Auftragsbearbeitungsvertrag

1. Gegenstand

1.1 Die Anbieterin stellt der Schule die Plattform BYOD-Bot zur Verfügung, mit der die Schule aus eigenen Unterlagen einen Bot erstellt und veröffentlicht (Hauptvertrag: AGB und gewählter Plan).

1.2 Dabei bearbeitet die Anbieterin Personendaten im Auftrag der Schule. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien gemäss Art. 9 DSG bzw. den anwendbaren kantonalen Bestimmungen über das Bearbeiten im Auftrag.

2. Verantwortung und Verfügungsmacht

2.1 Die Schule ist für die Bearbeitung der Personendaten verantwortlich. Die Anbieterin ist Auftragsbearbeiterin.

2.2 Die Schule behält die vollständige Verfügungsmacht über ihre Daten. Sie kann jederzeit und ohne Begründung deren Herausgabe oder Löschung verlangen.

3. Art, Zweck und Umfang

Art und Zweck der Bearbeitung, Kategorien von Personendaten und betroffenen Personen sind in Anhang A beschrieben.

4. Zweckbindung und Weisungen

4.1 Die Anbieterin bearbeitet die Personendaten ausschliesslich zur Erbringung der vereinbarten Leistungen und nach den dokumentierten Weisungen der Schule.

4.2 Eine Bearbeitung für eigene Zwecke der Anbieterin ist ausgeschlossen. Insbesondere werden die Daten der Schule weder zum Training noch zur Verbesserung von KI-Modellen verwendet.

4.3 Hält die Anbieterin eine Weisung für rechtswidrig, informiert sie die Schule unverzüglich.

4.4 Inhalte des Admin-Bereichs der Schule (Unterlagen, Einträge, Einstellungen und Design, gespeicherte Fragen und Auswertung, Testfragen und Testläufe, Änderungsverlauf, Team, Abonnement und Rechnungen) sieht die Anbieterin im Rahmen des Supports nur, solange ein Admin der Schule den Support-Zugriff freigegeben hat. Die Freigabe gilt höchstens 30 Tage und kann von jedem Admin jederzeit mit sofortiger Wirkung widerrufen werden. Der Zugriff erfolgt nur lesend und nur durch Personen der Anbieterin mit Zwei-Faktor-Anmeldung. Jede aufgerufene Seite und jeder Download wird ohne Inhalte protokolliert (Zeitpunkt, Name der Person bei der Anbieterin, Art der Daten); die Admins der Schule sehen das Protokoll und alle Freigaben, und Einträge können über die Plattform weder geändert noch gelöscht werden.

5. Vertraulichkeit

5.1 Die Anbieterin verpflichtet alle Personen, die Zugang zu den Daten haben, schriftlich zur Verschwiegenheit, auch über das Ende ihrer Tätigkeit hinaus.

5.2 Soweit die Schule einem Amtsgeheimnis untersteht, beachtet die Anbieterin dieses sinngemäss. Die Anbieterin nimmt zur Kenntnis, dass die unbefugte Verwendung oder Bekanntgabe von Daten nach kantonalem Recht strafbar sein kann (z. B. § 40 IDG ZH).

6. Ort der Bearbeitung

6.1 Die Daten werden ausschliesslich in Rechenzentren in der Schweiz gespeichert und bearbeitet. Dies gilt auch für die Verarbeitung durch das Sprachmodell und für Backups.

6.2 Ein Zugriff aus dem Ausland, auch zu Wartungszwecken, findet nicht statt.

6.3 Eine Bekanntgabe ins Ausland bedarf der vorgängigen schriftlichen Zustimmung der Schule.

7. Datensicherheit

Die Anbieterin trifft die technischen und organisatorischen Massnahmen gemäss Anhang B und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht senken.

