Auftragsverarbeitung

Vertragshinweis: Diese Vereinbarung wird zusammen mit dem Hauptvertrag, einer Bestellung oder einer dokumentierten elektronischen Annahme geschlossen. Die dort bezeichnete Schule, der Schulträger oder die sonstige verantwortliche Stelle ist der Auftraggeber. Der bloße Aufruf dieser Seite führt noch nicht zum Vertragsschluss.

Vertragsparteien

1. Gegenstand, Geltungsbereich und Vorrang

Gegenstand ist die Bereitstellung der Software Teacher Companion („TCA“) einschließlich Nutzerkonto, verschlüsselter Synchronisierung, verschlüsselter Sicherungen, Serverbetrieb, Support und technischer Wartung. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten aus dem Hauptvertrag. Bei Widersprüchen gehen ihre Datenschutzbestimmungen vor.

KapCorp Labs verarbeitet die in Anlage 1 bezeichneten Daten im Auftrag des Auftraggebers. Für eigene Vertrags-, Abrechnungs-, Kontakt- und gesetzlich erforderliche Sicherheitszwecke kann KapCorp Labs daneben selbst Verantwortlicher sein; diese Verarbeitungen richten sich nach den Datenschutzhinweisen und sind nicht Gegenstand dieses Auftrags.

2. Beginn und Dauer

Die Auftragsverarbeitung beginnt mit Bereitstellung des TCA-Kontos beziehungsweise der ersten Übermittlung auftragsbezogener Daten und besteht für die Laufzeit des Hauptvertrags. Pflichten zu Vertraulichkeit, Nachweis, Rückgabe und Löschung gelten darüber hinaus fort. Die konkreten Löschfristen ergeben sich aus Anlage 4.

3. Weisungen und Verantwortung des Auftraggebers

Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlagen, Transparenzpflichten, Datenrichtigkeit, Berechtigungsvergabe und die Wahrung der Betroffenenrechte verantwortlich. Er darf TCA nur für rechtmäßige schulische oder administrative Zwecke einsetzen und hat insbesondere Freitexte und besondere Kategorien personenbezogener Daten auf das erforderliche Maß zu begrenzen.

Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung, der Nutzung der bereitgestellten Funktionen und den Einstellungen des Auftraggebers. Weitere Weisungen erfolgen in dokumentierter Form, insbesondere per E-Mail an support-tca@kapcorp.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

4. Pflichten des Auftragsverarbeiters

KapCorp Labs verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich einer Weisung zu Übermittlungen in ein Drittland, sofern keine zwingende gesetzliche Verpflichtung entgegensteht. Besteht eine solche Verpflichtung, wird der Auftraggeber vor der Verarbeitung informiert, soweit das Recht dies zulässt.

KapCorp Labs informiert den Auftraggeber unverzüglich, wenn eine Weisung nach eigener Einschätzung gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen. Auftragsdaten werden nicht für Werbung, Profilbildung, KI-Training, eigene pädagogische Bewertungen oder andere eigene Zwecke verwendet.

5. Vertraulichkeit und Organisation

Alle zur Verarbeitung befugten Personen werden vor ihrem Zugriff auf Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht. Sie erhalten ausschließlich die für ihre Aufgabe erforderlichen Rechte. Diese Pflichten gelten auch nach Ende ihrer Tätigkeit fort.

Für KapCorp Labs ist derzeit kein Datenschutzbeauftragter bestellt. Datenschutzanfragen, Weisungen und Meldungen sind an Taycan Kaplan unter support-tca@kapcorp.de oder telefonisch unter 0151 28200535 zu richten.

6. Sicherheit der Verarbeitung

KapCorp Labs trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 2 unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für betroffene Personen. Die Maßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Ihre Wirksamkeit wird regelmäßig überprüft.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter. KapCorp Labs informiert den Auftraggeber mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb dieses Zeitraums aus einem sachlichen datenschutzrechtlichen Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann die betroffene Leistung beendet werden.

