Auftrags­verarbeitungs­vertrag

Auftragsverarbeitungsvertrag für Schulen

Zwischen der Schule, dem Schulträger oder dem Schulbezirk, die oder der Mindomo nutzt, oder der Lehrkraft, die Mindomo mit einer Klasse nutzt (die „Schule“), und der Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Rumänien („Mindomo“, „wir“).

1. Parteien und Gegenstand

• Die Schule ist Verantwortlicher. Mindomo ist Auftragsverarbeiter.
• Dieser AVV umfasst die personenbezogenen Daten in den Konten und Inhalten der Schülerinnen und Schüler, der Lehrkräfte und des Personals der Schule sowie der Schülerinnen und Schüler der Klasse einer Lehrkraft, solange wir sie für die Schule verarbeiten.
• Anhang 1 beschreibt die Daten. Wo dieser AVV und die Nutzungsbedingungen bei personenbezogenen Daten voneinander abweichen, hat dieser AVV Vorrang.

2. Weisungen

Wir verarbeiten die Daten nur, um Mindomo der Schule, ihren Schülerinnen und Schülern und ihrem Personal bereitzustellen, so wie ihre Administratoren und Lehrkräfte es einrichten, und nach ihren weiteren dokumentierten Weisungen, es sei denn, das Gesetz verlangt etwas anderes; dann informieren wir die Schule vorher, sofern das Gesetz es nicht verbietet. Wir informieren die Schule, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt. Wir verkaufen die Daten nie, nutzen sie nie für Werbung und nie zum Training von KI-Modellen.

3. Vertraulichkeit

Alle bei Mindomo, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet und greifen nur darauf zu, wenn es für den Dienst oder den Support nötig ist.

4. Sicherheit

Wir schützen die Daten mit den technischen und organisatorischen Maßnahmen, die auf unserer Seite Sicherheit beschrieben sind. Mindomo ist nach ISO/IEC 27001 und ISO/IEC 27701 zertifiziert.

5. Unterauftragsverarbeiter

• Die Schule genehmigt die Unterauftragsverarbeiter in Anhang 2. Jeder ist durch einen Vertrag an dieselben Datenschutzpflichten gebunden wie dieser AVV.
• Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus auf dieser Seite an und per E-Mail an die Administratoren der Schule. Die Schule kann aus einem berechtigten Datenschutzgrund widersprechen; können wir den Grund nicht ausräumen, kann die Schule ihre Lizenz beenden und erhält den nicht genutzten Teil ihrer Gebühr zurück.
• Übermittlungen außerhalb der EU stützen sich auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission.

6. Unterstützung

Wir unterstützen die Schule bei der Beantwortung von Anfragen von Schülerinnen und Schülern, Eltern und Personal (Auskunft, Berichtigung, Löschung, Export), überwiegend über die Werkzeuge in Mindomo und in der Administrationskonsole, sowie bei ihren eigenen Prüfungen, etwa einer Datenschutz-Folgenabschätzung. Anfragen zu ihren Daten, die bei uns eingehen, auch von Eltern, leiten wir an die Schule weiter.

7. Datenschutzverletzungen

Wir melden der Schule eine Verletzung des Schutzes personenbezogener Daten, die ihre Daten betrifft, unverzüglich, nachdem sie uns bekannt wird, mit dem, was wir wissen und was wir dagegen tun, und ergänzen die Meldung, sobald wir mehr wissen.

8. Wenn die Lizenz endet

Die Schule entscheidet, was mit ihren Daten geschieht. Sie kann jederzeit einen Export oder die Löschung verlangen, über den Support oder die Administrationskonsole. Gibt sie zum Ende ihrer Lizenz keine Weisung, gilt Folgendes, und die Schule wählt dies mit der Annahme dieses AVV:

• Konten, deren Nutzer unseren Nutzungsbedingungen selbst zugestimmt haben (Lehrkräfte, Personal und Schülerinnen und Schüler, die sich selbst registriert haben), bestehen als eigene Konten der Nutzer mit ihren Inhalten weiter. Ab dem Ende der Lizenz ist Mindomo für sie Verantwortlicher, nach seiner Datenschutzerklärung.
• Konten, die die Schule angelegt hat (mit einer PIN, einem CSV-Import oder einer Klassenliste oder über Clever, Skolon oder LTI), bleiben unverändert Daten der Schule, sodass eine Verlängerung dort weitermacht, wo sie aufgehört hat. Wir dürfen ein solches Konto löschen, bei dem sich nach dem Ende der Lizenz 12 Monate lang niemand angemeldet hat, nachdem wir die Administratoren der Schule informiert haben. Wir machen ein solches Konto nie von uns aus zu einem persönlichen Konto: Wer es allein weiter nutzen möchte, muss zuerst selbst unseren Nutzungsbedingungen zustimmen.
• Die Schule kann stattdessen verlangen, dass alle ihre Konten gelöscht werden oder nur die Konten, die sie angelegt hat.

