AVV-Vorlage

Vorlage für einen Vertrag über die Auftragsbearbeitung von Personendaten, Stand Oktober 2026.

Diese Vorlage folgt Punkt für Punkt den AGB Auslagerung Informatikleistungen des Kantons Zürich und dem Leitfaden «Bearbeiten im Auftrag» der Datenschutzbeauftragten des Kantons Zürich. Wo Eduskript eine dieser Anforderungen nicht erfüllt, steht das offen in Ziffer 15.

Viele Kantone haben eigene Muster. Die Schule kann diese Vorlage übernehmen oder ihr kantonales Muster verwenden – Eduskript unterzeichnet beides. Kontakt: kontakt@luzmedia.ch. […] = von der Schule auszufüllen. Eine englische Übersetzung dient nur der Information; verbindlich ist diese deutsche Fassung.

zwischen

[Name der Schule], [Adresse] vertreten durch [Name, Funktion] — nachfolgend «Schule» (Verantwortliche)

und

Luz Media GmbH, Untere Vogelsangstrasse 11, 8400 Winterthur UID CHE-261.508.926, Betreiberin von eduskript.org — nachfolgend «Eduskript» (Auftragsbearbeiterin)

1. Gegenstand

1.1 Die Schule bzw. ihre Lehrpersonen nutzen eduskript.org, um digitale Unterrichtsmaterialien zu erstellen, zu veröffentlichen und mit Klassen zu bearbeiten (Klassen, Fortschrittsübersicht, Prüfungen, KI-Feedback, KI-gestützte Bewertung).

1.2 Soweit dabei Personendaten von Schülerinnen und Schülern oder Lehrpersonen der Schule bearbeitet werden, bearbeitet Eduskript diese ausschliesslich im Auftrag und nach Weisung der Schule.

1.3 Grundlage bilden das kantonale Datenschutzrecht der Schule ([z. B. IDG ZH, KDSG AG …]) sowie subsidiär das Bundesgesetz über den Datenschutz (DSG). Die Nutzungsbedingungen von eduskript.org gelten ergänzend; bei Widersprüchen geht dieser Vertrag vor.

1.4 Der Vertrag gilt für die Dauer der Nutzung durch die Schule (Schullizenz oder Nutzung durch einzelne Lehrpersonen der Schule) und endet automatisch mit deren Ende.

2. Art der Daten, betroffene Personen, Zweck

2.1 Siehe Anhang 1. Eduskript bearbeitet die Daten nur zum Betrieb der Plattform für die Schule. Eine Bearbeitung zu eigenen Zwecken (Werbung, Profilbildung, Weiterverkauf, Training eigener oder fremder KI-Modelle) findet nicht statt. Weitere Zwecke bedürfen der schriftlichen Bewilligung der Schule.

2.2 Die Schule behält die volle Verfügungsmacht über ihre Daten. Sie kann Eduskript jederzeit und ohne Begründung den Zugriff untersagen, die Daten unentgeltlich herausverlangen (Ziffer 12) oder ihre Vernichtung verlangen.

3. Datensparsamkeit und Pseudonymisierung

3.1 Schülerinnen und Schüler melden sich über den Identitätsanbieter der Schule (z. B. Microsoft 365) an. Die dabei übermittelte E-Mail-Adresse wird nur verwendet, um ein nicht umkehrbares Pseudonym (HMAC) zu berechnen, und nicht gespeichert.

3.2 Eduskript speichert von Schülerinnen und Schülern nur das Pseudonym, einen optional selbst gewählten Spitznamen sowie die Arbeitsdaten gemäss Anhang 1. Die Liste der E-Mail-Adressen, mit der eine Lehrperson ihre Klasse zuordnet, liegt nur im Browser der Lehrperson.

3.3 IP-Adressen werden nur kurzzeitig zur Missbrauchsabwehr (Rate-Limiting) verwendet und nicht dauerhaft gespeichert. Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt.

4. Weisungen

4.1 Eduskript bearbeitet die Daten nur im Rahmen dieses Vertrags und nach dokumentierten Weisungen der Schule. Weisungen erteilen [Schulleitung / ICT-Verantwortliche/r / Datenschutzverantwortliche/r], per E-Mail an kontakt@luzmedia.ch.

4.2 Hält Eduskript eine Weisung für rechtswidrig, informiert sie die Schule unverzüglich.

5. Vertraulichkeit und Bekanntgabe

5.1 Eduskript, ihre Mitarbeitenden und Hilfspersonen unterstehen während und nach dem Vertragsverhältnis einer umfassenden Geheimhaltungspflicht, die dem Amtsgeheimnis der Schule entspricht. Zugriff auf Personendaten erhält nur, wer ihn für Betrieb oder Support zwingend braucht.

