Fassung 1.0 vom 16. Oktober 2026. Contals wird von der Unique-P GmbH, Burengasse 11, 4655 Stüsslingen, Schweiz betrieben. Diese Antworten fassen die Dokumente der Datenschutz-Unterlagen zusammen; verbindlich sind die Dokumente selbst.
1. Wer ist Verantwortlicher, wer Auftragsverarbeiter? Deine Organisation ist verantwortlich für alles auf ihren Boards; Contals verarbeitet diese Daten in ihrem Auftrag nach einem Auftragsverarbeitungsvertrag (AVV). Eigener Verantwortlicher ist Contals (Unique-P GmbH) nur für Benutzerkonten, Anmeldung, Abrechnung, Sicherheitsprotokolle und die eigene Website (Datenschutzerklärung).
2. Wo werden die Daten gespeichert? In der EU-Jurisdiktion von Cloudflare: Board-Daten (Durable Objects), die Datenbanken (D1), das Ereignisarchiv und Backups (R2) sowie interne Warteschlangen. Eine zweite, verschlüsselte Kopie der Backups liegt bei DigitalOcean in Frankfurt (nur von uns verschlüsselte Daten; der Schlüssel bleibt bei Contals). Anfragen werden im Cloudflare-Rechenzentrum verarbeitet, das der Person am nächsten liegt. Einige technische Metadaten (interne Objekt-IDs, Anfrageprotokolle und Statistiken wie IP-Adressen und URL-Pfade) werden außerhalb der EU verarbeitet, vor allem in den USA.
3. Cloudflare ist ein US-Unternehmen. Was ist mit dem CLOUD Act? Cloudflare, Inc. unterliegt US-Recht; eine US-Anordnung könnte grundsätzlich auch Daten erfassen, die in der EU liegen. Cloudflare verwaltet die Schlüssel der Verschlüsselung im Ruhezustand, und unsere Server verarbeiten Klartext. Cloudflare sagt im eigenen AVV zu, Kunden zu informieren, sich gegen widersprechende Anordnungen zu wehren und nur das Minimum herauszugeben, und erklärt, nie Verschlüsselungsschlüssel herausgegeben zu haben. Wir sagen „Datenhaltung in der EU“, nie „souverän“. Verlangen deine Regeln, dass kein Anbieter mit US-Bezug auf Klartext zugreifen kann, erfüllt Contals sie heute nicht.
4. Auf welcher Grundlage werden Daten in die USA übermittelt? Cloudflare, Stripe und DigitalOcean (das nur von uns verschlüsselte Daten hält) erklären, nach dem EU-US und dem Swiss-US Data Privacy Framework zertifiziert zu sein; ihre Verträge enthalten die EU-Standardvertragsklauseln (mit schweizerischen Anpassungen) als Rückfallebene. Wir betreuen Contals aus der Schweiz, der die EU ein angemessenes Schutzniveau zuerkennt. Eine Zusammenfassung der Bewertung der Übermittlungen ist Teil des AVV (Anhang 4). Die Gültigkeit des Data Privacy Framework wird vor dem EuGH angefochten (C-703/25 P); über Änderungen informieren wir.
5. Können kirchliche Stellen in Deutschland (KDG, DSG-EKD) Contals nutzen? Grundsätzlich ja. Seit der Reform des DSG-EKD (in Kraft seit 1. Mai 2025) müssen sich Auftragsverarbeiter, die nicht dem Kirchenrecht unterliegen, nicht mehr der kirchlichen Aufsicht unterwerfen, und der Vertrag darf sich an Art. 28 DSGVO orientieren; das geänderte KDG (in Kraft seit 1. März 2026) erkennt Auftragsverarbeiter an, die der DSGVO unterliegen. Unser AVV hat einen freiwilligen Zusatz für das kirchliche Recht (Zusatz C), der die Befugnisse deiner kirchlichen Aufsicht anerkennt: Er gilt, sobald ihr ihn mit einer kurzen Anfrage an privacy@contals.com aktiviert, die wir schriftlich bestätigen. Bitte prüfe den geänderten Wortlaut in deinem Amtsblatt.
