Allgemeine Geschäftsbedingungen für HEXLE Education (Schul-/Lernplattform) - HEXLE Development & IT Solutions e.U.

Hinweis

Diese AGB für HEXLE Education ergänzen die Allgemeinen Geschäftsbedingungen (Rahmen-AGB) der HEXLE Development & IT Solutions und gelten ausschließlich für die Nutzung der Software HEXLE Education (im Folgenden “HEXLE Education” oder “Software”). Im Falle von Widersprüchen gehen die Regelungen dieser produktspezifischen AGB den Regelungen der Rahmen-AGB vor.

---

1. Leistungsumfang von HEXLE Education

HEXLE Education ist eine cloudbasierte, mandantenfähige Softwarelösung zur Schul- und Unterrichtsverwaltung mit Schwerpunkt auf der Organisation und Selbstbuchung von “Pool-Stunden” (frei wählbaren Lern-/Förderstunden). Der Kunde (die Bildungseinrichtung) beauftragt HEXLE mit der Bereitstellung und Einräumung des Nutzungsrechts für die Software HEXLE Education. Der genaue Leistungsumfang, die verfügbaren Funktionen, Speicherkapazitäten und die Möglichkeiten der Nutzerverwaltung richten sich nach dem vom Kunden gewählten Tarif und den in der jeweiligen Leistungsbeschreibung oder dem individuellen Angebot festgelegten Spezifikationen.

Funktionen für die Bildungseinrichtung (Kunde): HEXLE Education ermöglicht dem Kunden insbesondere:

• Eine Übersicht über die Einrichtung sowie schulweite Konfigurationsmöglichkeiten (Schuleinstellungen, u. a. Stundenlänge, Vorausbuchzeit für Pool-Stunden, Rundungs- und Variationsregeln).
• Die Verwaltung von Stammdaten der Schule: Schuljahre, Schulklassen, Klassengruppen, Fächer, Räume, Lehrkräfte sowie Schüler:innen (Stammdaten) einschließlich der Klassen-Mitgliedschaften mit Gültigkeitszeitraum.
• Die Verwaltung von Stundenplandaten sowie von Ferien- und Schließtagen, die als Schließtage in die Buchung von Pool-Stunden übernommen werden.
• Die Verwaltung von Abwesenheiten der Lehrkräfte (Zeitraum und Grund-Kürzel) als Grundlage für die Planung und die Auflösung von Pool-Terminen.
• Die Verwaltung von Prüfungsterminen und Prüfungsarten (Titel, Datum, Uhrzeit, Dauer und Art der Prüfung) als Termininformation; eine Erfassung oder Verwaltung von Noten und Beurteilungen findet nicht statt.
• Die Verwaltung der Fehlzeiten von Schülerinnen und Schülern einschließlich des Abwesenheitsgrundes und des Entschuldigungsstatus sowie einen Entschuldigungs-Workflow mit der Möglichkeit, Belege (Foto oder Scan) hochzuladen. Einzelheiten und die damit verbundenen Pflichten des Kunden regelt Abschnitt 7.
• Die Verwaltung von Pool-Stunden: Definition von Pool-Perioden (Zeitfenster), Pool-Slots (buchbare Angebote mit Lehrkraft und Fach) samt den daraus erzeugten Einzelterminen sowie die Festlegung von Buchungspflichten (Mindestanzahl zu buchender Pool-Stunden je Klassengruppe und Zeitraum).
• Das Auflösen einzelner Pool-Termine (z. B. bei Abwesenheit einer Lehrkraft) samt Benachrichtigung der betroffenen Schüler:innen und Anzeige alternativer Termine zur Umbuchung, soweit diese Funktionen aktiviert sind.
• Die Lehrkräfte-Planung (Wochen-/Jahresziele für Pool-Stunden je Lehrkraft) sowie Planungsberichte (Soll-/Ist-Auswertung).
• Den lokalen Export von Listenansichten als Excel-, CSV- oder PDF-Datei (siehe Abschnitt 13).

Funktionen für Endnutzer (Lehrkräfte und Schüler:innen):

• Schüler:innen können angebotene Pool-Stunden im Rahmen ihrer individuellen Stundenplan-Vorgaben und etwaiger Buchungspflichten selbst buchen und umbuchen.
• Schüler:innen können ihre eigenen Fehlzeiten einschließlich des hierzu erfassten Abwesenheitsgrundes einsehen und hierzu Entschuldigungen samt Beleg einreichen (siehe Abschnitt 7).
• Lehrkräfte können ihre Planung und die ihnen zugeordneten Pool-Slots einsehen und verwalten.

Nicht Gegenstand der Leistung: Zur Klarstellung: HEXLE Education umfasst nicht:

• die Verwaltung von Noten und Beurteilungen,
• die Erstellung von Zeugnissen,
• eine Verwaltung von Erziehungsberechtigten, ein Elternportal oder eine Nachrichten-/Kommunikationsfunktion,
• die Abrechnung von Beiträgen oder sonstige Zahlungsfunktionen innerhalb des Education-Moduls,
• KI- bzw. LLM-gestützte Funktionen sowie eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO.

Benötigt der Kunde derartige Funktionen, sind diese vom Leistungsumfang nicht erfasst; ein Anspruch auf deren Bereitstellung besteht nicht. Etwaige auf Plattformebene vorhandene Zahlungsfunktionen sind im Education-Modul nicht aktiviert.

Buchung über das HEXLE-Bookings-Modul: Die technische Abwicklung der Buchung und Umbuchung von Pool-Stunden erfolgt über das HEXLE-Bookings-Modul, das als integraler technischer Bestandteil der Education-Leistung bereitgestellt wird. HEXLE Education stellt die buchbaren Pool-Termine hierfür im Modul bereit; die eigentliche Buchungs- bzw. Umbuchungs-Interaktion der Schüler:innen sowie die zugehörigen Benachrichtigungen laufen über dieses Modul. Für diese Buchungs-Interaktion gelten diese AGB für HEXLE Education einschließlich des Auftragsverarbeitungsvertrags (AVV) in Abschnitt 16; ein gesonderter Vertragsschluss über HEXLE Bookings ist hierfür nicht erforderlich.

