Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Vertragsparteien

Verantwortliche Stelle

[Name der Schule] · [Straße und Hausnummer] · [Postleitzahl] [Ort] · Deutschland · Vertreten durch: [Vertretungsberechtigte Person], [Funktion] · E-Mail: [E-Mail-Adresse]

Auftragsverarbeiter

PRACTit!, Inhaber Daniel Kulzer · Kronstettener Str. 31 · 92421 Schwandorf · Deutschland · E-Mail: kontakt@musikfit.de

1. Gegenstand und Geltungsbereich

Die Schule ist Verantwortliche im Sinne der Datenschutz-Grundverordnung. PRACTit! verarbeitet personenbezogene Daten für die Bereitstellung von Musikfit ausschließlich im Auftrag und nach dokumentierter Weisung der Schule.

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Im Widerspruchsfall gehen ihre Regelungen für die Auftragsverarbeitung den allgemeinen Nutzungs- oder Leistungsbedingungen vor.

2. Weisungen der Schule

Musikfit verarbeitet Auftragsdaten nur auf dokumentierte Weisung der Schule, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Eine solche Verpflichtung wird der Schule vor der Verarbeitung mitgeteilt, sofern das Recht diese Mitteilung nicht untersagt.

Die in dieser Vereinbarung, im Schulvertrag und durch die bestimmungsgemäße Nutzung von Musikfit erteilten Weisungen gelten als dokumentiert. Weitere Weisungen werden in Textform an kontakt@musikfit.de gerichtet.

Hält Musikfit eine Weisung für datenschutzwidrig, wird die Schule unverzüglich informiert. Die betroffene Verarbeitung darf bis zur Klärung ausgesetzt werden.

3. Pflichten der Schule

• Die Schule gewährleistet die Rechtmäßigkeit der Verarbeitung und informiert die betroffenen Personen in eigener Verantwortung.
• Sie legt Rollen, Zugänge, Klassen und Aufgaben nur im erforderlichen Umfang an und hält diese Angaben aktuell.
• Sie vergibt administrative Rechte ausschließlich an berechtigte Personen und meldet ausgeschiedene oder unberechtigte Konten unverzüglich.
• Sie übermittelt keine besonderen Kategorien personenbezogener Daten und nutzt Freitextfelder nicht für vertrauliche oder fachfremde Angaben.

4. Vertraulichkeit und Personal

Musikfit stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf das für die jeweilige Aufgabe erforderliche Maß beschränkt.

5. Sicherheit der Verarbeitung

Musikfit trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Maßnahmen sind in Anlage 2 beschrieben und werden risikoorientiert weiterentwickelt.

6. Weitere Auftragsverarbeiter

Musikfit darf die in Anlage 3 aufgeführten weiteren Auftragsverarbeiter einsetzen. Ihnen werden im erforderlichen Umfang dieselben Datenschutzpflichten auferlegt. Musikfit bleibt gegenüber der Schule für die Erfüllung der Pflichten des weiteren Auftragsverarbeiters verantwortlich.

7. Unterstützung und Betroffenenrechte

Musikfit unterstützt die Schule im Rahmen der verfügbaren Informationen bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen, Konsultationen und der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO.

Geht ein Antrag unmittelbar bei Musikfit ein, wird er ohne eigene inhaltliche Entscheidung an die zuständige Schule weitergeleitet, soweit keine gesetzliche Verpflichtung zu einem anderen Vorgehen besteht.

8. Datenschutzverletzungen

Musikfit informiert die Schule unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt geworden ist. Die Mitteilung enthält die verfügbaren Angaben, die die Schule für Bewertung, Dokumentation und gegebenenfalls Meldung benötigt. Weitere Informationen werden nachgereicht, sobald sie vorliegen.

9. Nachweise und Kontrollen

Musikfit stellt der Schule die zum Nachweis der Pflichterfüllung erforderlichen Informationen zur Verfügung. Angemessene Kontrollen oder Audits werden nach vorheriger Abstimmung ermöglicht, soweit berechtigte Sicherheits- und Vertraulichkeitsinteressen sowie die Rechte anderer Kunden gewahrt bleiben.

10. Rückgabe und Löschung

Nach Ende der Auftragsverarbeitung löscht oder gibt Musikfit die Auftragsdaten nach Wahl der Schule zurück, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Produktive Daten werden nach der Beendigung des Schulzugangs grundsätzlich innerhalb von 30 Tagen gelöscht. In Sicherungskopien können sie bis zur turnusmäßigen Überschreibung fortbestehen; bei einer Wiederherstellung werden Löschungen erneut umgesetzt.

Nach Abschluss der Löschung kann die Schule eine Bestätigung in Textform verlangen. Gesetzlich aufzubewahrende Vertrags-, Abrechnungs- und Nachweisdaten werden getrennt und zweckgebunden gespeichert.

11. Vertragsdauer und Änderungen

Diese Vereinbarung gilt für die Dauer des Schulvertrags und darüber hinaus, solange Musikfit Auftragsdaten der Schule verarbeitet. Änderungen des Verarbeitungsumfangs oder der technischen und organisatorischen Maßnahmen werden dokumentiert. Wesentliche Änderungen, die Rechte oder Pflichten der Schule berühren, erfordern eine neue Vertragsfassung oder eine ergänzende Vereinbarung.

