> Was nicht in Contals gehört, empfohlene Einstellungen für Seelsorge-Begleitung, Gebetsanliegen, Kinder- und Jugendarbeit und soziale Unterstützung sowie eine…

Source: https://contals.com/de/data-protection/sensitive-boards/  
Language: de

# Heikle Boards – Leitfaden und DSFA-Checkliste

Was nicht in Contals gehört, empfohlene Einstellungen für Seelsorge-Begleitung, Gebetsanliegen, Kinder- und Jugendarbeit und soziale Unterstützung sowie eine Checkliste für deine Datenschutz-Folgenabschätzung (DSFA).

Zuletzt aktualisiert: 16\. Oktober 2026

> **Fassung 1.0 vom 16. Oktober 2026 – eine Anleitung, keine Rechtsberatung für euren Fall.** Für Organisationen, die Contals für die Begleitung in der Seelsorge, für Gebetsanliegen, Kinder- und Jugendarbeit oder soziale Unterstützung nutzen möchten. Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt (Art. 35 DSGVO, Art. 22 revDSG, KDG und DSG-EKD entsprechend).

## 1\. Zuerst entscheiden, was nicht in Contals gehört

| Nicht speichern | Warum | Stattdessen |
| --- | --- | --- |
| Inhalte aus Seelsorgegesprächen, Beichte, alles unter Seelsorge- oder Berufsgeheimnis (Art. 321 StGB; kirchliches Recht) | Ein Anbieter mit US-Bezug gilt nicht als zur Verschwiegenheit verpflichtete Hilfsperson; Contals bietet keine Verschlüsselung mit eigenen Schlüsseln | Papier oder ein eigenes verschlüsseltes System der Seelsorgerin oder des Seelsorgers; in Contals höchstens „Besuch fällig“ ohne Inhalt |
| Verdachtsfälle von Grenzverletzungen, Abklärungen, Vorfallsberichte über Kinder | Höchstes Risiko, strafrechtliche Bedeutung, streng begrenzter Zugriff | Dein Schutzkonzept und sein eigenes System |
| Gesundheitsakten, Diagnosen, Medikamente, Allergien von Kindern | Gesundheitsdaten verletzlicher Menschen | Anmeldeformulare bei der Lagerleitung; auf der Karte nur „siehe Gesundheitsblatt“ |
| Mitgliederregister mit Konfession, Taufe und Familiendaten | Gehört ins Kirchenbuch bzw. in die Kirchenverwaltungssoftware | ChurchTools oder dein Register |
| Öffentliche Organe unter kantonalem Schweizer Recht: alle besonderen Personendaten | Kantonale Aufsichten verlangen bei Anbietern mit US-Bezug eine Verschlüsselung mit eigenen Schlüsseln (privatim, 24. November 2025; Datenschutzbeauftragte des Kantons Zürich, Februar 2026) | Nur nicht heikle Koordination, nach deiner eigenen Prüfung |

