Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag («AVV») ist Bestandteil der Allgemeinen Geschäftsbedingungen und der Datenschutzerklärung zwischen den Parteien und regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Mektebi-Plattform durchführt. Er wird abgeschlossen, wie es das Gesetz über den Schutz personenbezogener Daten der Republik Nordmazedonien (Amtsblatt der RNM Nr. 42/2020, in der geänderten Fassung) (das «LPDP») verlangt, das mit der EU-Datenschutz-Grundverordnung (DSGVO) harmonisiert ist. Ist der Verantwortliche in der Schweiz niedergelassen, gilt stattdessen die Schweizer Variante dieses AVV.

1. Parteien

• Auftragsverarbeiter: FETOSOFT DOOEL, Goce Delchev 2/32, 1300 Kumanovo, Nordmazedonien — support@fetosoft.com
• Verantwortlicher: die Schule / Moschee, die diesen AVV akzeptiert, identifiziert durch ihr Konto auf der Plattform und die in ihrem Namen annehmende Person.

Dieser AVV wird an dem Tag wirksam, an dem der Verantwortliche ihn auf der Plattform akzeptiert (elektronisch aufgezeichnet).

2. Begriffsbestimmungen

Begriffe wie «personenbezogene Daten», «besondere Kategorien personenbezogener Daten», «Verarbeitung», «Verantwortlicher», «Auftragsverarbeiter», «Unterauftragsverarbeiter», «betroffene Person», «Verletzung des Schutzes personenbezogener Daten» und «Aufsichtsbehörde» haben die ihnen im LPDP zugewiesene Bedeutung. Die «Agentur» bezeichnet die Agentur für den Schutz personenbezogener Daten der Republik Nordmazedonien (AZLP), Skopje.

3. Rollen der Parteien

3.1 Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Schülerinnen und Schüler, Eltern und Lehrkräfte und ist für die Rechtmässigkeit dieser Verarbeitung verantwortlich — einschliesslich jeder erforderlichen Einwilligung, insbesondere der ausdrücklichen Einwilligung für Daten besonderer Kategorien (religiöser Kontext) und der Einwilligung der Eltern/Sorgeberechtigten für Kinder, soweit das für den Verantwortlichen geltende Recht dies verlangt.

3.2 Der Auftragsverarbeiter verarbeitet diese personenbezogenen Daten nur auf die dokumentierten Weisungen des Verantwortlichen, wie in diesem AVV und in Anhang 1 festgelegt.

3.3 FETOSOFT handelt nur für die begrenzten Daten zur Kontoverwaltung, zu Sicherheitsprotokollen und zu Website-Besuchern, die in seiner Datenschutzerklärung beschrieben sind, als eigenständiger Verantwortlicher; diese Verarbeitung fällt nicht in den Anwendungsbereich dieses AVV.

4. Gegenstand und Weisungen

4.1 Art, Zweck, Datentypen und betroffene Personen sind in Anhang 1 beschrieben.

4.2 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf die dokumentierten Weisungen des Verantwortlichen — einschliesslich des Betriebs der Plattformfunktionen so, wie sie vom Verantwortlichen konfiguriert sind — es sei denn, er ist gesetzlich zu einem anderen Handeln verpflichtet; in diesem Fall informiert er den Verantwortlichen vorab, sofern das Gesetz dies nicht verbietet.

4.3 Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung seiner Ansicht nach gegen das LPDP oder anderes anwendbares Datenschutzrecht verstösst.

4.4 Der Auftragsverarbeiter darf die personenbezogenen Daten nicht für eigene Zwecke verwenden, sie nicht verkaufen oder für kommerzielle Zwecke zur Verfügung stellen und sie nicht für Werbung, Profiling oder Analysen nutzen. Nicht darunter fallen die eigenen Statistiken des Auftragsverarbeiters über Besucher der öffentlichen Website (Ziffer 3.3): Google Analytics läuft ausschliesslich auf der öffentlichen Website, nur für nicht angemeldete Besucher und nur mit deren Cookie-Einwilligung, und nie innerhalb der Plattform oder der Apps.

