Verwerkersovereenkomst

In het kort

Hosting en gegevenslocatie

Databases van de app, hosting en foutbewaking: Duitsland. Cloudflare KV (ouder-app): EU. Technische e-mail (Brevo): hosting Frankrijk/Duitsland (OVH), opslag België (Google Cloud). E-mailbox: Nederland. Kerngegevens uitsluitend in de EU. Uitzonderingen met een niet-EU-koppeling: Apple/Android-push, walletkaarten, de optionele AI-beeldgeneratie (wereldwijd eindpunt, zie bijlage C) en de openbare websites van de voorzieningen (Cloudflare Pages, wereldwijde levering).

Versleuteling

TLS 1.2/1.3 voor elke verzending. Alleen HTTPS. Geen onversleutelde interfaces.

Scheiding en pseudonimiteit

De gegevens van elke voorziening zijn technisch gescheiden van alle andere. Alleen bevoegde gebruikers van de eigen voorziening hebben toegang. De ouder-app werkt zonder gebruikersaccounts: ouders gebruiken alleen een pseudonieme kindcode. Op verzoek werkt de gehele software met afkortingen in plaats van volledige namen; de AI-functies kunnen worden beperkt tot kenmerken of worden uitgeschakeld, en de träger kan hiervoor een maximum instellen (bijlage C). Technische details: §5.

Wijzigingen in de overeenkomst

Contractpartij is de träger zodra de voorziening aan een trägerconto is gekoppeld; de contractuele bevestiging gebeurt dan alleen daar (desktop, niet op het incheckterminal). Gekoppelde kinderopvangorganisaties (KiTa's) kunnen eenmalig kennisnemen van de documenten en zien later alleen een melding. Zonder trägerkoppeling bevestigt de kinderopvangorganisatie zelf. Essentiële wijzigingen: e-mail op de dag van beschikbaarstelling, een herinnering na twee weken, weergave in het dashboard; de nieuwe verwerking blijft technisch geblokkeerd tot de bevestiging. De software blijft in de tussentijd bruikbaar. Verduidelijkingen van de beschrijving en TOM's zonder nieuwe gegevenspunten op dezelfde infrastructuur: direct van kracht. Nieuwe subverwerkers: technisch geblokkeerd tot de bevestiging (§5, §9, §12).

tussen

[Klant / Träger / Voorziening] („verwerkingsverantwoordelijke“)

en

997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13, 67677 Enkenbach-Alsenborn
(hierna: „verwerker“)

§1 Onderwerp en duur van de verwerking

(1) De verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke in het kader van het beschikbaar stellen van de kinderopvangbeheersoftware app.bienenstock-kita.de.

(2) De verwerking begint met het sluiten van de softwaregebruiksovereenkomst en geldt voor de duur van het gebruik van de software door de verwerkingsverantwoordelijke. De softwaregebruiksovereenkomst komt tot stand met de bevestiging van de juridische documenten (algemene voorwaarden, deze AVV, privacyverklaring) via een vinkje door de contracterende persoon (details in §12). De softwaregebruiksovereenkomst omvat uitdrukkelijk ook het gratis pakket.

§2 Aard en doel van de verwerking

De verwerking omvat de volgende concrete handelingen:

• Realtime in- en uitchecken van kinderen via QR-code en van personeel via identificatie/pseudoniem
• Automatische capaciteitsberekening op basis van de geregistreerde aanwezigheidsgegevens (databasetriggers)
• Realtime-synchronisatie van de aanwezigheidsgegevens via een WebSocket-verbinding (Supabase Realtime)
• Beheer van stamgegevens, groepsindelingen en opvangmodellen
• Ontvangst en verwerking van afmeldingen, maaltijdafmeldingen en ophaalmeldingen via de ouder-API
• Ontvangst en verwerking van meldingen van het personeel via de personeels-app (werktijden, thuiswerk-check-in, afwezigheids- en ziekmeldingen, teamcommunicatie; bijlage 2B)
• Beschikbaarstelling van een interne personeelschat (bereikbaar via de personeels-app, ook op privéapparaten; bijlage 2B) met automatische verwijdering na de termijn in §3
• AI-ondersteunde functies volgens bijlage C: afzonderlijk in te schakelen; wat de AI over personen te weten komt, wordt geregeld door het AI-privacyniveau, dat de träger naar boven kan begrenzen
• Publicatie van de met de websitebouwer gemaakte website van de voorziening onder kitas.bienenstock-kita.de via Cloudflare Pages (wereldwijd leveringsnetwerk, omdat openbaar toegankelijk). Inhoud en afbeeldingen, inclusief door de voorziening geüploade foto's, bepaalt uitsluitend de verwerkingsverantwoordelijke; voor de publicatie van persoonsfoto's, met name van kinderen, verzamelt hij de vereiste toestemmingen.
• Verzending van pushberichten aan verzorgers (ouder-app) en aan personeel (personeels-app) via Expo en de Cloudflare-pushworker; details in bijlage 2A §2 en bijlage 2B §2
• Verzending van documenten aan verzorgers per e-mail (adres in het kindrecord) inclusief verzendlogboek (welk document wanneer naar welk adres)
• Optionele maaltijdafrekening per kind: aanmaken van een bewijs voor een periode en verzending per e-mail naar het in het kindrecord vastgelegde adres van de verzorgers, te activeren in het trägerconto en in het kinderopvangbeheer; opslag van afrekeningskenmerken en het verzendlogboek
• Optionele ouderbetalingen (in te schakelen door de verwerkingsverantwoordelijke): betalingsaanleidingen en betalingsposten per kind met een code voor de betalingsomschrijving, weergave van bedrag, ontvangerrekening en GiroCode in de ouder-app, registratie van contante betalingen met de afkorting van de ontvangende persoon (zichtbaar op het bewijs voor de verzorgers), bevestiging "overgemaakt" door de verzorgers, melding "betaling ontvangen" per push, voor zover de ouder-app wordt gebruikt en push op het apparaat is toegestaan; optionele lidmaatschapsbijdragen met betaalprofielen per gezin en optionele factuurontvanger
• Bankkoppeling (optioneel): ophalen van de rekeningtransacties van de rekening van de voorziening bij de door de verwerkingsverantwoordelijke gekozen bank (bijv. Qonto; toekomstige banken eveneens), alleen lezend en via door de verwerkingsverantwoordelijke verleende toegangsautorisatie (OAuth), voor de toewijzing van binnenkomende ouderbetalingen; als alternatief het inlezen van een rekeningoverzicht (CAMT.053). De bank is contractpartner van de verwerkingsverantwoordelijke en geen subverwerker. Per transactie worden naam, IBAN, betalingsomschrijving, bedrag en boekingsdatum opgehaald. Opgeslagen worden uitsluitend bedrag, boekingsdatum, betalingsomschrijving en transactie-ID van de bank, en wel alleen voor toegewezen of plausibel toe te wijzen ingangen en voor uitgaande betalingen die de verwerkingsverantwoordelijke aan een aanleiding toewijst; naam en IBAN nooit. Uitgaande betalingen van de afgelopen 60 dagen worden alleen ter selectie getoond (naam en ingekorte IBAN van de ontvanger), niet opgeslagen. Alle overige transacties worden verworpen. Toegangsgegevens voor de bank worden versleuteld opgeslagen en bij het verbreken van de verbinding verwijderd.
• Verkrijging van toestemmingen en machtigingen van verzorgers per bevestigde e-mail aan het door de voorziening vastgelegde adres (vrijgaven, machtiging tot ophalen, opname van een oudergesprek) via een openbare bevestigingspagina; opslag van de bevestigde tekst en het tijdstip als bewijs
• Beheer van vrijgaven per kind (bijvoorbeeld foto's, zonnebrandcrème) met bewijs van elke verlening en elke intrekking; weergave in de ouder-app zonder wijzigingsmogelijkheid
• Optionele foto van het kind ter herkenning door het personeel, uitsluitend bij actieve vrijgave "Foto van het kind op de apparaten van de kinderopvang"; zonder AI; verwijdering bij intrekking
• Beheer van ophaalbevoegde personen per kind, melding van de ophalende persoon voor één dag via de ouder-app, machtiging voor nieuwe personen per bevestigde e-mail, markering van nieuw gemelde personen tot de identiteitscontrole en overdrachtsbewijs in de groepsweergave (bijlage 5 §3)
• Oudercontactverzoeken tussen verzorgers en voorziening met tijdsvoorstellen, bevestigingse-mail en herinneringen; personeelsafspraken voor de deelnemers
• Opname van een oudergesprek uitsluitend met vooraf opgeslagen toestemming; evaluatie volgens bijlage C
• Kalender met afspraken voor de voorziening, groepen of opvangmodellen, aan- en afmeldingen per kind, optionele kosten per kind en optionele publicatie van datum en titel op de website van de voorziening
• Reservering van ruimten van de voorziening
• Verzending van de QR-brief van een kind per e-mail naar het vastgelegde ouderadres, afhankelijk van de instelling van de verwerkingsverantwoordelijke met het ouderwachtwoord van de voorziening
• Berichten van de voorziening aan haar träger en antwoorden van de träger; optionele e-mailkopie aan een door de voorziening vastgestelde verdeellijst; doorsturen van afzonderlijke berichten door de träger per e-mail aan door hem gekozen ontvangers, met logboek
• Optioneel aanmeldportaal van een träger voor kinderopvangplaatsen: aanvragen van verzorgers met bevestiging van het e-mailadres, uitsluitend behandeld door de träger, automatische verwijdering na de in §8 genoemde termijnen
• Verzending en ontvangst van technische e-mails via Brevo (Sendinblue) in softwarefuncties (bijv. uitnodigingen, systeemmeldingen); e-mailbox bij Zoho (Nederland)
• Technische foutbewaking via Sentry (EU-regio Frankfurt), inclusief session replay van de webapplicatie (gemaskeerd; details §5 nr. 9); daarnaast toepassingseigen foutlogboeken in de kinderopvangdatabase, die in de context een persoons-ID kunnen bevatten
• Opstellen van analyses en rapporten, inclusief Excel-export
• Opstellen van overzichten van personeelstijden voor leiding en träger (per voorziening en voor de hele träger), inclusief export en inzage van medewerkers in de eigen tijden
• Beschikbaarstelling van trägerconto's: inzage in de gegevens van de kinderopvangorganisaties die aan de träger zijn gekoppeld; uitnodiging van verdere gebruikers voor het trägerconto, die na acceptatie van de uitnodiging inzage in en bewerkingsrechten op deze kinderopvanggegevens krijgen
• Verzending van groepsberichten binnen de software
• Optionele toegang voor de leverancier: de door de verwerkingsverantwoordelijke aangewezen maaltijdleverancier kan maaltijdaanwijzingen (inclusief allergie- en voedingsgegevens) inzien; de leverancier is ontvanger op instructie van de verwerkingsverantwoordelijke, geen subverwerker van de verwerker
• Enquêtes in de ouder-app: opslag van de stem met apparaat-ID, zodat per apparaat slechts één stem wordt geteld
• Opslag van verworpen incheckacties die na verwijdering van de betrokken persoon bewust behouden blijven (gedocumenteerde bewaring)

Doeleinden van de verwerking:

• Organisatie en documentatie van de werking van de kinderopvang met behulp van software
• Realtime registratie en wettelijke documentatie van de capaciteit ter vervulling van wettelijke verplichtingen (naar het nationale recht van de lidstaat van de verwerkingsverantwoordelijke)
• Communicatie met verzorgers via de app, pushberichten en documentverzending per e-mail
• Aanwijzingen aan het personeel via de personeels-app (chat, verkeerslicht, werktijden), voor zover push is ingeschakeld
• Personeelsplanning, registratie van werktijden en rapportage over personeelstijden (per voorziening en voor de hele träger)
• Maaltijdsturing, inclusief optionele informatie aan de door de verwerkingsverantwoordelijke aangewezen maaltijdleverancier en optionele maaltijdafrekening met verzending van bewijzen aan verzorgers
• Afhandeling van ouderbetalingen en lidmaatschapsbijdragen, inclusief toewijzing van binnenkomende betalingen
• Verkrijging en documentatie van toestemmingen, machtigingen en de intrekking ervan (bijlage 5)
• Ondersteuning van de voorziening bij de documentatie van ophaalbevoegdheden en overdrachten (bijlage 5); de beslissing over de overdracht neemt de voorziening
• Organisatie van afspraken, oudergesprekken en ruimten
• Communicatie tussen voorziening en träger
• Toewijzing van opvangplaatsen door de träger (aanmeldportaal)
• AI-ondersteuning: doeleinden volgens bijlage C §2 (naar gelang het niveau en de schakelaars)
• Technisch oplossen van fouten en kwaliteitsborging
• Meningspeiling onder verzorgers via enquêtes (één stem per apparaat)

§3 Soort gegevens en betrokken personen

Verwerkte gegevenssoorten, onderscheiden naar groepen betrokkenen:

Grondbeginsel van gegevensminimalisatie - verplichte en optionele velden (art. 5 lid 1 sub c AVG)

De volledige naam van het kind is niet verplicht; blijft zij leeg, dan wordt "Geen naam" weergegeven. Een werkwijze met een afkorting of bijnaam is voorzien. De verplichte gegevens in de tabellen zijn nodig voor het in- en uitchecken, de capaciteit en het opvangcontract. Optionele gegevens worden alleen verwerkt wanneer de verwerkingsverantwoordelijke ze registreert of de bijbehorende functie activeert (art. 5 lid 1 sub c AVG).

Kinderen

Statistische velden en bijzondere categorieën volgens art. 9 AVG staan in de kolom Optioneel en worden alleen verzameld voor zover de voorziening ze registreert (officiële statistiek naar het nationale recht van de lidstaat van de verwerkingsverantwoordelijke, of operationeel allergieën/eetaanwijzingen). Gegevens volgens art. 9 worden afzonderlijk en met een verhoogd beschermingsniveau verwerkt. De rechtsgrondslag volgens art. 9 lid 2 AVG wordt door de verwerkingsverantwoordelijke gewaarborgd. Bij ingeschakelde leveranciertoegang gaan allergieën en eetaanwijzingen naar de door de verwerkingsverantwoordelijke aangewezen maaltijdleverancier (ontvanger op instructie, geen subverwerker).

Personeel

Statistische velden van het personeel staan in de kolom Optioneel en worden alleen verzameld voor zover dit voor een officiële statistiek noodzakelijk is. Chat en prikbord: hieronder onder berichten.

Redenen voor afwezigheid van personeel. Afwezigheden (ook uit ziekmeldingen, het vroegtijdig vertrekken bij het terminal en de weekvraag) worden opgeslagen met een reden uit een vaste catalogus en een optionele notitie: ziekte, kind ziek, doktersafspraak, werkverbod, moederschapsbescherming, ouderschapsverlof, zorgverlof, ontslag, langdurige uitval, staking, vakantie, bijzonder verlof, onbetaald verlof, bijscholing, compensatie van overuren, vrijstelling, regeneratiedag/omzettingsdag, deeltijd (vrije dag), dienstbezoek, dienstreis, evenals vrije tekst; bij afzonderlijke diensten daarnaast "ongeoorloofd" en "vervallen". Ziekte, kind ziek, doktersafspraak, werkverbod en moederschapsbescherming zijn gezondheidsgegevens; staking kan wijzen op een vakbondslidmaatschap (art. 9 AVG); zorgverlof en ontslag zijn bijzonder beschermenswaardig.

Wie de redenen ziet. De persoon zelf ziet de eigen redenen in de personeels-app en bij het uitchecken op het terminal. Redenen van andere personen verschijnen alleen in het beheer van de voorziening (personeelsplanning met het beheerswachtwoord; meldingen en rapporten met het personeelswachtwoord), in het trägergedeelte en in rapporten, exports en afdrukken (dagrapport, dienstrooster, weekposter). De check-in- en groepstablets en de personeels-app tonen afwezigheden van andere personen zonder reden. De verwerkingsverantwoordelijke bepaalt wie toegang krijgt tot deze gedeelten en afdrukken.

Ouders/verzorgers (via ouder-app en API):

• Gepseudonimiseerde kind-ID (kindcode)
• Afmeldingen (kind, datum; zonder reden), maaltijdafmeldingen, ophaalmeldingen met de ophalende persoon, datum en tijdstip
• E-mailadressen en telefoonnummer van de verzorgers in het kindrecord (adres van de träger voor documenten en maaltijdafrekeningsbewijzen; adres en telefoonnummer van de voorziening voor de QR-brief, toestemmingen en gespreksbevestigingen) alsmede het verzendlogboek
• Taal van de verzorgers per kind (door de voorziening vastgelegd of in de ouder-app gekozen) voor vertalingen volgens bijlage C §3 nr. 17
• Toestemmingen per bevestigde e-mail: bevestigde tekst, tijdstip, herkomst; ontvangstadres en controlewaarde van de link in het verzoek alleen tot de bevestiging; de link geldt één uur, daarna worden beide binnen nog een uur gewist (§8 lid 8); bij verzoeken om vrijgave en opname bovendien een vermelding in het verzendlogboek (kind, adres, soort, tijdstip, initiërend account)
• Oudercontactverzoeken (onderwerp, ontvanger, gekozen afspraak), aan- en afmeldingen voor afspraken, deelnamebevestigingen en meldingen "overgemaakt" bij betalingsposten
• Bij actieve bankkoppeling: betalingsomschrijving, bedrag en boekingsdatum van toegewezen ingangen en van uitgaande betalingen die de verwerkingsverantwoordelijke heeft toegewezen; naam en IBAN van de betaler resp. ontvanger alleen bij het ophalen, niet opgeslagen (§2)
• Voor de opname van een oudergesprek: naam en rol van de toestemmende persoon, beeld van de handtekening of bevestigde e-mail, tekst van de toestemming
• Enquêtestemmen met apparaat-ID (één stem per apparaat)
• Pushontvangst in de ouder-app, voor zover op het apparaat toegestaan en door de voorziening gebruikt: groepsberichten, verkeerslichtwisselingen, afspraakherinneringen, oudergesprekafspraken, nieuwe dagboekvermeldingen en betalingsontvangsten; details in bijlage 2A §2

Personeel (aanvullend via personeels-app; bijlage 2B):

• Tijdmeldingen, in- en uitcheckmeldingen, ziekmeldingen
• Chatberichten van de interne personeelschat (inhoud, tijdstempel, naam of afkorting van de afzender)
• Pushontvangst in de personeels-app (alleen met toestemming op het apparaat en alleen voor ingeschakelde functies): verkeerslichtwisselingen, teamchat, oproepen, automatische aanwijzingen over de werktijd en afspraakherinneringen; details in bijlage 2A §2 en bijlage 2B §2

Gebruikersaccounts (alle rollen):

• E-mailadres, authenticatiegegevens (Supabase Auth JWT), rolvlaggen
• AVV/AV-bevestiging: naam, e-mail en rol van de bevestigende persoon, tijdstempel, versienummer van het betreffende document inclusief bijlagen, eerder bevestigde versie; contractbevestiging in het trägerconto of, zonder trägerkoppeling, in het kinderopvangbeheer. Daarnaast eenmalige kennisneming door de kinderopvangleiding van een gekoppelde voorziening (geen tweede contractpartij, §12)
• Trägerconto: koppeling aan voorzieningen; uitnodigingen van verdere gebruikers (uitnodigende, uitgenodigde, tijdstempel, status). Na acceptatie van de uitnodiging krijgen deze gebruikers inzage in en bewerkingsrechten op de gegevens van de aan de träger gekoppelde kinderopvangorganisaties
• Uitwisseling tussen voorziening en träger: berichten, antwoorden, bewerkingsstand; e-mailverdeellijst van de voorziening (maximaal tien adressen); logboek van elk doorsturen door de träger (ontvanger, opmerking), dat alleen de träger ziet

Logboekgegevens (logs):

• Elk in- en uitchecken met tijdstempel, soort persoon, berekende capaciteit; bij het kind bovendien de begeleidingsfactor; bij het personeel bovendien het kenmerk werkplek (thuiswerk, uitstapje, buitenshuis)
• Verworpen incheckacties (discarded_actions): blijven na verwijdering van de betrokken persoon bewust behouden (gedocumenteerde bewaring voor de nagaanbaarheid van de terminalacties). Verwijdering resp. teruggave samen met de overige contractuele gegevens volgens §8
• Toepassingseigen foutlogboeken (error_logs), voor zover in de foutcontext een persoons-ID is opgenomen; opslag op Duitse servers, gescheiden van de foutbewaking via Sentry (bijlage 1, inclusief session replay)
• Verzendlogboek naar verzorgers (parent_mail_log): welk document, welk maaltijdafrekeningsbewijs of welk bericht wanneer naar welk adres aan een gezin is verzonden
• Antwoorden van verzorgers op berichten aan een gezin: gekozen actie en tijdstip (bijlage 4 §5 lid 7)
• Tijdcorrecties: reden (categorie en verplichte vrije tekst), corrigerende persoon met e-mailadres, alsmede waarden vóór en ná de correctie; het dagelijkse overzicht voor de träger bevat alleen pseudoniemen resp. afkortingen en de categorie van de reden, geen namen en geen vrije tekst
• Bescherming tegen het raden van wachtwoorden: bij elke mislukte poging een versleutelde controlewaarde (HMAC) van het netwerk en van de onjuiste waarde, nooit het adres of de waarde zelf; automatische verwijdering na een uur
• Bewijzen van toestemmingen van verzorgers (soort, tekst, tijdstip, herkomst)

Berichten:

• Groepsberichten (inhoud, tijdstempel, groepsindeling)
• Interne personeelschat: inhoud, tijdstempel, afzender (naam of afkorting); automatische verwijdering na een door de verwerkingsverantwoordelijke gekozen termijn van één tot zeven dagen (standaard: één dag, verwijdering om middernacht in de tijdzone van de voorziening); prikbordberichten blijven duurzaam bewaard totdat ze handmatig worden verwijderd of de contractuele relatie eindigt; volgens de gebruiksvoorschriften niet bestemd voor gevoelige gegevens of bijzondere categorieën van persoonsgegevens (art. 9 AVG)

Groepsrapporten, dagrapporten en meldingen:

• Groepsrapporten (dagrapport van een groep), notities over afzonderlijke kinderen (kinderdagboek) en meldingen als vrije tekst, getypt of ingesproken; opslag op Duitse servers. Verzorgers zien een vermelding alleen wanneer de verwerkingsverantwoordelijke de weergave in de ouder-app inschakelt (standaard: uitgeschakeld) en het personeel de vermelding uitdrukkelijk vrijgeeft; zij ontvangen dan een pushmelding zonder inhoud. Het inspreken is uitschakelbaar (standaard: ingeschakeld). Vrije teksten kunnen bijzondere categorieën van gegevens volgens art. 9 AVG bevatten (bijlage 4).

