AVV-Vorlage
Vorlage für einen Vertrag über die Auftragsbearbeitung von Personendaten, Stand September 2026.
Diese Vorlage folgt Punkt für Punkt den AGB Auslagerung Informatikleistungen des Kantons Zürich und dem Leitfaden «Bearbeiten im Auftrag» der Datenschutzbeauftragten des Kantons Zürich. Wo Eduskript eine dieser Anforderungen nicht erfüllt, steht das offen in Ziffer 15.
Viele Kantone haben eigene Muster. Die Schule kann diese Vorlage übernehmen oder ihr kantonales Muster verwenden – Eduskript unterzeichnet beides. Kontakt: kontakt@luzmedia.ch.
[…] = von der Schule auszufüllen. Eine englische Übersetzung dient nur der Information; verbindlich ist diese deutsche Fassung.
zwischen
[Name der Schule], [Adresse] vertreten durch [Name, Funktion] — nachfolgend «Schule» (Verantwortliche)
und
Luz Media GmbH, Untere Vogelsangstrasse 11, 8400 Winterthur UID CHE-261.508.926, Betreiberin von eduskript.org — nachfolgend «Eduskript» (Auftragsbearbeiterin)
1. Gegenstand
1.1 Die Schule bzw. ihre Lehrpersonen nutzen eduskript.org, um digitale Unterrichtsmaterialien zu erstellen, zu veröffentlichen und mit Klassen zu bearbeiten (Klassen, Fortschrittsübersicht, Prüfungen, KI-Feedback, KI-gestützte Bewertung).
1.2 Soweit dabei Personendaten von Schülerinnen und Schülern oder Lehrpersonen der Schule bearbeitet werden, bearbeitet Eduskript diese ausschliesslich im Auftrag und nach Weisung der Schule.
1.3 Grundlage bilden das kantonale Datenschutzrecht der Schule ([z. B. IDG ZH, KDSG AG …]) sowie subsidiär das Bundesgesetz über den Datenschutz (DSG). Die Nutzungsbedingungen von eduskript.org gelten ergänzend; bei Widersprüchen geht dieser Vertrag vor.
1.4 Der Vertrag gilt für die Dauer der Nutzung durch die Schule (Schullizenz oder Nutzung durch einzelne Lehrpersonen der Schule) und endet automatisch mit deren Ende.
2. Art der Daten, betroffene Personen, Zweck
2.1 Siehe Anhang 1. Eduskript bearbeitet die Daten nur zum Betrieb der Plattform für die Schule. Eine Bearbeitung zu eigenen Zwecken (Werbung, Profilbildung, Weiterverkauf, Training eigener oder fremder KI-Modelle) findet nicht statt. Weitere Zwecke bedürfen der schriftlichen Bewilligung der Schule.
2.2 Die Schule behält die volle Verfügungsmacht über ihre Daten. Sie kann Eduskript jederzeit und ohne Begründung den Zugriff untersagen, die Daten unentgeltlich herausverlangen (Ziffer 12) oder ihre Vernichtung verlangen.
3. Datensparsamkeit und Pseudonymisierung
3.1 Schülerinnen und Schüler melden sich über den Identitätsanbieter der Schule (z. B. Microsoft 365) an. Die dabei übermittelte E-Mail-Adresse wird nur verwendet, um ein nicht umkehrbares Pseudonym (HMAC) zu berechnen, und nicht gespeichert.
3.2 Eduskript speichert von Schülerinnen und Schülern nur das Pseudonym, einen optional selbst gewählten Spitznamen sowie die Arbeitsdaten gemäss Anhang 1. Die Liste der E-Mail-Adressen, mit der eine Lehrperson ihre Klasse zuordnet, liegt nur im Browser der Lehrperson.
3.3 IP-Adressen werden nur kurzzeitig zur Missbrauchsabwehr (Rate-Limiting) verwendet und nicht dauerhaft gespeichert. Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt.
4. Weisungen
4.1 Eduskript bearbeitet die Daten nur im Rahmen dieses Vertrags und nach dokumentierten Weisungen der Schule. Weisungen erteilen [Schulleitung / ICT-Verantwortliche/r / Datenschutzverantwortliche/r], per E-Mail an kontakt@luzmedia.ch.
