Auftragsverarbeitungsvertrag (AVV)

Muster-AVV für Schulen und Bildungseinrichtungen

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten im Auftrag der Bildungseinrichtung (Verantwortlicher) durch den Betreiber von Typr (Auftragsverarbeiter).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Plattform Typr (typr.fun).

(2) Die Verarbeitung erfolgt auf unbestimmte Zeit und endet mit der Kündigung des Nutzungsvertrags oder der Löschung des Schulkontos.

(3) Art und Zweck der Verarbeitung: Bereitstellung einer Online-Lernplattform für das Erlernen des 10-Finger-Tastaturschreibens. Die Verarbeitung umfasst Speicherung und Auswertung von Lernfortschritten.

§ 2 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Anzeigename (von der Lehrkraft vergeben oder aus der Bestellung im Marktplatz Lernapps übernommen)
• Benutzername (automatisch generiert)
• Passwort als Einweg-Hash; zusätzlich das von Typr erzeugte Startpasswort im Klartext, damit die Lehrkraft die Zugangsdaten drucken kann – es wird gelöscht, sobald das Kind sein Passwort selbst ändert
• Klassenzugehörigkeit; bei Übernahme aus dem Marktplatz Lernapps oder Anmeldung über das Bildungsportal zusätzlich das bereichsspezifische Personenkennzeichen (bPK) und die Schulkennzahl zur Zuordnung des Kontos
• Anmeldename des Microsoft-365-Schulkontos (in der Regel die schulische E-Mail-Adresse) – nur wenn die Bildungseinrichtung die Anmeldung mit dem Schulkonto wünscht; er dient ausschließlich der Zuordnung bei der Anmeldung, E-Mails werden daran nicht versendet
• Lernfortschrittsdaten: Tippgeschwindigkeit (APM), Genauigkeit, absolvierte Lektionen, Übungsdauer
• Spielstände: Punkte, Abzeichen, Übungsserien und – falls die Lehrkraft Duelle erlaubt – Duell-Ergebnisse
• Tippfehler-Statistik: welche Taste anstelle welcher gedrückt wurde – Grundlage der automatischen Übungsempfehlungen
• Abschriften und Tests: abgetippter Text, Fehlerzahl, Tempo, Note
• Nachrichten zwischen Lehrkraft und Schülerin bzw. Schüler
• Nutzungsdaten: Zeitpunkt der letzten Aktivität, zuletzt aufgerufene Seite, Anmeldungen (Zeitpunkt, IP-Adresse, Browserkennung), Zeitzone und Sprachregion des Browsers

Nicht verarbeitet werden: Geburtsdaten, Adressen, Telefonnummern oder sonstige direkt identifizierende Daten von Schülerinnen und Schülern; E-Mail-Adressen ausschließlich als der oben genannte Anmeldename des Schulkontos.

§ 3 Kategorien betroffener Personen

• Schülerinnen und Schüler der Bildungseinrichtung
• Lehrkräfte der Bildungseinrichtung

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
• Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO)
• Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15-22 DSGVO) zu unterstützen
• Nach Beendigung der Verarbeitung alle Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung bereitzustellen

§ 5 Technische und organisatorische Maßnahmen

• Verschlüsselte Datenübertragung (TLS/HTTPS)
• Passwörter werden als kryptographische Einweg-Hashes gespeichert (scrypt); ausgenommen ist das Startpasswort von Schülerkonten bis zur ersten eigenen Änderung (siehe § 2)
• Hosting auf Servern innerhalb der Europäischen Union
• Regelmäßige Sicherheitsupdates und Backups
• Zugriffskontrolle: Schülerdaten sehen nur die Lehrkräfte, denen die Klasse oder die Lizenz zugeordnet ist
• CSRF-Schutz und Brute-Force-Schutz bei Anmeldung
• Keine Weitergabe von Daten an Dritte (außer im Rahmen der Datenschutzerklärung offengelegt)

§ 6 Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

Für Schulkonten werden keine externen Zahlungsdienstleister eingebunden. Es findet keine Zahlungsabwicklung über die Plattform statt.

§ 7 Löschung und Rückgabe

(1) Nach Beendigung des Vertragsverhältnisses löscht der Auftragsverarbeiter alle personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung kann jederzeit durch die Lehrkraft über die Klassenverwaltung eingeleitet werden (Schülerkonto löschen). Die vollständige Datenlöschung erfolgt innerhalb von 30 Tagen.

(3) Auf Anfrage kann eine Bestätigung der Datenlöschung ausgestellt werden.

§ 8 Kontakt

Auftragsverarbeiter:

Emanuel Schmacher e.U.
Sielach 76
9133 Sittersdorf
Österreich
UID-Nummer: ATU62078959
E-Mail: support@typr.fun
Website: typr.fun

Für den Abschluss eines individuellen AVV oder bei Rückfragen steht die oben genannte E-Mail-Adresse zur Verfügung.