Datenschutzerklärung
Stand: 7. Oktober 2026
Diese Seite erklärt, welche Daten GoGymi bearbeitet und an wen sie gehen. Was mit den Texten, Antworten und Fotos der Lernenden geschieht, steht unter KI-gestützte Auswertung.
1Verantwortliche Stelle
2Geltungsbereich
Diese Datenschutzerklärung gilt für die Nutzung der Webapplikation GoGymi unter gogymi.ch. Sie erläutert, welche Personendaten wir erheben, zu welchem Zweck wir sie bearbeiten und an wen wir sie weitergeben. Diese Erklärung richtet sich nach dem Schweizerischen Bundesgesetz über den Datenschutz (DSG, nDSG) sowie, soweit anwendbar, nach der EU-Datenschutz-Grundverordnung (DSGVO).
3Erhobene Personendaten
3.1 Registrierung und Authentifizierung
- E-Mail-Adresse — zur Identifikation und Kommunikation
- Passwort — verschlüsselt gespeichert (Hashing via Supabase Auth), für uns nicht einsehbar
- OAuth-Daten — bei Anmeldung über Google oder Discord: Name, E-Mail-Adresse und Profilbild
3.2 Profildaten
- Anzeigename — frei wählbar
- Profilbild (Avatar) — hochgeladen oder aus Vorlagen gewählt
- Schulstufe — Langzeitgymnasium oder Kurzzeitgymnasium
- Kontotyp — ob das Konto bei der Registrierung als Konto einer Schülerin oder eines Schülers angelegt wurde oder als Eltern-Konto geführt wird. Davon hängt ab, welcher Weg zum Kauf eines Zugangs angezeigt wird
- Schule des Kindes — freiwillige Freitext-Angabe der Erziehungsberechtigten. Sie ist für die Nutzung nicht erforderlich; wir speichern sie beim Lernkonto und nutzen sie derzeit ausschliesslich intern, um zu verstehen, aus welchen Schulen unsere Nutzenden kommen. Sie wird nicht mit Schulen abgeglichen und nicht an Schulen weitergegeben.
- Freundescode — zufällig generierter Code zum Hinzufügen von Freunden
3.3 Nutzungsdaten
- Gelöste Aufgaben — Aufgaben-ID, gegebene Antwort, Lösungszeit, Punktzahl
- Spielfortschritt — XP, Level, Streak (aktuelle und beste Serie)
- Badges/Achievements — Typ und Zeitpunkt der Vergabe
- Duelle — Herausforderer, Gegner, Zeiten, Ergebnisse
- Freundschaften — Verknüpfungen zwischen Nutzerkonten
- Benachrichtigungen — In-App-Benachrichtigungen (Typ, Inhalt, Lesestatus)
- Letzte Aktivität — Zeitpunkt des letzten Besuchs
3.4 Technische Daten
- Browser Push Subscription — Endpoint und Keys für Push-Benachrichtigungen (nur bei expliziter Zustimmung)
- Benachrichtigungseinstellungen — Präferenzen für verschiedene Benachrichtigungstypen
3.5 Lokale Speicherung im Browser
Im Browser legen wir Einstellungen und Zwischenstände ab, damit sie einen Seitenwechsel überdauern. Dazu gehören:
- Einstellungen: Onboarding-Status, Ton- und Vibrationseffekte, gewählte Schulstufe, Filter für Fach und Thema, Ansichtsvorlieben
- Zwischenstände: Anzahl gelöster Aufgaben ohne Konto, angefangene Aufsätze und Prüfungsdurchgänge, Entwürfe in Eingabefeldern
- Hinweise, die nur einmal erscheinen sollen, und der Stand von Erklär-Einblendungen
Ein Teil dieser Werte bleibt rein lokal. Andere übermitteln wir an unsere Server, sobald sie dort gebraucht werden — der ohne Konto erreichte Fortschritt zum Beispiel wird bei der Registrierung übernommen, damit er nicht verloren geht. Wir können deshalb nicht zusichern, dass lokal gespeicherte Werte das Gerät nie verlassen. Alle diese Werte lassen sich über die Browsereinstellungen löschen.
3.6 Eltern-Berichtsversand
Erziehungsberechtigte erhalten einen Lernbericht über die Vorbereitung ihres Kindes — in der Regel wöchentlich, auf Wunsch monatlich, und bei längerer Lernpause automatisch monatlich. Wie er zustande kommt, hängt davon ab, wem das Lernkonto gehört:
- Das Kind hat ein eigenes Konto — einrichten kann den Bericht dann ausschliesslich das Kind selbst, indem es eine Eltern-Adresse einträgt. Der Versand beginnt erst, wenn die Empfängerin oder der Empfänger ihn per Link bestätigt hat (Double-Opt-in); ohne diese Bestätigung wird nie berichtet. Rechtsgrundlage ist diese Einwilligung.