## 2\. Empfohlene Einstellungen für ein heikles Board

| # | Einstellung | Wie (Stand 15. Oktober 2026) |
| --- | --- | --- |
| 1 | **Privates Board, nur namentlich hinzugefügte Mitglieder**, keine Sichtbarkeit im Workspace | Neue Boards sind standardmäßig privat; prüfe *Board-Einstellungen → Mitglieder → Sichtbarkeit: Privat* |
| 2 | **Keine Gäste**; Freiwillige nur als Mitwirkende, wo nötig; Mitglieder jedes Quartal prüfen | *Board-Einstellungen → Mitglieder*; der Zugriff endet sofort, wenn jemand entfernt wird |
| 3 | **Board als vertraulich markieren**: keine Titel in Links, Dateinamen von Downloads oder Tab-Titeln; keine Inhalte in Chat-Benachrichtigungen oder Einträgen im Eingang; E-Mails nennen es nur „ein vertrauliches Board“; nie an KI gesendet; nicht über die API, MCP oder KI-Agenten erreichbar; jedes Öffnen im Audit-Protokoll festgehalten | *Board-Einstellungen → Vertrauliches Board* (Board-Admins). Öffentliche Seiten funktionieren weiter – siehe 4a |
| 3a | **Für die ganze Organisation: „Keine Titel in Links“** – jeder Link auf Boards und Karten der Organisation enthält nur IDs | *Organisationseinstellungen → Titel in Links* (Inhaber und Admins); alte Links funktionieren weiter |
| 4 | **Board-Titel ohne Namen** („Besuchsdienst Team A“, nicht „Seelsorge Familie Muster“) | Titel erscheinen in der Board-Liste des Workspaces und, ohne 3 oder 3a, in Links |
| 4a | **Keine öffentlichen Buchungsseiten oder Terminumfragen** auf einem heiklen Board: Eine Buchung macht den Namen der buchenden Person zum Kartentitel, und beide sammeln Kontaktdaten von Personen außerhalb des Teams | Die Power-Ups Buchung und Terminumfrage ausschalten oder ihre öffentlichen Links verbieten oder ausschalten |
| 4b | **Status-Updates über die Arbeit, nicht über Menschen**: Der Status eines Boards (auf Kurs / gefährdet / nicht auf Kurs und sein Text) erscheint im Board-Kopf und im Workspace-Dashboard aller, die das Board öffnen können | Den Text sachlich halten („zwei Leitende fehlen noch“), nie Namen, Gesundheits- oder Seelsorgedetails; ein falsches Update löschen (sein Text verschwindet auch aus dem Board-Verlauf) |
| 5 | **Knappe, kodierte Inhalte**: Initialen oder Kürzel, Fakten statt Meinungen, keine Namen Dritter, keine Diagnosen | Eine Schreibregel im Team vereinbaren (Vorlage in Abschnitt 4) |
| 6 | **Keine KI-Funktionen** auf diesem Board | KI mit deinem eigenen Anbieter ist standardmäßig aus; schalte KI für den Workspace mit heiklen Boards aus und lass Kommentare und Namen in den Datenregeln aus; vertrauliche Boards werden nie gesendet |
| 7 | **Keine Chat-Benachrichtigungen** (Slack, Teams, Google Chat, Discord) | Auf diesem Board keine Kanäle hinzufügen; vertrauliche Boards senden ohnehin keine Inhalte |
| 8 | **Keine API-Tokens oder Agenten** für dieses Board | Ein vertrauliches Board ist über die API, MCP und KI-Agenten gar nicht erreichbar; bei anderen Boards handeln Tokens mit der Rolle der Person, die sie erstellt – auf einen Workspace beschränken oder vermeiden |
| 9 | **Aufbewahrung**: erledigte Karten nach der vereinbarten Frist löschen (oder archivieren) | *Board-Einstellungen → Aufbewahrung erledigter Karten*: Erledigte Karten eine gewählte Anzahl Tage nach dem Erledigen archivieren oder löschen; beim Löschen verschwinden auch ihre Kommentare und Texte aus dem Board-Verlauf |
| 10 | **Exporte** nur durch Board-Admins; Exporte verschlüsselt ablegen und nach Gebrauch löschen | Exporte werden protokolliert |
| 11 | **Geräte**: auf dem Büro-PC der Gemeinde „Dies ist ein geteiltes Gerät“ einschalten; abmelden; angemeldete Geräte prüfen | *Profil und Einstellungen → Angemeldete Geräte*; auf geteilten Geräten bleibt keine Board-Kopie im Browser |
| 12 | **Persönliche Konten**, keine geteilten Zugänge; Ausgetretene am selben Tag entfernen; Zwei-Faktor-Anmeldung für alle | *Organisationseinstellungen → Zwei-Faktor-Anmeldung verlangen* (eine Authenticator-App oder ein Passkey); mit Single Sign-on und SSO-Pflicht gilt die Mehrfaktor-Anmeldung eures Identitätsanbieters. Das Audit-Protokoll zeigt, wer Rollen und Zugriffe geändert hat |
| 13 | **Texte löschen**: Wird ein Kommentar bearbeitet oder gelöscht, verschwindet sein früherer Text aus Board-Verlauf, Suche und Exporten; frühere Kartentitel und Beschreibungen bleiben bis zu 13 Monate im Verlauf, und Archiv und Wiederherstellungskopien behalten alles bis zum Ende ihrer Frist | Heikle Texte am besten gar nicht erst schreiben, und nie in Kartentitel oder Beschreibungen (siehe  [TOM](https://contals.com/de/data-protection/toms/) , Abschnitt 7) |
| 14 | **Fotos und Dateien**: Fotos von Kindern nur mit der Einwilligung, die eure Regeln verlangen (Eltern, oder ab dem Alter, das euer Recht festlegt, die jungen Menschen selbst); auf einem sensiblen Board am besten gar keine Dateien | Aufnahmeort und Kameradaten werden beim Hochladen automatisch aus Fotos entfernt; auf einem vertraulichen Board tragen Links keine Dateinamen; eine gelöschte Datei wird einen Tag später endgültig gelöscht; Dateien sind nicht Teil von Backups |

## 3\. DSFA-Checkliste

**A. Ist eine DSFA nötig?** Meist ja, wenn einer dieser Punkte zutrifft (die Listen der Aufsichtsbehörden nennen weitere Fälle):

