Auftragsverarbeitungsvertrag (AVV)
Entwurf – noch nicht zum Vertragsabschluss freigegeben.
Die Verträge mit den eingesetzten Dienstleistern, die Nachweise für Drittlandübermittlungen und die technischen Datenschutzmaßnahmen sind noch nicht vollständig geklärt. Diese Fassung ist daher noch kein abschließendes Vertragsangebot für den Schuleinsatz.
Für wen ist dieses Dokument?
Wenn Sie Wondibo als Schule, Hochschule oder Bildungsträger einsetzen und dabei Daten Ihrer Schülerinnen und Schüler verarbeiten lassen, sind Sie die verantwortliche Stelle und wir Ihr Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag. Dieser Text dient als Entwurf dafür.
Für private Einzelnutzerinnen und -nutzer ist dieses Dokument nicht relevant — für sie gilt allein die Datenschutzerklärung.
Vertragsparteien
Auftraggeber (Verantwortlicher)
die Schule, Hochschule oder der Bildungsträger, die bzw. der Wondibo einsetzt — nachfolgend "Auftraggeber".
Auftragnehmer (Auftragsverarbeiter)
Markus Wiesecke
c/o POSTFLEX PFX-562-142
Emsdettener Straße 10
48268 Greven
Deutschland
E-Mail: [email protected]
— nachfolgend "Auftragnehmer".
§ 1 Gegenstand und Dauer des Auftrags
Gegenstand des Auftrags ist die Bereitstellung der Lernplattform Wondibo einschließlich des Klassenzimmer-Moduls. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
Die Dauer des Auftrags entspricht der Laufzeit der Nutzung von Wondibo durch den Auftraggeber. Der Vertrag endet mit der Beendigung der Nutzung, ohne dass es einer gesonderten Kündigung bedarf.
§ 2 Art, Zweck und Umfang der Verarbeitung
Zweck der Verarbeitung ist die Durchführung digital gestützten Unterrichts: Anlegen von Klassen, Zuweisen und Auswerten von Lernaufgaben, Nachverfolgen des Lernfortschritts sowie die Kommunikation zwischen Lehrkraft und Lernenden.
Betroffene Personengruppen: Lehrkräfte sowie Schülerinnen und Schüler des Auftraggebers.
Kategorien personenbezogener Daten:
- Stammdaten der Lehrkraft (Name, E-Mail-Adresse, Passwort-Hash)
- Stammdaten der Schülerinnen und Schüler (Anzeigename, E-Mail-Adresse, Passwort-Hash)
- Lerndaten (Karteikarten, Notizen, Antworten, Wiederholungsintervalle, Lernfortschritt)
- Aufgabendaten (zugewiesene Aufgaben, Fristen, Bearbeitungsstand, Bewertungen, Feedback)
- Kommunikationsdaten (Nachrichten zwischen Lehrkraft und Lernenden, Ankündigungen)
- Nutzungsdaten (Anmeldezeitpunkte, Lernstreaks, Punktestände, Erfolge)
- Technische Daten (IP-Adresse, Browsertyp, Zeitstempel in Server-Logs)
Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber stellt sicher, dass solche Daten nicht in die Plattform eingegeben werden.
§ 3 Weisungsrecht des Auftraggebers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
§ 4 Vertraulichkeit
Der Auftragnehmer verarbeitet die Daten vertraulich. Alle zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer trifft die nachfolgenden Maßnahmen zur Sicherheit der Verarbeitung:
- Verschlüsselung: Übertragung ausschließlich über TLS; Passwörter werden ausschließlich als Hash gespeichert, niemals im Klartext.
- Zugriffskontrolle: Zugriff auf Lerndaten nur für die jeweils berechtigte Lehrkraft und die betroffene Person selbst; serverseitige Rechteprüfung bei jedem Zugriff.
- Zutrittskontrolle: Betrieb in einem zertifizierten Rechenzentrum innerhalb der Europäischen Union (Hetzner Online GmbH, Deutschland).
- Verfügbarkeit: tägliche verschlüsselte Sicherung der Datenbank mit überwachter Ausführung; Trennung von Produktiv- und Entwicklungsumgebung.
- Protokollierung: sicherheits- relevante Vorgänge werden in einem Audit-Log erfasst.
- Missbrauchsschutz: Begrenzung der Zugriffsrate, Sperrung nach wiederholt fehlgeschlagenen Anmeldeversuchen, Bot-Erkennung auf den Anmeldeseiten.
