Vertrag zur Auftragsverarbeitung (Schullizenz)

§ 1 Vertragsparteien

Verantwortliche (Schule): [Name der Schule, Anschrift, vertreten durch …]
Auftragsverarbeiter (Anbieter): Dr. Michael Milde, Einzelunternehmen, Am Hirtenhaus 5, 29358 Eicklingen, info@mein-schulorganizer.de.

Ist der Schulträger Vertragspartner, tritt er an die Stelle der Schule; die Bezeichnung „Verantwortliche" gilt dann für ihn. Wer für die Verantwortliche zeichnet, richtet sich nach dem Schulrecht ihres Landes.

Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht bestellt; Ansprechpartner in allen Fragen dieses Vertrags ist der Auftragsverarbeiter selbst unter info@mein-schulorganizer.de.

§ 2 Gegenstand, Dauer und Rangfolge

(1) Der Auftragsverarbeiter verarbeitet für die Verantwortliche personenbezogene Daten im Rahmen der Anwendung „Mein Schulorganizer". Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO; die Einzelheiten der Verarbeitung regeln die §§ 3 und 4.

(2) Der Vertrag erfasst die Verarbeitung der in § 4 bezeichneten Daten. Das sind die Daten der Schülerverwaltung, die zentral geführten Bestände der Verantwortlichen, personenbezogene Angaben in den allgemeinen Freitext- und Uploadfeldern (Termine, Aufgaben, Tagesnotizen, Notizen, Materialablage, Unterrichtsplanung) sowie die Konto- und Nutzungsdaten der Lehrkräfte (Absatz 2b). Näheres: Datenschutzerklärung.

(2a) Geltung für die Lehrkräfte der Verantwortlichen. Der Vertrag gilt für alle Lehrkräfte der Verantwortlichen, die die Anwendung im Rahmen der Schullizenz nutzen (§ 13 Abs. 1); er ist nur einmal zu unterzeichnen und lautet auf keine bestimmte Person.

(2b) Die Daten der Lehrkräfte. Nutzt eine Lehrkraft die Anwendung aufgrund der Lizenz der Verantwortlichen, sind ihre Konto- und Nutzungsdaten Gegenstand dieses Vertrags: Anmeldedaten, Zugehörigkeit zur Schule, Beginn und Ende der Zugehörigkeit, die vergebenen Rechte, die Urheberschaft von Ankündigungen sowie das Protokoll der Einsicht in Noten. Verantwortliche dafür ist die Schule als Dienstherrin; der technische Betrieb der Anwendung einschließlich Anmeldung, Speicherung und Sicherung erfolgt insoweit im Auftrag.

(2b-1) Eigene Zwecke des Auftragsverarbeiters. Für zwei eng begrenzte Zwecke verarbeitet der Auftragsverarbeiter Angaben zum Konto einer Lehrkraft daneben in eigener Verantwortung, weil er über sie selbst entscheidet: zur Verwaltung und Abrechnung seines Vertrags mit der Verantwortlichen und zur Abwehr von Missbrauch und Angriffen auf seine Plattform, soweit dies über die im Auftrag getroffenen Maßnahmen nach § 7 hinausgeht. Dieser Vertrag gilt für diese beiden Verarbeitungen nicht; die dafür maßgeblichen Rechtsgrundlagen nennt die Datenschutzerklärung. Der laufende Betrieb der Anwendung gehört ausdrücklich nicht dazu; er ist Auftragsverarbeitung nach Absatz 2b.

(2c) KI-gestützte Unterrichtsplanung. Nicht Gegenstand dieses Vertrags ist die KI-gestützte Unterrichtsplanung, soweit dabei Inhalte an einen externen KI-Dienstleister übermittelt werden. Die Funktion ist nicht zur Verarbeitung personenbezogener Daten bestimmt. Personenbezogene Daten dürfen in die hierfür vorgesehenen Eingabefelder nicht eingegeben oder hochgeladen werden (§ 5 Abs. 3 der Nutzungsbedingungen); der Auftragsverarbeiter weist an diesen Feldern darauf hin. Die Speicherung von Planungstexten innerhalb der Anwendung bleibt dagegen Gegenstand dieses Vertrags, soweit diese personenbezogene Daten enthalten (§ 4 Abs. 2).

(3) Dauer. Der Vertrag beginnt mit seiner Unterzeichnung und läuft, solange der Auftragsverarbeiter Daten nach § 4 verarbeitet. Er endet mit deren vollständiger Löschung nach § 11; die Pflicht zur Vertraulichkeit (§ 6) besteht darüber hinaus fort.

(4) Rangfolge. Für die Verarbeitung nach Absatz 2 geht dieser Vertrag den Nutzungsbedingungen vor. Weisungen der Verantwortlichen nach § 5 gehen den Voreinstellungen der Anwendung vor.

(5) Verhältnis zu einem früheren Vertrag derselben Schule. Hat die Verantwortliche für eine Lehrkraft, die selbst Kundin war, bereits einen Vertrag zur Auftragsverarbeitung geschlossen, geht dieser Vertrag ihm ab dem Beitritt zur Schullizenz vor. Für Daten, die vor dem Beitritt im Konto der Lehrkraft entstanden sind und dort verbleiben, gilt der frühere Vertrag fort.

