Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

für die Nutzung von famloop.de · Stand: Oktober 2026 (neu: Nr. 10b FamLoop me)

zwischen

nachfolgend „Verantwortlicher"

und

nachfolgend „Auftragsverarbeiter"

gemeinsam „Parteien"

1. Gegenstand der Vereinbarung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die CertBoard GmbH im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und Nutzung von famloop.de.

Die Parteien schließen diese Vereinbarung zur Konkretisierung ihrer datenschutzrechtlichen Rechte und Pflichten nach Art. 28 DSGVO.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.

2. Dauer der Verarbeitung

Die Verarbeitung beginnt mit Freischaltung oder Nutzung von famloop.de durch den Verantwortlichen und endet mit Beendigung des zugrundeliegenden Vertragsverhältnisses, soweit keine gesetzlichen Aufbewahrungs-, Nachweis- oder Sicherungspflichten entgegenstehen.

Nach Ende des Vertragsverhältnisses werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine rechtliche Pflicht zur weiteren Speicherung besteht.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zur Bereitstellung, Administration, Wartung und Sicherung von famloop.de.

Zwecke der Verarbeitung sind insbesondere:

• digitale Fallverwaltung,
• Terminplanung und Terminkoordination,
• Verwaltung von Umgangskontakten,
• Kommunikation zwischen berechtigten Beteiligten,
• Dokumentation organisatorischer und fachlicher Abläufe,
• Erstellung und Verwaltung von Übersichten, Statusanzeigen und Benachrichtigungen,
• KI-gestützte Zusatzfunktionen nach Nr. 10a, soweit der Verantwortliche sie gebucht hat,
• technische Protokollierung zur Sicherheit und Fehleranalyse,
• Nutzerverwaltung und Rechteverwaltung,
• Support und Störungsbehebung.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit diese Vereinbarung Anwendung findet.

4. Art der personenbezogenen Daten

Je nach Nutzung von famloop.de können insbesondere folgende Daten verarbeitet werden:

Stammdaten

• Namen,
• Anschriften,
• Telefonnummern,
• E-Mail-Adressen,
• Rollen und Funktionen,
• organisatorische Zuordnungen,
• Nutzerkennungen.

Falldaten

• Fallnummern,
• Aktenzeichen,
• Zuständigkeiten,
• Angaben zu Umgangsformen,
• Termin- und Verlaufsdaten,
• organisatorische Hinweise,
• fachliche Kurznotizen,
• Statusinformationen,
• Kommunikationsverläufe.

Daten von Kindern und Familien

• Namen und Geburtsdaten von Kindern,
• Angaben zu Sorgeberechtigten,
• Umgangsberechtigten und weiteren Bezugspersonen,
• Informationen zur Durchführung begleiteter Umgänge,
• Schutz- und Kontaktregelungen,
• relevante familiäre und organisatorische Kontextinformationen.

Technische Daten

• Login-Daten,
• IP-Adressen,
• Zeitstempel,
• Protokolldaten,
• Browser- und Geräteinformationen,
• Fehlerprotokolle,
• Zugriffshistorien.

Besondere Kategorien personenbezogener Daten

Soweit vom Verantwortlichen eingegeben oder im Rahmen der Nutzung erforderlich, können auch besonders schutzbedürftige Daten verarbeitet werden, insbesondere Angaben zu Gesundheit, psychosozialen Belastungen, familiären Konflikten, Schutzbedarfen oder vergleichbaren sensiblen Sachverhalten.

Der Verantwortliche bleibt dafür verantwortlich, dass für die Verarbeitung solcher Daten eine geeignete Rechtsgrundlage besteht.

5. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

• Kinder,
• Jugendliche,
• Eltern,
• Sorgeberechtigte,
• Umgangsberechtigte,
• Umgangsverpflichtete,
• Pflegepersonen,
• Fachkräfte,
• Mitarbeitende freier und öffentlicher Träger,
• Mitarbeitende von Jugendämtern,
• externe Kooperationspartner,
• sonstige am Hilfe- oder Umgangsprozess beteiligte Personen.

6. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist im datenschutzrechtlichen Sinne für die Rechtmäßigkeit der Verarbeitung verantwortlich.

Er hat insbesondere sicherzustellen, dass:

• eine Rechtsgrundlage für die Verarbeitung besteht,
• betroffene Personen ordnungsgemäß informiert werden,
• nur erforderliche Daten verarbeitet werden,
• Nutzerrechte angemessen vergeben werden,
• Weisungen an den Auftragsverarbeiter klar und dokumentiert erfolgen,
• Lösch- und Aufbewahrungsfristen fachlich und rechtlich festgelegt werden.

