Auftragsbearbeitung für Schulen (AVV)

zwischen

der Schule bzw. Gemeinde / Lehrperson, die schoolquest mit einer Klasse nutzt (nachfolgend «Schule», verantwortlich)

und

der allerlei hoch zwei GmbH, Triemlistrasse 153, CH-8047 Zürich, UID CHE-320.271.590, mail@schoolquest.ch (nachfolgend «Auftragsbearbeiterin»)

Stand: November 2026

Diese Vereinbarung gilt automatisch für jede Klasse in schoolquest. Schulen, die eine unterschriebene Fassung benötigen, drucken diese Seite aus oder erhalten sie auf Anfrage an mail@schoolquest.ch.

Drucken oder als PDF speichern

1 Gegenstand

1.1 Die Auftragsbearbeiterin stellt der Schule mit schoolquest eine Lern-App für Mathematik und Deutsch zur Verfügung. Dabei bearbeitet sie Personendaten der Kinder und Lehrpersonen im Auftrag der Schule im Sinne von Art. 9 DSG bzw. des anwendbaren kantonalen Informations- und Datenschutzgesetzes.

1.2 Die Vereinbarung gilt, solange die Schule schoolquest nutzt, und darüber hinaus, solange die Auftragsbearbeiterin Daten der Schule bearbeitet.

2 Art der Daten und betroffene Personen

Besonders schützenswerte Personendaten werden nicht bearbeitet. Die Schule erfasst keine solchen Daten in schoolquest, auch nicht in Freitextfeldern wie Namen von Klassen und Kindern (etwa Angaben zu Gesundheit, Förderstatus oder Massnahmen).

3 Zweck

Die Daten werden ausschliesslich bearbeitet, um den Kindern das Üben zu ermöglichen, den Lehrpersonen und verbundenen Eltern den Lernstand anzuzeigen, die Klassen zu verwalten, die Schullizenz abzurechnen und den Betrieb von schoolquest sicherzustellen. Eine Bearbeitung für eigene Zwecke der Auftragsbearbeiterin, insbesondere für Werbung, Profiling oder Weitergabe an Dritte, ist ausgeschlossen. Erlaubt ist einzig die Auswertung vollständig anonymisierter Daten zur Verbesserung der Übungen.

4 Pflichten der Auftragsbearbeiterin

Die Auftragsbearbeiterin verpflichtet sich,

• die Daten nur gemäss dieser Vereinbarung und den Weisungen der Schule zu bearbeiten; als Weisungen gelten auch die Handlungen der Lehrpersonen in der App (Kinder erfassen, verbinden, löschen);
• die Daten ausschliesslich in der Schweiz zu speichern;
• Personen mit Zugriff auf die Daten zur Vertraulichkeit zu verpflichten;
• die technischen und organisatorischen Massnahmen nach Ziffer 6 umzusetzen;
• die Schule bei Auskunfts-, Berichtigungs- und Löschbegehren zu unterstützen und solche Begehren, die sie direkt erhält, an die Schule weiterzuleiten;
• der Schule auf Anfrage die zur Prüfung dieser Vereinbarung nötigen Informationen zur Verfügung zu stellen.

5 Unterauftragsbearbeiter

5.1 Die Schule genehmigt den Beizug folgender Unterauftragsbearbeiter:

Daten der Kinder werden nur bei hosttech in der Schweiz gespeichert.

5.2 Die Auftragsbearbeiterin informiert die Schule mindestens 30 Tage im Voraus über neue oder geänderte Unterauftragsbearbeiter. Die Schule kann aus wichtigem Grund widersprechen und die Nutzung in diesem Fall vorzeitig beenden. Die Auftragsbearbeiterin erstattet den anteiligen Preis bezahlter, noch nicht abgelaufener Zugänge zurück.

5.3 Die Auftragsbearbeiterin verpflichtet Unterauftragsbearbeiter vertraglich zu einem gleichwertigen Datenschutz.

6 Technische und organisatorische Massnahmen

• verschlüsselte Übertragung (HTTPS/TLS)
• Passwörter von Lehrpersonen und Eltern nur als Hashwert gespeichert; Passwörter der Kinder zusätzlich lesbar, sichtbar nur für die Lehrpersonen der Klasse
• Trennung der Daten nach Klasse und Konto; Lehrpersonen sehen nur ihre eigenen Klassen, Eltern nur ihre verbundenen Kinder, Kinder nur ihr eigenes Profil
• Sperre nach wiederholten falschen Anmeldeversuchen, Schutz der Formulare gegen gefälschte Anfragen
• keine Werbung, keine Analyse- oder Tracking-Dienste, keine eingebetteten Inhalte Dritter
• Zugriff auf Server und Datenbank nur durch die Geschäftsführung der Auftragsbearbeiterin, mit starken Passwörtern
• regelmässige Sicherheitsupdates von Software und Server
• tägliche Datensicherung in der Schweiz, Aufbewahrung der Sicherungen höchstens 30 Tage
• Rechenzentrum des Hosters hosttech in der Schweiz, zertifiziert nach ISO 27001

7 Meldung von Verletzungen der Datensicherheit

Stellt die Auftragsbearbeiterin eine Verletzung der Datensicherheit fest, die Daten der Schule betrifft, informiert sie die Schule so rasch als möglich, spätestens innert 48 Stunden. Sie beschreibt dabei die Art der Verletzung, die betroffenen Daten, die möglichen Folgen und die getroffenen Massnahmen und unterstützt die Schule bei allfälligen Meldepflichten.

8 Rückgabe und Löschung

8.1 Die Schule kann Kinder und Klassen jederzeit selbst löschen und vorher die Ergebnisse ihrer Klasse als Datei exportieren.

8.2 Am Ende der Zusammenarbeit löscht die Auftragsbearbeiterin auf Wunsch der Schule alle Daten der Schule innert 30 Tagen. Klassen, die 24 Monate nicht benutzt wurden und keinen laufenden Zugang haben, werden nach vorgängiger Ankündigung an die Lehrperson automatisch gelöscht. Ausgenommen sind Rechnungen und Buchungsbelege, welche die Auftragsbearbeiterin nach Gesetz aufbewahren muss.

8.3 Daten in Datensicherungen werden spätestens nach 30 weiteren Tagen überschrieben.

9 Kontrollrechte

Die Schule bzw. die zuständige kantonale Datenschutzstelle kann bei der Auftragsbearbeiterin schriftlich Auskunft über die Einhaltung dieser Vereinbarung verlangen. Vor-Ort-Kontrollen sind nach Voranmeldung und zu Geschäftszeiten möglich.

10 Haftung und Schlussbestimmungen

10.1 Für die Haftung gelten die Lizenzbedingungen von schoolquest.

10.2 Bei Widersprüchen geht diese Vereinbarung den Lizenzbedingungen vor.

10.3 Es gilt Schweizer Recht. Gerichtsstand ist Zürich, soweit nicht zwingendes kantonales Recht etwas anderes vorsieht.