Datenschutz der TAM Intranet App

Stand: 5. Oktober 2026

Diese Erklärung beschreibt die unabhängige TAM Intranet App einschliesslich ihres freiwilligen Community-Bereichs. Die App ist kein offizielles Angebot von TAM oder einer Schule. Du brauchst für die Schulbereiche ein bereits bestehendes Schulkonto. Die Nutzung der Community ist zusätzlich freiwillig.

1. Kontakt und Zuständigkeit

Verantwortlich für App und Community-Dienst: Isai Graf als Privatperson. Die Veröffentlichung über das Apple-Entwicklerkonto von Thomas Graf ist davon getrennt. Kontakt für Fragen, Auskunft, Berichtigung und Löschung: isai2525@icloud.com. Schulische Konten, Noten, Absenzen und andere Daten im TAM-System verwalten TAM und die jeweilige Schule nach ihren eigenen Zuständigkeiten. Der App-Anbieter kann diese offiziellen Daten oder ein Schulkonto nicht löschen.

2. Anmeldung und Schulbereiche

Die Schulkonto-Anmeldung öffnet die offizielle TAM-Seite in der App. Diese leitet je nach Schule zur Microsoft-Anmeldung oder zu einem anderen Anmeldeverfahren weiter. Eingaben auf diesen Seiten gehen verschlüsselt an TAM beziehungsweise den jeweiligen Anmeldedienst. Die App übernimmt nur die von TAM ausgegebene Sitzung und prüft deine Identität bei TAM. Danach verwendet sie die dort ausgegebene Sitzung für die von deinem Konto erlaubten Abrufe. Die App kann insbesondere Stundenplan, Prüfungen, Noten, Absenzen, Profilangaben, Kontakte, Dokumente und weitere freigegebene TAM-Seiten anzeigen. Dabei können auch Namen und Angaben anderer Schulangehöriger erscheinen, soweit dein TAM-Konto darauf zugreifen darf. Aktionen in TAM-Formularen, etwa eine eingereichte Absenz, gehen direkt an TAM und können dort gespeichert werden. Freie Begründungen können persönliche oder besonders schützenswerte Angaben enthalten. Der App-Anbieter betreibt keinen eigenen Server für das TAM-Passwort oder Kopien deiner Noten und Stundenpläne.

Die Anmeldung kann Sitzungsdaten in der app-eigenen Webansicht behalten, damit sie beim nächsten Start erneut geprüft werden kann. Andere eingebauten TAM-Webseiten verwenden eine vorübergehende Websitzung. Für deren Inhalte, Protokolle, Aufbewahrungsfristen und weitere Empfänger gelten auch die Informationen der Schule und des TAM-Betreibers. Die App öffnet diese Schulbereiche nur unter intranet.tam.ch.

Zusätzliche freiwillige Moodle-Verbindung

Wenn du Moodle verbindest, erfolgen Anmeldung und Datenabrufe direkt bei der ausgewählten Moodle-Seite deiner Schule und gegebenenfalls deren Microsoft-/SSO-Anmeldedienst. Moodle stellt nach der Anmeldung einen eigenen Zugangsschlüssel bereit. Die App speichert ihn im gerätegebundenen iOS-Schlüsselbund; er wird nicht an den Community-Dienst übertragen. Ein vorhandener Browser-Login kann die Anmeldung erleichtern. Die App umgeht keine MFA und übernimmt keinen Microsoft-Token als Moodle-Zugang.

Die App lädt innerhalb deiner Berechtigungen Profilangaben, eingeschriebene Kurse, Kursabschnitte, Aufgaben-/Dateiinformationen und Kalendertermine. Sie kann im Vordergrund erneut abrufen. Moodle und die Schule können diese Zugriffe nach ihren eigenen Regeln protokollieren; welche Protokolle und Fristen sie verwenden, bestimmt die App nicht. Die Moodle-Anzeige reicht nicht automatisch Aufgaben ein oder ändert Bewertungen.