Der Verantwortliche ist berechtigt, Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen können schriftlich, elektronisch oder in dokumentierter Textform erfolgen.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
• die Vertraulichkeit der verarbeiteten Daten zu wahren,
• zur Verarbeitung befugte Personen auf Vertraulichkeit zu verpflichten,
• geeignete technische und organisatorische Maßnahmen umzusetzen,
• den Verantwortlichen bei der Wahrung der Betroffenenrechte zu unterstützen,
• den Verantwortlichen bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Sicherheitsfragen angemessen zu unterstützen,
• personenbezogene Daten nach Ende der Verarbeitung nach Weisung zu löschen oder zurückzugeben,
• Nachweise zur Einhaltung dieser Vereinbarung bereitzustellen,
• Kontrollen und Audits nach angemessener vorheriger Abstimmung zu ermöglichen,
• den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

8. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugriff auf personenbezogene Daten erhalten können, zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Gerade bei Kinder- und Familiendaten gilt: Zugriff nur, wenn fachlich nötig. Keine Neugier-Zugriffe, kein „ich guck mal kurz". Das ist Compliance-Basic.

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Hierzu gehören insbesondere:

Zutrittskontrolle

• Schutz von Büroräumen und Arbeitsplätzen gegen unbefugten Zutritt,
• kontrollierter Zugang zu Server- und Administrationssystemen über Dienstleister,
• sichere Aufbewahrung von Zugangsdaten.

Zugangskontrolle

• passwortgeschützte Nutzerkonten,
• rollen- und rechtebasierte Zugriffssteuerung,
• Zugriff nur für berechtigte Personen,
• Sperrung oder Deaktivierung nicht mehr benötigter Zugänge.

Zugriffskontrolle

• differenzierte Berechtigungen nach Rolle und Aufgabe,
• Protokollierung sicherheitsrelevanter Zugriffe, soweit technisch vorgesehen,
• Begrenzung administrativer Zugriffe auf erforderliche Personen.

Weitergabekontrolle

• verschlüsselte Übertragung über HTTPS/TLS,
• keine unbefugte Weitergabe personenbezogener Daten,
• geregelter Umgang mit Exporten, Downloads und Supportzugriffen.

Eingabekontrolle

• technische Protokollierung von Eingaben und Änderungen, soweit im System vorgesehen,
• Nachvollziehbarkeit wesentlicher Bearbeitungsvorgänge,
• Zuordnung von Änderungen zu Nutzerkonten, soweit technisch möglich.

Verfügbarkeitskontrolle

• regelmäßige Datensicherungen,
• Schutz vor Verlust und Zerstörung,
• technische Maßnahmen zur Wiederherstellbarkeit,
• angemessene Wartungs- und Updateprozesse.

Trennungsgebot

• getrennte Verarbeitung nach Mandanten, Kunden oder Berechtigungsbereichen,
• technische und organisatorische Abgrenzung von Datenbeständen,
• keine Vermischung mit Daten anderer Verantwortlicher außerhalb der vorgesehenen Systemfunktionen.

Belastbarkeit und Sicherheit

• Einsatz aktueller Sicherheitsmaßnahmen,
• regelmäßige Aktualisierung technischer Komponenten,
• Schutz vor unberechtigten Zugriffen,
• Prüfung und Behebung sicherheitsrelevanter Fehler.

Die konkreten technischen und organisatorischen Maßnahmen können an technische Entwicklungen angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

10. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für Betrieb, Hosting, Wartung, Support, E-Mail-Versand, Benachrichtigungssysteme, Datensicherung oder technische Sicherheit erforderlich sind, sowie für die KI-Funktionen nach Nr. 10a, soweit der Verantwortliche ein Paket mit KI gebucht hat.

Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen beim Einsatz von Unterauftragsverarbeitern. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO verpflichtet werden und ein angemessenes Datenschutzniveau gewährleisten.

