Datenschutz: Wo liegen deine Daten?

Welche Daten werden verarbeitet

Konto-Daten der Lehrperson: Name, E-Mail, Schulangaben (Schule, Ort, Land, Stufe) und Passwort-Hash für Login und Dashboard; dazu, ob und wann die E-Mail-Adresse bestätigt, das Konto freigeschaltet und für den Unterricht freigegeben wurde, der Zeitpunkt der letzten Anmeldung (für die Löschfrist unten) und welche Fassung von Nutzungsbedingungen und Datenschutzerklärung bei der Registrierung akzeptiert wurde. Die Schulangaben dienen auch der Prüfung, ob eine Registrierung von einer Lehrperson stammt.

Unterrichtsinhalte: von der Lehrperson hochgeladene Dokumente (Skripte, Lernziele, o. ä.), die für die Lernassistenten durchsuchbar gemacht werden.

Eigene Bausteine ("Eigene Idee"): Beschreibt eine Lehrperson das Verhalten eines eigenen Bausteins selbst, wird dieser Text mit dem Lernassistenten gespeichert und bei jeder Anfrage an diesen Baustein an das Sprachmodell geschickt. Der Betreiber kann den Text in der Verwaltung lesen, um die Plattform weiterzuentwickeln (z. B. daraus neue Standardbausteine abzuleiten); Chats sieht er dabei nicht.

Schulprofil: Nimmt eine Schule mit Lizenz oder als Pilotschule teil, kann der Betreiber kurze, von der Schule bestätigte "Grundsätze der Schule" (z. B. aus dem Leitbild) und längere "Dokumente der Schule" (z. B. das vollständige Leitbild oder Reglemente) hinterlegen und die Konten ihrer Lehrpersonen der Schule zuordnen. Ist bei einem Lernassistenten "Schulprofil berücksichtigen" eingeschaltet, werden die Grundsätze bei jeder Anfrage an das Sprachmodell mitgeschickt, und die Dokumente der Schule werden wie die eigenen Unterlagen durchsucht; passende Abschnitte gehen mit der Anfrage an das Sprachmodell. Die Lehrperson kann das pro Lernassistent jederzeit ausschalten. Grundsätze und Dokumente der Schule enthalten keine Personendaten von SchülerInnen.

Chat-Nachrichten: was SchülerInnen im Chat schreiben und was der Lernassistent antwortet, inklusive optional mitgeschickter Dateien pro Nachricht.

Nutzungsstatistik (Tokenverbrauch): Pro Lehrperson-Konto wird zusätzlich erfasst, wie viele Tokens (die Recheneinheit, nach der Sprachmodelle abgerechnet werden) insgesamt über alle eigenen Lernassistenten hinweg verbraucht wurden, getrennt nach Anthropic (Claude), Mistral und Infomaniak. Erfasst wird dabei je Konto nur eine Gesamtzahl pro Anbieter, nicht aufgeschlüsselt nach Lernassistent, Baustein oder einzelnem Chat, und ohne den Inhalt der Chats selbst zu speichern. Das dient ausschliesslich der internen Kostenkontrolle und der künftigen Ausgestaltung von Abo-Modellen.

Rückmeldungen: Wer über das Formular im Dashboard eine Rückmeldung schickt, dessen Name, E-Mail-Adresse, gewählte Kategorie und Nachrichtentext werden (anders als Chat-Nachrichten) in der Datenbank gespeichert und zusätzlich per E-Mail an das SekMate-Team weitergeleitet (siehe unten).

Einrichtungsservice: Wer über das Einrichtungsservice-Formular eine Anfrage stellt, dessen Name, E-Mail-Adresse, Schule, Stufe sowie die Angaben zu Klasse/Fach und gewünschten Anweisungen für die Bausteine werden gespeichert. Anders als bei einem normalen Hochladen in eine Wissenssammlung (siehe „Unterrichtsinhalte“ oben) werden dabei die hochgeladenen Unterrichtsunterlagen selbst (nicht nur ihr für die Suche aufbereiteter Inhalt) vollständig gespeichert, solange das SekMate-Team den Lernassistenten für die anfragende Person einrichtet. Details zur Aufbewahrung und Löschung dieser Dateien stehen weiter unten.

Login-Cookie: Für den eingeloggten Bereich (Dashboard) wird ein rein technisches Sitzungs-Cookie gesetzt, das die Lehrperson angemeldet hält. Darüber hinaus setzt SekMate keine Tracking- oder Analyse-Cookies und bindet keine Analytics-Dienste ein.

Was nicht in den Chat gehört

Besonders schützenswerte Personendaten (z. B. zur Gesundheit, zu religiösen oder weltanschaulichen Ansichten, zu familiären Notlagen oder zu Disziplinarischem) dürfen weder in Unterlagen noch im Chat eingegeben werden. Ein entsprechender Hinweis wird zusätzlich direkt im Chat-Fenster angezeigt.