Voorzieningsmetadata (optioneel, voor zover ingesteld):

• Drempelwaarden (buffer, geel-/rood-verkeerslicht), termijnen voor maaltijdafmeldingen, openingstijden, sluitingsdagen, slug van de voorziening, wachtwoordbeveiligingen van de voorziening (beheer-, personeels-, ouder- en leverancierswachtwoord: gedeelde wachtwoorden die afzonderlijke onderdelen van de software afschermen, geen persoonlijke toegangsgegevens; opgeslagen in leesbare tekst zodat de voorziening ze kan inzien en doorgeven, gecontroleerd via een tijdconstante vergelijking en afgeremd tegen systematisch uitproberen), eisen van de träger (leidinggevend deputaat, praktijkbegeleiding), configuratie van de verplichte pauzes, leveranciers-wachtwoord (opt-in)

Overige betrokken personen (voor zover de betreffende functie wordt gebruikt):

• Ophaalbevoegde personen: naam, relatie tot het kind, herkomst van de opgave (voorziening of verzorgers), machtigingstekst en tijdstip van bevestiging, tijdstip van de identiteitscontrole (geen identiteitskaartnummer)
• Aanvragers van een opvangplaats (aanmeldportaal van de träger): voornaam en geboortedatum van het kind, naam, e-mailadres en optioneel telefoonnummer van de verzorgers, gewenste voorzieningen en volgorde, opvangomvang, gewenste startdatum, behandelstand, interne notitie van de träger
• Factuurontvangers van lidmaatschapsbijdragen: naam, adres, e-mailadres
• Betalers bij overschrijvingen aan de voorziening en ontvangers van overschrijvingen van de voorziening (alleen bij actieve bankkoppeling): naam en IBAN alleen bij het ophalen; opgeslagen worden uitsluitend betalingsomschrijving, bedrag en boekingsdatum van toegewezen ingangen en van door de verwerkingsverantwoordelijke toegewezen uitgangen
• Deelnemers aan opgenomen oudergesprekken: naam, rol, tijdstip en vorm van de toestemming (handtekening of bevestiging per e-mail) alsmede wat in het gesprek is gezegd (bijlage C §3 nr. 11)
• Ontvangers van e-mailkopieën en doorgestuurde berichten in de uitwisseling tussen voorziening en träger: e-mailadres

AI-functies (volgens de standaardinstellingen en schakelaars; details in bijlage C):

De AI-functies kunnen afzonderlijk worden in- en uitgeschakeld; bij een uitgeschakelde functie vervallen ook de bijbehorende gegevenscategorieën. De träger kan functies blokkeren en het AI-privacyniveau naar boven begrenzen. Afhankelijk van de instelling worden de volgende gegevens verwerkt:

• Vrije tekstinvoer van de gebruikers, zoals die is geschreven (de interface vraagt geen gezondheidsgegevens in te voeren; details over vrije tekstvelden in bijlage 4)
• Aanduidingen van de organisatie: naam van de voorziening, namen van groepen en opvangmodellen
• Kengetallen (verkeerslicht, capaciteit, aanwezigheid per categorie, plan/werkelijk, drempelwaarden, openingstijden)
• Logboeken per persoon (aanwezigheid, gebeurtenissen, dienst- en pauzeroosters, contractuele tijden, tijdsaldi, afwezigheidsdagen), afhankelijk van het AI-privacyniveau met kenmerken, met namen van het personeel of met namen van personeel en kinderen; redenen voor afwezigheid alleen als aantal
• Spraakopnamen (inspreken, e-mailhulp, oudergesprek) uitsluitend voor de verwerking; audio wordt nooit blijvend opgeslagen
• Resultaten van oudergesprekken (verslag, taken, versie voor de ouders) en van de e-mailhulp (voorbeeld-e-mails, opdracht, concept)
• Toestemmingen voor gespreksopnamen (naam, rol, tijdstip, tekstversie, handtekening of bevestiging per e-mail)
• Foto's voor plattegrond, handboekconcept en gevarenthema's, alsmede eigen stijlbeelden van de leiding voor de website (beeldbegrip op het EU-eindpunt); naar de beeldgeneratie gaat alleen een beeldbeschrijving zonder persoonsgebondenheid
• Websitegegevens van de leiding (teksten, contact, colofon)
• Opgeslagen resultaten volgens bijlage C (dagverloop, bevestigde acties, wijzigingspakketten van de dienstplan-AI, dagelijkse analyses, maandrapporten)
• Accountgebonden opslag van de AI-toestemming (tijdstempel en tekstversie)

§4 Verplichtingen van de verwerker

De verwerker verplicht zich tot naleving van de volgende verplichtingen overeenkomstig art. 28 lid 3 AVG:

(1) Gebondenheid aan instructies (art. 28 lid 3, onder a AVG)

De verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke, ook met betrekking tot de doorgifte van persoonsgegevens aan een derde land of een internationale organisatie, tenzij hij daartoe verplicht is op grond van het recht van de Unie of van de lidstaten waaraan de verwerker is onderworpen. In dat geval deelt de verwerker die wettelijke eisen vóór de verwerking aan de verwerkingsverantwoordelijke mee, tenzij het betreffende recht die mededeling om een zwaarwegend algemeen belang verbiedt. De verwerker informeert de verwerkingsverantwoordelijke onverwijld indien hij van mening is dat een instructie in strijd is met de AVG of andere privacyvoorschriften van de Unie of de lidstaten.

(2) Vertrouwelijkheid (art. 28 lid 3, onder b AVG)

De verwerker waarborgt dat de personen die bevoegd zijn persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verplicht of aan een passende wettelijke geheimhoudingsplicht onderworpen zijn. De vertrouwelijkheidsverplichting blijft ook na beëindiging van de opdracht van kracht.

(3) Technische en organisatorische maatregelen (art. 28 lid 3, onder c juncto art. 32 AVG)

De verwerker neemt alle maatregelen die krachtens art. 32 AVG vereist zijn. Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, omstandigheden en doeleinden van de verwerking, alsmede de verschillende waarschijnlijkheid en ernst van het risico voor de rechten en vrijheden van natuurlijke personen, waarborgt de verwerker een beveiligingsniveau dat past bij het risico. De concrete maatregelen zijn beschreven in §5 van deze overeenkomst.

(4) Subverwerkers (art. 28 lid 3, onder d juncto art. 28 leden 2 en 4 AVG)

De verwerker schakelt geen verdere verwerker in zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke. De in bijlage 1 en bijlage 2A genoemde subverwerkers gelden bij het sluiten van de overeenkomst als goedgekeurd; elke verdere inschakeling of vervanging blijft tot de bevestiging technisch geblokkeerd (§9).

(5) Ondersteuning bij rechten van betrokkenen (art. 28 lid 3, onder e AVG)

De verwerker ondersteunt de verwerkingsverantwoordelijke zo goed mogelijk met geschikte technische en organisatorische maatregelen bij het beantwoorden van verzoeken tot uitoefening van de in de art. 15 tot en met 22 AVG genoemde rechten van betrokkenen. Daartoe behoren in het bijzonder het recht op inzage (art. 15), het recht op rectificatie (art. 16), het recht op wissing (art. 17), het recht op beperking van de verwerking (art. 18), de kennisgevingsplicht (art. 19), het recht op gegevensoverdraagbaarheid (art. 20), het recht van bezwaar (art. 21) en het recht om niet te worden onderworpen aan geautomatiseerde individuele besluitvorming (art. 22).

(6) Ondersteuning bij beveiligingsverplichtingen (art. 28 lid 3, onder f AVG)

De verwerker ondersteunt de verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, bij de naleving van de verplichtingen uit art. 32 tot en met 36 AVG. Dit omvat in het bijzonder de ondersteuning bij:

• de beveiliging van de verwerking (art. 32 AVG)
• de melding van inbreuken in verband met persoonsgegevens aan de toezichthoudende autoriteit (art. 33 AVG)
• de mededeling aan de betrokkenen (art. 34 AVG)
• de gegevensbeschermingseffectbeoordeling (art. 35 AVG)
• de voorafgaande raadpleging van de toezichthoudende autoriteit (art. 36 AVG)

(7) Melding van inbreuken in verband met persoonsgegevens (art. 33 lid 2 AVG)

De verwerker meldt een inbreuk in verband met persoonsgegevens aan de verwerkingsverantwoordelijke onverwijld, doch uiterlijk binnen 24 uur nadat hij er kennis van heeft genomen, zodat de verwerkingsverantwoordelijke zijn meldingsplicht volgens art. 33 lid 1 AVG (termijn van 72 uur ten opzichte van de toezichthoudende autoriteit) kan naleven. De melding bevat ten minste:

• een beschrijving van de aard van de inbreuk
• voor zover mogelijk, de categorieën en bij benadering het aantal betrokkenen en persoonsgegevensregisters
• een beschrijving van de waarschijnlijke gevolgen
• een beschrijving van de genomen of voorgestelde maatregelen

(8) Wissing en teruggave (art. 28 lid 3, onder g AVG)

Na afronding van de verlening van de verwerkingsdiensten wist de verwerker alle persoonsgegevens of geeft hij die naar keuze van de verwerkingsverantwoordelijke terug, en wist hij bestaande kopieën, tenzij er krachtens het recht van de Unie of van de lidstaten een verplichting tot opslag bestaat. De details zijn geregeld in §8 van deze overeenkomst.

(9) Verplichtingen tot aantoonbaarheid (art. 28 lid 3, onder h AVG)

De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in art. 28 AVG neergelegde verplichtingen aan te tonen, en maakt controles, waaronder inspecties, die door de verwerkingsverantwoordelijke of door een door hem gemachtigde controleur worden uitgevoerd, mogelijk en ondersteunt deze. De details zijn geregeld in §7 van deze overeenkomst.

(10) Verwerkingsregister (art. 30 lid 2 AVG)

De verwerker houdt een register bij van alle categorieën van verwerkingsactiviteiten die hij ten behoeve van de verwerkingsverantwoordelijke uitvoert, dat de in art. 30 lid 2 sub a tot en met d AVG genoemde gegevens bevat.

§5 Technische en organisatorische maatregelen

De verwerker heeft de volgende maatregelen overeenkomstig art. 32 lid 1 sub a tot en met d AVG geïmplementeerd. Overeenkomstig art. 32 lid 1 AVG dienen, rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, omstandigheden en doeleinden van de verwerking, alsmede de verschillende waarschijnlijkheid en ernst van het risico voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen te worden getroffen om een beveiligingsniveau te waarborgen dat past bij het risico. De maatregelen omvatten met name:

• de pseudonimisering en versleuteling van persoonsgegevens (art. 32 lid 1 sub a AVG)
• het vermogen om de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten in verband met de verwerking duurzaam te waarborgen (art. 32 lid 1 sub b AVG)
• het vermogen om de beschikbaarheid van en de toegang tot de persoonsgegevens bij een fysiek of technisch incident snel te herstellen (art. 32 lid 1 sub c AVG)
• een procedure voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen om de beveiliging van de verwerking te waarborgen (art. 32 lid 1 sub d AVG)

Bij de beoordeling van het passende beveiligingsniveau worden in het bijzonder de risico's in aanmerking genomen die de verwerking met zich meebrengt, met name door vernietiging, verlies, wijziging of ongeoorloofde openbaarmaking van of ongeoorloofde toegang tot persoonsgegevens (art. 32 lid 2 AVG).

De maatregelen zijn gericht op de volgende beschermingsdoelen:

1. Toegangscontrole
2. Gegevensdragercontrole
3. Opslagcontrole
4. Gebruikerscontrole
5. Autorisatiecontrole
6. Overdrachtscontrole
7. Invoercontrole
8. Transportcontrole
9. Herstelbaarheid
10. Betrouwbaarheid
11. Gegevensintegriteit
12. Opdrachtcontrole
13. Beschikbaarheidscontrole
14. Scheidbaarheid

De onderstaande weergave beschrijft de concrete uitwerking van deze beschermingsdoelen. De maatregelen worden regelmatig getoetst en aan de stand van de techniek aangepast (art. 32 lid 1 sub d AVG).

Wijzigingen in de TOM's worden als volgt onderscheiden:

• Direct productief, zonder nieuw vinkje: uitsluitend aanpassingen die geen nieuwe persoonsgegevens verzamelen en draaien op dezelfde infrastructuur die al in bijlage 1 resp. bijlage 2A is genoemd (zoals patches, hardening, configuratie, vervanging van soortgelijke beveiligingsmaatregelen). De verwerker documenteert deze wijzigingen. Een afzonderlijke toestemming of voorafgaande informatie is daarvoor niet vereist.
• Niet direct productief (essentiële wijziging): elke wijziging van de TOM's die nieuwe persoonsgegevens verzamelt, een nieuwe functie met gegevensverzameling invoert of andere infrastructuur gebruikt dan de reeds goedgekeurde. Hiervoor geldt de procedure van §12 lid 3 (melding, e-mail, technische blokkade tot de bevestiging).

1. Betredingscontrole (logisch)

Supabase Auth met JWT en automatische tokenvernieuwing; Row-Level Security (RLS) op alle databasetabellen; Column-Level Security op de kita-tabel.

2. Toegangscontrole

Clientzijde: afzonderlijke wachtwoorden per rol (beheer, personeel, ouders, leverancier); beheerswachtwoord met een aanvullend, kortlevend servertoken voor gevoelige handelingen; persoonlijk wachtwoord per persoon in de personeels-app; API-sleutelauthenticatie voor de ouder-API; serverzijdige beperking van mislukte pogingen per netwerk en per voorziening; tweede factor bij het aanmelden (eenmalige code per e-mail) voor träger- en voorzieningsaccounts.

Beheerderzijde: toegang tot productiesystemen, databases en infrastructuur is beperkt tot geautoriseerd personeel en beveiligd door individuele authenticatie.

3. Autorisatiecontrole

Clientzijde: RLS-beleid op databaseniveau; rolgebaseerd autorisatieconcept met de niveaus trägermanager, kinderopvangbeheerder en Staff. Kinderopvangbeheerder en Staff hebben uitsluitend toegang tot gegevens van de eigen voorziening. Een trägerconto ziet de gegevens van de aan de träger gekoppelde kinderopvangorganisaties; door het trägerconto uitgenodigde gebruikers krijgen na acceptatie van de uitnodiging eveneens inzage in en bewerkingsrechten op deze kinderopvanggegevens. Er bestaat geen inzage in gegevens van andere trägers.

Beheerderzijde: toegang tot persoonsgegevens uitsluitend op basis van het beginsel van noodzaak (need-to-know), beperkt tot onderhoud, ondersteuning en het oplossen van fouten.

4. Overdrachtscontrole

TLS 1.2/1.3 voor alle gegevensoverdrachten; configuratie uitsluitend via HTTPS (Vercel); geen onversleutelde interfaces.

5. Invoercontrole

Validatie aan de clientzijde (Formik + Yup); validatie aan de serverzijde; logging van alle in- en uitcheckhandelingen met tijdstempel.

6. Beschikbaarheidscontrole

Supabase Managed Database (Frankfurt) met geautomatiseerde back-ups en Point-in-Time Recovery; Vercel-edgenetwerk met storingsbestendigheid; herverbindingslogica met exponentiële terugval (2 s → 30 s), daarna herhaling met een interval van 60 seconden.

7. Scheidingscontrole

Databaseniveau: tenantscheiding via Row-Level Security (RLS) op alle tabellen - elk beleid controleert het behoren tot de betreffende voorziening (kita_id). Column-Level Security (CLS) op gevoelige kolommen (bijv. wachtwoorden). Blanket denial als basis (REVOKE ALL voor niet-geauthenticeerde toegang). Opslagbuckets eveneens beschermd door RLS.

Applicatieniveau: de frontend gebruikt uitsluitend beperkte API-sleutels (geen service-role-sleutel); de service-role-sleutel uitsluitend serverzijdig in API-routes. Realtime-abonnementen worden door RLS gefilterd. Voorzieningen kunnen uitsluitend hun eigen gegevens inzien. Trägerconto's (inclusief uitgenodigde gebruikers) zien en bewerken de gegevens van de aan de träger gekoppelde kinderopvangorganisaties; er bestaat geen inzage over trägergrenzen heen.

8. Pseudonimisering

Optioneel instelbaar: afkortingen in plaats van volledige namen in de weergave; gepseudonimiseerde kind-ID's (kindcodes) in de ouder-app.

9. Foutbewaking

Technische foutgebeurtenissen worden doorgestuurd naar Sentry (Functional Software, Inc.) in de EU-regio Frankfurt (FRA). Stacktraces en technische metadata zonder chat-, prompt- of audio-inhoud; bij fouten bij het inspreken hoogstens de bytegrootte en het MIME-type. Session replay legt schermverlopen van de webapplicatie vast ter reproductie van fouten, ook op de check-intablets en op de openbare pagina's voor verzorgers; teksten en invoer worden gemaskeerd, afbeeldingen en media niet opgenomen; voor zover de maskering in een concreet geval niet werkt, kunnen zichtbare namen erin voorkomen.

