Auftragsverarbeitungsvertrag

Parteien und Rollen

Ist der Verantwortliche nicht mit dem Auftraggeber des SaaS-Vertrags identisch, bestätigt der Unterzeichnende seine Befugnis zum Abschluss dieses AVV. Eigene Verarbeitungen von MinutMate für Vertrag, Abrechnung und gesetzliche Pflichten bleiben von der Auftragsverarbeitung getrennt.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung, das Hosting, die Administration, Sicherung und Unterstützung einer schulbezogenen SSD-Manager-Umgebung. Verarbeitungshandlungen sind insbesondere Erheben/Entgegennehmen, Ordnen, Speichern, Anzeigen, Übermitteln an autorisierte Empfänger, Protokollieren, Sichern, Exportieren, Einschränken, Anonymisieren und Löschen. Zweck ist ausschließlich die schulische Organisation des Schulsanitätsdienstes und der sichere technische Betrieb. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags einschließlich Export- und Löschphase.

2. Betroffene Personen und Datenarten

Besondere Kategorien nach Art. 9 DSGVO und medizinische Falldaten sind nicht Gegenstand der planmäßigen Leistung. Die Ausfallfunktion erfasst keinen Grund. Der Verantwortliche weist Nutzende an, keine Patientendaten, Diagnosen oder Krankheitsgründe einzugeben. Unzulässig eingegebene sensible Inhalte werden nur zur sicheren Speicherung, Anzeige an Berechtigte, Einschränkung und Löschung verarbeitet und MinutMate unverzüglich gemeldet.

3. Rechte und Pflichten des Verantwortlichen

Zwecke, Rechtsgrundlagen, Zulässigkeit, Transparenz, Richtigkeit, Nutzerkreis, Rollen und Weisungen festlegen und dokumentieren.

Garantien des Auftragsverarbeiters, TOMs und Unterauftragnehmer risikoorientiert bewerten.

Betroffenenrechte, Meldepflichten, DSFA und gegebenenfalls Konsultation entscheiden; MinutMate rechtzeitig einbinden.

Zugänge und bereitgestellte Daten schützen sowie rechtswidrige oder fehlerhafte Weisungen korrigieren.

4. Weisungen und gesetzliche Anforderungen

MinutMate verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, einschließlich Weisungen zu Drittlandübermittlungen. Hauptvertrag, dieser AVV, berechtigte Produktkonfigurationen und nachweisbare Mitteilungen autorisierter Kontakte gelten als Weisungen. Muss MinutMate aufgrund von Unions- oder Mitgliedstaatenrecht verarbeiten, wird der Verantwortliche vorab informiert, soweit das Recht dies nicht verbietet. Hält MinutMate eine Weisung für datenschutzwidrig, informiert MinutMate unverzüglich und darf deren Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit und Personal

Zugriff erhalten nur Personen, die ihn für Betrieb oder Support benötigen und wirksam zur Vertraulichkeit verpflichtet oder gesetzlich zur Verschwiegenheit verpflichtet sind. Berechtigungen werden nach Minimalprinzip vergeben, regelmäßig geprüft und nach Wegfall unverzüglich entzogen.

6. Sicherheit der Verarbeitung

MinutMate setzt die als Anlage beigefügten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um, überprüft deren Wirksamkeit regelmäßig und passt sie risikoorientiert an. Änderungen dürfen das vereinbarte Schutzniveau nicht wesentlich absenken. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung für die in der Anlage aufgeführten Unterauftragsverarbeiter. MinutMate informiert über beabsichtigte Hinzufügungen oder Ersetzungen grundsätzlich mindestens 14 Kalendertage vor Einsatz; bei zwingenden Sicherheits- oder Verfügbarkeitsmaßnahmen so früh wie möglich. Ein Widerspruch ist innerhalb der Frist aus nachvollziehbarem datenschutzrechtlichem Grund möglich. Ist keine zumutbare Alternative verfügbar, können die Parteien den betroffenen Leistungsanteil oder den Hauptvertrag außerordentlich beenden. MinutMate verpflichtet Unterauftragsverarbeiter mindestens gleichwertig und bleibt für deren Pflichterfüllung verantwortlich.

