Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien

Diese Vereinbarung zur Auftragsverarbeitung gilt zwischen der jeweiligen Nutzer:in von LINA als Verantwortliche:r im Sinne der DSGVO

und

Sara Heyder – LINA Software
Baumgartenstr. 3
90574 Roßtal
Deutschland
E-Mail: lina@motito.de

als Auftragsverarbeiterin.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch LINA im Rahmen der Bereitstellung der Plattform und ihrer vereinbarten Funktionen.

Die Verarbeitung erfolgt grundsätzlich für die Dauer des Nutzungsvertrags zwischen der Nutzer:in und LINA.

Nach Beendigung des Nutzungsvertrags werden personenbezogene Daten nach Maßgabe dieser Vereinbarung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe entgegenstehen.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung und Nutzung der Funktionen von LINA.

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

• Erheben und Erfassen,
• Speichern,
• Ordnen und Strukturieren,
• Anzeigen und Abrufen,
• Verändern und Aktualisieren,
• Übermitteln, soweit technisch erforderlich,
• Bereitstellen von Dateien und Dokumenten,
• Löschen.

Eine Verarbeitung zu eigenen Zwecken von LINA findet im Rahmen der Auftragsverarbeitung nicht statt, soweit nicht eine eigenständige gesetzliche Rechtsgrundlage besteht.

4. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personen betroffen sein:

• Schüler:innen,
• Kund:innen der Nutzer:innen,
• Erziehungsberechtigte,
• Kontaktpersonen,
• sonstige Personen, deren Daten Nutzer:innen rechtmäßig in LINA verarbeiten.

5. Arten personenbezogener Daten

Je nach Nutzung der Plattform können insbesondere folgende Datenkategorien verarbeitet werden:

• Stammdaten, insbesondere Name und Geburtsdatum,
• Kontaktdaten,
• Termin- und Kalenderdaten,
• Unterrichts- und Organisationsinformationen,
• Lernziele und Unterrichtsnotizen,
• Zahlungsmodell und Unterrichtspreise,
• hochgeladene Materialien und Dateien,
• Vertrags- und Dokumentationsinformationen,
• sonstige freiwillig eingetragene Daten.

6. Besondere Kategorien personenbezogener Daten

Nutzer:innen können freiwillig Angaben erfassen, die einen Gesundheitsbezug haben können, beispielsweise Informationen zu Asthma, Allergien oder anderen für den Unterricht relevanten Umständen.

Solche Angaben können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO darstellen.

Die Nutzer:in ist dafür verantwortlich, dass für die Verarbeitung solcher Daten eine ausreichende rechtliche Grundlage besteht und nur erforderliche Informationen verarbeitet werden.

LINA ist keine elektronische Patientenakte und kein medizinisches Dokumentationssystem.

7. Weisungsgebundenheit

LINA verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung der verantwortlichen Nutzer:in.

Die Nutzung der in LINA bereitgestellten Funktionen und die durch die Nutzer:in vorgenommenen Eingaben und Einstellungen gelten als entsprechende Weisungen im Rahmen des vereinbarten Leistungsumfangs.

Ist LINA aufgrund gesetzlicher Vorschriften zu einer hiervon abweichenden Verarbeitung verpflichtet, wird die verantwortliche Nutzer:in hierüber informiert, soweit dies rechtlich zulässig ist.

8. Pflichten der verantwortlichen Nutzer:innen

Die Nutzer:in bleibt für die Rechtmäßigkeit der Verarbeitung der von ihr in LINA eingegebenen personenbezogenen Daten verantwortlich.

Insbesondere ist die Nutzer:in dafür verantwortlich,

• dass für die Verarbeitung eine zulässige Rechtsgrundlage besteht,
• dass erforderliche Informationspflichten erfüllt werden,
• dass nur notwendige personenbezogene Daten gespeichert werden,
• dass besonders sensible Daten nur verarbeitet werden, wenn dies zulässig und erforderlich ist,
• dass Anfragen im Expertenrat ausreichend anonymisiert werden.

9. Vertraulichkeit

Personen, die im Verantwortungsbereich von LINA Zugriff auf personenbezogene Daten erhalten, werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

Zugriffe auf personenbezogene Daten erfolgen nur, soweit dies für Betrieb, Support, Sicherheit oder gesetzlich erforderliche Maßnahmen notwendig ist.

10. Technische und organisatorische Maßnahmen

LINA trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Dazu gehören insbesondere:

• individuelle Benutzerkonten und Authentifizierung,
• Trennung verschiedener Benutzerkonten,
• datenbankseitige Zugriffsbeschränkungen mittels Row Level Security (RLS),
• nutzerbezogene Zugriffsregeln für relevante Datenbereiche,
• verschlüsselte Übertragung über HTTPS/TLS,
• Schutz administrativer Zugangsdaten,
• beschränkte Verwendung privilegierter Service-Zugänge,
• regelmäßige technische Updates,
• Kontrolle und Behandlung technischer Fehler,
• Einsatz geeigneter Hosting-, Datenbank- und Infrastruktur-Anbieter,
• angemessene Backup- und Wiederherstellungsmechanismen der eingesetzten Infrastruktur, soweit technisch verfügbar.

Die relevanten produktiven Datenzugriffe wurden im Rahmen der technischen Einrichtung auf nutzerbezogene Zugriffstrennung geprüft.

11. Unterstützung bei Betroffenenrechten

LINA unterstützt die verantwortliche Nutzer:in im Rahmen der verfügbaren technischen Möglichkeiten und soweit gesetzlich erforderlich bei der Erfüllung von Betroffenenrechten.

