Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Stand: 30. August 2026

⇓ Als PDF herunterladen

Dieser Vertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten im Auftrag. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten der/des Verantwortlichen im Zusammenhang mit dem Dienst „SchoolUP“ verarbeiten.

Parteien

Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortliche“ oder „Schule“):
die jeweilige Schule, vertreten durch ihre Schulleitung, unter der von ihr angegebenen Anschrift.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter“ oder „SchoolUP“):
Elias Esser, Am Sonnenschein 28, 47877 Willich-Anrath, und Sean Hübner, Süchtelner Str. 33, 47877 Willich-Anrath, gemeinsam handelnd als Gesellschaft bürgerlichen Rechts (GbR) „SchoolUP“. Kontakt: kontakt@school-up.de, +49 157 89160932.

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand ist die Bereitstellung und der Betrieb des KI-gestützten Lerntutors „SchoolUP“ für die weiterführende Schule, einschließlich der Anbindung an das schulische Moodle (LogineoNRW), der Texterkennung (OCR) von Kursmaterialien, dem Abruf und der Auswertung der im Kurs von einer Lehrkraft verlinkten Webseiten bei jedem Aufbereiten des Kurses, der Texterkennung von Dateien und Fotos, die Lernende zu einer Chatfrage mitschicken (ohne Speicherung der Datei), der Erzeugung von Lernthemen, der wiederkehrenden Prüfung eines bereits freigegebenen Kurses auf neues oder geändertes Material beim Öffnen des Kurses durch eine berechtigte Person mit dem Moodle-Zugriffstoken der Sitzung dieser Person (Nachlese, seit dem 16.08.2026, höchstens einmal je Kurs und Stunde), des KI-Tutor-Chats mit Quellenangaben sowie des Selbst-Übens mit sofortiger Rückmeldung an die lernende Person. Ein Lernstand wird seit dem 14. August 2026 nicht mehr geführt: Ergebnisse von Übungen und des Klausur-Checks werden nicht gespeichert. Dem Chat vorgeschaltet ist eine Schutzprüfung, die eine Nachricht daraufhin ansieht, ob sie nach einer akuten Notlage der schreibenden Person klingt, und in diesem Fall Anlaufstellen anzeigt; sie speichert nichts und benachrichtigt niemanden (Anlage 4, B4, M11).
2. Dauer: Der AVV wird für die Laufzeit des zugrunde liegenden Hauptvertrags geschlossen und endet automatisch mit dessen Beendigung. Hauptvertrag ist der Schulvertrag (Nutzungsvertrag) zwischen der Schule und SchoolUP. Die Kündigungsmöglichkeiten des Hauptvertrags gelten entsprechend. Beginn ist die Freischaltung des Zugangs der Schule.
3. Ort der Verarbeitung ist das Gebiet der Europäischen Union; die Einzelheiten und die Zusage des Unterauftragsverarbeiters nach Art. 46 DSGVO stehen in § 7.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck: Ermöglichung eines schulischen Lernangebots durch automatisierte Aufbereitung von Kursmaterialien zu Lernthemen sowie tutorielle Unterstützung der Schülerinnen und Schüler; ferner Authentifizierung berechtigter nutzende Personen, Verwaltung und Nachweis von Einwilligungen sowie Sicherstellung des sicheren Betriebs.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen/Verändern (Texterkennung, Themenerzeugung), Auslesen aus Moodle, Verschlüsseln, Nutzen, Übermitteln an Unterauftragsverarbeiter, Löschen.
3. Umfang: nach Maßgabe der in Anlage 1 beschriebenen Kategorien betroffener Personen und Datenkategorien.
4. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den vorgenannten Zwecken und nicht für eigene Zwecke. Eine Nutzung zu Werbe-, Analyse- oder Trainingszwecken (insbesondere zum Training von KI-Modellen) findet nicht statt und ist auch von Unterauftragsverarbeitern vertraglich auszuschließen.

