Datenschutzerklärung

1. Geltungsbereich und Kontakt

Diese Erklärung betrifft studygrid.net und beschreibt ergänzend die vorgesehenen Datenbearbeitungen der Lernplattform app.studygrid.net mit GridCloud, Elternzugängen und Prüfungsfunktionen. Welche Funktionen verfügbar sind, hängt von der eingesetzten Version und dem Schulangebot ab. Für separat betriebene Angebote oder Desktop-Clients sind ergänzende Informationen erforderlich.

Julien Houmard · StudyGrid
Uekerstrasse 20
5027 Herznach
Schweiz

Rechtliches und Datenschutz: legal@studygrid.net
Support: support@studygrid.net
Persönlich: julien.houmard@studygrid.net
Verkauf: sales@studygrid.net

2. Verantwortung beim Schuleinsatz

Für die Website, eigene Kundenkontakte und Vertragsverwaltung ist Julien Houmard verantwortlich. Bei der Bearbeitung von Unterrichts- und Schülerdaten im Auftrag einer Schule bestimmt grundsätzlich die Schule die Zwecke und den erlaubten Umfang. StudyGrid handelt insoweit nach deren dokumentierten Weisungen. Die genaue Rollenverteilung ist vor dem Einsatz vertraglich festzulegen.

Öffentliche Schulen müssen insbesondere das für sie geltende kantonale Datenschutz- und Schulrecht beachten. Die Nutzung der Plattform oder die Zustimmung zu AGB ersetzt weder diese Grundlage noch eine Vereinbarung zur Auftragsbearbeitung. Anliegen zu Schulunterlagen können Sie auch direkt an Ihre Schule richten.

3. Besuch dieser Website

Beim Abruf einer Seite werden technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte Adresse und Browserinformationen an den Webserver übertragen. Sie dienen der Auslieferung und dem sicheren Betrieb; für Serverprotokolle sieht unser Löschkonzept eine Aufbewahrung von höchstens 30 Tagen vor. Der genaue Protokollumfang und die aktive Löschkonfiguration müssen mit dem Hostingbetrieb abgeglichen werden.

Die Startseite ruft Nutzungsstatistiken von app.studygrid.net ab. Dabei erhält auch dieser Server Verbindungsdaten; der Abruf erlaubt dem Browser, vorhandene und für diese Anfrage zulässige App-Cookies mitzuschicken. Auf der öffentlichen Website ist im geprüften Quellstand kein eigenständiges Werbe- oder Analyse-Tracking eingebunden.

4. Externe Schriftarten und Bibliotheken

Die bisherigen Marketingseiten laden Google Fonts über fonts.googleapis.com und fonts.gstatic.com. Die Startseite lädt Chart.js von jsDelivr; die Preisseite lädt QRCode.js von jsDelivr und html2pdf.js über cdnjs. Dabei werden insbesondere IP-Adresse, Browserinformationen und gegebenenfalls die Herkunftsseite an den jeweiligen Dienst übermittelt. Diese externen Abrufe erfolgen beim Seitenaufruf und können eine Bearbeitung ausserhalb der Schweiz, einschliesslich in den USA, auslösen.

Die Seiten unter /legal/ laden selbst keine externen Schriftarten, Skripte oder Analysedienste. Für die übrigen Seiten sind die konkreten Empfänger, Bearbeitungsländer und erforderlichen Übermittlungsgarantien noch abzuklären.

5. Konten, Unterricht und Dateiablage

• Konto und Anmeldung: Benutzername, Vor- und Nachname, E-Mail-Adresse, Passwort-Hash, Rolle, Klassen- und Lizenzzuordnung; bei Lehrpersonen gegebenenfalls Telefonnummer und E-Mail-Verifizierung. Bei aktivierter Zwei-Faktor-Anmeldung werden entsprechende Authentifizierungsdaten bearbeitet.
• Unterricht: Klassen, Fächer, Aufgaben, Fragen, eingereichte Antworten und Dateien, Abgabezeitpunkte, Punkte, Noten und Rückmeldungen.
• GridCloud: hochgeladene Dateien, Dateinamen und zugehörige Verwaltungs- und Freigabeinformationen.
• Elternzugänge: freigegebene Prüfungsergebnisse, Name und Klasse des Kindes sowie Zeitpunkt des letzten Zugriffs auf den Elternzugang.