Aktuelle Unterauftragsverarbeiter

Dienstleister	Leistung	Sitz / Verarbeitung
WebhostOne GmbH	Hosting, Serverbetrieb, technische Infrastruktur	Deutschland (Rechenzentrum: Hetzner Online GmbH, Gunzenhausen)
Eigener Mailserver (kein externer Versanddienst)	Versand technischer und organisatorischer E-Mails	Deutschland (auf o. g. Infrastruktur)
Hetzner Online GmbH	Datensicherung (Off-site-Backup)	Deutschland (EU)
Anthropic Ireland, Limited 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland	KI-Sprachmodell für die KI-Funktionen nach Nr. 10a – nur bei gebuchtem KI-Paket und nur mit pseudonymisierten Texten	Irland (EU); Verarbeitung auch außerhalb der EU, insbesondere in den USA (u. a. durch Anthropic, PBC) – auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
derzeit nicht genutzt	SMS-/Push-/Messaging-Benachrichtigungen	—

10a. KI-Funktionen

famloop.de bietet KI-gestützte Zusatzfunktionen an: Entwürfe von Berichten, Fragen an die eigene Dokumentation (Findefragen), die Übersetzung von Dokumentationen ins Deutsche und das Auslesen leerer Vordrucke von Jugendämtern. Diese Funktionen sind nur aktiv, wenn der Verantwortliche ein Paket mit KI gebucht hat. Mit der Buchung weist der Verantwortliche den Auftragsverarbeiter an, dafür den in Nr. 10 genannten KI-Anbieter einzusetzen. Ohne gebuchtes KI-Paket werden keine Daten an den KI-Anbieter übermittelt; ein Wechsel in ein Paket ohne KI beendet die Übermittlung.

Vor jeder Übermittlung ersetzt der Auftragsverarbeiter auf seinen Servern in Deutschland die Namen und Geburtsdaten der im Fall erfassten Personen durch Rollenbezeichnungen oder Platzhalter, bei Berichtsentwürfen und Findefragen zusätzlich das Aktenzeichen, die Ansprechperson im Jugendamt und die Namen der Fachkräfte (Pseudonymisierung, Art. 4 Nr. 5 DSGVO). Die Zuordnung der Platzhalter zu den Klardaten verbleibt beim Auftragsverarbeiter und wird nicht übermittelt.

Übermittelt wird der so pseudonymisierte Text, etwa aus Dokumentationen, Absagegründen, E-Mails, Hilfeplanzielen und – soweit der Verantwortliche sie für einen Bericht auswählt – aus Fall-Unterlagen. Dieser Text kann weiterhin personenbezogene Daten enthalten, insbesondere Schilderungen von Ereignissen, Angaben besonderer Kategorien nach Art. 9 DSGVO (etwa zur Gesundheit) sowie Namen von Personen, die nicht im Fall erfasst sind (zum Beispiel aus Schule oder Gericht). Er wird deshalb als personenbezogenes Datum behandelt, und der KI-Anbieter wird als Unterauftragsverarbeiter eingesetzt.

Der KI-Anbieter darf die übermittelten Inhalte nach seinen Vertragsbedingungen nicht zum Training seiner Modelle verwenden. Eingaben und Ergebnisse löscht er nach seinen derzeitigen Bedingungen innerhalb von 30 Tagen; ausgenommen sind Inhalte, die er zur Durchsetzung seiner Nutzungsrichtlinien oder aufgrund gesetzlicher Pflichten länger aufbewahren muss.

Die Ergebnisse der KI-Funktionen sind Entwürfe. Sie werden von Fachkräften des Verantwortlichen geprüft, geändert und verantwortet; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

10b. App für Familien „FamLoop me“

famloop.de bietet eine App für Android-Handys an, mit der Eltern und weitere Beteiligte im begleiteten Umgang ihre Termine sehen und mit der Fachkraft schreiben („FamLoop me“). Sie ist nur aktiv, wenn der Verantwortliche sie in seinen Einstellungen einschaltet; mit dem Einschalten weist er den Auftragsverarbeiter an, die folgenden Verarbeitungen durchzuführen. Die App ist für die Betroffenen freiwillig; der Termin-Bereich im Browser bleibt bestehen.

Zusätzlich zu Nr. 4 werden verarbeitet:

• Geräteangaben: vom Handy angegebener Gerätename, App-Version, Zeitpunkte von Anmeldung, letztem Öffnen und Abmeldung, Fehlermeldungen bei der Installation; ein Geräte-Schlüssel, von dem der Auftragsverarbeiter nur einen nicht umkehrbaren Prüfwert speichert;
• Anmelde-Codes: Prüfwert, Gültigkeit, Weg der Übergabe (persönlich, SMS, Telefon), wer den Code erzeugt hat und welches Handy ihn eingelöst hat;
• ein zentrales Code-Verzeichnis unter famloop.de, das nur einen weiteren Prüfwert des Codes, die Kennung und Adresse des Verantwortlichen und den Ablauf enthält – keine Namen und keine Falldaten;
• soweit der Verantwortliche „Eltern untereinander“ je Familie einschaltet und beide Eltern zustimmen: Nachrichten, Bilder und Dateien zwischen den Eltern (Bilder ohne Ort-, Geräte- und Zeitangaben), Reaktionen, Zustimmungen und deren Widerruf, Stufen der Moderation, Freigaben durch die Fachkraft sowie zurückgehaltene Nachrichten (Stopp-Liste);
• Protokolldaten der Abrufe und Handlungen aus der App (Zeitpunkt, Art, IP-Adresse).

