Datenschutz – lernenlernen

Stand: November 2026 · Version der Datenschutzerklärung: 2026-11 (Diese Version wird bei der Einwilligung der Eltern in parent_accounts.consent_version gespeichert.)

lernenlernen ist eine Lern-App für Kinder und Jugendliche der 1. bis 9. Klasse (etwa 6 bis 15 Jahre). Wir halten uns an das Schweizer Bundesgesetz über den Datenschutz (revDSG / nDSG, in Kraft seit 1. September 2023) und die Datenschutzverordnung (DSV). Leitlinie: so wenig Daten wie möglich, so lokal wie möglich.

Kurz gesagt: Kinder spielen mit einem Schülercode, den ihre Eltern im Familienkonto oder ihre Lehrperson im Schulkonto erstellen. Kinder haben kein eigenes Konto, keine E-Mail-Adresse und kein Passwort und brauchen keinen echten Namen. Es gibt keine Werbung, kein Tracking, keine Chats, keine öffentlichen Profile und keine Käufe mit echtem Geld für Kinder. Daten werden nie verkauft, vermietet oder für Werbung genutzt, auch nicht anonymisiert.

1. Verantwortliche Stelle

Anfragen zu Auskunft, Berichtigung, Löschung oder Datenherausgabe beantworten wir innert 30 Tagen (Art. 18 DSV), kostenlos.

2. Welche Daten wo gespeichert werden

2.1 Auf dem Gerät (Standard, immer)

Zum Spielen meldet sich das Kind einmal mit seinem Schülercode an (siehe «Schülercodes»). Danach funktioniert die App auch offline. Folgende Daten liegen im Browser-Speicher (localStorage) des Geräts; Spielstand und Lernstand werden mit dem Konto abgeglichen, zu dem der Schülercode gehört (siehe 2.2):

Diese Daten können jederzeit in der App (Elternbereich → «Daten auf diesem Gerät löschen») oder über die Browser-Einstellungen gelöscht werden.

2.2 In der Cloud (Familien- oder Schulkonto)

Damit ein Kind spielen kann, eröffnet ein Elternteil ein Familienkonto (mit Einwilligung) oder eine Lehrperson ein Schulkonto (die Schule entscheidet über den Einsatz, siehe unten) und erstellt den Schülercode. Dabei werden folgende Daten bei unserem Auftragsbearbeiter Supabase gespeichert:

Nicht erhoben werden: echte Namen der Kinder, Geburtsdatum (nur Jahrgang), Fotos, Stimme, Standort, Kontakte, Werbe-IDs, IP-basierte Profile.

Schülercodes

Eltern und Schulen erhalten für jedes Kind einen Schülercode. Damit meldet sich das Kind auf einem beliebigen Gerät an – ohne E-Mail, Passwort oder echten Namen. Das Gerät erhält dafür eine anonyme Sitzung, die serverseitig nur mit diesem einen Kind verknüpft ist und nur dessen Spielstand lesen und schreiben darf. Wer den Code kennt, kann mit dem Spielstand spielen; Code-Karten sollten deshalb nicht öffentlich aufgehängt werden. Ein neuer Code macht den alten ungültig und meldet alle Geräte ab. Beim Abmelden auf einem geteilten Gerät (z.B. Schul-Tablet) wird der Spielstand zuerst gesichert und dann vom Gerät entfernt.

Lehrpersonen sehen den Lernstand ihrer Klassen (Lernziele nach Lehrplan 21, Anteil richtiger Antworten, Lernzeit). Eltern können einem Schulkind mit dessen Code folgen und sehen dann denselben Lernstand (nur lesen). Die Schule bleibt für die Daten ihrer Klassen verantwortlich und entscheidet über den Einsatz; für Schulen schliessen wir eine Auftragsbearbeitungsvereinbarung ab [Vorlage einsetzen].