Zugang/Anmeldung: Der Zugang zu HEXLE Education setzt eine aktive Lizenz (Modul “Education”) des Kunden voraus. Die Anmeldung erfolgt über das HEXLE-Konto; je Einrichtung kann zusätzlich ein institutionelles Single-Sign-on eingerichtet werden (siehe Abschnitt 12). Bei der ersten Anmeldung wird ein vorhandenes Benutzerkonto der jeweiligen Person zugeordnet bzw. ein Datensatz angelegt, sofern die Bildungseinrichtung das Modul aktiviert hat. Datensätze können – je nach Konfiguration des Kunden – manuell erfasst, aus WebUntis übernommen oder durch Selbstregistrierung über den Login angelegt bzw. verknüpft werden; die Datenherkunft wird je Datensatz gekennzeichnet.

WebUntis-Anbindung: HEXLE Education kann mit dem WebUntis-System der Bildungseinrichtung verbunden werden, um Stamm-, Stundenplan-, Prüfungs- und Abwesenheitsdaten zu übernehmen (siehe Abschnitt 6).

Individuelle Zusätze: Optionale, individuell vereinbarte Funktionen (z. B. spezielle Schnittstellen, Branding-Anpassungen) werden gesondert in der Leistungsbeschreibung oder dem individuellen Angebot festgehalten.

2. Nutzungsbedingungen

2.1 Pflichten des Kunden

Der Kunde verpflichtet sich, HEXLE Education ausschließlich bestimmungsgemäß und im Einklang mit den geltenden Gesetzen und diesen AGB zu nutzen. Insbesondere ist der Kunde verantwortlich für:

• Die Richtigkeit, Vollständigkeit und Aktualität aller Stamm- und Planungsdaten (z. B. Klassen, Fächer, Lehrkräfte, Schüler:innen, Pool-Slots, Fehlzeiten), die er in HEXLE Education eingibt, veröffentlicht oder aus angebundenen Systemen übernimmt. HEXLE übernimmt keine Haftung für Fehler oder Unstimmigkeiten in diesen vom Kunden bereitgestellten oder verantworteten Inhalten.
• Die Bereitstellung korrekter und vollständiger Daten bei der Einrichtung und während der Nutzung der Software.
• Die Verhinderung missbräuchlicher Nutzung von HEXLE Education, insbesondere das Hochladen oder Speichern rechtswidriger Inhalte, das Ausführen schädlichen Codes oder das Stören des Betriebs der Software.
• Die Einhaltung der Kompatibilitätsanforderungen für die Nutzung von HEXLE Education (z. B. Browserversionen, Internetverbindung). HEXLE übernimmt keine Verantwortung für Nutzungseinschränkungen, die auf einer Nichterfüllung dieser Anforderungen seitens des Kunden beruhen.

2.2 Zugangsdaten

Der Kunde ist verpflichtet, seine Zugangsdaten (Benutzernamen, Passwörter) sowie etwaige technische Zugangsdaten angebundener Systeme (z. B. WebUntis-Zugangsdaten) geheim zu halten und vor dem unberechtigten Zugriff Dritter zu schützen. Er ist für alle Aktivitäten verantwortlich, die unter seinen Zugangsdaten erfolgen. Bei Verlust oder unbefugter Nutzung der Zugangsdaten hat der Kunde HEXLE unverzüglich zu informieren.

2.3 Verarbeitung von Daten Minderjähriger

Die über HEXLE Education verarbeiteten personenbezogenen Daten betreffen ganz überwiegend Schüler:innen, die in der Regel minderjährig sind. Der Kunde (die Bildungseinrichtung) ist alleiniger Verantwortlicher im Sinne der DSGVO für diese Daten; HEXLE agiert als Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwischen HEXLE und dem Kunden ist verpflichtend und regelt die Einzelheiten der Datenverarbeitung (siehe Abschnitt 16 dieser AGB). Im Einzelnen gilt:

• Rechtsgrundlage: Der Kunde stellt sicher, dass für die Verarbeitung der Daten seiner Schülerinnen und Schüler eine geeignete Rechtsgrundlage besteht. Im schulischen Kontext beruht die Verarbeitung regelmäßig auf der Erfüllung einer gesetzlichen Aufgabe bzw. der Wahrnehmung einer Aufgabe im öffentlichen Interesse und nicht auf einer Einwilligung. Soweit besondere Kategorien personenbezogener Daten verarbeitet werden (siehe Abschnitt 7), hat der Kunde zusätzlich das Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DSGVO sicherzustellen. Die Beurteilung und Dokumentation der Rechtsgrundlage obliegt allein dem Kunden.
• Einwilligung Minderjähriger (Art. 8 DSGVO): Soweit eine Verarbeitung ausnahmsweise auf eine Einwilligung gestützt wird und sich an Minderjährige richtet, ist Art. 8 DSGVO zu beachten. Der Kunde holt in diesem Fall die erforderliche Zustimmung der Erziehungsberechtigten ein und weist sie nach. Die Software enthält keine Altersprüfung und keine technische Einwilligungsverwaltung für Erziehungsberechtigte; es existiert auch keine Rolle für Erziehungsberechtigte und damit kein Zugang für diesen Personenkreis.
• Selbstregistrierung und Verknüpfung über den Login: Soweit sich Schülerinnen und Schüler selbst registrieren bzw. ihr Konto über den Login mit einem Datensatz der Einrichtung verknüpfen können, obliegt dem Kunden die Prüfung, ob dies im Einzelfall zulässig ist, sowie die Entscheidung, ob er diese Möglichkeit nutzt.
• Information der Betroffenen: Der Kunde informiert die betroffenen Personen bzw. deren gesetzliche Vertreter nach Art. 13 DSGVO über die Datenverarbeitung, und zwar in präziser, transparenter und altersgerechter, leicht verständlicher Form (Art. 12 Abs. 1 DSGVO). HEXLE stellt hierfür auf Anfrage die erforderlichen Informationen zur Verarbeitung im Auftrag bereit, schuldet jedoch keine rechtliche Beratung des Kunden.

