Umgang mit Dybuster-Daten

1.  Inhaltsverzeichnis

Zusammenfassung der Alemira Lern-Systeme
Training und Coaching
Lizenzen und Benutzerverwaltung
Datenschutz und private Daten
Allgemeine Bemerkungen: "Anonyme Benutzer"
Zugriff auf Daten über Benutzer-Rollen
Zugriff auf Daten durch Alemira selber
Normaler Ablauf
Support und Unterhalt
Übermittelte und gespeicherte Daten
Übermitteln und Speichern der Passwörter
Daten ausserhalb der Alemira Lern-Systeme
Testcenter
Schreiblabor
Daten für Marketing-Aktivitäten
Technische Umsetzung
Hosting und Aufbewahrungsort
Verschlüsselung der Daten
Back-ups der Daten
Rechtliches
Massgebendes Recht
Datenschutzbeauftragter

2.  Zusammenfassung der Alemira Lern-Systeme

2.1  Training und Coaching

Die Alemira Lern-Systeme, Alemira Orthograph und Alemira Grafari für Rechtschreibung und Alemira Calcularis für mathematische Fähigkeiten, sind computerbasiert. Sie passen sich automatisch an die individuellen Schwierigkeiten und den individuellen Lernbedürfnissen jedes Benutzers an und wählen die Aufgaben entsprechend optimal aus. Nach jeder Antwort des Benutzers wird sein Wissen neu eingeschätzt und die nächste Aufgabe ausgewählt. Die Lernenden können selbständig mit den Trainings-Programmen arbeiten, während ihre Betreuer (Lehrpersonen, Therapeuten, ev. Eltern) den Lernfortschritt in den Coaching-Programmen einsehen und das Lernen begleiten können.

Das Training sollte 3 bis 4 Mal pro Woche für je 15 bis 20 Minuten stattfinden. Diese Intensität soll zumindest zu Beginn für 3 Monate oder für einen Zeitraum von insgesamt 12 Trainingswochen eingehalten werden. Um diese Intensität zu erreichen, können die Alemira-Programme auf beliebig vielen Geräten und an beliebig vielen Orten, insbesondere in der Schule und zu Hause, verwendet werden. Damit die Lernenden überall und auf jedem Gerät mit dem gleichen Lernzustand weiterarbeiten können, werden die Fortschrittsdaten über die Server von Alemira ausgetauscht. Zudem können die Betreuer jederzeit in den Coach-Programmen den aktuellen Lernzustand einsehen, um den Lernenden zu unterstützen.

Abbildung 1: Übersicht über das Alemira Lern-System und die übertragenen Daten

Um jedem Lernenden einen individuellen Lernplan zur Verfügung stellen zu können, muss jeder Lernende durch seinen Benutzernamen eindeutig identifizierbar sein. Auch Betreuer des Lernenden bzw. des Benutzers müssen eindeutig durch ihre Benutzernamen identifizierbar sein, um sicherzustellen, dass nur berechtigte Personen über die Coaching-Programme auf die Daten eines Lernenden zugreifen können.

2.2  Lizenzen und Benutzerverwaltung

Lizenzen, welche den Benutzern erlauben, Alemira-Programme einzusetzen, werden für 6 oder 12 Monate gemietet. Im Falle der privaten Nutzung (z.B. über Eltern) registrieren sich die Eltern als Elternbenutzer und legen unter ihrem Elternbenutzer einen oder mehrere Kinder-Benutzer an. Um den Kontakt mit den Eltern zu gewährleisten (u.a. für die Rechnungsstellung), müssen die Eltern ihre Adresse sowie ihren richtigen Namen während der Bestellung der Lizenz angeben. Die Angabe des Namens des Kindes oder der Kinder ist nicht notwendig.

