Vereinbarung über eine Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 22.10.2026

abgeschlossen zwischen

der Schule als Verantwortlicher (im Folgenden „Schule“), mit den Angaben aus ihrer Bestellung oder ihrer Anfrage einer Testlizenz: Name und Anschrift der Schule, die Person, die die Vereinbarung für die Schule annimmt, mit ihrer Funktion, und die Ansprechperson mit E-Mail-Adresse. Hat die Schule eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, teilt sie deren oder dessen E-Mail-Adresse mit.

und

Francazi Digital e.U. als Auftragsverarbeiter (im Folgenden „Auftragsverarbeiter“)

1. Gegenstand der Vereinbarung

(1) Der Auftragsverarbeiter betreibt die Web-Anwendung TypeSprint (https://www.typesprint.io) und ihre Schulversion (https://edu.typesprint.io). Beide verwenden dieselben Konten und dieselbe Datenbank; die Schulversion steht nur Konten zur Verfügung, die über eine Klasse oder als Lehrkraft einer Schule mit gültiger Lizenz zugeordnet sind. Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Auftrag der Schule für die Konten ihrer Lehrkräfte und der Mitglieder ihrer Klassen, solange die Schule eine gültige Lizenz hat (auch eine kostenlose Testlizenz) oder die Nachfrist nach Abschnitt 2 (2) läuft, gleich unter welcher der beiden Adressen TypeSprint genutzt wird. Das umfasst:

a) Benutzerkonten für Lehrkräfte und für Schülerinnen und Schüler der Schule,
b) den Tastschreibkurs (Lektionen) mit Speicherung der Lernergebnisse,
c) Klassen und die Klassenübersicht, in der Lehrkräfte den Lernstand und die Ergebnisse ihrer Klassenmitglieder sehen,
d) Tipptests (Schreibwettbewerbe), an denen Lehrkräfte und Schüler/innen mit ihrem Konto teilnehmen,
e) die Lizenz der Schule: die Zuordnung ihrer Lehrkräfte und Klassen zur Schule und die Zählung der belegten Plätze.

(2) Nicht Gegenstand dieser Vereinbarung ist die Nutzung von TypeSprint ohne Konto, etwa die Teilnahme an einem Tipptest nur mit einem frei gewählten Anzeigenamen. Dafür ist keine Registrierung nötig; es gilt die Datenschutzerklärung von TypeSprint. Ebenso wenig erfasst sind Konten, die keiner Schule mit gültiger Lizenz zugeordnet sind, etwa in Klassen, die eine Lehrkraft ohne Lizenz anlegt; auch für sie gilt die Datenschutzerklärung von TypeSprint.

(3) Art und Zweck der Verarbeitung: Erheben, Speichern, Anzeigen, Auswerten und Löschen der in Abs. 4 genannten Daten, damit Schüler/innen das Tastschreiben üben, Lehrkräfte den Lernfortschritt ihrer Klassen verfolgen und im Unterricht Tipptests durchführen können. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht für Profilbildung zu Werbezwecken und nicht zum Verkauf.

(4) Kategorien personenbezogener Daten:

