Auftragsverarbeitungsvertrag für Schulen

Auftragsverarbeitungsvertrag

Vereinbarung über die Bearbeitung von Personendaten im Auftrag, Version 1.0

Zwischen

Name

________________________

Adresse

________________________

Vertreten durch

________________________

Funktion

________________________

nachfolgend «Verantwortliche»

Und

Name

blackpine GmbH

Adresse

Bahnhofstrasse 2, 6210 Sursee, Schweiz

Vertreten durch

Philippe Wettstein und Marc Sen, Gesellschafter

Kontakt

[email protected]

nachfolgend «Auftragsverarbeiterin», gemeinsam «Parteien»

Präambel

Die Verantwortliche nutzt die Lernanwendung Zeitlernen, um Schülerinnen und Schülern das Lesen der Uhr beizubringen und den Lernfortschritt zu begleiten. Dabei bearbeitet die Auftragsverarbeiterin Personendaten, für welche die Verantwortliche verantwortlich bleibt.

Dieser Vertrag regelt diese Bearbeitung im Auftrag. Er konkretisiert die Anforderungen von Art. 9 des Schweizer Bundesgesetzes über den Datenschutz (DSG), von Art. 7 der Datenschutzverordnung (DSV) sowie von Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO), soweit diese anwendbar ist. Untersteht die Verantwortliche als öffentliches Organ einem kantonalen Datenschutzgesetz, gelten die Bestimmungen dieses Vertrags entsprechend für die dort vorgesehene Auslagerung der Datenbearbeitung.

1. Gegenstand und Dauer

1.1 Gegenstand dieses Vertrags ist die Bearbeitung von Personendaten durch die Auftragsverarbeiterin im Rahmen der Bereitstellung und des Betriebs von Zeitlernen für die Verantwortliche. Art, Umfang und Zweck der Bearbeitung ergeben sich aus Anhang 1.

1.2 Dieser Vertrag beginnt mit seiner Annahme durch die Verantwortliche und läuft, solange die Verantwortliche Zeitlernen nutzt. Er endet automatisch mit der Beendigung des Nutzungsverhältnisses, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten nach Ziffer 13 und nach Ziffer 6 bestehen darüber hinaus fort.

1.3 Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen von Zeitlernen in allen Fragen der Bearbeitung von Personendaten im Auftrag vor.

2. Anwendungsbereich und Abgrenzung der Verantwortlichkeiten

2.1 Dieser Vertrag erfasst ausschliesslich diejenigen Personendaten, welche die Verantwortliche im Schulbereich von Zeitlernen erfasst oder erfassen lässt, insbesondere Daten zu Klassen sowie zu Schülerinnen und Schülern samt den daraus entstehenden Lern- und Nutzungsdaten («Schuldaten»).

2.2 Für die Schuldaten ist die Verantwortliche verantwortlich im Sinne des Datenschutzrechts. Die Auftragsverarbeiterin bearbeitet sie ausschliesslich im Auftrag und nach Weisung der Verantwortlichen.

2.3 Nicht von diesem Vertrag erfasst sind:

• a) Die Konten der Lehrpersonen und weiterer Teammitglieder, namentlich E-Mail-Adresse, Anmeldedaten und Profilangaben. Für diese Daten ist die Auftragsverarbeiterin selbst verantwortlich, weil sie mit der jeweiligen Person ein eigenes Nutzungsverhältnis begründet. Die Bearbeitung richtet sich nach der Datenschutzerklärung von Zeitlernen.
• b) Konten, die Erziehungsberechtigte privat und ausserhalb des Schulkontexts eröffnen, samt den darin angelegten Kinderprofilen. Auch hier ist die Auftragsverarbeiterin selbst verantwortlich.
• c) Daten, welche die Auftragsverarbeiterin zur Erfüllung eigener gesetzlicher Pflichten oder zur Gewährleistung der Sicherheit ihrer Systeme bearbeitet, soweit sie dabei über Zwecke und Mittel selbst entscheidet. Sie bleibt dabei an die Vertraulichkeitspflicht nach Ziffer 6 gebunden.

2.4 Die Verantwortliche stellt sicher, dass für die Erfassung und Bearbeitung der Schuldaten eine gültige rechtliche Grundlage besteht, dass die betroffenen Personen und deren Erziehungsberechtigte im erforderlichen Umfang informiert wurden und dass allfällige nach kantonalem Recht nötige Bewilligungen oder Meldungen vorliegen.

