Auftragsverarbeitungsvertrag (AVV) für Schulen
Vorlage gemäß Art. 28 Abs. 3 DSGVO · Stand: Oktober 2026
Vertrag anfordern
Tragen Sie Ihre Angaben ein. Ihr E-Mail-Programm öffnet eine fertige Anfrage an info@teachfocus.org; Sie erhalten den Vertrag gegengezeichnet zurück. Ihre Angaben werden nicht auf dieser Seite gespeichert.
Vertragsparteien
Verantwortlicher (Auftraggeber): die oben bzw. im Unterschriftenfeld genannte Schule, vertreten durch die Schulleitung, ggf. im Auftrag des Schulträgers.
Auftragsverarbeiter (Auftragnehmer): Ole Kiefer – TeachFOCUS, Transvaalstr. 11, 13351 Berlin, Deutschland, info@teachfocus.org.
§ 1 Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Webanwendung TeachFOCUS zur Planung, Anpassung und Durchführung von Unterricht bereit (Stundenplanung, Material, Live-Modus, Klassenprofile). Der Vertrag gilt für die Dauer der Nutzung durch Lehrkräfte des Auftraggebers und endet mit Kündigung der Nutzung, ohne dass es einer gesonderten Kündigung bedarf.
§ 2 Art, Zweck, Datenarten und Betroffene
- Zweck: Speicherung und Synchronisation von Unterrichtsplanungen; Erzeugung von Vorschlägen durch KI-Dienste auf ausdrückliche Anforderung der Lehrkraft.
- Betroffene: Lehrkräfte des Auftraggebers; Schüler:innen nur in pseudonymisierter Form.
- Datenarten Lehrkräfte: E-Mail-Adresse, Kontokennung, Unterrichtsplanungen, Materialien, Tarif- und Nutzungsdaten.
- Datenarten Schüler:innen: Vornamen oder Pseudonyme, pädagogische Lernstands- und Förderhinweise, Sitzplannotizen. Vornamen werden vor jeder Übertragung an einen KI-Dienst im Browser durch „Kind 1“, „Kind 2“ … ersetzt.
- Ausgeschlossen: Nachnamen, Adressen, Geburtsdaten, Diagnosen und sonstige besondere Kategorien nach Art. 9 DSGVO sollen nicht eingegeben werden.
§ 3 Weisungsgebundenheit
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag sowie die Bedienung der Anwendung durch die Lehrkräfte. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO).
§ 4 Vertraulichkeit
Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Ein Zugriff auf Inhalte erfolgt nur, soweit er zur Fehlerbehebung oder auf Anforderung des Auftraggebers zwingend erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Datensparsamkeit: Nutzung ohne Konto möglich, Daten verbleiben dann im Browser.
- Automatische Pseudonymisierung von Vornamen auf dem Endgerät vor KI-Anfragen.
- Transportverschlüsselung (TLS) für sämtliche Verbindungen.
- Mandantentrennung durch Row-Level-Security: Jedes Konto sieht nur eigene Daten.
- Datenbankstandort in der EU (Irland); verschlüsselte Speicherung beim Anbieter.
- Kein Tracking, keine Werbung, keine Weitergabe zu eigenen Zwecken.
- KI-Anbieter verwenden Inhalte vertraglich nicht zum Modelltraining.
- Live-Räume (Beamer, Fernbedienung) sind flüchtig und werden nicht gespeichert.
Der Auftragnehmer darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
Der Auftraggeber stimmt der Beauftragung folgender Unterauftragsverarbeiter zu. Über Änderungen informiert der Auftragnehmer vorab; der Auftraggeber kann aus wichtigem Grund widersprechen.
| Anbieter | Leistung | Standort | Garantien |
|---|---|---|---|
| Supabase Inc. | Datenbank, Benutzerverwaltung | EU (Irland) | AVV/DPA, EU-Hosting |
| Lovable Inc. | Webhosting, KI-Gateway | USA / EU (Cloudflare, AWS) | DPA, SCC, EU-U.S. DPF |
| Anthropic PBC | KI-Sprachmodelle (nur pseudonymisierte Inhalte) | USA | DPA, SCC, EU-U.S. DPF, kein Training |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (nur bei bezahltem Tarif) | EU (Irland) / USA | eigenständig Verantwortlicher, SCC |
§ 7 Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde. Lehrkräfte können ihre Daten jederzeit selbst exportieren und löschen (Seite „Meine Daten“).
§ 8 Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
§ 9 Kontrollrechte
Der Auftraggeber kann die Einhaltung dieses Vertrags durch Auskünfte, Vorlage von Nachweisen (insbesondere Zertifikate der Unterauftragsverarbeiter) oder nach rechtzeitiger Ankündigung durch Prüfungen überprüfen.
§ 10 Löschung und Rückgabe
Nach Ende der Verarbeitung löscht der Auftragnehmer sämtliche personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Auftraggeber einen Export anfordern.
§ 11 Schlussbestimmungen
Es gilt deutsches Recht. Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor. Ergänzend gilt die Datenschutzerklärung.
Auftraggeber (Schule)
Auftragnehmer (TeachFOCUS)