Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch teachacado im Auftrag des Auftraggebers im Rahmen der Bereitstellung der teachacado-Lernplattform. Er ergänzt die zwischen den Parteien bestehende Nutzungsvereinbarung und gilt für deren Dauer; er endet automatisch mit deren Beendigung.

§ 2 Art, Zweck und Gegenstand der Verarbeitung

teachacado verarbeitet personenbezogene Daten zur Bereitstellung digitaler Unterrichtsmaterialien, zur Verwaltung von Lerngruppen, zur Dokumentation von Lernständen, Kompetenzen und Bewertungen, zur Kommunikation innerhalb der Plattform sowie für KI-gestützte Übungs- und Rückmeldefunktionen.

Betroffene Personen: Lehrkräfte und sonstige vom Auftraggeber eingerichtete Nutzer:innen sowie Schüler:innen des Auftraggebers.

Kategorien personenbezogener Daten: Namen bzw. verschlüsselte Anzeigenamen, Zugangs- und Anmeldedaten, Nutzungs- und Verbindungsdaten, Lerninhalte, Bearbeitungen und Bewertungen, Kommunikationsinhalte innerhalb der Plattform sowie Freitexte, die für KI-gestützte Funktionen übermittelt werden. Die Einzelheiten ergeben sich aus der Datenschutzerklärung von teachacado.

§ 3 Weisungsgebundenheit

teachacado verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit nicht ausnahmsweise eine gesetzliche Verpflichtung zu einer anderweitigen Verarbeitung besteht. Die Nutzung der Plattform gemäß ihrer Funktionsbeschreibung und dieser Vereinbarung gilt als generelle Weisung. Hält teachacado eine Weisung für rechtswidrig, weist es den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

teachacado stellt sicher, dass Personen, die Zugriff auf die verarbeiteten Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

Anzeigenamen von Schüler:innen, Kommunikationsinhalte sowie Bearbeitungen, Antworten, Bewertungen und Lernstandsangaben werden vor dem Speichern mit AES-256-GCM verschlüsselt. Der Verschlüsselungsschlüssel liegt getrennt von der Datenbank bei Netlify; Supabase kann die verschlüsselten Inhalte nicht lesen. Von der PIN eines Schülerzugangs wird ausschließlich ein Prüfwert gespeichert, aus dem sich die PIN nicht rekonstruieren lässt. Abgabedateien werden über zeitlich begrenzte Upload-Berechtigungen in einen nicht öffentlichen Speicherbereich übertragen; Dateinamen werden zusätzlich verschlüsselt. Der Zugriff innerhalb der Plattform ist rollen- und rechtebasiert eingeschränkt; deaktivierte Konten verlieren den Zugriff unmittelbar. Datenübertragungen erfolgen verschlüsselt (TLS); auch vollständige technische Datensicherungen werden vor dem Hochladen verschlüsselt.

Weitere Einzelheiten kann der Auftraggeber jederzeit bei teachacado erfragen.

§ 6 Unterauftragnehmer

Der Auftraggeber genehmigt hiermit den Einsatz der folgend aufgeführten Unterauftragnehmer. teachacado unterrichtet den Auftraggeber vor der Beauftragung eines weiteren oder eines Wechsels eines bestehenden Unterauftragnehmers; der Auftraggeber kann einer solchen Änderung innerhalb von 14 Tagen aus wichtigem Grund widersprechen.

Mit Supabase, Netlify, IONOS, Anthropic und ElevenLabs bestehen die jeweils vom Anbieter standardmäßig gestellten Vereinbarungen zur Auftragsverarbeitung; mit OpenAI besteht eine gesondert abgeschlossene Vereinbarung. Die Datenbank mit Kurs- und Lerndaten liegt in der Europäischen Union. Soweit Unterauftragnehmer mit Sitz in den USA (Netlify, Anthropic, OpenAI, ElevenLabs) Daten verarbeiten, erfolgt die Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Hinterlegt eine Organisation einen eigenen Anthropic-API-Schlüssel, laufen ihre Claude-Aufrufe über ihr eigenes Anthropic-Konto. Für diese Verarbeitung gilt ihr eigener Vertrag mit Anthropic; teachacado übermittelt die Anfragen dabei unverändert mit denselben Datenschutzvorkehrungen.

§ 7 Unterstützung des Auftraggebers

teachacado unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

§ 8 Meldung von Datenschutzverletzungen

teachacado meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten ohne schuldhaftes Zögern, nachdem teachacado davon Kenntnis erlangt hat, und unterstützt den Auftraggeber bei einer etwaigen Meldepflicht gegenüber der Aufsichtsbehörde.

§ 9 Löschung und Rückgabe

Nach Beendigung der Nutzung löscht teachacado die personenbezogenen Daten des Auftraggebers oder gibt sie auf Wunsch heraus, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann Lehrkraft- und Lerngruppendaten auch während der Vertragslaufzeit eigenständig über die Plattform löschen.

§ 10 Kontrollrechte des Auftraggebers

Der Auftraggeber kann sich in angemessenem Rahmen von der Einhaltung dieser Vereinbarung überzeugen, insbesondere durch Einholung von Auskünften und Nachweisen bei teachacado. Angesichts der Betriebsgröße von teachacado erfolgt dies in der Regel schriftlich statt durch einen Vor-Ort-Termin; ein solcher bleibt bei berechtigtem Interesse möglich.

§ 11 Haftung

Für die Haftung gelten die Regelungen der zwischen den Parteien bestehenden Nutzungsvereinbarung, soweit diese Vereinbarung keine abweichenden Regelungen trifft. Die Haftung nach Art. 82 DSGVO bleibt unberührt.

§ 12 Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Textform. Es gilt deutsches Recht.