Auftragsverarbeitungsvertrag

1. Parteien und warum es diesen Vertrag gibt

Dieser Auftragsverarbeitungsvertrag gilt zwischen Ihnen, der Nachhilfelehrkraft oder Praxis mit einem Konto bei LessonSolutions (der Verantwortliche), und Just-Solutions, KvK 42024979, Panna 3, 5126 DJ Gilze, Niederlande (der Auftragsverarbeiter).

Er besteht, weil Sie mit diesem Produkt personenbezogene Daten anderer Menschen verarbeiten: Kinder von etwa vier bis zwölf Jahren und deren Eltern. Sie bestimmen, welche Daten Sie erfassen und warum; wir speichern und bearbeiten sie ausschließlich, um Ihnen den Dienst bereitzustellen. Art. 28 der Datenschutz-Grundverordnung verlangt, dass dieses Verhältnis schriftlich festgehalten wird. Das ist dieses Dokument.

Wie er zustande kommt. Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt, sobald Sie ein Konto anlegen und diese Bedingungen annehmen. Wenn Sie lieber ein gesondertes, von beiden Seiten unterzeichnetes Exemplar möchten — etwa weil eine Schule oder Kommune danach fragt — schreiben Sie an privacy@lesson-solutions.online, dann senden wir es Ihnen zu.

Maßgeblich ist die niederländische Fassung. Weichen die deutsche oder die englische Übersetzung davon ab, gilt der niederländische Text.

2. Rangfolge und Zusammenhang

Weicht dieser Vertrag von den Allgemeinen Geschäftsbedingungen ab, geht dieser Vertrag vor, jedoch nur, soweit es die Verarbeitung personenbezogener Daten Ihrer Schülerinnen, Schüler und Eltern betrifft. Die Datenschutzerklärung beschreibt dieselben Verarbeitungen in einfacher Sprache und ist als Erläuterung gedacht, nicht als Abweichung.

Begriffe wie "personenbezogene Daten", "Verarbeitung", "betroffene Person", "Verantwortlicher", "Auftragsverarbeiter", "Unterauftragsverarbeiter" und "Verletzung des Schutzes personenbezogener Daten" haben die Bedeutung, die ihnen die DSGVO gibt.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

• Gegenstand: die Bereitstellung von LessonSolutions — Verwaltung, Planung, Lernfortschrittserfassung, Berichte, Rechnungsstellung und Elternportal für eine Nachhilfepraxis.
• Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verändern, Übermitteln (an die Eltern über das Portal und an die Unterauftragsverarbeiter in Ziffer 8) und Löschen.
• Zweck: ausschließlich die Bereitstellung des Dienstes an Sie. Wir verarbeiten die Daten nicht zu eigenen Zwecken, verwenden sie nicht zur Verbesserung unserer Produkte, trainieren damit keine Modelle, verkaufen sie nicht und geben sie nicht an Werbetreibende weiter.
• Dauer: solange Sie ein Konto haben, und danach wie in Ziffer 13 beschrieben.

4. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen sind: (a) die Schülerinnen und Schüler Ihrer Praxis — Kinder von etwa vier bis zwölf Jahren; (b) deren Eltern oder Erziehungsberechtigte; und (c) Personen, die über das Anmeldeformular eine Probestunde anfragen.

Besondere Kategorien. Der Dienst fragt nirgends danach und hat kein Feld dafür. Die freien Notizen und das Stundenprotokoll sind Freitext, Sie können dort also etwas eintragen, das als besondere Kategorie gilt. Tun Sie das nicht, es sei denn, es ist für die Nachhilfepraxis wirklich erforderlich und Sie haben dafür eine Rechtsgrundlage. Wir sind nicht auf die systematische Verarbeitung von Gesundheitsdaten ausgelegt und betrachten sie nicht als Teil des Auftrags.

5. Ihre Weisungen

Wir verarbeiten die personenbezogenen Daten ausschließlich auf Ihre dokumentierte Weisung. Als Weisung gelten: dieser Vertrag, die Allgemeinen Geschäftsbedingungen, die Funktionen des Dienstes so, wie Sie sie nutzen, und die Einstellungen, die Sie wählen.

Verpflichtet uns das Recht der Europäischen Union oder eines Mitgliedstaats zu einer darüber hinausgehenden Verarbeitung, teilen wir Ihnen das vorher mit, sofern das betreffende Recht dies nicht verbietet.

Wir informieren Sie, wenn wir der Auffassung sind, dass eine Ihrer Weisungen gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

Sie stehen dafür ein, dass Sie eine gültige Rechtsgrundlage für diese Verarbeitung haben, dass Sie die Eltern darüber informieren, was Sie erfassen und warum, und dass Sie selbst festlegen, wie lange Sie Daten aufbewahren. Diese Abwägung können wir nicht für Sie treffen, und wir tun es auch nicht.

6. Vertraulichkeit

Alle Personen bei uns, die Zugang zu den personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet, vertraglich oder gesetzlich. Diese Pflicht besteht nach Beendigung der Tätigkeit oder dieses Vertrags fort.

