Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Softstack GmbH, Schiffbrückstraße 8, 24937 Flensburg (nachfolgend „Auftragsverarbeiter“), betreffend die cloudbasierte SaaS-Variante von DaZ Pilot.

Dieser AVV ist Bestandteil des SaaS-Hauptvertrags und gilt ergänzend zu den Allgemeinen Geschäftsbedingungen. Er gilt nicht für die selbst gehostete Community-Edition (Open Source unter EUPL).

§ 1 Gegenstand und Laufzeit

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung von DaZ Pilot als Software-as-a-Service (Hosting, Betrieb, Wartung und Support).

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des SaaS-Hauptvertrags. Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet der in § 12 geregelten Nachwirkungen (Datenrückgabe und Löschung).

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Leistungserbringung von DaZ Pilot, insbesondere:

• Bereitstellung der Mobile Apps (iOS/Android) und des Web-Dashboards für Lehrkräfte und Ausbilder:innen
• Fachwortschatz-Training, Quizze und Lernfortschritts­tracking für Schüler:innen und Auszubildende
• Bilderkennung von Unterrichtsgegenständen und Werkzeugen (SigLIP 2 / LinearSVC) einschließlich temporärer Frame-Verarbeitung
• Verarbeitung hochgeladener Arbeitsaufträge (PDF) inkl. OCR und QR-Code-Einbettung
• optionale Anbindung an die Moodle-Instanz des Verantwortlichen via OpenID Connect (ab Moodle 4.x)
• Support, Wartung und Fehleranalyse

(2) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters – etwa zu Werbe-, Profiling- oder Trainingszwecken mit personenbezogenen Daten Dritter – ist ausgeschlossen.

§ 3 Art der Daten und Kategorien Betroffener

Art der personenbezogenen Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1 zu diesem Vertrag.

§ 4 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Übermittlung der Daten an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er prüft vor Beginn der Nutzung die Zulässigkeit der Verarbeitung (einschließlich schul- und jugendschutzrechtlicher Vorgaben).

(2) Der Verantwortliche erteilt alle erforderlichen Weisungen schriftlich oder in Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

(3) Der Verantwortliche ist für die Information der Betroffenen (Lehrkräfte, Schüler:innen bzw. Erziehungsberechtigte) gemäß Art. 13/14 DSGVO zuständig.

§ 5 Weisungsbindung des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 6 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 7 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die ausführliche Dokumentation ist unter daz-pilot.de/tom abrufbar und Bestandteil dieses Vertrags.

(2) Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 8 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Auftragsverarbeiter) einzusetzen. Die aktuell genehmigten Sub-Auftragsverarbeiter ergeben sich aus Anlage 3.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Auftragsverarbeiter. Der Verantwortliche kann gegen die Änderung innerhalb von 30 Tagen nach Zugang der Information Widerspruch einlegen. Im Falle eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt dies nicht, kann der Verantwortliche den SaaS-Vertrag außerordentlich kündigen.

(3) Der Auftragsverarbeiter legt Sub-Auftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 9 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten gegenüber Betroffenen gemäß Art. 12–22 DSGVO, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

(2) Lehrkräfte und Schüler:innen können eigene Daten über das Dashboard als CSV oder JSON exportieren (Art. 20 DSGVO). Löschanträge, die nicht über das Dashboard abgewickelt werden können, leitet der Verantwortliche an hello@softstack.io weiter.

§ 10 Unterstützung bei DSFA, Aufsicht und Sicherheitsverletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) sowie bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), soweit dies erforderlich und möglich ist.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme, und stellt die für eine Meldung an die Aufsichtsbehörde bzw. die Betroffenen erforderlichen Informationen zur Verfügung (Art. 33, 34 DSGVO). Meldeweg: hello@softstack.io.

§ 11 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere aktuelle Zertifikatsnachweise des Rechenzentrums (ISO 27001, BSI C5).

(2) Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften und dieses AVV zu überprüfen – einschließlich Vor-Ort-Prüfungen mit angemessener Vorankündigung (in der Regel mindestens 14 Werktage) und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Rechte Dritter. Prüfungen finden in der Regel während der üblichen Geschäftszeiten statt.

§ 12 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter – nach Wahl des Verantwortlichen – alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche erhält nach Vertragsende ein 30-tägiges Portabilitätsfenster, in dem Daten als CSV oder JSON über das Dashboard exportiert werden können. Danach erfolgt die Löschung gemäß dem Löschkonzept.

(3) Auf Anfrage stellt der Auftragsverarbeiter eine schriftliche Bestätigung der Löschung aus.

§ 13 Haftung

(1) Die Haftung der Parteien richtet sich nach den Regelungen der AGB sowie nach Art. 82 DSGVO. Art. 82 DSGVO bleibt unberührt.

(2) Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die durch eine nicht datenschutzkonforme Verarbeitung entstehen, soweit er die Pflichten der DSGVO, die speziell an Auftragsverarbeiter gerichtet sind, oder aus diesem AVV nicht eingehalten hat.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (E-Mail genügt), soweit nicht eine strengere Form gesetzlich vorgeschrieben ist.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit gesetzlich zulässig – Flensburg.

Anlage 1 – Betroffene und Datenkategorien

Kategorien betroffener Personen

• Lehrkräfte und Ausbilder:innen
• Schüler:innen und Auszubildende
• Administrator:innen der Bildungseinrichtung

Arten personenbezogener Daten

• Kontaktdaten: Name bzw. Anzeigename, dienstliche E-Mail-Adresse
• Zugangsdaten: Moodle-OIDC-Subject / Kennung, Session-Tokens (SHA-256-gehasht), Rollen- und Klassen-Zuordnungen
• Lernfortschritt: Quiz-Ergebnisse, gelernte Fachbegriffe, Lernzeiten, Punkte und Abzeichen
• Inhalte: hochgeladene Arbeitsaufträge (PDF), temporäre Kamerabilder/Frames zur Objekterkennung, Fachbegriffs-Zuordnungen
• Technische Metadaten: Geräte-/Browserinformationen, Zeitstempel, Audit-Logs kritischer Vorgänge

Anlage 2 – Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO sind unter daz-pilot.de/tom dokumentiert und Bestandteil dieses Vertrags.

Anlage 3 – Genehmigte Sub-Auftragsverarbeiter

Apple Inc. und Google LLC sind als Betreiber der App Stores eigenständig Verantwortliche für die Distribution der Mobile Apps und keine Sub-Auftragsverarbeiter der Softstack GmbH. Die Moodle-Instanz der jeweiligen Bildungseinrichtung liegt im Verantwortungsbereich des Verantwortlichen.

Softstack GmbH · Schiffbrückstraße 8 · 24937 Flensburg
hello@softstack.io