§ 3 Art und Zweck der Verarbeitung

(1) Zweck: Führen der zentralen Klassen-, Schüler:innen- und Stundenplandaten der Verantwortlichen, Dokumentation von Leistungen und Noten, Anwesenheits- und Unterrichtsdokumentation (Klassenbuch), Festhalten pädagogischer Beobachtungen, schulinterne Bekanntmachungen sowie die Verwaltung der Zugriffsberechtigungen einschließlich der Einsicht in Noten (Freigabe an die Klassenleitung, Einsichtszeitraum der Schulleitung vor Halbjahresende) und ihrer Protokollierung – jeweils zur Unterstützung der schulischen Aufgaben der Verantwortlichen.

(2) Art der Verarbeitung: Erheben (durch Eingabe der Lehrkräfte und der von der Verantwortlichen mit der Verwaltung betrauten Personen), Speichern, Ordnen, Anzeigen, Berechnen (Notenermittlung), Bereitstellen innerhalb der Schule, Protokollieren (§ 4 Abs. 2), Exportieren (Excel/PDF), Sichern und Löschen.

(3) Keine eigenen Zwecke im Rahmen der Auftragsverarbeitung. Die Daten nach § 4 werden im Rahmen dieses Vertrags nicht zu eigenen Zwecken des Auftragsverarbeiters verarbeitet. Unberührt bleiben die in § 2 Abs. 2b-1 bezeichneten eigenständigen Verarbeitungen. Die Daten werden insbesondere nicht ausgewertet, nicht mit anderen Beständen zusammengeführt, nicht zu Werbe- oder Analysezwecken genutzt und nicht zum Training von KI-Modellen verwendet. Das Einsichtsprotokoll nach § 4 Abs. 2 wertet der Auftragsverarbeiter nicht aus; es wird allein der Verantwortlichen und der betroffenen Lehrkraft auf Verlangen zugänglich gemacht.

(4) Ort der Verarbeitung. Die Verarbeitung der Daten nach § 4 erfolgt ausschließlich in Rechenzentren in Deutschland (§ 8 Abs. 2). Eine Übermittlung dieser Daten in ein Drittland findet im Rahmen der Auftragsverarbeitung nicht statt.

§ 4 Datenarten und betroffene Personen

(1) Kategorien betroffener Personen:

• Schüler:innen der Verantwortlichen, ganz überwiegend minderjährig;
• Erziehungsberechtigte und Notfallkontakte, soweit ihre Kontaktdaten bei der Schüler:in hinterlegt werden;
• Lehrkräfte und sonstige Beschäftigte der Verantwortlichen, die die Anwendung nutzen – als Inhaber:innen eines Kontos, als Urheber:innen von Ankündigungen und als Personen, deren Einsicht in Noten protokolliert wird (Absatz 2);
• pädagogische Mitarbeitende ohne eigenes Konto – Personen, die an der Schule arbeiten, die Anwendung aber nicht nutzen (etwa Schulbegleitung, Freiwilligendienst, Sekretariat), soweit die Verantwortliche ihren Geburtstag einträgt (Absatz 2);
• weitere Personen, die in den allgemeinen Freitext- und Uploadfeldern benannt werden – etwa Erziehungsberechtigte in einem Termin zum Elterngespräch.

(2) Kategorien personenbezogener Daten:

• Stammdaten der Schüler:innen: Vor- und Nachname, Geburtsdatum, Anschrift, E-Mail-Adresse, zwei Telefonnummern, Notfallkontakt;
• Zugehörigkeitsdaten: Klasse, Kurs, Fach, Schuljahr und Halbjahr (Klassen- und Kurslisten). Bei klassenübergreifenden Gruppen bestimmt die Verantwortliche je Gruppe, ob die Teilnehmerliste von ihr geführt wird oder von der unterrichtenden Lehrkraft;
• Leistungsdaten: Einzelnoten mit Bezeichnung der Leistung und Kommentar, berechnete Gesamtnoten, festgelegte Zeugnisnoten samt Begründung; jeweils mit der eintragenden Lehrkraft und dem Zeitpunkt;
• Gemeinsam geführte Fächer: welches Fach von welchen Lehrkräften gemeinsam unterrichtet und benotet wird, wer das festgestellt hat sowie Zeitpunkt der Feststellung und ihrer Beendigung. Die beteiligten Lehrkräfte sehen und ändern dieselben Leistungsdaten dieses Fachs – das ist der Zweck einer gemeinsam geführten Notenliste; ein Zugang zu weiteren Daten des jeweils anderen Kontos entsteht dadurch nicht;
• Anwesenheitsdaten: Fehlzeiten – Datum und, wo das Klassenbuch geführt wird, die Unterrichtsstunde, der Entschuldigungsstand (offen, entschuldigt, unentschuldigt, beurlaubt), eine kurze Bemerkung sowie die erfassende Lehrkraft mit Zeitpunkt. Änderungen werden mit dem vorherigen Stand festgehalten;
• Ordnungsmaßnahmen (Karten): nur, wo die Schule das Modul Karten gebucht hat – Art der Karte (gelb oder rot), Zeitpunkt des Vorfalls, eine kurze Begründung und die Erziehungsmaßnahme im Freitext, das Halbjahr, auf Wunsch das Fach sowie die Lehrkraft, die die Karte gegeben hat, sowie bei einer Rücknahme deren Zeitpunkt und die zurücknehmende Lehrkraft. Sie sind allen Lehrkräften der Schule sichtbar, auch solchen, die das Kind nicht unterrichten – das ist die Weisung der Verantwortlichen und der Zweck des Moduls; ein Zugang zu weiteren Daten des Kindes (Noten, Beobachtungen, Fehlzeiten) entsteht dadurch nicht. Gibt eine andere Lehrkraft einem Kind eine Karte, sieht die Klassenleitung in der Anwendung einen Hinweis mit Name, Klasse, Art der Karte und der gebenden Lehrkraft, bis sie ihn ausblendet; eine E-Mail geht nicht;
• Unterrichtsdokumentation (Klassenbuch): je Unterrichtsstunde das Thema, Entfall und Vertretung samt unterrichtender Lehrkraft, dazu eine Bemerkung zur Woche. Sie ist allen Lehrkräften sichtbar, die in der Klasse unterrichten, sowie der Klassenleitung – das ist der Zweck eines gemeinsam geführten Klassenbuchs. Noten werden darin nicht geführt;
• Teilnahme an einer Gruppenstunde: bei klassenübergreifenden Gruppen, deren Teilnehmerliste die unterrichtende Lehrkraft führt (etwa Beratung, Sprachförderung, Förderunterricht) – je Termin, wer teilgenommen hat: Kind, Datum und Unterrichtsstunde. Diese Angaben sind nur den Lehrkräften sichtbar, die diese Gruppe unterrichten; die Verantwortliche und die von ihr betrauten Personen sehen sie nicht – auf Wunsch der Verantwortlichen auch nicht als Anzahl. Sie werden gemeinsam mit der Unterrichtsdokumentation gelöscht (§ 12 Abs. 3);
• Pädagogische Beobachtungen: datierte Einträge zu Arbeitsverhalten, Sozialverhalten und sonstigen Notizen sowie stundenbezogene Vermerke (nicht erledigte Hausaufgabe, Bemerkung);
• Konto- und Zugehörigkeitsdaten der Lehrkräfte: E-Mail-Adresse als Anmeldename, Vor- und Nachname, Kürzel sowie Geburtsdatum, soweit hinterlegt, Zugehörigkeit zur Schule mit Beginn und Ende sowie die vergebenen Rechte (§ 2 Abs. 2b). Name, Kürzel und Geburtsdatum pflegt die von der Verantwortlichen mit der Verwaltung betraute Person; Tag und Monat des Geburtstags sind allen Lehrkräften der Verantwortlichen sichtbar – am Tag selbst als Gruß im Stundenplan und im Voraus als Eintrag im Kalender –, das Geburtsjahr dagegen nur ihr. Dieselbe Person kann Konten der Lehrkräfte anlegen (Übernahme einer Liste) und ihnen den Zugang mit einem Erstpasswort zusenden; das Passwort wird nicht im Klartext gespeichert;
• Geburtstage von Mitarbeitenden ohne Konto: Vor- und Nachname, die Funktion (etwa „Schulbegleitung“) und das Geburtsdatum. Weitere Angaben zu diesen Personen werden nicht gespeichert – keine Kontaktdaten, keine Zuordnung zu Klasse oder Unterricht, kein Zugang zur Anwendung. Eingetragen und gelöscht wird die Zeile von den Personen, denen die Verantwortliche das Recht „Termine der Schule“ gegeben hat; Name und Funktion sind allen Lehrkräften der Verantwortlichen sichtbar – am Geburtstag als Gruß im Stundenplan und als Eintrag im Kalender –, das Geburtsjahr dagegen nur diesen Personen. Die Verantwortliche kann die Zeile jederzeit selbst löschen; im Übrigen gilt § 11 Abs. 2;
• Noten-Freigaben: welcher Kurs wem und bis wann zur Einsicht freigegeben ist, wer die Freigabe angefragt und wer sie erteilt hat, sowie der angegebene Anlass;
• Einsichtsprotokoll: Zeitpunkt jeder Einsicht in Noten durch eine andere Person, die einsehende Person, die Lehrkraft, deren Noten eingesehen wurden, der betroffene Kurs und – bei einer Einsicht der Schulleitung nach § 5 Abs. 5 – der von ihr angegebene Anlass. Die betroffenen Lehrkräfte sehen jeden Eintrag; ob sie einen Hinweis darauf ausgeblendet haben, wird je Konto gespeichert und nicht ausgewertet. Protokolliert wird ausschließlich die Einsicht in Noten durch eine andere Person – nicht der sonstige Gebrauch der Anwendung und nicht die Ansicht der eigenen Noten;
• Import-Protokoll: lädt die Schule Stundenplan oder Klassenlisten als Datei hoch, werden Zeitpunkt, Dateiname, die handelnde Person und diejenigen Zeilen der Datei, die nicht übernommen werden konnten, samt Grund festgehalten – beim Einlesen von Schüler:innen also auch deren Name, Geburtsdatum und die angegebenen Kontaktdaten. Festgehalten wird ausschließlich das Liegengebliebene; übernommene Zeilen bilden den Stundenplan bzw. die Klassenliste und werden nicht zusätzlich gespeichert. Zweck ist allein das Nachtragen durch die Schule; die Aufbewahrung ist auf 180 Tage begrenzt;
• Bereitstellung und Freigabe von Material: Legt eine Lehrkraft ein Material in den Bestand der Schule, wird festgehalten, wer es eingestellt hat; diese Angabe ist für alle Lehrkräfte der Schule sichtbar und dient dazu, dass die einstellende Person ihr eigenes Stück berichtigen und zurücknehmen kann – der Bestand selbst gehört der Verantwortlichen. Gibt eine Lehrkraft ein Material oder einen Ordner für einzelne Kolleg:innen frei, wird gespeichert, für welche; die Angabe entfällt mit der Rücknahme der Freigabe. Beide Angaben werden mit der Löschung des betroffenen Kontos entfernt; das Material bleibt der Verantwortlichen erhalten;
• Ankündigungen: Text, Geltungszeitraum, verfassende Person und die Angabe, welches Konto eine Ankündigung für sich weggeklickt hat. Diese Angabe dient allein dem Aufräumen der eigenen Ansicht; eine Lesebestätigung findet nicht statt und wird der Verantwortlichen nicht zugänglich gemacht;
• Angaben in allgemeinen Freitext- und Uploadfeldern: Titel und Beschreibung von Terminen, Aufgaben der Aufgabenliste, Tagesnotizen, freie Notizen, Dateien und Links der Materialablage, Freitexte der Unterrichtsplanung und das Verlaufsfeld einer Stunde. Diese Felder sind nicht auf bestimmte Datenarten zugeschnitten; welche personenbezogenen Angaben sie enthalten, bestimmt allein die Verantwortliche.

