Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

für die Nutzung von famloop.de · Stand: Oktober 2026 (neu: Nr. 10c FamLoop Go für Android und iPhone, dazu Nr. 11; Nr. 10b FamLoop me, ergänzt um die iPhone-Fassung)

zwischen

nachfolgend „Verantwortlicher"

und

nachfolgend „Auftragsverarbeiter"

gemeinsam „Parteien"

1. Gegenstand der Vereinbarung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die CertBoard GmbH im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und Nutzung von famloop.de.

Die Parteien schließen diese Vereinbarung zur Konkretisierung ihrer datenschutzrechtlichen Rechte und Pflichten nach Art. 28 DSGVO.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.

2. Dauer der Verarbeitung

Die Verarbeitung beginnt mit Freischaltung oder Nutzung von famloop.de durch den Verantwortlichen und endet mit Beendigung des zugrundeliegenden Vertragsverhältnisses, soweit keine gesetzlichen Aufbewahrungs-, Nachweis- oder Sicherungspflichten entgegenstehen.

Nach Ende des Vertragsverhältnisses werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine rechtliche Pflicht zur weiteren Speicherung besteht.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zur Bereitstellung, Administration, Wartung und Sicherung von famloop.de.

Zwecke der Verarbeitung sind insbesondere:

• digitale Fallverwaltung,
• Terminplanung und Terminkoordination,
• Verwaltung von Umgangskontakten,
• Kommunikation zwischen berechtigten Beteiligten,
• Dokumentation organisatorischer und fachlicher Abläufe,
• Erstellung und Verwaltung von Übersichten, Statusanzeigen und Benachrichtigungen,
• KI-gestützte Zusatzfunktionen nach Nr. 10a, soweit der Verantwortliche sie gebucht hat,
• technische Protokollierung zur Sicherheit und Fehleranalyse,
• Nutzerverwaltung und Rechteverwaltung,
• Support und Störungsbehebung.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit diese Vereinbarung Anwendung findet.

4. Art der personenbezogenen Daten

Je nach Nutzung von famloop.de können insbesondere folgende Daten verarbeitet werden:

Stammdaten

• Namen,
• Anschriften,
• Telefonnummern,
• E-Mail-Adressen,
• Rollen und Funktionen,
• organisatorische Zuordnungen,
• Nutzerkennungen.

Falldaten

• Fallnummern,
• Aktenzeichen,
• Zuständigkeiten,
• Angaben zu Umgangsformen,
• Termin- und Verlaufsdaten,
• organisatorische Hinweise,
• fachliche Kurznotizen,
• Statusinformationen,
• Kommunikationsverläufe.

Daten von Kindern und Familien

• Namen und Geburtsdaten von Kindern,
• Angaben zu Sorgeberechtigten,
• Umgangsberechtigten und weiteren Bezugspersonen,
• Informationen zur Durchführung begleiteter Umgänge,
• Schutz- und Kontaktregelungen,
• relevante familiäre und organisatorische Kontextinformationen.

Technische Daten

• Login-Daten,
• IP-Adressen,
• Zeitstempel,
• Protokolldaten,
• Browser- und Geräteinformationen,
• Fehlerprotokolle,
• Zugriffshistorien.

Besondere Kategorien personenbezogener Daten

Soweit vom Verantwortlichen eingegeben oder im Rahmen der Nutzung erforderlich, können auch besonders schutzbedürftige Daten verarbeitet werden, insbesondere Angaben zu Gesundheit, psychosozialen Belastungen, familiären Konflikten, Schutzbedarfen oder vergleichbaren sensiblen Sachverhalten.

Der Verantwortliche bleibt dafür verantwortlich, dass für die Verarbeitung solcher Daten eine geeignete Rechtsgrundlage besteht.

5. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

• Kinder,
• Jugendliche,
• Eltern,
• Sorgeberechtigte,
• Umgangsberechtigte,
• Umgangsverpflichtete,
• Pflegepersonen,
• Fachkräfte,
• Mitarbeitende freier und öffentlicher Träger,
• Mitarbeitende von Jugendämtern,
• externe Kooperationspartner,
• sonstige am Hilfe- oder Umgangsprozess beteiligte Personen.

6. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist im datenschutzrechtlichen Sinne für die Rechtmäßigkeit der Verarbeitung verantwortlich.

Er hat insbesondere sicherzustellen, dass:

• eine Rechtsgrundlage für die Verarbeitung besteht,
• betroffene Personen ordnungsgemäß informiert werden,
• nur erforderliche Daten verarbeitet werden,
• Nutzerrechte angemessen vergeben werden,
• Weisungen an den Auftragsverarbeiter klar und dokumentiert erfolgen,
• Lösch- und Aufbewahrungsfristen fachlich und rechtlich festgelegt werden.

Der Verantwortliche ist berechtigt, Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen können schriftlich, elektronisch oder in dokumentierter Textform erfolgen.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
• die Vertraulichkeit der verarbeiteten Daten zu wahren,
• zur Verarbeitung befugte Personen auf Vertraulichkeit zu verpflichten,
• geeignete technische und organisatorische Maßnahmen umzusetzen,
• den Verantwortlichen bei der Wahrung der Betroffenenrechte zu unterstützen,
• den Verantwortlichen bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Sicherheitsfragen angemessen zu unterstützen,
• personenbezogene Daten nach Ende der Verarbeitung nach Weisung zu löschen oder zurückzugeben,
• Nachweise zur Einhaltung dieser Vereinbarung bereitzustellen,
• Kontrollen und Audits nach angemessener vorheriger Abstimmung zu ermöglichen,
• den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

8. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugriff auf personenbezogene Daten erhalten können, zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Gerade bei Kinder- und Familiendaten gilt: Zugriff nur, wenn fachlich nötig. Keine Neugier-Zugriffe, kein „ich guck mal kurz". Das ist Compliance-Basic.

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Hierzu gehören insbesondere:

Zutrittskontrolle

• Schutz von Büroräumen und Arbeitsplätzen gegen unbefugten Zutritt,
• kontrollierter Zugang zu Server- und Administrationssystemen über Dienstleister,
• sichere Aufbewahrung von Zugangsdaten.

Zugangskontrolle

• passwortgeschützte Nutzerkonten,
• rollen- und rechtebasierte Zugriffssteuerung,
• Zugriff nur für berechtigte Personen,
• Sperrung oder Deaktivierung nicht mehr benötigter Zugänge.

Zugriffskontrolle

• differenzierte Berechtigungen nach Rolle und Aufgabe,
• Protokollierung sicherheitsrelevanter Zugriffe, soweit technisch vorgesehen,
• Begrenzung administrativer Zugriffe auf erforderliche Personen.

Weitergabekontrolle

• verschlüsselte Übertragung über HTTPS/TLS,
• keine unbefugte Weitergabe personenbezogener Daten,
• geregelter Umgang mit Exporten, Downloads und Supportzugriffen.

Eingabekontrolle

• technische Protokollierung von Eingaben und Änderungen, soweit im System vorgesehen,
• Nachvollziehbarkeit wesentlicher Bearbeitungsvorgänge,
• Zuordnung von Änderungen zu Nutzerkonten, soweit technisch möglich.

Verfügbarkeitskontrolle

• regelmäßige Datensicherungen,
• Schutz vor Verlust und Zerstörung,
• technische Maßnahmen zur Wiederherstellbarkeit,
• angemessene Wartungs- und Updateprozesse.

Trennungsgebot

• getrennte Verarbeitung nach Mandanten, Kunden oder Berechtigungsbereichen,
• technische und organisatorische Abgrenzung von Datenbeständen,
• keine Vermischung mit Daten anderer Verantwortlicher außerhalb der vorgesehenen Systemfunktionen.

Belastbarkeit und Sicherheit

• Einsatz aktueller Sicherheitsmaßnahmen,
• regelmäßige Aktualisierung technischer Komponenten,
• Schutz vor unberechtigten Zugriffen,
• Prüfung und Behebung sicherheitsrelevanter Fehler.