6. Können Schweizer Landeskirchen und Kirchgemeinden Contals nutzen? Für nicht heikle Koordination, nach eigener Prüfung nach kantonalem Recht. Für besondere Personendaten (auch Angaben über religiöse Tätigkeiten) verlangen die Datenschutzbeauftragte des Kantons Zürich (Merkblatt vom Februar 2026) und privatim (Resolution vom 24. November 2025), dass ein Anbieter mit US-Bezug nicht auf Klartext zugreifen kann – das kann Contals heute nicht garantieren.
7. Dürfen wir Seelsorgenotizen oder Gebetsanliegen speichern? Inhalte aus Seelsorgegesprächen und alles unter Berufsgeheimnis: nein. Gebetsanliegen: nur mit Einwilligung, auf einem privaten, als vertraulich markierten Board (keine Titel in Links, nichts an KI oder Chats, jedes Öffnen protokolliert), mit knappen Inhalten und kurzer Aufbewahrung, nach einer DSFA. Siehe den Leitfaden für heikle Boards.
8. Wer bei Contals kann unsere Daten sehen? Im normalen Betrieb niemand. Es gibt kein Support-Werkzeug zum Lesen von Board-Inhalten, und der Betriebsbereich zeigt nur Zahlen und Zustandsdaten. Technisch kann zugreifen, wer die Infrastruktur verwaltet: Administrativer Zugriff ist auf die Unique-P GmbH beschränkt (derzeit ihren Geschäftsführer) und durch Zwei-Faktor-Authentifizierung geschützt; Zugriffe von Mitarbeitenden von Cloudflare richten sich nach dem Auftragsverarbeitungsvertrag von Cloudflare. Ein Zugriff auf Inhalte für den Support bräuchte deine Anfrage für den konkreten Fall und wird protokolliert.
9. Wer in unserer Organisation sieht was? Neue Boards sind privat. Jede Person hat eine Board-Rolle (Betrachter, Mitwirkende, Bearbeiter, Admin), die der Server bei jeder Änderung prüft. Freiwillige und Gäste können nie ein Board verwalten. Admins von Organisation und Workspace verwalten private Boards, ohne Inhalte zu sehen; öffnen sie eines trotzdem, wird das protokolliert und alle Board-Mitglieder sehen es.
10. Sind die Daten verschlüsselt? Bei der Übertragung mit TLS, im Ruhezustand durch Cloudflare (AES-256). Geheimnisse von Integrationen (Single Sign-on, Chat-Webhooks, Schlüssel von KI-Anbietern) verschlüsselt Contals zusätzlich (AES-256-GCM). Push-Benachrichtigungen sind Ende-zu-Ende für das empfangende Gerät verschlüsselt. Eine Ende-zu-Ende-Verschlüsselung der Board-Inhalte mit eigenen Schlüsseln gibt es nicht.
