Auftragsverarbeitungsvereinbarung für Schulen

Das nachfolgende Muster unserer Auftragsverarbeitungsvereinbarung dient allein der Information und ist im Rahmen unserer Produkte „Schullizenz" und „Vollzugänge für Schüler*innen" anwendbar. Bei Interesse für unsere Schulprodukte können Sie Ihre Anfrage hier stellen. Sollten Sie eines der Produkte buchen wollen, wird Ihnen ein entsprechender Vertrag inklusive der nachfolgenden Mustervereinbarung zur Verfügung gestellt. Die nachfolgenden Rechte und Pflichten der Mustervereinbarung treten daher erst in Kraft, sobald Sie einen Vertrag mit uns abgeschlossen haben.

Unsere technischen und organisatorischen Maßnahmen sowie eine aktuelle Übersicht unserer Subunternehmen stellen wir Ihnen gerne auf Anfrage zur Verfügung.

Sollten Sie Fragen zur Auftragsverarbeitung haben, können Sie sich gern jederzeit direkt an datenschutz@sofatutor.com wenden.

Im Zuge der Bereitstellung der im Bestellformular vereinbarten Leistungen durch sofatutor an den Vertragspartner („Auftraggeber") werden personenbezogene Daten des Auftraggebers im Sinne der Datenschutzgrundverordnung („DSGVO") durch sofatutor verarbeitet. Zur Erfüllung der Anforderungen der DSGVO an derartige Konstellationen gilt für die Verarbeitung personenbezogener Daten folgendes:

§ 1 Gegenstand/Umfang/Dauer der Beauftragung

Die Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrages bringt es mit sich, dass sofatutor Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend "Auftraggeberdaten") erhält und diese ausschließlich im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO für die Dauer des Hauptvertrages verarbeitet.
sofatutor bietet auf seiner Lernplattform auch KI-gestützte Funktionen an (z. B. Chat-Assistenten, Textgenerierungsunterstützung, im Folgenden „KI-Funktionen"), welche durch die Schüler*innen und Lehrkräfte genutzt werden können. Der Auftraggeber stellt sicher, dass die Verarbeitung personenbezogener Daten über die KI-Funktionen rechtmäßig erfolgt, das heißt, dass er - sofern erforderlich - Einwilligungen (gem. Art. 6 Abs. 1 lit. a, Art. 8 DSGVO) ordnungsgemäß einholt und seinen Informationspflichten (gem. Art. 13 und 14 DSGVO) nachkommt. sofatutor stellt sicher, dass sämtliche KI-Funktionen keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO herbeiführen. KI-Funktionen sind standardmäßig für die Nutzung freigeschaltet. Der Auftraggeber kann jederzeit innerhalb der Lerngruppen-Einstellungen diese KI-Funktionen für seine Nutzer*innen deaktivieren.

