Vertrag zur Auftragsverarbeitung

zwischen der Fahrschule als Verantwortlicher (im Folgenden „Auftraggeber“) und AMEPRES - Tools, Jürgen Dirrigl, Rudolphstraße 2, 90489 Nürnberg als Auftragsverarbeiter (im Folgenden „Auftragnehmer“).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Lernplattform AMEDREEVO nach dem Nutzungsvertrag und den Allgemeinen Geschäftsbedingungen (im Folgenden „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Pflichten beider Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).

(2) Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung der Plattform für den Theorieunterricht und die Organisation der Fahrschule, insbesondere Verwaltung der Nutzerinnen und Nutzer, Lernbereich, Auswertung des Lernfortschritts, Nachrichten, Termine, Unterricht per Video, Begleitpersonen-Modul, Zugang der Fahrschulüberwachung und Protokollierung.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Anzeigen, Übermitteln an berechtigte Nutzerinnen und Nutzer des Auftraggebers, Sichern und Löschen.

(3) Kategorien betroffener Personen:

• Inhaberinnen, Inhaber und Beschäftigte der Fahrschule
• Fahrlehrerinnen und Fahrlehrer
• Fahrschülerinnen und Fahrschüler, auch Minderjährige
• Eltern und Begleitpersonen
• Mitarbeiterinnen und Mitarbeiter der Fahrschulüberwachung, soweit der Auftraggeber ihnen Zugang gibt

(4) Kategorien personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Führerscheinklasse, bei Minderjährigen das Geburtsdatum
• Zugangsdaten: Benutzerkennung, Passwort ausschließlich als Hash, Sitzungs- und Anmeldedaten
• Lerndaten: geöffnete Lektionen, Lesefortschritt, Lernzeit, angesehene Videos, Antworten und Ergebnisse im Fragentrainer und in Lernkontrollen
• Unterrichtsdaten: Termine, Teilnahme und Anwesenheit im Unterricht per Video, Aufzeichnungen nur mit Einwilligung aller Teilnehmenden
• Kommunikationsdaten: Nachrichten zwischen Fahrschule, Fahrlehrerinnen, Fahrlehrern, Fahrschülerinnen, Fahrschülern und Begleitpersonen
• Einwilligungen, insbesondere der Eltern nach Art. 8 DSGVO
• Protokolldaten: Zugriffe auf Schülerdaten mit Zeitpunkt, Person und gekürzter IP-Adresse

(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Auftraggeber in der Plattform vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er kann die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(3) Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, soweit das Gesetz es erlaubt.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind und mit den Regeln des Datenschutzes vertraut gemacht wurden. Diese Personen verarbeiten die Daten nur im Rahmen der Weisungen des Auftraggebers.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Der Auftragnehmer entwickelt die Maßnahmen mit dem Stand der Technik weiter. Das Schutzniveau bleibt dabei mindestens gleich.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragnehmer kündigt den Einsatz eines neuen oder den Wechsel eines Unterauftragsverarbeiters mindestens vier Wochen vorher in Textform an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser Vertrag vorsieht.

(4) Nutzt der Auftraggeber den KI-Fahrlehrer mit seinem eigenen Schlüssel bei OpenRouter, übermittelt die Plattform auf seine Weisung die Fragen der Fahrschülerinnen und Fahrschüler und den Lernkontext an diesen Dienst. Namen und Kontaktdaten gehören nicht zu den übermittelten Daten. Das Vertragsverhältnis mit OpenRouter besteht unmittelbar zwischen Auftraggeber und OpenRouter. Der Auftraggeber prüft vorab die Zulässigkeit, auch einer Übermittlung in Drittländer.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Funktionen der Plattform bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

§ 8 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und an betroffene Personen, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation.

§ 9 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und wird bei neuen Erkenntnissen ergänzt.

§ 10 Ort der Verarbeitung

Die Verarbeitung findet in Rechenzentren in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur auf dokumentierte Weisung des Auftraggebers und unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

§ 11 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber kann Kontrollen nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten selbst durchführen oder durch eine zur Verschwiegenheit verpflichtete Prüferin oder einen Prüfer durchführen lassen. Die Kontrollen erfolgen so, dass der Betrieb für andere Fahrschulen ungestört weiterläuft.

§ 12 Löschung und Rückgabe

(1) Bis zum Ende des Hauptvertrags kann der Auftraggeber seine Daten jederzeit exportieren.

(2) Nach Vertragsende hält der Auftragnehmer die Daten noch 30 Tage zum Export bereit. Danach löscht er alle Daten des Auftraggebers einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im Rahmen ihres regelmäßigen Umlaufs überschrieben, spätestens 30 Tage nach der Löschung.

(3) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Änderungen und Ergänzungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server in Rechenzentren in Deutschland mit Zutrittskontrolle durch den Betreiber des Rechenzentrums
• Verschlüsselte Übertragung aller Seiten und Daten über HTTPS (TLS)
• Passwörter ausschließlich als Hash mit einem aktuellen Verfahren (bcrypt oder Argon2)
• Rollen mit fest zugeschnittenen Rechten: Fahrschule, Fahrlehrerin und Fahrlehrer, Fahrschülerin und Fahrschüler, Begleitperson, Überwachung
• Mandantentrennung: Jede Fahrschule sieht ausschließlich ihre eigenen Daten, jede Abfrage ist an die Fahrschule der angemeldeten Rolle gebunden
• Bremse gegen das Erraten von Passwörtern, Sitzungen mit Ablaufzeit
• Serverzugang des Auftragnehmers nur verschlüsselt und nur für berechtigte Personen

Integrität

• Protokoll aller Zugriffe auf Schülerdaten mit Zeitpunkt, Person und gekürzter IP-Adresse
• Prüfung aller Eingaben auf dem Server, Schutz vor Formularfälschung
• Jede Programmänderung durchläuft eine Versionsverwaltung und eine automatische Prüfung vor der Auslieferung

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank, Aufbewahrung der Sicherungen 30 Tage
• Rechenzentren mit unterbrechungsfreier Stromversorgung und Brandschutz
• Überwachung der Erreichbarkeit

Regelmäßige Überprüfung

• Überprüfung dieser Maßnahmen mindestens einmal im Jahr und nach jeder größeren Änderung der Plattform
• Datenschutzfreundliche Voreinstellungen: Erhoben werden nur die Daten, die die jeweilige Funktion braucht

Anlage 2: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin	Server, Datenbank und E-Mail-Versand	Deutschland