Datenverarbeitungsvereinbarung (DPA)
Datum des Inkrafttretens: 22. August 2026
Diese Datenverarbeitungsvereinbarung ist Teil unserer Nutzungsbedingungen und gilt immer dann, wenn Galactic Matrix - Portugal personenbezogene Daten im Auftrag einer Bildungseinrichtung verarbeitet. Sie wurde verfasst, um die Anforderungen von Artikel 28 der Datenschutz-Grundverordnung (DSGVO) zu erfüllen.
1. Umfang und Anwendbarkeit
Diese Datenverarbeitungsvereinbarung („DPA“) gilt für die Verarbeitung personenbezogener Daten von Schülern und Nutzern durch Galactic Matrix - Portugal (den „Prozessor“) im Auftrag von Bildungseinrichtungen und Pädagogen (den „Kunden“) bei der Nutzung der ZunoTales-Plattform. Sie gilt nicht für private Familienkonten, bei denen wir als Verantwortlicher handeln und unsere Datenschutzrichtlinie maßgeblich ist.
2. Rollen und Verantwortlichkeiten
Der Kunde fungiert als Datenverantwortlicher und Galactic Matrix - Portugal als Datenverarbeiter. Der Kunde ist dafür verantwortlich, alle erforderlichen elterlichen Zustimmungen gemäß den geltenden Gesetzen (z. B. COPPA, FERPA, DSGVO) einzuholen, für die Richtigkeit der von ihm bereitgestellten Daten und dafür, dass er eine rechtmäßige Grundlage für die von ihm angewiesene Verarbeitung hat.
3. Gegenstand, Dauer, Art und Zweck
Gegenstand der Verarbeitung ist die Bereitstellung der ZunoTales geschichtenbasierten Lernplattform. Die Art und der Zweck der Verarbeitung ist die Erstellung, Speicherung, Erzählung, Übersetzung und Anzeige personalisierter Geschichten und Lernaktivitäten für Schüler sowie die Bereitstellung von Lehr- und Kontoverwaltungstools für den Kunden. Die Verarbeitung dauert für die Dauer des Abonnements des Kunden an und endet wie in Abschnitt 14 beschrieben.
4. Kategorien von Daten und betroffenen Personen
Betroffene Personen sind die Schüler sowie die Pädagogen und Administratoren des Kunden. Die im Rahmen dieser Vereinbarung verarbeiteten Daten umfassen:
- Vornamen der Schüler, Alter oder Jahrgangsstufen und Profileinstellungen wie Interessen und Lesestufe.
- Namen und Kontaktdaten von Lehrern, Pädagogen und Administratoren.
- Vom Benutzer generierte Geschichte, Eingabeaufforderungen und optionale geführte AI-Konversationsprotokolle.
- Analysen zur Nutzung im Klassenzimmer, Lernaktivitäten und Quizleistungen.
- Optionale Fotos von Schülern, die der Kunde zur Veranschaulichung hochladen möchte.
Die Dienste sind nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO vorgesehen. Der Kunde darf die Eingabe solcher Daten oder von nationalen Schülerkennungen, Privatadressen oder Gesundheitsdaten in die Dienste weder anweisen noch zulassen.
5. Verarbeitung nach dokumentierten Anweisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur nach dokumentierten Anweisungen des Kunden, auch in Bezug auf internationale Übermittlungen, es sei denn, anwendbares Recht schreibt etwas anderes vor — in diesem Fall wird der Auftragsverarbeiter den Kunden vor der Verarbeitung über diese rechtliche Anforderung informieren, es sei denn, das Gesetz verbietet dies. Diese DPA, die Nutzungsbedingungen und die Nutzung und Konfiguration der Dienste durch den Kunden stellen die vollständigen dokumentierten Anweisungen des Kunden dar. Der Auftragsverarbeiter wird den Kunden unverzüglich informieren, wenn eine Anweisung seiner Meinung nach gegen geltendes Datenschutzrecht verstößt.
6. Vertraulichkeit des Personals
Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Mitarbeiter einer angemessenen Vertraulichkeitspflicht unterliegen, Datenschutzschulungen erhalten, die ihrer Rolle angemessen sind, und der Zugriff nur auf einer dokumentierten Basis des geringsten Privilegs gewährt wird.