9. Audits

Wir weisen die Einhaltung dieses AVV durch unsere Zertifikate nach ISO/IEC 27001 und 27701 und deren Auditberichte nach sowie durch die Beantwortung angemessener Fragen der Schule. Vor-Ort-Audits finden nur statt, wo das Gesetz sie verlangt, mit angemessener Vorankündigung und auf Kosten der Schule.

Anhang 1. Was wir verarbeiten

• Betroffene Personen: Schülerinnen und Schüler, Lehrkräfte und Personal der Schule; Eltern, wenn eine Schülerin oder ein Schüler einen Elternteil für die Zustimmung angibt; weitere Personen, die die Schule einlädt.
• Daten: Kontodaten (Name, E-Mail-Adresse oder Benutzername, Rolle, Altersgruppe, Klassen- und Gruppenzugehörigkeit); die Inhalte, die sie erstellen, hochladen und teilen; Kommentare, Aufgaben, Rückmeldungen und Noten; Anfragen an Mindomo KI und Assistenten-Chats, wenn die Schule Mindomo KI erlaubt; Sicherheitsprotokolle (IP-Adresse, Browser, Anmeldungen).
• Zweck: Bereitstellung von Mindomo für die Schule, ihre Schülerinnen und Schüler und ihr Personal, für den Unterricht.
• Dauer: solange die Schule Mindomo nutzt, danach wie in §8 beschrieben.
• Ort: Hosting in Deutschland, Sicherungen in Deutschland.

Anhang 2. Unterauftragsverarbeiter

Dienste, die die Schule selbst verbindet, etwa Clever, Skolon, Yilan, ihre Lernplattform (LTI), ihr Single Sign-on (SAML) oder Google Classroom, sind eigene Dienste der Schule, nicht unsere Unterauftragsverarbeiter.

Wenn eine Funktion über Microsoft im Web oder nach Bildern sucht, geht die Suchanfrage an den Suchdienst von Microsoft, der sie außerhalb der EU verarbeiten kann. Für diese Suchen ist Microsoft nicht unser Unterauftragsverarbeiter: Microsoft verarbeitet die Anfrage in eigener Verantwortung, nach dem Microsoft Privacy Statement.

Anhang 3. Länderspezifische Regelungen für Schulen

Vereinigte Staaten

• Mindomo handelt nach FERPA als „school official“ mit berechtigtem pädagogischem Interesse, unter der direkten Kontrolle der Schule über Nutzung und Pflege der Schülerakten.
• Die Schule genehmigt die Konten ihrer Schülerinnen und Schüler nach COPPA, nur für die Nutzung im Unterricht und für keinen anderen kommerziellen Zweck.
• Keine Werbung an Schülerinnen und Schüler, kein Verkauf von Schülerdaten und keine Profilbildung über Schülerinnen und Schüler.
• Mit einer kostenpflichtigen Lizenz unterzeichnen wir auf Anfrage die eigene Datenschutzvereinbarung eines Schulbezirks oder Bundesstaats.

Kanada

• Der Schulträger behält Verwahrung und Kontrolle über die personenbezogenen Daten seiner Schülerinnen und Schüler, nach dem Municipal Freedom of Information and Protection of Privacy Act (MFIPPA) von Ontario und den entsprechenden Gesetzen der anderen Provinzen, etwa dem FOIPPA von British Columbia, dem Gesetz 25 von Québec und den Datenschutzgesetzen von Alberta.
• Die Daten werden in Deutschland gespeichert.
• Am Vertragsende geben wir die Daten nach Weisung des Schulträgers zurück oder löschen sie (§8).
• Mit einer kostenpflichtigen Lizenz unterzeichnen wir auf Anfrage die eigene Vereinbarung eines Schulträgers.

Vereinigtes Königreich

• Es gelten die UK GDPR und der Data Protection Act 2018, wo einschlägig anstelle der DSGVO.
• Unser Vertreter im Vereinigten Königreich: Silvana Carpineanu, dpo@mindomo.com.
• Übermittlungen aus dem Vereinigten Königreich folgen britischen Regeln: der UK-Erweiterung des EU-US Data Privacy Framework oder dem britischen Zusatz zu den Standardvertragsklauseln.

