Vertrag zur Auftragsverarbeitung

Vertragsparteien

Die Organisation, die diesen Vertrag in Qwerta annimmt – „Verantwortlicher“ –

und die TWWIM UG (haftungsbeschränkt), Stapperstr. 65, 52080 Aachen, HRB 25861, Amtsgericht Aachen, vertreten durch den Geschäftsführer Dmitri Botezat – „Auftragsverarbeiter“.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software „Qwerta“ als Dienst über das Internet bereit (Hauptvertrag: Nutzungsvertrag nach den AGB von Qwerta). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, bis alle im Auftrag verarbeiteten Daten gelöscht oder zurückgegeben sind (§ 12).

§ 2 Art, Zweck, Datenarten, betroffene Personen

Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Eine Verarbeitung zu anderen Zwecken, insbesondere zu eigenen Zwecken des Auftragsverarbeiters, findet nicht statt; § 15 bleibt unberührt.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die Einstellungen und Eingaben, die der Verantwortliche und die von ihm berechtigten Nutzer in Qwerta vornehmen. Weitere Weisungen erteilt der Verantwortliche in Textform an [email protected].

(2) Ist der Auftragsverarbeiter durch Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(4) Weisungsberechtigt sind die vertretungsberechtigten Personen des Verantwortlichen und die Administratoren seiner Organisation in Qwerta.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff erhalten nur Personen, die ihn für die Erfüllung des Vertrags benötigen. Die Pflicht besteht nach Ende der Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, mindestens die in Anlage 2 beschriebenen.

(2) Er darf die Maßnahmen dem Stand der Technik anpassen, solange das Schutzniveau der Anlage 2 nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 3 und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung in Textform. Der Verantwortliche kann innerhalb von 14 Tagen ab Zugang aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.

(3) Kommt nach einem Einspruch keine Einigung zustande, kann der Verantwortliche den Hauptvertrag und diesen Vertrag zum Zeitpunkt des geplanten Einsatzes kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(4) Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die er in diesem Vertrag übernommen hat. Er haftet dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(5) Auf Verlangen erhält der Verantwortliche eine Kopie der Unterauftragsvereinbarung; Geschäftsgeheimnisse dürfen geschwärzt werden.

§ 7 Verarbeitungsort, Übermittlung in Drittländer

(1) Die Verarbeitung findet in Deutschland statt, soweit Anlage 3 nichts anderes bestimmt.

(2) Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder aufgrund einer gesetzlichen Pflicht und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standarddatenschutzklauseln der Kommission nach Art. 46 Abs. 2 lit. c DSGVO).

(3) Drittlandbezüge einzelner Unterauftragsverarbeiter und die jeweilige Grundlage stehen in Anlage 3.

§ 8 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche hat ihn dazu ermächtigt.

(2) Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), insbesondere durch Funktionen in Qwerta zum Einsehen und Berichtigen von Daten sowie durch Export und Löschung auf Anforderung.

§ 9 Unterstützung bei weiteren Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Die Unterstützung ist kostenfrei.

§ 10 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail an die Administratoren der Organisation in Qwerta.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben werden schrittweise nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verantwortlichen.

§ 11 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Der Verantwortliche kann vorhandene Zertifizierungen und Prüfberichte des Auftragsverarbeiters berücksichtigen.

(3) Inspektionen vor Ort werden mit einer Frist von 14 Tagen angekündigt, finden zu den üblichen Geschäftszeiten statt und nehmen Rücksicht auf den Betrieb und die Daten anderer Kunden. Bei Anhaltspunkten für einen Verstoß entfällt die Ankündigungsfrist.

§ 12 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen in einem gängigen maschinenlesbaren Format exportieren.

(2) Danach löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten Daten oder gibt sie zurück und löscht vorhandene Kopien, spätestens 90 Tage nach Vertragsende. Er bestätigt die Löschung in Textform.

(3) Ausgenommen sind Daten, für die nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Unterlagen, die der Auftragsverarbeiter als eigener Verantwortlicher aufbewahren muss (zum Beispiel Rechnungen an die Organisation), fallen nicht unter diesen Vertrag (§ 15).

§ 13 Verzeichnis, Datenschutzbeauftragter, Ansprechpartner

(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten.

(2) Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt, da die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für den Datenschutz: Dmitri Botezat, [email protected].

(3) Ansprechpartner des Verantwortlichen sind die Administratoren seiner Organisation in Qwerta.

§ 14 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Der Auftragsverarbeiter haftet danach nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder Weisungen des Verantwortlichen nicht beachtet oder gegen sie gehandelt hat.

(2) Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Anteil an der Verantwortung entspricht (Art. 82 Abs. 5 DSGVO).

(3) Für die Haftung zwischen den Parteien gelten im Übrigen die Haftungsregeln des Hauptvertrags.

§ 15 Abgrenzung: eigene Verantwortlichkeit

(1) Der Auftragsverarbeiter ist selbst Verantwortlicher für die Daten, die er für eigene Zwecke verarbeitet: Abschluss, Abrechnung und Verwaltung des Hauptvertrags mit der Organisation (Ansprechpartner, Rechnungsdaten) sowie Betrieb der Benutzerkonten, Anmeldung und Sicherheit der Plattform. Hierfür gilt die Datenschutzerklärung des Auftragsverarbeiters auf qwerta.de, nicht dieser Vertrag.

