Vertrag zur Auftragsverarbeitung

Fassung vom 2. November 2026

Hinweis: Entwurf zur rechtlichen Prüfung

Dieser Text ist ein Entwurf zur rechtlichen Prüfung und noch nicht gültig.

Vertrag nach Art. 28 Abs. 3 DSGVO zwischen der Schule, die schulbuch.cloud nutzt (im Folgenden „Verantwortliche“), und Björn Falszewski, offen Anschrift, E-Mail: info@schulbuch.cloud (im Folgenden „Auftragsverarbeiter“).

Der Vertrag wird in elektronischer Form geschlossen: Die Verantwortliche stimmt ihm bei der Registrierung oder bei der ersten Anmeldung nach der Übernahme aus dem bisherigen System zu. Der Auftragsverarbeiter speichert die Zustimmung mit Fassung, Zeitpunkt und Konto (Zustimmungsfunktion laut Plan, Stand 2026-11-02).

§ 1 Gegenstand und Dauer

  1. Gegenstand ist der Betrieb der Anwendung schulbuch.cloud zur Verwaltung der Schulbuch-Ausleihe der Verantwortlichen nach den Nutzungsbedingungen.
  2. Der Vertrag gilt, solange die Verantwortliche den Dienst nutzt, und endet mit dem Ende der Nutzung. § 9 gilt darüber hinaus bis zur vollständigen Löschung.

§ 2 Art und Zweck der Verarbeitung

  1. Art: Erheben, Speichern, Ordnen, Anzeigen, Ändern, Abgleichen (Import), Ausgeben als PDF, Versenden von E-Mails, Löschen.
  2. Zweck: Verwaltung von Buchtiteln und Exemplaren, Ausgabe und Rückgabe an Schülerinnen und Schüler, Erfassung von Schäden und Zeitwerten, Erstellung von Rechnungen und Kontoauszügen, Verwaltung der Konten der Mitarbeitenden der Verantwortlichen einschließlich Anmeldung mit E-Mail-Code.

§ 3 Art der Daten und Kreis der Betroffenen

Betroffene Daten
Schülerinnen und Schüler (überwiegend minderjährig) Vor- und Nachname, Schüler-ID der Schulverwaltung, Klasse und Jahrgang; optional Geschlecht, Geburtstag, Anschrift, Rechnungsadresse
Schülerinnen und Schüler bzw. Erziehungsberechtigte als Rechnungsempfänger Ausleihen (Exemplar, Ausgabe und Rückgabe), Schäden, Wertposten, Rechnungen mit Anschrift, Positionen, Beträgen und Status
Mitarbeitende der Verantwortlichen E-Mail-Adresse, Vor- und Nachname, Rolle (Verwaltung oder Theke), Passwort als Hash, Zeitpunkt der letzten Anmeldung, Login-Codes und Einladungen als Hash, gemerkte Geräte (grobe Gerätebezeichnung, Zeitpunkte), Bearbeiter-Angabe an Ausleihen, Wertposten und Rechnungen
Alle oben genannten Inhalte der vom System versandten E-Mails (Einladungen, Login-Codes, Passwort-Links) im Mail-Protokoll
Verantwortliche selbst Name der Schule, Absenderangaben und Bankverbindung für Rechnungen, Einstellungen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Die Verantwortliche gibt sie auch nicht in Freitextfelder (z. B. Kommentare an Exemplaren) ein.

