Stand: 21.10.2026
zwischen dem Kunden, der eine Lizenz für FeedbackSchool erwirbt (Schule, Träger, Organisation oder Lehrkraft), nachfolgend „Auftraggeber“ bzw. „Verantwortlicher“,
und softwarea GmbH, Herzog-Albrecht-Straße 1, 93059 Regensburg, Deutschland, Telefon: +49(0)941 - 20918944, E-Mail: info@feedbackschool.com, nachfolgend „Auftragnehmer“ bzw. „Auftragsverarbeiter“.
Der Auftraggeber nutzt die vom Auftragnehmer betriebene Anwendung FeedbackSchool, um Rückmeldungen zu Unterricht und Einrichtung einzuholen, Tests durchzuführen und auszuwerten. Zur Anwendung gehört unser AIssistant, der Name des Auftragnehmers für die Funktionen, die mit künstlicher Intelligenz arbeiten: Sprachmodelle, die Texte erzeugen, überarbeiten, zusammenfassen und übersetzen, und Bilderkennung, die Papierbögen und Dokumente liest; sie laufen im Regelfall auf eigener Hardware des Auftragnehmers in Deutschland (§ 3). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers. Die Parteien schließen daher diesen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Ist der Auftraggeber eine öffentliche Schule oder eine andere öffentliche Stelle, gelten neben der DSGVO die Datenschutz- und Schulgesetze des jeweiligen Landes; dieser Vertrag ist so zu verstehen, dass er auch deren Anforderungen an einen Auftragsverarbeitungsvertrag erfüllt.
(1) Dieser Vertrag ist Bestandteil jedes Lizenzvertrags über FeedbackSchool.
(2) Er kommt zustande, wenn der Auftraggeber ihm beim Kauf einer Lizenz oder später in der Anwendung zustimmt. Die Zustimmung wird mit der Fassung und dem Zeitpunkt festgehalten. Bei einem Träger stimmt zusätzlich jede seiner Schulen für sich zu, bevor sie mit der Anwendung arbeitet; für diese Schule ist dann die Schule Auftraggeber.
(3) Der Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in Textform geschlossen. Einer eigenhändigen Unterschrift bedarf es nicht. Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Fassung zur Verfügung.
(4) Ist der Auftraggeber eine Lehrkraft mit Einzellizenz, gilt dieser Vertrag für die Daten, für die sie selbst verantwortlich ist. Für Daten von Schülerinnen und Schülern ist in aller Regel die Schule verantwortlich; die Lehrkraft stellt sicher, dass die Schule die Verarbeitung gestattet hat, und kann den Auftragnehmer in deren Auftrag einsetzen.
(5) Die Anwendung besteht aus Modulen. Anlage 1 beschreibt je Modul Zweck, Art der Daten und betroffene Personen. Fügt der Auftragnehmer ein Modul hinzu oder erweitert er ein bestehendes um neue Datenarten oder neue betroffene Personen, veröffentlicht er eine neue Fassung dieses Vertrags mit geänderter Anlage 1 und zeigt sie dem Auftraggeber in der Anwendung an. Für den Auftraggeber gilt die neue Fassung, sobald er ihr zustimmt; bis dahin bleibt es bei der bisherigen Fassung. Die übrigen Bestimmungen dieses Vertrags bleiben von einer solchen Erweiterung unberührt.
(1) Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung und dem Betrieb von FeedbackSchool für den Auftraggeber, im Umfang der Module, die seine Lizenz umfasst. Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich je Modul aus Anlage 1.
(2) Die Dauer entspricht der Laufzeit der Lizenz. Der Vertrag gilt darüber hinaus, solange der Auftragnehmer nach § 11 noch Daten des Auftraggebers verarbeitet, und endet mit deren Löschung, ohne dass es einer Kündigung bedarf.
