Auftragsverarbeitungsvertrag (AVV)

Stand: August 2026 · gemäß Art. 28 DSGVO

Vertragsparteien

§ 1 Gegenstand und Dauer

1.1 Gegenstand

Gegenstand dieses AVV ist die Bereitstellung der webbasierten Lernplattform QRENA durch den Auftragsverarbeiter zur Durchführung digitaler, differenzierter Lerneinheiten durch die Verantwortliche. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung der Verantwortlichen.

1.2 Dauer

Dieser AVV tritt mit Abschluss des Schullizenzverhältnisses in Kraft und gilt für die gesamte Laufzeit des Lizenzvertrages. Er endet automatisch mit dem Ende des Lizenzvertrages, es sei denn, die gesonderte Löschung der Daten erfordert ein zeitlich begrenztes Fortbestehen.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter betreibt eine webbasierte Lernplattform für differenzierten, interaktiven Unterricht. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Bereitstellung und des Betriebs dieser Plattform für die Verantwortliche.

§ 3 Art der personenbezogenen Daten

Datenkategorie	Beschreibung
Pseudonymisierte Identifikationsmerkmale der Teilnehmenden	Frei gewählte Teamnamen und optionale Spitznamen (keine Klarnamen, keine E-Mail-Adressen, keine biometrischen Merkmale)
Nutzungs- und Leistungsdaten	Punktestände, bearbeitete Aufgaben, eingereichte Antworten, Session-Logs
SOL-Lernpfad- und Fortschrittsdaten	Pseudonymisierte Lernpfade, aufgabenbezogene Verlaufshistorie, Klassengruppen-Zuordnung, gewählte Niveaustufe und deren Wechsel, Selbsteinschätzungen nach Checkpoints (kein Klarnamenbezug; nur bei aktivierten SOL-Funktionen/Pro-Tier)
Foto-Antworten der Teilnehmenden	Von Schülerinnen und Schülern selbst aufgenommene Bilder ihrer Arbeitsergebnisse (z. B. Heftseite, Skizze, Versuchsaufbau), eingereicht als Antwort auf eine Aufgabe. Speicherdauer im SOL-Modus 30, 90 oder 180 Tage nach Festlegung durch die Verantwortliche; im Rallye-Modus mit der Session
Lehrkraft-Accountdaten	E-Mail-Adresse (Pflicht), Name (optional), Passwort (gehasht)
Technische Daten	Anonyme Firebase User-IDs (temporär), IP-Adresse (durch Firebase verarbeitet)

§ 4 Kategorien betroffener Personen

• Lehrkräfte – handeln als Verantwortliche im Rahmen ihrer Unterrichtstätigkeit; ihre Accountdaten werden für die Plattformnutzung gespeichert
• Schülerinnen und Schüler (Minderjährige) – nehmen pseudonym an Lerneinheiten teil; keine dauerhaften Accounts, keine Klarnamen erforderlich

§ 5 Pflichten des Auftragsverarbeiters

5.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an Drittländer. Weisungen können per E-Mail an info@qrena.de erteilt werden. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er die Verantwortliche unverzüglich.

5.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.3 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO (siehe § 7 dieses AVV).

5.4 Unterauftragsverarbeiter

Die Verantwortliche erteilt mit Abschluss dieses AVV ihre allgemeine Genehmigung für den Einsatz der in § 8 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert die Verantwortliche über beabsichtigte Änderungen bezüglich der Hinzuziehung neuer oder der Ersetzung bisheriger Unterauftragsverarbeiter. Die Verantwortliche hat das Recht, solchen Änderungen zu widersprechen.

5.5 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Erfüllung ihrer Pflichten gegenüber betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Anfragen können an info@qrena.de gerichtet werden.

Für Löschverlangen nach Art. 17 DSGVO stellt die Plattform der Verantwortlichen unmittelbar nutzbare Funktionen bereit, die keiner Anfrage bedürfen: das Entfernen einer einzelnen Schülerin oder eines einzelnen Schülers, das Zurücksetzen des Fortschritts einer Klasse und das vollständige Löschen einer Klasse. Jede dieser Funktionen löscht neben den Datenbankeinträgen auch die zugehörigen Foto-Antworten aus dem Speicher; der Vorgang wird zum Nachweis protokolliert.

5.6 Unterstützung bei Datenschutzverletzungen

Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, und unterstützt sie bei der Erfüllung ihrer Meldepflichten nach Art. 33 und 34 DSGVO.

