Auftragsbearbeitung

Die Schule bzw. die Prüfungsleitung, die ExamHub einsetzt (nachfolgend «Kunde»), ist Verantwortliche, der Anbieter von ExamHub ist Auftragsbearbeiter. Der Anbieter bearbeitet die Daten nur, um die vereinbarten Leistungen zu erbringen, und nur nach den Weisungen des Kunden. Eine Nutzung für eigene Zwecke, etwa für Werbung oder zum Trainieren von KI-Modellen, ist ausgeschlossen.

• Teilnehmende: Name und, je nach Prüfung, E-Mail-Adresse, Klassenzugehörigkeit, Antworten und Dateien, Ereignisse während der Prüfung, Punkte, Noten und Rückmeldungen
• Mitglieder der Schule: Name, E-Mail-Adresse, Rolle sowie Anmelde- und Protokolldaten

Besonders schützenswerte Personendaten sind für den Einsatz nicht vorgesehen. Erfasst der Kunde trotzdem solche Daten, etwa zu einem Nachteilsausgleich, beschränkt er sie auf das Nötige.

Der Anbieter trifft angemessene technische und organisatorische Massnahmen nach Art. 8 DSG, unter anderem:

• verschlüsselte Übertragung und Speicherung
• Trennung der Daten nach Schule und Zugriffsrechte nach Rolle
• Zwei-Faktor-Anmeldung und Protokollierung sicherheitsrelevanter Vorgänge
• regelmässige Sicherungen und ein geregeltes Vorgehen bei Vorfällen

Eine ausführliche Übersicht der Massnahmen erhalten Schulen auf Anfrage.

Der Kunde erteilt dem Anbieter mit Abschluss dieser Vereinbarung die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen (Art. 9 Abs. 3 DSG, Art. 7 DSV). Die aktuelle Liste mit Zweck und Standort erhält der Kunde auf Anfrage. Neue oder ersetzte Unterauftragsbearbeiter kündigt der Anbieter mindestens 30 Tage im Voraus an. Der Kunde kann innert dieser Frist Einspruch erheben und den Vertrag, falls keine Lösung gefunden wird, auf den Wechsel hin kündigen. Unterauftragsbearbeiter werden vertraglich zu gleichwertigem Datenschutz verpflichtet.

Daten werden in der Schweiz und in Staaten der EU bearbeitet. Ist ein Zugriff aus einem Staat ohne angemessenen Datenschutz möglich, etwa für Wartung oder Support, stellt der Anbieter geeignete Garantien nach Art. 16 DSG sicher und nennt sie in der Liste der Unterauftragsbearbeiter.

Der Anbieter unterstützt den Kunden bei Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden. Begehren, die direkt beim Anbieter eingehen, leitet er an den Kunden weiter.

Verletzungen der Datensicherheit meldet der Anbieter dem Kunden so rasch als möglich (Art. 24 Abs. 3 DSG), mit den Angaben, die der Kunde für eine eigene Meldung an die Aufsichtsbehörde braucht.

Der Anbieter gibt dem Kunden auf Anfrage Auskunft über die Einhaltung dieser Vereinbarung und stellt die nötigen Unterlagen bereit. Weitergehende Prüfungen sind bei begründetem Anlass nach vorgängiger Absprache möglich. Sie gehen zulasten des Kunden.

Bei Vertragsende kann der Kunde seine Daten exportieren. Danach löscht der Anbieter sie innert 90 Tagen.

Diese Vereinbarung gilt mit der Annahme der AGB.