Auftragsverarbeitungsbedingungen für Schulen

Diese Bedingungen gelten zwischen der Schule oder sonstigen Bildungseinrichtung, die ein Schulkonto nutzt (die „Schule“), und der Omnibus, Ltd., Anschrift auf Anfrage erhältlich („wir“). Sie sind Bestandteil der Vereinbarung oder des Angebots, auf dessen Grundlage das Schulkonto bereitgestellt wird, und gehen diesem in Fragen des Datenschutzes vor. Sie sind so gestaltet, dass sie Art. 28 DSGVO / UK GDPR und, für Schulen in der Türkei, Art. 12 KVKK erfüllen.

Auch Mitarbeitende haben eigene Earbunny-Konten; ihre Nutzung der App außerhalb des Schulkontos richtet sich nach unserer Datenschutzerklärung.

Im Auftrag der Schule werden weder besondere Kategorien personenbezogener Daten noch personenbezogene Daten von Schülerinnen und Schülern verarbeitet. Die Schule darf uns keine personenbezogenen Daten von Schülerinnen und Schülern hochladen oder übermitteln.

Wir verarbeiten Daten der Schule nur auf dokumentierte Weisung der Schule, also nach diesen Bedingungen und den Einstellungen der Schule im Schulkonto, sofern wir nicht gesetzlich zu einer anderen Verarbeitung verpflichtet sind (in diesem Fall teilen wir dies der Schule vorher mit, sofern das Gesetz dies nicht verbietet). Wir informieren die Schule, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.

Nur Mitarbeitende, die Zugriff benötigen, können auf Daten der Schule zugreifen, und sie sind zur Vertraulichkeit verpflichtet. Jeder Zugriff von Mitarbeitenden auf personenbezogene Daten wird protokolliert.

Wir treffen die im Anhang beschriebenen technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind (Art. 32 DSGVO). Wir können sie im Laufe der Zeit verbessern, werden das Schutzniveau insgesamt aber nicht senken.

Die Schule erteilt uns eine allgemeine Genehmigung, die auf unserer Seite zu Unterauftragsverarbeitern genannten Unterauftragsverarbeiter einzusetzen. Wir informieren die Schule per E-Mail mindestens 30 Tage, bevor wir einen hinzufügen oder ersetzen. Die Schule kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können wir den Einspruch nicht ausräumen, kann die Schule das Schulkonto beenden. Wir verpflichten jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die diesen Bedingungen gleichwertig sind, und bleiben für ihn verantwortlich.

Daten der Schule werden in der EU gehostet. Verarbeitet ein Unterauftragsverarbeiter sie außerhalb der EU/des EWR, des Vereinigten Königreichs oder der Türkei, stützen wir uns auf einen Angemessenheitsbeschluss (gegebenenfalls einschließlich des EU-US Data Privacy Framework) oder auf Standardvertragsklauseln und für Daten aus der Türkei auf die Garantien nach Art. 9 KVKK.

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir die Schule bei der Beantwortung von Anträgen von Mitarbeitenden, die ihre Betroffenenrechte ausüben, sowie bei Datenschutz-Folgenabschätzungen und der Konsultation von Behörden (Art. 32 bis 36 DSGVO). Erhalten wir einen Antrag zu Daten der Schule direkt, leiten wir ihn an die Schule weiter.

Wir benachrichtigen die Schule unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem uns eine Verletzung bekannt geworden ist, die Daten der Schule betrifft. Die Meldung beschreibt, soweit bekannt, was geschehen ist, welche Daten und Personen betroffen sind, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen und nennt eine Kontaktstelle. Wir ergänzen Informationen, sobald sie vorliegen, und unterstützen die Schule bei der Erfüllung ihrer eigenen Meldepflichten.

Endet das Schulkonto, löschen wir die Organisation der Schule, ihre Klassen, Klassencodes und Personalzuordnungen innerhalb von 30 Tagen, sofern die Schule nicht vorher eine Kopie verlangt oder wir gesetzlich zur Aufbewahrung verpflichtet sind. Sicherungskopien werden innerhalb weiterer 30 Tage überschrieben. Die Verknüpfungen der Schülerinnen und Schüler mit den Klassen enden; die Familien behalten ihre eigenen Earbunny-Konten und Daten, die davon nicht berührt werden.

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung dieser Bedingungen erforderlich sind. Die Schule kann die Einhaltung einmal jährlich oder nach einer Verletzung mit einer Ankündigungsfrist von mindestens 30 Tagen, auf eigene Kosten und unter Wahrung der Vertraulichkeit überprüfen (Audit). Wir können zunächst mit Dokumenten, Fragebögen oder Berichten antworten; eine Überprüfung vor Ort ist möglich, wenn diese nicht ausreichen.

Die Haftung jeder Partei nach diesen Bedingungen richtet sich nach der Vereinbarung, auf deren Grundlage das Schulkonto bereitgestellt wird, außer soweit das Gesetz eine Beschränkung nicht zulässt.

Diese Bedingungen unterliegen dem Recht von dem Land, in dem die Omnibus, Ltd. eingetragen ist, sofern nicht zwingendes, auf die Schule anwendbares Recht, etwa das öffentliche Recht oder Datenschutzrecht ihres Landes, etwas anderes vorschreibt.

• Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand, einschließlich der Sicherungskopien.
• Hosting in der EU; verschlüsselte Sicherungskopien werden 30 Tage aufbewahrt.
• Eine einheitliche Zugriffsregel, die bei jeder Anfrage geprüft wird; Schulpersonal sieht nur anonyme Berichte für die eigenen Klassen, Klassencodes nur Schuladministratorinnen und -administratoren.
• Berichte werden gesperrt, wenn weniger als 10 Schülerinnen und Schüler Daten gemeldet haben, und enthalten keine Namen oder Kennungen.
• Kurzlebige Sitzungen; die Anmeldung endet mit einem per E-Mail gesendeten Code; Ratenbegrenzung und Bot-Schutz bei Anmeldung und Codes.
• Zwei-Faktor-Authentifizierung für unsere Administratorkonten; jeder Zugriff von Mitarbeitenden auf personenbezogene Daten wird protokolliert.
• Anmelde- und Kopplungscodes werden nicht in Produktionsprotokolle geschrieben; Absturzberichte enthalten außer einer nicht sprechenden ID keine personenbezogenen Daten.
• Trennung von Produktions- und Testumgebungen; Zugriff nur nach dem Need-to-know-Prinzip.
• Verfahren zur Reaktion auf Sicherheitsvorfälle mit Meldung von Verletzungen gemäß Abschnitt 11.

Fragen zu diesen Bedingungen oder eine unterzeichnete Ausfertigung: schools [at] earbunny.app. Mehr dazu auf unserer Sicherheitsseite.