10. Offlinebedrijf van de check-intablets

Opdat het in- en uitchecken bij een netwerkstoring doorloopt, slaat de tablet een werkkopie op in de lokale browseropslag (IndexedDB): kinderen (naam, afkorting resp. PIN, groep, soort opvang, begeleidingsfactor, maaltijdkenmerk), personeel (naam, afkorting resp. PIN, groep, personeelstype) alsmede de statusmeldingen van de lopende dag; nog niet overgedragen boekingen worden tot de synchronisatie tussentijds opgeslagen. De kopie staat alleen op het betreffende apparaat en wordt bij afmelding of accountwissel verwijderd. De verwerkingsverantwoordelijke beveiligt de apparaten door een apparaatvergrendeling en apparaatversleuteling.

11. Toestemmingen en bewijzen

Een toestemming met herkomst "ouders" ontstaat uitsluitend via een link naar het door de voorziening vastgelegde adres; de voorziening kan vrijgaven daarnaast zelf invoeren (herkomst "voorziening", bijlage 5 §2 lid 3). De link bevat een eenmalig token dat alleen als controlewaarde wordt opgeslagen, één uur geldig is en uit foutlogboeken wordt verwijderd. Opvragen en bevestigen zijn gescheiden, zodat een automatische oproep van de link geen toestemming oplevert. De bevestigde tekst wordt opgeslagen; een gewijzigde vrijgave maakt openstaande links ongeldig. Verleende toestemmingen zijn achteraf niet wijzigbaar; een door ouders verleende toestemming kan alleen de server schrijven. Handtekeningen liggen in een privé-opslag zonder toegang vanuit de browser.

12. Bankkoppeling

Uitsluitend leestoegang tot de rekening van de voorziening; toegangstokens versleuteld met AES-256-GCM, alleen serverzijdig leesbaar en bij het verbreken verwijderd; opgeslagen worden uitsluitend gegevens over toegewezen ingangen en door de verwerkingsverantwoordelijke toegewezen uitgangen, nooit naam of IBAN van betalers of ontvangers.

Stand: oktober 2026. Direct werkzame TOM-aanpassingen worden gedocumenteerd en op verzoek ter beschikking gesteld aan de verwerkingsverantwoordelijke. Alle overige TOM-wijzigingen volgen §12 lid 3.

§6 Rechten en plichten van de verwerkingsverantwoordelijke

(1) De verwerkingsverantwoordelijke is overeenkomstig art. 4 nr. 7 AVG de natuurlijke persoon of rechtspersoon die, alleen of samen met anderen, over de doeleinden en middelen van de verwerking van persoonsgegevens beslist. Hij blijft verantwoordelijk voor de rechtmatigheid van de verwerking (art. 24 lid 1 AVG).

(2) De verwerkingsverantwoordelijke waarborgt dat de verwerking in overeenstemming is met de beginselen van art. 5 lid 1 AVG, in het bijzonder:

• rechtmatigheid, behoorlijkheid en transparantie (art. 5 lid 1 sub a AVG)
• doelbinding (art. 5 lid 1 sub b AVG)
• gegevensminimalisatie (art. 5 lid 1 sub c AVG)
• juistheid (art. 5 lid 1 sub d AVG)
• opslagbeperking (art. 5 lid 1 sub e AVG)
• integriteit en vertrouwelijkheid (art. 5 lid 1 sub f AVG)

(3) De verwerkingsverantwoordelijke is in het bijzonder verantwoordelijk voor:

• de nakoming van de informatieplichten bij het verzamelen van persoonsgegevens bij de betrokken persoon (art. 13 AVG) alsook bij verkrijging via derden (art. 14 AVG)
• het verkrijgen van toestemmingen, voor zover nodig, met inachtneming van de vereisten van art. 7 AVG
• het bijhouden van een register van verwerkingsactiviteiten overeenkomstig art. 30 lid 1 AVG
• het uitvoeren van een gegevensbeschermingseffectbeoordeling overeenkomstig art. 35 AVG, voor zover de verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen meebrengt
• het waarborgen van een rechtsgrond volgens art. 6 lid 1 AVG voor elke verwerking (wettelijke bevoegdheid en/of toestemming)
• de uitnodiging van verdere gebruikers voor het trägerconto en de daarmee verbonden verlening van inzage in en bewerking van de gegevens van gekoppelde kinderopvangorganisaties; de verwerkingsverantwoordelijke waarborgt dat uitsluitend daartoe bevoegde personen worden uitgenodigd
• het instrueren van zijn gebruikers over de inhoud van vrije tekstvelden en het controleren van teksten vóór hun vrijgave aan verzorgers of hun publicatie (bijlage 4 §3)
• de verplichtingen volgens bijlage 5 §6 bij vrijgaven, toestemmingen per e-mail, ophaalbevoegde personen en overdrachten, in het bijzonder de controle van de identiteit van ophalende personen, van het ouderlijk gezag en van de juistheid van de vastgelegde e-mailadressen

(4) De verwerkingsverantwoordelijke heeft het recht de verwerker instructies te geven met betrekking tot aard, omvang en procedure van de gegevensverwerking. Instructies worden schriftelijk of in een elektronisch formaat gegeven. Mondelinge instructies worden onverwijld schriftelijk bevestigd.

(5) De verwerkingsverantwoordelijke informeert de verwerker onverwijld wanneer hij bij de controle van de resultaten van de verwerking fouten of onregelmatigheden vaststelt.

(6) Niet van toepassing buiten Duitsland.

(7) Niet van toepassing buiten Duitsland.

(8) Toegang. Trägerconto's en het account van de voorziening zijn aanmeldaccounts met e-mail en wachtwoord. In het trägergedeelte kan elk account verdere persoonlijke accounts uitnodigen; alle accounts hebben dezelfde rechten (inzage in en bewerking van alle gekoppelde voorzieningen). Gedifferentieerde rollen bestaan momenteel niet; een account verwijdert de verwerker op verzoek. Het account van de voorziening wordt door de leiding gezamenlijk gebruikt; afzonderlijke onderdelen worden daarnaast beschermd door de wachtwoordbeveiligingen (§3). De verwerkingsverantwoordelijke

• a) richt in het trägergedeelte voor elke persoon een eigen, uitgenodigd account in, in plaats van een toegang te delen;
• b) houdt de kring van personen die een gezamenlijk wachtwoord kennen klein (account van de voorziening, wachtwoordbeveiligingen);
• c) wijzigt gedeelde wachtwoorden regelmatig en onmiddellijk wanneer een persoon vertrekt of een apparaat zoekraakt: het aanmeldwachtwoord via "Wachtwoord vergeten" op de aanmeldpagina, de wachtwoordbeveiligingen in de instellingen;
• d) meldt vertrokken personen met een eigen trägerconto voor verwijdering.

Bij gedeelde toegang is niet na te gaan welke persoon heeft gehandeld; dit geldt ook voor het bewijs van de contractbevestiging volgens §12, dat naam en account van de bevestigende persoon vastlegt.

§7 Controle en bewijsmateriaal

(1) De verwerkingsverantwoordelijke heeft het recht de naleving van deze overeenkomst en van de privacyrechtelijke voorschriften te controleren (art. 28 lid 3, onder h AVG). De controle kan plaatsvinden door:

• het inwinnen van inlichtingen en bewijsstukken
• de schriftelijke beantwoording van een vragenlijst door de verwerker
• remote-audits na voorafgaand overleg; inspecties ter plaatse worden mogelijk gemaakt, voor zover dit gezien de uitsluitend cloudgebaseerde infrastructuur doelmatig is

(2) De verwerker stelt de verwerkingsverantwoordelijke op verzoek actuele bewijzen ter beschikking van de naleving van de technische en organisatorische maatregelen. Daartoe behoren met name de certificeringen en auditrapporten van de ingeschakelde subverwerkers.

(3) Inspanning die verder gaat dan één controle per kalenderjaar en de wettelijk verschuldigde ondersteuning, wordt vergoed naar tijdsbesteding tegen marktgebruikelijke tarieven.

§8 Teruggave of wissing van gegevens

(1) Wettelijke bewaarplichten voor de in opdracht verwerkte gegevens, met name volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke alsmede volgens begrotings-, subsidie- of belastingrechtelijke voorschriften, rusten uitsluitend op de verwerkingsverantwoordelijke. De verwerker slaat de gegevens alleen op voor de duur van deze overeenkomst en op instructie van de verwerkingsverantwoordelijke; een eigen wettelijke opslagplicht van de verwerker in de zin van art. 28 lid 3, onder g AVG bestaat niet.

(2) Tijdens de looptijd van de overeenkomst richten de wistermijnen zich naar de instructies van de verwerkingsverantwoordelijke (in de software instelbare bewaartermijn). De verwerker wist gegevens niet vóór het verstrijken van de door de verwerkingsverantwoordelijke vastgestelde termijn, tenzij de verwerkingsverantwoordelijke dit opdraagt. Afzonderlijke personen (kinderen, personeel) worden in de software gearchiveerd en niet onmiddellijk gewist, zodat de verwerkingsverantwoordelijke zijn bewaarplichten kan nakomen; gearchiveerde gegevensrecords zijn uit het lopende gebruik verwijderd. Verzoeken tot wissing van betrokkenen (art. 17 AVG) voert de verwerker op instructie van de verwerkingsverantwoordelijke uit door de betreffende gegevensrecords definitief te wissen, voor zover geen bewaarplicht van de verwerkingsverantwoordelijke zich daartegen verzet.

(3) De verwerkingsverantwoordelijke kan op elk moment, uiterlijk tot het einde van de overeenkomst, een volledige export in een machineleesbaar formaat (CSV) en aanwezigheidsbewijzen als pdf opvragen; dit is de teruggave in de zin van art. 28 lid 3, onder g AVG. De verwerker ondersteunt de verwerkingsverantwoordelijke bij alle exports en gegevensoverdrachten en stelt de export op verzoek beschikbaar via een beveiligd overdrachtskanaal.

(4) De verwerker wist alle persoonsgegevens in productiesystemen 30 dagen na het einde van de overeenkomst of, indien eerder, 7 dagen na een door de verwerkingsverantwoordelijke bevestigde export. Kopieën in back-ups worden uiterlijk 30 dagen na het einde van de overeenkomst door rotatie overschreven en tot dan niet hersteld, behalve voor herstel op instructie. Verworpen incheckacties (discarded_actions) blijven na wissing van één persoon bewust behouden (gedocumenteerde bewaring, §3); zij worden desondanks samen met de overige gegevensvoorraad gewist volgens zin 1. Na afronding ontvangt de verwerkingsverantwoordelijke een bevestiging van de wissing (datum, omvang, systemen).

(5) De verwerkingsverantwoordelijke is er zelf verantwoordelijk voor de geëxporteerde stukken te bewaren gedurende de duur van zijn wettelijke bewaartermijnen.

(6) Gratis pakket: Eindigt het gebruik van het gratis pakket, dan gelden voor export en wissing lid 3 en lid 4.

(7) Een door de verwerker in bruikleen gegeven apparaat (tablet) moet vóór de teruggave van alle gegevens worden ontdaan en op de fabrieksinstellingen worden teruggezet. De verwerker controleert de terugzetting na ontvangst van het apparaat en voert deze zo nodig opnieuw uit.

(8) Automatische wistermijnen van afzonderlijke functies (onafhankelijk van lid 4):

• Toestemmingsverzoeken per e-mail: ontvangstadres en controlewaarde van de link worden bij bevestiging, bij vervanging door een nieuw verzoek of uiterlijk ongeveer één uur na het verstrijken van de link van één uur gewist; onbevestigde verzoeken na 30 dagen; bevestigde verzoeken blijven als bewijs bewaard. Het verzendlogboek van vrijgave- en opnameverzoeken blijft bewaard tot wissing door de verwerkingsverantwoordelijke, uiterlijk tot het einde van de overeenkomst.
• Toestemmingen voor de opname van een oudergesprek die geen opname hebben gebruikt: na 30 dagen, met het beeld van de handtekening; gebruikte blijven bij het gesprek bewaard totdat de verwerkingsverantwoordelijke het gesprek wist.
• Audiobestand van een oudergesprek: onmiddellijk na de evaluatie.
• Foto van een kind: bij intrekking van de vrijgave, uiterlijk bij de dagelijkse afstemming.
• Aanmeldingen in het aanmeldportaal: onbevestigde na zeven dagen; afgewezen of ingetrokken twaalf maanden na afronding.
• Controlewaarden van mislukte wachtwoordpogingen: na één uur.
• Factuurontvangers van lidmaatschapsbijdragen en berichten tussen voorziening en träger: tot wissing door de verwerkingsverantwoordelijke, uiterlijk volgens lid 4.

§9 Subverwerkers

(1) De verwerkingsverantwoordelijke keurt bij het sluiten van de overeenkomst de inschakeling goed van de in bijlage 1 en bijlage 2A genoemde subverwerkers (art. 28 lid 2 AVG).

(2) Elke inschakeling of vervanging van een subverwerker is technisch geblokkeerd totdat de contracterende persoon de bijgewerkte overeenkomst (inclusief de gewijzigde bijlage) heeft gelezen en via een vinkje heeft bevestigd. Vóór deze bevestiging stromen geen persoonsgegevens naar de nieuwe of vervangen aanbieder. Een bezwaartermijn van 14 dagen zonder blokkade bestaat niet. Tot de bevestiging blijven uitsluitend de eerder goedgekeurde subverwerkers in gebruik.

(3) Voor het verzoek tot bevestiging, de e-mail en de herinnering geldt §12 leden 1 en 2.

(4) De verwerker waarborgt overeenkomstig art. 28 lid 4 AVG dat met elke subverwerker een overeenkomst wordt gesloten die deze ten minste dezelfde privacyverplichtingen oplegt als in deze AVV zijn vastgelegd.

§10 Internationale doorgifte van gegevens

(1) Opslaglocaties: Persoonsgegevens worden uitsluitend binnen de Europese Unie opgeslagen; uitzonderingen regelt lid 2 uitputtend. Op het moment van deze overeenkomst zijn de subverwerkers als volgt geconfigureerd:

• Supabase: Frankfurt (AWS) - database, authenticatie, opslag; hoofdlocatie van alle kerngegevens
• Vercel: Frankfurt - hosting, serverless functions en gegevensopslag
• Cloudflare: EU-gegevensresidentie (Frankfurt / Cloudflare Regional Services) - API-doorgeleiding van de ouder-app en pushverzending van beide apps, alsmede opslag in Cloudflare KV (ouderwachtwoord van de voorziening, naam van de voorziening, pushtokens, apparaat-ID's met groepsindeling, de op het apparaat opgeslagen kind-identificaties (maximaal 20, zodat kindgebonden berichten alleen de apparaten van dat kind bereiken) en eventueel personeels-ID permanent; walletpassen met kindnaam tot 5 minuten); geen toegang tot de Supabase-database
• Brevo (Sendinblue): technische e-mails alsmede verzending en ontvangst in softwarefuncties - hosting OVH (Frankrijk en Duitsland), gegevensopslag Google Cloud (België)
• Sentry: Frankfurt - foutbewaking en session replay van de webapplicatie (gemaskeerd)
• Zoho: Nederland - e-mailbox
• Google Cloud (Vertex AI / Gemini Enterprise Agent Platform): EU-multiregio-eindpunt (aiplatform.eu.rep.googleapis.com) - alle AI-gegevensstromen behalve de beeldgeneratie, uitsluitend bij ingeschakelde AI-functies (bijlage C)

De personeels-app stuurt haar verzoeken rechtstreeks naar de applicatie (Vercel, Frankfurt). Meldingen uit beide apps (afmeldingen, maaltijdafmeldingen, ophaalmeldingen, tijden, in- en uitchecken, ziekmeldingen, chatberichten) worden uitsluitend binnen Duitsland overgedragen aan Supabase.

(2) Uitzonderingen: De volgende gegevensstromen kunnen om systeemtechnische redenen via infrastructuur buiten de EU verlopen:

• Pushmeldingen van de ouder-app en de personeels-app - via de Apple Push Notification service (APNs), Firebase Cloud Messaging (FCM) en de orkestratielaag Expo, geactiveerd via de Cloudflare-pushworker. Dwingend voorgeschreven door de platforms Apple/iOS en Google/Android; aflevering uitsluitend via EU-infrastructuur is niet mogelijk. Berichtinhoud verloopt daar uitsluitend in transit en wordt niet blijvend opgeslagen; de pushtokens slaan de diensten op voor de duur van hun geldigheid (bijlage 2A §4). De inhoudelijke gegevens blijven in Supabase Frankfurt. Pushtypen en -inhoud: bijlage 2A §2 en bijlage 2B §2
• Walletkaarten (digitale ophaalkaarten voor iOS/Android) - voor zover de walletdiensten van Apple/Google bij de weergave zijn betrokken; eveneens door de platforms voorgeschreven (bijlage 2A)
• Optionele AI-beeldgeneratie (afbeeldingen voor de website, terminallogo, voorbeeldbeelden van gevarenthema's) - wereldwijd Vertex-eindpunt, omdat Google beeldmodellen niet op de EU-multiregio aanbiedt; voor deze stroom bestaat daarom geen EU-residentiegarantie. Uitsluitend beeldbeschrijvingen zonder persoonsgebondenheid worden doorgegeven (stijl- en vormgevingsaanduidingen, naam van de voorziening, beschrijving van voorwerpen); foto's, namen, identificaties en beschrijvingen van personen worden niet doorgegeven. Bij de beeldgenerator met een niet-EU-model gaan bovendien vrije tekst en referentiebeelden van de gebruiker daarheen, die geen persoonsgegevens mogen bevatten (bijlage C §3 nr. 19). Doorgiftegrondslag: standaardcontractbepalingen ten opzichte van Google; het EU-VS Data Privacy Framework is van toepassing voor zover de verwerking in de VS plaatsvindt. Afzonderlijk uitschakelbaar; details in bijlage C
• Websites van de voorzieningen (Cloudflare Pages) - openbaar toegankelijke inhoud wordt wereldwijd geleverd; de inhoud wordt bepaald door de verwerkingsverantwoordelijke

Het kernproduct heeft geen van deze stromen nodig. De verwerkingsverantwoordelijke kan deze alsmede de overige AI-functies op elk moment uitschakelen of niet inzetten.

(3) Geen doorgifte naar derde landen voor het overige: Op het moment van het sluiten van de overeenkomst bestaat - behalve volgens lid 2 - geen actieve gegevensoverdracht naar derde landen in de zin van art. 44 AVG die gericht is op duurzame opslag buiten de EU. De DPF- en SCC-grondslagen volgens lid 4 en lid 5 bieden bescherming ten opzichte van de Amerikaanse moedermaatschappijen van de ingeschakelde cloudaanbieders en tegen mogelijke toegang op grond van Amerikaans recht (met name de CLOUD Act), voor de beeldgeneratie tevens voor de verwerking op het wereldwijde eindpunt.