Anbindung an eine Schulverwaltung (nur Schulkonten)

Eine Schule kann ihre Schulverwaltungs-Software (z.B. für Integrations- und Sprachschulen und die Kinderbetreuung ihrer Teilnehmenden) mit lernenlernen verbinden. Das geschieht nur auf Weisung der Schule: Sie erstellt im Schulkonto einen Verbindungscode (7 Tage gültig, einmalig, nur für die gewählte Schulverwaltung), sieht vorher, was die Schulverwaltung darf, und kann die Verbindung jederzeit trennen – der Zugriff endet dann sofort.

Die verbundene Schulverwaltung ist ein weiterer Empfänger im Auftrag der Schule. Sie kann: Gruppen und Kinder (nur Spitzname oder Pseudonym) anlegen, ändern und löschen, Schülercodes erzeugen und den kompakten Lernstand ihrer Kinder lesen (Lernziele mit Beherrschung in %, Anzahl Aufgaben und richtige, letzte Aktivität). Sie sieht nicht: Spielstände, einzelne Antworten, Lernsitzungen, Freunde-Spitznamen und keine Klassen oder Kinder, welche die Schule selbst angelegt hat. Löscht die Schulverwaltung ein Kind, werden alle seine Daten gelöscht. Jede Änderung erscheint im Protokoll der Schule.

Wochen-Challenge der Klasse

Lehrpersonen können ein gemeinsames Klassenziel starten (z.B. «500 richtige Antworten bis Freitag»). Die Kinder sehen nur den Gesamtstand, den Stand ihres Teams und ihren eigenen Beitrag – keine Namen anderer Kinder, keine Rangliste, keine Nachrichten. Nur die Lehrperson sieht die Beiträge pro Kind.

Lernbericht per QR-Code / Link

Im Elternbereich kann ein Lernbericht als QR-Code bzw. Link erstellt werden, um ihn auf einem anderen Gerät (z.B. dem Handy der Eltern) anzusehen. Der Bericht enthält den Spitznamen, die Klasse, Lernzeiten und Lernstände der letzten 7 Tage sowie schwierige Aufgaben. Er steckt vollständig im Teil hinter dem # der Adresse; dieser Teil wird von Browsern nie an einen Server übertragen und nirgends gespeichert. Wer den Link oder QR-Code erhält, kann den Bericht lesen – er sollte daher nur mit Erziehungsberechtigten bzw. Lehrpersonen geteilt werden.

Familienabo (Bezahlung über Stripe)

Das Familienabo bezahlen Erwachsene bei Stripe (Stripe Payments Europe Ltd., Irland) mit Karte, Apple Pay, Google Pay, PayPal oder TWINT. Dafür wird die erwachsene Person auf die Zahlungsseite von Stripe weitergeleitet; auf den Seiten von lernenlernen läuft kein Skript von Stripe. Stripe erhält die E-Mail-Adresse des Familienkontos und die Zahlungsangaben, keine Daten über Kinder. Wir speichern nur die Kunden- und Abo-Kennung von Stripe, den Status, das Intervall, die Währung und die Laufzeit. Stripe bearbeitet die Zahlungsdaten als eigene Verantwortliche nach ihrer Datenschutzerklärung (Zahlungsverkehr, Betrugsbekämpfung, gesetzliche Aufbewahrung). Wird das Familienkonto gelöscht, wird das Abo vorher beendet und die gespeicherte Kennung gelöscht.

Eigene Aufgaben von Lehrpersonen

Lehrpersonen mit Schulkonto können eigene Aufgaben schreiben (Frage, Antworten, Erklärung, Lehrplan-21-Kompetenz, Klassenstufe). Das ist Unterrichtsmaterial, keine Daten über Kinder: Links, E-Mail-Adressen und Telefonnummern werden beim Speichern abgewiesen, und die Lehrperson bestätigt, keine Namen von Kindern einzutragen. Die Geräte der Kinder einer Klasse laden nur die Aufgaben ihrer eigenen Lehrperson für diese Klasse und halten eine Kopie im Browser (fma-class-tasks), damit sie offline funktionieren; verlässt ein Kind das Gerät, wird die Kopie gelöscht. Mit der Schullizenz können Lehrpersonen derselben Schule Aufgaben teilen; sichtbar sind dann nur die Aufgaben, nicht wer sie geschrieben hat. Wird das Schulkonto gelöscht, werden auch die Aufgaben gelöscht.