8. Unterauftragsbearbeiter

8.1 Die Schule genehmigt die in Anhang C aufgeführten Unterauftragsbearbeiter.

8.2 Die Anbieterin kündigt neue oder geänderte Unterauftragsbearbeiter mindestens 30 Tage im Voraus per E-Mail an. Die Schule kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann sie den Hauptvertrag auf den Zeitpunkt der Änderung kündigen und erhält bereits bezahlte Beträge anteilig zurück.

8.3 Die Anbieterin überbindet den Unterauftragsbearbeitern mindestens die Pflichten aus diesem Vertrag und haftet für deren Einhaltung.

9. Rechte der betroffenen Personen

Die Anbieterin unterstützt die Schule bei der Beantwortung von Auskunftsbegehren sowie bei Berichtigung und Löschung. Direkt an sie gerichtete Anfragen, auch Gesuche um Zugang zu Informationen nach kantonalem Recht, leitet sie unverzüglich an die Schule weiter.

10. Verletzungen der Datensicherheit

10.1 Die Anbieterin meldet der Schule Verletzungen der Datensicherheit unverzüglich, spätestens innert 48 Stunden nach Kenntnis.

10.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Daten und Personen, mögliche Folgen, getroffene und vorgeschlagene Massnahmen, Kontaktperson.

10.3 Die Anbieterin unterstützt die Schule bei allfälligen Meldungen an Aufsichtsbehörden und betroffene Personen.

11. Kontrollrechte

11.1 Die Schule, von ihr beauftragte Prüfstellen sowie die zuständigen Aufsichtsbehörden (insbesondere Datenschutzbeauftragte und Finanzkontrolle) können die Einhaltung dieses Vertrags überprüfen.

11.2 Die Anbieterin erteilt die nötigen Auskünfte und stellt Unterlagen zur Verfügung. Prüfungen vor Ort werden mit angemessener Frist angekündigt.

12. Behördliche Herausgabeverlangen

Verlangt eine Behörde die Herausgabe von Daten der Schule, informiert die Anbieterin die Schule unverzüglich, soweit rechtlich zulässig, und gibt keine Daten heraus, ohne dazu nach Schweizer Recht verpflichtet zu sein.

13. Rückgabe und Löschung

13.1 Bei Beendigung des Hauptvertrags kann die Schule ihre Daten während 30 Tagen exportieren.

13.2 Danach löscht die Anbieterin alle Daten der Schule. Backups werden im Rahmen der regulären Rotation spätestens innert 30 Tagen überschrieben. Die Löschung wird auf Verlangen schriftlich bestätigt.

13.3 Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungsdaten.

14. Haftung und Pflichtverletzung

14.1 Es gelten die Haftungsbestimmungen des Hauptvertrags.

14.2 Verletzt die Anbieterin Pflichten aus diesem Vertrag, kann die Schule den Hauptvertrag mit sofortiger Wirkung kündigen und erhält bereits bezahlte Beträge anteilig zurück. Eine Konventionalstrafe ist nicht vereinbart.

15. Dauer und Vorrang

15.1 Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Anbieterin Daten der Schule bearbeitet.

15.2 Bei Widersprüchen geht dieser Vertrag den AGB vor. Haben die Parteien kantonale Vertragsbedingungen für die Datenbearbeitung durch Dritte vereinbart, gehen diese vor.

16. Anwendbares Recht und Gerichtsstand

Es gilt Schweizer Recht. Gerichtsstand ist Winterthur, Sitz der Anbieterin, soweit nicht zwingende Bestimmungen entgegenstehen.

Kontakt für Datenschutzanfragen: datenschutz@byod-bot.ch, digitalify GmbH, Euelstrasse 29, 8408 Winterthur.

