KERNVARO Software

KERNVARO - KITA › Sicherheit und Datenschutz

Für Träger, Leitungen und Datenschutzbeauftragte

Kinderdaten gehören in die Kita. Nicht zu uns.

KERNVARO - KITA läuft auf dem Server des Trägers. Akten, Fotos und Nachrichten erreichen uns nie — wir könnten sie nicht einmal ansehen. Was die Software dafür mitbringt, was über unseren Server geht und was beim Träger liegt, steht hier Punkt für Punkt.

Was wohin geht Vertrag zur Auftragsverarbeitung

Stand 03.11.2026 · gilt für KERNVARO - KITA Version 0.16.6 · Alle Angaben beziehen sich auf die Software, wie sie ausgeliefert wird; die Einrichtung kann Vorgaben ändern.

Server des Trägers

Hier liegt alles.

  • Kinderakten, Gesundheit, Einwilligungen
  • Fotos, Nachrichten, Elternbriefe, Dokumente
  • Dienstplan, Zeiterfassung, Essensgeld
  • Datenbank, Schlüssel und Sicherungen
  • Zugriffsprotokoll und Löschlauf
BrowserGruppen-TabletKioskEltern-App
KERNVARO-Server (EU)

Hier kommt nur das an.

  • Lizenzprüfung: Schlüssel, Server-Adresse, Version, Gerätekennung
  • Push-Weckruf ohne Inhalt — nur wenn eingeschaltet
  • Abruf signierter Updates durch Ihren Server

Nie: Namen, Akten, Fotos, Nachrichten.

Die Eltern-App spricht direkt mit dem Server der Kita — ohne Konto bei uns.

Beide Wege zu uns tragen keine Kinderdaten.

  • Kein Hosting, kein Zugriff.

    Wir betreiben keinen Server mit Ihren Kinderdaten und haben keinen Zugang zu Ihrem. Der Support sieht nur, was Sie uns selbst schicken.

  • Verschlüsselt, wo es zählt.

    Gesundheit, Sorgerecht, Krankmeldungen, Chat, Vorkommnisse, Beobachtungen und Kinderschutz liegen mit AES-256-GCM verschlüsselt in der Datenbank. Die Schlüssel bleiben auf Ihrem Server.

  • Nur sehen, was man braucht.

    Neun Rollen, Sicht nach Gruppe, Notfallkarte für alle Fachkräfte. Kinderschutzfälle nur mit eigenem Recht und zweitem Faktor — alle anderen sehen nicht einmal, dass es sie gibt.

  • Löschen von selbst.

    Fristen je Datenart, einstellbar in festen Grenzen; der Löschlauf läuft täglich. Wer eine Akte, Gesundheitsangaben oder ein Dokument öffnet, steht im Zugriffsprotokoll.

Datenflüsse

Was wohin geht — vollständig.

Jede Verbindung, die die Software nach außen aufbaut, und was dabei übertragen wird. Alles andere bleibt auf Ihrem Server.

WasWohinWas genau übertragen wird
Kinderakten, Gesundheit, EinwilligungenSorgeberechtigte, Abholung, Notfallkarte, Pädagogik, Kinderschutz
Server des TrägersDatenbank im Container, ohne offenen Port

Bleiben auf Ihrem Server. Sensible Felder sind zusätzlich verschlüsselt, Kinderschutzfälle mit einem eigenen zweiten Schlüssel.

Fotos, Nachrichten, Elternbriefe, DokumenteAlles, was die Eltern-App anzeigt
Server des TrägersDie Eltern-App lädt direkt von dort

Fotobuch-Dateien und Sprachnachrichten liegen verschlüsselt ab. Chat-Bilder können zum einmaligen Ansehen verschickt werden.

LizenzprüfungAlle 6 bis 12 Stunden, mit Zufallsversatz
KERNVARO-LizenzserverRechenzentrum SkyLink, Eygelshoven (NL, EU)

Lizenzschlüssel, Server-Adresse, Programmversion und eine zufällige Gerätekennung; die IP-Adresse ist bei der Verbindung technisch sichtbar. Die Antwort ist signiert. Netzfehler sperren nicht.

