Vertrag zur Auftrags­verarbeitung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist die Schule. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist Louis Helmle. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb von educis Flow für die Organisation des Schulbetriebs. Umfang und Zweck ergeben sich aus dem Lizenzvertrag über educis Flow samt seinen Lizenzbedingungen (Hauptvertrag) und aus diesem Vertrag. Ist der Schulträger Partner des Hauptvertrags, schließt die Schule diesen Vertrag als Verantwortliche, vertreten durch die Schulleitung.

Dieser Vertrag gilt, sobald die Schule personenbezogene Daten in educis Flow verarbeitet — auch in einer Testphase vor dem Hauptvertrag. Er läuft so lange wie der Hauptvertrag und darüber hinaus, bis der Auftragsverarbeiter alle Daten der Schule gelöscht hat (Ziffer 13). Kommt nach einer Testphase kein Hauptvertrag zustande, endet er mit der Löschung der Testdaten.

Begriffe, die die DSGVO bestimmt, haben hier dieselbe Bedeutung. Der Vertrag ist im Licht der DSGVO auszulegen; er darf nicht so verstanden werden, dass er Rechte betroffener Personen verkürzt.

Verarbeitet werden je nach gebuchten Modulen: Stamm- und Kontaktdaten (Name, dienstliche E-Mail-Adresse, Kürzel, Rolle), Zuordnungen zu Klassen und Fächern, dienstliche Einsatzdaten aus dem Stundenplan (Tag, Stunde, Fach, Raum, Klasse), Nutzungs- und Protokolldaten sowie die fachlichen Inhalte der Module. Betroffen sind Lehrkräfte, Schulleitung und Verwaltungspersonal der Schule.

Hinzu kommen, sobald die Schule die entsprechenden Module bucht, weitere Kreise von Betroffenen:

• Schülerinnen und Schüler (überwiegend Minderjährige). Vor- und Nachname und die Klasse: bei der Anmeldung zu „AGs & Projekte“ (dazu die Wunschreihenfolge, der zugeteilte Platz und eine freiwillige Bemerkung), bei „Lob & Preis“ (dazu die Zeugnis- oder Fachnote und die Begründung des Vorschlags), bei Buchungen für Sprechstunden und Elternsprechtag (Name und Klasse des Kindes) und in Formularen, soweit die Schule dort entsprechende Felder vorsieht. Für Geburtsdatum, Anschrift, Kontaktdaten, Förderbedarf sowie Angaben zu Gesundheit, Herkunft oder Religion gibt es kein Feld.
• Schülerverzeichnis (Modul „Klassenlisten“). Bucht die Schule dieses Modul, führt sie ein Verzeichnis ihrer Schülerinnen und Schüler: Vor- und Nachname, Klasse je Schuljahr, Status (aktiv oder abgegangen) und das Datum des Abgangs. An den Einträgen hängen die persönlichen Checklisten der Lehrkräfte (Rückgabestatus je Kind und ein kurzer Vermerk zum Einsammelvorgang) und ihre Teilungsklassen (Name der Lerngruppe und die zugeordneten Kinder).
• Eltern und Erziehungsberechtigte bei Buchungen für Sprechstunden und Elternsprechtag einschließlich Warteliste: Name, E-Mail-Adresse, Name und Klasse des Kindes, Anliegen oder freiwillige Anmerkung.
• Personen außerhalb der Schule im Modul „Experten“: Organisation, Name und Funktion der Ansprechperson und dienstliche Kontaktdaten. Diese Personen haben dem Eintrag nicht zugestimmt; die Information nach Art. 14 DSGVO obliegt dem Verantwortlichen.

Das Schülerverzeichnis ist eine Klassenliste, keine Akte: Für Beobachtungen, Einschätzungen oder Leistungsdaten gibt es dort kein Feld. Die übrigen Angaben — eine AG-Anmeldung, ein Vorschlag für Lob oder Preis, ein Formular — entstehen je Vorgang und werden nicht mit dem Verzeichniseintrag zu einem Profil zusammengeführt. Die Löschfristen stehen in der Anlage, Ziffer 9.

