GradrUnsere Unterauftragsverarbeiter
Stand: 14. Oktober 2026
Diese Liste ergänzt die Datenschutzerklärung. Sie nennt alle Dienstleister, die für Gradr Personendaten bearbeiten, mit ihrer Aufgabe, dem Land der Firma, dem Ort der Daten und den vertraglichen Garantien.
Grundsätze
- Gespeichert in der Schweiz: Konten, hochgeladene Prüfungen, Ergebnisse und korrigierte PDF liegen in Zürich (Prüfungen und Ergebnisse höchstens 12 Monate).
- Ohne Namen zur KI: Die KI-Bewertung erhält die Antworten ohne den Namen der Schülerin oder des Schülers. Das ist eine Pseudonymisierung, keine Anonymisierung.
- Kein Training: Kein Dienstleister darf die Inhalte zum Training von KI-Modellen verwenden.
- Garantien bei Firmen ausserhalb der Schweiz: Jeder Dienstleister ist durch ein DPA (Data Processing Agreement, Vertrag über die Auftragsbearbeitung) gebunden. Für Firmen in Staaten ohne angemessenen Datenschutz gilt zusätzlich eine Zertifizierung nach dem Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln, wo vom Anbieter vorgesehen mit Schweizer Zusatz (Art. 16 DSG).
- Neue Dienstleister kündigen wir mindestens 30 Tage im Voraus per E-Mail an.
- Verträge: Mit jedem Dienstleister besteht ein DPA. Schulen erhalten auf Anfrage eine Kopie.
Infrastruktur
| Anbieter | Aufgabe | Firma (Land) | Ort der Daten | Betroffene Daten | Garantien |
|---|---|---|---|---|---|
| Supabase Pte. Ltd. | Anmeldung, Datenbank, Dateispeicher | Singapur | Schweiz (Zürich, Rechenzentrum von Amazon Web Services) | Konten, hochgeladene Prüfungen mit Namen, Ergebnisse, korrigierte PDF; Prüfungen und Ergebnisse werden 12 Monate nach dem Hochladen gelöscht | DPA mit Standardvertragsklauseln und Anpassungen für das Schweizer Recht (Teil der Nutzungsbedingungen) |
| Render Services, Inc. | Betrieb der App, des Dienstes, der die Punkte ins PDF zeichnet, und der Webseite | USA | EU (Deutschland, Frankfurt) | Daten, die während der Verarbeitung durchgeleitet werden, auch die Prüfungsseiten mit Namen | DPA (ergänzt die Nutzungsbedingungen) + Zertifizierung nach dem Swiss-U.S. Data Privacy Framework |
| n8n GmbH | Steuerung des Korrekturablaufs | Deutschland | EU (Deutschland, Frankfurt) | Prüfungsseiten, Antworttexte und Punkte während der Korrektur; die Ablaufprotokolle werden nach 7 Tagen automatisch gelöscht | DPA, von der Digitalis-Lab GmbH unterzeichnet; Bearbeitung in der EU (Rechenzentrum von Microsoft Azure) |
| Hoss Inc. (DocuPipe) | Texterkennung der gescannten Seiten | USA | EU (Irland) | gescannte Prüfungsseiten mit Namen; werden unmittelbar nach der Korrektur gelöscht, spätestens nach 24 Stunden | DPA mit Standardvertragsklauseln (Teil der Nutzungsbedingungen); Speicherung und Verarbeitung in der EU, vom Anbieter schriftlich bestätigt |
| Infomaniak Network SA | Versand der E-Mails der App (Anmeldung, Benachrichtigungen) | Schweiz | Schweiz | E-Mail-Adressen, Inhalt der Benachrichtigungen | Schweizer Firma, Daten in der Schweiz |
| Stripe Payments Europe, Limited | Zahlung der Abos per Karte, Rechnungen | Irland (Konzern USA) | EU und USA (Stripe, LLC) | Name, E-Mail-Adresse, Rechnungsadresse und Kartendaten der Lehrperson; keine Prüfungen, keine Schülerdaten | DPA (Teil der Nutzungsbedingungen) + Zertifizierung nach dem Swiss-U.S. Data Privacy Framework; für Betrugsabwehr und gesetzliche Pflichten in eigener Verantwortung |
KI-Anbieter
Die KI erhält die Antworten ohne den Namen der Schülerin oder des Schülers. Bei der Einrichtung einer neuen Vorlage liest sie das Lösungsblatt der Lehrperson, nie eine Schülerarbeit.
| Anbieter | Aufgabe | Firma (Land) | Ort der Daten | Garantien |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (AWS Bedrock, Modell Claude von Anthropic) | Bewertung der Antworten; Einrichtung neuer Vorlagen aus dem Lösungsblatt | Luxemburg (Konzern USA) | Nur Schweiz und EU (Aufruf in Zürich, Verarbeitung in Rechenzentren der Schweiz und der EU); nicht in den USA | AWS-DPA mit Standardvertragsklauseln und Schweizer Zusatz (Teil der AWS Service Terms); kein Training; keine Speicherung nach der Bewertung (bei AWS ausgeschaltet); Anthropic erhält die Inhalte nicht |
Änderungen
Kommt ein Dienstleister hinzu oder ändert sich der Ort der Daten, kündigen wir das mindestens 30 Tage im Voraus per E-Mail an. Sie können der Änderung widersprechen und Ihr Konto kündigen.