(4) Toezicht op de doorgiftegrondslag: De verwerker houdt voortdurend toezicht op de geldigheid van het EU-VS Data Privacy Framework (uitvoeringsbesluit (EU) 2023/1795). Gegevensoverdrachten resp. mogelijke toegangsmogelijkheden in de VS worden op dit moment bij de volgende subverwerkers (mede) op grond van het DPF gewaarborgd:

• Vercel Inc. (hosting / serverless functions - bijlage 1)
• Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging - bijlage 2A; Vertex AI / Gemini Enterprise Agent Platform bij ingeschakelde AI-functies, inclusief de beeldgeneratie op het wereldwijde eindpunt - bijlage 1 en bijlage C; opslag van technische e-mails bij Google Cloud België via Brevo - bijlage 1)
• Cloudflare Inc. (API-transit en Cloudflare KV van de ouder-app, EU-gegevensresidentie - bijlage 2A)
• Functional Software, Inc. (Sentry, foutbewaking en session replay, EU-regio Frankfurt - bijlage 1)
• Apple Inc. (Apple Push Notification service, uitsluitend transit, bijlage 2A): DPF-certificering van Apple Inc.; geen art. 28-overeenkomst en geen APNs-specifieke SCC's, zie bijlage 2A §4 en §5

(5) Terugval op standaardcontractbepalingen: Voor de bovengenoemde diensten met uitzondering van Apple (APNs) bestaan aanvullend standaardcontractbepalingen (SCC's) overeenkomstig uitvoeringsbesluit (EU) 2021/914 als zelfstandige doorgiftegrondslag overeenkomstig art. 46 lid 2 sub c AVG. Bij wegvallen, opschorting of ongeldigverklaring van het EU-VS DPF schakelt de verwerker bij deze diensten de doorgiftegrondslag zonder onderbreking van de dienst over op de SCC's en informeert hij de verwerkingsverantwoordelijke daarover onverwijld, uiterlijk binnen 30 dagen na kennisname. Voor APNs biedt Apple geen SCC's aan; iOS-push kan in dat geval worden uitgeschakeld zonder het kernproduct te beïnvloeden. Voor Supabase Inc. gelden standaardcontractbepalingen (2021/914).

(6) Aanvullende beschermingsmaatregelen (transfer impact assessment): In overeenstemming met de aanbevelingen 01/2020 van het EDPB worden de volgende aanvullende technische en organisatorische beschermingsmaatregelen toegepast:

• transportversleuteling (TLS 1.2/1.3) voor alle gegevensoverdrachten
• geen opslag van persoonsgebonden kerngegevens buiten de EU (opslaglocaties volgens lid 1, uitzonderingen volgens lid 2)
• pseudonimisering, voor zover technisch mogelijk (bijv. kindcodes in plaats van volledige namen in de ouder-app)
• gegevensminimalisatie tot het voor het betreffende doel strikt noodzakelijke niveau; AI-beeldprompts zonder persoonsgebondenheid (bij de beeldgenerator een verplichting van de gebruikers volgens bijlage C §3 nr. 19); bij de overige AI-functies kenmerken in plaats van namen volgens het gekozen AI-privacyniveau (bijlage C)
• pushpayload afhankelijk van het type (bijlage 2A §2 en bijlage 2B §2). Vrije tekst mag volgens het beoogde gebruik geen gevoelige gegevens over kinderen bevatten, maar organisatorische aanduidingen en, bij het personeel, gegevens over werktijden. Gecontroleerd worden uitsluitend berichten aan groepen en aan een gezin uit de webapp, directe berichten aan een medewerker en, indien ingeschakeld, teamchatberichten uit de personeels-app door de AI-gegevenswaakhond (bijlage C §3 nr. 18); anders vindt geen technische filtering plaats
• foutgebeurtenissen zonder chat-/prompt-/audio-inhoud en gemaskeerde session replay in de EU-regio Frankfurt (§5 nr. 9)

(7) Escalatie bij wegvallen ook van de SCC's: Indien ook de standaardcontractbepalingen bij arrest van het Hof van Justitie of een bindend besluit van een toezichthoudende autoriteit als onvoldoende worden aangemerkt, neemt de verwerker ten minste één van de volgende maatregelen en informeert hij de verwerkingsverantwoordelijke met een voorlooptijd van ten minste 14 dagen:

• migratie naar een in de EU gevestigde vervangende aanbieder, voor zover technisch en economisch beschikbaar
• uitschakeling van de betrokken dienst, voor zover technisch redelijk - betreft met name optionele functies van de ouder-app (pushmeldingen, walletitems) alsmede afzonderlijke AI-gegevensstromen, inclusief de beeldgeneratie (noodschakelaar, bijlage C)
• implementatie van verdere beschermingsmaatregelen (bijv. clientzijdige versleuteling), voor zover dit de dienst functioneel houdt

(8) Gevolgen voor het kernproduct: De gegevenslocatie van het kernproduct wordt door een wegvallen van het EU-VS DPF niet geraakt - alle persoonsgebonden kerngegevens blijven op hun opslaglocatie volgens lid 1. Uitsluitend de juridische doorgiftegrondslag wordt geraakt voor die dienstverleners wier moedermaatschappij in de VS is gevestigd (concreet: Vercel Inc., Supabase Inc., Functional Software, Inc. en Google). Voor deze zouden de SCC's als doorgiftegrondslag gelden (zie lid 5), zonder dat de fysieke opslaglocatie of de dienstverlening wordt onderbroken. Mochten ook de SCC's door uitspraak of bestuurlijk besluit als onvoldoende worden aangemerkt, zou de verwerker overstappen naar in de EU gevestigde vervangende aanbieders zonder Amerikaanse moedermaatschappij. De pushfunctionaliteit van de ouder-app en de personeels-app (FCM, APNs, Expo) en de optionele AI-beeldgeneratie kunnen in zo'n scenario worden uitgeschakeld zonder het kernproduct te beïnvloeden.

§11 Aansprakelijkheid

De aansprakelijkheid van de partijen richt zich naar de wettelijke bepalingen van de AVG, in het bijzonder art. 82 AVG. Elke partij is aansprakelijk voor schade die wordt veroorzaakt door een haar toe te rekenen inbreuk op de AVG. De verwerker is aansprakelijk voor de schuld van zijn medewerkers en van de door hem ingeschakelde subverwerkers alsof het zijn eigen schuld betreft.

§12 Totstandkoming van de overeenkomst en bevestiging

(1) De overeenkomst komt tot stand door een actieve bevestiging (vinkje) in het geauthenticeerde account van de contracterende persoon. Contracterende persoon is de in het betreffende account aangemelde persoon die voor de verwerkingsverantwoordelijke handelt. Wie contractpartij is, richt zich naar de koppeling van de voorziening:

• Voorziening gekoppeld aan een träger: uitsluitend de träger is contractpartij en verwerkingsverantwoordelijke in de zin van art. 4 nr. 7 AVG. De in het trägerconto aangemelde persoon bevestigt met een niet te omzeilen vinkje in de beheeromgeving (desktop). Check-in-terminals tonen deze dialoog niet. De kinderopvangleiding van de gekoppelde voorziening kan eenmalig worden verzocht kennis te nemen van de documenten; dat is geen tweede contractpartij en geen aanvaarding van deze AVV. Latere updates van de documenten verschijnen daar uitsluitend als melding, zonder blokkade.
• Voorziening zonder trägerkoppeling: de kinderopvangleiding bevestigt in het beheer voor de verwerkingsverantwoordelijke. De acceptatiedialoog verschijnt alleen in dit geval in de kinderopvangbeheeromgeving, eveneens niet op check-in-terminals.

Elke contractbevestiging en elke kennisname wordt opgeslagen met naam, e-mail, rol (trägerconto resp. kinderopvangleiding), soort handeling (overeenkomst of kennisname), tijdstempel, het versienummer van deze AVV inclusief de bijlagen (bijlage 1, bijlage 2A, bijlage 2B, bijlage 3, bijlage 4, bijlage 5, bijlage 6, bijlage C) en de eerder bevestigde versie.

(2) Op de dag van beschikbaarstelling van een nieuwe versie en bij elke bevestiging volgens lid 1 ontvangt de contracterende persoon per e-mail de volledige documenten: deze AVV inclusief alle bijlagen met het betreffende versienummer en, na bevestiging, de bevestigingsgegevens (naam, e-mail, rol, tijdstempel). Daarnaast bevatten de e-mails downloadlinks naar dezelfde versies. Dezelfde versie kan op elk moment op de website worden gedownload, bekeken en opgeslagen (afdrukfunctie). Een afzonderlijke postale retourzending vindt niet plaats. Openstaande bevestigingen en gewijzigde versies worden in het dashboard van de contracterende persoon getoond (träger-dashboard bij trägerkoppeling, anders kinderopvangbeheer) en bij de volgende aanmelding in de beheeromgeving voorgelegd. Staat de bevestiging na twee weken nog uit, dan volgt een herinnering per e-mail. Verdere herinneringsmails vinden niet plaats. Gekoppelde voorzieningen blijven in de tussentijd bruikbaar.

(3) Essentiële wijzigingen van deze AVV inclusief de bijlagen (nieuwe gegevenspunten, nieuwe functie met gegevensverzameling, andere dan de reeds goedgekeurde infrastructuur alsmede overige wijzigingen die niet onder lid 4 vallen) worden aan de contracterende persoon in het dashboard getoond en op de dag van beschikbaarstelling per e-mail toegezonden, in de regel minstens 14 dagen vóór de voorziene ingangsdatum. De betrokken functie resp. de gewijzigde verwerking blijft technisch geblokkeerd totdat de contracterende persoon via een vinkje heeft ingestemd. De overige software blijft bruikbaar; persoonsgegevens stromen pas na deze bevestiging naar de nieuwe verwerking. Tot die tijd blijft de eerder bevestigde versie bepalend. Betreft de wijziging een nieuwe of vervangen subverwerker, dan geldt daarnaast de technische blokkade volgens §9 lid 2.

(4) Geen updateprocedure (geen vinkje, geen e-mail, onmiddellijk bepalend) geldt voor:

• Verduidelijkingen van de beschrijving in deze AVV en de bijlagen: formuleringen die een reeds overeengekomen verwerking nauwkeuriger omschrijven (bijvoorbeeld het benoemen van concrete velden, opslaglocaties of processen die al voorwerp van de overeenkomst zijn), alsmede het corrigeren van schrijffouten en verwijzingen. Verduidelijkingen wijzigen noch het voorwerp, het doel, de soort gegevens of de kring van betrokkenen, noch de subverwerkers, opslaglocaties, het beveiligingsniveau van de TOM's of de rechten en plichten van de partijen. Elke verduidelijking wordt met datum gedocumenteerd; de telkens geldende versie is opvraagbaar onder /nl/dpa.
• TOM-aanpassingen volgens §5, die geen nieuwe persoonsgegevens verzamelen en op dezelfde reeds goedgekeurde infrastructuur draaien

Zodra een verduidelijking of TOM-aanpassing nieuwe gegevenspunten, een nieuwe functie met gegevensverzameling of andere infrastructuur betreft, geldt lid 3.

(5) Het vinkje in het systeem is de standaardprocedure voor lid 1 en lid 3. Een handgeschreven handtekening is niet vereist (art. 28 lid 9 AVG). De elektronische bevestiging, inclusief de e-mail volgens lid 2, voldoet aan de schriftelijke vorm van §13 lid 1.

§13 Slotbepalingen

(1) Wijzigingen en aanvullingen van deze overeenkomst vereisen de schriftelijke vorm; deze wordt overeenkomstig §12 lid 5 gewaarborgd. De procedure en uitzonderingen regelt §12 leden 3 en 4.

(2) Indien een bepaling van deze overeenkomst onverbindend is, blijft de overeenkomst voor het overige geldig. De onverbindende bepaling wordt vervangen door een geldige bepaling die het economische doel van de onverbindende bepaling het dichtst benadert.

(3) Het recht van de Bondsrepubliek Duitsland is van toepassing. Bevoegde rechter is Kaiserslautern.

(4) Bij tegenstrijdigheden tussen deze overeenkomst en de gebruiksvoorwaarden gaan voor vragen over de verwerking van persoonsgegevens de bepalingen van deze overeenkomst voor.

(5) De Engelse versie is bindend; vertalingen in andere talen dienen uitsluitend ter verduidelijking.

Bijlage 1: Subverwerkers

De verwerker schakelt de volgende subverwerkers in. Met elk bestaat een afzonderlijke verwerkersovereenkomst (DPA). Persoonsgebonden kerngegevens worden niet blijvend buiten de EU opgeslagen. Voor de uitzondering van de optionele AI-beeldgeneratie (wereldwijd eindpunt) zie bijlage C §1 lid 2.

Banken waarvan de verwerkingsverantwoordelijke de rekeningen koppelt voor het ophalen van rekeningtransacties (§2, bankkoppeling), zijn contractpartner van de verwerkingsverantwoordelijke en geen subverwerkers. De betaling van de gebruiksvergoeding per creditcard wordt afgehandeld door Stripe Payments Europe, Ltd. (Ierland); Stripe ontvangt daarbij uitsluitend contract- en betalingsgegevens van de klant, geen gegevens die in opdracht worden verwerkt, en is geen subverwerker.

Stand: oktober 2026. Nieuwe of vervangen subverwerkers worden overeenkomstig §9 lid 2 pas ingezet nadat de overeenkomst is gelezen en door de contracterende persoon via een vinkje is bevestigd.

Toelichting bij de keuze van de subverwerkers (art. 32 AVG - risicoafweging)

De keuze voor Supabase (database, authenticatie, opslag) en Vercel (hosting, serverless functions) als centrale infrastructuurleveranciers - beide technisch opgezet op AWS Frankfurt (eu-central-1) - is het resultaat van een zorgvuldige afweging tussen privacyeisen en operationele betrouwbaarheid overeenkomstig art. 32 lid 1 AVG. Bepalend waren de volgende criteria:

• Beschikbaarheid en uptime: meerdere AWS-availability zones binnen de regio Frankfurt; SLA-toezeggingen van de aanbieders in het bereik van 99,9 %; geautomatiseerde failover zonder handmatig ingrijpen
• Ondersteuning: 24/7-bereikbaarheid bij kritieke incidenten; beproefde incident-responseprocessen; gedocumenteerde escalatiewegen
• Beveiliging: SOC 2 Type II, ISO 27001, continu patchmanagement, regelmatige penetratietests, row-level security als native databasefunctie (Supabase), DDoS-bescherming aan de rand van het netwerk (Vercel)
• Beproefd gebruik: langjarig, breed productiegebruik; voortdurende doorontwikkeling; stabiele cycli van releases en beveiligingsupdates

Beoordeelde alternatieven en redenen van afwijzing:

• Self-hosting op eigen hardware of bij gespecialiseerde Duitse datacenters: verhoogt het operationele risico (vertraging bij patches, geen 24/7-operationsteam, puntsgewijze storingsbestendigheid); formeel AVG-conform, maar in de praktijk qua beschermingsniveau ondergeschikt aan de AWS-Frankfurt-stack, niet superieur
• Kleinere Duitse/Europese hostingpartijen: bieden EU-lokalisatie, maar niet hetzelfde niveau aan managed services (auth, realtime, edge functions). Eigen ontwikkeling van deze componenten zou het beveiligingsrisico verhogen, niet verlagen
• Open Telekom Cloud / T-Systems: technisch haalbaar, maar zonder het volledige managed-servicepakket; migratie- en beheerinspanning onevenredig ten opzichte van de juridisch reeds afgedekte huidige situatie

De gekozen combinatie waarborgt een beschermingsniveau dat past bij het risico volgens art. 32 AVG (bescherming tegen verlies, vernietiging en ongeoorloofde openbaarmaking), met behoud van de EU-lokalisatie (Frankfurt). Het resterende risico ten aanzien van de Amerikaanse moedermaatschappijen is juridisch afgedekt door DPF/SCC's (§10 lid 4-5) en technisch door de in §5 beschreven maatregelen.

Bijlage 2A: Aanvulling - ouder-app (iOS/Android)

De volgende aanvulling regelt de verwerking in opdracht in het kader van de optionele ouder-app (iOS/Android). Zij geldt indien de verwerkingsverantwoordelijke de ouder-app inzet als uitbreiding van het kernproduct; de app is geen voorwaarde voor het gebruik van het kernproduct. De verwerker stelt binnen de ouder-app een toestemmingsvraag over de privacyverklaring en de gebruiksvoorwaarden van de app beschikbaar. Het waarborgen van een daarnaast geldende rechtsgeldige toestemming overeenkomstig art. 6 lid 1 sub a, art. 7 AVG ligt binnen de verantwoordelijkheid en het oordeel van de verwerkingsverantwoordelijke. §4 en §5 van deze bijlage (pushdiensten, wallet, subverwerkers, internationale doorgifte) gelden ook voor de personeels-app (bijlage 2B).

§1 Vrijwilligheid en rechtsgrondslag

(1) Het gebruik van de ouder-app is vrijwillig en geen voorwaarde voor het gebruik van de opvangdiensten. Niet-gebruik heeft geen enkele gevolgen voor het opvangcontract of de kwaliteit van de opvang.

(2) Alle informatie die via de app wordt verstrekt, is ook langs andere weg beschikbaar (bijv. aanplakbiljet, persoonlijk gesprek).

(3) De rechtsgrondslag van de verwerking via de ouder-app bepaalt de verwerkingsverantwoordelijke (bijvoorbeeld een toestemming overeenkomstig art. 6 lid 1 sub a, art. 7 AVG). Steunt hij op een toestemming, dan is intrekking ervan te allen tijde zonder nadelen mogelijk. Ongeacht dit stemmen verzorgers in de app in met de privacyverklaring en gebruiksvoorwaarden van de app; pushmeldingen ontvangen zij alleen na eigen toestemming op het apparaat.

§2 Soort en doel van de verwerking

De verwerking omvat:

• pushmeldingen via iOS/Android (soorten zie hieronder)
• afmeldingen, maaltijdafmeldingen, ophaalmeldingen
• enquêtestemmen (één stem per apparaat; apparaat-ID uitsluitend ter voorkoming van dubbele stemmen)
• weergave van het kinderdagboek en het groepsrapport
• walletitem (digitale ophaalkaart)
• weergave van de ophaalbevoegde personen (naam, relatie) op elk apparaat waarop de kindcode is opgeslagen, en melding van een ophalende persoon (ook van een nieuwe persoon, die pas na bevestiging per e-mail wordt opgeslagen; bijlage 5 §3)
• oudercontactverzoeken en keuze van een voorgestelde afspraak
• afspraken van de voorziening met aan- of afmelding per kind
• weergave van de vrijgaven van het eigen kind (zonder wijzigingsmogelijkheid)
• weergave van openstaande betalingsposten met ontvangerrekening en GiroCode, bevestiging van deelname, melding "overgemaakt"; herinneringen als lokale melding van het apparaat
• blogberichten van de voorziening

Niet verwerkt: in- en uitchecktijden van kinderen. Deze worden uitsluitend op het terminal in de kinderopvang vastgelegd.

Gegevenszuinigheid: De ouder-app is zo ingericht dat zo weinig mogelijk gegevens worden verwerkt. Ouders maken geen gebruikersaccount aan en vullen geen eigen namen of contactgegevens in. Geeft een ouder een nieuwe ophaalbevoegde persoon op, dan worden diens naam en relatie tot het kind doorgegeven. De app verzamelt geen locatiegegevens, heeft geen toegang tot foto's, contacten of microfoon en bevat geen analyse- of trackingtools; de camera dient uitsluitend voor het scannen van de kindcode. Inhoudelijke gegevens worden niet op het apparaat opgeslagen, maar bij elke oproep uit de EU-database geladen. Op het apparaat blijven alleen de toegang tot de voorziening, de kindcodes en de eigen reacties, alsmede voor de weergave van de kalender offline de sluitingsdagen en sluitingen van de voorziening en haar berichten met datum vanaf de lopende maand (titel, tekst, groep). Gebruiken verzorgers de app in een andere taal, dan worden inhouden van de voorziening (berichten, blog, dagboekvermeldingen, maaltijdplan) op het apparaat vertaald (Apple Translation resp. Google ML Kit, zonder doorgifte aan derden) en de vertalingen op het apparaat opgeslagen (maximaal 500 items). De webweergave van de ouder-app toont alleen het verkeerslicht, berichten van de voorziening en de status van de kinderopvang; zij wordt geleverd door de applicatie (Vercel, Frankfurt, bijlage 1).

Pushmeldingen: Alle soorten lopen als Expo-push via de Cloudflare-pushworker. De inhoudelijke gegevens blijven opgeslagen in Supabase Frankfurt. Zonder transit via APNs, FCM en Expo is aflevering op iOS en Android niet mogelijk. Berichtinhouden worden bij de pushdiensten niet blijvend opgeslagen (uitsluitend transit van de aflevering). Een technische filtering van vrije tekst vindt niet plaats.

