Auftragsverarbeitungsvertrag

nach Art. 28 Abs. 3 DSGVO – Stand: 12.10.2026

Eine Zusammenfassung für die Schulleitung (keine Änderung dieses Vertrags): Datenschutz für Schulen.

§ 1 Vertragsparteien

Dieser Vertrag wird geschlossen zwischen

Jannik Henke, Lehrer-Helfer (Einzelunternehmer)
c/o Impressumservice Dein-Impressum
Stettiner Str. 41
35410 Hungen
Deutschland
E-Mail: info@lehrer-helfer.online
– nachfolgend „Auftragnehmer“ –

und der Lehrkraft bzw. der Schule, für die die Lehrkraft handelt, die ein Nutzerkonto bei Lehrer-Helfer anlegt und nutzt – nachfolgend „Auftraggeber“. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Daten, die er in Lehrer-Helfer eingibt.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung der webbasierten Anwendung Lehrer-Helfer (Notenverwaltung, Schülerdokumentation, Listen und Online-Klausuren). Dabei speichert und verarbeitet der Auftragnehmer die personenbezogenen Daten, die der Auftraggeber – oder auf seine Veranlassung seine Schülerinnen und Schüler – in die Anwendung eingeben, sowie die daraus von der Anwendung berechneten Daten (z. B. Durchschnitts- und Endnoten).

(2) Der Vertrag wird mit der Registrierung des Nutzerkontos geschlossen und läuft auf unbestimmte Zeit. Er endet mit der Löschung des Nutzerkontos. Der Auftraggeber kann sein Konto jederzeit selbst löschen. Das Recht zur außerordentlichen Kündigung, insbesondere bei einem schwerwiegenden Verstoß des Auftragnehmers gegen diesen Vertrag oder gegen Datenschutzvorschriften, bleibt unberührt.

§ 3 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art der Verarbeitung: Erheben (Eingabe durch den Auftraggeber bzw. durch Schülerinnen und Schüler bei Online-Klausuren), Speichern, Berechnen, Anzeigen, Exportieren und Löschen. Zweck ist ausschließlich die Bereitstellung der Funktionen von Lehrer-Helfer für den Auftraggeber. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt.

(2) Art der Daten – je nachdem, welche Funktionen der Auftraggeber nutzt:

• Klassen (Bezeichnung, Schuljahr), Lernfelder bzw. Fächer (Bezeichnung, Bildungsgang, Gewichtungen), Notenschlüssel;
• Stammdaten von Schülerinnen und Schülern: Vor- und Nachname, Klassenzugehörigkeit;
• Leistungsdaten: schriftliche und mündliche Leistungsnachweise (Bezeichnung, Datum, Punkte, Noten), Halbjahres-, End- und Zeugnisnoten, Noten der Abschlussprüfung;
• Beobachtungen und Notizen: Datum, Fach, Kategorie („Positiv“, „Negativ“, „Auffällig“, „Kommentar“, „Notiz“) und Freitext;
• Listen: Klassenlisten mit frei benennbaren Spalten, Einsammellisten (Betrag bzw. Gegenstand, Frist, je Schülerin bzw. Schüler abgegeben ja/nein);
• Online-Klausuren: Aufgaben und Lösungen, Klausurversionen und deren Zuordnung zu Schülerinnen und Schülern, Zugangsdaten (Kennung und Einmalpasswort), abgegebene Antworten, Korrektur und Note;
• technische Daten der Nutzung (Sitzungs-Cookie, Zugriffsprotokolle), soweit sie beim Zugriff von Schülerinnen und Schülern auf Online-Klausuren anfallen.

(3) Kategorien betroffener Personen: Schülerinnen und Schüler des Auftraggebers; ggf. Erziehungsberechtigte, soweit der Auftraggeber in Freitextfeldern Angaben zu ihnen macht; die Lehrkraft selbst, soweit ihre Daten in den eingegebenen Inhalten enthalten sind.

