Datenschutzerklärung

CampusOne ist eine Self-Organized-Learning-Plattform für Studierende im Schweizer Bildungssystem. Wir bearbeiten persönliche Daten ausschliesslich zum Zweck der Bereitstellung dieser Lernplattform, inklusive:

• Kontoerstellung und Authentifizierung
• Speicherung deiner Lerninhalte (Karteikarten, Notizen, Prüfungsergebnisse)
• Verbesserung und Sicherheit der Plattform

• nDSG (Neues Datenschutzgesetz der Schweiz, in Kraft seit 1. September 2023)
• DSGVO (falls du uns aus der EU nutzt)

Zuordnung je Zweck: Vertrag (Konto, Lernfunktionen, KI-Features, Zahlungen), Einwilligung (Aufnahmen von Live-Sessions, Eltern-Einwilligung bei unter 16-Jährigen), überwiegendes Interesse (Sicherheit, Missbrauchsabwehr, Zustimmungsnachweis) sowie rechtliche Pflicht (Buchhaltung, Takedown). Einzelheiten pro Bearbeitung liefert unser internes Verzeichnis der Bearbeitungstätigkeiten (nDSG Art. 12); Auskunft dazu über datenschutz@laflax.com.

3.1 Bei der Registrierung

• E-Mail-Adresse
• Vor- und Nachname
• Passwort (gehasht mit Argon2)
• Klassen-Code (falls vorhanden)
• Kontotyp (Individual / Organisation-Owner / Organisation-Member)
• Geburtsdatum (birth_date) und daraus abgeleiteter Altersstatus (is_minor, ja/nein). Der Altersstatus wird serverseitig berechnet — eine eigene Angabe „ich bin volljährig“ reicht nicht. Zweck des Geburtsdatums: Nachweis der Altersprüfung, dient ausschliesslich dem Jugendschutz (Einwilligung der Eltern bei unter 16-Jährigen) und wird nicht für Profiling, Lernverhaltens-Analysen oder als Talent-, Charakter-, Scouting- oder Transferindikator verwendet. Bei Konten ohne Altersabfrage (Organisationen) bleibt das Feld leer.
• E-Mail der erziehungsberechtigten Person (parental_consent_email): nur bei älteren Konten aus der früheren Selbstregistrierung Minderjähriger. Zweck: Einholen der Einwilligung nach nDSG Art. 30 (siehe Abschnitt 9). Bei neuen Konten wird sie nicht mehr erhoben — unter 16 legt eine erziehungsberechtigte Person das Konto selbst an.

3.2 Bei Nutzung der Plattform

• Lerninhalte, die du erstellst (Karteikarten, Notizen, Prüfungsantworten)
• Zeitstempel für Login/Logout
• IP-Adresse bei Login (für Security-Audit)
• Zugehörigkeit zu Klassen und Organisationen
• Dein Lernstand bei interaktiven Übungsaufgaben: deine Antwort, ob sie richtig war, wie viele Punkte du erreicht hast und der wievielte Versuch es war — dazu ein Gesamtstand je Lehrmittel („12 von 18 Einheiten geschafft“). Mehr dazu in Abschnitt 3.5.
• Lehrprofil von Dozierenden: die Fächer, die du nach eigener Angabe unterrichtest, und — freiwillig — dein Lebenslauf als PDF. Beides lesen nur Menschen; keine KI wertet es aus, und es ist nie ein Talent- oder Eignungsindikator.

3.3 Technisch

• HTTP-Zugriffs-Logs (IP, User-Agent, URL, Status) — gespeichert für maximal 30 Tage zur Fehlerdiagnose
• Browser-Session-Cookies (HttpOnly, Secure, SameSite=Lax)

3.4 Was wir nicht bearbeiten

• Kein Tracking durch Drittanbieter
• Keine Werbung
• Keine Social-Media-Integration ohne deine Zustimmung
• Keine biometrischen Daten
• Keine sensiblen Daten (Gesundheit, Politik, Religion) — wenn du solche Daten in deine Lerninhalte einträgst, ist das deine eigene Entscheidung

3.5 Lernstand bei interaktiven Aufgaben

Übst du eine Aufgabe aus einem Lehrmittel, speichern wir deine Antwort und das Ergebnis. Das dient allein dir: Du sollst sehen, was du schon kannst und wo du weiterüben willst.

• Es gibt kein Ranking und keinen Vergleich mit anderen. Deinen Lernstand sieht ausschliesslich du selbst; der Server gibt ihn niemand anderem heraus. Eine Ausnahme gibt es bei Kind-Konten: Meldet sich eine erziehungsberechtigte Person per Kontowechsel mit deinem Konto an, sieht sie ihn ebenfalls (Abschnitt 9.1).
• Keine KI-Auswertung deines Lernstands. Die Aufgaben werden auf unserem Server nachgerechnet, nicht von einem Sprachmodell bewertet.
• Keine Nutzung als Talent- oder Eignungsbewertung. Lern-, Prüfungs- und Verhaltensdaten werden nicht als Talent-, Charakter- oder Auswahlindikatoren verwendet und nicht an andere Produkte weitergegeben.
• Ein technischer Fehler zählt nie als falsche Antwort. Kann eine Aufgabe nicht ausgewertet werden, wird sie als „nicht bewertet“ gespeichert.

3.6 Lehrmittel in der Bibliothek

Lädt eine Lehrperson oder Schule ein Lehrmittel hoch, verarbeiten wir dessen Inhalt: Wir lesen den Text aus, gliedern ihn in Abschnitte und erzeugen eine mathematische Repräsentation („Embedding“), damit der Lernassistent die passende Stelle findet. Erfasst werden ausserdem Herkunft und Lizenz des Materials (Urheberrechtsnachweis) sowie der Name der hochladenden Person.