Eine Nutzung der im Rahmen der KI-Funktionen verarbeiteten Daten zu Trainings-, Optimierungs- oder Testzwecken durch sofatutor ist nur mit anonymisierten Daten gestattet.
Im Rahmen der Nutzung der jeweils erworbenen Zugänge zu der Lernplattform werden durch sofatutor bestimmte Auftraggeberdaten verarbeitet. Dies ist notwendig, um die im Hauptvertrag vereinbarte Leistung zu erbringen bzw. den Nutzer*innen Zugang zu den jeweiligen Inhalten und Angeboten zu geben. Darunter fallen, je nach Art des erworbenen Produktes, beispielsweise folgende Nutzungsarten, die jeweils eine Datenverarbeitung auslösen:
- Nutzung des Schulverzeichnisses durch Schulen: Über das Schulverzeichnis können Bestandsdaten der Schüler*innen (z.B. Name, Vorname) sowie weitere Attribute (z.B. Schule, Klassenstufe) durch die Schule übermittelt werden.
- Nutzung der Lerngruppen-Funktion durch Lehrkräfte: Für das Angebot der Lerngruppen werden Vor- und Nachname der Schüler*innen sowie Nutzungsdaten in Bezug auf die Interaktion mit den zugewiesenen Inhalten verarbeitet.
- Zugriff auf Lerninhalte durch Lehrkräfte und/oder Schüler*innen: Im Rahmen des Zugriffs auf die Inhalte der Lernplattform werden Daten bezüglich der Nutzungsaktivität sowie Metadaten (wie z.B. die IP-Adresse) verarbeitet.
- Nutzung des Hausaufgabenchats (falls gebucht): Im Rahmen der Nutzung des Hausaufgabenchats wird der Inhalt der jeweiligen Anfrage gespeichert.
- Nutzung von KI-gestützten Funktionen durch Lehrkräfte und/oder Schüler*innen: Im Rahmen des Zugriffs auf KI-Funktionen werden darin eingegebene Daten (z.B. Anfragen via Chat, Prompts), Metadaten (z.B. IP-Adresse) sowie Nutzungsdaten (z.B. Zugriffszeiten) verarbeitet.
Datenschutzrechtlich Betroffene sind in diesem Fall Lehrkräfte und Schüler*innen sowie Beschäftigte des Auftraggebers, die den Zugriff verwalten (z.B. Admins).
Die Verarbeitung der Auftraggeberdaten durch sofatutor erfolgt ausschließlich in der hier spezifizierten Art sowie in dem hier spezifizierten Umfang und Zweck. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.
Die Verarbeitung der Auftraggeberdaten findet im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union, in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder in einem Drittland statt, soweit die besonderen Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen sofatutor und seine Beschäftigten oder durch sofatutor Beauftragte mit Auftraggeberdaten in Berührung kommen.
sofatutor wird die Auftraggeberdaten spätestens 6 Monate nach Beendigung des Hauptvertrags oder jederzeit auf Verlangen des Auftraggebers löschen oder vollständig anonymisieren, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht.
Beide Parteien werden jeweils einen Ansprechpartner inklusive Kontaktdaten (E-Mailadresse) für diese Belange kommunizieren.

§ 2 Weisungsbefugnisse des Auftraggebers

sofatutor verarbeitet die Auftraggeberdaten nur im Rahmen der Beauftragung und ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber hat insoweit das alleinige Recht, Weisungen über Art, Umfang, und Methode der Verarbeitungstätigkeiten zu erteilen (nachfolgend auch "Weisungsrecht"). Wird sofatutor durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.
Weisungen werden anfänglich durch diesen Auftragsverarbeitungsvertrag sowie den Hauptvertrag festgelegt und können vom Auftraggeber danach in Textform geändert, ergänzt oder ersetzt werden. Weisungen, die anfänglich nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt, die entsprechend zu vergüten sind. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Ist sofatutor der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. sofatutor ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.

§ 3 Schutzmaßnahmen

sofatutor ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.
Ferner wird sofatutor alle Personen, die mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden "Mitarbeiter" genannt), zur Vertraulichkeit verpflichten und die Einhaltung dieser Verpflichtung mit der gebotenen Sorgfalt sicherstellen.
sofatutor wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. sofatutor verpflichtet sich, die in Anhang 1 genannten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Auftraggeberdaten gem. Art. 32 DSGVO zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten.
Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt sofatutor vorbehalten, wobei sofatutor sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

§ 4 Informations- und Unterstützungspflichten

Bei Störungen, Verdacht auf Datenschutzverletzungen oder sicherheitsrelevante Vorfälle wird sofatutor den Auftraggeber unverzüglich, spätestens aber innerhalb von 72 Stunden durch E-Mail an die im Bestellformular genannte Adresse informieren.
sofatutor wird den Auftraggeber im Falle des § 4 Abs. 1 bei der Erfüllung seiner diesbezüglichen Aufklärungs-, Abhilfe – und Informationsmaßnahmen im angemessenen Rahmen unterstützen.

