Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die die FM-Squared GmbH (Auftragsverarbeiterin) im Auftrag einer Schule (Verantwortliche) beim Betrieb von Wegvio Schule durchführt. Er wird mit dem Abschluss des Schulvertrags Bestandteil der Vereinbarung und ergänzt die Datenschutzerklärung.
1. Parteien und Rollen
Verantwortliche im Sinne der DSGVO ist die Schule beziehungsweise ihr Schulträger. Auftragsverarbeiterin ist die FM-Squared GmbH, Herderstraße 18, 72764 Reutlingen (Amtsgericht Stuttgart, HRB 803865). Die Schule entscheidet über Zwecke und Mittel der Verarbeitung; die FM-Squared GmbH verarbeitet die Daten ausschließlich in ihrem Auftrag und nach ihren Weisungen.
2. Gegenstand und Dauer
Gegenstand ist der Betrieb der Wegvio-Schulplattform: Verwaltung von Schul-, Klassen- und Schülerkonten sowie die KI-gestützte Analyse, Profilerstellung und Empfehlung für die Schüler. Der Vertrag läuft, solange die Schule Wegvio nutzt. Er endet mit der Beendigung des Schulvertrags; die Regelungen zur Löschung und Rückgabe gelten fort.
3. Art der Daten und betroffene Personen
Verarbeitet werden: Stammdaten (Anzeigename, Benutzername, optionale E-Mail-Adresse, Klasse, Rolle), Zugangsdaten (Passwort als Hash), Nutzungs- und Inhaltsdaten (Analyse-Chats, Persönlichkeitsprofile, Empfehlungen, XP und Level) sowie, sofern genutzt, Sprachaufnahmen zur Umwandlung in Text. Betroffene Personen sind Schülerinnen und Schüler, Lehrkräfte und die Schulleitung. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; die Nutzer werden gebeten, solche Angaben zu unterlassen.
4. Weisungen
Die FM-Squared GmbH verarbeitet die Daten nur auf dokumentierte Weisung der Schule, einschließlich dieses Vertrags und der Nutzung der bereitgestellten Funktionen. Hält sie eine Weisung für rechtswidrig, informiert sie die Schule und darf die Ausführung aussetzen. Weisungen können durch die Schulleitung oder eine von ihr benannte Stelle in Textform erteilt werden.
5. Vertraulichkeit
Die FM-Squared GmbH setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheit unterliegen. Inhalte der Schüler (Chats, Profile, Empfehlungen) sind technisch so abgeschottet, dass weder Lehrkräfte noch die Schulleitung noch die FM-Squared GmbH im laufenden Betrieb darauf zugreifen.
6. Technische und organisatorische Maßnahmen
Die FM-Squared GmbH trifft angemessene Maßnahmen nach Art. 32 DSGVO. Dazu gehören: verschlüsselte Übertragung (TLS), Speicherung der Passwörter nur als Hash, rollenbasierte Zugriffsrechte, Trennung von Verwaltungs- und Inhaltsdaten, Protokollierung sicherheitsrelevanter Ereignisse, regelmäßige Sicherungen sowie der Betrieb in Rechenzentren innerhalb der EU. Die KI-Verarbeitung erfolgt ohne Nutzung der Inhalte zum Training der Modelle. Einzelheiten hält die Anlage „Technische und organisatorische Maßnahmen“ fest, die auf Anfrage bereitgestellt wird.
7. Unterauftragsverarbeiter
Die Schule genehmigt den Einsatz folgender Unterauftragsverarbeiter: STRATO GmbH (Hosting von Anwendung, Server und Datenbank, Rechenzentren in Deutschland) und Microsoft Ireland Operations Ltd. (KI-Verarbeitung und Sprach-Transkription über den Azure OpenAI Service, ausschließlich in der EU Data Zone). Mit beiden bestehen Verträge nach Art. 28 DSGVO. Weitere oder wechselnde Unterauftragsverarbeiter teilt die FM-Squared GmbH vorab mit; die Schule kann einem Wechsel aus wichtigem datenschutzrechtlichem Grund widersprechen.
8. Unterstützung der Verantwortlichen
Die FM-Squared GmbH unterstützt die Schule mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wird ihr eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet sie diese der Schule unverzüglich mit den nach Art. 33 DSGVO erforderlichen Angaben. Anfragen betroffener Personen, die direkt bei der FM-Squared GmbH eingehen, leitet sie an die Schule weiter.
9. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht die FM-Squared GmbH die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl der Schule zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Einzelne Schülerkonten werden zu Privatkonten, wenn ein Schüler ausgetragen wird; diese Konten und ihre Inhalte gehören dann dem jeweiligen Nutzer und unterliegen nicht mehr diesem Vertrag.
10. Nachweise und Kontrollen
Die FM-Squared GmbH stellt der Schule die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch die Schule oder einen von ihr beauftragten Prüfer. Nachweise können vorrangig durch aussagekräftige Unterlagen (etwa die Beschreibung der Maßnahmen nach Art. 32 DSGVO) erbracht werden.
11. Haftung
Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Schulvertrags. Die Verantwortung für die Zulässigkeit der Verarbeitung im Verhältnis zu den betroffenen Personen trägt die Schule als Verantwortliche.
12. Schlussbestimmungen
Es gilt deutsches Recht. Widersprechen sich dieser Vertrag und der Schulvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Dieser Vertrag ist ein Muster der FM-Squared GmbH und wird mit dem Schulvertrag verbindlich; individuelle Ergänzungen bedürfen der Textform.
Stand: 15.08.2026