4.2 Hält Eduskript eine Weisung für rechtswidrig, informiert sie die Schule unverzüglich.
5. Vertraulichkeit und Bekanntgabe
5.1 Eduskript, ihre Mitarbeitenden und Hilfspersonen unterstehen während und nach dem Vertragsverhältnis einer umfassenden Geheimhaltungspflicht, die dem Amtsgeheimnis der Schule entspricht. Zugriff auf Personendaten erhält nur, wer ihn für Betrieb oder Support zwingend braucht.
5.2 Eduskript gibt Daten der Schule nur im Rahmen dieses Vertrags oder mit schriftlicher Ermächtigung der Schule an Dritte bekannt. Wird Eduskript durch eine behördliche oder gerichtliche Anordnung verpflichtet, Zugang zu Daten der Schule zu gewähren, informiert sie die Schule unverzüglich, soweit das rechtlich zulässig ist.
6. Datensicherheit
6.1 Eduskript trifft die technischen und organisatorischen Massnahmen gemäss Anhang 2 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
6.2 Die Daten der Schule sind von denjenigen anderer Schulen und Lehrpersonen logisch getrennt (Berechtigungskonzept, Anhang 2).
6.3 Eduskript dokumentiert die eingesetzte Technik offen (Quellcode, Anhang 3) und informiert die Schule über wesentliche Änderungen.
7. Unterauftragsbearbeiter
7.1 Die Schule genehmigt die in Anhang 3 aufgeführten Unterauftragsbearbeiter.
7.2 Eduskript informiert die Schule mindestens 30 Tage im Voraus über neue oder ersetzte Unterauftragsbearbeiter. Die Schule kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann sie den Vertrag auf den Zeitpunkt der Änderung kündigen.
7.3 Eduskript verpflichtet Unterauftragsbearbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Bei grossen Anbietern (Hosting, KI) gelten deren Standardverträge zur Auftragsbearbeitung; diese lassen sich nicht einzeln verhandeln.
8. Ort der Datenbearbeitung und Bekanntgabe ins Ausland
8.1 Die Primärdaten werden in der EU gespeichert: die Datenbank in Frankfurt (Deutschland), hochgeladene Dateien in Paris (Frankreich), der E-Mail-Versand erfolgt in der EU. Die EU gilt nach Anhang 1 der Datenschutzverordnung (DSV) als Staat mit angemessenem Datenschutz. Die Datenbank betreibt Koyeb auf Infrastruktur von US-Unternehmen (Neon, Amazon Web Services); die Daten verbleiben in Frankfurt.
8.2 Für KI-Funktionen (Ziffer 9) werden Inhalte an Anbieter in den USA übermittelt, ausschliesslich ohne Identifikationsmerkmale gemäss Ziffer 9.2. Google LLC und DigitalOcean sind unter dem Swiss-U.S. Data Privacy Framework zertifiziert. Für OpenRouter, das nicht zertifiziert ist und die Anfragen nur weiterleitet, stützt sich die Übermittlung darauf, dass die Inhalte für diesen Empfänger keiner Person zuordenbar sind.
8.3 Mit der Unterzeichnung bewilligt die Schule die Bearbeitung an den in Anhang 3 genannten Orten. Die aktuelle Liste der Orte und Anbieter ist in der Datenschutzerklärung dokumentiert.
9. KI-Funktionen
9.1 Welche Funktionen. KI wird eingesetzt für: (a) Feedback an Schülerinnen und Schüler auf handschriftliche oder gezeichnete Lösungen, (b) KI-gestützte Bewertung von Prüfungsantworten nach einem Bewertungsraster der Lehrperson, (c) KI-Unterstützung der Lehrperson beim Erstellen und Bearbeiten von Inhalten. Funktion (a) ist nur dort aktiv, wo die Lehrperson sie in eine Aufgabe einbaut. Die KI vergibt nur Punkte und Rückmeldungen; über die Bewertung entscheidet immer die Lehrperson.
9.2 Was übermittelt wird – und was nicht. Die Anfragen gehen vom Server von Eduskript aus, nicht vom Gerät der Schülerin oder des Schülers. Übermittelt werden nur:
- der Aufgabentext der Lehrperson,
- die Lösung der Schülerin oder des Schülers (Bild der Handschrift bzw. Antworttext),
- ggf. die Musterlösung der Lehrperson.
Nicht übermittelt werden Namen, Spitznamen, Pseudonyme, E-Mail-Adressen, Konto-IDs, Klassenbezeichnungen oder IP-Adressen der Schülerinnen und Schüler. Für den KI-Anbieter ist eine Anfrage damit keiner Person zuordenbar.