- Die Erziehungsberechtigten haben das Konto ihres Kindes angelegt — dann ist diese Anlage selbst die Einwilligung; wir halten ihren Zeitpunkt und ihre Fassung fest. Der Bericht startet an die Adresse des Eltern-Kontos, und dieselben Inhalte sind dort auch im eingeloggten Konto einsehbar.
In beiden Fällen können Schulen die Funktion für ihre Schülerinnen und Schüler deaktivieren, und in beiden Fällen kann das Kind den Bericht jederzeit pausieren oder endgültig beenden — auch dann, wenn die Erziehungsberechtigten das Konto angelegt haben. Er verschwindet damit sowohl aus der E-Mail als auch aus dem Eltern-Konto.
Dafür bearbeiten wir:
- die E-Mail-Adresse der Erziehungsberechtigten sowie den Zeitpunkt der Bestätigung
- ein Versandprotokoll mit Zeitpunkt und dem exakten Inhalt jedes Berichts
- den Zeitpunkt, zu dem Erziehungsberechtigte den Bericht zuletzt angesehen haben — auf der Übersichtsseite wie im Eltern-Konto
- die gewählte Häufigkeit und den Versandtag sowie einen Protokolleintrag darüber, wann diese Zustellung geändert wurde
Der Bericht enthält ausschliesslich Prozessdaten — aktive Lerntage, bearbeitete Themen in Zustandsworten, Hausaufgaben-Stand und den Prüfungsfahrplan. Er enthält bewusst keine Noten, keine Prozentwerte, keine Richtigkeitsquoten, keine Prognosen und keine Vergleiche mit anderen Kindern.
Der Bericht selbst enthält weiterhin ausschliesslich Prozessdaten; ein Abo-Hinweis steht gegebenenfalls darunter in der E-Mail und wird im Bericht-Protokoll mitgespeichert, das Ihr Kind einsehen kann.
Der Bericht ist zusätzlich über einen persönlichen Link ohne Login abrufbar. Wer diesen Link besitzt, kann die Übersicht aufrufen — bitte geben Sie ihn nicht weiter. Die Seite wird nicht von Suchmaschinen indexiert.
Das Kind sieht in seinen Einstellungen jederzeit, welche Berichte versandt wurden und was genau darin stand, und kann den Versand pausieren oder beenden. Erziehungsberechtigte können sich mit einem Klick in jeder E-Mail abmelden; die Abmeldung wirkt sofort. Zur Aufbewahrung siehe Abschnitt 13.
3.7 Nachricht an Eltern
Ein Kind mit einem Gratis-Lernkonto kann freiwillig die E-Mail-Adresse eines Elternteils angeben: bei der Registrierung, in seinen Einstellungen oder bei den Hinweisen auf den bezahlten Zugang. Die Adresse stammt in diesem Fall also nicht von der Person, der sie gehört, sondern vom Kind. Die eigene Anmeldeadresse des Kindes nehmen wir dafür nicht an.
An diese Adresse schicken wir höchstens zwei Mails, danach keine mehr:
- die erste frühestens zehn Minuten, nachdem das Kind seine erste Aufgabe selbst gelöst hat. Sie nennt Fach und Thema dieser Aufgabe und ob die Antwort richtig, teilweise richtig oder noch nicht richtig war. Den Text der Aufgabe und die Antwort des Kindes enthält sie nicht.
- eine zweite, nur an dieselbe Adresse, in einer von zwei Fassungen. Wurde die Preisseite über den Knopf in der ersten Mail aufgerufen und über diesen Link weder gekauft noch ein Kauf begonnen, kommt sie 20 Stunden bis sieben Tage nach dem letzten Aufruf und frühestens 20 Stunden nach der ersten Mail. Sie beantwortet dann drei häufige Fragen zu Kündigung, Testphase und dazu, wie viele Aufgaben das Kind seit dem Start an wie vielen Tagen gelöst hat. Sonst kommt sie drei bis zehn Tage nach der ersten und nennt, an wie vielen Tagen das Kind in den letzten sieben Tagen geübt und wie viele Aufgaben es gelöst hat.
Die Mails gehen nur, solange das Kind ein Gratis-Konto ohne Schule, ohne Gruppe, ohne Verbindung zu einem Eltern-Konto und ohne gekauften Zugang hat, und nur zwischen 9 und 21 Uhr. Sie nennen den Vornamen oder den Anzeigenamen des Kindes, stellen GoGymi und unser Abo vor und enthalten einen Link, über den sich das Abo testen und kaufen lässt. Ein Kauf über diesen Link wird direkt mit dem Konto des Kindes verbunden.
Jede Mail sagt, dass das Kind die Adresse bei uns angegeben hat, und enthält zwei Links, die ohne Anmeldung funktionieren: einen zum Abmelden und einen zum Löschen der Adresse. Mail-Programme, die eine Abmeldung mit einem Klick anbieten, können sie ebenfalls auslösen. Nach einer Abmeldung oder einem Löschen geht an diese Adresse keine solche Mail mehr, auch nicht, wenn ein anderes Kind sie angibt, und auch an eine andere Adresse, die dasselbe Kind später angibt, geht keine mehr. Das Kind sieht die angegebene Adresse in seinen Einstellungen, kann sie dort ändern oder entfernen und sieht, wenn die Mails abbestellt wurden.