Kursinformationen und ausdrücklich heruntergeladene PDFs werden verschlüsselt auf dem Gerät zwischengespeichert und von Backups ausgeschlossen. Beim Trennen der Verbindung oder Abmelden werden der lokale Moodle-Zugang und diese Kopien entfernt. Bereits exportierte Dateien bleiben in der Ziel-App. Lokales Abmelden widerruft einen auf Moodle ausgestellten Zugang nicht notwendigerweise auf dem Server und beendet eine Anmeldung im Systembrowser nicht automatisch. Für serverseitigen Widerruf oder Kontolöschung wende dich an die Schule.

3. Was auf deinem Gerät bleibt

Für die neue Schulkonto-Anmeldung speichert die App kein neu eingegebenes Passwort. Im gerätegebundenen iOS-Schlüsselbund liegen Schule und die TAM-Nutzerkennung als Hinweis auf die letzte Sitzung. Die app-eigene Webansicht kann TAM- und Microsoft-Sitzungsdaten bis zum Abmelden behalten. Wenn du stattdessen ausdrücklich die klassische TAM-Anmeldung und dort „Angemeldet bleiben“ wählst, speichert die App das TAM-Passwort im gerätegebundenen iOS-Schlüsselbund. Nach erfolgreichem Wechsel zur Schulkonto-Anmeldung wird dieses Passwort entfernt. Der eigene Stundenplan, Noten und die Anmeldezuordnung können als geschützte Offline-Kopien auf dem Gerät liegen; diese Dateien sind vom Gerätebackup ausgeschlossen. Fremde Stundenpläne und Verzeichnisse hält die App nur vorübergehend im Arbeitsspeicher. Selbst eingetragene Noten werden verschlüsselt lokal gespeichert und bei aktiviertem iCloud über Apples Schlüssel-Wert-Speicher zwischen Geräten mit demselben Apple- und Schulkonto geteilt. Offizielle Schulnoten werden dafür nicht in iCloud übertragen. Änderungen und Löschungen eigener Noten werden zusammengeführt. Eigene Notenanpassungen, Häkchen und Einstellungen bleiben lokal gespeichert; ein Gerätebackup kann solche Einstellungen enthalten. Notensimulationen sind vorübergehende Berechnungen.

Widgets lesen eine lokale Datei mit kommenden eigenen Lektionen, Fach, Zeit und Raum. Diese Datei wird nicht von der Widget-Erweiterung aus dem Internet geladen. Home-Bildschirm-Widgets können für andere Personen mit Blick auf dein Gerät sichtbar sein. iOS kann Widget-Vorschaubilder noch kurz behalten. Lokale Mitteilungen über Stundenplanänderungen, neue Noten oder Community-Umfragen werden beim Abruf in der App ausgelöst; zusätzlich ist eine optionale Fernbenachrichtigung für Community-Umfragen über Apple Push Notification service vorbereitet. Wenn diese Funktion serverseitig verfügbar ist und du sie einschaltest, erhält der Community-Dienst den APNs-Gerätetoken, die Entwicklungs-/Produktionsumgebung, deine Teilnahmezuordnung und den Aktivierungsstatus. Apple erhält den Zustelltoken und den Benachrichtigungstext. Zustellaufträge enthalten Status, Versuchszahl, technische Antwortcodes und Zeitpunkte. Sie enthalten keine TAM-Noten oder Moodle-Inhalte. Abgeschlossene Zustellaufträge werden nach 30 Tagen, nicht erneuerte Gerätezuordnungen nach 90 Tagen bereinigt; das Löschen der Teilnahme entfernt die zugehörigen Gerätezuordnungen. Den Inhalt auf dem Sperrbildschirm bestimmst du auch über die iOS-Mitteilungseinstellungen.