5.2 Eduskript gibt Daten der Schule nur im Rahmen dieses Vertrags oder mit schriftlicher Ermächtigung der Schule an Dritte bekannt. Wird Eduskript durch eine behördliche oder gerichtliche Anordnung verpflichtet, Zugang zu Daten der Schule zu gewähren, informiert sie die Schule unverzüglich, soweit das rechtlich zulässig ist.

6. Datensicherheit

6.1 Eduskript trifft die technischen und organisatorischen Massnahmen gemäss Anhang 2 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

6.2 Die Daten der Schule sind von denjenigen anderer Schulen und Lehrpersonen logisch getrennt (Berechtigungskonzept, Anhang 2).

6.3 Eduskript dokumentiert die eingesetzte Technik offen (Quellcode, Anhang 3) und informiert die Schule über wesentliche Änderungen.

7. Unterauftragsbearbeiter

7.1 Die Schule genehmigt die in Anhang 3 aufgeführten Unterauftragsbearbeiter.

7.2 Eduskript informiert die Schule mindestens 30 Tage im Voraus über neue oder ersetzte Unterauftragsbearbeiter. Die Schule kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann sie den Vertrag auf den Zeitpunkt der Änderung kündigen.

7.3 Eduskript verpflichtet Unterauftragsbearbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Bei grossen Anbietern (Hosting, KI) gelten deren Standardverträge zur Auftragsbearbeitung; diese lassen sich nicht einzeln verhandeln.

8. Ort der Datenbearbeitung und Bekanntgabe ins Ausland

8.1 Datenbank und hochgeladene Dateien werden in der Schweiz gespeichert (Infomaniak). Die KI-Verarbeitung von Lösungen der Schülerinnen und Schüler (Ziffer 9) findet ebenfalls bei Infomaniak in der Schweiz statt. Verschlüsselte Datenbank-Sicherungen liegen ebenfalls bei Infomaniak in der Schweiz, in einem anderen Rechenzentrum als der Server. Der E-Mail-Versand an Lehrpersonen erfolgt in der EU. Die EU gilt nach Anhang 1 der Datenschutzverordnung (DSV) als Staat mit angemessenem Datenschutz.

8.2 Personendaten von Schülerinnen und Schülern werden nicht in Staaten ohne angemessenen Datenschutz übermittelt. In die USA gehen nur Inhalte von Lehrpersonen: Videos (Mux) und KI-Anfragen, mit denen Lehrpersonen ihre eigenen Inhalte bearbeiten (OpenRouter; gestützt auf die Standardvertragsklauseln der EU im Auftragsbearbeitungsvertrag von OpenRouter, Stand 26. August 2026).

8.3 Mit der Unterzeichnung bewilligt die Schule die Bearbeitung an den in Anhang 3 genannten Orten. Die aktuelle Liste der Orte und Anbieter ist in der Datenschutzerklärung dokumentiert.

9. KI-Funktionen

9.1 Welche Funktionen. KI wird eingesetzt für: (a) Feedback an Schülerinnen und Schüler auf handschriftliche oder gezeichnete Lösungen, (b) KI-gestützte Bewertung von Prüfungsantworten nach einem Bewertungsraster der Lehrperson, (c) KI-Unterstützung der Lehrperson beim Erstellen und Bearbeiten von Inhalten. Funktion (a) ist nur dort aktiv, wo die Lehrperson sie in eine Aufgabe einbaut. Die KI vergibt nur Punkte und Rückmeldungen; über die Bewertung entscheidet immer die Lehrperson.

9.2 Was übermittelt wird – und was nicht. Die Anfragen gehen vom Server von Eduskript aus, nicht vom Gerät der Schülerin oder des Schülers. Übermittelt werden nur:

der Aufgabentext der Lehrperson,
die Lösung der Schülerin oder des Schülers (Bild der Handschrift bzw. Antworttext),
ggf. die Musterlösung der Lehrperson.

Nicht übermittelt werden Namen, Spitznamen, Pseudonyme, E-Mail-Adressen, Konto-IDs, Klassenbezeichnungen oder IP-Adressen der Schülerinnen und Schüler. Für den KI-Anbieter ist eine Anfrage damit keiner Person zuordenbar.