Der Zugang zu Produktivdaten ist auf die Personen beschränkt, die ihn benötigen, damit der Dienst funktioniert, und wird für Betrieb, Sicherungen und Störungsbehebung genutzt — nicht zum Mitlesen.

7. Sicherheit (Art. 32 DSGVO)

Wir treffen geeignete technische und organisatorische Maßnahmen. Diese Maßnahmen sind heute tatsächlich im Produkt umgesetzt:

• Verschlüsselung des gesamten Datenverkehrs mit TLS (HTTPS);
• Passwörter ausschließlich als Hash gespeichert, mit einem dafür vorgesehenen Verfahren;
• das Sitzungscookie ist HttpOnly, Secure und SameSite; das Zugriffstoken einer Sitzung ist kurzlebig;
• strikte Trennung zwischen Praxen: Jede Abfrage im Dienst ist an den Kontoinhaber gebunden, ein Elternportal-Link an genau eine Familie — das Ändern eines Parameters liefert keine fremden Daten;
• ein Elternportal-Link ist signiert, nicht manipulierbar und je Familie mit einem Schritt widerrufbar;
• Ratenbegrenzung bei der Anmeldung und in der API sowie vorübergehende Kontosperre nach wiederholt fehlgeschlagener Anmeldung;
• Sicherheitsheader in jeder Antwort des Servers;
• Spamschutz auf öffentlichen Formularen, der auf unserem eigenen Server läuft und keinen Dritten einbindet;
• ein Sicherheitsprotokoll von Anmelde- und Kontoereignissen, mit Zeitpunkt und IP-Adresse;
• Hosting innerhalb der Europäischen Union, in Deutschland;
• regelmäßige Sicherungen der Datenbank.

Wir können diese Maßnahmen ändern, solange das Schutzniveau dadurch nicht sinkt.

8. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen. Mit jedem von ihnen haben wir Vereinbarungen getroffen, die nicht weniger streng sind als dieser Vertrag.

Anthropic verdient einen eigenen Hinweis. Dies ist der einzige Unterauftragsverarbeiter, der personenbezogene Daten eines namentlich genannten Kindes außerhalb der EU verarbeitet, und der einzige, der Freitext zu sehen bekommt, den Sie über dieses Kind geschrieben haben. Sie erteilen dazu den Auftrag, indem Sie die Funktion nutzen: Der Dienst sendet nichts an Anthropic, solange Sie keinen Berichtsentwurf erstellen lassen. Nachname, Geburtsdatum, Schule, Anschrift, Elterndaten und Rechnungen werden nie übermittelt. Das Ergebnis ist immer ein Entwurf, den Sie prüfen müssen; es wird nie automatisch etwas an Eltern versendet.

Wir informieren Sie mindestens 30 Tage bevor wir einen Unterauftragsverarbeiter hinzufügen oder austauschen. Widersprechen Sie innerhalb dieser Frist und finden wir keine Lösung, können Sie Ihr Abonnement zum Zeitpunkt der Änderung kostenfrei kündigen.

9. Übermittlung außerhalb der EU

Alle Daten liegen auf Servern in Deutschland. Die einzige strukturelle Übermittlung außerhalb der EU ist die an Anthropic in den Vereinigten Staaten, und auch nur dann, wenn Sie die Entwurfsfunktion nutzen. Diese Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission, die Teil der Auftragsverarbeitungsbedingungen von Anthropic sind.

Wir übermitteln keine personenbezogenen Daten in ein anderes Drittland, ohne Sie darüber zu informieren und ohne gültigen Übermittlungsmechanismus.

10. Rechte betroffener Personen

Verlangt ein Elternteil Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Übertragung, beantworten Sie dieses Verlangen. Wir dürfen das nicht von uns aus tun.

Wir unterstützen Sie dabei mit den Mitteln des Dienstes: Sie sehen und bearbeiten alle Daten einer Familie in der App und können eine Familie mit der gesamten Historie löschen — der Dienst zeigt vorher, was dabei verschwindet.

Kommen Sie nicht weiter oder benötigen Sie etwas, das die App nicht bietet, schreiben Sie an privacy@lesson-solutions.online. Wir helfen innerhalb einer angemessenen Frist und kostenlos, es sei denn, ein Verlangen erfordert einen unverhältnismäßigen Aufwand.

Erreicht uns ein Verlangen eines Elternteils unmittelbar, beantworten wir es inhaltlich nicht. Wir verweisen die Eltern an Sie und teilen Ihnen mit, dass ein Verlangen eingegangen ist.

11. Unterstützung bei Folgenabschätzung und Konsultation

Wir unterstützen Sie unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung Ihrer Pflichten aus Art. 32 bis 36 DSGVO: bei der Sicherung der Verarbeitung, bei der Meldung einer Datenschutzverletzung, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

In der Praxis bedeutet das: Wir stellen Ihnen auf Anfrage die Informationen über unsere Verarbeitungen, Unterauftragsverarbeiter und Sicherheitsmaßnahmen zur Verfügung, die Sie für eine solche Abschätzung benötigen.

12. Datenschutzverletzungen

Entdecken wir eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, melden wir Ihnen das unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist.

