Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Zwischen

Verantwortlicher (Auftraggeber):

[NAME DER GEMEINDE]

[ANSCHRIFT DER GEMEINDE]

– nachfolgend „Gemeinde" –

Auftragsverarbeiter:

Simon Scholz

c/o Block Services, Stuttgarter Str. 106

70736 Fellbach

E-Mail: info@churchbee.de

– nachfolgend „ChurchBee" –

§ 1 Gegenstand und Dauer

(1) ChurchBee verarbeitet personenbezogene Daten im Auftrag der Gemeinde im Rahmen der Nutzung der Software-as-a-Service-Plattform ChurchBee (app.churchbee.de).

(2) Der Vertrag gilt für die Dauer der Nutzung von ChurchBee durch die Gemeinde.

§ 2 Art und Zweck der Verarbeitung

ChurchBee verarbeitet folgende personenbezogene Daten im Auftrag der Gemeinde:

Betroffene Personen:

Mitglieder und Mitarbeitende der Gemeinde

Kategorien personenbezogener Daten:

Vorname, Nachname
E-Mail-Adresse
Telefonnummer (optional, soweit von der Gemeinde gepflegt)
Anschrift der Gemeinde (Straße, PLZ, Ort)
Dienstplan-Zuordnungen und Rückmeldungen
Abwesenheiten (Zeitraum und Grund)
Benachrichtigungseinstellungen und Push-Kennungen (Web-Push-Abonnement bzw. Geräte-Kennung der ChurchBee-App, Plattform sowie Zeitpunkt und Version der Einwilligung)
Kommunikationsinhalte (Chat-Nachrichten innerhalb der Plattform)
Ablaufplan-Zuordnungen (Namensbezüge in Veranstaltungs-Abläufen)
Lokal auf dem Gerät gespeicherte Daten der ChurchBee-App (Anmeldeschlüssel im Schlüsselspeicher des Betriebssystems, zuletzt geladene Inhalte als Zwischenspeicher; beim Abmelden gelöscht)

Zweck der Verarbeitung:

Verwaltung von Gemeindeveranstaltungen
Dienstplanung und Koordination
Interne Kommunikation innerhalb der Gemeinde
Versand von System- und Benachrichtigungs-E-Mails sowie – soweit die Gemeinde dies zulässt (§ 5 Abs. 4) – Push-Benachrichtigungen

Hinweis zu besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Zuordnung einer Person als Mitglied oder Mitarbeitende der Gemeinde offenbart deren religiöse Überzeugung im Sinne von Art. 9 Abs. 1 DSGVO. Die Verarbeitung erfolgt auf Grundlage von Art. 9 Abs. 2 lit. d DSGVO (rechtmäßige Tätigkeit einer Vereinigung mit religiöser Zielsetzung, bezogen ausschließlich auf deren Mitglieder bzw. Personen, die mit ihr regelmäßig Kontakt unterhalten, sofern die Daten nicht ohne Einwilligung der betroffenen Personen nach außen weitergegeben werden). Die Gemeinde ist als Verantwortliche für das Vorliegen dieser Voraussetzungen verantwortlich.

§ 3 Pflichten von ChurchBee

(1) ChurchBee verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Gemeinde – einschließlich der in diesem Vertrag geregelten Verarbeitungen.

(2) ChurchBee stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

(3) ChurchBee ergreift alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe § 7).

(4) ChurchBee unterstützt die Gemeinde bei der Erfüllung von Betroffenenanfragen (Auskunft, Löschung, Berichtigung) im Rahmen des technisch Möglichen.

(5) ChurchBee löscht alle personenbezogenen Daten nach Beendigung der Nutzung oder auf Weisung der Gemeinde, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(6) ChurchBee stellt der Gemeinde alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, soweit dies verhältnismäßig ist.

§ 4 Pflichten der Gemeinde

(1) Die Gemeinde ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere dafür, dass eine Rechtsgrundlage für die Verarbeitung der übermittelten Daten besteht.

(2) Die Gemeinde informiert ChurchBee unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt.

(3) Die Gemeinde benennt auf Anfrage einen Ansprechpartner für datenschutzrechtliche Fragen.