App-Store-Käufe und Probemonat

Die Kaufanbindung ist vorbereitet und zunächst deaktiviert. Sobald sie freigegeben ist, laufen Jahresabo, kostenloser Einführungsmonat und Einmalkauf über Apple. Apple verwaltet Zahlung, Kaufbestätigung, Verlängerung, Kündigung und Rückerstattung. Wir erhalten keine Kreditkarten- oder Bankdaten. Ein Probemonat ist der kostenlose erste Monat eines automatisch verlängernden Jahresabos und wird nur angezeigt, wenn Apple ihn für deinen Account anbietet.

Für die Freischaltung prüfen die App und der Kaufdienst Apples signierte Kaufnachweise. Der Dienst speichert einen mit einem separaten geheimen Schlüssel abgeleiteten Wert der appbezogenen Apple-Kaufkennung, eine zufällige Kaufprofilkennung, Produkt- und Transaktionskennungen sowie Ablauf-, Rückerstattungs- und Verarbeitungszeitpunkte. Apple-Mitteilungen zu Käufen werden anhand ihrer Kennung gegen doppelte Verarbeitung geschützt. Die vollständigen signierten Nachweise werden geprüft und nicht in der Datenbank gespeichert. Das Kaufprofil enthält weder Name noch Schulpasswort, Noten oder Klasse. Es bleibt vom Schulkonto getrennt, damit ein Schulwechsel den Kauf nicht entfernt. Auf Geräten mit demselben Apple Account kann ein gültiger Kauf wiederhergestellt werden.

Der Kaufdienst läuft ebenfalls über Cloudflare Workers und D1. Die Kaufzuordnung bleibt gespeichert, soweit sie für Wiederherstellung und Kaufabwicklung erforderlich ist; technische Mitteilungskennungen werden nach 90 Tagen bereinigt. Für Auskunft oder Löschung kannst du dich an die oben genannte Kontaktadresse wenden. Lokales Löschen oder Abmelden kündigt kein Apple-Abo. Ein Einmalkauf beendet ein bestehendes Jahresabo ebenfalls nicht automatisch. Das Abo verwaltest du direkt bei Apple.

4. Freiwillige Community

Nach Aktivierung zählt der Dienst erfolgreiche Community-Inhaltsabrufe. Pro Konto speichert er nur einen letzten Kontakt mit Serverzeit und einen Eintrag je UTC-Tag sowie je Stunde, höchstens 30 Tage. Mehrere Geräte zählen einmal. Es wird keine Anzahl einzelner App-Starts und keine einzelnen Abrufzeitpunkte gespeichert. Der letzte Kontakt kann auch durch einen Inhaltsabruf entstehen und belegt daher keinen bestimmten App-Start. Diese Marken sind technisch mit dem benannten Teilnahmekonto verknüpft, also nicht anonym. Zweck ist die Messung der Reichweite und aktiven Community-Nutzung. «Online» bedeutet einen Kontakt innerhalb der letzten fünf Minuten und ist keine genaue Anwesenheitsmessung. Die Verwaltung sieht Gesamtzahlen, Tageswerte und durchschnittliche Aktivität nach Tageszeit und Wochentag; Eigentümer sehen auch kleine Gesamtzahlen exakt. Es werden keine besuchten Schulbereiche, Eingaben, Noten oder Standorte aufgezeichnet. Personen ohne Community-Teilnahme und Offline-Nutzung werden nicht gezählt. Bei Löschung der Teilnahme werden auch diese Nutzungsmarken entfernt.

Erst wenn du die Community aktivierst, sendet die App an den getrennten Community-Dienst: eine aus deinem lokalen TAM-Profil abgeleitete Kennung, Schulzuordnung, Namen, Klasse und Stufe, soweit vorhanden, sowie einen geheimen Teilnahmeschlüssel zur Wiedererkennung. Auf dem Server wird nur ein Hash dieses Schlüssels gespeichert. TAM-Passwort, TAM-Cookies, Profilbild, Noten, Stundenplan und Schülerlisten gehen nicht an diesen Dienst. Die Community bestätigt Identität und Schulzugehörigkeit nicht unabhängig bei TAM; eine Teilnahme ist deshalb keine nachweislich eindeutige Person.

