Vertrag zur Auftragsverarbeitung

Fassung vom 28.10.2026. So lautet der Vertrag nach Art. 28 DSGVO, den Sie als Inhaberin oder Inhaber eines Büros in KINODO unter „Konto“ abschließen. Hier können Sie ihn vorab lesen, etwa mit Ihrer oder Ihrem Datenschutzbeauftragten. Wie wir die Daten schützen, erklärt die Seite Sicherheit in einfachen Worten.

Zum Ausdrucken oder Speichern als PDF: Strg + P (am Mac: Cmd + P).

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber“): [Name und Anschrift des Büros, wird beim Abschluss in KINODO eingesetzt]

Auftragsverarbeiter (nachfolgend „Auftragnehmer“): Markus Heinicke, KINODO, Stau 123, 26122 Oldenburg, kontakt@kinodo.de

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software KINODO zur Dokumentation rechtlicher Betreuungen bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Grundlage ist der Vertrag über die Nutzung von KINODO einschließlich der AGB (Hauptvertrag).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags einschließlich der Testphase und endet mit der vollständigen Löschung der Daten nach § 10.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speicherung, Organisation, Anzeige, Auswertung und Übermittlung von Daten zur Führung und Dokumentation rechtlicher Betreuungen, zur Fristenkontrolle und zur Erstellung von Berichten an das Betreuungsgericht; auf Veranlassung des Auftraggebers die automatische Auswertung von Dokumenten und Texten mit künstlicher Intelligenz sowie die Bereitstellung von Daten an vom Auftraggeber eingeladene Verhinderungsbetreuer für den von ihm festgelegten Zeitraum.

(2) Datenarten: Stammdaten, Kontakt- und Kommunikationsdaten, Angaben zum gerichtlichen Verfahren und zu den Aufgabenbereichen, Sozialdaten (z. B. Leistungen, Aktenzeichen, Versicherungsnummern), Dokumentation von Kontakten, Wünschen und Maßnahmen, Berichte, sowie besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Gesundheitsdaten; ferner Nutzungs- und Protokolldaten der Nutzer.

(3) Betroffene: betreute Personen, deren Angehörige und sonstige Bezugspersonen, an der Betreuung beteiligte Personen und Stellen (z. B. Ärzte, Einrichtungen, Behörden), Mitarbeitende und Ehrenamtliche des Auftraggebers als Nutzer.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Auftraggeber vorher mit, sofern das Recht dies nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen von KINODO durch den Auftraggeber.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Er greift auf Inhalte des Auftraggebers nur zu, soweit dies für Betrieb, Fehlerbehebung oder auf Anforderung des Auftraggebers erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(2) Der Auftragnehmer prüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich, einschließlich eines Tests der Wiederherstellung aus der Datensicherung.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein diesem Vertrag entsprechendes Schutzniveau. Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Rechte der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen nach Art. 12 bis 22 DSGVO. KINODO stellt dafür insbesondere Funktionen zur Auskunft (Export als PDF und Datei), zur Berichtigung und zur Löschung bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

§ 8 Meldung von Verletzungen, weitere Unterstützung

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

(2) Er unterstützt den Auftraggeber bei der Datenschutz-Folgenabschätzung und bei der Zusammenarbeit mit der Aufsichtsbehörde mit den ihm verfügbaren Informationen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen und die Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate und Prüfberichte).

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach rechtzeitiger Anmeldung, in der Regel mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten durchführen, ohne den Betrieb unverhältnismäßig zu stören. Die Rechte der Aufsichtsbehörden bleiben unberührt.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Der Auftraggeber kann seine Daten während der Laufzeit und bis 90 Tage nach Vertragsende jederzeit exportieren. Danach löscht der Auftragnehmer sie, sofern keine gesetzliche Pflicht zur Speicherung besteht. Er kündigt die Löschung mindestens 30 Tage vorher in Textform an und erinnert 7 Tage vorher. Das Ende einer Testphase ohne anschließendes Abo steht dem Vertragsende gleich.

(2) In den verschlüsselten Datensicherungen werden die Daten nach spätestens 12 Monaten überschrieben. Bis dahin werden sie nicht verwendet.

(3) Der Auftraggeber kann einzelne Personen sowie sein gesamtes Konto jederzeit selbst endgültig löschen.

