AUFTRAGSVERARBEITUNGSVERTRAG
Im Drucken-Dialog wählt ihr „Als PDF speichern“, dann liegt der Vertrag als PDF für eure Ablage bereit.
Zwischen
____________________________________ Name der Schule
____________________________________ Anschrift
____________________________________ Vertreten durch (Schulleitung)
____________________________________ E-Mail
(im Folgenden: „Auftraggeber” oder „Verantwortlicher”)
und
Nadine Forstenlechner (KLASSE gedacht) Kastnergasse 16 1170 Wien, Österreich E-Mail: kontakt@klassegedacht.at
(im Folgenden: „Auftragnehmerin” oder „Auftragsverarbeiterin”)
nachfolgend gemeinsam auch als „Parteien” bezeichnet.
I. Allgemeines
1. Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmerin im Rahmen der Auftragsverarbeitung von personenbezogenen Daten.
2. Die Auftragnehmerin übernimmt gemäß dem zwischen den Parteien bestehenden Nutzungs- bzw. Schullizenzvertrag über die Web-Anwendung KLASSE gedacht (im Folgenden „Hauptvertrag”) für die Dauer des Hauptvertrags die Verarbeitung von personenbezogenen Daten gemäß diesem Vertrag.
3. Dieser Vertrag kann auch elektronisch geschlossen werden, und zwar durch die Schulleitung im Rahmen der Bestellung einer Schullizenz oder durch eine Lehrperson beim Anlegen ihres Kontos, wobei die Lehrperson bestätigt, zum Abschluss für die Schule berechtigt zu sein. Ein bereits von der Schulleitung geschlossener Vertrag geht einer Bestätigung durch die einzelne Lehrperson vor. Der Vertrag steht auf der Website jederzeit zum Herunterladen bereit.
II. Zweck der Auftragsverarbeitung
1. Die Auftragsverarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der Web-Anwendung KLASSE gedacht zur Dokumentation von Mitarbeit und Leistungsfeststellungen durch Lehrpersonen des Auftraggebers. Sie umfasst die Speicherung, die Synchronisation zwischen den Endgeräten der jeweiligen Lehrperson, die Sicherung und die Löschung der Daten. Die Verarbeitung personenbezogener Daten beschränkt sich hierbei auf den technisch notwendigen Umfang zur Bereitstellung, zur Diagnose und Behebung technischer Probleme, zur Durchführung erforderlicher Systemaktualisierungen sowie zur Gewährleistung der notwendigen Funktionalität der bereitgestellten Systeme. Jeglicher Zugriff auf personenbezogene Daten erfolgt ausschließlich im Rahmen dieser streng geregelten Zweckbestimmung und nur insoweit, als dies für die erfolgreiche Erbringung der im Hauptvertrag vereinbarten Leistung erforderlich ist.
III. Beschreibung der Verarbeitung
1. Die im Rahmen der Auftragsverarbeitung verarbeiteten personenbezogenen Daten lassen sich in folgende Kategorien einteilen:
a. Inhaltsdaten (Ende-zu-Ende-verschlüsselt)
Diese Kategorie umfasst die von der Lehrperson eingetragenen Aufzeichnungen, insbesondere Namen bzw. Kürzel von Schülerinnen und Schülern, Klassen- und Fachbezeichnungen, Groblernziele, Aufgaben, Kompetenzen, Notizen, Beobachtungen zu Lernziel, Vollständigkeit, Genauigkeit und Selbstständigkeit sowie Noten, Semesternoten, Jahresnoten und Leistungsfeststellungen. Diese Daten werden bereits auf dem Endgerät der Lehrperson verschlüsselt und liegen der Auftragnehmerin ausschließlich in nicht lesbarer Form vor (Abschnitt V.1).
b. Technische Nutzungsdaten
Diese Kategorie beinhaltet technische Informationen, die bei der Nutzung der Web-Anwendung automatisch generiert werden, insbesondere Zeitpunkte des Speicherns und die Art eines Eintrags.
2. Im Rahmen der Auftragsverarbeitung werden folgende konkreten Verarbeitungsvorgänge durchgeführt:
• Speicherung der verschlüsselten Inhaltsdaten in der Datenbank
• Bereitstellung und Auslieferung der Web-Anwendung
• Synchronisation der verschlüsselten Inhaltsdaten zwischen den Endgeräten der jeweiligen Lehrperson
• Sicherung von Daten im Rahmen regelmäßiger Backup-Prozesse
• Löschung von Daten nach Weisung bzw. bei Kontolöschung
3. Die Verarbeitung erfolgt innerhalb der Europäischen Union; genutzter Serverstandort für die Datenbank ist Frankfurt am Main, Deutschland. Verarbeitungen in Drittländern sind nur unter Einhaltung der Anforderungen der Art. 44 ff. DSGVO zulässig, insbesondere durch:
• Angemessenheitsbeschluss der EU-Kommission für das jeweilige Drittland, oder
• geeignete Garantien nach Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln, oder
• Ausnahmetatbestände nach Art. 49 DSGVO.
