Auftragsverarbeitungsvertrag (AVV)

gemäss Schweizer Datenschutzgesetz (nDSG) — Stand: 13. Juli 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch TeacherOrg im Auftrag der nutzenden Schule oder Lehrperson.

Auftragsverarbeiter:
TeacherOrg / Niclas Basler
Kilchweg 17, 4914 Roggwil, Schweiz
kontakt@teacherorg.com

Verantwortlicher (Controller):
Die Schule oder Lehrperson, die ein TeacherOrg-Konto erstellt und nutzt.

1. Gegenstand und Dauer

Gegenstand: TeacherOrg stellt eine webbasierte Schulverwaltungs-Software bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.

Dauer: Dieser Vertrag gilt ab Registrierung für die gesamte Dauer der Nutzung von TeacherOrg. Er endet automatisch mit der Löschung des Benutzerkontos.

2. Art der Daten und betroffene Personen

Kategorien personenbezogener Daten:

Schülerdaten: Name, Klassenzugehörigkeit, E-Mail-Adresse (optional)
Leistungsdaten: Noten, Kompetenzbeurteilungen, Selbsteinschätzungen
Verhaltensdaten: Anwesenheit, Bonus-/Malus-Einträge
Gamification-Daten: Münzen, Levels, Achievements, Store-Käufe
Lehrpersonendaten: Name, E-Mail-Adresse, Einstellungen
Technische Daten: Login-Zeitpunkte, IP-Adressen (in Audit-Logs)

Betroffene Personen:

Schülerinnen und Schüler (einschliesslich Minderjährige)
Lehrpersonen

3. Pflichten des Auftragsverarbeiters

TeacherOrg verpflichtet sich:

Daten nur auf Weisung des Verantwortlichen zu verarbeiten (nDSG Art. 9)
Daten nicht für eigene Zwecke zu verwenden
Daten nicht an Dritte weiterzugeben (ausser an die aufgeführten Unterauftragsverarbeiter)
Angemessene technische und organisatorische Massnahmen (TOMs) zum Schutz der Daten umzusetzen
Den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung) zu unterstützen
Datenschutzverletzungen unverzüglich (innerhalb von 72 Stunden) zu melden
Bei Vertragsende alle Daten zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht

4. Technische und organisatorische Massnahmen

Verschlüsselung:

HTTPS/TLS für alle Datenübertragungen
Passwörter werden mit bcrypt gehasht (nicht im Klartext gespeichert)

Zugriffskontrolle:

Rollenbasierte Zugriffskontrolle (Lehrperson / Schüler)
Jeder Datensatz ist an eine Klasse gebunden; geprüft wird gegen den Eigentümer dieser Klasse, und zwar serverseitig bei jeder Anfrage. Die Klassenzuordnung eines Datensatzes lässt sich nachträglich nicht verschieben.
Eine zweite Lehrperson erhält Zugriff ausschliesslich über eine Team-Teaching-Freigabe, der beide Seiten zugestimmt haben und deren Umfang die einladende Person festlegt
Schüler sehen ihre eigenen Daten sowie, soweit für Klassenfunktionen wie Gruppen und Ranglisten nötig, Name und Spielstand ihrer Klassenkameraden. Noten, überfachliche Beurteilungen und Verhaltenseinträge anderer Kinder sind für sie nicht zugänglich.
Administrativer Zugang nur über verschlüsselte SSH-Verbindung

Protokollierung:

Protokollierung sicherheitsrelevanter Vorgänge: An- und Abmeldung, fehlgeschlagene Anmeldeversuche, Anlegen, Ändern und Löschen von Schüler- und Notendatensätzen sowie Einsichtnahme in Noten
Unveränderliche Logs (kein Bearbeiten/Löschen möglich)
Server-seitiges Rate-Limiting gegen Brute-Force-Angriffe

Datensicherung:

Tägliche automatische Backups
Backups in Schweizer Rechenzentren (Exoscale Object Storage)
Aufbewahrung: 30 Tage, danach automatische Löschung

5. Unterauftragsverarbeiter

TeacherOrg setzt folgende Unterauftragsverarbeiter ein. Bei Änderungen wird der Verantwortliche vorab informiert.

Unternehmen	Zweck	Standort
Akenes SA (Exoscale)	Hosting (Datenbank, Backups)	Schweiz (Zürich)
Hostpoint AG	E-Mail-Versand (SMTP)	Schweiz
Vercel Inc.	Auslieferung der Web-Anwendung (statische Dateien; keine Unterrichts- oder Schülerdaten)	USA
Lemon Squeezy LLC	Zahlungsabwicklung als Merchant of Record (Abrechnungsdaten; keine Unterrichts- oder Schülerdaten)	USA

6. Speicherort

Unterrichts- und Schülerdaten werden ausschliesslich in der Schweiz verarbeitet und gespeichert (Exoscale Datacenter CH-DK-2, Zürich), einschliesslich Backups.

Auslandsbezug ohne Unterrichtsdaten: Für die Zahlungsabwicklung werden Abrechnungsdaten des Vertragspartners (Name, E-Mail, Betrag) an Lemon Squeezy (USA) übermittelt, gestützt auf Standardvertragsklauseln. Die Web-Anwendung wird als statische Dateien über Vercel (USA) ausgeliefert; dabei werden keine Unterrichts- oder Schülerdaten verarbeitet.

7. Löschung und Rückgabe

Bei Kündigung (Löschung des Lehrerkontos) werden alle zugehörigen Daten unwiderruflich gelöscht: Schülerdaten, Noten, Klassen, Einstellungen und alle verknüpften Datensätze.

Vor der Löschung können Daten auf Anfrage in einem strukturierten Format (CSV/JSON) exportiert werden.

Backups: Gelöschte Daten verbleiben maximal 30 Tage in verschlüsselten Backups und werden danach automatisch entfernt.

8. Meldepflicht bei Datenpannen

Bei einer Verletzung der Datensicherheit informiert TeacherOrg den Verantwortlichen unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden. Die Meldung enthält: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen, ergriffene Massnahmen.

9. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags und der technischen Massnahmen zu überprüfen. TeacherOrg stellt auf Anfrage relevante Informationen zur Verfügung.

10. Haftung und Schlussbestimmungen

Dieser AVV unterliegt Schweizer Recht. Gerichtsstand ist Roggwil BE.

Änderungen an diesem AVV werden den Nutzern per E-Mail oder In-App-Benachrichtigung mitgeteilt. Bei wesentlichen Änderungen ist eine erneute Zustimmung erforderlich.

Fragen zum AVV?

Bei Fragen zu diesem Auftragsverarbeitungsvertrag wenden Sie sich an:

E-Mail: kontakt@teacherorg.com

Zurück zur Anmeldung|Datenschutzerklärung