Vertrag über die Auftragsverarbeitung (AVV)

Dieser Auftragsverarbeitungsvertrag gilt für Nutzerinnen und Nutzer, die mit teachtone personenbezogene Daten Dritter verarbeiten — insbesondere Lehrkräfte, die Daten ihrer Schülerinnen und Schüler erfassen. Er wird im Rahmen der Anmeldung durch Zustimmung geschlossen und ist Bestandteil des Nutzungsvertrags über die Software „teachtone".

Zwischen

wird der folgende Vertrag zur Verarbeitung personenbezogener Daten im Auftrag geschlossen.

Präambel

Der Auftragnehmer stellt dem Auftraggeber die Software „teachtone" (Software zur Organisation von Musikunterricht: Schüler- und Stundenverwaltung, Unterrichtsmaterial, Kommunikation, Kalender) als Software-as-a-Service über das Internet bereit und betreibt die dafür genutzte Serverinfrastruktur. Der Auftraggeber nutzt die Software zur Organisation seines eigenen Musikunterrichts. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Dieser Vertrag konkretisiert die Datenschutzpflichten der Parteien nach Art. 28 DSGVO.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist der Betrieb und die Bereitstellung der Software „teachtone" einschließlich Speicherung, Verwaltung und Bereitstellung der vom Auftraggeber eingegebenen bzw. in seinem Auftrag erhobenen Daten.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen (durch Übermittlung an vom Auftraggeber berechtigte Personen, z. B. Schüler über einen persönlichen Zugangslink), Löschen und Vernichten.
3. Zweck der Verarbeitung ist ausschließlich die Erbringung der vereinbarten Software-Dienstleistung. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.
4. Dauer: Der Vertrag beginnt mit der Bereitstellung der Software und läuft für die Dauer des Hauptvertrags. Die Pflichten zur Löschung/Rückgabe (§ 10) bleiben unberührt.

§ 2 Art der Daten und Kategorien betroffener Personen

1. Kategorien personenbezogener Daten: Stammdaten der Schüler (Name, ggf. Geburtsdatum); Kontaktdaten (Telefon, E-Mail, Anschrift, soweit eingegeben); Daten der Erziehungsberechtigten (bei Minderjährigen); Unterrichtsdaten (Stundenplan, Anwesenheit, Notizen, Fortschritt, Repertoire); Kommunikationsdaten (Chat); vom Auftraggeber hochgeladene Inhalte (Noten, Audio, Anmerkungen); ggf. Abrechnungs-/Honorardaten.
2. Kategorien betroffener Personen: Schülerinnen und Schüler des Auftraggebers sowie deren Erziehungsberechtigte.
3. Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber gibt keine solchen Daten in die Software ein.

§ 3 Rechte und Pflichten des Auftraggebers; Weisungsrecht

1. Der Auftraggeber ist der Verantwortliche (Art. 4 Nr. 7 DSGVO). Er ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage (z. B. Einwilligung) und für die Wahrung der Betroffenenrechte.
2. Die Verarbeitung erfolgt nur im Rahmen der Vereinbarungen und nach dokumentierter Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Mündliche Weisungen sind in Textform zu bestätigen.
3. Die Nutzung der Software gemäß ihrer bestimmungsgemäßen Funktionen gilt als Weisung.
4. Der Auftraggeber informiert den Auftragnehmer unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten bei der Verarbeitung.
5. Lädt der Auftraggeber personenbezogene Daten über die Sicherungs- oder Exportfunktion aus der Software herunter, verlassen diese Kopien die Auftragsverarbeitung. Für ihre sichere Aufbewahrung und weitere Verarbeitung außerhalb der Software ist der Auftraggeber als Verantwortlicher allein zuständig; dieser Vertrag findet auf solche Kopien keine Anwendung.

§ 4 Pflichten des Auftragnehmers

1. Personenbezogene Daten ausschließlich im Rahmen der Weisungen zu verarbeiten und den Auftraggeber auf eine seiner Auffassung nach datenschutzwidrige Weisung hinzuweisen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
2. Die Vertraulichkeit zu wahren und sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
3. Die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 2) umzusetzen und einzuhalten.
4. Die Bedingungen für weitere Auftragsverarbeiter (§ 6) einzuhalten.
5. Den Auftraggeber bei Betroffenenrechten und bei den Pflichten nach Art. 32–36 DSGVO zu unterstützen (§ 7).
6. Nach Wahl des Auftraggebers alle Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben (§ 10).
7. Dem Auftraggeber die erforderlichen Nachweise zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 9).
8. Verletzungen des Datenschutzes unverzüglich zu melden (§ 8).
9. Die Daten ausschließlich innerhalb der EU / des EWR zu verarbeiten. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und der Einhaltung der Art. 44 ff. DSGVO.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen und hält sie während der Vertragsdauer aufrecht.
2. Die Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverhältnisse

1. Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die derzeit eingesetzten sind in Anlage 1 aufgeführt und werden hiermit genehmigt.
2. Der Auftragnehmer informiert über beabsichtigte Änderungen. Der Auftraggeber kann aus wichtigem, datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen (Art. 28 Abs. 2 DSGVO).
3. Der Auftragnehmer erlegt jedem Unterauftragnehmer dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO) und bleibt gegenüber dem Auftraggeber verantwortlich.
4. Reine Nebenleistungen (z. B. Telekommunikation) gelten nicht als Unterauftragsverarbeitung.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anträgen betroffener Personen (Art. 12–23 DSGVO).
2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.
3. Der Auftragnehmer unterstützt bei den Pflichten aus Art. 32–36 DSGVO im Rahmen der ihm zur Verfügung stehenden Informationen.

§ 8 Meldung von Verletzungen des Datenschutzes

1. Der Auftragnehmer meldet dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, jede Verletzung des Schutzes der im Auftrag verarbeiteten Daten.
2. Die Meldung enthält mindestens: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen/Datensätze, wahrscheinliche Folgen sowie ergriffene bzw. vorgeschlagene Maßnahmen.
3. Die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung Betroffener (Art. 34) obliegen dem Auftraggeber.

§ 9 Nachweise und Kontrollen

1. Der Auftragnehmer weist die Einhaltung seiner Pflichten mit geeigneten Mitteln nach (Art. 28 Abs. 3 lit. h DSGVO), insbesondere durch die Dokumentation der TOM (Anlage 2).
2. Der Auftraggeber kann sich — nach angemessener Vorankündigung und zu üblichen Geschäftszeiten — von der Einhaltung überzeugen. Der Auftragnehmer wirkt daran im erforderlichen Umfang mit.

§ 10 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung der Verarbeitung löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten oder gibt sie zurück (nach Wahl des Auftraggebers), sofern keine gesetzliche Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Auf Verlangen stellt der Auftragnehmer die Daten in einem gängigen, maschinenlesbaren Format bereit (Export).
3. Die Löschung wird auf Wunsch bestätigt. Sicherungskopien werden im Rahmen der üblichen Rotationszyklen automatisch gelöscht.

§ 11 Haftung

Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags (AGB). Im Übrigen gelten die gesetzlichen Bestimmungen.

§ 12 Schlussbestimmungen

1. Änderungen bedürfen der Textform.
2. Bei Widersprüchen gehen die Regelungen dieses Vertrags den Regelungen des Hauptvertrags in Bezug auf den Datenschutz vor.
3. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam (salvatorische Klausel).
4. Es gilt das Recht der Bundesrepublik Deutschland.

---

Anlage 1 — Genehmigte Unterauftragsverarbeiter

Beide Anbieter sind in Deutschland ansässig — keine Drittlandübermittlung.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb im Rechenzentrum des Unterauftragnehmers (netcup, Deutschland) mit dessen Zutrittsschutz; der Arbeitsplatz des Auftragnehmers ist durch Bildschirmsperre und Zugangsschutz gesichert.
• Zugangskontrolle: Zugang nur über individuelle Zugangsdaten je Instanz; Sitzungs-Cookies HttpOnly und kryptografisch signiert (HMAC). Serveradministration ausschließlich über SSH mit Schlüsselauthentifizierung (kein Passwort-Login).
• Zugriffskontrolle / Mandantentrennung: Für jeden Nutzer eine vollständig isolierte Instanz — eigener Systemdienst, eigene Datenbank, eigenes Medienverzeichnis, eigene Geheimnisse. Kein Zugriff zwischen den Instanzen.
• Trennungskontrolle: Produktiv- und Testumgebung getrennt.
• Verschlüsselung (Transport): Gesamte Übertragung über TLS (HTTPS); HTTP-Verbindungen werden automatisch auf HTTPS umgeleitet (Let's-Encrypt-Zertifikate, automatische Erneuerung).

2. Integrität

• Weitergabekontrolle: Weitergabe nur an vom Auftraggeber berechtigte Personen (z. B. Schüler über einen persönlichen, geheimen Zugangslink) und ausschließlich verschlüsselt.
• Eingabekontrolle: Änderungen nur durch den authentifizierten Nutzer bzw. den per gültigem Token berechtigten Schüler; Serverzugriffe werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Belastbarkeit: Betrieb als überwachter Systemdienst mit automatischem Neustart bei Störung.
• Datensicherung: Tägliche automatische Sicherung der Datenbank jeder Instanz (konsistente Kopie, komprimiert), auf dem Server 14 Tage vorgehalten und zusätzlich täglich auf ein separates, vom Betreiber kontrolliertes Sicherungssystem übertragen.
• Wiederherstellbarkeit: Der letzte gesicherte Stand ist wiederherstellbar.

4. Regelmäßige Überprüfung

• Auftragskontrolle: Verarbeitung ausschließlich auf dokumentierte Weisung (§ 3, § 4).
• Überprüfung: Die Wirksamkeit der Maßnahmen wird bei wesentlichen Änderungen von Software oder Infrastruktur überprüft; bekannte Schwachstellen werden zeitnah behoben.