Auftragsverarbeitung und TOM

1. Vertragspartner und Rollen

Diese Vereinbarung konkretisiert die Auftragsverarbeitung fuer edfy scovox. Verantwortlicher ist die Schule, der Schultraeger oder die sonst zustaendige oeffentliche oder private Stelle, die ueber Zwecke und Mittel der schulischen Scovox-Instanz entscheidet. Auftragsverarbeiter ist edfy als technischer Betreiber von Scovox.

Die verantwortliche Stelle bleibt fuer Rechtmaessigkeit, Zwecke, Rechtsgrundlage, Informationspflichten, Datenqualitaet, Quellenauswahl, Rollenfreigaben und Betroffenenrechte verantwortlich. edfy verarbeitet die Scovox-Daten nur im Rahmen dieser Vereinbarung, dokumentierter Weisungen und gesetzlicher Pflichten.

2. Gegenstand, Dauer und Zweck

• Gegenstand: Betrieb einer schulbezogenen KI-Auskunfts- und Wissensbasis mit rollenbasierter Quellenverwaltung und RAG-Chat.
• Dauer: Laufzeit der Scovox-Lizenz, einschliesslich Support-, Rueckgabe- und Loeschphase.
• Zweck: Bereitstellung freigegebener schulischer Informationen, Dokumente und Downloads fuer definierte Nutzerrollen.
• Nicht-Zweck: Benotung, Profilbildung, Verhaltensueberwachung, automatisierte Entscheidung, Disziplinarmassnahme, psychologische oder medizinische Bewertung.

3. Daten, Personen und Verarbeitung

• Datenarten: Schulprofil, Rollen, E-Mail-Adressen berechtigter Nutzer, Quelleninhalte, Webseiteninhalte, Dokumente, Downloads, standardmaessig minimierte Chatfragen und KI-Antworten, Quellenverweise, Feedback, Audit- und Betriebsdaten.
• Betroffene Personen: Lehrkraefte, Schuelerinnen und Schueler, Eltern, Sorgeberechtigte, Verwaltung, externe Interessierte und weitere Personen, soweit Inhalte oder Chatfragen sie betreffen.
• Verarbeitungsvorgaenge: Speichern, Anzeigen, Rollenpruefen, Indexieren, Embedding, Abrufen, Generieren, Protokollieren, Archivieren, Loeschen, Sichern und Wiederherstellen.
• Besondere Kategorien personenbezogener Daten duerfen nur nach dokumentierter Freigabe, klarer Rechtsgrundlage und strenger Rollenbegrenzung verarbeitet werden.

4. Weisungen und schulische Inhalte

Scovox-Admins der verantwortlichen Stelle erteilen Weisungen insbesondere durch das Anlegen, Aendern, Freigeben, Archivieren und Loeschen von Quellen, Rollen, Downloads, Schulprofilen und Datenschutzklassifizierungen. edfy darf schulische Inhalte nicht eigenstaendig fachlich freigeben oder fuer eigene Zwecke verwenden.

Scovox dokumentiert konkrete Weisungen der verantwortlichen Stelle in einem schulbezogenen Weisungsregister mit Art, Status, Inhalt, erteilender Person und Zeitpunkten.

Offensichtlich rechtswidrige, sicherheitsgefaehrdende oder datenschutzwidrige Inhalte darf edfy sperren, wenn dies fuer Betrieb, Sicherheit oder Pflichterfuellung erforderlich ist. Die verantwortliche Stelle wird in geeigneter Weise informiert.

5. Unterauftragsverarbeiter

edfy darf Unterauftragsverarbeiter einsetzen, soweit diese fuer Hosting, E-Mail, KI-Funktionen, Sicherheit, Wartung oder Support erforderlich sind und ein angemessenes Datenschutzniveau vertraglich abgesichert ist.

• Hosting und Serverbetrieb: IONOS bzw. die jeweils produktiv dokumentierte Hosting-Infrastruktur.
• KI-API: OpenAI oder ein technisch gleichwertiger, dokumentierter KI-Dienst fuer Scovox-RAG-Antworten und Embeddings.
• Weitere Unterauftragsverarbeiter duerfen nur eingesetzt werden, wenn sie dokumentiert, zweckgebunden und datenschutzrechtlich abgesichert sind.
• Scovox dokumentiert Anbieter, Zweck, Datenarten, Verarbeitungsort, Transfergrundlage, Schutzmassnahmen, AVV-Status und TOM-Status im Dashboard.
• Scovox dokumentiert Verarbeitungstaetigkeiten mit Zweck, Rechtsgrundlage, Datenkategorien, betroffenen Personen, Empfaengern, Speicherfristen und Schutzmassnahmen.
• Scovox dokumentiert angenommene Dokumentversionen fuer AVV, TOM, Datenschutzkonzept, Datenschutzhinweise und DSFA mit Freigabeperson, Zeitpunkt und Grundlage.
• Scovox dokumentiert DSFA- und Schwellwertpruefungen mit Risiken, Massnahmen, Restrisiko, pruefender Stelle und Wiedervorlage.
• Die verantwortliche Stelle ist ueber wesentliche Aenderungen zu informieren und kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

6. Drittlandtransfer

Soweit personenbezogene Daten an Anbieter ausserhalb der EU oder des EWR uebermittelt werden, sind geeignete Garantien nach DSGVO erforderlich, insbesondere Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer Impact Assessment und zusaetzliche Schutzmassnahmen, soweit noetig.

