Mustertext – keine Rechtsberatung. Dieser Text ist ein Entwurf für die Alpha-Phase. Er muss vor einem öffentlichen Start von einer fachkundigen Person geprüft werden; alle [eckigen Angaben] sind Platzhalter, die der Betreiber ausfüllt.

Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO – Muster

Wann brauchst du das? Nur, wenn du RuTiny beruflich oder gewerblich einsetzt, etwa in der Kindertagespflege oder einer Einrichtung. Für eine private Familie ist es in der Regel nicht nötig (Haushaltsausnahme, Art. 2 Abs. 2 lit. c DSGVO); ob das bei dir zutrifft, klärst du am besten mit einer fachkundigen Person.

1. Parteien

Verantwortlicher: [Name und Anschrift des Nutzers] („Auftraggeber“)
Auftragsverarbeiter: Julien Lieske, c/o Autorenglück #62015, Albert-Einstein-Str. 47, 02977 Hoyerswerda, Deutschland („Auftragnehmer“)

2. Gegenstand und Dauer

Der Auftragnehmer betreibt RuTiny und verarbeitet dabei im Auftrag des Auftraggebers die in der App gespeicherten Daten. Die Vereinbarung gilt, solange das Konto besteht.

3. Art, Zweck, Daten und Betroffene

• Art und Zweck: Speicherung, Anzeige und Synchronisation von Aufgaben, Terminen und Erledigungen.
• Datenarten: Spitznamen, Avatar-Symbole, optional Bilder, Aufgaben- und Termintitel, Erledigungszeitpunkte, Sterne; E-Mail und Anzeigename der Admins.
• Betroffene: betreute Kinder, Admins des Auftraggebers.

4. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers; die Weisung ergibt sich aus der Nutzung der App.
• Vertraulichkeit aller mit der Verarbeitung befassten Personen.
• Technische und organisatorische Maßnahmen nach Abschnitt 5.
• Unterstützung bei Betroffenenrechten: Der Auftraggeber kann Daten selbst exportieren und löschen (App: Familie → Datenschutz & Konto).
• Meldung von Datenschutzverletzungen ohne schuldhaftes Zögern.
• Nach Vertragsende: Löschung aller Daten (Kontolöschung in der App); Rückgabe vorher über den Datenexport.
• Nachweise: Auf Anfrage stellt der Auftragnehmer die erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS); Passwörter nur als Argon2id-Prüfwert.
• Strikte Trennung der Familien: jede Abfrage ist auf die eigene Familie begrenzt, Rechte werden serverseitig geprüft.
• Ratenbegrenzung gegen automatisierte Angriffe; keine Passwörter oder Tokens in Protokollen.
• Datenbank nicht öffentlich erreichbar; Zugangsdaten nur als Umgebungsvariablen.
• Tägliche Sicherung der Datenbank, Aufbewahrung 14 Tage.
• [Zugriffsregeln, Aktualisierungsverfahren des Betreibers]

6. Unterauftragnehmer