Vertrag zur Auftragsverarbeitung

Vorlage nach Art. 28 DSGVO · Stand: 6. November 2026 · Zum Ausdrucken (Strg + P), Ausfüllen und Unterschreiben. Die Angaben zur Schule tragen Sie im Kopf des Vertrags ein; alles andere ist festgelegt.

Die Parteien

Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO — die Schule bzw. ihr Träger, je nach Landesrecht):

Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO):
Steffen Klee, Fuldablick 18, 36251 Bad Hersfeld · Info@kss-media.com · +49 175 1577241

Vertrag

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Online-Anwendung „Die Detektiv-Werkstatt“ mit den Fachmodulen „Wandas Wortarten-Werkstatt“, „Malias Mathe-Werkstatt“ und „Karos Kunst-Werkstatt“ (Lizenz auf Grundlage der Bestellung bzw. des Angebots). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Art und Zweck der Verarbeitung, die Arten der Daten und die Kreise der Betroffenen ergeben sich aus Anlage 1.

(3) Der Vertrag gilt, solange der Auftragnehmer Daten des Auftraggebers verarbeitet — mindestens für die Laufzeit der Lizenz und danach bis zur Löschung nach § 9.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in ein Drittland — es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dies dem Auftraggeber vorher mit, soweit das Recht es nicht verbietet.

(2) Die Weisungen sind mit diesem Vertrag und der Nutzung der Anwendung durch die Lehrkräfte des Auftraggebers (Anlegen, Zuweisen, Löschen) erteilt. Weitere Weisungen erfolgen in Textform an Info@kss-media.com.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 3 Vertraulichkeit

Der Auftragnehmer verpflichtet sich zur Vertraulichkeit und stellt sicher, dass alle Personen, die Zugang zu den Daten haben könnten, ebenfalls zur Vertraulichkeit verpflichtet sind. Das ist heute der Auftragnehmer allein; er verarbeitet die Daten nur, soweit es für Betrieb, Wartung und Fehlersuche nötig ist.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Laufzeit ein.

(2) Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber auf Anfrage mit.

§ 5 Weitere Auftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter zu.

(2) Will der Auftragnehmer einen weiteren Auftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Auftraggeber in Textform mindestens vier Wochen vorher. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem Grund widersprechen; ohne Widerspruch gilt die Änderung als genehmigt. Bleibt ein Widerspruch ungelöst, können beide Seiten den Vertrag zum Ende des Monats kündigen; Lizenzentgelt für die Restlaufzeit wird anteilig erstattet.

(3) Der Auftragnehmer verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag stehen, und bleibt dem Auftraggeber für dessen Handeln verantwortlich.

§ 6 Unterstützung des Auftraggebers

(1) Betroffenenrechte. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen, Anträge betroffener Personen (Art. 15 bis 22 DSGVO) zu beantworten. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er die Anfrage unverzüglich weiter und antwortet nicht selbst in der Sache. Die Lehrkräfte können Gruppen, Kinder, Zuweisungen und Ergebnisse in der Anwendung selbst löschen und einsehen; darüber hinaus erledigt der Auftragnehmer Auskunft, Berichtigung, Löschung und Herausgabe auf Weisung innerhalb von zehn Werktagen.

(2) Sicherheit, Meldungen, Folgenabschätzung. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen, insbesondere mit den Angaben der Anlagen und der Seite Angaben für Ihr Verzeichnis.

§ 7 Verletzung des Schutzes personenbezogener Daten

Wird dem Auftragnehmer eine Verletzung des Schutzes der Daten des Auftraggebers bekannt, meldet er sie unverzüglich, spätestens innerhalb von 48 Stunden an die vom Auftraggeber benannte Stelle (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und die getroffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben liefert er nach, sobald er sie hat. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen bleiben Sache des Auftraggebers.

§ 8 Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragnehmer betreibt keine eigenen Räume, in denen die Daten verarbeitet werden, sondern arbeitet an einem gesicherten Arbeitsplatz und mit den Rechenzentren seines Hosting-Anbieters. Eine Kontrolle erfolgt deshalb in der Regel durch Auskunft und Einsicht in die Unterlagen, nach Anmeldung mit angemessener Frist (in der Regel zwei Wochen) und ohne unnötige Störung des Betriebs.

