Vereinbarung zur Auftragsverarbeitung

Stand: 24.07.2026

zwischen

der im Hauptvertrag mit rechtlichem Namen und Anschrift bezeichneten Musikschule

– nachfolgend „Verantwortlicher“ –

und

Tamino Consulting UG (haftungsbeschränkt), Sansibarstraße 4a, 81827 München, Deutschland

– nachfolgend „Auftragsverarbeiter“ –

1. Gegenstand und Verhältnis zum Hauptvertrag

Der Auftragsverarbeiter stellt dem Verantwortlichen die webbasierte Software Concertainly zur Organisation von Schülerkonzerten bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Bei Widersprüchen hat diese Vereinbarung für Fragen der Auftragsverarbeitung Vorrang vor dem Hauptvertrag. Standardvertragsklauseln für Drittlandtransfers gehen im geregelten Umfang vor.

2. Dauer

Die Verarbeitung beginnt mit Freischaltung der Schulinstanz beziehungsweise zu dem im Hauptvertrag vereinbarten Zeitpunkt und dauert für die Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortgelten, insbesondere Vertraulichkeit, Rückgabe, Löschung und Nachweis, bleiben bis zu ihrer vollständigen Erfüllung bestehen.

3. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter führt die zur Bereitstellung der vereinbarten Funktionen erforderlichen Vorgänge aus, insbesondere Erheben, Erfassen, Ordnen, Speichern, Abfragen, Anzeigen, Ändern, Übermitteln, Exportieren, Einschränken, Anonymisieren und Löschen.

Zwecke sind insbesondere:

• Schul-, Team- und Rollenverwaltung;
• Planung und Durchführung von Schülerkonzerten;
• schulbezogene Anmeldung, Warteliste und Self-Service;
• Kommunikation mit berechtigten Nutzern und anmeldenden Personen;
• Erstellung von Programmen, Listen, Zertifikaten und Exporten;
• schulbezogene Statistiken;
• Erfüllung dokumentierter Auskunfts-, Lösch- und Aufbewahrungsanweisungen;
• Support, Datensicherung, Fehlerbehebung und sicherer Betrieb;
• optionale KI-Unterstützung nur im vereinbarten, datenminimierten Umfang.

4. Betroffene Personen und Datenarten

Betroffene Personengruppen:

• Schüler, darunter Minderjährige;
• Eltern, Sorgeberechtigte und andere anmeldende Personen;
• erwachsene Schüler;
• Inhaber, Beschäftigte, Administratoren und Lehrkräfte der Musikschule;
• Begleit- oder Mitwirkende, soweit ihre Daten eingegeben werden;
• Supportkontakte des Verantwortlichen.

Datenarten:

• Stamm- und Kontaktdaten;
• Konto-, Rollen- und Berechtigungsdaten;
• Geburtsdatum von Schülern;
• Schul-, Lehrkraft-, Konzert-, Werk-, Besetzungs- und Anmeldungszuordnungen;
• Begleitpersonenzahl, Wartelisten- und Teilnahmestatus;
• organisatorische Notizen;
• Einwilligungs- und Widerrufsnachweise, insbesondere zu Fotos;
• Nachrichten- und Versandmetadaten;
• technische Nutzungs-, Sicherheits- und Auditdaten;
• Export-, Auskunfts-, Lösch-, Aufbewahrungs- und Offboardinginformationen.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der vereinbarten Nutzung. Erkennt eine Partei solche Daten, informiert sie die andere Partei und stimmt das weitere Vorgehen ab. Freitextfelder sind nicht für Gesundheitsdaten oder andere sensible Angaben vorgesehen.

5. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer, soweit keine gesetzliche Pflicht entgegensteht. Der Hauptvertrag, diese Vereinbarung, die vom Verantwortlichen vorgenommenen Einstellungen und berechtigte Bedienhandlungen gelten als dokumentierte Weisungen.

Zusätzliche Weisungen werden in Textform über tamino.rat@gmail.com erteilt. Verursachen sie einen nicht vereinbarten Aufwand, informiert der Auftragsverarbeiter vorab über die Folgen und eine mögliche Vergütung.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die betroffene Ausführung bis zur Bestätigung oder Änderung aussetzen, soweit dies zum Schutz der Daten erforderlich ist.

