Fassung 1.0 vom 16. Oktober 2026 – eine Anleitung, keine Rechtsberatung für euren Fall. Für Organisationen, die Contals für die Begleitung in der Seelsorge, für Gebetsanliegen, Kinder- und Jugendarbeit oder soziale Unterstützung nutzen möchten. Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt (Art. 35 DSGVO, Art. 22 revDSG, KDG und DSG-EKD entsprechend).
1. Zuerst entscheiden, was nicht in Contals gehört
| Nicht speichern | Warum | Stattdessen |
|---|---|---|
| Inhalte aus Seelsorgegesprächen, Beichte, alles unter Seelsorge- oder Berufsgeheimnis (Art. 321 StGB; kirchliches Recht) | Ein Anbieter mit US-Bezug gilt nicht als zur Verschwiegenheit verpflichtete Hilfsperson; Contals bietet keine Verschlüsselung mit eigenen Schlüsseln | Papier oder ein eigenes verschlüsseltes System der Seelsorgerin oder des Seelsorgers; in Contals höchstens „Besuch fällig“ ohne Inhalt |
| Verdachtsfälle von Grenzverletzungen, Abklärungen, Vorfallsberichte über Kinder | Höchstes Risiko, strafrechtliche Bedeutung, streng begrenzter Zugriff | Dein Schutzkonzept und sein eigenes System |
| Gesundheitsakten, Diagnosen, Medikamente, Allergien von Kindern | Gesundheitsdaten verletzlicher Menschen | Anmeldeformulare bei der Lagerleitung; auf der Karte nur „siehe Gesundheitsblatt“ |
| Mitgliederregister mit Konfession, Taufe und Familiendaten | Gehört ins Kirchenbuch bzw. in die Kirchenverwaltungssoftware | ChurchTools oder dein Register |
| Öffentliche Organe unter kantonalem Schweizer Recht: alle besonderen Personendaten | Kantonale Aufsichten verlangen bei Anbietern mit US-Bezug eine Verschlüsselung mit eigenen Schlüsseln (privatim, 24. November 2025; Datenschutzbeauftragte des Kantons Zürich, Februar 2026) | Nur nicht heikle Koordination, nach deiner eigenen Prüfung |
2. Empfohlene Einstellungen für ein heikles Board
| # | Einstellung | Wie (Stand 15. Oktober 2026) |
|---|---|---|
| 1 | Privates Board, nur namentlich hinzugefügte Mitglieder, keine Sichtbarkeit im Workspace | Neue Boards sind standardmäßig privat; prüfe Board-Einstellungen → Mitglieder → Sichtbarkeit: Privat |
| 2 | Keine Gäste; Freiwillige nur als Mitwirkende, wo nötig; Mitglieder jedes Quartal prüfen | Board-Einstellungen → Mitglieder; der Zugriff endet sofort, wenn jemand entfernt wird |
| 3 | Board als vertraulich markieren: keine Titel in Links, Dateinamen von Downloads oder Tab-Titeln; keine Inhalte in Chat-Benachrichtigungen oder Einträgen im Eingang; E-Mails nennen es nur „ein vertrauliches Board“; nie an KI gesendet; nicht über die API, MCP oder KI-Agenten erreichbar; jedes Öffnen im Audit-Protokoll festgehalten | Board-Einstellungen → Vertrauliches Board (Board-Admins). Öffentliche Seiten funktionieren weiter – siehe 4a |
| 3a | Für die ganze Organisation: „Keine Titel in Links“ – jeder Link auf Boards und Karten der Organisation enthält nur IDs | Organisationseinstellungen → Titel in Links (Inhaber und Admins); alte Links funktionieren weiter |
| 4 | Board-Titel ohne Namen („Besuchsdienst Team A“, nicht „Seelsorge Familie Muster“) | Titel erscheinen in der Board-Liste des Workspaces und, ohne 3 oder 3a, in Links |
| 4a | Keine öffentlichen Buchungsseiten oder Terminumfragen auf einem heiklen Board: Eine Buchung macht den Namen der buchenden Person zum Kartentitel, und beide sammeln Kontaktdaten von Personen außerhalb des Teams | Die Power-Ups Buchung und Terminumfrage ausschalten oder ihre öffentlichen Links verbieten oder ausschalten |