Trägt die automatische Auswertung nicht, wird der Inhalt des Dokuments zur Strukturierung an Google Vertex AI in der EU übermittelt (siehe Abschnitt 5). Lösungsteile werden nie durchsuchbar gemacht und Lernenden nicht angezeigt.

3.7 Lehrpläne und amtliche Bildungsunterlagen (Curriculum-Import)

Lädt eine Superadministratorin oder ein Superadministrator einen amtlichen Lehrplan hoch (RLP/LP21, als PDF oder Word-Dokument), wird der Inhalt zu einem strukturierten Kompetenzbaum verarbeitet. Dasselbe gilt, wenn eine Organisations-Administratorin oder ein Organisations-Administrator einen Lehrplan zuliefert oder eine Fachhochschule oder Universität ein eigenes Weiterbildungs-Curriculum (CAS/DAS/MAS) hochlädt, das nur ihren eigenen Mitgliedern angezeigt wird. Der Verarbeitungsweg und die betroffenen Personen sind in allen drei Fällen dieselben. Dafür geht das Dokument an OpsOne, ein internes System der LAFLAX-Produktfamilie (dieselbe Rechtsperson wie CampusOne, kein externer Dritter), und von dort weiter an Google Vertex AI (EU, Region europe-west4) — über einen eigenen Google-Zugang von OpsOne, nicht über den in Abschnitt 5 beschriebenen CampusOne-eigenen KI-Zugang.

Diese Übermittlung ist bei Lehrplänen unmaskiert. Der Anonymisierungsfilter, der bei deinen eigenen Dokumenten greift (Abschnitt 5), kommt hier nicht zum Einsatz — Lehrpläne gelten als sachliche, amtliche Dokumente ohne Bezug zu Lernenden. Enthält ein Lehrplan-Dokument dennoch Personendaten (z. B. Namen von Autor:innen oder Kommissionsmitgliedern im Impressum), werden diese nicht herausgefiltert. Betroffen sind davon nicht deine eigenen Daten als Lernende:r, sondern institutionelles Personal, das im jeweiligen Lehrplan-Dokument genannt ist.

3.8 Bug-Reports und Fehlerklassifikation

Reichst du einen Fehlerbericht ein, wird der Titel und die Beschreibung zur automatischen Vorsortierung (Typ, Schweregrad) ebenfalls an OpsOne und von dort an Google Vertex AI übermittelt. Anders als bei Lehrplänen ist dieser Text maskiert: Namen und andere Personendaten werden vor der Übermittlung entfernt (derselbe Filter wie in Abschnitt 5 beschrieben), weil ein Fehlerbericht häufig Namen enthält — etwa deinen eigenen oder den eines Kindes, für das du schreibst.

3.9 Lerninhalte-Bibliothek (eigene Lehrmittel von LAFLAX)

Neben der Bibliothek hochgeladener Dokumente (Abschnitt 3.6) betreiben wir seit September 2026 eine eigene, redaktionell erfasste Lerninhalte-Bibliothek: Erklärungen, Übungen, Quiz und ähnliche Lerneinheiten, die LAFLAX oder beauftragte Lehrpersonen selbst erstellen, in Sammlungen gliedern und mit Lehrplänen (LP21) verknüpfen. Dazu gehören auch Bilder und andere Medien, die einer Lerneinheit beigefügt sind. Ein Teil der Inhalte entsteht KI-gestützt; geprüft und freigegeben werden die Inhalte von einem internen KI-Gremium (Lektorat), nicht von einer Lehrperson. Dabei werden nur diese Lehrmittel verarbeitet, keine Daten von Nutzenden.

Autor- und Urheberangabe. Zu jeder Lerneinheit kann eine Autor- oder Urheberangabe hinterlegt werden — ein Freitextfeld für Zitat- und Urheberrechtszwecke, zum Beispiel der Name eines Verlags oder einer Lehrperson ohne eigenes CampusOne-Konto. Diese Angabe ist unabhängig davon, wer die Lerneinheit bei uns erfasst hat (das erfassende Konto wird getrennt gespeichert). Ist in diesem Feld der Name einer Person ohne eigenes Konto genannt, informieren wir diese Person nicht einzeln — das ist bei einer reinen Quellenangabe praktisch nicht möglich, dieselbe Lage wie bei Autor:innen in Lehrplan-Dokumenten (Abschnitt 3.7).

Hinweis für die Lehrperson. Eine Lerneinheit kann eine zusätzliche Bemerkung tragen, die ausschliesslich Lehrpersonen sehen — Lernende bekommen sie nie angezeigt.

Was Lernende sehen: veröffentlichte Lerneinheiten der Plattform oder ihrer Organisation, ohne Lösungsteile. Was Lehrpersonen und Administrationen zusätzlich sehen: die Entwürfe und zurückgezogenen Lerneinheiten ihrer eigenen Organisation, Lösungsteile sowie den Hinweis für die Lehrperson. Eigene Lerninhalte von Kindern ohne Organisation („privat“, selbst erstellt oder importiert) sieht ausschliesslich das Kind selbst sowie seine verifizierten Erziehungsberechtigten — auch ohne Kontowechsel, siehe Abschnitt 9.1.

Einmal veröffentlichte oder mit anderen Inhalten verknüpfte Lerneinheiten werden nicht gelöscht, sondern archiviert (Abschnitt 6).

3.9a Lernfortschritt und KI-Tutor-Rückmeldung in der Lerninhalte-Bibliothek

Bearbeitest du eine Lerneinheit aus der Lerninhalte-Bibliothek (Abschnitt 3.9), speichern wir, ob und wann du sie gesehen oder erledigt hast, sowie bei Aufgaben deine Antwort. Zweck ist derselbe wie beim Lernstand aus interaktiven Aufgaben (Abschnitt 3.5): Du sollst deinen eigenen Fortschritt sehen.