3. Art, Umfang und Zweck der Bearbeitung

3.1 Die Kategorien betroffener Personen, die Kategorien bearbeiteter Daten, die Zwecke sowie die Art der Bearbeitungen sind in Anhang 1 beschrieben.

3.2 Die Bearbeitung erfolgt ausschliesslich zur Erbringung der vertraglich vereinbarten Leistungen. Eine Bearbeitung für eigene Zwecke der Auftragsverarbeiterin findet nicht statt.

3.3 Die Verantwortliche ist verpflichtet, keine besonders schützenswerten Personendaten nach Art. 5 lit. c DSG beziehungsweise keine Daten besonderer Kategorien nach Art. 9 DSGVO in Zeitlernen zu erfassen. Die Anwendung sieht dafür weder Felder noch besondere Schutzmassnahmen vor. Freitextfelder sind entsprechend zurückhaltend zu verwenden.

4. Weisungsrecht der Verantwortlichen

4.1 Die Auftragsverarbeiterin bearbeitet die Schuldaten ausschliesslich auf dokumentierte Weisung der Verantwortlichen. Dieser Vertrag samt Anhängen sowie die Nutzung der in der Anwendung vorgesehenen Funktionen gelten als Weisung.

4.2 Weisungen, die über die Nutzung der vorgesehenen Funktionen hinausgehen, sind in Textform an die in Anhang 4 genannte Kontaktstelle zu richten. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

4.3 Ist die Auftragsverarbeiterin der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert sie die Verantwortliche unverzüglich. Sie ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

4.4 Ist die Auftragsverarbeiterin gesetzlich zu einer Bearbeitung verpflichtet, die von den Weisungen abweicht, teilt sie dies der Verantwortlichen vor der Bearbeitung mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

5. Pflichten der Auftragsverarbeiterin

5.1 Die Auftragsverarbeiterin bearbeitet die Schuldaten nur im Rahmen dieses Vertrags und der Weisungen der Verantwortlichen.

5.2 Sie nutzt die Schuldaten insbesondere nicht

• a) für eigene Zwecke, für Werbung oder für Marktforschung,
• b) zur Erstellung von Profilen ausserhalb der vereinbarten Lernfunktionen,
• c) zum Training, zur Entwicklung oder zur Verbesserung von Systemen der künstlichen Intelligenz oder des maschinellen Lernens,
• d) für eine Weitergabe an Dritte, ausgenommen die in Anhang 3 genannten Unterauftragsverarbeiter und Fälle einer gesetzlichen Verpflichtung.

5.3 Sie führt ein Verzeichnis der im Auftrag der Verantwortlichen durchgeführten Bearbeitungstätigkeiten und stellt der Verantwortlichen auf Anfrage die für deren eigenes Verzeichnis nötigen Angaben zur Verfügung.

5.4 Sie unterstützt die Verantwortliche bei der Erfüllung von deren Pflichten nach Ziffer 10 bis 12.

5.5 Werden die Schuldaten bei der Auftragsverarbeiterin durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder durch Massnahmen Dritter gefährdet, informiert sie die Verantwortliche unverzüglich.

6. Vertraulichkeit

6.1 Die Auftragsverarbeiterin setzt zur Bearbeitung der Schuldaten ausschliesslich eigene Mitarbeitende ein. Diese sind aus dem Arbeitsverhältnis und nach Art. 321a des Schweizerischen Obligationenrechts zur Verschwiegenheit verpflichtet und mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut. Die Verpflichtung besteht nach Massgabe von Art. 321a Abs. 4 OR auch nach dem Ende des Arbeitsverhältnisses fort.

6.2 Die Vertraulichkeitspflicht erstreckt sich auf alle im Rahmen dieses Vertrags bekannt gewordenen Daten und Informationen, unabhängig davon, ob sie Personendaten darstellen.

6.3 Der Kreis der Personen mit Zugriff auf Produktivdaten wird auf das für den Betrieb erforderliche Mass beschränkt und periodisch überprüft.

7. Technische und organisatorische Massnahmen

7.1 Die Auftragsverarbeiterin trifft die in Anhang 2 beschriebenen technischen und organisatorischen Massnahmen zur Gewährleistung der Datensicherheit nach Art. 8 DSG, Art. 3 DSV und Art. 32 DSGVO.

