AV 07 - AVV (PDF).pdf

[Seite 1]

AV 07- Auftragsverarbeitungsvertrag

zum „System“

Zwischen

Firma / Unternehmen:

Straße, Hausnummer:

PLZ, Ort:

• im Folgenden: Auftragverarbeiter

und

Zweckverband Elektronische Verwaltung

in Mecklenburg-Vorpommern (eGo-MV)

Eckdrift 103

19061 Schwerin

• im Folgenden Auftraggeber

wird der folgende Vertrag geschlossen:

Geschäftsstelle: Kontakt: Bankverbindung: Eckdrift 103 Telefon (0385) 77 33 47-0 IBAN DE27 1203 0000 1001 1855 35 19061 Schwerin Fax (0385) 77 33 47-28 BIC BYLADEM1001 Deutsche Kreditbank Berlin Amtsgericht Schwerin E-Mail info@ego-mv.de Steuer-Nr. 090/144/00882 HRA 3949 Web www.ego-mv.de USt.-IdNr. DE279621892 Seite 1 von 19

[Seite 2]

§ 1 Gegenstand, Geltungsbereich und Verhältnis zum Hauptvertrag

(1) Diese Vereinbarung konkretisiert die Datenschutzpflichten der Vertragsparteien aus dem

Vertrag über Cloudleistungen – 2026-eGo-MV-15 „adaptives digitales Lernsystem für den

Mathematikunterricht" einschließlich dessen Anlagen, insbesondere der Anlage Nr. 4

„Informationssicherheit, Datenschutz und Nachweise" (nachfolgend „Hauptvertrag").

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des

Auftraggebers im Sinne von Artikel 28 DSGVO. Diese Vereinbarung gilt für alle

Verarbeitungstätigkeiten, die mit der Bereitstellung, dem Betrieb, Support, der Wartung,

Sicherung, Fehleranalyse und Weiterentwicklung des vertraglich vereinbarten adaptiven

digitalen Lernsystems zusammenhängen und bei denen der Auftragsverarbeiter oder von

ihm eingesetzte Unterauftragnehmer personenbezogene Daten des Auftraggebers

verarbeiten oder auf diese zugreifen können.

(3) Gegenstand, Dauer, Art und Umfang der Verarbeitung richten sich nach dieser

Vereinbarung, dem Hauptvertrag und den Anlagen zu dieser Vereinbarung. Die Dauer der

Verarbeitung entspricht der Laufzeit des Hauptvertrages, sofern in dieser Vereinbarung

nichts Abweichendes bestimmt ist.

(4) Bei Widersprüchen gehen die Regelungen dieser Vereinbarung einschließlich ihrer Anlagen

den Regelungen des Hauptvertrages vor, soweit sie datenschutzrechtliche Pflichten, die

Weisungsbindung, die Datenarten, die Kategorien betroffener Personen, die technischen

und organisatorischen Maßnahmen oder Pflichten nach Artikel 28 DSGVO betreffen. Im

Übrigen gilt die Anlage Nr. 4 des Hauptvertrages für Anforderungen an

Informationssicherheit, Nachweise, Kontrollrechte, Unterauftragnehmer,

Sicherheitsvorfälle, Verfügbarkeit, Datenherausgabe, Löschung und Vertragsende. Soweit

sich Regelungen ergänzen, hat der Auftragsverarbeiter die jeweils strengere Anforderung

einzuhalten.

§ 2 Verantwortlichkeit und Weisungsrecht

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten

sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Er ist

Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO.

(2) Der Auftragsverarbeiter führt für die Verarbeitung ein eigenes Verzeichnis der

Verarbeitungstätigkeiten im Sinne von Artikel 30 Absatz 2 DSGVO. Er stellt dem

Seite 2 von 19

[Seite 3]

Auftraggeber auf Anforderung die für dessen Übersicht nach Artikel 30 Absatz 1 DSGVO

notwendigen Angaben zur Verfügung.