Konkret gespeichert werden:

• deine Antwort im Wortlaut
• die Rückmeldung unseres KI-Tutors zu deiner Antwort, sofern du diese Funktion nutzt
• die Anzahl genutzter Hinweise
• Bearbeitungszeit, Anzahl Versuche und genutzte Hinweise als Zahlen

Es gilt dasselbe wie in Abschnitt 3.5: kein Ranking, keine Nutzung als Talent- oder Eignungsbewertung. Aufbewahrung: wie dein Konto — es gibt für diese Daten keine automatische Löschung nach einer festen Frist (anders als bei Abschnitt 3.5, siehe Abschnitt 6); löschst du dein Konto, werden deine Antworten und die KI-Tutor-Rückmeldung dazu sofort entfernt, dein Fortschritt (Status, welche Einheit, Lernzeit, Anzahl Versuche) bleibt bis zur endgültigen Löschung des Kontos bestehen.

3.9b Hinweis «Meine Antwort stimmt trotzdem»

Wird deine Antwort bei einer automatisch geprüften Aufgabe aus der Lerninhalte-Bibliothek als falsch gewertet, kannst du uns melden, dass sie trotzdem stimmt. Zweck: Wir finden so Fehler in unseren Aufgaben und korrigieren sie.

Konkret gespeichert werden:

• die Aufgabe und ihre Fassung
• deine als falsch gewertete Antwort, so wie sie bei der Prüfung gespeichert wurde (Abschnitt 3.9a)
• freiwillig ein Grund aus einer Auswahl (ab Zyklus 2) und zusätzlich freiwillig ein kurzer Text von höchstens 300 Zeichen (ab Zyklus 3)
• der Stand der Bearbeitung (offen, Korrektur läuft oder erledigt, Ausgang, interne Notiz des Teams) und ob du die Rückmeldung dazu gesehen hast
• dein Konto — nur, damit du zur selben Aufgabe nicht mehrfach einen Hinweis schickst und wir dir in der App zeigen können, was daraus wurde

Die Hinweise sehen nur Personen, denen LAFLAX die Prüfrolle Lektorat oder Korrektorat vergeben hat, sowie Superadmins von LAFLAX — gebündelt je Aufgabe und ohne deinen Namen, deine E-Mail-Adresse oder dein Konto; statt eines genauen Datums nur die Kalenderwoche. Das externe Audit sieht deine Hinweise nicht. Stimmt die Aufgabe, erfährst du das beim nächsten Öffnen. Muss sie korrigiert werden, prüfen Lektorat und Korrektorat die neue Fassung, und du erfährst es erst, wenn diese freigegeben ist. Erziehungsberechtigte und Organisationen sehen deine Hinweise nicht, auch nicht über den Kontowechsel oder eine Support-Kontoübernahme (Abschnitt 9); der Server weist solche Zugriffe ab. Solange du dich mit einem Passwort anmeldest, das die erziehungsberechtigte Person gesetzt hat, kannst du noch keinen Hinweis schicken.

Ein Hinweis ändert deine Wertung nie. Es gilt dasselbe wie in Abschnitt 3.5: kein Ranking, keine Nutzung als Talent- oder Eignungsbewertung; wir zählen Hinweise nicht je Person. Ein Hinweis löst keine KI-Auswertung und keine E-Mail aus.

Aufbewahrung: 90 Tage nach der Erledigung, spätestens 365 Tage nach dem Eingang, danach automatische Löschung. Löschst du dein Konto, entfernen wir deine Hinweise bereits beim Anonymisieren des Kontos, nicht erst bei der endgültigen Löschung nach 30 Tagen.

Im Datenexport deines eigenen Kontos sind deine Hinweise enthalten (Aufgabe, Datum, Stand, Ausgang, Grund und Antwort). Im Export durch die erziehungsberechtigte Person sind sie nicht enthalten; während eines Kontowechsels oder einer Support-Kontoübernahme fehlen sie auch im Export deines Kontos.

3.10 Workshop-Anfragen über campusone.ch

Auf der öffentlichen Website kannst du ohne Konto einen Workshop anfragen. Zweck: Wir beantworten deine Anfrage und klären mit dir den Workshop. Dafür bearbeiten wir diese Angaben:

• Pflicht: Name, E-Mail-Adresse, für wen der Workshop ist (Unternehmen, Schule oder privater Anlass), deine Nachricht und deine Einwilligung
• freiwillig: Organisation, Telefonnummer, ungefähre Anzahl Teilnehmende und Wunschzeitraum
• die Sprache der Seite, damit die Bestätigung in deiner Sprache kommt

CampusOne speichert die Anfrage nicht in einer Datenbank. Sie wird als E-Mail an LAFLAX (info@laflax.com) geschickt; du erhältst eine kurze Bestätigung an die angegebene Adresse. Diese Bestätigung wiederholt deine Angaben nicht. Verschickt werden beide E-Mails über unseren E-Mail-Dienstleister Resend (Abschnitt 5), das Postfach liegt bei Google Workspace. Das Formular ist auf wenige Anfragen pro Stunde und Anschluss und insgesamt begrenzt; dafür wird deine IP-Adresse kurzzeitig gezählt, nicht protokolliert. Der Zähler liegt in unserer Datenbank, läuft nach spätestens einer Stunde ab und wird täglich gelöscht; bis dahin kann er in den Datenbank-Sicherungen (30 Tage rollierend) enthalten sein.

Rechtsgrundlage ist deine Einwilligung und die Bearbeitung deiner Anfrage vor einem möglichen Vertrag. Kommt kein Auftrag zustande, löschen wir die E-Mail spätestens 12 Monate nach dem letzten Kontakt. Kommt ein Auftrag zustande, gelten die gesetzlichen Aufbewahrungspflichten für Geschäftsunterlagen.

