Auftragsverarbeitungs­vertrag: Einsatz von SekMate an Schulen (Deutschland)

1. Vertragsparteien

Dieser Vertrag wird geschlossen zwischen der Schule, die ihn gemäss Abschnitt 17 abschliesst (nachfolgend „Schule“ bzw. „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO), und Sebastian Ehm, Schmittenstrasse 18, 8280 Kreuzlingen, Schweiz, Betreiber von SekMate (nachfolgend „Betreiber“ bzw. „Auftragsverarbeiter“ im Sinne von Art. 4 Nr. 8 DSGVO).

2. Gegenstand, Zweck, Art der Daten und Dauer (Art. 28 Abs. 3 DSGVO)

Gegenstand und Zweck: Der Betreiber stellt der Schule die Plattform SekMate zur Verfügung, mit der Lehrpersonen Lernassistenten auf Grundlage von KI-Sprachmodellen für ihren Unterricht zusammenstellen und SchülerInnen über Freigabelinks zugänglich machen. Er verarbeitet die personenbezogenen Daten ausschliesslich, um diesen Dienst für die Schule zu erbringen.

Art der Daten: Chat-Nachrichten (Fragen und Texte der SchülerInnen, Antworten des Lernassistenten, optional angehängte Dateien), von Lehrpersonen hochgeladene Unterrichtsinhalte mit den daraus erzeugten Textabschnitten und Vektoren (Embeddings) sowie die Bezeichnungen von Freigabelinks. Chat-Nachrichten speichert der Betreiber nicht: Sie werden bei jeder Nachricht an das gewählte Sprachmodell gesendet und nur im Browser der SchülerIn gehalten. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen weder in Unterlagen noch im Chat eingegeben werden.

Betroffene Personen: SchülerInnen der Schule, die einen Lernassistenten über einen Freigabelink nutzen (ohne eigenes Konto), sowie Dritte, deren Daten in Unterrichtsmaterialien vorkommen.

Umfang: die Konten der Lehrpersonen, die die Schule beim Abschluss oder später in Textform gegenüber dem Betreiber für den Unterricht bestätigt. Erst danach schaltet der Betreiber deren Freigabelinks für SchülerInnen frei. Die Schule kann die Bestätigung für einzelne Konten jederzeit widerrufen.

Nicht erfasst sind Daten, die der Betreiber in eigener Verantwortung verarbeitet: Konten der Lehrpersonen, Nutzungsstatistik, Rückmeldungen und Anfragen an den Einrichtungsservice (siehe Datenschutzerklärung).

Dauer: für die Laufzeit dieses Vertrags (Abschnitt 13).

3. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

Der Betreiber verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung der Schule, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er der Schule diese Pflicht vorher mit, soweit das Recht dies nicht verbietet. Als Weisung gelten dieser Vertrag sowie die Einstellungen, die bestätigte Lehrpersonen im Rahmen der vereinbarten Funktionen vornehmen (z. B. Wahl des Sprachmodells, hochgeladene Unterrichtsinhalte, Ein- und Ausschalten des Schülerzugangs). Der Betreiber verwendet die Daten nicht für eigene Zwecke und lässt sie nicht für das Training von KI-Modellen verwenden. Hält er eine Weisung für rechtswidrig, informiert er die Schule unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO).

4. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Betreiber stellt sicher, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschliesslich der Betreiber selbst administrativen Zugang.

5. Technische und organisatorische Massnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen. Datenbank bei Railway in der Region Amsterdam (Niederlande, EU), verschlüsselt im Ruhezustand; Railway ist ein US-Unternehmen und verarbeitet laut Vertrag primär in den USA (siehe Abschnitt 7). Strikte Trennung pro Lehrpersonen-Konto. Passwörter nur als Hash. Schülerzugang nur über nicht erratbare, einzeln widerrufbare Freigabelinks und serverseitig nur, wenn die Lehrperson den Zugang eingeschaltet hat und ihr Konto für den Unterricht freigegeben ist. Begrenzung der Anfragen pro Freigabelink. Tägliche Datensicherung mit 30 Tagen Aufbewahrung bei Railway (Amsterdam) und als verschlüsselte Zweitkopie bei Infomaniak Swiss Backup (Schweiz); den Schlüssel hat nur der Betreiber. Der Betreiber darf die Massnahmen anpassen, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

Die Schule erteilt die allgemeine schriftliche Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Railway Corporation, San Francisco, USA: Hosting von Anwendung und Datenbank (Datenbank-Region Amsterdam, primäre Verarbeitung in den USA)
• Mistral AI, Paris, Frankreich: Vektorisierung der Unterrichtsinhalte, Texterkennung gescannter Seiten, Sprachmodell (Voreinstellung); Sitz in der EU, Nutzung des EU-Endpunkts (api.eu.mistral.ai), Übermittlungen nach Mistrals Auftragsverarbeitungsvertrag (Angemessenheitsbeschluss bzw. Standardvertragsklauseln)
• Infomaniak Network SA, Genf, Schweiz: Sprachmodell (wählbar) und verschlüsselte Zweitkopie der Datensicherung; Verarbeitung in der Schweiz
• Anthropic Ireland, Limited, Dublin, Irland (Vertragspartner), mit Verarbeitung durch Anthropic in den USA: Sprachmodell (wählbar, kann von der Schule ausgeschlossen werden)

