Auftragsverarbeitungsvertrag.

nach Art. 28 DSGVO zwischen der Lehrkraft, die Plume nutzt („Verantwortlicher“), und Riad Abu Kou, Straße Hausnummer, PLZ Langenfeld („Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil der AGB und gilt mit deren Annahme als vereinbart. Eine Unterschrift ist nicht erforderlich.

Als PDF herunterladen

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Plume zur Verwaltung von Unterricht, Schülern, Erinnerungen und Rechnungen bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags über Plume.

§ 2 Art, Zweck und Betroffene

Zweck: Bereitstellung, Speicherung und Synchronisierung der Daten, die der Verantwortliche in Plume einträgt; Versand von Erinnerungen und Nachrichten, die der Verantwortliche auslöst oder einschaltet.

Arten von Daten: Stammdaten (Name, E-Mail-Adresse, Telefonnummer, Klassenstufe, Fach), Kontaktdaten von Eltern und Rechnungsempfängern, Unterrichtsdaten (Termine, Themen, Hausaufgaben, Lernziele, Notizen), Abrechnungsdaten (Stundensätze, Rechnungen, Zahlungsstatus) sowie Kommunikationsdaten (Erinnerungs-E-Mails).

Betroffene: Schülerinnen und Schüler (auch Minderjährige), Eltern und Erziehungsberechtigte, Rechnungsempfänger.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, sind für Plume nicht vorgesehen. Der Verantwortliche trägt solche Daten nur ein, wenn er dafür eine eigene Rechtsgrundlage hat.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Verantwortliche in Plume vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

§ 4 Vertraulichkeit

Personen, die Zugang zu den Daten haben könnten, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter greift auf Inhalte nur zu, soweit dies für Betrieb, Fehlerbehebung oder Support auf Anfrage des Verantwortlichen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Lösung möglich, kann er den Vertrag kündigen. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien (Angemessenheitsbeschluss, EU-US Data Privacy Framework oder Standardvertragsklauseln).

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), soweit der Verantwortliche diese nicht selbst über die Funktionen von Plume erfüllen kann, sowie bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit exportieren. Nach Vertragsende oder wenn der Verantwortliche sein Konto löscht, werden die Daten gelöscht, spätestens nach 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Reste in Sicherungskopien werden im regulären Löschzyklus des Infrastrukturanbieters entfernt.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere Selbstauskünfte und Nachweise der Unterauftragsverarbeiter (z. B. ISO-27001- oder SOC-2-Berichte). Kontrollen vor Ort sind nach angemessener Vorankündigung möglich, sofern die Nachweise nicht ausreichen.

§ 11 Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und die Regelungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Zutritts- und Zugangskontrolle: Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter mit Zertifizierungen nach ISO 27001 bzw. SOC 2; Anmeldung mit Passwort (gespeichert nur als Hash) oder Google-Anmeldung, optional mit Zwei-Faktor-Authentifizierung; kurzlebige, signierte Sitzungs-Tokens.
• Zugriffskontrolle und Trennung: Jede Organisation sieht nur ihre eigenen Daten, technisch durchgesetzt in der Datenbank (Row Level Security). Administrative Schlüssel werden nur serverseitig verwendet und nie an Endgeräte ausgegeben.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS); Push-Benachrichtigungen sind Ende-zu-Ende verschlüsselt und für Push-Dienste nicht lesbar; Kalender-Abos nur über geheime, widerrufbare Links.
• Verschlüsselung: Datenbank und Sicherungen beim Infrastrukturanbieter verschlüsselt gespeichert (AES-256).
• Eingabekontrolle: Änderungen werden mit Zeitstempel gespeichert; Versand von Erinnerungen wird protokolliert.
• Verfügbarkeit und Belastbarkeit: Hosting auf redundanter Cloud-Infrastruktur; Exportfunktion für den Verantwortlichen; Überwachung des Betriebs.
• Datenminimierung: Kein Tracking, keine Werbung, keine Weitergabe an Dritte zu eigenen Zwecken; Erinnerungs-Protokolle werden nach 90 Tagen gelöscht.

Anlage 2 – Unterauftragsverarbeiter

Stand: Oktober 2026 · Fragen: kontakt@plumeplaner.de