(3) Freitextfelder. Die Beobachtungs-, Kommentar- und Bemerkungsfelder sowie die allgemeinen Felder nach Absatz 2 letzter Aufzählungspunkt sind Freitext; ihr Inhalt wird allein von der Verantwortlichen bestimmt. Soweit dort Angaben eingetragen werden, die besonderen Kategorien nach Art. 9 Abs. 1 DSGVO unterfallen – etwa zu Gesundheit, sonderpädagogischem Förderbedarf oder Religionszugehörigkeit –, werden sie im selben Umfang wie die übrigen Daten verarbeitet. Der Auftragsverarbeiter fordert solche Angaben nicht an, wertet die Felder nicht aus und kann ihren Inhalt nicht steuern; die Verantwortliche trägt dafür Sorge, dass nur die für den Zweck erforderlichen Angaben eingegeben werden.

§ 5 Weisungen der Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Als Weisung gelten dieser Vertrag, die Nutzung der in der Anwendung vorgesehenen Funktionen durch die Lehrkräfte der Verantwortlichen sowie Einzelweisungen in Textform an die Adresse nach § 1. Mündliche Weisungen bestätigt die Verantwortliche unverzüglich in Textform.

(1a) Einrichtung und Berechtigungen. Das Anlegen und Beenden von Konten der Schule sowie die Vergabe und Rücknahme der Rechte nach § 4 der Nutzungsbedingungen nimmt der Auftragsverarbeiter auf Weisung der Verantwortlichen vor. Er entscheidet darüber nicht selbst und richtet ohne Weisung keine Berechtigung ein. Die Weisung ergeht in Textform; die Verantwortliche hält den Kreis der Berechtigten aktuell (§ 13 Abs. 1).

(2) Keine Drittlandübermittlung. Der Auftragsverarbeiter übermittelt die Daten nicht in ein Drittland oder an eine internationale Organisation, es sei denn, er ist dazu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet, dem er unterliegt.

(3) Gesetzliche Verarbeitungspflicht. Ist der Auftragsverarbeiter zu einer Verarbeitung gesetzlich verpflichtet, teilt er der Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Hinweis auf rechtswidrige Weisungen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er die Verantwortliche unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis die Verantwortliche sie bestätigt oder ändert.

(5) Grenze der Weisung bei Noten. Die Einsicht in Noten durch ein Konto, das das Fach nicht selbst unterrichtet, besteht nur auf zwei Wegen: Die Schulleitung (Recht „Einsicht") sieht die Leistungsnachweise und Noten der Fächer des laufenden Halbjahres in den letzten 28 Tagen vor dessen von der Verantwortlichen eingetragenem Ende, jeweils erst nach Angabe eines Anlasses; die Klassenleitung sieht sie, solange eine befristete Freigabe der jeweiligen Lehrkraft läuft. Bemerkungen zu Noten und Leistungsnachweisen, Beobachtungen, Notizen und Fehlzeiten sind darin nicht enthalten. Jede Einsicht wird protokolliert und der Lehrkraft angezeigt. Eine Funktion, die darüber hinausgeht – außerhalb des Zeitraums, ohne Anlass oder ohne Protokoll –, besteht nicht; eine darauf gerichtete Weisung kann der Auftragsverarbeiter nicht ausführen. Ist die Verantwortliche der Auffassung, dass ihr ein weitergehendes Einsichtsrecht zusteht, setzt sie es außerhalb der Anwendung gegenüber ihren Lehrkräften durch.

