Auftragsverarbeitungsvertrag (AVV/DPA)

Version 1 vom 8. Juli 2026

Zwischen

Der Verantwortliche („die Einrichtung“): die Bildungseinrichtung (oder ihr Träger oder die zuständige Schulbehörde), in deren Auftrag die Lehrkraft, die Examino nutzt, im Rahmen ihrer Aufgaben handelt.

Bezeichnung:

Anschrift:

Vertreten durch:

Kontakt DSB:

Und:

Der Auftragsverarbeiter („Examino“): EXAMINO, eine vereinfachte Aktiengesellschaft nach französischem Recht (SAS) mit einem Stammkapital von 1.000 EUR, mit Sitz in 49 RUE DE PONTHIEU, 75008 PARIS, Frankreich, eingetragen im Handels- und Gesellschaftsregister Paris unter der Nummer 989 510 375, vertreten durch Herrn Dimitri Nicolas, ordnungsgemäß bevollmächtigt in seiner Eigenschaft als Präsident. Kontakt DSB: dpo@examino.ai

Präambel

Examino ist Herausgeber einer Anwendung zur Unterstützung bei der Korrektur von Klausuren. Die Lehrkraft, Bedienstete oder Angestellte der Einrichtung, abonniert den Dienst und importiert Klausuren von Schülerinnen und Schülern im Rahmen ihrer Aufgaben. Entsprechend der Doktrin der CNIL (der französischen Datenschutzbehörde) ist die Einrichtung Verantwortlicher und Examino Auftragsverarbeiter im Sinne von Artikel 28 DSGVO.

Dieser Vertrag wird von Examino einseitig zugunsten der Einrichtung geschlossen, sobald die Lehrkraft erstmals Klausuren importiert. Die Einrichtung kann ihn durch Gegenzeichnung ratifizieren; andernfalls gilt die fortgesetzte Nutzung nach erfolgter Information als Annahme dieser Bedingungen der Auftragsverarbeitung. Er hat Vorrang vor allen entgegenstehenden Bestimmungen der Nutzungsbedingungen, soweit die Verarbeitung von Schülerdaten betroffen ist.

1. Gegenstand, Art und Zweck der Verarbeitung

2. Kategorien von Daten und betroffenen Personen

Betroffene Personen: Schülerinnen, Schüler und Studierende der Einrichtung (einschließlich Minderjähriger); die nutzende Lehrkraft.

Verarbeitete Daten: Inhalt der Klausuren (schulische Arbeiten); gegebenenfalls restliche identifizierende Elemente, die der automatischen Schwärzung entgangen sind; vorgeschlagene und anschließend validierte Noten und Kommentare; Aufgabenstellungen und Bewertungsraster.

Datenminimierung: Examino wendet beim Import eine automatische Schwärzung an (Vor- und Nachname der Schülerin bzw. des Schülers und erkannte direkte Identifikatoren werden bereits beim Import auf dem Bild maskiert; die geschwärzte Version wird für den Großteil der Verarbeitung durch die KI-Modelle verwendet, und die Übermittlung der Originalversion ist auf das erforderliche Minimum beschränkt, insbesondere für die Erkennung der zu schwärzenden Elemente) und bewertet, sobald möglich, die digitale Transkription statt des handschriftlichen Bildes (Neutralisierung des Schriftbildes). Diese Maßnahmen stellen eine Pseudonymisierung dar, keine Anonymisierung (Details und Grenzen: technisches Datenblatt zur Schwärzung, auf Anfrage erhältlich).

Besondere Kategorien von Daten (Art. 9): keine beabsichtigte Erhebung; der freie Inhalt einer Klausur kann solche Daten beiläufig offenbaren - Examino nutzt sie in keiner Weise.

3. Dokumentierte Weisungen

Examino verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Einrichtung, die durch diesen Vertrag und die funktionale Nutzung der Anwendung durch die Lehrkraft konkretisiert wird. Examino informiert die Einrichtung, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.

Examino verwendet die importierten Inhalte weder zum Training von KI-Modellen noch für eigene Zwecke, mit Ausnahme der Bereitstellung, der Sicherheit und der Abrechnung des Dienstes.

4. Vertraulichkeit und Personal

Die zur Verarbeitung der Daten befugten Personen unterliegen einer vertraglichen Vertraulichkeitsverpflichtung. Der Zugriff ist nach dem Prinzip der geringsten Berechtigung (RBAC) auf befugtes Personal beschränkt.

5. Sicherheit (Art. 32)

Wesentliche Maßnahmen: Verschlüsselung bei der Übertragung (TLS 1.2+), Hosting in der Europäischen Union, rollenbasierte Zugriffskontrolle, Protokollierung der Zugriffe und Verarbeitungen, verwaltete redundante Backups. Details im Sicherheitsdatenblatt von Examino (auf Anfrage erhältlich).