Inhalte, die die Schule selbst bestimmt. In der Dateiablage, in Formularen, in Freitextfeldern und auf dem Schwarzen Brett (Vertretungsplan mit den Kürzeln von Lehrkräften, Bilder, kurze Texte) legt die Schule fest, welche Daten verarbeitet werden. Dort können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO anfallen, etwa in einem hochgeladenen Förderplan oder in einem Formular, mit dem die Schule Abwesenheiten wegen Krankheit meldet. Ob er solche Daten in educis Flow verarbeitet, entscheidet der Verantwortliche; welche Schutzmaßnahmen dafür bestehen und welche ausdrücklich nicht, steht in der Anlage.

Technische Daten. Bei der Nutzung entstehen außerdem: das Protokoll ändernder Vorgänge (Benutzerkennung, Aktion, betroffener Datensatz, Zeitpunkt; an den Anmeldewegen die IP-Adresse), Zähler gegen Missbrauch je IP-Adresse und je Konto, die Protokolle der Serverdienste sowie — nur wenn eine Person Push für ein Gerät einschaltet — die Adresse dieses Geräts beim Push-Dienst.

Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, beurteilt der Verantwortliche. Der Auftragsverarbeiter unterstützt ihn dabei nach Ziffer 9 und stellt die dafür nötigen Angaben zur Verarbeitung bereit.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten der Lizenzvertrag, dieser Vertrag sowie die Konfiguration, die die Schule in der Anwendung selbst vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert; eine offensichtlich rechtswidrige Weisung darf er ablehnen. Eine Verarbeitung der Daten des Verantwortlichen für Werbung, für Auswertungen über den Auftrag hinaus oder zum Training von Systemen künstlicher Intelligenz findet nicht statt.

Der Auftragsverarbeiter verwendet die Daten für keine eigenen Zwecke. Kopien entstehen nur, soweit die Anlage sie beschreibt — die verschlüsselten Sicherungen der Datenbank und der Suchindex der Dateiablage —, und nicht ohne Wissen des Verantwortlichen. Einzelne Weisungen erteilt die Schulleitung in Textform an info@educis.de; beide Seiten bewahren sie auf.

Davon zu unterscheiden sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist; sie sind in Ziffer 4 abschließend benannt.

Vier Verarbeitungen betreibt der Anbieter nicht im Auftrag, sondern in eigener Verantwortung. Der Verantwortliche ist insoweit nicht weisungsbefugt; Rechte betroffener Personen richten sich für diese vier Zwecke an den Anbieter:

• Kundenverwaltung und Abrechnung. Stammdaten der Schule und ihres Trägers, Ansprechperson, Lizenz- und Rechnungsdaten, eine interne Notiz des Anbieters zum Vertragsverhältnis sowie die Zahl der aktiven Konten der Schule — ohne Namen —, nach der sich die Größenstaffel richtet.
• Vertragserinnerungen 90, 60 und 30 Tage vor Ablauf der Laufzeit; sie gehen zusätzlich an die Betriebsadresse des Anbieters.
• Fehlerreporting. Technische Fehlerkontexte laufen in eine vom Anbieter selbst betriebene Instanz auf demselben Server; personenbezogene Inhalte werden dabei nicht übertragen.
• Verfügbarkeitsprüfung und Alarmierung. Eine Abfrage der Zustandsseite alle fünf Minuten, ohne Bezug zu einzelnen Personen.

Einzelheiten dazu stehen in der Datenschutzerklärung, Abschnitt 3.

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus. Zugang erhält ausschließlich, wer ihn zur Erbringung der Leistung benötigt.

Zugang zu den Fachdaten der Schule. Der Anbieter hat administrativen Zugang zum Server und damit technisch Zugriff auf die Datenbank. Über die Anwendung selbst kann er sich einen Zugang zur Schule nur in einem Fall verschaffen: bei der Erstinbetriebnahme. Hat die Schule bereits ein aktives Konto mit der Rolle „Schulleitung“, weist die Anwendung diesen Weg ab. Danach vergibt Zugänge ausschließlich die Schule selbst.

Wird der Weg beschritten, geschieht das nicht unbemerkt: Der Vorgang wird protokolliert, und jedes aktive Konto der Schule erhält eine Mitteilung, die sich nicht abschalten lässt. Der ausgestellte Zugangscode ist höchstens 14 Tage gültig.

Für die laufende Fehlersuche gilt: Der Anbieter greift auf Inhalte nur zu, soweit es zur Erfüllung der Leistung erforderlich ist, und dokumentiert dies. Ein Zugriff auf Coachingakten findet dabei nicht statt.

