Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand, Dauer und Abschluss

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter bei der Bereitstellung und dem Betrieb der Anwendung Kindfair nach den Nutzungsbedingungen (im Folgenden „Hauptvertrag"). Erfasst sind die Daten, die der Betrieb und seine Beschäftigten in der Anwendung erfassen, und die Daten, die Dritte über die öffentlichen Formulare des Betriebs einreichen.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags. Die Pflichten aus § 12 und § 13 gelten fort, bis sie erfüllt sind.

(3) Der Vertrag wird zusammen mit dem Hauptvertrag geschlossen und bei der ersten Anmeldung von einer für den Betrieb handlungsberechtigten Person in der Anwendung bestätigt; dieses elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Der Anbieter speichert Zeitpunkt, Person, Fassung und Prüfwert des Textes. Der Text ist in der Anwendung jederzeit unter /rechtstexte/avv abrufbar; den Nachweis sieht die Verwaltung des Betriebs unter Einstellungen.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben über die Eingabemasken der Anwendung, Speichern in Datenbank und Dateiablage, Abrufen, Anzeigen, Ändern, Verknüpfen, Übermitteln per E-Mail an die in der Anwendung hinterlegten Empfänger, Bereitstellen zum Abruf über die Programmierschnittstelle an die vom Betrieb benannten Systeme, Erzeugen von Dokumenten, Ausfuhr und Löschen.

(2) Zweck der Verarbeitung ist ausschließlich die Erfüllung des Hauptvertrags: die Unterstützung der Verwaltungsaufgaben des Betriebs in den Bereichen Übersicht, Einsatzplan, Teamkalender, Klienten, Unterbringung, Protokolle, Mitarbeitende, Bewerbungen, Abwesenheit, Auslagen, Rechnungen, Auswertungen und Finanzen.

(3) Die Tätigkeiten des Anbieters sind: Bereitstellung und Betrieb der Anwendung samt Datenbank und Dateiablage; Betrieb der Programmierschnittstelle; zeitgesteuerte Aufträge und der Versand der E-Mails der Anwendung; Erzeugung von Dokumenten; Unterstützung und Fehlersuche, einschließlich der Bearbeitung von Meldungen im Ticketsystem des Anbieters; Löschung nach Fristen.

(4) Die Programmierschnittstelle (Kindfair-API, Version 1) gibt Daten nur zum Lesen heraus; über sie lassen sich keine Daten anlegen, ändern oder löschen. Abgerufen wird nur mit einem Schlüssel, den die Verwaltung des Betriebs in der Anwendung selbst ausstellt, auf Bereiche und eine Laufzeit beschränkt und jederzeit sperrt; je Betrieb sind höchstens 10 Schlüssel zugleich aktiv. Der Anbieter stellt einen Schlüssel nur auf Anforderung nach § 6 Abs. 3 aus und sieht Bezeichnung, Bereiche und Abrufprotokoll der Schlüssel eines Betriebs nur über einen Zugriff nach § 6 Abs. 5.

(5) Der Anbieter verarbeitet die Daten des Betriebs nicht für eigene Zwecke. Die Anwendung trifft keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO.

§ 3 Art der personenbezogenen Daten

Verarbeitet werden, soweit der Betrieb sie erfasst:

• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Angaben zur Gesundheit und zur sozialen Lage betreuter Personen.
• Daten der Kinder- und Jugendhilfe, die beim Betrieb dem Sozialgeheimnis unterliegen: Sozialdaten im Sinne von § 67 Abs. 2 SGB X, soweit der Betrieb eine in § 35 SGB I genannte Stelle ist, im Übrigen Daten, deren Schutz der Betrieb nach § 61 Abs. 3 SGB VIII in entsprechender Weise zu gewährleisten hat.
• Daten Minderjähriger.

§ 4 Kategorien betroffener Personen

• betreute Personen, überwiegend minderjährig, und mittelbar deren Personensorgeberechtigte;
• Beschäftigte und freie Mitarbeitende des Betriebs einschließlich ihrer Notfallkontakte;
• Bewerberinnen und Bewerber;
• Ansprechpersonen von Unterkünften, Vermietern und sonstigen Vertragspartnern des Betriebs;
• Personen, die in Kontoauszügen und Bankbuchungen des Betriebs als Zahlende oder Empfangende erscheinen.