Damit niemand über GoGymi einer fremden Person Mails schicken lassen kann, nehmen wir dieselbe Adresse innerhalb von 30 Tagen bei höchstens drei Kind-Konten an, und ein Kind kann die Adresse höchstens dreimal am Tag ändern. Auch bei mehreren Adressen bleibt es bei höchstens zwei Mails je Kind.
Dafür bearbeiten wir:
- die angegebene Adresse, wo sie eingetragen wurde und wann, sowie gegebenenfalls den Zeitpunkt einer Abmeldung oder Löschung
- zwei Prüfwerte, die wir mit einem geheimen Schlüssel aus der Adresse und aus der Kennung des Kind-Kontos bilden. Ohne diesen Schlüssel lässt sich aus ihnen weder die Adresse noch das Konto zurückgewinnen
- je Mail einen Eintrag im Versandprotokoll mit Zeitpunkt, Art und Betreff der Mail. Der Betreff enthält den Vornamen oder Anzeigenamen des Kindes; statt der Adresse steht dort eine interne Kennung
Bei der Registrierung hält der Browser die Adresse bis zur ersten Anmeldung, höchstens 24 Stunden, lokal fest und übermittelt sie dann an uns. Versendet werden die Mails über unsere E-Mail-Dienste (Cloudflare, bei einer Störung ersatzweise Resend); sie erhalten die Adresse und den Inhalt der Mail. Zu Adresse und Mails melden wir an unsere Produktanalyse (PostHog) nur, dass beim Konto des Kindes eine Adresse eingetragen oder eine Mail versandt wurde, nie die Adresse selbst.
Öffnet jemand die Preisseite über den persönlichen Link eines Kindes, zählen wir diesen Aufruf. Das gilt für den Knopf in diesen Mails ebenso wie für den Link, den ein Kind selbst weitergibt, und unabhängig davon, ob eine Eltern-Adresse angegeben wurde. Gemeldet wird der Aufruf vom Browser, sobald die Seite geladen ist. Wir speichern je Link, Herkunft und Tag die Kennung des Links, das Kind-Konto, woher der Aufruf kam (der weitergegebene Link oder welche der Mails), den Tag, die Anzahl der Aufrufe sowie den ersten und den letzten Aufruf, auf die Minute abgerundet. Beginnt jemand über den Link einen Kauf, halten wir das ebenso fest. Eine IP-Adresse, die Browserkennung oder ein Cookie speichern wir dafür nicht. Öffnet das Kind seinen eigenen Link in einem Browser, in dem es angemeldet ist, zählen wir den Aufruf nicht. Aufrufe über den Knopf in den Mails nutzen wir, um die Fassung der zweiten Mail zu wählen; alle Aufrufe als reine Zahlen für eine interne Auswertung, wie viele Kinder über welchen Schritt zu einem Kauf kommen. Beginnt ein Kauf über den Link, melden wir an PostHog zusätzlich ein Ereignis mit der Kennung des Kind-Kontos und der Herkunft des Aufrufs, ohne Adresse und ohne den Link selbst.
Lässt das Elternteil die Adresse löschen, entfernt das Kind sie oder wird das Konto des Kindes gelöscht, löschen wir die Adresse sofort. Bestehen bleiben die beiden Prüfwerte, die Angabe, wo die Adresse eingetragen wurde, und die Zeitpunkte von Eintrag, Abmeldung und Löschung. Wir brauchen sie, damit eine Abmeldung auch nach dem Löschen wirkt und damit sich die Grenze von drei Kind-Konten je Adresse nicht durch Löschen umgehen lässt. Eine Frist, nach der auch diese Angaben gelöscht werden, ist derzeit nicht festgelegt. Das Versandprotokoll löschen wir nach 90 Tagen. Wird das Konto des Kindes gelöscht, entfernen wir bei den gezählten Aufrufen der Preisseite den Bezug zum Kind und zum Link; Herkunft, Tag, Anzahl und Zeitpunkte bleiben ohne diesen Bezug bestehen, ebenfalls ohne festgelegte Frist.
