Auftragsverarbeitungsvertrag
Wozu dieses Dokument. Wenn eine Schule Voice-Board einsetzt,
verarbeiten wir Daten ihrer Schülerinnen, Schüler und Lehrkräfte. Die Schule
entscheidet, wofür — sie ist Verantwortliche. Wir führen nur aus, was sie
anweist — wir sind Auftragsverarbeiter. Art. 28 DSGVO verlangt, dass dieses
Verhältnis schriftlich festgehalten wird, und genau das steht hier.
Dieser Vertrag wird mit dem Abschluss eines Bildungsvertrags Bestandteil der
Vereinbarung. Eine unterschriebene Ausfertigung erhalten Sie auf Anfrage unter
.
§ 1 Vertragsparteien und Gegenstand
(1) Verantwortliche ist die Bildungseinrichtung, die Voice-Board einsetzt (im Folgenden „die Einrichtung").
(2) Auftragsverarbeiter ist
Voice-Board.com by Ing. Bernhard Wurm MA BSc BEd
Stifterstr. 4A
4160 Aigen-Schlägl
Österreich
E-Mail:
(3) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Software-as-a-Service-Plattform Voice-Board — Feedback-Boards, Roadmaps, Aufgaben- und Projektverwaltung, Zeiterfassung, Dokumentenablage und die dazugehörigen Benachrichtigungen.
(4) Die Verarbeitung findet ausschließlich in der Europäischen Union statt, soweit in Anlage 2 nichts anderes ausgewiesen ist.
§ 2 Dauer
Dieser Vertrag läuft, solange die Einrichtung Voice-Board nutzt. Er endet mit dem Hauptvertrag; die Pflichten aus § 8 (Rückgabe und Löschung) und § 5 (Vertraulichkeit) bestehen darüber hinaus fort.
§ 3 Art, Umfang und Zweck der Verarbeitung
3.1 Zweck
Betrieb der Plattform für die Einrichtung: Konten anlegen und verwalten, Beiträge und Aufgaben speichern und anzeigen, Rechte durchsetzen, benachrichtigen, Dateien ablegen, Nutzung protokollieren, soweit für Betrieb und Sicherheit erforderlich.
3.2 Kategorien betroffener Personen
- Schülerinnen und Schüler der Einrichtung
- Lehrkräfte und weiteres Personal der Einrichtung
- gegebenenfalls Erziehungsberechtigte, soweit die Einrichtung sie einbindet
- gegebenenfalls externe Projektpartner, die die Einrichtung einlädt
3.3 Arten der Daten
| Kategorie | Was konkret |
|---|---|
| Stammdaten | Name, E-Mail-Adresse, Anzeigename, optionales Profilbild, Sprache, Zeitzone |
| Zugangsdaten | Passwort-Hash, gegebenenfalls Passkey-Zugangsdaten oder die Kennung eines Anmeldedienstes; Klartextpasswörter werden nicht gespeichert |
| Rollen und Rechte | Zugehörigkeit zu Arbeitsbereichen, Boards und Projekten, Rolle, Berechtigungen |
| Inhaltsdaten | Beiträge, Kommentare, Bewertungen, Aufgaben, Zeitbuchungen, hochgeladene Dateien und Dokumente — alles, was Nutzerinnen und Nutzer eingeben |
| Nutzungs- und Protokolldaten | Zeitpunkt und Art von Zugriffen, IP-Adresse, technische Fehlermeldungen; Aufbewahrung 14 Tage |
| Benachrichtigungsdaten | Zustelleinstellungen, E-Mail-Adresse, Geräte-Endpunkt bei aktivierten Push-Benachrichtigungen |
Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Voice-Board erhebt sie nicht. Weil Inhaltsfelder freier Text sind, kann die Einrichtung sie hineinschreiben — sie sagt ihren Nutzerinnen und Nutzern, dass sie es nicht tun sollen, und trägt die Verantwortung, wenn es doch geschieht.
