Vertrag zur Auftragsverarbeitung

Zwischen

Verantwortlicher:
Schule: ______________________________________________
Anschrift: ____________________________________________
vertreten durch die Schulleitung: _______________________
(im Folgenden „Verantwortlicher“)

und

Auftragsverarbeiter:
DK Business Solutions GmbH, Altfeldstraße 5, 76185 Karlsruhe
vertreten durch den Geschäftsführer Daniel Krause
(im Folgenden „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-Anwendung MixMyClass (mixmyclass.de) zur Verfügung, mit der Lehrkräfte des Verantwortlichen Klassen in Arbeitsgruppen einteilen und Sitzpläne erstellen. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Der Vertrag gilt für die Dauer der Nutzung von MixMyClass durch den Verantwortlichen. Er kann von beiden Seiten mit einer Frist von drei Monaten zum Schuljahresende gekündigt werden; das Recht zur außerordentlichen Kündigung bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Zweck: Bildung von Arbeitsgruppen und Sitzordnungen im Unterricht durch Lehrkräfte des Verantwortlichen.

(2) Art der Verarbeitung: Speichern, Anzeigen, Verändern und Löschen in einer Datenbank; keine automatisierte Entscheidungsfindung, kein Profiling.

(3) Datenarten:

• Schüler:innen: ein von der Lehrkraft vergebenes Kürzel/Pseudonym (keine Vor- oder Nachnamen; die Zuordnung zum Kind verbleibt beim Verantwortlichen), optional Geschlecht (m/w/d), optional eine pädagogische Einschätzung des Leistungsniveaus in drei Stufen, Regeln zur Gruppenbildung, Zugehörigkeit zu Gruppen und Sitzplätzen, Klassenbezeichnung.
• Lehrkräfte: E-Mail-Adresse, Anzeigename, Passwort (nur als Hash), Rolle, Zugangsstatus, Zeitpunkt der letzten Anmeldung, Protokoll der Zugangsverwaltung.

(4) Betroffene: Schüler:innen des Verantwortlichen (Minderjährige) sowie Lehrkräfte und Administrator:innen des Verantwortlichen.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen. Weisungen sind durch diesen Vertrag und die Nutzung der Anwendung durch die berechtigten Lehrkräfte erteilt; Einzelweisungen erfolgen in Textform an info@dk-bs.de.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

(3) Eine Verarbeitung außerhalb der EU bzw. des EWR findet nicht statt.

§ 4 Pflichten des Auftragsverarbeiters

• Er gewährleistet, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind.
• Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und überprüft sie regelmäßig.
• Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anfragen Betroffener (Art. 12–22 DSGVO); die Anwendung ermöglicht Lehrkräften Auskunft, Berichtigung und Löschung selbst.
• Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, an die vom Verantwortlichen benannte Adresse.
• Er löscht nach Beendigung des Vertrags alle personenbezogenen Daten einschließlich Sicherungskopien, sofern keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Verlangen.
• Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen; Überprüfungen vor Ort sind mit angemessener Frist anzukündigen.
• Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen mindestens vier Wochen im Voraus; der Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen.

(2) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

§ 6 Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich.
• Er stellt sicher, dass seine Lehrkräfte nur die in § 2 genannten Daten eingeben – Schüler:innen ausschließlich als Kürzel/Pseudonym, keine Vor- oder Nachnamen – und die Nutzungsbedingungen von MixMyClass einhalten. Der Auftragsverarbeiter nimmt keine inhaltliche Kontrolle der eingegebenen Daten vor; er unterstützt die Vorgabe durch Hinweise in der Anwendung.
• Er benennt eine Kontaktstelle für Meldungen nach § 4 (Name / E-Mail): ____________________________________________
• Er informiert die Betroffenen bzw. deren Erziehungsberechtigte nach Art. 13 DSGVO über den Einsatz von MixMyClass.

§ 7 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen

• Zutritt/Zugang: Betrieb auf einem gemieteten Server der Hetzner Online GmbH in einem zertifizierten Rechenzentrum in Deutschland (ISO 27001). Administrativer Zugriff nur per SSH mit Schlüssel; kein Passwort-Login.
• Zugriff: Persönliche Zugänge nur per Einladung; Passwörter mit mindestens 10 Zeichen, gespeichert ausschließlich als Hash (bcrypt). Zwei-Faktor-Anmeldung für alle Zugänge (Code per E-Mail, 10 Minuten gültig, gemerkte Geräte 30 Tage und jederzeit widerrufbar). Bremse nach fünf Fehlversuchen. Rollen (Lehrkraft/Administration). Die Datenbank erzwingt Zugriffsregeln je Zeile (Row Level Security): Leistungsniveaus, Regeln, Einteilungen und Sitzpläne sind nur für die Lehrkraft lesbar, die sie angelegt hat – auch nicht für Administrator:innen; private Klassen sind für niemanden sonst sichtbar.
• Übertragung: Ausschließlich TLS-verschlüsselte Verbindungen (HTTPS); Datenbank und Auth-Dienst sind nicht öffentlich erreichbar.
• Eingabe/Protokoll: Verwaltungsaktionen an Zugängen (Einladung, Sperrung, Rollenänderung, Löschung) werden mit Zeitpunkt und handelnder Person protokolliert.
• Trennung: Eine Instanz je Schule; keine Vermischung mit Daten anderer Schulen. Kein Testbetrieb mit Echtdaten.
• Datensparsamkeit: Nur Pseudonyme/Kürzel und optionale Angaben; keine Namen, keine Fotos, keine Noten. Die Anwendung weist bei der Eingabe auf die Pseudonym-Pflicht hin und markiert Einträge, die wie Vor- und Nachname aussehen. Hartes Löschen ohne Papierkorb; Kontolöschung entfernt alle privaten Daten sofort.
• Verfügbarkeit: Sicherung der Datenbank vor jeder Änderung der Datenbankstruktur; Sicherungskopien liegen auf demselben Server mit Zugriff nur für root und werden nach 30 Tagen automatisch gelöscht. Keine Zugriffsprotokolle mit IP-Adressen. [Ergänzen, sobald eingerichtet: regelmäßige externe Sicherung und Wiederherstellungstest.]
• Sitzungen: Anmeldung endet nach 30 Tagen Inaktivität; „angemeldet bleiben“ ist eine bewusste Wahl der Nutzer:innen.
• Keine Drittdienste: Keine Analyse-, Tracking- oder Werbedienste; Schriften werden vom eigenen Server ausgeliefert.

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Hosting (Server und Datenbank), Rechenzentrum in Deutschland.
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Versand der System-E-Mails (Einladung, Passwort), Server in Deutschland.