(1) Die Verarbeitung erfolgt in der Bundesrepublik Deutschland: die Anwendung und ihre Datenbank in einem Rechenzentrum in Deutschland, die täglichen Sicherungen ebenfalls in Deutschland, der E-Mail-Versand über einen Anbieter mit Servern in Deutschland. Das gilt auch für unseren AIssistant: Er läuft auf eigener Hardware des Auftragnehmers in Deutschland.
(2) Eine Verarbeitung außerhalb der Europäischen Union findet im Regelfall nicht statt. Sie ist nur möglich, wenn der Auftraggeber in der Anwendung ausdrücklich erlaubt, dass in Ausnahmefällen ein externer Dienst für unseren AIssistant einspringt (Anlage 3, Nr. 3). Diese Erlaubnis ist standardmäßig nicht erteilt; der Auftraggeber muss sie selbst aktiv einschalten. Solange er das nicht getan hat, verlässt kein Datum des Auftraggebers die Server des Auftragnehmers. Die Erlaubnis kann der Auftraggeber jederzeit in der Anwendung zurücknehmen; sie und ihre Rücknahme gelten als Weisung im Sinne von § 10.
(3) Die Verarbeitung erfolgt ausschließlich im Rahmen der Weisungen des Auftraggebers.
(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen. Sie stellen ein dem Risiko angemessenes Schutzniveau im Sinne des Art. 32 DSGVO sicher.
(2) Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.
(1) Der Auftragnehmer berichtigt, löscht oder schränkt Daten nur nach Weisung des Auftraggebers ein. Berichtigungen und Löschungen, die der Auftraggeber selbst in der Anwendung vornimmt, gelten als Weisung.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, die Rechte der betroffenen Personen nach Kapitel III DSGVO zu erfüllen, insbesondere durch die Berichtigungs- und Löschfunktionen der Anwendung und die herunterladbaren Auswertungen.
(4) Gelöschte Daten werden endgültig aus der Datenbank entfernt. In Sicherungskopien bleiben sie, bis diese turnusmäßig überschrieben werden; sie werden aus Sicherungen nicht wiederhergestellt, es sei denn, der Auftraggeber weist dies an.
(1) Der Auftragnehmer setzt die in Anlage 3 unter Nr. 1 und 2 genannten Unterauftragnehmer ein; der Auftraggeber stimmt ihrem Einsatz mit diesem Vertrag zu. Der externe Dienst nach Anlage 3, Nr. 3 wird mit diesem Vertrag nicht freigegeben. Er wird erst eingesetzt, wenn der Auftraggeber ihn in der Anwendung ausdrücklich erlaubt; erst diese Erlaubnis ist die Zustimmung zu diesem Unterauftragnehmer.
(2) Der Wechsel oder die Hinzunahme von Unterauftragnehmern ist zulässig, wenn der Auftragnehmer dies dem Auftraggeber mindestens vier Wochen vorab in Textform anzeigt, der Auftraggeber nicht innerhalb dieser Frist aus einem sachlichen Grund widerspricht und mit dem Unterauftragnehmer ein Vertrag nach Art. 28 Abs. 2 bis 4 DSGVO geschlossen wird. Widerspricht der Auftraggeber und finden die Parteien keine Lösung, kann jede Partei den Lizenzvertrag zum Zeitpunkt des Wechsels kündigen; der Auftragnehmer erstattet dann die Vergütung für die restliche Laufzeit anteilig.
(3) Unterauftragnehmer außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums werden nur unter Einhaltung der Art. 44 ff. DSGVO eingesetzt.
(4) Nicht als Unterauftragsverhältnis gelten Leistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt, ohne dass sie die Daten des Auftraggebers betreffen, etwa Telekommunikation, Wartung von Geräten oder Reinigung. Der Wiederverkäufer, der den Kauf der Lizenz abwickelt, verarbeitet nur die Daten des Kaufs als eigener Verantwortlicher und ist kein Unterauftragnehmer.