5. Pflichten des Auftragsverarbeiters

• Vertraulichkeit — zur Verarbeitung der Daten befugte Personen sind zur Vertraulichkeit verpflichtet und verarbeiten sie nur nach Weisung.
• Sicherheit — angemessene technische und organisatorische Massnahmen, wie vom LPDP verlangt, beschrieben in Anhang 2.
• Unterauftragsverarbeiter — nur jene in Anhang 3 oder andere, die nach Ziffer 6 zugelassen sind.
• Rechte betroffener Personen — den Verantwortlichen so weit wie möglich dabei unterstützen, auf betroffene Personen zu reagieren, die ihre Rechte nach dem LPDP ausüben.
• Unterstützung — bei Sicherheit, Meldung von Verletzungen, Folgenabschätzungen und vorheriger Konsultation der Agentur unterstützen, unter Berücksichtigung der dem Auftragsverarbeiter verfügbaren Informationen.
• Meldung von Verletzungen — den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen, mit den Informationen, die der Verantwortliche benötigt, um seinen eigenen Meldepflichten nachzukommen.
• Löschung oder Rückgabe — nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Dienste löschen oder zurückgeben und bestehende Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Aufzeichnungen und Prüfungen — die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung erforderlich sind, sowie Prüfungen auf angemessene Ankündigung hin ermöglichen und dazu beitragen, vorbehaltlich der Vertraulichkeit.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der Unterauftragsverarbeiter in Anhang 3.

6.2 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich gleichwertige Datenschutzpflichten auf und bleibt für dessen Leistung voll verantwortlich.

6.3 Der Auftragsverarbeiter kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an; in dieser Zeit kann der Verantwortliche aus berechtigten Datenschutzgründen Einspruch erheben; bleibt dieser ungelöst, kann der Verantwortliche den betroffenen Dienst beenden.

7. Internationale Übermittlungen

7.1 Die Anwendung, die Datenbank und hochgeladene Dateien werden innerhalb des Europäischen Wirtschaftsraums gehostet (Anhang 3).

7.2 Der Auftragsverarbeiter und sein Personal greifen aus Nordmazedonien auf die personenbezogenen Daten zu, um die Plattform zu betreiben und zu unterstützen. Soweit das für den Verantwortlichen geltende Recht Nordmazedonien als Land ohne angemessenes Schutzniveau behandelt (zum Beispiel nach der EU-DSGVO), ist dieser Zugriff durch geeignete Garantien abgedeckt — die EU-Standardvertragsklauseln (Modul Zwei, Verantwortlicher zu Auftragsverarbeiter) in Anhang 4, die die Parteien abschliessen.

7.3 Bestimmte Unterauftragsverarbeiter (Anhang 3) verarbeiten begrenzte Daten in den Vereinigten Staaten, im Rahmen des EU–U.S. Data Privacy Framework, sofern der Empfänger zertifiziert ist, andernfalls unter den Klauseln in Anhang 4.

7.4 Im Falle eines Widerspruchs zwischen diesem AVV und den Klauseln in Anhang 4 hinsichtlich des Schutzes übermittelter Daten gehen die Klauseln vor.

8. Pflichten des Verantwortlichen

Der Verantwortliche sichert zu, dass er für die von ihm angewiesene Verarbeitung über eine gültige Rechtsgrundlage nach anwendbarem Recht verfügt, den betroffenen Personen die erforderlichen Informationen erteilt und jede erforderliche Einwilligung eingeholt hat (einschliesslich für Daten besonderer Kategorien und für Daten von Kindern). Er ist für die Richtigkeit der von ihm eingegebenen Daten und für die Verwaltung der Zugriffsrechte seiner Administratorinnen und Administratoren, Lehrkräfte und Eltern verantwortlich.