§ 5 Unterauftragsverarbeiter

(1) ChurchBee setzt folgende Unterauftragsverarbeiter ein:

Unternehmen	Zweck	Ort
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur	Hosting, Serverbetrieb und Backup-Speicher (Objektspeicher)	Deutschland
Brevo SAS, 7 rue de Madrid, 75008 Paris, Frankreich	Versand von System- und Transaktions-E-Mails (Kontoaktivierung, Dienstplan-Benachrichtigungen, Keycloak-Systemmails) per SMTP-Relay; Verwaltung einer Marketing-Kontaktliste (Name, E-Mail-Adresse) im Double-Opt-in-Verfahren für Nutzer, die der Marketing-Kommunikation zugestimmt haben	EU
Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA	Zustellung von Push-Benachrichtigungen an Android- und iOS-Geräte der ChurchBee-App über Firebase Cloud Messaging; bei iOS leitet Google die Benachrichtigung über den Push-Dienst von Apple (Apple Inc., USA) weiter. Nur, wenn die Gemeinde Push zugelassen hat (Absatz 4)	USA (Drittland), siehe § 8

(2) ChurchBee schließt mit Unterauftragsverarbeitern einen Vertrag gemäß Art. 28 DSGVO ab.

(3) Die Beauftragung weiterer Unterauftragsverarbeiter wird der Gemeinde vorab mitgeteilt. Die Gemeinde kann Einwände erheben.

(4) Push-Benachrichtigungen werden nur zugestellt, soweit die Gemeinde sie in den Einstellungen von ChurchBee zugelassen hat. Die Zulassung ist eine Weisung im Sinne von § 3 Abs. 1 und kann jederzeit widerrufen werden. Sie gilt für Web-Push, dessen Zustellung über die Push-Dienste der Browser-Hersteller erfolgt, und für Push in der ChurchBee-App über Google. Ohne Zulassung erfolgt kein Versand, es werden keine Push-Kennungen gespeichert und vorhandene Push-Anmeldungen werden entfernt; Benachrichtigungen erhalten die Mitarbeitenden dann per E-Mail. Eine neue Gemeinde entscheidet bei der ersten Anmeldung einmalig, ob sie Push zulässt; bis zu dieser Entscheidung ist Push ausgeschaltet.

§ 6 Datenpannen

ChurchBee meldet der Gemeinde Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden per E-Mail. Die Gemeinde ist selbst für die Meldung an die zuständige Aufsichtsbehörde verantwortlich.

§ 7 Technische und organisatorische Maßnahmen (TOM)

ChurchBee trifft folgende Maßnahmen zum Schutz personenbezogener Daten:

Zugriffskontrolle:

Authentifizierung aller Nutzer via Keycloak (PKCE Flow)
Rollenbasierte Zugriffsrechte (Administrator, Leiter, Teammitglied)
HttpOnly Cookies, kein Token im Browser-Kontext
ChurchBee-App: Anmeldung über Keycloak (PKCE) im Systembrowser; der Anmeldeschlüssel liegt im Schlüsselspeicher des Betriebssystems, das Zugriffstoken nur im Arbeitsspeicher
Erhöhte Schutzmaßnahmen für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) gemäß Art. 32 DSGVO (strikte Zweckbindung, Mandantentrennung, rollenbasierte Zugriffsbeschränkung)
Schutz vor wiederholten Anmeldeversuchen: temporäre Kontosperre nach Fehlversuchen und Begrenzung der Anfragen an Anmelde-Endpunkte
Verwaltungsoberfläche des Anmeldedienstes nicht öffentlich erreichbar

Übertragungssicherheit:

Verschlüsselte Übertragung via HTTPS/TLS

Verfügbarkeit:

Hosting auf einem virtuellen Server (VPS) bei IONOS in Deutschland
Tägliche Datensicherung in den IONOS-Objektspeicher, Region Frankfurt am Main; die Sicherungen werden bereits vor der Übertragung verschlüsselt und nach 7 Tagen automatisch gelöscht
Überwachung der Datensicherung mit automatischem Alarm, wenn eine Sicherung ausbleibt oder fehlschlägt
Dokumentiertes und erprobtes Verfahren zur Wiederherstellung; der Sicherungsprozess wird vor größeren Versionsänderungen geprüft

Datentrennung:

Mandantentrennung: jede Gemeinde sieht ausschließlich ihre eigenen Daten

Protokollierung:

Technische Protokolle und Fehlerberichte werden zentral erfasst und nach 14 Tagen automatisch gelöscht

Organisatorische Maßnahmen und Überprüfung:

Zugriff auf Server, Hosting- und Auslieferungskonten hat ausschließlich der Betreiber; Mitarbeitende oder Dritte haben keinen Zugriff, abgesehen von den Unterauftragsverarbeitern nach § 5
Zugänge zu Hosting- und Auslieferungskonten sind durch Zwei-Faktor-Anmeldung geschützt; Zugangsdaten liegen in einem verschlüsselten Passwort-Safe bzw. als geschützte Variablen der Auslieferung, nicht im Quellcode
Arbeitsgeräte des Betreibers: verschlüsselte Datenträger, Bildschirmsperre
Täglicher automatischer Schwachstellenscan der Abhängigkeiten und regelmäßige Sicherheitsprüfungen der Software
Verfahren zum Umgang mit Datenschutzverletzungen (siehe § 6)

Ein ausführliches TOM-Konzept stellt ChurchBee der Gemeinde auf Anfrage zur Verfügung.

§ 8 Speicherort

(1) Alle personenbezogenen Daten der Gemeinde werden auf Servern in Deutschland verarbeitet und gespeichert.

(2) Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet ausschließlich statt, wenn die Gemeinde Push-Benachrichtigungen zugelassen hat (§ 5 Abs. 4). Dabei werden Push-Kennung, IP-Adresse, Zeitpunkt sowie Titel, Kurztext und Verweis der Benachrichtigung an Google (USA), bei iOS-Geräten weiter an Apple (USA) und bei Web-Push an den Push-Dienst des jeweiligen Browser-Herstellers übermittelt. Die Texte nennen, worum es geht (z. B. den Namen eines Dienstes oder einer Veranstaltung), aber nicht, wer etwas getan oder geschrieben hat, und enthalten keine Nachrichteninhalte.

(3) Grundlage der Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, hilfsweise die ausdrückliche Einwilligung der betroffenen Person (Art. 49 Abs. 1 lit. a DSGVO), die sie je Gerät erteilt und jederzeit widerrufen kann.

§ 9 Laufzeit und Kündigung

(1) Dieser Vertrag gilt ab dem Zeitpunkt der Aktivierung des ChurchBee-Accounts der Gemeinde.

(2) Der Vertrag endet automatisch mit der Beendigung der Nutzung von ChurchBee durch die Gemeinde.

(3) Nach Vertragsende – Ablauf der Testphase ohne Zahlungsmethode oder wirksame Kündigung – wird der Zugang der Gemeinde gesperrt. 90 Tage nach der Sperre löscht ChurchBee alle personenbezogenen Daten der Gemeinde endgültig, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Gemeinde wird sieben Tage vor der Löschung an ihre Kontaktadresse informiert.

(4) Bis zur Löschung kann die Gemeinde nach ihrer Wahl die Herausgabe einer Kopie ihrer Daten verlangen (Art. 28 Abs. 3 lit. g DSGVO). Auf Weisung der Gemeinde löscht ChurchBee die Daten auch sofort.

(5) Datensicherungen werden nach 7 Tagen, technische Protokolle nach 14 Tagen automatisch gelöscht; gelöschte Daten sind spätestens danach auch dort entfernt. Rechnungen und Zahlungsbelege werden außerhalb von ChurchBee in der Buchhaltung des Auftragsverarbeiters nach § 147 AO 8 Jahre aufbewahrt.

§ 10 Schlussbestimmungen

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Änderungen und Ergänzungen bedürfen der Textform.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

§ 11 Körperschaften des öffentlichen Rechts

Sollte die Gemeinde als Körperschaft des öffentlichen Rechts dem kirchlichen Datenschutzrecht (z. B. DSG-EKD oder KDG) statt der DSGVO unterliegen, gilt dieser Vertrag als Grundlage für eine inhaltlich entsprechende, an die jeweilige kirchenrechtliche Datenschutzordnung angepasste Vereinbarung. ChurchBee stellt der Gemeinde auf Anfrage eine entsprechend angepasste Fassung dieses Vertrags zur Verfügung.

Stand: November 2026