Die Daten stammen von Ihnen, berechtigten Lehrpersonen oder Schuladministrationen sowie aus der Nutzung der jeweiligen Funktion. Sichtbarkeit und Weitergabe richten sich nach Rollen, Zuordnungen und Freigaben. Bitte laden Sie nur Inhalte hoch, die für den Unterricht vorgesehen sind und für deren Bearbeitung eine ausreichende Grundlage besteht.

6. Prüfungsmodus und Anti-Cheat

Der im Projekt vorhandene Browser-Prüfungsmodus erfasst Sitzungs- und Nutzerkennungen, Zeitpunkte, Verbindungszeichen sowie Ereignisse wie Tab- oder Fensterwechsel, Verlassen des Vollbilds, bestimmte Tastenkombinationen und Kopier- beziehungsweise Einfügeversuche. Auch Browserkennung, Bildschirm- und Fenstergrösse sowie Zeitzone sind im Ereignisprotokoll vorgesehen. Welche Daten tatsächlich übermittelt und gespeichert werden, hängt von der eingesetzten Version und dem angebundenen Protokollierungsdienst ab.

Diese Angaben dienen der Durchführung und Nachprüfung von Prüfungen. Ein protokolliertes Ereignis beweist für sich allein keinen Täuschungsversuch. Vor einem Einsatz muss die Schule über Umfang, Empfänger, Aufbewahrung, mögliche Folgen und eine menschliche Überprüfung informieren. Die Datenerhebung des separat herunterladbaren Anti-Cheat-Clients ist hiermit nicht vollständig beschrieben.

7. KI-gestützte Korrektur

Die App enthält eine Anbindung an die OpenAI-API. Wird die KI-Korrektur verwendet, können Aufgabenstellungen, Musterlösungen, Bewertungsanweisungen und Schülerantworten an den konfigurierten API-Dienst übertragen werden. Auch ohne ein separates Namensfeld können Freitexte personenbezogene Angaben enthalten. Die resultierenden Punkte und Rückmeldungen werden in der App verarbeitet.

Die konkret beauftragte Anbietergesellschaft, die aktive API-Konfiguration, Bearbeitungsländer, Speicherfristen und vertraglichen Übermittlungsgarantien sind noch zu bestätigen. Eine ausschliessliche Speicherung in der Schweiz oder Europa wird nicht zugesichert. Vor der Nutzung mit personenbezogenen Schülerdaten müssen Schule und StudyGrid die Zulässigkeit und vertragliche Absicherung klären. KI-Ergebnisse können falsch sein; eine Lehrperson muss sie fachlich prüfen. Betroffene sollen eine Bewertung durch einen Menschen verlangen können.

8. Kontakt, Bewerbungen und Bestellungen

Bei einer Nachricht bearbeiten wir die übermittelten Kontaktangaben und Inhalte zur Beantwortung. Bewerbungen umfassen die von Ihnen versandten Angaben und Unterlagen zur Prüfung einer Zusammenarbeit. Das Bewerbungsformular öffnet das lokale E-Mail-Programm; erst der Versand über dieses Programm übermittelt die Bewerbung.

Für Angebote, Lizenzen und Abrechnung bearbeiten wir insbesondere Name, Schule, E-Mail-Adresse, Anschrift, gewünschte Lizenzanzahl sowie Vertrags- und Zahlungsinformationen. Das derzeitige Zahlungspanel der Preisseite löst keine Zahlung aus; die PDF-/QR-Zahlungsfunktion ist bis zur Bestätigung der Empfängerdaten deaktiviert. Die eingebundenen externen Bibliotheken werden davon unabhängig geladen.