(2) Verarbeitet der Auftragsverarbeiter Daten entgegen diesem Vertrag zu eigenen Zwecken, gilt er insoweit als Verantwortlicher.

§ 16 Form, Rangfolge, Schlussbestimmungen

(1) Dieser Vertrag wird in einem elektronischen Format geschlossen: Der Verantwortliche nimmt ihn in Qwerta an; die angenommene Fassung wird mit ihrem Stand, dem Zeitpunkt und der annehmenden Person gespeichert. Änderungen bedürfen derselben Form.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Verstößt der Auftragsverarbeiter gegen diesen Vertrag, kann der Verantwortliche die Aussetzung der Verarbeitung anweisen und bei erheblichem oder fortdauerndem Verstoß den Hauptvertrag fristlos kündigen, soweit er die Verarbeitung im Auftrag betrifft.

(4) Es gilt deutsches Recht.

Anlage 1 – Beschreibung der Verarbeitung

1. Zweck: Verwaltung der Organisation (Verein, Schule, Kursanbieter): Personen, Kurse und Gruppen, Räume, Stundenplan und Anwesenheit, Beiträge und Zahlungsverpflichtungen, Kommunikation mit Eltern, Teilnehmern und Lehrkräften.

2. Art der Verarbeitung: Erheben, Speichern, Ordnen, Ändern, Auslesen, Anzeigen, Übermitteln per E-Mail oder Benachrichtigung, Exportieren, Löschen; Hosting und Support mit Zugriffsmöglichkeit.

3. Kategorien betroffener Personen: Teilnehmer (überwiegend Minderjährige); Eltern und Sorgeberechtigte; Zahlungspflichtige; Lehrkräfte, Trainer und Tutoren; Vorstand, Administratoren und weitere Beschäftigte der Organisation.

4. Arten personenbezogener Daten: – Teilnehmer: Name, Geburtsdatum, Geschlecht, Zuordnung zu Kursen und Gruppen, Anwesenheit, Zuordnung zu Sorgeberechtigten; – Eltern und Zahlungspflichtige: Name, Kontaktdaten (E-Mail, Telefon), Anschrift, Sprache, Verknüpfung zum Kind, Zahlungsverpflichtungen, Zahlungsstatus, Rücklastschriften; – Lehrkräfte: Name, Kontaktdaten, Fächer, Einsatzorte, Stundenplan; – Nutzerkonten im Rahmen der Organisation: Rolle, Einladungen; – Inhalte, die die Organisation selbst einträgt (zum Beispiel Notizen und Nachrichten).

5. Besondere Kategorien (Art. 9 DSGVO): In Qwerta sind keine Felder für Gesundheits-, Allergie- oder Fotodaten vorgesehen. Der Verantwortliche trägt keine solchen Daten in Freitextfelder ein.

6. Dauer: Laufzeit des Hauptvertrags. Während der Laufzeit löscht der Verantwortliche nicht mehr benötigte Daten selbst in Qwerta oder weist die Löschung an.

Anlage 2 – Technische und organisatorische Maßnahmen

1. Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS) zwischen Browser, Auslieferungsnetz und Server; personenbezogene Inhalte von Fehlerprotokollen verschlüsselt (AES-256-GCM); Passwörter nur als Hashwert (Argon2id); Wiederherstellungscodes und Sitzungskennungen nur als Hashwert.

2. Zutritt: Server im Rechenzentrum der STRATO AG in Deutschland.

3. Zugang: personengebundene Konten; Zwei-Faktor-Anmeldung verfügbar; Sitzungen enden nach 12 Stunden, mit „angemeldet bleiben“ nach 30 Tagen; Sitzungskennungen werden bei jeder Erneuerung gewechselt; Administrationszugänge zum Server nur für berechtigte Personen des Auftragsverarbeiters.

4. Zugriff: Rollen und Berechtigungen in Qwerta (Plattformbetreiber, Organisation, Lehrkraft, Eltern); Mandantentrennung: jede Abfrage ist auf die Organisation begrenzt, Zugriffe auf fremde Organisationen werden abgelehnt.

5. Weitergabe: E-Mail-Versand über den eigenen Mailserver mit DKIM-Signatur; keine Weitergabe an Dritte außer an die Unterauftragsverarbeiter nach Anlage 3.

6. Verfügbarkeit: Betrieb in Containern mit automatischer Aktualisierung; Schutz vor Angriffen durch das Auslieferungsnetz (Anlage 3).

7. Regelmäßige Überprüfung: automatisierte Tests vor jeder Auslieferung; Abhängigkeits- und Sicherheitsupdates.

8. Auftragskontrolle: Auswahl und Verträge mit Unterauftragsverarbeitern (Anlage 3).

9. Datenminimierung: für Kinder nur die erforderlichen Felder (Name, Geburtsdatum, Geschlecht).

Anlage 3 – Unterauftragsverarbeiter

1. STRATO AG, Berlin – Server, Datenbank, Speicher – Verarbeitung in Deutschland – kein Drittlandbezug.

2. Cloudflare, Inc., San Francisco, USA – Auslieferung der Seiten und Anwendungen, Schutz vor Angriffen; alle Anfragen werden durch das Netz von Cloudflare geleitet – Verarbeitung weltweit, auch in den USA – Grundlage: Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Zertifizierung von Cloudflare) und Standarddatenschutzklauseln der Kommission.