Fuer Scovox ist vor Produktivbetrieb zu dokumentieren, welcher KI-Anbieter genutzt wird, ob Daten die EU/EWR verlassen koennen und welche vertraglichen Garantien gelten.

7. TOM: Zugriff, Trennung und Berechtigungen

• Adminzugang nur fuer berechtigte Scovox-Admins; derzeit keine oeffentliche Registrierung fuer die Konsole.
• Rollenmodell fuer Admin, Lehrkraft, Schueler, Eltern und Gast.
• Deaktivierte Rollen und Nutzer duerfen keinen Zugriff erhalten.
• Quellen, Downloads und Chatantworten werden nach Rollen gefiltert.
• Scovox-API-Key und Scovox-RAG-Konfiguration sind von anderen edfy-Produkten getrennt zu fuehren.
• Produktionsfreigabe wird blockiert, solange Verantwortliche Stelle, Datenschutzkontakt, Rechtsgrundlage, AVV, DSFA-Entscheidung, DSFA-Risikostufe, DSFA-Begruendung, pruefende Stelle, Unterauftragsverarbeiter, Produktivweisung, Verarbeitungstaetigkeit, angenommene AVV-/TOM-Version oder strukturierte DSFA-/Schwellwertpruefung fehlen.

8. TOM: Datenminimierung und RAG-Schutz

• Pflicht zur Datenschutzklassifizierung jeder Quelle vor Speicherung oder Indexierung.
• Gastfreigaben erfordern ausdrueckliche Bestaetigung der oeffentlichen Eignung.
• Sensible Inhalte duerfen nicht fuer Gaeste, Schueler oder Eltern freigegeben werden.
• Chatfragen sind auf eine konfigurierte Maximallaenge begrenzt.
• Chat-, Antwort- und Feedbacktexte werden standardmaessig minimiert protokolliert; Rohtextspeicherung bedarf einer bewussten schulischen Konfiguration.
• Antworten sollen Quellenbelege ausgeben und fehlende Quellenbasis kenntlich machen.
• Scovox-Chatlogs speichern keine IP-Adresse und keinen User-Agent.

9. TOM: Sicherheit, Integritaet und Verfuegbarkeit

• HTTPS, Sicherheitsheader und no-store fuer Dashboard und Datenschutzdokumente.
• Rate Limits fuer Chat, Feedback und Website-Crawler.
• SSRF-Schutz und Ausschluss privater Netzwerke beim Crawler.
• Indexstatus, RAG-Status und Reindex-Werkzeuge fuer Admins.
• Serverseitige Audit-Events fuer zentrale Admin-Aktionen.
• Systemdienst, Datenbankverbindung und Retention-Timer werden operativ ueberprueft.

10. Rueckgabe, Loeschung und Speicherfristen

• Chatlogs: je Schule konfigurierbar, Standard 30 Tage.
• Feedback: je Schule konfigurierbar, Standard 90 Tage.
• Crawl-Jobs: je Schule konfigurierbar, Standard 30 Tage nach Abschluss, Fehler oder Abbruch.
• Archivierte Quellen: je Schule konfigurierbar, Standard 90 Tage.
• Datenschutzprotokoll: je Schule konfigurierbar, Standard 365 Tage.
• Downloads zu geloeschten archivierten Quellen werden physisch aus dem Scovox-Storage entfernt.
• Nach Vertragsende werden Scovox-Daten nach Weisung exportiert, geloescht oder fuer eine vertraglich vereinbarte Uebergangsfrist gesperrt aufbewahrt.

11. Unterstuetzung bei Betroffenenrechten

edfy unterstuetzt die verantwortliche Stelle bei Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenuebertragbarkeit, Widerspruch und Beschwerdeverfahren, soweit Scovox-Daten betroffen sind. Produktbezogene Auskunfts- und Loeschanfragen werden in Scovox mit Anfrageart, Status, Frist, Eingang und betroffenem Account dokumentiert. Die inhaltliche Bewertung und Kommunikation gegenueber Betroffenen liegt bei der verantwortlichen Stelle, sofern nichts anderes gesetzlich vorgeschrieben ist.

12. Datenschutzverletzungen

edfy informiert die verantwortliche Stelle unverzueglich, wenn eine Verletzung des Schutzes personenbezogener Scovox-Daten bekannt wird. Die Information enthaelt, soweit verfuegbar, Art des Vorfalls, betroffene Datenkategorien, betroffene Systeme, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Massnahmen.

Scovox fuehrt ein schulbezogenes Vorfallregister, in dem Vorfallart, Schweregrad, Status, betroffene Daten, Massnahmen und Meldezeitpunkte dokumentiert werden.

13. Nachweise und Kontrolle

• edfy stellt auf Anfrage die fuer Scovox relevanten Datenschutzdokumente, TOMs, Unterauftragsverarbeiterinformationen und Statusnachweise bereit.
• Pruefungen sollen angemessen, vorangekuendigt und so durchgefuehrt werden, dass Sicherheit und Rechte anderer Kunden nicht gefaehrdet werden.
• Schulen koennen das Scovox-Dashboard zur laufenden Kontrolle von Rollen, Quellen, DSFA-Status, DSFA-Begruendung, AVV-Status und Produktivreife nutzen.

14. Annahme und Dokumentation

Der AVV-Status wird in der Scovox-Konsole dokumentiert. Eine Scovox-Schule darf erst auf produktiv gesetzt werden, wenn der AVV als abgeschlossen markiert ist und die weiteren Datenschutzvoraussetzungen erfuellt sind.