Fassung vom 6. Oktober 2026
Schulen nehmen diese Vereinbarung einmalig online an: im Admin-Bereich von Cyanschool oder über den Link, den Lehrkräfte an ihre Schulleitung weitergeben. Fragen an kontakt@cyanschool.com.
Auftraggeber (Verantwortlicher) ist die Schule, für die diese Vereinbarung über ihren Cyanschool-Zugang oder ihren persönlichen Schullink angenommen wird. Ihr Name wird bei der Annahme angezeigt. Sie wird vertreten durch die Schulleitung oder eine von ihr beauftragte Person.
Auftragnehmer (Auftragsverarbeiter) ist die Bluda UG (haftungsbeschränkt), Loreleyring 26, 56346 Sankt Goarshausen, Deutschland, vertreten durch den Geschäftsführer Maximilian Friedrich, Amtsgericht Koblenz, HRB 31811.
Ansprechstelle des Auftragnehmers für Datenschutz, Weisungen, Datenschutzverletzungen und Support ist kontakt@cyanschool.com. Ansprechstelle des Auftraggebers ist die bei der Annahme angegebene E-Mail-Adresse; Änderungen teilt der Auftraggeber per E-Mail mit.
Der Auftragnehmer betreibt für den Auftraggeber die Musiklernplattform Cyanschool: digitale Musikübungen, Klassen- und Nutzerverwaltung, Aufgaben und Arbeitsblätter, Lernstandsauswertung und Support per E-Mail. Art und Zweck der Verarbeitung, Datenarten und Betroffene beschreibt Anlage 1.
Die Vereinbarung gilt, solange der Auftraggeber Cyanschool nutzt. Danach verarbeitet der Auftragnehmer die Daten nur noch für Rückgabe und Löschung nach Abschnitt 8.
Der Auftraggeber entscheidet über Zwecke und Mittel der Verarbeitung, die Vergabe von Zugängen und die Rechtmäßigkeit des Einsatzes. Der Auftragnehmer nutzt Schüler- und Lerndaten nicht für eigene Zwecke. Besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) sind nicht vorgesehen; der Auftraggeber weist Nutzer an, in Freitexten und Dateien nur Unterrichtsinhalte einzugeben.
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ihn dazu; in diesem Fall teilt er dies vorab mit, soweit das Recht es nicht verbietet. Diese Vereinbarung und die in Cyanschool gewählten Funktionen sind die grundlegenden Weisungen. Weitere Weisungen erteilt der Auftraggeber per E-Mail. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
Zugriff auf die Daten haben nur Personen, die ihn für ihre Aufgaben brauchen und zur Vertraulichkeit verpflichtet sind. Diese Pflicht gilt über das Vertragsende hinaus.
Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er berücksichtigt dabei besonders, dass Daten von Minderjährigen verarbeitet werden. Er überprüft die Maßnahmen regelmäßig und passt sie an, ohne das Schutzniveau zu senken.
Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 14 Tage vorher per E-Mail. Der Auftraggeber kann in dieser Zeit aus wichtigem datenschutzrechtlichem Grund widersprechen; bis zur Klärung verarbeitet der neue Dienst keine Daten des Auftraggebers. Findet sich keine Lösung, kann der Auftraggeber die Nutzung beenden.
Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für sie. Übermittlungen in Drittländer erfolgen nur nach Kapitel V DSGVO.
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.
Verletzungen des Schutzes der Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, mit den verfügbaren Angaben zu Art, Umfang, Folgen und ergriffenen Maßnahmen. Fehlende Angaben reicht er nach.
Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer. Termin und Umfang werden abgestimmt. Die Befugnisse der Aufsichtsbehörden bleiben unberührt.
Nach Ende der Nutzung gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück oder löscht sie, jeweils innerhalb von 30 Tagen. Die Rückgabe erfolgt als JSON-Datei zusammen mit gespeicherten Dateien im vorhandenen Format; danach werden die restlichen Kopien gelöscht. Sicherungskopien werden spätestens mit Ablauf ihrer Aufbewahrungsfrist von 30 Tagen gelöscht und nicht wieder eingespielt. Der Auftragnehmer bestätigt die Löschung schriftlich. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden dann gesperrt.
Diese Vereinbarung wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO), indem eine vertretungsberechtigte Person der Schule sie auf Cyanschool annimmt. Der Auftragnehmer speichert dazu die Schule (mit Anschrift, soweit hinterlegt), Fassung, Zeitpunkt sowie Name, Funktion und E-Mail-Adresse der annehmenden Person. Diese Angaben verarbeitet er in eigener Verantwortung (Art. 6 Abs. 1 lit. f DSGVO), um den Vertragsschluss nachzuweisen, für die Vertragsdauer und drei Jahre ab Ende des Jahres, in dem die Nutzung endet.
Anlagen 1 bis 3 sind Teil dieser Vereinbarung. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung zum Datenschutz anderen Vereinbarungen vor. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.
| Bereich | Beschreibung |
|---|---|
| Zwecke | Digitale Musikübungen, Aufgaben und Arbeitsblätter, Klassenorganisation, Lernstandsauswertung, Support |
| Vorgänge | Erheben, Speichern, Ordnen, Auswerten, Anzeigen, Ändern, Zurückgeben, Löschen |
| Betroffene | Schülerinnen und Schüler (auch Minderjährige), Lehrkräfte, Ansprechpersonen der Schule |
| Schülerdaten | Vorname, Nachname, Jahrgang, Klasse, Zugehörigkeit zur Schule; keine E-Mail-Adresse |
| Lehrkräfte | Name, Schule, Rolle, Anmeldekennungen (auch über die von der Schule gewählte Anmeldung, z. B. VIDIS) |
| Lerndaten | Antworten, Ergebnisse, Schwierigkeitsgrad, Zeitpunkte, Aufgabenfortschritt, Arbeitsblätter, Klassenquiz-Ergebnisse, hochgeladene Dateien |
| Technische Daten | Zugangscodes (nur als Prüfwert), Sitzungen, IP-Adresse, Gerät und Zeitpunkt zum Schutz vor Missbrauch |
| Dienst | Leistung | Ort |
|---|---|---|
| Convex | Datenbank, Serverfunktionen, Dateispeicher | Datenbank in Irland (EU); Zugriffe aus den USA möglich |
| Netlify | Auslieferung der Website, Serverfunktionen | EU und USA |
| GitHub | Datensicherung (30 Tage Aufbewahrung) | USA |
Mit allen Diensten bestehen Auftragsverarbeitungsverträge. Übermittlungen in die USA erfolgen auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere EU-Standardvertragsklauseln.