Ist der Auftragsverarbeiter gesetzlich zu einer abweichenden Verarbeitung verpflichtet, informiert er den Verantwortlichen vorab, sofern das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

6. Pflichten des Verantwortlichen

Der Verantwortliche:

• stellt Rechtmäßigkeit, Transparenz und Datenminimierung der beauftragten Verarbeitung sicher;
• informiert betroffene Personen und bearbeitet deren Rechte;
• vergibt und überprüft Rollen und Berechtigungen;
• bestimmt geeignete Aufbewahrungsfristen;
• erteilt eindeutige Weisungen und prüft deren Ergebnisse;
• meldet erkannte Datenschutz- und Sicherheitsprobleme unverzüglich;
• stellt keine besonderen Kategorien personenbezogener Daten ein, sofern dies nicht zuvor ausdrücklich vereinbart wurde;
• bewertet, ob die vereinbarten Maßnahmen seinem Risiko angemessen sind.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

• verarbeitet Daten nur für die vereinbarten Zwecke und Weisungen;
• gewährleistet, dass zugriffsberechtigte Personen zur Vertraulichkeit verpflichtet sind;
• setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um;
• beschränkt Zugriffe nach Erforderlichkeit und überprüft Berechtigungen;
• unterstützt den Verantwortlichen nach den Abschnitten 8 und 9;
• führt, soweit erforderlich, ein Verzeichnis seiner Verarbeitungstätigkeiten;
• stellt die für den Nachweis der Pflichten erforderlichen Informationen bereit;
• informiert über wesentliche Änderungen, die die vereinbarte Verarbeitung betreffen.

8. Rechte betroffener Personen

Geht ein Antrag einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein und betrifft er Schuldaten, leitet der Auftragsverarbeiter ihn unverzüglich an den Verantwortlichen weiter, ohne inhaltlich zu entscheiden, soweit keine eigene Verantwortlichkeit besteht.

Der Auftragsverarbeiter unterstützt durch geeignete technische und organisatorische Maßnahmen insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und dem Nachweis von Einwilligungen. Die Plattform stellt hierfür schulbezogene Such-, Export-, Korrektur-, Lösch- und Auditfunktionen bereit.

Reaktions- und Kommunikationsverfahren: Anfragen werden über tamino.rat@gmail.com entgegengenommen, unverzüglich der betroffenen Schulinstanz zugeordnet und nach dem Betroffenenanfragen-Verfahren bearbeitet. Die Musikschule bleibt für Antwort und gesetzliche Frist verantwortlich.

9. Unterstützung bei Sicherheit, Vorfällen und Folgenabschätzung

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei:

• Sicherheit der Verarbeitung;
• Meldungen an Aufsichtsbehörden;
• Benachrichtigungen betroffener Personen;
• Datenschutz-Folgenabschätzungen;
• vorherigen Konsultationen.

Der Auftragsverarbeiter meldet eine ihm bekannt gewordene Verletzung des Schutzes von Schuldaten unverzüglich an den vom Verantwortlichen benannten Incident-Kontakt. Der Verantwortliche meldet Sicherheitsvorfälle an tamino.rat@gmail.com. Die Erstmeldung enthält, soweit verfügbar:

• Art und Zeitpunkt des Vorfalls;
• betroffene Systeme, Datenarten und Personengruppen;
• ungefähre Zahl betroffener Datensätze beziehungsweise Personen;
• wahrscheinliche Folgen;
• ergriffene oder vorgeschlagene Maßnahmen;
• Kontakt für Rückfragen.

Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Meldung ist kein Anerkenntnis einer Pflichtverletzung.

Ziel für Erstinformation: unverzüglich und möglichst innerhalb von 24 Stunden nach interner Bestätigung. Dieses Ziel schränkt die Pflicht zur Meldung ohne unangemessene Verzögerung nicht ein.

10. Unterauftragnehmer

Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragnehmer einzusetzen. Der Auftragsverarbeiter verpflichtet sie vertraglich zu einem im Wesentlichen gleichwertigen Datenschutzniveau und bleibt gegenüber dem Verantwortlichen für die Erfüllung seiner Pflichten verantwortlich.

Über die beabsichtigte Hinzuziehung oder Ersetzung eines direkten Unterauftragnehmers informiert der Auftragsverarbeiter mindestens fünf Kalendertage vorher per E-Mail an den vom Verantwortlichen hinterlegten Vertragskontakt.

Der Verantwortliche kann aus nachvollziehbaren datenschutzrechtlichen Gründen innerhalb von drei Kalendertagen nach Zugang der Mitteilung widersprechen. Die Parteien suchen zunächst eine zumutbare Lösung. Ist keine Lösung möglich, darf der Auftragsverarbeiter die betroffene Funktion aussetzen oder einen gleichwertigen Anbieter einsetzen. Ist beides unzumutbar, kann der Verantwortliche den betroffenen Leistungsteil zum Änderungszeitpunkt außerordentlich kündigen.

Die aktuelle Liste ist zusätzlich unter /de/legal/subprocessors verfügbar. Maßgeblich ist die vertraglich einbezogene Version.

11. Internationale Übermittlungen

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierte Weisung und unter Einhaltung der gesetzlichen Voraussetzungen. Soweit kein Angemessenheitsbeschluss gilt, vereinbart der Auftragsverarbeiter geeignete Garantien, insbesondere die jeweils einschlägigen Standardvertragsklauseln, und bewertet erforderliche zusätzliche Maßnahmen.

Transfermechanismen und Verarbeitungsorte je Unterauftragnehmer sind in Anlage 3 dokumentiert. Auf Anfrage stellt der Auftragsverarbeiter die relevanten Nachweise bereit, soweit Rechte Dritter und Sicherheitsinteressen gewahrt bleiben.

