Fassung 1.0 vom 16. Oktober 2026. Diese Unterlagen beschreiben Contals, wie es heute gebaut ist (früher Zugang). Contals wird von der Unique-P GmbH, Burengasse 11, 4655 Stüsslingen, Schweiz betrieben; der Auftragsverarbeitungsvertrag ist Teil unserer Nutzungsbedingungen.
Kurz gesagt: Deine Organisation ist verantwortlich für ihre Boards; Contals verarbeitet die Daten in ihrem Auftrag. Gespeicherte Daten liegen in der EU-Jurisdiktion von Cloudflare. Cloudflare ist ein US-Unternehmen; darum sagen wir „Datenhaltung in der EU“, nie „souverän“. Jede Maßnahme ist als umgesetzt, vorbereitet oder geplant gekennzeichnet – wir versprechen nichts, was nicht gebaut ist.
Die Unterlagen
| Unterlage | Was sie beantwortet |
|---|---|
| Auftragsverarbeitungsvertrag (AVV) | Der Vertrag nach revDSG und Art. 28 DSGVO, mit Zusätzen für die Schweiz und die EU und einem freiwilligen Zusatz für das kirchliche Datenschutzrecht (KDG, DSG-EKD) |
| Technische und organisatorische Maßnahmen | Wie Daten geschützt sind: Speicherung, Zugriffskontrolle, Verschlüsselung, Backups, Löschung, Protokolle – mit Stand |
| Unterauftragsverarbeiter und Empfänger | Wer für Contals Daten verarbeitet, wo und auf welcher Grundlage; Empfänger, die du selbst verbindest |
| Verzeichnis von Verarbeitungstätigkeiten: Vorlage | Beispieleinträge für dein eigenes Verzeichnis |
| Heikle Boards: Leitfaden und DSFA-Checkliste | Was nicht hineingehört, empfohlene Einstellungen für Seelsorge, Gebetsanliegen und Jugendarbeit, eine Checkliste für die Datenschutz-Folgenabschätzung |
| FAQ für Datenschutzbeauftragte | Kurze Antworten auf die Fragen kirchlicher Datenschutzbeauftragter, auch zum CLOUD Act |
Wer Contals wofür nutzen kann
| Organisation | Unsere Einschätzung (keine Rechtsberatung) |
|---|---|
| Freikirchen, christliche Werke, Vereine und Stiftungen in der Schweiz | Geeignet mit dem AVV; seelsorgerliche Inhalte gehören nicht hinein |
| Kirchliche Stellen in Deutschland unter KDG oder DSG-EKD | Seit den jüngsten Reformen grundsätzlich geeignet; der AVV hat einen freiwilligen Zusatz für das kirchliche Recht, den ihr auf Anfrage aktiviert |
| Hilfswerke und Vereine in der EU | Geeignet mit dem AVV |
| Schweizer Landeskirchen und Kirchgemeinden unter kantonalem Datenschutzrecht | Nur für nicht heikle Koordination: Die kantonalen Aufsichten verlangen für besondere Personendaten bei Anbietern mit US-Bezug eine Verschlüsselung mit eigenen Schlüsseln, die Contals nicht anbietet |
| Organisationen anderswo, etwa in Großbritannien oder den USA | Nutzbar: Nutzungsbedingungen, Datenschutzerklärung und AVV gelten überall, sind aber für Schweizer und EU-Recht geschrieben; die besonderen Regeln anderer Länder (etwa die UK GDPR oder die Datenschutzgesetze der US-Bundesstaaten) sind nicht eigens beurteilt |
| Alle: Seelsorgegespräche, Beichte, Fälle von Grenzverletzungen | Nicht geeignet – dafür gibt es eigene Systeme |
Wenn etwas schiefgeht: Vorfälle und Datenpannen
- Melden: Sicherheitslücken und Vorfälle an security@contals.com. Wir bestätigen innerhalb von zwei Arbeitstagen.
- Eindämmen: mit den vorhandenen Werkzeugen – Geräte abmelden, Tokens und Zugriffe entziehen, Integrationen abschalten, Verkehr sperren, Schlüssel wechseln.
- Informieren: ohne unangemessene Verzögerung – unser Ziel sind 48 Stunden, nachdem wir davon erfahren – per E-Mail an die Owner deiner Organisation und deinen Datenschutzkontakt: was passiert ist, welche Daten und Personen betroffen sind, mögliche Folgen, was wir getan haben und was du tun solltest.
- Du entscheidest über die Meldung an deine Aufsichtsbehörde (DSGVO: 72 Stunden; revDSG: so rasch als möglich; kirchliches Recht entsprechend) und an die Betroffenen. Wir liefern Fakten und Entwürfe.
- Dokumentieren: Jede Datenpanne wird dokumentiert und innerhalb von zwei Wochen ausgewertet.
Was noch offen ist
- Eine Prüfung dieser Unterlagen durch einen externen Anwalt. Sie gelten in der Fassung 1.0; Änderungen kündigen wir an, wie die Unterlagen es beschreiben.
- Eine Vertretung in der EU nach Art. 27 DSGVO: bestellt, bevor Contals die erste Kundin oder den ersten Kunden in der EU bedient.
- Die Bestätigung von Cloudflare, dass die Daten der Wiederherstellung zu einem Zeitpunkt (30 Tage) in der EU bleiben; unsere eigenen Backups tun es.
- Frühere Fassungen von Kartentiteln und Beschreibungen bleiben bis zu 13 Monate im Board-Verlauf (bearbeitete und gelöschte Kommentare werden sofort daraus gelöscht).
- Die Speicherregeln für das Ereignisarchiv (90 Tage), die Backups und nächtlichen Board-Kopien (35 Tage), die Dateien laufender Importe (7 Tage) und das Audit-Archiv (2 Jahre) sind entschieden und festgehalten; eingeschaltet werden sie beim Start im Konto für den Betrieb.
- Ein externer Penetrationstest.
Fragen: privacy@contals.com. Siehe auch Sicherheit & Datenschutz und die Datenschutzerklärung.