(3) Soweit der Auftragsverarbeiter unter Verstoß gegen diese Vereinbarung und gegen die

DSGVO die Zwecke und Mittel der Verarbeitung selbst bestimmt, gilt er in Bezug auf diese

Verarbeitung als Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO.

(4) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf

dokumentierte Weisung des Auftraggebers, soweit nicht eine gesetzliche Verpflichtung

nach dem Recht der Europäischen Union oder eines Mitgliedstaats besteht. In diesem Fall

informiert der Auftragsverarbeiter den Auftraggeber vor der Verarbeitung über die

betreffende rechtliche Verpflichtung, soweit das Recht eine solche Information nicht aus

wichtigen Gründen des öffentlichen Interesses verbietet.

(5) Weisungen ergeben sich zunächst aus dem Hauptvertrag, dieser Vereinbarung und ihren

Anlagen. Einzelweisungen können durch die in Anlage 2 genannten weisungsberechtigten

Personen in Textform erteilt, geändert, ergänzt oder aufgehoben werden. Mündliche

Weisungen sind unverzüglich in Textform zu bestätigen.

(6) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den

Auftraggeber unverzüglich. Er ist berechtigt, die Umsetzung der Weisung bis zu deren

Bestätigung oder Änderung auszusetzen, soweit dies rechtlich zulässig ist.

(7) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen

personenbezogene Daten ausschließlich im Rahmen der Weisungen des Auftraggebers

verarbeiten.

§ 3 Begriffsbestimmungen

(1) Im Sinne dieser Vereinbarung bedeuten:

a) „Auftragsverarbeiter" ist eine natürliche oder juristische Person, Behörde,

Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des

Verantwortlichen verarbeitet.

b) „personenbezogene Daten" sind alle Informationen, die sich auf eine

identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene

Person") beziehen.

c) „Verarbeitung" ist jeder mit oder ohne Hilfe automatisierter Verfahren

ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit

Seite 3 von 19

[Seite 4]

personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das

Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das

Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung

oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung,

die Einschränkung, das Löschen oder die Vernichtung.

d) „Weisung" ist die auf einen bestimmten datenschutzrechtlichen Umgang (zum

Beispiel Anonymisierung, Sperrung, Löschung, Herausgabe) des

Auftragsverarbeiters mit personenbezogenen Daten gerichtete Anordnung des

Auftraggebers.

e) „Unterauftragnehmer" ist jeder weitere Auftragsverarbeiter des

Auftragsverarbeiters im Sinne von Artikel 28 Absatz 4 DSGVO.

f) „Dritter" ist eine natürliche oder juristische Person, Behörde, Einrichtung oder

andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem

Auftragsverarbeiter und den Personen, die unter der unmittelbaren

Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind,

die personenbezogenen Daten zu verarbeiten.

g) „Drittland" ist ein Land, das sich außerhalb der Europäischen Union und des

Europäischen Wirtschaftsraums befindet.

§ 4 Art, Zweck und Umfang der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur

Bereitstellung, Administration, Nutzung, Sicherung, Wartung und Unterstützung des

adaptiven digitalen Lernsystems für den Mathematikunterricht.

(2) Die zulässigen Verarbeitungstätigkeiten umfassen insbesondere das Erheben, Erfassen,

Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden,

Bereitstellen, Übermitteln im Rahmen berechtigter Systemfunktionen, Abgleichen,

Einschränken, Löschen und Vernichten von Daten, soweit dies für die in Absatz 1

genannten Zwecke erforderlich ist.

(3) Der Auftragsverarbeiter darf personenbezogene Daten nicht für eigene oder fremde

Zwecke verwenden. Insbesondere sind Werbung, Marketing, Vertrieb, Weitergabe oder

Veräußerung von Daten, die Erstellung von Profilen für eigene oder fremde Zwecke sowie

Seite 4 von 19

[Seite 5]

das Training, die Entwicklung oder Verbesserung allgemeiner Modelle, Algorithmen oder

Produkte außerhalb der konkret beauftragten Leistung ausgeschlossen.