(1) Groepsbericht. Ontvangers: apparaten van de ouder-app van de voorziening, gefilterd op de bij de registratie vastgelegde groepen. Berichten voor de hele voorziening gaan naar alle geregistreerde apparaten van de voorziening. Inhoud: titel = titel van het bericht, tekst = tekst van het bericht, telkens zoals door het personeel opgesteld; de titel wordt voorafgegaan door de naam van de voorziening. Volgens het beoogde gebruik organisatorische aanduidingen, geen gevoelige gegevens over kinderen.

(2) Verkeerslicht-statuswijziging. Ontvangers: apparaten van de ouder-app en de personeels-app. Alleen bij overgang naar geel (vaste tekst: "Kita nah am Limit") of rood (vaste tekst: "Kita voll ausgelastet"). Bij groen volgt geen push. Op sluitingsdagen en buiten de openingstijd onderdrukt. De voorziening kan geel en rood voor de ouder-app afzonderlijk uitschakelen (standaard aan); apparaten van de personeels-app ontvangen beide altijd.

(3) Afspraakherinnering. Ontvangers: apparaten van de groep resp. van de voorziening. Inhoud: "Termin: <Titel>" resp. "Heute: <Titel>" en datum/tijd; geen namen van kinderen of groepen.

(4) Oudergesprekafspraak. Ontvangers: apparaten waarop het betreffende kind is opgeslagen. Vaste teksten zonder kind, groep, tijd of persoon.

(5) Nieuw dagboekitem. Ontvangers zoals (4). Vaste titel "Neue Notiz" resp. "Neuer Gruppenbericht", geen tekst.

(6) Betaling ontvangen. Alleen wanneer de voorziening ouderbetalingen gebruikt en de ouder-app gebruikt wordt. Ontvangers zoals (4). Inhoud: bedrag en aanduiding van de aanleiding; geen naam van het kind.

(7) Bericht aan een gezin. Ontvangers zoals (4). Vaste titel "Neue Nachricht" met de naam van de voorziening, geen tekst; de inhoud haalt de app uit de EU-database. De antwoordacties (bijlage 4 §5 lid 7) lopen via de versleutelde API, niet via push.

Afmeldingen, maaltijdafmeldingen en ophaalmeldingen lopen via de versleutelde API (Cloudflare-worker in de EU naar Supabase Frankfurt), niet via de pushpayloads. Het pushbericht is de aanzet; de inhoud haalt de app uit de EU-database.

Verder gebruik door verzorgers. Inhouden die de ouder-app aan een ouder toont, worden met de weergave aan die ouder doorgegeven. Verzorgers mogen ze vrij gebruiken, ook met eigen programma's of AI-diensten; dit verder gebruik valt onder hun eigen verantwoordelijkheid, de gekozen dienst is geen subverwerker of ontvanger van de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke houdt hier rekening mee bij inhouden voor verzorgers (bijlage 4 §3 lid 4 en §5).

§3 Soorten verwerkte gegevens

• Gepseudonimiseerde kind-ID (kindcode), voorziening-ID
• Afmeldingen (kind, datum; de app vraagt geen reden)
• Maaltijdafmeldingen, ophaalmeldingen (met optionele notitie)
• Enquêtestemmen met apparaat-ID (doel: één stem per apparaat)
• Kinderdagboekitems over het eigen kind en groepsrapporten (alleen weergave)
• Walletophaalkaart: naam resp. bijnaam van het kind, kindcode, voorziening, adres, groep
• Pushtokens van de apparaten (gepseudonimiseerd) met groepsindeling en opgeslagen kind-identificaties
• Pushpayloads volgens de soorten (1) tot en met (7) in §2
• Ophaalpersonen (naam, relatie), oudercontactverzoeken (onderwerp, keuze van afspraak), afspraakreacties, deelname- en betalingsmeldingen, vrijgaven (alleen weergave)

§4 Subverwerkers (ouder-app en personeels-app)

Voor de ouder-app en de personeels-app worden de volgende aanvullende subverwerkers ingezet. Met Cloudflare, Expo en Google (Firebase Cloud Messaging) bestaat telkens een afzonderlijke verwerkersovereenkomst (DPA). Met Apple bestaat voor de Apple Push Notification service geen DPA; hiervoor geldt de Apple Developer Program License Agreement inclusief Attachment 1.

Aanwijzing bij Apple (APNs): Apple biedt voor de Apple Push Notification service geen verwerkersovereenkomst volgens art. 28 AVG en geen APNs-specifieke standaardcontractbepalingen aan. De contractuele grondslag is de Apple Developer Program License Agreement inclusief Attachment 1 (Additional Terms for Apple Push Notification Service and Local Notifications). Een Schedule 4 met privacyinhoud bestaat in de huidige DPLA niet. Apple Inc. is gecertificeerd onder het EU-U.S. Data Privacy Framework. APNs is platforminfrastructuur van iOS; zonder deze weg is iOS-push niet mogelijk.

APNs, FCM en Expo hebben geen contact met de Supabase-database van de hoofdapplicatie. Berichtinhouden worden daar niet blijvend opgeslagen. Wat Cloudflare in Cloudflare KV (EU-gegevensresidentie) opslaat, staat in §10 lid 1; Cloudflare heeft geen toegang tot de Supabase-database. Indien de verwerkingsverantwoordelijke of de verzorgers pushmeldingen en walletitems niet inschakelen, vervalt de inzet van Expo (650 Industries Inc.), Firebase Cloud Messaging (Android) en Apple Push Notification service (iOS) als subverwerker. Voorwaarde hiervoor is dat het toestemmingsverzoek voor pushdiensten (iOS/Android) op het eindapparaat wordt geweigerd. De KV-opslag van het ouderwachtwoord blijft bestaan zolang de ouder-app voor de voorziening is ingeschakeld.

Toelichting bij de aanduiding "alleen transit" in de tabel: De bij Apple Push Notification Service (APNs), Firebase Cloud Messaging (FCM) en Expo vermelde eigenschap "alleen transit" heeft betrekking op de berichtinhouden (pushpayload, walletinhoud); deze worden bij de pushdiensten niet blijvend opgeslagen, maar uitsluitend voor de duur van de aflevering verwerkt (in geheugen- resp. wachtrijstructuren, niet in databases). De apparaattokens zelf (APNs-apparaattokens, FCM-registratietokens, ExpoPushTokens) worden bij de betreffende pushdiensten voor de duur van de tokengeldigheid verwerkt en opgeslagen, omdat aflevering anders om systeemtechnische redenen niet mogelijk zou zijn. Deze tokenopslag maakt deel uit van de platforminfrastructuur en is geen inhoud van de eigenlijke verwerking in opdracht van de kinderopvanggegevens.

Geen technische alternatieven: Een uitsluitend in de EU gevestigde of aanbieder-onafhankelijke pushinfrastructuur voor iOS en Android bestaat op platformniveau niet. APNs is de enige toegestane aflevermethode voor iOS-push, FCM de enige toegestane aflevermethode voor Android-push. Het verplaatsen van deze diensten naar EU-infrastructuur of het vermijden van tokenopslag bij de pushdiensten is op applicatieniveau noch instelbaar noch te voorkomen. Expo wordt uitsluitend ingezet als orkestratielaag tussen de app en APNs/FCM, om een platformonafhankelijke implementatie mogelijk te maken.

Handmatige toestemming van de gebruiker (opt-in): De verwerking door APNs, FCM en Expo vindt uitsluitend plaats op grond van een uitdrukkelijke, handmatige activering van de pushtoestemming door de betreffende gebruiker via de toestemmingsvraag van het besturingssysteem (iOS/Android). Dit geldt voor verzorgers in de ouder-app en voor medewerkers in de personeels-app. Wie de personeels-app downloadt en de toestemming op het apparaat verleent, geeft daarmee opnieuw toestemming voor aflevering op dat apparaat. Weigert de gebruiker de toestemming of trekt hij die later in de apparaatinstellingen in, dan vervalt elke verdere tokengeneratie en -doorgifte aan de genoemde subverwerkers. De opslag van de inhoudelijke gegevens blijft in Supabase Frankfurt; de transit via APNs, FCM en Expo is voor de aflevering op iOS en Android technisch niet anders mogelijk.

Aanwijzing over de rol van Cloudflare: Cloudflare bemiddelt API-verzoeken van de ouder-app en de pushverzending van beide apps (edge-routing, TLS-terminatie, DDoS-bescherming) en slaat in Cloudflare KV met EU-gegevensresidentie de in §10 lid 1 genoemde gegevens op. Kinderdagboek en groepsrapport worden via Cloudflare naar de ouder-app doorgeleid en daar niet opgeslagen. Cloudflare heeft geen toegang tot de Supabase-database van de verwerker. API-transit en KV zijn op de EU geconfigureerd (Cloudflare Regional Services / Frankfurt).

§5 Internationale doorgifte van gegevens

(1) De doorgifte aan Cloudflare, Expo en Google (Firebase Cloud Messaging) vindt plaats op grond van het adequaatheidsbesluit van de Europese Commissie overeenkomstig art. 45 AVG (EU-U.S. Data Privacy Framework, uitvoeringsbesluit (EU) 2023/1795), voor zover de betreffende aanbieder gecertificeerd is. Aanvullend zijn met deze aanbieders standaardcontractbepalingen overeenkomstig art. 46 lid 2 sub c AVG (uitvoeringsbesluit (EU) 2021/914) gesloten.

(2) Voor APNs geldt het EU-U.S. Data Privacy Framework, voor zover Apple Inc. gecertificeerd is. Apple sluit voor APNs geen standaardcontractbepalingen. Het Developer Program License Agreement inclusief Attachment 1 is van toepassing.

(3) De verwerker controleert regelmatig de geldigheid van het EU-U.S. Data Privacy Framework. Bij wegvallen zet hij de doorgiftegrondslag bij de aanbieders met overeengekomen standaardcontractbepalingen onverwijld over op deze bepalingen als enige doorgiftegrondslag. Voor APNs vervalt in dat geval de DPF-grondslag; iOS-push kan dan worden uitgeschakeld zonder het kernproduct te beïnvloeden (§10 lid 8).

§6 Verwijzing

Voor het overige gelden de bepalingen van de verwerkersovereenkomst.

Stand: oktober 2026.

Bijlage 2B: Aanvulling - personeels-app (iOS/Android)

De volgende aanvulling regelt de verwerking in opdracht in het kader van de optionele personeels-app voor medewerkers van de voorziening. Zij geldt indien de verwerkingsverantwoordelijke de personeels-app inzet. Voor pushdiensten, wallet, subverwerkers en internationale doorgifte gelden §4 en §5 van bijlage 2A.

§1 Rechtsgrondslag en vrijwilligheid

(1) De verwerking vindt plaats in het kader van het arbeidsrechtelijke dienstverband tussen de verwerkingsverantwoordelijke en zijn medewerkers. De verwerkingsverantwoordelijke waarborgt de rechtsgrondslag, met name overeenkomstig art. 6 lid 1 sub b en c AVG, art. 9 lid 2 sub b AVG voor ziekmeldingen, een ondernemings- of dienstovereenkomst overeenkomstig art. 88 AVG resp. het nationale recht van de lidstaat van de verwerkingsverantwoordelijke.

(2) Het gebruik van de personeels-app is voor de medewerkers vrijwillig. De arbeidstijd in de voorziening wordt op het terminal geregistreerd; afwezigheden en mededelingen zijn ook zonder app mogelijk. Uit het niet-gebruik mogen geen nadelen voortvloeien.

§2 Soort en doel van de verwerking

• Eigen werktijden en tijdsaldo; thuiswerk-check-in met werkcategorie; aanvragen tot aanpassing
• Afwezigheids- en ziekmeldingen
• Dagplanning van het team
• Interne personeelschat, prikbord en enquêtes; berichten aan ouders (na opnieuw invoeren van het wachtwoord)
• Postvak: directe berichten van de leiding aan één persoon, antwoorden op verzoeken over de werktijd en eigen aankomende personeelsafspraken
• Walletpersoneelsbadge
• Pushmeldingen: verkeerslicht (bijlage 2A §2) alsmede teamchat, oproepen, automatische aanwijzingen, afspraakherinneringen, postvak, bevestiging van de werktijd en einde van de opvangtijd (zie hieronder)

Gegevenszuinigheid: De personeels-app is zo ingericht dat zo weinig mogelijk gegevens worden verwerkt. Zij verzamelt geen locatiegegevens, heeft geen toegang tot foto's, contacten of microfoon en bevat geen analyse- of trackingtools; de camera dient uitsluitend voor het scannen van de eigen QR-code bij het aanmelden. Wat de app over kinderen toont, richt zich naar de privacymodus (§4 lid 1a): in de modus "Privételefoons" toont zij geen stamgegevens van kinderen, over kinderen alleen tellingen; in de modus "Dienstapparaten" mag zij namen van kinderen uit de eigen groep tonen, voor zover een functie dat nodig heeft. Kindcodes toont zij in geen enkele modus. Vrije teksten van collega's of de leiding en het door ouders genoemde onderwerp van een oudergesprek kunnen in beide modi gegevens over kinderen bevatten. Inhoudelijke gegevens worden niet op het apparaat opgeslagen, maar bij elke oproep uit de EU-database geladen; op het apparaat blijven alleen de sessietokens in de beveiligde apparaatopslag. Een sessie geldt maximaal 30 dagen.

Gegevensroute: Verzoeken van de personeels-app gaan versleuteld rechtstreeks naar de applicatie (Vercel, Frankfurt, bijlage 1) en vandaar naar Supabase Frankfurt, niet via Cloudflare. Pushberichten lopen via de Cloudflare-pushworker (bijlage 2A).

Teamchat, oproepen en aanwijzingen. Ontvangers zijn uitsluitend apparaten van de personeels-app. De verwerkingsverantwoordelijke kan de teamchat in de personeels-app uitschakelen (standaard aan).

• Chatpush: titel = naam van de schrijvende persoon, tekst = chattekst (ingekort). Ontvangers afhankelijk van de markering: het hele team, het personeel van een groep of de genoemde personen; zonder markering geen push. Hieronder vallen ook bijdragen die de leiding via de autopiloot bevestigt.
• Tijdcorrecties uit de personeels-app gaan als aanvraag tot aanpassing naar de leiding, niet naar de teamchat; de functie bestaat alleen wanneer in- en uitstempelen in de app is ingeschakeld.
• Oproepen: push "<Name> ruft Sie" met reden, uitsluitend naar de opgeroepen, ingecheckte persoon.
• Automatische aanwijzingen (afzender "Automatischer Hinweis"), per regel in de chatinstellingen in en uit te schakelen. Standaardinstellingen: pauzeverplichting uit, "Tages-Arbeitszeit erreicht" aan, "geplant, aber nicht da" aan (alleen bij actieve personeelsplanning). "Nicht ausgecheckt" dient de volledige aanwezigheidsdocumentatie en is niet uitschakelbaar. De aanwijzingen noemen de betrokken persoon en zijn zichtbaar in de teamchat. De push gaat bij pauzeverplichting, "Tages-Arbeitszeit erreicht" en "Nicht ausgecheckt" uitsluitend naar de betrokken persoon; bij "geplant, aber nicht da" naar het personeel van de groep.
• Afspraakherinneringen noemen alleen soort, tijd en groep.
• Postvak: de leiding schrijft in de web-app een direct bericht aan één persoon; alleen deze leest het in de personeels-app. Verzenden en wissen vereisen het beheerswachtwoord. Geen antwoordfunctie, geen verzending per e-mail. De berichten blijven bewaard totdat de verwerkingsverantwoordelijke ze wist; een automatische verwijdering bestaat niet. Push "Neue Nachricht im Postfach" zonder afzender en zonder inhoud.
• Bevestiging van de werktijd: push aan de persoon zelf na een in-, uit- of omstempeling in de app, met gebeurtenis en tijd, zonder namen.
• Einde van de opvangtijd: vanaf 1 november 2026 eenmaal per dag kort na het einde van de openingstijd aan de personen die nog in de opvang zijn ingecheckt (niet aan de huishouding), met een vaste tekst zonder namen.

Volgens het beoogde gebruik bevatten de inhouden organisatorische en werktijdgegevens, geen gevoelige gegevens over kinderen. Teamchatberichten uit de personeels-app controleert vóór het verzenden uitsluitend de AI-gegevenswaakhond, indien de verwerkingsverantwoordelijke deze voor de teamchat heeft ingeschakeld (§4 lid 1a, bijlage C §3 nr. 18); andere vrije teksten worden technisch niet gefilterd.

Medewerkers die de personeels-app installeren, verlenen de pushtoestemming zelf op het apparaat en kunnen deze te allen tijde in de apparaatinstellingen intrekken. De opslag van de inhoudelijke gegevens blijft in Supabase Frankfurt.

§3 Soorten verwerkte gegevens

• Naam resp. afkorting, personeels-ID, aanmeldgegevens (QR-code en persoonlijk wachtwoord, sessietokens)
• Eigen werktijden en tijdsaldo, thuiswerk-check-in, aanvragen tot aanpassing
• Afwezigheids- en ziekmeldingen (reden en optionele notitie; gezondheidsgegevens volgens art. 9 AVG), ook de reden bij vroegtijdig vertrek en bij de weekvraag over minusuren; catalogus en zichtbaarheid volgens §3 van deze overeenkomst
• Dagplanning van het team: namen, diensten, pauzes en actuele aanwezigheid van de collega's; redenen voor afwezigheid alleen voor de eigen persoon, anderen verschijnen als "abwesend"
• Chatberichten (inhoud, naam resp. afkorting van de afzender), prikbordbijdragen, enquêtestemmen, berichten aan ouders
• Postvak: directe berichten van de leiding (ontvanger, titel, tekst, tijdstip)
• In de modus "Dienstapparaten": namen van kinderen uit de eigen groep, alleen voor weergave in functies die deze nodig hebben; geen opslag op het apparaat, geen doorgifte aan AI-functies
• Walletpersoneelsbadge: naam, personeels-ID, groep
• Pushtokens van de apparaten (gepseudonimiseerd, gekoppeld aan de personeels-ID); pushinhouden volgens §2
• Oproepen (oproepende en opgeroepen persoon, reden, antwoord en tijdstip), @vermeldingen
• Gevaren: notities met schrijvende persoon, waarschuwingsdriehoeken en "duim omhoog" per persoon; voorbeeldafbeelding van een thema volgens bijlage C §3 nr. 15
• Ruimtereserveringen met boekende persoon
• Kalender: afspraken van de voorziening en eigen personeelsafspraken
• Vragen aan de AI-helper, indien ingeschakeld (alleen doorgifte, geen opslag; bijlage C §3 nr. 4)

§4 Instellingen, eindapparaten en verplichtingen van de verwerkingsverantwoordelijke

(1) Instellingen. De verwerkingsverantwoordelijke bepaalt in de instellingen welke functies van de personeels-app worden gebruikt. Standaardinstellingen: personeels-app, teamchat, in- en uitstempelen in de app en berichten aan ouders aan, elk uitschakelbaar; dagplanning en teamweek alleen bij actieve personeelsplanning (standaard uit); bewaartermijn van de teamchat 1 dag (kiesbaar van 1 tot 7); automatische aanwijzingen volgens §2; AI-helper uit (bijlage C §3 nr. 4); privacymodus "Privételefoons"; AI-gegevenswaakhond in de teamchat uit. De instellingen zijn instructies in de zin van deze overeenkomst.

(1a) Privacymodus. De verwerkingsverantwoordelijke kiest voor de voorziening één van twee modi; de modus geldt voor alle apparaten waarop de personeels-app is aangemeld.

