Auftragsverarbeitungsvertrag
Version v1.0
Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem Verantwortlichen (Schule) und KIDO als Auftragsverarbeiter.
§ 1 Vertragsparteien
Verantwortlicher: die Schule (gemäß Registrierungsdaten im KIDO-Konto). Auftragsverarbeiter: KIDO UG (haftungsbeschränkt) i.G., [TODO: vollständige Anschrift wie im Impressum].
§ 2 Gegenstand der Verarbeitung
Verarbeitung personenbezogener Daten von Eltern und Kindern (Anmelde-Daten) zum Zwecke der Bereitstellung des Buchungssystems im Auftrag der Schule.
§ 3 Dauer
Die Vereinbarung gilt für die Dauer des Hauptvertrags zwischen KIDO und der Schule.
§ 4 Datenkategorien & betroffene Personen
Datenkategorien: Name, Alter (Kind); Name, E-Mail, Telefon (Elternteil); Buchungs-Status; Notizen der Schule. Betroffene Personen: Eltern und Kinder, die einen Kurs bei der Schule buchen.
§ 5 Pflichten des Auftragsverarbeiters
KIDO verarbeitet Daten ausschließlich auf dokumentierte Weisung der Schule, sichert sie nach Stand der Technik (TLS, RLS, AES-256 at-rest bei Supabase), bindet alle Mitarbeitenden an Vertraulichkeit und unterstützt die Schule bei Betroffenenrechten.
§ 6 Unterauftragsverarbeiter
KIDO setzt folgende Subunternehmer ein (Standorte EU): • Supabase Inc. — eu-central-1 (Datenbank & Auth) • Vercel Inc. — Frankfurt (App-Hosting) • Stripe Payments Europe Ltd. — Irland (Zahlungen, AVV/SCC vorhanden) • Resend — EU (Transaktions-E-Mails) • PostHog — EU-Cloud (Analyse, nur nach Endnutzer-Einwilligung) • Sentry — EU-Region (Fehler-Monitoring) • Google Maps — externe Karte (nur nach Endnutzer-Einwilligung)
§ 7 Beendigung
Bei Beendigung des Hauptvertrags werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht oder auf Wunsch herausgegeben (Datenexport im Konto).
§ 8 Annahme
Die Annahme erfolgt durch das Setzen des AVV-Häkchens im Onboarding-Schritt und wird mit Zeitstempel, IP-Adresse und Vertragsversion im Audit-Log dokumentiert (DSGVO-04).