Auftrags­verarbeitungs­vertrag

1. Vertragsparteien

Dieser Vertrag gilt zwischen dem Träger der Einrichtung, der pia. nutzt, als Verantwortlichem („die Einrichtung“) und der TOMORIS GmbH als Auftragsverarbeiter („TOMORIS“).

TOMORIS GmbH, Saturnstraße 1, 4614 Marchtrenk, Österreich · Firmenbuch FN 547810d, Landesgericht Wels · Geschäftsführer: Thomas Brunner · kontakt@pia-app.kids

Die Einrichtung nimmt diesen Vertrag zusammen mit den AGB in der App an, bei der Registrierung oder unter „Abo & Rechnung“. TOMORIS speichert dazu am Haus die Fassung und den Zeitpunkt der Annahme.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb von pia. für die Einrichtung. TOMORIS verarbeitet dabei die personenbezogenen Daten, die die Einrichtung, ihr Team und die Eltern in pia. erfassen.

Der Vertrag gilt, solange die Einrichtung pia. nutzt, in der Testphase, im Abo und als Pilot-Haus, und danach, bis die Daten nach Abschnitt 14 gelöscht oder zurückgegeben sind.

3. Art und Zweck der Verarbeitung

TOMORIS speichert die Daten, zeigt sie den berechtigten Personen der Einrichtung an, übermittelt sie an Eltern, soweit die Einrichtung es freigibt, verschickt die E-Mails der Anwendung, übermittelt pseudonymisierte Texte an die KI (Abschnitt 11) und löscht Daten, wenn die Einrichtung es veranlasst.

Zweck ist ausschließlich, der Einrichtung die Funktionen von pia. bereitzustellen: pädagogische Dokumentation, Elternkommunikation, Organisation des Alltags (Anwesenheit, Übergaben, Mittagessen, Nachmittagsbetreuung), Abrechnung gegenüber Eltern, Zugänge des Teams sowie Sicherheit und Nachvollziehbarkeit des Dienstes.

4. Arten personenbezogener Daten

• Kinder: Vor- und Nachname, Alter (kein Geburtsdatum), Geschlecht, Gruppe, Allergie- und Ernährungshinweise, Abholberechtigte, Foto-Freigaben je Zweck, Betreuungszeiten und Angaben zum Austritt.
• Pädagogische Dokumentation: Beobachtungen, Lerngeschichten, Portfolio, BESK-Sprachstandsbeobachtung, Übergabebuch und Anwesenheit.
• Fotos von Kindern.
• Team: Name, Rolle, Gruppe, Position, auf Wunsch ein Profilfoto, Zugangsdaten, die eigene Vor- und Nachbereitungszeit und die Bestätigung der KI-Schulung nach Art. 4 der KI-Verordnung.
• Eltern: Zugang über einen Code je Kind, Krankmeldungen, Antworten auf Umfragen und Foto-Freigaben.
• Mittagessen, Nachmittagsbetreuung und Abrechnung: Ausgabelisten, Buchungen, Verträge, Abholpersonen, Rechnungsdaten der Zahlungspflichtigen (Name, Anschrift, Referenz), Belege und Zahlungen. Bankverbindungen speichert pia. nicht.
• Protokolle: Personenkennung, Rolle, Art, Ergebnis und Zeit einer Handlung, ohne Namen und ohne Freitexte.

Gesundheitsbezogene Angaben fallen an, soweit die Einrichtung sie erfasst, etwa Allergiehinweise und Krankmeldungen.

5. Betroffene Personen

Die Kinder der Einrichtung, ihre Eltern und Erziehungsberechtigten, Abholberechtigte und Abholpersonen, Zahlungspflichtige sowie die Mitarbeiterinnen und Mitarbeiter der Einrichtung.

6. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

TOMORIS verarbeitet die Daten nur auf dokumentierte Weisung der Einrichtung, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, TOMORIS ist durch Unionsrecht oder österreichisches Recht dazu verpflichtet. In einem solchen Fall teilt TOMORIS der Einrichtung diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Weisungen sind dieser Vertrag, die Nutzung von pia. mit seinen Funktionen und Einstellungen durch die Einrichtung und weitere Weisungen der Einrichtung in Textform an kontakt@pia-app.kids.

Ist TOMORIS der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt, informiert TOMORIS die Einrichtung unverzüglich.

7. Vertraulichkeit (lit. b)

TOMORIS gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Den Betreiberbereich von pia. erreichen nur namentlich freigegebene Personen von TOMORIS mit persönlicher Anmeldung. Beobachtungstexte, Kinderdokumentation, Fotos und Elternnachrichten zeigt er nicht (Anlage).

8. Sicherheit der Verarbeitung (lit. c)

TOMORIS ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die technischen und organisatorischen Maßnahmen stehen in der Anlage zu diesem Vertrag.

9. Unterauftragsverarbeiter (lit. d)

Die Einrichtung genehmigt die folgenden Unterauftragsverarbeiter. Mit allen bestehen Verträge nach Art. 28 DSGVO. TOMORIS erlegt ihnen die Datenschutzpflichten dieses Vertrags auf (Art. 28 Abs. 4 DSGVO).

