Auftragsverarbeitungsvertrag

gemäß Art. 28 Abs. 3 DSGVO
zwischen der verantwortlichen Schule und YOURLEAF als Auftragsverarbeiter

Vertragsparteien

Verantwortlicher (Schule):

– im Folgenden: „Verantwortlicher" –

Auftragsverarbeiter:

– im Folgenden: „Auftragsverarbeiter" –

§ 1 Gegenstand und Dauer

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung des Dienstes SchoolPrep.
2. Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages (Nutzungsvertrag / Lizenzvereinbarung) zwischen den Parteien. Er endet automatisch mit Beendigung des Hauptvertrages, sofern sich aus den nachfolgenden Regelungen keine weitergehenden Pflichten ergeben.

§ 2 Art, Zweck und Gegenstand der Verarbeitung

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen zum Zweck der Bereitstellung der Softwareplattform SchoolPrep. Der Dienst ermöglicht Lehrkräften die KI-gestützte Erstellung von Unterrichtsmaterialien (Arbeitsblätter, Tests, Hausaufgaben, Präsentationen).
2. Art der Verarbeitung: Erhebung, Speicherung, Verarbeitung, Übermittlung an KI-Drittdienste (zur Generierung von Inhalten), Löschung.
3. Eine Verarbeitung der Daten zu anderen Zwecken als den in diesem Vertrag genannten ist dem Auftragsverarbeiter nicht gestattet.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

3.1 Verarbeitete Datenkategorien

• Benutzername und Anzeigename der registrierten Lehrkraft
• Optionale E-Mail-Adresse (sofern angegeben)
• Schul- und Rollenzugehörigkeit
• Unterrichtsfächer und Jahrgangsstufen (von der Lehrkraft eingetragen)
• Erstellte Unterrichtseinheiten, Arbeitsblätter und zugehörige Metadaten
• Nutzungsprotokolle (Zeitstempel, IP-Adresse) für Sicherheitszwecke

3.2 Betroffene Personen

• Lehrkräfte (Hauptnutzer der Plattform)
• Schuladministratoren
• Schülerinnen und Schüler: ausschließlich indirekt, sofern freigegebene Unterrichtsmaterialien über anonyme Share-Links abgerufen werden. Dabei werden keine personenbezogenen Schülerdaten erhoben oder gespeichert.

§ 4 Pflichten des Auftragsverarbeiters

1. Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.
2. Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter ergreift die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
4. Unterauftragsverarbeiter: Der Auftragsverarbeiter schaltet Unterauftragsverarbeiter nur entsprechend § 6 dieses Vertrages ein.
5. Unterstützung des Verantwortlichen: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) sowie bei der Erfüllung der Pflichten gemäß Art. 32–36 DSGVO.
6. Datenlöschung und -rückgabe: Der Auftragsverarbeiter löscht nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Nutzungsprotokolle werden spätestens nach 7 Tagen automatisch gelöscht.
7. Nachweis und Audit: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen vom Verantwortlichen beauftragten Prüfer. Überprüfungen sind mit einer Ankündigungsfrist von mindestens 4 Wochen anzukündigen.
8. Datenschutzverletzungen: Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO.

§ 5 Pflichten des Verantwortlichen

1. Der Verantwortliche ist allein für die Bewertung der Zulässigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
2. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei einer Prüfung der Weisungen oder der Verarbeitungsvorgänge Fehler oder Unregelmäßigkeiten feststellt.
3. Der Verantwortliche stellt sicher, dass er über eine Rechtsgrundlage für die Übermittlung personenbezogener Daten an den Auftragsverarbeiter verfügt.
4. Der Verantwortliche stellt sicher, dass die Nutzung von SchoolPrep mit den jeweils geltenden landesrechtlichen Vorschriften für den schulischen Datenschutz vereinbar ist.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter mit einer Voranmeldefrist von mindestens 4 Wochen. Der Verantwortliche kann berechtigte Einwände erheben.
2. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzverpflichtungen, wie sie in diesem Vertrag vereinbart sind.

§ 7 KI-gestützte Verarbeitung

1. Im Rahmen des Dienstes werden von der Lehrkraft eingegebene Unterrichtsthemen und -parameter (Fach, Klasse, Thema) zur Generierung von Inhalten an KI-Drittdienste übermittelt — primär über Ollama.com (Cloud-KI-Plattform, USA) sowie ergänzend über OpenRouter (USA). Personenbezogene Daten der Lehrkraft oder von Schülerinnen und Schülern sind in diesen Anfragen nicht enthalten. Die KI-Anbieter sehen ausschließlich die IP-Adresse des SchoolPrep-Servers sowie die Prompt-Inhalte.
2. Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass alle mittels KI generierten Inhalte (Arbeitsblätter, Tests, Präsentationen) vor dem Einsatz im Unterricht durch die Lehrkraft auf inhaltliche Richtigkeit zu prüfen sind. Der Auftragsverarbeiter übernimmt keine Haftung für die pädagogische oder fachliche Eignung generierter Materialien.
3. Alle KI-generierten Ausgaben sind auf den Materialien als solche gekennzeichnet.

§ 8 Haftung

1. Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrages sowie den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.
2. Jede Partei haftet für Schäden, die der anderen Partei durch eine Verletzung der in diesem Vertrag niedergelegten Pflichten entstehen, nach Maßgabe der gesetzlichen Bestimmungen.

§ 9 Schlussbestimmungen

1. Dieser Vertrag ist in Schriftform zu schließen. Änderungen bedürfen der Schriftform.
2. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
3. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters (Wardenburg, Niedersachsen).
4. Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so berührt dies die Wirksamkeit des Vertrages im Übrigen nicht.

SchoolPrep AVV-Vorlage · YOURLEAF · Stand Mai 2026 · Nicht rechtsverbindlich ohne Unterzeichnung beider Parteien