4Zweck der Datenbearbeitung
- Bereitstellung der App — Benutzerkonten, Authentifizierung, Spiellogik
- Gamification — Berechnung von XP, Level, Streaks, Badges und Ranglisten
- Soziale Funktionen — Duelle, Freundeslisten, Benachrichtigungen
- Kommunikation — Transaktionale E-Mails (z.B. Duell-Einladungen, Passwort-Reset)
- Eltern-Bericht — Lernbericht (wöchentlich oder monatlich) an Erziehungsberechtigte — auf Wunsch des Kindes oder weil sie das Konto ihres Kindes angelegt haben; beide Wege in Abschnitt 3.6
- Nachricht an Eltern — höchstens zwei Mails an die Adresse eines Elternteils, die ein Kind angegeben hat, mit einem Hinweis auf unser Abo, und die Zählung der Aufrufe der Preisseite über den Link eines Kindes (Abschnitt 3.7)
- Analyse und Verbesserung — Anonymisierte Nutzungsstatistiken zur Weiterentwicklung
- Sicherheit — Schutz vor Missbrauch, Moderation von Inhalten
Und wozu wir sie nicht bearbeiten: Wir schalten auf GoGymi keine Fremdwerbung, betreiben kein Profiling für Werbezwecke und verkaufen keine Daten. Wir finanzieren uns über die Abonnemente, nicht über die Aufmerksamkeit von Kindern. Die E-Mail mit dem Eltern-Bericht kann unter dem Bericht einen sachlichen Hinweis auf unser eigenes Abo tragen, solange das Kind keinen bezahlten Zugang hat. Die höchstens zwei Mails an die Adresse eines Elternteils, die ein Kind angegeben hat, stellen ebenfalls unser eigenes Abo vor (Abschnitt 3.7).
5Rechtsgrundlagen
Wir bearbeiten Personendaten nur, wenn dafür eine Grundlage besteht. Je nach Vorgang ist das:
- Erfüllung des Vertrags — alles, was nötig ist, damit ein Konto und der Lernbetrieb funktionieren — Anmeldung, Lernfortschritt, Auswertung von Aufgaben
- Einwilligung — Vorgänge, für die man sich ausdrücklich entscheidet: Eltern-Bericht, Newsletter, Push-Benachrichtigungen. Sie lässt sich jederzeit widerrufen
- Berechtigtes Interesse — sicherer Betrieb, Missbrauchsabwehr, Fehlerdiagnose und die Weiterentwicklung der Plattform
- Gesetzliche Pflicht — wo uns Vorschriften zur Aufbewahrung oder Auskunft verpflichten, etwa im Rechnungswesen
Nur Daten, die für den jeweiligen Zweck erforderlich sind, müssen bereitgestellt werden. Ohne sie können wir die betreffende Funktion allerdings nicht anbieten — ohne E-Mail-Adresse zum Beispiel kein Konto.
6Drittanbieter und Datenübermittlung
Wir arbeiten mit den folgenden Anbietern zusammen. Sie bearbeiten Daten ausschliesslich in unserem Auftrag und für den angegebenen Zweck. Wir verkaufen keine Daten und geben sie nicht für Werbezwecke weiter.
Betrieb und Speicherung
Diese Anbieter braucht die Plattform, um überhaupt zu laufen. Sie sehen Daten, weil sie sie speichern oder ausliefern.
Vercel
EU / USA
Hosting, Serverless Functions, Web-Vitals-Messung
Daten: Alle Anfragen inkl. IP-Adresse und Inhalten, technische Messwerte
Supabase
Zürich
Anmeldung, Datenbank (PostgreSQL), Datei-Ablage
Daten: Konto-, Profil- und Nutzungsdaten, Profilbilder, Chat-Anhänge
Cloudflare (R2)
EU-Region
Auslieferung von Kursbildern, Grafiken und Prüfungs-PDFs; Ablage der Lösungsvideos zu den Prüfungsaufgaben, die der Browser beim Abspielen direkt von dort lädt; Zwischenablage abfotografierter Aufsätze für die Texterkennung
Daten: IP-Adresse und angeforderter Pfad; Fotos handgeschriebener Aufsätze
Zahlungen
Nur im Zusammenhang mit dem Kauf eines Zugangs.
Stripe Payments Europe, Limited (mit Stripe Technology Europe, Limited als weiterer Partei für die Datenbearbeitung)
Irland (EU), Konzernmutter USA
Abwicklung der Abo- und Einmalzahlungen sowie Betrugserkennung. Der Bezahlvorgang läuft auf einer von Stripe gehosteten Seite; Kartendaten sehen und speichern wir nicht.
Daten: E-Mail-Adresse des zahlenden Elternteils, Zahlungs- und Rechnungsdaten, der gekaufte Plan, die Stufe und Platznummer des Zugangs, eine Kennung Ihres Eltern-Kontos sowie — wenn Sie den Eltern-Link Ihres Kindes benutzen — die Zufallskennung dieses Links. Der Name des Kindes wird nicht übermittelt.
Anmeldung
Nur bei Nutzung des jeweiligen Anmeldewegs.
Google OAuth
USA
Anmeldung via Google
Daten: Name, E-Mail, Profilbild
Discord OAuth
USA
Anmeldung via Discord
Daten: Name, E-Mail, Profilbild
KI-Auswertung
Diese Anbieter sehen die Arbeiten der Lernenden im Wortlaut. Was genau, steht in Abschnitt 7.
