Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Gegenstand ist der Betrieb des digitalen Schulpasses tapiloop durch Daniel Hattenbach, Vorsfelder Straße 9, 38350 Helmstedt („tapiloop“) für die Schule nach den Allgemeinen Geschäftsbedingungen. Die Verarbeitung dauert so lange, wie die Schule tapiloop nutzt, und endet mit der Löschung ihres Arbeitsbereichs nach § 8.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck: kurze Abwesenheiten vom Unterricht festhalten, damit Lehrkräfte wissen, wer gerade unterwegs ist, wohin und seit wann. Nichts darüber hinaus.

Verarbeitet werden ausschließlich:

• Schülerinnen und Schüler: Name oder Kürzel und Klasse, wie von der Schule eingetragen; Ziel eines Weges; Zeitpunkte des Losgehens, Ankommens und Zurückkommens; ob dafür ein Handy, eine Karte oder das Tablet im Klassenraum benutzt wurde; in Klassen mit Tablet ein Symbol je Kind (etwa Ente oder Burg); ein Hilfe-Ruf mit Zeitpunkt und letztem Ort; für verbundene Handys und Klassen-Tablets ein zufälliges Gerätekennzeichen ohne Namen, Telefonnummer oder Konto.
• Lehrkräfte, Schulleitung, Sekretariat: Name, dienstliche E-Mail-Adresse, Rolle, Zeitpunkte der Anmeldung.
• Schule: Name, Rechnungsadresse, Ansprechperson für Rechnungen, Bestellungen.
• Nicht verarbeitet werden Geburtsdaten, Anschriften, Fotos, Noten, Gesundheitsdaten oder Angaben zu Gründen eines Weges.

§ 3 Ort der Verarbeitung

Die Daten der Kinder und der Arbeitsbereich der Schule werden in Rechenzentren in der Europäischen Union verarbeitet (Region Frankfurt am Main). Die Konten der Lehrkräfte werden vom Anmeldedienst nach Anlage 2 verarbeitet, auch in den Vereinigten Staaten, auf der dort genannten Grundlage. Kinderdaten verlassen die EU nicht.

§ 4 Weisungen

tapiloop verarbeitet Daten nur auf dokumentierte Weisung der Schule. Weisungen erteilt die Schule über die Einstellungen ihres Arbeitsbereichs, insbesondere Profil, Löschfrist und Zugänge, und ergänzend in Textform an die in Anlage 2 genannte Kontaktadresse. Hält tapiloop eine Weisung für rechtswidrig, teilt es das der Schule unverzüglich mit.

§ 5 Pflichten von tapiloop

• Vertraulichkeit: Zugriff auf Daten der Schule haben nur zur Vertraulichkeit verpflichtete Personen. Derzeit ist das ausschließlich der Anbieter selbst; der Betreiberbereich zeigt Zahlen je Schule, keine Kinder.
• Sicherheit: tapiloop trifft die Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an.
• Unterstützung: tapiloop unterstützt die Schule bei der Beantwortung von Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei Anfragen von Aufsichtsbehörden, soweit es dazu in der Lage ist.
• Meldung: Verletzungen des Schutzes personenbezogener Daten meldet tapiloop der Schule unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Löschung: Wege und Ereignisse werden automatisch spätestens 48 Stunden nach dem letzten Schritt gelöscht, nach Wahl der Schule nach 24 Stunden. Klassenlisten löscht tapiloop, sobald die Schule sie entfernt, samt aller Wege des Kindes. Alles Weitere bei Vertragsende nach § 8.
• Verzeichnis: tapiloop führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Zweckbindung: keine Verarbeitung für eigene Zwecke, keine Werbung, keine Weitergabe an Dritte außer den Unterauftragsverarbeitern nach Anlage 2.

§ 6 Unterauftragsverarbeiter

Die Schule genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. tapiloop verpflichtet sie vertraglich mindestens im Umfang dieses Vertrags.

Beabsichtigt tapiloop, einen Unterauftragsverarbeiter hinzuzunehmen oder zu ersetzen, zeigt es das der Schule vier Wochen vorher im Arbeitsbereich und per E-Mail an. Die Schule kann aus wichtigem Grund widersprechen und den Vertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte werden anteilig erstattet.

§ 7 Kontrollrechte der Schule

Die Schule kann sich vor Beginn und während der Verarbeitung von der Einhaltung der Maßnahmen nach Anlage 1 überzeugen. tapiloop stellt dafür Nachweise bereit: die Zertifizierungen der Rechenzentren, eine Beschreibung der Maßnahmen und auf Anfrage Einsicht in den Quellcode. Prüfungen vor Ort sind nach Ankündigung mit einer Frist von zwei Wochen möglich.