3. Service Level Agreements (SLA)

HEXLE ist bestrebt, eine hohe Verfügbarkeit und Performance von HEXLE Education sicherzustellen. Die nachfolgenden Regelungen definieren die vereinbarten Service Level:

• Verfügbarkeit (Uptime): HEXLE gewährleistet eine durchschnittliche jährliche Verfügbarkeit der HEXLE Education-Dienste von 99,0 %. Ausgenommen hiervon sind geplante Wartungsfenster, die dem Kunden frühzeitig mitgeteilt werden, sowie Ausfälle, die außerhalb des Verantwortungsbereichs von HEXLE liegen (z. B. höhere Gewalt, Störungen des öffentlichen Internets, Handlungen Dritter sowie Störungen oder Nichtverfügbarkeit angebundener Drittsysteme wie WebUntis).
• Support-Zeiten: Der Kundensupport ist werktags (Montag bis Freitag, ausgenommen österreichische Feiertage) von 08:00 Uhr bis 18:00 Uhr MESZ/MEZ erreichbar.
• Reaktionszeiten bei Störungen:
  • Kritische Störungen (Produktionseinstellung, Kernfunktionen nicht nutzbar): Reaktion innerhalb von 2 Stunden während der Support-Zeiten.
  • Wesentliche Störungen (Einschränkung der Nutzung, aber Kernfunktionen verfügbar): Reaktion innerhalb von 4 Stunden während der Support-Zeiten.
  • Geringfügige Störungen (kosmetische Fehler, kleine Funktionsfehler): Reaktion innerhalb von 12 Stunden während der Support-Zeiten.
  • Lösungszeit: HEXLE wird sich bemühen, Störungen schnellstmöglich zu beheben. Es kann jedoch keine bestimmte Lösungszeit garantiert werden, da diese von der Art und Komplexität der Störung abhängt.

4. Lizenzbedingungen

HEXLE räumt dem Kunden ein nicht-ausschließliches, nicht übertragbares und zeitlich auf die Vertragslaufzeit beschränktes Recht zur Nutzung von HEXLE Education im Rahmen des gebuchten Tarifs und dieser AGB ein. Jegliche darüberhinausgehende Nutzung, insbesondere die Vervielfältigung, Verbreitung, öffentliche Zugänglichmachung oder Bearbeitung der Software, ist untersagt. Das Reverse Engineering oder die Dekompilierung der Software ist nicht gestattet.

5. Datenverarbeitung

HEXLE ist sich der Sensibilität der über HEXLE Education erfassten Daten – insbesondere von Daten Minderjähriger – bewusst. Die Speicherung und Verarbeitung der Daten erfolgt auf Servern in Österreich oder der Europäischen Union unter Einhaltung der Vorschriften der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

• Verantwortlichkeit: Der Kunde (die Bildungseinrichtung) ist der Verantwortliche im Sinne der DSGVO für die personenbezogenen Daten der Schüler:innen und Lehrkräfte. HEXLE agiert in diesem Verhältnis als Auftragsverarbeiter.
• Auftragsverarbeitungsvertrag (AVV): Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden wird ein gesonderter Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwischen HEXLE und dem Kunden abgeschlossen. Dieser AVV ist integraler Bestandteil des Vertrages über die Nutzung von HEXLE Education und detailliert die Pflichten und Verantwortlichkeiten beider Parteien hinsichtlich des Datenschutzes (siehe Abschnitt 16 dieser AGB).
• Datensicherung: HEXLE implementiert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten vor Verlust, Zerstörung, unberechtigtem Zugriff oder Missbrauch. Regelmäßige Datensicherungen werden durchgeführt, um die Wiederherstellbarkeit der Daten im Falle eines technischen Fehlers zu gewährleisten. Die genauen Sicherungsintervalle und -maßnahmen sind im AVV bzw. in den Technischen und organisatorischen Maßnahmen (TOM) beschrieben.
• Verarbeitung: HEXLE verarbeitet die eingegebenen und aus angebundenen Systemen übernommenen Daten ausschließlich im Rahmen der Leistungserbringung und nach Weisung des Kunden gemäß dem abgeschlossenen AVV.

6. Anbindung an WebUntis (Datenquelle des Kunden)

HEXLE Education kann mit dem vom Kunden betriebenen bzw. genutzten WebUntis-System verbunden werden, um Stamm-, Stundenplan-, Prüfungs- und Abwesenheitsdaten zu übernehmen. Hierfür gilt:

