Klassenstudio an Ihrer Schule freigeben — in 5 Minuten, komplett digital.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Als dokumentierte Weisung gelten der Hauptvertrag, diese Vereinbarung sowie die Nutzung der Funktionen von Klassenstudio durch die Lehrkräfte der Schule.

Dies gilt auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern der Auftragsverarbeiter nicht durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO; Datengeheimnis gemäß § 6 DSG).

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Abschlusses dieser Vereinbarung getroffenen Maßnahmen sind in Anlage 1 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt und dürfen vom Auftragsverarbeiter weiterentwickelt werden, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Beiziehung der in Anlage 2 gelisteten Sub-Auftragsverarbeiter.

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Sub-Auftragsverarbeiters. Der Verantwortliche kann gegen derartige Änderungen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben; in diesem Fall steht beiden Parteien ein außerordentliches Kündigungsrecht hinsichtlich des Hauptvertrags zu.

Der Auftragsverarbeiter überbindet jedem Sub-Auftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Art. 12 bis 23 DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Klassenstudio stellt hierfür insbesondere bereit: Berichtigung und Löschung einzelner Datensätze direkt in der Anwendung sowie einen Datenexport als maschinenlesbares JSON-Bundle (Datenübertragbarkeit, Art. 20 DSGVO).

Anträge betroffener Personen, die direkt beim Auftragsverarbeiter einlangen, leitet dieser unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbständig.

Der Auftragsverarbeiter unterstützt den Verantwortlichen — unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen — bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO): Sicherheit der Verarbeitung, Meldung von Verletzungen an die Aufsichtsbehörde, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung und vorherige Konsultation.

Für eine Datenschutz-Folgenabschätzung des Verantwortlichen stellt der Auftragsverarbeiter insbesondere die Beschreibung der Verarbeitung (Präambel) und der technischen und organisatorischen Maßnahmen (Anlage 1) als Zuarbeit zur Verfügung.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält — soweit verfügbar — die Informationen gemäß Art. 33 Abs. 3 DSGVO, insbesondere die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Die Rückgabe erfolgt über den in der Anwendung integrierten Datenexport (JSON-Bundle). Die Löschung erfolgt über die Self-Service-Kontolöschung: Nach Ablauf einer Widerrufsfrist von 30 Tagen werden das Konto und sämtliche damit verbundenen Daten automatisiert und endgültig gelöscht; Sicherungskopien rotieren innerhalb der Backup-Aufbewahrung (maximal 7 Tage) aus.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis erfolgt in der Regel durch Vorlage geeigneter Dokumentation, insbesondere der Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1) sowie der Auftragsverarbeitungsverträge und Zertifizierungen der Sub-Auftragsverarbeiter. Inspektionen vor Ort erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.

Die Verarbeitung der Daten erfolgt grundsätzlich innerhalb der Europäischen Union; die Datenbank wird in der Region EU-Frankfurt betrieben. Die Auslieferung der Anwendungen erfolgt über die Edge-Infrastruktur des Sub-Auftragsverarbeiters Cloudflare, primär über Standorte in Wien und Frankfurt.

Soweit ein Sub-Auftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet (etwa bei Backups, Logs oder Support-Zugriffen), erfolgt dies auf Grundlage der Standardvertragsklauseln der EU-Kommission (SCC) gemäß den in Anlage 2 verlinkten Auftragsverarbeitungsverträgen der jeweiligen Anbieter.

Der Auftragsverarbeiter verwendet die im Auftrag verarbeiteten personenbezogenen Daten ausschließlich zur Erfüllung des Hauptvertrags und dieser Vereinbarung. Eine Verarbeitung zu eigenen Zwecken — insbesondere zu Werbe-, Analyse- oder Trainingszwecken — sowie eine Weitergabe an Dritte außerhalb der in Anlage 2 gelisteten Sub-Auftragsverarbeiter findet nicht statt.

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei nur für den Teil des Schadens, der durch eine Verletzung der sie treffenden datenschutzrechtlichen Pflichten verursacht wurde (Art. 82 Abs. 5 DSGVO).

Diese Vereinbarung wird gemäß Art. 28 Abs. 9 DSGVO in einem elektronischen Format abgefasst und abgeschlossen. Der Abschluss erfolgt durch die Bestätigung der Schulleitung auf der versionierten Bestätigungsseite von Klassenstudio; eine eigenhändige Unterschrift ist nicht erforderlich.

Zur Nachweissicherung protokolliert der Auftragsverarbeiter den Zeitpunkt der Bestätigung, Name und Funktion der bestätigenden Person, die IP-Adresse sowie die Version dieses Dokuments. Die jeweils bestätigte Dokumentversion ist auf der Bestätigungsseite und im Konto der Lehrkraft ersichtlich.