Vertrag zur Auftragsverarbeitung (AV-Vertrag)
Vertrag zur Auftragsverarbeitung nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen der Einrichtung, die My Nursery Manager nutzt, und La Charca Software S.L..
Dieser Vertrag ergänzt Ziffer 6 der Nutzungsbedingungen und gilt für jede Einrichtung, die My Nursery Manager nutzt, ab dem Beginn der Testphase und für die Dauer des Abonnements. Er wird zusammen mit den Nutzungsbedingungen geschlossen. Ein unterzeichnetes Exemplar für die Unterlagen der Einrichtung oder ihres Trägers kann per E-Mail an soporte@mynurserymanager.com angefordert werden.
1. Vertragsparteien
Verantwortlicher: die Einrichtung oder ihr Träger, die bzw. der My Nursery Manager abonniert hat («die Einrichtung»).
Auftragsverarbeiter: La Charca Software S.L., Calle Juan de Mata Carriazo, 3B, Local, 41018 Sevilla, Spanien, Steuernummer (CIF) B90259185 («La Charca»).
2. Gegenstand, Art und Zweck der Verarbeitung
La Charca stellt der Einrichtung die Plattform My Nursery Manager und die App Nursery Parents bereit: Speicherung, Anzeige und Übermittlung der Daten, die die Einrichtung und ihre Familien dort eingeben, für die Organisation der Einrichtung und die Kommunikation mit den Familien. La Charca verarbeitet diese Daten ausschließlich zu diesem Zweck.
3. Art der Daten und Kategorien betroffener Personen
- Kinder: Name, Geburtsdatum, Gruppe, Anmeldung, Tagesberichte (Mahlzeiten, Schlaf, Wickeln, Bemerkungen), Fotos und Videos, Einwilligungen (zum Beispiel Bildfreigabe) sowie die Angaben zu Allergien und Gesundheit, die die Einrichtung einträgt.
- Eltern und Erziehungsberechtigte: Name, E-Mail-Adresse, Telefonnummer, Nachrichten an die Einrichtung.
- Beschäftigte der Einrichtung: Name, E-Mail-Adresse, Arbeitszeiten und Abwesenheiten, Nachrichten.
Welche Daten erfasst werden, entscheidet die Einrichtung.
4. Weisungen
La Charca verarbeitet die Daten nur auf dokumentierte Weisung der Einrichtung. Als Weisung gelten dieser Vertrag, die Nutzungsbedingungen und die Einstellungen und Eingaben, die die Einrichtung in der Plattform vornimmt. Ist La Charca der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert sie die Einrichtung unverzüglich. La Charca nutzt die Daten nicht für eigene Zwecke, nicht für Werbung und gibt sie nicht an Dritte weiter, außer an die unter Ziffer 7 genannten Unterauftragsverarbeiter.
5. Vertraulichkeit
Zugriff auf die Daten haben bei La Charca nur Personen, die ihn für den Betrieb und die Unterstützung der Einrichtung benötigen und die zur Vertraulichkeit verpflichtet sind. Diese Verpflichtung besteht nach dem Ende ihrer Tätigkeit fort.
6. Technische und organisatorische Maßnahmen
- Plattform, Datenbank und alle Dateien (Fotos, Videos, Dokumente) liegen bei OVHcloud im Rechenzentrum Gravelines (Frankreich).
- Verschlüsselte Verbindung (HTTPS mit HSTS) in der Website, der Plattform und den Apps.
- Fotos, Videos und Dokumente in privatem Speicher: Sie öffnen sich nur über signierte Links, die ablaufen, nie über eine öffentliche Adresse.
- Dateien auch im Ruhezustand verschlüsselt (AES-256) im Speicher von OVHcloud.
- Sicherungskopien jede Nacht in einem anderen Rechenzentrum von OVHcloud in Deutschland, vor dem Verlassen des Servers verschlüsselt, mit geprüfter Wiederherstellung.
- Passwörter werden mit einem Einweg-Verfahren gespeichert und sind auch für La Charca nicht lesbar.
- Automatische Sperre des Zugangs nach mehreren fehlgeschlagenen Anmeldeversuchen.