7.2 Die Massnahmen unterliegen dem technischen Fortschritt. Die Auftragsverarbeiterin darf sie anpassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und der Verantwortlichen auf Anfrage mitgeteilt.

7.3 Die Auftragsverarbeiterin überprüft die Wirksamkeit der Massnahmen periodisch, mindestens jährlich.

8. Unterauftragsverarbeitung

8.1 Die Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, die in Anhang 3 aufgeführten Unterauftragsverarbeiter beizuziehen.

8.2 Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denjenigen dieses Vertrags im Wesentlichen entsprechen, insbesondere auf hinreichende technische und organisatorische Massnahmen. Sie haftet für deren Verhalten wie für eigenes.

8.3 Beabsichtigt die Auftragsverarbeiterin, einen weiteren Unterauftragsverarbeiter beizuziehen oder einen bestehenden zu ersetzen, informiert sie die Verantwortliche mindestens 30 Tage im Voraus in Textform. Die Information erfolgt an die in Anhang 4 hinterlegte Adresse der Verantwortlichen sowie durch Aktualisierung der im Schulbereich abrufbaren Liste.

8.4 Die Verantwortliche kann der Änderung innert 30 Tagen ab Zugang der Information aus sachlichen, datenschutzbezogenen Gründen in Textform widersprechen. Kommt in der Folge keine einvernehmliche Lösung zustande, kann die Verantwortliche das Nutzungsverhältnis auf den Zeitpunkt der beabsichtigten Änderung ausserordentlich und ohne Kostenfolge kündigen.

8.5 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, welche die Auftragsverarbeiterin zur Ausübung ihrer Geschäftstätigkeit in Anspruch nimmt, wie Telekommunikation, Post oder Reinigung, sowie Leistungen, bei denen kein Zugriff auf Schuldaten besteht.

9. Bearbeitung im Ausland

9.1 Die Schuldaten werden in einem Rechenzentrum in der Schweiz gespeichert. Der Infrastrukturanbieter betreibt die Datenbank in der Region Europe (Zurich) von Amazon Web Services (Regionskennung eu-central-2) mit Standort in der Schweiz.

9.2 Für einzelne Leistungen fallen bei Unterauftragsverarbeitern mit Sitz ausserhalb der Schweiz und des Europäischen Wirtschaftsraums technische Verbindungsdaten oder, im Fall des E-Mail-Versands, Kontaktdaten von Lehrpersonen an. Die betroffenen Dienste, die Datenarten und die Bearbeitungsorte sind in Anhang 3 ausgewiesen.

9.3 Erfolgt eine Bekanntgabe in einen Staat ohne angemessenes Schutzniveau, stützt sich die Auftragsverarbeiterin auf die Standardvertragsklauseln der Europäischen Kommission, ergänzt um die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Schweizer Anpassungen, oder auf einen anderen nach Art. 16 DSG beziehungsweise Kapitel V DSGVO zulässigen Mechanismus.

10. Rechte der betroffenen Personen

10.1 Für die Wahrung der Rechte betroffener Personen ist die Verantwortliche zuständig. Anfragen von Schülerinnen, Schülern oder deren Erziehungsberechtigten richten sich in erster Linie an die Verantwortliche.

10.2 Wendet sich eine betroffene Person direkt an die Auftragsverarbeiterin, leitet diese die Anfrage unverzüglich an die Verantwortliche weiter und beantwortet sie nicht selbst, es sei denn, sie ist dazu angewiesen oder gesetzlich verpflichtet.

10.3 Die Auftragsverarbeiterin unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Massnahmen bei der Beantwortung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Herausgabebegehren. Der Schulbereich von Zeitlernen stellt dafür Funktionen zur Einsicht, Korrektur und Löschung sowie zum Export der Stammdaten, der Lernauswertungen und der Lern-Rohdaten auf Ereignisebene in einem gängigen, maschinenlesbaren Format bereit, die die Verantwortliche selbstständig nutzen kann.

10.4 Für eine Unterstützung, die über die in der Anwendung verfügbaren Funktionen hinausgeht und einen erheblichen Aufwand verursacht, kann die Auftragsverarbeiterin eine angemessene Vergütung verlangen. Sie kündigt dies vorgängig an.