• Lesender Zugriff: Der Datenabgleich erfolgt ausschließlich lesend; es werden keine Daten nach WebUntis zurückgeschrieben. Änderungen, die in HEXLE Education vorgenommen werden, wirken sich nicht auf WebUntis aus.
• Umfang der Übernahme: Der Abgleich umfasst – je nach Datenbestand der Einrichtung – folgende Bereiche:
  • Lehrkräfte, Räume, Fächer, Schulklassen, Schuljahre sowie Schüler:innen (Stammdaten),
  • Ferien, die als Schließtage in die Buchung von Pool-Stunden übernommen werden,
  • Stundenplandaten sowie den Pool-Stundenplan,
  • Abwesenheiten von Lehrkräften einschließlich des jeweiligen Grund-Kürzels,
  • Prüfungen und Prüfungsarten (Titel, Datum, Uhrzeit, Dauer und Art der Prüfung); Noten werden nicht übernommen,
  • Fehlzeiten von Schülerinnen und Schülern einschließlich Abwesenheitsgrund und Entschuldigungsstatus (siehe hierzu Abschnitt 7).
• Umfang der Schüler-Stammdaten: Aus WebUntis werden je Schüler:in ausschließlich Vorname, Nachname, E-Mail-Adresse, die interne WebUntis-Kennung, ein externer Schlüssel sowie der Aktiv-Status übernommen. Nicht übernommen werden insbesondere Geburtsdatum, Adresse, Geschlecht, Staatsangehörigkeit, Telefonnummer, Daten der Erziehungsberechtigten sowie Noten. Die Klassenzugehörigkeit wird mittelbar aus den Stundenplandaten abgeleitet.
• Zugangsdaten und Authentifizierung: Die Anbindung wird je Einrichtung eingerichtet. Zur Authentifizierung stehen zwei Verfahren zur Verfügung: der Zugriff über die WebUntis-Plattform-API mittels Client-Zugangsdaten (Client-Credentials) oder der Zugriff über ein WebUntis-Benutzerkonto der Einrichtung. Die hinterlegten Geheimnisse werden verschlüsselt gespeichert und über die Schnittstelle nicht wieder ausgegeben. Der Kunde stellt die erforderlichen Zugangsdaten bereit und ist für deren Richtigkeit sowie für die Berechtigung zur Datenübernahme verantwortlich.
• Steuerbarkeit: Je Einrichtung stehen ausschließlich die Schalter “Verbindung aktiv” sowie “automatische Läufe ein/aus” zur Verfügung. Eine Möglichkeit, einzelne Datenarten gesondert abzuwählen, besteht nicht. Der Kunde entscheidet daher nur darüber, ob die Anbindung insgesamt betrieben wird und ob die Läufe automatisiert erfolgen.
• Voraussetzungen für Schüler-Fehlzeiten: Die Übernahme von Fehlzeiten der Schülerinnen und Schüler setzt voraus, dass die Einrichtung das WebUntis-Klassenbuch führt und der Zugang im JSON-RPC-Modus betrieben wird. Dieser Lauf wird derzeit ausschließlich manuell angestoßen.
• Abgleichszeitpunkte: Die übrigen Läufe erfolgen zeitgesteuert in regelmäßigen Intervallen – Stammdaten in der Regel täglich nachts, Stundenplandaten und Abwesenheiten von Lehrkräften werktags mehrmals täglich, Prüfungen täglich und der Pool-Stundenplan wöchentlich – sowie zusätzlich auf manuelle Auslösung durch den Kunden. Die jeweils gültigen Intervalle ergeben sich aus der Leistungsbeschreibung bzw. den Produkteinstellungen und können von HEXLE aus Betriebsgründen angepasst werden.
• Kennzeichnung der Datenherkunft: Aus WebUntis übernommene Datensätze werden als solche gekennzeichnet und sind dadurch von manuell erfassten sowie von durch Selbstregistrierung entstandenen Datensätzen unterscheidbar.
• Verantwortung für die Datenquelle: Der Kunde ist für seinen WebUntis-Zugang, für die Rechtmäßigkeit der Übernahme der dort geführten Daten sowie für deren Richtigkeit und Vollständigkeit verantwortlich. Er stellt sicher, dass er zur Übermittlung dieser Daten an HEXLE berechtigt ist, und prüft vor Aktivierung der Anbindung eigenverantwortlich, welche Daten dabei an HEXLE übermittelt werden.
• Kein Betrieb der Drittsoftware: HEXLE ist nicht Betreiber von WebUntis und schuldet keine Verfügbarkeit dieser Drittsoftware. Störungen, Änderungen, Einschränkungen oder die Nichtverfügbarkeit der WebUntis-Schnittstelle stellen keinen Mangel der Leistung von HEXLE dar und begründen keine Gewährleistungs- oder Schadenersatzansprüche gegen HEXLE. HEXLE wird den Kunden über bekannt gewordene Änderungen der Schnittstelle informieren und sich um eine Anpassung im Rahmen der vereinbarten Leistung bemühen.

Hinweis: HEXLE Education enthält keine integrierte Zahlungsabwicklung; auf Plattformebene vorhandene Zahlungsfunktionen sind im Education-Modul nicht aktiviert. Die Buchung von Pool-Stunden ist für Schüler:innen unentgeltlich; es werden über die Software keine Zahlungen von oder an Endnutzer abgewickelt. Die Vergütung der Software richtet sich nach Abschnitt 9.

7. Fehlzeiten, Abwesenheitsgründe und Entschuldigungen

HEXLE Education verarbeitet Fehlzeiten von Schülerinnen und Schülern. Aufgrund der dabei anfallenden Inhalte gelten die nachfolgenden besonderen Regelungen.

• Übernommene Angaben: Zu jeder aus WebUntis übernommenen Fehlzeit werden Datum, Beginn, Ende, das Fachkürzel, der im WebUntis-Klassenbuch erfasste Freitext-Abwesenheitsgrund sowie der Entschuldigungsstatus in HEXLE Education gespeichert. Diese Angaben werden dauerhaft gespeichert; Abschnitt 14 regelt die Aufbewahrung und Löschung.
• Entschuldigungs-Workflow: Ergänzend stellt HEXLE Education eine eigene, nicht aus WebUntis stammende Entschuldigungsfunktion bereit. Zu einer Fehlzeit kann eine Entschuldigung mit einem Begründungstext eingereicht und ein Beleg (Foto oder Scan) hochgeladen werden. Inhalt und Umfang dieser Angaben bestimmen allein die Nutzer:innen des Kunden.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Freitext-Abwesenheitsgrund sowie Begründungstexte und hochgeladene Belege des Entschuldigungs-Workflows können besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten im Sinne des Art. 9 DSGVO, enthalten (z. B. die Angabe “krank”, eine Diagnose oder der Hinweis auf einen Therapietermin). Der Kunde ist als Verantwortlicher dafür zuständig, dass für diese Verarbeitung neben einer Rechtsgrundlage nach Art. 6 DSGVO auch eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt und dokumentiert ist. HEXLE trifft für diese Datenkategorie besondere technische und organisatorische Maßnahmen, schuldet dem Kunden jedoch keine rechtliche Beratung.
• Datenminimierung in Freitextfeldern: Der Kunde weist seine Lehrkräfte und sonstigen Nutzer:innen an, in Freitextfeldern – insbesondere im Abwesenheitsgrund und in Entschuldigungstexten – ausschließlich die für den schulischen Zweck erforderlichen Angaben zu erfassen und insbesondere keine Diagnosen und keine darüber hinausgehenden sensiblen Angaben einzutragen. Da der Abwesenheitsgrund im WebUntis-Klassenbuch des Kunden erfasst wird, kann HEXLE den Inhalt dieses Feldes weder beeinflussen noch vorab prüfen.
• Zugriffsbeschränkung: Der Abwesenheitsgrund wird in den für Lehrkräfte bestimmten Listenansichten und Auswertungen technisch nicht ausgegeben; Schülerinnen und Schüler können den zu ihrer eigenen Fehlzeit erfassten Grund einsehen. Diese technische Beschränkung ersetzt nicht die Pflicht des Kunden, Zugriffsberechtigungen auf den jeweils erforderlichen Personenkreis zu beschränken, regelmäßig zu überprüfen und zeitgerecht zu entziehen (siehe Abschnitte 12 und 13).
• Verantwortung für Inhalt und Richtigkeit: Die inhaltliche Richtigkeit der Fehlzeiten, der Abwesenheitsgründe und des Entschuldigungsstatus sowie die Entscheidung über die Anerkennung einer Entschuldigung liegen allein beim Kunden. HEXLE stellt hierfür die technische Plattform bereit und trifft keine Entscheidung über Fehlzeiten oder Entschuldigungen.

