myteo
DE
Versammlung registrierenRegistrieren
← Zurück zur Startseite

Vertrag zur Auftragsverarbeitung

Gültig ab 1. November 2026

Der Vertrag besteht aus Teil A (Vereinbarungen der Parteien), Teil B (Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß dem Durchführungsbeschluss (EU) 2021/915 der Kommission) und den Anlagen I–IV. Die Klauseln sind amtlich in alle Sprachen der EU übersetzt, daher entstehen die Sprachfassungen des Vertrags durch Übernahme des amtlichen Wortlauts und Übersetzung von Teil A und der Anlagen.

Teil A – Vereinbarungen der Parteien

Dieser Teil ergänzt die Standardvertragsklauseln in Teil B (Klausel 2 Buchstabe b). Nichts darin darf so ausgelegt werden, dass es im Widerspruch zu den Klauseln steht oder die Rechte der betroffenen Personen einschränkt; im Fall eines Widerspruchs haben die Klauseln Vorrang (Klausel 4).

A.1 Parteien. Auftragsverarbeiter ist der Betreiber des Dienstes myteo (Anlage I). Kunde ist die Person, die den Vertrag für die Zwecke der beim Vertragsschluss angegebenen Versammlung schließt. Sie erklärt, dass sie Verantwortlicher für die personenbezogenen Daten ist oder berechtigt ist, im Namen des Verantwortlichen zu handeln, den sie beim Vertragsschluss angibt (Religionsgemeinschaft oder sonstige Stelle, deren Bestandteil die Versammlung ist, Versammlung mit eigener Rechtspersönlichkeit, oder die Ältesten der Versammlung als gemeinsam Verantwortliche), und diesen Vertrag in seinem Namen zu schließen. Ist sie dazu nicht berechtigt, ist sie aus dem Vertrag selbst verpflichtet. Der Verantwortliche ist in Anlage I angegeben.

A.2 Abschluss. Der Vertrag wird in elektronischer Form (Art. 28 Abs. 9 DSGVO) durch Bestätigung in der Anwendung MYJW geschlossen (bei der Registrierung der Versammlung oder unter Verwaltung → Versammlung → Datenschutz). Der Auftragsverarbeiter bewahrt einen Nachweis über den Abschluss auf (Version und Fingerabdruck des Vertragstextes, Datum und Uhrzeit, die Person und ihr Konto, die Versammlung, der angegebene Verantwortliche, die Erklärung nach Art. A.1, IP-Adresse und Browser) und sendet dessen Bestätigung mit dem Vertragstext an die Kontakt-E-Mail der Versammlung.

A.3 Verhältnis zum Dienstvertrag. Der Vertrag ist Bestandteil des Vertrags über die Erbringung des Dienstes myteo (Allgemeine Geschäftsbedingungen) und gilt für dessen gesamte Laufzeit und darüber hinaus bis zur Löschung oder Rückgabe der Daten nach Art. A.9.

A.4 Weisungen des Verantwortlichen. Dokumentierte Weisungen des Verantwortlichen (Klausel 7.1) sind: dieser Vertrag, die Einstellung und Nutzung der Funktionen der Anwendung durch berechtigte Benutzer der Versammlung sowie Weisungen, die von der Kontakt-E-Mail der Versammlung oder von einer Person mit der Rolle Verwalter der Versammlung in der Anwendung gesendet werden.

A.5 Kontakte und Mitteilungen. Der Auftragsverarbeiter sendet Mitteilungen nach diesem Vertrag an die Kontakt-E-Mail der Versammlung und zeigt sie zugleich den Verwaltern der Versammlung in der Anwendung an. Für die Aktualität der Kontakt-E-Mail ist der Kunde verantwortlich. Der Verantwortliche sendet Mitteilungen an den Kontakt des Auftragsverarbeiters in Anlage I.

A.6 Unterauftragsverarbeiter. Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung (Klausel 7.7 Buchstabe a, Option 2) für den Einsatz der Unterauftragsverarbeiter in Anlage IV. Über eine beabsichtigte Änderung informiert der Auftragsverarbeiter nach Art. A.5 mindestens 30 Tage im Voraus. Bis zum Ende dieser Frist kann der Verantwortliche einen begründeten Einwand erheben; erhebt er keinen, gilt er als mit der Änderung einverstanden. Gibt der Auftragsverarbeiter dem Einwand nicht statt, kann der Kunde den Dienstvertrag zum Tag des Wirksamwerdens der Änderung kündigen, und der Auftragsverarbeiter erstattet ihm den anteiligen Preis für den nicht verbrauchten vorausbezahlten Zeitraum.