a) Kontodaten: E-Mail-Adresse; Benutzername; Passwort (nur als nicht umkehrbarer Hash gespeichert) oder, bei Anmeldung über Google bzw. Microsoft, die Kennung des Anbieterkontos; Avatar (aus vorgegebenen Bausteinen zusammengesetzt); optional eine Länderflagge; Zeitpunkt der Registrierung; Stand der virtuellen Münzen und damit erworbene Avatar-Zubehörteile (kein Echtgeld); die Entscheidung, ob das Konto in öffentlichen Bestenlisten erscheint; die Einstellung, ob es E-Mails zu seinen Herausforderungen erhält, und die Zeitpunkte der in den letzten 24 Stunden versendeten (für das Tageslimit); welche Ergebnisse zu seinen Herausforderungen es noch nicht gesehen hat (höchstens 30, bis es „Meine Herausforderungen“ öffnet).
b) Lerndaten: je Lektionsversuch Lektion, Tastaturlayout, Sterne-Bewertung und Krone, Dauer, getippte Zeichen, Tippfehler, Anschläge und Fehlanschläge, Fehlanschläge je Taste (wie oft jedes Zeichen des Lektionstexts an der Reihe war und wie oft es beim ersten Anschlag falsch getippt wurde), Geschwindigkeit (Wörter bzw. Zeichen pro Minute), Genauigkeit, Gleichmäßigkeit, Geräteklasse (Smartphone oder Computer) und Zeitpunkt; je Lektion das beste Ergebnis und die Zahl der Versuche.
c) Testergebnisse: Rolle (Teilnehmer/in oder Zuschauer/in), getippte Zeichen, Tippfehler, Punkte, Geschwindigkeit, Genauigkeit, Gleichmäßigkeit, sekündlicher Verlauf (Zeichen, Anschläge, Fehler, verbliebene Tippfehler), Geräteklasse, Zeitpunkte, Kennzeichen der automatischen Plausibilitätsprüfung und der öffentlichen Sichtbarkeit; persönliche Bestwerte. Bei Herausforderungen (ein Testergebnis, gegen dessen aufgezeichneten Verlauf andere antreten, Abs. 6 c): aus welchem Ergebnis sie erstellt wurde und welche Ergebnisse zu ihr gehören, Sprache, Zeitpunkt der Erstellung und der versendeten Benachrichtigung.
d) Klassen- und Schuldaten: Name der Klasse, Beitrittscode, Lehrkraft der Klasse, Mitgliederliste, Zuordnung zur Schule, Zeitpunkt der Erstellung; Name der Schule, Schulcode (für den Beitritt der Lehrkräfte), Liste der Lehrkräfte der Schule, Lizenz (Beginn, Ende, Zahl der Plätze und der Lehrkräfte, Vermerk).
e) Technische Daten: Sitzungskennung (Cookie); IP-Adresse und Browserkennung (User-Agent) in den Server-Protokollen des Hosters; technische Fehlermeldungen aus dem Browser samt Konto-Kennung und Browserkennung; von der automatischen Prüfung abgelehnte Benutzernamen mit Ablehnungsgrund, Zeitpunkt und, bei einer Namensänderung, der Konto-Kennung.
f) Kommunikationsdaten: E-Mails zur Passwort-Zurücksetzung; Benachrichtigungen an die Ersteller/innen einer Herausforderung, wenn die erste Person sie angenommen hat (Benutzername und Ergebnis der Person, eigener Bestwert, Platzierung; eine E-Mail je Herausforderung, höchstens 5 je Konto in 24 Stunden, über einen Link in jeder E-Mail und in den Einstellungen für alle Herausforderungen abbestellbar); E-Mails zwischen Schule bzw. Nutzer/innen und dem Auftragsverarbeiter (Support).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Klarnamen sind für die Nutzung nicht erforderlich.

(5) Kategorien betroffener Personen: Schülerinnen und Schüler sowie Lehrkräfte der Schule, deren Konten nach Abs. 1 der Schule zugeordnet sind.

(6) Sichtbarkeit der Daten innerhalb von TypeSprint:

a) Lehrkraft einer Klasse: Benutzername, Avatar, Flagge, Lernstand und alle einzelnen Lektionsversuche der Klassenmitglieder sowie die daraus ermittelten Tasten, die sie am häufigsten falsch tippen. E-Mail-Adressen sieht die Lehrkraft nicht.
b) Mitglieder derselben Klasse: Benutzername, Avatar und Flagge der anderen Mitglieder und deren zusammengefasster Lernstand (Zahl der Lektionen, Sterne und Kronen, durchschnittliche Geschwindigkeit und Genauigkeit, letzte Aktivität).
c) Teilnehmer/innen eines Tipptests: Benutzername, Avatar, Flagge, Live-Fortschritt und Ergebnis der anderen Teilnehmer/innen. Die Ergebnisseite eines Tests ist für alle abrufbar, die ihren Link kennen. Macht jemand aus einem eigenen Ergebnis eine Herausforderung („Jemanden herausfordern“), sehen alle, die deren Link kennen, Benutzername, Avatar, Flagge und Ergebnis aller, die die Herausforderung angenommen haben, und treten im eigenen Test gegen deren aufgezeichneten sekündlichen Verlauf an. Die Ersteller/innen sehen diese Ergebnisse außerdem unter „Meine Herausforderungen“, neue Ergebnisse dort und im Kontomenü gekennzeichnet.
d) Öffentlich: Benutzername, Avatar, Flagge und Ergebnis in den Bestenlisten, sofern ein Testergebnis dafür gut genug ist; eine Profilkarte mit Benutzername, Avatar, Flagge, Bestwert je Testdauer und Gesamtzahl der Sterne. Schüler/innen erscheinen dort nur, wenn sie zugestimmt haben: Solange ihre Klasse zu einer Schule mit gültiger Lizenz gehört oder deren Nachfrist nach Abschnitt 2 (2) läuft, sind ihre Ergebnisse in den Bestenlisten und auf der Profilkarte zunächst verborgen. Sobald ein Ergebnis zum ersten Mal für eine Bestenliste reicht, werden sie mit einer Vorschau ihres Eintrags gefragt, ob sie öffentlich erscheinen wollen; die Entscheidung können sie jederzeit in den Einstellungen ändern, und sie gilt für alle bisherigen und künftigen Ergebnisse des Kontos. Lehrkräfte erscheinen, solange sie dies in den Einstellungen nicht abschalten.
e) Lehrkräfte der Schule: Name der Schule, Laufzeit der Lizenz und Zahl der belegten Plätze. Welche anderen Lehrkräfte der Schule angehören, sehen sie nicht; den Schulcode erhält die Schule vom Auftragsverarbeiter.

2. Dauer der Vereinbarung

(1) Die Schule nimmt die Vereinbarung mit ihrer Bestellung oder ihrer Anfrage einer Testlizenz an, über das Formular für Schullizenzen auf https://www.typesprint.io/schools/request oder per E-Mail an contact@typesprint.io. Wer sie annimmt, erklärt, dazu für die Schule berechtigt zu sein. Die Vereinbarung kommt mit der Bestätigung des Auftragsverarbeiters in Textform zustande (Auftragsbestätigung) und beginnt mit ihr. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO); der Auftragsverarbeiter bewahrt die Annahme mit Zeitpunkt, Name und Funktion der annehmenden Person und der angenommenen Fassung auf. Auf Wunsch der Schule unterzeichnen beide Parteien die Vereinbarung zusätzlich. Sie gilt, solange die Schule eine gültige Lizenz hat, und läuft bei jeder Verlängerung der Lizenz ohne neue Annahme weiter.

(2) Läuft die Lizenz ab, ohne verlängert zu werden, gilt die Vereinbarung noch 45 Tage weiter (Nachfrist), nach einer kostenlosen Testlizenz noch 14 Tage. In der Nachfrist werden die Daten weiter nach dieser Vereinbarung verarbeitet. Zu ihrem Beginn informiert der Auftragsverarbeiter die Schule und ihre Lehrkräfte in Textform über das Ende der Nachfrist und die Folgen nach Abschnitt 3 (8). Wird die Lizenz innerhalb der Nachfrist verlängert oder erworben, gilt die Vereinbarung ohne Unterbrechung weiter; andernfalls endet sie mit Ablauf der Nachfrist, und es gilt Abschnitt 3 (8).

(3) Die Schule kann die Vereinbarung jederzeit ohne Frist kündigen. Der Auftragsverarbeiter kann sie mit einer Frist von drei Monaten zum Monatsende kündigen. Das Recht zur Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt.