7. Sicherheitsmaßnahmen
Galactic Matrix - Portugal implementiert angemessene technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO, einschließlich Verschlüsselung personenbezogener Daten während der Übertragung und im Ruhezustand, sicherer Authentifizierungs- und Zugriffskontrollen, Administratorzugriff mit geringstem Privileg, Netzwerk- und Anwendungssicherheitskontrollen einschließlich einer strikten Content Security Policy, Protokollierung des Administratorzugriffs und regelmäßiger Überprüfung dieser Maßnahmen, wenn sich unsere Systeme oder Verarbeitungsaktivitäten wesentlich ändern.
8. Keine Verwendung von Kundendaten für KI-Training
Der Auftragsverarbeiter trainiert keine Modelle der künstlichen Intelligenz. Der Auftragsverarbeiter verwendet Modelle von Drittanbietern zur Generierung von Storytexten, Illustrationen und Erzählungen und verlangt vertraglich, dass personenbezogene Daten von Schülern und Kundeninhalte, die an diese Modelle übermittelt werden, nicht zum Training oder zur Verbesserung dieser Modelle verwendet werden. Kundendaten werden nicht zur Entwicklung, Bewertung oder Verbesserung von Modellen verwendet und zu diesem Zweck nicht an KI-Anbieter weitergegeben.
9. Unterauftragsverarbeiter
Der Kunde erteilt dem Auftragsverarbeiter eine allgemeine Ermächtigung zur Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in dieser DPA, und bleibt dem Kunden gegenüber für deren Leistung voll verantwortlich. Die derzeit eingesetzten Unterauftragsverarbeiter sind:
- Google Cloud Platform / Firebase — Anwendungs-Hosting, Datenbank, Authentifizierung und Dateispeicher.
- Google Cloud AI (Gemini und Cloud Text-to-Speech) — Storytext- und Illustrationsgenerierung sowie Audio-Erzählung.
- Stripe — Zahlungsabwicklung für Kartenabonnements. Stripe erhält keine Schülerdaten.
- Resend — Zustellung von Transaktions-E-Mails wie Einladungen und Kontobenachrichtigungen. Resend erhält keine Schülerdaten.
Der Auftragsverarbeiter wird dem Kunden mindestens 30 Tage vor der Hinzufügung oder dem Ersatz eines Unterauftragsverarbeiters, der personenbezogene Daten von Schülern verarbeitet, Mitteilung machen. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Widerspruch einlegen; können die Parteien den Widerspruch nicht lösen, kann der Kunde die betroffenen Dienste fristlos und ohne Vertragsstrafe kündigen und eine anteilige Rückerstattung der vorausbezahlten Gebühren erhalten.
10. Internationale Datenübermittlungen
Personenbezogene Daten werden auf Infrastruktur gespeichert, die von Google Cloud betrieben wird. Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs übertragen, stellt der Auftragsverarbeiter einen geeigneten Übermittlungsmechanismus gemäß Kapitel V DSGVO sicher — nämlich einen Angemessenheitsbeschluss, sofern ein solcher anwendbar ist, oder andernfalls die Standardvertragsklauseln der Europäischen Kommission (und den UK International Data Transfer Addendum für Übermittlungen im Vereinigten Königreich) zusammen mit ergänzenden technischen Maßnahmen, einschließlich Verschlüsselung während der Übertragung und im Ruhezustand. Details der verwendeten Übermittlungsmechanismen sind auf Anfrage beim Datenschutzbeauftragten erhältlich.
11. Unterstützung bei Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Verpflichtung des Kunden, auf Anfragen zur Ausübung der Betroffenenrechte gemäß Kapitel III DSGVO zu reagieren. Die meisten Anfragen können vom Kunden direkt erfüllt werden: Pädagogen und Kontoinhaber können Schülerprofile und die zugehörigen Geschichten über das Dashboard aufrufen, korrigieren, exportieren und löschen. Erhält der Auftragsverarbeiter eine Anfrage direkt von einem Betroffenen, die sich auf Kundendaten bezieht, wird er nicht inhaltlich antworten und die Anfrage unverzüglich an den Kunden weiterleiten.
12. Datenschutz-Folgenabschätzung
Der Auftragsverarbeiter unterstützt den Kunden angemessen bei Datenschutz-Folgenabschätzungen und jeder vorherigen Konsultation mit einer Aufsichtsbehörde gemäß Artikel 35 und 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
13. Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten
Im Falle einer Verletzung des Schutzes personenbezogener Daten, die die persönlichen Daten des Kunden betrifft, wird Galactic Matrix - Portugal den Kunden unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Bekanntwerden, benachrichtigen. Die Benachrichtigung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen zu deren Behebung sowie eine Kontaktstelle für weitere Informationen. Falls diese Informationen nicht sofort verfügbar sind, werden sie schrittweise ohne weitere unangemessene Verzögerung bereitgestellt. Der Auftragsverarbeiter wird die betroffenen Personen nicht direkt benachrichtigen, es sei denn, der Kunde weist ihn dazu an oder er ist gesetzlich dazu verpflichtet.