Die konkreten technischen und organisatorischen Maßnahmen können an technische Entwicklungen angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für Betrieb, Hosting, Wartung, Support, E-Mail-Versand, Benachrichtigungssysteme, Datensicherung oder technische Sicherheit erforderlich sind, sowie für die KI-Funktionen nach Nr. 10a, soweit der Verantwortliche ein Paket mit KI gebucht hat.

Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen beim Einsatz von Unterauftragsverarbeitern. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO verpflichtet werden und ein angemessenes Datenschutzniveau gewährleisten.

Aktuelle Unterauftragsverarbeiter

Dienstleister	Leistung	Sitz / Verarbeitung
WebhostOne GmbH	Hosting, Serverbetrieb, technische Infrastruktur	Deutschland (Rechenzentrum: Hetzner Online GmbH, Gunzenhausen)
Eigener Mailserver (kein externer Versanddienst)	Versand technischer und organisatorischer E-Mails	Deutschland (auf o. g. Infrastruktur)
Hetzner Online GmbH	Datensicherung (Off-site-Backup)	Deutschland (EU)
Anthropic Ireland, Limited 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland	KI-Sprachmodell für die KI-Funktionen nach Nr. 10a – nur bei gebuchtem KI-Paket und nur mit pseudonymisierten Texten	Irland (EU); Verarbeitung auch außerhalb der EU, insbesondere in den USA (u. a. durch Anthropic, PBC) – auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
derzeit nicht genutzt	SMS-/Push-/Messaging-Benachrichtigungen	—

10a. KI-Funktionen

famloop.de bietet KI-gestützte Zusatzfunktionen an: Entwürfe von Berichten, Fragen an die eigene Dokumentation (Findefragen), die Übersetzung von Dokumentationen ins Deutsche und das Auslesen leerer Vordrucke von Jugendämtern. Diese Funktionen sind nur aktiv, wenn der Verantwortliche ein Paket mit KI gebucht hat. Mit der Buchung weist der Verantwortliche den Auftragsverarbeiter an, dafür den in Nr. 10 genannten KI-Anbieter einzusetzen. Ohne gebuchtes KI-Paket werden keine Daten an den KI-Anbieter übermittelt; ein Wechsel in ein Paket ohne KI beendet die Übermittlung.

Vor jeder Übermittlung ersetzt der Auftragsverarbeiter auf seinen Servern in Deutschland die Namen und Geburtsdaten der im Fall erfassten Personen durch Rollenbezeichnungen oder Platzhalter, bei Berichtsentwürfen und Findefragen zusätzlich das Aktenzeichen, die Ansprechperson im Jugendamt und die Namen der Fachkräfte (Pseudonymisierung, Art. 4 Nr. 5 DSGVO). Die Zuordnung der Platzhalter zu den Klardaten verbleibt beim Auftragsverarbeiter und wird nicht übermittelt.

Übermittelt wird der so pseudonymisierte Text, etwa aus Dokumentationen, Absagegründen, E-Mails, Hilfeplanzielen und – soweit der Verantwortliche sie für einen Bericht auswählt – aus Fall-Unterlagen. Dieser Text kann weiterhin personenbezogene Daten enthalten, insbesondere Schilderungen von Ereignissen, Angaben besonderer Kategorien nach Art. 9 DSGVO (etwa zur Gesundheit) sowie Namen von Personen, die nicht im Fall erfasst sind (zum Beispiel aus Schule oder Gericht). Er wird deshalb als personenbezogenes Datum behandelt, und der KI-Anbieter wird als Unterauftragsverarbeiter eingesetzt.

Der KI-Anbieter darf die übermittelten Inhalte nach seinen Vertragsbedingungen nicht zum Training seiner Modelle verwenden. Eingaben und Ergebnisse löscht er nach seinen derzeitigen Bedingungen innerhalb von 30 Tagen; ausgenommen sind Inhalte, die er zur Durchsetzung seiner Nutzungsrichtlinien oder aufgrund gesetzlicher Pflichten länger aufbewahren muss.

