Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (AVV) ist Anlage 1 der Allgemeinen Geschäftsbedingungen für congrega und wird bei Nutzung von congrega Online mit Vertragsschluss automatisch Vertragsbestandteil. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

Verantwortlicher im Sinne der DSGVO ist die jeweilige Versammlung („Verantwortlicher"). Auftragsverarbeiter ist Pascal Roschkowski, Bruchstraße 3, 27321 Thedinghausen, Deutschland („Auftragsverarbeiter").

Bei congrega Lokal findet im Regelbetrieb keine Auftragsverarbeitung statt; dieser AVV gilt dort nur entsprechend, soweit dem Auftragsverarbeiter im Einzelfall zeitlich begrenzter Zugriff für Support oder Wartung eingeräumt wird.

Gegenstand ist die Bereitstellung und der Betrieb von congrega Online einschließlich Hosting, Speicherung, Übermittlung und Sicherung der vom Verantwortlichen eingegebenen Anwendungsdaten.

Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus § 11 (Löschung und Rückgabe) bestehen darüber hinaus fort, bis sie erfüllt sind.

Die Verarbeitung umfasst das Erheben, Speichern, Verändern, Übermitteln an berechtigte Nutzer, Sichern und Löschen der Anwendungsdaten. Zweck ist ausschließlich die Organisation der Versammlung des Verantwortlichen — insbesondere Gebietsverwaltung, Versammlungsplanung, Predigtdienst, Benachrichtigungen und interne Organisation.

Verarbeitet werden insbesondere folgende Datenarten, soweit der Verantwortliche sie eingibt oder ihre Erhebung konfiguriert:

Konto- und Stammdaten

Name, Benutzername, ggf. E-Mail-Adresse, Rolle, Berechtigungen, Gruppen- und Familienzuordnung

Organisationsdaten

Aufgaben, Zuteilungen, Termine, Verfügbarkeiten, Berichte zum Predigtdienst

Gebietsdaten

Gebietsgrenzen, Adresslisten, Bearbeitungsstände sowie Nicht-Besuchen-Vermerke mit Straße, Hausnummer, optionaler Notiz und Koordinaten — auch über Personen, die congrega nicht nutzen

Kontaktdaten Dritter

Profile öffentlicher Redner und Ansprechpartner anderer Versammlungen mit Name, Telefonnummer, E-Mail-Adresse und Notizen

Standortdaten

temporäre Live-Standorte während einer aktiven Gebiets-Zusammenarbeit (nur innerhalb des Gebiets zzgl. eines Puffers)

Technische Daten

Push-Tokens, Geräte- und Sitzungsdaten, sicherheitsrelevante Protokolle (Audit-Log)

• Nutzer der Anwendung (Verkündiger, Administratoren) und ggf. deren Familienangehörige
• Wohnungsinhaber, zu denen Nicht-Besuchen-Vermerke geführt werden (keine Nutzer)
• öffentliche Redner und Ansprechpartner anderer Versammlungen (keine Nutzer)

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Weisungen bedürfen der Textform. Die Nutzung der Anwendung durch den Verantwortlichen und seine Nutzer gilt als Weisung im Rahmen des bestimmungsgemäßen Funktionsumfangs. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dies gilt auch für künftig hinzugezogenes Personal.

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen und entwickelt sie entsprechend dem Stand der Technik weiter:

• Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
• Passwort-Speicherung ausschließlich als bcrypt-Hash
• Token-basierte Anmeldung mit rotierenden Refresh-Tokens; Speicherung nur als Hash
• Rollen- und berechtigungsbasierte Zugriffskontrolle je Versammlung (Mandantentrennung)
• Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log) ohne Speicherung der Inhaltsdaten
• Hosting und Datenhaltung auf Servern innerhalb der Europäischen Union
• Regelmäßige Datensicherungen und zeitnahes Einspielen von Sicherheitsupdates
• Datenbankzugriff nur aus dem internen System, nicht öffentlich erreichbar

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der unten genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von vier Wochen widersprechen. Mit jedem Unterauftragsverarbeiter werden die nach Art. 28 Abs. 4 DSGVO erforderlichen Pflichten vereinbart.

Derzeit eingesetzte Unterauftragsverarbeiter:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Betrieb des Servers, auf dem Anwendung und Datenbank gehostet werden (Rechenzentren in Deutschland/EU)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Zustellung von Push-Benachrichtigungen an Android-Geräte über Firebase Cloud Messaging (Push-Token und minimaler Benachrichtigungsinhalt)

Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland

Zustellung von Push-Benachrichtigungen an iOS-Geräte über den Apple Push Notification service (Push-Token und minimaler Benachrichtigungsinhalt)

Kartendarstellung (OpenStreetMap-Kachelserver) und das Laden von Kartenbibliotheken erfolgen direkt vom Endgerät des Nutzers und sind keine Unterauftragsverarbeitung; Einzelheiten enthält die Datenschutzerklärung. Server-seitige Geokodierungsanfragen (Nominatim/Overpass) übermitteln Adressdaten ohne Personenbezug zum Nutzerkonto.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) zu beantworten. Anträge, die unmittelbar beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, und stellt die für die Meldung nach Art. 33, 34 DSGVO erforderlichen Informationen zur Verfügung, soweit sie ihm vorliegen.

Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die Anwendungsdaten auf Wunsch des Verantwortlichen in einem gängigen Format zurück. Anschließend — spätestens 90 Tage nach Vertragsende — löscht er sämtliche Anwendungsdaten einschließlich Sicherungskopien, soweit nicht eine gesetzliche Aufbewahrungspflicht die weitere Speicherung erfordert.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Kontrollen erfolgen vorrangig durch die Bereitstellung geeigneter Dokumentation; darüber hinausgehende Überprüfungen einschließlich Inspektionen werden mit angemessener Frist angekündigt und so durchgeführt, dass der Betrieb nicht unverhältnismäßig gestört wird.

Es gilt das Recht der Bundesrepublik Deutschland. Im Hinblick auf datenschutzrechtliche Fragen geht dieser AVV den AGB vor.

Dieser AVV liegt in deutscher und englischer Sprache vor. Bei Abweichungen ist allein die deutsche Fassung maßgeblich.