Auftragsverarbeitungsvertrag

Vertragsparteien und Präambel

Zwischen der Schule, die sich auf Schülerwahl.com registriert (Verantwortlicher, nachfolgend „Schule“),

und Maximilian Stephan, Einzelunternehmen „Schülerwahl.com“, Irscherstraße 1, 54296 Trier (Auftragsverarbeiter, nachfolgend „Anbieter“).

Die Schule nutzt Schülerwahl.com, um AG-Wahlen und Umfragen digital durchzuführen. Dabei verarbeitet der Anbieter personenbezogene Daten von Schülerinnen, Schülern und Lehrkräften im Auftrag der Schule. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten beider Parteien nach Art. 28 DSGVO. Er ergänzt die Nutzungsbedingungen (nachfolgend „Hauptvertrag“). Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

Wer den Vertrag per Checkbox bestätigt, erklärt, dazu von der Schulleitung bzw. dem Schulträger berechtigt zu sein.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung der Plattform Schülerwahl.com für digitale AG-Wahlen, Umfragen und die Zuteilung zu AGs.

(2) Dauer: Der Vertrag gilt, solange die Schule die Plattform nutzt bzw. eine Lizenz besteht. Er endet mit dem Hauptvertrag; § 8 gilt darüber hinaus.

(3) Art und Zweck: Erheben, Speichern, Auswerten, Anzeigen, Exportieren und Löschen von Daten, damit die Schule Wahlen und Umfragen anlegen, durchführen und auswerten kann. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt.

(4) Kategorien betroffener Personen und Daten:

(5) Bei anonymen Umfragen speichert der Anbieter keine Zuordnung zwischen Antwort und Schüler und keinen Zeitstempel, über den eine Zuordnung möglich wäre.

(6) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags. Die Schule sorgt dafür, dass in Freitextfeldern keine solchen Daten abgefragt werden.

(7) Die Verarbeitung findet ausschließlich in der EU bzw. im EWR statt, soweit Anlage 2 nichts anderes regelt.

§ 2 Weisungsbefugnis

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Schule (Art. 28 Abs. 3 lit. a DSGVO), auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt er der Schule die rechtliche Anforderung vorab mit, soweit das Gesetz dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Plattformfunktionen durch die Schule, z. B. Anlegen, Bearbeiten, Exportieren oder Löschen von Daten. Weitere Weisungen erteilt die Schule in Textform (z. B. per E-Mail).

(3) Hält der Anbieter eine Weisung für datenschutzwidrig, weist er die Schule unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis die Schule die Weisung bestätigt oder ändert.

(4) Weisungsberechtigt sind die Account-Verantwortlichen der Schule. Empfänger von Weisungen ist der Anbieter unter maximilian.stephan@schuelerwahl.com.

§ 3 Pflichten des Anbieters

(1) Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen der Schule. Er nutzt sie nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder das Training von KI-Modellen.

(2) Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht über das Ende ihrer Tätigkeit hinaus.

(3) Der Anbieter greift auf Daten der Schule nur zu, soweit dies für Betrieb, Support oder Fehlerbehebung erforderlich ist.

(4) Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für Datenschutz ist Maximilian Stephan, maximilian.stephan@schuelerwahl.com.

(5) Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie berücksichtigen, dass überwiegend Daten Minderjähriger verarbeitet werden.

(2) Die Maßnahmen entsprechen dem Stand der Technik. Der Anbieter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und passt Anlage 1 an.

§ 5 Unterauftragsverarbeiter

(1) Die Schule genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Anbieter darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO). Er informiert die Schule mindestens 30 Tage vorher per E-Mail. Die Schule kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Ist keine Einigung möglich, darf sie den Hauptvertrag außerordentlich kündigen; bereits gezahlte Entgelte für die Restlaufzeit werden anteilig erstattet.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber der Schule für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 DSGVO).

(4) Eine Übermittlung in Drittländer findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, z. B. durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post- oder Transportdienste.