§ 5 Sonstige Verpflichtungen

sofatutor ist gegen Übernahme der dafür anfallenden Kosten dazu verpflichtet, den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO im angemessenen Umfang zu unterstützen.
sofatutor bestätigt, dass er – soweit eine gesetzliche Verpflichtung hierzu besteht - eine*n Datenschutzbeauftragte*n bestellt hat.
Sollten die Auftraggeberdaten bei sofatutor durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat sofatutor den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. sofatutor wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DSGVO liegt.

§ 6 Subunternehmer

Der Einsatz von Subunternehmern ist zulässig. Eine Übersicht über aktuell eingesetzte Subunternehmer erhält der Auftraggeber jederzeit auf Anfrage. Sollten nach Vertragsschluss weitere Subunternehmer eingesetzt werden, informiert sofatutor den Auftraggeber hierüber rechtzeitig vor Einsatz des Subunternehmers per E-Mail an die im Bestellformular genannte Adresse. Sollte der Auftraggeber begründete datenschutzrechtliche Bedenken bezüglich des Einsatzes des neuen Subunternehmers haben, kann er innerhalb von 14 Tagen widersprechen. Im Falle eines Widerspruchs hat sofatutor das Recht, den Hauptvertrag außerordentlich fristlos zu kündigen.
sofatutor bleibt für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und hat Sorge dafür zu tragen, dass die mit dem jeweiligen Subunternehmer vereinbarten Regelungen bezüglich der Datenverarbeitung substanziell denen dieses Auftragsverarbeitungsvertrags entsprechen.
Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn sofatutor Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören zB Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungsdienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die sofatutor für den Auftraggeber erbringt, sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht sofatutors, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

§ 7 Kontrollrechte

Der Auftraggeber ist berechtigt, sich einmal jährlich mit 30 Tagen Vorlaufzeit sowie nach Unterzeichnung einer angemessenen Geheimhaltungsvereinbarung von der Einhaltung der Regelungen dieses Auftragsverarbeitungsvertrags zu überzeugen. Hierfür kann er z.B. Auskünfte sofatutors einholen, sich vorhandene Testate von Sachverständigen oder Zertifizierungen oder internen Prüfungen vorlegen lassen. Alternativ kann der Auftraggeber einen externen, unabhängigen Prüfer auf eigene Kosten beauftragen, um sich vor Ort zu den regulären Geschäftszeiten und ohne Unterbrechung des Geschäftsbetriebs von der Einhaltung zu überzeugen.
Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe sofatutors nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.
Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es sofatutor mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber feststellt, hat er sofatutor unverzüglich zu informieren.

§ 8 Rechte Betroffener

sofatutor unterstützt den Auftraggeber nach Möglichkeit und in angemessenem Umfang bei der Erfüllung von dessen Pflichten nach Art. 15 bis 22, soweit dies notwendig ist und der Auftraggeber nicht selbst über die entsprechenden Möglichkeiten bzw. Informationen verfügt.
Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten unmittelbar gegenüber sofatutor geltend, wird sofatutor den Betroffenen an den Auftraggeber verweisen.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. sofatutor haftet gegenüber dem Auftraggeber gemäß den gesetzlichen Regelungen für Schäden durch schuldhafte Verstöße gegen diese Vereinbarung sowie gegen die ihn treffenden gesetzlichen Datenschutzbestimmungen, die sofatutor bei der Erbringung der vertraglichen Leistung verursacht. Eine Ersatzpflicht sofatutors besteht nicht, sofern sofatutor nachweist, dass die ihm überlassenen Auftraggeberdaten ausschließlich nach den Weisungen des Auftraggebers verarbeitet und sofatutor seinen auferlegten Pflichten aus der DSGVO nachgekommen ist.

§ 10 Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.
Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Berlin, Deutschland.