Auftragsverarbeitungsvertrag

Vereinbarung über eine Auftragsverarbeitung nach Art. 28 DSGVO — Anlage zu den AGB in der Fassung 1, Stand August 2026.

1. Vertragsparteien und Abschluss

Verantwortlicher und Auftraggeber ist der Vertragspartner nach Punkt 1 der AGB — die Musikschule oder, wenn sie nicht selbst rechtsfähig ist, ihr Rechtsträger; Auftragsverarbeiter ist Flof Codes e.U., Kirchplatz 11, 6162 Mutters, Österreich (Impressum). Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): mit der ersten Bestätigung von AGB und AVV in der Anwendung durch eine hierzu berechtigte Person — im Testzugang wie im Vollzugang — oder mit der Bestellung des Vollzugangs, die diese Bestätigung einschließt; Bestätigung und Bestellung werden mit Person, Zeitpunkt und Version protokolliert.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Veranstaltungsverwaltung EVMAN als gehosteter Dienst für den Auftraggeber. Die Verarbeitung beginnt mit der Nutzung und endet mit dem Ende des Nutzungsvertrags (einschließlich eines Testzugangs).

3. Art, Zweck, Datenkategorien und betroffene Personen

Verarbeitet werden: Konten der Lehrkräfte und der Verwaltung (Name, E-Mail-Adresse, Anmeldedaten), Veranstaltungs- und Beitragsdaten einschließlich der Namen von Schüler:innen, technische Protokolldaten (für die Dauer des Vertrags) sowie — wenn Nutzer:innen einen Fehler an den Anbieter melden — die mit der Meldung übermittelten Angaben samt technischem Kontext (90 Tage). Zweck ist ausschließlich die Organisation von Veranstaltungen der Musikschule und der Betrieb der Anwendung. Betroffene Personen: Lehrkräfte, Verwaltungspersonal, Schüler:innen des Auftraggebers.

4. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Auftraggebers; die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung.
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
Technische und organisatorische Maßnahmen nach Punkt 6 werden eingehalten und dem Stand der Technik entsprechend weiterentwickelt.
Unterstützung des Auftraggebers bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Übertragbarkeit) sowie bei Melde- und Nachweispflichten der Art. 32–36 DSGVO.
Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich nach Kenntnis.
Information des Auftraggebers, wenn der Auftragsverarbeiter der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
Bis zum Vertragsende werden die Daten auf Wunsch in einem gängigen Format bereitgestellt. Mit dem Vertragsende werden sie gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht; ein danach geäußerter Wunsch kann nicht mehr erfüllt werden. Daten in Sicherungskopien werden mit deren turnusmäßiger Erneuerung überschrieben.
Der Auftraggeber kann die Einhaltung dieses Vertrags überprüfen. Die Anwendung zeigt ihm dafür das Protokoll der Änderungen in seiner Musikschule, in dem Änderungen des Anbieters als solche gekennzeichnet sind, und den Vertragsstand mit Fassung, Zeitpunkt und zustimmender Person.

5. Subunternehmer und Drittlandübermittlung

Für den Betrieb werden keine Auftragsverarbeiter eingesetzt: Server und Anwendung werden von Flof Codes e.U. selbst in Österreich betrieben; es ist kein Hosting- oder Cloud-Dienstleister zwischengeschaltet. E-Mails der Anwendung gehen von demselben Server aus; ein Versanddienstleister ist nicht zwischengeschaltet. Weitere Empfänger kommen allein auf Wunsch der Nutzer:innen hinzu. Wer Push-Nachrichten auf dem eigenen Gerät aktiviert, erhält diese über den Push-Dienst des jeweiligen Browser- bzw. Geräteherstellers (Google, Apple, Mozilla); dabei werden Geräteadresse und Zeitpunkt an diesen Dienst übertragen, der Inhalt der Nachricht ist verschlüsselt und für ihn nicht lesbar. Diese Dienste werden von Unternehmen in den USA betrieben — die Zustellung ist damit eine Übermittlung in ein Drittland (Kapitel V DSGVO). Ein Vertrag, der dafür ein Schutzniveau wie in der EU zusichert, besteht mit ihnen nicht; die Übermittlung stützt sich ausschließlich auf die ausdrückliche Einwilligung der betroffenen Person (Art. 49 Abs. 1 lit. a DSGVO), die diese je Gerät mit dem Aktivieren erteilt und mit dem Deaktivieren widerruft.

Wird ein Abo-Link des Kalender-Sync in eine Kalender-Anwendung eingetragen, ruft diese — je nach Anbieter auch deren Server — den Link selbständig ab. Diesen Empfänger wählt der Auftragsverarbeiter nicht aus und übermittelt ihm von sich aus nichts; wem ein Link anvertraut wird, entscheidet der Auftraggeber, der seine Nutzer:innen entsprechend anweist.

Sollten künftig weitere Auftragsverarbeiter eingesetzt werden, wird der Auftraggeber mindestens vier Wochen vorab informiert und kann widersprechen; im Fall des Widerspruchs kann jede Seite den Vertrag zum Ende des laufenden Schuljahres kündigen.

6. Technische und organisatorische Maßnahmen

Serverstandort Österreich, physisch und logisch gesicherter Betrieb.
Übertragung ausschließlich verschlüsselt über HTTPS.
Passwörter nur als kryptografischer Hash, nie im Klartext.
Mandantentrennung: Der Zugriff auf die Daten einer Musikschule setzt eine von dieser Musikschule eingeräumte Mitgliedschaft voraus; Mitglieder anderer Musikschulen haben keinen Zugriff. Unterrichtet eine Lehrkraft an mehreren Musikschulen, sieht sie jede dieser Musikschulen nur mit deren eigener Berechtigung.
Ein Abo-Link des Kalender-Sync ist selbst der Zugangsschlüssel: nicht erratbar, jederzeit sperr- und löschbar, und er liefert nur die Termine, die sein Inhaber im Zeitpunkt des Abrufs auch in der Anwendung sähe.
Administrativer Zugriff des Anbieters besteht ausschließlich zu Betriebs-, Wartungs- und Supportzwecken — etwa zur Analyse gemeldeter Fehler — und unterliegt der Vertraulichkeit nach Punkt 4. Schreibende Zugriffe werden protokolliert und im Protokoll der Musikschule als solche gekennzeichnet; lesende Zugriffe werden nicht protokolliert.
Rollen- und Rechtesystem mit Protokollierung wesentlicher Änderungen.
Regelmäßige Datensicherungen, aus denen sich die Daten rasch wiederherstellen lassen.
Die Wirksamkeit der Sicherungen wird regelmäßig überprüft (Art. 32 Abs. 1 lit. c und d DSGVO).
Der Auftraggeber wählt, nach welcher Frist vergangene Veranstaltungen samt zugehörigen Beiträgen automatisch gelöscht werden; neu angelegte Musikschulen starten auf sieben Jahre. Eine selbst gelöschte Veranstaltung wird unabhängig von dieser Frist 30 Tage später endgültig entfernt.

7. Schlussbestimmungen

Im Übrigen gelten die AGB. Es gilt österreichisches Recht; Gerichtsstand ist Innsbruck. Änderungen dieses Vertrags werden wie Änderungen der AGB angekündigt und abgeschlossen.