Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
Präambel
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der Online-Plattform Blixway durch Bildungseinrichtungen und Unternehmen.
Auftraggeber: Die Bildungseinrichtung oder das Unternehmen (nachfolgend „Auftraggeber“)
Auftragsverarbeiter: Markus Wiesecke, c/o POSTFLEX PFX-562-142, Emsdettener Straße 10, 48268 Greven, Deutschland (E-Mail: [email protected])
§ 1 Gegenstand und Dauer
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Online-Schreibtrainers Blixway für den Auftraggeber.
(2) Die Dauer dieses Vertrages entspricht der Laufzeit der Schul- bzw. Unternehmenslizenz. Der Vertrag endet automatisch mit Ablauf oder Kündigung der Lizenzvereinbarung.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:
- Bereitstellung des Online-Schreibtrainers Blixway für Schülerinnen, Schüler und Lehrkräfte
- Erfassung und Auswertung von Tipp-Leistungsdaten (Geschwindigkeit, Genauigkeit, Fehlerquote)
- Erstellung von Fortschrittsberichten und Leistungsübersichten für Lehrkräfte
- Verwaltung von Classroom-Gruppen und Zuordnung von Schülerinnen und Schülern zu Lehrkräften
- Gamification-Funktionen (XP, Achievements, Zertifikate) zur Motivation der Lernenden
§ 3 Art der personenbezogenen Daten
Im Rahmen der Auftragsverarbeitung werden folgende Datenkategorien verarbeitet:
a) Kontodaten
- Name, E-Mail-Adresse, Anzeigename
- Authentifizierungsdaten (gehashte Passwörter, OAuth-Provider-ID)
b) Nutzungsdaten
- Tipp-Sessions (Wörter pro Minute, Anschläge pro Minute, Genauigkeit, Fehlerquote)
- Tastatur-Statistiken (Fehlerrate und Reaktionszeiten je Taste)
- Sitzungsdauer und Zeitstempel
c) Lernfortschritt
- Abgeschlossene Lektionen und Prüfungen
- Zertifikate und Meilensteine
- XP-Punkte, Level, Streak-Verlauf
- Achievements und Challenge-Teilnahmen
d) Kommunikationsdaten
- Benachrichtigungen und Benachrichtigungspräferenzen
- Feed-Aktivitäten (Achievements, Sessions)
§ 4 Kategorien betroffener Personen
- Schülerinnen und Schüler der auftraggebenden Bildungseinrichtung
- Lehrkräfte und Schuladministratoren der auftraggebenden Bildungseinrichtung
- Mitarbeiterinnen und Mitarbeiter des auftraggebenden Unternehmens (bei Unternehmenslizenz)
§ 5 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist.
(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe § 6).
(4) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte gemäß Art. 15-22 DSGVO (siehe § 8).
(5) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32-36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).
(6) Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück (siehe § 11).
(7) Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
§ 6 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:
a) Verschlüsselung
- Transportverschlüsselung: Alle Datenübertragungen erfolgen ausschließlich über HTTPS/TLS
- Passwort-Hashing: Passwörter werden mittels bcrypt mit individuellem Salt gespeichert
- Datenbank-Verbindungen sind SSL-verschlüsselt
b) Zugangskontrolle
- JWT-basierte Authentifizierung mit verschlüsselten Session-Tokens
- OAuth 2.0 Integration (Google, GitHub) mit standardkonformen Protokollen
- Automatische Session-Invalidierung nach Inaktivität
c) Zugriffskontrolle
- Rollenbasiertes Berechtigungssystem (Schüler, Lehrkraft, Administrator)
- Lehrkräfte sehen nur Daten der eigenen Classroom-Gruppen
- Schülerinnen und Schüler sehen nur eigene Leistungsdaten
d) Eingabekontrolle
- Audit-Trail für Bewertungen und Classroom-Auszahlungen
- Protokollierung von Datenänderungen mit Zeitstempel und Benutzer-ID
e) Verfügbarkeitskontrolle
- Regelmäßige PostgreSQL-Datenbank-Backups
- Container-Redundanz und automatische Skalierung
- Monitoring und Alerting bei Systemausfällen
§ 7 Unterauftragsverarbeiter
(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Der Auftragsverarbeiter informiert den Auftraggeber über jede beabsichtigte Änderung.
(2) Aktuelle Unterauftragsverarbeiter:
| Unternehmen | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting (Anwendung und Datenbank) | Deutschland (Falkenstein / Nürnberg) |
| Amazon Web Services EMEA SARL | E-Mail-Versand (AWS SES) | EU (Frankfurt) |
Der Auftragsverarbeiter stellt sicher, dass allen Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden wie in diesem Vertrag.
§ 8 Rechte der betroffenen Personen
(1) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung folgender Betroffenenrechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird diese unverzüglich an den Auftraggeber weitergeleitet.
§ 9 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses Vertrages durch Audits und Inspektionen zu überprüfen.
(2) Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.
(3) Inspektionen vor Ort sind nach angemessener Vorankündigung (mindestens 14 Werktage) während der üblichen Geschäftszeiten möglich.
§ 10 Meldepflichten bei Datenschutzverletzungen
(1) Der Auftragsverarbeiter benachrichtigt den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.
(2) Die Benachrichtigung enthält mindestens:
- Art der Verletzung, betroffene Datenkategorien und Personengruppen
- Ungefähre Anzahl der betroffenen Personen und Datensätze
- Beschreibung der ergriffenen und vorgeschlagenen Maßnahmen
- Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
(3) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.
§ 11 Löschung und Rückgabe
(1) Nach Beendigung der Auftragsverarbeitung löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten der betroffenen Personen innerhalb von 30 Tagen, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen.
(2) Der Auftraggeber hat vor der Löschung die Möglichkeit, einen vollständigen Datenexport in einem maschinenlesbaren Format (JSON/CSV) anzufordern.
(3) Der Auftragsverarbeiter bestätigt die vollständige Löschung schriftlich.
§ 12 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach den gesetzlichen Bestimmungen.
Unterschriften
Auftraggeber
Ort, Datum
Name, Funktion
Unterschrift
Auftragsverarbeiter
Ort, Datum
Name, Funktion
Unterschrift
Stand: März 2026
Weitere Informationen zum Datenschutz finden Sie in unserer Datenschutzerklärung.