Google (Gemini API)
global, kein Regionsbezug festgelegt
Bewertung von Aufsätzen und offenen Antworten, Texterkennung, KI-Tutor
Daten: Aufsatztexte, Antworten, Fotos von Handschrift, Chat-Verläufe
OpenAI
USA
Zweitanbieter bei Verzögerung, Moderation von Namen und Bildern
Daten: Dieselben Inhalte, Anzeigename, Profilbild
Cloudflare (Worker)
global
Texterkennung handgeschriebener Aufsätze
Daten: Fotos und erkannter Text
Kommunikation
Versand von E-Mails und Benachrichtigungen.
Resend
USA
E-Mails der Anwendung: Zugangsdaten, Eltern-Bericht, Einladungen
Daten: E-Mail-Adresse, Name, Inhalt der Nachricht
Supabase Auth
abhängig von der Konfiguration
E-Mails zur Anmeldung: Bestätigung, Passwort-Zurücksetzung
Daten: E-Mail-Adresse, Bestätigungs-Links
Push-Dienste der Browser
USA
Zustellung von Push-Nachrichten (Google, Mozilla, Apple)
Daten: Geräte-Kennung der Push-Anmeldung
beehiiv
USA
Newsletter-Anmeldung (nur nach Klick, siehe Abschnitt 9)
Daten: E-Mail-Adresse
Discord
USA
Weiterleitung gemeldeter Aufgabenfehler an unser Team
Daten: Der gemeldete Text, Aufgaben- und Konto-Kennung
Fehlerdiagnose und Analyse
Damit wir Fehler finden und die Plattform verbessern. Details in Abschnitt 8.
PostHog
EU (Frankfurt)
Produktanalyse, Sitzungsaufzeichnung
Daten: Nutzungsverhalten, E-Mail-Adresse als Kennung
Eingebettete Inhalte Dritter
Inhalte, die aus fremden Quellen geladen werden. Der jeweilige Anbieter erhält dabei die IP-Adresse.
YouTube (Google)
USA / global
Kurs-, Lösungs- und Marketingvideos samt Vorschaubildern; Filmporträts einzelner Gymnasien auf den Schulseiten (nur nach Klick, über youtube-nocookie.com)
Daten: IP-Adresse, aufgerufene Seite, Video-Kennung
Vimeo
USA
Filmporträts einzelner Gymnasien auf den Schulseiten (nur nach Klick)
Daten: IP-Adresse, aufgerufene Seite, Video-Kennung
nanoo.tv (Werft22 AG)
Schweiz
Filmporträt eines Gymnasiums auf seiner Schulseite (nur nach Klick)
Daten: IP-Adresse, aufgerufene Seite, Video-Kennung
SWITCHtube (SWITCH)
Schweiz
Filmporträt eines Gymnasiums auf seiner Schulseite (nur nach Klick)
Daten: IP-Adresse, aufgerufene Seite, Video-Kennung
Server einzelner Gymnasien
Schweiz
Filmporträts, die die Schulen selbst auf ihrer Website ablegen (nur nach Klick)
Daten: IP-Adresse, aufgerufene Seite
Google Maps
USA / global
Lageplan auf den Schulseiten (Kartenfenster mit der Koordinate der Schule)
Daten: IP-Adresse, Koordinate der Schule (ohne Referer, also ohne die aufgerufene Seite)
swisstopo (Bundesamt für Landestopografie)
Schweiz
Kartenkacheln der Kantonskarte auf der Übersicht der Gymnasien
Daten: IP-Adresse, angeforderte Kartenausschnitte
Stripe
Irland (EU) / global
Bezahlfelder und Betrugserkennung im Kaufvorgang
Daten: IP-Adresse, Browserdaten und die aufgerufene Seite
transport.opendata.ch
Schweiz
Berechnung der Reisezeit zur Schule im Profilwahl-Werkzeug und im Anfahrtsrechner der Schulseiten
Daten: Eingegebene Postleitzahl oder Ortschaft, abgefragte Schulen beziehungsweise die Haltestelle der Schule
goQR.me
Karlsruhe (DE)
QR-Code zum Teilen eines Duells
Daten: Die zu kodierende Adresse
Komoot (Photon)
Deutschland
Adress-Vorschläge bei der Schul-Erfassung
Daten: Eingetippter Adresstext
jsDelivr
EU / global
Auslieferung einer Programmbibliothek
Daten: IP-Adresse
7KI-gestützte Auswertung
Ein Teil von GoGymi funktioniert nur mit KI-Modellen: Sie bewerten Aufsätze und offene Antworten, lesen abfotografierte Handschrift und beantworten Fragen im KI-Tutor. Diese Modelle betreiben wir nicht selbst. Das heisst: die Arbeiten der Lernenden verlassen unsere Systeme und werden bei einem Anbieter verarbeitet. Wir legen das hier ausführlich dar, weil es der eingriffsintensivste Teil der Plattform ist.
7.1 Was an KI-Anbieter übermittelt wird
- Aufsätze — der geschriebene Text im Volltext, samt Aufgabenstellung und Schulstufe — für Bewertung, Rechtschreibkorrektur und Verbesserungsvorschlag
- Offene Antworten — der Wortlaut der Antwort, die Frage und die Musterlösung — für Punktevergabe und Rückmeldung
- Fotos von Handschrift — abfotografierte oder eingescannte Lösungsblätter und Aufsätze, also auch alles, was sonst auf dem Blatt steht
- Gespräche mit dem KI-Tutor — die gestellten Fragen, der Inhalt der offenen Lektion sowie Lernstand, Hausaufgaben und gespeicherte Notizen zum Lernverhalten, soweit der Tutor sie für eine Antwort abruft
- Anzeigename und Profilbild — zur Moderation, bevor beides für andere sichtbar wird
- Beschreibung für KI-Avatare — der eingegebene Text, aus dem ein Avatarbild erzeugt wird
7.2 Ohne Namen und ohne Konto
Die Auswertung läuft ohne Namen, E-Mail-Adresse oder Konto-Kennung. Übermittelt wird die Aufgabe und was dazu geschrieben oder fotografiert wurde, sonst nichts. Der Anbieter erfährt weder, von wem eine Arbeit stammt, noch kann er mehrere Arbeiten derselben Person zuordnen. Die Zuordnung zum Konto geschieht erst wieder bei uns, wenn das Ergebnis zurückkommt.
Eine Einschränkung gehört dazu: Was jemand schreibt, kann für sich genommen persönlich sein — ein Aufsatz über das eigene Wochenende bleibt ein Text über die eigene Person, auch ohne Namen darüber. Und wo der Name selbst geprüft wird, etwa bei der Moderation von Anzeigenamen und Profilbildern, ist er zwangsläufig Teil der Anfrage.
7.3 Zwei Anbieter statt einem
Damit die Auswertung auch dann funktioniert, wenn ein Anbieter langsam ist oder ausfällt, fragen wir bei einigen Funktionen nach einer Wartefrist einen zweiten Anbieter parallel an und verwenden die Antwort, die zuerst brauchbar ist. Die übermittelten Inhalte erhalten in diesem Fall beide Anbieter — nicht nur derjenige, dessen Antwort wir am Ende nutzen. Betroffen sind die Bewertung offener Antworten, die Rechtschreibkorrektur, die Bausteinübungen und die Auswertung fotografierter Lösungen.
7.4 Was die Auswertung bedeutet und was nicht
Die KI-Bewertungen sind eine Übungshilfe. Sie erzeugen Punkte, Rückmeldungen und Hinweise auf Lücken, aber keine Zeugnisnoten und keine Entscheidung über eine Aufnahme. Über die Aufnahme ans Gymnasium entscheidet ausschliesslich die amtliche Aufnahmeprüfung des Kantons Zürich, an der wir nicht beteiligt sind. Wir übermitteln keine Bewertungen an Prüfungsbehörden.
KI-Bewertungen können falsch sein. Wer eine Bewertung für unzutreffend hält, kann sie uns melden; wir sehen sie von Hand an und korrigieren sie, wenn sie nicht stimmt.
Ergebnisse und Rückmeldungen speichern wir zusammen mit dem übrigen Lernfortschritt. Zur Aufbewahrung siehe Abschnitt 13.
7.5 Keine automatisierte Einzelfallentscheidung
Es gibt bei uns keine Entscheidung mit rechtlicher Wirkung, die allein eine Maschine trifft. Die KI vergibt Übungspunkte und schreibt Rückmeldungen — sie entscheidet nicht über Zugang, Zulassung, Preise oder den Bestand eines Kontos. Wo eine Bewertung Folgen hat, sieht ein Mensch sie an.
7.6 Nutzung ohne KI
Die KI-Funktionen sind einzelne Bereiche der Plattform, nicht deren Grundlage. Prüfungsarchiv, Quizze mit festen Antworten, Lernmodule und Spielfortschritt funktionieren ohne KI. Wer Aufsatzkorrektur, KI-Tutor, Fotoauswertung und KI-Avatare nicht nutzt, dessen Inhalte gehen auch nicht an die in Abschnitt 6 unter «KI-Auswertung» genannten Anbieter.
8Analyse und Fehlerdiagnose
Wir messen, wie die Plattform genutzt wird, und zeichnen Fehler auf. Beides läuft mit, ohne dass eine Handlung nötig ist.
8.1 PostHog (Produktanalyse)
PostHog (EU-Instanz, Frankfurt) erfasst:
- Seitenaufrufe und Klicks (automatisch)
- Ereignisse im Lernbetrieb (Start, Abschluss, Teilen)
- Sitzungsaufzeichnungen — mit maskierten Eingabefeldern
Nach der Anmeldung ordnen wir diese Daten dem Konto zu und übermitteln dazu die E-Mail-Adresse als Kennung. Die Analyse ist damit nicht anonym. PostHog läuft über unsere eigene Domain; Drittanbieter-Cookies werden nicht gesetzt.
8.2 Fehlerüberwachung
Tritt ein Programmfehler auf, zeichnen wir auf, was zu ihm geführt hat, damit wir ihn beheben können. Dabei fallen die IP-Adresse, technische Angaben zum Gerät und der Ablauf unmittelbar vor dem Fehler an. Auf den Eltern-Seiten, die ohne Anmeldung über einen persönlichen Link erreichbar sind, findet keine Aufzeichnung statt.
