Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter (Samuel Zimmermann, nachfolgend „Anbieter“) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Träger/Organisation, nachfolgend „Auftraggeber“) im Rahmen der Nutzung von NEXTYA.

Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses; dieser Vertrag endet mit dem Nutzungsvertrag, die Pflichten nach § 4 b) und f) gelten fort. Nach Beendigung werden alle personenbezogenen Daten aus den aktiven Systemen unverzüglich gelöscht, sofern der Auftraggeber nicht die Rückgabe gewählt hat (§ 4 f) (Konto-/Organisationslöschung erfolgt synchron per DELETE mit Datenbank-CASCADE, siehe Löschkonzept). Verschlüsselte Off-Site-Sicherungskopien (GPG-AES-256, Hetzner Storage Box) laufen automatisch spätestens nach 30 Tagen aus; lokale Backups nach 7 Tagen. Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Rechnungsdaten) bleiben unberührt.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst:

• Speicherung von Klientendaten (Stamm- und Falldaten) zur Berichtserstellung
• Verarbeitung von Dokumentationsinhalten zur KI-gestützten Berichtsgenerierung, einschließlich Texterkennung gescannter PDF-Dateien, KI-gestützter Prüfung von Berichtsentwürfen aus Sicht des Jugendamts mit Abgleich gegen die Quelltexte, Überarbeitungsvorschlägen, Rechtschreibprüfung, eines berichtsbezogenen Chats und eines Fragen-Chats für die prüfende Person
• KI-gestützte Übersetzung von Texten, Dokumenten und Berichten sowie Beantwortung von Fachfragen im Fachassistenten, soweit dabei Klientendaten eingegeben, ein Klient als Kontext ausgewählt oder Dokumente hochgeladen werden
• Speicherung und Verwaltung erstellter Berichte, ihrer Vorfassungen (einschließlich des Stands bei Rückgabe), Anmerkungen und Änderungsvorschläge aus der Leitungsprüfung und dem Gegenlesen
• Versand von Benachrichtigungen (Einladungen, Status-Mails ohne Falldaten, auch Bitte um Gegenlesen und Rückmeldung nach dem Gegenlesen, Passwort-Links)
• Protokollierung schreibender und exportierender Aktionen im Aktivitätsprotokoll

§ 3 Kategorien betroffener Personen und Daten

Betroffene Personen

• Klient:innen der Jugendhilfe (Minderjährige und junge Volljährige)
• Bezugspersonen der Klient:innen
• Fachkräfte, Teamleitungen und Verwaltung des Auftraggebers (Nutzer:innen der Software, eingeladene Personen)
• Ansprechpersonen im Jugendamt und Mitzeichnende, soweit in Berichten eingetragen

Datenkategorien

• Stammdaten (Name, Geburtsdatum, Aktenzeichen, Geschlecht)
• Falldaten (Hilfeart, Hilfebeginn und -ende, zuständiges Jugendamt, Fachleistungsstunden, Hilfeplanziele, Notizen)
• Dokumentationsinhalte (Fließtext, Beobachtungen, Verlaufsnotizen; eingefügt oder aus PDF extrahiert)
• Berichtstexte (KI-generiert und manuell erstellt), Vorfassungen, Anmerkungen und Änderungsvorschläge, Rückgabe-Notizen
• Prüf- und Freigabemerkmale (wer prüft oder gegenliest, wer wann freigegeben hat)
• Prüfhinweise zu Berichtsabschnitten (betroffene Textstelle, Grund, gegebenenfalls Vorschlag, Entscheidung der Fachkraft), gespeichert am Abschnitt bis zum Bestätigen, zur nächsten Prüfung oder zur Löschung des Berichts
• Im Fachassistenten bewusst gespeicherte Antworten, gegebenenfalls mit Verknüpfung zu einer Klient:in
• Wünsche und fachliche Einschätzung der Fachkraft zur Berichtsgenerierung (nur für die jeweilige KI-Anfrage, nicht in der Datenbank gespeichert)
• Kontaktangaben (Empfänger im Jugendamt, Mitzeichnende, eingeladene Personen: Name, E-Mail)
• Nutzungsdaten (Zeitstempel, Aktionstyp und Person im Aktivitätsprotokoll)

Besondere Datenkategorien (Art. 9 DSGVO)

Die Dokumentations- und Berichtsinhalte können Gesundheitsdaten und Daten zu sozialen Verhältnissen enthalten.