Push-WeckrufNur wenn die Einrichtung Push einschaltet — ab Werk aus
KERNVARO-Push-Relay → Apple bzw. GoogleIm Auftrag des Trägers (AVV)

Gerätekennung des Telefons, fester Text „Neuigkeit aus der Kita“, eine grobe Art (etwa „Termin“) und eine Zufallskennung. Kein Name, kein Kind, kein Inhalt. Das Relay speichert keine Gerätekennungen und protokolliert nur Zeitpunkt, Lizenz, Plattform und Ergebnis für sieben Tage.

UpdatesIhr Server fragt an, nicht wir
kernvaro.com/kita/downloadAbruf durch Ihren Server

Ihr Server holt Pakete mit Ed25519-Signatur und prüft sie vor dem Einspielen. Eingespielt wird nur auf Ihren Knopf oder in Ihrem Zeitfenster.

Essensgeld onlineNur wenn der Träger es einschaltet
Zahlungsanbieter des TrägersEigener Vertrag des Trägers

Das Geld geht an das Konto des Trägers, nie über KERNVARO. Die Eltern-App verarbeitet keine Zahlungsdaten; alternativ ein QR-Code zur Überweisung.

SupportNur was Sie uns selbst schicken
KERNVAROE-Mail oder Ticket im Kundenbereich

Bildschirmfotos oder Exporte, die Sie einem Ticket beilegen. Dafür gilt der Vertrag zur Auftragsverarbeitung. Einen Fernzugriff auf Ihren Server gibt es nicht, solange Sie ihn nicht einrichten.

Apple und Google können Push-Nachrichten auch in den USA verarbeiten (EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Weil der Weckruf keinen Inhalt trägt, betrifft das nur die Gerätekennung. Einzelheiten in der Datenschutzerklärung.

Technische Maßnahmen

Was die Software mitbringt.

Jede Karte nennt die Version, seit der die Maßnahme ausgeliefert wird. Vorgaben lassen sich in der Einrichtung ändern — in festen Grenzen.

seit 0.9

Verschlüsselung der Felder

Sensible Felder werden mit AES-256-GCM verschlüsselt, jeder Wert mit eigenem Zufallswert und an Sammlung, Feld und Datensatz gebunden. Die Schlüssel liegen im Datenordner des Servers mit Rechten nur für den Dienst, nie in der Datenbank, und lassen sich per Befehl rotieren.

  • Gesundheit, Sorgerecht, Krankmeldungen, Infektionen, „Mein Tag“
  • Vorkommnisse, Chat, Beobachtungen, Gesprächsprotokolle, Formularantworten
  • Personalnachweise, IBAN, BuT-Aktenzeichen
  • Kinderschutz mit zweitem, eigenem Schlüssel (seit 0.14)
Installer

Verschlüsselte Verbindung

Der Installer richtet HTTPS ein: öffentlich mit automatischem Let’s-Encrypt-Zertifikat, im internen Netz per DNS-Nachweis oder mit eigenem Zertifikat. Nach außen sind nur die Ports 80 und 443 offen; Datenbank und Anwendung haben keinen eigenen Port.

  • HSTS für ein Jahr, Schutz gegen Einbettung und Typ-Raten
  • Bei eigenem Zertifikat trägt der QR-Brief den Fingerabdruck — die Eltern-App vertraut genau diesem Schlüssel (seit 0.11.2)
seit 0.9

Anmeldung und Sitzungen

Kennwörter werden mit bcrypt gespeichert, mindestens zehn Zeichen. Nach zehn Fehlversuchen in 15 Minuten bremst der Server die Adresse. Ein Kennwortwechsel beendet alle alten Sitzungen.

