Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Stand: 16.10.2026

zwischen

[NAME DER VERANTWORTLICHEN STELLE], [ANSCHRIFT]
– „Verantwortlicher“ (Auftraggeber) –

und

VocaFix – [ANBIETER-NAME], [ANBIETER-ANSCHRIFT]
– „Auftragsverarbeiter“ (Auftragnehmer) –

§ 1 Gegenstand, Parteien und Dauer

(1) Gegenstand ist die Bereitstellung der App VocaFix als Online-Dienst im Rahmen einer Lizenz VocaFix Solo, VocaFix Studio oder VocaFix Campus (AGB Lehrkräfte, Nachhilfe und Schulen) für die Kinder, die der Verantwortliche anlegt, einschließlich Speicherung der Lernstände, Gruppen, Vokabellisten, Zugangsdaten und der Eltern-Ansicht sowie – bei VocaFix Campus – der Konten der Lehrkräfte und der Schulverwaltung.

(2) Verantwortlicher ist die Stelle, die nach dem anwendbaren Recht über den Einsatz entscheidet: bei Schulen die nach dem Schulrecht zuständige Stelle, bei einer Nachhilfe deren Inhaber, bei einer einzelnen Lehrkraft die Stelle, in deren Auftrag sie unterrichtet. Eine Lehrkraft kann diesen Vertrag für ihre Schule nur mit entsprechender Vertretungsbefugnis abschließen; sie bestätigt beim Kauf, dass der Einsatz mit der Schulleitung abgestimmt bzw. dienstrechtlich gestattet ist. Die Person, die die Lizenz bezahlt, kann vom Verantwortlichen abweichen.

(3) Der Vertrag gilt für die Dauer des Lizenzvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet (insbesondere bis zum Abschluss von Rückgabe und Löschung nach § 9).

(4) Der Vertrag wird bei Online-Käufen mit der Bestellung in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO; Kästchen vor „Zahlungspflichtig bestellen“, Zeitpunkt und Fassung werden am Kauf gespeichert), bei VocaFix Campus zusammen mit der Annahme des Angebots.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung findet ausschließlich in Deutschland bzw. – beim E-Mail-Versand – in der EU statt. Für die eigene Vertragsabwicklung mit dem Kunden (Kauf, Rechnung, Mitteilungen bei Zahlungsverzug) handelt der Auftragsverarbeiter als eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses Vertrags.

§ 3 Art der Daten und Kategorien betroffener Personen

Betroffene: (a) Kinder und Jugendliche (Schülerinnen und Schüler, Nachhilfekinder); (b) Eltern, soweit sie die Eltern-Ansicht aufrufen (nur technische Zugriffsdaten); (c) bei VocaFix Campus die Lehrkräfte und Schulverwaltungen des Verantwortlichen; (d) bei VocaFix Solo und VocaFix Studio die Lehrkraft, soweit ihre Daten im Protokoll und in den Inhalten erscheinen.

Datenarten:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Der Verantwortliche stellt sicher, dass in Namen, Gruppennamen und eigenen Listen keine solchen Daten eingegeben werden.

§ 4 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen sind in diesem Vertrag und durch die Bedienung der Lehrkraft- und Verwaltungsoberfläche (Anlegen, Ändern, Löschen) festgelegt. Weitere Weisungen erteilen die Lehrkraft bzw. Schulverwaltung oder andere vom Verantwortlichen benannte Personen in Textform an datenschutz@vocafix.com. Der Auftragsverarbeiter bestätigt Weisungen in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 5 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet.

(2) Sicherheit: Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an. Eine Absenkung des Schutzniveaus ist unzulässig.

(3) Unterstützung: Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12–22 DSGVO) – insbesondere durch die Lösch- und Änderungsfunktionen der Lehrkraft- und Verwaltungsoberfläche und auf Anforderung durch die Herausgabe der Daten einzelner oder aller Kinder in einem gängigen maschinenlesbaren Format (CSV oder JSON) innerhalb von 14 Tagen – sowie bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation). Anfragen Betroffener, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.

(4) Meldung: Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(5) Verzeichnis: Er führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

(6) Datenschutzbeauftragter: [DATENSCHUTZBEAUFTRAGTER: NAME UND KONTAKT], erreichbar unter datenschutz@vocafix.com.

(7) Keine eigenen Zwecke: Er verarbeitet die Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder das Training von KI-Modellen. Kinder mit Schulzugang sehen keine Werbung. Der Verantwortliche weist den Auftragsverarbeiter an, frei eingetragene Wortpaare (Englisch/Deutsch) aus den Listen ohne Bezug zu Kindern, Lehrkräften, Listen oder Schulen in eine anonyme Wortliste zu übernehmen („Neue Wörter“); erhalten bleiben nur das Wortpaar, die Zahl der Listen und Schulen sowie erstes und letztes Datum. Wortpaare mit erkennbar personenbezogenem Inhalt übernimmt der Auftragsverarbeiter nicht bzw. löscht sie. Statusvermerke dazu löscht er 90 Tage nach der letzten Statusänderung, sobald das Wort in keiner Liste mehr steht.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Lizenzvertrag außerordentlich kündigen und erhält den anteiligen Preis zurück.