• a) Privételefoons (standaard): de app toont geen gegevens van kinderen, alleen tellingen; functies die namen van kinderen nodig hebben, zijn geblokkeerd. In vrije teksten horen geen namen of herkenbare beschrijvingen van kinderen. De verwerker raadt aan de AI-gegevenswaakhond in de teamchat in te schakelen.
• b) Dienstapparaten: de verwerkingsverantwoordelijke verklaart hiermee dat de app uitsluitend op zijn apparaten wordt gebruikt, en kiest deze modus alleen dan. De app mag namen van kinderen uit de eigen groep tonen, voor zover een functie dat nodig heeft; op het moment van deze overeenkomst doet nog geen functie dat, voorzien is in eerste instantie het verzoek voor een oudergesprek. In de teamchat mogen kinderen worden genoemd, voor zover dit voor het dagelijkse verloop nodig is; gezondheidsgegevens en gegevens over kinderbescherming of gezag horen ook hier niet thuis. De verwerker raadt de AI-gegevenswaakhond in de teamchat ook in deze modus aan.

De AI-gegevenswaakhond in de teamchat werkt in beide modi gelijk (bijlage C §3 nr. 18). Welke regels voor vrije teksten gelden, geeft de verwerkingsverantwoordelijke de medewerkers op grond van lid 4 aan.

(2) Eindapparaten. De personeels-app kan op dienstapparaten van de verwerkingsverantwoordelijke worden gebruikt en, voor zover hij dit toestaat, op privéapparaten van de medewerkers. De verwerker raadt aan de app uitsluitend op eigen dienstapparaten van de voorziening te gebruiken. De app heeft geen toegang tot privé-inhouden van het apparaat (§2). De verwerker stelt geen apparaatbeheer (MDM) beschikbaar en kan apparaten niet inzien of op afstand wissen.

(3) Privéapparaten. Staat de verwerkingsverantwoordelijke privéapparaten toe, dan legt hij vooraf de voorwaarden vast (dienstinstructie of ondernemings- resp. dienstovereenkomst). Hij waarborgt dat het gebruik vrijwillig is, dat een gelijkwaardig alternatief bestaat (terminal, dienstapparaat of melding aan de leiding) en dat uit het niet-gebruik geen nadelen voortvloeien. Het gebruik op privételefoons is daarmee een optie die de verwerkingsverantwoordelijke kan kiezen.

(4) Informatie. De verwerkingsverantwoordelijke informeert de medewerkers vóór het eerste gebruik (art. 13 AVG), met inbegrip van de gekozen instellingen, en wijst op de zorgplichten: schermvergrendeling, geen doorgifte van wachtwoord en badge, uitloggen op gedeelde apparaten, onverwijlde melding van verlies, geen gezondheidsgegevens in vrije teksten en gegevens over kinderen alleen volgens lid 1a, geen schermafbeeldingen en geen doorgifte.

(5) Gedeelde dienstapparaten. De aanmelding is persoonsgebonden en geldt tot 30 dagen; een automatische afmelding bestaat niet. De verwerkingsverantwoordelijke regelt het afmelden na het gebruik.

(6) Medezeggenschap. Afzonderlijke functies zijn geschikt om gedrag of prestaties te controleren, met name geregistreerde werktijden en tijdsaldo, dagplanning met actuele aanwezigheid, ingeschakelde automatische aanwijzingen, oproepen met antwoord, enquêtes met persoonlijke stem, een ingeschakelde AI-helper met namen voor leidinggevenden, alsmede tijdregistratie, dienstplan-AI, dagelijkse analyse, de träger-autopiloot en de aanwezigheidspatronen van de AI-functies (bijlage C §1 lid 14). Voert de verwerkingsverantwoordelijke de personeels-app of een van deze functies in, dan neemt hij de inspraakrechten van de werknemersvertegenwoordiging in acht (volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke, landenaanwijzingen in bijlage 6), sluit hij zo nodig een ondernemings- of dienstovereenkomst en stelt hij de schakelaars volgens lid 1 dienovereenkomstig in.

(7) Uitdiensttreding. Archiveert de verwerkingsverantwoordelijke een persoon, dan beëindigt de software alle sessies van die persoon (een reeds uitgegeven toegangstoken blijft maximaal 15 minuten geldig), wist diens app-wachtwoord en meldt diens apparaten af van de pushverzending; diens personeelsbadge wordt op het terminal niet meer geaccepteerd.

(8) Verlies van een apparaat. De verwerkingsverantwoordelijke vervangt in het beheer de QR-badge van de persoon; dit werkt zoals lid 7. De verwerker ondersteunt op verzoek.

(9) Vergrendelscherm. Pushinhouden kunnen op het vergrendelscherm zichtbaar zijn en in het meldingencentrum blijven staan; medewerkers kunnen het voorbeeld in de apparaatinstellingen uitschakelen.

§5 Verwijzing

Voor het overige gelden bijlage 2A §4 en §5 en de bepalingen van de verwerkersovereenkomst.

Stand: oktober 2026.

Bijlage C: Aanvulling - AI-functies

Deze aanvulling regelt de verwerking in opdracht in het kader van de AI-functies. Zij staan ter beschikking in het beheer (webapp), in het trägergedeelte, op het groepstablet (spraakinvoer) en, alleen wanneer de voorziening deze inschakelt, als AI-helper in de personeels-app; maakt iemand in de personeels-app een gevarenthema aan, dan ontstaat het voorbeeldbeeld daarvan volgens §3 nr. 15. Op de check-in-terminals zijn er geen AI-functies; in de ouder-app alleen de AI-vertaling (§3 nr. 17), en alleen wanneer de voorziening het niveau "Alle" heeft gekozen. De AI-functies kunnen afzonderlijk worden in- en uitgeschakeld; bij een uitgeschakelde functie vervallen de bijbehorende gegevensstromen. Hoeveel de AI over personen te weten komt, wordt geregeld door het AI-privacyniveau (§1 lid 5). Een träger kan functies voor alle aan hem gekoppelde voorzieningen blokkeren en het niveau naar boven begrenzen; de voorzieningen kunnen dat niet opheffen. De software is zonder AI-functies volledig bruikbaar.

§1 Gemeenschappelijke vaststellingen

De volgende vaststellingen gelden voor alle in §3 genoemde gegevensstromen, voor zover daar niet uitdrukkelijk iets anders is bepaald. Zij worden hier eenmaal vastgelegd en in de afzonderlijke stromen niet herhaald.

(1) Subverwerker: Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform). De contractuele grondslag is het Vertex AI Data Processing Addendum. Authenticatie verloopt zonder API-sleutels via Workload Identity Federation (Vercel OIDC); lokale ontwikkeling via Application Default Credentials (ADC). Hosting van de aanroepende applicatie: Vercel (bijlage 1). Doorgiftegrondslag resp. waarborg voor mogelijke toegang: EU-U.S. Data Privacy Framework, aanvullend standaardcontractbepalingen.

(2) Gegevensresidentie: Alle gegevensstromen behalve de beeldgeneratie lopen via het EU-multiregio-jurisdictie-eindpunt (aiplatform.eu.rep.googleapis.com). De verwerking is contractueel beperkt tot de EU-geografie (geen single-region-pinning op Duitsland). Uitzondering beeldgeneratie: beeldmodellen worden door Google niet op de EU-multiregio aangeboden. Deze gegevensstroom gebruikt het wereldwijde eindpunt; hiervoor bestaat geen EU-residentiegarantie. Naar het wereldwijde eindpunt gaan uitsluitend beeldbeschrijvingen zonder persoonsgebondenheid (stijl-, kleur- en vormgevingsaanduidingen inclusief de naam van de voorziening, en een eerder op het EU-eindpunt opgestelde beschrijving van voorwerpen zonder personen); foto's, vrije tekst van de voorziening, namen, identificaties en beschrijvingen van personen gaan niet naar het wereldwijde eindpunt. Afwijkend hiervan gaan bij de beeldgenerator met het niet-EU-model vrije tekst en referentiebeelden van de gebruiker naar het wereldwijde eindpunt (§3 nr. 19). De uitzondering is ook in §10 van de AVV genoemd.

(3) Modellen (stand 19.10.2026), alle via Google Cloud (Vertex AI): tekst/begrip gemini-3.8-flash (EU); snelle taken zoals spraakinvoer, vertaling en controles gemini-3.5-flash-lite en gemini-3.1-flash-lite (EU); Claude Haiku 5.5 van Anthropic (claude-haiku-5-5, in de Model Garden van Google Cloud op het Europese multiregio-eindpunt, verwerking in Europa; contractpartner blijft Google); beeldgeneratie gemini-3.1-flash-image en gemini-3.1-flash-lite-image (wereldwijd). Een wisseling naar een ander model van dezelfde subverwerker op hetzelfde eindpunt wordt als verduidelijking volgens §12 lid 4 gedocumenteerd.

(4) Geen training: Invoer wordt niet gebruikt om AI-modellen te trainen (Vertex-voorwaarden). Opslag bij Google: Google slaat invoer in beginsel niet blijvend op. Herkennen automatische veiligheidsfilters een vermoeden van misbruik, dan kan Google de betreffende prompts uitsluitend voor de misbruikcontrole tot 90 dagen opslaan, en wel in de voor het project gekozen EU-multiregio.

(5) AI-privacyniveau: Hoeveel de AI over personen te weten komt, bepaalt een niveau met drie waarden: a) "Aus": autopiloot (inclusief dienstplan-AI, "Eigener Export" en dagelijkse analyse) en de AI-helper van de personeels-app zijn uitgeschakeld; b) "Pseudonymisiert": kinderen en personeelsleden verschijnen alleen als kenmerk (bijvoorbeeld "Kind 7F3A", "Erzieher:in K2QM"); c) "Alle": de echte namen van het personeel en van de kinderen. De voorziening kiest haar niveau in de instellingen; standaard is "Alle". Wie van een lager niveau naar "Alle" overgaat, bevestigt dit afzonderlijk. De verwerkingsverantwoordelijke controleert vóór gebruik of de standaardinstelling aan zijn eisen voldoet (art. 25 lid 2 AVG), en kiest anders een lager niveau. De träger kan voor alle aan hem gekoppelde voorzieningen een maximumniveau vastleggen; van de twee niveaus geldt altijd het lagere. Zonder vastgelegd maximumniveau geldt geen begrenzing. Kan de software het maximumniveau van een träger niet lezen, dan werkt zij met "Pseudonymisiert". Ongeacht het niveau gaan redenen voor afwezigheid en andere gezondheidsgegevens nooit op een persoon herleidbaar naar de AI, maar hooguit als aantal.

(6) Werkingsgebied van het niveau: Het niveau geldt voor de functies die bedrijfsgegevens van de software lezen: autopiloot-chat, "Eigener Export", dienstplan-AI, dagelijkse analyse, AI-helper van de personeels-app en, per voorziening, träger-autopiloot en maandrapport. De dienstplan-AI en de AI-helper voor de leiding draaien alleen op niveau "Alle"; de AI-helper voor personeel werkt op elk niveau behalve "Aus" altijd met kenmerken. Het niveau geldt niet voor functies die uitsluitend verwerken wat gebruikers zelf invoeren, uitspreken of uploaden (zoals spraakinvoer, e-mailhulp, oudergesprek, tekstconcepten, plattegrond, website); deze worden met eigen schakelaars gestuurd (lid 8). Wat het team zelf schrijft (in het bijzonder teamchat, prikborden, notities en afspraken), leest de AI op elk niveau behalve "Aus" mee zoals het geschreven is, inclusief de daarin voorkomende namen.

(7) Pseudonimisering en sturing: Kenmerken vormt de verwerker vóór de doorgifte uit de interne identificatie van de persoon met een geheime sleutel. Dezelfde persoon draagt blijvend hetzelfde kenmerk; Google kan daaruit niet afleiden om welke persoon het gaat. De toewijzing van kenmerken aan namen kent alleen de verwerker; zij wordt met het dagverloop opgeslagen (lid 12), zodat bevoegde gebruikers het antwoord met namen zien. Gepseudonimiseerde gegevens blijven persoonsgegevens. Google ziet de invoer alleen tijdelijk, onder voorbehoud van de misbruikcontrole volgens lid 4. Vrije tekst en uploads worden door de gebruikers gestuurd; de interface vraagt om geen gezondheidsgegevens in te voeren, maar wat wordt ingevoerd of geüpload, wordt wel doorgegeven. De verwerkingsverantwoordelijke instrueert zijn gebruikers dienovereenkomstig. Knoppen die een AI-functie activeren, zijn in het beheer uniform gemarkeerd (paars met een sprankel-symbool).

(8) Schakelaars: Naast het niveau kan de voorziening afzonderlijk uitschakelen: de websitebouwer, de spraakinvoer (daarmee tegelijk e-mailhulp, oudergesprek, ouderbrieven en AI-tekstconcepten), de plattegrond uit een foto, de AI-vertaling (§3 nr. 17) en de AI-gegevenswaakhond (§3 nr. 18). Alleen na inschakeling door de voorziening draaien de beeldgeneratie en de AI-helper van de personeels-app. De träger kan voor alle aan hem gekoppelde voorzieningen afzonderlijke functies blokkeren, alle functies met verwerking buiten de EU blokkeren (momenteel de beeldgeneratie inclusief de voorbeeldbeelden voor gevarenthema's en het niet-EU-model in de beeldgenerator) en het maandrapport uitschakelen. Kan de software een blokkade van de träger niet lezen, dan geldt zij als ingesteld. Een maximumniveau "Aus" van de träger schakelt de functies volgens lid 6 zin 1 uit, niet de functies die via eigen schakelaars worden gestuurd. Niet uitschakelbaar zijn de hulpchat en de AVV-chat, die geen bedrijfsgegevens verwerken. Functies die alleen op uitdrukkelijk verzoek van een gebruiker werken, verzenden niets zolang zij niet worden gebruikt. De gevaren-AI en het handboekconcept hebben momenteel geen eigen schakelaar. De verwerker kan afzonderlijke AI-functies om veiligheids- of bedrijfsredenen te allen tijde uitschakelen.

(9) Uitvoering van resultaten: AI-resultaten zijn voorstellen en concepten. Door de autopiloot voorgestelde acties (zoals een bericht aan ouders, een bijdrage in de teamchat, een pauzeplanning of een uitchecking) voert de software pas uit wanneer de leiding ze afzonderlijk bevestigt en zich vooraf met het beheerswachtwoord heeft gelegitimeerd. Uitzondering dienstplan-AI: zij wijzigt op instructie van de plannende persoon het dienstrooster rechtstreeks; elke wijziging wordt gemarkeerd, gelogd en kan ongedaan worden gemaakt. Geen enkel AI-resultaat wordt zonder handeling van een gebruiker verzonden; uitgezonderd zijn de dagelijkse analyse en het maandrapport, die per e-mail naar de leiding resp. de trägergebruikers gaan.

(10) Automatische processen: In beginsel vindt een aanroep alleen plaats op een handeling van een gebruiker. Uitzonderingen: de dagelijkse analyse, het maandrapport en het voorbeeldbeeld van een nieuw aangemaakt gevarenthema.

(11) Informatiedialoog: Vóór het eerste gebruik van autopiloot-chat, dienstplan-AI, "Eigener Export", hulpchat, träger-autopiloot en AVV-chat verschijnt een accountgebonden informatiedialoog; de bevestiging wordt geversioneerd in het gebruikersaccount opgeslagen. De dialoog dient de transparantie en is geen toestemming volgens art. 6 lid 1 sub a AVG.

(12) Opslag bij de verwerker (servers in Duitsland): a) verloop van autopiloot-chat en dienstplan-AI: per gebruiker, voorziening en dag, maximaal 60 items; automatische verwijdering na een door de voorziening gekozen termijn van één tot zeven dagen (standaard: na afloop van de kalenderdag, in de tijdzone van de voorziening). "Eigener Export", hulpchat, AVV-chat, träger-autopiloot en de AI-helper van de personeels-app worden niet opgeslagen. b) bevestigde autopiloot-acties en wijzigingspakketten van de dienstplan-AI (met de stand vóór de wijziging): tot de verwijdering volgens §8 AVV. c) dagelijkse analyses en maandrapporten: tot de verwijdering volgens §8 AVV. d) e-mailhulp (voorbeeld-e-mails, opdracht, resultaat), oudergesprekken (verslag, taken, versie voor de ouders) en toestemmingen voor opnamen inclusief handtekening: tot de voorziening ze verwijdert, uiterlijk volgens §8 AVV. e) per AI-aanroep één gebruiksrecord zonder inhoud (voorziening, träger, functie, model, hoeveelheden) ter verrekening van het AI-tegoed. f) vertalingen volgens §3 nr. 17 met een controlewaarde van het origineel, zonder het origineel: maximaal 30 dagen. Of items volgens a) tot en met c) namen of kenmerken bevatten, hangt af van het werkzame niveau (lid 5). Audio wordt nooit blijvend opgeslagen: spraakinvoer gaat rechtstreeks naar de AI; opnamen van oudergesprekken liggen alleen tot het einde van de evaluatie in een beveiligde opslag en worden daarna verwijderd, ook wanneer de evaluatie mislukt. Foto's voor de plattegrond en het handboekconcept, alsmede afbeeldingen en referentiebeelden van de beeldgenerator en geüploade documenten en gegenereerde brieven van de ouderbrieven worden niet opgeslagen; geschoonde briefsjablonen blijven opgeslagen totdat de voorziening ze verwijdert (§3 nr. 20). Technische fouten gaan naar Sentry (bijlage 1) zonder chat-, prompt-, audio- of beeldinhoud.

(13) AI-tegoed: AI-functies verbruiken een maandelijks resp. eenmalig tegoed van de voorziening resp. van de träger. Is het op, dan weigert de software verdere aanroepen; hulpchat en AVV-chat zijn gratis en daarvan uitgezonderd, automatische processen (lid 10) worden niet geblokkeerd.

(14) Doelbinding bij gegevens van personeelsleden: De software verwerkt aanwezigheids-, arbeidstijd- en dienstroostergegevens van het personeel voor drie doeleinden: naleving van de toezichtplicht en van de personeelsnorm ter bescherming van de kinderen, registratie van arbeidstijd en afrekening, en naleving van het arbeidstijdrecht. Voor de planning van de bezetting kunnen de AI-functies aanwezigheidspatronen beschrijven, ook betrokken op afzonderlijke personeelsleden (zoals gebruikelijke aankomsttijden of een opeenstapeling van afwezigheden op bepaalde weekdagen). Zij beoordelen daarbij noch prestatie noch gedrag: geen oordelen, geen rangorden, geen vergelijkingen tussen personen, geen vermoedens over redenen of gezondheid. De dienstplan-AI plant op basis van contracten, afwezigheden, kwalificatie en behoefte. De inspraakrechten van de werknemersvertegenwoordiging (volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke, landenaanwijzingen in bijlage 6) blijven onverlet; de verwerkingsverantwoordelijke kan de inzet van deze functies in een ondernemings- of dienstovereenkomst regelen en het AI-privacyniveau dienovereenkomstig instellen.

(15) Bescherming bij invoer: Wat gebruikers in AI-functies invoeren, valt onder de verantwoordelijkheid van de verwerkingsverantwoordelijke en zijn personeel (bijlage 4 §3). Als extra technische beveiligingsmaatregel is de AI geïnstrueerd om invoer die bepaalde gegevens bevat, niet te verwerken. In plaats daarvan wijst zij op de fout en breekt zij de handeling af, zonder de gegevens te herhalen, zonder hulpmiddelen aan te roepen en zonder acties voor te stellen:

• a) altijd: gezondheidsgegevens van kinderen of personeel en de overige bijzondere categorieën volgens art. 9 AVG, vermoedelijke gevallen op het gebied van kinderbescherming, gegevens over gezag, gerechtelijke beslissingen, contactverboden en gezinsconflicten, toegangsgegevens (wachtwoorden, PIN's, QR- en kindcodes), bank-, identiteitsbewijs-, belasting- en sociale-verzekeringsnummers, alsmede beoordelingen van afzonderlijke personeelsleden (lid 14);
• b) afhankelijk van het werkzame AI-privacyniveau: bij "Pseudonymisiert" namen van personeelsleden en kinderen; in de AI-helper van de personeels-app voor personeel altijd namen;
• c) afhankelijk van de functie: in de hulp- en AVV-chat elk gegeven over echte personen; bij website- en vrijgave-concepten namen en beschrijvingen van afzonderlijke kinderen.

