Zur App

ENTWURF – zur Prüfung durch eine Fachperson (Datenschutz/Recht). Stand: 16.10.2026. Mustervertrag, vor Verwendung prüfen lassen. Platzhalter in eckigen Klammern [ ] müssen gefüllt oder gestrichen werden.

Hinweis zu kirchlichen und öffentlichen Trägern: Für Einrichtungen in katholischer Trägerschaft gilt statt der DSGVO in der Regel das Gesetz über den Kirchlichen Datenschutz (KDG, Auftragsverarbeitung § 29 KDG), in evangelischer Trägerschaft das EKD-Datenschutzgesetz (DSG-EKD, § 30). Für kommunale Träger und Schulen gilt ergänzend Landesrecht. Diese Träger verlangen oft eigene Vertragsmuster. [Prüfen lassen: ob dieses Muster mit einer Anpassungsklausel für KDG/DSG-EKD auskommt oder ob eigene Fassungen nötig sind.]

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

zwischen

[Name des Trägers / der Einrichtung] [Anschrift] vertreten durch [Name, Funktion] – nachfolgend „Verantwortlicher“ –

und

Miriam Steimer – MutigMacher (Einzelunternehmen), Leuchtturm Akademie [Firmierung prüfen] Radolfzeller Str. 121, 78467 Konstanz E-Mail: m.steimer@leuchtturmakademie.de – nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-App „Werkzeugkoffer“ (https://team.leuchtturmakademie.de) bereit. Fachkräfte des Verantwortlichen bereiten darin in einem Team Elterngespräche, Teamvereinbarungen und den Gruppenrat vor. Der Auftragsverarbeiter speichert die Inhalte dieser Dokumente für das Team des Verantwortlichen.

(2) Gegenstand dieses Vertrags sind nur die Inhalte der Dokumente des Teams [Teamname / Team-ID]. Konto- und Teamdaten der Nutzerinnen und Nutzer (Name, E-Mail-Adresse, Anmeldung, Rollen, Einladungen, Sicherheitsdaten) verarbeitet der Auftragsverarbeiter in eigener Verantwortung; dafür gilt die Datenschutzerklärung der App.

(3) Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen stehen in Anlage 1.

(4) Der Vertrag beginnt mit [Unterzeichnung / Bestätigung beim Anlegen des Teams in der App] und läuft, solange das Team in der App besteht. Er endet automatisch, wenn das Team gelöscht wird.

(5) Die Verarbeitung findet in der Europäischen Union statt (Datenbank mit Jurisdiktion EU, siehe Anlage 3). Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und wie in Anlage 3 beschrieben.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die Pflicht vorher mit, soweit das Gesetz das nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der App durch die Teammitglieder (Anlegen, Ändern, Löschen von Dokumenten; Löschen des Teams). Weitere Weisungen erteilt der Verantwortliche in Textform an m.steimer@leuchtturmakademie.de. Weisungsberechtigt ist die Teamleitung sowie [weitere Personen].

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 3 Was der Auftragsverarbeiter mit den Daten nicht tut

(1) Der Auftragsverarbeiter nutzt die Inhalte der Dokumente nicht für eigene Zwecke. Er sieht sie nicht ein, wertet sie nicht aus und gibt sie nicht an Dritte, außer an die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Kennzahlen: Der Auftragsverarbeiter darf für Betreuung und Weiterentwicklung der App folgende Kennzahlen je Team erheben: Zahl der Dokumente, Zeitpunkt der letzten Aktivität. Diese Kennzahlen enthalten keine Inhalte der Dokumente. [Prüfen: ob diese Nutzung als Weisung im Vertrag ausreicht oder als eigene Verarbeitung des Auftragsverarbeiters zu behandeln ist.]

(3) Zugriff auf die Datenbank außerhalb der App ist nur zur Fehlerbehebung, Wiederherstellung oder auf Weisung des Verantwortlichen zulässig. Der Zugriff wird dokumentiert (siehe TOMs, Anlage 2).

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriffsberechtigt sind: [Namen/Funktionen, z. B. Tobias Steimer (technischer Betrieb)].

§ 5 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er dem Verantwortlichen mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss eingesetzt sind die in Anlage 3 genannten.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vorab per E-Mail an die Teamleitung über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb von [14] Tagen widersprechen. Bei berechtigtem Widerspruch können beide Seiten den Vertrag beenden; das Team wird dann gelöscht, nachdem der Verantwortliche Gelegenheit hatte, die Dokumente herunterzuladen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung des Verantwortlichen

(1) Rechte betroffener Personen: Wendet sich eine betroffene Person (z. B. ein Elternteil) an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter. Er beantwortet sie nicht selbst. Teammitglieder können Dokumente in der App selbst einsehen, berichtigen, herunterladen und löschen; damit kann der Verantwortliche die meisten Anfragen ohne Mitwirkung des Auftragsverarbeiters erfüllen (Art. 28 Abs. 3 lit. e DSGVO).