§ 4 Pflichten des Anbieters

Der Anbieter verpflichtet sich:

1. Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die vereinbarte Nutzung von NEXTYA nach § 2 und § 5 ist die Weisung des Auftraggebers; weitere Weisungen erteilt er nach dem Abschnitt „Rechte und Pflichten des Auftraggebers“. Anfragen betroffener Personen, die im Auftrag verarbeitete Daten betreffen, leitet der Anbieter unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst
2. Die Vertraulichkeit zu wahren, auch nach dem Ende dieses Vertrags. Zur Verarbeitung befugt ist derzeit nur der Anbieter selbst; weitere Personen setzt er nur ein, wenn er sie vorher in Textform zur Vertraulichkeit verpflichtet hat. Der Anbieter beachtet die für den Auftraggeber geltenden Geheimnisschutzregeln, insbesondere das Sozialgeheimnis (§ 35 SGB I) und die Schweigepflicht nach § 203 StGB: Als mitwirkende Person im Sinne von § 203 Abs. 3 und 4 StGB wahrt er fremde Geheimnisse, offenbart sie nur, soweit es für die vereinbarte Leistung erforderlich ist, und setzt nur Unterauftragsverarbeiter ein, die vertraglich zur Vertraulichkeit verpflichtet sind
3. Geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen (siehe § 6)
4. Unterauftragsverarbeiter nur nach § 5 einzusetzen
5. Den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Art. 32–36 DSGVO zu unterstützen
6. Nach Beendigung nach Wahl des Auftraggebers alle personenbezogenen Daten zurückzugeben oder zu löschen. Bis zum Ende des Nutzungsverhältnisses kann der Auftraggeber seine Berichte über die Exportfunktionen sichern; auf Weisung in Textform stellt der Anbieter darüber hinaus einen Export der gespeicherten Daten in einem maschinenlesbaren Format (JSON oder CSV) bereit. Trifft der Auftraggeber bis zum Ende keine andere Wahl, gilt die Löschung als gewählt. Der Anbieter löscht die Daten nach § 1 (Sicherungskopien laufen dort genannt automatisch aus), soweit keine gesetzliche Pflicht zur Speicherung besteht, und bestätigt die Löschung auf Anfrage in Textform mit Datum
7. Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer zu ermöglichen und dazu beizutragen
8. Den Auftraggeber über jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, zu informieren, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt (Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze, eine Anlaufstelle für weitere Informationen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen); weitere Angaben werden nachgereicht (Art. 33 Abs. 2 DSGVO)
9. Den Auftraggeber unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt
10. Soweit der Auftraggeber zu einer Anzeige nach § 80 Abs. 1 SGB X verpflichtet ist oder sie entsprechend vornimmt, ihm die dafür nötigen Angaben (Auftragsverarbeiter, technische und organisatorische Maßnahmen, Datenarten, Kreis der Betroffenen, Unterauftragsverhältnisse) auf Anfrage in Textform bereitzustellen
11. Den Auftraggeber unverzüglich zu informieren, wenn seine Daten durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet werden

Rechte und Pflichten des Auftraggebers

• Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich.
• Weisungen erteilt der Auftraggeber in Textform (über die Funktionen von NEXTYA oder per E-Mail an support@nextya.de).
• Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen — durch Auskünfte, Nachweise und nach vorheriger Ankündigung durch Inspektionen (siehe Buchstabe g).

