Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher ist die Schule, die Lernkurve für die Verarbeitung von Daten ihrer Schülerinnen und Schüler einsetzt, vertreten durch die Schulleitung. Auftragsverarbeiter ist der im Impressum genannte Anbieter.

Gegenstand ist die Bereitstellung der Anwendung Lernkurve zur Unterrichts- und Leistungsdokumentation sowie die dafür erforderliche Speicherung und Synchronisation der Daten zwischen den Geräten der eingesetzten Lehrkräfte.

Der Verantwortliche bleibt für die Zulässigkeit der Verarbeitung verantwortlich. Er stellt insbesondere sicher, dass die Lehrkräfte, die die Anwendung nutzen, dazu nach den für ihn geltenden schulrechtlichen Vorgaben befugt sind.

2. Art, Zweck und Dauer der Verarbeitung

• Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Übermitteln zwischen den Geräten des Verantwortlichen, Löschen.
• Zweck: Vor- und Nachbereitung des Unterrichts sowie Leistungsdokumentation durch die eingesetzten Lehrkräfte.
• Kategorien betroffener Personen: Schülerinnen und Schüler der eingesetzten Lehrkräfte.
• Arten der Daten: Namen, Noten und Bewertungen, Anwesenheiten, unterrichtsbezogene Notizen, Sitzordnung, Stunden- und Ferienplan. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen; der Verantwortliche verpflichtet sich, solche Daten nicht einzugeben.
• Dauer: für die Laufzeit des Nutzungsverhältnisses. Die Aufbewahrungsdauer abgeschlossener Schuljahre bestimmt der Verantwortliche über die Einstellung in der Anwendung (3 bis 10 Jahre oder unbefristet, Voreinstellung 3 Jahre in Deutschland, 6 Jahre in Österreich/Schweiz).
• Ort der Verarbeitung: ausschließlich innerhalb der Europäischen Union. Die Server mit Konten und Inhalten stehen in Deutschland. Eine Übermittlung in ein Drittland findet nicht statt.

3. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a). Weisungen erfolgen in Textform; als Weisung gelten auch die Einstellungen, die der Verantwortliche in der Anwendung vornimmt.

Faktische Grenze, die zugleich eine Zusicherung ist: Die Inhalte werden auf den Geräten des Verantwortlichen Ende-zu-Ende-verschlüsselt. Der Auftragsverarbeiter besitzt keinen Schlüssel und kann sie nicht lesen — er könnte einer inhaltsbezogenen Weisung technisch nicht nachkommen und wird sie folglich auch nicht ausführen können. Zugriff auf Inhalte hat allein der Verantwortliche über die Anwendung.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit.

4. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b). Der Kreis dieser Personen ist auf den Betrieb der Anwendung beschränkt; ein Zugriff auf Inhalte ist technisch ausgeschlossen (Ziffer 3).

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Im Einzelnen (Art. 28 Abs. 3 lit. c):

• Verschlüsselung der Inhalte:AES-256-GCM; der Schlüssel wird auf dem Endgerät aus dem Passwort abgeleitet (Argon2id, 64 MiB Speicher, 3 Durchläufe). Das Passwort erreicht die Server des Auftragsverarbeiters nicht.
• Verschlüsselung im Transport: durchgehend TLS.
• Zugangskontrolle: Jedes angemeldete Gerät ist einzeln widerrufbar; Passwortänderungen beenden alle Sitzungen sofort. Optional Gerätesperre per PIN (mindestens sechs Ziffern) oder Biometrie.
• Trennung: Jeder Datenbankzugriff ist an das jeweilige Konto gebunden.
• Verfügbarkeit und Wiederherstellbarkeit: tägliche verschlüsselte Sicherung, getrennt aufbewahrt, nach 30 Tagen gelöscht; der Wiederherstellungsweg ist erprobt. Die Anwendung arbeitet offline weiter.
• Datensparsamkeit im Betrieb: Server-Protokolle werden nach 14 Tagen gelöscht, IP-Adressen darin bereits beim Schreiben gekürzt. Kein Tracking, keine Analysedienste, keine Inhalte von fremden Servern.
• Überprüfung: automatisierte Prüfungen vor jeder Auslieferung (Tests, statische Analyse, Architektur- und Konventionsprüfungen, Abgleich des Verschlüsselungsvertrags zwischen den Systemteilen).

Eine externe Zertifizierung oder ein unabhängiges Krypto-Audit liegt derzeit nicht vor; die genannten Maßnahmen sind umgesetzt und werden intern geprüft.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 2, Abs. 4). Eingesetzt wird derzeit ausschließlich:

• STRATO AG, Deutschland — Betrieb der Server.

Änderungen dieser Liste teilt der Auftragsverarbeiter vorab in Textform mit; der Verantwortliche kann ihnen binnen vier Wochen widersprechen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf dieselben Pflichten.

Kein Unterauftragsverarbeiterist der Zahlungsdienstleister Mollie B.V. (EU): Er verarbeitet Zahlungsdaten des Nutzungsverhältnisses eigenverantwortlich und erhält keine Daten von Schülerinnen und Schülern.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e) sowie bei den Pflichten aus Art. 32 bis 36 (lit. f).

Praktisch bedeutsam: Auskunft, Berichtigung und Löschung einzelner Inhalte kann der Verantwortliche unmittelbar in der Anwendung vornehmen — der Auftragsverarbeiter muss dafür nicht tätig werden und könnte es mangels Zugriff auch nicht. Für die Datenübertragbarkeit (Art. 20) steht ein vollständiger Export in lesbarer Form bereit.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden.

8. Löschung und Rückgabe

Nach Abschluss der Erbringung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück, nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g). Die Rückgabe erfolgt über den Export in der Anwendung; die Löschung durch Löschen des Kontos, das der Verantwortliche selbst auslösen kann.

Gelöschte Daten können bis zu 30 Tage in verschlüsselten Sicherungskopien enthalten sein; danach sind sie auch dort entfernt.

9. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h). Die Nachweise erfolgen vorrangig durch Auskunft in Textform sowie durch die veröffentlichte Beschreibung der Maßnahmen; weitergehende Überprüfungen sind nach vorheriger Abstimmung möglich.

10. Laufzeit, Haftung, Schlussbestimmungen

Der Vertrag läuft, solange das Nutzungsverhältnis besteht. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Änderungen dieses Vertrages teilt der Auftragsverarbeiter in Textform mit; sie werden wirksam, wenn der Verantwortliche ihnen nicht binnen vier Wochen widerspricht. Jede Fassung trägt ein Datum (siehe Kopf dieses Dokuments).

11. Abschluss dieses Vertrages

Der Abschluss ist in Textform möglich — Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Eine Unterschrift auf Papier ist nicht erforderlich.

Senden Sie dazu eine E-Mail an die im Impressum genannte Adresse, in der Sie unter Angabe von Schule und vertretungsberechtigter Person erklären, diesen Vertrag in der oben genannten Fassung zu schließen. Sie erhalten eine Bestätigung in Textform; damit ist der Vertrag geschlossen. Auf Wunsch senden wir Ihnen eine unterschriftsfertige Ausfertigung.

Hinweis: Dieser Text folgt der Aufzählung des Art. 28 Abs. 3 DSGVO und beschreibt die tatsächlich getroffenen Maßnahmen. Er ersetzt keine Rechtsberatung; für die Prüfung, ob er den Anforderungen Ihres Landes und Ihrer Aufsichtsbehörde genügt, ist der Verantwortliche zuständig.