Anthropic: Die KI-Anfragen werden in den USA verarbeitet. Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags von Anthropic sind. Übermittelt werden nur die nach Abschnitt 11 pseudonymisierten Texte.

Microsoft: Microsoft verarbeitet die Daten grundsätzlich in der EU. Soweit Daten in die USA gelangen, stützt sich das auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Microsoft zertifiziert ist, und ergänzend auf Standardvertragsklauseln.

Will TOMORIS einen weiteren Unterauftragsverarbeiter hinzuziehen oder einen ersetzen, informiert TOMORIS die Einrichtung vorher. Die Einrichtung kann gegen die Änderung Einspruch erheben (Art. 28 Abs. 2 DSGVO).

10. Rechte der betroffenen Personen (lit. e)

TOMORIS unterstützt die Einrichtung angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Wahrnehmung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) zu beantworten. In pia. stehen dafür bereit:

• Auskunft: je Kind ein Export mit Dokumentation, Fotos, Übergaben, Anwesenheit, Sprachstand und Meldungen. Daten aus Mittagessen, Nachmittagsbetreuung und Abrechnung sind darin nicht enthalten.
• Berichtigung: berechtigte Personen der Einrichtung ändern die Angaben in der App.
• Löschung: eine berechtigte Person der Einrichtung löscht ein Kind mit Dokumentation, Fotos, Übergaben, Anwesenheit, Sprachstand, Meldungen und KI-Ergebnissen. Für die Zeit nach dem Austritt legt die Einrichtung eine Frist fest (Vorgabe 12 Monate); pia. erinnert 60 Tage vorher und löscht nie von selbst.
• Foto-Freigaben: Eltern ändern oder widerrufen sie in der Eltern-App (Abschnitt 11).

Wendet sich eine betroffene Person direkt an TOMORIS, leitet TOMORIS die Anfrage an die Einrichtung weiter.

11. KI-Schleier und Foto-Freigaben

Die KI-Werkzeuge sind ein Angebot an die Einrichtung; die Leitung kann sie für das ganze Haus abschalten. Für jede Übermittlung an die KI gilt:

• pia. ersetzt die Namen von Kindern und Bezugspersonen durch Platzhalter, etwa „K1“ für ein Kind, und entfernt E-Mail-Adressen, Telefonnummern, IBAN, Sozialversicherungsnummern, Datumsangaben und Anschriften.
• Danach prüft pia. den Text gegen die bekannten Namen. Findet die Prüfung noch einen, wird nichts übermittelt.
• Damit die Texte passen, gehen Alter und Geschlecht des Kindes mit. Den Vornamen übermittelt pia. nur, wenn die Leitung das für ihr Haus ausdrücklich einschaltet; bei einem neuen Haus ist es aus. Nachnamen gehen nie mit.
• Fotos und Bilder werden nie an die KI übermittelt.
• Die Platzhalter ersetzt pia. erst auf dem eigenen Server wieder durch die Namen. Ein Ergebnis speichert pia. nur, wenn jemand es ablegt. Zu jedem Aufruf protokolliert pia. nur Werkzeug, Modell, Textmenge, Kosten und die Zahl der beteiligten Kinder, keine Inhalte.

Für Fotos gilt:

• Freigaben gelten je Zweck: Portfolio und Ich-Mappe, interner Aushang, Website der Einrichtung. Gespeichert werden Zweck, Entscheidung, Fassung und Zeitpunkt, weder Name noch Freitext.
• Ein Foto lässt sich nur hochladen, wenn für das Kind eine Portfolio-Freigabe vorliegt. Vor dem Hochladen entfernt die App im Browser Kamera- und Ortsangaben.
• Fotos liegen in einem nicht öffentlichen Verzeichnis und sind nur angemeldet abrufbar.
• Eltern ändern oder widerrufen Freigaben in der Eltern-App. Nach einem Widerruf bleiben vorhandene Fotos für das Team sichtbar; jeder Abruf eines Fotos ohne aktuelle Portfolio-Freigabe wird protokolliert.

12. Supportzugriff

• Ab Werk hat der Support von TOMORIS keinen Zugriff auf die Daten der Einrichtung.
• Nur wenn die Einrichtung ihn ausdrücklich freigibt, sieht der Support hinein, ausschließlich lesend und zeitlich begrenzt: 30 Minuten, höchstens 120.
• Kinderdokumentation, Fotos und Elternkommunikation sieht der Support nur nach einer einzeln bestätigten Anfrage.
• Jeder Zugriff wird protokolliert. Die Einrichtung kann eine Freigabe jederzeit widerrufen, und der Widerruf wirkt sofort.
• Jede Freigabe hält die Fassung dieses Vertrags fest, die die Einrichtung angenommen hat.