(2) Sicherheit, Meldepflichten, Folgenabschätzung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit Informationen für eine Datenschutz-Folgenabschätzung (siehe dsfa-pruefung.md).

(3) Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der Dokumentdaten unverzüglich, möglichst innerhalb von [24] Stunden nach Kenntnis, an die E-Mail-Adresse der Teamleitung und an [weitere Kontaktadresse des Trägers]. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 8 Löschung und Rückgabe

(1) Teammitglieder können Dokumente jederzeit selbst löschen und als Word-Datei herunterladen. Löscht die Teamleitung das Team, löscht der Auftragsverarbeiter das Team mit allen Dokumenten und Einladungen sofort.

(2) Bei Vertragsende ohne Löschung durch die Teamleitung löscht der Auftragsverarbeiter das Team nach [30] Tagen, nachdem er die Teamleitung informiert hat (Art. 28 Abs. 3 lit. g DSGVO).

(3) Technisch bedingt bleiben gelöschte Daten bis zu 7 Tage (Tarif Workers Free; bei Wechsel auf Workers Paid 30 Tage) in der automatischen Wiederherstellungsfunktion der Datenbank (Cloudflare D1 Time Travel, https://developers.cloudflare.com/d1/reference/time-travel/) und werden danach endgültig überschrieben (siehe Anlage 3 und loeschkonzept.md). Der Auftragsverarbeiter nutzt diese Sicherung nur zur Wiederherstellung nach technischen Fehlern.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (Art. 28 Abs. 3 lit. h DSGVO), insbesondere diesen Vertrag mit Anlagen, die TOMs und die Nachweise des Unterauftragsverarbeiters Cloudflare (Zertifizierungen laut https://www.cloudflare.com/trust-hub/compliance-resources/ [Link prüfen]).

(2) Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist [mindestens 14 Tage] möglich, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. [Prüfen: Kostenregelung]

§ 10 Haftung

Es gilt Art. 82 DSGVO. [Prüfen: weitere Regelungen]

§ 11 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. (2) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. (3) Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. (4) Der Vertrag kann auch elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).

[Ort, Datum] ______________________ [Ort, Datum] ______________________ Verantwortlicher Auftragsverarbeiter

Anlage 1: Gegenstand, Art der Daten, betroffene Personen

Anlage 2: Technische und organisatorische Maßnahmen

Es gelten die technischen und organisatorischen Maßnahmen in der Fassung vom [Datum] (Datei toms.md, als PDF beizufügen).

Anlage 3: Unterauftragsverarbeiter

Cloudflare setzt eigene Unterauftragsverarbeiter ein, darunter verbundene Unternehmen weltweit und für die „Developer Platform“ u. a. Google LLC (EWR, USA, Australien, Indien) und Oracle America, Inc. (u. a. USA, EWR) (Liste Stand 01.10.2025: https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/). Neue Unterauftragsverarbeiter kündigt Cloudflare mindestens 30 Tage vorher an (DPA Klausel 4.4).

| Sendinblue GmbH (Brevo), Köhlstraße 27, 50827 Köln, Deutschland | Versand der Transaktions-E-Mails der App über die Brevo-API (Anmelde-, Bestätigungs-, Passwort- und Einladungsmails). Übermittelt werden Empfängeradresse, Betreff und Mailinhalt; Einladungsmails enthalten Teamname und Name der einladenden Person. Keine Dokumentinhalte. | EU: eigene Server bei OVH in Frankreich und Deutschland, Google Cloud in Belgien (https://help.brevo.com/hc/en-us/articles/360001005510-Data-storage-location, Stand 22.09.2026) | Vertrag zur Auftragsverarbeitung mit Brevo [laut bestehendem Entwurf zur Website-Datenschutzerklärung vorhanden, bitte bestätigen und Fassung/Datum eintragen]; Unterauftragsverarbeiter von Brevo laut Brevo-AVV [prüfen] |

Hinweis zu Brevo: Brevo verarbeitet keine Inhalte der Dokumente, sondern nur Konto- und Teamdaten, für die die Leuchtturm Akademie selbst verantwortlich ist. Brevo ist hier vorsorglich aufgeführt, damit der Verantwortliche alle beteiligten Dienstleister kennt. [Prüfen durch Fachperson: Aufnahme nötig oder nur informatorisch?]