(1) Der Auftraggeber darf sich nach rechtzeitiger Anmeldung von der Einhaltung dieses Vertrages überzeugen, höchstens einmal je Kalenderjahr und bei begründetem Anlass zusätzlich, auf eigene Kosten und ohne vermeidbare Störung des Betriebs.
(2) Der Nachweis kann auch durch Zertifizierungen, Testate oder Berichte unabhängiger Stellen oder durch eine schriftliche Selbstauskunft des Auftragnehmers erbracht werden.
(1) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen; fehlende Angaben reicht er nach.
(2) Er unterstützt den Auftraggeber bei der Benachrichtigung der Betroffenen und der Aufsichtsbehörde, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation (Art. 32 bis 36 DSGVO).
(1) Der Auftraggeber hat ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Verarbeitung. Einstellungen, die der Auftraggeber in der Anwendung vornimmt, gelten als Weisung. Weisungen außerhalb der Anwendung erteilt der Auftraggeber in Textform.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf ihre Ausführung bis zur Bestätigung aussetzen.
(3) Weisungsberechtigt sind für den Auftraggeber die Schulleitung bzw. Leitung der Einrichtung und die von ihr in der Anwendung als Administratoren eingetragenen Personen.
(1) Kopien werden ohne Wissen des Auftraggebers nicht erstellt, ausgenommen Sicherungskopien für den ordnungsgemäßen Betrieb und Daten, die gesetzlichen Aufbewahrungspflichten unterliegen.
(2) Nach dem Ende der Lizenz bleiben die Daten des Auftraggebers zum Lesen und zum Herunterladen von Auswertungen in der Anwendung zugänglich. Ein Jahr nach der letzten Anmeldung eines Benutzers des Auftraggebers, nach vorheriger Warnung per E-Mail, auf Weisung des Auftraggebers auch früher, löscht der Auftragnehmer die Daten des Auftraggebers endgültig. Auf Anforderung bestätigt er die Löschung in Textform.
(3) Daten, die der Auftragnehmer aufgrund gesetzlicher Aufbewahrungspflichten behalten muss, etwa Rechnungen, sind von der Löschung ausgenommen; sie werden für die Dauer der Aufbewahrung gesperrt.
(1) Die Haftung des Auftragnehmers gegenüber dem Auftraggeber ist auf die für das jeweilige Vertragsjahr gezahlte Lizenzgebühr begrenzt.
(2) Das gilt nicht bei Verletzung von Leben, Körper oder Gesundheit, bei Vorsatz oder grober Fahrlässigkeit und wo die Haftung gesetzlich zwingend ist. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.
(1) Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam.
(2) Bei Widersprüchen zu anderen Vereinbarungen gehen in Fragen der Auftragsverarbeitung die Regelungen dieses Vertrages vor.
(3) Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
Die Anwendung besteht aus Modulen. Abschnitt A gilt für alle Module; die folgenden Abschnitte beschreiben je Modul Zweck, Art der Daten und betroffene Personen. Welche Module der Auftraggeber nutzen kann, ergibt sich aus seiner Lizenz.
A. Grundlagen, für alle Module
Zweck: Betrieb der Anwendung, Verwaltung von Benutzerkonten, Teams und Berechtigungen, Unterstützung durch unseren AIssistant, Übersetzen von Inhalten.
Betroffene Personen: Lehrkräfte, Schulleitungen und weitere Beschäftigte des Auftraggebers; Personen, die in hochgeladenen Dokumenten genannt werden.
B. Modul Befragungen
Zweck: Einholen und Auswerten von Rückmeldungen zu Unterricht und Einrichtung, online und auf Papier.
Betroffene Personen: Schülerinnen und Schüler, Eltern, Lehrkräfte und weitere Teilnehmende an Umfragen.
C. Modul Tests
Zweck: Durchführen und Auswerten von Tests, online und auf Papier.
Betroffene Personen: Schülerinnen und Schüler und weitere Teilnehmende an Tests.