-   [ ]  besondere Kategorien (Religion, Gesundheit) vieler Menschen oder systematisch
-   [ ]  verletzliche betroffene Personen (Kinder, Menschen in Krisen, Geflüchtete)
-   [ ]  Informationen unter einer Schweigepflicht
-   [ ]  Zusammenführung von Daten aus mehreren Quellen über dieselben Personen

**B. Die Verarbeitung beschreiben**

-   [ ]  Zweck des Boards, wer es nutzt, welche Daten, über wen (nutze die  [Verzeichnisvorlage](https://contals.com/de/data-protection/records/) )
-   [ ]  Rechtsgrundlage pro Datenkategorie (Einwilligung? Art. 9 Abs. 2 lit. d? kirchliches Recht?)
-   [ ]  Auftragsverarbeiter und Unterauftragsverarbeiter (Contals, Cloudflare; siehe die Liste), Speicherort, Übermittlungen

**C. Notwendigkeit und Verhältnismäßigkeit**

-   [ ]  Ließe sich der Zweck mit weniger Daten erreichen (Initialen, kein Freitext)?
-   [ ]  Löschfrist festgelegt und gelebt?
-   [ ]  Betroffene informiert (Datenschutzhinweise), Einwilligungen dokumentiert, wo nötig?

**D. Risiken** (für jedes Wahrscheinlichkeit × Schwere einschätzen)

| Risiko | Typische Ursache | Maßnahmen von Contals | Deine Maßnahmen |
| --- | --- | --- | --- |
| Unbefugter Zugriff durch Mitglieder | zu viele Mitglieder, Ausgetretene nicht entfernt | standardmäßig privat, serverseitig geprüfte Rollen, Entfernen beendet den Zugriff sofort | Mitglieder prüfen, Austritte regeln |
| Unbefugter Zugriff durch Admins | neugierige Workspace-Admins | Admins verwalten private Boards ohne Inhalte; Notfallzugriff wird protokolliert und angezeigt | Regel für Admins |
| Offenlegung über Links, Benachrichtigungen, Screenshots | Namen in Titeln, weitergeleitete Links | vertrauliche Boards ohne Titel in Links, ohne Chat-Inhalte | neutrale Titel, vertrauliche Markierung |
| Verlorenes oder geteiltes Gerät | Büro-PC, Handy | Modus für geteilte Geräte, Abmelden aus der Ferne, Entzug löscht die lokale Kopie | Geräteregeln |
| Zugriff ausländischer Behörden | US CLOUD Act bei Cloudflare, Inc. | Speicherung in der EU, bedeutungslose Kennungen, vertragliche Zusagen zur Abwehr; **keine Schlüssel beim Kunden** | Geheimnisse fernhalten; knappe Inhalte |
| Unvollständige Löschung | frühere Titel und Beschreibungen im Verlauf (bis zu 13 Monate); Archiv und Backups | bearbeitete und gelöschte Kommentare aus dem Verlauf gelöscht; Löschungen nach einer Wiederherstellung erneut angewendet; offengelegte Fristen | heiklen Freitext vermeiden |
| Übernahme eines Kontos | schwaches Passwort, Phishing | bestätigte E-Mail, Begrenzungen, Anmeldelinks, SSO, Zwei-Faktor-Anmeldung und Passkeys | starke Passwörter; Zwei-Faktor-Anmeldung für die Organisation verlangen |

**E. Ergebnis**

-   [ ]  Restrisiko vertretbar? Wenn hoch: die Aufsichtsbehörde konsultieren (Art. 36 DSGVO, Art. 23 revDSG) oder Contals für diesen Zweck nicht nutzen
-   [ ]  Datenschutzbeauftragte(n) einbezogen (Name, Datum, Stellungnahme)
-   [ ]  Entscheidung durch \[verantwortliche Person\], Datum, nächste Überprüfung (mindestens jährlich oder bei Änderungen)

## 4\. Schreibregel für das Team (Vorlage)

> Auf diesem Board schreiben wir nur, was die nächste Person zum Handeln braucht: wer (Initialen), was (Aufgabe), wann. Keine Diagnosen, keine Familiendetails, keine Meinungen, keine Namen anderer Personen. Vertrauliches wird persönlich weitergegeben oder bleibt in \[den eigenen Notizen der Seelsorgerin bzw. des Seelsorgers\]. Erledigte Karten werden am Monatsende archiviert und nach \[3\] Monaten gelöscht.

 [← Datenschutz-Unterlagen](https://contals.com/de/data-protection/)