Vereinbarung zur Auftragsverarbeitung

Vereinbarung nach Artikel 28 DSGVO für personenbezogene Daten, die ein schulrechtlich Verantwortlicher durch GradeGrid Studio verarbeiten lässt.

1. Vertragsparteien und Rangfolge

Auftragsverarbeiter: Dominik Breig, GradeGrid, Schwabstraße 28, 70197 Stuttgart, Deutschland, datenschutz@gradegrid.de.

Verantwortlicher: die Schule, Behörde, der Schulträger oder die sonstige Institution, die im Studio-Freigabeprozess als Verantwortlicher bezeichnet wird und die Vereinbarung durch eine vertretungsberechtigte Person annimmt.

Diese Vereinbarung ergänzt den Vertrag über GradeGrid Studio. Bei Widersprüchen gehen für die Auftragsverarbeitung diese Bestimmungen vor.

2. Gegenstand, Zweck und Dauer

GradeGrid verarbeitet auf dokumentierte Einzelanweisung Studio-Aufträge zur Unterrichts- und Jahresplanung, Materialerstellung, Foto- und Dokumentauswertung, Auskunft aus ausgewähltem App-Kontext und Durchführung ausdrücklich bestätigter Aktionen.

Die Verarbeitung beginnt mit der wirksamen Freigabe und endet mit deren Widerruf, der Beendigung von Studio oder dem Ende des Hauptvertrags. Einzelne Auftragsinhalte werden nach den Fristen in Abschnitt 11 gelöscht.

3. Art der Verarbeitung

Erheben durch Übertragung aus der App, Pseudonymisieren, Strukturieren, Auslesen, Analysieren, Übermitteln an genehmigte Unterauftragsverarbeiter, Erzeugen und Bereitstellen eines Ergebnisses, kurzzeitiges Speichern, Protokollieren technischer Metadaten und Löschen. Eine Verwendung für Werbung oder Training eigener GradeGrid-Modelle ist ausgeschlossen.

4. Daten und betroffene Personen

Datenarten

Stamm- und Kontaktdaten, Klassen- und Gruppenzuordnung, Stunden- und Lehrplandaten, Unterrichtsplanung, Anwesenheit, Leistung, Bewertungen, Beobachtungen und Freitext, Dokumente, Bilder, transkribierter Sprachtext sowie technische Auftrags- und Berechtigungsdaten.

Besondere Kategorien

Nur wenn der Verantwortliche sie bewusst in einen Auftrag einbezieht; möglich sind insbesondere Gesundheitsangaben in Fehlzeiten oder Beobachtungen.

Betroffene Personen

Schülerinnen und Schüler, Erziehungsberechtigte, Lehrkräfte, schulische Beschäftigte und sonstige in übermittelten Unterlagen genannte Personen.

5. Weisungen

Jeder in der App bestätigte Studio-Auftrag ist eine dokumentierte Weisung. Die App zeigt vor der Übermittlung die betroffenen Datenkategorien. Weitergehende Weisungen bedürfen der Textform. GradeGrid informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach eigener Einschätzung gegen Datenschutzrecht verstößt, und darf sie bis zur Klärung aussetzen.

6. Pflichten des Verantwortlichen

• Rechtsgrundlage, schulrechtliche Zulässigkeit und erforderliche Beteiligungs- oder Freigabeverfahren prüfen
• betroffene Personen nach Artikel 13 oder 14 DSGVO informieren
• nur erforderliche Daten übermitteln und Versandvorschau kontrollieren
• besondere Kategorien nur bei belegter Erforderlichkeit und Rechtsgrundlage einbeziehen
• Zugänge und Geräte schützen sowie nur befugte Personen mit Studio arbeiten lassen
• KI-Ergebnisse menschlich prüfen und nicht als alleinige Grundlage erheblicher Entscheidungen verwenden

7. Pflichten von GradeGrid

• Verarbeitung ausschließlich auf dokumentierte Weisung und zur Vertragserfüllung
• Vertraulichkeitsverpflichtung für alle zugriffsberechtigten Personen
• technische und organisatorische Maßnahmen nach Abschnitt 13
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Behördenanfragen
• unverzügliche Information über Datenschutzverletzungen mit den verfügbaren Angaben nach Artikel 33 DSGVO
• Nachweis der Einhaltung und Unterstützung angemessener Prüfungen
• Löschung oder Rückgabe nach Ende der Verarbeitung, soweit keine gesetzliche Pflicht entgegensteht

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung für die folgenden Unterauftragsverarbeiter:

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA

Verschlüsselte Vermittlung, Abwehr von Angriffen und Verfügbarkeit des Studio-Endpunkts; mögliche Verarbeitung weltweit; Cloudflare-DPA und EU-Standardvertragsklauseln.

Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA

Verarbeitung von Eingaben und Erzeugung von Ausgaben über die kommerzielle Anthropic API; mögliche Verarbeitung in den USA; Anthropic-DPA und EU-Standardvertragsklauseln; kein Modelltraining mit API-Inhalten, reguläre Löschung grundsätzlich innerhalb von 30 Tagen.

Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage vor ihrem Einsatz in der App und auf dieser Seite angekündigt. Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen innerhalb von 14 Tagen widersprechen. Ist keine zumutbare Alternative möglich, kann die betroffene Studio-Verarbeitung vor dem Wechsel beendet werden.

9. Drittlandübermittlungen

Für Übermittlungen außerhalb des Europäischen Wirtschaftsraums werden – soweit erforderlich – die EU-Standardvertragsklauseln in der passenden Modulkonstellation sowie zusätzliche Maßnahmen eingesetzt. Dazu zählen Transportverschlüsselung, Pseudonymisierung auf dem Gerät, Datenminimierung, kurze Aufbewahrung und beschränkte administrative Zugriffe.

10. Unterstützung und Betroffenenrechte

GradeGrid berichtigt oder löscht keine lokalen Schuldaten, auf die kein Zugriff besteht. Für Studio-Daten unterstützt GradeGrid den Verantwortlichen entsprechend Art und Umfang der Verarbeitung. Anfragen sind mit der in der App angezeigten Studio-Support-ID an datenschutz@gradegrid.de zu richten. GradeGrid antwortet grundsätzlich innerhalb von fünf Werktagen oder bestätigt bis dahin den Bearbeitungsstand.

11. Löschung und Rückgabe

• Auftragsinhalte, Anhänge und Ergebnisse auf dem GradeGrid-Studio-Server: spätestens 24 Stunden nach Abschluss, Abbruch oder Ende des Abruffensters
• technische Sicherheitsprotokolle ohne vollständige Inhalte: grundsätzlich 14 Tage
• Kontingent-, Berechtigungs- und Missbrauchsschutzdaten: während der Vertragsdauer und bis zu zwölf Monate danach, sofern keine längere gesetzliche Pflicht besteht
• Anthropic-API-Inhalte: grundsätzlich innerhalb von 30 Tagen nach Eingang beziehungsweise Erzeugung, vorbehaltlich vertraglich ausgewiesener Ausnahmefälle

Nach Ende des Vertrags löscht GradeGrid verbleibende Auftragsdaten, sofern der Verantwortliche nicht zuvor eine technisch verfügbare Rückgabe verlangt oder gesetzliche Pflichten entgegenstehen.

12. Kontrollen und Nachweise

GradeGrid stellt auf Anfrage Informationen bereit, die zur Beurteilung der Maßnahmen erforderlich sind. Zunächst werden Dokumentation, Prüfberichte und Nachweise aus der Ferne verwendet. Eine Vor-Ort-Prüfung ist bei konkretem Anlass und angemessener Vorankündigung möglich, soweit Vertraulichkeit, Rechte anderer Kunden und Systemsicherheit gewahrt bleiben. Eigene Kosten trägt jede Partei selbst; unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden.

13. Technische und organisatorische Maßnahmen

Zugangs- und Zugriffsschutz

• administrative Zugänge personenbezogen, mit Mehrfaktor-Authentifizierung und geringstmöglichen Rechten
• Freischaltung nur nach serverseitiger Prüfung des signierten StoreKit-Berechtigungsnachweises
• strikte Zuordnung von Aufträgen, Uploads, Status und Ergebnissen zur verifizierten Kundenkennung

Übertragung und Trennung

• verschlüsselte Übertragung über aktuelle TLS-Konfiguration
• Pseudonymisierung erkannter Schülernamen standardmäßig vor dem Versand; Zuordnung verbleibt auf dem Gerät
• getrennte Auftrags- und Uploadbereiche je Kundenkennung; nicht erratbare Auftragskennungen
• keine Freigabe von Studio-Inhalten für CDN-Caching oder Suchmaschinen

Speicherung und Wiederherstellung

• Auftragsinhalte nur für das Abruffenster; keine Inhaltsdaten in regulären Serverlogs
• verschlüsselte und zugriffsbeschränkte Sicherung der Berechtigungs- und Kontingentdaten
• Wiederherstellungs- und Löschtests sowie dokumentierte Aktualisierungs- und Schwachstellenprozesse

Verfügbarkeit und Vorfälle

• Rate-Limits, Kontingentgrenzen, Gesundheitsüberwachung und Alarmierung
• regelmäßige Sicherheitsupdates und protokollierte administrative Änderungen
• Verfahren zur Erkennung, Eindämmung, Bewertung und Meldung von Sicherheitsvorfällen

14. Schlussbestimmungen

Änderungen dieser Vereinbarung werden in Textform angekündigt. Zwingende Datenschutzrechte bleiben unberührt. Es gilt deutsches Recht; zwingende öffentlich-rechtliche und datenschutzrechtliche Zuständigkeiten bleiben unberührt.

Version 1.0 · Stand: 1. September 2026