11. Unterstützung weiterer Pflichten

Die Auftragsverarbeiterin unterstützt die Verantwortliche im erforderlichen Umfang und unter Berücksichtigung der ihr verfügbaren Informationen bei

• a) der Gewährleistung der Datensicherheit,
• b) der Meldung von Verletzungen der Datensicherheit an die zuständige Aufsichtsbehörde und an betroffene Personen,
• c) der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 22 DSG beziehungsweise Art. 35 DSGVO,
• d) einer allfälligen vorgängigen Konsultation der Aufsichtsbehörde.

12. Verletzungen der Datensicherheit

12.1 Die Auftragsverarbeiterin meldet der Verantwortlichen jede Verletzung der Datensicherheit, die Schuldaten betrifft, unverzüglich nach Kenntnisnahme, spätestens jedoch innert 48 Stunden.

12.2 Die Meldung enthält, soweit bekannt:

• a) eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl betroffener Personen und Datensätze,
• b) den Zeitpunkt oder Zeitraum des Vorfalls,
• c) die wahrscheinlichen Folgen,
• d) die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung und zur Minderung möglicher nachteiliger Folgen,
• e) eine Kontaktstelle für Rückfragen.

12.3 Sind noch nicht alle Angaben verfügbar, erfolgt eine erste Meldung mit den vorhandenen Informationen; die übrigen werden unverzüglich nachgeliefert.

12.4 Die Auftragsverarbeiterin dokumentiert Verletzungen der Datensicherheit einschliesslich der ergriffenen Massnahmen.

12.5 Meldungen an Aufsichtsbehörden oder an betroffene Personen nimmt die Verantwortliche vor. Die Auftragsverarbeiterin erstattet keine Meldung im Namen der Verantwortlichen ohne deren Weisung.

13. Löschung und Rückgabe

13.1 Die Verantwortliche kann die Schuldaten während der gesamten Vertragsdauer über die Exportfunktion im Schulbereich in einem gängigen, maschinenlesbaren Format herausziehen.

13.2 Nach Beendigung des Vertrags löscht die Auftragsverarbeiterin die Schuldaten innert 30 Tagen, sofern die Verantwortliche nicht vorher die Herausgabe verlangt hat. Auf Verlangen wird die Löschung in Textform bestätigt.

13.3 Sicherungskopien, welche die gelöschten Daten noch enthalten, werden nach Massgabe des ordentlichen Sicherungszyklus überschrieben, spätestens innert weiterer 30 Tage. Bis dahin bleiben die Daten von der produktiven Nutzung ausgeschlossen.

13.4 Eine Aufbewahrung über diese Fristen hinaus erfolgt nur, soweit gesetzliche Aufbewahrungspflichten entgegenstehen. Die betreffenden Daten werden in diesem Fall gesperrt und ausschliesslich zum Zweck der Erfüllung dieser Pflicht bearbeitet.

13.5 Anonymisierte oder aggregierte Auswertungen, die keinen Rückschluss auf einzelne Personen zulassen, dürfen weiterverwendet werden.

14. Nachweise und Kontrollen

14.1 Die Auftragsverarbeiterin weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, in erster Linie durch Auskunft in Textform, durch Bereitstellung der aktuellen Fassung von Anhang 2 sowie durch Beantwortung eines Prüffragebogens der Verantwortlichen.

14.2 Genügen diese Nachweise im Einzelfall nicht, kann die Verantwortliche eine Prüfung vor Ort durchführen oder durch eine unabhängige, zur Vertraulichkeit verpflichtete Prüfperson durchführen lassen. Die Prüfung ist mindestens 30 Tage im Voraus anzukündigen, findet während der ordentlichen Geschäftszeiten statt und darf den Betrieb nicht unangemessen beeinträchtigen. Ohne besonderen Anlass ist eine Prüfung höchstens einmal jährlich zulässig.

14.3 Die Prüfperson darf kein Wettbewerber der Auftragsverarbeiterin sein. Zugriff auf Daten anderer Kunden wird nicht gewährt.

14.4 Den Aufwand für Prüfungen nach Ziffer 14.2 trägt die Verantwortliche, ausser die Prüfung fördert einen wesentlichen Verstoss der Auftragsverarbeiterin zutage.