KapCorp Labs verpflichtet Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO mindestens zu denselben Datenschutzpflichten und bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung verantwortlich. Verarbeitungen finden grundsätzlich in Deutschland beziehungsweise im EU-/EWR-Raum statt. Eine Drittlandverarbeitung erfolgt nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.

8. Unterstützung und Betroffenenrechte

KapCorp Labs unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und sonstigen Rechten nach Kapitel III DSGVO. Anfragen betroffener Personen werden nicht eigenständig beantwortet, sondern unverzüglich an den Auftraggeber weitergeleitet, soweit keine rechtliche Verpflichtung zur direkten Antwort besteht.

KapCorp Labs unterstützt außerdem im erforderlichen Umfang bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Da Fachinhalte ende-zu-ende verschlüsselt sind, erfolgen inhaltliche Suche, Berichtigung, Export und Löschung regelmäßig über ein berechtigtes Endgerät des Auftraggebers.

9. Verletzungen des Schutzes personenbezogener Daten

KapCorp Labs meldet dem Auftraggeber Verletzungen des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie einen Kontakt für Rückfragen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

KapCorp Labs dokumentiert relevante Vorfälle, wirkt an Untersuchung, Eindämmung und Wiederherstellung mit und nimmt Meldungen an Aufsichtsbehörden oder betroffene Personen für den Auftraggeber nur nach Weisung vor, sofern keine eigene gesetzliche Pflicht besteht.

10. Nachweise und Kontrollen

KapCorp Labs stellt dem Auftraggeber alle zur Prüfung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen und geeigneten Nachweise zur Verfügung. Der Auftraggeber oder ein zur Vertraulichkeit verpflichteter sachkundiger Prüfer darf nach angemessener Vorankündigung erforderliche Kontrollen durchführen. Anlassbezogene Prüfungen bleiben unberührt. Kontrollen müssen verhältnismäßig sein und dürfen die Sicherheit, Rechte anderer Kunden und den Betrieb nicht unnötig beeinträchtigen.

11. Rückgabe und Löschung

Der Auftraggeber kann seine Daten während der Vertragslaufzeit über die vorgesehenen Funktionen exportieren und löschen. Nach Ende des Auftrags löscht KapCorp Labs die Auftragsdaten nach Wahl des Auftraggebers oder stellt sie zuvor zur Rückgabe beziehungsweise zum Export bereit, sofern keine gesetzliche Aufbewahrungspflicht besteht. Einzelheiten und Höchstfristen regelt Anlage 4. Lokale Datenbestände, Exporte und Geräte des Auftraggebers liegen außerhalb des Serverbetriebs und sind vom Auftraggeber selbst zu löschen.

12. Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

13. Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung einschließlich Weisungen und Nachweisen können in Textform erfolgen, soweit Art. 28 Abs. 9 DSGVO gewahrt ist. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstandsregelungen des Hauptvertrags bleiben unberührt.

Anlage 1 – Beschreibung der Verarbeitung

Datenarten und betroffene Personen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht als reguläre Pflichtfelder vorgesehen. Freitexte können insbesondere Gesundheitsdaten enthalten. Ihre Verarbeitung ist nur aufgrund einer dokumentierten Weisung und einer vom Auftraggeber geprüften Rechtsgrundlage zulässig. Genetische und biometrische Identifikationsdaten sind nicht vorgesehen.

Anlage 2 – Technische und organisatorische Maßnahmen

1. Vertraulichkeit und Zugriffskontrolle

• Rechenzentrums- und Zutrittsschutz durch den Hostinganbieter 1blu einschließlich kontrollierter Zutritte, Alarmierung, Videoüberwachung, gesicherter Serverräume und dokumentierter Berechtigungen.
• Persönliche Administrationskonten, beschränkte Administrationsrechte, rollen- und aufgabenbezogene Berechtigungen sowie Entzug nicht mehr benötigter Zugänge.
• Passwörter werden nicht im Klartext gespeichert, sondern mittels Argon2id mit individuellem Salt abgeleitet.
• Zugriffstoken sind kurzlebig; Aktualisierungstoken, Geräte und Portalsitzungen können widerrufen werden.
• Mandantentrennung durch kontobezogene Datenzuordnung und serverseitige Berechtigungsprüfung jeder geschützten Anfrage.