Vorlesefunktion (🔈)

Aufgaben, Lesetexte und Matchberichte können vorgelesen werden. Dafür nutzt die App die Sprachausgabe des Browsers bzw. Betriebssystems; es werden keine Tonaufnahmen gemacht und kein Mikrofon verwendet. Die App wählt immer zuerst eine Stimme, die auf dem Gerät selbst läuft. Nur wenn ein Gerät keine eigene deutsche Stimme hat, kann der Browser eine Online-Stimme seines Herstellers verwenden (z.B. «Google Deutsch» in Chrome am Computer); dann wird der vorzulesende Text – er kann den Spitznamen enthalten – an diesen Hersteller übermittelt. Wer das vermeiden möchte, schaltet im Elternbereich «Vorlesen mit Online-Stimme erlauben» aus: Dann liest die App nur mit Stimmen vor, die auf dem Gerät selbst laufen, und schweigt sonst. Alternativ lässt sich in den Systemeinstellungen eine Stimme der jeweiligen Sprache installieren.

3. Zwecke und Rechtsgrundlage

• Lernen und Spielen (lokal): Bereitstellung der App.
• Synchronisation zwischen Geräten (optional): auf Wunsch der Eltern.
• Eltern-Übersicht (optional): Lernzeit und Fortschritt des eigenen Kindes.
• Nutzung in der Schule (optional): Lehrpersonen legen Klassen und Schülercodes an und sehen den Lernstand ihrer Klasse. Setzt eine öffentliche Schule die App ein, ist in der Regel die Schule bzw. die Gemeinde für die Daten verantwortlich, und wir bearbeiten sie in ihrem Auftrag (Auftragsbearbeitungsvertrag; es gilt meist das kantonale Datenschutzrecht).

Die Bearbeitung in der Cloud erfolgt nur mit ausdrücklicher Einwilligung eines Elternteils (gesetzliche Vertretung, Art. 6 Abs. 6 und 7 revDSG). Die Einwilligung wird mit Zeitpunkt und Version protokolliert und kann jederzeit widerrufen werden (Abmelden bzw. Konto löschen). Eine Verwendung für andere Zwecke findet nicht statt (Zweckbindung, Art. 6 Abs. 3 revDSG).

4. Was es bewusst **nicht** gibt

• Kein Tracking, keine Analyse-Tools, keine Werbung, keine Tracking-Cookies, keine Weitergabe an Dritte zu Marketingzwecken. Das gilt für alle Angebote, auch für das Gratis-Angebot.
• Kein Verkauf von Daten: Die Trifti GmbH verkauft, vermietet oder tauscht keine Daten, auch nicht anonymisiert oder zusammengefasst. Die Einnahmen kommen ausschliesslich aus den Lizenzen von Schulen und den Abos von Familien.
• Keine Chats, keine Nachrichten, keine Verbindung zu Konten anderer Kinder, keine öffentlichen Profile oder Ranglisten mit anderen echten Kindern. «Freunde» im Team sind nur Spitznamen, die das Kind selbst einträgt; sie werden mit dem Spielstand gespeichert (mit Synchronisation bzw. Schülercode also auch in der Cloud).
• Keine Käufe mit echtem Geld für Kinder, keine In-App-Käufe, keine Lootboxen. Spielgeld ist rein virtuell. Ein Familienabo schliessen nur Erwachsene im Elternbereich ab.
• Keine Konten für Kinder und keine E-Mail-Adressen von Kindern.

