Zurück zur Startseite

Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Vertragspartner

Auftragsverarbeiter:
Match Networks UG (haftungsbeschränkt)
Erkrather Straße 30, 40233 Düsseldorf, Deutschland
Amtsgericht Düsseldorf HRB 90037 | USt.-ID: DE332211728
Vertreten durch den Geschäftsführer: Klaus Bröcher
E-Mail: business@matchnetworks.de
(nachfolgend „Match Networks“ genannt)

und

Verantwortlicher:
Die Schule / der Schulträger, welche(r) das Setup-Verfahren auf cmschule.de/setup durchführt und diese Vereinbarung elektronisch bestätigt.
(nachfolgend „Schule“ genannt)

§ 1 Gegenstand, Dauer und Spezifikation der Verarbeitung

Gegenstand: Match Networks stellt der Schule die zentrale Plattform cmschule.de (inklusive des Administrationsbereichs /meincmschule sowie des Lehrkräfte-Hubs) sowie alle gegenwärtigen und zukünftigen digitalen Bildungs-, Lern- und Veröffentlichungsanwendungen des gesamten CMSchule-Ökosystems (darunter insbesondere SchoolTunes, Story-Pfad & Story-Pfad-Matrix, MatheVielSa, Podcast.Schule, wir helfen uns., cmStudio, HörEule, Klasse-Blog / Schul-Blog, cmSitzplan sowie modulare Browser-Werkzeuge, Editoren und künftige Erweiterungen) zur Verfügung. Match Networks verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung der Schule gemäß Art. 28 DSGVO, soweit diese auf den Servern der Plattformen verarbeitet oder gespeichert werden. Für rein lokale Browser-Tools ohne Serverübertragung erfolgt keine Auftragsverarbeitung.

Dauer: Diese Vereinbarung wird auf unbestimmte Zeit geschlossen. Sie beginnt mit der elektronischen Bestätigung (Zustimmung per Checkbox) im Rahmen des Setup-Prozesses auf cmschule.de/setup und gilt als globaler Rahmenvertrag für alle genutzten Plattformen und Module unterhalb der Domain cmschule.de sowie aller zugehörigen Bildungs-Subdomains.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien und Betroffene

Art und Zweck der Verarbeitung: Bereitstellung eines zentralen Identitätsmanagements für Lehrkräfte sowie dezentraler, datensparsamer Arbeitsbereiche (Shared Workspaces) auf den angeschlossenen Bildungsplattformen zur Erstellung, Moderation, Hilfestellung und kontrollierten Veröffentlichung von Unterrichts- und Schülerbeiträgen.

Kategorien betroffener Personen:

  • Schul-Administratoren & Lehrkräfte (nachfolgend gemeinsam „Lehrkräfte“)
  • Schülerinnen und Schüler (Lernende in den Lerngruppen und Anwendungen)

Arten personenbezogener Daten:

  • Stammdaten der Schule: Name der Schule, Schulform/Schul-Typ, Adresse (Straße, PLZ, Ort), Impressum-Link, zugewiesene Schul-ID.
  • Lehrkräfte-Daten (Zentrales IAM): Dienstliche E-Mail-Adresse, Name/Vorname, selbstgewählter Benutzername, Passworthash (verschlüsselt via moderner Einweg-Algorithmen wie bcrypt), verknüpfte Schul-ID und Rolle.
  • Schüler-Daten (Datensparsame Unterrichts-Zugänge): Pseudonyme Klassen-, Gruppen- oder Nutzer-Logins (unter Verwendung des Schul-Kürzels oder Klassen-PINs), Beamer-QR-Codes, temporäre Start-Passwörter (Gültigkeit max. 48 Stunden) sowie von Lernenden selbstgesetzte, verschlüsselte Passwörter. Hinweis: Die Erfassung von privaten E-Mail-Adressen, Telefonnummern oder Klarnamen von Schülerinnen und Schülern ist systemseitig ausgeschlossen.
  • Nutzungsinhalte & Schülerbeiträge: Von Schülern verfasste Texte, Audiobeiträge (z. B. Podcasts, Vertonungen), Lernfragen und Antworten (z. B. auf wir helfen uns.), gelöste Rechenaufgaben und Arbeitsstände im Rahmen der schul-isolierten Werkzeuge.
  • Technische Protokolldaten: Anonymisierte Server-Logs, IP-Adressen (gekürzt), Geräteinformationen sowie technisch zwingend notwendige Speicherungen (Session-IDs, LocalStorage für Lizenzen und App-Einstellungen) ausschließlich zur Sicherstellung des Betriebs, der IT-Sicherheit und der Mandantentrennung (§ 25 Abs. 2 TDDDG).

Ausschluss von Drittverwertungen & KI-Training: Sämtliche durch die Schule oder deren Lernende eingebrachten Daten, Mediendateien, Audiobeiträge und Bearbeitungsstände verbleiben ausschließlich im schulischen Kontext. Eine Nutzung für Profiling, Marktforschung, Werbezwecke oder für das Training von KI-Modellen (Künstliche Intelligenz / LLMs) ist strikt ausgeschlossen.

