( 1 ) 1 Im Rahmen der Wahlen der Kirchenvorstände und der pastoralen Gremien gemäß den Bestimmungen der KV-WahlDVO vom 19. März 2025 (KA 2025, Nr. 48) und der PG-WahlDVO vom 19. März 2025 (KA 2025, Nr. 49), geändert am 09. Mai 2025 (KA 2025, Nr. 70), führt das Erzbistum Paderborn als Auftragsverarbeiter für die Kirchen-/Pfarrgemeinden (Verantwortliche gemäß § 4 Ziffer 9 KDG) die in Anlage 1 aufgeführten Datenverarbeitungen durch. 2 Dies umfasst im gegebenen Fall auch die aus den Kirchen-/Pfarrgemeinden erfolgende Bildung von pastoralen Gremien auf Ebene der Pastoralen Räume.

( 2 ) Die Auftragsverarbeitung beginnt nach zustimmender Erklärung des jeweiligen Kirchenvorstandes.

( 3 ) Diese Verordnung ist Rechtsinstrument im Sinne des § 29 Abs. 3 KDG und gesonderte Regelung im Sinne des § 13a Abs. 2 KV-WahlDVO und § 13a Abs. 2 PG-WahlDVO.

( 1 ) 1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich für die in § 2 aufgeführten Zwecke bzw. nur auf Grund dokumentierter Weisungen der Verantwortlichen, es sei denn, er ist nach dem kirchlichen Recht, dem Recht der Europäischen Union oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. 2 In einem solchen Fall teilt der Auftragsverarbeiter den Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine Mitteilung nicht wegen eines wichtigen kirchlichen oder öffentlichen Interesses untersagt.

( 2 ) Der Auftragsverarbeiter informiert die Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine erteilte Weisung gegen geltende Datenschutzbestimmungen der katholischen Kirche, der Europäischen Union oder eines Mitgliedstaats verstößt.

( 3 ) Die Verantwortlichen informieren den Auftragsverarbeiter unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter feststellen.

( 4 ) Eine Verarbeitung der überlassenen personenbezogenen Daten durch den Auftragsverarbeiter für andere, insbesondere für eigene Zwecke ist unzulässig.

( 1 ) 1 Der Auftragsverarbeiter bietet hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen des KDG erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet. 2 Hierzu trifft er mindestens die im Anlage 3 aufgeführten technischen und organisatorischen Maßnahmen. 3 Die Maßnahmen haben ein dem Risiko angemessenes Schutzniveau zu gewährleisten. 4 Bei der Beurteilung des angemessenen Schutzniveaus ist dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen, den Zwecken der Verarbeitung und der Datenkategorien (insbesondere nach § 11 KDG i.V.m. § 4 Nr. 2 KDG bzw. § 12 KDG) sowie den unterschiedlichen Eintrittswahrscheinlichkeiten und der Schwere des Risikos für die betroffenen Personen hinreichend Rechnung zu tragen.

( 2 ) 1 Die in Anlage 3 aufgeführten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. 2 Diese sind durch den Auftragsverarbeiter anzupassen, wenn das bei Vertragsschluss festgelegte Sicherheitsniveau nicht mehr gewährleistet werden kann. 3 Durch die Anpassung muss mindestens das Schutzniveau der bisherigen Maßnahmen erreicht werden. 4 Soweit nichts anderes bestimmt ist, teilt der Auftragsverarbeiter die Anpassungen dem Verantwortlichen unaufgefordert mit.

( 1 ) Der Auftragsverarbeiter gestaltet in seinem Verantwortungsbereich die innerbetriebliche Organisation so, dass er den besonderen Anforderungen des Datenschutzes gerecht wird.

( 2 ) 1 Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Auftrags unbedingt erforderlich ist. 2 Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

( 3 ) 1 Der Auftragsverarbeiter teilt den Verantwortlichen die Kontaktdaten seines betrieblichen Datenschutzbeauftragten mit. 2 Der Auftragsverarbeiter informiert unverzüglich und unaufgefordert über einen etwaigen Wechsel des betrieblichen Datenschutzbeauftragten.

( 4 ) 1 Der Auftragsverarbeiter ist verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten gemäß § 31 Abs. 2 KDG zu führen. 2 Dieses Verzeichnis haben die Verantwortlichen und ihr betrieblicher Datenschutzbeauftragter vorab erhalten. 3 Der Auftragsverarbeiter pflegt das Verzeichnis fortlaufend und stellt den Verantwortlichen und ihrem betrieblichen Datenschutzbeauftragten angepasste Versionen unaufgefordert und der Datenschutzaufsicht auf Anfrage zur Verfügung.

