Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Version 1.3 · Stand: 30. Juli 2026 · Bestandteil des Nutzungsvertrags (AGB § 9). Tipp: Diese Seite kann über die Druckfunktion des Browsers als PDF gespeichert werden.

1. Vertragsparteien und Gegenstand

(1) Verantwortliche:r ist die Nutzer:in von taktjam (Lehrkraft bzw. Musikschule laut Kontoregistrierung, „Verantwortliche:r"). Auftragsverarbeiter ist die clubjam FlexCo, Göstling 170, 3345 Göstling an der Ybbs, Österreich, FN 629031x (LG St. Pölten), datenschutz@clubjam.co („Auftragsverarbeiter"). (2) Gegenstand ist die Verarbeitung personenbezogener Daten von Schüler:innen, Erziehungsberechtigten und den weiteren in Anhang 1 genannten betroffenen Personen im Rahmen der Bereitstellung der SaaS-Anwendung taktjam. (3) Dieser AVV wird mit der Registrierung Bestandteil des Nutzungsvertrags; er gilt für dessen gesamte Laufzeit.

2. Art, Zweck und Umfang der Verarbeitung (Anhang 1)

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der Funktionen von taktjam (Hosting, Speicherung, Anzeige, Übermittlung, Löschung) auf dokumentierte Weisung der Verantwortlichen. Einzelheiten - Datenarten, Betroffene, Zwecke - sind in Anhang 1 beschrieben. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen; die Nutzung der Anwendungsfunktionen gilt als Weisung. Ergänzende Weisungen erfolgen in Textform an datenschutz@clubjam.co. (2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er die Verantwortliche unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) und entwickelt diese entsprechend dem Stand der Technik weiter; das Schutzniveau darf dabei nicht unterschritten werden.

6. Subunternehmer (Art. 28 Abs. 2 und 4 DSGVO)

(1) Die Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 3 gelisteten Subunternehmer. (2) Beabsichtigte Änderungen (Hinzufügen/Ersetzen) werden mindestens vier Wochen vorab per E-Mail bzw. in der Anwendung angekündigt; die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht des Hauptvertrags zum Ende der laufenden Periode zu. (3) Mit jedem Subunternehmer bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen. Bei Übermittlungen in Drittländer werden geeignete Garantien gemäß Kapitel V DSGVO eingesetzt (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln); die Datenhaltung erfolgt in den in Anhang 3 genannten EU-Regionen.

7. Unterstützungspflichten

(1) Betroffenenrechte: Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Erfüllung der Rechte aus Kapitel III DSGVO durch die eingebauten Selbstbedienungsfunktionen (vollständiger Datenexport, Berichtigung in der Anwendung, Löschung einzelner Datensätze und des gesamten Kontos) sowie ergänzend auf Anfrage. Anfragen Betroffener, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an die Verantwortliche weitergeleitet. (2) Art. 32–36 DSGVO: Der Auftragsverarbeiter unterstützt bei Sicherheitsmaßnahmen, der Meldung von Verletzungen des Schutzes personenbezogener Daten und erforderlichenfalls bei Datenschutz-Folgenabschätzungen. (3) Data Breach: Verletzungen des Schutzes der im Auftrag verarbeiteten Daten werden der Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den Informationen gemäß Art. 33 Abs. 3 DSGVO gemeldet.

8. Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt alle zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung (insbesondere diesen AVV, die TOMs und Zertifizierungs-/Auditberichte der Subunternehmer, z. B. SOC 2 von Supabase). (2) Weitergehende Kontrollen einschließlich Inspektionen sind nach vorheriger Ankündigung von mindestens 14 Tagen während der Geschäftszeiten möglich; sie dürfen den Betrieb nicht unverhältnismäßig stören und die Vertraulichkeit anderer Kund:innen nicht gefährden.

