Datenschutzerklärung für das Spendenbriefportal (www.kirchgeld-bayern.de)

Für alle allgemeinen Fragen und Hinweise zum Datenschutz der Evangelisch-Lutherischen Landeskirche in Bayern gilt die Datenschutzerklärung der Landeskirchenstelle unter https://datenschutz.landeskirchenstelle.de.
Die vorliegende Erklärung stellt eine Ergänzung dar und beschreibt die spezifische Datenverarbeitung im Rahmen des Spendenbriefportals.

Verantwortliche Stelle

Verantwortlicher im Sinne des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), der Datenschutz-Grundverordnung (DS-GVO) sowie sonstiger datenschutzrechtlicher Vorgaben, die kirchliche Stellen anzuwenden haben, ist die

Evangelisch-Lutherische Kirche in Bayern
Kompetenzzentrum Fundraising bei der Landeskirchenstelle Ansbach
Bischof-Meiser-Str. 16
91522 Ansbach

Telefon Zentrale: (0981) 96991-159
E-Mail: fundraising@elkb.de

im Folgenden „Verantwortlicher“ oder „wir“ genannt.

Örtlicher Datenschutzbeauftragter der Landeskirchenstelle Ansbach ist:

Hans-Jörg Meyer
Bischof-Meiser-Str. 16
91522 Ansbach
Telefon: (0981) 96991-184
E-Mail: datenschutz.landeskirchenstelle@elkb.de

Zweck und Umfang der Verarbeitung

Das Spendenbriefportal wird von Kirchengemeinden genutzt, um personalisierte Spendenbriefe zu erstellen und diese über einen Druck- und Versanddienstleister an Gemeindemitglieder zu verschicken.

Dabei verarbeiten wir folgende Datenarten:

• Adress- und Kontaktdaten: Name, Vorname, Anschrift, ggf. Kirchengemeindename

• Spendenbezogene Daten: Bankverbindung (IBAN), Spendenbetrag, Spendentexte

• Bilder / Fotos: sofern für Spendenbriefe hochgeladen (z. B. von Haupt- oder Ehrenamtlichen)

• Grafische Signaturen: digitale Unterschriften, die auf den Briefen erscheinen

• Technische Daten: Zeitpunkt der Eingaben, IP-Adressen (kurzfristig bei Carbone, s. Abschnitt 4)

Eingesetzte Dienstleister (Auftragsverarbeiter)

Hosting bei Hetzner (Deutschland)

Das Spendenbriefportal wird auf Servern der Firma Hetzner Online GmbH (Deutschland) betrieben. Dabei werden die von den Kirchengemeinden eingegebenen Daten (z. B. Bilder, Texte, Spendeninformationen) auf Servern in Deutschland gespeichert.
Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (AVV). Die Daten werden ausschließlich in Deutschland verarbeitet.

Carbone (PDF-Generierung)

Zur Erzeugung der PDF-Druckvorlagen setzen wir den Dienst CarboneIO SAS (Frankreich) ein.

• Die eingegebenen Daten (Namen, Adressen, Spendentexte, Bilder, Signaturen) werden verschlüsselt an Carbone übertragen.

• Carbone speichert keine JSON-Daten dauerhaft. Die erzeugten PDFs werden bis zum Abruf oder max. 1 Stunde vorgehalten und danach automatisch gelöscht.

• IP-Adressen werden bis zu 7 Tage gespeichert.

• Die Server befinden sich in Frankreich; Backups von Templates können in Deutschland liegen.

• Carbone setzt Subprozessoren ein (z. B. OVH, Scaleway in Frankreich; vereinzelt auch Anbieter in den USA, etwa Google Analytics oder Supademo). Für Datenübermittlungen in Drittländer gelten Standardvertragsklauseln der EU.

Mediakom (Druck & Versand)

Für den Druck und Versand der Spendenbriefe setzen wir die Firma Mediakom GmbH, Aschau im Chiemgau ein.

• Hierfür werden die Adressdaten der Empfänger übermittelt.

• Es besteht ein Vertrag zur Auftragsverarbeitung (AVV), der den Schutz der Daten sicherstellt.

Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO / § 6 Nr. 5 DSG-EKD: Vertragliche Erfüllung der Dienstleistung (Erstellung und Versand von Spendenbriefen).

