Auftragsbearbeitungsvertrag

1. Gegenstand

1.1 Die Anbieterin stellt der Schule die Plattform EdPilot zur Verfügung. Über einen Connector nach dem Model Context Protocol lesen KI-Assistenten der Lehrpersonen Daten aus dem WebUntis der Schule (Hauptvertrag: AGB).

1.2 Dabei bearbeitet die Anbieterin Personendaten im Auftrag der Schule. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien gemäss Art. 9 DSG bzw. den anwendbaren kantonalen Bestimmungen über das Bearbeiten im Auftrag.

2. Verantwortung und Verfügungsmacht

2.1 Die Schule ist für die Bearbeitung der Personendaten verantwortlich. Die Anbieterin ist Auftragsbearbeiterin.

2.2 Die Schule behält die vollständige Verfügungsmacht über ihre Daten. Sie kann ihr Konto jederzeit selbst löschen und die Löschung ihrer Daten ohne Begründung verlangen.

3. Art, Zweck und Umfang

Art und Zweck der Bearbeitung, Kategorien von Personendaten und betroffenen Personen sind in Anhang A beschrieben.

4. Zweckbindung und Weisungen

4.1 Die Anbieterin bearbeitet die Personendaten ausschliesslich zur Erbringung der vereinbarten Leistungen und nach den dokumentierten Weisungen der Schule. Als Weisung gelten insbesondere die Freigaben der Werkzeuge, die die Schule im Konto einstellt.

4.2 Eine Bearbeitung für eigene Zwecke der Anbieterin ist ausgeschlossen. Daten aus WebUntis werden nur an den aufrufenden KI-Assistenten weitergereicht und nicht gespeichert.

4.3 Hält die Anbieterin eine Weisung für rechtswidrig, informiert sie die Schule unverzüglich.

5. Vertraulichkeit

5.1 Die Anbieterin verpflichtet alle Personen, die Zugang zu den Daten haben, schriftlich zur Verschwiegenheit, auch über das Ende ihrer Tätigkeit hinaus.

5.2 Soweit die Schule einem Amtsgeheimnis untersteht, beachtet die Anbieterin dieses sinngemäss. Die Anbieterin nimmt zur Kenntnis, dass die unbefugte Verwendung oder Bekanntgabe von Daten nach kantonalem Recht strafbar sein kann (z. B. § 40 IDG ZH).

6. Ort der Bearbeitung und KI-Assistenten

6.1 Die Anbieterin speichert und bearbeitet die Daten ausschliesslich in Rechenzentren in der Schweiz, auch die Backups. Ein Zugriff aus dem Ausland, auch zu Wartungszwecken, findet nicht statt.

6.2 Die Antworten der Werkzeuge gehen an den KI-Assistenten, den die Schule bzw. ihre Lehrpersonen einsetzen (etwa Claude, ChatGPT oder Le Chat). Dessen Anbieter ist nicht Unterauftragsbearbeiter der Anbieterin. Die Bearbeitung dort, auch ein allfälliger Ort im Ausland, richtet sich nach dem Vertrag zwischen diesem Anbieter und der Schule bzw. der Person, die ihn nutzt.

6.3 Werkzeuge mit Personendaten von Lernenden, etwa Absenzen, sind standardmässig ausgeschaltet. Die Schule schaltet sie nur ein, wenn deren Nutzung mit den eingesetzten KI-Assistenten für sie zulässig ist.

7. Datensicherheit

Die Anbieterin trifft die technischen und organisatorischen Massnahmen gemäss Anhang B und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht senken.

8. Unterauftragsbearbeiter

8.1 Die Schule genehmigt die in Anhang C aufgeführten Unterauftragsbearbeiter.

8.2 Die Anbieterin kündigt neue oder geänderte Unterauftragsbearbeiter mindestens 30 Tage im Voraus per E-Mail an. Die Schule kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann sie den Hauptvertrag auf den Zeitpunkt der Änderung kündigen und erhält bereits bezahlte Beträge anteilig zurück.

8.3 Die Anbieterin überbindet den Unterauftragsbearbeitern mindestens die Pflichten aus diesem Vertrag und haftet für deren Einhaltung.

9. Rechte der betroffenen Personen

Die Anbieterin unterstützt die Schule bei der Beantwortung von Auskunftsbegehren sowie bei Berichtigung und Löschung. Direkt an sie gerichtete Anfragen leitet sie unverzüglich an die Schule weiter.

10. Verletzungen der Datensicherheit

10.1 Die Anbieterin meldet der Schule Verletzungen der Datensicherheit unverzüglich, spätestens innert 48 Stunden nach Kenntnis.

10.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Daten und Personen, mögliche Folgen, getroffene und vorgeschlagene Massnahmen, Kontaktperson.

10.3 Die Anbieterin unterstützt die Schule bei allfälligen Meldungen an Aufsichtsbehörden und betroffene Personen.

11. Kontrollrechte

11.1 Die Schule, von ihr beauftragte Prüfstellen sowie die zuständigen Aufsichtsbehörden (insbesondere Datenschutzbeauftragte und Finanzkontrolle) können die Einhaltung dieses Vertrags überprüfen.

11.2 Die Anbieterin erteilt die nötigen Auskünfte und stellt Unterlagen zur Verfügung. Prüfungen vor Ort werden mit angemessener Frist angekündigt.

12. Behördliche Herausgabeverlangen

Verlangt eine Behörde die Herausgabe von Daten der Schule, informiert die Anbieterin die Schule unverzüglich, soweit rechtlich zulässig, und gibt keine Daten heraus, ohne dazu nach Schweizer Recht verpflichtet zu sein.

13. Rückgabe und Löschung

13.1 Die Schule kann ihr Konto jederzeit im Admin-Bereich löschen. Die Anbieterin löscht dann sofort alle Daten der Schule; die Connector-URL gilt ab der nächsten Anfrage nicht mehr.

13.2 Backups werden im Rahmen der regulären Rotation spätestens nach 30 Tagen überschrieben. Eine Löschliste stellt sicher, dass eine Wiederherstellung aus einem Backup gelöschte Daten nicht zurückbringt. Die Löschung wird auf Verlangen schriftlich bestätigt.

13.3 Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungen.

14. Haftung, Dauer und Vorrang

14.1 Es gelten die Haftungsbestimmungen des Hauptvertrags.

14.2 Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Anbieterin Daten der Schule bearbeitet.

14.3 Bei Widersprüchen geht dieser Vertrag den AGB vor. Haben die Parteien kantonale Vertragsbedingungen für die Datenbearbeitung durch Dritte vereinbart, gehen diese vor.

15. Anwendbares Recht und Gerichtsstand

Es gilt Schweizer Recht. Gerichtsstand ist Winterthur, Sitz der Anbieterin, soweit nicht zwingende Bestimmungen entgegenstehen.

Kontakt für Datenschutzanfragen: info@edpilot.ch, digitalify GmbH, Euelstrasse 29, 8408 Winterthur.

Anhang A: Beschreibung der Bearbeitung

Zweck

Lesender Zugriff von KI-Assistenten der Lehrpersonen auf das WebUntis der Schule über einen Connector; Verwaltung von Zugang, Freigaben und Team durch die Admins der Schule

Betroffene Personen

Admins der Schule; Lehrpersonen, Lernende und weitere Personen, deren Daten in WebUntis stehen und die ein freigegebenes Werkzeug abfragt

Daten der Admins

Name, E-Mail-Adresse, Anmeldedaten (Passwort nur als Hash, ein allfälliger zweiter Faktor verschlüsselt), Annahme dieses Vertrags

Zugang zu WebUntis

Server, Schule und Benutzername des Lese-Benutzers der Schule, Passwort verschlüsselt

Daten aus WebUntis

Stundenpläne, Stellvertretungen, Räume, Fächer, Lehrpersonen und Klassen; Absenzen und weitere Daten von Lernenden nur, wenn die Schule diese Werkzeuge einschaltet. Nur weitergereicht, nie gespeichert: nicht in der Datenbank, nicht in Protokollen, nicht in E-Mails

Nutzungsdaten

Anzahl Aufrufe und Fehler pro Werkzeug und Tag; keine Inhalte, keine IP-Adressen, keine Kennungen von Geräten oder Personen

Besonders schützenswerte Personendaten

Möglich in Absenzen von Lernenden; diese Werkzeuge sind standardmässig ausgeschaltet

Aufbewahrung

Zähler der Aufrufe [25 Monate]; übrige Daten bis zur Löschung des Kontos durch die Schule

Anhang B: Technische und organisatorische Massnahmen

Verschlüsselung

TLS für alle Verbindungen; das Passwort des WebUntis-Benutzers mit AES-256-GCM verschlüsselt; die Connector-URL nur als SHA-256-Prüfwert gespeichert.

Mandantentrennung

Daten jeder Schule in der Datenbank getrennt (Row-Level Security); Trennung durch automatisierte Tests abgesichert.

Zugriffskontrolle

Zwei-Faktor-Anmeldung für alle Betriebszugänge, für Admins der Schulen wählbar; erneute Bestätigung des Passworts vor folgenreichen Aktionen; Rechte nach dem Minimalprinzip.

Datensparsamkeit

Daten aus WebUntis nur durchgereicht, nie gespeichert; keine IP-Adressen, keine Geräte-Kennungen; technische Protokolle ohne Inhalte.

Verfügbarkeit

Tägliche Backups in der Schweiz, getestete Wiederherstellung; Überwachung mit Alarmierung.

Schutz vor Missbrauch

Nur lesender WebUntis-Benutzer; Begrenzung der Anfragen ohne IP-Adressen; Connector-URL jederzeit erneuerbar, die alte gilt sofort nicht mehr.

Entwicklung und Betrieb

Sicherheitsupdates zeitnah; keine echten Daten aus WebUntis in Entwicklung und Tests; Prüfung jeder Änderung vor dem Livegang.

Organisation

Verschwiegenheitsverpflichtung; dokumentierter Ablauf für Sicherheitsvorfälle; Löschkonzept mit Löschliste für Backups.

Anhang C: Unterauftragsbearbeiter

Siehe Liste der Unterauftragsbearbeiter.