9. Zwecke und rechtlicher Rahmen

Wir bearbeiten Personendaten für den Betrieb der Website, die Bereitstellung vereinbarter Leistungen, Kommunikation, Vertragsabwicklung und Missbrauchsabwehr. Dabei gelten das Schweizer Datenschutzgesetz und gegebenenfalls besondere schulrechtliche Vorschriften. Soweit die EU-DSGVO im konkreten Fall anwendbar ist, kommen insbesondere Vertragserfüllung oder vorvertragliche Schritte (Art. 6 Abs. 1 lit. b), gesetzliche Pflichten (lit. c), berechtigte Interessen an Betrieb und Sicherheit (lit. f) oder eine gesonderte Einwilligung (lit. a) in Betracht.

Eine Einwilligung wird nicht pauschal durch die Nutzung angenommen. Wo sie notwendig ist, muss sie für den konkreten Zweck freiwillig und informiert eingeholt werden; im Schulverhältnis ist ihre Freiwilligkeit besonders zu prüfen. Erforderliche Kontodaten werden bei der Erhebung gekennzeichnet; ohne sie können die entsprechenden Funktionen nicht bereitgestellt werden.

10. Cookies und Sitzungen

Die App verwendet serverseitige Anmeldesitzungen mit technisch erforderlichen Sitzungscookies, um angemeldete Personen wiederzuerkennen und geschützte Funktionen bereitzustellen. Die konkrete Laufzeit richtet sich nach der aktiven Serverkonfiguration und ist noch zu bestätigen. Über den Browser können Cookies gelöscht oder blockiert werden; eine Anmeldung kann dadurch nicht mehr funktionieren. Diese Legal-Seiten setzen selbst keine Cookies und verwenden keinen lokalen Browserspeicher.

11. Empfänger und Ausland

Je nach Vorgang erhalten berechtigte Mitarbeitende, die zuständige Schule und deren autorisierte Personen, freigeschaltete Elternzugänge sowie beauftragte Hosting-, E-Mail- und gegebenenfalls KI-Dienstleister Daten. Bei gesetzlichen Verpflichtungen kommen Behörden als Empfänger hinzu. Veröffentlichungen oder Freigaben von Lerninhalten müssen im vereinbarten Umfang erfolgen.

StudyGrid betreibt nach Angaben des Betreibers einen Rootserver bei MC-HOST24 und speichert die eigenen Hostingdaten in Deutschland. Diese Standortangabe umfasst keine pauschale Zusicherung für die separat eingesetzte OpenAI-API, E-Mail-Dienstleister oder externe Schrift- und Bibliotheksdienste. Die genaue vertragliche Anbieterbezeichnung sowie der Nachweis für Server- und Backupstandorte sind im Dienstleisterverzeichnis zu dokumentieren. Die vollständige Liste der Auftragsbearbeiter, Unterauftragnehmer und Empfängerländer steht noch aus. Vor Bekanntgaben in Staaten ohne angemessenes Datenschutzniveau sind geeignete Garantien beziehungsweise die gesetzlich vorgesehenen Voraussetzungen zu prüfen und transparent anzugeben.

12. Aufbewahrung und Sicherheit

StudyGrid legt die folgenden Fristen als Löschkonzept fest. Die technischen Löschläufe und die Einhaltung durch Dienstleister müssen noch umgesetzt beziehungsweise nachgewiesen werden; diese Erklärung bestätigt keine bereits eingerichtete automatische Löschung.