• Art. 6 Abs. 1 lit. f DSGVO / § 6 Nr. 8 DSG-EKD: Berechtigtes Interesse an der Durchführung von Fundraising-Maßnahmen.

• Art. 6 Abs. 1 lit. a DSGVO / § 6 Nr. 2 DSG-EKD: Einwilligung, soweit Bilder oder Unterschriften von Personen verwendet werden. Diese Einwilligung ist freiwillig und kann jederzeit widerrufen werden.

Speicherdauer und Löschung

• Alle im Spendenbriefportal erfassten Daten (z. B. Adressen, Texte, Signaturen, Bilder) werden einmal jährlich – in der Regel zum Jahresende – gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Bei Carbone gelten folgende Speicherfristen:

  • Reports (also die erstellen PDF's): max. 1 Stunde

  • IP-Adressen: max. 7 Tage

  • Templates: bis 365 Tage (API) bzw. unbegrenzt im Studio (solange der Vertrag/Konto der Landeskirchenstelle mit Carbone besteht)

Sicherheit

Wir und unsere Dienstleister setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• Wir treffen umfangreiche technische und organisatorische Maßnahmen (TOM), um die Sicherheit Ihrer Daten zu gewährleisten. Dazu gehören insbesondere:

  • Authentifizierung & Zugangsschutz: Zugang zum Portal erfolgt ausschließlich mit individuellen PINs; diese werden nur als Hash gespeichert. Sitzungen sind zeitlich begrenzt und vor Missbrauch geschützt (z. B. durch Rate-Limiting und Audit-Logs).

  • Sitzungs- und Cookie-Sicherheit: Sitzungen laufen automatisch nach Inaktivität ab; Cookies werden mit Sicherheitsattributen (HttpOnly, Secure, SameSite) gesetzt.

  • Verschlüsselung: Alle Datenübertragungen erfolgen ausschließlich verschlüsselt (HTTPS/TLS). Gespeicherte Daten und Signaturen sind gegen unbefugten Zugriff geschützt.

  • Datenminimierung: Es werden nur die Daten erhoben und verarbeitet, die für die Erstellung und den Versand der Spendenbriefe unbedingt erforderlich sind.

  • Besondere Daten (Religionszugehörigkeit): Da die Briefe an evangelische Gemeindeglieder verschickt werden, ist die Zugehörigkeit zur evangelischen Kirche erkennbar. Dies gilt nach § 13 DSG-EKD als besondere Kategorie personenbezogener Daten. Der Schutz dieser Information wird durch die genannten Maßnahmen sichergestellt.

  • Admin-Bereich: Für die Verwaltung durch autorisierte Mitarbeitende gelten zusätzlich erhöhte Sicherheitsmaßnahmen (z. B. zeitlich begrenzte Einmal-PINs, Zwei-Faktor-Schutz durch zusätzliche Token, Geräte-Management).

Rechte der Betroffenen

Sie haben als betroffene Person nach DSG-EKD folgende Rechte:

• Recht auf Auskunft über die verarbeiteten Daten

• Recht auf Berichtigung unrichtiger Daten

• Recht auf Löschung („Recht auf Vergessenwerden“)

• Recht auf Einschränkung der Verarbeitung

• Recht auf Datenübertragbarkeit

• Recht auf Widerspruch gegen bestimmte Verarbeitungen

• Recht auf Widerruf erteilter Einwilligungen (z. B. für Bildnutzung)

• Beschwerderecht bei der zuständigen Datenschutzaufsicht

Zur Ausübung dieser Rechte wenden Sie sich bitte an:
Evangelisch-Lutherische Kirche in Bayern
Kompetenzzentrum Fundraising bei der Landeskirchenstelle Ansbach
Bischof-Meiser-Str. 16
91522 Ansbach
E-Mail schreiben: datenschutz.landeskirchenstelle@elkb.de

Änderungen dieser Erklärung

Diese Datenschutzerklärung wird regelmäßig überprüft und angepasst, sobald sich technische Abläufe oder rechtliche Vorgaben ändern. Die jeweils aktuelle Fassung ist unter www.kirchgeld-bayern.de abrufbar.