• Du auf deine eigenen Daten
• Org-Admins auf Daten innerhalb ihrer Organisation; ändernde Aktionen werden protokolliert, eine reine Einsichtnahme derzeit nicht. Gehörst du über eine Schule oder Firma zu einer Organisation, sehen deren Admins deine Zugehörigkeit, deinen Verifizierungsstatus und Lernstands-/Nutzungsauswertungen sowie bei Dozierenden die selbst angegebenen Fächer und den hinterlegten Lebenslauf — nur die Administration der Organisation, in der du aktiv Mitglied bist; endet die Mitgliedschaft, endet dieser Zugriff sofort — zweckgebunden für den Bildungsauftrag deiner Organisation, nie für Scouting oder Werbung; Grundlage ist ein Auftragsbearbeitungsvertrag mit der Organisation.
• Erziehungsberechtigte, wenn du unter 16 bist und dein Konto von einer erziehungsberechtigten Person angelegt wurde. Sie sieht deinen Lernfortschritt und kann dein Konto verwalten; mit dem Kontowechsel kann sie sich zudem vorübergehend als du anmelden und sieht dann alles, was du siehst. Was das im Einzelnen umfasst, steht in Abschnitt 9.
• Personen mit der Prüfrolle Lektorat oder Korrektorat sowie Superadmins von LAFLAX auf deine Hinweise «Meine Antwort stimmt trotzdem» (Abschnitt 3.9b) — gebündelt je Aufgabe und ohne deinen Namen; nie das externe Audit, nie Erziehungsberechtigte, nie Organisationen.
• LAFLAX-Mitarbeiter nur bei technischem Support; ändernde Zugriffe werden protokolliert. Öffnet ein Superadmin deine Support-Akte (Abo, Kontingent, Rechnungen, Protokoll), wird auch diese Einsicht protokolliert (seit 06.09.2026); andere reine Einsichtnahmen derzeit nicht — mit einer Ausnahme:Ein Superadmin kann sich bei einem Support-Fall vorübergehend als du anmelden („Anmelden als Benutzer“). Das ist zeitlich auf 30 Minuten begrenzt, ausschliesslich lesend (keine Änderung möglich) und wird immer protokolliert — ohne Protokolleintrag entsteht kein Zugang. Deine Gespräche mit dem Lernassistenten bleiben davon ausgenommen (Abschnitt 9.1)
• Niemand sonst (keine Weitergabe an Dritte ausserhalb der oben genannten Fälle, kein Verkauf)

