§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Plattform EOD bereitzustellen und zu betreiben.
2. Die Verarbeitung beginnt mit der Einrichtung des Zugangs, auch während einer kostenlosen Testphase. Sie endet mit dem Ende des Hauptvertrags oder, wenn kein Hauptvertrag geschlossen wird, mit dem Ende der Testphase. § 9 bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung

Die Rechtsgrundlagen der Verarbeitung bestimmt der Verantwortliche; er ist für ihr Vorliegen verantwortlich.

§ 3 Betroffene Personen und Datenkategorien

• Schülerinnen und Schüler, auch Minderjährige
• Erziehungsberechtigte
• Lehrkräfte und Honorarlehrkräfte
• Mitarbeitende des Verantwortlichen
• Empfänger von Verteilerlisten des Verantwortlichen, auch ohne eigenen Zugang

§ 4 Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind in diesem Vertrag, im Hauptvertrag und in der Nutzung der Plattformfunktionen durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform.
2. Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Durchführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 5 Vertraulichkeit

1. Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
2. Die Vertraulichkeitspflicht besteht auch nach Ende dieses Vertrags fort.

§ 6 Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft die in der TOM-Anlage beschriebenen Maßnahmen nach Art. 32 DSGVO.
2. Er darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt den Einsatz der in der Subprozessoren-Anlage genannten Unterauftragsverarbeiter.
2. Für neue oder ausgetauschte Unterauftragsverarbeiter gilt das Informations- und Widerspruchsverfahren der Subprozessoren-Anlage.
3. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen.

§ 8 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO). Die Plattform stellt dafür Funktionen für Auskunft, Berichtigung, Löschung und Export bereit. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der ihm zur Verfügung stehenden Informationen.
3. Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit sie ihm vorliegen. Fehlende Informationen reicht er nach.
4. Unterstützungsleistungen, die über die Bereitstellung der Plattformfunktionen hinausgehen, insbesondere Mitwirkung an Datenschutz-Folgenabschätzungen, Behördenanfragen und Kontrollen, kann der Auftragsverarbeiter nach vorheriger Kostenschätzung nach Aufwand berechnen. Dies gilt nicht, wenn die Leistung auf einem Verstoß des Auftragsverarbeiters beruht.

§ 9 Löschung und Rückgabe

1. Nach Ende der Verarbeitung kann der Verantwortliche seine Daten 30 Tage lang im Dashboard unter Einstellungen → Datenmigration exportieren (JSON und CSV).
2. Danach löscht der Auftragsverarbeiter die Daten innerhalb weiterer 30 Tage, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im Rahmen ihrer regulären Rotation nach höchstens 30 Tagen überschrieben.
3. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, vorrangig durch die TOM-Anlage, Dokumentation und Zertifikate des Rechenzentrumsbetreibers.
2. Darüber hinausgehende Kontrollen vor Ort sind nach Ankündigung von mindestens 10 Werktagen während der Geschäftszeiten möglich, ohne den Betrieb zu stören, höchstens einmal jährlich, außer bei einem konkreten Anlass. Prüfer müssen zur Vertraulichkeit verpflichtet sein und dürfen nicht im Wettbewerb mit dem Auftragsverarbeiter stehen.
3. Die Kosten trägt der Verantwortliche, es sei denn, die Kontrolle deckt einen wesentlichen Verstoß des Auftragsverarbeiters auf.

§ 11 Haftung im Innenverhältnis

1. Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.
2. Im Verhältnis zueinander trägt jede Partei den Schaden nach dem Anteil ihrer Verantwortung (Art. 82 Abs. 5 DSGVO).
3. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die darauf beruhen, dass die Verarbeitung entsprechend seinen Weisungen oder ohne ausreichende Rechtsgrundlage erfolgte oder dass er seine Informationspflichten verletzt hat.
4. Im Übrigen gelten zwischen den Parteien die Haftungsregeln des Hauptvertrags und der AGB, soweit dies gesetzlich zulässig ist.

§ 12 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen von Erziehungsberechtigten und Informationspflichten nach Art. 13 und 14 DSGVO.
2. Er prüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Für Umfragen legt der Verantwortliche Zweck, Fragen, Empfängerkreis und Rechtsgrundlage fest. Er fragt keine besonderen Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) ab, insbesondere keine Gesundheitsdaten, und gestaltet Freitextfragen so, dass sie nicht zu solchen Angaben auffordern. Er informiert die Befragten nach Art. 13 DSGVO, weist auf die Freiwilligkeit der Teilnahme hin und holt erforderliche Einwilligungen ein, bei Minderjährigen gegebenenfalls die der Erziehungsberechtigten.
4. Umfragen an Empfänger von Verteilerlisten versendet der Verantwortliche nur, soweit dafür eine Rechtsgrundlage besteht, insbesondere eine wirksame Einwilligung nach § 7 UWG. Die Impressumsangaben in Verteiler-Mails pflegt er selbst und ist für ihre Richtigkeit verantwortlich.
5. Als „anonym“ gekennzeichnete Umfragen speichert die Plattform ohne Zuordnung der Antworten zu den Teilnehmenden; erkennbar bleibt nur, wer teilgenommen hat, damit Erinnerungen möglich sind. Rückschlüsse auf Personen aus dem Inhalt der Antworten, insbesondere aus Freitexten, oder bei kleinen Teilnehmerzahlen kann die Plattform nicht ausschließen. Der Verantwortliche wählt Fragen und Empfängerkreis entsprechend und sichert den Befragten keine weitergehende Anonymität zu.
6. Persönliche Teilnahmelinks ermöglichen die Teilnahme ohne Anmeldung. Wer einen Link kennt, kann die Umfrage für die eingeladene Person ausfüllen. Der Verantwortliche weist die Empfänger darauf hin, Links nicht weiterzugeben. Teilnahmen über weitergegebene Links liegen nicht im Verantwortungsbereich des Auftragsverarbeiters.
7. Der Verantwortliche löscht Umfragen, sobald sie für ihren Zweck nicht mehr erforderlich sind; eine automatische Löschung findet nicht statt. Mit einer Umfrage werden ihre Einladungen und Antworten gelöscht; für Datensicherungen gilt § 9 Abs. 2.

§ 13 Schlussbestimmungen

1. In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag und den AGB vor.
2. Dieser Vertrag kann auch in elektronischem Format geschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform.
3. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach den AGB.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Dieser Vertrag ersetzt alle früheren Vereinbarungen der Parteien zur Auftragsverarbeitung.

1. Unterauftragsverarbeiter des Anbieters

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter.

Push-Benachrichtigungen werden nur an Geräte gesendet, deren Nutzer sie in der App erlaubt haben. Benachrichtigungen enthalten so wenig personenbezogene Inhalte wie möglich.

2. Vom Kunden aktivierbare Integrationen

Die folgenden Dienste sind keine Unterauftragsverarbeiter des Anbieters. Der Kunde bindet sie mit eigenen Konten an und schließt die erforderlichen Verträge mit dem jeweiligen Anbieter selbst.

3. Änderungen

Der Anbieter informiert den Kunden mindestens 4 Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Kunde kann innerhalb von 2 Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Anbieter den Einsatz nicht vermeiden, darf jede Partei den Vertrag zum Zeitpunkt des geplanten Einsatzes kündigen.