9.3 In der Schweiz, kein Training, keine Speicherung. Anfragen mit Lösungen von Schülerinnen und Schülern (KI-Feedback, KI-Bewertung, Bewertungsraster) verarbeitet Infomaniak in seinen Rechenzentren in der Schweiz mit offenen Modellen. Infomaniak speichert die Inhalte nicht über die Verarbeitung hinaus und verwendet sie nicht zum Training (Nutzungsbedingungen der LLM-API, Art. 6). Eduskript lässt für diese Anfragen technisch keinen anderen Anbieter zu.

9.4 Restrisiko. Schreibt eine Schülerin oder ein Schüler den eigenen Namen in die Lösung selbst (z. B. auf das fotografierte Blatt oder in einen Code-Kommentar), wird dieser mit übermittelt. Eduskript weist beim Beitritt zu einer Klasse darauf hin.

10. Unterstützung der Schule

Eduskript unterstützt die Schule angemessen bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Datenschutzaufsicht. Begehren, die direkt bei Eduskript eingehen, leitet Eduskript unverzüglich an die Schule weiter.

11. Verletzungen der Datensicherheit

Eduskript meldet der Schule Verletzungen der Datensicherheit (z. B. Datenverlust, Angriff, unrechtmässiger Zugriff), die Personendaten der Schule betreffen, unverzüglich, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und getroffenen Massnahmen. Ansprechperson bei Eduskript: Marc Chéhab, kontakt@luzmedia.ch. Ansprechperson der Schule: [Name, E-Mail].

12. Rückgabe und Löschung

12.1 Lehrpersonen können ihre Inhalte jederzeit als Markdown-Dateien samt Anhängen exportieren. Personendaten eines Kontos lassen sich in den Einstellungen als JSON-Datei herunterladen. Bei Vertragsende überträgt Eduskript die Daten der Schule auf Verlangen unentgeltlich und umgehend in diesen Formaten, auch wenn zwischen den Parteien Streitigkeiten bestehen.

12.2 Nach Vertragsende löscht Eduskript die Personendaten von Schülerinnen und Schülern der Schule innert 30 Tagen, sofern die Schule nicht vorher eine Rückgabe verlangt. Gelöschte Daten bleiben höchstens 6 Monate in den verschlüsselten Sicherungen und werden dann auch dort entfernt. Die Löschung wird auf Verlangen schriftlich bestätigt; die Schule kann sie selbst oder durch Dritte überprüfen lassen.

12.3 Von Lehrpersonen veröffentlichte Unterrichtsmaterialien bleiben gemäss Nutzungsbedingungen online, solange die Lehrperson sie nicht selbst löscht; sie enthalten keine Schülerdaten.

13. Kontrolle und Aufsicht

13.1 Die Schule kann sich über die Einhaltung dieses Vertrags informieren, in erster Linie durch den veröffentlichten Quellcode von Eduskript oder schriftliche Auskünfte der Luz Media GmbH. Kontrollen vor Ort nach Voranmeldung sind möglich; der Aufwand wird nach Absprache getragen.

13.2 Eduskript untersteht für die Bearbeitung im Auftrag der Aufsicht der für die Schule zuständigen Datenschutzaufsichtsstelle und unterstützt diese unentgeltlich.

14. Referenzen

Eduskript nennt die Schule nur mit deren schriftlicher Zustimmung als Referenz oder in Veröffentlichungen.

15. Abweichungen von den Zürcher AGB

Eduskript ist ein kleiner Anbieter. Folgende Anforderungen der AGB Auslagerung Informatikleistungen erfüllt Eduskript nicht oder nur teilweise:

Ort der Datenbearbeitung (Ziff. 12): Datenbank, Dateien, Sicherungen und KI-Verarbeitung der Schülerdaten liegen in der Schweiz. Nur der E-Mail-Versand an Lehrpersonen liegt in der EU (Ziffer 8).
Sicherheitsmanagement nach ISO 27000 und externe Audits (Ziff. 8a, 9a): Eduskript hat keine eigene Zertifizierung und lässt keine periodischen Audits durchführen. Die Rechenzentren der Hosting-Anbieter sind nach ISO 27001 zertifiziert; der Quellcode ist öffentlich prüfbar.
Protokollierung von Zugriffen (Ziff. 8d): Lesezugriffe werden nicht einzeln protokolliert. Protokolliert werden Ereignisse bei Prüfungen (Start, Abgabe, Rückgabe).
Konventionalstrafe (Ziff. 16): Nicht enthalten. Die Schule kann eine vereinbaren.
Weitergabe aller Pflichten an Unterauftragsbearbeiter (Ziff. 10): Nur im Rahmen der Standardverträge der Anbieter (Ziffer 7.3).