• Server: Hetzner Cloud, Standort Falkenstein, Deutschland
• Backup der Datenbank: verschlüsselt auf einem zweiten Server bei Hetzner, Standort Falkenstein, Deutschland
• Backup hochgeladener Dateien: Hetzner Object Storage, Standort Nürnberg, Deutschland
• Zusätzliche Sicherungskopie der Datenbank: Cloudflare R2, Speicherort mit EU-Jurisdiktion. Warum es sie gibt: Alle Kopien oben liegen beim selben Anbieter. Fällt dieser aus oder verlieren wir den Zugang, wären deine Lerninhalte verloren. Diese dritte Kopie liegt deshalb bewusst woanders. Sie ist nach dem Zero-Knowledge-Prinzip verschlüsselt: Der Schlüssel liegt ausschliesslich bei uns, Cloudflare kann den Inhalt nicht lesen. Aufbewahrung 30 Tage, danach läuft jede Kopie automatisch aus.
• E-Mail-Versand: Resend (resend.com, USA) — die E-Mail-Adresse für den Versand, bei Workshop-Anfragen (Abschnitt 3.10) zusätzlich der Inhalt der Anfrage; abgesichert über EU-Standardvertragsklauseln (SCC)
• Schutz der Registrierung vor Bots: Google reCAPTCHA (Google Ireland Limited; Google-Infrastruktur, auch ausserhalb der EU). Beim Aufruf der Registrierungsseite wird ein Skript von Google geladen; dabei erhält Google deine IP-Adresse sowie technische Angaben zu Browser und Gerät und wertet dein Verhalten auf der Seite aus, um automatisierte Anmeldungen zu erkennen. Zweck ist ausschliesslich die Missbrauchsabwehr — wir erhalten von Google nur das Prüfergebnis, keine Profildaten. Rechtsgrundlage ist unser überwiegendes Interesse an einem funktionsfähigen, missbrauchsfreien Dienst; abgesichert über EU-Standardvertragsklauseln (SCC). Es werden dabei keine Lern-, Prüfungs- oder Inhaltsdaten übermittelt.
• KI-Features: Google Vertex AI, Region europe-west4 (Eemshaven, Niederlande), Ausweich-Regionen europe-west3 (Frankfurt) und europe-west1 (St. Ghislain, Belgien) — alle innerhalb der EU. Die Schweizer Region europe-west6 (Zürich) unterstützt das eingesetzte Modell nicht. In der App erreichst du den KI-Tutor nur noch direkt bei einer Erklärung oder Aufgabe, über den Knopf «Ich verstehe das nicht»; dort heisst er «Hilfe von der KI». Der Datenweg ist derselbe. Beim KI-Tutor, bei Erklärungen und bei der Bewertung von Antworten ist ein Anonymisierungs-Filter vorgeschaltet, der Namen und andere Personendaten aus den Inhalten maskiert, bevor sie übermittelt werden (in Produktion fail-closed: fällt der Filter aus, wird nichts übermittelt). Dieser Filter arbeitet mit einer automatischen Namenserkennung und erreicht eine hohe, aber keine vollständige Trefferquote — einzelne Namen können daher trotzdem übermittelt werden. Der Schutz deiner Daten beruht deshalb nicht allein auf diesem Filter, sondern zusätzlich auf dem Verarbeitungsort in der EU und dem Auftragsverhältnis mit Google (keine Nutzung deiner Inhalte zum Training). Derselbe Filter ist auch bei der Erzeugung von Karteikarten, Zusammenfassungen und Prüfungsfragen aus deinen Dokumenten oder eingefügtem Text vorgeschaltet — unabhängig davon, über welchen Weg du sie erstellst. Der Filter arbeitet textbasiert: Er kann nur Text maskieren, kein Bild, Video oder Audio. Überall dort, wo ein solcher Inhalt selbst — statt nur als begleitender Text — an die KI geht, kann er deshalb nicht greifen: Es wird dann nur der begleitende Text maskiert, das Medium selbst geht unverändert an Vertex AI. Dieselbe Grenze gilt, wenn Google einen Inhalt server-seitig selbst abruft — dann liegt er uns nie als eigener Text vor. Das betrifft zum Beispiel, ohne dass diese Liste abschliessend ist: Lädst du ein Foto oder einen Scan als Bild-Quelle hoch (z. B. eine fotografierte Aufgabe), wird nur der daraus ausgelesene Text maskiert — das Bild selbst geht unverändert an Vertex AI, weil sich Personendaten in einem Bild mit textbasierter Maskierung nicht entfernen lassen. Dasselbe gilt für ein Foto, das ein Kind in einem Fach unter «Meine Dateien» hochlädt: Es wird automatisch ausgelesen, aber nur, wenn eine gültige KI-Einwilligung vorliegt; ohne sie bleibt das Bild ungelesen. Nutzt du einen Link (YouTube-Video/Webseite) als Quelle, ruft Google den Inhalt selbst ab; wir erhalten ihn nie als eigenen Text und können ihn deshalb nicht maskieren — maskiert wird dort nur ein von dir eingegebener Lernfokus. Dieselbe Einschränkung gilt, wenn du im laufenden Chat mit dem KI-Tutor direkt ein Foto anhängst statt es als Dokument hochzuladen: Auch dort wird nur dein Frage-Text maskiert, das angehängte Bild geht unverändert an Vertex AI. Und schlägt dir die KI beim Hochladen eines Bildes eine Bildbeschreibung für Screenreader-Nutzende vor (Alt-Text), geht auch dieses Bild unverändert an Vertex AI — hier gibt es gar keinen separaten Text, der maskiert werden könnte, weil die Beschreibung direkt aus dem Bildinhalt entsteht. Deine Inhalte werden nicht zum Training verwendet.
• Sprachbedienung. Zwei verschiedene Wege, die sich darin unterscheiden, ob deine Stimme das Gerät verlässt:
  • Sprechen mit dem KI-Tutor: Die Erkennung läuft direkt in deinem Browser (Web Speech API). Es wird keine Aufnahme an uns übermittelt— wir erhalten nur den erkannten Text. Manche Browser (insbesondere Chrome) verarbeiten die Spracherkennung ihrerseits auf Servern des Browser-Herstellers; das geschieht ausserhalb unseres Einflussbereichs. Wer das nicht möchte, tippt die Eingabe oder nutzt einen Browser mit geräteinterner Erkennung (z. B. Safari).
  • Diktieren bei Karteikarten und Vorlesen von Texten: Dafür ist Google Cloud Speech-to-Text bzw. Text-to-Speech vorgesehen, jeweils über den EU-Endpunkt (eu-speech.googleapis.com bzw. eu-texttospeech.googleapis.com). Diese Funktionen sind derzeit abgeschaltet — es wird aktuell weder eine Aufnahme noch ein vorzulesender Text an Google übermittelt. Vorlesen fällt automatisch auf die Stimme deines Geräts zurück. Sobald wir sie wieder einschalten, übermitteln wir ausschliesslich die Aufnahme bzw. den Text zur Umwandlung; gespeichert wird dort nichts.
  Deine Zustimmung zum Einsatz der KI-Anbieter holen wir bei der Registrierung ein und fragen sie erneut ab, wenn sich die Anbieter ändern; wir halten Zeitpunkt, IP-Adresse und die zugestimmte Fassung als Nachweis fest. Möchtest du die Zustimmung zurückziehen, schreib uns an datenschutz@laflax.com — wir sperren die KI-Funktionen dann für dein Konto.
• Netzwerk und Sicherungskopien:Cloudflare, für zwei getrennte Zwecke. Erstens leiten wir den Netzwerkverkehr über Cloudflare (DNS-Proxying) — dabei findet keine Nutzer-Analyse statt. Zweitens bewahren wir dort eine zusätzliche Sicherungskopie unserer Datenbank auf. Sie liegt in einem Speicher mit EU-Jurisdiktion. Verschlüsselt ist sie nach dem Zero-Knowledge-Prinzip: Der Schlüssel liegt ausschliesslich bei uns, Cloudflare kann den Inhalt nicht lesen. Wir tun das, damit deine Daten auch dann noch vorhanden sind, wenn unser Hauptanbieter ausfällt oder wir den Zugang zu ihm verlieren. Aufbewahrung: 30 Tage, danach läuft jede Kopie automatisch aus.
• E-Mail-Postfächer & interne Zusammenarbeit: Google Workspace (Gmail, Google Chat, Drive) für unsere Geschäftskommunikation — z. B. wenn du uns an info@ oder datenschutz@laflax.com schreibst, liegt deine Nachricht in unserem Google-Workspace-Postfach (Google Cloud Data Processing Addendum, EU-Standardvertragsklauseln).
• Error-Tracking: GlitchTip — selbst-gehostet auf LAFLAX-eigener Infrastruktur in der EU, keine externe Cloud. Anonymisierte Fehlerberichte ohne User-PII (technisch erzwungen).
• Zahlungsabwicklung: Stripe Payments Europe, Ltd. (Irland; Konzerngesellschaften USA, abgesichert über SCC/Data Privacy Framework). Stripe verarbeitet deine Zahlungsdaten (Karte/TWINT) direkt — wir speichern keine Kartendaten, nur Stripe-Kunden-/Abo- Referenzen und den Zahlungsstatus.
• Dozierenden-Auszahlungen (Marktplatz) — eingestellt am 19.09.2026: Der Marktplatz und damit die Auszahlungen an Dozierende gibt es nicht mehr; er war nie für Nutzerinnen und Nutzer freigeschaltet. Es finden keine Identitätsprüfungen mehr statt. Gespeichert ist noch genau ein nie fertig eingerichtetes internes Testkonto (Stripe-Referenz, ohne Ausweisdaten und ohne Zahlungen); es wird mit dem zugehörigen Konto gelöscht.

