Auftragsverarbeitungsvertrag — Einsatz von GymiMate an Schulen (Deutschland)

1. Vertragsparteien

Diese Vereinbarung wird geschlossen zwischen der Schule, deren Name, Ort und Land die Lehrperson bei der Kontoerstellung auf gymimate.ch angibt (nachfolgend „Schule“ bzw. „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO), und Sebastian Ehm, Schmittenstrasse 18, 8280 Kreuzlingen, Schweiz, Betreiber von GymiMate (nachfolgend „Betreiber“ bzw. „Auftragsverarbeiter“ im Sinne von Art. 4 Nr. 8 DSGVO).

2. Gegenstand, Dauer und Art der Verarbeitung (Art. 28 Abs. 3 DSGVO)

Der Betreiber stellt der Schule die Plattform GymiMate zur Verfügung, mit der Lehrpersonen eigene Lernassistenten aus KI-Sprachmodellen für ihren Unterricht zusammenstellen können. Für die Verarbeitung personenbezogener Daten von Schüler:innen im Rahmen dieser Nutzung handelt der Betreiber als Auftragsverarbeiter im Sinne von Art. 28 DSGVO; verantwortliche Stelle ist die Schule.

Gegenstand: Bereitstellung und Betrieb der Plattform GymiMate sowie die technische Verarbeitung von Chat-Nachrichten der Schüler:innen und der von Lehrpersonen hochgeladenen Unterrichtsinhalte.

Dauer der Verarbeitung: an die Laufzeit dieser Vereinbarung gekoppelt (siehe Abschnitt 10); für hochgeladene Unterrichtsinhalte und daraus erzeugte Wissenssammlungen zusätzlich bis zu deren Löschung durch die Lehrperson im Dashboard.

Art der personenbezogenen Daten: Chat-Nachrichten (Fragen der Schüler:innen und Antworten des Lernassistenten, inkl. optional mitgeschickter Dateien), von Lehrpersonen hochgeladene Unterrichtsinhalte (die ggf. personenbezogene Daten Dritter enthalten können), sowie die daraus erzeugten Wissenssammlungen (Textabschnitte, Vektoren/Embeddings). Besonders schützenswerte Daten (Art. 9 DSGVO) sind nach den Nutzungsbedingungen nicht vorgesehen.

Kategorien betroffener Personen: Schüler:innen der Schule, die über einen von einer Lehrperson erstellten Freigabelink mit einem Lernassistenten chatten (keine eigene Kontoerstellung durch Schüler:innen erforderlich).

Chat-Nachrichten werden von GymiMate nicht in einer eigenen Datenbank gespeichert, sondern bei jeder Nachricht direkt an das von der Lehrperson gewählte Sprachmodell weitergeleitet (siehe Abschnitt 6) und im Browser der Schülerin bzw. des Schülers gehalten. Hochgeladene Unterrichtsinhalte und die daraus erzeugten Wissenssammlungen werden hingegen dauerhaft gespeichert, bis die Lehrperson sie im Dashboard löscht.

Umfang: alle Lernassistenten und Freigabelinks, die von Lehrpersonen dieser Schule mit ihrem GymiMate-Konto eingerichtet werden, für die bei der Registrierung angegebene(n) Stufe(n).

Zeitraum: Diese Vereinbarung beginnt mit dem Anklicken der entsprechenden Checkbox bei der Registrierung der ersten Lehrperson dieser Schule und gilt unbefristet, kündbar gemäss Abschnitt 10.

Testbetrieb: Es gelten zusätzlich die öffentlich auf gymimate.ch einsehbaren Nutzungsbedingungen — insbesondere: keine besonders schützenswerten Personendaten über das für den Unterricht Notwendige hinaus, nur rechtmässig nutzbare Unterrichtsmaterialien.

3. Zuständigkeiten und Ansprechpersonen

Jede Lehrperson, die GymiMate mit ihrer Klasse einsetzt, bestätigt bei der Kontoerstellung, dass sie zum Abschluss dieser Vereinbarung im Namen ihrer Schule berechtigt ist und im Rahmen ihrer dienstlichen Aufgaben handelt (siehe Abschnitt 11). Diese Vereinbarung regelt die Zusammenarbeit auf Schulebene; Ansprechperson auf Seiten des Betreibers ist Sebastian Ehm (siehe Impressum).

4. Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO)

Der Betreiber verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung der Schule, einschliesslich in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. Diese Vereinbarung sowie die Konfiguration der Lernassistenten durch die Lehrpersonen (z. B. Auswahl des Sprachmodells, hochgeladene Unterrichtsinhalte) gelten als Weisung in diesem Sinne. Hält der Betreiber eine Weisung für rechtswidrig, informiert er die Schule unverzüglich.

5. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Betreiber stellt sicher, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Technische und organisatorische Massnahmen (Art. 28 Abs. 3 lit. c i. V. m. Art. 32 DSGVO)

Betreiber: Hosting der Datenbank (Konten, Wissenssammlungen, Vektoren) bei Railway, Serverstandort Amsterdam (Niederlande, EU). Verschlüsselte Übertragung (HTTPS/TLS) für alle Zugriffe. Zugriff auf Konto- und Wissensdaten nur für die jeweilige Lehrperson selbst; kein Zugriff durch andere Lehrpersonen oder Schulen. Passwörter der Lehrpersonen-Konten werden als Hash, nicht im Klartext gespeichert. Täglicher, vom Datenbank-Volume unabhängiger Datenbank-Export (Backup) mit einer Aufbewahrungsdauer von 30 Tagen.

Schule / Lehrperson: Zugangsdaten zum eigenen Konto werden nicht an Dritte weitergegeben. Freigabelinks werden nur an die vorgesehene Klasse weitergegeben. Es werden nur Unterrichtsinhalte hochgeladen, an denen die Lehrperson die nötigen Rechte hat. Schüler:innen werden vor der Nutzung darauf hingewiesen, keine besonders schützenswerten Personendaten in den Chat einzugeben.

Weitere Einzelheiten: Datenschutz & Transparenz auf der GymiMate-Website.

7. Subunternehmer (Art. 28 Abs. 2 und 4 DSGVO)

Die Schule erteilt dem Betreiber die allgemeine Genehmigung, für die in dieser Vereinbarung beschriebene Verarbeitung folgende Subunternehmer (Unterauftragsverarbeiter) einzusetzen: Railway (Hosting der Datenbank, Niederlande/EU), Mistral AI (Vektorisierung der Unterrichtsinhalte sowie optional als Sprachmodell, Frankreich/EU), Anthropic PBC (optional als Sprachmodell, USA — Datenübermittlung abgesichert durch EU-Standardvertragsklauseln), Infomaniak Network SA (optional als Sprachmodell, Schweiz) und AhaSend B.V. (Versand von Konto- und Rückmeldungs-E-Mails, Niederlande/EU).

Eine laufend aktualisierte, verbindliche Liste sowie Einzelheiten zu den jeweiligen Auftragsverarbeitungsverträgen sind auf der Datenschutz-Seite von GymiMate einsehbar. Beabsichtigt der Betreiber, einen neuen Subunternehmer einzusetzen oder einen bestehenden zu ersetzen, informiert er die Schule vorab; die Schule kann diesem Wechsel innerhalb von 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Der Betreiber verpflichtet seine Subunternehmer vertraglich zu denselben Datenschutzpflichten, wie sie sich aus dieser Vereinbarung für den Betreiber selbst ergeben.

Der Betreiber selbst hat seinen Sitz in der Schweiz. Die Europäische Kommission hat der Schweiz ein angemessenes Datenschutzniveau bestätigt (Angemessenheitsbeschluss nach Art. 45 DSGVO); die Übermittlung personenbezogener Daten von der Schule an den Betreiber bedarf daher keiner zusätzlichen Garantien wie Standardvertragsklauseln.

8. Unterstützungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

Der Betreiber unterstützt die Schule, soweit dies mit den ihm zur Verfügung stehenden technischen Mitteln möglich ist, bei der Erfüllung der Pflicht, Anträge auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III DSGVO (z. B. Auskunft, Löschung) zu beantworten, sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

9. Meldung von Datenschutzvorfällen (Art. 33 DSGVO)

Der Betreiber meldet der Schule eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, damit die Schule ihrer eigenen Meldepflicht gegenüber der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 Abs. 1 DSGVO) nachkommen kann.

Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt: Art des Vorfalls, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, ergriffene oder vorgeschlagene Massnahmen sowie eine Kontaktmöglichkeit für Rückfragen. Die Schule entscheidet in eigener Verantwortung, ob und wie betroffene Schüler:innen bzw. deren Erziehungsberechtigte informiert werden und ob eine Meldung an die Aufsichtsbehörde erforderlich ist.

10. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

Nach Beendigung dieser Vereinbarung löscht der Betreiber, nach Wahl der Schule, sämtliche im Auftrag der Schule verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, soweit nicht nach dem Recht der Europäischen Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Ein zu diesem Zeitpunkt bereits bestehendes, im Rahmen der täglichen Datensicherung erstelltes Backup wird turnusgemäss innerhalb der in Abschnitt 6 genannten Frist von 30 Tagen gelöscht.

Beide Parteien können die Vereinbarung mit einer Frist von 30 Tagen auf das Ende eines Monats kündigen — die Schule durch formlose E-Mail an info@gymimate.ch, der Betreiber durch Mitteilung an die bei der Registrierung hinterlegte E-Mail-Adresse der Schule bzw. ihrer Lehrpersonen. Der Betreiber kann diese Vereinbarung anpassen, wenn sich der Dienst wesentlich weiterentwickelt oder sich die rechtlichen Anforderungen an die Auftragsverarbeitung ändern; wesentliche Änderungen werden auf dieser Seite mit aktualisiertem Stand-Datum sowie, soweit technisch möglich, per E-Mail an registrierte Lehrpersonen mitgeteilt. Eine Kündigung berührt nicht das Recht der Schule auf Auskunft, Löschung oder Rückgabe bereits gespeicherter Daten gemäss diesem Abschnitt und Abschnitt 11.

11. Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

Der Betreiber stellt der Schule auf Anfrage die zur Nachweisführung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung (u. a. bestehende Auftragsverarbeitungsverträge mit Subunternehmern) und ermöglicht angemessene Prüfungen, insbesondere durch Einsichtnahme in einschlägige Unterlagen. Weitergehende Prüfungen vor Ort erfolgen nach vorheriger Absprache, unter angemessener Vorlaufzeit und unter Wahrung der Betriebs- und Geschäftsgeheimnisse des Betreibers sowie der Daten anderer Kund:innen.

12. Auskunfts- und Löschrechte betroffener Personen

Die Schule bzw. betroffene Personen (z. B. Erziehungsberechtigte im Namen von Schüler:innen) können jederzeit Auskunft über gespeicherte Daten verlangen oder deren Löschung beantragen. Die Anfrage erfolgt per E-Mail an info@gymimate.ch unter Angabe des betroffenen Kontos bzw. der betroffenen Wissenssammlung. Der Betreiber bearbeitet solche Anfragen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Für Personen, für die die DSGVO gilt, bestehen insbesondere: das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie — wo die Verarbeitung auf einer Einwilligung beruht — das Recht, diese jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO), und das Recht auf Beschwerde bei einer zuständigen Aufsichtsbehörde (Art. 77 DSGVO), z. B. der für die Schule zuständigen Landesdatenschutzbehörde. Löschfristen sowie weitere Details zur Aufbewahrung sind auf der Datenschutz-Seite beschrieben.

13. Anwendbares Recht, Gerichtsstand

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts, soweit dem nicht zwingende Vorgaben der DSGVO entgegenstehen. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der Schule.

14. Abschluss dieser Vereinbarung

Diese Vereinbarung kommt zustande, sobald eine Lehrperson bei der Registrierung auf gymimate.ch die Checkbox für Nutzungsbedingungen und Datenschutzerklärung anklickt — ohne separate Unterschrift. Mit diesem Klick bestätigt die Lehrperson, dass sie im Rahmen ihrer dienstlichen Aufgaben handelt und zum Abschluss dieser Vereinbarung im Namen ihrer Schule berechtigt ist. Zeitpunkt und Zustandekommen der Vereinbarung werden pro Lehrperson-Konto elektronisch festgehalten.