12. Technische und organisatorische Maßnahmen

Die bei Vertragsschluss geltenden Maßnahmen ergeben sich aus Anlage 2. Sie müssen ein dem Risiko angemessenes Schutzniveau gewährleisten und werden regelmäßig auf Wirksamkeit geprüft.

Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln, wenn das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Verschlechterungen sind unzulässig. Wesentliche Änderungen werden dokumentiert.

13. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt geeignete Nachweise zur Verfügung, zum Beispiel aktuelle Sicherheitsbeschreibungen, Prüfberichte, Zertifizierungen, Unterauftragnehmerinformationen und Antworten auf angemessene Sicherheitsfragebögen.

Der Verantwortliche darf die Einhaltung nach angemessener Vorankündigung höchstens einmal pro Kalenderjahr prüfen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer prüfen lassen. Prüfungen dürfen Betrieb, Sicherheit und Rechte anderer Kunden nicht unangemessen beeinträchtigen. Bei einem konkreten Datenschutzvorfall oder begründetem Verdacht kann eine zusätzliche Prüfung erforderlich sein.

Prüfungen sind mindestens 14 Kalendertage vorher anzukündigen und werden vorrangig durch vorhandene Nachweise und eine Remote-Prüfung durchgeführt. Standardnachweise werden unentgeltlich bereitgestellt. Zusätzliche, kundenspezifische oder Vor-Ort-Prüfungen trägt der Verantwortliche nach vorheriger Abstimmung, es sei denn, die Prüfung weist eine wesentliche Pflichtverletzung des Auftragsverarbeiters nach.

14. Rückgabe und Löschung

Während der Vertragslaufzeit kann der Verantwortliche die bereitgestellten Exportfunktionen nutzen. Nach Ende der Leistung löscht oder gibt der Auftragsverarbeiter auf Wahl des Verantwortlichen alle personenbezogenen Schuldaten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Regelverfahren:

1. Exportfenster: 30 Tage ab Vertragsende;
2. Sperrung produktiver Zugriffe: zum Vertragsende;
3. Löschung der aktiven Daten: innerhalb von 30 Tagen nach Ablauf des Exportfensters oder früher auf dokumentierte Weisung;
4. Auslaufen verschlüsselter Backups: innerhalb weiterer 30 Tage; bis dahin gesperrt und nur zur Wiederherstellung nutzbar;
5. Löschbestätigung: in Textform innerhalb von 14 Tagen nach Abschluss.

Gesetzlich aufzubewahrende Daten werden gesperrt, zweckbeschränkt und nach Fristablauf gelöscht.

15. Eigene Verantwortlichkeit

Verarbeitet der Auftragsverarbeiter Daten nachweislich für eigene Vertragsverwaltung, Abrechnung oder zwingend erforderliche Plattformsicherheit, ist diese Verarbeitung nicht Gegenstand einer Weisung. Sie muss in der Datenschutzinformation transparent beschrieben werden. Der Auftragsverarbeiter darf Schuldaten nicht allein durch Vertragsklausel zu eigenen Werbe-, Profiling- oder KI-Trainingszwecken umwidmen.

16. Haftung und Schlussbestimmungen

Die gesetzliche Haftungsverteilung nach Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis haftet jede Partei für Schäden, die sie durch eine von ihr zu vertretende Verletzung dieser Vereinbarung verursacht. Im Übrigen gelten die Haftungsregeln des Hauptvertrags, soweit sie zwingende datenschutzrechtliche Ansprüche nicht beschränken.

Änderungen dieser Vereinbarung einschließlich Anlagen werden in Textform dokumentiert. Elektronische Annahme ist zulässig, wenn Identität, Fassung und Zeitpunkt nachweisbar gespeichert werden.

Anlage 1 – Beschreibung der Verarbeitung

Merkmal	Vereinbarung
Produkt	Concertainly
Mandant	die im Hauptvertrag oder Kundenkonto bezeichnete Musikschule
Gegenstand	Organisation von Schülerkonzerten
Dauer	Laufzeit des Hauptvertrags zuzüglich Rückgabe- und Löschphase
Betroffene	Schüler, Familien, erwachsene Schüler, Lehrkräfte, Schulteam
Daten	gemäß Abschnitt 4
besondere Kategorien	nicht vorgesehen
Häufigkeit	fortlaufend während der Nutzung
Weisungskontakt Kunde	der im Hauptvertrag oder Kundenkonto hinterlegte Kontakt
Datenschutzkontakt Anbieter	Tamino Rat, tamino.rat@gmail.com

Anlage 2 – Technische und organisatorische Maßnahmen

Die vom Betreiber bereitgestellten technischen und organisatorischen Maßnahmen sind Bestandteil dieser Vereinbarung.

Anlage 3 – Unterauftragnehmer

Es gilt die bei Vertragsschluss einbezogene Unterauftragnehmerliste.