| 4b | Status-Updates über die Arbeit, nicht über Menschen: Der Status eines Boards (auf Kurs / gefährdet / nicht auf Kurs und sein Text) erscheint im Board-Kopf und im Workspace-Dashboard aller, die das Board öffnen können | Den Text sachlich halten („zwei Leitende fehlen noch“), nie Namen, Gesundheits- oder Seelsorgedetails; ein falsches Update löschen (sein Text verschwindet auch aus dem Board-Verlauf) |
| 5 | Knappe, kodierte Inhalte: Initialen oder Kürzel, Fakten statt Meinungen, keine Namen Dritter, keine Diagnosen | Eine Schreibregel im Team vereinbaren (Vorlage in Abschnitt 4) |
| 6 | Keine KI-Funktionen auf diesem Board | KI mit deinem eigenen Anbieter ist standardmäßig aus; schalte KI für den Workspace mit heiklen Boards aus und lass Kommentare und Namen in den Datenregeln aus; vertrauliche Boards werden nie gesendet |
| 7 | Keine Chat-Benachrichtigungen (Slack, Teams, Google Chat, Discord) | Auf diesem Board keine Kanäle hinzufügen; vertrauliche Boards senden ohnehin keine Inhalte |
| 8 | Keine API-Tokens oder Agenten für dieses Board | Ein vertrauliches Board ist über die API, MCP und KI-Agenten gar nicht erreichbar; bei anderen Boards handeln Tokens mit der Rolle der Person, die sie erstellt – auf einen Workspace beschränken oder vermeiden |
| 9 | Aufbewahrung: erledigte Karten nach der vereinbarten Frist löschen (oder archivieren) | Board-Einstellungen → Aufbewahrung erledigter Karten: Erledigte Karten eine gewählte Anzahl Tage nach dem Erledigen archivieren oder löschen; beim Löschen verschwinden auch ihre Kommentare und Texte aus dem Board-Verlauf |
| 10 | Exporte nur durch Board-Admins; Exporte verschlüsselt ablegen und nach Gebrauch löschen | Exporte werden protokolliert |
| 11 | Geräte: auf dem Büro-PC der Gemeinde „Dies ist ein geteiltes Gerät“ einschalten; abmelden; angemeldete Geräte prüfen | Profil und Einstellungen → Angemeldete Geräte; auf geteilten Geräten bleibt keine Board-Kopie im Browser |
| 12 | Persönliche Konten, keine geteilten Zugänge; Ausgetretene am selben Tag entfernen; Zwei-Faktor-Anmeldung für alle | Organisationseinstellungen → Zwei-Faktor-Anmeldung verlangen (eine Authenticator-App oder ein Passkey); mit Single Sign-on und SSO-Pflicht gilt die Mehrfaktor-Anmeldung eures Identitätsanbieters. Das Audit-Protokoll zeigt, wer Rollen und Zugriffe geändert hat |
| 13 | Texte löschen: Wird ein Kommentar bearbeitet oder gelöscht, verschwindet sein früherer Text aus Board-Verlauf, Suche und Exporten; frühere Kartentitel und Beschreibungen bleiben bis zu 13 Monate im Verlauf, und Archiv und Wiederherstellungskopien behalten alles bis zum Ende ihrer Frist | Heikle Texte am besten gar nicht erst schreiben, und nie in Kartentitel oder Beschreibungen (siehe TOM, Abschnitt 7) |
| 14 | Fotos und Dateien: Fotos von Kindern nur mit der Einwilligung, die eure Regeln verlangen (Eltern, oder ab dem Alter, das euer Recht festlegt, die jungen Menschen selbst); auf einem sensiblen Board am besten gar keine Dateien | Aufnahmeort und Kameradaten werden beim Hochladen automatisch aus Fotos entfernt; auf einem vertraulichen Board tragen Links keine Dateinamen; eine gelöschte Datei wird einen Tag später endgültig gelöscht; Dateien sind nicht Teil von Backups |
3. DSFA-Checkliste
A. Ist eine DSFA nötig? Meist ja, wenn einer dieser Punkte zutrifft (die Listen der Aufsichtsbehörden nennen weitere Fälle):
- besondere Kategorien (Religion, Gesundheit) vieler Menschen oder systematisch
- verletzliche betroffene Personen (Kinder, Menschen in Krisen, Geflüchtete)
- Informationen unter einer Schweigepflicht
- Zusammenführung von Daten aus mehreren Quellen über dieselben Personen
B. Die Verarbeitung beschreiben
- Zweck des Boards, wer es nutzt, welche Daten, über wen (nutze die Verzeichnisvorlage)
- Rechtsgrundlage pro Datenkategorie (Einwilligung? Art. 9 Abs. 2 lit. d? kirchliches Recht?)
