Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO

Vertragspartner und Rollen

Eigene Verarbeitungen von MinutMate für Vertragsverwaltung, Abrechnung, IT-Sicherheit und gesetzliche Pflichten erfolgen in eigener Verantwortlichkeit.

1. Gegenstand, Art, Zweck und Dauer

Bereitstellung, Hosting und Administration einer schulbezogenen SSD-Manager-Umgebung; Konten, Rollen, Dienstplanung, Ankündigungen, Anhänge, Geräte/Sitzungen, Support, Sicherung und IT-Sicherheit. Dauer des Hauptvertrags einschließlich abgestimmter Export- und Löschphase.

2. Betroffene Personen und Daten

Medizinische Falldaten und besondere Kategorien personenbezogener Daten sind nicht planmäßig vorgesehen. Sie dürfen nicht in Ankündigungen oder Anhängen gespeichert werden, sofern keine ausdrückliche Weisung und gesonderte rechtliche Prüfung vorliegt.

3. Weisungsbindung

MinutMate verarbeitet Schuldaten ausschließlich auf dokumentierte Weisung. Hauptvertrag, AVV, berechtigte Konfigurationen und nachweisbare Mitteilungen gelten als Weisungen. Offensichtlich rechtswidrige Weisungen werden beanstandet und bis zur Klärung ausgesetzt, soweit rechtlich zulässig.

4. Pflichten des Auftragsverarbeiters

Vertraulich verpflichtete, erforderliche Zugriffsberechtigte.

Umsetzung und fortlaufende Prüfung der vereinbarten TOMs.

Unterstützung bei Betroffenenrechten, DSFA, Konsultationen, Sicherheitsprüfungen und Meldungen.

Unverzügliche Information der Schule nach Bekanntwerden einer Datenschutzverletzung.

Führen erforderlicher Nachweise und Bereitstellung angemessener Kontrollinformationen.

5. Unterauftragsverarbeiter und Drittlandtransfers

Die separate Unterauftragnehmerliste ist allgemein genehmigt. MinutMate informiert über beabsichtigte wesentliche Änderungen mit angemessener Frist; die Schule kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Unterauftragsverarbeiter werden gleichwertig verpflichtet. Übermittlungen außerhalb des EWR erfolgen nur nach Art. 44 ff. DSGVO.

6. Kontrollen

MinutMate stellt erforderliche Informationen und Nachweise bereit. Dokumentenprüfungen haben Vorrang. Erforderliche Vor-Ort- oder Fernkontrollen erfolgen abgestimmt, während üblicher Geschäftszeiten, mit angemessener Vorankündigung und unter Wahrung von Sicherheits- und Geheimhaltungsinteressen.

7. Rückgabe und Löschung

Nach Vertragsende wird der Schulzugang deaktiviert. Exportfrist: 30 Tage. Danach werden produktive Schuldaten nach Weisung gelöscht oder anonymisiert. Verschlüsselte tägliche Sicherungen rotieren spätestens 30 Tage nach Erstellung aus und bleiben bis dahin gesperrt; sie werden nicht zur Rücknahme einer wirksamen Löschung in den Regelbetrieb verwendet. Gesetzliche Aufbewahrungspflichten für eigene Vertragsdaten bleiben unberührt.

8. Anlagen

Anlage 1: Verarbeitungsbeschreibung und Datenkategorien (Abschnitte 1 und 2).

Anlage 2: Unterauftragnehmerliste SSD Manager.

Anlage 3: Technische und organisatorische Maßnahmen.

Anlage 4: Lösch- und Aufbewahrungskonzept.

Unterschriften