11. Wie funktioniert die Löschung? Ein gelöschtes Board wird nach 14 Tagen im Papierkorb endgültig entfernt; beim Löschen eines Kontos wird die Person sofort pseudonymisiert, die übrigen persönlichen Daten werden nach 30 Tagen gelöscht. Eine Organisation wird 30 Tage, nachdem ein Owner es verlangt hat, gelöscht (bis dahin schreibgeschützt und exportierbar); das Ende eines bezahlten Plans löscht nichts – die Organisation läuft im Gratisplan weiter. Jedes Board behält 13 Monate Verlauf; ältere Änderungen werden ins Board eingerechnet. Kopien bleiben in der Wiederherstellung auf einen Zeitpunkt (30 Tage), im unveränderlichen Ereignisarchiv (90 Tage), in den Backups der Kontodatenbanken und den nächtlichen Kopien der Boards (35 Tage, ebenso die verschlüsselte Kopie bei DigitalOcean); jede Löschung wird festgehalten (nur IDs) und nach jeder Wiederherstellung erneut angewendet; das Audit-Protokoll wandert nach 180 Tagen in den Backup-Speicher und bleibt dort 2 Jahre. Board-Admins können erledigte Karten eine gewählte Anzahl Tage nach dem Erledigen automatisch archivieren oder löschen lassen (Board-Einstellungen); beim Löschen verschwinden auch die Kommentare und Texte der Karten aus dem Board-Verlauf. Kontaktdaten von Personen ohne Konto werden automatisch gelöscht: Buchungen und Adressen aus Umfragen spätestens 90 Tage nach dem Termin oder dem letzten Termin der Umfrage. Wird ein Kommentar bearbeitet oder gelöscht oder ein Status-Update gelöscht, verschwindet der alte Text auch aus dem Board-Verlauf, der Suche und aus Exporten (Archiv und Wiederherstellungskopien behalten ihn bis zum Ende ihrer Frist). Bekannte Lücke: Frühere Fassungen von Kartentiteln und Beschreibungen bleiben bis zu 13 Monate im Board-Verlauf.
12. Können wir alles exportieren? Ja: Exporte von Board, Workspace und Organisation als JSON mit dem Board-Verlauf der letzten 13 Monate (aus dem Verlauf gelöschte Texte fehlen darin), jederzeit; jeder Export wird protokolliert.
13. Nutzt ihr KI mit unseren Daten? Nicht standardmäßig. KI-Funktionen (Assistent, Zusammenfassungen, Checklisten, Labels, Übersetzung, die kurze Zusammenfassung von „Seit deinem letzten Besuch“ – immer ein Knopf, nie automatisch) arbeiten nur mit einem KI-Anbieter, den deine Organisation mit eigenem Schlüssel, Vertrag und eigenen Datenregeln einrichtet, nachdem eine Eigentümerin, ein Eigentümer oder ein Admin KI eingeschaltet hat. Kommentare und Namen von Personen sind standardmäßig aus, E-Mail-Adressen und vertrauliche Boards werden nie gesendet, und KI lässt sich pro Workspace ausschalten. Deine Organisation wählt den Anbieter und schließt den Vertrag mit ihm (AVV Abschnitt 7.5). Contals protokolliert keine Eingaben oder Antworten (das Nutzungsprotokoll zählt nur Tokens); Gespräche mit dem Assistenten bleiben 30 Tage im persönlichen Speicher der Person und lassen sich löschen. Contals nutzt Kundendaten nie zum Training von Modellen; was dein Anbieter darf, regelt dein Vertrag mit ihm.
14. Welche Unterauftragsverarbeiter gibt es? Cloudflare (Hosting, EU-Jurisdiktion für gespeicherte Daten; E-Mail-Versand ab dem E-Mail-Start), DigitalOcean in Frankfurt (eine zweite, von uns verschlüsselte Backup-Kopie) und Stripe (Abrechnung; gebaut, aktiv ab dem ersten bezahlten Plan); E-Mails versenden wir nur über Cloudflare Email Service (kein zweiter E-Mail-Anbieter). Fathom Analytics zählt Seitenaufrufe auf unserer Website und den Anmeldeseiten ohne Cookies; es erhält nichts aus Boards und ist kein Unterauftragsverarbeiter deiner Daten. Chat-Werkzeuge oder KI-Anbieter, die du verbindest, sind deine eigenen Empfänger; Push-Benachrichtigungen stellt verschlüsselt der Push-Dienst des Browsers jeder Person zu (siehe Frage 20). Die Liste ist öffentlich, Änderungen kündigen wir 30 Tage im Voraus an.
15. Wie werden wir über eine Datenpanne informiert? Ohne unangemessene Verzögerung, mit dem Ziel von 48 Stunden, nachdem wir davon erfahren, per E-Mail an die Owner deiner Organisation und deinen Datenschutzkontakt, damit du deine eigenen Fristen einhalten kannst (DSGVO 72 Stunden; revDSG „so rasch als möglich“).
