Muster für die Schul-Beschaffung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag und nach Weisung der Verantwortlichen beim Betrieb der Plattform learn. Die Verarbeitung erfolgt ausschließlich im Rahmen des Hauptvertrags und dieses AVV.

Dauer: Der Vertrag läuft für die Laufzeit des Hauptvertrags und endet automatisch mit dessen Beendigung; die Pflichten zu Löschung/Rückgabe (§ 10) bestehen darüber hinaus fort.

Weisungsbindung (Art. 28 Abs. 3 lit. a): Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, auch bei einer Übermittlung in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er der Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit. Weisungen erfolgen grundsätzlich in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er die Verantwortliche unverzüglich.

Eigene Zwecke des Auftragsverarbeiters: Für Abrechnung, KI-Guthaben, Sicherheit, Schutz vor Missbrauch und Kosten sowie das Protokoll seiner Eingriffe in Konten verarbeitet der Auftragsverarbeiter die dafür nötigen Daten als eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses Vertrags. Mit den Schüler:innen schließt er keinen Vertrag.

Die Verarbeitung dient dem Betrieb einer schulischen Lern- und Unterrichtsplattform: Kontoverwaltung, Klassen- und Aufgabenverwaltung, Erstellung und Zuweisung von Lernmaterialien, Speicherung des Lernfortschritts sowie — sofern von der Schule aktiviert — KI-gestützte Funktionen (siehe § 5).

Art der Verarbeitung: Erheben, Erfassen, Speichern, Anzeigen, Ordnen, Auslesen, Verändern, Übermitteln (an Unterauftragsverarbeiter nach § 5), Löschen.

Registrierung und Freigabe: Neue Konten von Lehrpersonen sind sofort nutzbar, wenn die E-Mail-Adresse bestätigt ist und zu einer Domain gehört, die der Auftragsverarbeiter auf Angabe der Schule hinterlegt hat (die Schule bestätigt, dass unter dieser Domain keine Schülerinnen und Schüler Adressen haben), oder wenn die Lehrperson über den Einladungslink der Schul-Administration einer vom Auftragsverarbeiter eingerichteten Schule kommt und ihre Adresse bestätigt hat, oder wenn sie sich über den Microsoft-365-Zugang der Schule anmeldet, dieser sie nach Angabe der Schule verlässlich als Lehrperson erkennt (Adressmuster oder Rolle) und ein Lehrkraft-Platz der Schule frei ist. Andere neue Konten, auch über Microsoft ohne Schulzugang, Google oder eine Lernplattform, schaltet der Auftragsverarbeiter nach Prüfung frei. Nicht freigeschaltete Konten werden nach 30 Tagen gelöscht, abgelehnte am folgenden Tag; Zeitpunkt und Weg der Freischaltung (Domain, Schule, Schulzugang oder Freigabe) bleiben gespeichert, solange das Konto besteht.

Planungsspiegel (Werkstatt-Vorschau): Lehrpersonen können freiwillig und auf Grundlage ihrer eigenen Einwilligung einen Spiegel ihrer Planungsentscheidungen führen. Er ermöglicht keine Leistungs- oder Verhaltenskontrolle der Lehrperson: Er ist nur über das eigene Konto der Lehrperson erreichbar, und die Plattform gibt der Schule, ihren Administrator:innen und der Schulleitung keinen Zugriff darauf — keine Ansicht, keine Auswertung, keinen Export.