Massgebend ist diese Liste. Beabsichtigt der Betreiber, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden zu ersetzen, informiert er die Ansprechperson der Schule mindestens 30 Tage vorher in Textform. Die Schule kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen Einspruch erheben. Dann setzt der Betreiber den neuen Unterauftragsverarbeiter für die Daten der Schule nicht ein, soweit das technisch möglich ist; andernfalls kann die Schule den Vertrag auf den Zeitpunkt des Wechsels kündigen. Der Betreiber verpflichtet seine Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet gegenüber der Schule für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

7. Übermittlungen in Drittländer (Kapitel V DSGVO)

Der Betreiber hat seinen Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO). Übermittlungen in die USA erfolgen an Railway und, sofern ein Lernassistent Anthropic verwendet, an Anthropic; sie stützen sich auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw., soweit der Empfänger zertifiziert ist, auf das EU-U.S. Data Privacy Framework. Die Schule kann beim Abschluss oder später in Textform festlegen, dass für ihre Konten nur Sprachmodelle mit Verarbeitung in der EU bzw. der Schweiz (Mistral, Infomaniak) verwendet werden.

8. Unterstützungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

Der Betreiber unterstützt die Schule mit den ihm verfügbaren technischen Mitteln bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Erhält er einen Antrag einer betroffenen Person direkt, leitet er ihn unverzüglich an die Schule weiter und beantwortet ihn nicht selbst, ausser die Schule weist ihn dazu an. Über den Inhalt von Chat-Verläufen kann er keine Auskunft geben, weil er sie nicht speichert.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)

Der Betreiber meldet der Ansprechperson der Schule eine Verletzung unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat; wird sie bei einem Unterauftragsverarbeiter festgestellt, beginnt die Frist mit dessen Meldung an den Betreiber. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl betroffener Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Massnahmen sowie eine Kontaktmöglichkeit. Die Schule entscheidet, ob sie die zuständige Aufsichtsbehörde informiert (Frist 72 Stunden, Art. 33 Abs. 1 DSGVO) und ob betroffene Personen benachrichtigt werden.

10. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

Mit Vertragsende sperrt der Betreiber die Freigabelinks der betroffenen Konten sofort. Nach Wahl der Schule löscht er innerhalb von 30 Tagen die im Auftrag der Schule gespeicherten personenbezogenen Daten oder gibt sie zurück und löscht danach vorhandene Kopien, soweit keine Speicherpflicht nach Unions- oder mitgliedstaatlichem Recht besteht. Kopien in den täglichen Datensicherungen werden nach spätestens 30 weiteren Tagen gelöscht. Der Betreiber bestätigt die Löschung in Textform. Hochgeladene Unterrichtsmaterialien bleiben im persönlichen Konto der jeweiligen Lehrperson ohne Schülerzugang; enthalten sie personenbezogene Daten von SchülerInnen der Schule, kann die Schule deren Löschung verlangen.

11. Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

Der Betreiber stellt der Schule auf Anfrage alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere eine aktuelle Beschreibung der Massnahmen nach Abschnitt 5 und die Verträge mit den Unterauftragsverarbeitern. Er ermöglicht Überprüfungen, einschliesslich Inspektionen, durch die Schule oder einen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach vorheriger Absprache und mit angemessener Vorlaufzeit.

12. Ansprechpersonen

Die Schule benennt beim Abschluss eine Ansprechperson und teilt einen Wechsel in Textform mit. Ansprechperson des Betreibers ist Sebastian Ehm, info@sekmate.ch (siehe auch Impressum).

13. Laufzeit und Kündigung

Der Vertrag gilt ab Abschluss (Abschnitt 17) auf unbestimmte Zeit. Beide Parteien können ihn mit einer Frist von 30 Tagen auf das Ende eines Monats in Textform kündigen, die Schule zusätzlich nach Abschnitt 6. Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

14. Änderungen

Änderungen dieses Vertrags bedürfen der Zustimmung beider Parteien in Textform; der Betreiber kann ihn nicht einseitig ändern. Schlägt der Betreiber eine neue Fassung vor, gilt für die Schule die bisherige Fassung weiter, bis sie der neuen zustimmt. Ausgenommen sind Änderungen bei Unterauftragsverarbeitern nach Abschnitt 6 und Anpassungen nach Abschnitt 5, die das Schutzniveau nicht senken.

15. Rangfolge

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen und der Datenschutzerklärung des Betreibers vor.

16. Anwendbares Recht, Gerichtsstand

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts, soweit dem nicht zwingende Vorgaben der DSGVO entgegenstehen. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der Schule.

17. Abschluss

Der Vertrag kommt zustande, wenn die Schulleitung bzw. eine nach Landesrecht für die Schule berechtigte Person ihn gegenüber dem Betreiber schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9 DSGVO) unter Angabe der oben genannten Fassung bestätigt und dabei die Ansprechperson, die für den Unterricht bestätigten Lehrpersonen und gegebenenfalls die Einschränkung der Sprachmodelle nach Abschnitt 7 angibt. Die Registrierung einer Lehrperson oder das Anklicken einer Checkbox bei der Kontoerstellung schliesst diesen Vertrag nicht ab. Der Betreiber bewahrt die Bestätigung für die Dauer des Vertrags auf.