Die Ergebnisse der KI-Funktionen sind Entwürfe. Sie werden von Fachkräften des Verantwortlichen geprüft, geändert und verantwortet; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

10b. App für Familien „FamLoop me“

famloop.de bietet eine App für Android-Handys und iPhones an, mit der Eltern und weitere Beteiligte im begleiteten Umgang ihre Termine sehen und mit der Fachkraft schreiben („FamLoop me“). Sie ist nur aktiv, wenn der Verantwortliche sie in seinen Einstellungen einschaltet; mit dem Einschalten weist er den Auftragsverarbeiter an, die folgenden Verarbeitungen durchzuführen. Die App ist für die Betroffenen freiwillig; der Termin-Bereich im Browser bleibt bestehen.

Zusätzlich zu Nr. 4 werden verarbeitet:

• Geräteangaben: vom Handy angegebener Gerätename, App-Version, Zeitpunkte von Anmeldung, letztem Öffnen und Abmeldung, Fehlermeldungen bei der Installation; ein Geräte-Schlüssel, von dem der Auftragsverarbeiter nur einen nicht umkehrbaren Prüfwert speichert;
• Anmelde-Codes: Prüfwert, Gültigkeit, Weg der Übergabe (persönlich, SMS, Telefon), wer den Code erzeugt hat und welches Handy ihn eingelöst hat;
• ein zentrales Code-Verzeichnis unter famloop.de, das nur einen weiteren Prüfwert des Codes, die Kennung und Adresse des Verantwortlichen und den Ablauf enthält – keine Namen und keine Falldaten;
• soweit der Verantwortliche „Eltern untereinander“ je Familie einschaltet und beide Eltern zustimmen: Nachrichten, Bilder und Dateien zwischen den Eltern (Bilder ohne Ort-, Geräte- und Zeitangaben), Reaktionen, Zustimmungen und deren Widerruf, Stufen der Moderation, Freigaben durch die Fachkraft sowie zurückgehaltene Nachrichten (Stopp-Liste);
• Protokolldaten der Abrufe und Handlungen aus der App (Zeitpunkt, Art, IP-Adresse).

Android-Fassung: Die App wird vom Server des Auftragsverarbeiters geladen (kein App-Store). Sie nutzt keine Werbe-, Analyse- oder Benachrichtigungsdienste Dritter (insbesondere kein Google Firebase); das Handy fragt selbst beim Server nach Neuem. Auf dem Handy liegen nur die kommenden Termine, verschlüsselt (Android Keystore, AES-GCM); Bildschirmfotos und Gerätesicherungen sind ausgeschlossen; mit dem Abmelden werden sie gelöscht.

iPhone-Fassung: Sie ist nur aktiv, wenn der Verantwortliche sie zusätzlich gesondert einschaltet. Abweichend von der Android-Fassung gilt:

• Die App wird von famloop.de geladen (kein App-Store). Anbieter gegenüber Apple ist die CertBoard GmbH. Apple prüft jede neue Version, bevor sie verteilt wird (bei Apple heißt das „Notarisierung“), und erfährt bei Installation und Aktualisierung, dass auf dem Gerät „FamLoop me“ installiert wird. Diese Daten verarbeitet Apple Distribution International als eigene Verantwortliche gegenüber der Person, der das Gerät gehört; sie sind keine Verarbeitung im Auftrag.
• Die App nutzt keine Benachrichtigungsdienste Dritter, auch nicht den Benachrichtigungsdienst von Apple. Sie fragt selbst beim Server nach Neuem, sobald das iPhone es ihr erlaubt, nur zwischen 7 und 20 Uhr, und zeigt eine Benachrichtigung ohne Inhalt („Neuigkeiten zu Ihren Terminen“).
• Auf dem iPhone liegen nur die kommenden Termine, mit der Verschlüsselung des iPhones; der Schlüssel liegt im Schlüsselbund des iPhones und geht auf kein anderes Gerät über. Die Daten sind von iCloud- und Gerätesicherungen ausgenommen und werden mit dem Abmelden gelöscht; nach dem Löschen und neuen Installieren der App verwirft sie alle alten Schlüssel.
• Bildschirmfotos lassen sich auf dem iPhone technisch nicht verhindern. Der Inhalt wird in der App-Übersicht sowie bei Bildschirmaufnahme und -spiegelung verdeckt; die Sperre beim Öffnen (Face ID oder Gerätecode) ist voreingestellt eingeschaltet; im Schreiben der Eltern untereinander steht für beide Eltern, gleich mit welchem Handy, dass der andere Elternteil abfotografieren kann.
• Keine Werbe- oder Analysedienste, keine Dienste für Absturzberichte, keine Vorschläge in Siri, Spotlight oder Widgets. Zu alte Versionen der App lässt der Server nicht mehr zu.