§ 4 Weisungen
(1) Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung der Einrichtung. Der Hauptvertrag, die Einstellungen im Produkt und dieser Vertrag sind die Weisung; darüber hinausgehende Weisungen sind in Textform zu erteilen (E-Mail genügt).
(2) Halten wir eine Weisung für rechtswidrig, sagen wir das und dürfen ihre Ausführung aussetzen, bis die Einrichtung sie bestätigt oder ändert (Art. 28 Abs. 3 lit. h DSGVO).
(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Inhaltsdaten der Einrichtung nicht zur Produktverbesserung ausgewertet, nicht zum Training von KI-Modellen verwendet und nicht an Dritte verkauft.
§ 5 Vertraulichkeit
(1) Zugriff auf die Daten der Einrichtung haben nur Personen, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
(2) Voice-Board wird derzeit von einer Person betrieben. Ein administrativer Zugriff auf Produktivdaten erfolgt nur, wenn er für Betrieb, Fehlerbehebung oder eine Supportanfrage der Einrichtung notwendig ist.
§ 6 Technische und organisatorische Maßnahmen
Wir treffen die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Sie dürfen fortentwickelt werden, solange das Schutzniveau nicht sinkt.
§ 7 Unterauftragsverarbeiter
(1) Die Einrichtung stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
(2) Einen Wechsel oder eine Ergänzung teilen wir mindestens vier Wochen vorher in Textform mit. Die Einrichtung kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann sie den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.
(3) Mit jedem Unterauftragsverarbeiter bestehen Verpflichtungen, die diesem Vertrag im Schutzniveau entsprechen.
§ 8 Rückgabe und Löschung
(1) Während der Vertragslaufzeit kann die Einrichtung ihre Daten jederzeit selbst exportieren (JSON und CSV).
(2) Nach Vertragsende bleiben die Daten noch 30 Tage abrufbar und werden danach gelöscht. Auf Wunsch löschen wir früher.
(3) Ausgenommen sind Unterlagen, die wir gesetzlich aufbewahren müssen — insbesondere Rechnungen nach § 132 BAO (sieben Jahre). Diese bleiben gesperrt und werden für nichts anderes verwendet.
§ 9 Unterstützung der Einrichtung
(1) Betroffenenrechte. Wendet sich eine betroffene Person direkt an uns, verweisen wir sie an die Einrichtung und informieren diese. Für Auskunft, Berichtigung und Löschung stehen die Funktionen im Produkt zur Verfügung; darüber hinaus unterstützen wir im zumutbaren Rahmen.
(2) Datenschutzverletzungen. Wir melden der Einrichtung jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, in der Regel innerhalb von 24 Stunden, mit allen Angaben, die sie für ihre eigene Meldung nach Art. 33 DSGVO braucht. Die Meldung geht an die im Vertrag hinterlegte Kontaktadresse der Einrichtung.
(3) Wir unterstützen die Einrichtung bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO, soweit die Informationen nur uns vorliegen.
§ 10 Nachweise und Kontrollen
(1) Wir stellen der Einrichtung die Informationen zur Verfügung, die sie zum Nachweis der Einhaltung dieses Vertrags benötigt (Art. 28 Abs. 3 lit. h DSGVO). Dieses Dokument samt Anlagen ist der erste Teil dieses Nachweises.
(2) Die Einrichtung kann eine Überprüfung verlangen. Sie wird mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchgeführt. Der Aufwand für Prüfungen, die über eine pro Jahr hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann in Rechnung gestellt werden.
§ 11 Minderjährige
(1) Die Rechtsgrundlage für die Verarbeitung der Daten von Schülerinnen und Schülern bestimmt die Einrichtung. Sie holt, soweit erforderlich, die Einwilligung der Erziehungsberechtigten ein (Art. 8 DSGVO; in Österreich ist eine eigenständige Einwilligung ab dem vollendeten 14. Lebensjahr möglich, § 4 Abs. 4 DSG).