(4) Die Daten des Nutzerkontos der Lehrkraft (Benutzername, E-Mail-Adresse, Passwort-Hash) verarbeitet der Auftragnehmer als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

§ 4 Ort der Verarbeitung

Die Daten werden ausschließlich auf einem Server gespeichert und verarbeitet, den der Auftragnehmer bei der Hetzner Online GmbH angemietet hat und der in deren Rechenzentrum in der Europäischen Union steht. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nicht statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 5 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen des Auftraggebers werden grundsätzlich durch die Nutzung der Funktionen der Anwendung erteilt (z. B. Eingeben, Ändern, Exportieren und Löschen von Daten). Darüber hinausgehende Weisungen erteilt der Auftraggeber in Textform an:

Jannik Henke, E-Mail: info@lehrer-helfer.online,
Post: c/o Impressumservice Dein-Impressum, Stettiner Str. 41, 35410 Hungen, Deutschland.

Weisungsberechtigt ist die Person, die das Nutzerkonto führt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 6 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verwendet die Daten für keine anderen, insbesondere nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an die nach § 9 genehmigten Unterauftragsverarbeiter oder aufgrund gesetzlicher Pflicht. Kopien werden nur erstellt, soweit sie für den ordnungsgemäßen Betrieb technisch erforderlich sind (z. B. Datensicherungen).

(2) Die Daten jedes Auftraggebers sind in der Anwendung logisch von denen anderer Nutzerinnen und Nutzer getrennt: Jeder Datensatz ist dem Nutzerkonto zugeordnet und nur über dieses Konto abrufbar.

(3) Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO): Der Auftragnehmer betreibt Lehrer-Helfer selbst und beschäftigt keine Mitarbeiter, die Zugriff auf die Daten haben. Er ist zur Vertraulichkeit verpflichtet; diese Pflicht besteht auch nach Vertragsende fort. Sollte er künftig Personen Zugriff gewähren, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.

(4) Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da hierzu keine gesetzliche Pflicht besteht. Ansprechpartner für den Datenschutz ist Jannik Henke, info@lehrer-helfer.online.

§ 7 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass die Nutzung von Lehrer-Helfer nach den für ihn geltenden schul- und landesrechtlichen Vorgaben erlaubt ist (z. B. Genehmigung durch die Schulleitung), und für die Wahrung der Rechte der betroffenen Personen.

(2) Lehrer-Helfer enthält Freitextfelder (z. B. Beobachtungen und Notizen, Listen-Spalten, Klausurantworten). Der Auftraggeber gibt dort keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO ein (z. B. Angaben zur Gesundheit, zu Diagnosen, zur religiösen Überzeugung oder zur ethnischen Herkunft), es sei denn, dies ist für seine Aufgabe erforderlich und rechtlich zulässig. Er beschränkt Einträge auf das Erforderliche.

(3) Der Auftraggeber gibt Zugangsdaten für Online-Klausuren nur an die jeweilige Schülerin bzw. den jeweiligen Schüler weiter und hält seine eigenen Zugangsdaten geheim. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragnehmer trifft die folgenden Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO):