  • Personal: Anmeldung gilt 90 Tage, Verlängerung nur mit gültiger Sitzung
  • Eltern: Zugangsschlüssel nur als Hash gespeichert, 30 Tage gleitend, höchstens 365 Tage (seit 0.10)
  • Kiosk-PIN je Person, sechs Ziffern, gehasht; fünf Fehlversuche sperren 15 Minuten (seit 0.13)
seit 0.9

Zweiter Faktor

Administration und Leitung können die Anmeldung mit einem zweiten Faktor sichern — Einmalcodes nach RFC 6238 aus einer Authenticator-App, ohne Fremddienst.

  • Für den Zugang zu Kinderschutzfällen ist der zweite Faktor Pflicht (seit 0.14)
  • Wir empfehlen, ihn für Leitung und Administration einzuschalten
seit 0.9

Rollen und Sicht nach Gruppe

Neun Rollen: Administration, Leitung, Gruppenleitung, Verwaltung, Fachkraft, Hilfskraft, Küche, Caterer und Träger. Jede sieht nur, was sie für ihre Arbeit braucht.

  • Fremde Gruppen: nur Name, Foto, Gruppe, Notfallkarte und Anwesenheit
  • Küche, Caterer und Träger sehen keine Kinderakte
  • Kinderschutz: eigenes Recht für benannte Personen — auch die Administration hat es nicht von selbst
seit 0.9

Zugriffsprotokoll

Wer wann Sorgerecht oder Gesundheitsangaben liest oder ändert, ein Dokument öffnet, eine Auskunft erstellt oder einen Kinderschutzfall aufruft, steht im Protokoll — mit Name, Rolle und Kind, ohne IP-Adressen.

  • Aufbewahrung 12 Monate, einstellbar zwischen 6 und 24
  • Einsehbar für Administration und Leitung
seit 0.9

Löschfristen und Löschlauf

Der Löschlauf startet zwei Minuten nach dem Start des Dienstes und dann alle 24 Stunden; die Administration kann ihn auch von Hand anstoßen. Er schreibt nur Anzahlen, keine Namen.

  • Vorgaben: Gesundheit 3 Monate und Akte 36 Monate nach Austritt, Krankmeldungen 24 Monate, Infektionen 12 Monate
  • Anwesenheit mit Personen 24 Monate, danach nur Tagessummen
  • Fotobuch: Widerruf sperrt sofort, Austritt löscht am Tag danach
seit 0.9

Auskunft und Nachweise

Administration und Leitung erstellen zu jedem Kind eine Auskunft als Datei — ohne Kinderschutzvermerke und ohne Daten Dritter, protokolliert. Die Entwicklungsdokumentation lässt sich als ZIP herausgeben.

  • Einwilligungen sind unveränderliche Nachweise: wer, wann, in welcher Form, welcher Text; ein Widerruf wird vermerkt, nie überschrieben
  • Nachträgliche Änderungen mit eigenem Protokoll (seit 0.16.4)
Installer

Sicherung, Firewall, Updates

Die Software legt täglich um 04:45 Uhr eine verschlüsselte Sicherung an (AES-256, 14 Tage aufbewahrt, zusätzliches Ziel wie ein NAS möglich). Die Firewall lässt sich aus der Oberfläche steuern — mit Aussperrschutz, 80 und 443 bleiben immer offen.

  • Updates nur mit Signaturprüfung, per Knopf oder im Zeitfenster 02–05 Uhr (ab Werk aus)
  • Vor jedem Update eine eigene Sicherung auf dem Server

Betrieb

Ihr Server. Ihre Regeln.

Selbstbetrieb heißt: Die Software bringt Schutz mit, aber der Server gehört Ihnen. Deshalb versprechen wir keine Verfügbarkeit und keine Siegel — und sagen klar, was bei Ihnen liegt.

Die Software bringt mit

Ab Werk eingerichtet.