§ 8 Rechte betroffener Personen, Löschung und Rückgabe

Wendet sich eine betroffene Person an tapiloop, leitet tapiloop die Anfrage unverzüglich an die Schule weiter und beantwortet sie nicht selbst.

Bei Vertragsende löscht tapiloop den Arbeitsbereich der Schule innerhalb von 30 Tagen vollständig. Auf Wunsch erhält die Schule vorher ihre Klassenlisten und Räume als Datei; Wege gibt es zu diesem Zeitpunkt wegen der Löschfrist nicht mehr. tapiloop hält keine Sicherungskopien mit Kinderdaten über die Löschfrist hinaus.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und die Allgemeinen Geschäftsbedingungen. Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); tapiloop zeichnet Fassung, Zeitpunkt und die bestätigende Person auf und zeigt sie der Schule im Arbeitsbereich. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Datenschutz durch Voreinstellung: Vornamen oder Kürzel reichen und werden beim Einfügen von Listen im Browser der Schule gekürzt, bevor sie den Rechner verlassen. Kinder haben keine Konten; ihr Handy erhält ein zufälliges Kennzeichen. Aufkleber tragen nur einen Zufallscode ohne Bezug zu Schule oder Raum. Wege werden nach spätestens 48 Stunden gelöscht. Es gibt keine Profile, Statistiken oder Vergleiche.
• Infrastruktur: Betrieb auf Google Cloud in der Region Frankfurt am Main, Rechenzentren zertifiziert nach ISO/IEC 27001, 27017 und 27018 sowie SOC 2. tapiloop betreibt keine eigenen Server.
• Zugang: keine Passwörter. Lehrkräfte melden sich per E-Mail-Link oder mit ihrem Google-Konto an; Rollen vergibt ausschließlich der Server anhand der Einladungen der Schule. Ein entzogener Zugang endet sofort, auch in laufenden Sitzungen.
• Zugriff: Endgeräte lesen nur. Jede Änderung läuft über geprüfte Serverfunktionen mit denselben Regeln, gegen die getestet wird. Datenbankregeln beschränken jeden Zugriff auf das Kollegium der eigenen Schule. Der Betreiber sieht Zahlen je Schule, keine Kinder, und gelangt in einen Arbeitsbereich nur durch eine Einladung, die eine Spur hinterlässt.
• Trennung: ein Arbeitsbereich je Schule mit eigenen Dokumenten; das Aufkleber-Register enthält keine Orte.
• Übertragung: alle Verbindungen verschlüsselt (TLS). NFC-Aufkleber und Karten enthalten nur eine Adresse mit Zufallscode.
• Speicherung: Verschlüsselung im Ruhezustand durch Google Cloud. Löschregeln in der Datenbank (TTL) und ein stündlicher Lauf setzen die Löschfrist durch; Anwendung und Server rechnen zusätzlich selbst.
• Verfügbarkeit: redundante Speicherung durch Google Cloud innerhalb der Region. Keine langfristigen Sicherungskopien mit Kinderdaten.
• Protokollierung: Serverprotokolle enthalten Kennungen, keine Namen von Kindern, und werden nach 30 Tagen gelöscht.
• Organisation: Quellcode versioniert, jede Änderung automatisiert getestet, Datenschutz-Entscheidungen dokumentiert. Ein Betreiber, erreichbar unter der Kontaktadresse in Anlage 2, auch für Sicherheitsmeldungen.

Anlage 2: Unterauftragsverarbeiter und Kontakt

• Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland: Datenbank (Cloud Firestore, Region eur3 Frankfurt), Serverfunktionen (Cloud Functions, europe-west3 Frankfurt) und Hosting. Zweck: Betrieb der Anwendung.
• Google LLC über Google Cloud EMEA Limited, Dienst Firebase Authentication: Konten der Lehrkräfte (E-Mail-Adresse, Anmeldezeitpunkte). Verarbeitung auch in den USA auf Grundlage der EU-Standardvertragsklauseln im Google Cloud Data Processing Addendum; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Keine Daten von Kindern.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: Rechnungen an die Schule (Name der Schule, Rechnungsadresse, Ansprechperson, Beträge, Zahlungsstatus). Keine Daten von Kindern, keine Konten von Lehrkräften.
• Kontakt von tapiloop für Weisungen, Meldungen und Prüfungen: Daniel Hattenbach, Vorsfelder Straße 9, 38350 Helmstedt, support@scorebro.eu.