(4) Die Leistungen des Auftragsverarbeiters nach dieser Vereinbarung einschließlich der Unterstützungsleistungen sind mit dem Entgelt für die Lizenz abgegolten. Bei einer kostenlosen Lizenz, etwa einer Testlizenz, erbringt er sie unentgeltlich.

3. Pflichten des Auftragsverarbeiters

(1) Weisungen. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Schule, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt er der Schule diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO). Als Weisungen gelten diese Vereinbarung, die Bedienung von TypeSprint durch die Lehrkräfte der Schule (etwa Klasse anlegen, Schüler/in aus einer Klasse entfernen, Klasse löschen) sowie Einzelweisungen der Schule in Textform an contact@typesprint.io. Verlangt eine Behörde die Herausgabe von Daten, informiert der Auftragsverarbeiter die Schule unverzüglich, soweit das rechtlich zulässig ist, und verweist die Behörde an die Schule.

(2) Vertraulichkeit. Der Auftragsverarbeiter erklärt, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Datengeheimnis nach § 6 DSG). Derzeit hat ausschließlich der Inhaber Zugang zu den Daten. Die Verpflichtung gilt über das Ende dieser Vereinbarung und über ein Ausscheiden dieser Personen hinaus.

(3) Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie der Schule mit.

(4) Rechte der betroffenen Personen. Der Auftragsverarbeiter unterstützt die Schule nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Nutzer/innen können ihre Kontodaten in TypeSprint selbst einsehen und ändern und ihr Konto samt allen zugehörigen Daten selbst löschen. Eine Auskunft, eine Datenkopie in einem gängigen maschinenlesbaren Format oder eine Berichtigung bzw. Löschung, die die Nutzer/innen nicht selbst vornehmen können, erledigt der Auftragsverarbeiter auf Weisung der Schule innerhalb von 14 Tagen. Wendet sich eine betroffene Person im Zusammenhang mit der schulischen Nutzung direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an die Schule weiter.

(5) Unterstützung nach Art. 32 bis 36 DSGVO und Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter unterstützt die Schule unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. Eine Verletzung des Schutzes personenbezogener Daten meldet er der Schule unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist, an die oben angegebene E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch fehlt, reicht er nach, sobald es vorliegt.

(6) Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag der Schule durchführt (Art. 30 Abs. 2 DSGVO).

(7) Nachweise und Kontrollen. Der Auftragsverarbeiter stellt der Schule alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch die Schule oder einen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen werden mit angemessener Frist, in der Regel 14 Tage, angekündigt und finden vorrangig durch Einsicht in Unterlagen statt (diese Vereinbarung samt Anlagen, Zertifikate und Prüfberichte der Unterauftragsverarbeiter). Der Auftragsverarbeiter betreibt keine eigenen Server; die Rechenzentren werden über die Nachweise der Unterauftragsverarbeiter geprüft. Jede Partei trägt ihre eigenen Kosten. Der Auftragsverarbeiter arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen und informiert die Schule unverzüglich über deren Kontrollen und Maßnahmen, soweit sie diese Vereinbarung betreffen.

(8) Rückgabe und Löschung. Nach dem Ende dieser Vereinbarung

a) stellt der Auftragsverarbeiter der Schule auf Wunsch bis zur Löschung nach Buchstabe b eine Aufstellung der Lernstände ihrer Klassen in einem gängigen, maschinenlesbaren Format (CSV oder JSON) zur Verfügung,
b) löscht er innerhalb von 30 Tagen die Schule samt Lizenz und Liste ihrer Lehrkräfte, ihre Klassen sowie die Konten ihrer Lehrkräfte und Klassenmitglieder samt allen zugehörigen Daten nach Abschnitt 1 (4), ausgenommen die privat weitergeführten Konten nach dem folgenden Absatz und Konten, die schon vor Beginn der ersten Lizenz der Schule bestanden haben; bei diesen wird mit dem Ende dieser Vereinbarung nur die Zuordnung zur Schule und zu ihren Klassen aufgehoben, und es gilt wieder die Datenschutzerklärung von TypeSprint (Abschnitt 1 (2)),
c) bestätigt er der Schule die Löschung in Textform.