9. Löschung und Rückgabe

(1) Während der Laufzeit kann die Verantwortliche Daten jederzeit selbst berichtigen, exportieren und löschen. (2) Nach Beendigung des Hauptvertrags werden alle im Auftrag verarbeiteten Daten 30 Tage nach Vertragsende gelöscht (inklusive Speicherinhalte wie Audio-, Bild- und PDF-Dateien), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der vorherige Export obliegt der Verantwortlichen; die Exportfunktionen stehen bis zur Löschung zur Verfügung. (3) Backups der Subunternehmer rotieren automatisch innerhalb von längstens 35 Tagen aus.

10. Schlussbestimmungen

(1) Dauer und Beendigung folgen dem Hauptvertrag. (2) Die Haftung richtet sich nach dem Hauptvertrag (AGB § 10) und Art. 82 DSGVO. (3) Es gilt österreichisches Recht; Gerichtsstand ist der Sitz des Auftragsverarbeiters. (4) Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

Anhang 1 - Gegenstand der Verarbeitung

Kategorien betroffener Personen

Schüler:innen der Verantwortlichen (auch Minderjährige), deren Erziehungsberechtigte, Familien-/Zahlungskontakte, Interessent:innen (Probestunden-Anfragen) sowie - bei Musikschul-Konten - Teammitglieder (Lehrkräfte) der Verantwortlichen.

Datenarten

Stammdaten (Name, optional Geburtsdatum, Instrument), Kontaktdaten (E-Mail, Telefon, auch der Erziehungsberechtigten), Unterrichtsdaten (Termine, Anwesenheits-/Absagestatus, Nachholstunden-Gutschriften, Unterrichtsnotizen, Hausübungen, Gruppenzuordnungen), Nachrichten und Rundnachrichten zwischen Lehrkraft/Musikschule und Schüler:in/Eltern einschließlich Lesezeitpunkten und Datei-Anhängen (Anhänge werden 3 Tage nach Versand automatisch gelöscht, sofern nicht in die Materialien übernommen), Terminwünsche und Verfügbarkeitsangaben aus Einteilungsrunden (inklusive Freitext-Anmerkungen), Probestunden-Anfragen (Name, Kontaktdaten, Instrument, Freitext-Nachricht), Unterrichtsmaterialien und Aufnahmen einschließlich Profilfotos (Audio, Bild, Video, PDF - nur bei dokumentierter Einwilligung), Abrechnungsdaten der Schüler:innen und Familien (Tarife, Rechnungsbeträge, Zahlstatus, Rechnungs-/Zahlerkontakte inkl. USt-IdNr.), SEPA-Mandatsdaten (Kontoinhaber:in, IBAN, BIC, Mandatsreferenz, Unterschriftsdatum - nur für Verwaltungsrollen zugänglich), bei Musikschul-Konten Teammitglieder-Daten (Einladungs-E-Mail und Rolle, Profil, Beschäftigungs- und Vergütungsdaten einschließlich Bankverbindung, Anwesenheits-/Abrechnungsnachweise), technische Portal-Zugriffsdaten (Anmeldeversuchs-Zähler), Geräte-Kennungen für Push-Benachrichtigungen (Web-Push-Endpunkt bzw. FCM-Token - nur bei aktivierten Benachrichtigungen). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; die Verantwortliche trägt dafür Sorge, solche Daten nicht einzugeben.

Zwecke

Unterrichtsverwaltung, Terminplanung (einschließlich Einteilungsassistent), Abrechnung (einschließlich SEPA-Export und Vorabankündigungen), Team-/Schulverwaltung, Kommunikation, Bereitstellung des Übungsbereichs sowie - nur bei aktivierter Funktion - KI-gestützte Entwürfe (Anhang 3, Mistral AI; übermittelt werden ausschließlich Vorname, Instrument und Notiz-/Hausübungsauszüge).