16. Gibt es Zertifizierungen oder Prüfungen? Contals selbst ist noch nicht zertifiziert. Cloudflare hält ISO/IEC 27001, 27701, 27018, SOC 2 Typ II, BSI C5 und den EU Cloud Code of Conduct. Contals hatte eine interne Sicherheitsprüfung (Oktober 2026); ein externer Penetrationstest ist geplant. Nach dem AVV kannst du uns prüfen.
17. Welche Unterlagen bekommen wir? AVV (mit Zusatz für das kirchliche Recht), technische und organisatorische Maßnahmen, Liste der Unterauftragsverarbeiter, Bewertung der Übermittlungen, eine Vorlage für dein Verzeichnis von Verarbeitungstätigkeiten, eine DSFA-Checkliste für heikle Boards und diese FAQ – Fassung 1.0 vom 16. Oktober 2026, alles öffentlich auf dieser Website.
18. Habt ihr einen Datenschutzbeauftragten oder eine Vertretung in der EU? Contals hat keinen Datenschutzbeauftragten bestellt: Bei dieser Größe und der hier beschriebenen Bearbeitung verlangt das Gesetz keinen; Anfragen gehen an unseren Geschäftsführer unter privacy@contals.com. Eine Vertretung in der EU (Art. 27 DSGVO) ist noch nicht bestellt. Sie wird bestellt, bevor Contals die erste Kundin oder den ersten Kunden in der EU bedient, und hier genannt; bis dahin erreichen uns Personen in der EU direkt unter privacy@contals.com.
19. Dürfen Jugendliche Contals nutzen? Konten gibt es ab 16 Jahren; Jüngere nur mit Einverständnis der Eltern oder des Vormunds. Das bestätigt jede Person bei der Registrierung (oder einmal nach der ersten Anmeldung über einen anderen Anbieter); Contals speichert das Datum der Bestätigung, nie ein Geburtsdatum. Kinder sollten auf Boards nur als knappe Inhalte vorkommen, die Leitende schreiben (siehe die Vorlage für das Verzeichnis, Tätigkeit E).
20. Push-Benachrichtigungen und E-Mails: Was zeigen sie, und wer stellt sie zu? Jede Person entscheidet je Art von Ereignis – Zuweisung, Erwähnung, Fälligkeits-Erinnerung, Kommentar auf ihrer Karte, Einladung, Status-Update eines gefolgten Boards, Neues aus Power-Ups (Umfragen, Buchungen, Karten, die loslegen können) –, ob es in der App, als Push-Benachrichtigung, per E-Mail oder gar nicht kommt, und legt Ruhezeiten fest (standardmäßig 21:00–07:00), in denen weder Pushes noch E-Mails ankommen. Push-Benachrichtigungen sind aus, bis die Person sie für ein Gerät einschaltet (nie auf einem Gerät, das als geteilt markiert ist). Zugestellt werden sie vom Push-Dienst des Browser-Herstellers – Google für Chrome sowie für Edge und andere Browser auf Android, Apple für Safari und für Contals auf dem Home-Bildschirm eines iPhone (ab iOS 16.4), Mozilla für Firefox, Microsoft für Edge unter Windows. Jede Benachrichtigung ist für das Gerät verschlüsselt, der Push-Dienst kann sie also nicht lesen; er sieht die Geräteadresse, die er vergeben hat, die Zeit und die Größe. Eine Benachrichtigung nennt Karte, Board und wer gehandelt hat – außer die Person hat knappe Texte gewählt; Benachrichtigungen zu vertraulichen Boards sind immer knapp. Einzelne Benachrichtigungen per E-Mail kommen gesammelt (standardmäßig höchstens eine E-Mail pro 15 Minuten, nur für Ungelesenes) und nur bei bezahlten Plänen. Abmelden auf einem Gerät oder das Löschen des Kontos entfernt sein Push-Abonnement sofort.