4. Die Verarbeitung betrifft personenbezogene Daten folgender Kategorien von betroffenen Personen:
• Schülerinnen und Schüler des Auftraggebers
• Lehrpersonen des Auftraggebers, soweit deren Daten in den Aufzeichnungen enthalten sind
IV. Pflichten der Auftragnehmerin
1. Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, die Auftragnehmerin ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für sie bestehen, teilt die Auftragnehmerin diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihr gesetzlich verboten. Die Auftragnehmerin verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
2. Die Auftragnehmerin bestätigt, dass ihr die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Sie beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Die Auftragnehmerin verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.
3. Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.
4. Die Auftragnehmerin sichert zu, dass die bei ihr zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen.
5. Im Zusammenhang mit der beauftragten Verarbeitung hat die Auftragnehmerin den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutz-Folgenabschätzung zu unterstützen. Alle erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Auftraggeber auf Anforderung unverzüglich zuzuleiten. Hierzu stehen insbesondere die Eigenerklärung und die Beschreibung der technischen und organisatorischen Maßnahmen zum Abruf bereit.
6. Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich die Auftragnehmerin, den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.
7. Auskünfte an Dritte oder an betroffene Personen darf die Auftragnehmerin nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an sie gerichtete Anfragen wird sie unverzüglich an den Auftraggeber weiterleiten.
8. Ein Datenschutzbeauftragter ist bei der Auftragnehmerin gesetzlich nicht erforderlich und wurde nicht bestellt (Art. 37 DSGVO). Ändert sich dies, teilt die Auftragnehmerin dem Auftraggeber unverzüglich die Kontaktdaten des Datenschutzbeauftragten mit.
9. Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den in Kapitel V der Datenschutz-Grundverordnung enthaltenen Bedingungen sowie bei Einhaltung der Bestimmungen dieses Vertrags erfolgen. Für Drittlandübermittlungen stützt sich die Auftragnehmerin vorrangig auf von der EU-Kommission verabschiedete Standardvertragsklauseln. Alternative geeignete Garantien werden nur nach vorheriger Abstimmung mit dem Auftraggeber verwendet.
10. Für die durch eine Kontrolle verursachten und tatsächlich angefallenen Kosten kann die Auftragnehmerin gegenüber dem Auftraggeber einen Vergütungsanspruch geltend machen. Die Höhe der Vergütung bemisst sich an den tatsächlich angefallenen Kosten, die die Auftragnehmerin nachzuweisen hat. Für die Berechnung wird ein Stundensatz von EUR 100,00 zzgl. etwaiger Umsatzsteuer zugrunde gelegt.
V. Technische und organisatorische Maßnahmen
1. Es werden folgende Datensicherheitsmaßnahmen als verbindlich festgelegt. Sie definieren das von der Auftragnehmerin geschuldete Minimum. Ziel ist die Gewährleistung insbesondere der Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag verarbeiteten Informationen:
a. Verschlüsselung
• Sämtliche Inhaltsdaten (Abschnitt III.1.a) werden bereits auf dem Endgerät der Lehrperson mit AES-256-GCM verschlüsselt, bevor sie übertragen werden. Der Inhaltsschlüssel wird auf dem Endgerät der Lehrperson zufällig erzeugt. Aus dem Passwort der Lehrperson wird lediglich der Schlüssel abgeleitet, mit dem der Inhaltsschlüssel verschlüsselt wird. Auf dem Server werden nur zwei verschlüsselte Fassungen des Inhaltsschlüssels gespeichert, eine mit dem aus dem Passwort abgeleiteten Schlüssel und eine mit dem Wiederherstellungsschlüssel der Lehrperson verschlossen. Im Klartext verlässt keiner dieser Schlüssel das Endgerät. An den Server wird für die Anmeldung nur ein getrennt abgeleiteter Prüfwert übermittelt, aus dem sich das Passwort praktisch nicht zurückrechnen lässt.
• Die Auftragnehmerin hat keinen Zugriff auf den Schlüssel und kann die Inhaltsdaten weder im Klartext einsehen noch wiederherstellen noch an Dritte herausgeben.