Private Weiterführung. Während der Nachfrist (Abschnitt 2 (2)) bietet der Auftragsverarbeiter den Lehrkräften und Klassenmitgliedern in der Anwendung an, ihr Konto als privates Konto weiterzuführen, und weist dabei auf die Folgen hin. Konten, die schon vor Beginn der ersten Lizenz der Schule bestanden haben, brauchen diese Wahl nicht; für sie gilt Buchstabe b. Wer das ausdrücklich wählt, behält sein Konto samt Lern- und Testdaten, Münzen und Avatar-Zubehörteilen; mit dem Ende dieser Vereinbarung wird die Zuordnung des Kontos zur Schule und zu ihren Klassen aufgehoben. Ab dann ist das Konto nicht mehr Gegenstand dieser Vereinbarung, und es gilt die Datenschutzerklärung von TypeSprint (Abschnitt 1 (2)). Die Schule stimmt diesem Angebot mit dieser Vereinbarung zu. Sie kann es in Textform für alle oder einzelne Konten ausschließen; diese Konten werden dann nach Buchstabe b gelöscht. Konten, die schon vor Beginn der ersten Lizenz der Schule bestanden haben, erfasst ein solcher Ausschluss nicht. Endet die Vereinbarung ohne Nachfrist, etwa durch Kündigung nach Abschnitt 2 (3), entfällt das Angebot, und alle Konten werden nach Buchstabe b gelöscht; Konten, die schon vor Beginn der ersten Lizenz der Schule bestanden haben, werden auch dann nur von der Schule gelöst.

Die Datenbank wird täglich automatisch gesichert; die letzten acht Sicherungen werden aufbewahrt. Gelöschte Daten sind deshalb längstens acht Tage lang noch in Sicherungen enthalten und werden dann automatisch überschrieben. Sicherungen werden nur zur Wiederherstellung nach einem Störfall verwendet; werden sie eingespielt, löscht der Auftragsverarbeiter bereits gelöschte Daten erneut. Server-Protokolle des Hosters werden nach einem Tag automatisch gelöscht.

(9) Rechtswidrige Weisungen. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er die Schule unverzüglich.

4. Ort der Datenverarbeitung

(1) Die Daten werden in Rechenzentren in der Europäischen Union gespeichert und verarbeitet: Anwendung, Datenbank samt Sicherungen und der Echtzeitdienst für Tipptests in Irland, E-Mail in Deutschland. Die Auslieferung an den Browser läuft über den nächstgelegenen Netzknoten des Hosters. Einzelheiten stehen in Anlage 2.

(2) Vercel Inc. hat seinen Sitz in den USA; MongoDB Limited (Irland) ist eine Tochter der MongoDB, Inc. (USA). Ein Zugriff aus den USA, etwa für Betrieb und Support, ist deshalb nicht völlig auszuschließen. Eine solche Übermittlung erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), unter dem Vercel Inc. und MongoDB, Inc. zertifiziert sind, und ergänzend die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), die Bestandteil der Auftragsverarbeitungsverträge beider Anbieter sind. Für den Unterauftragsverarbeiter mit Sitz im Vereinigten Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich.

(3) Eine Verlagerung der Verarbeitung in ein anderes Drittland ist nur nach Abschnitt 5 zulässig.

5. Unterauftragsverarbeiter

(1) Die Schule erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter beizuziehen. Die bei Vertragsabschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert die Schule mindestens einen Monat, bevor er einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, per E-Mail, sodass die Schule dies untersagen kann. Die Schule kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine Lösung, kann die Schule die Vereinbarung nach Abschnitt 2 (3) beenden.