8. Pool-Stunden: Buchung, Umbuchung und Ausfall

• Organisatorische Verantwortung: Die inhaltliche und organisatorische Ausgestaltung der Pool-Stunden (Angebot, Kapazitäten, Buchungspflichten, pädagogische Vorgaben) liegt allein beim Kunden. HEXLE stellt hierfür die technische Plattform bereit.
• Buchung und Umbuchung: Schüler:innen buchen Pool-Stunden im Rahmen der vom Kunden festgelegten Regeln (z. B. Vorausbuchzeit, Buchungspflichten, Stundenplan-Vorgaben). Die technische Abwicklung der Buchung und Umbuchung erfolgt über das HEXLE-Bookings-Modul, das als integraler Bestandteil der Education-Leistung bereitgestellt wird (siehe Abschnitt 1); es gelten diese AGB einschließlich des AVV in Abschnitt 16. Eine finanzielle Abwicklung findet nicht statt.
• Keine Haftung von HEXLE: HEXLE übernimmt keine Haftung für den Entfall, die Verschiebung oder Änderung von Pool-Stunden oder für sich daraus ergebende organisatorische Folgen; diese liegen im Verantwortungsbereich des Kunden.

9. Preise

Die Preise für die Nutzung von HEXLE Education richten sich nach dem vom Kunden gewählten Tarifmodell. Die jeweils gültigen Preise sind in der aktuellen Preisliste auf der HEXLE Website oder im individuellen Angebot aufgeführt. Alle Preise verstehen sich in Euro (EUR) und, soweit nicht anders angegeben, zuzüglich der gesetzlichen Umsatzsteuer. HEXLE Education wird als Software-as-a-Service-Abonnement bereitgestellt; die Vergütung umfasst typischerweise:

• Lizenz-/Einrichtungsgebühr: Gebühr für die Bereitstellung und Einrichtung der Software gemäß dem gewählten Tarif.
• Laufende Nutzungsgebühr: Im vereinbarten Turnus (z. B. monatlich/jährlich) abgerechnete Gebühr für die fortlaufende Nutzung, ggf. abhängig von der Anzahl der Nutzer:innen oder Klassen.

Eine transaktionsbezogene Gebühr (z. B. je Buchung) fällt mangels Zahlungsabwicklung nicht an. Das Zahlungsziel beträgt, sofern nicht anders vereinbart, 14 Tage ab Rechnungsdatum. Abweichungen von den allgemeinen Regelungen zu Preisen und Zahlung in den Rahmen-AGB sind gesondert in der Leistungsbeschreibung oder dem individuellen Angebot zu regeln.

10. Widerrufsrecht für Verbraucher

Ist der Kunde ein Verbraucher im Sinne des KSchG und erfolgte der Vertragsschluss im Fernabsatz, steht ihm gemäß § 11 FAGG ein gesetzliches Widerrufsrecht zu. Die Widerrufsbelehrung ist in den Rahmen-AGB von HEXLE (Abschnitt 7) enthalten und gilt ergänzend.

Erlöschen des Widerrufsrechts: Das Widerrufsrecht erlischt, wenn HEXLE die Dienstleistung vollständig erbracht hat und mit der Ausführung erst begonnen hat, nachdem der Verbraucher dazu seine ausdrückliche Zustimmung gegeben und gleichzeitig seine Kenntnis davon bestätigt hat, dass er sein Widerrufsrecht bei vollständiger Vertragserfüllung verliert (§ 18 Abs 1 Z 1 FAGG). Hat der Verbraucher verlangt, dass HEXLE Education während der Widerrufsfrist bereitgestellt wird, hat er für den bis zum Widerruf erbrachten Teil der Leistung einen angemessenen Betrag zu zahlen.

11. Gewährleistung

Gegenüber Verbrauchern gelten die gesetzlichen Gewährleistungsbestimmungen des Verbrauchergewährleistungsgesetzes (VGG) für digitale Leistungen. Die Gewährleistungsfrist beträgt 2 Jahre. Innerhalb von zwei Jahren ab Bereitstellung wird vermutet, dass ein Mangel bereits bei Bereitstellung vorhanden war (Beweislastumkehr gemäß § 11 VGG).

HEXLE ist verpflichtet, notwendige Aktualisierungen (insbesondere Sicherheitsupdates) für den gesetzlich vorgesehenen Zeitraum bereitzustellen (§§ 6, 7 VGG).

Der Verbraucher hat bei Mängeln zunächst das Wahlrecht zwischen Verbesserung und Herstellung des vertragsgemäßen Zustands. Ist dies unmöglich oder für HEXLE mit unverhältnismäßigem Aufwand verbunden, kann der Verbraucher Preisminderung verlangen oder vom Vertrag zurücktreten (§§ 12–15 VGG).

Gegenüber Unternehmern wird die Beweislastumkehr des § 924 ABGB ausgeschlossen.