(5a) Gemeinsam unterrichtete Fächer. Davon zu unterscheiden ist die Feststellung der Verantwortlichen, dass zwei Lehrkräfte dasselbe Fach derselben Klasse gemeinsam unterrichten und benoten (Doppelbesetzung). Sie ist keine Einsicht in fremde Noten, sondern die gemeinsame Führung einer Notenliste; maßgeblich ist der Unterricht, nicht ein vergebenes Recht. Eine solche Weisung ist zulässig, soweit sie sich auf das einzelne Fach beschränkt und den beteiligten Lehrkräften in der Anwendung angezeigt wird. Eine Weisung, die auf diesem Weg einem Konto Zugang zu Noten eines Fachs verschafft, das es nicht unterrichtet, fällt unter Absatz 5.

§ 6 Vertraulichkeit

(1) Zugang zu den Daten hat ausschließlich der Auftragsverarbeiter selbst; er beschäftigt keine Mitarbeitenden. Er ist zur Vertraulichkeit verpflichtet, und zwar auch nach Beendigung dieses Vertrags (Art. 28 Abs. 3 Satz 2 lit. b DSGVO).

(2) Setzt der Auftragsverarbeiter künftig weitere Personen ein, verpflichtet er sie vor der ersten Tätigkeit schriftlich zur Vertraulichkeit; ihr Zugriff bleibt auf das für die jeweilige Aufgabe Erforderliche beschränkt.

(3) Die Verpflichtung der Lehrkräfte auf das Datengeheimnis obliegt der Verantwortlichen; sie sind ihre Beschäftigten, nicht die des Auftragsverarbeiters.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Es bestehen im Einzelnen:

• Transportverschlüsselung: Alle Seiten werden ausschließlich über TLS ausgeliefert; unverschlüsselte Aufrufe werden umgeleitet.
• Verschlüsselung im Ruhezustand: Datenbank, hochgeladene Dateien, Belege, Vertragsdokumente und Sicherungen liegen auf einem verschlüsselten Datenträger (derzeit LUKS2, AES-XTS mit 512 Bit Schlüssellänge). Der Schlüssel wird nicht auf dem Server gespeichert, sondern beim Entsperren von außen zugeführt; nach einem Neustart bleiben die Daten unzugänglich, bis der Auftragsverarbeiter sie freigibt.
• Zugangskontrolle: Jede Seite, auf der Daten nach § 4 angezeigt oder eingegeben werden, setzt eine Anmeldung voraus. Ohne Anmeldung erreichbar sind ausschließlich Seiten, die keine solchen Daten führen – etwa die öffentlichen Seiten des Angebots samt Registrierung und Kontaktformular, die Anmelde- und Passwortseiten sowie technische Endpunkte ohne eigene Anzeige. Der Auftragsverarbeiter hält diese Abgrenzung durch einen automatisierten Test aufrecht, der jede nicht ausdrücklich freigegebene Seite auf die Anmeldepflicht prüft. Passwörter werden ausschließlich als Hashwert gespeichert, nie im Klartext.
• Mandantentrennung: Die Daten verschiedener Schulen und verschiedener Konten liegen in einer gemeinsamen Datenbank und werden durch die Anwendung getrennt: Jeder lesende und schreibende Zugriff wird auf die Menge der Datenbestände eingegrenzt, die dem handelnden Konto und – bei bestehender Mitgliedschaft – seiner Schule zugeordnet sind. Die Eingrenzung ist im Datenmodell verankert und wirkt bei jedem Zugriff, nicht erst in der Anzeige; sie ist durch automatisierte Tests abgesichert, die den Zugriff über die Grenze hinweg zu erzwingen versuchen.
• Abgestufte Berechtigungen: Innerhalb einer Schule entscheiden einzeln vergebene Rechte darüber, wer zentrale Bestände pflegen, schulweite Inhalte bereitstellen und Übersichten einsehen darf (§ 4 der Nutzungsbedingungen). Ohne Recht sieht ein Konto ausschließlich seine eigenen Daten und die zentral bereitgestellten Stammdaten.
• Noten nur im Einsichtszeitraum oder nach Freigabe, und jede Einsicht wird protokolliert: Die Noten eines Fachs sind für Konten, die es nicht selbst unterrichten, nur zugänglich, soweit § 5 Abs. 5 es vorsieht – der Schulleitung in den letzten 28 Tagen vor Halbjahresende und nach Angabe eines Anlasses, der Klassenleitung solange eine von der Lehrkraft erteilte, befristete Freigabe läuft. Jede Einsicht wird mit Zeitpunkt, einsehender Person, Kurs und gegebenenfalls Anlass festgehalten und der Lehrkraft angezeigt (§ 4 Abs. 2). Unterrichten zwei Lehrkräfte ein Fach gemeinsam, führen sie eine Notenliste; das stellt die Schule fest, es wird beiden angezeigt, und jede Eintragung hält fest, wer sie vorgenommen hat (§ 4 Abs. 5a).
• Serverstandort: Betrieb und Datenhaltung ausschließlich in Rechenzentren in Deutschland (§ 8 Abs. 2).
• Verfügbarkeit und Wiederherstellbarkeit: Der Datenbestand wird täglich automatisch gesichert. Jede Sicherung prüft sich unmittelbar nach ihrer Erstellung selbst; schlägt die Prüfung fehl, wird sie verworfen und gemeldet, statt einen unbrauchbaren Stand abzulegen. Die Sicherungen liegen in Deutschland, sind im Klartext ausschließlich dem Auftragsverarbeiter zugänglich und werden gestaffelt aufbewahrt; spätestens nach 35 Tagen ist die letzte Kopie überschrieben – diese Frist umfasst beide nachstehend genannten Ebenen (Art. 32 Abs. 1 lit. b und c DSGVO). Die Sicherungen der Anwendung liegen auf derselben Maschine wie der laufende Bestand und im selben verschlüsselten Behälter. Zusätzlich erstellt der Hoster täglich ein Abbild der gesamten Server-Festplatte und bewahrt es getrennt vom Server auf (derzeit sieben Stände). Die Daten nach § 4 sind darin ausschließlich in verschlüsselter Form enthalten: Das Abbild kopiert den verschlüsselten Behälter; der Schlüssel liegt nicht auf dem Server (Absatz 2) und ist deshalb auch nicht Teil des Abbilds. Der Hoster kann die Daten daher nicht zur Kenntnis nehmen. Ein weiterer Auftragsverarbeiter wird damit nicht hinzugezogen; es ist derselbe Hoster, der den Server betreibt (§ 8 Abs. 2). Die Sicherungen der Anwendung schützen gegen Fehlbedienung, versehentliches Löschen und den Verlust einzelner Daten, nicht gegen Ausfall oder Verlust des Servers selbst; gegen diesen schützt das Abbild.
• Trennung nach Zweck: Nicht zur offenen Auslieferung bestimmte Dateien – hochgeladene Materialien, handschriftliche Notizen, Belege und Vertragsdokumente – liegen außerhalb des öffentlich erreichbaren Bereichs und werden erst nach Prüfung der Berechtigung herausgegeben.