15. Haftung

15.1 Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen von Zeitlernen und nach dem anwendbaren Recht.

15.2 Von einer Haftungsbeschränkung ausgenommen sind Ansprüche betroffener Personen nach Art. 82 DSGVO sowie Bussen und Sanktionen, welche die zuständigen Behörden gegen eine Partei verhängen; diese trägt jede Partei im Umfang ihres eigenen Verantwortungsbeitrags.

16. Schlussbestimmungen

16.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

16.2 Die Auftragsverarbeiterin kann diesen Vertrag anpassen, wenn sich die Rechtslage, die Aufsichtspraxis oder die Leistung wesentlich ändert. Sie informiert die Verantwortliche mindestens 30 Tage vor Inkrafttreten. Widerspricht die Verantwortliche innert dieser Frist, kann jede Partei das Nutzungsverhältnis auf den Zeitpunkt des Inkrafttretens ordentlich kündigen.

16.3 Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

16.4 Bei Widersprüchen gelten in dieser Reihenfolge: die Anhänge dieses Vertrags, dieser Vertrag, die Allgemeinen Geschäftsbedingungen von Zeitlernen.

16.5 Dieser Vertrag untersteht Schweizer Recht. Gerichtsstand ist Sursee, Kanton Luzern, Schweiz, soweit zwingendes Recht nichts anderes vorsieht. Für Verantwortliche mit Sitz in der Europäischen Union bleiben zwingende Gerichtsstände nach der DSGVO vorbehalten.

17. Abschluss

Dieser Vertrag wird in elektronischer Form abgeschlossen. Die Bestätigung durch eine zeichnungsberechtigte Person der Verantwortlichen im Schulbereich von Zeitlernen gilt als Vertragsabschluss im Sinne von Art. 28 Abs. 9 DSGVO, der das elektronische Format ausdrücklich zulässt.

Entwurfsfassung. Dieses Dokument wurde noch nicht angenommen. Der Abschluss erfolgt elektronisch im Schulbereich von Zeitlernen oder durch Unterzeichnung des ausgedruckten Exemplars.

Name

________________________

Funktion

________________________

Datum

________________________

Unterschrift

________________________

Für die Auftragsverarbeiterin

blackpine GmbH

Vertreten durch

Philippe Wettstein und Marc Sen, Gesellschafter

Unterschrift

blackpine GmbH, Sursee

Anhang 1: Beschreibung der Bearbeitung

Gegenstand

Bereitstellung und Betrieb der Lernanwendung Zeitlernen für die Verantwortliche, einschliesslich Verwaltung von Klassen und Lernenden, Durchführung von Übungen und Quiz sowie Darstellung des Lernfortschritts für die Lehrpersonen der Verantwortlichen.

Art der Bearbeitungen

Erheben, Speichern, Ordnen, Verändern, Auslesen, Abfragen, Verwenden, Bekanntgeben durch Übermittlung an die berechtigten Lehrpersonen, Einschränken, Löschen und Vernichten, jeweils in automatisierter Form.

Zwecke

• Anlegen und Verwalten von Klassen sowie von Schülerinnen und Schülern
• Zuteilung und Verwaltung der Anmeldecodes für den Schülerzugang
• Durchführung von Lerneinheiten, Übungen und Quiz
• Aufzeichnung und Auswertung des Lernfortschritts für die zuständigen Lehrpersonen
• Alters- und stufengerechte Anpassung des Schwierigkeitsgrads
• Betrieb, Wartung, Fehlerbehebung und Sicherheit der Anwendung
• Support gegenüber der Verantwortlichen

Kategorien betroffener Personen

• Schülerinnen und Schüler der Verantwortlichen
• Lehrpersonen und weitere Teammitglieder der Verantwortlichen, soweit sie Klassen zugeteilt sind und in den Schuldaten erscheinen

Kategorien von Personendaten

Stammdaten der Schule und der Klassen

Name und Adresse der Schule, Sprache, Klassenbezeichnungen, Stufe, Zuteilung der Lehrpersonen zu Klassen.

Stammdaten der Schülerinnen und Schüler

Vorname (Pflicht), Geburtsjahr (Pflicht), Klassenzuteilung, Anmeldecode, Anzeigename, Avatarauswahl sowie Lerneinstellungen wie Schlafenszeit und bevorzugter Schwierigkeitsgrad. Freiwillig und durch die Verantwortliche steuerbar: Nachname, vollständiges Geburtsdatum.

Lern- und Nutzungsdaten

Lernfortschritt beim Uhrenlernen, gestellte Aufgaben und gegebene Antworten, Zeitpunkt und Dauer von Übungen, Quiz-Sitzungen, Verlauf der Klassenzuteilung.

Technische Daten

Beim Aufruf der Anwendung fallen technische Verbindungsdaten an (IP-Adresse des Geräts, Angaben zu Browser und Gerät). Zu einzelnen Schülerinnen und Schülern werden davon keine Angaben dauerhaft gespeichert; sie haben kein Konto, und die Schuldaten enthalten weder IP-Adresse noch Zugriffszeitpunkt. Für Konten von Lehrpersonen gilt die Datenschutzerklärung, siehe Ziffer 2.3.

Besondere Kategorien

Keine. Die Anwendung sieht dafür keine Felder vor. Die Verantwortliche darf solche Daten nach Ziffer 3.3 nicht erfassen.

Dauer

Für die Dauer des Nutzungsverhältnisses, danach nach Massgabe von Ziffer 13.

Anhang 2: Technische und organisatorische Massnahmen

Stand: 3. August 2026. Die Auftragsverarbeiterin betreibt keine eigenen Server. Die technische Infrastruktur wird über die in Anhang 3 genannten Unterauftragsverarbeiter bezogen; die nachstehenden Massnahmen umfassen sowohl die eigenen Massnahmen als auch die vertraglich zugesicherten Massnahmen dieser Anbieter.

1. Zutrittskontrolle (physischer Schutz)

• Die Datenbank und die Serverfunktionen werden in einem Rechenzentrum in der Schweiz betrieben (Amazon Web Services, Region Europe (Zurich), eu-central-2). Physischer Zutritt, Videoüberwachung, Besucherverwaltung, unterbrechungsfreie Stromversorgung und Brandschutz liegen in der Verantwortung des Rechenzentrumsbetreibers und entsprechen den branchenüblichen Standards.
• Die Auftragsverarbeiterin unterhält keine lokalen Kopien der Produktivdaten auf mobilen Datenträgern.
• Arbeitsgeräte der Auftragsverarbeiterin werden mit Festplattenverschlüsselung, Bildschirmsperre und aktuellem Betriebssystem betrieben.
• Der Infrastrukturanbieter ist nach ISO/IEC 27001 zertifiziert und weist einen SOC-2-Type-2-Bericht aus.

2. Zugangskontrolle (Schutz vor unbefugtem Systemzugang)

• Lehrpersonen und Teammitglieder melden sich mit E-Mail-Adresse und Passwort oder über einen Identitätsanbieter (Google, Apple, Microsoft) an.
• Passwörter werden ausschliesslich als Hash gespeichert, niemals im Klartext.
• Anmeldeversuche unterliegen einer serverseitigen Ratenbegrenzung. Bei der Registrierung und beim Zurücksetzen des Passworts ist zusätzlich ein Bot-Schutz (Cloudflare Turnstile) vorgeschaltet.
• Sitzungen laufen über kurzlebige Zugriffstoken mit automatischer Erneuerung. Zu jedem Konto wird der letzte Zugriff mit Zeitpunkt, Angaben zu Browser und Gerät, gekürztem IP-Präfix und Anmeldemethode festgehalten.
• Schülerinnen und Schüler melden sich ausschliesslich über einen von der Verantwortlichen vergebenen Anmeldecode an, ohne E-Mail-Adresse und ohne Passwort. Codes können jederzeit neu erzeugt werden.
• Das Zurücksetzen des Passworts und die Änderung der E-Mail-Adresse erfolgen über einen bestätigten Zweitkanal mit zeitlich befristeten Einmalcodes.
• Konten können optional mit einer Zwei-Faktor-Authentisierung geschützt werden. Die Verantwortliche entscheidet, ob ihre Lehrpersonen davon Gebrauch machen; eine Pflicht zur Nutzung besteht nicht.

3. Zugriffskontrolle (Schutz vor unbefugtem Datenzugriff)

• Der Datenzugriff ist durchgehend über Row Level Security auf Datenbankebene abgesichert. Alle Tabellen im Anwendungsschema haben Row Level Security aktiviert; der Zugriff wird nicht erst in der Anwendung, sondern in der Datenbank selbst geprüft.
• Innerhalb einer Schule gilt ein abgestuftes Rollenmodell: Administration, Co-Administration, Lehrperson und Leserecht. Lehrpersonen sehen die Daten der ihnen zugeteilten Klassen.
• Privilegierte Serverzugriffe sind ausschliesslich serverseitig hinterlegt und gelangen nie in den Browser oder in die mobile Anwendung.
• Administrative Funktionen der Auftragsverarbeiterin sind über eine separate Rollenprüfung geschützt und werden protokolliert.
• Zugangsdaten und Schlüssel werden ausserhalb des Quellcodes in einer Secret-Verwaltung gehalten und sind nicht im Versionsverwaltungssystem enthalten.

4. Weitergabekontrolle (Schutz bei Übertragung)

• Der gesamte Datenverkehr zwischen Endgerät, Auslieferungsnetz und Servern ist mit TLS verschlüsselt. Unverschlüsselte Verbindungen werden umgeleitet.
• Die Anwendung setzt eine Content-Security-Policy ein, die zulässige Quellen für Skripte, Stile und Verbindungen einschränkt.
• Daten werden im Ruhezustand mit AES-256 verschlüsselt. Zugangstoken und Schlüssel werden zusätzlich auf Anwendungsebene verschlüsselt, bevor sie gespeichert werden.
• Ein Versand von Schuldaten per E-Mail oder auf physischen Datenträgern findet nicht statt. Exporte erfolgen ausschliesslich über die authentifizierte Exportfunktion im Schulbereich.

5. Eingabekontrolle (Nachvollziehbarkeit)

• Administrative Eingriffe der Auftragsverarbeiterin werden in einem Audit-Protokoll mit handelnder Person, Aktion, betroffenem Datensatz, Zeitpunkt und IP-Adresse festgehalten. Das Protokoll ist nur für berechtigte Personen lesbar.
• Datensätze führen Zeitstempel für Erstellung und letzte Änderung.
• Sicherheitsrelevante Ereignisse und der Versand von System-E-Mails werden protokolliert.
• Schreibende Vorgänge tragen eine eindeutige Ereignis-Kennung, wodurch Doppelerfassungen bei Wiederholungen ausgeschlossen sind.

6. Trennungskontrolle (Mandantentrennung)

• Alle Schuldaten sind einer Schul-Kennung zugeordnet. Die Trennung wird über Row Level Security in der Datenbank erzwungen, nicht bloss über die Benutzeroberfläche.
• Ein Zugriff über Schulgrenzen hinweg ist auch bei fehlerhafter Abfrage in der Anwendung ausgeschlossen.
• Produktiv- und Entwicklungsumgebung sind getrennt. In der Entwicklung werden keine Produktivdaten verwendet.

7. Verfügbarkeit und Belastbarkeit

• Die Datenbank wird durch den Infrastrukturanbieter täglich automatisch gesichert. Die Sicherungen werden 7 Tage aufbewahrt und danach überschrieben.
• Statische Inhalte werden redundant über ein weltweites Auslieferungsnetz mit Schutz vor Überlastungsangriffen bereitgestellt.
• Wiederherstellungsverfahren sind dokumentiert und werden periodisch überprüft.
• Schreibvorgänge, die wegen einer Netzunterbrechung scheitern, werden lokal zwischengespeichert und automatisch nachgeholt, wodurch Datenverluste bei instabiler Verbindung im Schulzimmer vermieden werden.

8. Pseudonymisierung und Datenminimierung

• Schülerinnen und Schüler haben kein Konto mit E-Mail-Adresse oder Passwort; die Anmeldung erfolgt über einen Code.
• Pflichtangaben sind auf Vorname und Geburtsjahr beschränkt. Nachname und vollständiges Geburtsdatum sind freiwillig; die Verantwortliche kann es beim Geburtsjahr belassen.
• IP-Adressen werden nicht vollständig in der Datenbank abgelegt, sondern nur als gekürztes Präfix.
• Zahlungs- und Rechnungsdaten von betroffenen Personen werden nicht erhoben.
• In der Anwendung kommen keine Werbe- oder Trackingcookies und keine Analysedienste zum Einsatz.