§ 5 Pflichten des Betriebs

(1) Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Betrieb informiert den Anbieter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz feststellt.

(3) Soweit auf den Betrieb oder die konkrete Verarbeitung § 80 SGB X anwendbar ist, erfüllt der Betrieb die ihm danach obliegenden Anzeige- und Prüfpflichten, und der Anbieter erfüllt die sich daraus für die Auftragsverarbeitung ergebenden Anforderungen; er stellt dem Betrieb die erforderlichen Angaben zur Verfügung. Weitergehende Pflichten des Betriebs aus § 61 Abs. 3 SGB VIII oder aus Vereinbarungen mit dem Träger der öffentlichen Jugendhilfe bleiben unberührt.

(4) Der Betrieb hinterlegt in den Unternehmensdaten der Anwendung eine Ansprechperson für den Datenschutz und hält die Angabe aktuell.

§ 6 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs, auch hinsichtlich einer Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Betrieb die Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Einstellungen, die der Betrieb in der Anwendung selbst vornimmt — Rollen und Rechte seiner Beschäftigten, Aufbewahrungsfristen, das Löschen einzelner Datensätze und ganzer Akten, die Ausfuhr, das Erzeugen, Beschränken und Widerrufen von Schlüsseln für die Programmierschnittstelle —, gelten als Weisung.

(3) Weitere Weisungen erteilt der Betrieb in Textform an support@kindfair.net. Weisungsberechtigt sind die gesetzlichen Vertreter des Betriebs und die Personen, die in der Anwendung die Rolle Admin haben. Einen Schlüssel für die Programmierschnittstelle stellt der Anbieter nur auf Anforderung einer weisungsberechtigten Person aus, und zwar über einen Zugriff nach Absatz 5.

(4) Hält der Anbieter eine Weisung für rechtswidrig, teilt er das dem Betrieb unverzüglich mit. Er darf die Ausführung aussetzen, bis der Betrieb die Weisung bestätigt oder ändert.

(5) Inhalte des Betriebs sieht der Anbieter in der Anwendung nur, wenn er den Bereich des Betriebs ausdrücklich öffnet. Jeder solche Zugriff wird mit Beginn, Ablauf und Grund protokolliert und endet von selbst; die Verwaltung des Betriebs sieht ihn im Aktivitätsprotokoll der Anwendung, und auf Anfrage gibt der Anbieter Auskunft über Grund und Umfang. Der Anbieter nutzt ihn nur zur Unterstützung auf Anfrage, zur Behebung von Fehlern und zur Abwicklung bei Vertragsende. Außerhalb dieses Wegs greift der Anbieter nur zur Abwehr einer Störung, zur Wiederherstellung von Daten oder auf ausdrückliche Weisung unmittelbar auf Datenbank oder Dateiablage zu; diese Fälle hat der Betrieb im Vertrag zur Auftragsverarbeitung allgemein angewiesen. Der Anbieter vermerkt jeden solchen Zugriff mit Zeitpunkt, Anlass und Umfang und gibt dem Betrieb auf Nachfrage Auskunft darüber.

(6) Ruft ein vom Betrieb benanntes System Daten über die Programmierschnittstelle ab, ist es Empfänger des Betriebs. Für die Zulässigkeit dieser Übermittlung und für die Verarbeitung im Zielsystem ist allein der Betrieb verantwortlich. Berichtigungen und Löschungen in der Anwendung wirken nicht auf Daten, die ein Zielsystem bereits abgerufen hat. Welche Systeme mit welchen Bereichen abrufen, zeigt die Anwendung der Verwaltung des Betriebs in der Liste der Schlüssel. Schlüssel enden spätestens mit dem Hauptvertrag.

§ 7 Vertraulichkeit

(1) Der Anbieter gewährleistet, dass alle Personen, die bei ihm Zugang zu den Daten des Betriebs haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Sie wahren das Sozialgeheimnis und verarbeiten Sozialdaten nur zu dem Zweck, zu dem sie dem Anbieter anvertraut sind.

(2) Zugriff auf Daten des Betriebs erhält beim Anbieter nur, wer ihn für die Erfüllung dieses Vertrags benötigt, und nur in dem dafür erforderlichen Umfang.