• Sämtliche Übertragungen erfolgen zusätzlich transportverschlüsselt nach dem aktuellen Stand der Technik (SSL/TLS).
b. Pseudonymisierung
• Jeder Eintrag erhält vor dem Hochladen eine Kennung, die sich nicht auf die betroffene Person zurückrechnen lässt. Kalenderwochen und Schuljahre der Einträge sind serverseitig nicht sichtbar.
• Den Lehrpersonen wird empfohlen, statt vollständiger Klarnamen Vornamen oder Kürzel zu verwenden.
c. Integrität und Vertraulichkeit
• Speicherung sämtlicher Inhaltsdaten ausschließlich in der Datenbank des Unterauftragnehmers Supabase am Serverstandort Frankfurt am Main, Deutschland.
• Zugriff auf die Systeme der Auftragnehmerin nur über individuelle, abgesicherte Zugangsdaten; administrative Zugänge sind auf die Auftragnehmerin beschränkt.
• Unverschlüsselt werden ausschließlich die für den Betrieb erforderlichen technischen Angaben verarbeitet (Abschnitt III.1.b); aus ihnen lassen sich weder Namen noch Noten, Lernziele, Beobachtungen oder Notizen erkennen.
d. Verfügbarkeit und Belastbarkeit
• Regelmäßige Datensicherungen der Datenbank durch den eingesetzten Datenbankanbieter.
• Zusätzlich steht jeder Lehrperson in der App eine eigene Sicherung als Datei zur Verfügung; die Aufzeichnungen liegen zudem auf dem Endgerät der Lehrperson vor, sodass auch während einer Störung weitergearbeitet werden kann.
e. Handeln nach einem Notfall
• Im Falle eines Sicherheitsvorfalls werden die Backup-Systeme aktiviert und die betroffenen Verantwortlichen nach dem in Abschnitt IX geregelten Verfahren benachrichtigt.
f. Überprüfung
• Die Auftragnehmerin wertet laufend relevante Sicherheitshinweise der eingesetzten Anbieter aus, installiert Sicherheitsaktualisierungen zeitnah und passt die Schutzmaßnahmen bei Identifikation neuer Risiken unverzüglich an.
2. Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat die Auftragnehmerin unverzüglich umzusetzen. Änderungen sind dem Auftraggeber unverzüglich mitzuteilen. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.
3. Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt die Auftragnehmerin den Auftraggeber unverzüglich.
4. Die Auftragnehmerin sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. Die Verarbeitung erfolgt ausschließlich innerhalb der in diesem Vertrag genannten Systeme.
5. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen sowie die in Abschnitt V.1.d genannten Datensicherungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.
6. Die Auftragnehmerin führt den regelmäßigen Nachweis der Erfüllung ihrer Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen sowie ihrer Wirksamkeit. Der Nachweis ist dem Auftraggeber spätestens alle 12 Monate unaufgefordert und sonst jederzeit auf Anforderung zu überlassen. Der Nachweis kann insbesondere durch die aktuelle Fassung der Eigenerklärung und der Beschreibung der technischen und organisatorischen Maßnahmen erbracht werden.
VI. Berichtigung, Löschung und Sperrung von Daten
Im Rahmen des Auftrags verarbeitete Daten wird die Auftragnehmerin nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren. Den entsprechenden Weisungen des Auftraggebers wird die Auftragnehmerin jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten. Die Parteien stellen klar: Aufgrund der Ende-zu-Ende-Verschlüsselung kann die Auftragnehmerin einzelne Inhaltsdaten nicht im Klartext berichtigen; die inhaltliche Berichtigung erfolgt durch die jeweilige Lehrperson in der App. Die vollständige Löschung oder Sperrung von Datensätzen und Konten bleibt der Auftragnehmerin jederzeit möglich.
VII. Unterauftragsverhältnisse
1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragnehmern (Art. 28 Abs. 2 DSGVO). Derzeit sind folgende Unterauftragnehmer eingesetzt:
• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 – Datenbank und Anmeldung; genutzter Serverstandort Frankfurt am Main, Deutschland; Drittlandübermittlungen auf Grundlage der in das Data Processing Addendum einbezogenen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); aktuelle Unterauftragnehmerliste unter supabase.com/legal/customer-resources/subprocessor-list
• Hostinger International Ltd., Zypern – Website, Auslieferung der Anwendung, E-Mail-Versand
Die Auftragnehmerin informiert den Auftraggeber vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern. Der Auftraggeber kann gegen eine solche Änderung aus wichtigem datenschutzrechtlichem Grund Einspruch erheben; erfolgt binnen vier Wochen kein Einspruch, gilt die Änderung als genehmigt. Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht der Auftragnehmerin, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.
