> Unterlagen für Datenschutzbeauftragte von Kirchen, Werken und Vereinen – der Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen…

Source: https://contals.com/de/data-protection/  
Language: de

# Datenschutz-Unterlagen

Unterlagen für Datenschutzbeauftragte von Kirchen, Werken und Vereinen – der Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Verzeichnisvorlage, Leitfaden für heikle Boards, FAQ. Fassung 1.0 vom 16. Oktober 2026.

Zuletzt aktualisiert: 16\. Oktober 2026

**Fassung 1.0 vom 16. Oktober 2026.** Diese Unterlagen beschreiben Contals, wie es heute gebaut ist (früher Zugang). Contals wird von der Unique-P GmbH, Burengasse 11, 4655 Stüsslingen, Schweiz betrieben; der Auftragsverarbeitungsvertrag ist Teil unserer  [Nutzungsbedingungen](https://contals.com/de/terms/) .

**Kurz gesagt:** Deine Organisation ist verantwortlich für ihre Boards; Contals verarbeitet die Daten in ihrem Auftrag. Gespeicherte Daten liegen in der EU-Jurisdiktion von Cloudflare. Cloudflare ist ein US-Unternehmen; darum sagen wir „Datenhaltung in der EU“, nie „souverän“. Jede Maßnahme ist als umgesetzt, vorbereitet oder geplant gekennzeichnet – wir versprechen nichts, was nicht gebaut ist.

## Die Unterlagen

| Unterlage | Was sie beantwortet |
| --- | --- |
|  [Auftragsverarbeitungsvertrag (AVV)](https://contals.com/de/data-protection/dpa/)  | Der Vertrag nach revDSG und Art. 28 DSGVO, mit Zusätzen für die Schweiz und die EU und einem freiwilligen Zusatz für das kirchliche Datenschutzrecht (KDG, DSG-EKD) |
|  [Technische und organisatorische Maßnahmen](https://contals.com/de/data-protection/toms/)  | Wie Daten geschützt sind: Speicherung, Zugriffskontrolle, Verschlüsselung, Backups, Löschung, Protokolle – mit Stand |
|  [Unterauftragsverarbeiter und Empfänger](https://contals.com/de/data-protection/subprocessors/)  | Wer für Contals Daten verarbeitet, wo und auf welcher Grundlage; Empfänger, die du selbst verbindest |
|  [Verzeichnis von Verarbeitungstätigkeiten: Vorlage](https://contals.com/de/data-protection/records/)  | Beispieleinträge für dein eigenes Verzeichnis |
|  [Heikle Boards: Leitfaden und DSFA-Checkliste](https://contals.com/de/data-protection/sensitive-boards/)  | Was nicht hineingehört, empfohlene Einstellungen für Seelsorge, Gebetsanliegen und Jugendarbeit, eine Checkliste für die Datenschutz-Folgenabschätzung |
|  [FAQ für Datenschutzbeauftragte](https://contals.com/de/data-protection/faq/)  | Kurze Antworten auf die Fragen kirchlicher Datenschutzbeauftragter, auch zum CLOUD Act |

## Wer Contals wofür nutzen kann

| Organisation | Unsere Einschätzung (keine Rechtsberatung) |
| --- | --- |
| Freikirchen, christliche Werke, Vereine und Stiftungen in der Schweiz | Geeignet mit dem AVV; seelsorgerliche Inhalte gehören nicht hinein |
| Kirchliche Stellen in Deutschland unter KDG oder DSG-EKD | Seit den jüngsten Reformen grundsätzlich geeignet; der AVV hat einen freiwilligen Zusatz für das kirchliche Recht, den ihr auf Anfrage aktiviert |
| Hilfswerke und Vereine in der EU | Geeignet mit dem AVV |
| Schweizer Landeskirchen und Kirchgemeinden unter kantonalem Datenschutzrecht | Nur für nicht heikle Koordination: Die kantonalen Aufsichten verlangen für besondere Personendaten bei Anbietern mit US-Bezug eine Verschlüsselung mit eigenen Schlüsseln, die Contals nicht anbietet |
| Organisationen anderswo, etwa in Großbritannien oder den USA | Nutzbar: Nutzungsbedingungen, Datenschutzerklärung und AVV gelten überall, sind aber für Schweizer und EU-Recht geschrieben; die besonderen Regeln anderer Länder (etwa die UK GDPR oder die Datenschutzgesetze der US-Bundesstaaten) sind nicht eigens beurteilt |
| Alle: Seelsorgegespräche, Beichte, Fälle von Grenzverletzungen | Nicht geeignet – dafür gibt es eigene Systeme |

## Wenn etwas schiefgeht: Vorfälle und Datenpannen

-   **Melden:** Sicherheitslücken und Vorfälle an  [security@contals.com](mailto:security@contals.com) . Wir bestätigen innerhalb von zwei Arbeitstagen.
-   **Eindämmen:** mit den vorhandenen Werkzeugen – Geräte abmelden, Tokens und Zugriffe entziehen, Integrationen abschalten, Verkehr sperren, Schlüssel wechseln.
-   **Informieren:** ohne unangemessene Verzögerung – unser Ziel sind **48 Stunden**, nachdem wir davon erfahren – per E-Mail an die Owner deiner Organisation und deinen Datenschutzkontakt: was passiert ist, welche Daten und Personen betroffen sind, mögliche Folgen, was wir getan haben und was du tun solltest.
-   **Du entscheidest** über die Meldung an deine Aufsichtsbehörde (DSGVO: 72 Stunden; revDSG: so rasch als möglich; kirchliches Recht entsprechend) und an die Betroffenen. Wir liefern Fakten und Entwürfe.
-   **Dokumentieren:** Jede Datenpanne wird dokumentiert und innerhalb von zwei Wochen ausgewertet.

## Was noch offen ist

-   Eine Prüfung dieser Unterlagen durch einen externen Anwalt. Sie gelten in der Fassung 1.0; Änderungen kündigen wir an, wie die Unterlagen es beschreiben.
-   Eine Vertretung in der EU nach Art. 27 DSGVO: bestellt, bevor Contals die erste Kundin oder den ersten Kunden in der EU bedient.
-   Die Bestätigung von Cloudflare, dass die Daten der Wiederherstellung zu einem Zeitpunkt (30 Tage) in der EU bleiben; unsere eigenen Backups tun es.
-   Frühere Fassungen von Kartentiteln und Beschreibungen bleiben bis zu 13 Monate im Board-Verlauf (bearbeitete und gelöschte Kommentare werden sofort daraus gelöscht).
-   Die Speicherregeln für das Ereignisarchiv (90 Tage), die Backups und nächtlichen Board-Kopien (35 Tage), die Dateien laufender Importe (7 Tage) und das Audit-Archiv (2 Jahre) sind entschieden und festgehalten; eingeschaltet werden sie beim Start im Konto für den Betrieb.
-   Ein externer Penetrationstest.

Fragen:  [privacy@contals.com](mailto:privacy@contals.com) . Siehe auch  [Sicherheit & Datenschutz](https://contals.com/de/security/)  und die  [Datenschutzerklärung](https://contals.com/de/privacy/) .