§ 9 Rückgabe und Löschung

(1) Endet die Lizenz und wird sie nicht verlängert, löscht der Auftragnehmer die Daten des Auftraggebers spätestens drei Monate danach automatisch. 30 und 7 Tage vorher erhält jede Lehrkraft eine E-Mail mit dem Termin. Eine Verlängerung hält die Löschung auf.

(2) Verlangt der Auftraggeber die Löschung früher oder die Herausgabe vorher, setzt der Auftragnehmer das innerhalb der Frist aus § 6 Abs. 1 um. Herausgegeben werden die Übungen in einem gängigen Dateiformat; die Namen der Kinder kennt der Auftragnehmer nicht (Anlage 1).

(3) Verschlüsselte Sicherungskopien lassen sich nicht einzeln löschen: Das Sicherungsarchiv wird einmal im Jahr durch ein neues ersetzt und das alte 90 Tage später gelöscht. Gelöschte Daten können deshalb bis zu etwa 15 Monate in verschlüsselten Sicherungen verbleiben (Anlage 2, Nr. 6). Diese sind nur mit einem Schlüssel lesbar, den allein der Auftragnehmer besitzt, und werden in der Zwischenzeit nicht verarbeitet; spielt der Auftragnehmer eine Sicherung zurück, wiederholt er erfolgte Löschungen unverzüglich.

(4) Über jede Löschung führt der Auftragnehmer einen Nachweis ohne Namen und E-Mail-Adressen (Zeitpunkt, Anlass, interne Nummer, Zahl der Einträge) und stellt ihn dem Auftraggeber auf Anfrage zur Verfügung. Gesetzliche Aufbewahrungspflichten des Auftragnehmers (etwa für Rechnungen) bleiben unberührt; sie betreffen keine Daten von Schülerinnen und Schülern.

§ 10 Haftung, Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen richtet sie sich nach den Bedingungen der Lizenz.

(2) Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Lizenzbedingungen gehen die Regeln dieses Vertrags zum Schutz personenbezogener Daten vor.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck

Bereitstellung der Lernanwendung: Konten und Anmeldung der Lehrkräfte, Ablage und Abgleich der Übungen, Zuweisung von Übungen an Gruppen und Kinder, Anmeldung der Kinder mit einem Zugangscode, Speicherung der Lernergebnisse und deren Auswertung für die Lehrkraft, Versand der notwendigen E-Mails, Sicherung, Löschung.

Betroffene Personen

• Schülerinnen und Schüler — nur unter einem Decknamen („Adlerauge 07“) und einem Zugangscode
• Lehrkräfte und Schulleitung des Auftraggebers (Beschäftigte)

Arten der Daten

Was der Auftragnehmer nicht erhält

Klarnamen der Kinder im Klartext, Geburtsdaten, Förderschwerpunkte, die Förderdokumentation und die Zuordnung „Deckname → Kind“ (außer verschlüsselt im Namenstresor). Sie bleiben im Browser der Lehrkraft. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden deshalb nicht vom Auftragnehmer verarbeitet; der Auftraggeber sollte sie auch nicht in Übungstitel oder Gruppennamen schreiben — und die Kinder bitten, sie nicht in ihre freien Texte („Freies Schreiben“, „Bild beschreiben“, „Mein Bild — Reflexion“, „Rechenweg erklären“ und „Wer bin ich? — Zahlenrätsel“) zu schreiben. Steht doch etwas darin, löscht die Lehrkraft den Text. Auf Fotos der Galerie gehören weder Gesichter noch Namen; ist doch etwas zu sehen, löscht die Lehrkraft das Foto.

Pseudonym ist nicht anonym. Wer die Zuordnung kennt (die Lehrkraft), kann Ergebnisse einem Kind zuordnen; für den Auftragnehmer gilt das nicht, solange der Auftraggeber ihm die Zuordnung nicht offenlegt.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben ist der Stand vom 6. November 2026. Alles, was hier als Eigenschaft der Anwendung steht, lässt sich im Quelltext und in automatischen Tests nachvollziehen; der Auftragnehmer gewährt dem Auftraggeber auf Anfrage Einsicht (§ 8).

