Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Gegenstand ist der Betrieb des digitalen Schulpasses tapiloop durch Daniel Hattenbach, Vorsfelder Straße 9, 38350 Helmstedt („tapiloop“) für die Schule nach den Allgemeinen Geschäftsbedingungen. Die Verarbeitung dauert so lange, wie die Schule tapiloop nutzt, und endet mit der Löschung ihres Arbeitsbereichs nach § 8.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: kurze Abwesenheiten vom Unterricht festhalten, damit Lehrkräfte wissen, wer gerade unterwegs ist, wohin und seit wann. Nichts darüber hinaus.

Verarbeitet werden ausschließlich:

• Schülerinnen und Schüler: Name oder Kürzel und Klasse, wie von der Schule eingetragen; Ziel eines Weges; Zeitpunkte des Losgehens, Ankommens und Zurückkommens; ob dafür ein Handy, eine Karte oder das Tablet im Klassenraum benutzt wurde; in Klassen mit Tablet ein Symbol je Kind (etwa Ente oder Burg); ein Hilfe-Ruf mit Zeitpunkt und letztem Ort; für verbundene Handys und Klassen-Tablets ein zufälliges Gerätekennzeichen ohne Namen, Telefonnummer oder Konto.
• Lehrkräfte, Schulleitung, Sekretariat: Name, dienstliche E-Mail-Adresse, Rolle, Zeitpunkte der Anmeldung.
• Schule: Name, Rechnungsadresse, Ansprechperson für Rechnungen, Bestellungen.
• Nicht verarbeitet werden Geburtsdaten, Anschriften, Fotos, Noten, Gesundheitsdaten oder Angaben zu Gründen eines Weges.

§ 3 Ort der Verarbeitung

Die Daten der Kinder und der Arbeitsbereich der Schule werden in Rechenzentren in der Europäischen Union verarbeitet: die Datenbank in der Multi-Region eur3 (Belgien und Niederlande, mit einer Zeugen-Region in Finnland), die Serverfunktionen in Frankfurt am Main. Die Konten der Lehrkräfte werden vom Anmeldedienst nach Anlage 2 verarbeitet, auch in den Vereinigten Staaten, auf der dort genannten Grundlage. Kinderdaten verlassen die EU nicht.

§ 4 Weisungen

tapiloop verarbeitet Daten nur auf dokumentierte Weisung der Schule. Weisungen erteilt die Schule über die Einstellungen ihres Arbeitsbereichs, insbesondere Profil, Löschfrist und Zugänge, und ergänzend in Textform an die in Anlage 2 genannte Kontaktadresse. Hält tapiloop eine Weisung für rechtswidrig, teilt es das der Schule unverzüglich mit.

§ 5 Pflichten von tapiloop

• Vertraulichkeit: Zugriff auf Daten der Schule haben nur Personen, die tapiloop zur Vertraulichkeit verpflichtet hat. Derzeit sind das der Anbieter selbst und eine benannte Vertretung; der Betreiberbereich zeigt Zahlen je Schule, keine Kinder, und in einen Arbeitsbereich gelangen beide nur durch eine Einladung, die eine Spur hinterlässt.
• Sicherheit: tapiloop trifft die Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an.
• Unterstützung: tapiloop unterstützt die Schule bei der Beantwortung von Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei Anfragen von Aufsichtsbehörden, soweit es dazu in der Lage ist.
• Meldung: Verletzungen des Schutzes personenbezogener Daten meldet tapiloop der Schule unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Löschung: Wege, Ereignisse und Hilferufe laufen 48 Stunden nach dem letzten Schritt ab, nach Wahl der Schule nach 24 Stunden. Abgelaufene Einträge zeigt die Anwendung nicht mehr an. Physisch gelöscht werden abgelaufene Einträge durch einen stündlichen Lauf, in der Regel innerhalb einer Stunde nach Ablauf. Für Wege und Ereignisse greift zusätzlich eine Löschregel der Datenbank, die üblicherweise innerhalb eines Tages ausgeführt wird, ohne feste Frist; Hilferufe löscht allein der stündliche Lauf. Fällt ein Lauf aus, endet er mit einem Fehler im Protokoll, und der nächste erfolgreiche Lauf holt die Löschung nach. Eine feste Höchstdauer bis zur physischen Löschung sagt tapiloop nicht zu. Bis dahin liegen abgelaufene Einträge noch in der Datenbank, für die Anwendung unsichtbar, für Konten des Kollegiums mit direktem Datenbankzugriff technisch aber abrufbar. Klassenlisten löscht tapiloop, sobald die Schule sie entfernt, samt aller Wege des Kindes. Alles Weitere bei Vertragsende nach § 8.
• Verzeichnis: tapiloop führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Zweckbindung: keine Verarbeitung für eigene Zwecke, keine Werbung, keine Weitergabe an Dritte außer den Unterauftragsverarbeitern nach Anlage 2.

§ 6 Unterauftragsverarbeiter

Die Schule genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. tapiloop verpflichtet sie vertraglich mindestens im Umfang dieses Vertrags.

Beabsichtigt tapiloop, einen Unterauftragsverarbeiter hinzuzunehmen oder zu ersetzen, zeigt es das der Schule vier Wochen vorher im Arbeitsbereich und per E-Mail an. Die Schule kann aus wichtigem Grund widersprechen und den Vertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte werden anteilig erstattet.