(3) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung. Bei großen Anbietern sind das deren Standard-Auftragsverarbeitungsverträge, deren Übereinstimmung mit Art. 28 DSGVO der Auftragsverarbeiter geprüft hat. Welche weiteren Dienstleister diese Anbieter ihrerseits einsetzen, richtet sich nach deren Verträgen; ihre Listen sind in Anlage 2 verlinkt. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter der Schule gegenüber für die Einhaltung dieser Pflichten.

(4) Keine Unterauftragsverarbeitung sind Leistungen Dritter ohne Zugang zu personenbezogenen Daten der Schule, etwa die Domainverwaltung oder die Verwaltung des Quellcodes. Ebenfalls keine Unterauftragsverarbeitung ist die freiwillige Anmeldung über Google oder Microsoft: Die Nutzer/innen melden sich dabei unmittelbar beim jeweiligen Anbieter mit ihrem eigenen oder dem schulischen Konto an, und TypeSprint erhält von dort nur die E-Mail-Adresse und eine Kontokennung.

6. Pflichten der Schule

(1) Die Schule ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage (schulrechtliche Befugnis oder Einwilligung) und dafür, die betroffenen Personen bzw. deren Erziehungsberechtigte nach Art. 13 und 14 DSGVO zu informieren.

(2) Benutzername, Avatar und Testergebnisse sind für die anderen Teilnehmer/innen eines Tipptests sichtbar, auch wenn diese nicht der Schule angehören, bei einer Herausforderung für alle, die ihren Link kennen (Abschnitt 1 (6) c), und nach Zustimmung der Schüler/innen auch in öffentlichen Bestenlisten (Abschnitt 1 (6)). Deshalb weist die Schule die Schüler/innen an, als Benutzernamen keinen Klarnamen und keine Namensbestandteile zu wählen, die sie für Außenstehende erkennbar machen. Die Frage nach der öffentlichen Sichtbarkeit ist eine Einstellung der Schüler/innen innerhalb der Verarbeitung für die Schule, keine Einwilligung gegenüber dem Auftragsverarbeiter. Hält die Schule eine solche Entscheidung für unzulässig, etwa bei Schüler/innen unter 14 Jahren, weist sie diese an, „Verborgen bleiben“ zu wählen, oder erteilt dem Auftragsverarbeiter eine entsprechende Einzelweisung. Die Schule legt fest, ob Schüler/innen sich mit einer schulischen E-Mail-Adresse, einem schulischen Microsoft- oder Google-Konto oder einer privaten E-Mail-Adresse registrieren.

(3) Die Schule informiert den Auftragsverarbeiter unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

7. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO.

8. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO), etwa die Annahme einer neuen Fassung nach Abschnitt 2 (1) oder eine E-Mail, mit der beide Parteien die Änderung festhalten.

(2) Für die Verarbeitung im Auftrag der Schule hat diese Vereinbarung Vorrang vor der Datenschutzerklärung von TypeSprint.

(3) Ist eine Bestimmung dieser Vereinbarung unwirksam, bleiben die übrigen Bestimmungen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.

Anlagen:
Anlage 1: Technische und organisatorische Maßnahmen
Anlage 2: Unterauftragsverarbeiter

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter betreibt keine eigenen Server. Anwendung, Datenbank, Echtzeitdienst und E-Mail laufen bei den Unterauftragsverarbeitern aus Anlage 2, deren eigene Maßnahmen für ihre Rechenzentren gelten.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Keine eigenen Serverräume. Den physischen Zutritt zu den Rechenzentren regeln die Unterauftragsverarbeiter; ihre Nachweise (Zertifikate, Prüfberichte) sind über die in Anlage 2 verlinkten Seiten abrufbar.
• Mobile Arbeitsgeräte (Laptop) des Inhabers sind mit Festplattenverschlüsselung geschützt. Der Arbeitsplatzrechner steht in der abgeschlossenen Wohnung des Inhabers; seine Datenträger werden vor Weitergabe oder Entsorgung sicher gelöscht. Alle Arbeitsgeräte sperren sich nach kurzer Inaktivität automatisch.