§ 5 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) bzw. Data Processing Agreements (DPA) gemäß Art. 28 DSGVO. Übermittlungen an US-Anbieter stützen sich bei DPF-zertifizierten Anbietern (Stand 16.10.2026: Resend, Cloudflare, GitHub, Microsoft sowie Amazon für AWS) auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), hilfsweise auf EU-Standardvertragsklauseln (SCCs); bei Supabase (nicht zertifiziert) auf SCCs nach Art. 46 Abs. 2 lit. c DSGVO; an Anthropic findet keine Übermittlung statt. Die Klientendaten selbst werden in der EU gespeichert und verarbeitet.

Für Cloudflare wurde ein Transfer Impact Assessment (TIA) gemäß EDPB-Empfehlung 01/2020 durchgeführt (siehe TIA-Dokument). Seit 21.04.2026 wird Cloudflare ausschließlich als DNS-Provider und Wartungsseiten-Host eingesetzt; eine Reaktivierung des Reverse-Proxys erfordert vorherige TIA-Aktualisierung und entweder Cloudflare Data Localization Suite oder selektiven Proxy-Ausschluss für Klientendaten-Routen.

Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Der Anbieter informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung mindestens 14 Tage vor dem Einsatz ausdrücklich in Textform (Hinweis in NEXTYA und E-Mail an die Konten mit Verwaltungsrechten) mit Name, Zweck, Sitz und Ort der Verarbeitung. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlichem Grund in Textform widersprechen. Hält der Anbieter an der Änderung fest, kann der Auftraggeber den Vertrag zum Zeitpunkt des Einsatzes ohne Kosten kündigen; im Voraus gezahlte Entgelte für die Zeit nach diesem Zeitpunkt erstattet der Anbieter anteilig. Bei einem akuten Sicherheitsrisiko oder dem unvorhergesehenen Ausfall eines Unterauftragsverarbeiters darf der Anbieter ohne Einhaltung der Frist wechseln, jedoch nur zu einem Unterauftragsverarbeiter mit Sitz und Verarbeitung in der EU oder im EWR, und informiert unverzüglich; Widerspruchs- und Kündigungsrecht bleiben bestehen.

Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die nach diesem Vertrag für ihn gelten (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Auftraggeber für deren Einhaltung.

§ 6 Technische und organisatorische Maßnahmen (TOM)

Vertraulichkeit

• Zugriffskontrolle durch Authentifizierung (E-Mail + Passwort, bcrypt-gehasht; optional TOTP-MFA)
• Row Level Security (RLS) auf allen Datenbanktabellen
• Organisationsbasierte Mandantentrennung (Multi-Tenancy) plus team-gebundene Isolation via has_team_access(team_id)
• Drei Träger-Rollen (Fachkraft, Teamleitung, Verwaltung) sowie Plattform-Administration des Anbieters; die Verwaltung ist von Klientendaten RLS-seitig ausgeschlossen; Berichte freigeben nur Teamleitung; Berichte archivieren Fachkraft und Teamleitung, archivierte Berichte sehen, wiederherstellen und endgültig löschen nur die Teamleitung (Migration 149; Ausnahme: „Rückgängig“ durch die archivierende Person innerhalb von 60 Sekunden), archivierte Berichte gehen nicht als früherer Bericht an die KI; Klient:innen archivieren, wiederherstellen und endgültig löschen nur die Teamleitung, archivierte Klient:innen sieht nur sie; zur Korrektur geht ein Bericht nur an eine Person im Team des Klienten; prüfende Personen ändern den Berichtstext als Vorschlag; in den Berichtstext übernehmen Vorschläge die Fachkraft oder, solange der Bericht zur Prüfung oder zur Überarbeitung liegt, die Teamleitung (dann erhält die Fachkraft einen Vermerk ohne Inhalte); ein bereits bestätigter KI-Abschnitt muss nach einer Übernahme neu bestätigt werden, vorher ist kein Export möglich; direkte Änderungen an Kopfdaten, Zielen und Stärkenprofil erhält die Fachkraft als Vermerk; einen fremden Bericht als Vertretung bearbeiten kann nur die Teamleitung; der Merker dafür liegt in einem Cookie ohne Inhalte, jeder Eintrag läuft 12 Stunden nach dem Einschalten ab und der Cookie wird beim Abmelden gelöscht; Beginn und ausdrückliches Ende werden protokolliert, ohne Inhalte
• Optionale MFA-Pflicht (TOTP) auf Organisationsebene durchsetzbar; Flag gegen direkte Manipulation per Trigger geschützt (Migration 118)
• Server-seitige Autorisierungsprüfung in jeder Server Action
• KI-Volumen je Organisation mit Prüfung an zentraler Stelle vor jeder KI-Anfrage; die tatsächlichen KI-Kosten verbucht ausschließlich der Server atomar über eine Datenbankfunktion, die nur mit Server-Berechtigung ausführbar ist (Migration 139); Nutzer:innen können den Zähler weder direkt (Spaltenschutz) noch über eine Datenbankfunktion (Migration 140) ändern
• Aktivitätsprotokoll nur serverseitig beschreibbar (Migration 125), Einträge nicht durch Nutzer:innen fälschbar
• Security-Header einschließlich Content-Security-Policy auf allen Seiten
• Service-Role-Key nur serverseitig, nie an Client exponiert