8.3 Ladezeiten
Auf jeder Seite messen wir Ladezeiten und Darstellungsqualität. Diese Messwerte sind technisch und enthalten keine Inhalte. Persönliche Links werden vor der Übermittlung durch einen Platzhalter ersetzt.
9Eingebettete Inhalte Dritter
An einigen Stellen laden wir Inhalte von fremden Servern. Dabei erhält der jeweilige Anbieter die IP-Adresse und die Angabe, welche Seite gerade offen ist — auch wenn nichts angeklickt wird.
- Kursvideos — die Videos in den Lernmodulen liegen bei YouTube. Die Wiedergabe startet erst nach einem Klick; die Vorschaubilder werden hingegen sofort geladen
- Lösungsvideos — die Lösungsvideos zu den Prüfungsaufgaben liegen in einem nicht öffentlichen Speicher bei Cloudflare in der EU-Region und sind nirgends eingebettet. Vor dem Klick wird dort nichts geladen, auch kein Vorschaubild. Beim Abspielen erhält Cloudflare die IP-Adresse und den angeforderten Pfad. Die Untertitel kommen von unserem eigenen Server
- Filme der Gymnasien — die Filmporträts auf den Schulseiten liegen bei YouTube, Vimeo, nanoo.tv oder SWITCHtube oder auf dem Server der Schule. Das Vorschaubild kommt von uns; der Anbieter wird erst kontaktiert, wenn jemand auf Abspielen drückt. YouTube läuft dabei über youtube-nocookie.com
- Lageplan der Gymnasien — auf jeder Schulseite steht ein Kartenfenster von Google Maps mit der Koordinate der Schule. Es lädt beim Öffnen der Seite ohne Klick; Google erhält dabei die IP-Adresse und die Koordinate der Schule. Welche Seite offen ist, gibt der Browser nicht weiter (kein Referer), und Cookies setzt das Fenster beim Laden keine
- Kantonskarte — die Übersicht der Gymnasien zeichnet eine Karte des Kantons Zürich mit Kartenkacheln von swisstopo. Sie lädt beim Öffnen der Seite; swisstopo erhält die IP-Adresse und die angeforderten Kartenausschnitte und setzt keine Cookies
- Newsletter-Feld — das Anmeldefeld im Seitenfuss stammt von beehiiv und wird erst nach einem Klick eingebettet. Es lädt dann weitere Dienste nach (Google Tag Manager, einen Bot-Schutz von HUMAN Security, Schriften von Google) und setzt eigene Cookies. Vor dem Klick geschieht davon nichts
- Reisezeit-Berechnung — im Profilwahl-Werkzeug und im Anfahrtsrechner der Schulseiten fragen wir für den Schulweg eine Schweizer Fahrplan-Schnittstelle ab. Übermittelt werden die eingegebene Postleitzahl oder Ortschaft und die verglichenen Schulen beziehungsweise die Haltestelle der Schule. Gespeichert wird die Eingabe bei uns nicht
- QR-Code und Teilen — beim Teilen eines Duells erzeugt ein deutscher Dienst den QR-Code. Wer über WhatsApp oder ein soziales Netzwerk teilt, ruft damit selbst den jeweiligen Dienst auf
10Datenbearbeitung für Forschungszwecke
Wir arbeiten mit Hochschulen zusammen, um zu untersuchen, wie Lernen mit digitalen Mitteln wirkt, und um die Plattform darauf aufzubauen. Beteiligt sind die Universität Zürich, die Universität Bern und die École polytechnique fédérale de Lausanne.
Weitergegeben wird ausschliesslich anonymisiert. Vor der Übermittlung entfernen wir alles, was auf eine Person zurückführt — Name, E-Mail-Adresse, Konto-Kennung.
12Datensicherheit
- Verschlüsselung — alle Datenübertragungen erfolgen über HTTPS/TLS
- Passwort-Hashing — Passwörter werden via bcrypt gehasht und sind für uns nicht einsehbar
- Zugangsbeschränkung — Datenbankzugriff nur über authentifizierte Server-Verbindungen
- Inhaltsmoderation — Profilbilder und Anzeigenamen werden auf unangemessene Inhalte geprüft
- Minimale Datenerhebung — wir erheben nur Daten, die für den Betrieb erforderlich sind
13Aufbewahrungsdauer
Wir löschen Personendaten, sobald der Zweck entfällt, für den wir sie erhoben haben. Wo uns das Gesetz zur Aufbewahrung verpflichtet — etwa im Rechnungswesen —, sperren wir die Daten stattdessen für die weitere Nutzung, bis die Frist abgelaufen ist.