Zusätzliche Unterauftragsverarbeiter werden für die App nicht eingesetzt; eine Übermittlung in ein Drittland findet durch die App nicht statt.

Der Verantwortliche informiert die Betroffenen nach Art. 13 DSGVO; der Auftragsverarbeiter stellt dafür unter /familie/datenschutz der Adresse des Verantwortlichen einen Hinweis mit dessen Angaben bereit. Für die Datenschutz-Folgenabschätzung stellt der Auftragsverarbeiter eine Grundlage bereit (famloop.de/famloop-me-dsfa); Bewertung und Freigabe bleiben beim Verantwortlichen. Die iPhone-Fassung lässt sich erst einschalten, wenn der Hinweis nach Art. 13 sie beschreibt.

10c. App für Fachkräfte „FamLoop Go“

famloop.de bietet eine App für Android-Handys und iPhones an, mit der Fachkräfte und Leitung des Verantwortlichen unterwegs ihre Termine und Familien sehen, dokumentieren, im Team und mit Familien schreiben, Fahrten eintragen und Abwesenheiten melden („FamLoop Go“). Sie ist für Diensthandys bestimmt, die der Verantwortliche ausgibt und verwaltet. Angemeldet wird mit E-Mail-Adresse und Passwort des Zugangs; Daten erhält ein Handy erst, wenn es freigegeben ist – durch die Leitung im Back-Office oder, wenn der Verantwortliche es erlaubt, durch die Person selbst mit einem zehn Minuten gültigen QR-Code von der Seite „FamLoop Go“ in der Planungs-App; ein iPhone gibt immer die Leitung frei. Mit dieser Vereinbarung weist der Verantwortliche den Auftragsverarbeiter an, die folgenden Verarbeitungen durchzuführen; Handys freigeben die Leitung oder, solange er es erlaubt, die Beschäftigten selbst. Die Planungs-App im Browser bleibt vollständig nutzbar.

Betroffen sind neben den Personen nach Nr. 5 vor allem die Beschäftigten des Verantwortlichen, die die App nutzen. Ihre Geräte-, Protokoll- und gegebenenfalls Standortdaten sind Beschäftigtendaten. Funktionen, die sich zur Verhaltens- oder Leistungskontrolle eignen, kann der Verantwortliche unter „Betriebsrat fragen“ einzeln abschalten (Vorgabe: an).

Zusätzlich zu Nr. 4 werden verarbeitet:

• Geräteangaben: vom Handy angegebener Gerätename, App-Version und deren Wechsel, Zeitpunkte von Anmeldung, Freigabe, letzter Nutzung und Abmeldung, wer freigegeben oder abgemeldet hat und aus welchem Grund, Fehlermeldungen bei der Installation; ein Geräte-Schlüssel, von dem der Auftragsverarbeiter nur einen nicht umkehrbaren Prüfwert speichert;
• ein Abruf-Protokoll je Handy: Zeitpunkt, Art der Handlung, gekürzte IP-Adresse und – beim Öffnen einer Familie, einer Dokumentation oder einer Unterlage – deren Kennung; Abrufe des Tagesplans werden nach 90 Tagen, alle übrigen Einträge nach zwölf Monaten gelöscht;
• für die Messung, ob Absagen auf dem iPhone rechtzeitig gesehen werden: je abgesagtem Termin und Fachkraft, ob iPhone oder Android, die Zeitpunkte von Absage, Terminbeginn und erstem Abruf durch die App, ohne Namen und Inhalte; nach 90 Tagen gelöscht;
• was die Beschäftigten in der App eingeben: Dokumentationen, Nachrichten im Team- und Klienten-Chat, Fahrten mit Belegen, Kassenbons zum Handgeld, Krankmeldungen und Abwesenheitsanträge, Bestätigungen der eigenen Abrechnung;
• nur in der Android-Fassung und nur, wenn die Fachkraft „Meinen Standort teilen“ selbst einschaltet: der genaue Standort des Handys (siehe unten).