Im Falle von institutionellen Lizenzen (Schullizenzen) erhält die Institution einen Lehrer-Benutzer mit Administrator-Rechten von Alemira zugeteilt. Dieser Lehrer-Benutzer mit Administrator-Rechten kann Lehrer-Benutzer anlegen, welche wiederum für ihre Schüler einen Schüler-Benutzer anlegen können. Dadurch entsteht eine Verknüpfung vom Lehrer-Benutzer mit Administrator-Rechten zu Lehrer- und Schüler-Benutzern, welche es Alemira ermöglicht, die Gültigkeit der Lizenz für die Lehrer- und Schüler-Benutzer zu überprüfen. Für die Rechnungsstellung arbeiten wir mit unserem Partnerunternehmen HubSpot zusammen. Dafür und für die allgemeine Kommunikation muss für die Institution Alemira folgende Angaben speichern:

• Adresse der Institution
• Vor- und Nachname des Schulvertreters/der Schulvertreterin
• E-Mail-Adresse des Schulvertreters/der Schulvertreterin
• Telefonnummer
• Berufsbezeichnung
• Bevorzugte Korrespondenzsprache

Diese Information wird dem Administrator-Benutzer bzw. der Institution hinterlegt. Die Angabe der richtigen Namen von Lehrer- oder Schüler-Benutzern ist nicht notwendig.

Im Falle von Schulgemeinden, welche mehrere Schullizenzen erwerben, erhält die Schulgemeinde einen Schulgemeinde-Administrator, welcher die Schullizenzen den Schuleinheiten zuteilen kann. Dadurch erweitert sich die oben erwähnte Verknüpfung der Benutzer auf eine weitere Ebene. Nur die Schulgemeinde muss ihren Namen, ihre Adresse sowie eine Kontaktperson angeben. Die Angabe von Adressen und Kontaktpersonen der einzelnen Schullizenzen ist freiwillig.

3.  Datenschutz und private Daten

3.1  Allgemeine Bemerkungen: "Anonyme Benutzer"

Wie oben unter Lizenzen und Benutzerverwaltung, erläutert, genügt es, wenn pro Kunde (Schule, Familie,…) eine Adresse und eine Kontaktperson angegeben werden. Insbesondere müssen weder Vor- noch Nachname der Lernenden bekannt gegeben werden. Nur Benutzernamen und Passwörter sind notwendig. Um es für unberechtigte Personen unmöglich zu machen, einen Schüler-Benutzer mit einem realen Lernenden in Verbindung zu bringen, können die Lehrer oder Eltern anonyme Benutzernamen wie „MikeyMaus23" oder „batman47" verwenden. Wenn sie zudem die Passwörter unspezifisch wählen wie „katze" oder „i9Pxkr3", kennen nur der Lehrer oder die Eltern sowie der Lernende selber, wer der wirkliche Lernende hinter einem Alemira Schüler-Benutzer ist.

Vor- und Nachname von Administrator-, Lehrer- und Schüler-Benutzern können zusammen mit der E-Mail-Adresse sowie dem Geschlecht des Benutzers freiwillig hinterlegt werden. Diese Information wird verwendet, um die Lernenden persönlicher anzusprechen und die Lernbereitschaft und Motivation des Lernenden zu erhöhen. So können die Lehrpersonen z.B. Zertifikate für ihre Schüler ausdrucken, welche den richtigen Namen verwenden, sofern dieser verfügbar ist:

Abbildung 2: Zertifikate von Alemira Orthograph für einen Schüler-Benutzer. Links wird der Schüler mit seinem richtigen Namen angesprochen und der Lehrer kann über seinem richtigen Namen unterschreiben, was persönlicher und motivierender ist.

Gemäss der Erfahrung von Alemira geben rund 95% aller Institutionen zumindest den richtigen Vornamen der Lernenden an, weil die ganze Präsentation dadurch persönlicher wird. Es erleichtert auch die Handhabung durch die Lehrpersonen, welche z.B. Berichte nach den richtigen Namen organisieren können und nicht auf anonymen Benutzernamen ihrer Schüler basieren müssen. Die Angabe von E-Mail-Adresse erlaubt das automatische Zusenden von Zertifikaten und Berichten an die Lernenden. Die Angabe des Geschlechts wird für geschlechtsspezifische Formulierungen verwendet.

Nach den mehrjährigen Erfahrungen von Alemira überwiegen die Vorteile der Angabe der freiwilligen Daten ihre möglichen Risiken. Einerseits stuft Alemira diese Risiken als gering ein, andererseits sind auch die gespeicherten Daten wenig sensitiv. Sie beziehen sich zwar auf einzelne Benutzer, aber sie bestehen hauptsächlich aus der Liste der Aufgaben und Antworten aus den Alemira-Programmen. Insbesondere enthalten die Daten keine Angaben über schulische Noten, Beurteilungen durch die Lehrpersonen oder soziale Indikatoren.