Alle Datenübertragungen laufen über TLS 1.2+.

• Aktive Konten: unbegrenzt, solange das Konto existiert
• Gelöschte Konten: Konto wird sofort gesperrt und anonymisiert, KI-Gesprächsverläufe werden unmittelbar entfernt; die endgültige Löschung der übrigen Daten erfolgt spätestens 30 Tage nach der Löschung (nDSG Art. 32; Details: AGB Ziffer 13)
• Backups der Datenbank: verschlüsselt, täglich, Aufbewahrung 30 Tage rollierend. Gelöschte Daten bleiben darin bis zu 30 Tage erhalten, bis der jeweilige Sicherungspunkt ausläuft — sie werden nicht aktiv zurückgespielt. Backups dienen ausschliesslich der Wiederherstellung nach einem Ausfall.
• Backups hochgeladener Dateien: derzeit ohne feste Löschfrist. Wird eine Datei gelöscht, verbleibt sie vorerst im Backup-Bucket, damit versehentliche Löschungen rückgängig gemacht werden können. Eine automatische Löschfrist wird nachgerüstet.
• HTTP-Logs: 30 Tage
• KI-Tutor-Konversationen: 365 Tage nach letzter Aktivität; bei Konto-Löschung sofort
• Einzelne Aufgabenversuche(welche Antwort du wann gegeben hast): 730 Tage. Dein Gesamtstand je Lehrmittel („12 von 18 Einheiten geschafft“) bleibt erhalten, solange dein Konto besteht.
• Lernfortschritt und KI-Tutor-Rückmeldung in der Lerninhalte-Bibliothek (Abschnitt 3.9a): keine feste Löschfrist — anders als bei den Aufgabenversuchen oben. Bei Kontolöschung werden deine Antwort und die KI-Tutor-Rückmeldung dazu sofort geleert; dein Fortschritt (Status, Einheit, Lernzeit, Anzahl Versuche) bleibt bis zur endgültigen Löschung des Kontos bestehen.
• Hinweise «Meine Antwort stimmt trotzdem» (Abschnitt 3.9b): 90 Tage nach der Erledigung, spätestens 365 Tage nach dem Eingang; bei Kontolöschung sofort
• Lebenslauf von Dozierenden: bis du ihn entfernst oder ersetzt (die alte Datei wird dabei unmittelbar entfernt); bei Kontolöschung sofort
• Login-Versuche: 90 Tage
• Audit-Log (Security-Events, Admin-Aktionen): 365 Tage. Zweck: Nachvollziehbarkeit sicherheitsrelevanter Vorgänge und Missbrauchsabwehr; danach automatische Löschung.
• Sitzungsdatensatz einer Support-Kontoübernahme: 365 Tage
• Einladungen in eine Organisation: 30 Tage
• Missbrauchsabwehr Testphase (geplant — gilt ab Einführung der Sperrliste, hier aus Transparenz angekündigt): Zur Verhinderung mehrfacher Gratis-Testphasen (Konto löschen → neu registrieren) speichern wir nach einer Konto-Löschung einen gehashten Wiedererkennungs-Schlüssel der E-Mail-Adresse für 180 Tage — ohne Klartext-Adresse, getrennt vom gelöschten Konto. Rechtsgrundlage: überwiegendes berechtigtes Interesse an der Missbrauchsabwehr (nDSG Art. 31 Abs. 1). Nach 180 Tagen wird der Eintrag automatisch gelöscht.

Du hast folgende Rechte, die du jederzeit ausüben kannst:

• Auskunft (nDSG Art. 25): Was speichern wir über dich?
• Berichtigung (Art. 32): Falsche Daten korrigieren
• Löschung (Art. 32): Konto und alle Daten löschen
• Einschränkung: Verarbeitung vorläufig stoppen
• Datenübertragbarkeit: Deine Daten als JSON-Export bekommen
• Widerruf: Einwilligung jederzeit zurückziehen
• Widerspruch:Du kannst Bearbeitungen, die wir auf unser überwiegendes Interesse stützen (z. B. Missbrauchsabwehr, Zustimmungsnachweis), jederzeit aus Gründen deiner besonderen Situation widersprechen (DSGVO Art. 21)

So nutzt du diese Rechte:direkt in der App unter Einstellungen → „Konto löschen“ oder „Daten exportieren“, oder per E-Mail an datenschutz@laflax.com. Wir antworten innerhalb von 30 Tagen.

Wir nutzen nur funktional notwendige Cookies:

• sessionid (HttpOnly, Secure, SameSite=Lax) — Login-Sitzung
• csrftoken (HttpOnly, Secure, SameSite=Lax) — CSRF-Schutz

Keine Tracking-Cookies, keine Drittanbieter-Cookies, kein Cookie-Banner nötig (siehe EU-Cookie-Richtlinie für funktional notwendige Cookies).

Nach nDSG Art. 30 gilt: Wenn du unter 16 Jahre alt bist, brauchst du die Zustimmung deiner Eltern/Erziehungsberechtigten, um CampusOne zu nutzen.

