Vereinbarung zur Auftragsverarbeitung (AVV)
Nach Art. 28 DSGVO – Bestandteil jeder geschäftlichen Bestellung. Version 2026-09. Sicherheit & Nachweise ansehen →
Standard (DSGVO) Kirchliche Stellen (DSG-EKD / KDG)
Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
zwischen dem Kunden (im Folgenden „Verantwortlicher“) und
SoMaLu Verwaltungs GmbH & Co. KG
vertreten durch Markus Thormann
Ausdorferstraße 7, 53489 Sinzig
E-Mail: info@somalu.eu
(im Folgenden „Auftragsverarbeiter“ oder „Anbieter“)
Präambel
Der Anbieter stellt dem Verantwortlichen Software-Anwendungen des Karl-Verbunds (somalu.eu) als Software-as-a-Service bereit. Dabei verarbeitet der Anbieter personenbezogene Daten im Auftrag des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien und ist Bestandteil des Hauptvertrags (Bestellung/AGB).
§ 1 Gegenstand, Dauer und Art der Verarbeitung
(1) Gegenstand ist der Betrieb, die Pflege und die Sicherung der vom Verantwortlichen bestellten Apps einschließlich Datenhaltung, Backup und Support.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende werden die Daten gemäß § 10 gelöscht oder zurückgegeben.
(3) Art und Zweck der Verarbeitung ergeben sich aus der jeweiligen App-Beschreibung (z. B. Zeiterfassung, Kita-Verwaltung, Ticketbearbeitung, Rechnungsstellung). Die Verarbeitung erfolgt ausschließlich im eigenen Rechenzentrum des Anbieters in Deutschland.
§ 2 Art der Daten und Kreis der Betroffenen
(1) Datenarten: Stammdaten (Name, Anschrift, Kontaktdaten), Zugangs- und Nutzungsdaten, Vertrags- und Abrechnungsdaten, Inhaltsdaten der jeweiligen App (z. B. Arbeitszeiten, Kinder- und Elterndaten, Tickets, Belege, Dokumente), Protokolldaten.
(2) Betroffene: Mitarbeitende und Nutzer des Verantwortlichen, Kunden, Lieferanten, Mitglieder, Eltern und Kinder (bei Kita-Anwendungen), sonstige vom Verantwortlichen erfasste Personen.
(3) Besondere Kategorien (Art. 9 DSGVO, z. B. Gesundheits- oder Religionsdaten) werden nur verarbeitet, soweit der Verantwortliche sie in die App einträgt; der Verantwortliche stellt die Rechtsgrundlage sicher.
§ 3 Weisungsgebundenheit
(1) Der Anbieter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen über die App-Einstellungen, das Kundenportal, per E-Mail oder Ticket.
(2) Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen.
§ 4 Pflichten des Anbieters
(1) Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
(2) Sicherheit: Der Anbieter trifft die in Anhang 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen und passt sie dem Stand der Technik an.
(3) Unterstützung: Der Anbieter unterstützt den Verantwortlichen bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) durch die in den Apps eingebauten Export- und Löschfunktionen sowie auf Anfrage.
(4) Meldung: Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dieser seine 72-Stunden-Frist (Art. 33 DSGVO) wahren kann (Notfall- und Meldekonzept, Anhang 3).
(5) Datenschutz-Folgenabschätzung: Der Anbieter unterstützt den Verantwortlichen mit den erforderlichen Informationen.
(6) Verzeichnis: Der Anbieter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungen (Art. 30 Abs. 2 DSGVO).
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die in Anhang 2 aufgeführten Unterauftragsverarbeiter (Hosting, E-Mail-Versand, optional KI-Dienste).
(2) Änderungen teilt der Anbieter mindestens 4 Wochen vorher mit (Veröffentlichung unter somalu.eu/sicherheit.php und Benachrichtigung der Konto-E-Mail). Der Verantwortliche kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den betroffenen Dienst außerordentlich kündigen.
(3) KI-Funktionen (Anhang 2, Abschnitt B) sind je App vom Verantwortlichen aktivierbar/deaktivierbar; ohne Aktivierung werden keine Daten an KI-Dienste übermittelt.
§ 6 Ort der Verarbeitung und Drittlandtransfer
(1) Hosting und Backup erfolgen ausschließlich in Deutschland.
(2) Ein Drittlandtransfer findet nur bei aktivierten KI-Funktionen (OpenAI, USA) statt – auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln des Dienstes. Der Verantwortliche entscheidet über die Aktivierung.
§ 7 Kontrollrechte
Der Verantwortliche kann sich vor Beginn und regelmäßig von der Einhaltung der TOM überzeugen – durch Einsicht in die veröffentlichten Nachweise (somalu.eu/sicherheit.php), Selbstauskünfte, Prüfberichte oder – nach Anmeldung mit angemessener Frist – Vor-Ort-Prüfung während der Geschäftszeiten.