§ 3 Kategorien betroffener Personen und personenbezogener Daten

Die Einzelheiten ergeben sich aus Anlage 1 (Verarbeitungsübersicht). Betroffene sind insbesondere Schülerinnen und Schüler (überwiegend minderjährig), Lehrkräfte, Erziehungsberechtigte und die Schulleitung. Die datenschutzrechtliche Einwilligung erklären Personen ab 16 Jahren selbst; bei unter 16-Jährigen erklärt zusätzlich eine erziehungsberechtigte Person (Art. 8 Abs. 1 DSGVO). Datenkategorien umfassen u. a. Identifikations-/Anmeldedaten, verschlüsselte Zugangstoken, Einwilligungsdokumentation einschließlich digitaler Unterschriften (gezeichnet oder als eingetippter Name vom Dienst gesetzt) und des Wortlauts der jeweiligen Erklärung, aus Kursmaterialien und aus im Kurs verlinkten Webseiten extrahierte Texte sowie Protokoll- und Sicherheitsdaten und die Lern-Notizen des KI-Tutors (kurze, pseudonyme Stichpunkte je Kurs in Worten; ohne Namen, Kontaktdaten, Noten oder Daten nach Art. 9 DSGVO). Ergebnisse von Übungen gehören seit dem 14. August 2026 nicht mehr dazu, weil sie nicht gespeichert werden; die Nutzungszählung des Selbst-Übens trägt keine Kennung einer Person. Der Abruf verlinkter Webseiten erfolgt ohne Übermittlung personenbezogener Daten der Betroffenen; er findet bei der Kursaufbereitung statt, nicht bei der Nutzung durch Schülerinnen und Schüler.

§ 4 Weisungsrecht der/des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der/des Verantwortlichen, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er der/dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Dieser Vertrag samt Anlagen und der Hauptvertrag gelten als Erstweisung.
3. Weisungsberechtigt auf Seiten der Schule: die Schulleitung bzw. eine von ihr benannte Person. Weisungsempfangsberechtigte Person bei SchoolUP: kontakt@school-up.de.
4. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er die/den Verantwortliche(n) unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Umsetzung bis zur Bestätigung auszusetzen.

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus fort.
2. Der Zugriff auf Klardaten (insbesondere Klarnamen, Wohnsitze, Unterschriften) ist auf das für den Betrieb und die Fehlerbehebung zwingend erforderliche Maß beschränkt (Grundsatz der Erforderlichkeit).

§ 6 Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter setzt die in Anlage 2 (TOM) beschriebenen technischen und organisatorischen Maßnahmen um und hält sie während der Vertragslaufzeit auf dem Stand der Technik aufrecht.
2. Änderungen der Maßnahmen sind zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und der/dem Verantwortlichen auf Anfrage nachzuweisen.
3. Durchsetzung der Löschfristen. Der Auftragsverarbeiter betreibt einen täglichen Löschlauf, der die Fristen des Löschkonzepts (Anlage 3) ohne Zutun eines Menschen vollzieht und je Schule und Tag ein Löschprotokoll ohne Personenbezug führt. Das Protokoll wird der/dem Verantwortlichen auf Anforderung vorgelegt. Der Lauf vollzieht ausschließlich Fristen, die in Anlage 3 mit Fundstelle bezeichnet sind; Daten ohne zugesagte Frist lässt er unangetastet und weist das aus. Anlassbezogene Löschungen (Abmeldung eines Kurses, Vertragsende) führt der Auftragsverarbeiter auf Weisung der/des Verantwortlichen aus und bestätigt sie.

§ 6a Pflichten aus der KI-Verordnung (VO (EU) 2024/1689)