D. Modul Projekte
Zweck: Schulentwicklung in Projekten: Der Auftraggeber beschreibt ein Anliegen, unser AIssistant analysiert es und schlägt Maßnahmen vor, deren Ergebnisse in weiteren Runden einfließen.
Betroffene Personen: Beschäftigte des Auftraggebers, die an einem Projekt arbeiten; Personen, die in Beschreibungen und Dokumenten genannt werden; mittelbar die Teilnehmenden der eingebrachten Umfragen und Tests.
Für alle Module
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Auftraggeber trägt dafür Sorge, dass Fragen, Freitextfelder und Beschreibungen nicht auf solche Daten zielen; soweit sie dennoch angegeben werden, werden sie wie alle übrigen Inhalte behandelt.
Löschfristen: Daten werden gelöscht, sobald der Auftraggeber sie in der Anwendung löscht, spätestens nach § 11.
1. Rechenzentrum und Hosting
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Bereitstellung und Betrieb der Server. Ort der Verarbeitung: Rechenzentrum Falkenstein (Vogtland), Bundesrepublik Deutschland; auch der technische Support erfolgt innerhalb der Europäischen Union.
2. E-Mail-Versand und -Empfang
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Versand der E-Mails der Anwendung (Einladungen, Anmeldelinks, Benachrichtigungen) und Empfang von Antworten. Ort der Verarbeitung: Bundesrepublik Deutschland; nach der Vereinbarung mit STRATO innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.
3. Externer Dienst für unseren AIssistant (standardmäßig abgeschaltet)
Abacus.AI, Inc., Vereinigte Staaten von Amerika.
Dieser Dienst ist nicht im Einsatz, solange der Auftraggeber ihn nicht selbst eingeschaltet hat. Die Erlaubnis dafür ist in der Anwendung standardmäßig nicht erteilt. Sie wird im Einrichtungsassistenten abgefragt und kann unter Verwaltung → Einstellungen → AIssistant jederzeit erteilt oder zurückgenommen werden. Ohne diese Erlaubnis bearbeitet unser AIssistant jeden Auftrag ausschließlich auf den Servern des Auftragnehmers in Deutschland, auch wenn das Wartezeit bedeuten kann.
Hat der Auftraggeber die Erlaubnis erteilt, springt Abacus.AI nur in Ausnahmefällen ein: wenn der Server des Auftragnehmers ausgelastet oder nicht erreichbar ist, oder wenn eine Lehrkraft einen Auftrag ausdrücklich nicht abwarten will. Abacus.AI leitet jede Anfrage an ein Sprachmodell weiter, das es selbst nach Eignung auswählt; das können Modelle von Abacus.AI oder von OpenAI und Anthropic sein, betrieben in Rechenzentren von Amazon Web Services, Google Cloud und Microsoft Azure. Nach der Vereinbarung mit Abacus.AI liegen diese in den Vereinigten Staaten, Kanada, der Europäischen Union und einzelnen Regionen in Asien. Welche Anbieter dafür in Frage kommen, führt Abacus.AI in seiner eigenen Liste von Unterauftragnehmern; der Auftragnehmer kann nicht je Auftrag benennen, welches Modell eingesetzt wurde. Übermittelt werden nur die Angaben des jeweiligen Auftrags (Fragetexte, Antworten, Dokumente, Auftragstext); Namen von Lehrkraft, Fach, Gruppe und Einrichtung nur, soweit sie im Fragebogen stehen; Zugangsdaten und Benutzerkonten nie. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Diese Anlage ist die vollständige Liste der Unterauftragnehmer des Auftragnehmers; sie wird mit jeder Fassung dieses Vertrags veröffentlicht, Änderungen werden gemäß § 7 Abs. 2 angezeigt. Die Unterauftragnehmer von Abacus.AI (Nr. 3) führt Abacus.AI selbst.