A.7 Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter informiert den Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten (Klausel 9.2) unverzüglich, spätestens innerhalb von 48 Stunden nach deren Feststellung, in dem Umfang nach Klausel 9.2 und Anlage III Punkt 11.

A.8 Informationen und Prüfungen. Der Auftragsverarbeiter stellt auf Anfrage innerhalb von 30 Tagen die zum Nachweis der Einhaltung erforderlichen Informationen bereit (Klausel 7.6), insbesondere eine aktuelle Beschreibung der Maßnahmen und einen ausgefüllten Fragebogen. Eine Prüfung vor Ort oder durch einen unabhängigen Prüfer ist in angemessenen Abständen möglich, in der Regel höchstens einmal jährlich, und stets, wenn es Anzeichen für eine Nichteinhaltung gibt, wenn es zu einer Verletzung des Schutzes personenbezogener Daten gekommen ist oder eine Aufsichtsbehörde darum ersucht. Sie wird mindestens 30 Tage im Voraus angekündigt (in den übrigen genannten Fällen mit angemessen kürzerer Frist), der Prüfer ist zur Verschwiegenheit verpflichtet und die Kosten der Prüfung trägt der Verantwortliche, es sei denn, die Prüfung weist einen schwerwiegenden Verstoß des Auftragsverarbeiters gegen diesen Vertrag nach. Der Auftragsverarbeiter berechnet für die Mitwirkung an der Prüfung keine Gebühren.

A.9 Vertragsende, Rückgabe und Löschung (Klausel 10 Buchstabe d). Der Dienstvertrag endet, wenn der Verantwortliche die Löschung der Versammlung verlangt, oder 12 Monate nach Ende des Abonnements, wenn die Versammlung es bis dahin nicht erneuert (Allgemeine Geschäftsbedingungen, Art. 5). Die Rückgabe der Daten erfolgt über die Exportfunktion in der Anwendung, die den Verwaltern der Versammlung während der gesamten Vertragsdauer zur Verfügung steht, auch in der Zeit, in der die Versammlung nach Ende des Abonnements gesperrt ist. Der Auftragsverarbeiter löscht alle personenbezogenen Daten der Versammlung aus den Betriebssystemen spätestens innerhalb von 60 Tagen und aus den Sicherungen spätestens innerhalb von 90 Tagen nach Vertragsende. Die Löschung bestätigt er an die Kontakt-E-Mail der Versammlung.

A.10 Haftung. Der Auftragsverarbeiter haftet dem Kunden für Schäden, die durch einen Verstoß gegen diesen Vertrag verursacht werden, höchstens bis zu einem Betrag in Höhe des für den Dienst in den letzten 12 Monaten gezahlten Preises, mindestens jedoch bis zu 25 000 CZK. Die Begrenzung gilt nicht für vorsätzlich oder grob fahrlässig verursachte Schäden und nicht für Verletzungen der natürlichen Rechte des Menschen. Die Haftung gegenüber betroffenen Personen (Art. 82 DSGVO) und die Pflichten nach der DSGVO bleiben unberührt.

A.11 Vertragsänderungen. Die Anlagen aktualisiert der Auftragsverarbeiter entsprechend den tatsächlichen Verhältnissen (Klausel 2 Buchstabe a); eine Änderung der Anlage IV teilt er nach Art. A.6 mit. Eine Änderung von Teil A teilt der Auftragsverarbeiter nach Art. A.5 mindestens 30 Tage vor dem Wirksamwerden mit. Der Kunde kann sie ablehnen und den Dienstvertrag zum Tag des Wirksamwerdens der Änderung kündigen; der Auftragsverarbeiter erstattet ihm den anteiligen Preis für den nicht verbrauchten vorausbezahlten Zeitraum. Eine wesentliche Änderung bestätigt der Kunde in der Anwendung.

A.12 Anwendbares Recht. Der Vertrag unterliegt dem Recht der Tschechischen Republik. Für Streitigkeiten ist das allgemeine Gericht des Auftragsverarbeiters zuständig; zwingende Verbraucherschutzvorschriften und Art. 79 DSGVO bleiben unberührt.