§ 4 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Weisungen sind diese Vereinbarung, die Nutzungsbedingungen und die Bedienung der Anwendung durch die Verantwortliche. Weitere Weisungen erteilt die Verantwortliche in Textform an info@schulbuch.cloud.
  2. Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies der Verantwortlichen vorher mit, soweit das Gesetz es nicht verbietet.
  3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Verantwortliche unverzüglich darauf hin.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

  1. Der Auftragsverarbeiter betreibt den Dienst selbst. Setzt er weitere Personen ein, verpflichtet er sie vorher zur Vertraulichkeit.
  2. Der Auftragsverarbeiter meldet sich nicht als Nutzer der Verantwortlichen an; die Anwendung bietet keinen solchen Zugang. In der Betreiberverwaltung sieht er Schulen, Konten (Name, E-Mail-Adresse, Status, letzte Anmeldung), Kennzahlen als Anzahlen ohne Schülernamen und das Mail-Protokoll mit Empfänger, Absender, Betreff, Status und Anhangsliste. Den Text von System-Mails (Login-Codes, Bestätigungs-, Passwort- und Einladungslinks) sieht er nicht. Er nutzt diese Einsicht nur für Betrieb, Fehlerbehebung und Missbrauchsabwehr.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO)

  1. Die Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
  2. Der Auftragsverarbeiter informiert die Verantwortliche vorab über jede beabsichtigte Änderung. Die Verantwortliche kann innerhalb von offen Frist für Widerspruch gegen neue Unterauftragsverarbeiter widersprechen; widerspricht sie, kann jede Seite den Vertrag beenden.
  3. Der Auftragsverarbeiter legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie in diesem Vertrag.
  4. Die Verarbeitung beim Hoster findet am Serverstandort offen Serverstandort (Rechenzentrum in Deutschland vorgesehen, Bestätigung in der Hetzner-Konsole steht aus) statt; Sicherungskopien verbleiben beim Auftragsverarbeiter in Deutschland, für den Mail-Versand über Mailjet gilt es vorbehaltlich offen Bestätigung der Verarbeitung in der EU (Prüfung durch den Nutzer). Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und die Verantwortliche vorher informiert wurde.
  5. Keine Unterauftragsverarbeiter sind Dienste, an die keine personenbezogenen Daten der Verantwortlichen gehen: Die ISBN-Suche fragt laut Plan die Deutsche Nationalbibliothek, Google Books und Open Library nur mit der ISBN ab; die Prüfung auf bekannte Passwörter sendet nur die ersten fünf Zeichen des SHA-1-Hashwerts eines neuen Passworts an Have I Been Pwned (api.pwnedpasswords.com).

§ 7 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

  1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen aus Anlage 1 und passt sie dem Stand der Technik an. Er darf sie durch gleichwertige ersetzen.
  2. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter der Verantwortlichen unverzüglich, spätestens innerhalb von offen Frist für Meldung von Verletzungen an die Schule nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

§ 8 Unterstützung der Verantwortlichen (Art. 28 Abs. 3 lit. e und f DSGVO)

  1. Die Anwendung erlaubt der Verantwortlichen, Daten selbst einzusehen und zu berichtigen. Schüler und Konten von Mitarbeitenden kann sie ausblenden bzw. deaktivieren; die Datensätze bleiben dabei gespeichert und werden erst mit der Löschung aller Daten der Schule (§ 9) endgültig gelöscht. Darüber hinaus unterstützt der Auftragsverarbeiter sie bei Anfragen von Betroffenen. Erreicht ihn eine solche Anfrage direkt, leitet er sie an die Verantwortliche weiter und beantwortet sie nicht selbst.
  2. Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen (Art. 32 bis 36 DSGVO) im Rahmen der ihm vorliegenden Informationen.

§ 9 Löschung nach Ende des Auftrags (Art. 28 Abs. 3 lit. g DSGVO)