Verwaltung von Verträgen und Lizenzen. In der Anwendung der Schule meldet sich der Anbieter nicht an; ein Betreiberkonto mit Anmeldung gibt es dort nicht. Lizenzen und Vertragsdaten verwaltet er in einer getrennten Verwaltungsanwendung auf demselben Server, die mit einem zweiten Faktor geschützt ist. Sie erreicht in educis Flow ausschließlich die Stamm- und Lizenzdaten der Schule, Kennzahlen ohne Namen und Rückmeldungen ohne Absender — keine Fachdaten.

Ort der Administration. Der Anbieter ist ein Einzelunternehmen; er administriert das System von seinem Geschäftssitz aus, einem abschließbaren Büro, und über verschlüsselte Verbindungen. Die Administration im Wege der Fernwartung und von unterwegs ist zulässig, wenn die Maßnahmen der Anlage dabei eingehalten werden. Daten der Schule werden nicht auf Arbeitsplatzrechner kopiert.

Der Auftragsverarbeiter trifft die in der Anlage aufgeführten Maßnahmen nach Art. 32 DSGVO und hält sie während der gesamten Vertragslaufzeit aufrecht. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt er dem Verantwortlichen mit. Die jeweils gültige Fassung ist mit Datum veröffentlicht.

Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Einen weiteren oder einen anderen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vor dessen Einsatz in Textform an.

Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Ankündigung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen und nennt dabei den Grund. Lässt sich der Grund nicht ausräumen, kann jede Seite den Hauptvertrag und diesen Vertrag zu dem Tag kündigen, an dem der Einsatz beginnen soll; im Voraus gezahlte Vergütung wird zeitanteilig erstattet. Widerspricht der Verantwortliche nicht, gilt der Einsatz als genehmigt. Auf Frist und Folge weist der Auftragsverarbeiter in der Ankündigung hin.

Jedem Unterauftragsverarbeiter werden vertraglich dieselben Datenschutzpflichten auferlegt, die dieser Vertrag dem Auftragsverarbeiter auferlegt (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen dafür wie für eigenes Verhalten. Den Vertrag mit dem Unterauftragsverarbeiter und dessen Nachweise legt er auf Verlangen vor.

Kein Unterauftragsverhältnis sind Nebenleistungen ohne Zugang zu den Daten des Verantwortlichen, etwa Post- und Telekommunikationsdienste oder die Quellcode-Verwaltung, über die Programmversionen ausgeliefert werden.

Die von der IONOS SE eingesetzten Unternehmen stammen aus deren eigener Liste (Anhang 2 zum Auftragsverarbeitungsvertrag der IONOS SE, Version 4.5, Stand 04/2026) und sind genannt, soweit sie die hier genutzten Dienste betreffen.

Die Daten werden ausschließlich in Deutschland gespeichert: Server, Datenbank, Dateispeicher und Sicherungen liegen in Rechenzentren des in Ziffer 7 genannten Unterauftragsverarbeiters in Deutschland. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nicht und bedürfte der vorherigen schriftlichen Zustimmung des Verantwortlichen — mit der folgenden, in diesem Vertrag abschließend geregelten Ausnahme.

8.1 Push-Benachrichtigungen. Beschäftigte des Verantwortlichen können sich Benachrichtigungen als Push-Nachricht auf ein eigenes Gerät zustellen lassen. Die Zustelladresse erzeugt dabei der Browser des Geräts; sie liegt technisch zwingend beim Push-Dienst des jeweiligen Browserherstellers (Google LLC, Apple Inc. oder Mozilla Corporation, jeweils mit Sitz in den USA). Übermittelt werden ausschließlich diese Geräteadresse sowie Zeitpunkt und Größe der Zustellung.

Nicht übermittelt werden der Inhalt der Benachrichtigung — er ist vom Server bis zum Gerät verschlüsselt (RFC 8291) und für den Push-Dienst nicht lesbar —, Namen, Kontaktdaten, Angaben zur Schule und insbesondere keinerlei Daten von Schülerinnen und Schülern.

