Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

1. Parteien und Rollen

Verantwortliche im Sinne der DSGVO ist die Schule beziehungsweise ihr Schulträger. Auftragsverarbeiterin ist die FM-Squared GmbH, Herderstraße 18, 72764 Reutlingen (Amtsgericht Stuttgart, HRB 803865). Die Schule entscheidet über Zwecke und Mittel der Verarbeitung; die FM-Squared GmbH verarbeitet die Daten ausschließlich in ihrem Auftrag und nach ihren Weisungen.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Wegvio-Schulplattform: Verwaltung von Schul-, Klassen- und Schülerkonten sowie die KI-gestützte Analyse, Profilerstellung und Empfehlung für die Schüler. Der Vertrag läuft, solange die Schule Wegvio nutzt. Er endet mit der Beendigung des Schulvertrags; die Regelungen zur Löschung und Rückgabe gelten fort.

3. Art der Daten und betroffene Personen

Verarbeitet werden: Stammdaten (Anzeigename, Vorname, Benutzername, optionale E-Mail-Adresse, Klasse, Rolle), Zugangsdaten (Passwort als Hash, Sitzungsinformationen, Merkmale vertrauenswürdiger Geräte), technische Daten (Protokolldaten sicherheitsrelevanter Ereignisse mit Zeitstempel, IP-Adresse und Browserkennung, insbesondere Anmeldungen), Guthabendaten (Stand des Guthabens für Profilerstellungen und Empfehlungsrunden, auch privat gekaufter Anteile, sowie die Buchungen des Schulguthabens), freiwillige Angaben (Wohnort mit Postleitzahl, höchster Abschluss sowie im eigenen Profil Geburtsjahr, Pronomen, besuchte Schule, ein freier Text über sich und ein Avatar), Nutzungs- und Inhaltsdaten (Analyse-Chats, daraus erzeugte Persönlichkeitsprofile mit Mindmap und früheren Versionen, Empfehlungen, Nachrichten im Profil-Chat und im Empfehlungs-Chat, Suchtexte der Websuche, Rückmeldungen zu Ergebnissen, selbst erzeugte Teilen-Links, XP, Level und Auszeichnungen) sowie, sofern genutzt, Sprachaufnahmen zur Umwandlung in Text. Anzeigename, Lebensphase (bei Schülerkonten aus der Klasse), Wohnort, höchster Abschluss, Geburtsjahr, Pronomen, der freie Text und die Avatar-Auswahl gehen, soweit vorhanden, an das Sprachmodell, der Wohnort außerdem als Teil des Suchtextes an die Websuche. Betroffene Personen sind Schülerinnen und Schüler, Lehrkräfte und die Schulleitung. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Die Nutzungsordnung bittet die Schülerinnen und Schüler, nur zu schreiben, was für die Berufswahl zählt, und sehr Persönliches lieber mit einem Menschen zu besprechen. Da die Chats freien Text zulassen, können solche Angaben dennoch vorkommen. Sie werden dann wie jede andere Antwort verarbeitet und können in Profil und Empfehlungen einfließen. Erkennt der Analyse-Chat Hinweise auf eine ernste persönliche Notlage, nennt er statt einer Folgefrage eine Anlaufstelle. Diese Einstufung wird beim Gesprächsverlauf gespeichert, in der Anwendung aber niemandem angezeigt und nicht in das Profil übernommen.

4. Weisungen

Die FM-Squared GmbH verarbeitet die Daten nur auf dokumentierte Weisung der Schule, einschließlich dieses Vertrags und der Nutzung der bereitgestellten Funktionen. Hält sie eine Weisung für rechtswidrig, informiert sie die Schule und darf die Ausführung aussetzen. Weisungen können durch die Schulleitung oder eine von ihr benannte Stelle in Textform erteilt werden.

5. Vertraulichkeit

Die FM-Squared GmbH setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheit unterliegen. Die Anwendung bietet Lehrkräften, der Schulleitung und der FM-Squared GmbH keine Funktion, Inhalte der Schüler (Chats, Profile, Empfehlungen) einzusehen.

6. Technische und organisatorische Maßnahmen

Die FM-Squared GmbH trifft angemessene Maßnahmen nach Art. 32 DSGVO. Dazu gehören: verschlüsselte Übertragung (TLS), Speicherung der Passwörter nur als Hash, rollenbasierte Zugriffsrechte, kein Zugriff der Verwaltungsfunktionen auf Inhaltsdaten außer dem Bearbeitungsstand (XP), Protokollierung sicherheitsrelevanter Ereignisse, Sicherung von Anwendung und Datenbank vor jeder Änderung an der Anwendung sowie der Betrieb in Rechenzentren innerhalb der EU. Die KI-Verarbeitung erfolgt ohne Nutzung der Inhalte zum Training der Modelle. Einzelheiten hält die Anlage „Technische und organisatorische Maßnahmen“ fest, die auf Anfrage bereitgestellt wird.

7. Unterauftragsverarbeiter

Die Schule genehmigt den Einsatz folgender Unterauftragsverarbeiter: STRATO GmbH (Hosting von Anwendung, Server und Datenbank sowie Versand der E-Mails, Rechenzentren in Deutschland) und Microsoft Ireland Operations Ltd. (KI-Verarbeitung und Sprach-Transkription über den Azure OpenAI Service, Ressource in Schweden, Verarbeitung innerhalb der EU; ausgenommen ist die Websuche über die Bing-Suche von Microsoft, für die der Azure-Vertrag nicht gilt und die nicht auf die EU begrenzt ist, siehe Datenschutzerklärung). Mit beiden bestehen Verträge nach Art. 28 DSGVO. Weitere oder wechselnde Unterauftragsverarbeiter teilt die FM-Squared GmbH vorab mit; die Schule kann einem Wechsel aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Unterstützung der Verantwortlichen

Die FM-Squared GmbH unterstützt die Schule mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wird ihr eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet sie diese der Schule unverzüglich mit den nach Art. 33 DSGVO erforderlichen Angaben. Anfragen betroffener Personen, die direkt bei der FM-Squared GmbH eingehen, leitet sie an die Schule weiter.

9. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht die FM-Squared GmbH die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl der Schule zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein Schülerkonto läuft nach Vertragsende nur weiter, wenn die Schülerin oder der Schüler das aktiv bestätigt; es ist dann ein privates Konto und unterliegt nicht mehr diesem Vertrag. Konten ohne diese Bestätigung löscht die FM-Squared GmbH mit allen Inhalten spätestens drei Monate nach Vertragsende. Wird eine Schülerin oder ein Schüler während der Laufzeit aus der Schule ausgetragen, besteht das Konto als privates Konto weiter; es gehört dann mit seinen Inhalten der jeweiligen Person und unterliegt nicht mehr diesem Vertrag.

10. Nachweise und Kontrollen

Die FM-Squared GmbH stellt der Schule die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch die Schule oder einen von ihr beauftragten Prüfer. Nachweise können vorrangig durch aussagekräftige Unterlagen (etwa die Beschreibung der Maßnahmen nach Art. 32 DSGVO) erbracht werden.

11. Haftung

Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Schulvertrags. Die Verantwortung für die Zulässigkeit der Verarbeitung im Verhältnis zu den betroffenen Personen trägt die Schule als Verantwortliche.

12. Schlussbestimmungen

Es gilt deutsches Recht. Widersprechen sich dieser Vertrag und der Schulvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Dieser Vertrag ist ein Muster der FM-Squared GmbH und wird mit dem Schulvertrag verbindlich; individuelle Ergänzungen bedürfen der Textform.

Stand: 29.09.2026