2. Die Beauftragung ist nur zulässig, wenn dem Unterauftragnehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind. Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Auftragnehmerin und Unterauftragnehmer.
3. Die Rechte des Auftraggebers müssen auch gegenüber dem Unterauftragnehmer wirksam ausgeübt werden können. Insbesondere muss der Auftraggeber berechtigt sein, jederzeit in dem hier festgelegten Umfang Kontrollen auch bei Unterauftragnehmern durchzuführen oder durch Dritte durchführen zu lassen.
4. Die Verantwortlichkeiten der Auftragnehmerin und des Unterauftragnehmers sind eindeutig voneinander abzugrenzen. Eine weitere Subbeauftragung durch den Unterauftragnehmer ist nur unter den Bedingungen dieses Abschnitts zulässig. Die Auftragnehmerin wählt den Unterauftragnehmer unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.
5. Die Weiterleitung von im Auftrag verarbeiteten Daten an den Unterauftragnehmer ist erst zulässig, wenn sich die Auftragnehmerin dokumentiert davon überzeugt hat, dass der Unterauftragnehmer seine Verpflichtungen vollständig erfüllt hat.
6. Die Beauftragung von Unterauftragnehmern, die Verarbeitungen im Auftrag nicht ausschließlich aus dem Gebiet der EU erbringen, ist nur bei Beachtung der in diesem Vertrag genannten Bedingungen möglich. Sie ist insbesondere nur zulässig, soweit und solange der Unterauftragnehmer angemessene Datenschutzgarantien bietet. Die Auftragnehmerin teilt dem Auftraggeber mit, welche konkreten Datenschutzgarantien der Unterauftragnehmer bietet und wie ein Nachweis hierüber zu erlangen ist.
7. Die Auftragnehmerin hat die Einhaltung der Pflichten des Unterauftragnehmers regelmäßig, spätestens alle 12 Monate, angemessen zu überprüfen. Die Prüfung und ihr Ergebnis sind so zu dokumentieren, dass sie für einen fachkundigen Dritten nachvollziehbar sind. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür die Auftragnehmerin gegenüber dem Auftraggeber.
VIII. Rechte und Pflichten des Auftraggebers
1. Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.
2. Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich dokumentiert bestätigen.
3. Der Auftraggeber informiert die Auftragnehmerin unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
4. Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen bei der Auftragnehmerin in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen, zu kontrollieren. Die Auftragnehmerin ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind. Kontrollen bei der Auftragnehmerin haben ohne vermeidbare Störungen ihres Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten der Auftragnehmerin, sowie nicht häufiger als alle 12 Monate statt. Soweit die Auftragnehmerin den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten erbringt, soll sich eine Kontrolle auf Stichproben beschränken.
IX. Mitteilungspflichten
1. Die Auftragnehmerin teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 24 Stunden ab Kenntnis der Auftragnehmerin vom relevanten Ereignis an eine vom Auftraggeber benannte Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:
a. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
b. den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
c. eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
d. eine Beschreibung der von der Auftragnehmerin ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
2. Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße der Auftragnehmerin oder der bei ihr beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.
3. Die Auftragnehmerin informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen. Die Auftragnehmerin sichert zu, den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen.
X. Weisungen
1. Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
2. Auftraggeber und Auftragnehmerin benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen. Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen. Für die Auftragnehmerin ist dies Nadine Forstenlechner, für den Auftraggeber die Schulleitung, soweit nicht anders benannt.
3. Die Auftragnehmerin wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung ihrer Meinung nach gegen gesetzliche Vorschriften verstößt. Die Auftragnehmerin ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
4. Die Auftragnehmerin hat ihr erteilte Weisungen und deren Umsetzung zu dokumentieren.
XI. Folgen bei Beendigung des Auftrags
1. Das Auftragsverhältnis endet nicht mit dem Ablauf einer Vollversion oder einer Schullizenz. Nach dem Ende einer kostenpflichtigen Laufzeit läuft das Konto der jeweiligen Lehrperson in der kostenlosen Basis-Version weiter, und die verschlüsselten Inhaltsdaten bleiben nach Punkt 6.4 der Allgemeinen Geschäftsbedingungen gespeichert. Der Auftraggeber weist die Auftragnehmerin für diesen Fall an, die Daten weiter nach diesem Vertrag zu speichern und bereitzuhalten. Die Auftragnehmerin bleibt insoweit Auftragsverarbeiterin, und dieser Vertrag gilt fort, solange das Konto besteht.