Uitgezonderd zijn de spraakinvoer (letterlijke omzetting in tekst) en de evaluatie van opgenomen oudergesprekken. Een afgebroken invoer wordt niet opgeslagen. Zij heeft de AI op dat moment echter wel bereikt en is, zoals alle invoer, uitsluitend op het EU-eindpunt verwerkt (lid 2), daar niet voor training gebruikt en bij de subverwerker niet blijvend opgeslagen (lid 4). De herkenning berust op de AI en is niet waterdicht; zij vervangt niet de verplichtingen van de verwerkingsverantwoordelijke volgens bijlage 4 §3.

(16) Internetonderzoek: In de autopiloot-chat, de träger-autopiloot, de chat "Mit KI schreiben" van de terugkoppeling aan de träger en bij "KI destillieren" (gevaren) kan de AI een algemene vraag op het internet onderzoeken (Google-zoekopdracht) en het antwoord met bronnen tonen. De vraag bevat geen namen, adressen of gegevens over kinderen, verzorgers of personeelsleden; een vraag met een naam uit het lopende verzoek wijst de software af. Google kan zoekopdrachten tot drie dagen opslaan; dat is niet uit te schakelen. De verwerker kan de functie centraal uitschakelen.

§2 Doeleinden

Advies en evaluatie van de voorziening (autopiloot-chat, "Eigener Export", dagelijkse analyse), dienstplanning (dienstplan-AI), informatie voor personeel (AI-helper van de personeels-app), evaluaties voor de träger (träger-autopiloot, maandrapport), productondersteuning en toelichting op het contract (hulpchat, AVV-chat), omzetting van spraak in tekst (spraakinvoer), opstellen van teksten (e-mailhulp, AI-tekstconcepten, website), documentatie van oudergesprekken, risicobeoordeling en handboeken (gevaren-AI, handboekconcept), illustratie (beeldgeneratie) en ruimteplanning (plattegrond uit een foto), telkens volgens het niveau en de schakelaars volgens §1.

§3 De gegevensstromen

1. Autopiloot-chat en "Eigener Export" (beheeromgeving, alleen na beheerswachtwoord). Invoer: vragen van de leiding, paginapad en uitvoer van hulpmiddelen, dus kengetallen (verkeerslicht, capaciteit, aanwezigheid per categorie, onderbezetting, plan/werkelijk, openingstijden, drempelwaarden, opvangmodellen), logboeken per persoon (aanwezigheid, gebeurtenissen, dienst- en pauzeroosters) volgens het niveau, namen van groepen en opvangmodellen, alsmede vrije tekst van het team (§1 lid 6). Bij "Eigener Export" formuleert de AI een rekenweg, die de verwerker in een afgeschermde omgeving op de gegevens van de voorziening uitvoert; de gegevens waarover de rekenweg loopt, ziet de AI daarbij niet. Acties volgens §1 lid 9. Niveau: zoals ingesteld.

2. Dienstplan-AI (personeelsplanning). Invoer: dienstrooster van de zichtbare periode, personen met contracturen, geplande minuten en afwezigheid zonder reden, personeelsbehoefte per 15 minuten, kinderen alleen als totalen. Wijzigt het dienstrooster rechtstreeks (§1 lid 9). Niveau: alleen "Alle".

3. Dagelijkse analyse (automatisch kort vóór de sluitingstijd op dagen met hoge bezetting; de eerste zonder vraag vooraf, elke volgende alleen na toestemming van de leiding; vervalt bij niveau "Aus"). Invoer zoals nr. 1. Ontvanger: leiding per e-mail. Opslag volgens §1 lid 12 c.

4. AI-helper van de personeels-app (alleen na inschakeling door de voorziening). Beantwoordt vragen over wat de app de aangemelde persoon toch al toont (eigen werktijd, dienstrooster, bezetting, teamchat, prikborden, gevaren, handboeken); alleen lezend. Voor personeel altijd met kenmerken, voor de leiding met namen van het personeel op niveau "Alle". Vrije tekst volgens §1 lid 6. Geen opslag bij de verwerker.

5. Träger-autopiloot (trägergedeelte, alleen gebruikers met de rol träger). Invoer: vragen van de trägergebruikers en uitvoer van hulpmiddelen over de aan de träger gekoppelde voorzieningen, dus kengetallen, geplande uren, diensten, tijdsaldi en afwezigheidsdagen per persoon met goedkeuringsstatus; redenen voor afwezigheid alleen als aantal. Namen van personeel en gebeurtenisteksten (die namen van kinderen kunnen bevatten) alleen van voorzieningen op "Alle", anders kenmerken. Voor elke voorziening geldt het lagere niveau uit de eigen instelling en het maximumniveau van de träger; voorzieningen met niveau "Aus" zijn niet opgenomen. Geen opslag.

6. Maandrapport (automatisch op de eerste dag van de maand; door de träger uitschakelbaar). Invoer: geaggregeerde maandkengetallen zonder personennamen, namen van de voorzieningen en benamingen van sluitingsdagen. Ontvangers: trägergebruikers per e-mail. Opslag volgens §1 lid 12 c.

7. Hulpchat. Invoer: vrij geformuleerde vragen, paginapad en productdocumentatie; geen bedrijfsgegevens. Geen opslag.

8. AVV-chat (trägergedeelte). Invoer: vrij geformuleerde vragen en de tekst van deze overeenkomst; geen bedrijfsgegevens. De AI licht uitsluitend de contracttekst toe en geeft geen juridisch advies. Geen opslag.

9. Spraakinvoer (groepstablet: dagrapport, rapport over een kind). Invoer: spraakopname; zij kan kinderstemmen, namen en observaties bevatten. Uitsluitend omzetting in tekst; de tekst wordt in het dagrapport opgeslagen, de opname nooit.

10. E-mailhulp. Invoer: door de voorziening ingevoegde voorbeeld-e-mails (zij kunnen namen en inhouden van de correspondentie met ouders bevatten) en de getypte of gesproken opdracht. Resultaat: een concept dat niet wordt verzonden. Opslag volgens §1 lid 12 d.

11. Oudergesprek (alleen na beheerswachtwoord). Invoer: opname van een gesprek van maximaal 30 minuten; zij bevat alles wat gezegd wordt, inclusief namen en eventueel gegevens over gezondheid en ontwikkeling van het kind. Namen of andere gegevens van het kind uit de software gaan niet naar de AI. De software evalueert een opname alleen wanneer voor het gesprek vooraf opgeslagen toestemmingen aanwezig zijn, waaronder die van minstens één ouder; toestemmingen worden op het scherm ondertekend of per bevestigde e-mail verleend en gelden voor precies één opname. Resultaat: intern verslag met taken en een versie voor de ouders, die niet worden verzonden. Opslag volgens §1 lid 12 d.

12. AI-tekstconcepten (vrijgavetekst; terugkoppeling aan de träger). Invoer: titel en steekwoorden, zoals de voorziening ze invoert. Het resultaat vult het formulier; geen opslag vóór het overnemen.

13. Websitebouwer. Invoer: antwoorden van de leiding in de installatie-assistent (teksten, contact- en colofongegevens) en eventueel twee eigen stijlbeelden; de stijlbeelden beschrijft de AI op het EU-eindpunt, naar de beeldgeneratie gaat alleen die beschrijving. Vormgeving en teksten op het EU-eindpunt; afbeeldingen volgens nr. 14.

14. Beeldgeneratie voor website en terminallogo (alleen na inschakeling door de voorziening; door de träger blokkeerbaar). Invoer: stijl-, kleur- en vormgevingsaanduidingen en de naam van de voorziening; geen persoonsgegevens, geen foto's. Wereldwijd eindpunt (§1 lid 2).

15. Voorbeeldbeeld van een gevarenthema (automatisch na het aanmaken, ook vanuit de personeels-app; door de niet-EU-blokkade van de träger uitgesloten). Stap 1 (EU-eindpunt): de foto of tekst van het thema; de AI beschrijft alleen voorwerpen en het gevaar, geen personen, en verwerpt foto's die voornamelijk personen tonen. Stap 2 (wereldwijd eindpunt): alleen die beschrijving. Het voorbeeldbeeld wordt bij het thema opgeslagen.

16. Plattegrond uit een foto, gevaren-AI en handboekconcept. Plattegrond: een foto van een ruimteschets (die personen kan tonen, als die in beeld zijn), niet opgeslagen. Gevaren-AI: thema en notities van het team, zoals ze geschreven zijn; het resultaat zijn voorstellen die pas de leiding overneemt. Handboekconcept: tot vijf foto's van een gedrukte leidraad of een beschrijving van de leiding; foto's worden niet opgeslagen.

17. AI-vertaling (schakelaar "Übersetzung", standaard aan; alleen werkzaam op niveau "Alle", voor zover het maximumniveau van de träger dit toelaat). Vertaald wordt naar de taal van de verzorgers die de voorziening bij het kind heeft vastgelegd of, zolang daar geen taal staat, die de verzorgers in de ouder-app hebben gekozen (Duits, Engels, Turks, Arabisch, Oekraïens, Russisch, Pools, Roemeens): a) e-mails van de voorziening aan verzorgers (toestemmingsverzoeken, ophaalmachtiging, QR-brief, afspraakbevestiging); namen, gegevens, links en codes worden vooraf door plaatsaanduidingen vervangen en gaan niet naar de AI, de vrije tekst van de voorziening leest de AI zoals die geschreven is; b) inhouden in de ouder-app (berichten, afspraken, blog, groepsrapporten, dagboeknotities, notities bij oudercontactverzoeken); de AI leest de volledige tekst zoals die geschreven is, inclusief namen en, in dagboeknotities, eventueel gezondheidsgegevens over het kind; c) het onderwerp van een oudercontactverzoek van de verzorgers, met een druk op de knop door de leiding terug naar de taal van de voorziening. Verwerking op het EU-eindpunt (§1 lid 2). Opgeslagen wordt alleen de vertaling met een controlewaarde van het origineel, niet het origineel (§1 lid 12 f). Pushmeldingen worden niet vertaald. Zonder AI-vertaling blijft de vertaling op het apparaat van de verzorgers (bijlage 2A).

18. AI-gegevenswaakhond (schakelaar "KI-Datenwächter", standaard aan en altijd zichtbaar). De AI-gegevenswaakhond werkt alleen op niveau "Alle", omdat de AI daarvoor de volledige tekst moet lezen; op de overige niveaus is hij uit en de interface toont dat. Zonder AI-tegoed werkt alleen de naamcontrole zonder AI. Voordat een in de webapp geschreven tekst naar verzorgers of het publiek gaat (berichten en prikbord inclusief enquêtes, berichten aan een gezin, afspraken, vrijgegeven groepsrapporten en dagboeknotities, blog, websiteteksten en colofon), wordt die gecontroleerd. Eerst vergelijkt de server de tekst zonder AI met de namen van de kinderen van de voorziening; de naamlijst verlaat de server niet. Daarna controleert de AI (met tegoed) op de gegevens volgens §1 lid 15 a) en op namen of herkenbare beschrijvingen van afzonderlijke kinderen en volwassen privépersonen; voornamen en volledige namen van kinderen worden daarbij door plaatsaanduidingen vervangen, andere namen gaan zoals ze geschreven zijn. Bij een bericht aan een gezin geldt de naam van het gekozen kind niet als bevinding. De AI levert alleen een oordeel en de categorie en wijzigt de tekst niet. Een kritische tekst kan alleen de leiding na opnieuw invoeren van het beheerswachtwoord verzenden. Is de controle niet mogelijk, dan wordt de tekst verzonden en verschijnt een aanwijzing. Teksten worden niet opgeslagen; alleen de handeling wordt geteld, zonder tekst en zonder persoon. Eveneens gecontroleerd wordt een direct bericht van de leiding aan één persoon (postvak van de personeels-app, bijlage 2B §2). In de teamchat controleert de waakhond alleen wanneer de verwerkingsverantwoordelijke daarnaast de schakelaar "KI-Datenwächter im Team-Chat" inschakelt (standaard uit); dan ook berichten uit de personeels-app. Daar loopt alleen de controle door de AI, zonder naamcontrole, en zonder AI-tegoed geen controle. Bij een bevinding wordt het bericht niet verzonden; de schrijvende persoon kan het wijzigen of toch verzenden. Andere teksten uit de personeels-app, ook oproepen en berichten aan ouders, worden niet gecontroleerd. De controle is niet waterdicht en verandert niets aan bijlage 4 §5 lid 5.

19. Beeldgenerator (alleen na activering door de träger, standaard uit, en inschakeling door de voorziening; als AI-functie gemarkeerd). Gebruikers beschrijven een beeld in vrije tekst en kunnen een referentiebeeld uploaden, pas nadat zij hebben bevestigd dat het geen personen of kinderen toont; zonder deze bevestiging neemt de server het niet aan. Zij kiezen een model; de software vermeldt bij elk model of het in de EU of buiten de EU (wereldwijd eindpunt, §1 lid 2, geen EU-residentiegarantie) verwerkt. Vrije tekst en referentiebeelden gaan ongewijzigd naar het gekozen model. Referentiebeelden mogen geen personen en geen andere persoonsgegevens tonen (toegestaan zijn bijvoorbeeld vrij beschikbare beelden van het internet of eigen beelden zonder personen); de vrije tekst bevat geen namen en geen beschrijvingen van echte personen. Deze plicht rust op de gebruikers (bijlage 4 §3); de software controleert referentiebeelden niet. Gegenereerde beelden worden naar het apparaat van de gebruiker gedownload; gegenereerde beelden en referentiebeelden worden bij de verwerker niet opgeslagen. De blokkade van de träger "Bild-KI außerhalb der EU sperren" schakelt alle modellen buiten de EU uit.

20. Ouderbrieven (via de schakelaar van de spraakinvoer; verzending alleen met beheerswachtwoord). a) Sjabloon: de voorziening uploadt een bestaande brief (PDF, Word-bestand of foto). De AI krijgt het document volledig, zoals het is, en vervangt persoonsgegevens door plaatsaanduidingen (zoals "{Kind}", "{Eltern}"); resterende e-mailadressen en telefoonnummers verwijdert de software bovendien. Opgeslagen wordt alleen het geschoonde sjabloon, totdat de voorziening het verwijdert, met het aantal verwijderde gegevens per categorie, nooit de waarden daarvan; het geüploade document wordt niet opgeslagen. Voor de inhoud van het geüploade document is de verwerkingsverantwoordelijke verantwoordelijk (bijlage 4 §3). b) Brief: op een wijzigingswens schrijft de AI een brief met plaatsaanduidingen; namen en gegevens van kinderen bereiken de AI daarbij nooit. De software vult per kind de waarden in (naam, pseudoniem, geboortedatum, leeftijd, groep, opvangmodel, datum van toelating en van schoolinschrijving; als "Eltern" verschijnt "Eltern von" met de voornaam van het kind). Heeft de voorziening de taal van de verzorgers vastgelegd, dan vertaalt de AI de versie met plaatsaanduidingen (nr. 17). c) Uitvoer: per kind een pdf om te downloaden (ZIP) of een e-mail met brieftekst en pdf aan het bij het kind vastgelegde adres van de verzorgers (afzender "[Name der Einrichtung] via Bienenstock", verzending via Brevo, bijlage 1), per kind en per verzending hoogstens één keer. Elke verzonden e-mail staat in het verzendlogboek; e-mails die niet konden worden afgeleverd, staan zonder adres en zonder foutomschrijving als aanwijzing voor de voorziening, totdat zij die afhandelt. De brieftekst controleert de AI-gegevenswaakhond niet. Verwerking op het EU-eindpunt (§1 lid 2).

§4 Rechtsgrondslag en verplichtingen van de verwerkingsverantwoordelijke

(1) De verwerking vindt plaats in opdracht en op instructie van de verwerkingsverantwoordelijke; de keuze van het niveau en het in- en uitschakelen van de functies volgens §1 zijn instructies.

(2) Voor zover bijzondere categorieën van persoonsgegevens betrokken kunnen zijn (in het bijzonder spraakinvoer, oudergesprek en vrije tekst van het team), waarborgt de verwerkingsverantwoordelijke een rechtsgrondslag volgens art. 9 lid 2 AVG.

(3) Opnamen van gesprekken (§3 nr. 11) vereisen de toestemming van alle gespreksdeelnemers (volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke). De software controleert alleen of opgeslagen toestemmingen volgens §3 nr. 11 aanwezig zijn; het verkrijgen van de toestemming van alle aanwezigen, ook van het personeel, is de verantwoordelijkheid van de verwerkingsverantwoordelijke.

(4) De informatiedialoog volgens §1 lid 11 is geen toestemming volgens art. 6 lid 1 sub a AVG.

§5 Verwijzing

Voor het overige gelden de bepalingen van de verwerkersovereenkomst.

Stand: oktober 2026.

Bijlage 3: Aanvullende regelingen voor kerkelijke en openbare trägers

Niet van toepassing buiten Duitsland.

Bijlage 4: Vrije tekstvelden

§1 Begrip

Vrije tekstvelden zijn invoervelden waarin gebruikers willekeurige tekst kunnen typen of inspreken, zoals notities, berichten, motiveringen, beschrijvingen en chatbijdragen. Welke persoonsgegevens in een vrij tekstveld staan, bepaalt uitsluitend wie schrijft. De verwerker kan de inhoud noch vooraf beperken noch achteraf herkennen.

§2 Overzicht naar risico

(1) Hoog risico (inhouden over afzonderlijke kinderen, gezondheid of het gedrag van personeelsleden liggen voor de hand, of de tekst bereikt ouders, de AI of de träger):

• Notities over het kind in de stamgegevens en in het kinderdagboek, dagrapporten van de groep, telkens ook ingesproken (spraakinvoer uitschakelbaar, standaard ingeschakeld); notities en dagrapporten ontvangen verzorgers alleen wanneer de verwerkingsverantwoordelijke de weergave in de ouder-app inschakelt (standaard uitgeschakeld) en het personeel het afzonderlijke item vrijgeeft
• Oudergesprekken: opname, verslag en versie voor de ouders; aanleidingen van gesprekken en oudercontactverzoeken van verzorgers
• Berichten en prikbordbijdragen aan verzorgers alsmede berichten aan een gezin (ook als pushmelding)
• interne personeelschat inclusief prikbord en oproepen; aanpassingsverzoeken voor de arbeidstijd
• notities over afwezigheden en ziekmeldingen van het personeel
• notities in het gedeelte Gevaren
• gebeurtenisnotities van de leiding die in rapporten en evaluaties voor de träger terechtkomen
• invoer in de e-mailhulp
• notities over ophalingen en maaltijdafmeldingen, overige redenen voor afwezigheid van het personeel

(2) Gemiddeld risico (persoonsgebondenheid waarschijnlijk, kring van ontvangers beperkt): motiveringen van tijdcorrecties, dienst- en rapportnotities; afspraken voor ouders en personeel; ophaalbevoegde personen en uitzonderlijke overdrachten; notities over betalingen; terugkoppelingen aan de träger en antwoorden, interne notities van de träger over aanvragen; teksten van de eigen website en van de blog (openbaar); invoer in AI-functies.

(3) Laag risico (organisatorische aanduidingen): benamingen van groepen, ruimten, modellen en aanleidingen; ruimtereserveringen, redenen voor sluitingsdagen, handboekartikelen en beschrijvingen van vrijgaven.

De actuele lijst van de velden met ontvangers en verwijdering stelt de verwerker op verzoek in tekstvorm ter beschikking.