12. Anmeldung und Single-Sign-on

Die Anmeldung an HEXLE Education erfolgt über das HEXLE-Konto (OAuth2/PKCE). Je Einrichtung kann ein institutionelles Single-Sign-on (SSO) konfiguriert werden, sofern dies zwischen den Parteien vereinbart und technisch eingerichtet ist.

• Identitätsdaten: Der Kunde verantwortet die Richtigkeit, Vollständigkeit und Aktualität der über das SSO an HEXLE Education übermittelten Identitätsdaten sowie deren rechtmäßige Übermittlung.
• Berechtigungen: Zugriffsberechtigungen werden granular je Modul vergeben. Die Vergabe, regelmäßige Überprüfung und der zeitgerechte Entzug von Berechtigungen – insbesondere beim Ausscheiden von Nutzer:innen sowie beim Zugriff auf Fehlzeiten und Entschuldigungen (siehe Abschnitt 7) – obliegen dem Kunden. Eine Rolle für Erziehungsberechtigte ist nicht vorgesehen.
• Verfügbarkeit: Für die Verfügbarkeit und Funktionsfähigkeit eines vom Kunden betriebenen oder beauftragten Identitätsanbieters ist der Kunde verantwortlich; Störungen in dessen Verantwortungsbereich liegen außerhalb des Verantwortungsbereichs von HEXLE.

13. Datenexport durch Nutzer der Einrichtung

Berechtigte Nutzer:innen können Listenansichten – einschließlich der Listen von Schüler:innen und Lehrkräften – mit personenbezogenen Daten lokal als Excel-, CSV- oder PDF-Datei exportieren.

• Verlassen des HEXLE-Bereichs: Mit dem Export verlassen die Daten den von HEXLE kontrollierten Bereich. Für exportierte Dateien kann HEXLE weder technische und organisatorische Maßnahmen noch Löschungen sicherstellen.
• Beschränkung der Berechtigungen: Der Kunde ist dafür verantwortlich, die Exportberechtigungen auf den hierfür erforderlichen Personenkreis zu beschränken.
• Organisatorische Regelungen: Der Kunde regelt in seiner Organisation den weiteren Umgang mit exportierten Dateien, insbesondere deren Speicherung, Weitergabe und Löschung, und weist die betroffenen Nutzer:innen entsprechend an.

14. Aufbewahrung und Löschung

Die Software stellt Funktionen zur Deaktivierung von Datensätzen (Aktiv-Kennzeichen) sowie zur endgültigen Löschung von Datensätzen – insbesondere von Schüler:innen und Lehrkräften – bereit.

• Deaktivierung statt Löschung beim Abgleich: Datensätze, die beim Abgleich von WebUntis nicht mehr geliefert werden, werden in HEXLE Education nicht gelöscht, sondern lediglich auf inaktiv gesetzt. Sie bleiben damit im System gespeichert, bis der Kunde sie löscht.
• Keine Rückwirkung von Korrekturen aus WebUntis: Eine in WebUntis nachträglich gelöschte oder korrigierte Fehlzeit wird in HEXLE Education nicht automatisch entfernt oder berichtigt. Gleiches gilt für Abwesenheiten von Lehrkräften und für importierte Prüfungstermine. Der Kunde hat solche Korrekturen in HEXLE Education selbst vorzunehmen; HEXLE weist auf diese bekannte Einschränkung ausdrücklich hin.
• Keine automatisierte Fristenlogik: Eine automatisierte Einhaltung schulrechtlicher Aufbewahrungsfristen sowie eine automatisierte Archivierungs- oder Löschlogik sind nicht implementiert. Insbesondere besteht keine automatische Löschfrist für Fehlzeiten einschließlich der Abwesenheitsgründe und der Entschuldigungen samt hochgeladener Belege.
• Verantwortung des Kunden: Der Kunde ist für die Einhaltung der für ihn geltenden schulrechtlichen und datenschutzrechtlichen Aufbewahrungs- und Löschpflichten verantwortlich und führt die erforderlichen Löschungen, Berichtigungen bzw. Deaktivierungen selbst und zeitgerecht durch. HEXLE schuldet insoweit keine Prüfung oder Überwachung von Fristen.
• Vertragsende: Ergänzend gilt die Löschregelung des Auftragsverarbeitungsvertrags bei Beendigung des Vertrages (siehe Abschnitt 16.4).

15. Wechsel von Datenverarbeitungsdiensten (Data Act)

Für den Wechsel zu einem anderen Anbieter von Datenverarbeitungsdiensten, die hierbei geltenden Fristen sowie die Unterstützungs- und Informationspflichten von HEXLE gelten die Regelungen in Abschnitt 13 der Rahmen-AGB ergänzend.

---

16. Auftragsverarbeitungsvertrag (AVV) für HEXLE Education

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

16.1 Gegenstand, Dauer und Leistungsumfang des Auftrags

1. Gegenstand: Die vorliegende Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Erbringung der Dienstleistung HEXLE Education (Schul- und Lernplattform mit Pool-Stunden-Verwaltung) durch den Auftragnehmer (HEXLE) für den Auftraggeber (die Bildungseinrichtung). Die Verarbeitung personenbezogener Daten erfolgt ausschließlich nach dokumentierter Weisung des Auftraggebers.
2. Leistungsumfang: Die Verarbeitung umfasst alle Tätigkeiten, die zur Bereitstellung, Wartung und Pflege der Softwarelösung HEXLE Education notwendig sind, einschließlich des lesenden Datenabgleichs mit dem WebUntis-System des Auftraggebers sowie der Verarbeitung im HEXLE-Bookings-Modul, das als integraler technischer Bestandteil von HEXLE Education die Buchung und Umbuchung von Pool-Stunden abwickelt. Diese Verarbeitung unterliegt diesem Auftragsverarbeitungsvertrag.
3. Dauer: Diese Vereinbarung tritt mit Vertragsabschluss in Kraft und endet automatisch mit Beendigung der Leistungsvereinbarung (Hauptvertrag) über die Nutzung von HEXLE Education.

16.2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

1. Zweck: Erfassung, Verwaltung, Speicherung, Abgleich und Auswertung von Schul-, Stundenplan-, Abwesenheits- und Pool-Stunden-Daten zur Erfüllung von:
   • Verwaltung von Stamm- und Stundenplandaten (inkl. Abgleich mit WebUntis),
   • Verwaltung von Fehlzeiten, Abwesenheitsgründen und Entschuldigungen einschließlich hochgeladener Belege,
   • Verwaltung von Prüfungsterminen sowie von Abwesenheiten der Lehrkräfte,
   • Organisation und Selbstbuchung von Pool-Stunden,
   • Planung und Auswertung des Lehrkräfte- und Pool-Stunden-Einsatzes (Reporting),
   • Benachrichtigung betroffener Schüler:innen bei Terminänderungen (über das HEXLE-Bookings-Modul),
   • Support und Wartung (der Auftragsverarbeiter darf zur Bearbeitung von Supportfällen Einsicht in personenbezogene Daten nehmen, sofern dies zur Behebung technischer Probleme erforderlich ist).
2. Kategorien betroffener Personen:
   • Schülerinnen und Schüler des Auftraggebers (in der Regel Minderjährige).
   • Lehrkräfte des Auftraggebers.
   • Verwaltungspersonal sowie sonstige Nutzer:innen des Auftraggebers, denen ein Zugang eingeräumt wird.
3. Kategorien personenbezogener Daten:
   • Stammdaten Schüler:innen: Vorname, Nachname, E-Mail-Adresse, Kennung aus dem Quellsystem (interne WebUntis-Kennung und externer Schlüssel), Aktiv-Status sowie das Kennzeichen der Datenherkunft.
   • Stammdaten Lehrkräfte: Vorname, Nachname, Kürzel, E-Mail-Adresse, Aktiv-Status, Kennzeichen der Datenherkunft sowie die Untis-Kennung.
   • Klassenzugehörigkeit: Klassen-Mitgliedschaften mit Gültigkeitszeitraum; die Zuordnung wird mittelbar auch aus den Stundenplandaten abgeleitet.
   • Stundenplandaten: Unterrichtseinheiten mit Datum, Uhrzeit, Fach, Raum sowie zugeordneter Klasse und Lehrkraft.
   • Fehlzeiten der Schüler:innen: Datum, Beginn, Ende, Fachkürzel, der aus dem WebUntis-Klassenbuch übernommene Freitext-Abwesenheitsgrund sowie der Entschuldigungsstatus.
   • Entschuldigungsdaten: Begründungstexte sowie hochgeladene Belege (Foto oder Scan) einschließlich Einreichungszeitpunkt und Bearbeitungsstatus.
   • Prüfungsdaten: Prüfungstermine und Prüfungsarten mit Titel, Datum, Uhrzeit, Dauer und Art der Prüfung; Noten oder Beurteilungen werden nicht verarbeitet.
   • Abwesenheiten von Lehrkräften: Zeitraum der Abwesenheit sowie das jeweilige Grund-Kürzel.
   • Buchungs- und Pool-Daten: Pool-Perioden, Pool-Slots und Einzeltermine mit Datum, Uhrzeit, Fach und zugeordneter Lehrkraft, aus dem persönlichen Stundenplan abgeleitete Pool-Stunden, Buchungspflichten sowie die gebuchten Pool-Stunden (im HEXLE-Bookings-Modul geführt); Planungsdaten der Lehrkräfte (Soll-/Ist-Stunden).
   • Kontodaten aus dem verknüpften HEXLE-Plattformkonto: Benutzername, E-Mail-Adresse, Vor- und Nachname, Telefonnummer, Titel, Beruf, Geschlecht, Sprache, Status sowie der Zeitpunkt der letzten Aktivität.
   • Herkunftskennzeichen der Daten: Kennzeichnung je Datensatz, ob dieser manuell erfasst, aus WebUntis übernommen oder durch Selbstregistrierung über den Login entstanden ist.
   • Organisationsdaten: Schuljahre, Schulklassen, Klassengruppen, Fächer, Räume sowie Ferien- und Schließtage (teilweise nicht personenbezogen).
   • Protokoll-/Bearbeitungsdaten: Kennung der jeweils handelnden Benutzer:innen sowie Erstellungs-/Änderungszeitpunkte.
4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Verarbeitung umfasst Abwesenheitsgründe zu Fehlzeiten sowie Entschuldigungstexte und hochgeladene Entschuldigungsbelege. (Hinweis: Diese Angaben können Gesundheitsdaten im Sinne des Art. 9 DSGVO enthalten, etwa die Angabe einer Erkrankung, einer Diagnose oder eines Therapietermins. Der Auftraggeber ist für das Vorliegen einer Ausnahme gemäß Art. 9 Abs. 2 DSGVO verantwortlich. HEXLE stellt durch besondere technische und organisatorische Maßnahmen ein angemessenes Schutzniveau für diese Datenkategorie sicher; unter anderem wird der Abwesenheitsgrund in den für Lehrkräfte bestimmten Listenansichten und Auswertungen nicht ausgegeben.) Darüber hinaus sieht die Software für besondere Kategorien personenbezogener Daten keine Felder vor; insbesondere bestehen keine Felder für Geburtsdatum, Staatsangehörigkeit, Muttersprache, Religion, sonderpädagogischen Förderbedarf, Adresse oder Sozialversicherungsnummer. Der Auftraggeber wird angewiesen, in Frei- und Notizfelder (z. B. Planungsnotizen, Gründe für die Auflösung von Pool-Terminen, Abwesenheitsgründe und Entschuldigungstexte) nur die für den schulischen Zweck erforderlichen Angaben und insbesondere keine Diagnosen sowie keine darüber hinausgehenden sensiblen Angaben einzugeben (siehe Abschnitt 7).
5. Keine automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO sowie der Einsatz von KI- bzw. LLM-Funktionen finden im Rahmen dieser Verarbeitung nicht statt.