(4) Die konkreten Datenarten, Kategorien betroffener Personen und Zwecke ergeben sich

abschließend aus Anlage 1 dieser Vereinbarung.

§ 5 Leistungsorte und Drittlandübermittlungen

(1) Der Auftragsverarbeiter und seine Unterauftragnehmer erbringen die vertraglichen

Leistungen ausschließlich an den in Anlage 5 genannten Leistungsstandorten innerhalb der

Europäischen Union oder des Europäischen Wirtschaftsraums. Dies umfasst insbesondere

Hosting, Speicherung, Datenbanken, Backups, Protokollierung, Monitoring,

Administration, Fehleranalyse, Support, Ticketing, E-Mail- und Benachrichtigungsdienste.

(2) Eine Übermittlung personenbezogener Daten in ein Drittland oder ein Zugriff auf

personenbezogene Daten aus einem Drittland außerhalb der Europäischen Union oder des

Europäischen Wirtschaftsraums ist nur nach vorheriger schriftlicher Zustimmung des

Auftraggebers zulässig. Die Zustimmung setzt voraus, dass der Auftragsverarbeiter den

konkreten Datenfluss, Empfänger, Drittland, Zweck, Datenkategorien, Rechtsgrundlage

und zusätzliche Schutzmaßnahmen vollständig dokumentiert.

(3) Allgemeine Angaben in Allgemeinen Geschäftsbedingungen, Datenschutzhinweisen oder

einer frei änderbaren Unterauftragnehmerliste gelten nicht als Zustimmung des

Auftraggebers.

§ 6 Vertraulichkeit und befugte Personen

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die unter seiner Verantwortung

personenbezogene Daten verarbeiten oder Zugriff auf diese haben, vor Aufnahme ihrer

Tätigkeit zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen

Verschwiegenheitspflicht unterliegen.

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieser Vereinbarung fort.

(3) Der Auftragsverarbeiter beschränkt Zugriffe auf personenbezogene Daten auf Personen,

die diese Daten zur Erfüllung ihrer Aufgaben benötigen. Er setzt angemessene

Berechtigungs- und Zugriffskontrollen um.

Seite 5 von 19

[Seite 6]

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft und unterhält geeignete technische und organisatorische

Maßnahmen nach Artikel 28 Absatz 3 Buchstabe c und Artikel 32 DSGVO. Die konkret

vereinbarten Maßnahmen ergeben sich aus Anlage 3 dieser Vereinbarung sowie

ergänzend aus Anlage Nr. 4 des Hauptvertrages, soweit diese Anforderungen die

Verarbeitung personenbezogener Daten betreffen.

(2) Der Auftragsverarbeiter stellt sicher, dass die Maßnahmen ein dem Risiko angemessenes

Schutzniveau gewährleisten und insbesondere die Vertraulichkeit, Integrität,

Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der

Verarbeitung auf Dauer sicherstellen.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der technischen und organisatorischen

Maßnahmen regelmäßig, mindestens jährlich sowie anlassbezogen nach wesentlichen

Änderungen oder Sicherheitsvorfällen.

(4) Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das vertraglich

vereinbarte Sicherheits- und Datenschutzniveau nicht unterschritten wird. Wesentliche

Änderungen, die zu einer Verringerung dieses Niveaus führen könnten, sind nur mit

vorheriger Zustimmung des Auftraggebers zulässig.

§ 8 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der

Verarbeitung und der ihm zur Verfügung stehenden Informationen im angemessenen und

erforderlichen Umfang bei der Erfüllung der Pflichten nach den Artikeln 12 bis 23 sowie 32

bis 36 DSGVO.

