Auftragsverarbeitungsvertrag (AVV)

Parteien

Präambel

Der Auftraggeber nutzt die SaaS-Plattform Pruefai zur KI-gestützten Korrektur von Schülerprüfungen. Im Rahmen dieser Nutzung verarbeitet der Auftragnehmer personenbezogene Daten (insbesondere Schülernamen und Prüfungsunterlagen) im Auftrag des Auftraggebers.

Dieser Vertrag regelt die Rechte und Pflichten beider Parteien bei der Auftragsverarbeitung gemäss Art. 28 DSGVO sowie Art. 9 des Schweizer Datenschutzgesetzes (nDSG).

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Der Auftragnehmer verarbeitet personenbezogene Daten zum Zweck der KI-gestützten Prüfungskorrektur, wie in den Allgemeinen Geschäftsbedingungen beschrieben.

1.2 Dauer

Die Verarbeitung erfolgt für die Dauer des Abonnementvertrags zwischen den Parteien.

2. Art und Zweck der Verarbeitung

Kategorie	Beschreibung
Art der Verarbeitung	Übermittlung, Verarbeitung, Auswertung durch KI
Zweck	Automatisierte Korrektur von Schülerprüfungen
Betroffene Personen	Schülerinnen und Schüler des Auftraggebers
Kategorien personenbezogener Daten	Namen, Prüfungsleistungen (Fotos, Texte), ggf. Noten

3. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. Weisungsgebundenheit: Personenbezogene Daten nur gemäss dokumentierter Weisung des Auftraggebers zu verarbeiten.
2. Vertraulichkeit: Sicherzustellen, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind.
3. Technisch-organisatorische Massnahmen (TOM): Geeignete Massnahmen gemäss Art. 32 DSGVO umzusetzen, insbesondere Verschlüsselung der Datenübertragung (TLS/HTTPS), Zugriffskontrolle und keine dauerhafte Speicherung von Prüfungsinhalten auf eigenen Systemen.
4. Unterauftragnehmer: Unterauftragnehmer nur mit vorheriger Genehmigung des Auftraggebers einzusetzen (Ausnahmen: bereits genehmigte Unterauftragnehmer gemäss Anhang A).
5. Betroffenenrechte: Den Auftraggeber bei der Wahrung der Rechte betroffener Personen zu unterstützen.
6. Löschung: Nach Beendigung des Vertrags alle personenbezogenen Daten zu löschen oder zurückzugeben.
7. Nachweise: Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung zu stellen.

4. Pflichten des Auftraggebers

Der Auftraggeber verpflichtet sich:

1. Nur rechtmässig erhobene Daten an den Auftragnehmer zu übermitteln.
2. Die betroffenen Schülerinnen und Schüler (bzw. deren Erziehungsberechtigte) über die Verarbeitung zu informieren.
3. Die erforderlichen Einwilligungen einzuholen, sofern keine andere Rechtsgrundlage besteht.
4. Den Auftragnehmer unverzüglich zu informieren, wenn er Fehler oder Unregelmässigkeiten bei der Verarbeitung feststellt.

5. Genehmigte Unterauftragnehmer (Anhang A)

Unternehmen	Sitz	Zweck
Anthropic PBC	San Francisco, USA	KI-Verarbeitung (Claude API)
Vercel Inc.	Covina, USA (RZ: Frankfurt/EU)	Hosting der Plattform
Stripe Payments Europe Ltd.	Dublin, Irland	Zahlungsabwicklung

Der Auftraggeber stimmt der Nutzung dieser Unterauftragnehmer mit Unterzeichnung dieses Vertrags zu. Der Auftragnehmer informiert den Auftraggeber über Änderungen mindestens 30 Tage im Voraus.

6. Übermittlung in Drittländer

Daten werden im Rahmen der unter Anhang A genannten Unterauftragnehmer in die USA übermittelt. Diese Übermittlung erfolgt auf Basis der EU-Standardvertragsklauseln (SCCs) gemäss Durchführungsbeschluss (EU) 2021/914 bzw. geeigneten Garantien gemäss Art. 16 nDSG.

7. Datensicherheit (TOM)

Technische Massnahmen:

• TLS 1.2+ Verschlüsselung für alle Datenübertragungen
• API-Schlüssel werden ausschliesslich serverseitig verwaltet
• Automatische Sitzungsabläufe

Organisatorische Massnahmen:

• Vertraulichkeitsverpflichtungen für alle Mitarbeitenden
• Regelmässige Überprüfung der Sicherheitsmassnahmen
• Dokumentiertes Incident-Response-Verfahren

8. Datenpannenmeldung

Bei einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragnehmer den Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, per E-Mail. Die Benachrichtigung enthält Art der Verletzung, betroffene Datenkategorien, wahrscheinliche Folgen und ergriffene Abhilfemassnahmen.

9. Laufzeit und Beendigung

Dieser AVV gilt für die Dauer des Hauptvertrags (Abonnement). Bei Beendigung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

10. Schlussbestimmungen

Es gilt Schweizer Recht. Gerichtsstand ist Zürich.

---

Unterzeichnung

---

Letztes Update: Januar 2025