8. Internationale Übermittlungen

Verarbeitungen außerhalb des EWR oder Zugriffe von dort erfolgen nur auf dokumentierte Weisung und unter Einhaltung von Kapitel V DSGVO. Als Garantien kommen insbesondere ein Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework, soweit Empfänger und Verarbeitung erfasst sind, oder Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen in Betracht. Die Anbieter- und Transferprüfung ist Anlage und wird mindestens jährlich sowie anlassbezogen aktualisiert.

9. Betroffenenanfragen

MinutMate leitet unmittelbar eingehende Anfragen zu Schuldaten unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig, außer auf Weisung. Unter Berücksichtigung der Art der Verarbeitung unterstützt MinutMate durch Suche, Export, Berichtigung, Einschränkung, Anonymisierung oder Löschung. Daten anderer Personen und Sicherheitsinformationen werden geschützt.

10. Unterstützung nach Art. 32 bis 36 DSGVO

MinutMate unterstützt den Verantwortlichen mit verfügbaren Informationen bei Sicherheit, Datenschutz-Folgenabschätzung, vorheriger Konsultation sowie der Prüfung von Richtigkeit und Datenminimierung. Umfang, Dringlichkeit und sichere Übermittlung werden abgestimmt; gesetzlich erforderliche Standardunterstützung ist von der vereinbarten Vergütung umfasst, erheblicher Zusatzaufwand nur nach vorheriger Abstimmung.

11. Datenschutzverletzungen

MinutMate informiert den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes von Schuldaten unverzüglich und ohne unangemessene Verzögerung. Die Erstinformation enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten/Personengruppen und ungefähren Umfang, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Kontaktstelle und Zeitpunkt. Fehlende Angaben werden fortlaufend nachgereicht. MinutMate dokumentiert, begrenzt und untersucht den Vorfall und unterstützt Meldungen nach Art. 33 und 34 DSGVO.

12. Nachweise und Kontrollen

MinutMate stellt die zur Prüfung dieses AVV erforderlichen Informationen bereit und ermöglicht angemessene Audits. Dokumenten-, Zertifikats- und Berichtprüfungen haben Vorrang. Weitergehende Kontrollen werden mit angemessener Vorankündigung, während üblicher Geschäftszeiten, ohne Gefährdung anderer Kunden oder Systeme und unter Vertraulichkeit durchgeführt. Bei konkretem Vorfall oder begründetem Verdacht gilt keine starre Vorankündigungsfrist. Jede Partei trägt ihre eigenen Kosten; vermeidbarer Sonderaufwand kann nach vorheriger Abstimmung berechnet werden.

13. Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt MinutMate personenbezogene Schuldaten nach Wahl und Weisung des Verantwortlichen zurück und löscht vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ohne rechtzeitige Wahl gilt das im Hauptvertrag und Löschkonzept beschriebene Verfahren: 30 Tage Exportphase, danach produktive Löschung beziehungsweise Anonymisierung; verschlüsselte Backups laufen innerhalb weiterer 30 Tage aus und bleiben bis dahin für den Regelbetrieb gesperrt. Eine Löschbestätigung wird auf Anfrage bereitgestellt.

14. Vertragsdauer, Rang und Kündigung

Dieser AVV gilt ab Unterzeichnung beziehungsweise elektronischem Abschluss und solange MinutMate Schuldaten verarbeitet. Bei Widersprüchen gehen zwingendes Datenschutzrecht und dieser AVV hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor. Ein erheblicher, nicht fristgerecht behobener Datenschutzverstoß berechtigt zur Aussetzung betroffener Verarbeitungen und nach erfolgloser Abhilfe zur außerordentlichen Beendigung.

15. Anlagen

Anlage 1: Verarbeitungsbeschreibung und Datenarten (Abschnitte 1 und 2 dieses AVV).

Anlage 2: Technische und organisatorische Maßnahmen, Version 1.0 vom 02.09.2026.

Anlage 3: Unterauftragnehmer- und Empfängerliste, Version 1.0 vom 02.09.2026.

Anlage 4: Lösch- und Aufbewahrungskonzept, Version 1.0 vom 02.09.2026.

Anlage 5: Anbieter- und Drittlandtransferprüfung, Version 1.0 vom 02.09.2026.

Unterschriften