Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA)

Wenn du (die Lehrkraft oder Musikschule) Note & Key nutzt, um Daten über Schüler mit Wohnsitz in der EU / im Vereinigten Königreich / im EWR zu verarbeiten, bist du der Verantwortliche und Note & Key ist Auftragsverarbeiter im Sinne der DSGVO / UK GDPR.

Dieser DPA legt die Bedingungen fest, zu denen wir diese Daten verarbeiten. Er ist für jeden Kunden, der sich darauf stützen muss, Bestandteil der Nutzungsbedingungen. Wenn deine Organisation eine gegengezeichnete Ausfertigung auf ihrem Briefkopf benötigt, schreib an [email protected] und wir zeichnen gegen – kostenlos.

Du legst Zweck und Mittel der Verarbeitung der personenbezogenen Daten deiner Schüler in Note & Key fest. Wir verarbeiten diese Daten nur auf deine dokumentierte Weisung hin. Diese Weisungen sind: (a) die Aktionen, die du in der App ausführst (Schüler anlegen, Aufnahmen hochladen, Rechnungen versenden usw.), und (b) das, was nötig ist, um den auf noteandkey.app beschriebenen Dienst zu erbringen.

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

• Schülerdaten: Name, Geburtsdatum, Instrument, Niveau, Stundenplan, Notizen der Lehrkraft, Prüfungshistorie.
• Daten von Eltern/Erziehungsberechtigten: Name, E-Mail, Telefon.
• Übe-Inhalte: Audioaufnahmen, Video-Uploads, Noten-PDFs, Fotos. Betreffen häufig Minderjährige.
• Kommunikation: Nachrichten in der App, Feedback-Kommentare, Rechnungsvermerke.
• Abrechnungsmetadaten: Rechnungsbetrag, Zahlungsart, Zahlungsstatus. Niemals Kartennummern.

Kategorien betroffener Personen: Studio-Admins, Lehrkräfte, Schüler (einschließlich Minderjähriger), Eltern/Erziehungsberechtigte von Schülern.

Wir verarbeiten die Daten, solange das Konto deines Studios aktiv ist. Wenn du ein Konto löschst (oder wir es aus wichtigem Grund schließen), löschen wir die personenbezogenen Daten innerhalb von 30 Tagen. Backups werden innerhalb weiterer 90 Tage bereinigt.

Anonymisierte, aggregierte Daten (z. B. „Uploads pro Monat über alle Studios hinweg“) können unbegrenzt aufbewahrt werden.

Wir beschränken den Zugriff auf deine Daten auf Personal, das ihn zur Erbringung des Dienstes benötigt. Das gesamte Personal unterliegt einer schriftlichen Vertraulichkeitsverpflichtung. Zugriffe werden protokolliert.

Wir greifen für keinen anderen Zweck auf deine Daten zu. Wir trainieren keine Machine-Learning-Modelle mit deinen Daten. Wir verkaufen oder vermieten sie nicht und analysieren sie nicht für Dritte.

Wir setzen die folgenden Unterauftragsverarbeiter ein, um den Dienst zu erbringen. Mit der Annahme dieses DPA genehmigst du diese Liste. Über Änderungen informieren wir dich mindestens 14 Tage im Voraus per E-Mail + auf dieser Seite; wenn du begründet widersprichst, kannst du den Vertrag kündigen.

• Supabase Inc. (Datenbank, Authentifizierung, Speicher). Daten werden je nach Region in US-East oder EU-West gespeichert. Übermittlungen außerhalb der EU sind durch Standardvertragsklauseln (SCC) abgesichert.
• Fly.io Inc. (Rechenleistung / Webhosting). Server in San Jose, CA. Durch SCC abgesichert.
• Stripe Inc. (wenn du ein Stripe-Konto für Rechnungszahlungen verbindest). Stripe ist für die Abwicklung von Kartenzahlungen nach seinen eigenen Bedingungen ein eigenständiger Verantwortlicher und für diesen Schritt nicht unser Unterauftragsverarbeiter.
• Resend, Inc. (Zustellung transaktionaler E-Mails für Rechnungen, die wir per E-Mail versenden). Sitz in den USA, durch SCC abgesichert.
• Apple Inc. und Google LLC (Push-Benachrichtigungen + Vertrieb der App).

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen um, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256).
• Row-Level-Security-Richtlinien (RLS) in Postgres – jede Abfrage ist auf das Studio des anfragenden Benutzers beschränkt.
• Service-Role-Schlüssel werden in Fly Secrets gespeichert, nie im Code.
• Benutzerbezogene Zugriffstoken mit kurzer Gültigkeit + Rotation der Refresh-Token.
• Protokollierung der Zugriffe auf Verwaltungsfunktionen.
• Keine dauerhaften Admin-Sitzungen auf Produktionsdatenbanken.

Du bist dafür verantwortlich, Anträge deiner Schüler / Eltern auf Ausübung ihrer Rechte nach der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) zu bearbeiten. Wir unterstützen dich dabei, unter anderem durch:

• Einen Datenexport pro Studio im JSON-Format zur Selbstbedienung (Einstellungen → Konto → Export).
• Die dauerhafte Löschung des Kontos eines Haushalts innerhalb von 30 Tagen nach einem Antrag (Einstellungen → Konto → Löschen).
• Die Beantwortung fallbezogener Fragen unter [email protected].

Wenn wir eine Verletzung des Schutzes personenbezogener Daten feststellen, die dein Studio betrifft, benachrichtigen wir dich schriftlich unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem sie uns bekannt geworden ist. Die Meldung enthält die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

Du bist dafür verantwortlich, deine Aufsichtsbehörde und die betroffenen Personen gemäß Art. 33–34 DSGVO zu benachrichtigen.

Unsere Infrastruktur befindet sich überwiegend in den USA. Werden Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss übermittelt, stützen wir uns je nach Fall auf die Standardvertragsklauseln (Durchführungsbeschluss der Kommission 2021/914) oder das UK International Data Transfer Agreement (IDTA).

Bei Beendigung der Nutzungsbedingungen löschen wir alle personenbezogenen Daten innerhalb von 30 Tagen (Produktivsystem) bzw. 90 Tagen (Backups). Anonymisierte, aggregierte Daten können unbegrenzt aufbewahrt werden.

Auf begründete schriftliche Anfrage und höchstens einmal pro Jahr stellen wir eine schriftliche Zusammenfassung unserer Sicherheitsmaßnahmen bereit und bieten die Möglichkeit, konkrete Bedenken zu besprechen. Vor-Ort-Audits gewähren wir für Kunden, die als einzelne Lehrkraft arbeiten, nicht standardmäßig; größere institutionelle Kunden können eine gesonderte Audit-Klausel anfragen.

Bei Widersprüchen zwischen diesem DPA und den Nutzungsbedingungen hat dieser DPA in Fragen der Datenverarbeitung Vorrang.

Indem du ein Studio in Note & Key anlegst und dort personenbezogene Daten speicherst, nimmst du diesen DPA an. Für eine gegengezeichnete Ausfertigung auf Briefkopf schreib an [email protected] mit dem Namen deiner Organisation und der Adresse des Datenschutzbeauftragten (falls vorhanden).