  1. Nach Ende der Nutzung löscht der Auftragsverarbeiter (Löschfunktion laut Plan, Stand 2026-11-02) alle personenbezogenen Daten der Verantwortlichen endgültig: Schüler, Buchtitel, Exemplare, Ausleihen, Wertposten, Rechnungen, Einstellungen, Konten, Codes, Geräte und Zustimmungen, dazu die Mails an die E-Mail-Adressen der Konten und die zugehörigen Bestätigungs- und Passwort-Token. Mails und Token zu Adressen ohne Konto (zum Beispiel nicht abgeschlossene Registrierungen) sind davon nicht erfasst; für sie gilt die Frist von 90 Tagen nach Versand (Mail-Protokoll); abgelaufene Token löscht der tägliche Aufräumlauf. offen Kündigungsweg und Frist bis zur Löschung
  2. Die Verantwortliche sichert vor dem Ende der Nutzung selbst, was sie aufbewahren muss; einzelne Rechnungen und Kontoauszüge kann sie laut Plan als PDF herunterladen. Eine Gesamtausfuhr aller Daten bietet die Anwendung derzeit nicht.
  3. Daten in Sicherungskopien werden mit deren Ablauf gelöscht: Der Auftragsverarbeiter sichert die Datenbank und die Dateiablage nach dem Start und danach wöchentlich und speichert die Sicherungen bei sich in Deutschland; Aufbewahrungsfrist: offen Aufbewahrungsfrist der Sicherungen.
  4. Bestehen gesetzliche Pflichten zur Aufbewahrung beim Auftragsverarbeiter, schränkt er die Verarbeitung ein und löscht nach Ablauf der Pflicht.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

  1. Der Auftragsverarbeiter stellt der Verantwortlichen auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, insbesondere eine aktuelle Fassung der Anlagen.
  2. Die Verantwortliche oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach vorheriger Ankündigung durchführen. Kontrollen vor Ort finden nur statt, soweit schriftliche Auskünfte nicht ausreichen.

§ 11 Schlussbestimmungen

  1. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
  2. Änderungen dieses Vertrags veröffentlicht der Auftragsverarbeiter mit neuem Datum; sie gelten nach Zustimmung der Verantwortlichen in der Anwendung.
  3. offen Gerichtsstand und anwendbares Recht

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Zutritt und physische Sicherheit der Server: beim Hoster, Hetzner Online GmbH, Serverstandort: offen Serverstandort (Rechenzentrum in Deutschland vorgesehen, Bestätigung in der Hetzner-Konsole steht aus); Verschlüsselung der Datenträger: offen Verschlüsselung der Datenträger beim Hoster.
  • Zugang zur Anwendung nur mit E-Mail-Adresse, Passwort und einem Einmalcode per E-Mail (zehn Minuten gültig, höchstens fünf Fehlversuche); vertrauenswürdige Geräte nur auf Wunsch, 30 Tage, jederzeit widerrufbar.
  • Passwörter werden nur als Hash gespeichert; Login-Codes, Bestätigungs-, Einladungs- und Geräte-Token in den Anmeldetabellen nur als Hashwert (SHA-256). Einschränkung: Der Text der versandten Mails mit Code bzw. Link liegt im Mail-Protokoll im Klartext; Löschfrist 90 Tage nach Versand.
  • Neue Passwörter werden gegen bekannte Datenlecks geprüft (k-Anonymität, nur fünf Zeichen des Hashwerts verlassen den Server).
  • Betreiberverwaltung nur aus freigegebenen Netzen (VPN oder IP-Allowlist), mit Passwort und zweitem Faktor (TOTP); eigener Nutzerkreis, getrennt von den Konten der Schulen.
  • Rollen je Schule: „Verwaltung“ und „Theke“; persönliche Angaben der Schüler liefert die Schnittstelle nur an die Verwaltung.
  • Mandantentrennung: Alle Daten sind einer Schule zugeordnet; automatisierte Tests prüfen, dass keine Schule Daten einer anderen sieht oder ändert.
  • Interne Dienste (Datenbank, Sitzungsspeicher, PDF-Dienst) sind nicht aus dem Internet erreichbar; auf dem Live-Server lässt eine vorgelagerte Hetzner-Firewall öffentlich nur HTTP/HTTPS zu (alle übrigen Ports nur aus dem VPN des Betreibers); die Verwaltung (/admin, /api-admin) ist nur aus dem VPN des Betreibers erreichbar; Datenbank, Sitzungsspeicher und PDF-Dienst liegen nur im internen Netz, der PDF-Dienst ohne Internetzugang.
  • Entwicklung und automatisierte Tests nur mit verfremdeten Daten; die Proben vor der Umstellung laufen auf einem Testsystem bei Hetzner mit echten Daten und denselben Schutzmaßnahmen wie im Betrieb (Betreiber-Zugang nur über VPN), die Daten werden nach der Umstellung gelöscht offen Aussage zur Testumgebung (Prüfung durch den Nutzer).