§3 Verplichtingen van de verwerkingsverantwoordelijke

(1) De verwerkingsverantwoordelijke beslist of en waarvoor zijn personeel vrije tekstvelden gebruikt, en instrueert de gebruikers om alleen op te nemen wat voor het doel noodzakelijk is (art. 5 lid 1 sub c AVG).

(2) Bijzondere categorieën (art. 9 AVG), in het bijzonder diagnoses, vermoedens van ziekten, medicatie en verwondingen, alsmede gegevens over gezag, gezinsconflicten en contactverboden worden alleen ingevoerd voor zover daarvoor een rechtsgrondslag bestaat en het veld daarvoor bestemd is; in de interne personeelschat, in berichten aan verzorgers, gevarennotities en invoer in AI-functies nooit.

(3) Beoordelingen van de prestaties of het gedrag van afzonderlijke personeelsleden horen niet in de personeelschat en niet in gevarennotities. De verwerkingsverantwoordelijke houdt zich aan de voorschriften inzake gegevens van werknemers en, voor zover aanwezig, aan de medezeggenschap van de werknemersvertegenwoordiging.

(4) Vóór de vrijgave van een tekst aan verzorgers of de publicatie op de website controleert de verwerkingsverantwoordelijke of de tekst gegevens van derden bevat, met name van andere kinderen.

(5) De verwerkingsverantwoordelijke wist vrije teksten die hij niet meer nodig heeft; de software biedt daarvoor wisfuncties.

§4 Prestaties van de verwerker

(1) De verwerker evalueert vrije teksten niet voor eigen doeleinden, analyseert ze niet inhoudelijk en gebruikt ze niet voor de training van AI-modellen.

(2) Vrije teksten gaan naar AI-functies uitsluitend volgens bijlage C en afhankelijk van de instellingen van de verwerkingsverantwoordelijke (niveau en schakelaars, bijlage C §1 lid 5 tot en met 8). Functies die een gebruiker in een concreet geval activeert (zoals e-mailhulp, oudergesprek, gevaren-AI, tekst- en handboekconcepten), zenden de gekozen tekst volledig; bij ingeschakelde AI-vertaling (bijlage C §3 nr. 17) geldt dit voor de vertaalde inhouden.

(3) Vrije teksten worden niet technisch gefilterd. Uitzonderingen zijn de afwijzing van AI-invoer (lid 5) en de AI-gegevenswaakhond voor teksten aan verzorgers en het publiek (bijlage C §3 nr. 18).

(4) Wistermijnen: de interne personeelschat volgens §3 van de AVV (uitgezonderd prikbordbijdragen); het verloop van de autopiloot-chat volgens bijlage C §1 lid 12; opnamen van gesprekken onmiddellijk na de evaluatie; aanvragen volgens §8 lid 8. Alle overige vrije teksten blijven opgeslagen totdat de verwerkingsverantwoordelijke ze wist of de overeenkomst eindigt (§8).

(5) Ter ondersteuning van de verwerkingsverantwoordelijke wijst de AI invoer met ontoelaatbare gegevens af (bijlage C §1 lid 15).

§5 Teksten aan verzorgers

(1) Enkele vrije tekstvelden geven hun inhoud door aan verzorgers of het publiek. De software markeert deze velden voor het personeel zichtbaar en toont wie de tekst ontvangt.

(2) Ontvangerskringen:

• Alle: alle verzorgers van de voorziening
• Groep of opvangmodel: de verzorgers van de kinderen van de gekozen groepen resp. opvangmodellen
• Kind: uitsluitend de apparaten waarop dit kind is opgeslagen
• Publiek: iedere persoon, voor zover de verwerkingsverantwoordelijke inhouden op zijn website publiceert. Voor de website, haar colofon en haar privacyverklaring is uitsluitend de verwerkingsverantwoordelijke verantwoordelijk (gebruiksvoorwaarden afdeling 9c); de verwerker levert ze uitsluitend technisch af.

(3) Formaten:

• Berichten en prikbordbijdragen, ook met enquête: aan allen of aan groepen
• Bericht aan een gezin (vrije tekst van de leiding): aan het kind, in de ouder-app en op verzoek daarnaast per e-mail (lid 7)
• Afspraken met titel, beschrijving en eventueel kosten, ook met aan- en afmelding: aan allen of aan groepen resp. opvangmodellen; op verzoek datum en titel ook op de website
• Sluitingsdagen en sluitingen met reden: aan allen
• Maaltijdplan: aan allen
• Groepsrapport (dagrapport van een groep): aan de groep, uitsluitend na vrijgave door het personeel
• Notitie in het kinderdagboek: aan het kind, uitsluitend na vrijgave door het personeel
• Betalingsposten en oudercontactafspraken: aan het kind
• Ouderbrieven: per kind aan het vastgelegde e-mailadres van de verzorgers (bijlage C §3 nr. 20)
• Blogberichten: aan allen in de ouder-app en aan het publiek op de website

Pushmeldingen daarbij volgen bijlage 2A §2.

(4) Met de weergave zijn de inhouden aan de ontvangers doorgegeven; verzorgers mogen ze vrij verder gebruiken, ook met eigen programma's en AI-diensten (bijlage 2A).

(5) De verwerkingsverantwoordelijke instrueert zijn personeel om bij teksten aan allen, aan groepen en aan het publiek uiterst terughoudend te zijn: geen namen of herkenbare beschrijvingen van andere kinderen, geen gezondheidsgegevens, geen gegevens over gezinnen, conflicten of incidenten van afzonderlijke personen. Ook teksten over een kind bevatten geen gegevens over andere kinderen. Berichten aan een gezin bevatten alleen wat dat gezin betreft; gezondheidsgegevens over het eigen kind alleen voor zover voor het doel nodig. De verwerkingsverantwoordelijke controleert vóór het verzenden het gekozen kind, want een verzending aan het verkeerde gezin is een inbreuk in verband met persoonsgegevens (art. 33 AVG).

(6) De AI-gegevenswaakhond (bijlage C §3 nr. 18) ondersteunt daarbij; de verplichtingen volgens lid 5 blijven bij de verwerkingsverantwoordelijke.

(7) Bericht aan een gezin. a) Verzending: De leiding kiest een kind en schrijft een tekst; vóór het verzenden toont de software het gekozen kind duidelijk. Het bericht verschijnt in de ouder-app op de apparaten van dit kind (push volgens bijlage 2A §2 (7)). Op verzoek van de leiding gaat het daarnaast per e-mail naar het bij het kind vastgelegde adres van de verzorgers (afzender "[Name der Einrichtung] via Bienenstock", verzending via Brevo, bijlage 1; alleen na opnieuw invoeren van het beheerswachtwoord; vermelding in het verzendlogboek; aflevering zoals bijlage 5 §4 lid 2). b) Antwoorden: Verzorgers antwoorden niet met vrije tekst, maar alleen met een door de leiding vooraf bepaalde actie, in de app of via een tijdelijke link in de e-mail: "OK" (kennisneming), "Annehmen", "Termin" (keuze van een voorgestelde afspraak) of "Beitreten" (toezegging voor een afspraak van de voorziening). Opgeslagen worden de actie en het tijdstip bij het kind. Betreft "Annehmen" een vrijgave, dan verloopt de verlening uitsluitend via de toestemming per e-mail volgens bijlage 5; een antwoord in de app is geen verlening. Wie heeft geantwoord, controleert de software niet verder dan de kennis van de link resp. de toegang tot de ouder-app. c) Opslag: Bericht en antwoorden blijven opgeslagen totdat de verwerkingsverantwoordelijke ze wist of de overeenkomst eindigt (§4 lid 4).

Stand: oktober 2026.

Bijlage 5: Toestemmingen, vrijgaven en ophaalbevoegde personen

§1 Onderwerp en rol van de software

(1) Deze bijlage beschrijft de functies "Vrijgaven", "Toestemming per e-mail", "Ophaalbevoegde personen", "Ophaalpersoon aanmelden" (ouder-app) en "Overdrachtsbewijs" (groepsweergave).

(2) De software is daarbij een hulpmiddel voor documentatie en communicatie. Zij legt vast wat de voorziening invoert en wat via de bevestigingspagina wordt bevestigd, en zij toont het personeel aanwijzingen. Zij neemt geen beslissing over de vraag of een toestemming rechtsgeldig is of een kind aan een persoon wordt overgedragen. Deze beslissingen neemt uitsluitend de verwerkingsverantwoordelijke via zijn personeel.

§2 Vrijgaven

(1) De verwerkingsverantwoordelijke maakt vrijgaven aan (titel en beschrijving) en bepaalt de inhoud ervan uitsluitend zelf. De software maakt geen onderscheid tussen toestemmingen volgens de AVG, toestemmingen voor maatregelen bij het kind en overige toestemmingen. Concepten van de AI-functie "Mit KI formulieren" zijn geen juridisch advies (bijlage C).

(2) Elke voorziening heeft een vaste vrijgave "Foto des Kindes auf den Geräten der KiTa" met een vooraf bepaalde tekst, die de verwerkingsverantwoordelijke niet kan wijzigen. Zonder actieve verlening kan geen foto van het kind worden opgeslagen of getoond; bij intrekking wordt de foto verwijderd, uiterlijk bij de dagelijkse afstemming.

(3) Een vrijgave ontstaat op een van twee wegen:

a) Invoer door de voorziening. Het personeel zet in het beheer het vinkje bij het kind. Opgeslagen worden het tijdstip, de herkomst "Einrichtung" alsmede titel en beschrijving in de toenmalige bewoordingen. Een bewijs, zoals een ondertekende verklaring, wordt niet opgeslagen; dit bewaart de verwerkingsverantwoordelijke zelf.

b) Bevestiging per e-mail. De voorziening activeert per kind en per vrijgave een e-mail aan het adres dat zij bij het kind heeft vastgelegd (§4). De e-mail bevat titel en beschrijving en een link naar de bevestigingspagina. De link geldt één uur en slechts eenmaal. Het oproepen van de pagina heeft geen effect; pas het klikken op "Freigabe erteilen" slaat de verlening op met herkomst "Eltern", tijdstip en de gemailde bewoordingen.

(4) De bevestiging mislukt wanneer tot dan toe titel of beschrijving is gewijzigd, de vrijgave is gearchiveerd of ingetrokken, het vastgelegde adres is gewijzigd of het kind is gearchiveerd. Er wordt altijd ingestemd met de gemailde bewoordingen.

(5) Bij de bevestiging worden noch naam noch IP-adres noch apparaat van de persoon die klikt, opgeslagen. De bevestiging bewijst dat via het vastgelegde postvak is bevestigd, niet welke persoon heeft bevestigd.

(6) De intrekking verklaren de verzorgers tegenover de voorziening; het personeel voert deze in het beheer in. Verleningen en intrekkingen worden niet gewijzigd of gewist, maar aangevuld. Wist de verwerkingsverantwoordelijke een kind in plaats van het te archiveren, dan worden ook de verleningen van dat kind gewist.

(7) Verzorgers zien de vrijgaven van hun kind in de ouder-app zonder wijzigingsmogelijkheid. Het personeel ziet vrijgaven in het beheer; in de groepsweergave en de personeels-app worden zij niet getoond, behalve de werking van de foto-vrijgave.

§3 Ophaalbevoegde personen en overdracht

(1) De voorziening onderhoudt per kind een lijst van ophaalbevoegde personen (naam, relatie). Personen worden gedeactiveerd, niet gewist.

(2) Is de functie "Abholperson in der App anmelden" ingeschakeld (standaard uitgeschakeld), dan kan in de ouder-app

a) een reeds opgeslagen persoon voor één dag als ophalende persoon worden gemeld. Daarvoor volstaan het ouderwachtwoord van de voorziening en de kindcode; een e-mailbevestiging volgt niet;

b) een nieuwe persoon met naam en relatie worden opgegeven. Zij wordt pas opgeslagen wanneer de ophaalmachtiging via het bij het kind vastgelegde adres in de procedure volgens §2 lid 3 sub b is bevestigd (link één uur geldig). De machtiging luidt: "Ich/Wir als Sorgeberechtigte bevollmächtigen [Name] ([Beziehung]), [Vorname des Kindes] in der Einrichtung [Name] abzuholen. Die Vollmacht gilt bis zum Widerruf gegenüber der KiTa. Die abholende Person weist sich bei der Abholung aus." Opgeslagen worden naam, relatie, tekst van de machtiging en tijdstip van de bevestiging.

(3) Een zo aangemaakte persoon draagt de aanwijzing "Neu – Ausweis prüfen", totdat het personeel in het beheer "Ausweis geprüft" invoert. Opgeslagen wordt alleen het tijdstip, geen identiteitsgegevens en niet wie heeft gecontroleerd.

(4) Over een gemelde ophaling verneemt het personeel zonder namen: via een automatische aanwijzing in de personeelschat (met de chat gewist) en op de dag van de ophaling via een aanwijzing in de groepsweergave. Naam, relatie en controle-aanwijzing staan in de overdrachtsdialoog. Pushmeldingen worden daarvoor niet verzonden.

(5) In het overdrachtsbewijs legt het personeel vast aan wie het kind is overgedragen resp. wie het heeft gebracht, bij uitzondering aan een niet vastgelegde persoon met motivering, en wie de overdracht bevestigt. De aanduiding "Bestätigt von" is documentatie; zij wordt niet door een persoonlijke aanmelding gewaarborgd. Het bewijs is vrijwillig, staat los van in- en uitchecken en kan niet worden gewijzigd of gewist.

(6) De software verhindert geen overdracht en geen uitchecking, ook niet aan een persoon zonder identiteitscontrole of zonder vermelding in de lijst.

§4 E-mails aan verzorgers

(1) De e-mails volgens §§2 en 3 gaan naar het ene adres dat de voorziening in het kindrecord voor de voorziening vastlegt. Zij worden in naam van de voorziening verzonden (afzender "[Name der Einrichtung] via Bienenstock") via de in bijlage 1 genoemde e-maildienst.

(2) Als verzonden geldt een e-mail wanneer de mailserver haar heeft aangenomen. Of zij is afgeleverd, als spam is ingedeeld of is gelezen, weet de software niet; onbestelbare retourberichten worden niet geëvalueerd. Voor vrijgaven toont het beheer "wacht op bevestiging" en na afloop "niet bevestigd"; voor ophaalmachtigingen toont het pas de bevestigde persoon.

(3) Verzoeken om vrijgave worden met het adres van de ontvanger in het verzendlogboek vastgelegd (§8 lid 8).

§5 Wat de software niet controleert

De software controleert niet:

a) wie een bevestiging activeert en of het postvak van een verzorger toebehoort of voor derden toegankelijk is;

b) of het vastgelegde adres juist is;

c) het bestaan en de omvang van het gezag, gerechtelijke beslissingen, omgangs- of contactverboden;

d) of beide verzorgers instemmen, voor zover dat nodig is;

e) de identiteit van de ophalende persoon;

f) inhoud, rechtsgeldigheid en rechtsgrondslag van een vrijgave alsmede de juistheid van invoer van de voorziening;

g) wie in de ouder-app een ophaling meldt en wie in het overdrachtsbewijs als bevestigende persoon wordt gekozen.

§6 Verplichtingen van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke waarborgt door organisatie en instructie van zijn personeel met name dat

a) vrijgaveteksten juridisch zijn gecontroleerd, het doel, de omvang, de ontvangers, de duur en de intrekking vermelden en voor de betreffende vrijgave een rechtsgrondslag bestaat;

b) het bij het kind vastgelegde e-mailadres juist is, bij een verzorger hoort en bij wijzigingen wordt bijgewerkt;

c) hij controleert of voor een vrijgave of ophaalmachtiging de instemming van beide verzorgers nodig is, en deze in dat geval verkrijgt, bijvoorbeeld door een tweede verklaring op papier;

d) gegevens over het gezag, gerechtelijke beslissingen en contactverboden buiten de software of in een daarvoor bestemd veld worden meegenomen (bijlage 4 §3 lid 2);

e) het personeel bij elke ophaling door een persoon die het personeel niet kent diens identiteit aan de hand van een officieel identiteitsbewijs controleert, voordat het kind wordt overgedragen, en de controle in het beheer invoert;

f) over elke overdracht het personeel ter plaatse beslist, onafhankelijk van invoer en aanwijzingen van de software, en dat aanwijzingen van de software (chat, groepsweergave, meldingen) in de praktijk daadwerkelijk worden gelezen;

g) vinkjes alleen worden gezet wanneer de vrijgave daadwerkelijk is verleend, en het bewijs daarvoor buiten de software wordt bewaard;

h) intrekkingen onverwijld worden ingevoerd en ophaalbevoegde personen worden gedeactiveerd zodra de bevoegdheid eindigt;

i) het personeel weet welke vrijgaven voor een kind gelden voordat het daarnaar handelt;

j) verzorgers die geen e-mail willen of kunnen gebruiken, een gelijkwaardige mogelijkheid op papier hebben;

k) de ouders over deze functies worden geïnformeerd (voorbeeldaanwijzing op verzoek);

l) kinderen worden gearchiveerd in plaats van gewist zolang het bewijs van toestemmingen nodig is.

§7 Prestaties van de verwerker

(1) De verwerker slaat verleningen, intrekkingen, machtigingen en overdrachtsbewijzen zo op dat zij achteraf niet kunnen worden gewijzigd; een verlening met herkomst "Eltern" kan alleen via de bevestigingspagina ontstaan.

(2) Hij stelt bevestigingslinks met een eenmalig token beschikbaar, dat alleen als controlewaarde wordt opgeslagen en één uur geldig is, en wist ontvangstadres en controlewaarde volgens §8 lid 8.

(3) Verdergaande prestaties, met name de controle van identiteit, gezag of rechtsgeldigheid, de aflevering van e-mails of het voorkomen van overdrachten, is de verwerker niet verschuldigd.

Stand: oktober 2026.

Bijlage 6: Landenaanwijzingen

Deze bijlage noemt voor de lidstaten waarin de verwerker de software buiten Duitsland aanbiedt, de instanties en voorschriften waarnaar deze overeenkomst verwijst met "nationaal recht van de lidstaat van de verwerkingsverantwoordelijke". Zij brengt geen aanvullende verplichtingen met zich mee. Vermeldingen met [verifiziert] zijn aan de genoemde bron getoetst; vermeldingen met [verify] zijn nog open en moeten vóór gebruik aan de bron worden getoetst.

§1 Frankrijk

• Toezichthoudende autoriteit voor gegevensbescherming: Commission nationale de l'informatique et des libertés (CNIL). [verifiziert]
• Nationale uitvoeringswet: Loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés). [verifiziert] Bron: https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822923/
• Betrokkenheid van de werknemersvertegenwoordiging: Het comité social et économique (CSE) wordt vóór de invoering van middelen of technieken die een controle van de activiteit van de werknemers mogelijk maken, geïnformeerd en geraadpleegd (information-consultation, Code du travail art. L2312-38). [verifiziert] Bron: https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000035610275/
• Informatie van de werknemers: Geen verzameling van gegevens via een middel dat aan de werknemers niet vooraf bekendgemaakt is (Code du travail art. L1222-4). [verify]
• Taal: Documenten die verplichtingen voor werknemers vastleggen, moeten in het Frans worden opgesteld (Code du travail art. L1321-6); Loi Toubon n° 94-665. [verify]

§2 Nederland

• Toezichthoudende autoriteit voor gegevensbescherming: Autoriteit Persoonsgegevens (AP). [verifiziert]
• Nationale uitvoeringswet: Uitvoeringswet AVG (UAVG). [verify]
• Betrokkenheid van de werknemersvertegenwoordiging: ondernemingsraad (OR) met instemmingsrecht resp. personeelsvertegenwoordiging (PVT) op grond van de Wet op de ondernemingsraden (WOR). [verifiziert] Bron: https://wetten.overheid.nl/BWBR0002747/
• Instemmingsrecht voor systemen ter controle van personeel: art. 27 lid 1 sub l WOR. [verify]

Stand: oktober 2026.