8.2 Weisung der Schule und Steuerung. Push ist für jede Schule ausgeschaltet. Die Übermittlung nach Ziffer 8.1 findet nur statt, wenn beide Voraussetzungen erfüllt sind: Die Schulleitung schaltet Push in der Verwaltung der Anwendung für ihre Schule frei — das ist die dokumentierte Weisung des Verantwortlichen zu dieser Übermittlung und wird mit Person und Zeitpunkt protokolliert —, und eine einzelne beschäftigte Person schaltet Push danach für ein eigenes Gerät ein. Fehlt eine der beiden Handlungen, unterbleibt die Übermittlung vollständig.

Ob die Übermittlung nach Art. 44 ff. DSGVO zulässig ist, beurteilt der Verantwortliche, bevor er freischaltet; der Auftragsverarbeiter nennt ihm dafür Empfänger, Datenarten und Schutzmaßnahmen (Ziffer 8.1). Soweit der jeweilige Push-Dienst nach dem Datenschutzrahmen EU-USA zertifiziert ist, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). In jedem Fall willigt die einzelne Person ausdrücklich ein, nachdem sie über die Risiken unterrichtet wurde (Art. 49 Abs. 1 lit. a DSGVO). Eine eigene Zusage zum Schutzniveau bei diesen Diensten gibt der Auftragsverarbeiter nicht ab.

Die Person kann Push für ihr Gerät jederzeit wieder ausschalten; die Geräteadresse wird dabei gelöscht. Schaltet die Schulleitung Push für die Schule ab, werden alle Geräteadressen der Schule sofort gelöscht. Alle Benachrichtigungen bleiben unabhängig davon in der Anwendung und — nach Wahl der Person — per E-Mail über den in Ziffer 7 genannten Unterauftragsverarbeiter in Deutschland verfügbar.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO sowie bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

Für das Verzeichnis von Verarbeitungstätigkeiten der Schule (Art. 30 Abs. 1 DSGVO) stellt der Auftragsverarbeiter die Angaben zu educis Flow bereit: Datenarten, Betroffene, Empfänger, Löschfristen und Maßnahmen. Ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO führt er selbst und legt es der Aufsichtsbehörde auf Anfrage vor. Prüft eine Aufsichtsbehörde beim Auftragsverarbeiter Verarbeitungen, die den Verantwortlichen betreffen, unterrichtet er ihn darüber.

Ansprechperson für den Datenschutz beim Auftragsverarbeiter ist Louis Helmle, info@educis.de; ein Datenschutzbeauftragter ist nicht benannt. Ein Wechsel wird dem Verantwortlichen mitgeteilt.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens 24 Stunden nach Kenntnis, mit einer Beschreibung der Art der Verletzung, der betroffenen Datenkategorien, der wahrscheinlichen Folgen und der ergriffenen Gegenmaßnahmen. Ebenso unverzüglich unterrichtet er über schwerwiegende Störungen des Betriebs und über andere Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen.

Sind die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert er den Verantwortlichen unverzüglich und weist alle Beteiligten darauf hin, dass die Entscheidung über diese Daten allein beim Verantwortlichen liegt.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind — insbesondere die aktuelle Maßnahmenliste und die Nachweise des Rechenzentrums —, und bestätigt deren Einhaltung auf Verlangen in Textform. Der Verantwortliche überzeugt sich in erster Linie anhand dieser Auskünfte und Nachweise.

Der Verantwortliche oder ein von ihm beauftragter Prüfer kann sich darüber hinaus vor Ort von der Einhaltung überzeugen: nach Abstimmung eines Termins, zu den üblichen Geschäftszeiten, in den Geschäftsräumen des Auftragsverarbeiters. Der Prüfer ist zur Vertraulichkeit verpflichtet und steht nicht im Wettbewerb mit dem Auftragsverarbeiter. Die Kontrolle beschränkt sich auf das Erforderliche, beeinträchtigt den Betrieb nicht unangemessen und lässt die Daten anderer Kunden geschützt. Die Server stehen im Rechenzentrum des Unterauftragsverarbeiters; für diesen Teil legt der Auftragsverarbeiter dessen Nachweise vor (Ziffer 7).

Der zuständigen Datenschutz-Aufsichtsbehörde gewährt der Auftragsverarbeiter im Rahmen ihrer Befugnisse nach Art. 58 DSGVO Zugang zu den Räumen, in denen er Daten des Verantwortlichen verarbeitet, und zu allen Informationen, die sie für ihre Aufgaben benötigt.