1. Vertraulichkeit

• Datensparsamkeit als wichtigste Maßnahme: Ein Kind hat in der Datenbank kein Namensfeld, keine Geburtsdaten, keinen Förderschwerpunkt. Ein Test schlägt an, sobald der Tabelle der Kinder eine Spalte hinzugefügt wird.
• Zugangskontrolle der Lehrkräfte: Konto mit E-Mail-Adresse und Passwort (mindestens zwölf Zeichen, kein Passwort aus dem Namen oder der Adresse). Das Passwort wird nur als scrypt-Hash gespeichert (Kostenstufe N = 32768, r = 8, p = 3, eigenes Salz). Die Adresse wird per E-Mail bestätigt, bevor das Konto Daten ablegen kann.
• Sitzungen: Im Cookie steht nur eine Zufallskennung; gespeichert wird in der Datenbank nur deren Prüfwert (HMAC). Cookies sind HttpOnly, Secure, SameSite=Lax und tragen das Präfix __Host-. Gültigkeit 30 Tage ab letzter Nutzung, höchstens 180 Tage. Nach einem Zurücksetzen des Passworts werden alle Sitzungen beendet.
• Zugang der Kinder: Ein achtstelliger Zufallscode aus einem Alphabet ohne verwechselbare Zeichen, auf einem Ausweis. Ein Kind sieht nur seine eigenen offenen Aufgaben — nie Ergebnisse, nie andere Kinder. „Neuer Code“ und „Stilllegen“ melden es auf jedem Gerät ab. Der Code liegt in der Datenbank im Klartext, steht aber nie in einer Adresse und nie im Protokoll.
• Mandantentrennung: Jede Abfrage ist an die angemeldete Lehrkraft bzw. ihre Schule gebunden; fremde Gruppen und Kinder antworten mit „nicht gefunden“ statt „verboten“. Lehrkräfte derselben Schule sehen Anzeigenamen und Rollen, nicht die Gruppen, Übungen und Ergebnisse der anderen.
• Namenstresor: Verschlüsselung im Browser der Lehrkraft mit AES-256-GCM, Schlüssel aus einem eigenen Kennwort (PBKDF2-SHA-256, 600.000 Runden), dazu ein Wiederherstellungsschlüssel, den nur die Lehrkraft erhält. Der Server prüft nur die Form und kann nicht entschlüsseln. Einschränkung: Das Skript, das verschlüsselt, wird vom Server ausgeliefert; ein übernommener Server könnte künftig ein anderes ausliefern. Deshalb ist der Tresor freiwillig und sperrbar.
• Administrativer Zugriff: nur der Auftragnehmer, mit Zugangsdaten außerhalb des Quellcodes (Umgebungsvariablen beim Hosting). Die Verwaltungsoberfläche läuft ausschließlich lokal auf dem Arbeitsrechner des Auftragnehmers (127.0.0.1, Einmal-Link), nicht im Netz.

2. Integrität

• Transportverschlüsselung: ausschließlich HTTPS; HSTS mit einem Jahr einschließlich Unterdomains. E-Mails verlassen den Server nur über eine TLS-Verbindung zum Postfach des Hosting-Anbieters (Port 465).
• Schutz im Browser: strenge Inhaltsregeln (Content-Security-Policy ohne fremde Quellen, Verbindungen nur zur eigenen Schnittstelle), X-Frame-Options: DENY, nosniff, eingeschränkte Berechtigungen (keine Kamera, kein Mikrofon, kein Standort für die Seiten selbst). Fremde Schriften, Skripte oder Zähler werden nicht geladen.
• Herkunftsprüfung: Die Schnittstelle akzeptiert Anfragen nur von der eigenen Website (CSRF/CORS mit fester Liste).
• Eingabeprüfung: Typ, Länge und Form jeder Eingabe werden serverseitig geprüft; Datenbankzugriffe laufen mit gebundenen Parametern.
• Änderungsnachweis: Änderungen am Code laufen über ein Versionsverwaltungsrepository; ausgeliefert wird nur nach grünem automatischem Testlauf (derzeit über 700 Tests).