- Auftragsverarbeiter und Unterauftragsverarbeiter (Contals, Cloudflare; siehe die Liste), Speicherort, Übermittlungen
C. Notwendigkeit und Verhältnismäßigkeit
- Ließe sich der Zweck mit weniger Daten erreichen (Initialen, kein Freitext)?
- Löschfrist festgelegt und gelebt?
- Betroffene informiert (Datenschutzhinweise), Einwilligungen dokumentiert, wo nötig?
D. Risiken (für jedes Wahrscheinlichkeit × Schwere einschätzen)
| Risiko | Typische Ursache | Maßnahmen von Contals | Deine Maßnahmen |
|---|---|---|---|
| Unbefugter Zugriff durch Mitglieder | zu viele Mitglieder, Ausgetretene nicht entfernt | standardmäßig privat, serverseitig geprüfte Rollen, Entfernen beendet den Zugriff sofort | Mitglieder prüfen, Austritte regeln |
| Unbefugter Zugriff durch Admins | neugierige Workspace-Admins | Admins verwalten private Boards ohne Inhalte; Notfallzugriff wird protokolliert und angezeigt | Regel für Admins |
| Offenlegung über Links, Benachrichtigungen, Screenshots | Namen in Titeln, weitergeleitete Links | vertrauliche Boards ohne Titel in Links, ohne Chat-Inhalte | neutrale Titel, vertrauliche Markierung |
| Verlorenes oder geteiltes Gerät | Büro-PC, Handy | Modus für geteilte Geräte, Abmelden aus der Ferne, Entzug löscht die lokale Kopie | Geräteregeln |
| Zugriff ausländischer Behörden | US CLOUD Act bei Cloudflare, Inc. | Speicherung in der EU, bedeutungslose Kennungen, vertragliche Zusagen zur Abwehr; keine Schlüssel beim Kunden | Geheimnisse fernhalten; knappe Inhalte |
| Unvollständige Löschung | frühere Titel und Beschreibungen im Verlauf (bis zu 13 Monate); Archiv und Backups | bearbeitete und gelöschte Kommentare aus dem Verlauf gelöscht; Löschungen nach einer Wiederherstellung erneut angewendet; offengelegte Fristen | heiklen Freitext vermeiden |
| Übernahme eines Kontos | schwaches Passwort, Phishing | bestätigte E-Mail, Begrenzungen, Anmeldelinks, SSO, Zwei-Faktor-Anmeldung und Passkeys | starke Passwörter; Zwei-Faktor-Anmeldung für die Organisation verlangen |
E. Ergebnis
- Restrisiko vertretbar? Wenn hoch: die Aufsichtsbehörde konsultieren (Art. 36 DSGVO, Art. 23 revDSG) oder Contals für diesen Zweck nicht nutzen
- Datenschutzbeauftragte(n) einbezogen (Name, Datum, Stellungnahme)
- Entscheidung durch [verantwortliche Person], Datum, nächste Überprüfung (mindestens jährlich oder bei Änderungen)
4. Schreibregel für das Team (Vorlage)
Auf diesem Board schreiben wir nur, was die nächste Person zum Handeln braucht: wer (Initialen), was (Aufgabe), wann. Keine Diagnosen, keine Familiendetails, keine Meinungen, keine Namen anderer Personen. Vertrauliches wird persönlich weitergegeben oder bleibt in [den eigenen Notizen der Seelsorgerin bzw. des Seelsorgers]. Erledigte Karten werden am Monatsende archiviert und nach [3] Monaten gelöscht.