(3) Die Verpflichtung der Beschäftigten des Betriebs ist Sache des Betriebs. Die Anwendung unterstützt ihn dabei: jede Person bestätigt bei ihrer ersten Anmeldung die Verpflichtung auf Vertraulichkeit und Sozialgeheimnis, und der Betrieb kann den Nachweis einsehen.

(4) Der Anbieter ist darauf hingewiesen, dass er bei seinen Leistungen an der beruflichen Tätigkeit von Personen mitwirken kann, die nach § 203 StGB zur Verschwiegenheit verpflichtet sind. Er verpflichtet sich zur Geheimhaltung fremder Geheimnisse, die ihm dabei bekannt werden, und ist darüber belehrt, dass ihre unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbar ist. Er verschafft sich von fremden Geheimnissen nur Kenntnis, soweit dies zur Erfüllung dieses Vertrags erforderlich ist. Zieht er weitere Personen hinzu, verpflichtet er sie in Textform zur Geheimhaltung und belehrt sie über die Strafbarkeit.

(5) Eine datenschutzbeauftragte Person ist nicht benannt. Fragen zum Datenschutz beantwortet der Anbieter unter support@kindfair.net.

(6) Bei Entwicklung, Wartung und Fehlersuche setzt der Anbieter das KI-Werkzeug Claude Code von Anthropic ein. Über den Datenbankzugang des Anbieters hat es technisch vollen Zugriff auf die Datenbank der Anwendung, als deren Eigentümer und damit an Rechten und Zeilen-Sicherheit der Anwendung vorbei; über Anbindungen an die Konten des Anbieters liest es außerdem Einsatz-, Fehler- und Versanddaten der Dienstleister für Auslieferung, Fehlerberichte und E-Mail-Versand. Nach den Arbeitsregeln des Anbieters nutzt es den Datenbankzugang lesend und nur so weit, wie die jeweilige Aufgabe es verlangt, mit Abfragen auf Aufbau, Kennungen und Anzahlen statt auf Inhalte; schreibend nutzt es ihn nur, um Änderungen am Aufbau der Datenbank einzuspielen, oder im Einzelfall auf ausdrückliche Anweisung des Anbieters. Meldungen aus dem Meldefenster der Anwendung und Anfragen aus dem Kontaktformular liest es nicht. Diese Grenzen sind organisatorisch, nicht technisch. Was das Werkzeug liest, geht an Anthropic in den USA. Der Anbieter nutzt Claude Code über ein Konto zu Verbraucherbedingungen; einen Vertrag zur Auftragsverarbeitung mit Anthropic gibt es dafür nicht. Lesende Zugriffe auf diesem Weg erscheinen weder im Zugriffs- noch im Aktivitätsprotokoll der Anwendung, Spuren davon gibt es allein in den Protokollen des Betreibers der Datenbank; Änderungen an Daten hält das Aktivitätsprotokoll mit dem Kanal „sql“ fest. Anlage 2 nennt Anthropic nur für die dort beschriebenen Funktionen der Anwendung, nicht für diesen Einsatz.

§ 8 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilt er dem Betrieb in Textform mit.

§ 9 Unterauftragsverarbeiter

(1) Der Betrieb genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter den Betrieb, indem er ihm die geänderte Fassung dieses Vertrags in der Anwendung vorlegt; die Verwaltung des Betriebs bestätigt sie oder lehnt sie bei der nächsten Anmeldung ab. Erst nach der Bestätigung verarbeitet ein neuer Unterauftragsverarbeiter Daten des Betriebs. Lehnt der Betrieb ab, gilt die bisherige Fassung weiter; eine Leistung, die nur mit dem neuen Unterauftragsverarbeiter erbracht werden kann, steht ihm dann nicht zur Verfügung. Muss der Anbieter einen Unterauftragsverarbeiter ersetzen und lehnt der Betrieb die Ersetzung ab, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen; setzt ein Unterauftragsverarbeiter dem Anbieter dafür eine kürzere Frist, legt der Anbieter die geänderte Fassung unverzüglich nach eigener Kenntnis vor.

(3) Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm auferlegt, und haftet gegenüber dem Betrieb für deren Einhaltung.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf die Daten des Betriebs, etwa Telekommunikations- und Namensdienste.

§ 10 Unterstützung bei den Rechten betroffener Personen

(1) Der Anbieter unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Art. 15 bis 22 DSGVO. Erreicht ein solcher Antrag den Anbieter, leitet er ihn unverzüglich an den Betrieb weiter und beantwortet ihn nicht selbst.