Bemerkung: Schulgemeinde-Administrator und Administratoren einzelner Schullizenzen können ihren Institutionen hinterlegen, dass Schüler-Benutzer nur mit zufälligen Benutzernamen angelegt werden können.

3.2  Zugriff auf Daten über Benutzer-Rollen

Für Institutionen verwendet Alemira eine mehrstufige Benutzer-Hierarchie:

Für private Benutzer (Familien) wird die Ebene der „Lehrer-Benutzer" durch „Eltern-Benutzer" ersetzt. Die Ebene der Schulgemeinde-Administratoren existiert nur bei Schulgemeinden, welche die Lizenzen mehrerer ihrer Schulen als Gemeinde organisieren und verwalten können wollen.

Jeder Benutzer kann die Benutzer auf der unteren Ebene erstellen und kann festlegen, wie viele Benutzer diese Benutzer wiederum erstellen können. Einem oder mehreren Lehrer-Benutzern einer Institution kann zudem die zusätzliche Rolle des „Lehrer-Benutzers mit Administrator-Rechten" zugewiesen werden. Diese erlaubt den Lehrer-Benutzern, andere Lehrer-Benutzer zu erstellen, und diesen, falls gewünscht, ebenfalls Administrator-Rechte zu erteilen.

Jeder Benutzer kann sich nur Berichte über die Benutzer unterer Ebenen anzeigen lassen. Ein Benutzer kann sich keine Daten von Benutzern ausserhalb seines Teils der Benutzer-Hierarchie anzeigen lassen, mit Ausnahme von Lehrer-Benutzern mit Administrator-Rechten, welche ihre gesamte Institution verwalten und Berichte über den Einsatz in der ganzen Institution erstellen können. Zudem können diese Lehrer-Benutzer die Zugriffsrechte der Lehrer-Benutzer auf Klassen/Gruppen definieren, und z.B. dem Lehrer-Benutzer A, der eine Klasse in Team-Teaching mit Lehrer-Benutzer B führt, erlauben, die Schüler-Benutzer zu sehen, welche von Lehrer-Benutzer B erstellt wurden.

3.3  Zugriff auf Daten durch Alemira selber

Normaler Ablauf

Alemira verwendet die Benutzerdaten, insbesondere die Benutzerdaten der Lernenden, nur für die Weiterentwicklung und die Verbesserung der Lern-Systeme. Insbesondere verwendet Alemira die Daten nicht für Marketing-Zwecke oder das Anlegen von Verhaltensprofilen ausserhalb von Alemira Orthograph, Alemira Grafari und Alemira Calcularis.

Im normalen Ablauf (im Vergleich zu Support-Fällen, vgl. unten) greifen Alemira bzw. seine Mitarbeiter nicht auf die Daten der Benutzer zu. Alle Prozesse sind automatisiert und benötigen keine manuellen Eingriffe.

Alemira behält sich das Recht vor, die Benutzungsdaten (aktueller Lernzustand und Log-Dateien der Interaktion der Benutzer mit den Alemira-Programmen) für die eigene Forschung und Entwicklung zu verwenden, nachdem die Daten anonymisiert wurden, so dass kein Rückschluss von den Daten auf den Benutzer und die Person dahinter möglich ist. Alemira will dabei auch die Effizienz der Lernprogramme auf Grund anonymisierter und aggregierter (d.h. über mehrere Benutzer zusammengefasste) Benutzerdaten aufzeigen.

Support und Unterhalt

Für Support und Unterhaltsarbeiten an seiner Hosting- und Server-Infrastruktur (vgl. Hosting) ist es nicht notwendig, dass Alemira-Mitarbeiter auf die individuellen Daten eines Benutzers zugreifen. Allfällige Arbeiten können global und ohne die Inspektionen einzelner Benutzerdaten vorgenommen werden.

Bei individuellen Support-Fällen, in welchen die Benutzer selber Alemira auf Grund eines konkreten Problems kontaktieren, kann es notwendig sein, dass Alemira bzw. seine Mitarbeiter die Benutzerdaten von Hand inspizieren müssen. Eine solche Aktion wird Alemira nur nach einem vorgängigen Kontakt durch den Benutzer vornehmen.