Android-Fassung: Die App wird vom Server des Auftragsverarbeiters unter der Adresse des Verantwortlichen geladen (kein App-Store) und aktualisiert sich von dort; jede neue Version wird vor dem Einspielen darauf geprüft, ob sie die feste digitale Unterschrift (Signatur) trägt, zu alte Versionen lässt der Server nicht mehr zu. Sie nutzt keine Werbe-, Analyse- oder Benachrichtigungsdienste Dritter (insbesondere kein Google Firebase); das Handy fragt selbst beim Server nach Neuem und zeigt Benachrichtigungen ohne Namen und ohne Text, nur Mo–Fr 8–20 Uhr. Auf dem Handy liegen, verschlüsselt mit einem Schlüssel, der nur auf diesem Handy liegt (Android Keystore, AES-GCM): der zuletzt geholte Tag mit Anschrift und Telefon der Familien und noch nicht angekommene Entwürfe der Dokumentation – nach 24 bzw. 72 Stunden nicht mehr lesbar und beim nächsten Aufruf gelöscht – sowie noch nicht angekommene Fahrten. Fotos von Belegen schreibt die Kamera in den eigenen Speicher der App, nie in die Galerie, und sie werden nach dem Senden gelöscht. Unterlagen der Akte lassen sich nur in der App ansehen und werden beim Schließen gelöscht. Bildschirmfotos und Gerätesicherungen sind ausgeschlossen. Mit dem Abmelden auf dem Handy wird dort alles gelöscht. Der Geräte-Schlüssel verfällt mit einem neuen Passwort und nach 30 Tagen ohne Nutzung. Meldet die Leitung ein Handy ab, löscht es beim nächsten Kontakt Schlüssel, Tag, Entwürfe und wartende Fahrten, ab Version 1.69 auch noch nicht gesendete Belegfotos (davor bleiben sie bis zur nächsten Anmeldung im Speicher der App). Ist der Zugang ausgeschaltet oder das Austrittsdatum erreicht, löscht das Handy nur den Tag; Entwürfe, Fahrten und Belegfotos bleiben verschlüsselt, bis die Leitung es abmeldet.

„Wo ist wer?“ (nur Android): Schaltet eine Fachkraft „Meinen Standort teilen“ ein (Vorgabe aus), meldet das Handy Mo–Fr 8–18 Uhr alle zehn Minuten seinen genauen Standort, auch bei gesperrtem Handy und während eines Termins; solange geteilt wird, zeigt das Handy das dauerhaft an. Gespeichert wird nur der letzte Punkt; er wird überschrieben und nach 30 Minuten, beim Ausschalten, außerhalb der Zeit und bei Abwesenheit gelöscht; ein Verlauf entsteht nicht. Die Karte sieht nur, wer selbst teilt, auch die Leitung; jedes Öffnen wird festgehalten, und wer teilt, sieht, wer die Karte heute geöffnet hat. Der Verantwortliche kann die Karte und den Hinweis „in der Nähe“ für alle abschalten. Die Kartenbilder lädt das Handy unmittelbar beim Kartendienst von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich). Dieser erhält dabei die IP-Adresse des Handys, den Namen der App (de.famloop.unterwegs) und den angezeigten Kartenausschnitt, der erkennen lässt, in welcher Gegend sich die Teilenden ungefähr aufhalten, aber keine Namen. Er ist kein Unterauftragsverarbeiter, und mit ihm besteht kein Vertrag zur Auftragsverarbeitung (siehe Nr. 11).

