Präambel
Diese Auftragsverarbeitungsvereinbarung ("AVV") konkretisiert die Verpflichtungen aus Art. 28 DSGVO zwischen Auftraggeber (dem nutzenden Einzel-Lehrer bzw. der Schule) und Auftragnehmer (tk comp UG — Betreiber von unterrichtsplanung.ai), bezogen auf die Verarbeitung personenbezogener Daten im Rahmen der Nutzung des SaaS-Dienstes.
§ 1 Gegenstand
Gegenstand des Auftrags ist die Bereitstellung der Plattform unterrichtsplanung.ai inklusive ihrer Funktionen zur Unterrichtsplanung, Lernstandsverwaltung, KI-gestützten Material- und Testerstellung sowie Dokumentenverwaltung. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu diesem Zweck.
§ 2 Art der Daten und Kategorien Betroffener
Verarbeitete Datenkategorien:
- Accountdaten der Lehrkräfte (E-Mail, Name, Profil, Passwort-Hash, Bundesland, Fächer)
- Organisationsdaten (Schule, Adresse, Kontakt, USt-ID)
- Nutzungsdaten (Klassen, Unterrichtsplanungen, Lernziele, Materialien, AI-Anfragen)
- Schülerdaten ausschließlich pseudonymisiert (Kürzel/Handle wie "S1", "Lisa M."). Zuordnung zu realen Personen erfolgt ausschließlich außerhalb des Systems durch die Lehrkraft.
- Lernstände (Skala 1-5) und Assessmentergebnisse je Pseudonym
- Dokumenten-Uploads der Lehrkraft
Kategorien Betroffener: Lehrkräfte, Schuladministratoren, (pseudonymisiert) Schüler:innen, ggf. Eltern mit Parent-Link-Token.
§ 3 Rechte und Pflichten des Auftraggebers
- Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
- Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich.
- Der Auftraggeber stellt sicher, dass vor Verarbeitung personenbezogener Daten (soweit überhaupt erforderlich; Schülerdaten sind pseudonymisiert) eine Rechtsgrundlage besteht.
- Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Vorschriften feststellt.
- Weisungen werden grundsätzlich textlich im System dokumentiert oder per E-Mail an datenschutz@unterrichtsplanung.ai übermittelt.
§ 4 Pflichten des Auftragnehmers
- Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich festgelegten Zweckbestimmung und nach Weisung des Auftraggebers.
- Der Auftragnehmer gewährleistet die in Anlage 1 dokumentierten technischen und organisatorischen Maßnahmen (TOMs).
- Mitarbeiter und Subunternehmer werden auf das Datengeheimnis nach Art. 32 DSGVO und § 53 BDSG verpflichtet.
- Bei Datenschutzverletzungen (Data Breach) informiert der Auftragnehmer den Auftraggeber unverzüglich, spätestens binnen 48 Stunden.
- Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12-22 DSGVO) und bei Erfüllung der Art. 32-36 DSGVO.
§ 5 Subunternehmer
Der Auftragnehmer setzt folgende Subunternehmer (Sub-Auftragsverarbeiter) ein:
- Supabase Inc. (USA, EU-Region Frankfurt) — Datenbank, Auth, Storage, Edge Functions. DPA vorhanden.
- Anthropic PBC (USA) — KI-Modell Claude für didaktische Textgenerierung. Übermittlung unter Standardvertragsklauseln (SCC) bzw. TADPF.
- OpenAI LLC (USA) — KI-Modell GPT für strukturierte Aufgaben-Generierung. SCC/TADPF.
- Google LLC / Google Ireland Ltd. — KI-Modell Gemini für Material-Generierung. SCC/TADPF.
- Strato AG (Deutschland) — Webhosting + SMTP.
- Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung.
- Sentry (USA) — Error-Monitoring. PII-Filter aktiv. SCC.
- Google Analytics 4 (anonymisierte IP) — Analytics mit Cookie-Consent und anonymisierter IP.
Der Auftraggeber stimmt dem Einsatz der genannten Subunternehmer mit Akzeptanz dieser AVV zu. Änderungen werden 30 Tage vor Wirksamwerden angekündigt; der Auftraggeber hat ein Widerspruchsrecht.
§ 6 Technische und organisatorische Maßnahmen (TOMs)
Nach Art. 32 DSGVO werden folgende Maßnahmen umgesetzt:
§ 7 Datenübertragung in Drittländer
Soweit KI-Anbieter (Anthropic, OpenAI, Google) oder Error-Monitoring (Sentry) in den USA Daten verarbeiten, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (SCC) und/oder des EU-US Data Privacy Framework (DPF). Auf explizite Einwilligung des Auftraggebers nach Art. 49 Abs. 1 lit. a DSGVO kann zurückgegriffen werden.
§ 8 Löschung und Rückgabe von Daten
Nach Beendigung des Vertragsverhältnisses werden alle personenbezogenen Daten des Auftraggebers binnen 30 Tagen vollständig gelöscht, es sei denn, gesetzliche Aufbewahrungspflichten (z.B. § 147 AO für Rechnungen 10 Jahre) stehen entgegen. Auf Verlangen erhält der Auftraggeber seine Daten vorab als JSON-Export.
§ 9 Haftung
Auftraggeber und Auftragnehmer haften nach Art. 82 DSGVO und den allgemeinen gesetzlichen Bestimmungen. Die im Hauptvertrag (AGB) vereinbarten Haftungsbegrenzungen gelten ergänzend, soweit datenschutzrechtlich zulässig.
§ 10 Geltungsdauer und Kündigung
Die AVV gilt für die Dauer der Nutzung der Plattform und endet automatisch mit Beendigung des Hauptvertrages. Sie kann vom Auftraggeber jederzeit schriftlich gekündigt werden, was jedoch zur Einstellung der Dienstnutzung führt.
§ 11 Schlussbestimmungen
Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.