Uhrzeiten und abholender Person, Abmeldungen, Tagesbericht (Essen, Schlaf, Wickeln, Notizen), Eingewöhnung, Nachrichten, Aushänge, Lesebestätigungen
• Fotos aus dem Betreuungsalltag mit Bildunterschrift und markierten Kindern
• Einwilligungen der Eltern (Fotos, Sonnencreme, Ausflüge, Gesundheitsdaten, Beobachtungen zur Entwicklung) mit Zeitpunkt
• Beobachtungen zur Entwicklung (Portfolio): Datum, Bereich, Text, bis zu 4 Fotos, geteilt oder nicht (nur mit Einwilligung der Eltern)
• Planung: Wochenplan (Essen, Aktivitäten), Grund für das Ende der Betreuung, Pflegeerlaubnis und eigene Nachweise der Verantwortlichen (Datum, Ablauf, Fortbildungsstunden)
• Besondere Kategorien (Art. 9 DSGVO): Allergien, Medikamente, Kinderarzt (nur mit Einwilligung), Medikamenten-Vollmachten und Gaben, Datum des Masernnachweises, Krankmeldungen, Temperatur bei „Bitte abholen“, Vorfälle und Unfälle mit Verletzungen
• Abrechnung: Monatsabschlüsse, Stundennachweise, Bestätigungen der Eltern, Regeln und Zahlungen des Jugendamts, Ausfallzeiten der Verantwortlichen, Essensgeld (Beträge, Gutschriften, bezahlt/offen), Kontoinhaber und IBAN der Verantwortlichen, Rechnungen an die Eltern (Nummer, Empfänger mit Anschrift, Posten, Beträge, Status) mit Steuernummer und Steuerhinweis der Verantwortlichen

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 30. Oktober 2026. Beschrieben ist, was tatsächlich umgesetzt ist. Wo etwas noch fehlt, steht es dabei.

Vertraulichkeit: Zutritt und Zugang

• Eigener Server im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Deutschland). Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001 liegen beim Rechenzentrum.
• Der Server ist nur für diese App da (keine anderen Anwendungen darauf). Von außen erreichbar ist nur die verschlüsselte Schnittstelle der App (HTTPS); die Datenbank hat keinen öffentlichen Zugang. Die Server-Firewall lässt Verwaltungszugriffe nur von der Verwaltungsoberfläche des Auftragsverarbeiters zu.
• Zugang zur Server-Verwaltung hat nur Jannik Pohl, mit eigenem Konto, starkem Passwort bzw. Schlüssel und Zwei-Faktor-Anmeldung. Zugangsdaten liegen nur im Passwort-Manager, nie im Quelltext.
• Die App enthält nur den öffentlichen Schlüssel des Servers. Der Verwaltungsschlüssel wird in der App nicht verwendet.
• Nutzer melden sich ohne Passwort an, mit einem Einmal-Code bzw. Link per E-Mail. Anmeldungen erzeugen kurzlebige Zugangs-Token.

Vertraulichkeit: Zugriff (wer sieht was)

• Jede Tabelle der Datenbank hat Zugriffsregeln (Row-Level-Security). Der Server prüft bei jeder Abfrage, ob die Person die Zeile sehen oder ändern darf; die App kann das nicht umgehen.
• Rollen: Inhaberin der Tagespflege (alles in ihrer Tagespflege), Vertretung (Tagesbetrieb, keine Kinderakte ändern, kein Geld, keine Bankdaten, nichts löschen), Eltern mit vollem Zugang (nur das eigene Kind), Familienmitglieder mit Zugang nur zu Fotos (Fotos und Tagesverlauf, keine Gesundheitsdaten, keine Krankheits-Einträge, keine Nachrichten, keine Bankdaten).
• Angaben zur Gesundheit liegen in einer eigenen Tabelle. Ohne Einwilligung der Eltern speichert der Server dort nichts; ein Widerruf löscht die Angaben sofort.
• Fotos liegen in einem privaten Speicher. Ein Foto ist nur für die Tagespflege und für Familien der markierten Kinder abrufbar, und nur, wenn für jedes markierte Kind die Foto-Einwilligung vorliegt (vom Server geprüft). Abruf nur über signierte Links, die nach 1 Stunde ablaufen. Dateinamen sind zufällig.
• Ende der Betreuung: Eltern sehen das Kind noch 8 Wochen, Großeltern sofort nicht mehr.
• Ohne Anmeldung ist nur die Platzsuche erreichbar (ohne Betreuungsdaten).
• Datenbank-Funktionen laufen mit festem Suchpfad; interne Funktionen sind für Aufrufe aus der App gesperrt.