- Zugriffsrechte nach Profil: Die Leitung entscheidet, ob eine Fachkraft die ganze Einrichtung oder nur ihre Gruppen sieht. Jede Familie sieht nur die Informationen ihrer eigenen Kinder.
- Einwilligungen je Kind für Bilder, Medikamente und Ausflüge. In ein Album können nur Kinder mit Bildfreigabe aufgenommen werden.
- Keine Werbe- oder Analyse-Tracker von Drittanbietern in der Plattform, den Apps und der Website.
La Charca kann die Maßnahmen an den Stand der Technik anpassen, ohne das Schutzniveau zu senken. Der aktuelle Stand steht unter Sicherheit und Datenschutz.
7. Unterauftragsverarbeiter
Die Einrichtung stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Daten | Ort |
|---|---|---|---|
| OVHcloud (OVH SAS) | Hosting der Plattform, Speicher, Sicherungskopien und E-Mail-Versand | Alle Daten der Einrichtung | Frankreich; Sicherungskopien in Deutschland |
| OVHcloud AI Endpoints | Virtueller Assistent in der Plattform | Text der Unterhaltung mit dem Assistenten sowie Name, E-Mail-Adresse, Rolle und Einrichtung der Person, die ihn nutzt. Der Assistent hat keinen Zugriff auf die Daten der Einrichtung. | Europäische Union |
| Google Firebase (Google) | Versand der Benachrichtigungen auf das Smartphone | Kurzer Benachrichtigungstext, zum Beispiel Vorname des Kindes und Datum. Der Inhalt von Tagesberichten, Nachrichten und Fotos läuft nicht über Firebase. | USA (EU-US Data Privacy Framework) |
Stripe erhält für die Abrechnung des Abonnements ausschließlich die Rechnungsdaten der Einrichtung, nie Daten von Kindern oder Familien.
Vor dem Einsatz eines weiteren Unterauftragsverarbeiters oder dem Austausch eines bestehenden informiert La Charca die Einrichtung per E-Mail oder in der Plattform. Die Einrichtung kann widersprechen; lässt sich der Widerspruch nicht ausräumen, kann sie das Abonnement kündigen. La Charca verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.
8. Rechte der betroffenen Personen
Die Einrichtung kann die Daten in der Plattform selbst einsehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person direkt an La Charca, leitet La Charca die Anfrage an die Einrichtung weiter und unterstützt sie bei der Beantwortung.
9. Unterstützung und Meldung von Datenschutzverletzungen
La Charca unterstützt die Einrichtung im Rahmen des Zumutbaren bei ihren Pflichten zur Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörden. Wird La Charca eine Verletzung des Schutzes der Daten der Einrichtung bekannt, meldet sie diese der Einrichtung unverzüglich und teilt ihr die Informationen mit, die sie für ihre eigenen Meldepflichten benötigt.
10. Nachweise und Kontrollen
La Charca stellt der Einrichtung auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Die Einrichtung oder ein von ihr beauftragter, zur Vertraulichkeit verpflichteter Prüfer kann die Einhaltung nach vorheriger Abstimmung überprüfen, soweit der Betrieb und die Daten anderer Einrichtungen dadurch nicht beeinträchtigt werden.
11. Löschung und Rückgabe der Daten
Die Daten gehören der Einrichtung. Sie kann während des Abonnements jederzeit Daten löschen und die Listen der Kinder und Familien exportieren. Nach dem Ende des Abonnements löscht La Charca die Daten auf Anforderung der Einrichtung oder stellt ihr zuvor eine Kopie bereit, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden mit dem Ablauf ihrer Aufbewahrungsfrist überschrieben, spätestens nach sechs Monaten.
12. Ort der Verarbeitung
La Charca hat ihren Sitz in Spanien. Die Daten der Kinder und Familien werden in der Europäischen Union gespeichert. Eine Übermittlung in ein Land außerhalb der Europäischen Union findet nur in den unter Ziffer 7 genannten Fällen und unter den Voraussetzungen der Art. 44 ff. DSGVO statt.
13. Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor. Im Übrigen gelten die Nutzungsbedingungen, einschließlich des dort bestimmten anwendbaren Rechts.
Letzte Überarbeitung: November 2026.