  • Drei Container auf Ihrem Server: Anwendung, Datenbank (MongoDB 7) und Caddy für HTTPS — nur 80 und 443 nach außen
  • Tägliche verschlüsselte Sicherung, Vorgabe an
  • Firewall-Steuerung mit Aussperrschutz, Vorgabe an
  • Rechtsrahmen bei der Installation wählbar: DSGVO, KDG, DSG-EKD oder öffentlicher Träger — die Hinweise in der Software passen sich an
  • Kiosk, Fotobuch-Download, Abholung durch Dritte, Elternvereins-Funktionen: ab Werk aus, die Einrichtung schaltet bewusst ein
  • Hinweise zu Fristen und Sicherungen direkt in der Datenschutz-Ansicht der Software

Drei Tage laufen alle Funktionen ohne Lizenzschlüssel — Sie können jede Angabe auf dieser Seite vorher selbst prüfen.

Beim Träger liegt

Was Sie selbst verantworten.

  • Der Server: Zugang, Betriebssystem-Updates, Festplattenverschlüsselung, physischer Schutz
  • Eine Sicherung außerhalb des Servers — die eingebaute hilft, ersetzt sie aber nicht
  • Rollen und Rechte vergeben, zweiten Faktor für Leitung und Administration einschalten
  • Rechtsgrundlagen und Einwilligungen, Information der Eltern, Verzeichnis der Verarbeitungstätigkeiten
  • Fristen prüfen und an Ihre Aufbewahrungspflichten anpassen
  • Verfügbarkeit und Wiederherstellung — es ist Ihr Server

Der Träger ist Verantwortlicher im Sinne der DSGVO. Wir sind es für den Lizenzserver und — als Auftragsverarbeiter — für Push-Relay und Support.

Eltern-App und Push

Die App spricht nur mit der Kita.

Eltern verbinden die App KERNVARO - KITA per QR-Brief ihrer Einrichtung mit deren Server. Ein Konto bei uns gibt es nicht; Anmeldedaten speichert die App verschlüsselt auf dem Gerät. Was Eltern sehen, gibt die Kita frei.

Push ist ab Werk aus und lässt sich erst einschalten, wenn der Vertrag zur Auftragsverarbeitung angenommen ist. Unterwegs ist nur der feste Text „Neuigkeit aus der Kita“, eine grobe Art und eine Zufallskennung — kein Name, kein Kind, kein Inhalt. Zu Kinderschutzfällen geht nie ein Push; zu Gesundheit, Krankmeldung oder Unfall höchstens „wichtig“. Eltern wählen je Art, was sie bekommen; schaltet die Einrichtung Push ab, löscht der Server alle Gerätekennungen.

Apple und iPhone sind Marken der Apple Inc.; Android und Google Play sind Marken der Google LLC.

  • Fotos nur mit EinwilligungEltern sehen Fotos ihres Kindes; Gruppenfotos nur, wenn für jedes abgebildete Kind die Einwilligung vorliegt. Ein Widerruf sperrt sofort, der Austritt löscht alle Fotos mit dem Kind. Download ab Werk aus.
  • Bilder zum einmaligen AnsehenIm Chat lassen sich Bilder so verschicken, dass die App sie nur einmal öffnet. Ein Bildschirmfoto verhindert das nicht.
  • Krankmeldung ohne NetzDie App merkt sich die Meldung verschlüsselt und schickt sie, sobald das Telefon wieder verbunden ist — ohne Diagnose, nur „krank“ und Zeitraum.
  • Keine Analyse, keine WerbungWeder Software noch App enthalten Analyse- oder Werbedienste. Von Google wird nur der Zustelldienst für Push verwendet.
Der WeckrufServer der Kita→KERNVARO-Relay→Apple / Google→Eltern-App→holt den Inhalt beim Server der Kita

Rechtliches

Wer wofür verantwortlich ist.

Klar getrennt, damit Ihr Datenschutzbeauftragter nichts suchen muss.

Verantwortlichkeit

Der Träger ist Verantwortlicher.

Die Software läuft auf seinem Server; er entscheidet über Zwecke und Mittel. KERNVARO hat keinen Zugriff und ist für den Betrieb auf Ihrem Server kein Auftragsverarbeiter.