§ 3 Pflichten von Match Networks

  • Weisungsgebundenheit: Match Networks verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen der Schule.
  • Verschwiegenheit: Alle Personen, die Zugriff auf die Daten der Schule haben, sind zur Vertraulichkeit und zum Datengeheimnis verpflichtet.
  • Datensicherheit: Match Networks setzt technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (siehe Anhang).
  • Unterstützungspflichten: Match Networks unterstützt die Schule im Rahmen des Zumutbaren bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie bei der Beantwortung von Anfragen betroffener Personen.
  • Automatische Löschung bei Inaktivität: Um Datenminimierung zu garantieren, erfolgt eine automatische Löschung aller personenbezogenen Daten einer Schule, wenn für einen Zeitraum von mehr als fünf Jahren vollständige Inaktivität (keine Anmeldung von Lehrkräften und kein aktiver Lizenzkontakt) vorliegt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 4 Unterauftragsverhältnisse (Subunternehmer)

Die Schule stimmt zu, dass Match Networks zur Bereitstellung der Dienste Unterauftragsverarbeiter einsetzt.

Derzeit wird folgender Dienstleister eingesetzt:

  • Hosting-Dienstleister: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur
  • Serverstandort: Deutschland (Rechenzentren mit ISO/IEC 27001 Zertifizierung)
  • Gegenstand des Unterauftrags: Bereitstellung von Webserver-, Datenbank- und Speicherinfrastruktur

Match Networks stellt vertraglich über eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO sicher, dass dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden. Es erfolgt kein Datentransfer in unsichere Drittstaaten (keine US-Cloud-Dienste für Anwendungsdaten, keine Einbindung externer CDNs oder externer Schriftenserver).

§ 5 Kontrollrechte der Schule und redaktionelle Verantwortung

  • Kontrollrechte: Die Schule hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Match Networks stellt hierzu auf Anfrage die erforderlichen Informationen zur Verfügung.
  • Redaktionelle Verantwortung & Freigabe-Gates: Die Schule nimmt zur Kenntnis, dass kollaborative Schüleranwendungen über integrierte Moderations- und Freigabemechanismen verfügen. Eine Veröffentlichung von Schülerbeiträgen im Netz erfolgt erst nach Prüfung und Freischaltung durch eine zuständige Lehrkraft. Die Schule trägt die redaktionelle und presserechtliche Verantwortung für freigegebene Inhalte.

§ 6 Rückgabe und Löschung von Daten nach Vertragsende

  • Nach Beendigung des Nutzungsverhältnisses oder bei ausdrücklicher schriftlicher Löschanforderung durch die Schulleitung bzw. den Schul-Administrator werden alle schulbezogenen personenbezogenen Daten innerhalb von 30 Tagen DSGVO-konform gelöscht.
  • Auf Anforderung stellt Match Networks der Schule die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format zur Verfügung.
  • Backups werden im Rahmen des ordnungsgemäßen, turnusmäßigen Backup-Zyklus rollierend überschrieben.

§ 7 Schlussbestimmungen

  • Diese Vereinbarung wird digital geschlossen. Sie wird wirksam, sobald die Schule im Rahmen des Einrichtungsprozesses auf cmschule.de/setup oder im Schul-Portal die entsprechende Bestätigung aktiviert.
  • Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Regelungen nicht. Es gilt das Recht der Bundesrepublik Deutschland.

Anhang: Technische und organisatorische Maßnahmen (TOM)

Gemäß Art. 32 DSGVO garantiert Match Networks die Umsetzung folgender technischer und organisatorischer Maßnahmen innerhalb des Ökosystems:

1. Vertraulichkeit & Zugangskontrolle (Art. 32 Abs. 1 lit. b DSGVO):

  • Verschlüsselung im Transit: Alle Datenübertragungen innerhalb von cmschule.de und angeschlossener Module erfolgen durchgehend über TLS 1.3 / HTTPS verschlüsselt.
  • Passwortsicherheit: Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich mittels robuster Einweg-Hash-Verfahren (z. B. bcrypt) verarbeitet.
  • Mandantentrennung & Shared School Workspace: Alle Datenbankabfragen sind strikt an die Schul-ID gebunden. Lehrkräfte haben nur Zugriff auf Daten der eigenen Schule. Fremdzugriffe zwischen verschiedenen Schulen sind technisch ausgeschlossen.
  • Keine Drittanbieter-Tracker: Verzicht auf Trackingpixel, Google Analytics, Werbenetzwerke oder externe CDNs. Schriftarten werden rein lokal über System-Fonts bereitgestellt.

2. Integrität & Weitergabekontrolle:

  • Keine Weitergabe an unbefugte Dritte: Keine kommerzielle Datennutzung und kein KI-Training.
  • Rollen- und Berechtigungskonzept: Klare Trennung zwischen Administrator, Lehrkraft und Schülern. Schüler verfügen über keinerlei Administrationsrechte.
  • Freigabe-Gate: Schülerarbeiten verbleiben bis zur Freigabe durch Lehrkräfte im geschützten internen Klassenraum.

3. Verfügbarkeit, Belastbarkeit & Wiederherstellbarkeit:

  • Zentraler Passwort-Reset: Lehrkräfte können vergessene Zugänge für Schülerinnen und Schüler unkompliziert im Klassenbereich zurücksetzen, um den Unterrichtsbetrieb reibungslos fortzuführen.
  • Datensicherung & Redundanz: Regelmäßige automatisierte Backups der Anwendungsdatenbanken im deutschen ISO-27001-zertifizierten Rechenzentrum zur Absicherung gegen Datenverlust.