Sicherheit & Compliance

Wie die Plattform tatsächlich gebaut und betrieben wird: wo Ihre Daten liegen, wer sie erreichen kann und was vorhanden ist und was nicht. Fehlt eine Schutzmassnahme, sagt diese Seite es.

AES-256RuhendTLS 1.3Bei Übertragung99.9%+Verfügbarkeitsziel

Zuletzt aktualisiert: 1. September 2026

Infrastruktur & Hosting

Europäische Datenresidenz

Datenbank, Dateispeicher und Sicherungen werden in der Europäischen Union gehostet, bei Infrastrukturanbietern mit ISO-27001- und SOC-2-Type-II-Zertifizierung. Das sind deren Zertifizierungen, nicht unsere. Einige der von uns genutzten Spezialdienste — Zahlungen, E-Mail-Zustellung, Fehlerüberwachung, Karten — haben Sitz in den Vereinigten Staaten und erhalten dort im Rahmen ihrer Funktion Daten; jeder einzelne und die jeweilige Übermittlungsgrundlage sind in unserer Datenschutzerklärung und im Auftragsbearbeitungsvertrag genannt.

Hochverfügbarkeitsarchitektur

Unser Datenbankanbieter führt verschlüsselte Sicherungen nach einem rollenden Zeitplan, aus denen der Dienst nach einem Ausfall wiederhergestellt werden kann. Um bei den Grenzen genau zu sein: Wir sind auf einem Plan ohne Point-in-Time-Recovery, die Wiederherstellung erfolgt also auf einen Sicherungspunkt und nicht auf einen beliebigen Zeitpunkt, und wir betreiben keine automatische Umschaltung über mehrere Zonen. Verfügbarkeitsziele je Plan veröffentlichen wir in unserer Service-Level-Erklärung; es sind Ziele, auf die wir hinarbeiten, keine gemessene Garantie.

Content Delivery

Statische Ressourcen und öffentliche Schulprofile werden über ein globales Edge-Netzwerk für schnelle Ladezeiten weltweit bereitgestellt, während die gesamte dynamische Datenverarbeitung und -speicherung innerhalb der europäischen Infrastrukturgrenzen verbleibt.

Verschlüsselung

Daten bei der Übertragung

Alle Daten, die zwischen Ihrem Browser und unseren Servern übertragen werden, sind mit TLS 1.3 und modernen Cipher Suites verschlüsselt. Wir erzwingen HTTPS für alle Endpunkte und implementieren HTTP Strict Transport Security (HSTS) mit einer Mindestdauer von 1 Jahr.

Daten im Ruhezustand

Alle in unserer verwalteten Postgres-Datenbank gespeicherten Daten werden im Ruhezustand mit AES-256 verschlüsselt, bereitgestellt durch unsere Infrastrukturanbieter (Supabase auf AWS). Sicherungsabbilder werden nach demselben Verfahren verschlüsselt. Die Schlüsselverwaltung übernehmen diese Anbieter auf Plattformebene; wir halten und wechseln die Schlüssel nicht selbst.

Umgang mit sensiblen Daten

Authentifizierungsdaten werden mit bcrypt und angemessenen Kostenfaktoren gehasht. API-Schlüssel werden vor der Speicherung mit SHA-256 gehasht — wir können den Klartext nicht wiederherstellen, sondern nur zur Verwendung verifizieren. Webhook-Signatur-Secrets und OAuth-Refresh-Tokens werden in unserer verwalteten Postgres-Datenbank gespeichert und durch unsere Infrastrukturanbieter im Ruhezustand verschlüsselt. Zahlungskartendaten werden niemals auf unseren Servern gespeichert — sie werden ausschliesslich von Stripe (PCI DSS Level 1 zertifiziert) verarbeitet.

Zugriffskontrollen

Rollenbasierte Zugriffskontrolle (RBAC)

Innerhalb einer Schule folgt der Zugriff der jedem Teammitglied zugewiesenen Rolle. Drei Rollen sind im Einsatz: Eigentümer, pro Schule von einer Person gehalten und übertragen statt vergeben; Administrator, vollwertige Mitverwaltung, die alles darf ausser zu ändern, wer sonst Administrator ist, oder die Eigentümerschaft zu übertragen; und Redakteur, für Inhalte und das Tagesgeschäft. Berechtigungen werden zweimal durchgesetzt — in den Server-Aktionen und nochmals in der Datenbank — denn eine Server-Aktion ist ein öffentlicher Endpunkt, und einen Knopf zu verstecken verhindert nichts.

Row Level Security (RLS)

Die Datenbank setzt PostgreSQL Row Level Security ein, sodass jede Abfrage in der Datenbank statt durch Anwendungscode gefiltert wird. Eine Schule erreicht nur ihre eigenen Anfragen, Buchungen, Statistiken und Einstellungen — und diese Isolation hält auch bei fehlerhaftem Anwendungscode, was genau der Grund ist, weshalb sie dort und nicht in der Abfrageschicht erfolgt.

Authentifizierungssicherheit

Wir unterstützen E-Mail/Passwort-Authentifizierung mit durchgesetzten Passwortrichtlinien, Magic-Link-Authentifizierung für passwortlosen Zugang und Team-Einladungsabläufe mit sicherer tokenbasierter Verifizierung. Alle Sitzungen verwenden kurzlebige JWT-Token mit automatischer Aktualisierung.