9.3 Kein Training, keine Speicherung. Anfragen mit Lösungen von Schülerinnen und Schülern gehen nur an die in Anhang 3 genannten Anbieter und nur an Endpunkte ohne Datenspeicherung (Zero Data Retention), die Inhalte nicht zum Training verwenden. Ist keiner dieser Endpunkte erreichbar, schlägt die Anfrage fehl, statt auf einen anderen Anbieter auszuweichen.
9.4 Restrisiko. Schreibt eine Schülerin oder ein Schüler den eigenen Namen in die Lösung selbst (z. B. auf das fotografierte Blatt oder in einen Code-Kommentar), wird dieser mit übermittelt. Eduskript weist beim Beitritt zu einer Klasse darauf hin.
10. Unterstützung der Schule
Eduskript unterstützt die Schule angemessen bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Datenschutzaufsicht. Begehren, die direkt bei Eduskript eingehen, leitet Eduskript unverzüglich an die Schule weiter.
11. Verletzungen der Datensicherheit
Eduskript meldet der Schule Verletzungen der Datensicherheit (z. B. Datenverlust, Angriff, unrechtmässiger Zugriff), die Personendaten der Schule betreffen, unverzüglich, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und getroffenen Massnahmen. Ansprechperson bei Eduskript: Marc Chéhab, kontakt@luzmedia.ch. Ansprechperson der Schule: [Name, E-Mail].
12. Rückgabe und Löschung
12.1 Lehrpersonen können ihre Inhalte jederzeit als Markdown-Dateien samt Anhängen exportieren. Personendaten eines Kontos lassen sich in den Einstellungen als JSON-Datei herunterladen. Bei Vertragsende überträgt Eduskript die Daten der Schule auf Verlangen unentgeltlich und umgehend in diesen Formaten, auch wenn zwischen den Parteien Streitigkeiten bestehen.
12.2 Nach Vertragsende löscht Eduskript die Personendaten von Schülerinnen und Schülern der Schule innert 30 Tagen, sofern die Schule nicht vorher eine Rückgabe verlangt. Backups werden im regulären Rotationszyklus des Hosting-Anbieters überschrieben. Die Löschung wird auf Verlangen schriftlich bestätigt; die Schule kann sie selbst oder durch Dritte überprüfen lassen.
12.3 Von Lehrpersonen veröffentlichte Unterrichtsmaterialien bleiben gemäss Nutzungsbedingungen online, solange die Lehrperson sie nicht selbst löscht; sie enthalten keine Schülerdaten.
13. Kontrolle und Aufsicht
13.1 Die Schule kann sich über die Einhaltung dieses Vertrags informieren, in erster Linie durch den veröffentlichten Quellcode von Eduskript oder schriftliche Auskünfte der Luz Media GmbH. Kontrollen vor Ort nach Voranmeldung sind möglich; der Aufwand wird nach Absprache getragen.
13.2 Eduskript untersteht für die Bearbeitung im Auftrag der Aufsicht der für die Schule zuständigen Datenschutzaufsichtsstelle und unterstützt diese unentgeltlich.
14. Referenzen
Eduskript nennt die Schule nur mit deren schriftlicher Zustimmung als Referenz oder in Veröffentlichungen.
15. Abweichungen von den Zürcher AGB
Eduskript ist ein kleiner Anbieter. Folgende Anforderungen der AGB Auslagerung Informatikleistungen erfüllt Eduskript nicht oder nur teilweise:
- Ort der Datenbearbeitung (Ziff. 12): Die Daten liegen in der EU, nicht in der Schweiz. KI-Anfragen gehen ohne Identifikationsmerkmale in die USA (Ziffer 8).
- Sicherheitsmanagement nach ISO 27000 und externe Audits (Ziff. 8a, 9a): Eduskript hat keine eigene Zertifizierung und lässt keine periodischen Audits durchführen. Die Rechenzentren der Hosting-Anbieter sind nach ISO 27001 zertifiziert; der Quellcode ist öffentlich prüfbar.
- Protokollierung von Zugriffen (Ziff. 8d): Lesezugriffe werden nicht einzeln protokolliert. Protokolliert werden Ereignisse bei Prüfungen (Start, Abgabe, Rückgabe).
- Konventionalstrafe (Ziff. 16): Nicht enthalten. Die Schule kann eine vereinbaren.
- Weitergabe aller Pflichten an Unterauftragsbearbeiter (Ziff. 10): Nur im Rahmen der Standardverträge der Anbieter (Ziffer 7.3).
