Verträge und Datenschutz­unterlagen

Lizenzbedingungen

Sie gelten für die Überlassung von educis Flow an Schulen und Schulträger und werden bei Vertragsschluss zusammen mit dem individuellen Angebot Vertragsbestandteil. Das Wichtigste:

• Vertragspartner: Louis Helmle, Im Spöttfeld 60, 79365 Rheinhausen im Breisgau. Das Angebot richtet sich ausschließlich an Schulen, Schulträger und Einrichtungen, nicht an Verbraucherinnen und Verbraucher.
• Leistung: educis Flow als betriebsbereite Webanwendung samt Infrastruktur, im Paket „Essential“ oder „Komplett“. Verwaltungsbereich, CSV-Import, Stundenplan, Benachrichtigungen und Übersichtsseite sind immer ohne Aufpreis enthalten.
• Preise: nach der Preisübersicht, gestaffelt nach der Zahl der aktiven Konten bei Vertragsschluss. Wächst das Kollegium, wird die Differenz erst zur nächsten Verlängerung berechnet.
• Laufzeit: 12, 24 oder 36 Monate ab Freischaltung, ohne automatische Verlängerung. Wir erinnern 90, 60 und 30 Tage vor Ablauf.
• Zahlung: jährlich im Voraus per Rechnung mit 30 Tagen Zahlungsziel.
• Betrieb und Support: Wartungen möglichst außerhalb der Unterrichtszeiten und mindestens 48 Stunden vorher angekündigt. Support per E-Mail, Antwort innerhalb von zwei Werktagen, Störungen vorrangig. Aktualisierungen sind im Preis enthalten.
• Haftung: unbeschränkt bei Vorsatz und grober Fahrlässigkeit; bei einfacher Fahrlässigkeit begrenzt auf wesentliche Pflichten und höchstens die Lizenzgebühr der letzten zwölf Monate.
• Vertragsende: 14 Tage lesender Zugang, danach Sperre. 30 Tage lang steht ein Export bereit, anschließend werden sämtliche Daten gelöscht.
• Änderungen: Entfällt eine wesentliche Funktion ersatzlos, kündigen wir das drei Monate vorher an; Sie können dann kündigen und erhalten Vorauszahlungen anteilig zurück.

Lizenzbedingungen im vollen Wortlaut

Vertrag zur Auftragsverarbeitung

Diesen Vertrag nach Art. 28 DSGVO schließt jede Schule vor der Nutzung mit uns. Er wird mit dem Angebot in unterschriftsreifer Fassung übersandt. Das Wichtigste:

• Rollen: Die Schule ist Verantwortliche, Louis Helmle Auftragsverarbeiter, für die Dauer des Lizenzvertrags.
• Daten: Stamm- und Kontaktdaten des Kollegiums, dienstliche Einsatzdaten aus dem Stundenplan, Nutzungsdaten und die Inhalte der Module. Je nach Modul zusätzlich Name und Klasse von Schülerinnen und Schülern, Angaben von Eltern bei Sprechstunden und externe Ansprechpersonen. Ein durchgehendes Schülerverzeichnis gibt es nicht; Geburtsdatum, Anschrift, Gesundheitsdaten und Ähnliches werden nicht erhoben.
• Weisungsbindung: Verarbeitung nur auf Weisung der Schule. Ausgeschlossen sind Werbung, Auswertungen über den Auftrag hinaus und das Training von Systemen künstlicher Intelligenz.
• Zugang des Anbieters: Einen Zugang zur Schule kann sich der Anbieter über die Anwendung nur bei der Erstinbetriebnahme verschaffen. Der Vorgang wird protokolliert, und jedes aktive Konto der Schule wird benachrichtigt.
• Unterauftragsverarbeiter: ausschließlich die IONOS SE in Deutschland. Neue werden mindestens 30 Tage vorher angekündigt; die Schule kann widersprechen.
• Ort: ausschließlich Deutschland. Einzige Ausnahme sind Push-Benachrichtigungen, die eine Person selbst für ihr Gerät einschaltet; der Inhalt bleibt dabei bis zum Gerät verschlüsselt.
• Datenschutzverletzungen melden wir spätestens 24 Stunden nach Kenntnis.
• Löschung: Nach Vertragsende 30 Tage Export, danach automatische Löschung aller Daten. Aus den Sicherungen verschwinden sie spätestens 60 Tage nach Vertragsende.

Auftragsverarbeitungsvertrag im vollen Wortlaut

Technische und organisatorische Maßnahmen

Die Anlage zum Auftragsverarbeitungsvertrag nach Art. 32 DSGVO. Aufgeführt ist ausschließlich, was tatsächlich umgesetzt ist. Das Wichtigste:

• Rechenzentrum und Zugang: Server in zertifizierten Rechenzentren der IONOS SE in Deutschland; administrativer Zugang nur per SSH-Schlüssel; Firewall, Datenbank von außen nicht erreichbar.
• Anmeldung: Passwörter nur als Argon2id-Hash; Konten nur über einmalige Einladungscodes mit Bestätigung der E-Mail-Adresse; Sperre nach fünf Fehlversuchen für 15 Minuten; zweiter Faktor für den Datenexport.
• Trennung der Schulen: zusätzlich von der Datenbank selbst erzwungen (Row-Level-Security) und per Prüfskript nachgewiesen.
• Verschlüsselung: alle Verbindungen über HTTPS mit TLS 1.3 und HSTS.
• Integrität: Protokollierung ändernder Vorgänge, serverseitige Prüfung aller Eingaben, ausschließlich parametrisierte Datenbankabfragen.
• Weboberfläche: strikte Content-Security-Policy, Schutz vor Cross-Site-Request-Forgery, keine externen Inhalte, keine Analysedienste.
• Verfügbarkeit: tägliche verschlüsselte Sicherung mit 30 Tagen Aufbewahrung, laufende Überwachung von Verfügbarkeit und Fehlern.
• Löschkonzept: Änderungsprotokolle nach zwölf Monaten; Daten von Schülerinnen und Schülern automatisch (AG-Anmeldungen und Sprechstunden 30 Tage nach Wahlrunde bzw. Termin, Lob & Preis zum Schuljahresende).

Maßnahmenliste im vollen Wortlaut

Unterauftragsverarbeiter

Es gibt genau einen. Weitere Dienstleister sind nicht eingebunden.

Fragen zu den Unterlagen

Verbindlich ist der vollständige Wortlaut in der Anwendung unter flow.educis.app/rechtliches; diese Seite fasst ihn zusammen. Fragen beantworten wir gern per E-Mail an info@educis.de oder über das Kontaktformular. Wie wir Daten auf dieser Website verarbeiten, steht in der Datenschutzerklärung.