1. Der KI-Tutor ist ein KI-System im Sinne des Art. 3 Nr. 1 KI-VO. Der Auftragsverarbeiter ist dessen Anbieter (Art. 3 Nr. 3), die/der Verantwortliche ist Betreiberin (Art. 3 Nr. 4). Diese Rollen bestehen neben den datenschutzrechtlichen Rollen dieses Vertrages und werden durch ihn nicht verschoben.
2. Der Auftragsverarbeiter hat das System nach Art. 6 Abs. 2 i. V. m. Anhang III KI-VO geprüft und ordnet es seit dem 14. August 2026 nicht als Hochrisiko-KI-System ein. Bis zum 13. August 2026 lautete die Einordnung anders; tragend dafür war ein gespeicherter Lernstand, der mit dieser Änderung ausgebaut worden ist. Die vollständige Begründung, die Gegenposition und die fünf Bedingungen, unter denen die Einordnung gilt, stehen in Anlage 4, Abschnitt B9. Aus dieser Einordnung folgt, dass die Betreiberpflichten nach Art. 26 KI-VO und die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO die/den Verantwortliche(n) nicht treffen.
3. Die Einordnung nach Nummer 2 hängt an Bedingungen, und der Auftragsverarbeiter steht dafür ein. Er sagt zu, dass aus Antworten, Übungen und Klausur-Durchgängen kein Wert je Person gespeichert wird, dass keine Beurteilung einer Leistung eine andere Person als die lernende selbst erreicht, dass aus keiner Beurteilung abgeleitet wird, was der Person als Nächstes vorgelegt wird, und dass die Lern-Notizen in Worten bleiben, ohne Skala und ohne Vergleich, für die betroffene Person einsehbar und einzeln löschbar. Fällt eine dieser Bedingungen weg, teilt er das der/dem Verantwortlichen unverzüglich in Textform mit, bevor die Änderung in Betrieb geht, und die Einordnung ist neu zu treffen.
4. Die Gegenpflicht der/des Verantwortlichen. Die/der Verantwortliche verwendet keine Ausgabe des Dienstes als Grundlage für die Leistungsbewertung, für die Notengebung, für Versetzungs- oder Abschlussentscheidungen oder für die Überwachung von Prüfungen (§ 5 Nr. 7 des Schulvertrages). Ein davon abweichender Einsatz ist eine Zweckänderung: er lässt die Einordnung nach Nummer 2 entfallen und kann nach Art. 25 Abs. 1 KI-VO zu einem Wechsel der Anbieterrolle führen. Er ist deshalb vorab in Textform anzuzeigen, und die daraus folgenden Pflichten trägt die/der Verantwortliche selbst.
5. Kommt die/der Verantwortliche oder ihre Aufsichtsbehörde zu einer anderen Einordnung, teilt sie das dem Auftragsverarbeiter mit. Der Auftragsverarbeiter ist an diese Einschätzung dann gebunden und erfüllt die Anbieterpflichten der Art. 9 bis 15, 17, 43, 47, 48 und 49 KI-VO oder stellt den Dienst ein. Eine Berufung auf die Rückausnahme des Art. 6 Abs. 3 KI-VO kommt nicht in Betracht, weil sie bei einem Profiling natürlicher Personen ausgeschlossen ist.
6. Pflichten unabhängig von der Risikoklasse. Der Auftragsverarbeiter weist den Dienst gegenüber den nutzenden Personen als KI-System aus (Art. 50 Abs. 1 KI-VO). Ob Art. 50 Abs. 2 KI-VO für die erzeugten Erklärtexte eine maschinenlesbare Kennzeichnung verlangt oder ob die Ausnahme für unterstützende Funktionen greift, ist offen und in Anlage 4, Abschnitt B8 als offener Punkt benannt; eine solche Kennzeichnung ist derzeit nicht umgesetzt. Beide Parteien sorgen für ein ausreichendes Maß an KI-Kompetenz beim eigenen Personal (Art. 4 KI-VO).
7. Der Auftragsverarbeiter unterrichtet die/den Verantwortliche(n) unverzüglich über wesentliche Änderungen des Systems, über einen schwerwiegenden Vorfall im Sinne des Art. 73 KI-VO und über Maßnahmen einer Marktüberwachungsbehörde, die dieses System betreffen.
8. Die/Der Verantwortliche stellt die KI-Kompetenz der mit dem Dienst befassten Personen nach Art. 4 KI-VO sicher; diese Pflicht gilt unabhängig von der Risikoklasse. Eine Benennung von Personen für die menschliche Aufsicht nach Art. 26 Abs. 2 KI-VO ist nach der Einordnung in Nummer 2 nicht erforderlich. Die/Der Verantwortliche meldet dem Auftragsverarbeiter gleichwohl Auffälligkeiten, die auf ein Risiko für Gesundheit, Sicherheit oder Grundrechte hindeuten; der Auftragsverarbeiter braucht diese Meldungen, um die Einordnung nach Nummer 2 aktuell zu halten.

§ 7 Unterauftragsverhältnisse

1. Die/Der Verantwortliche erteilt hiermit eine allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 Satz 1 DSGVO) zur Beauftragung folgender Unterauftragsverarbeiter, die bei Vertragsschluss ausdrücklich genehmigt sind:

   Unterauftragsverarbeiter	Anschrift	Leistung	Ort der Verarbeitung
   STRATO AG	Otto-Ostrowski-Str. 7, 10249 Berlin (Konzerngesellschaft der IONOS SE; die IP-Adressbereiche des Rechenzentrums sind auf die IONOS SE registriert)	Hosting/Rechenzentrum sowie Objektspeicher (HiDrive S3) für abgegebene Übungsklausuren und für die nächtliche Sicherung beider Datenbanken. Sicherung und Dateien werden vom Auftragsverarbeiter selbst verschlüsselt (AES-256-GCM), bevor sie den Server verlassen; der Schlüssel verbleibt beim Auftragsverarbeiter, der Unterauftragsverarbeiter hält ausschließlich Chiffrat und kann den Inhalt nicht zur Kenntnis nehmen. Ein Sicherungsdienst des Unterauftragsverarbeiters wird nicht in Anspruch genommen	Deutschland
   Mistral AI SAS	15 Rue des Halles, 75001 Paris, Frankreich	Texterkennung (OCR) und KI-Verarbeitung (Themenerzeugung und KI-Tutor-Chat/Chat-Inferenz)	Europäische Union. Der Auftragsverarbeiter ruft ausschließlich den EU-Regionalendpunkt api.eu.mistral.ai auf, den der Unterauftragsverarbeiter für die Verarbeitung innerhalb der EU vorhält. Die Bindung an die EU ist damit technisch erzwungen und nicht nur eine Voreinstellung des allgemeinen Endpunkts. Sitz des Unterauftragsverarbeiters: Paris, Frankreich.

2. Ort der Verarbeitung. Die Verarbeitung findet innerhalb der EU/des EWR statt. Der Auftragsverarbeiter selbst übermittelt keine Daten in ein Drittland; er ruft ausschließlich den EU-Regionalendpunkt des Unterauftragsverarbeiters auf, dessen US-Endpunkt wird nicht aufgerufen. Der Unterauftragsverarbeiter Mistral AI SAS erklärt hierzu selbst: Die Daten liegen voreingestellt in der Europäischen Union; je nach genutzter Funktion können Daten vorübergehend außerhalb der EU verarbeitet werden, und für diesen Fall sagt er zu, dass die Verträge mit den beteiligten Dienstleistern geeignete Garantien nach Art. 46 DSGVO enthalten und die Unterauftragsverarbeiter einer Sicherheitsprüfung unterzogen werden. Die jeweils gültige Liste dieser Unterauftragsverarbeiter führt Mistral AI in seinem Trust Center; die Erklärung selbst steht öffentlich unter Wo speichert Mistral die Daten?. Eine darüber hinausgehende, vom Auftragsverarbeiter selbst veranlasste Drittlandübermittlung ist vorab gesondert zu regeln (Kapitel V DSGVO) und bedarf der ausdrücklichen Genehmigung der/des Verantwortlichen.
3. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er die/den Verantwortliche(n) rechtzeitig, mindestens jedoch vier Wochen vorab in Textform. Die/Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO). Kann der Widerspruch nicht ausgeräumt werden, besteht ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung.
4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber der/dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters voll verantwortlich.
5. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter als Fremdleistung in Anspruch nimmt (z. B. reine Telekommunikations- oder Wartungsdienste ohne Zugriff auf personenbezogene Daten). Auch für solche Leistungen sind angemessene Schutzvorkehrungen zu treffen.

§ 8 Unterstützung der/des Verantwortlichen; Betroffenenrechte

1. Der Auftragsverarbeiter unterstützt die/den Verantwortliche(n) durch geeignete technische und organisatorische Maßnahmen nach Möglichkeit bei der Erfüllung der Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Art. 28 Abs. 3 lit. e DSGVO). Hierzu stellt der Dienst einen Widerrufsmechanismus, die Einsicht und die einzelne oder vollständige Löschung der Lern-Notizen sowie eine Selbstauskunfts- und Exportfunktion („Meine Daten“, JSON) durch die betroffene Person selbst bereit; sie umfasst die Einwilligungen einschließlich Art, Stand, Fassung und vollem Wortlaut, der Art der Unterschrift, des Merkmals „unter 16“, des Geburtsdatums, des Namens der erziehungsberechtigten Person, der Zeitpunkte, des Prüfvermerks und der Kursliste sowie je Kurs den Kursnamen und die Lern-Notizen im Klartext mit dem Zeitpunkt ihrer letzten Änderung; sie ist im Web-Portal und in der App ohne Antrag abrufbar. Ein Lernstandsblock war bis zum 13. August 2026 Teil dieser Auskunft; er entfällt, weil die zugrunde liegenden Daten nicht mehr erhoben werden. Nicht umfasst ist das Bild der Unterschrift: es wird ausschließlich der/dem Verantwortlichen bereitgestellt, weil es der empfindlichste Teil des Datenbestands ist und nicht über einen Abruf herausgegeben werden soll, den ein entwendetes Gerät öffnen könnte. Auskunfts- und Exportanträge, die darüber hinausgehen, beantwortet der Auftragsverarbeiter, indem er der/dem Verantwortlichen die Daten der betroffenen Person innerhalb von zwei Wochen nach Anforderung als Datei bereitstellt.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an die/den Verantwortliche(n) weiter und entscheidet nicht selbst über den Antrag.
3. Der Auftragsverarbeiter unterstützt die/den Verantwortliche(n) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation; Art. 28 Abs. 3 lit. f DSGVO).

