Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Entwurf – vor Livegang anwaltlich prüfen. Stand: 22.10.2026.

Zum Ausdrucken: Seite drucken bzw. als PDF speichern, ausfüllen, unterschreiben und an me@mathiasesser.de senden. Wir senden das gegengezeichnete Exemplar zurück.

Verantwortlicher (Auftraggeber): Schule ______________________, vertreten durch die Schulleitung, Anschrift ______________________
Auftragsverarbeiter (Auftragnehmer): Mathias Esser, sitzplan.jetzt, Hofmarkstraße 10, 85283 Wolnzach, me@mathiasesser.de

§ 1 Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Web-App sitzplan.jetzt für Lehrkräfte der Schule (Schullizenz). Die Dauer entspricht der Laufzeit der Schullizenz.

§ 2 Art, Zweck, Daten, Betroffene

• Zweck: Erstellung, Speicherung und geräteübergreifende Synchronisation von Sitzplänen.
• Betroffene: Lehrkräfte (Kontoinhaber); Schülerinnen und Schüler (nur in verschlüsselter Form).
• Daten Lehrkräfte: dienstliche oder private E-Mail-Adresse, Passwort-Hash, Lizenzzuordnung, technische Protokolldaten.
• Daten Schülerinnen/Schüler: Namen bzw. Kürzel, Sitzposition, frei gewählte Farbmarkierungen. Diese werden auf dem Endgerät der Lehrkraft Ende-zu-Ende-verschlüsselt; der Auftragnehmer speichert nur Chiffrat und hat keinen Zugriff auf die Schlüssel. Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen und sollen nicht eingegeben werden.

§ 3 Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergeben sich aus diesem Vertrag und der Nutzung der App-Funktionen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er unverzüglich.

§ 4 Pflichten des Auftragnehmers

• Vertraulichkeit aller zur Verarbeitung befugten Personen (Art. 28 Abs. 3 lit. b DSGVO).
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
• Unterstützung bei Betroffenenrechten (Auskunft, Löschung, Export) und bei Pflichten nach Art. 32–36 DSGVO.
• Meldung von Datenschutzverletzungen unverzüglich, möglichst binnen 24 Stunden nach Kenntnis.
• Löschung bzw. Rückgabe aller Daten nach Vertragsende binnen 30 Tagen, soweit keine Aufbewahrungspflicht besteht; Lehrkräfte können ihre Inhalte jederzeit selbst exportieren und löschen.
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen (nach Voranmeldung, in der Regel durch Vorlage von Unterlagen).

§ 5 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die Unterauftragsverarbeiter in Anlage 2. Änderungen kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.

§ 6 Drittlandübermittlung

Die Inhalte werden ausschließlich in Deutschland gespeichert. Eine Übermittlung in Drittländer findet nur im Rahmen des E-Mail-Versands (Anlage 2) statt und nur auf Grundlage von Art. 45 DSGVO (EU-US Data Privacy Framework) bzw. Art. 46 DSGVO (Standardvertragsklauseln der EU-Kommission, Durchführungsbeschluss (EU) 2021/914), die zwischen dem Unterauftragsverarbeiter und seinen Konzerngesellschaften vereinbart sind.

§ 7 Haftung, Schlussbestimmungen

Es gilt Art. 82 DSGVO. Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den AGB vor.

__________________, den ________    __________________, den ________
Auftraggeber (Schule)          Auftragnehmer (Mathias Esser)

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Inhalte Ende-zu-Ende mit AES-GCM-256 auf dem Endgerät; Schlüssel mit PBKDF2-SHA256 (600.000 Iterationen) aus dem Passwort abgeleitet; Transport ausschließlich TLS (HTTPS, HSTS); Passwörter nur als bcrypt-Hash.
• Zutritt/Zugang: Rechenzentrum Hetzner Nürnberg (ISO/IEC 27001-zertifiziert), Serverzugang nur per SSH-Schlüssel durch den Auftragnehmer, Firewall, nur notwendige Dienste öffentlich.
• Zugriff: Dienst läuft unter eigenem, unprivilegiertem Systemnutzer mit systemd-Härtung; Konfiguration und Geheimnisse nur root-lesbar.
• Trennung: Daten je Konto getrennt; keine Nutzung für andere Zwecke, keine Werbung, kein Tracking.
• Integrität/Eingabe: Versionierung der Dokumente (Konflikterkennung), Protokollierung ohne Inhalte; IP-Adressen in Logs gekürzt, Löschung nach 14 Tagen.
• Verfügbarkeit: tägliche Datenbanksicherung mit 14 Tagen Aufbewahrung, automatischer Neustart, Überwachung der Erreichbarkeit; Offline-Funktion der App.
• Missbrauchsschutz: Begrenzung von Anmelde- und Formularanfragen, Einmal-Links nur als Hash gespeichert.
• Datenminimierung: Konto nur mit E-Mail und Passwort; keine Klarnamen der Schülerinnen und Schüler auf dem Server.
• Überprüfung: regelmäßige Aktualisierung des Systems, Abhängigkeiten minimal, Überprüfung der Maßnahmen mindestens jährlich.

Anlage 2: Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter: Stripe Payments Europe, Ltd. (Dublin, Irland) wickelt Zahlungen als eigenständig Verantwortlicher ab; Schülerdaten erhält Stripe nicht.

Hinweise für Schulen in Bayern

Nach unserem Verständnis ist bei Einsatz durch die Schule ein AVV erforderlich, und die Schule sollte die Nutzung mit ihrer bzw. ihrem behördlichen Datenschutzbeauftragten abstimmen (Verzeichnis von Verarbeitungstätigkeiten, ggf. Prüfung der Nutzung privater Endgeräte nach den Vorgaben des Kultusministeriums). Wir unterstützen gern mit Unterlagen. Eine Freigabe durch das Kultusministerium oder eine Zertifizierung liegt nicht vor.