Auftragsverarbeitungsvertrag

Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen dem jeweiligen Träger der Jugendhilfe oder einer vergleichbaren Organisation als Verantwortlichem und:

PFLEGEELTERN SPACE gUG (haftungsbeschränkt)
Vertreten durch: Patrick Schäfer, Geschäftsführer
Hans-Högn-Straße 6
95030 Hof
E-Mail: info@pflegeeltern.space

Der AVV regelt die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Plattform Pflegeeltern.Space unter pe.pflegeeltern.space. Er ist Bestandteil des jeweiligen Nutzungsvertrags und geht diesem im Fall datenschutzrechtlicher Widersprüche vor.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung der Plattformfunktionen für Träger der Jugendhilfe. Die Verarbeitung beginnt mit Abschluss des Nutzungsvertrags und endet mit dessen Beendigung, sofern sich aus diesem AVV oder gesetzlichen Pflichten keine längeren Aufbewahrungsfristen ergeben.

§ 2 Art, Umfang und Zweck der Verarbeitung

Die Verarbeitung kann insbesondere folgende Datenkategorien umfassen:

• Mitarbeiterdaten des Trägers: Name, E-Mail-Adresse, Funktion, Rolle und Login-Daten
• Pflegefamiliendaten: Name, Kontaktdaten, Betreuungsstatus, interne Notizen und Hilfeplan-Termine
• Pflegekind-Stammdaten: Vorname, Alter, Hilfeform und Betreuungszeitraum
• Kontaktanfragen von Interessierten: Name, E-Mail-Adresse, Nachrichteninhalt und Zeitstempel
• Veranstaltungsdaten: Teilnehmernamen, E-Mail-Adressen, Anmeldestatus und Zertifikatsdaten
• Freiplatzmeldungen: Kapazitätsangaben, Hilfeform, Region und Verfügbarkeit
• Vertragsdaten: Name, Funktion, E-Mail-Adresse, IP-Adresse und Signaturzeitstempel

Soweit der Verantwortliche besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet, insbesondere Gesundheitsdaten oder besonders schutzbedürftige Daten Minderjähriger, ist er für die passende Rechtsgrundlage verantwortlich. Der Auftragsverarbeiter verarbeitet solche Daten ausschließlich auf dokumentierte Weisung.

Zwecke der Verarbeitung sind Betrieb und Bereitstellung der Plattform, Verwaltung von Kontaktanfragen, Organisation von Schulungen, Dokumentenablage, Teamkommunikation, Vertragsabschluss, technische Sicherheit und Systemüberwachung.

§ 3 Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer oder internationale Organisationen, soweit keine gesetzliche Pflicht entgegensteht.

Weisungen erfolgen schriftlich; E-Mail genügt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• personenbezogene Daten nur auf dokumentierte Weisung zu verarbeiten
• befugte Personen zur Vertraulichkeit zu verpflichten
• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen
• Unterauftragnehmer nur nach den Regelungen dieses AVV einzusetzen
• den Verantwortlichen bei Betroffenenrechten, Datenpannen und DSFA-Fragen zu unterstützen
• nach Ende der Leistung personenbezogene Daten zurückzugeben oder zu löschen
• Nachweise und Informationen zur Einhaltung von Art. 28 DSGVO bereitzustellen

§ 5 Unterauftragnehmer

Der Verantwortliche genehmigt mit Abschluss dieses AVV folgende Unterauftragnehmer:

Unternehmen	Zweck	Sitz / Grundlage
Hetzner Online GmbH	Serverhosting und Datenspeicherung	Deutschland, EU
Mailgun Technologies, Inc.	Transaktionale E-Mails	USA, SCC und EU-Rechenzentrumsregion verfügbar
Zoom Video Communications, Inc.	Videokonferenzen für Schulungen, optional und trägergesteuert	USA, SCC; eigener Zoom-Account des Trägers
FreeTSA.org	RFC-3161-Zeitstempel für Vertragsunterzeichnungen	EU, nur Dokument-Hash

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen bei Unterauftragnehmern mindestens 30 Tage im Voraus per E-Mail. Der Verantwortliche kann berechtigte Einwände schriftlich erheben.

§ 6 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

§ 7 Technische und organisatorische Maßnahmen

Vertraulichkeit

• Verschlüsselung aller Daten in Transit per TLS
• Rollenbasiertes Zugriffsmodell
• starke Passwortanforderungen und optionale Zwei-Faktor-Authentifizierung
• vertraulicher Datenbankzugriff ohne öffentlichen Datenbankport

Integrität und Verfügbarkeit

• Audit-Logs und Schutzmaßnahmen gegen Manipulation
• regelmäßige Backups und Wiederherstellungsprozesse
• Monitoring, Sicherheitsupdates und Dependency-Patches
• Rate-Limiting, CSRF-Schutz, XSS-Schutz und Schutz vor Brute-Force-Angriffen

Eine aktuelle Übersicht der technischen und organisatorischen Maßnahmen kann unter info@pflegeeltern.space angefordert werden.

§ 8 Datenpannen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, damit der Verantwortliche seiner Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden nachkommen kann.

Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Datenkategorien und -mengen, wahrscheinliche Folgen sowie bereits ergriffene oder geplante Maßnahmen.

§ 9 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage einen Datenexport zur Verfügung. Nach Ablauf einer Übergangsfrist werden personenbezogene Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Ausgenommen von der Löschung sind insbesondere:

• Vertrags- und Rechnungsdaten nach HGB und AO
• Audit-Logs zur Vertragsunterzeichnung
• Daten, deren Löschung durch behördliche oder gesetzliche Pflichten untersagt ist

§ 10 Datenschutz-Folgenabschätzung

Soweit der Verantwortliche eine Datenschutz-Folgenabschätzung für Verarbeitungsvorgänge auf der Plattform durchführen muss, unterstützt der Auftragsverarbeiter ihn durch Bereitstellung technischer Informationen zur Verarbeitungsarchitektur, zu TOMs und zur Unterauftragnehmerkette.

Besonders hingewiesen wird auf das erhöhte Risikopotenzial bei der Verarbeitung von Daten Minderjähriger.

§ 11 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Prüfungen und Inspektionen sind mit angemessener Vorlaufzeit während üblicher Geschäftszeiten möglich, soweit der laufende Betrieb nicht unverhältnismäßig beeinträchtigt wird.

§ 12 und § 13 Haftung und Pflichten des Verantwortlichen

Verstößt der Auftragsverarbeiter gegen datenschutzrechtliche Pflichten aus diesem AVV oder handelt entgegen rechtmäßigen Weisungen, gelten die gesetzlichen Haftungsvorschriften.

Der Verantwortliche ist insbesondere verpflichtet:

• für jede Verarbeitung über eine geeignete Rechtsgrundlage zu verfügen
• Informationspflichten gegenüber betroffenen Personen zu erfüllen
• Mitarbeiterzugänge zeitnah zu verwalten und ausgeschiedene Mitarbeitende zu deaktivieren
• beim Einsatz externer Konferenzdienste die eigene datenschutzrechtliche Rolle zu prüfen

§ 14 Schlussbestimmungen

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Unternehmer ist.

Änderungen dieses AVV bedürfen der Schriftform; E-Mail genügt. Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen mit einer Frist von mindestens 30 Tagen.

Der aktuell gültige AVV ist abrufbar unter pflegeeltern.space/avv.