Bei der Installation wählen Sie den Rechtsrahmen: DSGVO, KDG (katholisch), DSG-EKD (evangelisch) oder öffentlicher Träger mit Sozialdaten nach SGB X. Die Hinweise in der Software richten sich danach.

Datenschutzerklärung zur Eltern-App →
Auftragsverarbeitung

Ein AVV — für genau zwei Dinge.

Wir stellen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bereit; Sie schließen ihn im Kundenbereich ab. Beim Betrieb auf Ihrem Server deckt er das Push-Relay und den Support ab, soweit Sie uns Daten schicken.

Die Lizenzprüfung ist nicht Gegenstand des AVV — dafür sind wir selbst verantwortlich, Einzelheiten stehen in unserer Datenschutzerklärung. Push lässt sich erst einschalten, wenn der AVV angenommen ist.

AVV im Wortlaut →
Rechte der Betroffenen

Werkzeuge für Auskunft, Löschung, Widerruf.

Auskunft (Art. 15): eine Datei je Kind, protokolliert. Löschung (Art. 17): Fristen, täglicher Löschlauf, Austritt. Widerruf einer Einwilligung (Art. 7 Abs. 3): wirkt sofort, der Nachweis bleibt. Herausgabe: Entwicklungsdokumentation als ZIP.

Diese Werkzeuge helfen der Einrichtung, Anfragen zu beantworten — die Antwort selbst gibt die Kita, nicht KERNVARO. Fragen von Eltern zu ihren Daten gehören an die Kita.

Alle Funktionen der Software →

Organisatorisches

Wie wir arbeiten — und was wir Ihnen raten.

Technik ist die eine Hälfte. Die andere sind Gewohnheiten — unsere und Ihre.

Bei KERNVARO

Was wir tun und lassen.

  • Kein Zugang zu Ihrem Server, kein Fernzugriff, solange Sie ihn nicht einrichten
  • Support nur mit dem, was Sie uns schicken — unter dem AVV
  • Updates spielen wir nie von uns aus ein; Pakete sind signiert
  • Das Push-Relay speichert keine Gerätekennungen; Protokoll sieben Tage
  • Lizenzserver und Relay auf unserem eigenen Server im Rechenzentrum SkyLink, Eygelshoven (Niederlande, EU)
  • Neue Funktionen kündigen wir erst an, wenn sie fertig sind — und beschreiben nur, was ausgeliefert ist
  • Sicherheitshinweise nehmen wir unter info@kernvaro.com entgegen
In der Einrichtung

Sechs Handgriffe, die viel ausmachen.

  • Zweiten Faktor für Leitung und Administration einschalten
  • Rollen knapp vergeben: Fachkräfte sehen ihre Gruppe, nicht die ganze Einrichtung
  • Eine Sicherung außerhalb des Servers aufbewahren — zum Beispiel auf einem NAS
  • Löschfristen mit Ihren Aufbewahrungspflichten abgleichen, bevor die ersten Kinder austreten
  • Kiosk, Fotobuch-Download und Abholung durch Dritte nur einschalten, wenn Sie sie brauchen
  • Betriebssystem des Servers aktuell halten; Updates der Software zeitnah einspielen

Häufige Fragen

Was Datenschutzbeauftragte uns fragen.

Hostet KERNVARO Kinderdaten?

Nein. KERNVARO - KITA läuft auf dem Server des Trägers — einem Rechner in der Einrichtung oder einem gemieteten Linux-Server. Akten, Fotos, Nachrichten und Dienstpläne liegen in der Datenbank auf diesem Server. Wir haben keinen Zugang dazu, und ein Hosting bei uns gibt es nicht.

Was erfährt KERNVARO von unserer Kita?

Zwei Dinge, beide ohne Kinderdaten: die Lizenzprüfung (Lizenzschlüssel, Server-Adresse, Programmversion, eine zufällige Gerätekennung; die IP-Adresse ist bei der Verbindung technisch sichtbar) und — nur wenn Sie Push einschalten — den Weckruf an die Eltern-App mit der Gerätekennung des Telefons, dem festen Text „Neuigkeit aus der Kita“, einer groben Art und einer Zufallskennung. Dazu holt Ihr Server Updates bei uns ab. Mehr nicht.

