Zum Inhalt springen
← DSGVO und Datenschutz für Gemeinden Als PDF herunterladen

Auftragsverarbeitungsvertrag

Dies ist eine deutsche Übersetzung der niederländischen "Verwerkersovereenkomst". Bei Abweichungen zwischen der Übersetzung und dem niederländischen Text ist der niederländische Text maßgeblich.

Dies ist der Auftragsverarbeitungsvertrag (im Folgenden: "Auftragsverarbeitungsvertrag") zwischen den nachstehend bezeichneten Parteien. Er ist fester Bestandteil des Hauptvertrags über die Erbringung von Leistungen über die Plattform KerkPoint.

Parteien:

  1. Die kirchliche Organisation / der Mandant, die juristische Person oder Stelle, die die Leistungen von KerkPoint nutzt, im Folgenden: "Verantwortlicher"; und
  2. KerkPoint (Teil von FlexWave), mit Sitz in Hullerweg 81, 8071 RM Nunspeet, Niederlande, eingetragen bei der niederländischen Handelskammer (Kamer van Koophandel) unter der Nummer 89784367, im Folgenden: "Auftragsverarbeiter".

Im Folgenden gemeinsam "Parteien" und einzeln "Partei" genannt.

1. Begriffsbestimmungen und Anwendungsbereich

1.1. In diesem Auftragsverarbeitungsvertrag haben die Begriffe "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter" und "betroffene Person" die Bedeutung, die ihnen in der Datenschutz-Grundverordnung (DSGVO) gegeben wird. 1.2. Dieser Auftragsverarbeitungsvertrag gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Erfüllung des Hauptvertrags (der SaaS-Leistungen von KerkPoint) für den Verantwortlichen vornimmt.

2. Gegenstand der Verarbeitung

2.1. Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten im Auftrag des Verantwortlichen zu den Bedingungen dieses Auftragsverarbeitungsvertrags zu verarbeiten. Die Verarbeitung erfolgt ausschließlich im Rahmen der Erfüllung des Hauptvertrags (unter anderem Planung, Dienstpläne, Kommunikation und Verwaltung von Ehrenamtlichen/Mitgliedern innerhalb der Plattform). 2.2. Die Kategorien betroffener Personen und die Arten der verarbeiteten personenbezogenen Daten sind in Anlage 1 zu diesem Auftragsverarbeitungsvertrag näher bestimmt. 2.3. Da die Leistungen speziell für kirchliche Stellen erbracht werden, kann die Art der Daten mit sich bringen, dass aus der Verarbeitung unmittelbar oder mittelbar religiöse Überzeugungen (besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO) abgeleitet werden. Der Auftragsverarbeiter behandelt diese Daten mit größtmöglicher Vertraulichkeit und Sicherheit.

3. Weisungen und Pflichten des Auftragsverarbeiters

3.1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Weisungen, die sich aus dem Hauptvertrag und der Konfiguration der Plattform durch die Benutzer ergeben, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Verarbeitung verpflichtet ist. 3.2. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen (einschließlich Mitarbeitender und etwaiger Unterauftragsverarbeiter) zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4. Unterauftragsverarbeiter (Einschaltung Dritter)

4.1. Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine allgemeine schriftliche Genehmigung zur Einschaltung Dritter (Unterauftragsverarbeiter) für die Erfüllung des Hauptvertrags. Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 2 enthalten. 4.2. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, wodurch der Verantwortliche die Möglichkeit erhält, innerhalb von 14 Tagen schriftlich Einspruch gegen diese Änderungen zu erheben. 4.3. Nimmt der Auftragsverarbeiter einen Unterauftragsverarbeiter in Anspruch, erlegt er diesem dieselben Datenschutzpflichten auf, die in diesem Auftragsverarbeitungsvertrag festgelegt sind.

5. Sicherheit der Verarbeitung

5.1. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten. Zu diesen Maßnahmen gehören unter anderem:

  • die Verwendung gesicherter TLS/HTTPS-Verbindungen;
  • die Verschlüsselung (Hashing) von Passwörtern;
  • die strikte logische Trennung der Daten verschiedener Mandanten (Multi-Tenancy);
  • regelmäßige Backups und Verfahren zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit der Daten;
  • die Trennung von Rollen und Rechten innerhalb der Anwendung. 5.2. Der Verantwortliche ist für die korrekte Nutzung der vom Auftragsverarbeiter bereitgestellten Funktionen und die sichere Verwaltung der Anmeldedaten seiner eigenen Administratoren und Benutzer verantwortlich.

