Auftragsbearbeitungsvereinbarung — Einsatz von GymiMate an Schulen (Schweiz)

1. Vertragsparteien

Diese Vereinbarung wird geschlossen zwischen der Schule, deren Name, Ort und Land die Lehrperson bei der Kontoerstellung auf gymimate.ch angibt (nachfolgend „Schule“), und Sebastian Ehm, Schmittenstrasse 18, 8280 Kreuzlingen, Schweiz, Betreiber von GymiMate (nachfolgend „Betreiber“).

2. Gegenstand und Umfang

Der Betreiber stellt der Schule die Plattform GymiMate zur Verfügung, mit der Lehrpersonen eigene Lernassistenten aus KI-Sprachmodellen für ihren Unterricht zusammenstellen können. Für die Bearbeitung personenbezogener Daten von Schüler:innen im Rahmen dieser Nutzung bearbeitet der Betreiber Personendaten im Auftrag der Schule; die Schule bleibt verantwortliche Stelle.

Umfang: alle Lernassistenten und Freigabelinks, die von Lehrpersonen dieser Schule mit ihrem GymiMate-Konto eingerichtet werden, für die bei der Registrierung angegebene(n) Stufe(n).

Zeitraum: Diese Vereinbarung beginnt mit dem Anklicken der entsprechenden Checkbox bei der Registrierung der ersten Lehrperson dieser Schule und gilt unbefristet, kündbar gemäss Abschnitt 7.

Testbetrieb: Es gelten zusätzlich die öffentlich auf gymimate.ch einsehbaren Nutzungsbedingungen — insbesondere: keine besonders schützenswerten Personendaten über das für den Unterricht Notwendige hinaus, nur rechtmässig nutzbare Unterrichtsmaterialien.

3. Zuständigkeiten und Ansprechpersonen

Jede Lehrperson, die GymiMate mit ihrer Klasse einsetzt, bestätigt bei der Kontoerstellung, dass sie zum Abschluss dieser Vereinbarung im Namen ihrer Schule berechtigt ist und im Rahmen ihrer dienstlichen Aufgaben handelt (siehe Abschnitt 9). Diese Vereinbarung regelt die Zusammenarbeit auf Schulebene; Ansprechperson auf Seiten des Betreibers ist Sebastian Ehm (siehe Impressum).

4. Sicherheitsmassnahmen

Betreiber: Hosting der Datenbank (Konten, Wissenssammlungen, Vektoren) bei Railway, Serverstandort Amsterdam (Niederlande, EU). Verschlüsselte Übertragung (HTTPS/TLS) für alle Zugriffe. Zugriff auf Konto- und Wissensdaten nur für die jeweilige Lehrperson selbst; kein Zugriff durch andere Lehrpersonen oder Schulen. Passwörter der Lehrpersonen-Konten werden als Hash, nicht im Klartext gespeichert. Täglicher, vom Datenbank-Volume unabhängiger Datenbank-Export (Backup) mit einer Aufbewahrungsdauer von 30 Tagen. Auftragsverarbeitungsverträge mit den eingesetzten KI-Anbietern — Einzelheiten auf der Datenschutz-Seite.

Schule / Lehrperson: Zugangsdaten zum eigenen Konto werden nicht an Dritte weitergegeben. Freigabelinks werden nur an die vorgesehene Klasse weitergegeben. Es werden nur Unterrichtsinhalte hochgeladen, an denen die Lehrperson die nötigen Rechte hat. Schüler:innen werden vor der Nutzung darauf hingewiesen, keine besonders schützenswerten Personendaten in den Chat einzugeben.

5. Auskunfts- und Löschrechte

Die Schule bzw. betroffene Personen (z. B. Erziehungsberechtigte im Namen von Schüler:innen) können jederzeit Auskunft über gespeicherte Daten verlangen oder deren Löschung beantragen. Die Anfrage erfolgt per E-Mail an info@gymimate.ch unter Angabe des betroffenen Kontos bzw. der betroffenen Wissenssammlung. Der Betreiber bearbeitet solche Anfragen innerhalb eines Monats. Löschfristen sowie weitere Details zur Aufbewahrung sind auf der Datenschutz-Seite beschrieben.

6. Vorgehen bei Datenschutzvorfällen

Bei einem Datenschutzvorfall (z. B. unbefugtem Zugriff auf Konto- oder Wissensdaten) informiert der Betreiber die Ansprechperson der Schule unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält: Art des Vorfalls, betroffene Datenkategorien, ergriffene Sofortmassnahmen sowie eine Kontaktmöglichkeit für Rückfragen.

Die Schule entscheidet in Absprache mit dem Betreiber, ob und wie betroffene Schüler:innen bzw. deren Erziehungsberechtigte informiert werden. Bei einem Vorfall mit hohem Risiko für betroffene Personen meldet der Betreiber diesen zusätzlich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), soweit das Schweizer Datenschutzgesetz das verlangt.

7. Laufzeit, Kündigung, Änderungen

Diese Vereinbarung gilt ab dem in Abschnitt 2 genannten Zeitpunkt unbefristet. Beide Parteien können sie mit einer Frist von 30 Tagen auf das Ende eines Monats kündigen — die Schule durch formlose E-Mail an info@gymimate.ch, der Betreiber durch Mitteilung an die bei der Registrierung hinterlegte E-Mail-Adresse der Schule bzw. ihrer Lehrpersonen.

Der Betreiber kann diese Vereinbarung anpassen, wenn sich der Dienst wesentlich weiterentwickelt; wesentliche Änderungen werden auf dieser Seite mit aktualisiertem Stand-Datum sowie, soweit technisch möglich, per E-Mail an registrierte Lehrpersonen mitgeteilt. Eine Kündigung berührt nicht das Recht der Schule auf Auskunft oder Löschung bereits gespeicherter Daten gemäss Abschnitt 5.

8. Anwendbares Recht, Gerichtsstand

Es gilt Schweizer Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Betreibers.

9. Abschluss dieser Vereinbarung

Diese Vereinbarung kommt zustande, sobald eine Lehrperson bei der Registrierung auf gymimate.ch die Checkbox für Nutzungsbedingungen und Datenschutzerklärung anklickt — ohne separate Unterschrift. Mit diesem Klick bestätigt die Lehrperson, dass sie im Rahmen ihrer dienstlichen Aufgaben handelt und zum Abschluss dieser Vereinbarung im Namen ihrer Schule berechtigt ist. Zeitpunkt und Zustandekommen der Vereinbarung werden pro Lehrperson-Konto elektronisch festgehalten.