Integrität

• TLS 1.2 und 1.3 für alle Datenübertragungen (mindestens TLS 1.2, ausschließlich moderne AEAD-Cipher-Suites), HSTS erzwungen
• Audit-Trail aller schreibenden und exportierenden Aktionen (Erstellung, Änderung, Löschung, KI-Generierung, Bestätigung, Freigabe, Export, Rechte- und Teamänderungen); Archivieren und Wiederherstellen über die App sowie endgültiges Löschen eines Berichts mit dem Nutzerkonto protokolliert die Datenbank selbst (Migrationen 149, 150); das Löschen von Berichten mit einer Klient:in, einer Organisation oder einem Konto protokolliert der Server als übergeordneten Vorgang; Lesezugriffe werden nicht protokolliert; die übrige Protokollierung erfolgt asynchron
• KI-generierte Inhalte werden als solche gekennzeichnet
• Jeder KI-Abschnitt erfordert manuelle Bestätigung durch die Fachkraft (bei Bearbeitung als Vertretung durch die Teamleitung)

Verschlüsselung

Verfügbarkeit

• Tägliche automatisierte Datenbank-Backups: 7 Tage lokal + 30 Tage Off-Site (Hetzner Storage Box, GPG-verschlüsselt)
• Restore-Drill-Runbook (docs/runbooks/restore.md) mit quartalsweiser Test-Pflicht
• Docker-Healthcheck /api/health + autoheal-Service (willfarrell/autoheal:1.2.0, SHA-pinned) startet hängende Container automatisch neu
• fail2ban (3 Fehlversuche in 10 min führen zu 7 d Bann, progressiv bis 180 d)
• Rate-Limiting für alle API-Endpunkte (nginx + applikationsseitig pro Endpoint)
• Cert-Renewal mit Heartbeat-Monitoring (Better Stack alarmiert bei 25 h ohne Heartbeat)
• Audit-Log-Retention-Cleanup (scripts/cleanup-audit-log.sh, monatlicher Cron, 365 Tage Default)
• Deploy mit automatischem Rollback auf vorheriges Image bei fehlgeschlagenem Smoke-Test (scripts/deploy.sh)

