Auftragsverarbeitungsvertrag

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch votever im Auftrag der Schule gemäß Art. 28 DSGVO. Gegenstand ist die Bereitstellung und der Betrieb der digitalen Schulwahlplattform „votever“ zur Durchführung von Schulwahlen (insbesondere Schulsprecher-, Klassen- und Abteilungssprecherwahlen sowie Abstimmungen).

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des zugrundeliegenden Hauptvertrags (Nutzungsvertrag votever). Mit Beendigung des Hauptvertrags endet auch dieser AVV, sofern nicht gesondert vereinbart.

(1) votever verarbeitet personenbezogene Daten ausschließlich zum Zweck der Einrichtung, Durchführung und Auswertung von Schulwahlen im Auftrag der Schule.

(2) Eine Verarbeitung für eigene Zwecke von votever, eine Weitergabe an Dritte oder eine Nutzung über den Vertragsgegenstand hinaus ist ausgeschlossen, es sei denn, votever ist gesetzlich dazu verpflichtet.

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

• Wahladministratoren (Lehrkräfte): E-Mail-Adresse, Name, Schulzugehörigkeit sowie von der Lehrkraft selbst angelegte Wahlinhalte (Kandidatennamen, Wahlzeiträume, Ergebnisse).
• Wählende (Schülerinnen und Schüler): Keine personenbezogenen Daten. Die Stimmabgabe erfolgt vollständig anonym über einmalig nutzbare Zugangslinks. Es werden weder Name, E-Mail-Adresse noch andere identifizierende Merkmale erhoben oder gespeichert.

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden nicht verarbeitet.

Betroffene Personen im Sinne dieses Vertrags sind Lehrkräfte und sonstiges Schulpersonal, das die Plattform als Wahladministratoren nutzt. Schülerinnen und Schüler sind aufgrund der anonymen Stimmabgabe keine betroffenen Personen im datenschutzrechtlichen Sinne.

votever verpflichtet sich insbesondere zu folgenden Maßnahmen:

1. Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung der Schule (Art. 28 Abs. 3 lit. a DSGVO).
2. Sicherstellung, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
3. Ergreifung aller erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe § 8).
4. Einhaltung der Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß § 7.
5. Unterstützung der Schule bei der Wahrnehmung der Rechte betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO), insbesondere bei Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsanfragen.
6. Unterstützung der Schule bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Datenpannenmeldung, DSFA).
7. Löschung oder Rückgabe aller personenbezogener Daten nach Abschluss der Verarbeitungsleistungen gemäß § 10.
8. Zurverfügungstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO sowie Ermöglichung und Unterstützung von Prüfungen gemäß § 11.

(1) Die Schule hat das Recht, votever jederzeit Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen können mündlich oder schriftlich erteilt werden; mündliche Weisungen sind von votever unverzüglich schriftlich zu bestätigen.

(2) Ist votever der Ansicht, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt, hat votever die Schule unverzüglich darüber zu informieren. votever ist berechtigt, die Ausführung der betreffenden Weisung zu verweigern, bis die Schule diese bestätigt oder angepasst hat.

(1) votever ist berechtigt, Unterauftragsverarbeiter (weitere Auftragsverarbeiter) einzusetzen. Zum Zeitpunkt des Vertragsschlusses eingesetzter Unterauftragsverarbeiter:

(2) votever informiert die Schule über geplante Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern. Die Schule hat das Recht, gegen solche Änderungen innerhalb von 14 Tagen nach Bekanntgabe Einwände zu erheben.

(3) votever verpflichtet alle eingesetzten Unterauftragsverarbeiter vertraglich auf denselben Datenschutzstandard wie diesen AVV.

votever ergreift zur Sicherheit der Verarbeitung gemäß Art. 32 DSGVO mindestens folgende Maßnahmen:

• Verschlüsselung: Alle Datenübertragungen sind per TLS 1.2 oder höher verschlüsselt. Datenbankinhalt wird verschlüsselt gespeichert.
• Zugriffskontrolle: Technische Zugangsbeschränkungen nach Least-Privilege-Prinzip; Authentifizierung für alle administrativen Zugriffe erforderlich.
• Anonymität der Stimmabgabe: Die technische Architektur verhindert die Zuordnung einer abgegebenen Stimme zu einer Person – konstruktiv, nicht nur durch Policy.
• Protokollierung: Administrative Zugriffe auf die Infrastruktur werden protokolliert und regelmäßig überprüft.
• Verfügbarkeit und Belastbarkeit: Regelmäßige Backups, Wiederherstellbarkeit sichergestellt, Monitoring aktiv.
• Sicherheitsupdates: Regelmäßige Updates aller eingesetzten Software-Komponenten; bekannte Sicherheitslücken werden priorisiert behoben.
• Physische Sicherheit: Serverstandort in einem zertifizierten Rechenzentrum in Frankfurt (EU) mit kontrolliertem Zutritt.

(1) votever meldet der Schule jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen hinterlegte Adresse.

(2) Die Meldung enthält mindestens: Beschreibung des Vorfalls, betroffene Datenkategorien und betroffene Personen (soweit bekannt), wahrscheinliche Folgen sowie ergriffene und geplante Maßnahmen.

(3) votever unterstützt die Schule bei der Erfüllung ihrer eigenen Meldepflicht gegenüber der Aufsichtsbehörde (Österreichische Datenschutzbehörde) sowie bei der Information betroffener Personen.

(1) Nach Beendigung des Hauptvertrags löscht votever alle im Auftrag der Schule verarbeiteten personenbezogenen Daten vollständig und unwiderruflich, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung erfolgt spätestens 30 Tage nach Vertragsende.

(2) Auf Verlangen der Schule stellt votever vor der Löschung einen Datenexport im maschinenlesbaren Format (CSV/JSON) zur Verfügung.

(3) votever bestätigt die erfolgte Löschung auf Anfrage schriftlich.

(1) votever stellt der Schule alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO auf Anfrage zur Verfügung.

(2) Die Schule oder ein von ihr beauftragter Prüfer ist berechtigt, Prüfungen und Audits durchzuführen. votever unterstützt solche Prüfungen nach vorheriger Ankündigung (mindestens 14 Tage) in angemessenem Umfang. Kosten trägt die prüfende Partei, sofern keine wesentlichen Mängel festgestellt werden.

(1) Werden bei votever Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit gestellt, leitet votever diese unverzüglich an die Schule weiter.

(2) votever beantwortet solche Anfragen nicht selbstständig, sondern ausschließlich auf Weisung der Schule, es sei denn, votever ist gesetzlich zur Auskunft verpflichtet.

(1) Dieser Vertrag unterliegt österreichischem Recht unter Ausschluss des UN-Kaufrechts. Erfüllungsort und Gerichtsstand ist der Sitz von votever, sofern die Schule Unternehmer im Sinne des Unternehmensgesetzbuchs (UGB) ist.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.

(4) Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV in Datenschutzfragen vor.