3.1 Verantwortliche Stelle
Verein HERTZ Schule, 6078 Lungern, Schweiz, E-Mail: hello@hertzschule.ch. Für Datenschutzanfragen kann im Betreff «Datenschutz» angegeben werden.
3.2 Geltungsbereich und Begriffe
Personendaten sind Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Bearbeiten umfasst insbesondere das Erheben, Speichern, Verwenden, Bekanntgeben, Verändern, Archivieren oder Löschen solcher Daten. Besonders schützenswerte Personendaten können unter anderem Angaben zur Gesundheit, zu religiösen oder weltanschaulichen Ansichten, zu behördlichen Massnahmen sowie Daten über die Intimsphäre umfassen. Bei Kindern gelten erhöhte Anforderungen an Zurückhaltung, Transparenz und Sicherheit.
3.3 Grundsätze der Datenbearbeitung
Der Verein bearbeitet Personendaten rechtmässig, nach Treu und Glauben, verhältnismässig, zweckgebunden und möglichst datensparsam. Es werden nur Daten erhoben, die für den jeweiligen Zweck erforderlich sind. Daten von Kindern werden nur bearbeitet, soweit dies für die Anbahnung oder Durchführung des Schulverhältnisses, die Sicherheit, gesetzliche Pflichten oder ausdrücklich gewählte Einwilligungen erforderlich ist.
3.4 Zwecke der Bearbeitung
Personendaten werden insbesondere bearbeitet, um die Website bereitzustellen und zu sichern; Anfragen zu beantworten; Beratungs-, Kurs-, Schul- und Vertragsbeziehungen anzubahnen und durchzuführen; Rechnungen und Zahlungen abzuwickeln; Downloads und digitale Inhalte bereitzustellen; Veranstaltungen zu organisieren; Bewerbungen zu prüfen; gesetzliche Aufbewahrungs- und Nachweispflichten zu erfüllen; Missbrauch und Sicherheitsvorfälle zu verhindern; sowie - nur mit entsprechender Grundlage - Informationen und Newsletter zu versenden.
3.5 Kategorien bearbeiteter Daten
Je nach Kontakt können Stamm- und Kontaktdaten, Korrespondenz, Anmelde- und Vertragsdaten, Zahlungs- und Rechnungsdaten, technische Nutzungsdaten, Bewerbungsunterlagen sowie schulbezogene Informationen bearbeitet werden. Bei Schulinteressenten können zusätzlich Angaben zum Kind, zu Lernvoraussetzungen, Unterstützungsbedarf, bisherigen Schulen und Notfallkontakten erforderlich sein. Gesundheitsdaten sollen erst erhoben werden, wenn sie für Sicherheit oder angemessene Förderung tatsächlich notwendig sind.
3.6 Website- und Serverdaten
Beim Aufruf der Website können technische Daten wie IP-Adresse, Datum und Uhrzeit, aufgerufene Seiten, übertragene Datenmenge, Browser, Betriebssystem, Referrer und Statusmeldungen in Server-Logdateien verarbeitet werden. Diese Daten dienen dem stabilen und sicheren Betrieb, der Fehleranalyse und dem Schutz vor Missbrauch. Sie werden nur so lange aufbewahrt, wie dies für diese Zwecke oder gesetzliche Nachweise erforderlich ist.
3.7 Hosting und Website-Plattform
Die Website kann über Webflow erstellt und über Webflow oder einen anderen Hosting-Anbieter ausgeliefert werden. Domains und E-Mail-Dienste können über Hostpoint und Proton bereitgestellt werden. Dabei können technische Daten in der Schweiz, im Europäischen Wirtschaftsraum oder in weiteren Staaten bearbeitet werden. Vor Veröffentlichung ist die tatsächlich eingesetzte Hosting- und Datenflusskonfiguration zu dokumentieren und dieser Abschnitt entsprechend zu präzisieren.
3.8 Kontaktaufnahme
Bei Kontakt per Formular oder E-Mail bearbeitet der Verein die übermittelten Angaben, um die Anfrage zu beantworten, die gewünschte Leistung vorzubereiten und die Korrespondenz zu dokumentieren. Pflichtfelder sind auf das notwendige Minimum zu beschränken. Vertrauliche oder besonders schützenswerte Informationen sollen nicht über unverschlüsselte Standardformulare übermittelt werden.
3.9 Kurs- und Schulanmeldungen
Bei Anmeldungen werden die für Prüfung, Aufnahme, Organisation, Vertrag, Rechnungsstellung und Kommunikation erforderlichen Angaben bearbeitet. Bei minderjährigen Schülerinnen und Schülern erfolgt die Kommunikation grundsätzlich mit den sorgeberechtigten Personen. Daten zum Kind sollen in einem geschützten Aufnahmeprozess und nicht über ein frei zugängliches allgemeines Kontaktformular erhoben werden.
3.10 Bewerbungen
Bewerbungsdaten werden ausschliesslich zur Prüfung und Durchführung des Bewerbungsverfahrens sowie zur Erfüllung gesetzlicher Pflichten bearbeitet. Ohne Einwilligung werden Unterlagen abgelehnter Bewerbungen nach Abschluss des Verfahrens grundsätzlich gelöscht, sobald keine berechtigten Nachweisinteressen mehr bestehen. Für eine Aufnahme in einen Talentpool wird eine gesonderte Einwilligung eingeholt.
3.11 Newsletter und Direktinformationen
Newsletter werden nur an Personen versendet, die eingewilligt haben oder mit denen eine bestehende Kundenbeziehung im gesetzlich zulässigen Umfang besteht. Jede Nachricht enthält eine einfache Abmeldemöglichkeit. Anmeldezeitpunkt, Einwilligungstext und Bestätigung können als Nachweis gespeichert werden. Für öffentliche Interessenten ist ein Double-Opt-in-Verfahren empfehlenswert.