6. Unterauftragsverarbeiter

Die Einrichtung erteilt eine allgemeine Genehmigung für den Einsatz der nachstehend aufgeführten Unterauftragsverarbeiter. Examino informiert die Einrichtung über jede Änderung (Widerspruchsfrist: 30 Tage) und erlegt jedem Unterauftragsverarbeiter Pflichten auf, die den vorliegenden gleichwertig sind. Die aktuelle und detaillierte Version dieser Liste (genauer Speicherort, Übermittlungsmechanismen) ist veröffentlicht unter: https://examino.ai/de/legal/unterauftragsverarbeiter.

Infrastruktur-Unterauftragsverarbeiter:

* Unterauftragsverarbeiter, die niemals Schülerdaten verarbeiten (Abrechnungsdaten, Produktereignisse ohne Schülerdaten, Diktataudio der Lehrkraft, Geschäftskontakte, E-Mail-Adressen der registrierten Nutzer, Support-Konversationen).

Anbieter von KI-Modellen: jeder verpflichtet sich vertraglich, die übermittelten Inhalte nicht zum Training seiner Modelle zu verwenden; die Aufbewahrung ist auf einen kurzen Zeitraum beschränkt (Missbrauchserkennung, je nach Anbieter 30 bis 55 Tage, verlängerbar für gemeldete Inhalte), anschließend werden die Inhalte gelöscht.

Übermittlungen außerhalb der EU: sind Unterauftragsverarbeiter in einem Drittland niedergelassen, wird die Übermittlung durch einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) oder durch Standardvertragsklauseln abgesichert, ergänzt durch eine Transferfolgenabschätzung. Details je Unterauftragsverarbeiter auf der oben genannten Seite.

7. Unterstützung des Verantwortlichen

Examino unterstützt die Einrichtung, soweit dies möglich ist und unter Berücksichtigung der Art der Verarbeitung:

• bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) - direkt bei Examino eingehende Anträge werden an die Einrichtung weitergeleitet, ohne inhaltlich beantwortet zu werden, sofern keine anderslautende Weisung vorliegt;

• bei den Pflichten aus den Artikeln 32 bis 36: Sicherheit, Meldung von Verletzungen (Information der Einrichtung unverzüglich und spätestens 48 Stunden, nachdem Examino davon Kenntnis erlangt hat, mit den Angaben nach Art. 33 Abs. 3), DSFA und vorherige Konsultation (Examino stellt eine vorausgefüllte DSFA bereit).

8. Verbleib der Daten

Bei Vertragsende oder auf Verlangen der Einrichtung löscht Examino sämtliche Klausuren und zugehörigen Daten (wirksame Löschung, einschließlich Dateien) oder gibt sie in einem strukturierten Format zurück und löscht sie anschließend, sofern keine gesetzliche Aufbewahrungspflicht besteht. Standardfristen während der Vertragslaufzeit: Klausurdaten werden für die Dauer des Schuljahres + 1 Jahr (Sekundarstufe) bzw. für die Dauer des Studiengangs + Rechtsbehelfsfristen (Hochschulbereich) aufbewahrt und anschließend gelöscht - auf Weisung der Einrichtung änderbar.

9. Automatisierte Entscheidungen

Der Dienst trifft keine Entscheidung mit rechtlicher Wirkung auf ausschließlich automatisierter Grundlage (Art. 22 DSGVO): jede Note und jeder Kommentar ist ein Vorschlag, der der Prüfung und Validierung durch die Lehrkraft unterliegt, die alleinige Entscheidungsträgerin bleibt. Die Anwendung protokolliert diese Prüfung (zeitgestempelter Bearbeitungsverlauf).

10. Audit und Dokumentation

Examino stellt der Einrichtung alle erforderlichen Unterlagen zur Verfügung, um die Einhaltung von Artikel 28 nachzuweisen (Verzeichnis nach Art. 30 Abs. 2, Sicherheitsdatenblatt, Liste der Unterauftragsverarbeiter, Nicht-Trainings- und Aufbewahrungsbedingungen der Modellanbieter), und ermöglicht Audits, auch durch beauftragte Dritte, mit einer angemessenen Ankündigungsfrist von 30 Tagen, höchstens einmal jährlich außer bei nachgewiesener Verletzung, auf Kosten der Einrichtung und ohne Zugriff auf Daten anderer Kunden.

11. Laufzeit, anwendbares Recht

Dieser Vertrag tritt mit dem ersten Import von Klausuren der Einrichtung in Kraft und bleibt in Kraft, solange Examino Daten in ihrem Auftrag verarbeitet. Französisches Recht; Zuständigkeit der Verwaltungs- oder ordentlichen Gerichte je nach Art der Einrichtung.

Für Examino
Herr Dimitri Nicolas, Präsident

Für die Einrichtung
Name, Funktion, Datum, Unterschrift: