Auftragsverarbeitung (Muster)

Muster

Muster einer Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO (für Hochschulen und Lehrende; Entwurf, von der Einrichtung zu prüfen und zu unterzeichnen). Rollen: Die Einrichtung (Hochschule/Lehrperson) ist Verantwortliche, MarkAssist ist Auftragsverarbeiter.

Parteien

Verantwortlicher: ______________________ (Hochschule/Einrichtung, Anschrift, vertreten durch)
Auftragsverarbeiter: Bernhard Fuchs, Schillerplatz 3, 8010 Graz, admin@markassist.at

1. Gegenstand und Dauer

Verarbeitung von Abgaben und Prüfungsleistungen (Texterkennung, Bewertungsvorschläge, Berichte) über MarkAssist im Auftrag des Verantwortlichen. Laufzeit: bis zur Beendigung des Nutzungsverhältnisses; Daten werden spätestens 24 Stunden nach dem letzten Zugriff gelöscht.

2. Art der Daten und Betroffene

Daten: Inhalte der Abgaben (Text, Scans, Bilder, Code), Name, Matrikelnummer, Handschrift, Bewertungen. Betroffene: Studierende, Lehrende. Besondere Kategorien (Art. 9) sind nicht vorgesehen. Abweichungen sind schriftlich zu vereinbaren.

3. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung (die Nutzung der Funktionen gilt als Weisung); Vertraulichkeit der eingesetzten Personen; Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Meldungen von Verletzungen (unverzüglich, spätestens binnen 24 Stunden nach Kenntnis); Löschung oder Rückgabe nach Vertragsende; Bereitstellung von Nachweisen und Duldung von Überprüfungen; Hinweis, wenn eine Weisung rechtswidrig erscheint. Keine Nutzung der Daten zum Training von KI-Modellen.

4. Technische und organisatorische Maßnahmen (Art. 32)

Verschlüsselte Übertragung (HTTPS/TLS)
Zugriffsschutz je Benutzer, Trennung der Workspaces
Anmeldung per E-Mail-Code, optional Passwort (nur als Hash gespeichert)
Automatische Löschung 24 Stunden nach letztem Zugriff
Protokollierung von Zugriffen und KI-Anfragen, begrenzter Umfang, nur Betrieb
Ratenbegrenzung und Missbrauchsschutz
Pseudonymisierung als Werkzeug vor der KI-Verarbeitung möglich
Keine Übermittlung von Studierendendaten an Anbieter außerhalb der EU
Zugriff nur für den Betreiber; Updates und Sicherungen nach Stand der Technik

5. Unterauftragsverarbeiter

Name	Leistung	Ort
Academic AI (KI-Plattform, EU)	Texterkennung, Bewertungsvorschläge	EU; [BITTE ERGÄNZEN: Anbieter und Vertrag benennen]
Hetzner	Mailserver	Deutschland
Hosting	Betrieb der Anwendung	[BITTE ERGÄNZEN: Anbieter und Standort benennen]

Keine Übermittlung in Drittländer; Studierendendaten gehen nicht an US-Anbieter. Änderungen werden mindestens 30 Tage vorab mitgeteilt; der Verantwortliche kann aus wichtigem Grund widersprechen. Bringt die Einrichtung ihren eigenen KI-Zugang mit, ist dieser Anbieter ihr eigener Auftragsverarbeiter.

6. KI-Verordnung

Der Verantwortliche bleibt Betreiber im Sinn der KI-Verordnung und stellt die menschliche Aufsicht sicher: KI-Ergebnisse sind Vorschläge, die Endentscheidung trifft eine Lehrperson. Wir stellen auf Anfrage Informationen zu Funktionsweise und Grenzen bereit.

7. Unterschriften

Ort, Datum, Unterschrift Verantwortlicher: ______________________
Ort, Datum, Unterschrift Auftragsverarbeiter: ______________________

Stand: 07.11.2026