Auftragsverarbeitungsvertrag (AVV)

Stand: 6. Juni 2026

Setzt eine Schule oder Lehrkraft die Schreibwerkstatt im Unterricht ein, ist die Schule bzw. der Schulträger nach der DSGVO Verantwortlicher für die verarbeiteten Schülerdaten. astemu labs by christina hemling wird in diesem Fall als Auftragsverarbeiter tätig. Dieser AVV regelt die dafür nötigen Pflichten nach Art. 28 DSGVO.

1. Parteien

Auftraggeber (Verantwortlicher): die Schule bzw. der Schulträger, der die Schreibwerkstatt einsetzt.
Auftragnehmer (Auftragsverarbeiter): astemu labs by christina hemling, Inhaberin: Christina Hemling, Bockhorn 29, 48683 Ahaus, Deutschland, E-Mail: christina.hemling@gmail.com.

2. Gegenstand & Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der Schreibwerkstatt als Schreibumgebung für Schülerinnen und Schüler, inklusive Klassenverwaltung, QR-Code-Login, Speicherung von Schülertexten und Rückmeldungen durch die Lehrkraft. Der Vertrag läuft, solange der Auftraggeber den Dienst nutzt, und endet automatisch mit der Löschung des Lehrer-Accounts.

3. Art und Zweck der Verarbeitung

Verarbeitet werden ausschließlich die in der Datenschutzerklärung beschriebenen Daten zum Zweck der Bereitstellung des Dienstes, der Authentifizierung der Lehrkraft, der Vergabe und Verwaltung von QR-Code-Zugängen sowie der Speicherung von Schülertexten und Lehrer-Rückmeldungen. Eine Nutzung der Daten zu eigenen Zwecken des Auftragnehmers (insbesondere Werbung, Profilbildung, KI-Training) findet nicht statt.

4. Betroffene Personen & Datenarten

• Lehrkräfte: E-Mail-Adresse, Passwort-Hash, Login-Metadaten, technische Tokens.
• Schülerinnen und Schüler: Anzeigename (Vorname/Spitzname), zufälliges QR-Token, geschriebene Texte, Bearbeitungs-Zeitpunkte, Status (Entwurf/fertig), Rückmeldungen der Lehrkraft, Anzahl fertiger Texte.

5. Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung (insbesondere durch die Auswahl der Funktionen im Lehrer-Bereich).
• Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.
• Unterstützung des Auftraggebers bei der Wahrnehmung der Betroffenenrechte (Art. 12–22 DSGVO).
• Unterstützung bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36 DSGVO).
• Unverzügliche Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten.
• Löschung oder Rückgabe der Daten nach Vertragsende (siehe Abschnitt 9).

6. Pflichten des Auftraggebers

• Rechtmäßigkeit der Verarbeitung gegenüber den Schülerinnen und Schülern sicherstellen (z. B. Einwilligung der Erziehungsberechtigten, Rechtsgrundlage nach Schulrecht).
• Datenminimierung: ausschließlich Vornamen oder Spitznamen erfassen; keine Klarnamen, Geburtsdaten, Adressen oder Noten in den Anzeige-Namen oder Texten erfassen.
• Sichere Aufbewahrung der QR-Code-Karten und Zugangsdaten.
• Information der Schülerinnen, Schüler und Erziehungsberechtigten gemäß Art. 13 DSGVO.

7. Subunternehmer (Sub-Auftragsverarbeiter)

Der Auftragnehmer setzt die in der Subprozessoren-Liste genannten Dienstleister ein. Mit jedem Subunternehmer besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die Verarbeitung findet vorrangig in der EU statt. Der Auftraggeber stimmt dem Einsatz dieser Subunternehmer zu. Änderungen werden auf der Subprozessoren-Seite vorab angekündigt; der Auftraggeber kann ggf. innerhalb von 30 Tagen widersprechen (mit der Folge, dass die Nutzung eingestellt wird).

8. Ort der Verarbeitung & Drittlandsübermittlung

Die Verarbeitung findet vorrangig innerhalb der EU/des EWR statt. Sollte es im Einzelfall zu einer Übermittlung in ein Drittland kommen, erfolgt diese auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).

9. Löschung nach Vertragsende

Nach Beendigung der Nutzung – insbesondere nach Löschung des Lehrer-Accounts – werden alle zugehörigen Klassen, Schülerlisten, Texte, Rückmeldungen und QR-Tokens gelöscht. Auf Wunsch können einzelne Daten vorher exportiert werden (formlose E-Mail genügt).

10. Kontrollrechte

Der Auftraggeber kann sich – nach vorheriger Absprache – jederzeit von der Einhaltung dieses AVV überzeugen. Üblicherweise erfolgt das durch schriftliche Auskunft oder Vorlage aktueller Zertifikate bzw. Audit-Berichte der eingesetzten Subprozessoren.

11. Zustandekommen des AVV

Dieser AVV gilt als verbindlich vereinbart, sobald die Lehrkraft den Dienst im schulischen Kontext einsetzt. Auf Wunsch der Schule stellen wir den AVV zusätzlich als unterzeichnetes PDF-Dokument zur Verfügung – formlose Anfrage per E-Mail an christina.hemling@gmail.com.