12. Schlussbestimmungen

Sollten einzelne Regelungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Ergänzungen und Änderungen bedürfen mindestens der Textform. Es gilt deutsches Recht, soweit zwingende gesetzliche Vorschriften nicht entgegenstehen.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und der technische Betrieb der webbasierten Lernplattform Musikfit für die Schule. Dazu gehören Benutzer- und Rollenverwaltung, Klassen, Aufgaben, Übungen, Lernstände, Rückmeldungen, Passwortverwaltung, Support und die technische Absicherung des Dienstes.

Die Verarbeitung beginnt mit der Aktivierung des Schulzugangs und dauert grundsätzlich bis zur Beendigung des Schulvertrags. Gesetzlich erforderliche Aufbewahrungen und die technisch notwendige Überschreibung von Sicherungskopien bleiben unberührt.

• Betroffene Personen: Schüler:innen, Lehrkräfte, Schulverwaltung und schulische Kontaktpersonen; Erziehungsberechtigte nur, soweit sie selbst Kontakt mit Musikfit aufnehmen.
• Stammdaten: Vorname, Nachname, Anzeigename, Benutzerkennung, Rolle, Schule und Klassenzuordnung.
• Kontaktdaten: dienstliche E-Mail-Adressen von Lehrkräften, Schulverwaltung und sonstigen Kontaktpersonen.
• Nutzungs- und Lerndaten: Aufgaben, Übungsaktivitäten, Antworten, Ergebnisse, Punkte, Lernstände und Zeitpunkte der Bearbeitung.
• Profildaten: freiwillig gewählter Benutzername sowie Avatar- und Profileinstellungen.
• Authentifizierungs-, Sicherheits-, Support- und Fehlerdaten, soweit sie für Betrieb, Missbrauchsschutz oder Fehlerbehebung erforderlich sind.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht in Freitextfelder eingegeben werden.

Anlage 2: Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung über HTTPS/TLS und verschlüsselte Verbindungen zu den eingesetzten Plattformdiensten.
• Passwortverarbeitung über Supabase Auth; Passwörter werden nicht im Klartext in der Musikfit-Datenbank gespeichert.
• Rollenbasierte Berechtigungen für Schüler:innen, Lehrkräfte, Schulverwaltung und Musikfit-Administration.
• Logische Trennung der Schulen und serverseitige Prüfung der Schulzugehörigkeit bei Verwaltungszugriffen.
• Row-Level Security und restriktive Datenbankrechte für öffentlich erreichbare Datenbankschnittstellen.
• Zwei-Faktor-Anmeldung für die Musikfit-Plattformadministration sowie beschränkter Zugriff auf administrative Geheimnisse.
• Protokollierung sicherheits- und verwaltungsrelevanter Aktionen, soweit dies zur Nachvollziehbarkeit erforderlich ist.
• Datenminimierung, Eingabeprüfung, begrenzte Fehlermeldungen und Schutz vor unberechtigten oder automatisierten Zugriffen.
• Regelmäßige Aktualisierung der eingesetzten Software, Prüfung von Abhängigkeiten sowie Funktions- und Sicherheitstests vor Veröffentlichungen.
• Sicherungs- und Wiederherstellungsverfahren der eingesetzten Hosting- und Datenbankanbieter; bei einer Wiederherstellung werden bereits angeordnete Löschungen erneut berücksichtigt.
• Verfahren zur Erkennung, Bewertung, Eindämmung und Meldung von Datenschutz- und Sicherheitsvorfällen.
• Löschung oder Rückgabe der Auftragsdaten nach Vertragsende entsprechend der dokumentierten Weisung der Schule, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Anlage 3: Genehmigte weitere Auftragsverarbeiter

Die Schule erteilt eine allgemeine Genehmigung für die vorstehend genannten weiteren Auftragsverarbeiter. Musikfit informiert die Schule mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung. Die Schule kann innerhalb dieser Frist aus sachlich begründeten datenschutzrechtlichen Gründen widersprechen.

• Vercel Inc., USA: Hosting, Serverfunktionen, Auslieferungsnetz und technische Protokolle. Musikfit nutzt Vercel Pro. Für Drittlandverarbeitungen gelten die im Vercel-DPA vereinbarten Garantien einschließlich EU-Standardvertragsklauseln.
• Supabase Inc., USA: Datenbank, Authentifizierung und Echtzeitfunktionen. Die primäre Datenbankregion ist Frankfurt am Main (eu-central-1). Für mögliche Drittlandverarbeitungen gelten die im Supabase-DPA vereinbarten Garantien.
• Mailjet SAS / Sinch: Versand notwendiger Konto-, Einladungs-, AVV- und Passwort-E-Mails. Die europäische Mailjet-Infrastruktur wird in der EU betrieben; für weitere Standorte gelten die im Sinch-DPA vorgesehenen Übermittlungsinstrumente.

Stripe Payments Europe, Limited verarbeitet ausschließlich Rechnungs- und Zahlungsdaten im gesonderten Zahlungsvorgang und erhält keine Schülernamen, Klassen, Übungsergebnisse oder Lernstände. Stripe ist daher nicht Teil dieser Liste für schulische Lerndaten.

Prüfung und Abschluss

Der individualisierte Abschluss erfolgt über einen nur einmal verwendbaren Unterzeichnungslink. Nach der Bestätigung erhalten die Schule und Musikfit den abgeschlossenen Vertragsnachweis als PDF. Der Ablauf kann über die AVV-Seite angefordert werden.