5. Datensicherheit (Art. 8 revDSG)

• Privacy by Default (Art. 7 revDSG): Die Synchronisation ist standardmässig aus; die App braucht kein Konto.
• Row Level Security auf allen Tabellen: Ein Elternteil kann technisch nur die eigenen Daten und die seiner Kinder lesen oder ändern. Nicht angemeldete Zugriffe haben keine Rechte.
• Verschlüsselte Übertragung (HTTPS/TLS), Verschlüsselung der Datenbank im Ruhezustand durch den Hoster.
• Anmeldung ohne Passwort (Einmal-Link oder 6-stelliger Code per E-Mail, PKCE-Verfahren).
• Supabase-Anfragen werden vom Service Worker nie zwischengespeichert.
• Content Security Policy: Die Seite darf nur Dateien der eigenen Adresse laden und nur mit der eigenen Datenbank (Supabase) sprechen; fremde Skripte, Pixel oder Frames werden vom Browser blockiert. Ein automatischer Test prüft das bei jeder Änderung (npm run privacy:check).
• Betreiber-Zugang (Adminbereich): nur für namentlich eingetragene Personen, mit E-Mail-Code und zweitem Faktor (Authenticator-App). Er zeigt Konten Erwachsener (E-Mail, Kontoart, Schulname, Plätze) und Zahlen, aber keine Spitznamen, Spielstände oder Lerndaten einzelner Kinder. Jede Änderung (Lizenzen, Einstellungen, Partner) wird protokolliert.
• Schnittstelle für Schulverwaltungen: eigener Schlüssel pro Partner (gespeichert nur als SHA-256-Hash, widerrufbar), Zugriff nur auf verbundene Schulen und nur auf selbst angelegte Gruppen und Kinder, Begrenzung der Aufrufe, Protokoll ohne Personendaten.
• Begrenzung: Anzahl Kinderprofile gemäss Plätzen (Familie gratis 1, mit Abo 4; Schule 30 in der Probezeit, sonst gemäss Schullizenz), Grössenlimits für alle Felder.
• Schülercodes: ca. 40 Bit Zufall, ohne verwechselbare Zeichen; max. 10 Code-Versuche pro Sitzung in 15 Minuten; anonyme Sitzungen dürfen keine Konten oder Kinderprofile anlegen.

6. Hosting und Bekanntgabe ins Ausland

• Das Supabase-Projekt wird in der Region Zürich (eu-central-2) oder, falls nicht verfügbar, Frankfurt (eu-central-1) betrieben. Die EU-Staaten gelten gemäss Anhang 1 DSV als Länder mit angemessenem Datenschutz (Art. 16 Abs. 1 revDSG).
• Supabase Inc. hat ihren Sitz in den USA. Mit Supabase besteht ein Auftragsbearbeitungsvertrag (Data Processing Addendum, Art. 9 revDSG). Für allfällige Zugriffe aus den USA (z.B. Support) ist zu prüfen, ob Supabase unter dem Swiss-U.S. Data Privacy Framework zertifiziert ist; andernfalls werden die EU-Standardvertragsklauseln mit Schweizer Anpassungen (Art. 16 Abs. 2 lit. d revDSG) verwendet.
• Die Website wird über Cloudflare (Cloudflare Inc., USA) ausgeliefert. Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (IP-Adresse, Browser-Typ, aufgerufene Adresse ohne den Teil nach #, Zeitpunkt) und erhält vom Browser bei Netzwerkfehlern automatische Fehlerberichte. Cloudflare ist unter dem Swiss-U.S. und EU-U.S. Data Privacy Framework zertifiziert [vor Inbetriebnahme prüfen]; es gilt das Data Processing Addendum von Cloudflare. Cloudflare Web Analytics ist nicht eingeschaltet.
• Beim Öffnen der App fragt sie bei Supabase höchstens alle 15 Minuten die öffentlichen Einstellungen ab (welche Sprachversionen und Welten verfügbar sind). Dabei werden keine Inhaltsdaten übertragen; Supabase sieht nur die technische Verbindung (IP-Adresse).
• E-Mails für den Login werden über Brevo (Sendinblue SAS, Paris, Frankreich) versendet. Brevo erhält dafür nur die E-Mail-Adresse der erwachsenen Person und den Inhalt der Anmelde-E-Mail. Mit Brevo besteht ein Auftragsbearbeitungsvertrag (Art. 9 revDSG).