Anhang A: Beschreibung der Bearbeitung

Zweck

Bereitstellung eines Bots, der Fragen zum BYOD-Konzept der Schule aus deren Unterlagen beantwortet; Verwaltung, Test und Auswertung durch die Schule

Betroffene Personen

Admins der Schule; Lernende und weitere Personen, die den Bot nutzen; in den Unterlagen genannte Personen (z. B. Kontaktpersonen des Supports)

Daten der Admins

Name, E-Mail, Anmeldedaten, Änderungsverlauf

Daten der Nutzenden des Bots

Die Fragen, wobei E-Mail-Adressen, Telefon- und AHV-Nummern vor dem Speichern unkenntlich gemacht werden; der Tag der Frage; die zitierten Quellen; ob eine Antwort gefunden wurde; die Bewertung der Antwort. Die Antworten werden erzeugt und angezeigt, aber nicht gespeichert. Keine Anmeldung, keine IP-Adressen, keine Geräte-Kennungen. Zur Begrenzung der Anzahl Fragen (Schutz vor Missbrauch) und zur Zählung der Konversationen für das Kontingent der Schule eine zufällige Kennung der Konversation ohne Personenbezug, höchstens 2 Stunden gültig; gespeichert nur als Prüfwert mit der Anzahl Fragen, nach höchstens rund einem Tag gelöscht und nie mit Fragen verknüpft; für das Kontingent bleibt pro Konversation nur der Zeitpunkt der Zählung, ohne Kennung. Nutzende können in Freitexten dennoch Personendaten eingeben; der Bot weist darauf hin, dies zu unterlassen.

Daten in den Unterlagen

Inhalte der hochgeladenen Dokumente und Einträge, einschliesslich darin enthaltener Kontaktangaben

Besonders schützenswerte Personendaten

Nicht vorgesehen

Aufbewahrung

Gesprächsprotokolle gemäss Einstellung der Schule (standardmässig 30 Tage); übrige Daten bis zur Löschung durch die Schule oder bis Vertragsende

Anhang B: Technische und organisatorische Massnahmen

• Verschlüsselung: TLS für alle Verbindungen; verschlüsselte Backups.
• Mandantentrennung: Daten jeder Schule in der Datenbank getrennt (Row-Level Security); Trennung durch automatisierte Tests abgesichert.
• Zugriffskontrolle: Zwei-Faktor-Anmeldung für alle Zugänge zum Betrieb der Plattform (Betreiber-Ansicht: Passwort und Code aus der Authenticator-App; Server: persönlicher, mit Passwort geschützter SSH-Schlüssel); für die Admins der Schule als freiwillige Option; Rechte nach dem Minimalprinzip; Protokollierung administrativer Zugriffe. Support-Zugriff auf den Admin-Bereich der Schule nur mit befristeter Freigabe eines Admins (höchstens 30 Tage, jederzeit widerrufbar), nur lesend (die Datenbank lehnt jedes Schreiben ab) und mit einem Protokoll ohne Inhalte, das die Admins der Schule einsehen.
• Datensparsamkeit: Keine IP-Adressen und keine Wiedererkennung von Nutzenden des Bots; einzige Ausnahme ist die zufällige Kennung der Konversation zur Begrenzung der Anzahl Fragen und zur Zählung der Konversationen für das Kontingent (höchstens 2 Stunden gültig, nur als Prüfwert gespeichert und nach höchstens rund einem Tag gelöscht, nicht mit Fragen verknüpft; für das Kontingent bleibt nur der Zeitpunkt der Zählung ohne Kennung); technische Protokolle ohne Gesprächsinhalte.
• Verfügbarkeit: Tägliche Backups in der Schweiz, getestete Wiederherstellung; Überwachung mit Alarmierung.
• Schutz vor Missbrauch: Begrenzung von Anfragen; Schutz gegen Manipulation des Bots durch Eingaben oder Dokumente.
• Entwicklung und Betrieb: Sicherheitsupdates zeitnah; keine Produktivdaten in Entwicklung und Tests; Sicherheitsprüfung vor dem Livegang.
• Organisation: Verschwiegenheitsverpflichtung; dokumentierter Ablauf für Sicherheitsvorfälle; Löschkonzept.

Anhang C: Unterauftragsbearbeiter

Die jeweils aktuelle Liste steht auf der Seite Unterauftragsbearbeiter.