Der Dienst speichert deine Einreichungen, Antworten auf Umfragen, Änderungszeitpunkte, Sitzungen und notwendige Verwaltungsdaten. Entwürfe bleiben zunächst auf deinem Gerät. Freiwillig eingereichte Bilder und Begleittexte werden zusammen mit Name und Schule an die Community übertragen. Die App verkleinert Bilder und entfernt EXIF-/GPS-Metadaten. Bilder werden vor der Freigabe nur der einreichenden Person und der Verwaltung angezeigt; danach sind sie für die betreffende Schule sichtbar. Die Redaktion kann einen eigenen Kommentar ergänzen. Unverbundene Uploads werden nach 24 Stunden gelöscht. Bei Löschung der Teilnahme werden die Bilder sofort aus der aktiven Datenbank entfernt. Nicht übernommene Bilder werden mit dem Vorschlag nach 90 Tagen bereinigt; angenommene Beiträge bleiben im redaktionellen Verlauf, bis sie gelöscht oder die Teilnahme beendet wird. Eingereichte Vorschläge sind erst nach redaktioneller Prüfung für andere sichtbar. Bei kurzen Texten ist die Anzeige von Name und Klasse freiwillig und standardmässig ausgeschaltet; vor einer Veröffentlichung mit Namensanzeige bestätigst du diese separat. Abstimmungsergebnisse können bei sehr wenigen Teilnehmenden Rückschlüsse auf einzelne Antworten zulassen. Die Verwaltung sieht Konten und zusammengefasste Ergebnisse, aber keine normale Liste «Person – Stimme». Die Stimmen sind technisch mit der Teilnahme verknüpft und somit nicht vollständig anonym.

Meldest du einen Inhalt, speichert der Dienst den Inhalt, Grund, deine optionale Erläuterung, Community-Kennung, Schule und Zeitpunkt. Berechtigte Personen im Adminportal prüfen Meldungen und Vorschläge. Sie können Inhalte zurückziehen und missbräuchliche Teilnahmen sperren.

5. Mensa, öffentliche Kontakte und externe Aktionen

Für unterstützte Schulen ruft die Startseite öffentliche Tagesmenüs von SV über qnips und Google Firebase ab. Dabei erhalten diese Dienste technisch Verbindungsdaten wie die IP-Adresse sowie die abgefragte Mensa. Die App sendet ihnen keine TAM-Zugangsdaten oder persönlichen Schuldaten. Öffentliche Lehrpersonenkontakte können zusätzlich von der Website kslzh.ch geladen werden; auch dabei entstehen technisch Verbindungsdaten beim Website-Betreiber.

Nur auf deine Aktion hin kann die App Prüfungen in einen gewählten Kalender eintragen und bestehende Termine zur Duplikaterkennung lesen, ein Profilbild zu Apple Fotos hinzufügen, Dokumente mit der iOS-Teilen-Funktion exportieren oder einen E-Mail-Entwurf in einer anderen App öffnen. Diese Daten können danach beim gewählten Kalender-, Foto-, Datei- oder E-Mail-Dienst liegen. Externe Links öffnest du ausdrücklich; für diese Seiten gelten deren eigene Datenschutzhinweise.

6. Empfänger, Sicherheit und Übermittlung

Schulische Anfragen erreichen TAM und die zuständige Schule. Die Community läuft über Cloudflare Workers und D1. Die D1-Datenbank wurde mit EU-Jurisdiktion angelegt; daraus folgt keine Zusage, dass sämtliche Netzwerk-, Sicherheits- oder Anmeldedaten nur in der EU verarbeitet werden. Öffentliche Mensadaten kommen über qnips und Google Firebase; Apple verarbeitet Gerätefunktionen wie iCloud-Schlüsselbund, Fotos und Kalender gemäss den Einstellungen und Diensten, die du verwendest. Die App enthält nach dem geprüften Stand keine Werbe- oder Analyse-SDKs und verwendet keine Daten für anbieterübergreifendes Werbetracking.