14. Rückgabe und Löschung von Daten
Bei Beendigung oder Ablauf der Dienste kann der Kunde seine Daten aus dem Dashboard exportieren. Nach Wahl des Kunden löscht oder gibt der Auftragsverarbeiter alle in seinem Auftrag verarbeiteten personenbezogenen Daten zurück und löscht bestehende Kopien, es sei denn, anwendbares Recht erfordert eine fortgesetzte Speicherung. Sofern der Kunde nichts anderes verlangt, werden Daten, die mit einem geschlossenen Institutionskonto verbunden sind, innerhalb von 90 Tagen nach Beendigung gelöscht. Das Löschen eines Schülerprofils löscht die Geschichten dieses Schülers und die damit verbundenen Daten. Backups werden im Rahmen unserer regulären Backup-Rotation gelöscht.
15. Aufbewahrung
Personenbezogene Daten werden so lange aufbewahrt, wie das Konto des Kunden aktiv ist, und danach wie in Abschnitt 14 beschrieben. Transkripte von geführten KI-Gesprächen werden nach 12 Monaten automatisch gelöscht und sofort, wenn das entsprechende Schülerprofil oder das Konto gelöscht wird.
16. Audits und Informationen
Der Auftragsverarbeiter stellt dem Kunden alle Informationen zur Verfügung, die zur Einhaltung von Artikel 28 DSGVO erforderlich sind, und ermöglicht und trägt zu Audits, einschließlich Inspektionen, bei, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden. Audits werden nach angemessener vorheriger schriftlicher Ankündigung, nicht öfter als einmal in einem Zeitraum von zwölf Monaten, es sei denn, es liegt eine Verletzung des Schutzes personenbezogener Daten vor oder dies ist von einer Aufsichtsbehörde vorgeschrieben, während der Geschäftszeiten, unter Einhaltung von Vertraulichkeitsverpflichtungen und in einer Weise durchgeführt, die den Betrieb des Auftragsverarbeiters oder die Sicherheit der Daten anderer Kunden nicht stört. Der Auftragsverarbeiter kann eine Prüfanfrage erfüllen, indem er seine Sicherheitsdokumentation bereitstellt und einen angemessenen Sicherheitsfragebogen beantwortet.
17. FERPA — Bezeichnung als Schulbeamter
Für Kunden, die dem US Family Educational Rights and Privacy Act unterliegen, fungiert der Auftragsverarbeiter als „school official“ mit einem „legitimate educational interest“ an den Bildungsdaten der Schüler, unter der direkten Kontrolle des Kunden hinsichtlich deren Nutzung und Pflege. Der Auftragsverarbeiter verwendet Bildungsdaten nur zur Bereitstellung der Dienste für den Kunden, gibt sie nicht weiter, es sei denn, dies ist durch FERPA erlaubt oder vom Kunden angewiesen, und verwendet sie nicht für Werbung oder zum Aufbau nicht-pädagogischer Profile von Schülern.
18. Haftung und Rangfolge
Im Falle eines Konflikts zwischen dieser DPA und den Nutzungsbedingungen hat diese DPA Vorrang hinsichtlich der Verarbeitung personenbezogener Daten des Kunden. Wenn der Kunde eine separate schriftliche Datenverarbeitungsvereinbarung mit Galactic Matrix - Portugal abgeschlossen hat, hat diese Vereinbarung Vorrang. Die Haftung jeder Partei unter dieser DPA unterliegt den Haftungsbeschränkungen in den Nutzungsbedingungen, es sei denn, diese Beschränkungen dürfen gesetzlich nicht angewendet werden.
19. Kontaktinformationen
Für Anfragen zur Datenverarbeitung, um eine Kopie der verwendeten Übertragungsmechanismen anzufordern oder um ein Recht unter dieser DPA auszuüben, kontaktiere bitte unseren Datenschutzbeauftragten unter dpo@zunotales.com.
20. Sprache
Diese DPA kann dir zu deiner Bequemlichkeit auch in anderen Sprachen als Englisch zur Verfügung gestellt werden. Im Falle eines Konflikts zwischen der englischen Version und einer Übersetzung hat die englische Version Vorrang.