Rollenverteilung nach Datenschutzrecht

Einsatz im Unterricht: Für Schüler-Chats und die Unterrichtsdokumente von Lehrpersonen, deren Konto für den Unterricht freigegeben ist, ist SekMate Auftragsverarbeiter der Schule. Verantwortliche Stelle ist die Schule, die über Zweck und Mittel dieser Verarbeitung entscheidet. Massgebend ist die Auftragsverarbeitungsvereinbarung, die die zuständige Stelle der Schule vor dem Einsatz im Unterricht abschliesst (siehe unten, Abschnitt "Zuständigkeiten bei Vorfällen").

Persönliches Testkonto: Solange ein Konto nicht für den Unterricht freigegeben ist, können SchülerInnen nicht darauf zugreifen. Über die Unterlagen, die eine Lehrperson dort hochlädt, entscheidet sie selbst; SekMate verarbeitet sie in ihrem Auftrag. Eine Schule ist in dieser Phase nicht beteiligt.

Für das Lehrpersonen-Konto, die Nutzungsstatistik (Tokenverbrauch), das Feedback-Formular und Anfragen an den Einrichtungsservice ist SekMate selbst Verantwortlicher. Rechtsgrundlage dafür ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der Lehrperson bzw. ihre Anfrage) für das Konto und den Einrichtungsservice sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Nutzungsstatistik, Feedback-Formular und technische Logs.

Wo diese Daten liegen

Die Datenbank mit Konten, Wissensdatenbanken und den daraus erzeugten Vektoren wird bei Railway gehostet; die von SekMate eingesetzte Datenbank-Instanz läuft in der Region Amsterdam (Niederlande, EU). Das betrifft nur den Speicherort dieser Instanz, nicht den Ort jeder Verarbeitung: Railway (Railway Corporation, San Francisco) ist ein Unternehmen mit Sitz in den USA und gibt im mit SekMate am 21. Oktober 2026 abgeschlossenen Auftragsverarbeitungsvertrag (DPA) an, dass seine Verarbeitung primär in den USA stattfindet. Die Übermittlung in die USA ist dort über EU-Standardvertragsklauseln mit Anpassungen für die Schweiz abgesichert. Die öffentliche Fassung des DPA ist einsehbar unter railway.com/legal/dpa. Für das Vektorisieren der Unterrichtsinhalte (Embedding) wird standardmässig Mistral AI genutzt, ein Unternehmen mit Sitz in Frankreich (EU). Ebenfalls über Mistral AI läuft die automatische Texterkennung (OCR) für Seiten hochgeladener PDFs, die keinen eigenen Text enthalten (z. B. Scans). Nur diese Seiten werden dafür übermittelt, direkt in der Anfrage und nicht über eine Dateiablage bei Mistral. Railways eigene Infrastruktur (Edge-Proxy) protokolliert laut Anbieter-Dokumentation ausschliesslich technische Metadaten zu Anfragen (u. a. IP-Adresse, Pfad, Statuscode, Zeitstempel), nicht aber deren Inhalt. Chat-Nachrichten oder Datei-Inhalte werden dort nach aktuellem Kenntnisstand nicht mitprotokolliert. Diese Protokolldaten, auch die IP-Adressen von SchülerInnen, bearbeitet Railway laut DPA nicht im Auftrag von SekMate, sondern in eigener Verantwortung; massgebend ist dafür Railways eigene Datenschutzerklärung. Laut Auskunft von Railway (Oktober 2026) speichert Railway alle Protokolle, auch diese und die technischen Protokolle der Anwendung, in den USA und löscht sie nach 90 Tagen. Die Datenbank von SekMate und ihre Sicherungen liegen dagegen in Amsterdam. SekMate selbst protokolliert weder IP-Adressen noch Chat-Inhalte.

Railway und AhaSend (siehe unten) setzen ihrerseits eigene Subauftragsverarbeiter ein und veröffentlichen dazu jeweils eine eigene, laufend aktualisierte Liste. Für eine verbindliche Aussage dazu sind diese Listen massgebend, nicht eine feste Aufzählung auf dieser Seite. Railways Liste ist über dessen Trust Center unter trust.railway.com einsehbar, AhaSends entsprechende Liste über dessen Website.