(2) Reichweite der Verschlüsselung im Ruhezustand. Die Verschlüsselung schützt den ruhenden Datenträger – etwa bei Außerbetriebnahme, Entsorgung oder Austausch der Hardware und bei einem Zugriff auf die abgeschaltete Maschine. Während des laufenden Betriebs ist der Datenträger entsperrt; ein Zugriff auf das laufende System läse die Daten im Klartext. Insoweit schützen die Zugriffsrechte des Betriebssystems, zu denen allein der Auftragsverarbeiter Zugang hat.

(3) Reichweite der Mandantentrennung. Die Trennung wirkt gegenüber anderen Schulen, anderen Konten und unberechtigten Zugriffen aus dem Netz. Sie wirkt nicht gegenüber dem Auftragsverarbeiter selbst: Er hat als Betreiber technisch Zugang zum Gesamtbestand und ist insoweit durch § 6 (Vertraulichkeit) und die Zugriffsrechte des Betriebssystems gebunden, nicht durch die Trennung.

(4) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt er der Verantwortlichen vorab in Textform mit. Der jeweils aktuelle Stand ist auf Anfrage in Textform erhältlich.

§ 8 Weitere Auftragsverarbeiter

(1) Genehmigung. Die Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 DSGVO nach Maßgabe der folgenden Absätze.

(2) Bestand. Eingesetzt ist derzeit ausschließlich: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Betrieb der Server und Speicherung der Datenbank, Standort Deutschland. Ein Zahlungsdienstleister ist nicht eingebunden: Die Schullizenz wird auf Rechnung abgerechnet.

(3) Änderungen. Eine beabsichtigte Hinzuziehung oder einen Austausch teilt der Auftragsverarbeiter der Verantwortlichen mindestens vier Wochen vorab in Textform mit. Die Verantwortliche kann der Änderung innerhalb dieser Frist aus einem datenschutzrechtlichen Grund widersprechen. Widerspricht sie, kann der Auftragsverarbeiter die betroffene Leistung ihr gegenüber einstellen; ist die Leistung dadurch insgesamt nicht mehr zu erbringen, steht beiden Seiten ein Kündigungsrecht zu.

(4) Durchreichung der Pflichten. Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die ihm nach diesem Vertrag obliegen, und vergewissert sich der hinreichenden Garantien nach Art. 28 Abs. 4 DSGVO. Kommt der weitere Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter der Verantwortlichen gegenüber für deren Einhaltung.

(5) Nicht als weitere Auftragsverarbeitung gilt die Inanspruchnahme von Nebenleistungen ohne Zugriff auf die Daten nach § 4 (etwa Telekommunikations- oder Wartungsleistungen ohne Datenzugang).