- Trennungsgebot: Daten verschiedener Klassen und Auftraggeber werden logisch getrennt verarbeitet.
§ 6 Unterauftragsverarbeiter
Die folgende Liste benennt eingesetzte Dienste für die weitere Vertragsprüfung. Vor Vertragsabschluss sind deren Rollen, die erforderlichen Verträge nach Art. 28 DSGVO und gegebenenfalls nachgelagerte Anbieter abschließend festzulegen. Diese Aufstellung bestätigt nicht, dass bereits alle erforderlichen Verträge bestehen.
| Anbieter | Sitz / Verarbeitung | Zweck |
|---|---|---|
| Hetzner Online GmbH | Deutschland | Hosting, Datenbank, Server-Infrastruktur |
| Cloudflare, Inc. | USA | Auslieferung der Website, Schutz vor Angriffen, Bot-Erkennung und Dateispeicherung in R2 |
| OpenAI | USA | KI-Funktionen (Karten, Quiz, Tutor, eBooks, Recherche, Illustrationen, Texterkennung, Suchvektoren und Sprachausgabe) |
| OpenRouter (einschließlich ausgewählter Modellanbieter und Exa für die Webrecherche) | USA; weitere Verarbeitungsorte abhängig vom Modellanbieter | Alternativer KI-Dienst für konfigurierte Modelle, eBook-Recherche und Illustrationen |
| Stripe Payments Europe, Limited | Irland | Zahlungsabwicklung kostenpflichtiger Abonnements |
| Amazon Web Services EMEA SARL | Luxemburg (Verarbeitung in Frankfurt am Main) | Versand transaktionaler E-Mails (Amazon SES) |
| Functional Software, Inc. (Sentry) | USA | Fehler- und Performance-Monitoring sowie maskierte Sitzungsaufzeichnungen zur Fehleranalyse |
| PostHog, Inc. | USA (Verarbeitung auf EU-Infrastruktur) | Produktanalyse im Browser nach Einwilligung; zusätzlich serverseitige Zahlungsereignisse. Einzelheiten und derzeitige Grenzen der Einwilligungssteuerung stehen in der Datenschutzerklärung, Abschnitt 5. |
Für Verarbeitungen außerhalb der EU bzw. des EWR sind vor Vertragsabschluss die jeweils anwendbaren Übermittlungsgrundlagen und Schutzmaßnahmen nach Art. 44 ff. DSGVO nachzuweisen. In Betracht kommen etwa Standardvertragsklauseln oder ein anwendbarer Angemessenheitsbeschluss. Die erforderlichen Nachweise sind noch nicht vollständig bestätigt.
Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann einer Änderung innerhalb von 30 Tagen aus wichtigem Grund widersprechen.
§ 7 Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Betroffene können ihre Daten jederzeit selbst über die Exportfunktion der Plattform in einem strukturierten, gängigen und maschinenlesbaren Format abrufen und eine Kontolöschung anstoßen. Veröffentlichte Bibliotheksfassungen, laufende Vorgänge und Aufbewahrungspflichten müssen gesondert berücksichtigt werden; Einzelheiten stehen in der Datenschutzerklärung.
Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.
§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der Betroffenen sowie die ergriffenen Gegenmaßnahmen.
§ 9 Nachweis- und Kontrollrechte
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen. Kontrollen erfolgen nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.
§ 10 Löschung und Rückgabe nach Beendigung
Nach Beendigung des Auftrags löscht der Auftragnehmer die verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Aufbewahrungsfrist und die Löschung von Sicherungskopien sind vor Vertragsabschluss verbindlich festzulegen und nachzuweisen.
Konten von Lernenden bestehen unabhängig vom Klassenzimmer fort: Verlässt eine Schülerin oder ein Schüler die Klasse, endet der Zugriff der Lehrkraft auf die zugehörigen Aufgaben- und Fortschrittsdaten. Das persönliche Lernkonto bleibt davon unberührt und unterliegt dann allein der Datenschutzerklärung.
§ 11 Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Vertragsklärung für Ihre Einrichtung
Für die Abstimmung eines Vertrags — auch auf dem Vertragsmuster Ihres Schulträgers — schreiben Sie uns an [email protected]. Bitte nennen Sie dabei Ihre Einrichtung und die verantwortliche Stelle.
Entwurfsstand: 27. September 2026