Chatverläufe legt SekMate selbst nicht in einer Datenbank ab: Sie werden im Browser gehalten und bei jeder Nachricht zusammen mit der Frage an das für den jeweiligen Lernassistenten gewählte Sprachmodell geschickt. Das gilt auch für optional an eine Chat-Nachricht angehängte Dateien: ihr Inhalt wird beim Senden nur kurz im Arbeitsspeicher des Python-Service ausgelesen, als Text in die jeweilige Nachricht eingefügt und danach nicht weiter aufbewahrt, weder als Datei noch als extrahierter Text. Wählt die Lehrperson dafür Mistral (aktuell mistral-medium-latest), für neu erstellte Lernassistenten die Voreinstellung, läuft diese Verarbeitung über ein Unternehmen mit Sitz in der EU. Mistrals Auftragsverarbeitungsvertrag erlaubt Übermittlungen in Länder mit angemessenem Datenschutzniveau und, gestützt auf Standardvertragsklauseln, auch darüber hinaus. SekMate sendet alle Anfragen an Mistrals EU-Endpunkt (api.eu.mistral.ai). Laut Auskunft des Mistral-Supports (Oktober 2026) läuft die Verarbeitung der Anfragen an diesen Endpunkt ausschliesslich in Rechenzentren im EWR (bei Microsoft Azure in Norwegen und Schweden, bei Google Cloud in den Niederlanden und bei CoreWeave in Spanien), und Anfrageinhalte werden im Normalfall nicht ausserhalb des EWR verarbeitet oder eingesehen. Eine vertragliche Garantie, dass alle Verarbeitungen im EWR bleiben, gibt Mistral nicht: Konto-, Abrechnungs- und andere Betriebsdaten (z. B. Nutzungsstatistiken) kann Mistral auch ausserhalb dieser Region bearbeiten, und einzelne Unterauftragsverarbeiter (z. B. Cloudflare für die Weiterleitung von Anfragen) arbeiten weltweit, abgesichert über Standardvertragsklauseln. Wählt sie Anthropic (Claude) (aktuell claude-sonnet-5-5), läuft sie über Anthropic: Vertragspartner ist für Kunden in der Schweiz die Anthropic Ireland, Limited, verarbeitet wird in den USA. Anthropics Auftragsverarbeitungsvertrag enthält dafür EU-Standardvertragsklauseln (SCC) sowie ein eigenes, speziell auf die Schweiz zugeschnittenes Addendum (Schweizer Recht, Schweizer Gerichtsstand, FDPIC als zuständige Aufsichtsbehörde) als Absicherung für diese Datenübermittlung. Wählt sie Infomaniak (aktuell google/gemma-4-31B-it), läuft die Verarbeitung über ein Schweizer Unternehmen mit Sitz in Genf, auf dessen eigener Infrastruktur in Rechenzentren in der Schweiz, ohne US-Muttergesellschaft. Für eine rechtlich belastbare Aussage zu Subauftragsverarbeitern und tatsächlichen Server-Standorten sind die jeweils aktuellen Auftragsverarbeitungsverträge (DPA) der drei Anbieter massgebend, nicht allein der Firmensitz. Anthropics und Mistrals DPA sind öffentlich einsehbar unter trust.anthropic.com/resources (Anthropic, als "Data Processing Addendum" gelistet) bzw. legal.mistral.ai/terms/data-processing-addendum (Mistral AI). Mit Infomaniak besteht eine Vereinbarung über die Verarbeitung personenbezogener Daten nach Art. 9 DSG und Art. 28 DSGVO (Bestandteil der Allgemeinen Nutzungsbedingungen, abgeschlossen am 17. Oktober 2026). Sie gilt für alle genutzten Infomaniak-Dienste, also für die Sprachmodelle und für die verschlüsselte Datensicherung bei Swiss Backup: Verarbeitung nur auf Weisung und nur zur Erbringung der Dienste, Übermittlung in Länder ausserhalb von EU/EWR nur mit vorheriger schriftlicher Zustimmung, Löschung aller Kopien spätestens 30 Tage nach Ende eines Dienstes, Schweizer Recht. Für die Sprachmodelle setzt Infomaniak laut schriftlicher Auskunft vom 5. November 2026 keine externen Auftragsverarbeiter ein; die Chat-Anfragen bleiben bei Infomaniak in der Schweiz. E-Mails an das Postfach von SekMate prüft Infomaniak mit dem Spamschutz von Vadesecure (Frankreich). Die allgemeine Fassung ist öffentlich unter infomaniak.com (Vereinbarung zur Datenverarbeitung) einsehbar, allgemeine Angaben zu Datensicherheit und DSGVO/DSG-Konformität unter infomaniak.com/en/legal/confidentiality-policy. Eine kompakte Vergleichstabelle von Speicherort und -dauer für alle drei Anbieter gibt es auf der Unterseite Datenfluss: Claude, Mistral & Infomaniak.