§ 9 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach den Art. 15 bis 22 DSGVO zu erfüllen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Die Anwendung stellt dafür Auskunft, Berichtigung, Löschung und Export der Daten in einem gängigen, maschinenlesbaren Format bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, beantwortet er den Antrag nicht selbst, sondern leitet ihn unverzüglich an die Verantwortliche weiter.

(2a) Anträge von Lehrkräften. Für Anträge, die die Daten nach § 2 Abs. 2b betreffen – insbesondere Auskunft über das Einsichtsprotokoll –, ist die Verantwortliche zuständig. Der Auftragsverarbeiter stellt ihr die dafür nötigen Angaben auf Anfrage in Textform bereit.

(3) Kann die Verantwortliche einen Antrag nicht selbst aus der Anwendung heraus erfüllen, unterstützt der Auftragsverarbeiter sie auf Anfrage in Textform, und zwar so rechtzeitig, dass die Verantwortliche die Fristen des Art. 12 Abs. 3 DSGVO wahren kann.

§ 10 Unterstützung bei Sicherheit, Verletzungen und Folgenabschätzung

(1) Meldung von Verletzungen. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie der Verantwortlichen unverzüglich nach Bekanntwerden in Textform – so rechtzeitig, dass die Verantwortliche ihre eigene Frist nach Art. 33 Abs. 1 DSGVO wahren kann. Die Meldung geht an die von der Verantwortlichen benannte Adresse, ersatzweise an die Schulleitung.

(2) Inhalt der Meldung. Sie beschreibt, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch fehlende Angaben reicht der Auftragsverarbeiter unverzüglich nach.

(3) Der Auftragsverarbeiter meldet nicht selbst an die Aufsichtsbehörde und benachrichtigt keine betroffenen Personen; beides ist Sache der Verantwortlichen. Er dokumentiert jede Verletzung und stellt die Dokumentation auf Verlangen bereit.

(4) Folgenabschätzung. Er unterstützt die Verantwortliche bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Dazu stellt er auf Anfrage bereit: eine Beschreibung der Verarbeitungsvorgänge und der verarbeiteten Datenarten, die Datenflüsse einschließlich der weiteren Auftragsverarbeiter und der Verarbeitungsorte, die Maßnahmen nach § 7 sowie die Speicher- und Löschfristen. Die Durchführung der Folgenabschätzung selbst obliegt der Verantwortlichen.

§ 11 Löschung und Rückgabe

(1) Wahlrecht. Nach Abschluss der Erbringung der Leistung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück – nach Wahl der Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Rückgabe erfolgt über die Exportfunktion der Anwendung in einem gängigen, maschinenlesbaren Format. Eine Weisung der Verantwortlichen zu Zeitpunkt und Form geht den folgenden Voreinstellungen jederzeit vor.

(2) Ende der Lizenz. Mit dem Ende der Schullizenz entfällt der Zugang der Lehrkräfte zu den zentral geführten Beständen. Diese Daten bleiben zunächst gespeichert und sind für 180 Tage auf Anzeige und Export beschränkt; die Frist dient der Rückgabe. Danach werden sie vollständig gelöscht. Verlangt die Verantwortliche wegen eines Systemwechsels mehr Zeit, verlängert der Auftragsverarbeiter die Frist auf Anfrage angemessen.

(3) Unterrichtsdokumentation (Klassenbuch). Für Fehlzeiten, deren Änderungshistorie, die Bemerkungen zur Woche, die Karten und die Teilnahmen an Gruppenstunden gilt die Aufbewahrungsfrist, die die Verantwortliche bestimmt; sie ist Landesrecht und in den Ländern unterschiedlich lang. Gerechnet wird ab dem Ende des Schulhalbjahres (Zeugnisausgabe); nach Ablauf löscht der Auftragsverarbeiter diese Daten vollständig und automatisch, einschließlich der Änderungshistorie, der Karten und der Teilnahmen an Gruppenstunden. Solange die Verantwortliche keine Frist mitgeteilt hat, wird nichts gelöscht – der Auftragsverarbeiter setzt keine eigene Frist an ihre Stelle. Für die Sicherungen gilt Absatz 6.

(4) Daten, die dem Konto der Lehrkraft gehören. Kurse, Noten, pädagogische Beobachtungen, Notizen, Materialien und Unterrichtsplanungen bleiben in dem Konto, in dem sie entstanden sind. Sie werden durch das Ende der Lizenz nicht gelöscht. Nutzt die Lehrkraft die Anwendung danach aufgrund eines eigenen Vertrags weiter, tritt für diese Daten der Vertrag zur Auftragsverarbeitung der Einzellizenz an die Stelle dieses Vertrags; andernfalls richtet sich die Löschung nach dem Ende ihres Nutzungsverhältnisses (Absatz 4).

(5) Ende eines einzelnen Nutzungsverhältnisses. Wird ein Konto beendet, ist die Verarbeitung für 180 Tage auf Anzeige und Export beschränkt; danach werden die Daten vollständig gelöscht. Das Einsichtsprotokoll nach § 4 Abs. 2 bleibt darüber hinaus erhalten, soweit und solange es als Nachweis über die Rechtmäßigkeit einer Einsicht benötigt wird; es wird dann ohne Verweis auf das gelöschte Konto weitergeführt.

