Auftragsverarbeitungsvertrag (AVV)

Art. 1 – Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand der Auftragsverarbeitung ist die technische Entgegennahme, Speicherung, Verarbeitung und Weitergabe von druckfertigen PDF-Dateien sowie zugehöriger Bestell- und Adressdaten zum Zweck der Produktion und Lieferung von Kirchenbuch-Druckerzeugnissen.

(2) Die Verarbeitung beginnt mit der Auftragserteilung (Absenden der Bestellung auf kirchenbuch-druck.de) und endet mit der vollständigen Löschung aller personenbezogenen Daten nach Auftragsabschluss und Ablauf der gesetzlichen Aufbewahrungsfristen.

(3) Die Verarbeitung erfolgt auf unbestimmte Zeit und gilt für jeden einzelnen Auftrag, der über die Plattform erteilt wird.

Art. 2 – Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Entgegennahme und verschlüsselte Speicherung von PDF-Dateien, die personenbezogene Daten enthalten können (z.B. Namen, Geburtsdaten, Tauf-/Traudaten in Kirchenbüchern)
• Speicherung von Bestell- und Adressdaten (Name der Kirchengemeinde, Liefer- und Rechnungsadresse, E-Mail-Adresse, Ansprechpartner)
• Weitergabe der Druckdaten und Adressdaten an den Unterauftragnehmer (Druckdienstleister) zur Produktion und Lieferung
• Versand von Statusbenachrichtigungen per E-Mail
• Löschung aller Daten nach Auftragsabschluss

Art. 3 – Art der personenbezogenen Daten

Folgende Arten personenbezogener Daten werden verarbeitet:

Bestelldaten des Kunden

• Name und Anschrift der Kirchengemeinde/Organisation
• Liefer- und Rechnungsadresse
• E-Mail-Adresse des Ansprechpartners
• Bestelldetails (Format, Menge, Seitenzahl)

Inhalte der PDF-Dateien

• Namen von Personen (Täuflinge, Eltern, Trauzeugen, etc.)
• Geburtsdaten und -orte
• Tauf-, Trau- und Bestattungsdaten
• Historische Kirchenbucheinträge mit personenbezogenen Angaben

Art. 4 – Kategorien betroffener Personen

• Ansprechpartner und Mitarbeitende der bestellenden Kirchengemeinde
• In den Kirchenbüchern genannte Personen (historisch und aktuell)

Art. 5 – Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Die personenbezogenen Daten nur im Rahmen der Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
• Die mit der Datenverarbeitung befassten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO)
• Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe Art. 8 dieses Vertrags)
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO)
• Nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten zu löschen (Art. 28 Abs. 3 lit. g DSGVO)
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen

Art. 6 – Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.

(2) Derzeit werden folgende Unterauftragsverarbeiter eingesetzt:

(3) Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informieren. Der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

(4) Der Auftragsverarbeiter stellt sicher, dass jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, wie sie in diesem Vertrag festgelegt sind.

Art. 7 – Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Anfragen betroffener Personen gemäß Art. 15 bis 22 DSGVO.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieser die Anfrage unverzüglich an den Verantwortlichen weiterleiten.

Art. 8 – Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende Maßnahmen gemäß Art. 32 DSGVO implementiert:

Art. 9 – Löschung und Rückgabe von Daten

(1) Nach Abschluss des Auftrags (Status "Geliefert") werden die hochgeladenen PDF-Dateien innerhalb von 90 Tagen automatisch und unwiderruflich gelöscht.

(2) Bestelldaten (Adressen, Bestellnummern) werden gemäß den gesetzlichen Aufbewahrungsfristen (insbesondere steuerrechtlich: 10 Jahre nach § 147 AO) aufbewahrt und danach gelöscht.

(3) Der Verantwortliche kann jederzeit die vorzeitige Löschung seiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(4) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

Art. 10 – Meldepflichten bei Datenschutzverletzungen

(1) Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich informieren, wenn er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens: die Art der Datenschutzverletzung, die betroffenen Kategorien und ungefähre Anzahl betroffener Personen, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen.

Art. 11 – Schlussbestimmungen

(1) Dieser Auftragsverarbeitungsvertrag wird mit der Auftragserteilung (Absenden der Bestellung auf kirchenbuch-druck.de) durch den Verantwortlichen angenommen und gilt für die Dauer der Geschäftsbeziehung.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Kontakt für Datenschutzanfragen