Dokumentversion: 17.09.2026, Revision 2
1. Parteien und Gegenstand
Diese Vereinbarung wird zwischen der im Angebot bezeichneten Schule oder dem Schulträger als Verantwortlichem, nachfolgend Auftraggeber, und der Schmeizl Media GbR, Libellenweg 3, 84174 Eching, als Auftragsverarbeiter geschlossen. Sie konkretisiert die datenschutzrechtlichen Pflichten für die Verarbeitung im Rahmen schulisch gesteuerter Lizenz-, Klassen- und Berichtsfunktionen von LernEWi.
2. Abgrenzung der Verantwortlichkeit
Die Auftragsverarbeitung umfasst nur die vom Auftraggeber gesteuerte Zuordnung von Lehrkräften, Schule, Klassen, Lizenzcodes und den Abruf geschützter Gruppenstatistiken. Lernende erstellen ihr persönliches LernEWi Konto eigenständig und lösen einen von der Schule erhaltenen Code selbst ein. Der Auftraggeber übermittelt keine Listen mit Namen oder E-Mail-Adressen von Lernenden.
Für den persönlichen LernEWi Nutzungsvertrag, Kontosicherheit, allgemeine Lernfunktionen, Notizen, KI-Assistent, Abonnementverwaltung, Produktanalyse, freiwillige Geräte Push Nachrichten und gesetzliche Nachweise verarbeitet die Schmeizl Media GbR Daten als eigenständig Verantwortlicher. Diese Verarbeitungen werden weder von der Schule gesteuert noch für sie ausgewertet und sind nicht Gegenstand dieser Vereinbarung.
3. Dauer, Art und Zweck
Die Verarbeitung beginnt mit Freischaltung der Schullizenz und endet nach Maßgabe des Hauptvertrags. Zweck ist die technische Bereitstellung schulischer Rollen, Klassenbezüge, Lizenzcodeverwaltung und datensparsamer Gruppenberichte. Die Verarbeitung erfolgt durch Erheben, Speichern, Ordnen, Verknüpfen, Auslesen, Bereitstellen, Einschränken und Löschen.
4. Datenarten und betroffene Personen
Betroffene Personen sind berechtigte Lehrkräfte, Schuladministratoren und Lernende, die einen Schulcode eigenständig einlösen.
Im Auftragsbereich können folgende Daten verarbeitet werden:
- Schule, Klasse, Rollen und Mitgliedschaften,
- pseudonyme interne Kennungen und Lizenzcodezustände,
- Laufzeit, Freischaltungs- und Zuordnungszeitpunkte,
- zusammengefasste Lern- und Nutzungsstatistiken ab den in dieser Vereinbarung festgelegten Mindestgruppengrößen,
- Kontaktdaten berechtigter Lehrkräfte sowie technische Protokoll- und Sicherheitsdaten.
Namen, E-Mail-Adressen, Notizen, KI-Eingaben, einzelne Quizantworten und individuelle Lernverläufe von Lernenden werden Lehrkräften nicht angezeigt und sind nicht Bestandteil der schulischen Gruppenberichte.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für den schulischen Auftragsbereich nicht vorgesehen und dürfen von der Schule nicht in Freitextfelder, Supportanfragen oder andere Eingabemöglichkeiten eingestellt werden.
Allgemeine Klassen- und Schulwerte werden nur angezeigt, wenn im gewählten Zeitraum mindestens fünf verschiedene Lernende aktiv waren. Lernfeldwerte, Themenabdeckung und fragebezogene Auswertungen benötigen mindestens zehn verschiedene Lernende. Fragebezogene Werte setzen zusätzlich mindestens drei Antwortversuche voraus. Der Auftragsverarbeiter darf diese Schwellen zum Schutz der betroffenen Personen erhöhen. Eine Absenkung setzt eine vorherige Vertragsänderung in Textform voraus.
5. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung eine andere Verarbeitung verlangt. Weisungen ergeben sich aus Hauptvertrag, dieser Vereinbarung, den zulässigen Einstellungen der Webanwendung und Weisungen in Textform an app@erzieherwissen.de.
Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter gewährleistet, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind. Er trifft geeignete technische und organisatorische Maßnahmen, unterstützt den Auftraggeber bei Betroffenenrechten, Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz Folgenabschätzungen und Behördenanfragen und stellt erforderliche Nachweise zur Verfügung.
Personenbezogene Daten werden nicht für eigene Werbezwecke und nicht zur individuellen Leistungsbewertung von Lernenden verwendet.
7. Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit seiner Weisungen, die Information der betroffenen Personen, die Auswahl berechtigter Lehrkräfte und die sichere Verteilung von Lizenzcodes verantwortlich. Rollen und Klassenbezüge sind aktuell zu halten. Der Auftraggeber verwendet Gruppenberichte nicht zur unzulässigen Reidentifikation oder automatisierten Einzelentscheidung.
8. Technische und organisatorische Maßnahmen
Die verbindlichen technischen und organisatorischen Maßnahmen stehen in Anlage 1, Technische und organisatorische Maßnahmen, Version 17.09.2026, Revision 2. Die Anlage ist Bestandteil dieser Vereinbarung.
Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und entwickelt sie entsprechend Risiko und Stand der Technik weiter. Wesentliche Änderungen werden dokumentiert. Das vereinbarte Schutzniveau darf nicht abgesenkt werden. Änderungen, die das Schutzniveau wesentlich berühren, werden dem Auftraggeber vor ihrem Wirksamwerden mitgeteilt.
9. Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 2, Genehmigte Unterauftragsverarbeiter, Version 17.09.2026, Revision 2 aufgeführten Anbieter. Die Anlage ist Bestandteil dieser Vereinbarung.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch einen Vertrag mindestens zu denselben Datenschutzpflichten, die sich für die betreffende Verarbeitung aus dieser Vereinbarung ergeben. Dazu gehören insbesondere Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützungspflichten, Löschung, Nachweise und die Regeln für weitere Unterauftragsverarbeiter. Der Auftragsverarbeiter bleibt dem Auftraggeber für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter verantwortlich.
Beabsichtigte Änderungen der Liste werden nach Kenntnis unverzüglich und im Regelfall mindestens 14 Kalendertage vor dem Einsatz in Textform mitgeteilt. Muss ein Anbieter wegen einer Sicherheitslage oder aufgrund einer kürzeren Vorankündigung des vorgelagerten Anbieters früher eingesetzt werden, erfolgt die Mitteilung so früh wie möglich. Der Auftraggeber kann innerhalb der in der Mitteilung genannten Frist, die mindestens fünf Kalendertage beträgt, aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine zumutbare Lösung, kann der betroffene Leistungsteil beendet werden.
Mistral AI ist kein Unterauftragsverarbeiter in diesem schulischen Auftragsbereich. Der persönliche KI-Assistent wird von der Schmeizl Media GbR in eigener datenschutzrechtlicher Verantwortlichkeit angeboten. Die Schule erteilt hierzu keine Weisungen und erhält weder KI-Eingaben noch erzeugte Erklärungen oder individuelle Nutzungsdaten.
Soweit Unterauftragnehmer außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums beteiligt sind, werden die Voraussetzungen der Art. 44 bis 49 DSGVO eingehalten.
10. Betroffenenrechte und Anfragen
Erhält der Auftragsverarbeiter eine Anfrage, die erkennbar den Auftragsbereich betrifft, leitet er sie unverzüglich an den Auftraggeber weiter. Er unterstützt den Auftraggeber mit den verfügbaren technischen Möglichkeiten. Für Anfragen zum persönlichen LernEWi Konto bleibt die Schmeizl Media GbR eigenständig zuständig.
11. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Auftragsbereich bekannt wurde. Die Mitteilung enthält die verfügbaren Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen. Neue Erkenntnisse werden nachgereicht.
12. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Auftraggeber die zur Prüfung erforderlichen Informationen zur Verfügung. Kontrollen erfolgen vorrangig durch aktuelle Nachweise, Fragebögen und Videotermine. Vor-Ort-Kontrollen sind bei begründetem Anlass und nach angemessener Ankündigung möglich, soweit Sicherheit, Vertraulichkeit und Rechte anderer Kunden gewahrt bleiben. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden.
13. Rückgabe und Löschung
Mit Vertragsende endet der schulische Zugriff. Nach Wahl des Auftraggebers werden die im Auftragsbereich verarbeiteten personenbezogenen Daten zurückgegeben oder gelöscht, sofern keine gesetzliche Pflicht zur weiteren Speicherung entgegensteht. Die Wahl muss spätestens bis zum Vertragsende in Textform mitgeteilt werden. Ohne eine abweichende Weisung werden Schul- und Klassenzuordnungen spätestens 30 Tage nach Vertragsende gelöscht oder anonymisiert. Auf Wunsch stellt der Auftragsverarbeiter bis dahin die im Auftragsbereich verfügbaren Daten in einem gängigen Format bereit.
Persönliche LernEWi Konten und persönliche Lernstände der Lernenden bleiben außerhalb dieser Auftragsverarbeitung bestehen und können kostenlos weiter genutzt werden. Externe tägliche Datenbanksicherungen werden rollierend 14 Tage aufbewahrt. Gelöschte Auftragsdaten können bis zum Ablauf dieses Sicherungszyklus in einer verschlüsselten Sicherung enthalten bleiben. Sicherungen werden ausschließlich für Wiederherstellung, Sicherheitsprüfung oder gesetzlich zwingende Zwecke verwendet. Nach einer Wiederherstellung werden zwischenzeitliche Löschungen vor einer erneuten produktiven Nutzung abgeglichen.
14. Anlagen und Schlussbestimmungen
Bestandteile dieser Vereinbarung sind Anlage 1, Technische und organisatorische Maßnahmen, Version 17.09.2026, Revision 2, und Anlage 2, Genehmigte Unterauftragsverarbeiter, Version 17.09.2026, Revision 2. Maßgeblich sind die dem Auftraggeber bei Vertragsschluss dauerhaft bereitgestellten Fassungen.
Diese Vereinbarung gilt für die Dauer der im Hauptvertrag beschriebenen Auftragsverarbeitung. Änderungen bedürfen der Textform. Bei Widersprüchen zu Datenschutzfragen geht diese Vereinbarung dem Hauptvertrag vor. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.
15. Annahme
Die Parteien können diese Vereinbarung elektronisch, durch Unterschrift oder durch eindeutige Annahme in Textform abschließen. Das individuelle Angebot bezeichnet den Auftraggeber und den Beginn der Verarbeitung.