Unter 16 kannst du dich nicht selbst registrieren. Eine erziehungsberechtigte Person legt dein Konto an: Sie registriert sich zuerst mit ihrem eigenen Konto und fügt dich danach in ihrem Profil als Kind hinzu. Dabei bestätigt sie die AGB, diese Datenschutzerklärung und die KI-Funktionen. Mit dieser aktiven Handlung ist die Einwilligung nach nDSG Art. 30 erteilt; wir halten Zeitpunkt, zugestimmte Fassung und IP-Adresse als Nachweis fest. Einen zusätzlichen Bestätigungslink per E-Mail gibt es auf diesem Weg nicht — er wäre sinnlos, weil die erziehungsberechtigte Person selbst handelt.

Anmelden kannst du dich anschliessend mit deinem Benutzernamen. Eine eigene E-Mail-Adresse brauchst du nicht. Bei der Kontoerstellung wird dein Geburtsdatum erfasst; ob du unter 16 bist, berechnen wir serverseitig (siehe Abschnitt 3.1). Der Altersstatus dient ausschliesslich diesem Jugendschutz und wird nicht für andere Zwecke (Profiling, Scouting, Werbung) verwendet.

Dein erstes Passwort: Die erziehungsberechtigte Person wählt bei der Kontoerstellung dein Passwort oder erhält ein von uns erzeugtes im Klartext — sie kennt es also von Anfang an. Mit diesem Passwort kannst du alles nutzen, auch den Lernassistenten; nur Hinweise «Meine Antwort stimmt trotzdem» kannst du erst schicken, wenn du im Profil dein eigenes Passwort gewählt hast (siehe 9.1). Beachte: Die erziehungsberechtigte Person kann deine Gespräche mit dem Lernassistenten über den Kontowechsel lesen, auch wenn du ein eigenes Passwort gewählt hast.

Ältere Konten mit Bestätigungslink: Für Konten, die noch aus der früheren Selbstregistrierung stammen, gilt das damalige Verfahren weiter — ein Bestätigungslink an die erziehungsberechtigte Person, 7 Tage gültig und einmalig verwendbar. Bis zur Bestätigung bleibt ein solches Konto gesperrt (kein Login, keine Nutzung). Neu entsteht dieser Fall nicht mehr.

Auf Wunsch legt unser Support ein Kind-Konto an (Stand 06.09.2026): Meldet sich eine erziehungsberechtigte Person bei unserem Support, kann dieser für sie ein Kind-Konto anlegen. Das Konto bleibt gesperrt, bis die erziehungsberechtigte Person die Verknüpfung beim nächsten eigenen Anmelden über ein Bestätigungs-Fenster selbst bestätigt — erst dann ist die Einwilligung erteilt und das Kind-Konto nutzbar. Erinnerung nach 14 Tagen per E-Mail an die erziehungsberechtigte Person; die Bestätigung erfolgt ausschliesslich im Bestätigungsfenster, niemals über einen Link in dieser Mail.

Wenn die Bestätigung ausbleibt: Bleibt die Einwilligung aus, erinnern wir die hinterlegte erziehungsberechtigte Person nach 14 Tagen einmal per E-Mail. Bleibt sie weiter aus, wird das Konto nach 30 Tagen deaktiviert. Es wird dabei nichts gelöscht: Die Einwilligung kann auch danach noch erteilt werden und hebt die Deaktivierung wieder auf. Bei Konten mit Bestätigungslink ist ein abgelaufener Link keine Sackgasse — über die Anwendung lässt sich jederzeit ein neuer Link an die hinterlegte Adresse der erziehungsberechtigten Person anfordern (nie an eine frei eingegebene Adresse). Bei per Support angelegten Kind-Konten gibt es keinen Link, der ablaufen könnte — hier ist das Bestätigungsfenster nach dem Anmelden der einzige Weg, jederzeit verfügbar. Wie lange ein deaktiviertes Konto höchstens aufbewahrt wird, ist in Klärung; massgeblich ist das Löschkonzept.

9.1 Was die erziehungsberechtigte Person sehen und tun kann

Solange die Verknüpfung besteht, kann sie:

• deinen Lernfortschritt ansehen — die Lernpfade, an denen du gerade arbeitest (bis zu fünf: Titel, wie viele Schritte erledigt sind, Titel des nächsten Schritts), dazu Anzahl und Durchschnitt deiner Prüfungsversuche sowie deine letzten zehn Versuche mit Titel und Datum. Ist ein Lernpfad deine eigene, private Sammlung, erscheint ihr Titel, den du vergeben hast. Nicht deine einzelnen Antworten im Wortlaut
• deine Kontodaten exportieren — Konto, Mitgliedschaften, Klassen, die Anmeldeversuche der letzten 30 Tage sowie deinen Lernfortschritt aus der Lerninhalte-Bibliothek (welche Einheit, Status, Lernzeit, Anzahl Versuche und genutzter Hinweise). Der Export enthält nicht deine Antworten im Wortlaut und nicht die Rückmeldung des KI-Tutors dazu, keine Gespräche mit dem Lernassistenten und keine Hinweise «Meine Antwort stimmt trotzdem» (Abschnitt 3.9b)
• dein Passwort neu setzen. Deine offenen Sitzungen werden dabei beendet; eine bereits laufende Sitzung kann noch bis zu einer Stunde weiterlaufen. Bis du dich selbst mit einem eigenen Passwort anmeldest, kannst du mit dem neu gesetzten Passwort keine Hinweise «Meine Antwort stimmt trotzdem» schicken; alles andere, auch der Lernassistent, bleibt nutzbar
• Bildungsstufe, Klassenstufe und Kanton ändern, dich einem Studiengang zuordnen und dich per Beitritts-Code einer Organisation (Schule oder Firma) anschliessen
• die Einwilligung widerrufen — dann ist dein Konto gesperrt
• dein Konto löschen. Dein Konto wird dabei anonymisiert und nach 30 Tagen endgültig entfernt. Anders als bei einer Löschung durch dich selbst werden deine Gespräche mit dem Lernassistenten dabei zurzeit nicht sofort mit gelöscht — wir gleichen das an
• sich vorübergehend als du anmelden(„Kontowechsel“, siehe unten)
• deine eigenen Lerninhalte einsehen, falls du keiner Organisation angehörst — Lerneinheiten, die du selbst erstellt oder importiert hast. Das gilt ohne Kontowechsel: Diese Inhalte sind serverseitig direkt dir und deinen Erziehungsberechtigten zugeordnet

Kontowechsel: Dabei meldet sich die erziehungsberechtigte Person mit deinem Konto an. Sie sieht dann deine Lerninhalte und Einstellungen — deine Karteikarten, Zusammenfassungen, Prüfungsfragen, hochgeladenen Dokumente und deinen Lernstand — und kann die Lernwerkzeuge für dich nutzen.

