Zum Inhalt springen
AnmeldenKostenlos ausprobieren

AVV

Stand: 14. November 2026

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gilt für Schulen, Schulträger, Institute und andere Kunden, die Listenly für die Arbeit mit Lernenden einsetzen und dabei für die Verarbeitung der Daten der Lernenden verantwortlich sind. Er ergänzt den Vertrag über die Nutzung von listenly.de (Nutzungsbedingungen und gegebenenfalls Angebot). Zum Abschluss füllen Sie die Angaben zum Auftraggeber aus, unterschreiben den Vertrag und senden ihn an kontakt@prostudy.de; eine eingescannte Fassung genügt. Sie erhalten ihn gegengezeichnet zurück. Auf Wunsch schicken wir Ihnen den Vertrag als PDF.

1. Parteien

Verantwortlicher (Auftraggeber)

Name der Schule, des Instituts oder des Trägers: ______________________________
Anschrift: ______________________________
Vertreten durch: ______________________________
Ansprechperson für Datenschutzfragen (Name, E-Mail): ______________________________
Datenschutzbeauftragte/r, falls vorhanden: ______________________________

Auftragsverarbeiter (Auftragnehmer)

ProStudy Lernhilfe, Inhaber Marcel Schneider
Hauptstraße 13, 36266 Heringen (Werra)
E-Mail: kontakt@prostudy.de, Telefon: 01520 23 184 23

2. Gegenstand, Dauer und Ort

2.1 Der Auftragnehmer stellt dem Auftraggeber die Web-App listenly.de zur Erstellung und Durchführung von Englisch-Hörverstehensaufgaben bereit. Schülerinnen und Schüler bearbeiten die Aufgaben über einen Link, einen QR-Code oder einen Code ohne eigenes Konto, auch in einer Live-Runde im Klassenraum.

2.2 Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag nur, soweit dies zur Bereitstellung der App, zur Speicherung und Anzeige der Antworten und Punkte sowie nach dokumentierter Weisung des Auftraggebers erforderlich ist.

2.3 Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten im Rahmen des Nutzungsvertrags verarbeitet. Ergebnisse von Lernenden werden spätestens 12 Monate nach der jeweiligen Abgabe automatisch gelöscht; der Auftraggeber kann sie jederzeit früher löschen.

2.4 Die Verarbeitung findet auf einem Server der Hetzner Online GmbH in Falkenstein (Deutschland) statt. Daten von Lernenden werden nicht in Länder außerhalb der Europäischen Union übermittelt.

3. Art und Zweck der Verarbeitung; Daten und betroffene Personen

Verarbeitungsvorgänge: Erheben, Speichern, Anzeigen, Auswerten anhand von Punkten, Löschen und Herausgeben personenbezogener Daten im Rahmen der Nutzung der App.

Zwecke: Durchführung von Hörverstehensübungen, Anzeige und Auswertung der Antworten für die Lehrkraft sowie Verwaltung der dafür benötigten Klassen, Lerngruppen, Aufgaben und Zugänge.

Betroffene Personen:

  • Schülerinnen und Schüler, die Aufgaben über einen Link, einen QR-Code oder einen Code bearbeiten;
  • Lehrkräfte und weitere Nutzer im Bereich des Auftraggebers, soweit ihre Daten zur Zuordnung von Aufgaben, Klassen, Ergebnissen und Nutzung im Auftrag verarbeitet werden.

Datenarten:

  • Vorname oder Kürzel der Schülerin oder des Schülers, wie er oder sie es eingibt;
  • Antworten, erreichte Punkte, Höchstpunktzahl und Zeitpunkt der Abgabe;
  • Zuordnung zur Aufgabe, zur Klasse oder Lerngruppe und zur Lehrkraft, die eine Live-Runde durchgeführt hat;
  • Angaben zu Klassen und Lerngruppen: Bezeichnung, Klassenstufe, Schulzweig und Zugangscode;
  • während einer Live-Runde: Name oder Kürzel und Antworten der Teilnehmenden;
  • zu Lehrkräften und weiteren Nutzern: Name, E-Mail-Adresse, Rolle, Einladungen und Nutzungszahlen je Person und Monat.

3.1 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für den beschriebenen Zweck nicht vorgesehen. Der Auftraggeber sorgt dafür, dass in Bezeichnungen von Klassen, in Aufgaben und durch Lernende keine solchen Daten eingegeben werden.

