AI GUIDERechtliches

Auftragsverarbeitungsvertrag (Entwurf für Schulen)

Stand: 23. August 2026

Braucht jede Schule, bevor sie die Plattform einsetzen darf (Artikel 28 DSGVO). Die Schule ist verantwortlich, wir sind Auftragsverarbeiterin.

Entwurf. Die gelb markierten Stellen müssen noch ausgefüllt werden. Vor der Veröffentlichung sollte eine Person mit juristischer Zulassung darüberschauen — dieser Text ersetzt keine Rechtsberatung.

Vertragsparteien

Verantwortliche: die Schule (nachstehend „Auftraggeberin“).

Auftragsverarbeiterin: AI-Guide Andreea Negru, Dürckheimstraße 13, 4232 Hagenberg, Österreich (nachstehend „Auftragnehmerin“).

§ 1 Gegenstand und Dauer

Die Auftragnehmerin stellt eine Web-Plattform bereit, mit der Lehrkräfte der Auftraggeberin Unterrichtsmaterialien erstellen und fachliche Auskünfte einholen.

Der Vertrag läuft, solange die Auftraggeberin die Plattform nutzt, und endet mit der Beendigung des Hauptvertrags.

§ 2 Art der Daten und Kreis der Betroffenen

Datenarten: Kontodaten der Lehrkräfte, Unterrichtsprofile, von Lehrkräften eingegebene Inhalte, erzeugte Materialien, Nutzungsdaten.

Betroffene: Lehrkräfte und Leitungspersonal der Auftraggeberin; mittelbar Schülerinnen und Schüler, soweit Lehrkräfte Angaben eintragen.

§ 3 Weisungsrecht

Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Auftraggeberin. Hält sie eine Weisung für rechtswidrig, teilt sie dies mit.

§ 4 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

§ 5 Technische und organisatorische Maßnahmen

Es gelten die im Verzeichnis der Verarbeitungstätigkeiten beschriebenen Maßnahmen. Sie sind Bestandteil dieses Vertrags.

§ 6 Weitere Auftragsverarbeiter

Die Auftraggeberin stimmt dem Einsatz der in der Datenschutzerklärung genannten Unterauftragsverarbeiter zu. Ein Wechsel wird mit einer Frist von vier Wochen angekündigt; die Auftraggeberin kann widersprechen.

§ 7 Unterstützung und Meldepflichten

Die Auftragnehmerin unterstützt die Auftraggeberin bei Betroffenenanfragen und bei Datenschutz-Folgenabschätzungen.

Eine Verletzung des Schutzes personenbezogener Daten wird unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, gemeldet.

§ 8 Löschung und Rückgabe

Nach Vertragsende werden die Daten auf Wunsch herausgegeben und anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 9 Nachweise

Die Auftragnehmerin weist die Einhaltung auf Verlangen nach und ermöglicht Überprüfungen nach vorheriger Ankündigung.

Zugelassene Unterauftragsverarbeiter

AnbieterWofürWo
Supabase Inc.Datenbank und AnmeldeverwaltungRechenzentrum Frankfurt am Main (EU)Auftragsverarbeitung, Speicherung ausschließlich in der EU
Vercel Inc.Betrieb der Anwendung (Server)Rechenzentrum Frankfurt am Main (EU)Auftragsverarbeitung, Ausführung ausschließlich in der EU
Google Ireland Ltd. / Google LLCKI-Textverarbeitung (Gemini), auf Wunsch WebsucheVereinigte StaatenEU-US Data Privacy Framework; Inhalte werden nicht zum Training verwendet
OpenAI Ireland Ltd. / OpenAI LLCErzeugung von Bildern und SymbolenVereinigte StaatenEU-US Data Privacy Framework; Inhalte werden nicht zum Training verwendet
Black Forest Labs GmbHErzeugung von InfografikenDeutschland (EU)Auftragsverarbeitung
Stripe Payments Europe Ltd.Zahlungsabwicklung beim Aufladen von GuthabenIrland (EU), Konzern mit Sitz in den USAEigenverantwortlicher Zahlungsdienstleister