(2) Der Auftragsverarbeiter leitet Anfragen betroffener Personen, die unmittelbar bei ihm

eingehen und die Verarbeitung im Auftrag betreffen, unverzüglich an den Auftraggeber

weiter. Eine eigenständige Beantwortung erfolgt nur nach dokumentierter Weisung des

Auftraggebers oder soweit hierzu eine gesetzliche Pflicht besteht.

(3) Der Auftragsverarbeiter unterstützt den Auftraggeber insbesondere bei der Bearbeitung

von Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen, vorherigen

Konsultationen, Prüfungen durch Aufsichtsbehörden sowie der Aufklärung und

Dokumentation von Datenschutzverletzungen.

Seite 6 von 19

[Seite 7]

§ 9 Meldung von Datenschutzverletzungen und Sicherheitsvorfällen

(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch

innerhalb von 24 Stunden nach Bekanntwerden, über eine Verletzung des Schutzes

personenbezogener Daten oder einen erheblichen Sicherheitsvorfall, wenn dieser die

Daten des Auftraggebers, die Verfügbarkeit der Leistung oder die Vertraulichkeit und

Integrität der vertraglich genutzten Systeme tatsächlich oder voraussichtlich erheblich

beeinträchtigt.

(2) Die Erstmeldung enthält, soweit bekannt, mindestens Zeitpunkt der Kenntniserlangung,

Art und Umfang des Vorfalls, betroffene Systeme und Datenkategorien, mögliche

Auswirkungen, bereits ergriffene und geplante Maßnahmen sowie einen Ansprechpartner

für Rückfragen. Unvollständige Angaben sind unverzüglich zu ergänzen.

(3) Der Auftragsverarbeiter trifft unverzüglich geeignete Maßnahmen zur Eindämmung,

Untersuchung, Beseitigung und Dokumentation des Vorfalls. Er unterstützt den

Auftraggeber bei dessen Bewertung, bei Meldungen nach Artikel 33 und 34 DSGVO sowie

bei der Kommunikation mit Aufsichtsbehörden und Betroffenen.

§ 10 Unterauftragnehmer

(1) Der Auftragsverarbeiter darf Unterauftragnehmer, die personenbezogene Daten des

Auftraggebers verarbeiten oder auf solche Daten zugreifen können, nur nach vorheriger

allgemeiner schriftlicher Genehmigung des Auftraggebers einsetzen. Die bei

Vertragsschluss genehmigten Unterauftragnehmer sind in Anlage 4 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Kalendertage vor

einer beabsichtigten Hinzuziehung, Ersetzung oder wesentlichen Änderung eines

Unterauftragnehmers in Textform. Die Information enthält mindestens Firma, Sitz und

Verarbeitungsort, Leistungsanteil, Zugriffsmöglichkeit, Datenkategorien sowie etwaige

Drittlandbezüge.

(3) Der Auftraggeber kann einer Änderung innerhalb von 30 Kalendertagen aus sachlichem

Grund widersprechen. Ein sachlicher Grund liegt insbesondere vor, wenn die Änderung zu

einem niedrigeren Sicherheits- oder Datenschutzniveau, einem nicht genehmigten

Drittlandtransfer oder einer sonstigen erheblichen Beeinträchtigung der vertraglich

vereinbarten Anforderungen führen kann.

Seite 7 von 19

[Seite 8]

(4) Können die Parteien innerhalb von 90 Kalendertagen nach Zugang des Widerspruchs keine

einvernehmliche Lösung erzielen, ist der Auftraggeber berechtigt, die hiervon betroffenen

Leistungen außerordentlich zu kündigen.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer vor Beginn dessen

Tätigkeit schriftlich mindestens auf dieselben Datenschutz- und

Informationssicherheitspflichten, Kontrollrechte, Vertraulichkeits- und Löschpflichten, die

für dessen Leistungsanteil aus dieser Vereinbarung, der Anlage Nr. 4 des Hauptvertrages

und den weiteren Vertragsbestandteilen einschlägig sind. Der Auftragsverarbeiter bleibt

gegenüber dem Auftraggeber für die Erfüllung aller Pflichten durch Unterauftragnehmer

verantwortlich.

