Auftragsverarbeitungsvertrag

1. Parteien und Rollen

Dieser Vertrag wird geschlossen zwischen der Schule, die die Plattform School Exams nutzt, nachfolgend „Verantwortlicher“, und «ФИРМА», EIK «ЕИК», mit Sitz «седалище и адрес на управление», nachfolgend „Auftragsverarbeiter“.

Die Schule legt Zwecke und Mittel der Verarbeitung der Daten ihrer Lehrkräfte und Schüler fest. Sie ist Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

Wir verarbeiten diese Daten nur, um die Leistung zu erbringen, und nur auf Weisung der Schule. Wir sind Auftragsverarbeiter im Sinne von Art. 4 Nr. 8.

Dieser Vertrag ist Bestandteil des Abonnementvertrags und wird zusammen mit ihm unterzeichnet.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Verarbeitung personenbezogener Daten von Lehrkräften und Schülern, die zur Organisation, Durchführung, Bewertung und Archivierung schulischer Prüfungen erforderlich ist.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Abfragen, Verwenden, Einschränken, Löschen und Übermitteln der Daten an berechtigte Nutzer der Schule.

Zweck: Bereitstellung der Plattform gemäß dem Abonnementvertrag. Wir verarbeiten die Daten für keinen eigenen Zweck — weder zur Analyse noch zum Training von Modellen noch für Werbung.

Dauer: für die Laufzeit des Abonnementvertrags und für den in Abschnitt 10 festgelegten Zeitraum nach seiner Beendigung.

3. Kategorien betroffener Personen und Arten von Daten

Kategorien betroffener Personen: Schüler, Lehrkräfte und Verwaltungspersonal der Schule.

Arten von Daten: Namen; dienstliche oder schulische E-Mail-Adresse; Klasse und Lerngruppe; Fach; Inhalt von Prüfungsarbeiten und Antworten; Noten, Punkte und Kommentare nach Kriterien; vom Nutzer angehängte Dateien; Protokoll der Aktionen im System; technische Zugangsdaten einschließlich IP-Adresse und Sitzungsdaten.

Besondere Kategorien von Daten nach Art. 9 DSGVO werden nicht verarbeitet, es sei denn, die Schule gibt solche aus eigener Initiative im Freitext ein. Die Schule ist dafür verantwortlich, ob eine solche Eingabe zulässig ist.

4. Verarbeitung nur auf Weisung des Verantwortlichen

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung der Schule, auch in Bezug auf die Übermittlung in ein Drittland, sofern wir nicht nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet sind. In einem solchen Fall teilen wir dies der Schule vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. (Art. 28 Abs. 3 lit. a)

Die von der Schule in der Plattform vorgenommenen Einstellungen und der Abonnementvertrag stellen dokumentierte Weisungen dar.

Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informieren wir die Schule unverzüglich.

5. Vertraulichkeit der Personen mit Zugriff

Die zur Verarbeitung der personenbezogenen Daten befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. (Art. 28 Abs. 3 lit. b)

Zugriff haben nur Mitarbeiter, die ihn für den Betrieb der Leistung benötigen, und nur im erforderlichen Umfang.

6. Sicherheitsmaßnahmen

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. (Art. 28 Abs. 3 lit. c)

— Trennung der Daten nach Schule auf Datenbankebene — die Daten einer Schule sind für eine andere nicht zugänglich;

— Verschlüsselung des gesamten Datenverkehrs mit modernen Protokollen; ältere Versionen sind deaktiviert;

— eine aktive Sitzung pro Nutzer — eine neue Anmeldung beendet die vorherigen Sitzungen;

— Begrenzung der Anfragerate, getrennt für die Haupt-API, für Dateien und für die Verwaltung;

— Trennung der Prozesse — Datenbank, Cache und Anwendung laufen mit getrennten Rechten;

— nach Wahl der Schule — Beschränkung der Prüfungen auf die IP-Adressen des Schulnetzes;

— ein Protokoll jeder sensiblen Aktion: wer, wann und woran;

— regelmäßige Sicherungen und deren regelmäßige Überprüfung durch Wiederherstellung in einer getrennten Umgebung.

Die Maßnahmen sind auf der Sicherheitsseite dieser Website ausführlich beschrieben.

7. Unterauftragsverarbeiter

Die Schule erteilt eine allgemeine vorherige Genehmigung für den Einsatz von Unterauftragsverarbeitern. (Art. 28 Abs. 3 lit. d in Verbindung mit Abs. 2 und 4)

Derzeit ist Unterauftragsverarbeiter der Infrastrukturanbieter «хостинг доставчик и държава», der das Hosting der Anwendung, der Datenbank und der E-Mail bereitstellt.

Wir informieren die Schule mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters schriftlich. Die Schule kann innerhalb dieser Frist widersprechen; bei begründetem Widerspruch hat sie das Recht, den Vertrag ohne Vertragsstrafe zu kündigen.

Jedem Unterauftragsverarbeiter erlegen wir dieselben Datenschutzpflichten auf, die wir selbst haben. Für seine Handlungen haften wir gegenüber der Schule wie für eigene.

8. Unterstützung bei den Rechten der betroffenen Personen

Wir unterstützen die Schule mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Ausübung der Rechte nach Kapitel III DSGVO. (Art. 28 Abs. 3 lit. e)

Die Plattform bietet dafür: eine Ansicht der zum Nutzer gespeicherten Daten; einen Export im maschinenlesbaren Format JSON; einen Antrag auf Löschung des Kontos, der nach Genehmigung zu einer kaskadierenden Löschung führt.

Geht ein Antrag direkt bei uns ein, beantworten wir ihn nicht in der Sache, sondern leiten ihn ohne unangemessene Verzögerung an die Schule weiter.

9. Unterstützung nach Art. 32–36 und Meldung von Verletzungen

Wir unterstützen die Schule bei der Erfüllung ihrer Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen. (Art. 28 Abs. 3 lit. f)

Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir die Schule unverzüglich und spätestens 72 Stunden, nachdem sie uns bekannt wurde.

Die Meldung enthält: was geschehen ist, welche Kategorien und wie viele betroffene Personen und Datensätze ungefähr betroffen sind, die wahrscheinlichen Folgen und die Maßnahmen, die wir ergriffen haben oder vorschlagen.

10. Löschung oder Rückgabe der Daten

Nach Abschluss der Erbringung der Leistung löschen wir nach Wahl der Schule alle personenbezogenen Daten oder geben sie zurück und löschen vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Speicherpflicht besteht. (Art. 28 Abs. 3 lit. g)

Die Schule teilt ihre Wahl innerhalb von 30 Tagen nach der Beendigung schriftlich mit. Teilt sie keine Wahl mit, nehmen wir nach Ablauf dieser Frist die Löschung vor.

Sicherungskopien werden mit Ablauf ihres üblichen Aufbewahrungszyklus gelöscht.

11. Informationen und Prüfungen

Wir stellen der Schule alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 erforderlich sind, und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen, die von der Schule oder einem anderen von ihr beauftragten Prüfer durchgeführt werden. (Art. 28 Abs. 3 lit. h)

Prüfungen erfolgen nach schriftlicher Ankündigung, während der Geschäftszeiten und so, dass die Sicherheit der Daten anderer Schulen nicht beeinträchtigt wird.

12. Ort der Verarbeitung

Die Daten werden innerhalb des Europäischen Wirtschaftsraums verarbeitet.

Ohne Weisung der Schule und ohne Grundlage nach Kapitel V DSGVO übermitteln wir keine Daten in ein Drittland.