( 5 ) 1 Der Auftragsverarbeiter erbringt die Auftragsverarbeitung im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder innerhalb des Europäischen Wirtschaftsraums. 2 Die Verarbeitung von personenbezogenen Daten in einem Drittland bedarf stets der vorherigen dokumentierten Zustimmung der Verantwortlichen und darf nur erfolgen, wenn die besonderen gesetzlichen Voraussetzungen des KDG erfüllt sind.

( 1 ) 1 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter die Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung sowie einer ggf. erforderlichen Konsultation der Datenschutzaufsicht und bei Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. 2 Der Auftragsverarbeiter unterrichtet die Verantwortlichen unverzüglich über jede Geltendmachung von Rechten durch die von den Datenverarbeitungen betroffenen Personen.

( 2 ) Eine Unterstützung sichert der Auftragsverarbeiter bei der Prüfung von Datenschutzverletzungen und der Umsetzung etwaiger Melde- und Benachrichtigungspflichten zu sowie bei der Einhaltung der Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind.

( 3 ) Ferner unterstützt der Auftragsverarbeiter mit geeigneten technischen und organisatorischen Maßnahmen, damit die Verantwortlichen ihre bestehenden Pflichten gegenüber den betroffenen Personen erfüllen können.

( 1 ) 1 Der Auftragsverarbeiter darf Unterauftragsverarbeiter, die nicht in der Anlage 2 benannt sind, nur beauftragen, wenn die Verantwortlichen die Beauftragung vorher schriftlich genehmigt haben. 2 Der Auftragsverarbeiter stellt die Informationen, die der Verantwortliche benötigt, um über die Genehmigung zu entscheiden, rechtzeitig, mindestens jedoch drei Wochen vor der Beauftragung des betreffenden Unterauftragsverarbeiters, zur Verfügung. 3 Die Inanspruchnahme der in der Anlage 2 zum Zeitpunkt der Vertragsunterzeichnung aufgeführten Unterauftragsverarbeiter gilt als genehmigt, sofern die in § 6 Abs. 2 dieser Verordnung genannten Voraussetzungen umgesetzt werden.

( 2 ) 1 Ein Zugriff auf personenbezogene Daten durch den Unterauftragsverarbeiter darf erst erfolgen, wenn der Auftragsverarbeiter durch einen schriftlichen Vertrag, der auch in einem elektronischen Format abgeschlossen werden kann, mit dem Unterauftragsverarbeiter sicherstellt, dass die in dieser Regelung erfolgten Festlegungen auch gegenüber dem Unterauftragsverarbeiter gelten. 2 Der Auftragsverarbeiter stellt den Verantwortlichen auf Verlangen eine Kopie des Vertrags und etwaiger späterer Änderungen zur Verfügung. 3 Der Auftragsverarbeiter haftet gegenüber den Verantwortlichen im Rahmen des § 29 Abs. 5 S. 2 KDG dafür, dass der Unterauftragsverarbeiter seinen vertraglichen Pflichten nachkommt. 4 Der Auftragsverarbeiter benachrichtigt die Verantwortlichen über etwaige vertragliche Pflichtverletzungen des Unterauftragsverarbeiters.

( 3 ) Der Auftragsverarbeiter stellt bei einer Unterbeauftragung, die eine Übermittlung personenbezogener Daten in einen Drittstaat beinhaltet, die Einhaltung der Regelungen des § 29 Abs. 11 KDG i.V.m. § 40 Abs. 1 KDG sicher.

( 4 ) Der Auftragsverarbeiter schließt in den Fällen, in denen er einen Unterauftragsverarbeiter in Anspruch nimmt und in denen die Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne des Kapitels 5 des KDG beinhalten, mit dem Unterauftragsverarbeiter Standardvertragsklauseln nach § 40 Abs. 2 lit. a KDG i.V.m. Art. 46 Abs. 2 lit. c DSGVO, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

( 5 ) 1 Im Falle des § 6 Abs. 3 führt der Auftragsverarbeiter eine Prüfung nach den Klauseln 14 und 15 der Standardvertragsklauseln der jeweils zuständigen Aufsichtsbehörden durch und stellt diese den Verantwortlichen unaufgefordert zur Verfügung. 2 Kommen Auftragsverarbeiter oder Verantwortliche zu dem Ergebnis, dass weitere Maßnahmen getroffen werden müssen, um ein angemessenes Schutzniveau zu erreichen, sind diese Maßnahmen vom Auftragsverarbeiter bzw. vom Unterauftragsverarbeiter zu ergreifen. 3 Der Unterauftragsverarbeiter darf erst dann in die Datenverarbeitung eingebunden werden, wenn ein angemessenes Schutzniveau sichergestellt ist.