§ 11 Nachweise, Kontrollen und Audits

(1) Der Auftragsverarbeiter weist dem Auftraggeber die Einhaltung seiner Pflichten aus dieser

Vereinbarung mit geeigneten Unterlagen nach. Die Nachweis- und Informationspflichten

der Anlage Nr. 4 des Hauptvertrages bleiben unberührt.

(2) Der Auftragsverarbeiter stellt dem Auftraggeber spätestens vor Beginn der produktiven

Verarbeitung und danach mindestens jährlich aktuelle Informationen und Nachweise

bereit, soweit sie für die Verarbeitung einschlägig sind. Dazu gehören insbesondere die

aktuelle Unterauftragnehmerliste, die Leistungsstandorte, die technischen und

organisatorischen Maßnahmen, eine Datenflussübersicht, vorhandene einschlägige

Zertifikate oder Prüfberichte sowie Nachweise über Sicherheitsprüfungen und wesentliche

Abhilfemaßnahmen.

(3) Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung durch Prüfung der

Unterlagen, durch angemessene Fragebögen, Gespräche und bei begründeten Zweifeln,

erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen durch weitergehende

Prüfungen zu kontrollieren.

(4) Weitergehende Prüfungen können durch fachkundiges Personal des Auftraggebers oder

eine vom Auftraggeber beauftragte, zur Vertraulichkeit verpflichtete unabhängige

Prüfgesellschaft erfolgen. Sie sind mit angemessener Vorankündigung durchzuführen und

berücksichtigen die Sicherheitsinteressen, Betriebs- und Geschäftsgeheimnisse des

Auftragsverarbeiters sowie die Rechte anderer Kunden.

Seite 8 von 19

[Seite 9]

(5) Soweit eine Vor-Ort-Prüfung aus Sicherheitsgründen oder wegen gemeinsam genutzter

Infrastruktur nicht sachgerecht ist, vereinbaren die Parteien eine gleichwertige

Prüfungsform, insbesondere Einsicht in geeignete Prüfberichte, Remote-Prüfungen oder

Prüfungen durch unabhängige Prüfgesellschaften.

§ 12 Berichtigung, Löschung und Rückgabe

(1) Der Auftragsverarbeiter berichtigt, löscht oder schränkt personenbezogene Daten

während der Vertragslaufzeit nur auf dokumentierte Weisung des Auftraggebers ein,

soweit nicht eine gesetzliche Verpflichtung entgegensteht.

(2) Nach Abschluss der Verarbeitungsleistungen hat der Auftragsverarbeiter alle

personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder

zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Ergänzend gelten die Regelungen der Anlage Nr. 4 des Hauptvertrages zu Datenexport,

Migration, Löschung, Backups und Löschbestätigung. Die Löschung von Produktivdaten

erfolgt grundsätzlich spätestens innerhalb von 30 Kalendertagen nach Ende der

vertraglichen Bereitstellung oder nach Weisung. Daten in Backups sind spätestens

innerhalb von 90 Kalendertagen nach Löschung der Produktivdaten durch Überschreibung,

Ablauf der Backup-Retention oder gleichwertige sichere Verfahren zu löschen, soweit

keine zwingende Rechtsvorschrift entgegensteht.

(4) Der Auftragsverarbeiter bestätigt dem Auftraggeber die erfolgte Löschung auf

Anforderung in Textform. Die Bestätigung enthält mindestens Datenkategorien, Zeitpunkt

oder Zeitraum der Löschung, den Umgang mit Backups und gegebenenfalls bestehende

Aufbewahrungspflichten.