Die Benutzerdaten sind unter einer zufälligen Benutzer-ID gespeichert und nicht unter dem Benutzernamen. In den meisten Support-Fällen genügt die Kommunikation dieser Benutzer-ID, so dass Alemira bzw. seine Mitarbeiter weder den Benutzernamen, den richtigen Namen noch den Namen der Institution kennen müssen. (Die Verknüpfung von Benutzerdaten und Benutzernamen ist separat gespeichert und muss für die meisten Support-Fälle nicht hergestellt werden.)

3.4  Übermittelte und gespeicherte Daten

Die folgende Tabelle listet alle Daten auf, welche im Rahmen der Alemira Lern-Systeme ausgetauscht und gespeichert werden. Zudem gibt sie den Zweck an, für welchen diese Daten verwendet werden.

Alemira speichert keine Kreditkarten- oder PayPal-Informationen. Bei Bezahlung mit diesen Mitteln über den Alemira Webshop überlässt Alemira die gesamte Abwicklung bezüglich Kreditkarte oder PayPal entsprechenden, durch die Kreditkartenanbieter zertifizierten Dienstleistern.

3.5  Übermitteln und Speichern der Passwörter

Die Passwörter werden in der Datenbank mit PBKDF2 geschützt. Bei Alemira werden sie im Normalfall nur als Hashes gespeichert. Solche Hashes erlauben Alemira, die Korrektheit eines Passwortes zu überprüfen, ohne das Passwort selber kennen und speichern zu müssen, was die Sicherheit erhöht, da das Passwort selber nirgends mehr gespeichert wird. Beim Vergessen eines Passwortes muss dann allerdings ein neues Passwort gesetzt werden. Dies bedingt die Hinterlegung einer E-Mail-Adresse bei Alemira oder das Recht für den Administrator einer Lizenz, die Passwörter neu zu setzen. Alemira bietet deshalb den Benutzern die Option an, die Passwörter auch in „Plain Text" zu speichern.

Alemira geht davon aus, dass die Institutionen insbesondere die Passwörter von Schüler-Benutzern nach wie vor in „Plain Text" speichern werden, da dies die Handhabung durch die Lehrpersonen erleichtert. So können die Lehrpersonen die Passwörter ihrer Lernenden z.B. in der Benutzerverwaltung einsehen, falls ein Schüler sein Passwort vergessen sollte, oder im vorbereiteten Elternbrief automatisch aufdrucken lassen. Da die Lehrpersonen die Passwörter ihrer Lernenden selber wählen und oft sehr unspezifisch setzen, sieht Alemira kein erhöhtes Risiko darin, dass die Lehrpersonen die Passwörter einsehen können.

Schulgemeinde-Administratoren und Administratoren einzelner Institutionen können ihren Institutionen eine Passwort-Policy hinterlegen, d.h. sie können festsetzen, dass Passwörter eine gewisse Länge haben und eine gewisse Anzahl an Sonderzeichen enthalten müssen. Zudem können sie festlegen, dass Passwörter in regelmässigen Intervallen neu gesetzt werden müssen und nicht als "Plain Text" gespeichert werden.

4.  Technische Umsetzung

4.1  Hosting und Aufbewahrungsort

Alemira verwendet Server bei Hetzner Online (Link) in Deutschland. Deutschland ist Mitglied der Europäischen Union und untersteht den EU-Richtlinien für Datenschutz und Datensicherheit. Für Schweizer Benutzerdaten gilt Deutschland nach Schweizer Rechtsprechung als „Safe Harbor", was bedeutet, dass Benutzerdaten in Deutschland als gleich sicher wie in der Schweiz betrachtet werden.

Die verwendete Infrastruktur erfüllt folgende Bedingungen:

• Alle Server sind dedizierte Server.
• Das Datencenter garantiert eine Verfügbarkeit von 99.99%.
• Alemira hält die Betriebssysteme, Open-Source-Software und andere Software aktuell.

4.2  Verschlüsselung der Daten

Die folgenden Verschlüsselungs-Systeme werden verwendet, um die Daten zu schützen:

• Die gesamte Kommunikation, welche Benutzerdaten involviert (d.h. die gesamte Kommunikation ausser der Downloads der Updates) wird mit SSL/TLS verschlüsselt. Das SSL-Zertifikat kann z.B. über https://go.dybuster.com eingesehen werden, vgl. Abbildung 3 unten.

