Zum Inhalt

Für Schulen

Vertrag zur Auftragsverarbeitung (Muster)

Muster des Vertrags nach Art. 28 DSGVO, den wir mit jeder Schule abschließen, bevor sie die Lernplattform mit ihren Klassen nutzt.

Muster zur Orientierung. Dieser Vertrag ist ein Entwurf und keine Rechtsberatung. Wir stimmen ihn vor der Unterzeichnung mit eurer Schule bzw. dem Schulerhalter ab – gerne auch mit eurer bzw. eurem Datenschutzbeauftragten. Fragen: privacy@unterricht-beispiele.at

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Verantwortlicher (Auftraggeber): die Schule bzw. ihr Schulerhalter, vertreten durch die Schulleitung – Name, Anschrift und Schulkennzahl laut Unterschriftenseite.

Auftragsverarbeiter (Auftragnehmer): Wolfgang Zotter, BEd MSc, Eichenweg 21, 8572 Bärnbach, Österreich – Betreiber von unterricht-beispiele.at (privacy@unterricht-beispiele.at).

1. Gegenstand und Dauer

Der Auftragnehmer stellt der Schule die Lernplattform (Übungen, Lernsets, Lernpfade, Werkstätten, 10-Finger-Trainer TentaTipp) und die Schulverwaltung von unterricht-beispiele.at für den Unterricht bereit und verarbeitet dabei personenbezogene Daten im Auftrag der Schule. Der Vertrag gilt, solange die Schule einen Schulbereich auf unterricht-beispiele.at nutzt, und endet mit dessen Löschung (Punkt 9).

2. Art und Zweck der Verarbeitung

Speichern, Auswerten und Anzeigen von Übungsergebnissen für den Unterricht: Lehrkräfte legen Übungen und Klassen an, Schülerinnen und Schüler üben mit Lern-Code oder Klassencode, Lehrkräfte sehen Ergebnisse und Lernfortschritt ihrer Gruppen. Eine Verarbeitung zu anderen Zwecken – insbesondere Werbung, Profilbildung oder Weitergabe an Dritte – findet nicht statt. Auf der Lernplattform gibt es keine Werbung und keine Webanalyse.

3. Art der Daten und Kreis der Betroffenen

  • Schülerinnen und Schüler: eingegebener Name bzw. Spitzname, Klasse, Lern-Code, Antworten, Punkte, Zeiten, Lernfortschritt, TentaTipp-Ergebnisse und Zertifikatsnummern; falls die Schule das nutzt: Noten und Plus/Minus-Einträge der Lehrkraft mit Notiz.
  • Lehrkräfte und Schul-Admins: Name, dienstliche E-Mail-Adresse, Rolle und Rechte, Zeitpunkt der letzten Anmeldung; das Passwort nur als nicht umkehrbarer Hash.
  • Technisch: IP-Adresse in Server-Protokollen des Hosters und zum Schutz vor Missbrauch (gekürzt bzw. als Prüfsumme, kurze Speicherdauer).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Die Schule sorgt dafür, dass keine solchen Daten in Freitextfelder eingetragen werden.

4. Pflichten des Auftragnehmers

  • Er verarbeitet die Daten nur auf dokumentierte Weisung der Schule; als Weisung gelten dieser Vertrag und die Einstellungen, die Lehrkräfte und Schul-Admins in der Plattform vornehmen. Hält er eine Weisung für rechtswidrig, sagt er das der Schule sofort.
  • Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
  • Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO laut Anlage und hält sie auf dem Stand der Technik.
  • Er unterstützt die Schule bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) und bei Datenschutz-Folgenabschätzungen im zumutbaren Umfang.
  • Er meldet der Schule eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit allen Angaben, die die Schule für ihre eigene Meldung nach Art. 33 DSGVO braucht.
  • Er stellt der Schule alle Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach Absprache.
  • Daten der Schule werden getrennt von den Daten anderer Schulen gespeichert; eine Schule sieht nie Daten einer anderen Schule.