Trennung

• Alle Tagespflegen liegen in einer gemeinsamen Datenbank, strikt getrennt über die Kennung der Tagespflege und die Zugriffsregeln. Fremde Tagespflegen sind nicht sichtbar.
• Daten, für die der Auftragsverarbeiter selbst verantwortlich ist (Konten, Platzsuche), sind von den Betreuungsdaten getrennt.

Integrität: Übertragung und Eingabe

• Alle Verbindungen zwischen App und Server sind mit TLS (HTTPS) verschlüsselt.
• Keine Tracking- oder Analyse-Werkzeuge, keine Werbe-Bausteine, Schrift und Postleitzahlen in der App enthalten.
• Ortsangaben (GPS) und andere Metadaten werden vor dem Hochladen aus Fotos entfernt.
• Wer etwas angelegt hat und wann, speichert der Server selbst (z. B. Einwilligung mit Entscheider und Zeitpunkt, Abmeldung mit Meldezeit, Eintrag mit Verfasser). Die App kann diese Angaben nicht fälschen.
• Anmeldungen protokolliert der Server (30 Tage). Lesezugriffe werden nicht einzeln protokolliert.

Verschlüsselung

• Übertragung: TLS.
• Sicherungen: vor dem Verlassen des Servers verschlüsselt (age, moderne Public-Key-Verschlüsselung); der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
• Speicherung auf dem Server: Die Festplatte des Servers ist vom Rechenzentrum nicht gesondert verschlüsselt; geschützt wird sie durch Zutrittskontrolle des Rechenzentrums, fehlenden öffentlichen Zugang zur Datenbank und die Zugriffsregeln.
• Auf dem Gerät: Daten liegen im geschützten Speicher der App, geschützt durch die Bildschirmsperre des Geräts. Notfalldaten und Warteschlange werden beim Abmelden entfernt.

Verfügbarkeit und Belastbarkeit

• Eigener Betrieb mit automatischer Überwachung der Erreichbarkeit und Benachrichtigung bei Ausfall oder vollem Speicher.
• Einträge ohne Netz wartet die App ab und schickt sie nach; der Notfall-Knopf funktioniert ohne Netz.
• Sicherungen: täglich von Datenbank und Foto-Dateien, verschlüsselt in einer Storage Box der Hetzner Online GmbH in einem anderen Rechenzentrum in der EU, 30 Tage aufbewahrt. Die Wiederherstellung wird regelmäßig geprüft.

Löschung

• Konto löschen: sofort, mit allen Daten der Tagespflege und allen Foto-Dateien; Anmelde-Protokoll des Kontos wird mitgelöscht.
• Kind endgültig löschen, Fotos löschen (samt Datei), Widerruf der Foto-Einwilligung löscht alle Fotos mit diesem Kind, Widerruf der Gesundheits-Einwilligung löscht die Angaben.
• Automatisch jeden Tag: Anmelde-Protokoll älter als 30 Tage, nie eingelöste Einladungscodes 30 Tage nach Ablauf.

Überprüfung

• Die Zugriffsregeln sind mit automatischen Datenbank-Tests abgesichert (u. a. „fremde Eltern sehen nichts“, „Großeltern sehen keine Gesundheitsdaten“, „Foto ohne Einwilligung wird abgelehnt“). Sie laufen vor jeder Änderung.
• Nach jeder Änderung der Datenbank werden die Zugriffsregeln automatisch geprüft (Tests und Datenbank-Prüfwerkzeug).
• Datenschutzfreundliche Voreinstellungen: Gesundheitsdaten und Fotos aus, bis die Eltern einwilligen; Platzangebot nur auf Wunsch sichtbar und ohne Adresse.

Organisation

• Einzelunternehmen; einzige Person mit Zugang ist Jannik Pohl, zur Vertraulichkeit verpflichtet.
• Ablauf bei Datenschutzverletzungen: erkennen, eingrenzen, Verantwortliche innerhalb von 24 Stunden informieren, dokumentieren.
• Geräte des Auftragsverarbeiters mit verschlüsselter Festplatte, Bildschirmsperre und aktuellen Updates.

Anlage 3: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Bereitstellung von Server (Rechenzentrum Falkenstein, Deutschland) und Speicher für die verschlüsselten Sicherungen (EU). Den Server und die Software betreibt der Auftragsverarbeiter selbst; Hetzner hat keinen Zugang zur Anwendung. Garantien: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Hetzner.

Nur für Daten, für die der Auftragsverarbeiter selbst verantwortlich ist (nicht Teil dieses Vertrags, zur Information):

• Sendinblue SAS (Brevo), Paris, Frankreich: Versand der Anmelde-E-Mails (E-Mail-Adresse, Code).