9. Wiederherstellbarkeit und Löschung

• Die Verantwortliche kann Lernende, Klassen und die gesamte Schule selbstständig löschen. Die Löschung erfasst kaskadierend die zugehörigen Klassen, Zuteilungen, Einladungen und Lernstände.
• Konten von Lehrpersonen können in den Kontoeinstellungen gelöscht werden; die Löschung wird serverseitig ausgeführt.
• Löschfristen und Vorgehen nach Vertragsende richten sich nach Ziffer 13.

10. Organisatorische Massnahmen

• Zugriff auf Produktivdaten erhalten ausschliesslich Mitarbeitende der blackpine GmbH, und nur soweit ihre Aufgabe es erfordert. Sie sind arbeitsvertraglich und nach Art. 321a OR zur Verschwiegenheit verpflichtet. Die Berechtigungen werden periodisch überprüft und beim Ausscheiden entzogen. Externe Dienstleister erhalten keinen Zugriff.
• Änderungen am System durchlaufen ein Freigabeverfahren mit statischer Codeprüfung, Typprüfung und automatisierter Testsuite, die vor jeder Übernahme in den Hauptzweig ausgeführt werden.
• Datenbankänderungen erfolgen ausschliesslich über versionierte, im Versionsverwaltungssystem nachvollziehbare Migrationen.
• Sicherheitsempfehlungen des Infrastrukturanbieters werden periodisch ausgewertet.
• Für Vorfälle besteht ein Meldeweg nach Ziffer 12 mit einer definierten Kontaktstelle.
• Abhängigkeiten werden regelmässig aktualisiert; die Aktualisierungen durchlaufen dieselbe Prüfkette.

11. Massnahmen, die derzeit nicht umgesetzt sind

Die Auftragsverarbeiterin weist transparent aus, was nicht Bestandteil der Massnahmen ist:

• Die Auftragsverarbeiterin selbst ist nicht nach ISO/IEC 27001 zertifiziert und legt keinen eigenen SOC-2-Bericht vor. Die Zertifizierungen ihres Infrastrukturanbieters sind in Anhang 2 Ziffer 1 ausgewiesen.
• Es werden keine regelmässigen externen Penetrationstests durchgeführt.

Anhang 3: Unterauftragsverarbeiter

Stand: 3. August 2026. Die jeweils aktuelle Fassung ist im Schulbereich von Zeitlernen abrufbar.

1. Unterauftragsverarbeiter mit Zugriff auf Schuldaten

Mit allen drei Unternehmen besteht ein Auftragsverarbeitungsvertrag samt Standardvertragsklauseln. Die jeweils geltenden Fassungen sind öffentlich abrufbar: Supabase unter supabase.com/legal/customer-resources/data-processing-addendum, Cloudflare unter cloudflare.com/cloudflare-customer-dpa, Resend unter resend.com/legal/dpa.

2. Weitere Dienste mit Anfall technischer Verbindungsdaten

Diese Dienste erhalten keine Schuldaten, sondern ausschliesslich technische Verbindungsinformationen des Geräts, mit dem die Anwendung aufgerufen wird. Sie werden aus Transparenzgründen aufgeführt.

3. Mobile Anwendung und App-Stores

In der App für iOS und Android sind die Lerninhalte Teil des Anwendungspakets. Es findet insoweit keine Bekanntgabe an Dritte statt. Die App spricht dieselben Dienste an wie die Weboberfläche; zusätzliche Empfänger von Schuldaten entstehen durch die App nicht.

Apple und Google sind keine Unterauftragsverarbeiter dieses Vertrags. Der App Store und Google Play verteilen ausschliesslich das Anwendungspaket und erhalten dabei keine Schuldaten. Die Daten, die beim Herunterladen anfallen, bearbeiten Apple und Google als eigene Verantwortliche gegenüber der Person, die die App installiert.

Anhang 4: Kontaktstellen

Auftragsverarbeiterin

Unternehmen

blackpine GmbH

Adresse

Bahnhofstrasse 2, 6210 Sursee, Schweiz

Kontaktstelle Datenschutz

[email protected]

Meldungen nach Ziffer 12

[email protected]

Verantwortliche

Schule

________________________

Adresse

________________________

Ansprechperson

________________________

Funktion

________________________

E-Mail für Meldungen und Änderungsanzeigen

________________________