9. Haftung

Jede Partei haftet für Schäden, die durch eine Verarbeitung verursacht werden, die gegen anwendbares Datenschutzrecht verstösst.

10. Laufzeit und Beendigung

Dieser AVV bleibt so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Klauseln, die ihrer Natur nach fortbestehen sollten (Vertraulichkeit, Löschung/Rückgabe, die Klauseln in Anhang 4, Haftung), bleiben über die Beendigung hinaus in Kraft.

11. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Republik Nordmazedonien, und die Gerichte in Skopje sind zuständig, unbeschadet zwingender Datenschutz- oder Verbraucherschutzregeln, die auf den Verantwortlichen oder die betroffenen Personen in ihrem Wohnsitzland anwendbar sind. Die Klauseln in Anhang 4 behalten für die von ihnen erfassten Belange ihre eigenen Bestimmungen zu anwendbarem Recht und Gerichtsstand.

12. Annahme

Dieser AVV wird elektronisch dadurch abgeschlossen, dass ein bevollmächtigter Vertreter des Verantwortlichen ihn auf der Plattform akzeptiert; die Plattform zeichnet die annehmende Person, ihre Rolle, die Schule, die Dokumentversion sowie Datum und Uhrzeit auf.

---

Anhang 1 — Beschreibung der Verarbeitung

• Gegenstand: Bereitstellung der Mektebi-Plattform für islamische Bildung und Schulverwaltung.
• Dauer: solange der Verantwortliche ein Konto unterhält.
• Kategorien betroffener Personen: die Schülerinnen und Schüler des Verantwortlichen (einschliesslich Minderjähriger), Eltern/Sorgeberechtigte, Lehrkräfte und Administratorinnen und Administratoren, weitere Personen, die sie in Nachrichten oder Notizen nennen, sowie weitere Personen, deren Stimme in einer Aufnahme zu hören ist.
• Arten personenbezogener Daten: Identifikation & Kontakt (Name, E-Mail, Telefon, Passwort-Hash, Sprache); Profil (Anrede/islamischer Titel, Geschlecht, Geburtsdatum, Stufe, Mentor-Verknüpfungen); Adresse (verschlüsselt); Bildungsunterlagen (Anmeldungen, Noten, Lernfortschritt, Anwesenheit, Sorgeverhältnisse); Inhalte (Fotos, Lehrmaterialien — Text, Bilder, Audio); Sicherheit (Zwei-Faktor-Geheimnisse).
• Familienfunktionen: von Familien gesendete Abwesenheitsmeldungen (Daten und eine freiwillige Notiz, die einen gesundheitlichen Grund nennen kann; verschlüsselt, 12 Monate nach Ende des Schuljahres gelöscht); Zustellungsangaben zu Mitteilungen (wer eine Mitteilung der Moschee erhalten und geöffnet hat und welche erziehungsberechtigte Person sie für welches Kind bestätigt hat; 12 Monate nach Ablauf der Mitteilung gelöscht).
• Nachrichten: Chats innerhalb der Moschee des Verantwortlichen zwischen ihren Lernenden, Eltern, Lehrkräften und Administratorinnen und Administratoren: Nachrichtentext (verschlüsselt), Sprachaufnahmen, Fotos, PDF-Dateien und Verweise auf Lektionen, Kurse und Aufgaben; Lesestatus; Blockierungen zwischen Nutzerinnen und Nutzern; Meldungen von Nachrichten, die an die Administratorinnen und Administratoren des Verantwortlichen und an das Moderationspostfach des Auftragsverarbeiters gehen, der sie innerhalb von 24 Stunden prüft. Aufbewahrt, bis die verfassende Person eine Nachricht innerhalb von 15 Minuten löscht, oder gelöscht mit dem Kurs, mit der Person, um die es im Chat geht, oder mit dem Konto des Verantwortlichen.