13. Sicherheit, Meldungen und Folgenabschätzung (lit. f)

TOMORIS unterstützt die Einrichtung unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

Eine Verletzung des Schutzes personenbezogener Daten meldet TOMORIS der Einrichtung unverzüglich, nachdem sie TOMORIS bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

14. Löschung und Rückgabe (lit. g)

Nach Abschluss der Leistungen löscht TOMORIS nach Wahl der Einrichtung alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht nach Unionsrecht oder österreichischem Recht eine Verpflichtung zur Speicherung besteht.

Mit dem Ende des Zugangs löscht pia. nichts von selbst. Die Einrichtung kann ihre Daten weiter lesen, je Kind exportieren und löschen (Abschnitt 10).

Auf Weisung der Einrichtung löscht TOMORIS das ganze Haus. Es kommt dafür zuerst in einen Papierkorb: der Zugang ist sofort geschlossen, gelöscht ist noch nichts, und das Haus lässt sich wiederherstellen. Frühestens 30 Tage später löscht TOMORIS es endgültig: alle Daten des Hauses in pia., Fotos samt Dateien und alle Zugänge.

Nicht gelöscht werden die Protokollsätze des Hauses, die nur Metadaten ohne Namen und Freitexte enthalten, und Belege aus Abrechnung und Nachmittagsbetreuung, die gesetzlich aufzubewahren sind (§ 132 BAO: sieben Jahre). Ein Haus mit solchen Belegen bleibt gesperrt im Papierkorb und wird nicht endgültig gelöscht.

15. Nachweise und Überprüfungen (lit. h)

TOMORIS stellt der Einrichtung alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die von der Einrichtung oder einem anderen von ihr beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

Was in pia. mit den Daten eines Hauses geschieht, steht im Protokoll des Hauses: wer wann was getan hat, auch jeder Zugriff des Supports.

16. Fassungen und Kontakt

Jede Fassung trägt ein Datum. Gibt es eine neue Fassung, bittet die App die Administration der Einrichtung, sie anzunehmen. Frühere Fassungen bleiben auf dieser Seite verlinkt.

Fragen zu diesem Vertrag und Weisungen an TOMORIS: kontakt@pia-app.kids.

Anlage: Technische und organisatorische Maßnahmen

Die Maßnahmen, die pia. selbst trifft. Jede ist im Code umgesetzt.

• Trennung: Die Daten jedes Hauses sind von denen anderer Häuser getrennt gespeichert. Jede Anfrage ist an genau ein Haus gebunden, das sich aus der Anmeldung ergibt, nicht aus einer Angabe des Browsers.
• Rollen und Rechte: Sie legen fest, wer im Haus was sehen und ändern darf. Zugänge, die an eine Gruppe gebunden sind, sehen nur die Kinder ihrer Gruppe.
• Anmeldung: Kennwörter liegen nur als nicht umkehrbarer Hashwert (scrypt) vor. Ein Anmeldelink gilt 30 Minuten; gespeichert wird nur sein Prüfwert.
• Sitzungen: Sie enden nach 30 Tagen ohne Nutzung, spätestens nach 90 Tagen. Gespeichert wird nur ein Prüfwert des Sitzungsschlüssels. Angemeldete Geräte lassen sich in der App sehen und abmelden.
• Übertragung: Verbindungen laufen ausschließlich verschlüsselt (HTTPS), und der Browser wird angewiesen, pia. nie unverschlüsselt aufzurufen. pia. lädt keine Skripte, Schriften oder Inhalte von fremden Servern.
• Fotos: nicht öffentliches Verzeichnis, Abruf nur angemeldet, Kamera- und Ortsangaben vor dem Hochladen entfernt (Abschnitt 11).
• KI-Schleier: Platzhalter und Prüfung vor jeder Übermittlung (Abschnitt 11).
• Betrieb: Den Betreiberbereich erreichen nur namentlich freigegebene Personen von TOMORIS mit persönlicher Anmeldung über Microsoft Entra. Er zeigt von einem Haus Zählungen und Metadaten, keine Beobachtungstexte, Kinderdokumentation, Fotos oder Elternnachrichten. Jede Änderung dort wird mit der handelnden Person protokolliert.
• Support: nur mit Freigabe der Einrichtung, lesend, befristet und protokolliert (Abschnitt 12).
• Protokollierung: pia. hält fest, wer wann was getan hat (Personenkennung, Rolle, Art, Ergebnis, Zeit), ohne Namen und ohne Freitexte. Protokollsätze lassen sich aus der Anwendung heraus weder ändern noch löschen.
• Missbrauchsschutz: pia. zählt Anfragen je IP-Adresse. Die IP-Adresse liegt dafür nur im Arbeitsspeicher; dauerhaft gespeichert wird höchstens ein gekürzter, nicht umkehrbarer Prüfwert. Die Fehlerprotokolle von pia. enthalten weder IP-Adressen noch Browserangaben.
• Geräte: Beim Abmelden löscht pia. im Browser Anmeldung, Arbeitskopie und noch nicht übertragene Einträge. Der Offline-Speicher der App enthält nur Programmdateien.
• Löschen: Löschungen löst immer ein Mensch aus; es gibt keinen Lauf, der von selbst löscht. Ein ganzes Haus wird nur über den Papierkorb gelöscht (Abschnitt 14).