3.2 Nicht Gegenstand dieses Vertrags sind Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet: Kontodaten der Kontoinhaber, Vertrags-, Zahlungs- und Rechnungsdaten, die Sicherheit des Dienstes (etwa die kurzfristige Verarbeitung von IP-Adressen zur Missbrauchsbegrenzung) sowie Rückmeldungen der Lehrkräfte zu Hörtexten (Daumen und fest vorgegebene Gründe), mit denen der Auftragnehmer Listenly verbessert. Dafür gilt die Datenschutzerklärung. Daten von Lernenden fließen in diese Verbesserung nicht ein.

4. Rechte und Pflichten des Auftraggebers

4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Festlegung der Zwecke und die Information der betroffenen Personen verantwortlich. Er bestimmt die Rechtsgrundlage für die Verarbeitung der Daten der Lernenden und prüft, ob schulrechtliche Vorgaben, etwa des jeweiligen Landes, oder eine Datenschutz-Folgenabschätzung einschlägig sind.

4.2 Der Auftraggeber sorgt dafür, dass nur erforderliche Daten eingegeben werden und Lernende statt voller Namen möglichst Vornamen oder Kürzel verwenden. Er löscht Ergebnisse über die vorgesehenen Funktionen, sobald er sie nicht mehr benötigt, und ist für die Weitergabe der von ihm ausgegebenen Links und Codes verantwortlich.

4.3 Der Auftraggeber erteilt Weisungen grundsätzlich über die Funktionen der App (etwa Löschen von Ergebnissen, Klassen und Aufgaben) oder in Textform. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich,

  1. personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers und für die vereinbarten Zwecke zu verarbeiten, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber dies vorher mit, soweit das Gesetz es nicht verbietet;
  2. sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
  3. die technischen und organisatorischen Maßnahmen nach Ziffer 7 umzusetzen, regelmäßig zu überprüfen und an den Stand der Technik anzupassen; das Schutzniveau darf dabei nicht sinken;
  4. den Auftraggeber bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung sowie, soweit einschlägig, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen angemessen zu unterstützen; Anfragen betroffener Personen, die bei ihm eingehen, leitet er unverzüglich an den Auftraggeber weiter;
  5. dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform mitzuteilen und ihm die verfügbaren Informationen zur Bewertung und Erfüllung etwaiger Meldepflichten bereitzustellen;
  6. nach Ende der Verarbeitung im Auftrag nach Wahl des Auftraggebers alle Daten aus diesem Auftrag zu löschen oder ihm die Ergebnisse vorher als Datei in einem gängigen Format (z. B. CSV) herauszugeben und danach zu löschen, soweit keine gesetzliche Pflicht zur Speicherung besteht; die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende oder nach Zugang der Weisung, aus den Datensicherungen spätestens 21 Tage danach; auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform;
  7. dem Auftraggeber die zur Überprüfung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen; Prüfungen vor Ort finden nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören;
  8. den Auftraggeber unverzüglich darauf hinzuweisen, wenn eine Weisung nach seiner Einschätzung gegen Datenschutzrecht verstößt.

Der Auftragnehmer verwendet Daten von Lernenden nicht für eigene Zwecke. Insbesondere nutzt er sie nicht zur Verbesserung von Listenly oder zum Training von KI-Modellen und übermittelt sie weder an KI-Anbieter noch an Werbepartner. Auf den Seiten für Lernende setzt er keine Statistik- oder Werbedienste ein. Eine Änderung dieser Datenflüsse ist nur nach vorheriger Zustimmung des Auftraggebers in Textform zulässig.

6. Unterauftragnehmer

6.1 Der Auftraggeber genehmigt die folgenden Unterauftragnehmer:

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting von Server, Datenbank und Datensicherungen im Rechenzentrum Falkenstein (Deutschland); betrifft alle Daten aus diesem Auftrag.
  • Brevo GmbH, Köpenicker Str. 126, 10179 Berlin: Versand von Einladungen und Service-Mails an Lehrkräfte und weitere Nutzer (Name, E-Mail-Adresse, Inhalt der E-Mail) über Server in der EU; betrifft keine Daten von Lernenden.

6.2 Anthropic (KI für Texte und Fragen) und ElevenLabs (Stimmen und Geräusche) erhalten nur die Eingaben, aus denen ein Hörtext erstellt wird, und keine Daten von Lernenden. Sie sind keine Unterauftragnehmer für Daten aus diesem Auftrag. Der Auftraggeber sorgt dafür, dass Lehrkräfte in diese Eingaben keine personenbezogenen Daten von Lernenden eingeben. Der Zahlungsdienstleister Stripe verarbeitet nur Vertrags- und Zahlungsdaten, die nicht Gegenstand dieses Vertrags sind.