16.3 Pflichten und Weisungsrecht des Auftraggebers (Verantwortlicher)

Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere hinsichtlich der Rechtmäßigkeit der Verarbeitung (z. B. Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO, einer Ausnahme gemäß Art. 9 Abs. 2 DSGVO für besondere Kategorien personenbezogener Daten sowie – bei Daten Minderjähriger – einer geeigneten Grundlage einschließlich erforderlicher Einwilligungen Erziehungsberechtigter nach Art. 8 DSGVO; siehe Abschnitte 2.3 und 7) und der Wahrung der Rechte der betroffenen Personen, verantwortlich. Er hat insbesondere:

1. Die Überprüfung der Rechtmäßigkeit der Verarbeitung, inkl. Informationspflichten (Art. 12 ff. DSGVO), sicherzustellen.
2. Alle Weisungen zu erteilen und zu dokumentieren.
3. Den Auftragnehmer unverzüglich bei Fehlern oder Unregelmäßigkeiten zu informieren.
4. Sicherzustellen, dass er zur Übermittlung der aus WebUntis übernommenen Daten an den Auftragnehmer berechtigt ist.
5. Seine Lehrkräfte und sonstigen Nutzer:innen zur Datenminimierung in Freitextfeldern anzuweisen, insbesondere bei Abwesenheitsgründen und Entschuldigungen (siehe Abschnitt 7).
6. Die Zugriffs- und Exportberechtigungen seiner Nutzer:innen auf den erforderlichen Personenkreis zu beschränken und den Umgang mit exportierten Dateien zu regeln (siehe Abschnitt 13).
7. Die für ihn geltenden Aufbewahrungs- und Löschpflichten einzuhalten und die erforderlichen Löschungen, Berichtigungen bzw. Deaktivierungen selbst durchzuführen (siehe Abschnitt 14).

16.4 Pflichten des Auftragnehmers (Auftragsverarbeiter)

Der Auftragnehmer verpflichtet sich insbesondere:

1. Verarbeitung nur auf Weisung: Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung zwingt ihn dazu (Art. 28 Abs. 3 lit. a DSGVO).
2. Informationspflicht bei rechtswidrigen Weisungen: Den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
3. Vertraulichkeit: Sicherzustellen, dass zur Verarbeitung der Daten befugte Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
4. Sicherheit der Verarbeitung (TOMs): Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen. Die konkreten Maßnahmen sind unter TOM (Technische und organisatorische Maßnahmen) detailliert festgehalten (z. B. Verschlüsselung, Zugangskontrolle, Pseudonymisierung). Die für die Anbindung an WebUntis hinterlegten Zugangsdaten werden verschlüsselt gespeichert und über die Schnittstelle nicht wieder ausgegeben.
5. Unterauftragsverhältnisse (Subunternehmer):
   • Der Auftragnehmer ist berechtigt, die unter Genehmigte Unterauftragsverarbeiter gelisteten Unternehmen, insbesondere für Hosting- und Wartungsleistungen, als Subunternehmer (weitere Auftragsverarbeiter) hinzuzuziehen. Die Beauftragung dieser gelisteten Unternehmen gilt mit Abschluss dieses Vertrages als genehmigt. Das vom Auftraggeber betriebene bzw. beauftragte WebUntis-System gilt als Datenquelle bzw. eigenes System des Auftraggebers und nicht als vom Auftragnehmer beigezogener Subunternehmer.
   • Der Auftragnehmer hat Subunternehmer vertraglich zur Einhaltung der gleichen Datenschutzpflichten zu verpflichten, die zwischen dem Auftraggeber und dem Auftragnehmer gelten (Art. 28 Abs. 4 DSGVO).
   • Beabsichtigt der Auftragnehmer, einen neuen Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, muss er dies dem Auftraggeber 14 Tage vor der beabsichtigten Hinzuziehung schriftlich oder in Textform anzeigen. Der Auftraggeber hat das Recht, innerhalb dieser Frist begründeten Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Erhebt der Auftraggeber begründeten Einspruch, wird HEXLE den betreffenden Unterauftragsverarbeiter nicht einsetzen. Können sich die Parteien nicht auf eine alternative Lösung einigen, steht dem Auftraggeber ein Sonderkündigungsrecht für den betroffenen Dienst zu.
   • Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Bestimmungen dieses Vertrages durch seine Subunternehmer.
6. Unterstützungspflichten:
   • Unterstützung des Auftraggebers bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO).
   • Unterstützung bei der Einhaltung der Pflichten gem. Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Angesichts der Verarbeitung von Daten Minderjähriger sowie von Gesundheitsdaten in Form von Abwesenheitsgründen und Entschuldigungsbelegen wird der Auftraggeber bei einer etwaigen Datenschutz-Folgenabschätzung besonders unterstützt.
7. Meldepflicht bei Datenschutzverletzungen: Unverzügliche Meldung, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, von Verletzungen des Schutzes personenbezogener Daten des Auftraggebers an diesen (Art. 33, 34 DSGVO).
8. Löschung und Rückgabe: Nach Beendigung des Vertrages die Daten innerhalb von 90 Tagen nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
9. Drittlandtransfer: Eine Verarbeitung personenbezogener Daten in Drittländern außerhalb der EU/des EWR erfolgt nur, sofern die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln). Die aktuell genehmigten Unterauftragsverarbeiter und deren Drittlandsgarantien sind unter Genehmigte Unterauftragsverarbeiter einsehbar.

16.5 Kontrollrechte des Auftraggebers

1. Kontrollrecht: Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung und der getroffenen TOMs in angemessenem Umfang zu überprüfen, etwa durch Audits oder die Einsichtnahme in Nachweise des Auftragnehmers (Art. 28 Abs. 3 lit. h DSGVO).
2. Nachweispflicht: Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle zur Einhaltung seiner Pflichten notwendigen Informationen zur Verfügung zu stellen und Nachweise zu erbringen.

16.6 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den gesamten Schaden, der durch eine nicht DSGVO-konforme Verarbeitung verursacht wurde (Art. 82 Abs. 2 DSGVO). Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Verschulden entspricht. Der Auftragnehmer haftet insbesondere für Schäden, die aus einer Verarbeitung resultieren, die nicht den Weisungen des Auftraggebers oder seinen eigenen Pflichten aus der DSGVO entspricht.

---

Stand: September 2026