3.12 Cookies und ähnliche Technologien
Notwendige Cookies dürfen eingesetzt werden, soweit sie für Sicherheit, Navigation, Spracheinstellungen, Formularfunktionen oder einen ausdrücklich gewünschten Dienst erforderlich sind. Analyse-, Marketing- oder externe Mediencookies sollen erst nach einer freiwilligen Auswahl gesetzt werden. Eine Ablehnung darf den Zugang zu wesentlichen Inhalten nicht unangemessen erschweren.
3.13 Videos, Karten, Schriftarten und externe Inhalte
Externe Inhalte wie YouTube, Vimeo, Karten, Terminbuchung, Social-Media-Feeds oder extern geladene Schriftarten können Daten an Drittanbieter übertragen. Datenschutzfreundlich ist eine Zwei-Klick-Lösung: Externe Inhalte werden erst nach aktiver Zustimmung geladen. Schriftarten sollen möglichst lokal eingebunden werden. Der konkrete Text ist nach Auswahl der Anbieter zu ergänzen.
3.14 Zahlungsabwicklung
Bei kostenpflichtigen Angeboten können Zahlungsdaten an Banken, PostFinance oder Zahlungsdienstleister übermittelt werden. Der Verein erhält grundsätzlich nur die für Zuordnung, Bestätigung, Rückerstattung und Buchhaltung erforderlichen Informationen. Kartendaten sollen nicht auf eigenen Systemen gespeichert werden. Die tatsächlich eingesetzten Anbieter sind vor dem Verkaufsstart namentlich aufzunehmen.
3.15 Auftragsbearbeiter und Empfänger
Der Verein kann sorgfältig ausgewählte Dienstleister für Hosting, E-Mail, Website, IT-Sicherheit, Buchhaltung, Zahlungsverkehr, Videokonferenzen, Dateitransfer oder Kursbereitstellung beiziehen. Diese bearbeiten Daten nur im erforderlichen Umfang und nach vertraglichen oder gesetzlichen Vorgaben. Daten werden zudem bekanntgegeben, wenn dies gesetzlich vorgeschrieben, zur Vertragsdurchführung erforderlich oder zum Schutz berechtigter Interessen notwendig ist.
3.16 Bekanntgabe ins Ausland
Bei einer Übermittlung in Staaten ohne vom Bundesrat anerkanntes angemessenes Datenschutzniveau werden geeignete Garantien eingesetzt, insbesondere anerkannte Standarddatenschutzklauseln und erforderlichenfalls zusätzliche Schutzmassnahmen. Wo möglich, werden Anbieter mit Datenstandorten in der Schweiz oder im EWR bevorzugt.
3.17 Aufbewahrungsdauer
Daten werden so lange aufbewahrt, wie dies für den jeweiligen Zweck, die Vertragserfüllung, schulrechtliche Dokumentationspflichten, Buchhaltung, Rechtsverteidigung oder gesetzliche Aufbewahrungsfristen erforderlich ist. Danach werden sie gelöscht oder anonymisiert. Schul- und Kinderdaten erhalten ein eigenes Lösch- und Archivierungskonzept.
3.18 Datensicherheit
Der Verein trifft angemessene technische und organisatorische Massnahmen, etwa rollenbasierte Zugriffe, starke Passwörter und Mehrfaktor-Authentifizierung, verschlüsselte Übertragung, sichere Backups, Geräte- und Berechtigungskonzepte, Vertraulichkeitsverpflichtungen sowie einen geregelten Umgang mit Datenschutzverletzungen. Ein absoluter Schutz kann nicht garantiert werden.
3.19 Rechte betroffener Personen
Betroffene Personen können im Rahmen des anwendbaren Rechts Auskunft, Berichtigung, Herausgabe oder Übertragung bestimmter Daten, Einschränkung, Löschung sowie den Widerruf einer Einwilligung verlangen. Ein Widerruf wirkt für die Zukunft. Gesetzliche Aufbewahrungspflichten und überwiegende Rechte Dritter bleiben vorbehalten. Anfragen sind an hello@hertzschule.ch zu richten; zur Vermeidung unbefugter Auskünfte kann ein Identitätsnachweis verlangt werden.
3.20 Daten von Kindern
Kinder sollen verständlich und altersgerecht informiert werden. Einwilligungen, die ein Kind aufgrund von Alter und Tragweite nicht selbst wirksam erteilen kann, werden bei den sorgeberechtigten Personen eingeholt. Foto-, Video- und Veröffentlichungsfreigaben sind freiwillig, zweckbezogen, widerruflich und nicht Voraussetzung für die Aufnahme.
3.21 Automatisierte Entscheidungen und KI
Der Verein trifft derzeit keine ausschliesslich automatisierten Entscheidungen mit erheblichen Auswirkungen auf Personen. Werden KI-Systeme unterstützend eingesetzt, dürfen vertrauliche Schüler-, Gesundheits-, Bewerbungs- oder Familiendaten nur in dafür freigegebene und vertraglich abgesicherte Systeme eingegeben werden. Ergebnisse werden fachlich überprüft; Entscheidungen verbleiben bei Menschen.
3.22 Änderungen dieser Erklärung
Diese Erklärung kann angepasst werden, wenn sich Angebote, Dienste oder Rechtslage ändern. Massgeblich ist die auf der Website veröffentlichte Fassung mit angegebenem Stand. Wesentliche Änderungen werden in geeigneter Form kommuniziert.