Vertrag zur Auftragsverarbeitung

Der Auftragnehmer stellt dem Auftraggeber den Netzwerk-Simulator PortPanda (portpanda.de) für den Unterricht bereit, einschließlich Konten, Klassenverwaltung, Aufgaben und Fortschritt, Mehrspieler-Räumen und Nachrichten. Soweit der Auftraggeber dabei personenbezogene Daten seiner Lernenden und Lehrkräfte verarbeiten lässt, geschieht dies in seinem Auftrag.

Der Vertrag gilt, solange der Auftraggeber PortPanda in diesem Rahmen nutzt. Er kann von beiden Seiten jederzeit in Textform gekündigt werden.

Zweck: Bereitstellung einer Lernumgebung für Netzwerktechnik; Organisation des Unterrichts (Klassen, Aufgaben, Fristen, Fortschritt); gemeinsames Arbeiten und Kommunikation.

Art der Daten: Anzeigenamen bzw. Pseudonyme, Zugangscodes (nur als Prüfwert), bei Lehrkräften E-Mail-Adresse und Passwort-Hash bzw. Passkey; Klassenzugehörigkeit; Aufgaben, Fristen und Bearbeitungsstand; Lern- und Spielfortschritt; gespeicherte Netzpläne; Inhalte in Mehrspieler-Räumen; Nachrichten samt Anhängen; technische Daten (IP-Adresse in Server-Protokollen, Sitzungs-Cookie).

Betroffene: Lernende sowie Lehrkräfte und weitere Beschäftigte des Auftraggebers.

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; als solche gelten dieser Vertrag und die Einstellungen, die der Auftraggeber in PortPanda vornimmt (z. B. Anlegen und Löschen von Klassen und Konten). Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

• Er verarbeitet die Daten ausschließlich in der Europäischen Union; eine Übermittlung in Drittländer findet nicht statt.
• Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und entwickelt sie weiter, ohne das Schutzniveau zu senken.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Er stellt dem Auftraggeber die Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.

Der Auftraggeber stimmt der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu. Mit ihnen bestehen Verträge nach Art. 28 Abs. 4 DSGVO. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen verantwortlich. Er legt Lernende nach Möglichkeit mit Pseudonymen an und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

Nach Ende des Vertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten — insbesondere Klassen und die vom Auftraggeber angelegten Konten samt Inhalten — oder gibt sie auf Wunsch vorher heraus, soweit keine gesetzliche Pflicht zur Speicherung besteht. Die Löschung bestätigt er auf Anfrage in Textform.

Für die Haftung gilt Art. 82 DSGVO. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Bei Widersprüchen zu anderen Vereinbarungen gehen die Regelungen dieses Vertrags zum Datenschutz vor.