Das umfasst seit dem 15.09.2026 auch deine Gespräche mit dem Lernassistenten — den bisherigen Verlauf und neue Nachrichten. Die erziehungsberechtigte Person kann sie lesen und selbst mit dem Lernassistenten schreiben; ihre Nachrichten stehen dann in deinem Verlauf. Das gilt unabhängig davon, ob du ein eigenes Passwort gewählt hast.

Wir protokollieren jeden Kontowechsel (Zeitpunkt, IP-Adresse) und benachrichtigen dich darüber. Verlassen kannst du dich darauf aber nicht in jedem Fall: Schlägt der Protokolleintrag oder die Benachrichtigung technisch fehl, findet der Wechsel trotzdem statt. Das Protokoll selbst kannst du zurzeit nicht abrufen.

Deine Hinweise «Meine Antwort stimmt trotzdem» (Abschnitt 3.9b) sind ebenfalls ausgenommen: Die erziehungsberechtigte Person kann sie weder mit noch ohne Kontowechsel sehen und keinen Hinweis in deinem Namen schicken; der Server weist solche Zugriffe ab. Dasselbe gilt für eine Support-Kontoübernahme durch LAFLAX.

Ohne Kontowechsel sieht die erziehungsberechtigte Person zusätzlich nicht: deine hochgeladenen Dokumente und deine Karteikarten.

Support-Kontoübernahme durch LAFLAX: Unabhängig von der erziehungsberechtigten Person kann ein Superadmin von LAFLAX bei einem Support-Fall dieselbe Grenze anwenden wie beim Kontowechsel: Er kann sich vorübergehend als du anmelden, um einen gemeldeten Fehler nachzuvollziehen — höchstens 30 Minuten, nur lesend, ohne Verlängerung, und nur mit vorher protokollierter Begründung. Jede Übernahme ist ein eigener Sitzungsdatensatz (siehe Abschnitt 6); ein zweiter Superadmin kann eine laufende Übernahme jederzeit von aussen beenden, und wird das Konto des Superadmins gesperrt, endet die Übernahme sofort. Deine Gespräche mit dem Lernassistenten bleiben dabei ohne Ausnahme gesperrt, unabhängig davon, ob du minderjährig bist — anders als beim Kontowechsel der erziehungsberechtigten Person. Diese Möglichkeit ersetzt seit dem 31.08.2026 das frühere Vorgehen, dein Passwort telefonisch zu erfragen: LAFLAX verlangt am Telefon kein Passwort mehr von dir.

Widerruf: Die erziehungsberechtigte Person kann die Einwilligung jederzeit widerrufen — im Profilbereich oder per E-Mail an datenschutz@laflax.com. Mit dem Widerruf wird das Konto gesperrt; auf Wunsch wird es gelöscht (Ablauf siehe Abschnitt 6).

Live-Kurse und externe Gäste — eingestellt am 19.09.2026: Live-Kurse, Einladungen externer Gäste und Aufzeichnungen (früher über Jitsi/Jibri) gibt es nicht mehr. Die Funktion war nie für Nutzerinnen und Nutzer freigeschaltet; gemessen am 19.09.2026 sind dazu keine Kurse, Einladungen, Einwilligungen oder Aufnahmen gespeichert.

Zustimmung zu AGB/Datenschutz (Nachweis): Bei der Registrierung bestätigst du die AGB und diese Datenschutzerklärung. Als Nachweis dieser Willenserklärung speichern wir den Zeitpunkt der Zustimmung, die zugestimmte Fassung (Versionsstand) sowie die IP-Adresse zum Zustimmungszeitpunkt. Rechtsgrundlage ist unser berechtigtes Interesse an einem belastbaren Zustimmungsnachweis (Vertragsanbahnung). Diese Angaben sind Teil deines Datenexports. Bei einer Konto-Löschung wird die IP-Adresse gelöscht; Zeitpunkt und Versionsstand bleiben als anonymisierter Zustimmungsnachweis (ohne Personenbezug) erhalten.

Verantwortlicher / Hosting: Verantwortlich ist die LAFLAX Sportmanagement GmbH; die Plattform wird in der EU (Deutschland) gehostet. Übermittlungen in die USA finden nur bei den oben genannten Diensten (Resend, Stripe, Cloudflare) statt und sind über EU-Standardvertragsklauseln bzw. das Data Privacy Framework abgesichert (nDSG Art. 16 f.).

Wir aktualisieren diese Datenschutzerklärung gelegentlich. Über wesentliche Änderungen informieren wir dich beim nächsten Login in der App; die jeweils geltende Fassung findest du stets hier mit Datum.

Wenn du der Meinung bist, wir bearbeiten deine Daten nicht korrekt, kannst du dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren: www.edoeb.admin.ch.

Nutzt du CampusOne aus der EU, kannst du dich zusätzlich an die Datenschutz-Aufsichtsbehörde deines Wohnsitzstaates wenden (DSGVO Art. 77) — in Deutschland an die Landesdatenschutzbehörde, in Österreich an die Datenschutzbehörde (dsb.gv.at).