Wie Schulen diesen AVV annehmen

• Jede Schule und jede Lehrkraft, in jedem Tarif, kostenlos oder kostenpflichtig: Dieser AVV gilt, wenn eine Administratorin oder ein Administrator den Nutzungsbedingungen für die Schule zustimmt oder wenn eine Lehrkraft Mindomo mit einer Klasse nutzt. Es muss nichts unterzeichnet werden.
• Mit einer kostenpflichtigen Lizenz stellen wir zusätzlich eine gegengezeichnete Kopie dieses AVV bereit oder unterzeichnen die eigene Vereinbarung der Schule, des Schulträgers oder des Schulbezirks. Wenden Sie sich an support@mindomo.com.

Auftragsverarbeitungsvertrag für Unternehmen

Zwischen dem Unternehmen, dem Team oder der sonstigen Organisation, die Mindomo für ihre Mitglieder nutzt (die „Organisation“), und der Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Rumänien („Mindomo“, „wir“). Für Schulen gilt die Fassung für Schulen.

1. Parteien und Gegenstand

• Die Organisation ist Verantwortlicher. Mindomo ist Auftragsverarbeiter.
• Dieser AVV umfasst die personenbezogenen Daten in den Konten und Inhalten der Mitglieder der Organisation (Beschäftigte, Auftragnehmer und die weiteren Personen, die sie in ihr Team aufnimmt), solange wir sie für die Organisation verarbeiten.
• Anhang 1 beschreibt die Daten. Wo dieser AVV und die Nutzungsbedingungen bei personenbezogenen Daten voneinander abweichen, hat dieser AVV Vorrang.
• Für die Käufe und Rechnungen der Organisation und für die Kontaktdaten ihrer Administratoren als unsere Kunden ist Mindomo Verantwortlicher, nach seiner Datenschutzerklärung.

2. Weisungen

Wir verarbeiten die Daten nur, um Mindomo der Organisation und ihren Mitgliedern bereitzustellen, so wie ihre Administratoren es einrichten, und nach ihren weiteren dokumentierten Weisungen, es sei denn, das Gesetz verlangt etwas anderes; dann informieren wir die Organisation vorher, sofern das Gesetz es nicht verbietet. Wir informieren die Organisation, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt. Wir verkaufen die Daten nie, nutzen sie nie für Werbung und nie zum Training von KI-Modellen.

3. Vertraulichkeit

Alle bei Mindomo, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet und greifen nur darauf zu, wenn es für den Dienst oder den Support nötig ist.

4. Sicherheit

Wir schützen die Daten mit den technischen und organisatorischen Maßnahmen, die auf unserer Seite Sicherheit beschrieben sind. Mindomo ist nach ISO/IEC 27001 und ISO/IEC 27701 zertifiziert.

5. Unterauftragsverarbeiter

• Die Organisation genehmigt die Unterauftragsverarbeiter in Anhang 2. Jeder ist durch einen Vertrag an dieselben Datenschutzpflichten gebunden wie dieser AVV.
• Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus auf dieser Seite an und per E-Mail an die Administratoren der Organisation. Die Organisation kann aus einem berechtigten Datenschutzgrund widersprechen; können wir den Grund nicht ausräumen, kann die Organisation ihre Lizenz beenden und erhält den nicht genutzten Teil ihrer Gebühr zurück.
• Übermittlungen außerhalb der EU stützen sich auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission.

6. Unterstützung

Wir unterstützen die Organisation bei der Beantwortung von Anfragen ihrer Mitglieder (Auskunft, Berichtigung, Löschung, Export), überwiegend über die Werkzeuge in Mindomo und in der Administrationskonsole, sowie bei ihren eigenen Prüfungen, etwa einer Datenschutz-Folgenabschätzung. Anfragen zu ihren Daten, die bei uns eingehen, leiten wir an die Organisation weiter.

7. Datenschutzverletzungen

Wir melden der Organisation eine Verletzung des Schutzes personenbezogener Daten, die ihre Daten betrifft, unverzüglich, nachdem sie uns bekannt wird, mit dem, was wir wissen und was wir dagegen tun, und ergänzen die Meldung, sobald wir mehr wissen.