(3) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten vertraglich auf (Art. 28 Abs. 4 DSGVO) und haftet für deren Einhaltung.

§ 7 Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt ihm auf Anfrage alle erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate von Hetzner).

(2) Regelprüfungen, auch vor Ort, werden mit angemessener Frist (in der Regel 14 Tage) angekündigt und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden durchgeführt. Bei konkreten Anhaltspunkten für erhebliche Datenschutzverstöße oder auf Anforderung einer Aufsichtsbehörde sind kurzfristige Prüfungen möglich. Für Rechenzentren gelten die Zutrittsregeln des Rechenzentrumsbetreibers; sie dürfen erforderliche Kontrollen nicht vereiteln. Jede Partei trägt ihre eigenen Kosten.

§ 8 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen (Art. 13/14 DSGVO) und – soweit erforderlich – die Einwilligung der Eltern (Vorlage: Elterninformation).

(2) Er geht mit Zugangszetteln (einschließlich Eltern-PIN) und Eltern-Links sorgfältig um (AGB Lehrkräfte, Nachhilfe und Schulen, § 7 Abs. 3) und informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit: Die Lehrkraft (bei VocaFix Campus auch die Schulverwaltung) kann Kinderkonten jederzeit selbst löschen; die Schulverwaltung kann zudem Lehrerkonten der Schule löschen. Kinderkonto, Lernstand und Eltern-Links werden dabei sofort gelöscht. Löscht die Inhaberin bzw. der Inhaber einer Lizenz VocaFix Solo oder VocaFix Studio das eigene Konto, werden alle Kinderkonten, Gruppen, Listen und Eltern-Links der Organisation sofort gelöscht.

(2) Nach Ende der Lizenz: Die Daten bleiben zunächst gespeichert, damit der Verantwortliche die Lizenz verlängern, die Daten herausverlangen oder selbst löschen kann; die Kinder können sie in dieser Zeit nicht nutzen. Der Verantwortliche wählt, ob der Auftragsverarbeiter die Daten zurückgibt (Herausgabe nach § 5 Abs. 3) oder löscht. Der Auftragsverarbeiter führt die gewählte Maßnahme innerhalb von 30 Tagen nach Zugang der Weisung aus, einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bis zur abschließenden Abwicklung bleiben Herausgabe- und Weisungsweg verfügbar, auch während einer Zugangssperre.

(3) Datensicherungen werden spätestens nach 30 Tagen überschrieben; bei einer Wiederherstellung wendet der Auftragsverarbeiter bereits ausgeführte Löschungen erneut an.

(4) Gesetzliche Aufbewahrungspflichten betreffen nur Vertrags- und Rechnungsdaten des Kunden (nicht Daten der Kinder) und bleiben unberührt.

(5) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.

(6) Zahlungsverzug (VocaFix Campus): Eine Sperre wegen Zahlungsverzug richtet sich nach § 5 Abs. 3 der AGB Lehrkräfte, Nachhilfe und Schulen (frühestens 60 Tage nach Fälligkeit und nach schriftlicher Mahnung). Dabei werden keine Daten gelöscht; die Schulverwaltung behält ihren Zugang, und die Pflichten nach § 5 Abs. 3 und § 9 (Unterstützung bei Betroffenenrechten, Herausgabe, Löschung, Weisungen) bestehen unverändert fort. Mit Zahlungseingang wird die Sperre sofort aufgehoben. Die Mitteilungen dazu gehen an die Schulverwaltungs-Konten und enthalten keine Daten von Kindern.

§ 10 Haftung, Schlussbestimmungen

(1) Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung des Lizenzvertrags.

(2) Bei Widersprüchen geht dieser Vertrag dem Lizenzvertrag in Datenschutzfragen vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Ort, Datum, Verantwortlicher: ____________________ Ort, Datum, Auftragsverarbeiter: ____________________

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Löschung und Zweckbindung

5. Organisation

Anlage 2 – Unterauftragsverarbeiter

Nicht Unterauftragsverarbeiter dieses Vertrags sind Zahlungsdienste (PayPal), Google und Apple: Sie verarbeiten nur Daten des Kunden für dessen Vertrag mit dem Auftragsverarbeiter bzw. für den Vertrieb der App in eigener Verantwortung, nie Daten der Kinder. Kinder mit Schulzugang sehen keine Werbung; Werbenetzwerke werden nicht eingesetzt.