Die App wird vom Server des Auftragsverarbeiters geladen (kein App-Store). Sie nutzt keine Werbe-, Analyse- oder Benachrichtigungsdienste Dritter (insbesondere kein Google Firebase); das Handy fragt selbst beim Server nach Neuem. Auf dem Handy liegen nur die kommenden Termine, verschlüsselt (Android Keystore, AES-GCM); Bildschirmfotos und Gerätesicherungen sind ausgeschlossen; mit dem Abmelden werden sie gelöscht. Zusätzliche Unterauftragsverarbeiter werden für die App nicht eingesetzt.

Der Verantwortliche informiert die Betroffenen nach Art. 13 DSGVO; der Auftragsverarbeiter stellt dafür unter /familie/datenschutz der Adresse des Verantwortlichen einen Hinweis mit dessen Angaben bereit. Für die Datenschutz-Folgenabschätzung stellt der Auftragsverarbeiter eine Grundlage bereit (famloop.de/famloop-me-dsfa); Bewertung und Freigabe bleiben beim Verantwortlichen.

11. Verarbeitung außerhalb der EU / des EWR

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dies kann insbesondere erfolgen durch:

• Angemessenheitsbeschluss der Europäischen Kommission,
• EU-Standardvertragsklauseln,
• zusätzliche Schutzmaßnahmen,
• ausdrückliche dokumentierte Weisung des Verantwortlichen.

Derzeit findet eine Übermittlung in ein Drittland ausschließlich bei den KI-Funktionen nach Nr. 10a statt, und nur für Verantwortliche, die ein Paket mit KI gebucht haben. Grundlage sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Vereinbarung zur Auftragsverarbeitung zwischen dem Auftragsverarbeiter und dem KI-Anbieter sind.

Ohne entsprechende Grundlage findet keine Übermittlung in ein Drittland statt.

12. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Bearbeitung von Anfragen betroffener Personen, insbesondere bei:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch,
• Nachweisfragen.

Richtet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird der Auftragsverarbeiter die Anfrage grundsätzlich an den Verantwortlichen weiterleiten, soweit eine Zuordnung möglich ist.

13. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Die Mitteilung enthält, soweit verfügbar:

• Art der Datenschutzverletzung,
• betroffene Datenarten,
• betroffene Personengruppen,
• voraussichtliche Folgen,
• bereits getroffene oder vorgeschlagene Maßnahmen,
• Ansprechpartner für Rückfragen.

Der Verantwortliche bleibt für etwaige Meldungen an Aufsichtsbehörden oder betroffene Personen verantwortlich.

14. Löschung und Rückgabe von Daten

Nach Beendigung der Leistungserbringung löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Weisung des Verantwortlichen zurück.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Backups können aus technischen Gründen zeitverzögert gelöscht werden. Der Auftragsverarbeiter stellt sicher, dass gesicherte Daten nach Ablauf der Backup-Zyklen gelöscht oder überschrieben werden und nicht produktiv weiterverarbeitet werden.

15. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage geeignete Informationen zur Verfügung, die zur Prüfung der Einhaltung dieser Vereinbarung erforderlich sind.

Kontrollen oder Audits erfolgen nach vorheriger Abstimmung während üblicher Geschäftszeiten und unter Wahrung der Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie der Rechte anderer Kunden.

Audits dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen.

16. Weisungen

Weisungen des Verantwortlichen erfolgen grundsätzlich in Textform.

Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Der Auftragsverarbeiter darf die Umsetzung einer Weisung aussetzen, wenn er der Auffassung ist, dass diese gegen Datenschutzrecht oder sonstiges Recht verstößt. In diesem Fall informiert er den Verantwortlichen unverzüglich.

17. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie nach dem Hauptvertrag, soweit dort wirksame Regelungen getroffen wurden.

Diese Vereinbarung begründet keine weitergehende Haftung, soweit zwingendes Datenschutzrecht dem nicht entgegensteht.

18. Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

Sollten einzelne Regelungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

Es gilt deutsches Recht.

Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

19. Unterschriften

Ort, Datum: ______________________________

Siehe auch: AGB / Sonderbedingungen · Datenschutz · Impressum