8. Wenn die Lizenz endet oder ein Mitglied geht

Die Organisation entscheidet, was mit ihren Daten geschieht. Sie kann jederzeit einen Export oder die Löschung verlangen, über den Support oder die Administrationskonsole. Gibt sie zum Ende ihrer Lizenz keine Weisung, gilt Folgendes, und die Organisation wählt dies mit der Annahme dieses AVV:

• Konten, deren Nutzer unseren Nutzungsbedingungen selbst zugestimmt haben, bestehen als eigene Konten der Nutzer weiter, mit ihren Inhalten außerhalb der gemeinsamen Ordner des Teams. Ab dem Ende der Lizenz ist Mindomo für sie Verantwortlicher, nach seiner Datenschutzerklärung.
• Konten, die die Organisation selbst angelegt hat, bleiben unverändert Daten der Organisation, sodass eine Verlängerung dort weitermacht, wo sie aufgehört hat. Wir dürfen ein solches Konto löschen, bei dem sich nach dem Ende der Lizenz 12 Monate lang niemand angemeldet hat, nachdem wir die Administratoren der Organisation informiert haben.
• Die Organisation kann stattdessen verlangen, dass alle ihre Konten gelöscht werden oder nur die Konten, die sie angelegt hat.

Verlässt ein Mitglied das Team, während die Lizenz läuft, bleiben die Inhalte, die es in den gemeinsamen Ordnern des Teams erstellt hat, beim Team, wenn eine Administratorin oder ein Administrator es entfernt; wer das Team selbst verlässt, darf sie mitnehmen, wenn er mit einem eigenen kostenpflichtigen Tarif weitermacht, andernfalls bleiben sie beim Team. Die vollständige Regel steht in Teil B der Nutzungsbedingungen.

9. Audits

Wir weisen die Einhaltung dieses AVV durch unsere Zertifikate nach ISO/IEC 27001 und 27701 und deren Auditberichte nach sowie durch die Beantwortung angemessener Fragen der Organisation. Vor-Ort-Audits finden nur statt, wo das Gesetz sie verlangt, mit angemessener Vorankündigung und auf Kosten der Organisation.

Anhang 1. Was wir verarbeiten

• Betroffene Personen: Beschäftigte, Auftragnehmer und weitere Mitglieder der Organisation sowie die Personen, die sie zur Zusammenarbeit einlädt.
• Daten: Kontodaten (Name, E-Mail-Adresse, Rolle, Gruppenzugehörigkeit); die Inhalte, die sie erstellen, hochladen und teilen; Kommentare und Aufgaben; Anfragen an Mindomo KI und Assistenten-Chats, wenn die Organisation Mindomo KI erlaubt; Sicherheitsprotokolle (IP-Adresse, Browser, Anmeldungen).
• Zweck: Bereitstellung von Mindomo für die Organisation und ihre Mitglieder.
• Dauer: solange die Organisation Mindomo nutzt, danach wie in §8 beschrieben.
• Ort: Hosting in Deutschland, Sicherungen in Deutschland.

Anhang 2. Unterauftragsverarbeiter

Dienste, die die Organisation selbst verbindet, etwa ihr Single Sign-on (SAML), sind eigene Dienste der Organisation, nicht unsere Unterauftragsverarbeiter.

Wenn eine Funktion über Microsoft im Web oder nach Bildern sucht, geht die Suchanfrage an den Suchdienst von Microsoft, der sie außerhalb der EU verarbeiten kann. Für diese Suchen ist Microsoft nicht unser Unterauftragsverarbeiter: Microsoft verarbeitet die Anfrage in eigener Verantwortung, nach dem Microsoft Privacy Statement.

Anhang 3. Länderspezifische Regelungen für Unternehmen

Vereinigtes Königreich

• Es gelten die UK GDPR und der Data Protection Act 2018, wo einschlägig anstelle der DSGVO.
• Unser Vertreter im Vereinigten Königreich: Silvana Carpineanu, dpo@mindomo.com.
• Übermittlungen aus dem Vereinigten Königreich folgen britischen Regeln: der UK-Erweiterung des EU-US Data Privacy Framework oder dem britischen Zusatz zu den Standardvertragsklauseln.

Vereinigte Staaten

• Wo für die Organisation ein Datenschutzgesetz eines US-Bundesstaats gilt, etwa der California Consumer Privacy Act, handelt Mindomo als ihr „service provider“ oder „processor“: Wir nutzen die Daten nur, um Mindomo der Organisation bereitzustellen, verkaufen oder teilen sie nicht und führen sie nicht für eigene Zwecke mit Daten aus anderen Quellen zusammen.

Wie Organisationen diesen AVV annehmen

• Jede Organisation, in jedem Tarif, kostenlos oder kostenpflichtig: Dieser AVV gilt, wenn eine Administratorin oder ein Administrator den Nutzungsbedingungen für die Organisation zustimmt. Es muss nichts unterzeichnet werden.
• Mit einer kostenpflichtigen Lizenz stellen wir zusätzlich eine gegengezeichnete Kopie dieses AVV bereit oder unterzeichnen den eigenen Auftragsverarbeitungsvertrag der Organisation. Wenden Sie sich an support@mindomo.com.