Teil B – Standardvertragsklauseln

Die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern im Anhang des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 (ABl. L 199 vom 7.6.2021, S. 18) sind in ihrem amtlichen Wortlaut Bestandteil dieses Vertrags, deutsche Fassung auf EUR-Lex, mit folgenden gewählten Optionen: Klauseln 1, 8 und 9 – Verordnung (EU) 2016/679; Klausel 5 (Kopplungsklausel) findet keine Anwendung; Klausel 7.7 – Option 2 (allgemeine schriftliche Genehmigung) mit einer Frist von 30 Tagen. Die Anhänge der Klauseln sind die nachstehenden Anlagen I–IV.

Anlage I – Liste der Parteien

Verantwortlicher: die Stelle, die der Kunde beim Vertragsschluss angibt (Art. A.1), d. h. je nach Situation: die Religionsgemeinschaft oder sonstige Stelle, deren Bestandteil die Versammlung ist; eine Versammlung mit eigener Rechtspersönlichkeit; oder die Ältesten der Versammlung als gemeinsam Verantwortliche. Versammlung: Name, Land und Kennung der Versammlung in MYJW. Für den Verantwortlichen handelt: der Kunde – Name, E-Mail und Rolle in der Versammlung. Kontakt-E-Mail für den Datenschutz: die unter Verwaltung → Versammlung → Datenschutz eingestellte E-Mail (standardmäßig die E-Mail des Kunden). Die Angaben werden in der Anwendung geführt und beim Vertragsschluss per E-Mail gesendet. Unterschrift und Datum: elektronische Bestätigung in der Anwendung (Art. A.2).

Auftragsverarbeiter: Tomáš Leitl, Einzelunternehmer, IČO 03857867, Geschäftssitz Nad Stadionem 355, 267 01 Králův Dvůr, Betreiber des Dienstes myteo. Kontakt für den Datenschutz: info@myjw.app. Unterschrift und Datum: durch Veröffentlichung dieser Vertragsversion und ihre Bestätigung durch den Verantwortlichen.

Anlage II – Beschreibung der Verarbeitung

Kategorien betroffener Personen

Kategorien personenbezogener Daten

Sensible Daten Die Daten lassen auf die religiöse Überzeugung schließen (Zugehörigkeit zu einer Versammlung von Jehovas Zeugen), es handelt sich also um eine besondere Kategorie von Daten nach Art. 9 DSGVO. Besondere Beschränkungen und Garantien (Klausel 7.5): die sensibelsten Daten (Predigtdienstberichte, Adresse, Geburts- und Taufdatum) verschlüsselt der Browser mit dem Versammlungsschlüssel, den der Auftragsverarbeiter nicht kennt; Zugriff in der Anwendung nur gemäß den vom Verantwortlichen eingestellten Rollen und Berechtigungen; keine Weitergabe an Dritte und keine Verwendung für andere Zwecke (Analysen nur aggregiert und ohne Identifizierung von Personen); Server und Sicherungen nur in der Tschechischen Republik; die Daten verarbeitet der Auftragsverarbeiter persönlich.

Art der Verarbeitung Betrieb der Webanwendung MYJW: Speichern, Ordnen, Suchen und Bereitstellen der Daten für die Benutzer der Versammlung gemäß Berechtigung, Versand von Benachrichtigungen per E-Mail und Push, Export, Sicherung, Wiederherstellung und Löschung.

Zweck der Verarbeitung Erbringung des Dienstes myteo für die Versammlung: Organisation der Tätigkeit der Versammlung (Zusammenkünfte, Predigtdienst, Gebiete, Trolleys, Predigtdienstberichte, Abwesenheiten) gemäß dem Vertrag über die Erbringung des Dienstes.

Dauer der Verarbeitung Für die Dauer des Vertrags über die Erbringung des Dienstes myteo. Nach dessen Ende gemäß Teil A, Art. A.9 (Löschung aus den Betriebssystemen innerhalb von 60 Tagen, aus den Sicherungen innerhalb von 90 Tagen).

Unterauftragsverarbeiter: siehe Anlage IV.