§ 6 Unterstützung, Betroffenenrechte und Meldepflichten

(1) Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.) beantwortet die Schule. Erreicht eine Anfrage den Anbieter, leitet er sie unverzüglich an die Schule weiter.

(2) Die Plattform ermöglicht der Schule, Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen. Wo das nicht ausreicht, unterstützt der Anbieter die Schule bei der Erfüllung der Betroffenenrechte.

(3) Der Anbieter meldet der Schule eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Kategorien und ungefähre Anzahl von Personen und Datensätzen, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen. So kann die Schule ihre Meldefrist von 72 Stunden (Art. 33 DSGVO) einhalten.

(4) Der Anbieter unterstützt die Schule bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO) mit den ihm vorliegenden Informationen.

(5) Der Anbieter informiert die Schule unverzüglich über Kontrollen, Anfragen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung nach diesem Vertrag betreffen.

(6) Für Unterstützung, die über die Plattformfunktionen hinausgeht und nicht auf einem Verstoß des Anbieters beruht, kann der Anbieter eine angemessene Vergütung verlangen.

§ 7 Kontrollrechte

(1) Der Anbieter stellt der Schule auf Anfrage alle Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.

(2) Die Schule darf die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Vor-Ort-Kontrollen kündigt sie mindestens 14 Tage vorher an. Sie finden während der üblichen Geschäftszeiten und ohne Störung des Betriebs statt, höchstens einmal pro Jahr, außer bei einem konkreten Anlass.

(3) Statt einer Vor-Ort-Kontrolle kann der Anbieter geeignete Nachweise vorlegen, z. B. eine aktuelle Beschreibung der Maßnahmen, Prüfberichte oder Zertifikate seiner Unterauftragsverarbeiter.

(4) Jede Partei trägt die eigenen Kosten einer Kontrolle.

§ 8 Löschung und Rückgabe

(1) Während der Laufzeit kann die Schule Daten jederzeit selbst exportieren und löschen, z. B. einzelne Schüler oder ganze Wahlen.

(2) Nach Ende des Hauptvertrags kann die Schule ihre Daten noch 30 Tage exportieren. Danach löscht der Anbieter alle personenbezogenen Daten der Schule, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(3) Einträge im Aktivitätsprotokoll werden nicht gelöscht, sondern anonymisiert: Namen und Verweise auf Schüler und Lehrkräfte werden entfernt, sodass kein Personenbezug mehr besteht.

(4) Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben, spätestens nach 30 Tagen.

(5) Abrechnungsdaten der Schule (Rechnungen, Zahlungen) bewahrt der Anbieter nach den handels- und steuerrechtlichen Fristen auf. Sie enthalten keine Daten von Schülern.

(6) Der Anbieter bestätigt die Löschung auf Anfrage in Textform.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags (§ 10 der Nutzungsbedingungen).

(2) Ist das Eigentum der Schule an den Daten durch Maßnahmen Dritter gefährdet (z. B. Pfändung, Insolvenz), informiert der Anbieter die Schule unverzüglich.

(3) Der Anbieter kann diesen Vertrag ändern, wenn Gesetz, Rechtsprechung oder Aufsichtsbehörden dies erfordern. Er informiert die Schule mindestens 30 Tage vorher; § 5 Abs. 2 gilt für das Widerspruchsrecht entsprechend.

(4) Es gilt deutsches Recht. Gerichtsstand ist Trier, soweit gesetzlich zulässig.

(5) Sollte eine Bestimmung unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Anlage 1 – Technische und organisatorische Maßnahmen

Anlage 2 – Unterauftragsverarbeiter

Hinweis: Stripe Payments Europe, Ltd. (Dublin, Irland) verarbeitet ausschließlich Rechnungs- und Zahlungsdaten der Schule als eigener Verantwortlicher, keine Daten von Schülern oder Lehrkräften. Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Der Benachrichtigungsdienst für Fehlermeldungen erhält keine personenbezogenen Daten.