Diese Vorlage ist noch nicht vollständig
src/lib/legal/dpa.ts gefüllt werden: serverAccessControl, adminAccess, backupEncryption, backupRetention, reviewProcedure. Anlage 2 ist ohne diese Angaben kein wirksamer Nachweis nach Art. 32 DSGVO.Vertrag über die Verarbeitung personenbezogener Daten im Auftrag
nach Art. 28 DSGVO
§1 Vertragsparteien
Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO):
| Name der Einrichtung | |
|---|---|
| Anschrift | |
| Vertreten durch |
Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO):
TechCup — Lukas Taraba
Eicher Ringweg 1
87435 Kempten (Allgäu)
Deutschland
vertreten durch Lukas Taraba
info@techcup.net
§2 Gegenstand, Art und Zweck der Verarbeitung
Der Auftragnehmer betreibt für den Auftraggeber die Anwendung MediaDesk. Diese liest Termine aus der ChurchTools-Instanz des Auftraggebers aus, legt daraus Livestreams auf dem YouTube-Kanal des Auftraggebers an und trägt die Adresse des angelegten Streams in den jeweiligen Termin zurück.
Die Verarbeitung erfolgt ausschließlich zu diesem Zweck und ausschließlich auf Weisung des Auftraggebers. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.
Dauer: Der Vertrag läuft, solange der Auftragnehmer MediaDesk für den Auftraggeber betreibt.
§3 Kategorien betroffener Personen und Arten von Daten
| Kategorie betroffener Personen | Verarbeitete Daten |
|---|---|
| Nutzende der Anwendung beim Auftraggeber | Name, E-Mail-Adresse, Passwort als Hashwert, Rolle, Zeitpunkt der letzten Anmeldung |
| In ChurchTools eingeteilte Mitarbeitende | Namen aus den Diensten eines Termins, soweit sie in Titel oder Beschreibung des Streams eingesetzt werden |
| Zuschauende der Livestreams | ausschließlich zusammengefasste Zahlen (Aufrufe, durchschnittliche und höchste Zuschauerzahl). Es werden keine Daten einzelner Zuschauender verarbeitet. |
Zugangsdaten des Auftraggebers zu ChurchTools und Google werden verschlüsselt gespeichert (siehe Anlage 2).
§4 Weisungsrecht
Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Weisungen erfolgen in Textform an info@techcup.net. Die Einstellungen, die der Auftraggeber in der Anwendung vornimmt, gelten als Weisung.
Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
§5 Vertraulichkeit
Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
§6 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 2 beschrieben und Bestandteil dieses Vertrags. Der Auftragnehmer darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
§7 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der nachfolgend benannten Unterauftragsverarbeiter zu. Der Auftragnehmer schließt mit ihnen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO genügen.
| Dienstleister | Ort der Verarbeitung | Zweck | Daten |
|---|---|---|---|
| Mailgun Sinch Email (Mailgun Technologies, Inc.), EU-Niederlassung | Europäische Union (Rechenzentrumsregion Frankfurt am Main) | Versand der Betriebsbenachrichtigungen an die Verwaltenden des Auftraggebers | E-Mail-Adressen der Verwaltenden, Betreff und Inhalt der Störungsmeldungen (Terminbezeichnung, Fehlerursache) |
Der Betrieb der Anwendung selbst erfolgt auf eigener Infrastruktur des Auftragnehmers in Deutschland. Betrieb auf eigener Infrastruktur des Auftragnehmers. Es ist kein externer Rechenzentrumsdienstleister als Unterauftragsverarbeiter eingebunden. Auch die Datensicherungen erstellt und verwahrt der Auftragnehmer selbst.
Einen Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen im Voraus in Textform mit. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem Grund widersprechen; wird der Einsatz dennoch nötig, kann er den Vertrag kündigen.
Keine Unterauftragsverarbeiter sind Google und ChurchTools
Die Anwendung greift auf die ChurchTools-Instanz und den YouTube-Kanal des Auftraggebers zu. Zu beiden Anbietern unterhält der Auftraggeber eine eigene Vertragsbeziehung, und der Auftragnehmer handelt dort ausschließlich auf seine Weisung und mit seinen Zugangsdaten. Beide sind deshalb keine Unterauftragsverarbeiter des Auftragnehmers. Die datenschutzrechtliche Bewertung dieser Dienste obliegt dem Auftraggeber.