7. Aufbewahrung und Löschung

Mit «Konto löschen» im Elternbereich werden sofort und vollständig gelöscht: Elternkonto, E-Mail-Adresse, alle Kinderprofile, Spielstände, Lernsitzungen und Einstellungen (Datenbankfunktion delete_my_account()).

8. Rechte der Eltern

Eltern (bzw. urteilsfähige Kinder selbst) haben jederzeit folgende Rechte:

• Auskunft (Art. 25 revDSG): Welche Daten wir bearbeiten – direkt im Elternbereich einsehbar und als Export abrufbar.
• Datenherausgabe / Datenportabilität (Art. 28 revDSG): Export aller Daten als maschinenlesbare JSON-Datei (Funktion «Daten exportieren», export_my_data()).
• Berichtigung (Art. 32 Abs. 1 revDSG): Spitzname, Jahrgang, Klasse und Einstellungen können im Elternbereich jederzeit geändert werden.
• Löschung und Widerruf der Einwilligung: einzelnes Kinderprofil löschen oder ganzes Konto löschen (siehe Abschnitt 7). Lokale Daten über «Daten auf diesem Gerät löschen».
• Widerspruch gegen die Bearbeitung: Synchronisation ausschalten; die App bleibt voll nutzbar.
• Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), <https://www.edoeb.admin.ch>.

9. Kinder

• Die App richtet sich an Kinder, die Einwilligung zur Cloud-Synchronisation geben aber ausschliesslich die Eltern (E-Mail-Bestätigung durch das Elternteil).
• Der Elternbereich ist durch eine einfache Eltern-Hürde (Rechenaufgabe für Erwachsene) vom Kinderbereich getrennt.
• Texte für Kinder erklären in einfacher Sprache, dass keine persönlichen Angaben nötig sind (Tipp: Fantasie-Spitzname verwenden).

Anhang A: Hinweise zur revDSG-Konformität (intern)

Anhang B: Datenschutz-Folgenabschätzung (DSFA, Art. 22 revDSG) – Überlegungen

Eine DSFA ist nötig, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit mit sich bringen kann. Bewertung:

• Betroffene: Kinder (besonders schutzbedürftig) → erhöhte Sorgfalt.
• Datenarten: keine besonders schützenswerten Personendaten (Art. 5 lit. c revDSG); keine Gesundheits-, biometrischen oder Standortdaten. Lernstatistiken sind aggregiert und dienen nicht der Leistungsbeurteilung durch Dritte.
• Umfang: pro Kind wenige Felder; kein Profiling im Sinne von Art. 5 lit. f/g revDSG (die adaptive Aufgabenwahl findet lokal statt und hat keine rechtlichen oder ähnlich erheblichen Wirkungen).
• Risiken: unbefugter Zugriff auf Elternkonto (→ passwortloser Login, RLS, kurze Token-Laufzeit), Fehlkonfiguration der Datenbank (→ RLS auf allen Tabellen, Tests), Zugriff durch Behörden im Ausland (→ Hosting CH/EU, Datenminimierung), Eingabe echter Namen als Spitzname (→ Hinweis «Fantasie-Spitzname», 24-Zeichen-Limit).
• Ergebnis (vorläufig): Bei der beschriebenen Ausgestaltung ist kein hohes Risiko zu erwarten; eine kurze, dokumentierte DSFA wird dennoch empfohlen, weil Kinder betroffen sind. Neu zu beurteilen bei: Schul-/Klassenfunktionen, Ranglisten mit anderen Kindern, Sprachaufnahmen (Text-to-Speech ist unkritisch, Spracherkennung nicht), Analyse-Tools, Zahlungen oder Weitergabe an Lehrpersonen.