Schul-Verwaltung: Die Schule kann in learn eine Organisation führen. Lehrpersonen werden eingeladen und erst mit ihrer Zustimmung Mitglied; Einladungen laufen nach 30 Tagen ab, und Lehrpersonen können jederzeit austreten. Eingeladen wird über einen einmal nutzbaren Einladungslink (gespeichert wird nur ein Prüfwert), den die Schul-Administration selbst weitergibt oder – bei einer eingerichteten Schule – auf ihren ausdrücklichen Wunsch per E-Mail versenden lässt; so lassen sich auch Lehrpersonen ohne Konto einladen. Gibt die Schul-Administration den Link selbst weiter, informiert die Schule die eingeladene Lehrperson, woher learn ihre E-Mail-Adresse hat (Art. 14 DSGVO). Die Schul-Administration kann Mitglieder zur Schul-Administration machen oder zurückstufen. Sie kann außerdem Lehrpersonen benennen, die schulautonome Lehrpläne der Schule in learn übernehmen und verwalten; diese stehen allen Mitgliedern der Schule zur Verfügung. Hat die Schule eine Schullizenz, werden Klassen einer Lehrperson, die nur dieser Schule angehört, ihr automatisch zugeordnet. Die Schul-Administration erhält dadurch keinen Zugriff auf Klassen anderer Lehrpersonen. Sie sieht nur Summen der Schule: die Zahl der Klassen und der Schüler:innen mit Konto. Die Lehrplan-Abdeckung sieht sie zusammengefasst je Schulstufe und Fach und nur ab Klassen von drei Lehrpersonen. Sie sieht keine Zahlen je Lehrperson, keine Klassennamen, Klassencodes oder Inhalte und keine Daten von Schüler:innen. Die Schul-Verwaltung dient der Lizenz- und Sitzverwaltung und einem Überblick über die Lehrplan-Abdeckung der Schule; sie dient nicht der Leistungs- oder Verhaltenskontrolle der Lehrpersonen.

• Schüler:innen (überwiegend Minderjährige) — Beitritt über Klassencode ohne Konto und ohne E-Mail-Adresse; Schülerkonten, wenn die Schule ein Schulverwaltungssystem (OneRoster, WebUntis) oder eine Lernplattform (LTI) anbindet.
• Lehrpersonen und ggf. weiteres pädagogisches Personal.
• Administrator:innen der Schule / des Schulträgers.

• Schüler:innen mit Konto: Vorname bzw. – bei Konten aus Schulverwaltungssystemen oder Lernplattformen – Vorname und Anfangsbuchstabe des Nachnamens, Kennung des Schulsystems, systemseitig erzeugter Anmeldename, Passwort (gehasht), Klassenzugehörigkeit, Rolle, Sprache, Zeitpunkt der letzten Anmeldung. Ohne Konto (Klassencode): keine personenbezogenen Anmeldedaten; Nachrichten im Klassen-Chat nur im Durchlauf, serverseitig nicht gespeichert.
• Lehrpersonen/Admins: E-Mail-Adresse, Anzeigename, Rolle, Sprache, Authentifizierungsdaten; Mitgliedschaft in der Schule (Rolle, Sitz, Recht zur Verwaltung schulautonomer Lehrpläne, Einladung mit Zeitpunkt und Antwort). Für Einladungen die eingeladene E-Mail-Adresse; für neue Konten der Stand der Freigabe, ob die E-Mail-Adresse bestätigt ist, sowie Weg und Zeitpunkt der Freischaltung; bei Anmeldung über Microsoft oder Google die Kennung beim Anbieter und die Organisation.
• Lern- und Nutzungsdaten: gespeicherte Videos/Materialien, Quiz- und Checkpoint-Antworten, Lernfortschritt, Punkte/XP, Streak, Badges, Aufgabenzuweisungen, Abgaben.
• Inhalte: von Nutzenden eingegebene Texte, Uploads und — bei aktivierten KI-Funktionen — Chat-/Prompt-Inhalte.
• Technische Daten: Session-/Authentifizierungs-Cookie, Fehlerprotokolle mit gekürzter IP-Adresse (Host-Anteil entfernt), Zugriffsprotokolle des Webservers mit vollständiger IP-Adresse (14 Tage), KI-Nutzungsprotokoll ohne Eingaben und Antworten (90 Tage).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; Nutzende sind angehalten, solche Daten nicht einzugeben.

Die Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert die Verantwortliche über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) und räumt ihr ein Widerspruchsrecht ein. Er verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter die folgenden Unterauftragsverarbeiter ein; die KI-Anbieter sind fest vorgegeben:

Kein Unterauftragsverarbeiter, aber Empfänger: Stripe (Stripe Payments Europe Ltd., Irland; Konzern Stripe Inc., USA) wickelt kostenpflichtige Tarife ab und ist für die Zahlungsdaten eigenständig Verantwortliche; Drittlandbezug, Standardvertragsklauseln. Eingebettete Inhalte fremder Anbieter (YouTube, Vimeo, Virtuelle PH, PhET, Serlo) laden erst nach einem Klick der Nutzenden; ab dann verarbeitet der Anbieter die Daten in eigener Verantwortung.