Anhang 2 - Technische und organisatorische Maßnahmen (TOMs)

Verschlüsselung: Transportverschlüsselung (TLS 1.2+) für sämtliche Verbindungen; Verschlüsselung ruhender Daten (AES-256) bei Datenbank und Dateispeicher; Nachrichten- und Rundnachrichten-Inhalte werden seit Juli 2026 zusätzlich anwendungsseitig verschlüsselt gespeichert (AES-256-GCM; serverseitige Entschlüsselung für Anzeige, Benachrichtigung und Export - keine Ende-zu-Ende-Verschlüsselung). Mandantentrennung: durchgängige Row-Level-Security - jede Datenzeile ist an das Konto der Verantwortlichen gebunden und für andere Konten technisch unzugänglich. Zugriffskontrolle: Zugriff nur nach Authentifizierung; privilegierte Systemzugriffe (Service-Role) ausschließlich serverseitig, niemals im Client; der Übungsbereich ist durch teacher-verwaltete Passwörter (scrypt-gehasht, timing-sicher verifiziert), signierte HMAC-Sitzungscookies (httpOnly, 30 Tage) und Ratenbegrenzung (max. 20 Anmeldeversuche/Tag) geschützt; rollenbasierte Rechte bei Musikschul-Konten (SEPA-Mandate der Schüler:innen/Familien nur für Verwaltungsrollen; Vergütungsdaten nur für Verwaltungsrollen und das jeweilige Teammitglied selbst); bei einem Wechsel der zugewiesenen Lehrkraft sieht die neue Lehrkraft Nachrichten und Anhänge erst ab dem Zeitpunkt ihrer Zuweisung. Weitergabekontrolle: Dateien werden nur über zeitlich begrenzte signierte URLs ausgeliefert (in der Anwendung 60 Minuten; im Datenexport für die Verantwortliche 7 Tage); Aufnahmen werden im Übungsbereich nur bei hinterlegter Einwilligung angezeigt und niemals als E-Mail-Anhang versendet; Push-Benachrichtigungen sind inhaltsfrei (keine Nachrichteninhalte). Eingabekontrolle: Statusänderungen mit Zeitstempeln und Systemnotizen (z. B. Nachholstunden-Audit-Trail); Nachrichten-Inhalte sind nach dem Versand unveränderlich (datenbankseitig erzwungen); Rundnachrichten können vom Absender bzw. der Verwaltung als Ganzes zurückgezogen werden. Verfügbarkeit: tägliche automatisierte Backups der Datenbank durch den Hosting-Subunternehmer; jederzeitige Selbstbedienungs-Exporte (JSON/CSV/PDF). Löschkonzept: Selbstlöschung einzelner Datensätze und des gesamten Kontos inklusive Speicherbereinigung; automatische Löschung von Nachrichten-Anhängen nach Ablauf von 3 Tagen (sofern nicht in die Materialien übernommen); Löschung 30 Tage nach Vertragsende. Datenschutzfreundliche Voreinstellungen: kein Tracking und keine Analyse-Tools im Übungsbereich; KI-Chat-Verläufe werden nicht serverseitig gespeichert; Medien-Einwilligungsverwaltung pro Schüler:in. Standort: Datenhaltung in der EU (Frankfurt am Main).

Anhang 3 - Genehmigte Subunternehmer

„Optional" = wird nur eingesetzt, wenn die Verantwortliche die jeweilige Funktion aktiv nutzt (E-Mail-Versand, KI-Funktionen, Live-Chat bzw. Push-Benachrichtigungen der mobilen App). Web-Push wird über den eigenen Server des Auftragsverarbeiters ausgelöst; die Inhalte sind dabei Ende-zu-Ende-verschlüsselt (RFC 8291), sodass die Push-Dienste der Browser-/ Betriebssystem-Hersteller sie nicht mitlesen können.

clubjam FlexCo · datenschutz@clubjam.co · AGB · Datenschutzerklärung · Impressum
Stand: 30. Juli 2026.