5. Unterauftragsverarbeiter

Die Schule ist einverstanden, dass der Auftragnehmer folgenden Unterauftragsverarbeiter einsetzt:

  • Hosting: Digitalnova (Server web02.digitalnova.at), Rechenzentrum in der EU – Betrieb des Webservers und der Speicherung. [OFFEN: genaue Firma, Anschrift und Standort laut AV-Vertrag des Hosters eintragen]
  • E-Mail-Versand (Einladungen und Passwort-Links an Lehrkräfte) über denselben Hoster.

Weitere Unterauftragsverarbeiter setzt der Auftragnehmer nur ein, wenn er die Schule vorher informiert und sie nicht innerhalb von 14 Tagen widerspricht. Er verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dasselbe Datenschutzniveau. Eine Verarbeitung außerhalb der EU bzw. des EWR findet nicht statt.

6. Pflichten der Schule

  • Die Schule informiert Schülerinnen, Schüler und Erziehungsberechtigte über den Einsatz der Lernplattform (zum Beispiel über die Datenschutzinformation der Schule) und klärt, auf welcher Rechtsgrundlage sie die Daten verarbeitet.
  • Sie vergibt Zugänge nur an Lehrkräfte, die sie für den Unterricht brauchen, und entzieht sie, wenn eine Lehrkraft die Schule verlässt.
  • Sie empfiehlt den Schülerinnen und Schülern, mit Spitznamen bzw. Vornamen zu üben und ihren Lern-Code nicht weiterzugeben.

7. Ansprechpersonen

Auftragnehmer: Wolfgang Zotter, privacy@unterricht-beispiele.at, +43 664 432 94 90. Schule: Schulleitung und – falls vorhanden – Datenschutzbeauftragte:r laut Unterschriftenseite.

8. Haftung

Für die Haftung gilt Art. 82 DSGVO.

9. Ende des Vertrags, Löschung und Rückgabe

Endet die Nutzung, erhält die Schule auf Wunsch innerhalb von 30 Tagen einen Export ihrer Daten. Danach löscht der Auftragnehmer alle Daten der Schule; Sicherungskopien werden mit dem regulären Ablauf der Sicherungen gelöscht, spätestens nach [OFFEN: Frist laut Backup des Hosters, z. B. 30] Tagen. Die Löschung wird der Schule schriftlich bestätigt.

10. Schlussbestimmungen

Änderungen bedürfen der Schriftform (E-Mail genügt). Es gilt österreichisches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag gültig.

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Datensparsamkeit: Schülerinnen und Schüler brauchen kein Konto; sie üben pseudonym mit Lern-Code bzw. Klassencode. Der Lern-Code steht nie in Adressen, die in Server-Protokollen landen.
  • Speicherort: Lern- und Verwaltungsdaten liegen außerhalb des öffentlichen Web-Ordners; jede Datei ist zusätzlich gegen direkten Abruf geschützt.
  • Übertragung: ausschließlich verschlüsselt (HTTPS/TLS).
  • Zugang: Konten für Lehrkräfte nur über Einladung der eigenen Schule; Rollen Lehrkraft, Schul-Admin, Betreiber; Rechte werden immer am Server geprüft; keine Selbst-Hochstufung.
  • Passwörter: nur als sicherer Hash gespeichert; Mindestlänge 10 Zeichen; Schutz gegen Durchprobieren (Bremse je Adresse).
  • Sitzungen: Sitzungs-Cookie mit HttpOnly, Secure und SameSite; Schutz gegen Cross-Site-Request-Forgery bei jeder Änderung.
  • Trennung: Daten jeder Schule getrennt; automatische Tests prüfen, dass eine Schule keine Daten einer anderen sieht.
  • Verfügbarkeit: Sicherungen durch den Hoster [OFFEN: Rhythmus und Aufbewahrung laut Hoster]; Umzüge nur mit verschlüsselten Archiven und Prüfsummen.
  • Keine Weitergabe: keine Werbung, keine Webanalyse und keine Einbindung von Drittanbietern auf der Lernplattform; Schriften und Bilder kommen vom eigenen Server.

Unterschriften

Schule (Name, Anschrift, Schulkennzahl): ______________________________________

Ort, Datum, Unterschrift Schulleitung: ______________________________________

Ort, Datum, Unterschrift Auftragnehmer (Wolfgang Zotter): ______________________________________

Zur Schul-Anfrage