Die App verwendet HTTPS, geräteseitigen Dateischutz und getrennte Community-Anmeldedaten. Das Adminportal beschränkt den Zugriff nach Rollen. Der Community-Dienst verarbeitet technisch erforderliche Verbindungsdaten; für Missbrauchsschutz wird eine aus der IP-Adresse abgeleitete Kennung vorübergehend verwendet. Ein Sicherheitsrisiko lässt sich dadurch nicht vollständig ausschliessen.

7. Aufbewahrung und Löschung

«Abmelden» entfernt die lokale Schulsitzung, gespeicherte Zugangsdaten, Offline-Kopien und Widget-Dateien. Eigene Notenanpassungen, Häkchen und Einstellungen bleiben auf dem Gerät, bis du «Lokale Daten löschen und abmelden» wählst. Schon exportierte Dateien, Fotos oder Kalendereinträge musst du bei Bedarf in der jeweiligen Ziel-App entfernen.

Unter «Community → Teilnahme» kannst du deine Community-Teilnahme löschen. Dadurch werden Profil, Sitzungen und eigene Einzelstimmen aus der aktiven Datenbank entfernt; veröffentlichte eigene Vorschläge werden zurückgezogen. Der Teilnahmeschlüssel wird vom Gerät und, soweit dort synchronisiert, aus dem iCloud-Schlüsselbund entfernt. Ein begrenzter Sperrnachweis ohne Profil bleibt mindestens 30 Tage erhalten, um sofortige Neuanlagen zu begrenzen. Ohne Erneuerung werden App-Teilnahmen nach ungefähr 90 Tagen im stündlichen Bereinigungslauf gelöscht.

Einzelstimmen werden im regulären Bereinigungslauf 30 Tage nach Umfrageende aus der aktiven Datenbank entfernt. Nicht übernommene Vorschläge werden nach 90 Tagen zur Bereinigung vorgemerkt. Meldungen und Adminprotokolle werden regulär nach 180 Tagen bereinigt, Nutzungsmarken nach 30 Tagen. Bereits gebildete zusammengefasste Umfrageergebnisse können bestehen bleiben. Cloudflare- Wiederherstellungsstände unterliegen den Fristen des Anbieters; eine Wiederherstellung muss bereits erfolgte Löschungen erneut berücksichtigen. Die Speicherfristen von TAM und der Schule bestimmt nicht die App.

8. Deine Möglichkeiten und Änderungen

Du kannst die Community ohne Verlust der übrigen App-Funktionen ungenutzt lassen und eine bestehende Teilnahme in der App löschen. iOS-Berechtigungen für Kalender, Fotos und Mitteilungen kannst du in den Systemeinstellungen ändern. Für Auskunft, Berichtigung oder Löschung von Daten des App-Anbieters schreibe an isai2525@icloud.com. Wir prüfen vor einer Auskunft oder Löschung, ob die Anfrage zur betroffenen Teilnahme gehört. Für offizielle Schulangaben und dein Schulkonto wende dich an die Schule. Diese Datenschutzerklärung wird bei Änderungen der App oder ihrer Datenverarbeitung aktualisiert.

Community-Inhalte und Nutzungsregeln

Reiche nur Inhalte und Bilder ein, für die du die nötigen Rechte und bei erkennbaren anderen Personen deren erforderliche Zustimmung hast. Veröffentliche keine privaten Schuldaten, diskriminierenden, bedrohenden oder rechtswidrigen Inhalte. Beiträge werden moderiert; problematische Inhalte kannst du in der App melden oder über den Kontakt melden. Die Verwaltung kann Inhalte entfernen und Teilnahmen sperren. Schulische Fristen und Angaben prüfst du im offiziellen System; die App kann veraltete Kopien anzeigen. Damit werden keine gesetzlichen Ansprüche oder Haftungsregeln ausgeschlossen.

Datenschutz des Community-Adminportals