§ 13 Datenschutzbeauftragter und Ansprechpartner

(1) Der Auftragsverarbeiter benennt dem Auftraggeber spätestens zehn Werktage nach

Zuschlag seinen Datenschutzbeauftragten, soweit die gesetzlichen Voraussetzungen für

dessen Bestellung vorliegen, oder andernfalls einen fachkundigen Ansprechpartner für

Datenschutz. Die Angaben werden in Anlage 6 dokumentiert.

(2) Der Auftragsverarbeiter benennt außerdem einen Ansprechpartner für

Informationssicherheit und einen Ansprechpartner für Sicherheitsvorfälle außerhalb des

Seite 9 von 19

[Seite 10]

allgemeinen Supportkanals. Änderungen sind dem Auftraggeber unverzüglich in Textform

mitzuteilen.

(3) Sofern der Auftragsverarbeiter oder ein von ihm eingesetzter Unterauftragnehmer seinen

Sitz außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums hat,

benennt er einen Vertreter in der Union gemäß Artikel 27 Absatz 1 DSGVO. Name und

Kontaktdaten des Vertreters werden in Anlage 6 dokumentiert.

§ 14 Sonstige Mitteilungspflichten

(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn:

a) er der Auffassung ist, dass eine Weisung gegen anwendbares Recht verstößt;

b) bei ihm oder einem Unterauftragnehmer Verstöße gegen datenschutzrechtliche

Vorschriften oder diese Vereinbarung festgestellt werden;

c) Aufsichtsbehörden Kontrollhandlungen oder Maßnahmen durchführen, soweit

diese den Gegenstand dieser Vereinbarung betreffen;

d) personenbezogene Daten des Auftraggebers durch Pfändung, Beschlagnahme,

Insolvenz oder sonstige Maßnahmen Dritter gefährdet sind.

(2) Der Auftragsverarbeiter trifft in diesen Fällen die erforderlichen Maßnahmen zum Schutz

der Daten und stimmt sich unverzüglich mit dem Auftraggeber ab.

§ 15 Haftung

(1) Auftraggeber und Auftragsverarbeiter haften für den Schaden, der durch eine nicht der

DSGVO entsprechende Verarbeitung verursacht wird gemeinsam im Außenverhältnis

gegenüber der jeweiligen betroffenen Person.

(2) Der Auftragsverarbeiter haftet ausschließlich für Schäden, die auf einer von ihm

durchgeführten Verarbeitung beruhen, bei der

a) er den aus der DSGVO resultierenden und speziell für Auftragsverarbeiter

auferlegten Pflichten nicht nachgekommen ist oder

b) er unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Auftraggebers

handelte oder

c) er gegen die rechtmäßig erteilten Weisungen des Auftraggebers gehandelt hat.

(3) Soweit der Auftraggeber zum Schadensersatz gegenüber der betroffenen Person

verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragsverarbeiter vorbehalten.

Seite 10 von 19

[Seite 11]

(4) Im Innenverhältnis zwischen Auftraggeber und Auftragsverarbeiter haftet der

Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden jedoch nur,

wenn er

a) seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen

ist oder

b) unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Auftraggebers

oder gegen diese Weisungen gehandelt hat.

(5) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

§ 16 Laufzeit, Kündigung und Schlussbestimmungen

(1) Diese Vereinbarung tritt mit Unterzeichnung in Kraft und endet mit vollständiger

Beendigung der Verarbeitung sowie der Rückgabe oder Löschung der Daten, soweit

gesetzliche Aufbewahrungspflichten nicht entgegenstehen.

(2) Das Recht der Vertragsparteien zur außerordentlichen Kündigung aus wichtigem Grund

bleibt unberührt.

(3) Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen

mindestens der Textform. Dies gilt auch für Änderungen dieses Formerfordernisses.

(4) Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise unwirksam oder

undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen

unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch

eine solche ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck

möglichst nahekommt.

Seite 11 von 19

[Seite 12]

ANLAGE 1 – Art, Zweck und Umfang der Verarbeitung; Datenarten und

betroffene Personen

1. Gegenstand der Verarbeitung

Bereitstellung, Betrieb, Administration, Wartung, Support, Sicherung und Fehleranalyse eines adaptiven digitalen Lernsystems für den Mathematikunterricht als Software as a Service. 2. Zwecke der Verarbeitung

• Bereitstellung von Nutzerkonten und Zugangsberechtigungen; • Zuordnung von Lernenden, Lehrkräften, Klassen, Kursen und Gruppen; • Bereitstellung und Durchführung adaptiver Mathematikübungen und Lernangebote; • Speicherung und Auswertung von Bearbeitungsständen, Ergebnissen und Lernfortschritten zur Bereitstellung der vereinbarten pädagogischen Funktionen; • Darstellung von Auswertungen für berechtigte Lehrkräfte und sonstige berechtigte Nutzer; • Gewährleistung des technischen Betriebs, der Informationssicherheit, Fehleranalyse, Supportleistungen, Sicherungen und Wiederherstellung; • Erfüllung dokumentierter Weisungen des Auftraggebers.

3. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen, Übermitteln im Rahmen berechtigter Systemfunktionen, Abgleichen, Einschränken, Löschen und Vernichten. 4. Datenarten

• Identifikations- und Kontodaten: Vorname, Nachname, Anzeigename, Nutzerkennung, Rolle, schulische Zuordnung, gegebenenfalls dienstliche E-Mail-Adresse; • Organisationsdaten: Schule, Klasse, Kurs, Lerngruppe, Zuordnungen zwischen Lernenden und Lehrkräften; • Lern- und Leistungsdaten: bearbeitete Aufgaben, Eingaben und Lösungen, Ergebnisse, Punkte, Bearbeitungsstände, Lernfortschritte, Auswertungen, Hinweise und Fehlermuster, soweit vom System verarbeitet; • Kommunikations- und Supportdaten: Inhalte von Supportanfragen, Kontaktangaben, Bearbeitungsstatus; • Technische Daten: Anmelde-, Zugriffs-, Sicherheits-, Fehler-, Audit- und Protokolldaten, soweit für Betrieb, Sicherheit und Fehleranalyse erforderlich; • Konfigurations- und Inhaltsdaten: vom Auftraggeber oder berechtigten Nutzern eingebrachte Inhalte, Einstellungen, Rollen- und Berechtigungskonfigurationen.

Nicht verarbeitet werden besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, soweit dies nicht ausnahmsweise durch den Auftraggeber ausdrücklich angewiesen und rechtlich zulässig ist.

Seite 12 von 19

[Seite 13]

5. Kategorien betroffener Personen

• Schülerinnen und Schüler; • Lehrkräfte; • sonstige berechtigte schulische Nutzerinnen und Nutzer, soweit sie zur Administration, Betreuung oder Nutzung des Lernsystems berechtigt sind; • Ansprechpartner des Auftraggebers und der Letztempfänger; • Supportanfragende Personen.

Seite 13 von 19

[Seite 14]

ANLAGE 2 – Weisungsberechtigte und Weisungsempfänger

1. Weisungsberechtigte Personen des Auftraggebers

oder benannte Fachstelle

2. Weisungsempfangende Personen des Auftragsverarbeiters

Seite 14 von 19

[Seite 15]

ANLAGE 3 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind Mindestmaßnahmen. Der Auftragsverarbeiter konkretisiert sie vor Beginn der produktiven Verarbeitung für die tatsächlich eingesetzte Lösung und hält sie während der Vertragslaufzeit aufrecht.