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank (ohne Anmeldungen und ohne die Fotos der Galerie), verschlüsselt (siehe Nr. 6). Die Wiederherstellung wird mindestens vierteljährlich an einer Probedatei geübt.
• Brute-Force-Bremse: höchstens 20 Fehlversuche je Absender und 15 Minuten (Kinder: 60), dazu eine wachsende Verzögerung je Konto bis zwei Sekunden. IP-Adressen werden nie gespeichert; die Bremse hält nur einen Prüfwert im Arbeitsspeicher, dessen Schlüssel bei jedem Start neu entsteht.
• Offline-Betrieb der Tafel: Wortarten-, Mathe- und Kunst-Werkstatt laufen nach der Installation ohne Netz; ein Ausfall des Servers stoppt den Unterricht an der Tafel nicht.
• Rechenzentrum des Hosting-Anbieters in der Europäischen Union mit dessen eigenen Maßnahmen (Zutrittsschutz, Stromversorgung, Netzredundanz).

4. Trennung und Zweckbindung

• Daten verschiedener Schulen sind logisch getrennt (Nr. 1, Mandantentrennung); automatische Tests prüfen für Gruppen, Zuweisungen, Übungen und Ergebnisse, dass eine fremde Lehrkraft nichts sieht und ändert.
• Die Daten werden ausschließlich für den Zweck der Anwendung verwendet — keine Werbung, keine Statistik, keine Besucherzählung, keine Weitergabe, keine Profilbildung. Die Übersicht für die Lehrkraft ist eine Hilfe für den Unterricht und keine automatisierte Einzelentscheidung.

5. Protokollierung

• Das Protokoll der Anwendung enthält keine IP-Adressen, keine Anfrageinhalte und keine Zugangscodes; es nennt nur technische Vorgänge mit internen Nummern. Fehlermeldungen an Nutzerinnen und Nutzer verraten nicht, ob eine E-Mail-Adresse ein Konto hat.
• Fehlerprotokoll: Fehler des Servers und abgebrochene Skripte in den Browsern (Lehrerbereich, Kinderseite, Fallseite, Wortarten-Werkstatt, Mathe-Werkstatt, Kunst-Werkstatt) werden mit Zeitpunkt, Fehlermeldung, Stelle im Skript, Art der Seite und Browser- und Systemfamilie gespeichert — ohne Adresse der Seite, Eingaben, Namen, Zugangscodes oder Kontodaten; Mail-Adressen, Codes und lange Kennungen werden vor dem Speichern unkenntlich gemacht. Löschung nach 30 Tagen. Zweck: Fehler schnell finden und beheben; der Auftragnehmer wird bei einem Fehler per E-Mail benachrichtigt.
• Der Hosting-Anbieter protokolliert beim Abruf der Website technisch notwendige Daten (u. a. IP-Adresse), wie in der Datenschutzerklärung beschrieben.

6. Sicherungen und Verschlüsselung

• Die Sicherung wird vor dem Verlassen des Servers verschlüsselt (X25519 mit einem Wegwerfschlüssel je Datei, HKDF-SHA-256, AES-256-GCM). Der private Schlüssel liegt nur beim Auftragnehmer, nie auf dem Server; weder der Server noch der Speicherort können die Sicherung lesen.
• Der Speicherort ist ein privates Repository bei GitHub (Anlage 3). Es wird einmal im Jahr neu angelegt, das alte nach 90 Tagen gelöscht. Bis dahin können gelöschte Daten noch in älteren, verschlüsselten Sicherungen enthalten sein.
• Die Sicherung ist Teil des Löschkonzepts (siehe Löschfristen).

7. Organisation

• Verfahren für Betroffenenanfragen und Datenpannen sind festgelegt (Anfragen weiterleiten; Pannen innerhalb von 48 Stunden melden, § 7).
• Löschkonzept: automatische Löschung drei Monate nach Lizenzende mit Vorwarnung; Löschung auf Weisung; Löschprotokoll ohne Namen.
• Überprüfung: Die Maßnahmen werden mindestens einmal im Jahr und bei jeder wesentlichen Änderung der Anwendung geprüft (Art. 32 Abs. 1 lit. d DSGVO).
• Zugangsdaten des Auftragnehmers (Hosting, Quellcodeverwaltung, Schlüssel der Sicherung) liegen nie im Quellcode und nie auf dem Server der Anwendung, soweit sie nicht für den Betrieb nötig sind.

Anlage 3 — Weitere Auftragsverarbeiter

Unterschriften

Zurück zum Infopaket

Den ausgefüllten Vertrag schicken Sie bitte unterschrieben an Info@kss-media.com; wir senden ihn gegengezeichnet zurück.