1.2 Zugangskontrolle

• Administrativen Zugang zu Hosting (Vercel), Datenbank (MongoDB Atlas), Quellcode (GitHub, privates Repository) und E-Mail (Hetzner) hat nur der Inhaber, jeweils mit persönlichem Konto und Zwei-Faktor-Authentisierung.
• Zugangsdaten zur Datenbank und zu Drittdiensten liegen ausschließlich als geschützte Umgebungsvariablen beim Hoster, nicht im Quellcode.
• Passwörter der Nutzer/innen: mindestens 8 Zeichen, gespeichert nur als bcrypt-Hash; das Klartext-Passwort wird nicht gespeichert.
• Sitzungen: zufällige 256-Bit-Kennung in einem Cookie mit den Attributen HttpOnly, Secure und SameSite=Lax, gültig für typesprint.io und seine Subdomains (eine Anmeldung für www und edu); Ablauf nach 90 Tagen; beim Abmelden wird die Sitzung auch auf dem Server gelöscht. Unter typesprint.io werden keine Subdomains an fremde Anbieter vergeben, damit das Cookie keinen Dritten erreicht.
• Passwort-Zurücksetzung: zufällige Einmal-Kennung, eine Stunde gültig, höchstens drei Anforderungen pro Stunde und Konto.
• Anmeldung über Google oder Microsoft: OAuth 2.0 mit PKCE und state-Parameter; angefordert werden nur die Anmeldung (openid) und die E-Mail-Adresse, beim Microsoft-Konto zusätzlich die Grundberechtigung „User.Read“.
• Bei Konten mit Passwort verlangen das Ändern der E-Mail-Adresse oder des Passworts und das Löschen des Kontos das aktuelle Passwort.

1.3 Zugriffskontrolle

• Jede Anfrage wird serverseitig auf Berechtigung geprüft. Die einzelnen Lektionsversuche einer Person sieht nur sie selbst und die Lehrkraft einer Klasse, in der sie Mitglied ist.
• Lehrkräfte sehen nur die Mitglieder ihrer eigenen Klassen, keine E-Mail-Adressen. Den Beitrittscode einer Klasse sieht nur die Lehrkraft. Der Schulcode, mit dem Lehrkräfte einer Schule beitreten, ist 8 Zeichen lang und wird in TypeSprint nur im Verwaltungsbereich angezeigt; der Auftragsverarbeiter übermittelt ihn der Schule und erneuert ihn auf Wunsch.
• E-Mail-Adressen werden an keine anderen Nutzer/innen ausgegeben. Der Verwaltungsbereich ist nur für die hinterlegten Administratorkonten (Inhaber) zugänglich.

1.4 Trennungskontrolle

• TypeSprint nutzt eine eigene Datenbank. Entwicklung und Tests laufen mit einer getrennten Entwicklungsdatenbank auf einem anderen Cluster.
• Die Daten verschiedener Schulen sind über die Zuordnung ihrer Lehrkräfte und Klassen zur jeweiligen Schule logisch getrennt; die Berechtigungsprüfung nach 1.3 verhindert den Zugriff auf fremde Klassen und Schulen.