16. Schlussbestimmungen
16.1 Änderungen bedürfen der Schriftform (E-Mail genügt). 16.2 Sind einzelne Bestimmungen unwirksam, bleibt der Rest gültig. 16.3 Es gilt Schweizer Recht. Gerichtsstand ist der Sitz der Schule.
[Ort, Datum] _______________________ [Ort, Datum] _______________________
Für die Schule Für Luz Media GmbH
Anhang 1 – Daten, betroffene Personen, Zweck
| Betroffene | Daten | Zweck |
|---|---|---|
| Lehrpersonen | Name, E-Mail, Einstellungen, erstellte Inhalte, Zahlungsstatus (Kartendaten nur bei Payrexx) | Konto, Veröffentlichung, Abrechnung |
| Schülerinnen und Schüler | Pseudonym (HMAC), optionaler Spitzname, Klassenzugehörigkeit | Zugang zu Klassen |
| Antworten, Code, Quiz-Ergebnisse, Fortschritt, Annotationen/Zeichnungen, Prüfungsantworten, Punkte, KI-Rückmeldungen | Unterricht, Rückmeldung, Bewertung durch die Lehrperson | |
| Alle | IP-Adresse (flüchtig, nicht gespeichert) | Missbrauchsabwehr |
Keine besonders schützenswerten Personendaten im Sinne von Art. 5 lit. c DSG vorgesehen.
Anhang 2 – Technische und organisatorische Massnahmen
- Verschlüsselte Übertragung (TLS) für alle Verbindungen
- Verschlüsselte Speicherung der Datenbank (AES-256) und der Dateien mit Schülerdaten (SSE)
- Pseudonymisierung der Schülerinnen und Schüler bei der Anmeldung; keine Speicherung von Schüler-E-Mails
- Rollen- und Berechtigungskonzept: Lehrpersonen sehen nur eigene Klassen; Schüler nur freigegebene Inhalte; Daten verschiedener Schulen und Lehrpersonen sind logisch getrennt
- Zugriff auf Produktivsysteme nur durch Betreiber, mit Zwei-Faktor-Authentifizierung (Passkey bzw. TOTP)
- Regelmässige Backups gemäss Aufbewahrung des Hosting-Anbieters
- Keine Drittanbieter-Analytics, kein Tracking, keine Werbung
- Quellcode öffentlich einsehbar (open source, AGPL v3) – Sicherheitsprüfung durch Dritte möglich
- Rate-Limiting gegen Missbrauch
- Server-Protokolle ohne Inhalte von Schülerinnen und Schülern; das Protokollieren von Inhalten zur Fehlersuche ist standardmässig aus und wird nur gezielt und vorübergehend für einzelne Funktionen eingeschaltet
Anhang 3 – Unterauftragsbearbeiter
Stand bei Unterzeichnung. Die jeweils aktuelle, datierte Liste steht in der Datenschutzerklärung.
| Anbieter | Zweck | Standort | Schülerdaten? |
|---|---|---|---|
| Koyeb SAS | Anwendungs-Hosting, PostgreSQL-Datenbank | Frankfurt, Deutschland | ja |
| Neon, Inc. und Amazon Web Services (im Auftrag von Koyeb) | Infrastruktur der Datenbank | Frankfurt, Deutschland | ja |
| Scaleway SAS | Dateispeicher | Paris, Frankreich | ja (Uploads) |
| Brevo (Sendinblue SAS) | E-Mail-Versand an Lehrpersonen | EU | nein |
| Payrexx AG | Zahlungsabwicklung | Schweiz | nein |
| Mux, Inc. | Video-Hosting (von Lehrpersonen hochgeladene Videos) | USA | nein |
| OpenRouter, Inc. | Vermittlung von KI-Anfragen (Ziffer 9) | USA | nur Lösungen ohne Identifikationsmerkmale |
| Google LLC (Vertex AI) | KI-Feedback auf Handschrift (Gemini) | von Google gewählt (global) | wie OpenRouter |
| DigitalOcean, LLC | KI-Bewertung (DeepSeek V4 Flash, offene Gewichte) | USA | wie OpenRouter |
| Weitere Modellanbieter über OpenRouter | KI-Unterstützung der Lehrperson beim Schreiben | USA u. a. | nein |
Anmeldung über Microsoft erfolgt beim Identitätsanbieter der Schule bzw. der Lehrperson und ist keine Auftragsbearbeitung durch Eduskript.