(2) Die Anwendung stellt dafür bereit: die Auskunft zu einer Klienten- oder Personalakte als Datei, die zugleich als Kopie nach Art. 20 DSGVO dient; die Berichtigung durch die Beschäftigten des Betriebs; die Löschung einzelner Datensätze und ganzer Akten durch die Verwaltung des Betriebs; die Ausfuhr des gesamten Bestands.

(3) Unterstützung, die über diese Funktionen hinausgeht, leistet der Anbieter auf Weisung. Den dafür entstehenden Aufwand kann er angemessen in Rechnung stellen, soweit er ihn nicht selbst verursacht hat.

§ 11 Meldung von Verletzungen und weitere Unterstützung

(1) Der Anbieter meldet dem Betrieb jede Verletzung des Schutzes personenbezogener Daten, die Daten des Betriebs betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung geht per E-Mail an die Personen mit der Rolle Admin und an die Ansprechperson für den Datenschutz, die der Betrieb in den Unternehmensdaten benannt hat.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch nicht bekannt ist, liefert der Anbieter unverzüglich nach. Lässt sich der Kreis der betroffenen Betriebe nicht sicher eingrenzen, gilt jeder Betrieb als betroffen.

(3) Die Bewertung, ob die Verletzung der Aufsichtsbehörde oder den betroffenen Personen zu melden ist, trifft der Betrieb. Der Anbieter unterstützt ihn dabei und dokumentiert jeden Vorfall.

(4) Der Anbieter unterstützt den Betrieb unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen auch bei den übrigen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere mit einer Beschreibung der Verarbeitung und der Maßnahmen für eine Datenschutz-Folgenabschätzung.

§ 12 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Betrieb alle Informationen zur Verfügung, die zum Nachweis der Einhaltung seiner Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Betrieb oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung dieses Vertrags überprüfen, auch durch Inspektionen. Kontrollen sind mit einer Frist von mindestens zwei Wochen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht mehr als nötig stören. Anlassbezogene Kontrollen nach einer Verletzung des Schutzes personenbezogener Daten sind ohne diese Frist zulässig.

(3) Jede Seite trägt die eigenen Kosten einer Kontrolle.

(4) Der Anbieter informiert den Betrieb unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen.

(5) Die Einhaltung durch Unterauftragsverarbeiter weist der Anbieter durch aktuelle Prüfberichte oder Zertifikate nach, etwa nach SOC 2 Typ II oder ISO/IEC 27001. Kontrollen vor Ort bei Unterauftragsverarbeitern sind nur nach deren Bedingungen möglich.

§ 13 Rückgabe und Löschung

(1) Nach dem Ende des Hauptvertrags gibt der Anbieter nach Wahl des Betriebs alle personenbezogenen Daten zurück oder löscht sie, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht.

(2) Zurückgegeben werden die Daten durch die Ausfuhr: die Verwaltung des Betriebs lädt unter Einstellungen im Bereich „Datenausfuhr" den gesamten Bestand als ZIP-Datei herunter — alle Fachbereiche als JSON, die Finanz- und Abrechnungsbestände zusätzlich als CSV und alle hochgeladenen Dateien. Jede Ausfuhr wird protokolliert.

(3) Nach dem Ende des Hauptvertrags hält der Anbieter den Bestand dreißig Tage bereit. Lädt der Betrieb ihn in dieser Zeit nicht selbst herunter, erstellt der Anbieter die Ausfuhr und stellt sie dem Betrieb zur Verfügung, wenn der Betrieb sie innerhalb dieser dreißig Tage in Textform anfordert.

(4) Danach löscht der Anbieter den Bereich des Betriebs mit allen Datensätzen und allen Dateien sowie die Anmeldekonten seiner Beschäftigten. Die täglichen Datensicherungen des Datenbankbetriebs laufen spätestens sieben Tage nach dieser Löschung ab und werden dabei gelöscht; die verschlüsselten Sicherungen der Dateien werden 30 Tage nach der Löschung mit dem nächsten nächtlichen Sicherungslauf gelöscht. Der Anbieter bestätigt die Löschung in Textform.