• Physische Sicherheit: Der Server steht im Rechenzentrum der Hetzner Online GmbH in der EU; Zutrittskontrolle und physische Sicherheit stellt Hetzner.
• Übertragung: Der Zugriff auf Lehrer-Helfer erfolgt ausschließlich verschlüsselt über HTTPS (TLS) mit HSTS. Der Versand von E-Mails an den eigenen Mailserver erfolgt verschlüsselt (STARTTLS). Die Administration des Servers erfolgt über verschlüsselte Verbindungen (SSH).
• Zugriffskontrolle: Zugriff auf Daten nur nach Anmeldung mit E-Mail-Adresse und Passwort; Passwörter werden nur als Hash gespeichert; Anmeldeversuche werden begrenzt; jede Lehrkraft sieht ausschließlich die eigenen Daten. Schülerinnen und Schüler erhalten nur Zugriff auf die ihnen zugewiesene Klausurversion und nur mit Kennung und Einmalpasswort; nach Abgabe wird der Zugang gesperrt.
• Sitzungen: Sitzungsdaten werden verschlüsselt in Dateien auf dem Server gespeichert und laufen nach 2 Stunden Inaktivität ab; Formulare sind gegen Cross-Site-Request-Forgery geschützt.
• Abwehr von Angriffen: Zugriffsprotokollierung (7 Tage) und Erkennung bzw. Sperrung angreifender IP-Adressen mit CrowdSec; Anfragebegrenzung am vorgeschalteten Webserver.
• Trennung: Die Datenbank ist nur aus dem internen Netz des Servers erreichbar, nicht aus dem Internet.
• Datensicherungen: Die Datenbank wird nächtlich auf demselben Server (Hetzner, EU) gesichert; tägliche Sicherungen werden 7 Tage, wöchentliche 2 Wochen aufbewahrt. Die Sicherungen unterliegen denselben Zugriffsbeschränkungen wie die Originaldaten.
• Löschung: Löscht der Auftraggeber sein Nutzerkonto, werden alle zugehörigen Daten sofort aus der Datenbank gelöscht (§ 12).
• Überprüfung: Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen bei gegebenem Anlass, mindestens jährlich (Art. 32 Abs. 1 lit. d DSGVO).

(2) Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber mit.

§ 9 Unterauftragsverhältnisse

(1) Der Auftraggeber genehmigt die in der Anlage „Subunternehmer“ genannten weiteren Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer hat mit ihnen einen Vertrag geschlossen, der ihnen die Pflichten dieses Vertrags im erforderlichen Umfang auferlegt (Art. 28 Abs. 4 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber vorab per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Der Auftraggeber kann innerhalb von 14 Tagen widersprechen; im Fall des Widerspruchs kann er sein Konto löschen und damit den Vertrag beenden.

(3) Unterauftragsverarbeiter in Drittländern werden nur eingesetzt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Auftraggeber zugestimmt hat. Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Datenschutzpflichten durch seine Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 10 Unterstützung des Auftraggebers

(1) Betroffenenrechte (Art. 12 bis 22 DSGVO): Der Auftraggeber kann Daten in der Anwendung selbst einsehen, berichtigen, exportieren und löschen. Soweit das nicht ausreicht, unterstützt der Auftragnehmer ihn im erforderlichen Umfang (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und erteilt Auskünfte nur nach dessen Weisung.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

§ 11 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnis per E-Mail an die im Nutzerkonto hinterlegte Adresse (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen). Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Auftraggeber vor; der Auftragnehmer handelt hier nur auf dessen Weisung.

§ 12 Löschung und Rückgabe nach Vertragsende

(1) Vor dem Löschen seines Kontos kann der Auftraggeber seine Daten jederzeit über die Exportfunktion der Anwendung herunterladen (Rückgabe).

(2) Mit der Löschung des Nutzerkontos werden das Konto und alle Daten des Auftraggebers sofort und unwiderruflich aus der Datenbank gelöscht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Soweit Daten in Datensicherungen enthalten sind, werden sie mit deren Ablauf, spätestens nach rund 14 Tagen, gelöscht und bis dahin nicht verwendet. Eine längere Speicherung erfolgt nur, wenn das Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet.

(3) Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

§ 13 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach rechtzeitiger Terminabsprache und unter Wahrung der Vertraulichkeit der Daten anderer Nutzerinnen und Nutzer (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Für das Rechenzentrum kann der Auftragnehmer auf Nachweise der Hetzner Online GmbH verweisen.

§ 14 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen.

§ 15 Schlussbestimmungen

(1) Änderungen und Nebenabreden bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

(2) Werden die Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich. Ein Zurückbehaltungsrecht (§ 273 BGB) an den Daten ist ausgeschlossen.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage "Subunternehmer"

Folgende weitere Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO) sind derzeit mit der Verarbeitung personenbezogener Daten des Auftraggebers beauftragt:

Weitere Unterauftragsverarbeiter gibt es nicht. Insbesondere werden keine externen E-Mail-, Analyse-, Zahlungs- oder Cloud-Dienste eingesetzt.