§ 7 Kontrollrechte der Schule

Die Schule kann sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen nach Anlage 1 überzeugen. tapiloop stellt dafür Nachweise bereit: die Zertifizierungen der Rechenzentren, eine Beschreibung der Maßnahmen und auf Anfrage Einsicht in den Quellcode. Prüfungen vor Ort sind nach Ankündigung mit einer Frist von zwei Wochen möglich.

§ 8 Rechte betroffener Personen, Löschung und Rückgabe

Wendet sich eine betroffene Person an tapiloop, leitet tapiloop die Anfrage unverzüglich an die Schule weiter und beantwortet sie nicht selbst.

Bei Vertragsende löscht tapiloop den Arbeitsbereich der Schule innerhalb von 30 Tagen vollständig. Ihre Klassenlisten und Räume kann die Schule jederzeit selbst als CSV-Datei aus dem Arbeitsbereich herunterladen; Wege gibt es wegen der Löschfrist nur für die letzten 48 Stunden. tapiloop hält keine Sicherungskopien mit Kinderdaten über die Löschfrist hinaus.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und die Allgemeinen Geschäftsbedingungen. Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); tapiloop zeichnet Fassung, Zeitpunkt und die bestätigende Person auf und zeigt sie der Schule im Arbeitsbereich. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Datenschutz durch Voreinstellung: Vornamen oder Kürzel reichen und werden beim Einfügen von Listen im Browser der Schule gekürzt, bevor sie den Rechner verlassen. Die Schule kann diese Kürzung abwählen, wenn sie volle Namen für erforderlich hält; die Entscheidung und ihre Begründung liegen bei ihr. Kinder haben keine Konten; ihr Handy erhält ein zufälliges Kennzeichen. Aufkleber tragen nur einen Zufallscode ohne Bezug zu Schule oder Raum. Wege sind nach spätestens 48 Stunden nicht mehr sichtbar und werden anschließend gelöscht (§ 5). Es gibt keine Profile, Statistiken oder Vergleiche.
• Infrastruktur: Betrieb auf Google Cloud in der Europäischen Union (Datenbank Multi-Region eur3 Belgien und Niederlande, Serverfunktionen Frankfurt am Main), Rechenzentren zertifiziert nach ISO/IEC 27001, 27017 und 27018 sowie SOC 2. tapiloop betreibt keine eigenen Server.
• Zugang: keine Passwörter. Lehrkräfte melden sich per E-Mail-Link oder mit ihrem Google-Konto an; Rollen vergibt ausschließlich der Server anhand der Einladungen der Schule. Ein entzogener Zugang wird bei jedem weiteren Zugriff sofort abgewiesen; eine bereits geöffnete Ansicht endet spätestens nach einer Stunde.
• Zugriff: Endgeräte lesen nur. Jede Änderung läuft über geprüfte Serverfunktionen mit denselben Regeln, gegen die getestet wird. Datenbankregeln beschränken jeden Zugriff auf das Kollegium der eigenen Schule. Der Betreiber sieht Zahlen je Schule, keine Kinder, und gelangt in einen Arbeitsbereich nur durch eine Einladung, die eine Spur hinterlässt.
• Trennung: ein Arbeitsbereich je Schule mit eigenen Dokumenten; das Aufkleber-Register enthält keine Orte.
• Übertragung: alle Verbindungen verschlüsselt (TLS). NFC-Aufkleber und Karten enthalten nur eine Adresse mit Zufallscode.
• Speicherung: Verschlüsselung im Ruhezustand durch Google Cloud. Ein stündlicher Lauf und, für Wege und Ereignisse, eine Löschregel der Datenbank (TTL) setzen die Löschfrist durch, physisch in der Regel innerhalb einer Stunde nach Ablauf, ohne feste Höchstdauer (§ 5); Anwendung und Server rechnen zusätzlich selbst und zeigen Abgelaufenes nicht an.
• Verfügbarkeit: redundante Speicherung durch Google Cloud innerhalb der Region. Keine langfristigen Sicherungskopien mit Kinderdaten.
• Protokollierung: Serverprotokolle enthalten Kennungen, keine Namen von Kindern, und werden nach 30 Tagen gelöscht.
• Organisation: Quellcode versioniert, jede Änderung automatisiert getestet, Datenschutz-Entscheidungen dokumentiert. Betreiber und eine benannte, zur Vertraulichkeit verpflichtete Vertretung, erreichbar unter der Kontaktadresse in Anlage 2, auch für Sicherheitsmeldungen.

Anlage 2: Unterauftragsverarbeiter und Kontakt

• Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland: Datenbank (Cloud Firestore, Multi-Region eur3: Belgien und Niederlande) und Serverfunktionen (Cloud Functions, europe-west3 Frankfurt am Main) auf Grundlage des Cloud Data Processing Addendum. Zweck: Betrieb der Anwendung.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: Firebase Authentication (Konten der Lehrkräfte: E-Mail-Adresse, Anmeldezeitpunkte) und Firebase Hosting (Auslieferung der Seiten) auf Grundlage der Firebase Data Processing and Security Terms. Konten werden auch in den USA verarbeitet auf Grundlage der EU-Standardvertragsklauseln im Google Cloud Data Processing Addendum; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Keine Daten von Kindern.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: Rechnungen an die Schule (Name der Schule, Rechnungsadresse, Ansprechperson, Beträge, Zahlungsstatus). Keine Daten von Kindern, keine Konten von Lehrkräften.
• Kontakt von tapiloop für Weisungen, Meldungen und Prüfungen: Daniel Hattenbach, Vorsfelder Straße 9, 38350 Helmstedt, support@scorebro.eu.