DSGVO-konformer AV-Vertrag app.schülerausweis.de

AUFTRAGSVERARBEITUNGSVERTRAG
(AV-VERTRAG)
Stand 3. April 2025

zwischen

(1) Schule (im Folgenden "Verantwortlicher")
Name der Schule: ________________
Anschrift: ________________
vertreten durch: ________________

und

(2) app.schülerausweis.de by Energy-Imaging (im Folgenden "Auftragsverarbeiter")
Inhaberin Susanne Henkel
Schubertstraße 21, 40699 Erkrath
E-Mail: datenschutz@energy-imaging.de

1. Begriffsbestimmungen

Im Sinne dieses Vertrags gelten folgende Begriffsbestimmungen gemäß Art. 4 DSGVO:

• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

• Verarbeitung: Jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, Speichern, Ändern, Übermitteln oder Löschen.

• Verantwortlicher: Die Schule als datenverarbeitende Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet.

• Auftragsverarbeiter: app.schülerausweis.de by Energy-Imaging, das im Auftrag der Schule personenbezogene Daten verarbeitet.

2. Gegenstand und Dauer des Auftrags

2.1 Gegenstand der Verarbeitung
Der Auftragsverarbeiter stellt dem Verantwortlichen eine digitale Plattform zur Verfügung, um digitale Schüler- und Lehrerausweise zu generieren, zu speichern und zu verwalten. Hierbei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

Auf Wunsch des Verantwortlichen können zusätzliche Angaben auf dem Ausweis angezeigt werden, wie z. B. Barcodes für Bibliothek, Mensa oder Lehrmittelverwaltung. Ebenfalls kann die Adresse der Schülerinnen auf dem Ausweis dargestellt werden, sofern dies ausdrücklich von der Schule beauftragt wird. Der Auftragsverarbeiter empfiehlt dies jedoch aus Gründen der Datenminimierung ausdrücklich nicht, da der Ausweis primär zur Identifikation als Schülerin sowie ggf. als Altersnachweis für Vergünstigungen dient.

2.2 Dauer des Vertrags
Dieser Vertrag tritt mit der Unterzeichnung in Kraft und bleibt gültig, solange der Verantwortliche die Dienste des Auftragsverarbeiters in Anspruch nimmt. Nach Vertragsende werden die Daten gemäß Punkt 12 gelöscht.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung und Verwaltung digitaler Schüler- und Lehrerausweise. Dies umfasst:

• Erstellung und Speicherung von Ausweisen

• Verwaltung von Identifikationsdaten

• Integration in Apple Wallet, Google Wallet und PassWallet

• Authentifizierung und Sicherheit der Nutzerkonten

• Bereitstellung von Schnittstellen für Schulverwaltungen

• Technische Wartung und Support

• Schutz vor URL-Manipulation durch Verwendung signierter JSON Web Tokens (JWTs) zur Zugangskontrolle und Sitzungsverwaltung

4. Art der verarbeiteten personenbezogenen Daten

• Name, Vorname

• Geburtsdatum

• Schüler-ID aus der Schulverwaltung

• Foto

• E-Mail-Adresse

• Nutzungsdaten (IP-Adresse, Login-Zeiten, Gerätetyp)

• Optional: Barcode-IDs (z. B. für Bibliothek oder Mensa), Schüleradresse (nur wenn beauftragt)

Die Verarbeitung sensibler Daten gemäß Art. 9 DSGVO erfolgt nicht.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist verpflichtet:

• Die Rechtmäßigkeit der Datenverarbeitung sicherzustellen (Art. 6 DSGVO)

• Betroffene Personen über die Verarbeitung zu informieren

• Die Weisungen an den Auftragsverarbeiter zu dokumentieren

• Sicherheits- und Datenschutzvorgaben innerhalb der Schule umzusetzen

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Die Daten ausschließlich für die vereinbarten Zwecke zu verarbeiten

• Keine Daten an Dritte weiterzugeben, es sei denn, dies ist vertraglich geregelt

• Die Verarbeitung grundsätzlich innerhalb der EU/des EWR vorzunehmen; bei Nutzung von Drittdiensten gelten die Garantien nach Art. 44 ff. DSGVO

• Angemessene technische und organisatorische Sicherheitsmaßnahmen (TOMs) zu implementieren

• Schuladministratoren und betroffenen Personen den Zugang zu gespeicherten Daten zu ermöglichen

• Den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung gegen Datenschutzrecht verstößt

• Den Verantwortlichen vor Verarbeitung zu informieren, wenn der Auftragsverarbeiter rechtlich zur anderweitigen Verarbeitung verpflichtet ist, sofern keine gesetzliche Geheimhaltungspflicht entgegensteht

7. Technische und organisatorische Maßnahmen (TOMs)

• SSL-Verschlüsselung (TLS 1.2+)

• Zugriffskontrollen nach BSI-Standard, 2-Faktor-Authentifizierung

• ISO 27001-zertifizierte Server in Deutschland (Mittwald)

• Firewall und Intrusion-Detection-Systeme

• Regelmäßige Schulungen

• Tägliche Backups der SQL-Datenbank

• Incident-Response-Plan inkl. Meldung an die Schule und Datenschutzbehörden gemäß Art. 33 DSGVO

• Signierte JWTs zur Absicherung von URLs und zum Schutz vor Manipulation

8. Unterauftragsverhältnisse

Die aktuell beauftragten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt. Eine Erweiterung oder Änderung erfolgt nur mit Zustimmung des Verantwortlichen.

9. Kontrollrechte der Schulen

Der Verantwortliche kann die Einhaltung dieses Vertrags überprüfen, z. B. durch:

• Einsicht in Protokolle

• Anforderung von Nachweisen

• Vor-Ort-Audit (nach Absprache)

10. Unterstützung bei Anfragen betroffener Personen

Der Auftragsverarbeiter reagiert auf Anfragen (Datenkopie, Löschung etc.) innerhalb der Frist gemäß Art. 12 Abs. 3 DSGVO.

11. Dokumentation der Weisungen des Verantwortlichen

Sämtliche Weisungen werden dokumentiert und auf Anfrage nachgewiesen.

12. Beendigung des Vertrags und Datenlöschung

Nach Vertragsende verpflichtet sich der Auftragsverarbeiter:

• Alle Daten zu löschen oder zurückzugeben

• Die Löschung auf Anfrage zu bestätigen

• Buchhaltungsdaten gemäß gesetzlichen Vorgaben aufzubewahren

13. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:

• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)

• Konsultationen mit Datenschutzbehörden (Art. 36 DSGVO)

• Prüfungen durch Aufsichtsbehörden

Ort, Datum: ____________________________


Unterschrift Verantwortlicher: ____________________________


Unterschrift Auftragsverarbeiter: ____________________________

Anlage 1: Liste der Unterauftragsverarbeiter