(6) Sicherungen. In allen Fällen wird sofort im laufenden Betrieb gelöscht. Aus den Sicherungen nach § 7 fallen die Daten mit deren Rotation, also spätestens 35 Tage später; bis dahin sind sie ausschließlich für die Wiederherstellung nach einem technischen Fehler zugänglich und werden zu keinem anderen Zweck verarbeitet. Eine sofortige Löschung auch aus den Sicherungen ist nicht möglich, ohne die Wiederherstellbarkeit für alle übrigen Verantwortlichen aufzugeben.

(7) Gesetzliche Aufbewahrungspflichten bleiben unberührt; die Verarbeitung ist insoweit auf die Aufbewahrung beschränkt. Die Löschung bestätigt der Auftragsverarbeiter auf Verlangen in Textform. Mit der Löschung endet dieser Vertrag, sofern nichts anderes vereinbart ist.

§ 12 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt der Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen und trägt zu ihnen bei (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Der Nachweis kann geführt werden durch Auskunft in Textform, durch Vorlage der Beschreibung der Maßnahmen nach § 7 oder durch Nachweise der weiteren Auftragsverarbeiter, etwa deren Zertifizierungen oder Prüfberichte.

(3) Prüfung vor Ort. Genügen diese Nachweise nicht, kann die Verantwortliche selbst oder durch eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Person prüfen. Die Prüfung wird mindestens zwei Wochen vorab angekündigt, findet zu den üblichen Geschäftszeiten statt und wird so durchgeführt, dass der Betrieb nicht unangemessen gestört wird. Ohne besonderen Anlass ist eine Prüfung einmal je Kalenderjahr vorgesehen; bei einem konkreten Anlass – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde – jederzeit und ohne diese Beschränkung.

(4) Bei einer Prüfung vor Ort ist sicherzustellen, dass die prüfende Person keine Einsicht in die Daten anderer Verantwortlicher nimmt; der Auftragsverarbeiter kann Nachweise insoweit in anonymisierter Form vorlegen. Er darf einen Prüfer ablehnen, der zu ihm in Wettbewerb steht. Für Prüfungen ohne besonderen Anlass, die über die jährliche hinausgehen, kann er eine angemessene Vergütung seines Aufwands verlangen.

(5) Der Auftragsverarbeiter unterstützt die Verantwortliche bei Prüfungen durch eine Aufsichtsbehörde und leitet an ihn gerichtete behördliche Auskunftsersuchen, die die Daten nach § 4 betreffen, unverzüglich weiter.

§ 13 Pflichten und Rechte der Verantwortlichen

(1) Die Verantwortliche ist für die Rechtmäßigkeit der von ihr veranlassten Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, verantwortlich; die eigenen Pflichten des Auftragsverarbeiters aus der DSGVO und aus diesem Vertrag bleiben unberührt. Sie bestimmt Zweck und Mittel der Verarbeitung im Rahmen dieses Vertrags und trägt insbesondere dafür Sorge, dass

• eine Rechtsgrundlage nach dem Schul- und Schuldatenschutzrecht ihres Landes besteht und die dort vorgesehenen Verfahren – etwa Genehmigungen, Beteiligungen oder Einträge im Verzeichnis von Verarbeitungstätigkeiten – eingehalten sind;
• die betroffenen Personen und, soweit erforderlich, ihre Erziehungsberechtigten nach den Art. 13 und 14 DSGVO informiert werden;
• ihre Lehrkräfte über die Verarbeitung ihrer eigenen Daten nach § 2 Abs. 2b unterrichtet werden, insbesondere über das Einsichtsprotokoll, und eine nach dem jeweils anwendbaren Recht erforderliche Beteiligung der Personalvertretung erfolgt;
• nur die für den Zweck erforderlichen Daten eingegeben werden (§ 4 Abs. 3);
• der Kreis der berechtigten Lehrkräfte und die vergebenen Rechte bestimmt und aktuell gehalten werden und ausscheidende Personen den Zugang verlieren (§ 5 Abs. 1a).

(2) Die Verantwortliche hat das Recht, Weisungen nach § 5 zu erteilen, Nachweise nach § 12 zu verlangen, über Löschung oder Rückgabe nach § 11 zu entscheiden und weiteren Auftragsverarbeitern nach § 8 zu widersprechen.

(3) Sie kann dem Auftragsverarbeiter eine Adresse für Meldungen nach § 10 benennen und teilt Änderungen daran unverzüglich mit; ohne eine solche Angabe gehen die Meldungen an die Schulleitung (§ 10 Abs. 1).

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; das gilt auch für die Aufhebung dieses Formerfordernisses. Anlagen, die die Verantwortliche aufgrund landesrechtlicher Vorgaben beifügt, werden mit ihrer beiderseitigen Unterzeichnung Bestandteil dieses Vertrags und gehen ihm im Widerspruchsfall vor.

(2) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Unterschriften