Der Auftragsverarbeiter betreibt die Plattform selbst; Schulen installieren und betreiben nichts. Er informiert die Verantwortliche vor jeder Änderung dieser Liste (Hinzuziehung oder Ersetzung) und räumt ihr das Widerspruchsrecht nach Abs. 1 ein.

Mit den Daten der Verantwortlichen wird kein KI-Modell trainiert – weder vom Auftragsverarbeiter noch von seinen KI-Unterauftragsverarbeitern. Bei Microsoft (Azure OpenAI) und Mistral AI ist das Training mit den Daten des Auftragsverarbeiters ausgeschaltet. Sollte sich daran je etwas ändern, informiert der Auftragsverarbeiter die Verantwortliche vorab und holt, wo nötig, ihre Einwilligung ein.

Microsoft speichert Eingaben und Ergebnisse bis zu 30 Tage ausschließlich zur Erkennung von Missbrauch (Missbrauchsüberwachung von Azure OpenAI) in der EU; sie werden nicht zum Training verwendet.

Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. Der Zugriff auf personenbezogene Daten ist auf das für die Auftragserfüllung Erforderliche beschränkt (Need-to-know).

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere:

• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS, HSTS) für alle Verbindungen, auch zu Datenbank, KI-Diensten und Sicherung; Passwörter werden ausschließlich als sicherer Hash (bcrypt) gespeichert; die Sicherung außer Haus ist verschlüsselt.
• Zugriffskontrolle: rollenbasierte Rechte (Schüler:in/Lehrkraft/Schul-Administration/Admin), HttpOnly- und Secure-Session-Cookies, Trennung von Klassen und Mandanten; begrenzte Zahl von Versuchen u. a. bei Anmeldung, Registrierung, Datenexport und Kontolöschung.
• Protokollierung: Eingriffe des Plattform-Teams in Konten (Passwort setzen, Rolle, Tarif, Freigabe, Export, Löschung) nur mit Anlass und Eintrag im Protokoll (drei Jahre).
• Datenminimierung: Schüler:innen-Konten ohne E-Mail, aus Schulsystemen nur mit Vorname und Anfangsbuchstabe des Nachnamens; Fehlerprotokolle mit gekürzter IP; KI-Nutzungsprotokoll ohne Eingaben; kontoloser Klassen-Chat serverseitig ohne Speicherung, im Browser nur im Sitzungsspeicher des Tabs; keine Tracking-Cookies, keine Drittanbieter-Analyse.
• Datentrennung: logische Trennung der Daten je Schule/Klasse.
• Verfügbarkeit & Integrität: tägliche verschlüsselte Sicherung außer Haus (höchstens 30 Tage), Wiederherstellbarkeit, Sicherheits-Header (Content-Security-Policy, Referrer-Policy), Schutz vor unbefugter Veränderung.
• KI-Datenfluss: an KI-Dienste werden nur die für die Anfrage nötigen Inhalte übermittelt — ohne direkte Identifikatoren wie Klarname, E-Mail oder Klassencode.
• Überprüfung: automatische Tests (vollständiger Datenexport, keine Reste nach einer Kontolöschung, EU-Anbieter für Schüler:innen, KI-Kennzeichnung) und regelmäßige Rechtsprüfungen.

Die ausführliche Beschreibung der TOMs stellt der Auftragsverarbeiter als Anlage zur Verfügung; sie ist an den tatsächlichen Betriebsstand anzupassen.