Gegenüber betroffenen Personen haften der Verantwortliche und der Auftragsverarbeiter nach Art. 82 DSGVO. Nimmt eine betroffene Person eine Seite in Anspruch, unterrichten sich die Seiten unverzüglich und stimmen das Vorgehen ab. Im Verhältnis zueinander trägt jede Seite den Schaden in dem Umfang, in dem sie ihn zu verantworten hat (Art. 82 Abs. 5 DSGVO).

Im Übrigen richtet sich die Haftung der Seiten aus diesem Vertrag nach der Haftungsregelung des Hauptvertrags (Lizenzbedingungen, Ziffer 9).

Nach Ende des Vertrags stellt der Auftragsverarbeiter dem Verantwortlichen 30 Tage lang einen Export der Daten bereit (Rückgabe). Mit Ablauf dieser Frist löscht er sämtliche Daten der Schule in der Datenbank und im Dateispeicher, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Einer Anforderung des Verantwortlichen bedarf es dafür nicht: Die Anwendung meldet dem Auftragsverarbeiter die Fälligkeit selbsttätig, und er führt die Löschung unverzüglich durch. Verlangt der Verantwortliche die Löschung früher, erfolgt sie sofort.

In den verschlüsselten Sicherungen bleiben die Daten bis zum Ende von deren 30-tägiger Aufbewahrung enthalten, also längstens 60 Tage nach Vertragsende; verarbeitet werden sie in dieser Zeit nicht mehr. Der Auftragsverarbeiter bestätigt die Löschung unaufgefordert in Textform und nennt dabei den Tag, ab dem auch die Sicherungen frei sind.

Ein Zurückbehaltungsrecht an den Daten des Verantwortlichen hat der Auftragsverarbeiter nicht — auch nicht, wenn Vergütung offen ist. Bis zur vollständigen Löschung hält er diesen Vertrag weiter ein.

Verstößt der Auftragsverarbeiter gegen diesen Vertrag oder gegen die DSGVO, kann der Verantwortliche ihn anweisen, die Verarbeitung auszusetzen, bis der Verstoß abgestellt ist. Bei einem schwerwiegenden Verstoß — oder wenn der Auftragsverarbeiter einen Verstoß trotz angemessener Frist nicht abstellt oder eine rechtmäßige Weisung nicht ausführt — kann der Verantwortliche diesen Vertrag und der Kunde den Hauptvertrag ohne Frist kündigen; im Voraus gezahlte Vergütung wird zeitanteilig erstattet.

Der Auftragsverarbeiter kann diesen Vertrag und den Hauptvertrag kündigen, wenn der Verantwortliche auf einer Weisung besteht, nachdem er darauf hingewiesen wurde, dass sie gegen die DSGVO oder anderes Datenschutzrecht verstößt.

Gilt für den Verantwortlichen anstelle der DSGVO oder neben ihr das Gesetz über den Kirchlichen Datenschutz (KDG) oder das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), treten an die Stelle der in diesem Vertrag genannten Vorschriften der DSGVO die entsprechenden Vorschriften des jeweiligen Kirchengesetzes — insbesondere jene über die Verarbeitung im Auftrag, die Sicherheit der Verarbeitung und die Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter unterwirft sich insoweit der zuständigen kirchlichen Datenschutzaufsicht mit ihren Aufgaben und Befugnissen nach dem jeweiligen Kirchengesetz.

Änderungen und Ergänzungen dieses Vertrags und seine Kündigung bedürfen der Textform; ein dokumentiertes elektronisches Format genügt (Art. 28 Abs. 9 DSGVO). In Fragen des Datenschutzes geht dieser Vertrag dem Lizenzvertrag und den Lizenzbedingungen vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Verlangt eine Schule für die Auftragsverarbeitung die Vorlage ihres Landes — in Baden-Württemberg die des Kultusministeriums —, schließt der Anbieter den Vertrag auf dieser Vorlage. Die Angaben dieses Vertrags zu Datenarten, eigenen Verarbeitungen, Unterauftragsverarbeitern und Ort der Verarbeitung (Ziffern 2, 4, 7 und 8) und die Maßnahmenliste werden ihr als Anlage beigefügt; wo educis Flow von der Vorlage abweicht, benennt die Anlage es ausdrücklich.