1.5 Pseudonymisierung und Datenminimierung

• Für ein Konto genügen E-Mail-Adresse, Benutzername und Passwort (oder ein Google- bzw. Microsoft-Konto). Klarnamen, Anschriften, Telefonnummern oder Geburtsdaten werden nicht erhoben.
• Nach außen erscheinen nur Benutzername, Avatar, optional Flagge und Ergebnisse; Schüler/innen einer Schule mit gültiger Lizenz erst nach eigener Zustimmung (Abschnitt 1 (6) d). Verborgene Ergebnisse tragen ein Kennzeichen, das alle Abfragen für Bestenlisten und Profilkarte ausschließen.
• Die Schulversion (edu.typesprint.io) zählt keine Besuche und lädt keinen Code von Dritten in den Browser. Eine Content Security Policy erlaubt dort nur Inhalte von TypeSprint selbst und die Verbindung zum Echtzeitdienst (Anlage 2).
• Benutzernamen werden bei der Registrierung und bei jeder Namensänderung automatisch geprüft; abgelehnt werden unter anderem Schimpfwörter, extremistische Codes und Namen, die wie eine E-Mail-Adresse, eine Telefonnummer oder ein Link aussehen. Die Prüfung läuft vollständig innerhalb der Anwendung anhand eigener Wortlisten und Muster; der Benutzername wird dafür an keinen externen Dienst übermittelt. Abgelehnte Namen werden 30 Tage lang gespeichert, damit der Auftragsverarbeiter die Wortlisten auf Fehlentscheidungen prüfen kann; bei Namen, die als Telefonnummer oder andere persönliche Angabe abgelehnt wurden, werden die Ziffern vor dem Speichern unkenntlich gemacht.

1.6 Verschlüsselung

• Alle Verbindungen zwischen Browser und TypeSprint laufen ausschließlich über HTTPS (TLS) mit HSTS.
• Verbindungen zur Datenbank und zum Echtzeitdienst sind TLS-verschlüsselt; E-Mails werden über STARTTLS eingeliefert.
• Die Datenbank und ihre Sicherungen sind im Ruhezustand verschlüsselt (Standard bei MongoDB Atlas).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Weitergabe nur an die Unterauftragsverarbeiter aus Anlage 2, verschlüsselt nach 1.6. Keine physischen Datenträger.

2.2 Eingabekontrolle

• Kontodaten ändern nur die angemeldeten Nutzer/innen selbst.
• Test- und Lernergebnisse werden serverseitig neu berechnet und auf Plausibilität geprüft; ein Testergebnis kann nur einmal gespeichert und danach nicht mehr verändert werden. Alle Ergebnisse tragen einen Zeitstempel.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Betrieb auf Cloud-Infrastruktur: die Anwendung als Serverless-Funktionen bei Vercel, die Datenbank als replizierter Cluster bei MongoDB Atlas.
• Automatische Datensicherung der Datenbank durch MongoDB Atlas: eine Sicherung täglich, die letzten acht werden aufbewahrt; Speicherort Irland.
• Der Quellcode ist versioniert (Git) und kann jederzeit neu ausgerollt werden; die Datenbank kann aus einer Sicherung wiederhergestellt werden.
• Automatische Bereinigung: Sitzungen nach 90 Tagen, Kennungen zur Passwort-Zurücksetzung nach einer Stunde, unvollständige Anmeldungen über Google/Microsoft nach 10 Minuten, nicht beendete Tests nach 11 Stunden, abgelehnte Benutzernamen nach 30 Tagen, Server-Protokolle nach einem Tag.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Diese Maßnahmen werden mindestens jährlich und bei jeder wesentlichen Änderung der Anwendung oder der Unterauftragsverarbeiter überprüft.
• Datenschutzverletzungen werden der Schule nach Abschnitt 3 (5) gemeldet; jeder Vorfall wird dokumentiert.
• Datenschutzfreundliche Voreinstellungen: keine Werbung, keine Tracking- oder Analysedienste Dritter, keine Weitergabe an Dritte außer Anlage 2, Länderflagge nur freiwillig, Schüler/innen lizenzierter Schulen in öffentlichen Bestenlisten nur nach eigener Zustimmung.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO (Anlage 2).

Anlage 2: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter (kein Zugang zu Daten der Schule oder eigene Dienste der Nutzer/innen): Google und Microsoft als freiwillige Anmeldedienste (Abschnitt 5 (4)), der Domain- und DNS-Anbieter, GitHub (Quellcode ohne personenbezogene Daten).