Abbildung 3: SSL-Zertifikat auf go.dybuster.com

4.3  Back-ups der Daten

Alle Back-ups der Daten sind sowohl bei der Übermittlung wie auch auf dem Speichermedium verschlüsselt. Der Verlust der Benutzerdaten wird durch folgendes Back-up-System verhindert:

• Der „Fortschritt" und der „Lernplan" (vgl. Abbildung 1) werden immer mindestens auf 3 Alemira-Servern im gleichen Rechenzentrum gespeichert.
• Die Daten der „Benutzer- und Lizenzverwaltung" werden einmal pro Tag innerhalb des Rechenzentrums auf einen zweiten Server gesichert.
• Von diesem zweiten Server werden die Daten jede Nacht verschlüsselt an einen Server bei Alemira in Zürich übermittelt und dort gespeichert.
• Zwei Mal pro Woche werden die so gesicherten Daten auf verschlüsselten Hard-Drives off-site abgelegt.

Auf den Server werden Back-ups für die letzten 3 Monate gespeichert. Das älteste Back-up enthält entsprechend den Zustand der Daten vor 3 Monaten, bevor es gelöscht wird. Die Off-site-Backups können die Daten von bis zu den letzten 6 Monaten enthalten. Die Back-ups werden nur für Zwecke der Systemwiederherstellung verwendet.

Wenn ein Benutzer von seinem "Recht auf Löschung" (vgl. Massgebendes Recht) Gebrauch macht, werden seine Daten im Live-System unverzüglich und in den Back-ups mit der Löschung des ältesten Back-ups nach maximal 6 Monaten endgültig gelöscht.

5.  Daten ausserhalb der Lern-Systeme

5.1  Daten für das Testcenter

Alemira entwickelt neben den Lern-Systemen auch das "Testcenter" zur Durchführung von Tests und Fragebögen. Die Daten des Testcenters werden gleich behandelt wie die Daten der Lernsysteme wie in Datenschutz und private Daten und Technische Umsetzung beschrieben. Allerdings wird nicht ein aktueller Lernzustand oder eine Log-Datei mit den Eingaben zu den Lernprogrammen übermittelt und gespeichert (vgl. Übermittelte und gespeicherte Daten) sondern eine Log-Datei der Beantwortung der Aufgaben und Fragen.

5.2  Daten für das Schreiblabor

Neben den von Alemira selber entwickelten Lern-Systemen und dem Testcenter (s.o.) vertreibt Alemira auch das von der Firma WriteReader entwickelte "Schreiblabor" zur Unterstützung bei Schreibanlässen. Die Benutzer für das "Schreiblabor" werden wie die Benutzer für die Lern-Systeme auf den Servern von Alemira verwaltet. Entsprechend gelten dafür die gleichen Bedingungen wie in den Abschnitten Datenschutz und private Daten und Technische Umsetzung beschrieben.

WriteReader hostet aber die Schreiblabor-Applikation auf Servern von Amazon in Irland, und Alemira leitet die Benutzer bei deren Aufruf des Schreiblabors an diese Server weiter. Bei dieser Weiterleitung übermittelt Alemira folgenden Daten an WriteReader, damit die Benutzer von WriteReader identifiziert und die erstellten Bücher innerhalb der Klasse geteilt werden können:

• Benutzername und Benutzer-ID
• Vor- und Nachname (sofern vorhanden)
• Einteilung in Klassen und Klassennamen
• Zusätzlich bei Lehrer-Benutzern: Benutzername und Benutzer-ID der Schüler-Benutzer, auf welche sie Zugriff haben, sowie deren Vor- und Nachname (sofern vorhanden)

Daten von Benutzern, welche das Schreiblabor nicht verwenden und deren Lehrer-Benutzer das Schreiblabor nicht verwenden, werden nicht an WriteReader übermittelt.

WriteReader speichert die Schreiblabor-spezifischen Daten, insbesondere die erstellten Bücher, weitere von den Benutzern produzierte Inhalte sowie deren Einstellungen auf den Servern bei Amazon. Dabei hält sich WriteReader an die gängigen Datenschutzbestimmungen sowie das "Data Processing Agreement" zwischen Alemira und WriteReader.