- Kontodaten — bei Kontolöschung sofort und vollständig gelöscht, einschliesslich aller Nutzungsdaten, Badges, Freundschaften und Benachrichtigungen sowie einer freiwillig angegebenen Schule. Was von einer Nachricht an Eltern bleibt, steht unten
- Authentifizierungsdaten — der Supabase-Auth-Account wird bei Kontolöschung ebenfalls gelöscht
- Anonymisierte Statistiken — aggregierte Aufgabenstatistiken (ohne Personenbezug) bleiben erhalten
- Duell-Daten — bei Kontolöschung wird der Personenbezug entfernt, die Duell-Daten des Gegners bleiben erhalten
- Eltern-Berichtsversand — Verknüpfung und Versandprotokoll bestehen, solange der Bericht eingerichtet ist, und werden bei Kontolöschung vollständig gelöscht; danach geht kein Bericht mehr raus
- Nachricht an Eltern — die Adresse eines Elternteils löschen wir, sobald das Elternteil sie per Link löschen lässt, das Kind sie entfernt oder das Konto des Kindes gelöscht wird. Zwei Prüfwerte ohne Klartext, die Angabe, wo die Adresse eingetragen wurde, und die Zeitpunkte von Eintrag, Abmeldung und Löschung bleiben bestehen, auch nach der Kontolöschung (Abschnitt 3.7). Das Versandprotokoll dieser Mails löschen wir nach 90 Tagen
- Aufrufe der Preisseite über den Link eines Kindes — bei der Kontolöschung des Kindes entfernen wir den Bezug zum Kind und zum Link. Herkunft, Tag, Anzahl und Zeitpunkte bleiben ohne diesen Bezug bestehen; eine Frist für ihre Löschung ist derzeit nicht festgelegt (Abschnitt 3.7)
14Rechte der betroffenen Personen
Nach dem Schweizer Datenschutzgesetz und, soweit anwendbar, nach der DSGVO hast du folgende Rechte:
- Auskunft — welche Personendaten wir über dich bearbeiten
- Berichtigung — unrichtige Daten korrigieren zu lassen
- Löschung — direkt über die Profil-Seite oder per E-Mail
- Datenherausgabe — deine Daten in einem gängigen elektronischen Format zu erhalten
- Widerspruch — der Bearbeitung deiner Daten zu widersprechen
- Widerruf einer Einwilligung — jederzeit und ohne Begründung, etwa beim Eltern-Bericht oder beim Newsletter. Was bis dahin rechtmässig bearbeitet wurde, bleibt davon unberührt
Für all das genügt eine Nachricht an hello@gogymi.ch. Wir antworten so rasch wie möglich.
Wer mit unserer Antwort nicht einverstanden ist, kann sich an die Aufsichtsbehörde wenden: den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten in Bern. Für Personen mit Wohnsitz in der EU kommt zusätzlich die Aufsichtsbehörde am Wohnort in Frage.
15Minderjährige und Schulkonten
GoGymi richtet sich an Schülerinnen und Schüler, die sich auf die Aufnahmeprüfung ans Gymnasium vorbereiten. Ohne Registrierung lässt sich die Plattform ohne Angabe von Personendaten nutzen. Für ein Konto braucht es eine E-Mail-Adresse. Minderjährige sollten die Registrierung mit ihren Erziehungsberechtigten absprechen.
Geben Erziehungsberechtigte freiwillig die Schule ihres Kindes an, speichern wir diese Angabe zusammen mit dem Lernkonto und löschen sie mit ihm.
Von Schulen angelegte Konten
Schulen und Kursanbieter können für ihre Klassen Konten anlegen, statt jede Person einzeln registrieren zu lassen. Dabei übermittelt die Schule uns Vor- und Nachname sowie, falls vorhanden, eine E-Mail-Adresse und richtet damit Zugänge ein.
In diesem Fall ist die Schule verpflichtet, die nötige Einwilligung der Erziehungsberechtigten einzuholen, und dazu berechtigt, uns diese Daten zu übermitteln. Die Schule bleibt für die Richtigkeit der Angaben verantwortlich und dafür, Konten löschen zu lassen, die für den Unterricht nicht mehr gebraucht werden.
Wer ein solches Konto weiternutzt, nachdem der Kurs zu Ende ist, nutzt es privat; ab dann richten sich Auskunft und Löschung wie bei allen anderen direkt an uns. Erziehungsberechtigte, die feststellen, dass für ihr Kind ohne ihr Wissen ein Konto besteht, melden sich bei uns — wir löschen es.
Erziehungsberechtigte können einen wöchentlichen oder monatlichen Lernbericht erhalten — entweder auf Einladung des Kindes und nach eigener Bestätigung, oder weil sie das Konto ihres Kindes selbst angelegt haben (beide Wege in Abschnitt 3.6). Das Kind sieht jederzeit, welche Berichte versandt und wann sie angesehen wurden, und kann den Versand in beiden Fällen selbst beenden: Die App teilt Erziehungsberechtigten nichts mit, was das Kind nicht auch selbst sieht.
16Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen. Die aktuelle Version ist stets unter gogymi.ch/datenschutz abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzende per E-Mail oder In-App-Benachrichtigung informiert.