Integrität

  • Übertragung ausschließlich verschlüsselt per HTTPS; die TLS-Terminierung erfolgt am Reverse-Proxy Traefik auf dem Server, die Zertifikate stammen von Let's Encrypt und werden automatisch erneuert.
  • Rechnungen werden laut Plan beim Erstellen eingefroren und als PDF mit Prüfsumme abgelegt; Korrekturen nur über Storno und neue Rechnung.
  • Ausleihen, Wertposten und Rechnungen speichern, wer sie angelegt hat.

Verfügbarkeit und Belastbarkeit

  • Begrenzung der Anfragen bei Anmeldung, Code-Versand, Einladung, Kontaktformular, ISBN-Suche und Import (Kontaktformular, ISBN-Suche und Import laut Plan).
  • Captcha ohne Drittanbieter gegen automatisierte Registrierungen.
  • Sicherungskopien und Wiederherstellung: Sicherung der Datenbank und der Dateiablage durch den Auftragsverarbeiter nach dem Start und danach wöchentlich, gespeichert beim Auftragsverarbeiter in Deutschland; Aufbewahrungsfrist: offen Aufbewahrungsfrist der Sicherungen.
  • Überwachung: eigenes Monitoring des Betreibers (Grafana, Loki, Prometheus) auf einem Server bei Hetzner; Erreichbarkeitsprüfung der öffentlichen Adressen; Fehlerprotokolle im zentralen Monitoring werden nach 30 Tagen gelöscht, die Aufbewahrung auf dem Server selbst: offen Aufbewahrung der Container-Logs auf dem Server (Prüfung am Server steht aus); keine Traces (OpenTelemetry aus).

Datensparsamkeit und Löschung

  • Fehlerprotokolle maskieren in den Zusatzangaben jeder Zeile E-Mail-Adressen und Werte wie Passwörter, Token und Sitzungsdaten; der Meldungstext selbst wird nicht maskiert.
  • Hochgeladene Import-Dateien werden laut Plan nicht dauerhaft gespeichert.
  • Zustimmungen werden laut Plan ohne IP-Adresse gespeichert.
  • Abgelaufene Login-Codes und Geräte werden durch einen täglichen automatischen Aufräumlauf (nachts) gelöscht; abgelaufene Bestätigungs- und Passwort-Links beim täglichen Aufräumlauf, Einladungen 14 Tage nach Ablauf; Löschung der gesamten Schule nach Ende der Nutzung (§ 9).

Anlage 2: Unterauftragsverarbeiter

Hetzner Online GmbH (Hosting); Mailjet (Versand der System-Mails, Konto der Floplo GmbH)

Unterauftragsverarbeiter Leistung Ort der Verarbeitung
Hetzner Online GmbH Server, Datenbank, Dateiablage, Monitoring offen Serverstandort (Rechenzentrum in Deutschland vorgesehen, Bestätigung in der Hetzner-Konsole steht aus)
Mailjet (Konto der Floplo GmbH) offen Angaben zu Mailjet (Sitz, Ort der Verarbeitung in der EU, Auftragsverarbeitungsvertrag; Prüfung durch den Nutzer) Versand der System-Mails offen Ort der Verarbeitung bei Mailjet (Prüfung durch den Nutzer)