Datenschutz

AVV, VVT-Eintrag und Eltern-Info-Brief für den DSGVO-konformen Schulfunk-Einsatz.

Übersicht Datenschutz-Paket

Schulfunk – Datenschutz-Paket

Diese Sammlung enthält die Dokumente, die eine Schule oder OGS benötigt, um Schulfunk DSGVO-konform einsetzen zu können – insbesondere wenn personenbezogene Daten von Kindern oder Eltern verarbeitet werden (z. B. Krankmeldungen).

Übersicht

Dokument Zweck Format Wer unterschreibt?
Auftragsverarbeitungsvertrag (AVV) Vertrag zwischen Schul-/OGS-Träger und Empennage nach Art. 28 DSGVO .docx + .md Träger + Empennage
Verzeichnis der Verarbeitungstätigkeiten (VVT) – Eintrag Vorlage für den Eintrag, den der Verantwortliche in sein eigenes VVT übernimmt .docx + .md – (interne Doku)
Eltern-Info-Brief Transparente Information an Eltern nach Art. 13 DSGVO .docx + .md Schul-/OGS-Leitung

Wann brauche ich was?

Reihenfolge der Umsetzung

  1. AVV zwischen Träger und Empennage unterzeichnen.
  2. Verantwortlicher pflegt VVT-Eintrag in das eigene Verzeichnis ein.
  3. Eltern-Info-Brief verteilen (mindestens zwei Wochen vor Produktivstart).
  4. Erst danach: Verarbeitung personenbezogener Daten in Schulfunk aktivieren.

Veröffentlichung

Pflege

Dieses Paket wird zentral auf BookStack gepflegt. Änderungen am Original immer dort vornehmen, danach in den Word-Versionen nachziehen.

Letzte Aktualisierung: {{Datum}}

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

📄 Word-Version zum Unterzeichnen: AVV_Schulfunk_v1.docx

Zwischen

Verantwortlicher {{Name des Schulträgers bzw. OGS-Trägers}} {{Straße, Hausnummer}} {{PLZ Ort}} vertreten durch {{Name, Funktion}}

— im Folgenden »Verantwortlicher« genannt —

und

Auftragsverarbeiter Empennage – Inhaber Philipp Wolters (Einzelunternehmen) Winzerstr. 117 53129 Bonn E-Mail: {{kontakt@empennage.de}}

— im Folgenden »Auftragsverarbeiter« genannt —

— gemeinsam die »Parteien« —

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Erbringung der in Anlage 1 näher beschriebenen Leistungen durch den Auftragsverarbeiter (Bereitstellung und Betrieb der Kommunikationsplattform »Schulfunk«).

(2) Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich auf Grundlage dieses Vertrags und nach Weisung des Verantwortlichen.

(3) Diese Vereinbarung tritt mit Unterzeichnung in Kraft und gilt für die Dauer des zugrundeliegenden Hauptvertrags bzw. der Nutzung von Schulfunk durch den Verantwortlichen. Eine ordentliche Kündigung dieser AVV ohne gleichzeitige Beendigung des Hauptvertrags ist ausgeschlossen.

§ 2 Konkretisierung des Auftragsinhalts

(1) Art und Zweck der Verarbeitung: Bereitstellung einer Plattform für die interne und externe Kommunikation einer Schule und/oder OGS, insbesondere:

(2) Art der personenbezogenen Daten:

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) können in eng begrenztem Umfang anfallen, soweit Eltern in Krankmeldungen freiwillig Angaben zu Gesundheitsdaten ihres Kindes machen. Der Verantwortliche stellt sicher, dass für diese Verarbeitung eine geeignete Rechtsgrundlage besteht.

(4) Kategorien betroffener Personen:

§ 3 Technisch-organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der Daten nach Art. 32 DSGVO.

(2) Der Stand der TOM kann während der Vertragslaufzeit fortgeschrieben werden. Wesentliche Änderungen werden dem Verantwortlichen unverzüglich mitgeteilt. Die TOM dürfen das Schutzniveau nicht unterschreiten.

§ 4 Berichtigung, Einschränkung und Löschung

(1) Daten dürfen ausschließlich auf Weisung des Verantwortlichen berichtigt, gelöscht oder in der Verarbeitung eingeschränkt werden.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen.