6. Verletzungen des Schutzes personenbezogener Daten (Meldepflicht)

6.1. Im Fall einer Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu übermittelten, gespeicherten oder auf sonstige Weise verarbeiteten personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig (eine "Datenpanne"), informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden nach Entdeckung. 6.2. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen und vernünftigerweise verfügbaren Informationen zur Verfügung, damit der Verantwortliche seinen gesetzlichen Meldepflichten (zum Beispiel gegenüber der Aufsichtsbehörde) nachkommen kann. 6.3. Die Meldung einer Datenpanne an die Aufsichtsbehörde und/oder die betroffenen Personen liegt in der ausschließlichen Verantwortung des Verantwortlichen.

7. Rechte der betroffenen Personen

7.1. Angesichts der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen (etwa das Recht auf Auskunft, Berichtigung oder Löschung) nachzukommen. 7.2. Richtet eine betroffene Person einen Antrag direkt an den Auftragsverarbeiter, leitet dieser den Antrag so schnell wie möglich an den Verantwortlichen weiter.

8. Audits

8.1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Auftragsverarbeitungsvertrag niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei. 8.2. Die Kosten einer solchen Überprüfung trägt vollständig der Verantwortliche. Eine Überprüfung darf höchstens einmal pro Kalenderjahr stattfinden, sofern sie mindestens 30 Tage vorher schriftlich angekündigt wird, und darf den gewöhnlichen Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen stören.

9. Laufzeit und Beendigung

9.1. Dieser Auftragsverarbeitungsvertrag tritt mit Abschluss des Hauptvertrags in Kraft und gilt für die Dauer des Hauptvertrags. 9.2. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten endgültig oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Sofern keine anderslautende Weisung vorliegt, werden die Daten nach einer Aufbewahrungsfrist von höchstens 6 Monaten endgültig und unwiderruflich aus den aktiven Systemen gelöscht (Backups können bis zu 30 Tage länger rotieren).

Anlage 1: Beschreibung der Verarbeitung

A. Kategorien betroffener Personen

Die Verarbeitung betrifft die folgenden Kategorien von Personen, deren Daten vom Verantwortlichen oder in seinem Auftrag in die Plattform eingegeben werden:

  • Mitglieder der Kirchengemeinde / Organisation;
  • Ehrenamtliche (zum Beispiel Küster, Musiker, Techniker, Mitarbeitende der Kinderbetreuung);
  • Gäste oder vorübergehend Mitwirkende;
  • Administratoren und Mitarbeitende des Mandanten.

B. Arten personenbezogener Daten

Die folgenden Arten von Daten können innerhalb der Plattform verarbeitet werden:

  • Identifikations- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer;
  • Aufgaben- und Planungsdaten: Verfügbarkeit, zugewiesene Rollen/Aufgaben, Teamzusammensetzung, Dienstplanhistorie;
  • Anmelde- und Kontodaten: Benutzername, Rollen, Rechte und (gehashte) Anmeldedaten;
  • Kommunikationsdaten: Nachrichten, Benachrichtigungen oder Bemerkungen, die innerhalb des Planungssystems erstellt werden.

C. Besondere Kategorien personenbezogener Daten (falls zutreffend)

  • Religiöse Überzeugung: Die Mitgliedschaft in der oder die Verbindung mit der jeweiligen kirchlichen Stelle (dem Verantwortlichen) ergibt sich zwangsläufig aus der Aufnahme in die Plattform (gemäß Art. 9 Abs. 2 lit. d DSGVO).

Anlage 2: Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Einschaltung der folgenden Unterauftragsverarbeiter für die SaaS-Leistungen:

  1. Strato AG (Deutschland/EU) – Hosting der Anwendung, Datenbanken und Infrastruktur.
  2. Vimexx (Niederlande/EU) – Versand von Transaktions-E-Mails und Benachrichtigungen.
  3. Mollie B.V. (Niederlande/EU) – Abwicklung von Abonnementgebühren und Zahlungen (soweit auf Mandantenebene zutreffend).

Dieser Auftragsverarbeitungsvertrag ist rechtlicher Bestandteil der Allgemeinen Geschäftsbedingungen und des Registrierungsverfahrens von KerkPoint. Mit der Annahme der Bedingungen beim Anlegen eines Mandanten / einer Umgebung erklären sich die Parteien mit seinem Inhalt einverstanden.