§ 11 Übertragung

Überträgt der Auftragnehmer den Hauptvertrag nach § 14 der AGB auf eine Gesellschaft, an der er mehrheitlich beteiligt ist (insbesondere die geplante KINODO UG (haftungsbeschränkt)), geht dieser Vertrag mit allen Rechten und Pflichten unverändert auf sie über. Speicherort, technische und organisatorische Maßnahmen und Unterauftragsverarbeiter bleiben unverändert; die Übertragung ist kein Vertragsende im Sinne von § 10. Der Auftraggeber wird mindestens vier Wochen vorher in Textform informiert und kann den Hauptvertrag zum Zeitpunkt der Übertragung ohne Frist kündigen.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags vor. Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

(2) Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen teilt der Auftragnehmer in Textform mit; sie werden mit erneuter Bestätigung in KINODO wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit: Betrieb in Rechenzentren mit Zertifizierung nach ISO 27001 (Zutrittskontrolle durch den Rechenzentrumsbetreiber); Anmeldung der Nutzer mit Passwort, optional Zwei-Faktor-Anmeldung, für den Betreiberzugang verpflichtend; Serverzugang nur mit kryptografischem Schlüssel, Passwortanmeldung abgeschaltet, Firewall mit Freigabe nur der notwendigen Ports; Trennung der Daten verschiedener Kunden durch Zugriffsregeln in der Datenbank (Row Level Security); Rollen und Zuständigkeiten innerhalb eines Büros; Übertragung ausschließlich verschlüsselt (TLS).

Integrität: Änderungen und Löschungen werden mit Zeitpunkt und Bearbeiter protokolliert; Einträge der Chronik können nicht überschrieben, nur ergänzt werden; eingereichte Berichte sind gesperrt; Zugriffe eingeladener Verhinderungsbetreuer werden protokolliert.

Verfügbarkeit und Belastbarkeit: tägliche Sicherung des gesamten Servers; nächtliche, verschlüsselte Sicherung der Datenbank in einem zweiten Rechenzentrum; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server; Überwachung des Betriebs mit automatischer Warnung; regelmäßiger Test der Wiederherstellung.

Datensparsamkeit: keine Speicherung von Kontonummern oder Ausweisnummern der betreuten Personen; gescannte Dokumente werden nicht gespeichert, nur die vom Nutzer bestätigten Inhalte; an den BetreuungsNavigator angehängte Dokumente sowie Notizen bei „Mit KI ordnen“ und „Stellungnahme entwerfen“ werden vor der Übermittlung pseudonymisiert (Namen, Geburtsdatum, Anschrift, Beteiligte aus der Akte, Aktenzeichen und Kennnummern durch Platzhalter ersetzt); der Auftraggeber kann KI-Funktionen auf pseudonymisierte beschränken oder ganz abschalten; jede KI-Auswertung wird ohne Inhalte protokolliert und ist für die Leitung einsehbar. Die Bankverbindung eines Nutzers für Vergütungsanträge ist nur für diesen Nutzer sowie Leitung und Assistenz seines Büros sichtbar.

Überprüfung: jährliche Überprüfung der Maßnahmen und der Unterauftragsverarbeiter; dokumentiertes Verfahren für Datenschutzverletzungen.

Anlage 2: Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen – Betrieb der Server (Rechenzentrum Nürnberg) und Datensicherung (Rechenzentrum Falkenstein); Deutschland.

Anthropic Ireland, Limited, Dublin, Irland – Auswertung mit künstlicher Intelligenz, nur wenn ein Nutzer eine KI-Funktion auslöst (Dokument scannen, Sammel-Posteingang, Notiz „Mit KI ordnen“, „Stellungnahme entwerfen“, BetreuungsNavigator); übermittelt wird nur der dafür nötige Inhalt, beim BetreuungsNavigator ohne Name, Anschrift und Kennnummern. Anthropic speichert Eingaben und Ergebnisse höchstens 30 Tage und verwendet sie nicht zum Training; eine längere Aufbewahrung nur, soweit zur Durchsetzung der Nutzungsrichtlinien oder gesetzlich erforderlich. Verarbeitung auch in den USA auf Grundlage der Standardvertragsklauseln der EU-Kommission.

checkdomain GmbH, Große Burgstraße 27/29, 23552 Lübeck – Versand von Systemnachrichten (z. B. Anmeldung, Einladungen) und E-Mail-Postfach für Anfragen; Deutschland.

Hinweis: Die Zahlungsabwicklung über Stripe betrifft nur die Rechnungsdaten des Auftraggebers selbst, keine Daten der betreuten Personen, und ist nicht Gegenstand dieses Vertrags.