Auftragsverarbeitungsvereinbarung (AVV) v2.0 — März 2026
1. Parteien
Auftragsverarbeiter: SIBSTIL DOORS SRL, Str. Oștirii, Nr. 6, Sc. B, Et. 7, Ap. 73, Mun. Sibiu, România. J32/358/2009, CIF: RO25411699. Email: support@typiq-app.com
Verantwortlicher: The school or educational institution named in the license agreement (details to be completed upon contract signing).
2. Gegenstand, Dauer und Art der Verarbeitung
Diese AVV regelt die Verarbeitung personenbezogener Daten von Schülern durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Tipp-Lernsoftware Typiq. Die AVV gilt für die gesamte Laufzeit der aktiven Classroom- oder School-Lizenz und endet mit der Beendigung der Lizenz.
3. Datenkategorien und Verarbeitungszwecke
| Datenkategorie | Zweck | Aufbewahrung | Hinweise |
|---|---|---|---|
| Anzeigename oder Benutzername des Schülers | Identifikation des Schülers im Lehrer-Dashboard | Laufzeit der Lizenz | Echter Name nicht erforderlich |
| Tipp-Fortschritt (WPM, Genauigkeit, Lektionen) | Fortschrittskontrolle und Lehrerberichte | Laufzeit der Lizenz | Ausschließlich zu Bildungszwecken |
| Aktivitäts-Zeitstempel | Nutzungsüberwachung durch die Lehrkraft | Duration of license | Nur Datum/Uhrzeit, kein Standort |
Daten, die wir NICHT verarbeiten: echte Namen (sofern nicht freiwillig von der Schule bereitgestellt), E-Mail-Adressen von Schülern, Geburtsdaten, Fotos, medizinische oder besondere Datenkategorien, Finanzdaten oder andere Daten, die über die oben aufgeführten hinausgehen.
4. Rechte der betroffenen Personen — EU Data Act
Gemäß dem EU Data Act (Verordnung 2023/2854, anwendbar seit dem 12. September 2025) haben betroffene Personen (Schüler oder ihre Erziehungsberechtigten) das Recht, auf Daten zuzugreifen, die durch die Nutzung der Software erzeugt werden. Der Verantwortliche ist für die Bearbeitung dieser Anfragen zuständig. Der Auftragsverarbeiter stellt eine Datenexportfunktion (CSV) bereit, damit der Verantwortliche Anträge auf Datenübertragbarkeit innerhalb von 30 Tagen erfüllen kann.
5. Pflichten des Verantwortlichen
- Alle notwendigen Einwilligungen von Eltern oder Erziehungsberechtigten für Schüler unter 16 Jahren einholen (Art. 8 DSGVO) bzw. das in der jeweiligen Rechtsordnung geltende Alter (z. B. unter 13 Jahren für COPPA in den USA)
- Schüler und Eltern wie in Art. 13 DSGVO vorgesehen über die Datenverarbeitung informieren
- Sicherstellen, dass nur autorisiertes Personal auf das Admin-Dashboard zugreift
- Den Auftragsverarbeiter unverzüglich über jede Datenpanne mit Schülerdaten informieren
- Geltende nationale Bildungs-Datenschutzbestimmungen einhalten
6. Pflichten des Auftragsverarbeiters (Art. 28 DSGVO)
- Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten
- Sicherstellen, dass alle autorisierten Personen einer Vertraulichkeitsverpflichtung unterliegen
- Geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen (Art. 32 DSGVO)
- Keine Unterauftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einsetzen
- Den Verantwortlichen bei der Erfüllung von Anträgen auf Wahrnehmung von Betroffenenrechten unterstützen (Auskunft, Löschung, Übertragbarkeit)
- Alle personenbezogenen Daten innerhalb von 30 Tagen nach Beendigung der Lizenz löschen oder zurückgeben
- Notify the Controller within 24 Stunden of becoming aware of a personal data breach (in line with CRA requirements and GDPR Art. 33)
- Alle Informationen bereitstellen, die erforderlich sind, um die Einhaltung dieser AVV nachzuweisen
7. Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting für das Schul-Dashboard | Deutschland (EU) |
Der Verantwortliche genehmigt den Einsatz des oben genannten Unterauftragsverarbeiters. Änderungen bei den Unterauftragsverarbeitern werden 30 Tage im Voraus mitgeteilt, wobei der Verantwortliche das Recht hat, Einspruch zu erheben.
8. Internationale Übermittlungen
Alle Schülerdaten werden auf in der EU ansässigen Servern (Hetzner, Deutschland) verarbeitet und gespeichert. Es werden keine Schülerdaten außerhalb der EU/des EWR übermittelt.
9. Sicherheitsmaßnahmen (Art. 32 DSGVO)
- HTTPS-Verschlüsselung für alle Daten bei der Übertragung
- Authentifizierung für den Zugriff auf das Admin-Dashboard erforderlich
- Rollenbasierte Zugriffskontrollen (Lehrkraft vs. Administrator)
- Daten auf EU-Servern mit physischen und logischen Zugangskontrollen gespeichert
- Regelmäßige Sicherheitsüberprüfungen
- Incident-Response-Verfahren etabliert (siehe Sicherheitsrichtlinie)
10. Auditrechte
Der Verantwortliche hat das Recht, die Einhaltung dieser AVV nach 30-tägiger schriftlicher Ankündigung höchstens einmal pro Jahr zu auditieren. Audits werden so durchgeführt, dass die Betriebsabläufe des Auftragsverarbeiters möglichst wenig beeinträchtigt werden.
11. Anwendbares Recht
Diese AVV unterliegt rumänischem Recht und der EU-DSGVO. Streitigkeiten werden vor den Gerichten in Sibiu, Rumänien, beigelegt, sofern nicht zwingende lokale Vorschriften etwas anderes bestimmen.
12. Unterschriften
SIBSTIL DOORS SRL
Name: ______________________
Title: _______________________
Date: ______________________
Signature: __________________
School / Institution: _______________
Name: ______________________
Title: _______________________
Date: ______________________
Signature: __________________
AVV-Anfragen: support@typiq-app.com