§ 8 Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der Betroffenen, die Rechtevergabe innerhalb der App und die Sicherheit seiner Zugangsdaten verantwortlich.
§ 9 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags.
§ 10 Löschung und Rückgabe
(1) Der Verantwortliche kann seine Daten jederzeit über die Exportfunktionen der Apps selbst sichern.
(2) Nach Vertragsende werden die Daten des Verantwortlichen innerhalb von 30 Tagen gelöscht; Backups werden spätestens nach Ablauf der Backup-Aufbewahrung (max. 90 Tage) überschrieben. Gesetzliche Aufbewahrungspflichten (z. B. Rechnungsdaten, § 147 AO) bleiben unberührt.
§ 11 Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Datenschutzfragen vor. Änderungen bedürfen der Textform.
Anhänge: 1 – Technische und organisatorische Maßnahmen (TOM) · 2 – Unterauftragsverarbeiter · 3 – Notfall- und Meldekonzept
Diese Vereinbarung wird durch Bestätigung im Bestell-/Registrierungsprozess (Checkbox mit Zeitstempel und IP) geschlossen; auf Wunsch stellt der Anbieter eine unterzeichnete Fassung zur Verfügung.
Stand: 2026-09
Anhang 1 – Technische und organisatorische Maßnahmen
Technische und organisatorische Maßnahmen (Art. 32 DSGVO, § 27 DSG-EKD, § 26 KDG)
1. Vertraulichkeit
Zutrittskontrolle: Betrieb im eigenen Rechenzentrum des Anbieters in Deutschland auf eigener Server-Hardware; Zutritt ausschließlich für den Betreiber und namentlich benannte Personen, verschlossener Serverraum, Zutritte werden dokumentiert; kein externer Hosting-Dienstleister hat physischen oder logischen Zugriff.
Zugangskontrolle: Jede App läuft auf einem eigenen virtuellen Server mit eigener Datenbank (Instanz-Isolation). Administrativer Zugang nur per SSH-Schlüssel, kein Passwort-Login; Betreiber-Konten mit Zwei-Faktor-Authentisierung (TOTP); Kundenkonten über das zentrale Single Sign-on (Karl-SSO) mit optionaler 2FA, Passwort-Hashing (bcrypt/Argon2), Rate-Limit und Sperre nach Fehlversuchen.
Zugriffskontrolle: Rollen- und Rechtesystem je Mandant (Administrator, Bearbeiter, Leser u. a.); Rechte werden je Person einzeln vergeben; Betreiber sieht Kundendaten nur nach ausdrücklicher Freigabe (Support-Sitzung) – bei Karl-Kasse und Karl-Pass technisch ausgeschlossen (Zero-Knowledge).
Trennungskontrolle: Strikte Mandantentrennung in jeder App (tenant_key auf jeder Tabelle); getrennte Datenbanken je App; Test-/Demo-Umgebungen getrennt vom Produktivbetrieb.
Pseudonymisierung/Verschlüsselung: Transportverschlüsselung TLS 1.2/1.3 mit HSTS; Geheimnisse (API-Schlüssel, Zugangsdaten) verschlüsselt gespeichert (libsodium/OpenSSL); Passwort-Manager (Karl-Pass) Ende-zu-Ende-verschlüsselt.
2. Integrität
Weitergabekontrolle: Datenübertragung ausschließlich über HTTPS; Sicherheits-Header (HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy); Cookies mit Secure/HttpOnly/SameSite; E-Mail-Versand über eigenes Mail-Gateway mit SPF/DKIM/DMARC.
Eingabekontrolle: Revisionssicheres Audit-Log in jeder App (wer hat wann was geändert), zentral ausgewertet im Betreiber-Sicherheitsmonitor; Aufbewahrung des Audit-Logs je Mandant konfigurierbar (Standard 365 Tage).
3. Verfügbarkeit und Belastbarkeit
Tägliche automatische Backups (Datenbank + Dateien) je App, verschlüsselt, mit Aufbewahrung von mindestens 10 Generationen; Wiederherstellung über den Betreiber getestet; Monitoring aller Server (Karl-Monitoring) mit Alarmierung; automatische Betriebssystem-Sicherheitsupdates und regelmäßige App-Updates über die zentrale Flottenverwaltung; Firewall und fail2ban auf allen Servern; Ressourcen-Autoskalierung.
4. Verfahren zur regelmäßigen Überprüfung
Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Lösch-/Aufbewahrungskonzept, Notfall- und Meldekonzept (alle veröffentlicht unter somalu.eu/sicherheit.php); Incident-Response-Prozess mit 24-Stunden-Meldung an Kunden; automatischer Sicherheits-Scan des Webspace (Schadcode, Datei-Änderungen); jährliche Überprüfung der TOM und externer CyberRisikoCheck (DIN SPEC 27076).