„Weg zeigen“ übergibt die Anschrift an die Karten-App des Handys; was diese damit tut, richtet sich nach ihrem Anbieter und wird über die Geräteverwaltung des Verantwortlichen bestimmt. „Entfernung berechnen“ läuft wie in der Planungs-App über den Server und den vom Verantwortlichen hinterlegten Kartendienst. Die Zeile „Google Kalender“ zeigt nur den Stand einer Verbindung, die über die Planungs-App eingerichtet wird; die App selbst übermittelt nichts an Google.

iPhone-Fassung: Sie ist im Bau. Sie ist nur aktiv, wenn der Verantwortliche sie zusätzlich gesondert einschaltet (Vorgabe aus; festgehalten werden Name und Datum), und nur für Diensthandys bestimmt, die der Verantwortliche über seine Geräteverwaltung führt (bei Apple „betreut“). Anmeldung, Freigabe, Abruf-Protokoll und Abmelden sind dieselben wie bei der Android-Fassung. Abweichend gilt:

• Die App wird von famloop.de geladen (kein App-Store). Anbieter gegenüber Apple ist die CertBoard GmbH. Apple prüft jede neue Version, bevor sie verteilt wird („Notarisierung“), und erfährt bei Installation und Aktualisierung, dass auf dem Gerät „FamLoop Go“ installiert wird. Diese Daten verarbeitet Apple in eigener Verantwortung nach den Bedingungen, die für Gerät und Apple-Konto gelten (Apple Distribution International Ltd., Irland); keine Verarbeitung im Auftrag des Verantwortlichen oder des Auftragsverarbeiters. Bei Diensthandys aus der Geräteverwaltung regelt der Verantwortliche sein Verhältnis zu Apple über seine Geräteverwaltung.
• Die App nutzt keine Benachrichtigungsdienste Dritter, auch nicht den Benachrichtigungsdienst von Apple. Sie fragt selbst beim Server nach Neuem, sobald das iPhone es ihr erlaubt, nur Mo–Fr 8–20 Uhr, und zeigt Benachrichtigungen ohne Namen und ohne Text. Benachrichtigungen können sich dadurch verspäten; die App sagt das und holt bei jedem Öffnen sofort den Stand.
• Kein Standort: „Wo ist wer?“ und „Meinen Standort teilen“ gibt es auf dem iPhone nicht. „Weg zeigen“ öffnet die Karten-App von Apple und übergibt ihr nur die Anschrift, ohne Namen; eine Karte in der App gibt es nicht. Keine Verbindung zu Google Kalender, keine Werbe- oder Analysedienste und keine Dienste für Absturzberichte.
• Auf dem iPhone liegen dieselben Daten wie bei der Android-Fassung (zuletzt geholter Tag, Entwürfe, noch nicht angekommene Fahrten), mit der Verschlüsselung des iPhones; der Schlüssel liegt im Schlüsselbund nur dieses Geräts. Die Daten sind von iCloud- und Gerätesicherungen ausgenommen; Belegfotos bleiben in der App und kommen nie in die Mediathek; mit dem Abmelden wird alles gelöscht.
• Bildschirmfotos lassen sich auf dem iPhone technisch nicht verhindern. Der Inhalt wird in der App-Übersicht sowie bei Bildschirmaufnahme und -spiegelung verdeckt; die App sperrt sich mit Face ID oder Gerätecode, wenn sie länger als etwa drei Minuten nicht im Vordergrund war.
• Sprache wird in der App nur auf dem Gerät in Text umgewandelt. Zu alte Versionen lässt der Server nicht mehr zu (für iPhone und Android je eine eigene Mindestversion); Termine, Absagen und Entwürfe der Dokumentation bleiben dabei erreichbar.

Zusätzliche Unterauftragsverarbeiter werden für die App nicht eingesetzt. Der Auftragsverarbeiter übermittelt durch die App keine Daten in ein Drittland; zum Abruf der Kartenbilder in „Wo ist wer?“ siehe Nr. 11.

Der Verantwortliche informiert seine Beschäftigten nach Art. 13 DSGVO (der Auftragsverarbeiter stellt dafür unter /unterwegs/datenschutz der Adresse des Verantwortlichen einen Hinweis mit dessen Angaben bereit) und beteiligt, soweit vorhanden, Betriebsrat oder Mitarbeitervertretung. Für die Datenschutz-Folgenabschätzung stellt der Auftragsverarbeiter eine Grundlage bereit (famloop.de/famloop-go-dsfa); Bewertung und Freigabe bleiben beim Verantwortlichen. Die iPhone-Fassung lässt sich erst einschalten, wenn der Hinweis nach Art. 13 sie beschreibt.

