nach Art. 28 DSGVO (Stand: August 2026)
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Web-App „Klassennavi" (nachfolgend „App"). Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen.
Verantwortliche(r) (Art. 4 Nr. 7 DSGVO): die die App nutzende Lehrkraft bzw. deren Schule/Schulträger – nachfolgend „Verantwortliche".
Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Lucas Reichow, Bachstraße 15, 32756 Detmold, Deutschland, E-Mail: info@klassennavi.de – nachfolgend „Auftragnehmer".
Die Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Sie prüft insbesondere, ob sie Schülerdaten in der App verarbeiten darf (Schulrecht des Landes, ggf. Zustimmung der Schulleitung; siehe Schulleitungs-Hinweis).
Abschluss: Dieser Vertrag wird im elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Bei der Konto-Erstellung wird auf ihn hingewiesen; mit der Registrierung bzw. der ersten Anmeldung und der Nutzung der App für Schülerdaten stimmt die Verantwortliche ihm zu. Auf Wunsch stellt der Auftragnehmer eine unterschriebene Fassung für die Unterlagen der Schule bereit (formlose Anfrage per E-Mail genügt).
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, zum Betrieb und zur Wartung der App (Speicherung, Synchronisation zwischen den Geräten der Verantwortlichen, optionale KI-Textgenerierung, optionaler Kalender-Feed, Sicherung und Wiederherstellung). Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.
Der Vertrag läuft für die Dauer des Nutzungsverhältnisses (Konto). Er endet mit Löschung des Kontos bzw. Ende des Vertrags über die App.
Datenarten (im Auftrag verarbeitet):
Besondere Kategorien (Art. 9 DSGVO): Die App bietet ausdrücklich Kennzeichnungen für die Förderschwerpunkte „Lernen" und „Emotionale und soziale Entwicklung" (ESE); außerdem können Beobachtungen und Zeugnistexte sonderpädagogischen Förderbedarf und damit mittelbar Gesundheitsdaten offenbaren. Der Auftragnehmer behandelt daher sämtliche Inhaltsdaten durchgängig auf dem Schutzniveau besonderer Kategorien (Speicherung ausschließlich in der EU, Pseudonymisierung vor KI-Aufrufen, strikte Eigentümer-Zugriffsregeln, kurze Sicherungsfristen). Die Verantwortliche stellt sicher, dass für diese Verarbeitung eine tragfähige Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO in Verbindung mit dem Schulrecht ihres Landes besteht.
Kreis der Betroffenen: Schülerinnen und Schüler der Verantwortlichen sowie deren Erziehungsberechtigte/Kontaktpersonen.
(Konto-/Abrechnungsdaten der Lehrkraft selbst – E-Mail, Zahlungsdaten – verarbeitet der Auftragnehmer als eigener Verantwortlicher, nicht im Auftrag; siehe Datenschutzerklärung. Sie sind nicht Gegenstand dieses AVV.)
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Die Nutzung der App und ihrer Funktionen durch die Verantwortliche gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit; er darf die Ausführung bis zur Bestätigung aussetzen.
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit ist der Auftragnehmer Einzelunternehmer ohne weitere Beschäftigte; werden künftig Personen eingesetzt, werden sie zuvor auf die Vertraulichkeit verpflichtet.
Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer auf dem Stand der Technik.
Die Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer stellt sicher, dass mit ihnen entsprechende Verpflichtungen nach Art. 28 DSGVO bestehen. Über den Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter informiert der Auftragnehmer vorab; die Verantwortliche kann begründet widersprechen. Widerspricht sie, kann der Auftragnehmer den Vertrag anteilig beenden.
Der Auftragnehmer unterstützt die Verantwortliche im Rahmen des Zumutbaren bei:
Der Auftragnehmer meldet der Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO.
Nach Ende des Vertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie zurück, nach Wahl der Verantwortlichen. Die App ermöglicht die Selbstlöschung des Kontos (serverseitige Löschung aller Live- und Archivdaten in einem Schritt) sowie den vollständigen Export. Ohne abweichende Weisung werden Konto und sämtliche Daten zudem automatisch 6 Monate nach Ende des Zugangs unwiderruflich gelöscht; nach Ablauf einer bezahlten Laufzeit besteht in den ersten 14 Tagen ein Nur-Lese-Zugang, damit die Daten noch exportiert werden können (nach einer Testphase entfällt dieser Zeitraum). Sicherungskopien werden spätestens nach 14 Tagen überschrieben (siehe Anlage 1). Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Der Auftragnehmer stellt der Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung (z. B. diese TOM-Beschreibung, Angaben zu den Unterauftragsverarbeitern). Kontrollen erfolgen vorrangig durch Auskunft; Vor-Ort-Kontrollen nach angemessener Vorankündigung.
Die Verarbeitung der Inhaltsdaten (Schülerdaten) findet in der EU statt (Google Cloud, Regionen eur3 bzw. europe-west3). Die statischen Programmdateien werden über Firebase Hosting (Google Ireland Limited) über ein weltweites Content-Delivery-Netzwerk ausgeliefert; dabei werden technisch bedingt IP-Adressen verarbeitet. Grundlage sind die Google Cloud Data Processing Terms inkl. EU-Standardvertragsklauseln. Details: Anlage 2.
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.
| Unterauftragsverarbeiter | Leistung | Ort | Grundlage |
|---|---|---|---|
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Datenbank (Firestore), Login (Firebase Auth), Server-Dienste (Cloud Functions), KI-Verarbeitung (Vertex AI), Auslieferung der statischen App-Dateien (Firebase Hosting, weltweites CDN) | EU (eur3: Belgien/Niederlande; europe-west3: Frankfurt) | Google Cloud Data Processing Terms/Addendum inkl. EU-Standardvertragsklauseln |
Hinweis: Das KI-Modell „Claude" wird über Google Cloud (Vertex AI) mit EU-Verarbeitung betrieben. Eine eigenständige Übermittlung an Anthropic oder in die USA findet für die KI-Generierung nicht statt; Google nutzt die Ein-/Ausgaben vertragsgemäß nicht zum Training.
(Die Zahlungsabwicklung über Paddle als Merchant of Record betrifft ausschließlich Konto-/Zahlungsdaten der Lehrkraft, nicht die Schülerdaten – Paddle ist insoweit eigener Verantwortlicher und kein Unterauftragsverarbeiter im Sinne dieses AVV; siehe Datenschutzerklärung.)
Ort, Datum – Verantwortliche · Ort, Datum – Auftragnehmer (Lucas Reichow)
Hinweis: Dieser Entwurf ersetzt keine Rechtsberatung. Siehe auch: AGB · Datenschutz · Impressum