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet der/dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform (Art. 33 Abs. 2 DSGVO), damit die/der Verantwortliche die Meldefrist von 72 Stunden gegenüber der Aufsichtsbehörde einhalten kann.
2. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar, sowie eine Beschreibung der ergriffenen und vorgeschlagenen Abhilfemaßnahmen.
3. Der Auftragsverarbeiter dokumentiert Vorfälle und unterstützt bei der Aufklärung und Eindämmung.

§ 10 Nachweis- und Kontrollrechte (Audit)

1. Der Auftragsverarbeiter stellt der verantwortlichen Stelle alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die von der verantwortlichen Stelle oder einer beauftragten prüfenden Stelle durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann primär durch Vorlage dieses AVV, der aktuellen TOM (Anlage 2), des Löschkonzepts sowie ggf. vorhandener Testate/Prüfberichte erfolgen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung (in der Regel zwei Wochen), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Betriebsstörung durchzuführen.
3. Der Auftragsverarbeiter informiert die/den Verantwortliche(n) unverzüglich, wenn er der Auffassung ist, dass eine Weisung oder ein Prüfverlangen gegen geltendes Recht verstößt.

§ 11 Löschung und Rückgabe nach Abschluss der Verarbeitung

1. Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl der/des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach EU- oder mitgliedstaatlichem Recht eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die/Der Verantwortliche teilt die Wahl innerhalb von vier Wochen nach Vertragsende mit; ohne Mitteilung wird gelöscht.
2. Ein Gesamtexport der Daten der Schule (JSON) wird auf Verlangen bereitgestellt, und zwar innerhalb von vier Wochen nach Anforderung. Er wird vom Auftragsverarbeiter manuell erstellt; eine Schnittstelle, über die die Schulleitung ihn selbst auslösen könnte, besteht nicht. Für einzelne betroffene Personen gilt die Frist von zwei Wochen aus § 8 Abs. 1, und diese Personen können ihre eigenen Daten überdies jederzeit selbst abrufen. Umfang und Format richten sich nach dem Löschkonzept (Anlage 3).
3. Die Löschung erstreckt sich auch auf Sicherungskopien. Sicherungen der Einwilligungs-Datenbank werden täglich erstellt, mit AES-256 verschlüsselt und nach 30 Tagen rollierend verworfen; eine gelöschte Zeile ist damit spätestens 30 Tage nach der Löschung auch aus der letzten Sicherung verschwunden. Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass diese Sicherungen bislang auf derselben Maschine liegen wie das Produktivsystem; sie schützen gegen einen fehlerhaften Eingriff und gegen einen Datenbankschaden, nicht gegen den Verlust der Maschine. Eine räumlich getrennte Sicherung ist vorgesehen und in Anlage 2 als geplant ausgewiesen. Die Löschung ist auf Verlangen zu bestätigen.

§ 12 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch eine ihr zurechenbare Verletzung dieses Vertrages oder datenschutzrechtlicher Vorschriften entstehen, nach Maßgabe des Verschuldensanteils (Art. 82 Abs. 4 und 5 DSGVO).
2. Etwaige Haftungsbeschränkungen des Hauptvertrags bleiben unberührt, soweit sie nicht zwingenden gesetzlichen Regelungen entgegenstehen; gegenüber betroffenen Personen wirken sie nicht.

§ 13 Schlussbestimmungen

1. Bei Widerspruch zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
2. Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Formerfordernisses.
3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland.

Anlagen

• Anlage 1: Verarbeitungsübersicht (Kategorien betroffener Personen und Datenkategorien), siehe Verzeichnis von Verarbeitungstätigkeiten.
• Anlage 2: Technisch-organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO.
• Anlage 3: Löschkonzept.
• Anlage 4: Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, einschließlich der Einordnung nach der KI-Verordnung in Abschnitt B9.

Unterschriften

Für die/den Verantwortliche(n) (die jeweilige Schule)

Ort, Datum: ____________________________
Name in Druckbuchstaben: ____________________________
Unterschrift der Schulleitung: ____________________________
Dienstsiegel der Schule:

Für den Auftragsverarbeiter (SchoolUP, Elias Esser und Sean Hübner GbR)

Ort, Datum: ____________________________
Unterschrift Elias Esser: ____________________________
Unterschrift Sean Hübner: ____________________________