Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Vertragsparteien

Auftraggeber
Die jeweilige Schule, vertreten durch die Schulleitung oder eine bevollmächtigte Person

Auftragnehmer
Freistaat Bayern, vertreten durch das
Staatsinstitut für Schulqualität und Bildungsforschung (ISB)
Qualitätsagentur (QA), Außenstelle Gunzenhausen
Stuttgarter Straße 1, 91710 Gunzenhausen

Präambel

Diese Vereinbarung regelt die Verpflichtungen der Vertragsparteien nach Art. 28 Abs. 3 DSGVO zum Schutz personenbezogener Daten betroffener Personen. Sie findet Anwendung auf alle Verarbeitungsvorgänge personenbezogener Daten, die im Zusammenhang mit dem Auftrag stehen.

1. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1.1 Art, Zweck und Gegenstand der Verarbeitung

PAUL für Schulen ist ein digitales Werkzeug zur Durchführung und Auswertung anonymer Umfragen im Rahmen interner Evaluationen an bayerischen Schulen.

Zwecke der Verarbeitung:

• Technischer Betrieb der Anwendung
• Nutzung der Anwendung
• Support der Anwendung

Kategorien personenbezogener Daten:

• Registrierte Nutzer:
  Nutzungs- und Protokolldaten (z. B. IP-Adresse, Cookies)
• Befragungsteilnehmende:
  Optional E-Mail-Adressen, Nutzungs- und Protokolldaten

Befragungsergebnisse werden nicht mit personenbezogenen Daten verknüpft und sind anonym.

Kategorien betroffener Personen:

• Schulleitungen
• Lehrkräfte und pädagogisches Personal
• Erziehungsberechtigte
• Schülerinnen und Schüler
• Externe Partner und weitere Teilnehmende

1.2 Ort der Verarbeitung

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Verarbeitung in Drittstaaten bedarf der vorherigen Zustimmung des Auftraggebers und der Einhaltung der Art. 44 ff. DSGVO.

2. Rechte und Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und entsprechend den geltenden Datenschutzvorschriften.

Er verpflichtet sich insbesondere:

• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen
• zur Vertraulichkeit verpflichtete Personen einzusetzen
• Datenschutzverletzungen unverzüglich zu melden
• den Auftraggeber bei Betroffenenrechten und Datenschutzpflichten zu unterstützen
• Daten nach Auftragsende zu löschen oder zurückzugeben

Ansprechpartner Auftragnehmer

Staatsinstitut für Schulqualität und Bildungsforschung
Qualitätsagentur – Referat QA-3
Stuttgarter Straße 1, 91710 Gunzenhausen
Telefon: +49 89 2170-2400
E-Mail: qualitaetsagentur@isb.bayern.de

Datenschutzbeauftragte(r) des Auftragnehmers

Behördliche Datenschutzbeauftragte(r) des ISB
Schellingstraße 155, 80797 München
Telefon: +49 89 2170-2851
E-Mail: datenschutz@isb.bayern.de

3. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen.

Weisungsberechtigte Personen:

• Schulleitung oder bevollmächtigte Person
• Datenschutzbeauftragte(r) des Auftraggebers
• Datenschutzbeauftragte(r) der Schule

4. Anfragen betroffener Personen

Macht eine betroffene Person ihre Rechte gegenüber dem Auftragnehmer geltend, verweist dieser an den Auftraggeber und unterstützt diesen nach Möglichkeit.

5. Kontrollrechte des Auftraggebers

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung nach vorheriger Anmeldung zu überprüfen.

6. Unterauftragsverarbeiter

Der Auftragnehmer darf Unterauftragsverarbeiter nur unter Einhaltung der Anforderungen des Art. 28 DSGVO einsetzen.

Bereits genehmigte Unterauftragsverarbeiter:

• Landesamt für Digitalisierung, Breitband und Vermessung (IT-DLZ)
  St.-Martin-Straße 47, 81541 München
• HWS-Gruppe Verwaltungs- und Beteiligungs-GmbH
  Robert-Bosch-Straße 1a, 91413 Neustadt/Aisch

7. Haftung

Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

8. Schlussbestimmungen

• Die Laufzeit entspricht der Nutzung der Anwendung.
• Änderungen bedürfen der Schrift- oder Textform.
• Die Wirksamkeit der übrigen Regelungen bleibt unberührt.

Stand: Oktober 2025