Dass SekMate selbst keine eigene Chatdatenbank führt (siehe oben), beschreibt ausschliesslich die technische Architektur von SekMate. Es sagt nichts darüber aus, wie lange Mistral bzw. Anthropic die bei ihnen eintreffenden Chat-Anfragen und mitgeschickten Dokumentenauszüge auf ihrer eigenen Seite speichern. Dafür sind ausschliesslich die Angaben der jeweiligen Anbieter massgebend. Gemäss Anthropics Support-Dokumentation zur Datenaufbewahrung löscht Anthropic bei API-Nutzung Ein- und Ausgaben (Chat-Anfragen inklusive mitgeschickter Dokumentenauszüge) standardmässig innerhalb von 30 Tagen, in Einzelfällen auch länger, etwa zur Durchsetzung von Anthropics Nutzungsrichtlinien oder aufgrund gesetzlicher Pflichten: Inhalte, die Anthropic als Verstoss gegen seine Nutzungsrichtlinien markiert, bis zu zwei Jahre, die zugehörigen Sicherheitseinstufungen bis zu sieben Jahre. Für die Mistral-Organisation, über die SekMate läuft, ist Zero-Data-Retention aktiviert (Einstellung in Mistrals Verwaltung, nachgewiesen mit Stand 21. Oktober 2026; einen separat unterzeichneten Vertrag dazu gibt es nicht). Laut Betreiber war sie bereits aktiv, als SekMate den Mistral-Schlüssel zum ersten Mal nutzte. Laut Mistral gilt das für zustandslose Anfragen, wie SekMate sie für Chat-Antworten, für das Vektorisieren der Unterlagen (Embeddings) und für die Texterkennung (OCR) verwendet: Deren Inhalte (Anfrage und Antwort) werden nicht länger gespeichert oder protokolliert, als für die Antwort nötig ist. Ausnahmen nennt Mistral bei Verdacht auf Missbrauch und bei gesetzlichen Pflichten (z. B. einem Gerichtsbeschluss). Technische Betriebs- und Abrechnungsdaten ohne Inhalte (z. B. Zeitpunkt, Modell, Tokenzahlen, Fehlermeldungen) speichert Mistral davon unabhängig, laut Mistral-Support typischerweise bis zu 30 Tage. Bei eingeschalteter Websuche greift die Zero-Data-Retention nicht für die Antworten der Bausteine "Themen-Chat" und "Mr. Motivator": Diese laufen dann über eine andere Schnittstelle von Mistral (Conversations), und zwar alle Antworten dieser Bausteine, nicht nur die, bei denen tatsächlich gesucht wird. Vektorisierung und Texterkennung bleiben erfasst (siehe unten, Abschnitt "Websuche"). Für Infomaniak legen die Besonderen Bedingungen der LLM-API (Art. 6, Fassung vom 7. Oktober 2025) fest, dass ausser den nötigen Abrechnungs- und Betriebsdaten keine dauerhaften Informationen erhoben werden; Anfragen werden nur für die Dauer der Bearbeitung vorübergehend gespeichert. Eine Einstellung wie die Zero-Data-Retention bei Mistral gibt es dort nicht. Das betrifft ausschliesslich den Inhalt der Anfrage (Frage, Antwort, mitgeschickte Unterlagenauszüge): Infomaniaks eigene Dokumentation zu den KI-Diensten nennt daneben ausdrücklich technische Betriebsdaten, die für jede Anfrage zusätzlich anfallen, u.a. eine Konto-Kennung, Zeitpunkt und Verarbeitungsdauer der Anfrage sowie Metadaten wie Grösse oder Seitenzahl. Diese Betriebsdaten dienen dem Betrieb und der Abrechnung des Dienstes, nicht der Auswertung des Anfrageinhalts. Unabhängig davon speichert Infomaniak für das Kundenkonto selbst, über das SekMate den Dienst nutzt, laut dessen allgemeiner Datenschutzerklärung Login-Protokolle inklusive IP-Adresse für bis zu 12 Monate zur Kontosicherheit und Nachvollziehbarkeit von Kontoänderungen. Das ist unabhängig von einzelnen Chat-Anfragen und betrifft nicht deren Inhalt.

Für die Nutzung über die Programmierschnittstelle (API), so wie SekMate alle drei Anbieter einsetzt, werden Chat-Anfragen nicht für das Training der jeweiligen Sprachmodelle verwendet. Anthropics kommerzielle Nutzungsbedingungen schliessen das ausdrücklich aus. Mistrals Auftragsverarbeitungsvertrag erlaubt eine Nutzung für eigenes Modelltraining nur, sofern kein Opt-out erfolgt ist. Dieser Opt-out ist in der für SekMate genutzten Mistral-Organisation gesetzt (Stand 21. Oktober 2026); er ist eine eigene Einstellung, unabhängig von der Zero-Data-Retention. Mistrals experimentelle „Labs“-Modelle, für die der Opt-out nicht gilt, setzt SekMate nicht ein. Bei Infomaniak werden übermittelte Anfragen und Antworten laut den Besonderen Bedingungen der LLM-API weder zum Training eigener Modelle noch anderweitig verwendet. Die Modelle (z. B. Qwen oder Gemma) laufen auf Infomaniaks eigener Infrastruktur in der Schweiz.

Kommt es bei einer Anfrage wiederholt zu einem technischen Fehler des gewählten Sprachmodells (z.B. einer kurzfristigen Überlastung beim Anbieter), wechselt die Anfrage automatisch zu einem Ausweich-Modell desselben Anbieters: bei Mistral (aktuell mistral-large-latest), bei Anthropic (aktuell claude-haiku-5-5), bei Infomaniak (aktuell Qwen/Qwen3.8-27B-FP8). Der Anbieter selbst wechselt dabei nie, die Angaben zu Firmensitz und Auftragsverarbeitung oben gelten also unverändert auch für diesen Fall.

Um Rechenaufwand und Kosten zu reduzieren, dürfen Teile einer Anfrage (insbesondere die Systeminstruktionen und mitgeschickten Unterlagenauszüge, die sich innerhalb eines Gesprächs meist wiederholen) bei Mistral und Anthropic für kurze Zeit (üblicherweise wenige Minuten) zwischengespeichert werden ("Prompt Caching"), damit sie bei der nächsten Nachricht desselben Gesprächs nicht erneut verarbeitet werden müssen. Das ändert nichts daran, welches Unternehmen die Daten verarbeitet, nur, dass ein Teil der Anfrage dort kurzzeitig zusätzlich zwischengespeichert wird. Bei Mistral bleibt dieser Zwischenspeicher laut Auskunft des Mistral-Supports bei aktivierter Zero-Data-Retention flüchtig im Arbeitsspeicher der Rechner, die die Anfrage bearbeiten, und wird nicht über das Gespräch hinaus gespeichert. Infomaniak macht das von sich aus ebenfalls: Wiederkehrende Anfangsteile einer Anfrage werden kurzzeitig auf den Servern von Infomaniak in der Schweiz zwischengespeichert.

Für die Bausteine "Themen-Chat" und "Mr. Motivator" gibt es technisch eine Live-Websuche als Rückfalloption, falls die hochgeladenen Unterlagen keine passende Antwort liefern. Sie läuft über die eigene Websuche des gewählten Anbieters (Mistral oder Anthropic). Mit den Modellen über Infomaniak ist keine Websuche möglich. Diese Funktion ist aktuell aktiv. Dabei kann sinngemäss die Fragestellung als Suchanfrage an Such-Infrastruktur weitergereicht werden, nicht nur an das Sprachmodell selbst. Details dazu siehe Abschnitt "Websuche" weiter unten.

Aktuell laufen alle Sprachmodell-Anfragen über plattform-eigene API-Zugänge, nicht über einen eigenen Zugang der einzelnen Schule oder Lehrperson.

Rückmeldungen aus dem Dashboard-Formular werden in derselben Datenbank wie die Konten gespeichert. Sie, Konto-E-Mails (Bestätigung der E-Mail-Adresse, Passwort-Reset), Informationen an registrierte Lehrpersonen sowie interne Benachrichtigungen an den Betreiber (neue Registrierung, Kontolöschung, Einrichtungsservice-Anfrage, jeweils mit Name und E-Mail) werden über AhaSend versendet, betrieben von der AhaSend B.V. mit Sitz in Amsterdam, Niederlande (EU). Der Auftragsverarbeitungsvertrag (Stand 26.10.2026) ist einsehbar unter ahasend.com/dpa. Die Verarbeitung erfolgt laut Vertrag innerhalb des EWR; eine Übermittlung ausserhalb ist nur zulässig, soweit sie für den Dienst nötig ist, und nur mit den Garantien der DSGVO. Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten in der Regel innerhalb von maximal 90 Tagen gelöscht. AhaSend setzt eigene Subauftragsverarbeiter ein: für Cloud-Hosting Hetzner Online GmbH (Deutschland/Finnland), DA International Group Ltd (Bulgarien) und Blix Solutions AS (Norwegen, EWR-Mitglied), für den Betrieb von Datenbanken We Manage GmbH (Deutschland) und für die unten beschriebene automatisierte Prüfung Scaleway SAS (Frankreich). E-Mail-Inhalte werden durch ein Sprachmodell automatisiert auf Verstösse gegen AhaSends Nutzungsbedingungen (Spam, Phishing) geprüft, solange AhaSend ein Konto noch nicht verifiziert hat, bei Verdacht auf Missbrauch sowie vor dem Versand von Marketing-Kampagnen. Das Sprachmodell läuft laut Vertrag auf AhaSends eigenen Servern in Rechenzentren im EWR, bei Bedarf zusätzlich bei Scaleway im EWR; die Inhalte werden nur für das Prüfergebnis verarbeitet, danach nicht aufbewahrt und nicht zum Training verwendet, und es gehen keine Inhalte an andere KI-Anbieter. Ab dem 9. November 2026 setzt AhaSend für seine Kampagnenfunktion zusätzlich zwei Dienste zur Prüfung von E-Mail-Adressen ein, Bouncer Sp. z o.o. (Polen) und Unlimited & Limited (MailTester, Vereinigtes Königreich); SekMate nutzt diese Kampagnenfunktion nicht, es gehen also keine Adressen an diese Dienste. Die Speicherung der Mail-Inhalte ist im AhaSend-Konto von SekMate ausgeschaltet; AhaSend bewahrt nur die Versanddaten (z. B. Empfänger, Betreff, Zeitpunkt, Zustellstatus) auf.

Technische und organisatorische Massnahmen

Die Verbindung zwischen Browser, SekMate und den eingesetzten Diensten ist durchgehend per HTTPS/TLS verschlüsselt. Passwörter der Lehrpersonen-Konten werden nicht im Klartext, sondern als Hash gespeichert. Der Zugriff ist pro Lehrperson-Konto strikt getrennt: Wissensdatenbanken, Lernassistenten und Freigabelinks einer Lehrperson sind für andere Lehrpersonen-Konten nicht einsehbar. Die API-Keys der Sprachmodell-Anbieter (Mistral, Anthropic, Infomaniak) liegen ausschliesslich serverseitig (im Python-Service) und werden nie an den Browser ausgeliefert.

Die Datenbank liegt bei Railway auf einem persistenten Volume, das einen Neustart oder ein Redeploy des Datenbank-Dienstes übersteht. Für Verschlüsselung im Ruhezustand sind Railways eigene Angaben massgebend, siehe dessen Trust Center unter trust.railway.com. Railways eigener Backup-Zeitplan (Scheduled Volume Backups) ist für dieses Volume nicht aktiv. Stattdessen läuft ein separater, selbst betriebener Backup-Mechanismus: ein täglicher Datenbank-Export (per pg_dump) wird in einen eigenen, vom Datenbank-Volume unabhängigen Speicher-Bucket bei Railway (Amsterdam) geladen. Eine zweite Kopie jedes Exports liegt ausserhalb von Railway bei Infomaniak Swiss Backup (Infomaniak Network SA, Rechenzentren in der Schweiz). Diese Kopie wird vor dem Hochladen verschlüsselt; den Schlüssel zum Entschlüsseln hat nur der Betreiber, Infomaniak speichert also nur unlesbare Daten. Ältere Exporte werden an beiden Orten automatisch nach 30 Tagen entfernt. Das schützt zusätzlich vor einem versehentlichen Löschen des Volumes und vor einem Ausfall des Railway-Kontos, nicht nur vor Fehlern im laufenden Betrieb.

Löschkonzept: Löscht eine Lehrperson im Dashboard eine Wissensdatenbank oder ein einzelnes Dokument, werden Originaldatei-Inhalt (nur während der Verarbeitung temporär im Python-Service vorhanden, im Arbeitsspeicher bzw. als temporäre Datei, die danach sofort gelöscht wird, nie dauerhaft abgelegt), extrahierter Text, Textabschnitte (Chunks), die dazugehörigen Vektoren (Embeddings) sowie alle Metadaten dazu unmittelbar und vollständig aus der aktiven Datenbank entfernt. Der oben beschriebene tägliche Datenbank-Export (Backup) läuft davon unabhängig weiter: gelöschte Daten können daher noch bis zu 30 Tage lang (die Aufbewahrungsdauer der Backups) in einem älteren, bereits bestehenden Backup (bei Railway oder in der verschlüsselten Kopie bei Infomaniak) enthalten sein, bevor dieses turnusgemäss durch einen neueren Export ersetzt und gelöscht wird.

Websuche

Für die Bausteine "Themen-Chat" und "Mr. Motivator" ist eine Internet-Websuche als Rückfalloption standardmässig aktiviert, falls die hochgeladenen Unterlagen keine passende Antwort liefern. Die Lehrperson kann sie pro Baustein in dessen Einstellungen deaktivieren. Für alle anderen Bausteine (Prüfungsvorbereitung, Text-Abgleich, Lernkarten & Fachbegriffe) ist keine Websuche vorgesehen.

Wird die Websuche tatsächlich ausgelöst, kann sinngemäss die Fragestellung als Suchanfrage an die Such-Infrastruktur weitergereicht werden. Das läuft technisch über die eigene Websuche-Funktion desselben Anbieters, der für den Lernassistenten gewählt ist: bei Mistral über Mistrals Websuche, bei Anthropic über Anthropics Websuche. Bei Mistral laufen dann alle Antworten dieser Bausteine über eine eigene Schnittstelle (Conversations), auch wenn im Einzelfall gar nicht gesucht wird; die Zero-Data-Retention greift dafür nicht. SekMate fordert dort keine Speicherung des Gesprächsverlaufs an; wie lange Mistral solche Anfragen aufbewahrt, ist bei Mistral angefragt. Mit den Modellen über Infomaniak ist keine Websuche möglich, der Lernassistent antwortet dann nur aus den hochgeladenen Unterlagen. Für die Suche selbst geben Mistral und Anthropic die Suchanfrage an eigene Suchdienstleister in den USA weiter (laut deren Listen der Unterauftragsverarbeiter, Stand 21. Oktober 2026: bei Mistral Brave Software, bei Anthropic u. a. Brave Search, Parallel Web Systems und TurboPuffer).

Haftungsausschluss

Die Lernassistenten basieren auf KI-Sprachmodellen und können inhaltlich falsche oder unvollständige Antworten geben ("Halluzinationen"), auch wenn sie sich auf die hochgeladenen Unterrichtsinhalte stützen sollen. Für die fachliche Richtigkeit wird keine Gewähr übernommen. Lehrpersonen und SchülerInnen sollten Antworten kritisch prüfen, insbesondere vor Prüfungen.

Jugendschutz und Aufsicht

Schweiz: Nach unserer Einschätzung gibt es aktuell kein spezifisches Gesetz zu KI-Chatbots im Unterricht. Dies ist keine rechtsverbindliche Auskunft, sondern eine eigene, nicht fachanwaltlich geprüfte Einordnung. Ob SchülerInnen einen Lernassistenten ohne direkte Aufsicht nutzen dürfen, ist keine bundesrechtlich geregelte Frage, sondern richtet sich nach den Vorgaben der jeweiligen Schule bzw. des Kantons, häufig über die kantonale Bildungsdirektion oder schuleigene Richtlinien zum Einsatz von KI-Tools. Im Zweifel bei der Schulleitung oder der Datenschutzverantwortlichen Person der Schule nachfragen.

Deutschland: Auch hier gibt es nach unserer Einschätzung kein Bundesgesetz, das den Einsatz von KI-Chatbots im Unterricht direkt regelt. Der Jugendmedienschutz-Staatsvertrag (JMStV) zielt vor allem auf entwicklungsbeeinträchtigende Inhalte ab und ist bei einem lehrplangebundenen, von der Lehrperson kuratierten Werkzeug wie SekMate unserer Einschätzung nach in der Regel nicht einschlägig. Ob und wie SchülerInnen ohne direkte Aufsicht damit arbeiten dürfen, ist stattdessen Sache der einzelnen Bundesländer (Landesschulgesetze, schulische Datenschutzbeauftragte). Viele Kultusministerien haben inzwischen eigene Handreichungen zum Einsatz von KI im Unterricht veröffentlicht; im Zweifel dort bzw. bei der Schule nachfragen. Zu erwähnen ist ausserdem Art. 8 DSGVO: Diese Bestimmung betrifft die Einwilligungsfähigkeit von Kindern bei Online-Diensten, die sich direkt an Kinder richten und deren eigene Einwilligung als Rechtsgrundlage einholen (Altersgrenze in Deutschland 16 Jahre). Sie ist eine punktuelle Einwilligungsregel für diesen Fall, keine allgemeine Mindestaltersregel für den Einsatz von KI-Werkzeugen im Unterricht. Entscheidend ist dabei nicht, dass SchülerInnen kein eigenes Konto haben, sondern die Rechtsgrundlage: Setzt eine Schule SekMate im Unterricht ein, stützt sie sich in der Regel auf ihren gesetzlichen Bildungsauftrag (Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem Landesschulrecht) und nicht auf eine Einwilligung der SchülerInnen. Dann greift Art. 8 DSGVO nach unserer Einschätzung nicht. Im Zweifelsfall trotzdem mit der schulischen Datenschutzbeauftragten Person klären.

Zusätzlich gelten die Nutzungsbedingungen der eingesetzten Sprachmodell-Anbieter, die unabhängig von dieser Website massgebend sind. Für die Nutzung über die Programmierschnittstelle (API), wie SekMate sie einsetzt, regeln sie den Einsatz mit Minderjährigen so (eigene Zusammenfassung, Stand 1. November 2026, keine Rechtsberatung):

• Mistral: Minderjährige dürfen die Modelle nur mit rechtlich ausreichender Einwilligung der Eltern nutzen; Personendaten von Kindern unter 13 Jahren (bzw. unter dem Alter der digitalen Einwilligung) dürfen nicht übermittelt werden. Weil auf der Sekundarstufe I auch SchülerInnen unter 13 Jahren lernen, lässt sich auf SekMate der Zugriff für SchülerInnen mit Mistral nicht einschalten; Lehrpersonen können Mistral nur selbst zum Testen nutzen.
• Anthropic (Claude): Der Einsatz mit Minderjährigen ist erlaubt, wenn der Anbieter der Anwendung zusätzliche Schutzmassnahmen trifft, offenlegt, dass Nutzende mit einer KI und nicht mit einem Menschen sprechen, und die für Kinder und Jugendliche geltenden Schutz- und Datenschutzvorschriften einhält.
• Infomaniak: Die Bedingungen der LLM-API enthalten keine Regel zu Minderjährigen. Ob die Bestimmung der Allgemeinen Nutzungsbedingungen, wonach die Dienste für Erwachsene bestimmt sind, nur das Kundenkonto (hier den Betreiber) oder auch die Endnutzenden betrifft, ist bei Infomaniak angefragt.

Erklärung zum Schutz Minderjähriger: SekMate verpflichtet sich, die für den Einsatz mit Kindern und Jugendlichen geltenden Schutz- und Datenschutzvorschriften einzuhalten, insbesondere das Schweizer Datenschutzgesetz und das jeweilige kantonale Recht. Dazu gehören: SchülerInnen nutzen SekMate ohne eigenes Konto und ohne Login; Chat-Nachrichten werden nicht gespeichert; im Chat steht immer sichtbar der Hinweis, dass SchülerInnen mit einer KI und nicht mit einem Menschen chatten, und dass keine persönlichen Daten eingegeben werden sollen; die Lernassistenten antworten aus den von der Lehrperson ausgewählten Unterlagen; die Websuche ist plattformweit ausgeschaltet. Bevor eine Lehrperson den Zugriff für SchülerInnen einschaltet, bestätigt sie, dass die Schule den Einsatz erlaubt und dass die Einwilligung der Eltern eingeholt wird oder vorliegt, wo der gewählte Anbieter das verlangt; auf SekMate bestätigt zudem die Schulleitung den Einsatz mit SchülerInnen im Bestätigungsformular zur Auftragsbearbeitungsvereinbarung.

Zuständigkeiten bei Vorfällen

Bei einem Datenschutzvorfall (z. B. unbefugtem Zugriff auf Konto- oder Wissensdaten) ist Sebastian Ehm (siehe Impressum) die Ansprechperson und für die Meldung sowie eine erste Einordnung zuständig. Die Bearbeitung eines festgestellten Datenschutzvorfalls durchläuft dabei folgende Schritte: Erkennung des Vorfalls, Bewertung des Risikos für die Rechte und Freiheiten der betroffenen Personen, Dokumentation des Vorfalls und der getroffenen Massnahmen, Information der betroffenen Schulen bzw. NutzerInnen, soweit erforderlich, sowie (soweit gesetzlich erforderlich) Meldung an die zuständige Aufsichtsbehörde. Für Daten, die SekMate in eigener Verantwortung bearbeitet, ist das in der Schweiz der EDÖB, in der EU die zuständige Datenschutzbehörde. Betrifft ein Vorfall Daten, die SekMate im Auftrag einer Schule bearbeitet, informiert SekMate die Schule; ob eine Meldung an deren Aufsicht nötig ist, entscheidet die Schule (bei öffentlichen Schulen in der Schweiz die kantonale Datenschutzstelle, bei Privatschulen der EDÖB).

Für den Einsatz mit einer ganzen Klasse oder Schule reicht die Zustimmung einzelner Lehrpersonen bei der Kontoerstellung allein nicht aus: Vor dem produktiven Einsatz sind die datenschutzrechtlichen Rollen und Verantwortlichkeiten zwischen Schule und SekMate zu klären und gegebenenfalls vertraglich zu regeln, insbesondere Zuständigkeiten, Sicherheitsmassnahmen sowie Auskunfts- und Löschrechte der Schule bzw. ihrer SchülerInnen. Deshalb schliesst nicht die einzelne Lehrperson bei der Registrierung, sondern die zuständige Stelle der Schule (z. B. Schulleitung oder Schulbehörde) die Auftragsverarbeitungsvereinbarung mit SekMate ab. Erst danach wird das Konto der Lehrperson für den Unterricht freigeschaltet; bis dahin ist es ein persönliches Testkonto, dessen Freigabelinks für SchülerInnen gesperrt sind. Der Vereinbarungstext steht auf dieser Website als Auftragsbearbeitungsvereinbarung für Schweizer Schulen (DSG); für deutsche Schulen steht ein Auftragsverarbeitungsvertrag (DSGVO, Art. 28) derzeit auf Anfrage zur Verfügung.

Aufbewahrung, Auskunft und Löschung

Hochgeladene Unterrichtsinhalte und die daraus erzeugten Wissenssammlungen bleiben gespeichert, bis die Lehrperson sie im Dashboard selbst löscht. Chat-Nachrichten werden, wie oben beschrieben, ohnehin nicht in einer eigenen Datenbank abgelegt. Rückmeldungen werden 24 Monate nach ihrem Eingang gelöscht, auch wenn das Konto vorher gelöscht wurde. Konto-Daten bleiben bestehen, solange das Konto genutzt wird: Konten, in die sich während 24 Monaten niemand angemeldet hat, werden nach einer Ankündigung per E-Mail an die hinterlegte Adresse und einer Frist von 30 Tagen gelöscht, samt Lernassistenten und Wissenssammlungen. Eine frühere Löschung ist jederzeit möglich, im Dashboard unter "Konto" oder per E-Mail.

Beim Einrichtungsservice gilt eine kürzere Aufbewahrung für die hochgeladenen Unterlagen selbst: Diese werden (anders als bei einer normalen Wissenssammlung) gelöscht, sobald der fertig eingerichtete Lernassistent an das Konto der anfragenden Person übergeben wurde, oder die Anfrage ohne Übergabe geschlossen wird. Nur die übrigen Angaben zur Anfrage (Name, E-Mail, Schule, Klasse/Fach) sowie der Umstand, dass und wann eine Übergabe stattgefunden hat, bleiben zu Dokumentationszwecken bestehen.

Um Auskunft über die zu einer Person gespeicherten Daten zu erhalten oder deren Löschung zu verlangen (z. B. eines Kontos, einzelner Wissenssammlungen, Lernassistenten oder eines Rückmeldungs-Eintrags), genügt eine formlose Anfrage per E-Mail an die im Impressum genannte Adresse (info@sekmate.ch) unter Angabe des betroffenen Kontos bzw. der betroffenen Wissenssammlung. Die Anfrage wird von Sebastian Ehm persönlich bearbeitet, innerhalb eines Monats, sowohl für Anfragen, die ausschliesslich dem Schweizer Datenschutzgesetz (DSG) unterstehen, als auch soweit die DSGVO anwendbar ist (Art. 12 Abs. 3 DSGVO).

Für Personen, die ausschliesslich dem Schweizer Datenschutzgesetz (DSG) unterstehen, bestehen insbesondere folgende Rechte: Auskunft, Berichtigung, Löschung, ggf. Einschränkung der Bearbeitung oder Widerspruch dagegen, ggf. Widerruf einer erteilten Einwilligung sowie das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen. Bearbeitet SekMate Daten im Auftrag einer öffentlichen Schule, richten sich diese Rechte nach dem Datenschutzrecht des jeweiligen Kantons: Anlaufstelle ist dann in erster Linie die Schule, für Beschwerden die kantonale Datenschutzstelle. SekMate leitet Anfragen, die solche Daten betreffen, an die Schule weiter.

Für Personen in Deutschland bzw. der EU, für die die DSGVO gilt, bestehen entsprechend: das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie (wo die Verarbeitung auf einer Einwilligung beruht) das Recht, diese jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO), und das Recht auf Beschwerde bei einer zuständigen Aufsichtsbehörde (Art. 77 DSGVO).

Kontakt

Verantwortlich für die Datenverarbeitung in eigener Verantwortung (Konten, Nutzungsstatistik, Rückmeldungen, Einrichtungsservice): Sebastian Ehm (siehe Impressum). Für Daten, die SekMate im Auftrag einer Schule verarbeitet, ist die Schule verantwortlich.

Fragen zum Datenschutz: siehe Impressum.