Wir melden, was wir zu diesem Zeitpunkt wissen: was geschehen ist, welche Kategorien von Daten und betroffenen Personen betroffen sind, welche wahrscheinlichen Folgen bestehen, welche Maßnahmen wir ergriffen haben und wen Sie bei uns erreichen. Wissen wir noch nicht alles, melden wir zuerst und ergänzen anschließend.

Die Meldung an die Aufsichtsbehörde und, wo erforderlich, an die Eltern ist Ihre Aufgabe — Sie sind der Verantwortliche. Wir liefern Ihnen alles, was Sie dafür von uns benötigen.

13. Was nach Ende des Vertrags mit den Daten geschieht

Wir beschreiben hier ehrlich, was heute geschieht — auch dort, wo es noch nicht so ist, wie es werden soll.

• Selbst löschen ist jederzeit möglich. Sie können eine Familie mit der gesamten Historie — Kinder, Stunden, Protokolle, Bewertungen, Berichte, Material und Nachrichten — in einem Schritt löschen. Der Dienst zeigt vorher genau, was verschwindet, und bittet Sie, den Namen der Familie abzutippen.
• Versendete Rechnungen verhindern das. Bestehen für diese Familie versendete Rechnungen, kann sie nicht gelöscht werden: Sie müssen diese Rechnungen sieben Jahre aufbewahren (Art. 52 des niederländischen Abgabengesetzes), und die DSGVO lässt diese Pflicht ausdrücklich unberührt (Art. 17 Abs. 3 lit. b). Ein Rechnungsentwurf blockiert nichts — er wurde nie versendet und wird mit der Familie gelöscht.
• Export. Sie können Ihre Kontodaten in den Einstellungen exportieren. Wünschen Sie einen vollständigen Export Ihrer Praxisdaten in einem lesbaren Format, schreiben Sie an privacy@lesson-solutions.online; wir liefern ihn kostenlos.
• Das Löschen Ihres Kontos löscht die ganze Praxis. Löschen Sie Ihr Konto, löschen wir im selben Schritt alle Schüler- und Elterndaten, die Sie im Dienst erfasst haben: Kinder, Stunden, Protokolle, Bewertungen, Berichte, Stundenpläne, Material und Portalnachrichten. Schlägt dieses Löschen fehl, wird auch das Konto nicht gelöscht. Nur Familien mit versendeten Rechnungen bleiben bestehen, und von ihnen nur Name und Rechnungsanschrift — alles Übrige, einschließlich des Kindes und seiner Stunden, wird auch dann gelöscht. Möchten Sie auch diese letzten Daten entfernen, geht das erst nach Ablauf Ihrer Aufbewahrungspflicht; schreiben Sie an privacy@lesson-solutions.online, wir erledigen es dann.
• Sicherungen. Gelöschte Daten können bis zum Ablauf der Sicherungen noch in regulären Backups enthalten sein. Solange das der Fall ist, werden sie nicht mehr verwendet und nicht mehr angezeigt.

14. Kontrolle und Informationen

Wir stellen Ihnen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind: unsere Sicherheitsmaßnahmen, unsere Unterauftragsverarbeiter und den Speicherort der Daten. Fragen Sie danach unter privacy@lesson-solutions.online.

Sie haben das Recht, eine Prüfung durch eine unabhängige, zur Verschwiegenheit verpflichtete Sachverständige oder einen entsprechenden Sachverständigen durchführen zu lassen. Kündigen Sie das mindestens 30 Tage vorher an, höchstens einmal jährlich, sofern nicht eine Datenschutzverletzung oder ein Hinweis der Aufsichtsbehörde Anlass zu mehr gibt. Eine Prüfung darf den Betrieb für andere Kunden nicht stören und keinen Einblick in Daten anderer Praxen geben. Die Kosten tragen Sie, es sei denn, die Prüfung ergibt eine wesentliche Nichteinhaltung dieses Vertrags durch uns.

15. Haftung

Jede Partei haftet für ihr eigenes Handeln nach Maßgabe des Art. 82 DSGVO. Die Haftungsbeschränkung aus den Allgemeinen Geschäftsbedingungen gilt nicht für unsere Pflichten als Auftragsverarbeiter nach diesem Vertrag.

16. Laufzeit, Änderungen, Recht und Kontakt

Dieser Vertrag gilt, solange wir personenbezogene Daten für Sie verarbeiten, und endet danach, mit Ausnahme der Bestimmungen, die ihrer Natur nach fortgelten (Vertraulichkeit, Haftung und der Umgang mit den Daten nach Vertragsende).

Wir können diesen Vertrag ändern, wenn der Dienst, das Gesetz oder die Aufsicht dazu Anlass geben. Eine Änderung kündigen wir mindestens 30 Tage vorher per E-Mail an; sind Sie nicht einverstanden, können Sie zum Zeitpunkt des Inkrafttretens kündigen.

Auf diesen Vertrag ist niederländisches Recht anwendbar. Kontakt:
Just-Solutions, Panna 3, 5126 DJ Gilze, Niederlande. KvK 42024979.
privacy@lesson-solutions.online