16. Schlussbestimmungen

16.1 Änderungen bedürfen der Schriftform (E-Mail genügt). 16.2 Sind einzelne Bestimmungen unwirksam, bleibt der Rest gültig. 16.3 Es gilt Schweizer Recht. Gerichtsstand ist der Sitz der Schule.

[Ort, Datum] _______________________ [Ort, Datum] _______________________

Für die Schule Für Luz Media GmbH

Anhang 1 – Daten, betroffene Personen, Zweck

Betroffene	Daten	Zweck
Lehrpersonen	Name, E-Mail, Einstellungen, erstellte Inhalte, Zahlungsstatus (Kartendaten nur bei Payrexx)	Konto, Veröffentlichung, Abrechnung
Schülerinnen und Schüler	Pseudonym (HMAC), optionaler Spitzname, Klassenzugehörigkeit	Zugang zu Klassen
	Antworten, Code, Quiz-Ergebnisse, Fortschritt, Annotationen/Zeichnungen, Prüfungsantworten, Punkte, KI-Rückmeldungen	Unterricht, Rückmeldung, Bewertung durch die Lehrperson
Alle	IP-Adresse (flüchtig, nicht gespeichert)	Missbrauchsabwehr

Keine besonders schützenswerten Personendaten im Sinne von Art. 5 lit. c DSG vorgesehen.

Anhang 2 – Technische und organisatorische Massnahmen

Verschlüsselte Übertragung (TLS) für alle Verbindungen
Datensicherungen verschlüsselt (AES-256); hochgeladene Dateien im Objektspeicher von Infomaniak verschlüsselt. Der Datenträger des Servers selbst ist nicht verschlüsselt (bietet Infomaniak für VPS nicht an); Zugriff nur per SSH-Schlüssel
Pseudonymisierung der Schülerinnen und Schüler bei der Anmeldung; keine Speicherung von Schüler-E-Mails
Rollen- und Berechtigungskonzept: Lehrpersonen sehen nur eigene Klassen; Schüler nur freigegebene Inhalte; Daten verschiedener Schulen und Lehrpersonen sind logisch getrennt
Zugriff auf Produktivsysteme nur durch Betreiber, mit Zwei-Faktor-Authentifizierung (Passkey bzw. TOTP)
Tägliche verschlüsselte Sicherungen, höchstens 6 Monate aufbewahrt
Keine Drittanbieter-Analytics, kein Tracking, keine Werbung
Quellcode öffentlich einsehbar (open source, AGPL v3) – Sicherheitsprüfung durch Dritte möglich
Rate-Limiting gegen Missbrauch
Server-Protokolle ohne Inhalte von Schülerinnen und Schülern; das Protokollieren von Inhalten zur Fehlersuche ist standardmässig aus und wird nur gezielt und vorübergehend für einzelne Funktionen eingeschaltet

Anhang 3 – Unterauftragsbearbeiter

Stand bei Unterzeichnung. Die jeweils aktuelle, datierte Liste steht in der Datenschutzerklärung.

Anbieter	Zweck	Standort	Schülerdaten?
Infomaniak Network SA	Server für Anwendung und PostgreSQL-Datenbank, Dateispeicher, verschlüsselte Datenbank-Sicherungen, KI-Verarbeitung (KI-Feedback, KI-Bewertung) mit offenen Modellen	Schweiz	ja
Brevo (Sendinblue SAS)	E-Mail-Versand an Lehrpersonen	EU	nein
CloudMailin (Dynamic Edge Software Ltd, UK)	Empfang weitergeleiteter E-Mails von Lehrpersonen (Mail-Hooks, z. B. Login-Codes)	USA/EU	nein
Payrexx AG	Zahlungsabwicklung	Schweiz	nein
Mux, Inc.	Video-Hosting (von Lehrpersonen hochgeladene Videos)	USA	nein
OpenRouter, Inc.	Vermittlung von KI-Anfragen der Lehrpersonen für eigene Inhalte	USA	nein
Modellanbieter über OpenRouter, u. a. Google Vertex AI (nur ohne Datenspeicherung)	KI-Unterstützung der Lehrperson beim Schreiben	USA u. a.	nein

Anmeldung über Microsoft erfolgt beim Identitätsanbieter der Schule bzw. der Lehrperson und ist keine Auftragsbearbeitung durch Eduskript.