Der Auftragsverarbeiter unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Art. 12–23). Erreicht ihn eine Anfrage einer betroffenen Person zu Daten aus dem Einsatz der Verantwortlichen, beantwortet er sie nicht selbst, sondern leitet sie binnen drei Werktagen an die Verantwortliche weiter und teilt der Person die Weiterleitung mit. Auf Weisung der Verantwortlichen stellt er die Daten einer Person als ZIP-Paket bereit (alle Daten maschinenlesbar, Kopien der Dateien, Begleittext nach Art. 15 DSGVO) oder löscht sie; jeder solche Eingriff wird mit Anlass protokolliert. Nutzende können selbst eine Kopie ihrer Daten als ZIP-Paket herunterladen und ihr Konto vollständig löschen. Ebenso unterstützt er bei Datenschutz-Folgenabschätzungen – eine Beschreibung der Verarbeitung, ihrer Risiken und der Maßnahmen stellt er bereit – und bei der Sicherheit der Verarbeitung (Art. 32–36).

Der Auftragsverarbeiter meldet der Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von Stunden nach Bekanntwerden. Die Meldung enthält die nach Art. 33 Abs. 3 erforderlichen Angaben, soweit verfügbar, und unterstützt die Verantwortliche bei ihren eigenen Melde- und Benachrichtigungspflichten (Art. 33/34).

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl der Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung eines Kontos entfernt die zugehörigen personenbezogenen Daten unwiderruflich.

Nicht freigeschaltete Registrierungen werden nach 30 Tagen gelöscht (begonnene Registrierungen aus der Zeit davor 30 Tage nach Einführung der Regel), abgelehnte am folgenden Tag; Einladungen an Adressen ohne Konto, sobald sie abgelaufen oder zurückgezogen sind. Konten aus dem Microsoft-365-Zugang der Schule, die nicht binnen 30 Tagen freigeschaltet werden, werden gelöscht. Schülerkonten werden nach 12 Monaten ohne Anmeldung gelöscht, über OneRoster oder WebUntis angelegte außerdem, sobald sie nach dem Löschen ihrer Klasse oder des Kontos der Lehrperson keiner Klasse mehr angehören; KI-Chat-Verläufe 365 Tage nach der letzten Aktivität. Nicht aktive Konten von Lehrpersonen werden nicht automatisch gelöscht. Sicherungskopien werden nach höchstens 30 Tagen gelöscht.

Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 zur Verfügung und ermöglicht sowie trägt zu Überprüfungen — einschließlich Inspektionen — bei, die von der Verantwortlichen oder einer von ihr beauftragten Prüferin durchgeführt werden. Überprüfungen werden mit angemessener Vorankündigung und ohne Störung des Betriebs durchgeführt.

Die KI-Anfragen verarbeiten Mistral AI (Frankreich, EU) und Microsoft Azure OpenAI im Bereitstellungstyp „Datenzonenstandard (EU)“ in der EU; Anwendung, Datenbank und Uploads liegen auf Servern in der EU.

Da die Konzernmutter von Microsoft ihren Sitz in den USA hat, ist ein Zugriff aus einem Drittland nicht auszuschließen; hierfür gelten der Datenschutznachtrag von Microsoft mit Standardvertragsklauseln und ergänzend das EU-US Data Privacy Framework.

Die Datenbank betreibt Supabase Inc. mit Sitz in den USA auf Servern von Amazon Web Services in Frankfurt am Main (EU). Ein Zugriff aus einem Drittland ist daher nicht auszuschließen; hierfür gelten die Standardvertragsklauseln im Datenschutznachtrag von Supabase.

Eine Drittlandübermittlung findet statt, soweit kostenpflichtige Tarife über Stripe abgerechnet werden (Stripe ist dafür eigenständig Verantwortliche) oder ein in § 5 genannter Dienst Drittlandbezug hat. In diesen Fällen erfolgt die Übermittlung nur bei Vorliegen geeigneter Garantien (Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln) und auf Weisung der Verantwortlichen.

Der Auftragsverarbeiter informiert die Verantwortliche vor einer Änderung, die eine Drittlandübermittlung erstmals auslöst (§ 5).

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die aus einer von ihr zu vertretenden Verletzung dieses Vertrags oder datenschutzrechtlicher Pflichten resultieren. Ergänzende Haftungsregelungen des Hauptvertrags bleiben unberührt, soweit sie zwingendem Recht nicht widersprechen.

Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor.