1. Einordnung
„Unterauftragnehmer“ bezeichnet hier einen Anbieter, der Personendaten im Auftrag von Lernlyra bearbeitet. Daneben nennt die Liste zur Transparenz auch technische Anbieter, die für ihren Anmelde-, Zahlungs- oder Videodienst selbst verantwortlich handeln. Die Spalte „Rolle“ ist deshalb massgeblich; die blosse Nennung macht einen Dienst nicht zum Auftragsbearbeiter.
Optionale Dienste erhalten nur Daten, wenn die entsprechende Funktion vollständig konfiguriert ist und bewusst verwendet wird. Unterrichtsdaten werden nicht pauschal an Login-, Zahlungs- oder Videodienste übertragen.
2. Aktuelle Anbieterübersicht
| Anbieter / Dienst | Rolle | Einsatz | Datenkategorien | Region | Information |
|---|---|---|---|---|---|
| Hetzner Online GmbHProduktive Server-, Datenbank-, Datei- und Sicherungsinfrastruktur | Auftragsbearbeiter für Hosting und Speicherung | Aktiv für die produktive Lernlyra-Laufzeit | Konten-, Unterrichts-, Inhalts-, Ergebnis-, Support- und technische Betriebsdaten | Deutschland (EU/EWR) | Anbieterinformation |
| hosttech GmbHDomain- und DNS-Infrastruktur | Technischer Infrastruktur-Dienstleister | Aktiv für lernlyra.ch | Domain- und DNS-Konfigurationsdaten; keine planmässige Speicherung von Lerninhalten | Schweiz | Anbieterinformation |
| StripeCheckout, Abonnements, Rechnungen und Betrugsprävention | Je nach Verarbeitung Auftragsbearbeiter oder eigener Verantwortlicher | Nur bei kostenpflichtigen Abonnements | Konto-, Kontakt-, Rechnungs-, Zahlungsstatus-, Geräte- und Betrugspräventionsdaten; keine Lernantworten | Schweiz, EU/EWR, Vereinigtes Königreich, USA und weitere in der Stripe-Unterauftragnehmerliste genannte Staaten | Anbieterinformation |
| Microsoft-DiensteSupport-Mailbox und optionaler Microsoft-Login | Für den Login eigener Verantwortlicher; beim E-Mail-Betrieb Dienstleister gemäss dem eingesetzten Microsoft-Vertrag | Support-Mailbox aktiv; Login nur bei vollständig konfiguriertem Anmeldeweg | Support-Nachrichten und Kontaktdaten; beim Login Anbieterkennung und bestätigte E-Mail-Adresse | Gemäss dem produktiven Microsoft-Vertrag, einschliesslich EU/EWR und möglicher weiterer Staaten | Anbieterinformation |
| Google-Dienste / YouTubeOptionaler Google-Login, YouTube-Metadaten und Videoeinbettung | Eigener Verantwortlicher für Login- und Videodienste | Nur bei gewähltem Google-Login oder geöffnetem YouTube-Inhalt | Beim Login Anbieterkennung und bestätigte E-Mail-Adresse; bei Videoabruf IP-, Geräte- und Videoabrufdaten | EU/EWR, USA und gegebenenfalls weitere Staaten | Anbieterinformation |
| AppleOptionaler Apple-Login | Eigener Verantwortlicher für den Anmeldedienst | Nur bei gewähltem und vollständig konfiguriertem Apple-Login | Anbieterkennung und von Apple freigegebene Kontaktdaten | EU/EWR und gegebenenfalls weitere Staaten | Anbieterinformation |
| VimeoEinbettung bewusst ausgewählter öffentlicher Videos | Eigener Verantwortlicher für den Videodienst | Nur beim Öffnen eines eingebetteten Vimeo-Inhalts | IP-, Geräte- und Videoabrufdaten | USA und gegebenenfalls weitere Staaten | Anbieterinformation |
| OpenAI API-DienstOptionale KI-Entwürfe, Texterkennung, Audio-Transkription und Bewertungshilfen | Optionaler Auftragsbearbeiter; Vertragspartner und Datenregion richten sich nach dem produktiven API-Vertrag | Nur wenn ein serverseitiger API-Zugang konfiguriert ist und die Lehrperson die Übertragung ausdrücklich auslöst | Nur der bewusst übermittelte Quelltext, das ausgewählte Bild oder die einzeln freigegebene Audioaufnahme; bei Bewertungshilfen Frage, Beschreibung, bestätigtes Transkript und Bewertungsraster samt technischen Kriteriums- und Stufenschlüsseln; technische Anfragedaten | Vor produktiver Aktivierung anhand des konkreten API-Vertrags und der gewählten Datenregion zu bestätigen | Anbieterinformation |
3. Noch vertraglich zu bestätigende Angaben
Bei Microsoft, Stripe und einem optionalen OpenAI-API-Dienst ergeben sich die konkrete Konzerngesellschaft, vereinbarte Datenregion und eingesetzten Transfergarantien aus dem jeweiligen produktiven Kontovertrag. Diese accountbezogenen Vertragsdaten sind nicht öffentlich aus dem Quellcode ableitbar und werden hier deshalb nicht als bereits bestätigt dargestellt. Eine Schule erhält die für ihren Vertrag massgebliche Einordnung vor dem entsprechenden Einsatz auf Anfrage beziehungsweise im institutionellen Vertragsdokument.
Der OpenAI-API-Dienst darf für Schuldaten erst produktiv aktiviert werden, nachdem Vertragspartner, Auftragsbearbeitungsbedingungen, Datenregion und Auslandgarantien für das tatsächlich verwendete Konto geprüft und dokumentiert sind. Ohne serverseitigen Zugang und bewusste Auslösung durch die Lehrperson findet keine solche Übertragung statt.
4. Änderungen und Widerspruch für Schulen
Wesentliche neue Auftragsbearbeiter werden vor ihrem Einsatz durch eine aktualisierte Version dieser Seite oder an die vertraglich benannte Schul-Ansprechperson angekündigt. Eine Schule kann aus nachvollziehbaren Datenschutzgründen vor dem angekündigten Einsatz widersprechen. Lernlyra und die Schule prüfen dann eine verhältnismässige Alternative oder die Beendigung des betroffenen Dienstteils.
Fragen zur aktuellen Vertragskette oder zum Schul-AVV können an roman.burch@e-learning.place gerichtet werden.