2. Verschlüsselung und Integrität

• TLS-verschlüsselte Übertragung zwischen App, Weboberfläche und Server.
• Synchronisierte Fachinhalte werden vor der Übertragung auf dem Endgerät mit AES-256-GCM ende-zu-ende verschlüsselt. Der Server verarbeitet nur verschlüsselte Inhalte und die technisch erforderlichen Metadaten.
• Sicherungsdateien werden vor dem Upload mit AES-256-GCM verschlüsselt. Wiederherstellungsschlüssel oder Sicherungspasswörter werden nicht im Klartext auf dem Server gespeichert.
• Die PostgreSQL-Datenbank ist nicht unmittelbar öffentlich erreichbar; die Kommunikation erfolgt in einem internen Servernetz.
• Änderungen, Konflikte und sicherheitsrelevante Vorgänge werden in dem für Betrieb und Nachweis erforderlichen Umfang protokolliert.

3. Verfügbarkeit, Wiederherstellung und Belastbarkeit

• Tägliche Sicherungen und ein Backup-/Recovery-Konzept des deutschen 1blu-Rechenzentrums; RAID-Systeme, unterbrechungsfreie Stromversorgung, Notstrom und redundante Netzanbindung.
• Verschlüsselte automatische TCA-Sicherungen werden regelmäßig erstellt; die App hält höchstens die 14 neuesten automatischen Serversicherungen vor. Manuelle Sicherungen können vom Auftraggeber verwaltet und gelöscht werden.
• Versionierte Datenbankmigrationen, Wiederanlaufverfahren und regelmäßige Prüfung der Wiederherstellbarkeit.
• Begrenzung von Anfragehäufigkeit und Nutzdatenumfang sowie Fehlerbehandlung zum Schutz vor Überlastung und Missbrauch.

4. Sicherheitsorganisation und Wirksamkeitskontrolle

• Datensparsame Voreinstellungen, keine Werbe- oder Trackingkomponenten und keine Nutzung von Auftragsdaten für Produktanalysen oder KI-Training.
• Begrenzte Serverprotokolle mit automatischer Rotation; Containerprotokolle sind auf drei Dateien zu jeweils höchstens 10 MB pro Container begrenzt.
• Regelmäßige Sicherheitsaktualisierungen, automatisierte Tests, Abhängigkeitskontrollen und Überprüfung der Serverkonfiguration.
• Dokumentiertes Vorgehen zur Erkennung, Bewertung, Eindämmung, Behebung und Meldung von Sicherheitsvorfällen.
• Mindestens jährliche sowie anlassbezogene Überprüfung der Angemessenheit und Wirksamkeit der Maßnahmen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Nach dem mit 1blu abgeschlossenen AV-Vertrag setzt 1blu derzeit folgende weitere Auftragsverarbeiter ein:

Zahlungsdienste und App-Stores erhalten keine schulischen Fachinhalte im Rahmen dieses Auftrags. Soweit sie Vertrags- oder Zahlungsdaten in eigener Verantwortlichkeit verarbeiten, sind sie deshalb nicht als Unterauftragsverarbeiter dieser Vereinbarung aufgeführt.

Anlage 4 – Lösch- und Aufbewahrungskonzept

Gesetzlich aufzubewahrende Abrechnungs- oder Vertragsunterlagen werden getrennt und zugriffsbeschränkt gespeichert. Sie gehören nur dann zu diesem Auftrag, wenn sie ausnahmsweise Auftragsdaten enthalten. Eine Löschung kann dokumentiert bestätigt werden.

Anlage 5 – Auftraggeber, Kontakte und Annahme

Die Vereinbarung kann durch beiderseitige Unterzeichnung, qualifizierte elektronische Signatur oder dokumentierte elektronische Annahme zusammen mit dem Hauptvertrag geschlossen werden.

Fassung: 2. September 2026