Auftragsverarbeitungsvertrag (AV-Vertrag)

Dieser Vertrag nach Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) ist Teil der AGB und wird bei der Anmeldung zu ClaseAlDía akzeptiert.

1. Parteien

• Verantwortlicher: der Kunde, die Lehrkraft oder das Institut, das sich für den Dienst anmeldet.
• Auftragsverarbeiter: der Anbieter von ClaseAlDía, benannt im Impressum.

2. Gegenstand

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich, um den Dienst zu erbringen: die vom Verantwortlichen eingegebenen Daten von Schülern und Familien hosten und verarbeiten, Stundenpläne, Anwesenheit, Mitteilungen und Beiträge verwalten und in seinem Namen E-Mails versenden.

3. Dauer

Der Vertrag gilt, solange der Verantwortliche ein Konto im Dienst hat, und bis die Daten gemäß Ziffer 11 zurückgegeben oder gelöscht sind.

4. Art und Zweck der Verarbeitung

Hosting, Speicherung, Abfrage, Organisation, Kommunikation per E-Mail, Export und Löschung von Daten, entsprechend den Funktionen des Dienstes und den Weisungen des Verantwortlichen.

5. Datenarten und Kategorien betroffener Personen

• Datenarten: Identifikations- und Kontaktdaten von Schülern und Familien (Name, Vorname, Geburtsjahr, E-Mail-Adresse, Telefonnummer); Anmelde- und Stundenplandaten; Anwesenheitsaufzeichnungen und zugehörige Anmerkungen; Beitrags- und Zahlungsdaten (Betrag, Bezeichnung, Status, Datum, Zahlungsweg); versendete Mitteilungen und vom Verantwortlichen eingegebene Notizen.
• Betroffene: Schüler, auch Minderjährige, und ihre Angehörigen oder Sorgeberechtigten. Außerdem die Lehrkräfte oder Nutzer, die der Verantwortliche hinzufügt.
• Der Verantwortliche verpflichtet sich, keine besonderen Kategorien von Daten (Gesundheit, Religion usw.) einzugeben, außer wenn unverzichtbar und dann in eigener Verantwortung, und dies in den Notizfeldern zu vermeiden.

6. Pflichten des Auftragsverarbeiters

• Die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, also nach diesem Vertrag und der Nutzung des Dienstes. Hält er eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen mit.
• Die Daten nicht für eigene Zwecke nutzen und nicht an Dritte weitergeben, außer an zugelassene Unterauftragsverarbeiter oder aufgrund gesetzlicher Pflicht.
• Sicherstellen, dass Personen mit Zugriff auf die Daten zur Vertraulichkeit verpflichtet sind.
• Die Sicherheitsmaßnahmen nach Ziffer 8 anwenden.
• Dem Verantwortlichen die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und angemessene Prüfungen nach Ankündigung ermöglichen, ohne den Dienst zu stören.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

Stripe ist nur am Einzug des eigenen Abos des Verantwortlichen beteiligt und erhält keine Daten von Schülern oder Familien. Der Auftragsverarbeiter informiert den Verantwortlichen mit angemessener Frist über jede Hinzufügung oder Ersetzung von Unterauftragsverarbeitern, damit er widersprechen kann; ist der Widerspruch begründet und gibt es keine Alternative, kann der Verantwortliche den Dienst kündigen. Der Auftragsverarbeiter legt den Unterauftragsverarbeitern gleichwertige Pflichten auf und haftet gegenüber dem Verantwortlichen für deren Erfüllung. Internationale Übermittlungen stützen sich auf Standardvertragsklauseln oder das EU-US Data Privacy Framework.

8. Sicherheitsmaßnahmen

• Verschlüsselung der Kommunikation (HTTPS).
• Passwörter mit gesalzenem Hash gespeichert, ohne Möglichkeit der Wiederherstellung.
• Rollenbasierte Zugriffskontrolle: Lehrkräfte erreichen nur ihre Gruppen und sehen keine Beiträge.
• Links des Elternportals mit zufälligen Kennungen, die der Verantwortliche erneuern kann.
• Begrenzung von Anmeldeversuchen und Versand.
• Der Verantwortliche kann die Daten selbst exportieren und löschen.

9. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Beantwortung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung und Übertragbarkeit). Der Dienst erlaubt es dem Verantwortlichen, das meiste davon direkt zu erledigen (bearbeiten, exportieren, als ausgeschieden markieren oder endgültig löschen). Erhält der Auftragsverarbeiter eine Anfrage eines Betroffenen, leitet er sie unverzüglich an den Verantwortlichen weiter. Außerdem unterstützt er im zumutbaren Rahmen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit sie anfallen.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens binnen 72 Stunden nach Kenntnis, mit den verfügbaren Informationen: Art, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Die Meldung an die Aufsichtsbehörde (die AEPD, eine deutsche Landesdatenschutzbehörde, die österreichische Datenschutzbehörde oder eine andere, je nach Fall) und an die Betroffenen obliegt, wo erforderlich, dem Verantwortlichen.

11. Rückgabe und Löschung der Daten

Nach Vertragsende kann der Verantwortliche seine Daten aus der App exportieren, auch im Lesemodus. Er kann sein Institut jederzeit löschen, wodurch die Daten endgültig gelöscht werden. Tut er das nicht, kann der Auftragsverarbeiter die Daten nach angemessener Frist nach Ende des Dienstes und nach Ankündigung löschen, sofern das Gesetz keine Aufbewahrung verlangt.

12. Pflichten des Verantwortlichen

• Eine Rechtsgrundlage für die Verarbeitung der Daten haben und die Betroffenen informiert haben.
• Die Einwilligung der Eltern oder Sorgeberechtigten Minderjähriger einholen, wo das für ihn geltende Recht es verlangt.
• Nur die notwendigen Daten eingeben und aktuell halten.
• Die Zugriffe seiner Nutzer verwalten und die Links des Elternportals sorgsam behandeln.

13. Anwendbares Recht und Sprache

Dieser Vertrag unterliegt der DSGVO, dem spanischen Organgesetz 3/2018 (LOPDGDD) und dem übrigen anwendbaren spanischen Recht. Diese Übersetzung dient der Bequemlichkeit; bei Abweichungen gilt die spanische Fassung.