• Abwesenheitsgründe und Lernfortschritt: der freiwillige Grund in einer Abwesenheitsmeldung (krank, Familie, Reise oder Anderes); Einträge zu Rezitationen (was rezitiert wurde, das Ergebnis und eine freiwillige, verschlüsselte Notiz); Bemerkungen der Lehrkräfte und veröffentlichte Lernberichte (verschlüsselte Momentaufnahmen) mit der Angabe, dass ein Elternteil sie gesehen hat; der erreichte Stand im Audio einer Lektion.
• Rezitationsaufnahmen: freiwillige Tonaufnahmen der Rezitation einer oder eines Lernenden, die eine Lehrkraft beim Erfassen einer Rezitation macht, nur sofern der Verantwortliche Aufnahmen eingeschaltet hat, und nicht für Lernende, die er davon ausgenommen hat; gespeichert mit dem jeweiligen Rezitationseintrag; abgespielt nur für die Mitarbeitenden des Verantwortlichen, die oder den Lernenden und die bestätigten Eltern von Lernenden unter 18 Jahren (oder ohne erfasstes Geburtsdatum), über Links, die nach fünf Minuten ablaufen; nie veröffentlicht, nie an andere Moscheen weitergegeben und nicht per E-Mail oder Push-Benachrichtigung versendet; nicht verarbeitet, um Personen an ihrer Stimme zu identifizieren, und nicht automatisch ausgewertet. Sofort gelöscht, wenn die Mitarbeitenden des Verantwortlichen die Aufnahme entfernen oder den Rezitationseintrag löschen, wenn die oder der Lernende aus der Moschee entfernt wird oder das eigene Konto löscht, sowie mit dem Konto des Verantwortlichen.
• Lektionsübungen: die Antworten einer oder eines Lernenden auf Lektionsübungen, die Zeichnungen oder Handschrift, Fotos einer Seite aus dem Arbeitsheft und, unter denselben Bedingungen wie Rezitationsaufnahmen, Aufnahmen der oder des Lernenden beim Lesen enthalten können; sowie eine freiwillige Sprachnotiz der Lehrkraft zu einer korrigierten Hausaufgabe. Sichtbar für dieselben Personen wie Rezitationsaufnahmen, über Links, die nach fünf Minuten ablaufen. Die Dateien werden gelöscht, wenn die oder der Lernende aus der Moschee entfernt wird oder das eigene Konto löscht, sowie mit dem Konto des Verantwortlichen.
• Lernenden folgen: welche Mitarbeitenden des Verantwortlichen welchen Lernenden folgen, und die Benachrichtigungen, die dadurch für diese Mitarbeitenden entstehen (eine Notiz, eine Rezitation oder eine Abwesenheit, die eine andere Person erfasst hat, oder eine Aufgabe, die die oder der Lernende abgegeben hat). Nur für die Mitarbeitenden des Verantwortlichen verfügbar und auf die Moschee des Verantwortlichen beschränkt.
• Technische Daten: Sitzungseinträge (ein Hash des Sitzungsschlüssels sowie Zeitpunkt der Erstellung und der letzten Nutzung; keine IP-Adresse); das Token des privaten Kalenderlinks von Lernenden oder Eltern; Push-Tokens.
• Besondere Kategorien: Daten, die religiöse Überzeugung offenbaren (inhärent der Anmeldung an einer Moschee/einem Mekteb, islamischen Titeln und Aufnahmen, in denen Lernende den Koran rezitieren), verarbeitet auf Grundlage der ausdrücklichen Einwilligung, die der Verantwortliche bereitstellt. Dazu gehören auch Gesundheitsdaten, wenn eine Abwesenheitsmeldung den Grund «krank» angibt oder ihre Notiz eine Krankheit nennt; sie dienen nur dazu, dass der Verantwortliche seinen Unterricht organisieren und Abwesenheiten entschuldigen kann. Rezitationsaufnahmen und Leseaufnahmen aus Lektionsübungen sind keine biometrischen Daten; sie werden nicht mit speziellen technischen Verfahren verarbeitet, um eine Person an ihrer Stimme zu identifizieren (Art. 4 Nr. 14 DSGVO).