6.3 Will der Auftragnehmer einen Unterauftragnehmer hinzuziehen oder ersetzen, teilt er dies dem Auftraggeber mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Zutrittskontrolle: Der Server steht in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, das nach ISO/IEC 27001 zertifiziert ist; Zutritt nur für berechtigtes Personal von Hetzner. Der Auftragnehmer betreibt keine eigenen Serverräume.
  • Zugangskontrolle: Anmeldung am Server nur über SSH mit Schlüssel; die Firewall lässt nur die für den Betrieb nötigen Ports zu. Konten in Listenly sind durch Passwörter mit mindestens zehn Zeichen geschützt, die nur als Hashwert (scrypt) gespeichert werden. Anmeldeversuche werden begrenzt. Sitzungen enden nach 30 Tagen oder mit der Abmeldung; Sitzungs- und Einmal-Kennungen werden nur als Hashwert gespeichert.
  • Zugriffskontrolle: Ergebnisse sieht nur die Lehrkraft, die die Aufgabe erstellt hat; bei Aufgaben aus der Team-Bibliothek sehen andere Lehrkräfte nur die Ergebnisse ihrer eigenen Klassen. Die Verwaltung eines Teams sieht nur Nutzungszahlen, keine Namen von Lernenden. Lernende sehen Lösungen erst nach ihrer Abgabe und nur, wenn die Lehrkraft das freigibt. Zugriff auf Server und Verwaltungsbereich hat nur der Inhaber des Auftragnehmers.
  • Trennung: Die Daten jedes Kunden sind in der Datenbank einem eigenen Bereich zugeordnet; jeder Zugriff wird gegen diesen Bereich geprüft.
  • Vertraulichkeit: Personen, die Zugang zu Daten aus diesem Auftrag erhalten, werden vorher schriftlich zur Vertraulichkeit verpflichtet.
  • Verschlüsselung: Alle Verbindungen zu listenly.de laufen verschlüsselt über HTTPS (TLS). Passwörter und Zugangskennungen werden nur als Hashwert gespeichert.
  • Datenminimierung und Pseudonymisierung: Lernende brauchen kein Konto und geben nur einen Vornamen oder ein Kürzel ein; E-Mail-Adresse oder Geburtsdatum der Lernenden werden nicht abgefragt. Daten von Lernenden gehen nicht an KI-Anbieter. Fotos von Buchseiten werden nicht gespeichert.
  • Eingabe- und Weitergabekontrolle: Änderungen im Verwaltungsbereich werden mit Person und Zeitpunkt protokolliert. Daten werden nur an die in Ziffer 6 genannten Unterauftragnehmer übermittelt.
  • Verfügbarkeit und Wiederherstellung: Die Datenbank wird täglich gesichert; die Sicherungen werden 14 Tage aufbewahrt. Zusätzlich sichert Hetzner den Server. Die Anwendung startet nach einem Ausfall automatisch neu.
  • Protokollierung: Zugriffsprotokolle mit IP-Adressen werden nicht gespeichert. Fehlermeldungen werden ohne IP-Adresse protokolliert und fortlaufend überschrieben. Zähler zur Missbrauchsbegrenzung liegen nur im Arbeitsspeicher und werden nach höchstens rund einer Stunde verworfen.
  • Löschung: Ergebnisse werden 12 Monate nach der Abgabe automatisch gelöscht, außerdem mit der Aufgabe, der Klasse oder dem Konto. Gelöschte Daten sind spätestens nach 21 Tagen aus allen Sicherungen entfernt.
  • Umgang mit Sicherheitsvorfällen: Der Inhaber des Auftragnehmers ist Ansprechpartner für Sicherheitsvorfälle. Er bewertet einen Vorfall unverzüglich, ergreift Gegenmaßnahmen und informiert den Auftraggeber nach Ziffer 5 Nr. 5.
  • Überprüfung: Der Auftragnehmer überprüft die Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung des Dienstes und passt sie bei Bedarf an.

8. Weisungen und Kontakt

Weisungen in Textform erteilt der Auftraggeber an kontakt@prostudy.de. Ansprechperson des Auftragnehmers für Datenschutz und Sicherheit ist Marcel Schneider (kontakt@prostudy.de, 01520 23 184 23). Ansprechperson des Auftraggebers ist die unter Ziffer 1 genannte Person.

9. Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz den Nutzungsbedingungen vor. Im Übrigen gelten die Nutzungsbedingungen, auch für die Haftung. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

10. Unterschriften

Für den Auftraggeber

Name, Funktion: ______________________________
Ort, Datum: ______________________________
Unterschrift: ______________________________

Für den Auftragnehmer

Marcel Schneider, ProStudy Lernhilfe
Ort, Datum: ______________________________
Unterschrift: ______________________________