gemäß Art. 28 DSGVO – zwischen der jeweiligen Schule (Verantwortliche) und Tobias Lebender (Auftragsverarbeiter)
Version 2.0
Auftragsverarbeiter im Sinne dieser Vereinbarung ist:
Tobias Lebender
Grüne Lohe 9, 85356 Freising
Gegenstand dieser Vereinbarung ist die Bereitstellung der Software „Zeugnis-Zauberer“ sowie die Speicherung end-to-end verschlüsselter Datensätze im Auftrag der Schule zur Unterstützung bei der Erstellung von Zeugnistextbausteinen. Die Vereinbarung gilt für die Dauer der Lizenznutzung durch die Schule und endet automatisch mit deren Beendigung.
Die Speicherung und Verarbeitung von Klarnamen der Schülerinnen und Schüler sowie inhaltsbezogenen Beurteilungsmerkmalen erfolgt ausschließlich zum Zweck der automatisierten Erstellung von Zeugnistextbausteinen.
Kategorien betroffener Personen: Schülerinnen und Schüler der jeweiligen Schule. Erziehungsberechtigte sind von der Verarbeitung nicht unmittelbar betroffen, da keine personenbezogenen Daten von Erziehungsberechtigten verarbeitet werden.
Kategorien personenbezogener Daten: Vor- und Nachname der Schülerin/des Schülers sowie unterrichtsbezogene, textliche Beurteilungsmerkmale (z. B. zu Verhalten, Mitarbeit, Fleiß). Es werden keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet.
Klarstellung zum Datenzugriff (Zero-Knowledge-Prinzip): Die Schülerdaten (Vor- und Nachnamen) werden vor dem Verlassen des Endgeräts der Schule (lokal im Browser) mittels AES-256 clientseitig verschlüsselt. Auf den Servern des Auftragsverarbeiters werden ausschließlich die verschlüsselten Datenblöcke (Chiffrate) gespeichert. Der Auftragsverarbeiter verfügt über keinen Entschlüsselungsschlüssel und hat zu keinem Zeitpunkt Zugriff auf unverschlüsselte Schülerdaten.
Der Auftragsverarbeiter verpflichtet sich,
Weisungserteilung: Weisungen der Schule erfolgen grundsätzlich in Textform (z. B. per E-Mail an die vom Auftragsverarbeiter benannte Kontaktadresse) und werden vom Auftragsverarbeiter dokumentiert. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Die Nutzung der Software gemäß ihrer bestimmungsgemäßen Funktionen (insbesondere die Eingabe und Verarbeitung von Schülerdaten durch die Schule selbst) gilt bereits als generelle Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:
Der Auftragsverarbeiter verpflichtet sämtliche Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in dieser Vereinbarung festgelegt sind, insbesondere zu angemessenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO.
Die Schule stimmt dem Einsatz dieser Unterauftragsverarbeiter mit Bestätigung dieser Vereinbarung zu. Über den Wechsel oder die Hinzuziehung weiterer Unterauftragsverarbeiter wird die Schule mindestens 14 Tage vorab (z. B. per E-Mail oder Dashboard-Hinweis) informiert; ihr steht ein Widerspruchsrecht zu.
Der Auftragsverarbeiter trifft insbesondere folgende Sicherheitsmaßnahmen:
Die Schule ist berechtigt, sich von der Einhaltung der in dieser Vereinbarung getroffenen Maßnahmen zu überzeugen, z. B. durch Einholung entsprechender Nachweise oder Auskünfte beim Auftragsverarbeiter. Die Überprüfung erfolgt primär durch die Bereitstellung aktueller Auskünfte, Zertifikate oder Nachweise. Sofern dies nicht ausreicht, ist auf begründete Anfrage der Schule auch eine Prüfung vor Ort bzw. eine Kontrolle durch einen von der Schule beauftragten, zur Verschwiegenheit verpflichteten Dritten möglich; Termin und Umfang werden zwischen den Parteien einvernehmlich und mit angemessenem zeitlichem Vorlauf abgestimmt. Die Kosten einer solchen Kontrolle trägt, sofern nicht anders vereinbart, die Schule.
Der Auftragsverarbeiter informiert die Schule unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO) sowie über behördliche Kontrollmaßnahmen, soweit sie diese Auftragsverarbeitung betreffen.
Nach Beendigung der Lizenznutzung (z. B. bei Nicht-Verlängerung des Vertrags nach Ablauf eines Schuljahres) hat die Schule die Wahl zwischen Löschung und Rückgabe der auf dem Server gespeicherten (verschlüsselten) Daten. Trifft die Schule innerhalb von 30 Tagen nach Beendigung keine anderslautende Wahl, werden sämtliche Daten der betreffenden Schule unverzüglich und dauerhaft gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Rückgabe erfolgt in dem Format, in dem die Daten beim Auftragsverarbeiter vorliegen (verschlüsselte Datenblöcke); eine Entschlüsselung durch den Auftragsverarbeiter ist mangels eigenen Schlüssels nicht möglich (siehe § 2). Automatisierte Backups werden ereignisbasiert bei Datenaktualisierung durch die Schule erstellt; es werden jeweils die letzten 5 Backup-Stände vorgehalten, ältere Stände werden dabei automatisch überschrieben.
Für Schäden, die aus einer schuldhaften Verletzung der in dieser Vereinbarung geregelten Pflichten resultieren, haftet der Auftragsverarbeiter nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des zwischen der Schule und dem Auftragsverarbeiter geschlossenen Lizenz- bzw. Nutzungsvertrags.
Mit der elektronischen Bestätigung dieser Vereinbarung durch den Admin-Zugang der Schule (Klick beim erstmaligen Login) kommt diese Auftragsverarbeitungsvereinbarung gemäß Art. 28 Abs. 9 DSGVO wirksam zustande. Die bestätigende Person sichert zu, hierzu im Namen der Schule berechtigt zu sein. Datum und IP-Adresse der Bestätigung werden protokolliert und können auf Anfrage nachgewiesen werden.