§ 14 Ort der Verarbeitung

(1) Datenbank und Dateiablage liegen in Frankfurt am Main. Die Serverfunktionen der Anwendung und der Hintergrunddienst laufen in Frankfurt am Main, Fehlerberichte werden in der EU gespeichert.

(2) Eine Verarbeitung außerhalb der EU und des EWR findet nur in dem Umfang statt, den Anlage 2 nennt, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 15 Haftung

(1) Für den Ersatz von Schäden, die eine betroffene Person wegen einer unzulässigen oder unrichtigen Verarbeitung erleidet, gilt Art. 82 DSGVO.

(2) Im Verhältnis zwischen Betrieb und Anbieter trägt jede Seite den Schaden in dem Umfang, in dem sie für den Umstand verantwortlich ist, durch den er eingetreten ist. Im Übrigen gilt die Haftungsregelung des Hauptvertrags.

§ 16 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; das elektronische Format nach § 1 Abs. 3 genügt. Eine geänderte Fassung wird der Verwaltung des Betriebs bei der nächsten Anmeldung vorgelegt; sie kann ihr zustimmen oder sie ablehnen, und die Anwendung bleibt in beiden Fällen nutzbar. Lehnt sie ab, gilt die bisherige Fassung weiter; für die Kündigung gilt der Hauptvertrag.

(2) In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

(3) Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Bremen, soweit eine Vereinbarung des Gerichtsstands gesetzlich zulässig ist.

(5) Bestandteil dieses Vertrags sind Anlage 1 (Technische und organisatorische Maßnahmen), Anlage 2 (Unterauftragsverarbeiter) und, wenn der Betrieb eine kirchliche Stelle ist, Anlage 3 (Kirchlicher Datenschutz).

Anlage 1 · Technische und organisatorische Maßnahmen

Der Anbieter trifft die folgenden Maßnahmen nach Art. 32 DSGVO. Die organisatorischen Maßnahmen im Bereich des Betriebs — insbesondere die Vergabe von Rollen, die Verpflichtung der Beschäftigten und die Regeln für ihre Geräte — trifft der Betrieb.

Anlage 2 · Unterauftragsverarbeiter

Der Betrieb genehmigt die folgenden Unterauftragsverarbeiter:

• Die Unternehmensgruppen von Supabase, Vercel, Render, Resend, Sentry, Google, Cloudflare, Apple und Anthropic haben ihren Hauptsitz in den USA. Behörden dort können nach dortigem Recht Zugriff auf Daten verlangen, auf die die Unternehmen Zugriff haben, auch wenn die Daten in der EU gespeichert sind.
• Meldungen aus dem Meldefenster der Anwendung und Nachrichten an die Adresse des Anbieters bearbeitet der Anbieter in seinem eigenen Ticketsystem VentionDesk. Enthalten Meldungen Daten des Betriebs, verarbeitet der Anbieter sie im Auftrag; VentionDesk läuft bei den oben genannten Dienstleistern in eigenen, von Kindfair getrennten Projekten.
• Die Namensauflösung der Domain kindfair.net stellt ebenfalls Cloudflare bereit; das ist eine Nebenleistung ohne Zugriff auf Daten des Betriebs (§ 9 Abs. 4).
• Die Unterauftragsverarbeiter der genannten Dienstleister ergeben sich aus deren veröffentlichten Listen.
• Eine Übermittlung in ein Land außerhalb der EU und des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

Anlage 3 · Kirchlicher Datenschutz

(1) Diese Anlage gilt, wenn der Betrieb eine Stelle ist, für die kirchliches Datenschutzrecht gilt — insbesondere das Gesetz über den Kirchlichen Datenschutz (KDG) der katholischen Kirche oder das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD).

(2) Dieser Vertrag gilt dann zugleich als Vertrag über die Verarbeitung im Auftrag nach dem für den Betrieb geltenden kirchlichen Datenschutzrecht. Soweit dessen Vorschriften über die Verarbeitung im Auftrag über diesen Vertrag hinausgehen, gelten sie ergänzend; Verweise auf die DSGVO sind als Verweise auf die entsprechenden kirchlichen Vorschriften zu lesen.

(3) Der Anbieter unterwirft sich für die Verarbeitung im Auftrag des Betriebs der Kontrolle durch die für den Betrieb zuständige kirchliche Datenschutzaufsicht. Verweise dieses Vertrags auf eine Aufsichtsbehörde meinen diese Aufsicht.