§8 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und antwortet nicht selbst.
Er unterstützt den Auftraggeber ferner bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.
§9 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber.
§10 Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten innerhalb von 30 Tage nach Beendigung des Vertrags, sofern der Auftraggeber nicht zuvor die Herausgabe verlangt. Auf Verlangen stellt der Auftragnehmer die Daten in einem gängigen Format bereit.
Datensicherungen werden nach TODO: Aufbewahrungsdauer der Sicherungen in Tagen angeben planmäßig überschrieben. Eine gesetzliche Aufbewahrungspflicht bleibt unberührt; für die Dauer der Aufbewahrung werden die Daten in der Verarbeitung eingeschränkt.
§11 Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach. Der Auftraggeber ist berechtigt, sich von der Einhaltung zu überzeugen; Kontrollen vor Ort werden mit angemessener Vorlaufzeit zu den üblichen Geschäftszeiten vereinbart und dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen.
§12 Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des zugrunde liegenden Hauptvertrags.
§13 Schlussbestimmungen
Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag für Fragen des Datenschutzes vor. Es gilt das Recht der Bundesrepublik Deutschland.
Anlage 1: Übersicht der Verarbeitungstätigkeiten
| Tätigkeit | Beschreibung |
|---|---|
| Termine abrufen | Regelmäßiger Abruf der Termine und Dienste aus der ChurchTools-Instanz des Auftraggebers über dessen Zugang. |
| Livestreams anlegen | Erzeugen der Übertragung auf dem YouTube-Kanal des Auftraggebers samt Titel, Beschreibung und Vorschaubild. |
| Link zurückschreiben | Anhängen der Streamadresse an den zugehörigen ChurchTools-Termin. |
| Reichweite erfassen | Speichern zusammengefasster Kennzahlen des Kanals und der einzelnen Übertragungen. |
| Benachrichtigen | Versand von E-Mails an die Verwaltenden des Auftraggebers bei Störungen und bei entzogenem Zugriff. |
| Konten verwalten | Anlegen, Einladen und Entfernen der Nutzenden des Auftraggebers. |
Anlage 2: Technische und organisatorische Maßnahmen
Maßnahmen nach Art. 32 DSGVO, Stand bei Vertragsschluss:
Vertraulichkeit
- Zutrittskontrolle: TODO: Standort der Server und Zutrittsschutz beschreiben
- Zugangskontrolle: Anmeldung mit persönlichem Konto und Passwort; Passwörter werden ausschließlich als Hashwert gespeichert. TODO: benennen, welche Personen administrativen Zugriff haben
- Zugriffskontrolle: Rollentrennung zwischen Verwaltung und Mitarbeit; jede Einrichtung sieht ausschließlich ihren eigenen Datenbestand, technisch durchgesetzt bei jedem Datenbankzugriff.
- Trennungskontrolle: Mandantenfähige Datenhaltung mit verpflichtender Zuordnung jedes Datensatzes zu genau einer Einrichtung.
Integrität
- Verschlüsselung im Ruhezustand: Zugangsdaten zu ChurchTools und Google werden mit AES-256-GCM verschlüsselt gespeichert. Kurzlebige Google-Zugriffstoken werden nie dauerhaft gespeichert.
- Verschlüsselung bei der Übertragung: Sämtliche Verbindungen erfolgen über TLS.
- Weitergabekontrolle: Eine Übermittlung an Dritte findet ausschließlich an die in §7 benannten Stellen statt.
Verfügbarkeit und Belastbarkeit
- Datensicherung: TODO: angeben, ob und wie Sicherungen verschlüsselt werden Aufbewahrung: TODO: Aufbewahrungsdauer der Sicherungen in Tagen angeben.
- Wiederherstellbarkeit: Der Datenbestand kann aus der Sicherung wiederhergestellt werden.
Überprüfung
- Verfahren zur regelmäßigen Überprüfung: TODO: Verfahren zur regelmäßigen Überprüfung der Maßnahmen beschreiben
- Auftragskontrolle: Weisungen werden in Textform erteilt und dokumentiert.
Unterschriften
| Auftraggeber | Auftragnehmer |
|---|---|
| Ort, Datum Unterschrift | Ort, Datum Unterschrift |