gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen:
Auftraggeber (Verantwortlicher):
Die Schule bzw. Lehrkraft, die ClassCards nutzt und Schülerdaten in die Plattform eingibt
(nachfolgend „Auftraggeber").
Auftragnehmer (Auftragsverarbeiter):
E.L. Lernkartei-Erfassungsdienste e.U.
Laudongasse 5/2
1080 Wien, Österreich
FN 670623 k, Handelsgericht Wien
E-Mail: hi@classcards.net
(nachfolgend „Auftragnehmer")
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Lernplattform ClassCards. Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.
Gegenstand: Der Auftragnehmer stellt die webbasierte Lernplattform ClassCards bereit, über die Lehrkräfte Vokabel-Lernkarten erstellen und Schüler*innen zuweisen können. Im Rahmen dieser Dienstleistung werden personenbezogene Daten der Schüler*innen verarbeitet.
Dauer: Dieser AVV gilt für die gesamte Dauer der Nutzung von ClassCards durch den Auftraggeber. Er endet automatisch mit der Beendigung des Nutzungsverhältnisses oder der Löschung des Kontos.
Die Verarbeitung dient folgenden Zwecken:
Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Verändern, Auslesen, Abfragen, Verwenden und Löschen personenbezogener Daten.
Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:
Der Auftragnehmer verpflichtet sich:
Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht eines Mitgliedstaates erforderlich. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.
Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Alle gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen zu ergreifen (siehe Abschnitt 8 dieses Vertrages).
Keine weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Auftraggebers einzusetzen (siehe Abschnitt 7 dieses Vertrages).
Den Auftraggeber bei der Erfüllung seiner Pflichten bezüglich Betroffenenrechten (Art. 15–22 DSGVO), Datensicherheit (Art. 32 DSGVO), Meldung von Datenschutzverletzungen (Art. 33–34 DSGVO) und Datenschutz-Folgenabschätzungen (Art. 35–36 DSGVO) zu unterstützen.
Den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, über jede Verletzung des Schutzes personenbezogener Daten zu informieren (Art. 33 Abs. 2 DSGVO).
Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine schriftliche Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor Beauftragung über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann gegen solche Änderungen innerhalb von 14 Tagen nach Benachrichtigung Einspruch erheben.
Derzeit werden folgende Unterauftragsverarbeiter eingesetzt:
| Unterauftragnehmer | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Hosting und Infrastruktur (Server, Datenbank) | Deutschland (EU) |
| Stripe, Inc. | Zahlungsabwicklung — nur wenn die Lehrkraft aktiv eine Online-Zahlung wählt; es werden ausschließlich Zahlungsdaten der Lehrkraft verarbeitet, keine Schülerdaten | USA (EU-Standardvertragsklauseln / Data Privacy Framework) |
| Amazon Web Services EMEA SARL (Dienst: AWS Bedrock / Claude KI) | KI-gestützte Vokabelgenerierung und Satzgenerierung (nur Premium) | Deutschland, Frankfurt (EU) – eu-central-1; keine Daten verlassen den EU/DE-Raum |
Hinweis zu Stripe: Die Nutzung von Stripe ist vollständig optional. Zahlungen können alternativ per Rechnung oder SEPA-Überweisung erfolgen — in diesem Fall werden keine Daten an Stripe übermittelt. Stripe erhält zu keinem Zeitpunkt Zugriff auf Schülerdaten; es werden ausschließlich Zahlungsdaten der zahlenden Lehrkraft verarbeitet.
Der Auftragnehmer stellt sicher, dass mit allen Unterauftragsverarbeitern Verträge geschlossen werden, die den gleichen Datenschutzstandards wie dieser AVV entsprechen.
Der Auftragnehmer hat folgende technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:
Der Auftraggeber ist im Rahmen dieses Vertrags verantwortlich für:
Der Auftraggeber hat das Recht, dem Auftragnehmer jederzeit Weisungen bezüglich Art, Umfang und Verfahren der Datenverarbeitung zu erteilen.
Nach Beendigung des Nutzungsverhältnisses oder auf Weisung des Auftraggebers wird der Auftragnehmer alle personenbezogenen Daten löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Die Löschung erfolgt wie folgt:
Löschfristen:
Auf Verlangen bestätigt der Auftragnehmer dem Auftraggeber die vollständige Löschung der Daten schriftlich.
Der Auftraggeber hat das Recht, die Einhaltung der in diesem AVV festgelegten Pflichten durch den Auftragnehmer zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Dazu gehören:
Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung von Überprüfungen und stellt die erforderlichen Informationen zur Verfügung.
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wird.
Der Auftragnehmer haftet für den durch die Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder wenn er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.
Für Rückfragen zum AVV oder um eine individuell unterzeichnete Fassung dieses Vertrages anzufordern, wenden Sie sich bitte an:
E.L. Lernkartei-Erfassungsdienste e.U.
E-Mail: hi@classcards.net