5.7 Löschung nach Vertragsende

Nach Beendigung des Lizenzvertrages löscht oder gibt der Auftragsverarbeiter – nach Wahl der Verantwortlichen – alle personenbezogenen Daten zurück und löscht bestehende Kopien, sofern nicht eine Verpflichtung zur Speicherung nach Unionsrecht oder dem Recht der Mitgliedstaaten besteht. Session-Daten werden automatisch innerhalb von 24 Stunden nach Abschluss einer Session gelöscht, nicht abgeschlossene Sessions spätestens nach 7 Tagen (technische Maßnahme). Lehrkraft-Accountdaten werden auf Anfrage oder spätestens 30 Tage nach Vertragsende gelöscht.

SOL-Daten bleiben hiervon unberührt und werden nicht automatisch mit der Session gelöscht. Klassenlisten, Lernfortschritte und Selbsteinschätzungen bestehen so lange, bis die Verantwortliche sie löscht – das ist Voraussetzung dafür, dass Lernende eine Einheit über mehrere Wochen fortsetzen können. Foto-Antworten aus dem SOL-Modus werden nach der von der Verantwortlichen gewählten Frist von 30, 90 oder 180 Tagen automatisch gelöscht. Mit der Löschung des Lehrkraft-Accounts werden sämtliche zugehörigen Klassen, Lernstände und Dateien entfernt.

§ 6 Pflichten der Verantwortlichen (Schule)

• Rechtmäßigkeit sicherstellen: Die Verantwortliche stellt sicher, dass die Verarbeitung personenbezogener Daten durch den Einsatz von QRENA auf einer geeigneten Rechtsgrundlage (z. B. schulrechtliche Regelung, Einwilligung) beruht.
• Information der Betroffenen: Die Verantwortliche informiert Schülerinnen, Schüler und ggf. deren Erziehungsberechtigte gemäß Art. 13/14 DSGVO über den Einsatz von QRENA.
• Pseudonymisierung: Die Verantwortliche stellt sicher, dass Lehrkräfte keine Klarnamen als Teamnamen oder als Bezeichnungen in SOL-Klassenlisten eingeben und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) über die Plattform verarbeitet werden.
• Festlegung der Speicherdauer für Foto-Antworten: Im SOL-Modus bestimmt die Verantwortliche je Lerneinheit, ob Foto-Antworten 30, 90 oder 180 Tage gespeichert bleiben. Sie wählt die für den jeweiligen Zweck erforderliche kürzeste Dauer (Art. 5 Abs. 1 lit. e DSGVO). Eine einmal festgelegte Frist wirkt nur für künftige Uploads; für bereits gespeicherte Bilder kann sie technisch nicht verlängert werden.
• Datenschutzbeauftragte/r: Bei Unsicherheiten konsultiert die Verantwortliche ihren schulischen Datenschutzbeauftragten.
• Weisungserteilung: Weisungen an den Auftragsverarbeiter erteilt die Verantwortliche schriftlich (E-Mail genügt).

§ 7 Technisch-organisatorische Maßnahmen (TOMs)

Bereich	Maßnahme	Umsetzung
Vertraulichkeit	Transportverschlüsselung	TLS 1.3 (HTTPS) auf allen Endpunkten, erzwungen
Integrität	Zugangskontrolle (Datenbank)	Firebase Security Rules: granulare, rollenbasierte Lese- und Schreibrechte
Zugangskontrolle	Nutzerauthentifizierung	Passwortgeschützter Lehrkraft-Account via Firebase Authentication; Schüler pseudonym via Anonymous Authentication
Verfügbarkeit	Infrastruktur	Google Firebase (hochverfügbare Cloud-Infrastruktur, EU-Region europe-west1, Belgien)
Datensparsamkeit	Automatische Löschung	Session-Daten (Teams, Punkte, Antworten) nach 24 h; nicht abgeschlossene Sessions nach 7 Tagen via Cloud Function. SOL-Foto-Antworten nach der von der Verantwortlichen gewählten Frist (30/90/180 Tage) durch einen eigenen täglichen Löschlauf; die Frist ist an der jeweiligen Datei hinterlegt und für bereits gespeicherte Bilder nicht verlängerbar
Pseudonymisierung	Keine Klarnamen	Schülerinnen und Schüler nehmen ausschließlich mit frei gewählten Teamnamen teil – kein Klarname, keine E-Mail-Adresse erforderlich
Datenspeicherung	EU-Region	Firestore-Datenbank, Cloud Functions und Firebase Storage: europe-west1 (Belgien). Firebase Hosting CDN: globale Auslieferung statischer Assets (HTML/CSS/JS) – enthält keine personenbezogenen Daten
US-Transfer (Firebase Authentication)	Technische Zusatzmaßnahmen	Firebase Authentication verarbeitet Authentifizierungsdaten auf US-Servern (Google LLC). Schutzmaßnahmen: Pseudonymisierung aller Schüler-UIDs vor Übergabe an Firebase Auth; keine Verknüpfung von Auth-UIDs mit Klarnamen serverseitig; Lehrkraft-Auth auf technisch notwendiges Minimum beschränkt. Transferbasis: EU-US Data Privacy Framework (DPF) + Standardvertragsklauseln Art. 46 DSGVO
Organisatorisch	Vertraulichkeit	Der Betreiber ist zur Verschwiegenheit verpflichtet; keine Weitergabe zu Werbe- oder Profiling-Zwecken