1. Vertraulichkeit

• Zutrittskontrolle für Räumlichkeiten und Rechenzentren durch geeignete physische Schutzmaßnahmen; • Zugangskontrolle durch individuelle Nutzerkennungen, sichere Authentisierung, Passwortschutz und angemessene Sperr- und Wiederherstellungsverfahren; • Mehrfaktor-Authentisierung für administrative Zugänge zu produktiven Systemen, soweit technisch möglich und angemessen; • Zugriffskontrolle nach Need-to-know- und Least-Privilege-Prinzip; • regelmäßige Überprüfung von Berechtigungen, mindestens jährlich sowie bei Rollen- oder Aufgabenwechsel; • Verpflichtung aller befugten Personen auf Vertraulichkeit; • Verschlüsselung der Datenübertragung über öffentliche Netze nach dem Stand der Technik; • Schutz gespeicherter Daten durch geeignete technische und organisatorische Maßnahmen; • logische Mandantentrennung und angemessene Trennung von Entwicklungs-, Test- und Produktivumgebungen.

2. Integrität

• kontrollierte und dokumentierte Änderungs-, Freigabe- und Testverfahren; • Protokollierung sicherheitsrelevanter administrativer Zugriffe, Berechtigungsänderungen und Systemänderungen; • Schutz der Protokolle vor unbefugter Einsichtnahme und Veränderung; • Verfahren zur Erkennung, Bewertung, Priorisierung und Behebung von Schwachstellen; • risikoorientiertes Patch- und Update-Management; • Schutz vor unbefugter Datenübertragung, Veränderung und Löschung.

3. Verfügbarkeit und Belastbarkeit

• regelmäßige Datensicherungen der zur Wiederherstellung erforderlichen Daten und Systemkonfigurationen; • Schutz der Backups gegen unbefugten Zugriff und Verlust; • regelmäßige Prüfung der Wiederherstellbarkeit; • dokumentiertes Notfall- und Wiederanlaufkonzept mit Zuständigkeiten, Kommunikationswegen, Wiederherstellungsverfahren und Backup-Management; • Monitoring zur Erkennung von Störungen, Kapazitätsengpässen, fehlgeschlagenen Sicherungen, sicherheitsrelevanten Konfigurationsabweichungen und bekannten Schwachstellen.

Seite 15 von 19

[Seite 16]

4. Verfahren zur regelmäßigen Überprüfung

• regelmäßige Überprüfung der Wirksamkeit der TOMs, mindestens jährlich sowie anlassbezogen; • regelmäßige Schwachstellenanalysen; • Penetrationstests für internetexponierte Komponenten mindestens alle 24 Monate sowie nach wesentlichen sicherheitsrelevanten Änderungen; • dokumentierte Behandlung kritischer und hoher Feststellungen; • Datenschutzmanagement, Incident-Response-Management und Verfahren zur Meldung von Datenschutzverletzungen; • datenschutzfreundliche Voreinstellungen und Datenminimierung; • dokumentiertes Auftragsmanagement und Kontrolle von Unterauftragnehmern.

Seite 16 von 19

[Seite 17]

ANLAGE 4 – Genehmigte Unterauftragnehmer

Vor Beginn der Verarbeitung ist die nachfolgende Übersicht durch den Auftragsverarbeiter vollständig auszufüllen. Die aufgeführten Unterauftragnehmer gelten mit Abschluss dieser Vereinbarung als genehmigt. Name und Leistungsa Sitz und Zugriff auf Datenkatego Drittlandbezug Anschrift des nteil tatsächlicher personenbezo rien (Ja/Nein; falls Unterauftragneh Verarbeitung gene Daten ja: mers sort (Ja/Nein) Rechtsgrundla ge und Schutzmaßnah men)

Seite 17 von 19

[Seite 18]

ANLAGE 5 – Vereinbarte Leistungsstandorte

Vor Beginn der Verarbeitung ist die nachfolgende Übersicht durch den Auftragsverarbeiter vollständig auszufüllen.

gungen

Seite 18 von 19

[Seite 19]

ANLAGE 6 – Datenschutz- und Sicherheitsansprechpartner

Ort, Datum

Für den Auftraggeber Name, Funktion, Unterschrift

Für den Auftragsverarbeiter Name, Funktion, Unterschrift

Seite 19 von 19