Anlage III – Technische und organisatorische Maßnahmen

  1. Verschlüsselung. Der gesamte Verkehr läuft über HTTPS (TLS). Predigtdienstberichte und sensible Felder (Adresse, Geburts- und Taufdatum) verschlüsselt der Browser mit dem Versammlungsschlüssel (AES-GCM 256); der Schlüssel wird nur zwischen Benutzern der Versammlung übergeben (ECDH P-256), der Auftragsverarbeiter kennt ihn nicht und kann den Inhalt nicht lesen. Passwörter: Der Prüfwert wird im Browser abgeleitet (PBKDF2) und auf dem Server wird nur sein bcrypt-Hash gespeichert.
  2. Trennung der Versammlungen und Zugriffssteuerung. Jeder Datensatz trägt die Kennung der Versammlung, der Server prüft sie bei jeder Anfrage. In der Anwendung entscheiden die vom Verantwortlichen eingestellten Rollen und Berechtigungen. Zugriff auf den Server hat nur der Auftragsverarbeiter (SSH-Schlüssel, ohne Passwörter); die Anwendung verwendet einen Datenbankbenutzer mit den geringsten nötigen Rechten. Die Konten beim Hosting, bei der Codeverwaltung und beim E-Mail-Dienst sind durch Zwei-Faktor-Authentifizierung geschützt.
  3. Standort. Server und Sicherungen befinden sich in der Tschechischen Republik (WEDOS). Kopien der Sicherungen beim Auftragsverarbeiter nur auf einem verschlüsselten Datenträger.
  4. Sicherungen und Wiederherstellung. Regelmäßige Sicherungen der Datenbank, aufbewahrt höchstens 30 Tage; die Wiederherstellung aus einer Sicherung wird regelmäßig getestet.
  5. Aufbewahrung. Betriebsprotokolle der Anwendung höchstens 12 Wochen, Protokolle des Webservers höchstens 14 Tage, Nutzungsanalysen nur ohne Identifizierung von Personen und höchstens 90 Tage, Papierkorb 24 Stunden, Standort 10 Minuten, Protokolle über versendete E-Mails höchstens 90 Tage.
  6. Datenminimierung. E-Mails und Push-Benachrichtigungen enthalten nur die für den jeweiligen Zweck nötigen Daten; Predigtdienstberichte und verschlüsselte Felder werden darin nicht versendet.
  7. Entwicklung und Tests erfolgen mit ausgedachten Beispieldaten, nicht mit Daten von Versammlungen.
  8. Schwachstellen und Aktualisierungen. Automatische Überwachung verwundbarer Abhängigkeiten, Prüfung auf geleakte geheime Schlüssel im Code, laufende Aktualisierung des Servers.
  9. Überwachung. Automatische Prüfung von Verfügbarkeit, Zertifikaten, Diensten und Alter der Sicherungen alle 15 Minuten.
  10. Unterstützung des Verantwortlichen (Klausel 8). Der Verantwortliche kann in der Anwendung Daten berichtigen, eine Person löschen (dauerhaft anonymisieren), die Daten einer Person und der ganzen Versammlung exportieren und die Liste der Unterauftragsverarbeiter herunterladen. Andere Anfragen bearbeitet der Auftragsverarbeiter innerhalb von 14 Tagen nach Eingang.
  11. Verletzung des Schutzes personenbezogener Daten (Klausel 9.2). Der Auftragsverarbeiter informiert die Kontakt-E-Mail der Versammlung spätestens innerhalb von 48 Stunden nach Feststellung und zeigt den Verwaltern in der Anwendung eine Mitteilung an. Die Mitteilung enthält auch: Zeitpunkt des Eintritts und der Feststellung, betroffene Funktionen, ob verschlüsselte Daten betroffen waren und ob der Versammlungsschlüssel offengelegt worden sein könnte, sowie empfohlene Schritte für die Versammlung (z. B. Austausch des Schlüssels, der Passwörter).
  12. Verschwiegenheit. Die Daten verarbeitet der Auftragsverarbeiter persönlich. Etwaige Mitarbeiter sind zur Verschwiegenheit verpflichtet und haben Zugriff nur im unbedingt nötigen Umfang.
  13. Aufzeichnungen und Dokumentation. Der Auftragsverarbeiter führt ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und eine Dokumentation von Verletzungen des Schutzes personenbezogener Daten. Den Versammlungen stellt er Unterlagen für die Datenschutz-Folgenabschätzung zur Verfügung (Muster DSFA).

Anlage IV – Liste der Unterauftragsverarbeiter

UnterauftragsverarbeiterSitzTätigkeitSpeicherort der Daten
WEDOS Internet, a.s., IČO 28115708Hluboká nad Vltavou, Tschechische RepublikServer der Anwendung, Datenbank, SicherungenTschechische Republik
[E-Mail-Anbieter – wird nach Auswahl ergänzt]EUVersand von E-Mail-BenachrichtigungenEU

Weitere Empfänger technischer Daten (keine Unterauftragsverarbeiter):