11. Verarbeitung außerhalb der EU / des EWR

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dies kann insbesondere erfolgen durch:

• Angemessenheitsbeschluss der Europäischen Kommission,
• EU-Standardvertragsklauseln,
• zusätzliche Schutzmaßnahmen,
• ausdrückliche dokumentierte Weisung des Verantwortlichen.

Derzeit findet eine Übermittlung in ein Drittland durch den Auftragsverarbeiter bei den KI-Funktionen nach Nr. 10a – nur für Verantwortliche, die ein Paket mit KI gebucht haben – sowie, soweit der Verantwortliche sie zulässt, bei der Verbindung zu Google Kalender in der Planungs-App statt. Grundlage für die KI-Funktionen sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Vereinbarung zur Auftragsverarbeitung zwischen dem Auftragsverarbeiter und dem KI-Anbieter sind.

Bietet der Verantwortliche in FamLoop Go „Wo ist wer?“ an (Nr. 10c), ruft die Android-Fassung die Kartenbilder unmittelbar vom Kartendienst von OpenStreetMap ab, den die OpenStreetMap Foundation im Vereinigten Königreich betreibt; dabei gelangen die IP-Adresse des Handys, der Name der App (de.famloop.unterwegs) und der angezeigte Kartenausschnitt dorthin. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Die OpenStreetMap Foundation verarbeitet die Abrufdaten in eigener Verantwortung und liefert die Kartenbilder über das Auslieferungsnetz eines Dienstleisters aus; ob dabei Daten außerhalb des Vereinigten Königreichs verarbeitet werden, ist nicht geprüft. Bietet der Verantwortliche „Wo ist wer?“ nicht an, entfällt dieser Abruf.

Ohne entsprechende Grundlage findet keine Übermittlung in ein Drittland statt.

12. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Bearbeitung von Anfragen betroffener Personen, insbesondere bei:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch,
• Nachweisfragen.

Richtet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird der Auftragsverarbeiter die Anfrage grundsätzlich an den Verantwortlichen weiterleiten, soweit eine Zuordnung möglich ist.

13. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Die Mitteilung enthält, soweit verfügbar:

• Art der Datenschutzverletzung,
• betroffene Datenarten,
• betroffene Personengruppen,
• voraussichtliche Folgen,
• bereits getroffene oder vorgeschlagene Maßnahmen,
• Ansprechpartner für Rückfragen.

Der Verantwortliche bleibt für etwaige Meldungen an Aufsichtsbehörden oder betroffene Personen verantwortlich.

14. Löschung und Rückgabe von Daten

Nach Beendigung der Leistungserbringung löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Weisung des Verantwortlichen zurück.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Backups können aus technischen Gründen zeitverzögert gelöscht werden. Der Auftragsverarbeiter stellt sicher, dass gesicherte Daten nach Ablauf der Backup-Zyklen gelöscht oder überschrieben werden und nicht produktiv weiterverarbeitet werden.

15. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage geeignete Informationen zur Verfügung, die zur Prüfung der Einhaltung dieser Vereinbarung erforderlich sind.

Kontrollen oder Audits erfolgen nach vorheriger Abstimmung während üblicher Geschäftszeiten und unter Wahrung der Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie der Rechte anderer Kunden.

Audits dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen.

16. Weisungen

Weisungen des Verantwortlichen erfolgen grundsätzlich in Textform.

Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Der Auftragsverarbeiter darf die Umsetzung einer Weisung aussetzen, wenn er der Auffassung ist, dass diese gegen Datenschutzrecht oder sonstiges Recht verstößt. In diesem Fall informiert er den Verantwortlichen unverzüglich.

17. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie nach dem Hauptvertrag, soweit dort wirksame Regelungen getroffen wurden.

Diese Vereinbarung begründet keine weitergehende Haftung, soweit zwingendes Datenschutzrecht dem nicht entgegensteht.

18. Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

Sollten einzelne Regelungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

Es gilt deutsches Recht.

Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

19. Unterschriften

Ort, Datum: ______________________________

Siehe auch: AGB / Sonderbedingungen · Datenschutz · Impressum