Auftragsverarbeitungsvertrag

Samio Learning ist eine adaptive Lernplattform für die Grundschulbildung. Wir verarbeiten Daten ausschließlich zur Erbringung des Dienstes: - Schülerdaten — Vorname, Alter und Sprachpräferenz. Schüler haben KEINE persönlichen Anmeldedaten; Zugang über Klassencodes. - Lehrer-/Admin-Daten — E-Mail, Name und Rolle für die Dashboard-Authentifizierung. - Sitzungsdaten — App-generierte Gerätekennungen. - Audit-Protokolle — Benutzeraktionen, Zeitstempel und IP-Adressen (12 Monate). Optional: Edu-V/SIS, Entree SSO, Google Classroom oder LTI. Keine Verarbeitung für Marketing oder Profiling.

Für Kinder von 4–12 Jahren konzipiert: - Keine persönlichen Konten für Schüler — keine E-Mail, kein Passwort. - Zugang über Klassencodes und Namensliste des Lehrers. - Nur Vorname und Alter werden gespeichert. - Gerätefreigabe kann erforderlich sein. - Datenminimierung durchgängig angewendet.

- Schüler- und Übungsdaten — Dauer des Dienstes + 30 Tage nach Beendigung. - Lehrerkonten — Dauer des Dienstes + 30 Tage. - Audit-Protokolle — 12 Monate, automatisch gelöscht. - Sitzungstoken — Automatischer Ablauf (max 30 Tage). - Backups — Maximum 30 Tage nach Löschung der Quelldaten. Nach Beendigung automatische Löschung über täglichen DSGVO-Prozess.

- MongoDB Atlas — Datenbankhosting (EU-Region) — EU-SCCs - Redis Ltd. — Rate Limiting und Caching - Mailjet SAS — Transaktions-E-Mail (EU, Frankreich) - PayPal Europe — Zahlungen (EU, Luxemburg) - Google LLC (reCAPTCHA) — Bot-Schutz — EU-US DPF - Google LLC (OAuth/Classroom) — Optionales SSO — EU-US DPF - Microsoft Corp. (Azure AD) — Optionales SSO — EU-US DPF - Kennisnet (Entree) — Optionales SSO (Niederlande) - DeepSeek — KI-Übungsgenerierung (keine personenbezogenen Daten) - Backblaze B2 — Audio-Speicher (keine personenbezogenen Daten) Alle durch gleichwertige Vereinbarungen gebunden.

- Verschlüsselung bei Übertragung (HTTPS/TLS 1.2+, HSTS) und im Ruhezustand (AES-256). - Authentifizierung: bcrypt (12 Runden), rotierende JWT-Token. - Rollenbasierte Zugriffskontrolle. - Redis-Rate-Limiting. - Sicherheits-Header via Helmet.js. - Eingabevalidierung mit parametrisierten Abfragen. - Vorfallreaktion: Meldung an die Schule innerhalb von 24 Stunden, Kooperation mit Aufsichtsbehörde innerhalb von 72 Stunden.

Auskunft, Berichtigung, Löschung, Übertragbarkeit und Einschränkung über das Dashboard. Vollständige Löschung mit 30-tägiger Bestätigungsfrist. Frist: 30 Tage. Kontakt: info@samiolearning.com.

Geekcow Creative Studio (Samio Learning) Willem de Merodestraat 91 1382TC Weesp, Niederlande KvK: 73006637 Datenschutzkontakt: omolina@geekcowsd.com Allgemein: info@samiolearning.com