5.3  Daten für Marketing-Aktivitäten

Im Rahmen ihrer Marketing-Aktivitäten und zur Pflege der Kundenbeziehungen bietet die Dybuster AG an, dass sich Personen für E-Mail-Newsletter und für den Erhalt zu Informationen zu ihrer Programm-Nutzung und Lizenzen anmelden können. Die Anmeldung kann erfolgen, ohne die Alemira Lernprogramme zu nutzen. Gleichzeitig ist sie keine Voraussetzung für die Verwendung allfälliger Testversionen. Schliesslich ist eine Abmeldung von den Mailing-Listen jederzeit möglich.

Die entsprechenden Mailing-Listen verwaltet Alemira auf der Plattform von HubSpot (www.hubspot.com) und MailChimp (www.mailchimp.com), und übermittelt dafür die E-Mail-Adressen sowie ein Minimum an zusätzlichen Daten, welche zur Organisation der Newsletter notwendig sind, an HubSpot und MailChimp.

• Die Sprache der Personen, damit die Newsletter in der entsprechenden Sprache versandt werden können.
• Der Name des Programmes (Orthograph, Grafari oder Calcularis oder alle drei), welche die Person verwendet oder für welche sie sich interessiert, sowie ob es sich um ein institutionelles oder privates Interesse handelt, damit die Inhalte auf die Interessen abgestimmt werden können.
• Allfällige Ablaufdaten von Lizenzen, um im Newsletter Kunden von Nicht-Kunden unterscheiden zu können.
• Vor- und Nachname der Person, um sie freundlich ansprechen zu können.
• Der Alemira Benutzername, um bei allfälligem Vergessen dieses Benutzernamens diesen gleich in der Mitteilung oder dem Newsletter erwähnen zu können.

Die Daten werden nur für den Versand von Alemira-bezogenen Mitteilungen und Newslettern verwendet. Insbesondere werden damit nicht andere Produkte oder Dienstleistungen beworben oder Online-Werbung betrieben. Weder HubSpot noch MailChimp selber verwenden die von Alemira übermittelten Daten und geben sie nicht an Dritte weiter, sofern dies nicht im „Data Processing Agreement“ zwischen Alemira und HubSpot bzw. MailChimp vorgesehen ist, damit HubSpot und MailChimp kritische Dienstleistungen wie den Schutz vor Missbrauch leisten kann. Ein solches „Data Processing Agreement” hat Alemira mit seiner Mutter-Firma SIT Alemira unterzeichnet. Entsprechend teilt Alemira die für Verkaufs- und Marketingzwecke freigegebenen Inhalte mit SIT Alemira. Dies entspricht der gängigen Rechtsprechung in der Schweiz, der EU und den USA. Alemira und HubSpot wie auch MailChimp halten sich an alle rechtlichen Vorschriften dieser Gebiete.

6.  Rechtliches

6.1  Massgebendes Recht

Alemira wendet die Vorschriften des schweizerischen "Bundesgesetz über den Datenschutz" sowie die EU-Datenschutzverordnung (ab 25. Mai 2018) an. Diese umfassen insbesondere:

• Das Recht für jeden Benutzer, alle seine von Alemira gespeicherten persönlichen Daten einzusehen.
• Das Recht für jeden Benutzer, seine persönlichen Daten vollständig löschen zu lassen ("Recht auf Löschung").
• Das Recht für jeden Benutzer, allfällige falsche persönlichen Daten korrigieren zu lassen ("Recht auf Berichtigung").

Benutzer im Ausland wenden sich für Fragen des Einsatzes von Alemira Lern-Programmen unter Datenschutzaspekten an Alemira oder ihren lokalen Bezugspartner.

6.2  Datenschutzbeauftragter

Der Geschäftsführer der Dybuster AG nimmt persönlich die Funktion des Datenschutzverantwortlichen von Alemira wahr. Dadurch wird die höchste Priorität im Umgang mit Daten unterstrichen und auf oberster Ebene sichergestellt.

Der Datenschutzbeauftragte bzw. der Geschäftsführer der Dybuster AG in seiner Rolle als Datenschutzbeauftragter ist unter dpo@dybuster.com erreichbar.

Zürich, 16. November 2022