§ 5 Qualitätssicherung und sonstige Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere zu:

§ 6 Unterauftragsverhältnisse

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen. Eine allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter wird hiermit erteilt.

(2) Der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Auftragsverarbeiter. Der Verantwortliche kann gegen derartige Änderungen Einspruch erheben.

(3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie er selbst.

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikationsleistungen, Post-/Transportdienstleistungen sowie Wartung und Pflege, soweit diese nicht den vertraglichen Hauptzweck betreffen.

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und während der Vertragslaufzeit von der Einhaltung der getroffenen TOM zu überzeugen.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung. Hierzu zählen insbesondere aktuelle Testate, Zertifikate oder Berichte von Sachverständigen.

(3) Bei Vor-Ort-Kontrollen sind die Belange des Auftragsverarbeiters angemessen zu berücksichtigen. Kontrollen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen.

§ 8 Meldung bei Verstößen des Auftragsverarbeiters

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme.

(2) Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Meldepflichten nach Art. 33, 34 DSGVO.

§ 9 Weisungsbefugnis des Verantwortlichen

(1) Die Verarbeitung der Daten erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften verstößt, so hat er den Verantwortlichen unverzüglich darauf hinzuweisen.

(3) Weisungsberechtigte Personen des Verantwortlichen: {{Name, Funktion, E-Mail}} Weisungsempfänger beim Auftragsverarbeiter: Philipp Wolters, Winzerstr. 117, 53129 Bonn, {{kontakt@empennage.de}}

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Auftrags hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt.

(2) Die Löschung wird auf Anforderung schriftlich bestätigt.

§ 11 Haftung

Es gelten die gesetzlichen Regelungen zur Haftung nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die Verstöße, die in ihrem Verantwortungsbereich liegen.

§ 12 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

(2) Änderungen und Ergänzungen bedürfen der Schriftform.

(3) Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – der Sitz des Verantwortlichen.

Unterschriften

Verantwortlicher Ort, Datum: ____________________

{{Name, Funktion}}

Auftragsverarbeiter Ort, Datum: ____________________

Philipp Wolters (Empennage)

Anlage 1 – Technisch-organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Zugangskontrolle

Zugriffskontrolle

Trennungskontrolle

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Eingabekontrolle

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

5. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Name Anschrift Leistung Standort
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen Hosting / Rechenzentrum Deutschland
{{ggf. weitere}}

Etwaige weitere Unterauftragsverarbeiter werden dem Verantwortlichen vor Einsatz mitgeteilt; der Verantwortliche hat ein Widerspruchsrecht.

Dokumentversion: v1 · Stand: {{Datum}}

Verzeichnis von Verarbeitungstätigkeiten – Eintrag

Verzeichnis von Verarbeitungstätigkeiten – Eintrag »Schulfunk«

📄 Word-Version: VVT_Eintrag_Schulfunk.docx

Eintrag für das Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen gemäß Art. 30 Abs. 1 DSGVO.

1. Bezeichnung der Verarbeitungstätigkeit

Digitale Kommunikation mit Schulfunk – interne und externe Mitteilungen, Anwesenheits- und Krankmeldungsmanagement.

2. Verantwortlicher

{{Name des Schulträgers bzw. OGS-Trägers}} {{Anschrift}} vertreten durch {{Name, Funktion}}

3. Datenschutzbeauftragte/r

{{Name, Anschrift, E-Mail}}

4. Auftragsverarbeiter

Empennage – Inhaber Philipp Wolters Winzerstr. 117, 53129 Bonn {{kontakt@empennage.de}} (AVV vom {{Datum}} liegt vor.)

5. Zwecke der Verarbeitung

6. Kategorien betroffener Personen

7. Kategorien personenbezogener Daten

8. Kategorien von Empfängern

9. Übermittlung an Drittländer / internationale Organisationen

Keine Übermittlung in Drittländer außerhalb der EU/EWR vorgesehen.

10. Rechtsgrundlage

11. Vorgesehene Löschfristen

Datenkategorie Frist
Stammdaten Kind / Sorgeberechtigte Ende des Schuljahres, in dem das Kind die Einrichtung verlässt, + 1 Schuljahr
Anwesenheits-/Krankmeldungsdaten Ende des Schuljahres + 1 Jahr
Kommunikationsinhalte 6 Monate ab Erstellung (rollierende Löschung), sofern nicht länger erforderlich
Stammdaten Mitarbeitende Bis 1 Monat nach Ausscheiden
Audit-Logs 90 Tage

12. Technische und organisatorische Maßnahmen (TOM)

Siehe Anlage 1 des AVV mit Empennage. Wesentliche Maßnahmen:

Dokumentversion: v1 · Stand: {{Datum}}

Eltern-Info-Brief (Art. 13 DSGVO)

Information über die Nutzung von Schulfunk

Hinweise nach Art. 13 DSGVO an die Sorgeberechtigten

📄 Word-Version (zum Ausdrucken / Anpassen): Eltern_Info_Schulfunk.docx

Liebe Eltern und Sorgeberechtigte,

ab {{Startdatum}} nutzen Schule und OGS für die Kommunikation untereinander und mit Ihnen das Werkzeug Schulfunk. Dazu möchten wir Sie an dieser Stelle transparent informieren.

Was ist Schulfunk?

Schulfunk ist eine digitale Plattform für die Kommunikation in Schule und OGS – vergleichbar mit einer Mischung aus Klassenchat, schwarzem Brett und Krankmeldungs-Formular. Wir verwenden es zum Beispiel für:

Welche Daten werden verarbeitet?

Im Rahmen der Nutzung verarbeiten wir folgende Daten:

Wenn Sie in einer Krankmeldung freiwillig Angaben zur Erkrankung machen, werden diese Angaben ebenfalls verarbeitet (Art. 9 DSGVO – Gesundheitsdaten). Sie sind nicht verpflichtet, eine Krankheitsursache anzugeben.

Auf welcher Rechtsgrundlage?

Die Verarbeitung erfolgt auf Grundlage der gesetzlichen Aufgaben von Schule und OGS (Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 120 SchulG NRW und KiBiz NRW). Für Gesundheitsangaben in Krankmeldungen kommt Art. 9 Abs. 2 lit. b DSGVO hinzu. Eine gesonderte Einwilligung ist daher nicht erforderlich.

Wer ist verantwortlich, wer ist Dienstleister?

Verantwortlich für die Verarbeitung ist {{Träger / Schul-/OGS-Leitung}}, Anschrift: {{Anschrift}}.

Als technischer Dienstleister (Auftragsverarbeiter) arbeiten wir mit Empennage – Inhaber Philipp Wolters, Winzerstr. 117, 53129 Bonn zusammen. Empennage stellt die Plattform Schulfunk bereit und betreibt sie auf Servern der Hetzner Online GmbH in Deutschland. Es existiert ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine Übermittlung in Drittländer außerhalb der EU findet nicht statt.

Wie lange werden die Daten gespeichert?

Wir löschen die Daten Ihres Kindes spätestens ein Schuljahr, nachdem es unsere Einrichtung verlassen hat. Krankmeldungen werden in der Regel zum Ende des laufenden Schuljahres + 1 Jahr gelöscht. Nachrichteninhalte werden nach spätestens 6 Monaten rollierend gelöscht, soweit nicht länger erforderlich.

Ihre Rechte

Sie haben jederzeit das Recht auf:

Den Widerspruch gegen die Nutzung von Schulfunk für Ihre Familie können Sie jederzeit formlos gegenüber {{Name, Funktion, E-Mail}} erklären. In diesem Fall stellen wir die Kommunikation auf einem alternativen Weg (z. B. Telefon, Brief) sicher.

Ansprechpartner

Bei Fragen wenden Sie sich an:

Schule / OGS: {{Name, Funktion, E-Mail, Telefon}} Datenschutzbeauftragte/r: {{Name, E-Mail}} Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf, ldi.nrw.de

Mit freundlichen Grüßen

{{Schulleitung}} {{OGS-Leitung}}

Stand: {{Datum}} · Bei wesentlichen Änderungen informieren wir Sie erneut.