• Server-, Zugriffs- und technische Sicherheitsprotokolle: höchstens 30 Tage ab Erfassung.
• Anti-Cheat- und Prüfungsereignisse: höchstens 90 Tage nach Abschluss der jeweiligen Prüfung. Die eigentlichen Prüfungsarbeiten und Noten richten sich nach den schulischen Aufbewahrungsvorgaben.
• Konten, Unterrichtsdaten und Cloud-Dateien: während der vereinbarten Nutzung; anschliessend Löschung aus den aktiven Systemen innerhalb von 30 Tagen nach Vertragsende oder einer berechtigten Löschweisung. Eine nötige Datenrückgabe wird vor Vertragsende vereinbart. Für schulisch verwaltete Daten sind gesetzliche Aufbewahrungspflichten und dokumentierte Weisungen der Schule massgeblich.
• Nicht aktivierte Registrierungen: Löschung nach 30 Tagen. Inaktive Einzelkonten werden nach 12 Monaten geprüft; vor einer Löschung erfolgt eine Benachrichtigung mit 30 Tagen Reaktionsfrist. Schulisch verwaltete Konten werden nur in Abstimmung mit der Schule gelöscht.
• Support- und allgemeine Kontaktanfragen: spätestens 12 Monate nach Abschluss, sofern sie nicht für ein laufendes Vertragsverhältnis oder einen konkreten Rechtsanspruch benötigt werden.
• Erfolglose Bewerbungen: grundsätzlich spätestens 3 Monate nach Mitteilung der Absage. Eine längere Aufnahme in einen Bewerberpool setzt eine gesonderte, widerrufliche Einwilligung voraus. Bei Anstellung werden nur erforderliche Unterlagen in das Personaldossier übernommen.
• Buchungsbelege und gesetzlich aufbewahrungspflichtige Geschäftsunterlagen: 10 Jahre ab Ende des massgeblichen Geschäftsjahres, soweit die gesetzliche Pflicht anwendbar ist.
• Backups: maximale Aufbewahrung von 90 Tagen ab Erstellung; bereits aus aktiven Systemen gelöschte Daten laufen spätestens mit dieser Frist aus den Sicherungen aus. Sicherungen dürfen nicht zur gewöhnlichen weiteren Nutzung gelöschter Daten dienen. Nach einer Wiederherstellung müssen vorgemerkte Löschungen erneut ausgeführt werden.

Bei konkreten Streitfällen, Sicherheitsvorfällen oder gesetzlichen Pflichten können die jeweils erforderlichen Daten gesondert länger aufbewahrt werden. Grund, Umfang und Dauer werden dokumentiert; nach Wegfall des Grundes erfolgt die Löschung. Abweichende gesetzlich erforderliche Schulfristen werden vor der Nutzung vereinbart. Die Aufbewahrung bei externen KI- und E-Mail-Anbietern muss separat vertraglich geklärt werden und ist durch diese Vorgaben allein nicht technisch gewährleistet.

Im App-Code sind Passwort-Hashing, Rollenprüfungen und Funktionen für Zwei-Faktor-Anmeldung vorgesehen. Daraus ergibt sich keine Zusicherung über die aktuelle Serverkonfiguration, eine vollständige Verschlüsselung gespeicherter Daten, geprüfte Backups oder eine Sicherheitszertifizierung. Die technischen und organisatorischen Massnahmen müssen für den tatsächlichen Betrieb dokumentiert und überprüft werden.

13. Ihre Rechte

Im Rahmen des anwendbaren Rechts können Sie Auskunft über die Bearbeitung Ihrer Personendaten, Berichtigung unrichtiger Angaben, Löschung oder Unterlassung einer unzulässigen Bearbeitung und, soweit vorgesehen, Herausgabe oder Übertragung Ihrer Daten verlangen. Soweit die DSGVO gilt, bestehen unter ihren Voraussetzungen auch Rechte auf Einschränkung und Widerspruch. Eine erteilte Einwilligung können Sie für die Zukunft widerrufen; die Rechtmässigkeit der vorherigen Bearbeitung bleibt davon unberührt.

Schreiben Sie an legal@studygrid.net. Zur Vermeidung unberechtigter Offenlegung kann eine angemessene Identitätsprüfung erforderlich sein. Bei schulisch verwalteten Daten beziehen wir die zuständige Schule ein. Gesetzliche Aufbewahrungspflichten und Rechte anderer Personen können einer sofortigen Löschung entgegenstehen.

Sie können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), bei öffentlichen Schulen an die zuständige kantonale Datenschutzaufsicht und, soweit anwendbar, an eine zuständige EU-Datenschutzaufsichtsbehörde wenden.

14. Änderungen

Bei Änderungen an Funktionen, Anbietern oder Datenbearbeitungen wird diese Erklärung aktualisiert. Wesentliche Änderungen sind den betroffenen Personen auf geeignete Weise mitzuteilen. Eine neue Fassung ersetzt keine erforderliche Einwilligung oder vertragliche Zustimmung.

Weiterführende Informationen

EDÖB: Auftragsdatenbearbeitung · EDÖB: Datenbekanntgabe ins Ausland · EDÖB: Datenschutzfragen · Bund: Aufbewahrung von Geschäftsbüchern