Wo steht der Server von KERNVARO?

Lizenzprüfung und Push-Weiterleitung laufen auf unserem eigenen Server im Rechenzentrum SkyLink in Eygelshoven (Niederlande, EU). Ihre Kinderdaten erreichen ihn nicht.

Ist die Datenbank verschlüsselt?

Die sensiblen Felder sind es: Gesundheitsangaben, Sorgerecht, Krankmeldungen, Infektionen, Vorkommnisse, Chat, Beobachtungen, Gesprächsprotokolle, Formularantworten, Personalnachweise, IBAN und BuT-Aktenzeichen werden mit AES-256-GCM verschlüsselt, Kinderschutzfälle mit einem zweiten Schlüssel. Fotobuch-Dateien und Sprachnachrichten liegen ebenfalls verschlüsselt ab. Die Schlüssel stehen im Datenordner Ihres Servers, nie in der Datenbank. Die täglichen Sicherungen sind als Ganzes verschlüsselt. Eine Verschlüsselung der gesamten Festplatte richten Sie bei Bedarf auf dem Server ein — das macht die Software nicht.

Brauchen wir einen Vertrag zur Auftragsverarbeitung?

Für den Betrieb auf Ihrem Server nicht, weil wir keinen Zugriff haben. Für die Push-Weiterleitung und für Support, bei dem Sie uns Daten schicken, ja — dafür stellen wir den Vertrag im Kundenbereich bereit, und Push lässt sich erst einschalten, wenn er angenommen ist. Ob Ihr Datenschutzbeauftragter ihn darüber hinaus wünscht, entscheiden Sie gemeinsam.

Was passiert, wenn ein Kind die Einrichtung verlässt?

Die Fristen laufen ab dem Austritt: Gesundheitsangaben werden nach 3 Monaten gelöscht, die Akte nach 36 Monaten (jeweils Vorgabe, einstellbar). Fotos mit dem Kind im Fotobuch löscht die Software am Tag nach dem Austritt. Den Löschlauf startet sie täglich von selbst; gelöschte Daten bleiben bis zu 14 Tage in den Sicherungen.

Kann KERNVARO Updates auf unserem Server einspielen?

Nein. Ihr Server holt die signierten Pakete bei uns ab und prüft die Signatur. Eingespielt wird nur, wenn Sie den Knopf drücken — oder, wenn Sie es einschalten, nachts in Ihrem Zeitfenster. Von uns aus geschieht nichts.

Was passiert, wenn unser Server KERNVARO nicht erreicht?

Nichts Schlimmes. Netzfehler sperren die Software nicht; nur eine signierte Antwort unseres Lizenzservers mit „ungültig“ kann das. Die Notfallkarte ist auch ohne gültige Lizenz erreichbar.

Wer sieht die Fotos der Kinder?

Eltern sehen Fotos ihres eigenen Kindes. Gruppenfotos sehen Eltern anderer Kinder der Gruppe nur, wenn für jedes abgebildete Kind die Einwilligung dafür vorliegt. Ein Widerruf sperrt das Foto sofort für alle. Download ist ab Werk aus.

Haben Sie ein Siegel oder eine Prüfung durch Dritte?

Nein, und wir werben nicht damit. Was auf dieser Seite steht, ist im Quelltext der Software umgesetzt; den Server betreiben Sie. Gern beantworten wir die Fragen Ihres Datenschutzbeauftragten.

Noch Fragen?

Fragen Sie uns — gern auch Ihr Datenschutz­beauftragter.

Schreiben Sie uns, was Sie wissen möchten — wir antworten mit Blick in den Quelltext. Oder installieren Sie die Software und prüfen Sie drei Tage lang selbst, ohne Lizenzschlüssel.

Frage zum Datenschutz stellen Zur Produktseite

Stand: 03.11.2026 · Version 0.16.6 · AVV · Datenschutzerklärung · Impressum