( 1 ) 1 Der Auftragsverarbeiter stellt den Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesem Vertrag festgelegten oder sich unmittelbar aus dem KDG ergebenden Pflichten erforderlich sind. 2 Auf Verlangen der Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diesen Vertrag fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. 3 Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen im Sinne des § 29 Abs. 6 KDG des Auftragsverarbeiters berücksichtigen.

( 2 ) 1 Die Verantwortliche können die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. 2 Die Prüfungen können gegebenenfalls auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden mit angemessener Vorankündigung und unter Einhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragsverarbeiters sowie nach Möglichkeit ohne Störung des Betriebsablaufs durchgeführt.

( 3 ) Die Beteiligten stellen der zuständigen Datenschutzaufsicht die in dieser Regelung genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

( 1 ) 1 Der Auftragsverarbeiter unterrichtet die Verantwortlichen unverzüglich über Störungen des Betriebsablaufs, die Gefahren für die Daten der Verantwortlichen mit sich bringen, sowie bei Bekanntwerden von Datenschutzverletzungen im Zusammenhang mit den Daten der Verantwortlichen. 2 Gleiches gilt, wenn der Auftragsverarbeiter feststellt, dass die bei ihm getroffenen Sicherheitsmaßnahmen den gesetzlichen Anforderungen nicht genügen.

( 2 ) 1 Dem Auftragsverarbeiter ist bekannt, dass die Verantwortlichen verpflichtet sind, umfassend alle Verletzungen des Schutzes personenbezogener Daten zu dokumentieren und ggf. der Datenschutzaufsicht bzw. der betroffenen Person zu melden. 2 Er wird Verletzungen unverzüglich an die Verantwortlichen melden und hierbei zumindest folgende Informationen mitteilen:

( 1 ) 1 Kopien oder Duplikate der Daten werden ohne Wissen der Verantwortlichen nicht erstellt. 2 Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

( 2 ) 1 Mit Beendigung der Auftragsverarbeitung oder früher nach zulässiger Aufforderung durch die Verantwortlichen hat der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl der Verantwortlichen entweder datenschutzkonform zu löschen oder zurückzugeben, soweit nicht nach dem kirchlichen Recht oder dem Recht der Europäischen Union oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. 2 Dies gilt auch für etwaige Sicherungskopien nach Maßgabe der getroffenen technischen und organisatorischen Maßnahmen. 3 Im Hinblick auf die Anbietungspflichten der Verantwortlichen gegenüber dem zuständigen kirchlichen Archiv erfolgt die Löschung durch den Auftragsverarbeiter erst nach entsprechender Freigabe durch die Verantwortlichen. 4 Nach Ablauf einer angemessenen Aufbewahrungsdauer sind die Verantwortlichen zur Rücknahme der Daten verpflichtet. 5 Die Löschung hat der Auftragsverarbeiter den Verantwortlichen in Textform anzuzeigen.

( 3 ) 1 Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. 2 Er kann sie zu seiner Entlastung bei Auftragsende den Verantwortlichen übergeben.

Diese Verwaltungsverordnung tritt mit Veröffentlichung im Kirchlichen Amtsblatt in Kraft.

Technische bzw. organisatorische Maßnahmen zur Zutrittskontrolle, insbesondere auch zur Legitimation der Berechtigten:

Technische (Kennwort-/Passwortschutz) und organisatorische (Benutzerstammsatz) Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung:

Bedarfsorientierte Ausgestaltung des Berechtigungskonzepts und der Zugriffsrechte sowie deren Überwachung und Protokollierung:

Maßnahmen zur getrennten Verarbeitung (Speicherung, Veränderung, Löschung, Übermittlung) von Daten mit unterschiedlichen Zwecken:

Maßnahmen bei Transport, Übertragung und Übermittlung oder Speicherung auf Datenträger (manuell oder elektronisch) sowie bei der nachträglichen Überprüfung:

Maßnahmen zur nachträglichen Überprüfung, ob und von wem Daten eingegeben, verändert oder entfernt (gelöscht) worden sind:

Maßnahmen zur Datensicherung (physikalisch/logisch):

Maßnahmen (technisch / organisatorisch) zur Abgrenzung der Kompetenzen zwischen Auftraggeber und Auftragnehmer: