Auftragsverarbeitungsvertrag (Muster)

Verantwortliche (nachstehend „Auftraggeberin“): die Schule, vertreten durch die Schulleitung — oder, wenn eine Lehrkraft die Plattform eigenverantwortlich für ihren Unterricht nutzt, diese Lehrkraft.

Auftragsverarbeiterin (nachstehend „Auftragnehmerin“): Andreea Negru, Dürckheimstraße 13, 4232 Hagenberg, Österreich, info@lehrerzimmer.eu.

Der Vertrag wird in Textform geschlossen (Artikel 28 Absatz 9 DSGVO).

Die Auftragnehmerin stellt die Web-Plattform „Lehrerzimmer“ bereit. Gegenstand dieses Vertrags sind die Klassen-Funktionen (Klassenmappe, Quiz, Wissensspiel, Live-Umfragen, Tafel, Kursmappe), mit denen Lehrkräfte der Auftraggeberin mit Schülerinnen und Schülern bzw. Teilnehmenden arbeiten.

Art der Verarbeitung: Speichern, Anzeigen, Abgleichen von Antworten nach festen Regeln, Löschen. Es findet keine Verarbeitung durch KI und keine Bewertung oder Benotung statt.

Der Vertrag läuft, solange die Auftraggeberin die Klassen-Funktionen nutzt, und endet mit dem Nutzungsvertrag bzw. der Löschung des Kontos.

Betroffene: Schülerinnen und Schüler sowie Workshop-Teilnehmende der Auftraggeberin.

Datenarten: Katalognummer; zufälliger persönlicher Zugangsschlüssel (Karte/QR-Code); 4- bis 6-stelliger Zugangscode, gespeichert nur als Streuwert; Antworten auf Arbeitsblätter (Freitext) und Erledigt-Status; Fotos von Arbeitsblättern auf Papier; Spitznamen, Antworten und Punktzahlen in Quiz und Wissensspiel; Antworten in Live-Umfragen mit zufälliger Gerätekennung; Beiträge auf der Tafel (Striche, Texte, Bilder); in der Kursmappe ein selbst gewählter Kurz- oder Gruppenname und hochgeladene Dateien (Bild, Video, Audio, PDF, Präsentation); von der Lehrkraft eingetragene Inhalte.

Klarnamen der Kinder trägt die Lehrkraft nur lokal auf ihrem Gerät ein; sie werden nicht an die Auftragnehmerin übermittelt. Besondere Kategorien nach Artikel 9 DSGVO sind nicht vorgesehen.

Die Auftragnehmerin verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Auftraggeberin; die Weisungen sind mit diesem Vertrag und der Bedienung der Plattform erteilt. Hält sie eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit (Artikel 28 Absatz 3 DSGVO).

Eine Verarbeitung für eigene Zwecke der Auftragnehmerin findet nicht statt.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten der Auftraggeberin hat außer der Auftraggeberin selbst nur die Betreiberin, und nur soweit es für Betrieb, Fehlerbehebung oder Unterstützung nötig ist.

Die Auftragnehmerin trifft die technischen und organisatorischen Maßnahmen der Anlage 1 (Artikel 32 DSGVO). Sie darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Die Auftraggeberin genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Für die Klassen-Funktionen werden nur Supabase Inc. (Datenbank und Dateispeicher, Frankfurt) und Vercel Inc. (Server-Funktionen, Frankfurt) eingesetzt; die KI-Anbieter erhalten keine Daten nach § 2.

Die Auftragnehmerin erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Artikel 28 Absatz 4 DSGVO).

Über neue oder ersetzte Unterauftragsverarbeiter informiert die Auftragnehmerin mindestens vier Wochen vorher per E-Mail. Die Auftraggeberin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann sie den Vertrag zum Wirksamwerden der Änderung beenden.

Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Artikel 44 ff. DSGVO — auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst der EU-Standardvertragsklauseln.

Die Auftragnehmerin unterstützt die Auftraggeberin bei Anfragen nach den Artikeln 12 bis 23 DSGVO. Die Lehrkraft kann Antworten, Fotos, Abgaben, Klassen und Mappen in der Plattform selbst einsehen und löschen. Wendet sich eine betroffene Person direkt an die Auftragnehmerin, leitet diese die Anfrage unverzüglich an die Auftraggeberin weiter.

Die Auftragnehmerin unterstützt die Auftraggeberin bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Artikel 32 bis 36 DSGVO).

Eine Verletzung des Schutzes personenbezogener Daten meldet sie unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Artikel 33 Absatz 3 DSGVO, soweit bekannt.

Während der Laufzeit löscht die Plattform Daten automatisch nach den Fristen der Anlage 1; die Lehrkraft kann jederzeit früher löschen.

Nach Vertragsende werden die Daten nach Wahl der Auftraggeberin herausgegeben (Export) und danach gelöscht, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Mit der Löschung des Kontos werden alle Daten der Auftraggeberin sofort gelöscht. In verschlüsselten Sicherungskopien können sie bis zu deren Überschreiben verbleiben; sie werden daraus nicht wiederhergestellt.

Die Auftragnehmerin stellt alle Informationen zum Nachweis der Pflichten aus Artikel 28 DSGVO zur Verfügung und ermöglicht Überprüfungen durch die Auftraggeberin oder einen von ihr beauftragten Prüfer nach angemessener Ankündigung, in der Regel schriftlich durch Auskünfte und Unterlagen.

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Nutzungsbedingungen vor. Die Haftung richtet sich nach Artikel 82 DSGVO. Es gilt österreichisches Recht.

Speicherort: Datenbank und Dateispeicher in einem Rechenzentrum in Frankfurt am Main (EU); Server-Funktionen ebenfalls in Frankfurt.

Übertragung: ausschließlich verschlüsselt (HTTPS/TLS) mit HSTS; Datenbank im Ruhezustand vom Hosting-Anbieter verschlüsselt.

Zugriffskontrolle: zeilenbezogene Zugriffsregeln (Row Level Security) in der Datenbank — jede Lehrkraft sieht nur ihre eigenen Klassen und Mappen. Schülerinnen und Schüler erreichen nur die eigene Klasse über einen zufälligen Schlüssel und einen Code.

Dateien: nicht öffentlicher Speicher, Abruf nur über kurzlebige signierte Links; Metadaten (EXIF) von Fotos werden schon im Browser entfernt.

Pseudonymisierung und Streuwerte: keine Klarnamen von Kindern auf dem Server; Zugangscodes, Passwörter und IP-Adressen nur als Streuwert (IP-Adressen mit geheimem Schlüssel).

Missbrauchsschutz: Ratenbegrenzung je Zugang; Protokoll der Anmeldeversuche.

Verwaltung: rollenbasierter Zugang; Verwaltungsbereiche nur für die Betreiberin; getrennte Zugangsdaten für Verwaltung und Betrieb; geheime Schlüssel nur in der Server-Umgebung.

KI-erzeugte Inhalte (Lernwerkzeuge, Seiten) laufen in einem abgeschotteten Rahmen (Sandbox) ohne Zugriff auf Anmeldung oder Daten der Plattform.

Keine Verarbeitung von Schülerdaten durch KI; kein Tracking durch Dritte, keine Reichweitenmessung, keine Werbe-Dienste; das interne Nutzungsprotokoll speichert nur Seitenpfade ohne IP-Adresse und Standort.

Fehlerprotokolle: E-Mail-Adressen werden vor dem Speichern unkenntlich gemacht.

Automatische Löschung (täglich): Antworten und Fotos der Klassenmappe 13 Monate nach Abgabe; Kursmappe 90 Tage nach Abgabeschluss (sonst nach Upload); Live-Umfragen und Quiz 30 Tage; Wissensspiel 90 Tage; nicht gespeicherte Tafeln 30 Tage nach letzter Änderung; Ratenbegrenzung 2 Tage; Anmeldeversuche 90 Tage; Fehlerprotokoll 90 Tage nach Behebung; Nutzungsprotokoll (Seitenaufrufe) 90 Tage.

Verfügbarkeit: Sicherungen durch den Hosting-Anbieter und zusätzlich verschlüsselte Sicherungskopien der Betreiberin.

Organisation: Datenschutz-Hinweise in der Oberfläche; Meldeweg für Datenschutzverletzungen; regelmäßige Überprüfung der Maßnahmen bei Änderungen der Plattform.

Die genehmigten Unterauftragsverarbeiter stehen in der folgenden Tabelle. Für Daten nach § 2 werden nur Supabase Inc. und Vercel Inc. eingesetzt.