Audit & Überwachung

Aktivitätsprotokollierung

Bedeutsame Vorgänge auf der Plattform werden in ein Prüfprotokoll geschrieben: Authentifizierungsereignisse, administrative Operationen, Support-Zugriffe auf das Dashboard einer Schule und Kontoänderungen. Das Protokoll ist für kein Benutzerkonto beschreib- oder lesbar — eine Datenbankregel sperrt jeden Zugriff ausserhalb der Dienstrolle — und Einträge werden nicht bereinigt, die Aufzeichnung bleibt also bestehen, statt nach Frist zu verfallen.

Echtzeitüberwachung

Unsere Infrastruktur wird kontinuierlich auf Leistung, Verfügbarkeit und Sicherheitsanomalien überwacht. Automatisierte Warnungen lösen unseren Incident-Response-Prozess bei erkannten Unregelmässigkeiten aus, einschliesslich ungewöhnlicher Zugriffsmuster oder potenzieller Sicherheitsbedrohungen.

Rechtlicher Rahmen

Schweizer Bundesgesetz über den Datenschutz (DSG)

Swiss Private Schools ist darauf ausgelegt, dem revidierten Schweizer Datenschutzgesetz (revDSG) zu entsprechen, das seit dem 1. September 2023 in Kraft ist. Wir wenden Datenschutz durch Technikgestaltung und Datenminimierung an, verschlüsseln Personendaten bei der Übertragung und im Ruhezustand und beschränken den Zugriff auf das Notwendige. Eine förmliche Datenschutz-Folgenabschätzung haben wir nicht durchgeführt; ob für die Bearbeitung von Kinder- und Gesundheitsdaten eine erforderlich ist, liegt derzeit bei einer externen Rechtsberatung.

EU-Datenschutz-Grundverordnung (DSGVO)

Wir richten die Verarbeitung personenbezogener Daten von EU-Bürgern an der DSGVO aus. Dies umfasst die Wahrung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung und Datenübertragbarkeit), die Aufrechterhaltung einer rechtmässigen Grundlage für die Verarbeitung sowie die Umsetzung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Was wir nicht haben

Wir haben weder ISO 27001 noch SOC 2 noch eine gleichwertige eigene Zertifizierung, wir beauftragen keine externen Penetrationstests nach Zeitplan, und wir führen keine formelle periodische Überprüfung unserer Unterauftragsbearbeiter durch. Unsere Infrastrukturanbieter haben diese Zertifizierungen; wir nicht, und uns ist lieber, Sie wissen es, als dass Sie es aus den oben genannten Zertifizierungen falsch schliessen. Unser eigener Nachweis stützt sich auf die architektonischen Massnahmen auf dieser Seite, auf automatisierte Tests vor jeder Auslieferung und auf laufende Fehlerüberwachung. Verlangt Ihre Beschaffung einen zertifizierten Auftragsbearbeiter, sagen Sie es uns vor Vertragsschluss.

Incident Response

Reaktionsverfahren

Die Plattform wird laufend überwacht und Warnmeldungen erreichen uns automatisch. Wir sind ein kleiner Betrieb und versprechen daher keine Erkennungs- oder Eindämmungszeit. Wozu wir uns verpflichten: Ein Vorfall, der Dienst oder Daten betrifft, wird zur Priorität des Tages, vor jeder Funktionsarbeit, und Sie hören von uns, während daran gearbeitet wird, nicht erst danach.

Meldeverpflichtung

Im Falle einer Datenschutzverletzung, die Ihre Institution betrifft, werden wir Sie innerhalb von 72 Stunden nach Bestätigung benachrichtigen, in Übereinstimmung mit den Anforderungen von DSG und DSGVO. Meldungen umfassen Art und Umfang der Verletzung, ergriffene Massnahmen und Empfehlungen für Ihre eigenen Meldepflichten.

Kontinuierliche Verbesserung

Jeder Sicherheitsvorfall wird im Nachgang aufgearbeitet, und die Erkenntnisse fliessen zurück in die Kontrollen, das Bedrohungsmodell und die Überwachung. Einen periodischen Transparenzbericht veröffentlichen wir derzeit nicht; sind Sie von einem Vorfall betroffen, erfahren Sie es direkt, und jede Schule kann uns fragen, was in einem bestimmten Zeitraum vorgefallen ist.

Verantwortungsvolle Offenlegung

Sicherheitsforschung

Wir begrüssen verantwortungsvolle Sicherheitsforschung. Wenn Sie eine potenzielle Schwachstelle entdecken, melden Sie diese bitte an security@swissprivate-schools.ch. Wir verpflichten uns, Meldungen innerhalb von 24 Stunden zu bestätigen und eine erste Bewertung innerhalb von 5 Geschäftstagen abzugeben.

Safe Harbor

Wir werden keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, die in gutem Glauben handeln, verantwortungsvolle Offenlegungspraktiken befolgen und uns angemessene Zeit geben, gemeldete Schwachstellen zu beheben, bevor sie öffentlich bekannt gemacht werden.

EU-Hosting, Schweizer Governance

Swiss Private Schools verpflichtet sich zu höchsten Standards in Datensicherheit und Datenschutz. Alle personenbezogenen Daten werden innerhalb europäischer Infrastruktur mit EU-Datenresidenz (Frankfurt) verarbeitet, geschützt durch Schweizer und EU-Datenschutzgesetze.

Unsere Sicherheitspraktiken werden regelmässig überprüft und aktualisiert, um sich entwickelnden Bedrohungen und regulatorischen Anforderungen gerecht zu werden. Für Sicherheitsfragen kontaktieren Sie unser Team unter security@swissprivate-schools.ch.

Sicherheit & Compliance

Wie die Plattform tatsächlich gebaut und betrieben wird: wo Ihre Daten liegen, wer sie erreichen kann und was vorhanden ist und was nicht. Fehlt eine Schutzmassnahme, sagt diese Seite es.