Dies betrifft insbesondere Anfragen auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch.

12. Datenschutzverletzungen

LINA informiert die verantwortliche Nutzer:in unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten der Nutzer:in hiervon betroffen sind.

LINA stellt im Rahmen der verfügbaren Informationen die Angaben bereit, die zur Erfüllung gesetzlicher Melde- und Informationspflichten erforderlich sind.

13. Unterstützung bei Datenschutzpflichten

LINA unterstützt die verantwortliche Nutzer:in unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen in angemessenem Umfang bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

Dies betrifft insbesondere Datensicherheit, Datenschutzverletzungen und – soweit erforderlich – Datenschutz-Folgenabschätzungen.

14. Unterauftragsverarbeiter

Die verantwortliche Nutzer:in erteilt LINA eine allgemeine Genehmigung zum Einsatz geeigneter Unterauftragsverarbeiter, soweit diese für die Bereitstellung der Plattform erforderlich sind.

Zum derzeit vorgesehenen technischen Betrieb gehören insbesondere:

LINA stellt sicher, dass für Unterauftragsverarbeiter, soweit erforderlich, geeignete datenschutzrechtliche Vereinbarungen bestehen.

Änderungen bei wesentlichen Unterauftragsverarbeitern werden in geeigneter Weise bekanntgegeben.

15. Zahlungsdienstleister

Die Zahlungsabwicklung für kostenpflichtige LINA-Abonnements erfolgt über Stripe.

Stripe verarbeitet Zahlungs- und Abrechnungsdaten je nach Verarbeitungsvorgang auf Grundlage eigener datenschutzrechtlicher Verantwortlichkeit oder im Rahmen entsprechender vertraglicher Regelungen.

Stripe erhält nicht bestimmungsgemäß Zugriff auf Schüler- oder Unterrichtsdaten innerhalb von LINA und wird daher nicht pauschal als Unterauftragsverarbeiter für diese Daten eingesetzt.

16. KI-Dienst OpenAI

Bei Nutzung bestimmter KI-Funktionen werden die von der Nutzer:in eingegebenen Texte zur Verarbeitung über die OpenAI API übermittelt.

Nutzer:innen sollen keine Klarnamen von Schüler:innen oder nicht erforderliche personenbezogene oder besonders sensible Daten in KI-Eingabefelder eingeben.

Audio- oder Sprachaufnahmen werden im Rahmen der derzeit eingesetzten KI-Funktionen nicht an OpenAI übermittelt.

17. Drittlandübermittlungen

Soweit personenbezogene Daten durch eingesetzte Dienstleister außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt die Übermittlung nur auf Grundlage eines nach Kapitel V DSGVO zulässigen Übermittlungsmechanismus.

Hierzu können insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission oder geeignete Standardvertragsklauseln gehören.

18. Kontroll- und Nachweispflichten

LINA stellt der verantwortlichen Nutzer:in auf angemessene Anfrage diejenigen Informationen zur Verfügung, die zum Nachweis der Einhaltung der Verpflichtungen aus Art. 28 DSGVO erforderlich sind.

Kontrollen sollen zunächst durch vorhandene Dokumentationen, Zertifikate, Prüfberichte oder vergleichbare Nachweise erfolgen.

Weitergehende Prüfungen sind in angemessenem Umfang und nach vorheriger Abstimmung möglich, soweit gesetzlich erforderlich und dadurch keine Rechte anderer Kund:innen, Sicherheitsinteressen oder Geschäftsgeheimnisse beeinträchtigt werden.

19. Berichtigung, Löschung und Rückgabe von Daten

Während der Vertragslaufzeit können Daten im Rahmen der bereitgestellten Funktionen berichtigt oder gelöscht werden.

Nach Beendigung des Nutzungsvertrags werden serverseitig gespeicherte personenbezogene Daten innerhalb einer angemessenen Frist gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe entgegenstehen.

Soweit technisch möglich und vereinbart, können Daten vor der Löschung durch die Nutzer:in exportiert oder anderweitig gesichert werden.

Daten in technischen Backup- oder Sicherungssystemen können bis zum Ablauf der regulären Löschzyklen fortbestehen.

20. Löschung lokal gespeicherter Daten

Bestimmte Daten können abhängig von der verwendeten Funktion lokal im Browser der Nutzer:in gespeichert werden.

Solche lokal gespeicherten Daten liegen auf dem jeweiligen Endgerät beziehungsweise im Browserprofil und werden nicht notwendigerweise durch eine serverseitige Kontolöschung entfernt.

Die Nutzer:in kann solche Daten durch Löschen der entsprechenden Browserdaten entfernen.

21. Haftung und Verantwortungsabgrenzung

Für die Rechtmäßigkeit der vom Auftraggeber eingestellten Daten und die Zulässigkeit der jeweiligen Verarbeitung bleibt der Auftraggeber verantwortlich.

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften sowie den zwischen den Parteien vereinbarten Allgemeinen Geschäftsbedingungen, soweit gesetzlich zulässig.

22. Schlussbestimmungen

Diese Vereinbarung ergänzt den jeweiligen Nutzungsvertrag über LINA.

Im Fall eines Widerspruchs zwischen dieser Vereinbarung und allgemeinen Regelungen des Nutzungsvertrags gehen hinsichtlich der Auftragsverarbeitung die Regelungen dieser Vereinbarung vor.

Änderungen dieser Vereinbarung können erforderlich werden, wenn sich gesetzliche Anforderungen, technische Verfahren oder eingesetzte Dienstleister ändern.