Anhang 2 — Technische und organisatorische Massnahmen

• Verschlüsselung bei der Übertragung (HTTPS/TLS) für den gesamten Datenverkehr.
• Verschlüsselung im Ruhezustand für sensible personenbezogene Daten: Adressen, Telefonnummern, Geburtsdaten, Geschlecht, religiöse Titel, Angaben zum Sorgeverhältnis, Notizen von Lehrpersonen, Noten sowie Bemerkungen zu Noten und Anwesenheit, Zwei-Faktor-Geheimnisse und Zugriffstoken.
• Passwörter werden nur als gesalzene Hashes (bcrypt) gespeichert; verschlüsselte Sitzungscookies; optionale Zwei-Faktor-Authentifizierung.
• Ebenfalls verschlüsselt im Ruhezustand: Text von Chat-Nachrichten, Notizen in Abwesenheitsmeldungen, Notizen zu Rezitationen, Bemerkungen in Lernberichten sowie veröffentlichte Lernberichte. Dateien in Chats, Abgaben, Mitteilungen und Lektionsübungen sowie Rezitationsaufnahmen werden nur berechtigten Personen über Links bereitgestellt, die nach fünf Minuten ablaufen. Serverseitige Sitzungen speichern nur einen Hash des Sitzungsschlüssels und enden mit der Abmeldung oder nach zwei Wochen ohne Nutzung.
• Strikte Mandantentrennung — die Datensätze jeder Schule sind getrennt, und die Plattform setzt diese Trennung technisch durch; eine Person, die mehreren Schulen angehört, hat an jeder Schule ein eigenes Profil, und keine Schule kann die Datensätze einer anderen Schule über diese Person einsehen. Das Login dieser Person (Name, E-Mail-Adresse, Profilfoto und Passwort) ist ein einziges Konto, das sie selbst verwaltet; Name, E-Mail-Adresse und Profilfoto sind für jede Schule sichtbar, der sie angehört, und eine Schule kann das Login einer Person, die auch einer anderen Schule angehört, nicht ändern.
• Zugriff nach dem Prinzip der minimalen Berechtigung, rollenbasiert (Admin / Lehrkraft / Elternteil / Schüler).
• Kein Massenexport oder Massenimport personenbezogener Daten von Mitgliedern wird Schulnutzern bereitgestellt — Datensätze werden einzeln erstellt und gepflegt.
• Keine Analysen, Werbung, kein Tracking oder Profiling innerhalb der Plattform oder der Apps (Google Analytics läuft nur auf der öffentlichen Website, nur für nicht angemeldete Besucher und nur mit deren Cookie-Einwilligung) und kein Verkauf oder kommerzielles Teilen personenbezogener Daten.
• Hosting innerhalb des Europäischen Wirtschaftsraums; Fehler-/Verfügbarkeitsüberwachung; Sicherheitsprotokollierung; regelmässige Backups mit kontrollierter Aufbewahrung.

Anhang 3 — Genehmigte Unterauftragsverarbeiter

Anhang 4 — Standardvertragsklauseln

Für Übermittlungen, die sie erfordern, schliessen die Parteien die EU-Standardvertragsklauseln (Modul Zwei: Verantwortlicher zu Auftragsverarbeiter), Durchführungsbeschluss (EU) 2021/914 der Kommission, ab. Die Anlage zu den Klauseln wird aus den Anhängen 1–3 oben befüllt.

---

Dieses Dokument dient der Transparenz und stellt keine Rechtsberatung dar. Es wird vor jeder Berufung darauf gegen das aktuell anwendbare Recht geprüft.