Rechtliches
AVV für Schulen
Stand: 16. September 2026
AVV anfordern
Bitte senden Sie uns den Namen und die Anschrift der Schule, die vertretungsberechtigte Person und die E-Mail-Adresse für die Unterzeichnung. Wir stellen anschließend den individualisierten Vertrag einschließlich Anlagen bereit.
Aktuellen Vertragsentwurf mit Anlagen ansehen
Vertragsparteien und Rollen
Die Schule handelt als datenschutzrechtlich Verantwortliche. PRACTit! Inh. Daniel Kulzer, Kronstettener Str. 31, 92421 Schwandorf, verarbeitet die von der Schule bereitgestellten Schul-, Klassen-, Lehrkraft- und Schülerdaten ausschließlich als Auftragsverarbeiter und nach dokumentierter Weisung der Schule.
Gegenstand, Zweck und Dauer
Gegenstand ist die Bereitstellung und der technische Betrieb der webbasierten Lernplattform Musikfit einschließlich Benutzerverwaltung, Klassen, Hausaufgaben, Übungen, Lernständen, Passwortverwaltung und Support. Die Verarbeitung dauert grundsätzlich so lange wie der Schulvertrag. Nach dessen Ende werden die Auftragsdaten nach Wahl der Schule zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Betroffene Personen und Datenarten
Betroffen sein können insbesondere:
- Schüler und gegebenenfalls deren Erziehungsberechtigte,
- Lehrkräfte, Mitglieder der Schulverwaltung und sonstige schulische Ansprechpartner.
Verarbeitet werden können insbesondere:
- Stamm- und Kontaktdaten, Benutzerkennungen und Rollen,
- Schul-, Klassen- und Gruppenzuordnungen,
- Avatar- und Profileinstellungen,
- Hausaufgaben, Übungsaktivitäten, Ergebnisse, Punkte und Lernfortschritte,
- Anmelde-, Support-, Fehler- und Sicherheitsdaten.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht zur Verarbeitung vorgesehen und sollen nicht in Freitextfelder eingegeben werden.
Pflichten von Musikfit
Der individualisierte AVV verpflichtet PRACTit! insbesondere dazu:
- Daten nur auf dokumentierte Weisung der Schule zu verarbeiten,
- berechtigte Personen auf Vertraulichkeit zu verpflichten,
- angemessene technische und organisatorische Maßnahmen einzuhalten,
- die Schule bei Betroffenenrechten und Datenschutzvorfällen zu unterstützen,
- Datenschutzverletzungen ohne unangemessene Verzögerung mitzuteilen,
- Nachweise und erforderliche Kontrollen zu ermöglichen,
- Auftragsdaten nach Vertragsende weisungsgemäß zu löschen oder zurückzugeben.
Unterauftragnehmer
Für die Leistungserbringung sind derzeit insbesondere folgende Unterauftragnehmer vorgesehen:
Hosting, Serverfunktionen, Auslieferungsnetz und technische Protokolle. Musikfit nutzt einen Vercel-Pro-Tarif mit Auftragsverarbeitungsvereinbarung. Soweit Verarbeitungen außerhalb des Europäischen Wirtschaftsraums stattfinden, gelten die im Vercel-DPA vereinbarten Garantien einschließlich der EU-Standardvertragsklauseln.
Datenbank, Authentifizierung und Echtzeitfunktionen; primäre Datenbankregion Frankfurt am Main (eu-central-1). Für mögliche Drittlandverarbeitungen gelten die im Supabase-DPA vereinbarten Garantien.
Versand notwendiger Konto-, Einladungs- und Passwort-E-Mails. Die E-Mail-Infrastruktur für europäische Mailjet-Konten wird in der EU betrieben; einzelne Support- und Abrechnungsprozesse können weitere Standorte und die im Sinch-DPA geregelten Übermittlungsinstrumente einbeziehen.
Die Schule erteilt im AVV eine allgemeine Genehmigung für diese Unterauftragnehmer. Über beabsichtigte Änderungen wird sie vorab informiert und erhält ein angemessenes Widerspruchsrecht aus datenschutzrechtlichen Gründen.
Zahlungsabwicklung
Stripe Payments Europe, Limited verarbeitet Rechnungs- und Zahlungsdaten im Rahmen eines gesonderten Zahlungsprozesses. Stripe erhält keine Schülernamen, Klassen, Übungsergebnisse oder Lernstände und wird deshalb nicht pauschal als Unterauftragnehmer für die schulischen Lerndaten im AVV aufgeführt. Die datenschutzrechtliche Rolle von Stripe richtet sich nach dem jeweiligen Zahlungsvorgang und den Stripe-Vertragsbedingungen.
Technische und organisatorische Maßnahmen
Die Vertragsanlage beschreibt unter anderem:
- verschlüsselte Übertragung über HTTPS,
- rollenbasierte Zugriffe und Trennung der Schulen,
- sichere Passwortverarbeitung und Zwei-Faktor-Schutz für Plattformadministratoren,
- Protokollierung kritischer Verwaltungsaktionen,
- Datensparsamkeit, Eingabeprüfung und Begrenzung von Zugriffsversuchen,
- Sicherungs-, Wiederherstellungs- und Löschverfahren,
- Verfahren zur Behandlung von Sicherheitsvorfällen und Schwachstellen.
Die Maßnahmen werden entsprechend dem Stand der Technik und dem Risiko regelmäßig überprüft und bei Bedarf weiterentwickelt.
Weisungen und Kontakt
Weisungen und datenschutzbezogene Anfragen der Schule werden in Textform an kontakt@musikfit.degerichtet. Die zuständigen Kontaktpersonen und Reaktionswege werden im individuellen AVV festgehalten.