Auftragskontrolle: Schriftliche AVV mit allen Kunden (Bestellprozess); Unterauftragsverarbeiter nur mit AVV/Standardvertragsklauseln; Weisungen dokumentiert über Ticketsystem.
Datenschutzfreundliche Voreinstellungen: Datensparsamkeit in jeder App; KI-Funktionen standardmäßig aus; Testlimits statt Vollzugriff; Löschfunktionen und Datenexport (Art. 15/17/20) in den Apps eingebaut.
Stand: 2026-09 – Änderungen werden unter somalu.eu/sicherheit.php veröffentlicht.
Anhang 2 – Unterauftragsverarbeiter
Unterauftragsverarbeiter (Anhang 2 zur AVV)
A. Stets eingesetzt
1. Hosting der Web- und Datenbankserver – KEIN Unterauftragsverarbeiter: Der Anbieter betreibt die Server (Virtualisierung, ein eigener virtueller Server und eine eigene Datenbank je App) im eigenen Rechenzentrum in Deutschland auf eigener Hardware. Es gibt keinen externen Hosting- oder Cloud-Dienstleister mit Zugriff auf Kundendaten.
2. E-Mail-Versand (Benachrichtigungen, Rechnungen) – KEIN Unterauftragsverarbeiter: eigenes Mail-Gateway des Anbieters im eigenen Rechenzentrum in Deutschland.
3. Domain/DNS-Registrar – verarbeitet keine Kundendaten (nur Domainverwaltung), daher kein Unterauftragsverarbeiter.
B. Optional – nur wenn der Kunde KI-Funktionen in einer App aktiviert
3. OpenAI, L.L.C. (USA) – Text- und Bilderzeugung, Vorschläge (Karl-KI, Karl-Ads, Karl-Familie, Karl-Share, Karl-Web, Karl-Reisen). Übermittelt werden nur die vom Nutzer eingegebenen Inhalte der jeweiligen Anfrage, keine Zugangsdaten; keine Nutzung zum Training durch OpenAI (API-Nutzungsbedingungen); Ort: USA; Grundlage: EU-U.S. Data Privacy Framework / EU-Standardvertragsklauseln. Der Kunde kann statt OpenAI einen anderen OpenAI-kompatiblen Endpunkt (z. B. europäischer Anbieter oder eigenes Modell) in den App-Einstellungen hinterlegen.
Änderungen werden mindestens 4 Wochen vorher hier veröffentlicht und per E-Mail an die Konto-Adresse mitgeteilt.
Stand: 2026-09
Anhang 3 – Notfall- und Meldekonzept
Notfall- und Meldekonzept (Art. 33/34 DSGVO, §§ 32/33 DSG-EKD, §§ 33/34 KDG)
1. Erkennung
Zentrales Sicherheitsmonitoring (Audit-Ereignisse aller Apps, fail2ban, Schadcode-Scan, Server-Monitoring) mit E-Mail-Alarm an die Sicherheitsadresse des Betreibers; Meldeweg für Kunden und Nutzer: security@somalu.eu bzw. Ticket „Sicherheit“.
2. Sofortmaßnahmen (innerhalb 1 Stunde nach Kenntnis)
Betroffenen Dienst isolieren (IP-Sperre, Quarantäne, Passwort-/Schlüssel-Rotation), Beweise sichern (Logs, Snapshot), Umfang feststellen (welche Mandanten, welche Datenarten).
3. Meldung an Kunden (innerhalb 24 Stunden)
Information aller betroffenen Verantwortlichen per E-Mail an die Konto-Adresse mit: Art der Verletzung, betroffene Datenarten und Personen (soweit bekannt), wahrscheinliche Folgen, ergriffene Maßnahmen, Ansprechpartner – damit der Kunde seine Meldung an die Aufsichtsbehörde binnen 72 Stunden abgeben kann. Für eigene Verarbeitungen des Anbieters erfolgt die Meldung an die zuständige Aufsichtsbehörde (Landesbeauftragter für Datenschutz Rheinland-Pfalz) innerhalb von 72 Stunden.
4. Wiederherstellung
Rückspielen aus Backup (RPO 24 h, RTO 8 h je App), Health-Check, Freigabe; bei Bedarf Bereitstellung eines neuen App-Servers über die Flottenverwaltung.
5. Nachbereitung
Ursachenanalyse, Anpassung der TOM, Dokumentation im Vorfallsregister (auch Vorfälle ohne Meldepflicht), Information der Kunden über den Abschluss.
Stand: 2026-09
Sie benötigen eine unterzeichnete Fassung oder einen eigenen AVV-Vordruck Ihrer Landeskirche/Diözese? Kontakt aufnehmen →