2. Das Auftragsverhältnis endet, wenn die Lehrperson ihr Konto löscht, wenn der Auftraggeber die Löschung nach Ziffer 3 verlangt oder wenn die Auftragnehmerin den Nutzungsvertrag über die Basis-Version kündigt. Nach der Löschung eines Kontos bleiben die Daten dreißig Tage in gesperrtem Zustand erhalten, damit eine versehentliche Löschung rückgängig gemacht werden kann. Danach werden sie endgültig gelöscht.
3. Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers hat die Auftragnehmerin die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers entweder zu löschen oder zu übergeben. Ebenfalls zu löschen sind sämtliche vorhandenen Kopien der Daten einschließlich der Sicherungskopien nach Ablauf ihrer Aufbewahrungsdauer. Die Löschung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Die Parteien stellen klar, dass eine Übergabe der Inhaltsdaten im Klartext der Auftragnehmerin aufgrund der Ende-zu-Ende-Verschlüsselung nicht möglich ist. Die Ausgabe der Inhalte als Datei erfolgt durch die jeweilige Lehrperson über die in der App eingebaute Sicherungsfunktion, die ihr jederzeit und kostenlos zur Verfügung steht. Verlangt der Auftraggeber die Löschung, wird die Auftragnehmerin die betroffene Lehrperson vorher per E-Mail informieren, damit diese ihre Aufzeichnungen sichern kann.
4. Die Auftragnehmerin ist verpflichtet, die unverzügliche Rückgabe bzw. Löschung auch bei Unterauftragnehmern herbeizuführen.
5. Die Auftragnehmerin hat den Nachweis der ordnungsgemäßen Löschung zu führen und dem Auftraggeber auf Verlangen unverzüglich vorzulegen.
6. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch die Auftragnehmerin den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren. Sie kann sie zu ihrer Entlastung dem Auftraggeber bei Vertragsende übergeben.
XII. Haftung
1. Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmerin als Gesamtschuldner.
2. Die Auftragnehmerin trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihr zu vertretenden Umstandes ist, soweit die relevanten Daten von ihr unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt die Auftragnehmerin den Auftraggeber auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftraggeber erhoben werden. Unter diesen Voraussetzungen ersetzt die Auftragnehmerin dem Auftraggeber ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.
3. Die Auftragnehmerin haftet dem Auftraggeber für Schäden, die die Auftragnehmerin, ihre Mitarbeiter bzw. die von ihr mit der Vertragsdurchführung Beauftragten oder die von ihr eingesetzten Unterauftragnehmer im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.
4. Vorstehende Regelungen gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung entstanden ist.
XIII. Sonderkündigungsrecht
1. Der Auftraggeber kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist außerordentlich kündigen, wenn ein schwerwiegender Verstoß der Auftragnehmerin gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, die Auftragnehmerin eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will oder die Auftragnehmerin Kontrollrechte des Auftraggebers vertragswidrig verweigert.
2. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn die Auftragnehmerin die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.
3. Bei unerheblichen Verstößen setzt der Auftraggeber der Auftragnehmerin eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.
4. Die Auftragnehmerin hat dem Auftraggeber alle Kosten zu erstatten, die diesem durch die verfrühte Beendigung des Hauptvertrages oder dieses Vertrages in Folge einer außerordentlichen Kündigung durch den Auftraggeber entstehen.
XIV. Sonstiges
1. Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Informationen der jeweils anderen Partei, die als geheimhaltungsbedürftige Informationen gekennzeichnet oder bezeichnet werden, auch über die Beendigung des Vertrages hinaus vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln. Von der Geheimhaltungspflicht ausgenommen sind Informationen, die:
a. einer Partei nachweislich bereits vor der Mitteilung der anderen Partei bekannt waren,
b. ohne das Zutun einer Partei öffentlich bekannt sind oder werden,
c. eine Partei rechtmäßig von Dritten erhalten hat, die ihrerseits nicht zur Geheimhaltung verpflichtet sind,
d. eine Partei aufgrund gesetzlicher Verpflichtungen oder behördlicher Anordnungen offenlegen muss,
e. die jeweils andere Partei ausdrücklich zur Weitergabe freigegeben hat.
2. Die Einrede des Zurückbehaltungsrechts wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.
3. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
______________, den ______________ ⸻ ______________, den ______________
_______________________________ ⸻ _______________________________
Unterschrift Auftraggeber ⸻ Unterschrift Auftragnehmerin
Bei elektronischem Abschluss nach Abschnitt I.3 tritt an die Stelle der Unterschriften die dokumentierte Bestätigung im Bestellvorgang bzw. bei der Registrierung.
Stand: 10. September 2026