§ 8 Unterauftragsverarbeiter

Mit Abschluss dieses AVV genehmigt die Verantwortliche den Einsatz folgender Unterauftragsverarbeiter:

Anbieter	Zweck	Anschrift	Serverstandort
Google Cloud EMEA Limited	Cloud Firestore (Datenbank), Firebase Storage, Cloud Functions, Firebase Hosting CDN	70 Sir John Rogerson's Quay, Dublin 2, Irland	EU-Region europe-west1, Belgien
Google LLC	Firebase Authentication – Verarbeitung von Authentifizierungsdaten (E-Mail-Adresse und gehashtes Passwort der Lehrkraft; anonyme UIDs der Schülerinnen und Schüler ohne Klarnamen-Bezug). Transferbasis: EU-US Data Privacy Framework (DPF, Adequacy Decision 2023) und Standardvertragsklauseln gemäß Art. 46 DSGVO (Modul 2)	1600 Amphitheatre Parkway, Mountain View, CA 94043, USA	USA (ausschließlich)
Stripe Payments Europe Ltd	Zahlungsabwicklung (Schulrechnungen) – verarbeitet ausschließlich Rechnungs- und Kontaktdaten der Schule/Schulträger; keine Schülerdaten	1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland	EU

§ 9 Laufzeit und Kündigung

9.1 Laufzeit

Dieser AVV tritt mit Abschluss des Schullizenzverhältnisses in Kraft und endet automatisch mit dessen Beendigung.

9.2 Datenlöschung nach Vertragsende

Nach Beendigung des Lizenzvertrages gilt:

• Session-Daten werden automatisch innerhalb von 24 Stunden nach Sitzungsende gelöscht, nicht abgeschlossene Sessions spätestens nach 7 Tagen (laufende Maßnahme)
• SOL-Daten (Klassenlisten, Lernstände, Selbsteinschätzungen, Foto-Antworten) werden nicht automatisch mit der Session gelöscht. Die Verantwortliche kann sie jederzeit selbst über die Plattform entfernen; andernfalls werden sie im Rahmen der 30-Tage-Frist nach Vertragsende gelöscht
• Lehrkraft-Accountdaten werden auf ausdrückliche Anfrage der Verantwortlichen sofort gelöscht; die Löschung des Accounts entfernt zugleich alle zugehörigen Klassen, Lernstände und gespeicherten Dateien
• Spätestens 30 Tage nach Vertragsende löscht der Auftragsverarbeiter alle verbleibenden personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht
• Der Auftragsverarbeiter bestätigt die erfolgte Löschung auf Anfrage schriftlich

§ 10 Schlussbestimmungen

10.1 Anwendbares Recht

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Erfüllungsort und Gerichtsstand ist Herborn, soweit gesetzlich zulässig.

10.2 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, unwirksame Bestimmungen durch wirksame Regelungen zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommen.

10.3 Vorrang

Im Verhältnis zu den allgemeinen Nutzungsbedingungen hat dieser AVV in datenschutzrechtlichen Fragen Vorrang, soweit er speziellere Regelungen enthält.

10.4 Kontakt

Für alle Anfragen im Zusammenhang mit diesem AVV:
Dominic Schmitt · info@qrena.de

Stand: August 2026
Dieser AVV wurde nach bestem Wissen und Gewissen erstellt. Er ersetzt keine individuelle Rechtsberatung. Bei rechtlichen Unsicherheiten empfehlen wir die Konsultation eines auf Datenschutzrecht spezialisierten Rechtsanwalts oder des schulischen Datenschutzbeauftragten.