(2) Wir richten keine Konten für Minderjährige ohne Auftrag der Einrichtung ein und versenden an sie keine Werbung.
§ 12 Haftung und Schlussbestimmungen
(1) Es gilt die Haftungsregelung des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.
(2) Widerspricht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.
(3) Es gilt österreichisches Recht. Gerichtsstand ist Rohrbach in Oberösterreich, soweit die Einrichtung nicht einem gesetzlichen Gerichtsstand unterliegt.
(4) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.
Anlage 1 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Betrieb im Rechenzentrum des Hosting-Partners; physischer Zugang nach dessen Sicherheitskonzept |
| Zugangskontrolle | Anmeldung mit Passwort (gehasht gespeichert), Passkey/WebAuthn oder einem Anmeldedienst; Sperrung nach wiederholten Fehlversuchen; Bestätigung der E-Mail-Adresse |
| Zugriffskontrolle | Rollen- und Rechtesystem je Arbeitsbereich, Board und Projekt; jede Datenbankabfrage ist auf den Arbeitsbereich des Aufrufers eingeschränkt, unabhängig davon, was angefragt wird |
| Trennungskontrolle | Mandantentrennung auf Ebene der Datenbank; Dateien liegen je Mandant in getrennten Ablagen |
| Pseudonymisierung | Bei Löschung eines Kontos bleiben Beiträge als anonymisierte Platzhalter erhalten, damit Diskussionen anderer nicht zerreißen |
Integrität
| Maßnahme | Umsetzung |
|---|---|
| Weitergabekontrolle | Übertragung ausschließlich über TLS; Zugangsdaten zu Integrationen werden verschlüsselt abgelegt |
| Eingabekontrolle | Änderungen an Inhalten werden mit Zeitpunkt und auslösender Person protokolliert |
| Schutz vor fremden Seiten | Schreibende Anfragen von fremden Ursprüngen werden abgewiesen; Content-Security-Policy |
Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Sicherung | Regelmäßige Sicherung von Datenbank und Dateiablage |
| Wiederherstellbarkeit | Wiederherstellung aus der Sicherung; Schemaänderungen laufen versioniert und nachvollziehbar |
| Überwachung | Betriebsprüfpunkte für Datenbank und Hintergrunddienste |
Verfahren zur Überprüfung
| Maßnahme | Umsetzung |
|---|---|
| Auftragskontrolle | Dieser Vertrag; Verpflichtungen mit allen Unterauftragsverarbeitern |
| Datenschutz durch Technikgestaltung | Erhebung nur der Daten, die eine Funktion braucht; Rechte werden zentral geprüft, nicht je Bildschirmmaske |
| Regelmäßige Überprüfung | Automatisierte Tests sichern Mandantentrennung und Rechteprüfung bei jeder Änderung ab |
Anlage 2 · Unterauftragsverarbeiter
| Unternehmen | Leistung | Daten | Ort |
|---|---|---|---|
| Eigener Server des Verantwortlichen | Betrieb von Anwendung, Datenbank, Dateiablage und Mailversand | alle in § 3 genannten Daten | Europäische Union |
| Push-Dienste der Browserhersteller | nur wenn eine Nutzerin oder ein Nutzer Push-Benachrichtigungen aktiviert | verschlüsselte Benachrichtigung, Geräte-Endpunkt | weltweit |
| Google Ireland Ltd. / Microsoft Ireland / GitHub, Inc. | nur wenn die Anmeldung über einen dieser Dienste erfolgt; die Einrichtung kann das abschalten | Anmeldevorgang; wir erhalten E-Mail, Name, gegebenenfalls Bild | EU/USA |
Nicht Teil des Bildungseinsatzes: Ein Zahlungsdienstleister wird nicht eingebunden — Bildungslizenzen werden auf Rechnung abgerechnet. KI-Funktionen sind nicht aktiviert; eine Übermittlung von Inhalten an einen KI-Anbieter findet nicht statt.
Stand: 09/2026