Löschung

• Kontolöschung durch Nutzer jederzeit möglich (Art. 17 DSGVO)
• Vollständige Datenlöschung aus aktiven Systemen sofort, aus lokalen Backups nach 7 Tagen, aus Off-Site-Backups spätestens nach 30 Tagen (siehe § 1)
• KI-Verarbeitung ohne dauerhafte Speicherung beim KI-Anbieter (kein Training)
• Bericht-Chat, Fragen-Chat, Ergebnisse der Prüfung aus Sicht des Jugendamts und der Rechtschreibprüfung sowie der Bearbeitungsstand des Berichtsmodus liegen nur im Browser-Tab (sessionStorage); sie enden mit dem Browser-Tab (stellt der Browser eine Sitzung wieder her, kann er den Stand zurückholen) und werden beim Abmelden in diesem Tab gelöscht; Befunde der Prüfung gegen die Quelltexte und feste Prüfhinweise werden am Abschnitt gespeichert und mit dem Bericht gelöscht; sonst gelangt in die Datenbank nur, was in den Bericht oder als Quelltext übernommen wird
• Die gespeicherten Ergebnisse der bis Oktober 2026 angebotenen KI-Analyse wurden am 6. Oktober 2026 gelöscht
• Gesprächsverläufe des Fachassistenten werden nicht auf Servern von NEXTYA gespeichert, sondern nur im Browser des genutzten Geräts bis „Neues Gespräch“ oder Abmelden
• Im Fachassistenten gespeicherte Antworten mit Bezug zu einer Klient:in folgen ihrer Sichtbarkeit und werden mit ihr endgültig gelöscht (Migration 153)
• Exportierte Dateien werden nicht auf dem Server gespeichert
• Zeitbasierte Löschfristen für Falldaten legt der Auftraggeber fest; bis dahin werden Falldaten gelöscht, wenn der Auftraggeber sie löscht oder das Nutzungsverhältnis endet

KI-spezifische Maßnahmen

Anpassung der Maßnahmen

Die Maßnahmen in diesem § 6 beschreiben das vereinbarte Mindestschutzniveau. Der Anbieter darf sie dem technischen Fortschritt anpassen und durch gleichwertige oder wirksamere Maßnahmen ersetzen; das Sicherheitsniveau der beschriebenen Maßnahmen darf dabei nicht unterschritten werden. Der Anbieter dokumentiert jede Änderung und stellt die Dokumentation dem Auftraggeber auf Anfrage zur Verfügung. Wesentliche Änderungen teilt der Anbieter dem Auftraggeber vor ihrer Umsetzung in Textform in NEXTYA mit; wesentlich sind insbesondere Änderungen an Ort oder Dauer der Speicherung, an Datenkategorien, Empfängern oder Verarbeitungsorten sowie der ersatzlose Wegfall einer in diesem § 6 beschriebenen Schutzmaßnahme; Änderungen an Funktionen, die das Schutzniveau nicht senken, sind nicht wesentlich. Für Unterauftragsverarbeiter gilt ausschließlich § 5. Der Auftraggeber kann einer wesentlichen Änderung innerhalb von 14 Tagen in Textform widersprechen; § 5 gilt für die Folgen eines Widerspruchs entsprechend. Änderungen, die zur Abwehr einer akuten Sicherheitsgefahr nötig sind, darf der Anbieter sofort umsetzen, wenn sie das Schutzniveau nicht senken; er teilt sie unverzüglich mit.

§ 7 Haftung, Änderungen und Kontakt

Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung des Nutzungsvertrags.

Änderungen dieses Vertrags

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor. Änderungen dieses Vertrags bedürfen der Textform und der Bestätigung durch den Auftraggeber in NEXTYA oder einer von beiden Seiten in Textform bestätigten Fassung; ausgenommen sind Änderungen nach § 5 (Unterauftragsverarbeiter) und nach § 6 „Anpassung der Maßnahmen“, die nach den dort geregelten Verfahren wirksam werden.

Kontakt

Für Fragen zur Auftragsverarbeitung, zur Anforderung einer individuellen AVV oder zur Meldung von Datenschutzvorfällen:

Samuel Zimmermann E-Mail: support@nextya.de

Zuständige Aufsichtsbehörde

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach Telefon: +49 (0) 981 180093-0 E-Mail: poststelle@lda.bayern.de