Vertrag über die Auftragsverarbeitung für Auslandsgemeinden

Die Kirchengemeinde, die den Dienst außerhalb der Republik Korea nutzt (die „Gemeinde“), und Wesleysoft (das „Unternehmen“) vereinbaren Folgendes über die Verarbeitung personenbezogener Daten, die die Gemeinde in Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) und Wesley Simbang Plus (웨슬리 심방플러스) (der „Dienst“) eingibt, durch das Unternehmen im Auftrag der Gemeinde. Dieser Vertrag gilt zusammen mit den Nutzungsbedingungen, der Datenschutzerklärung des Unternehmens und dem „Anhang zur Datenschutzerklärung für Auslandsgemeinden“ (der „Anhang“). Soweit diese in Bezug auf die Verarbeitung personenbezogener Daten voneinander abweichen, hat dieser Vertrag Vorrang.

Artikel 1 (Rollen)

1. Hinsichtlich der personenbezogenen Daten, die die Gemeinde in den Dienst eingibt, entscheidet die Gemeinde über Zwecke und Mittel der Verarbeitung (Verantwortlicher); das Unternehmen verarbeitet diese Daten im Auftrag der Gemeinde (Auftragsverarbeiter).
2. Die Gemeinde ist dafür verantwortlich, dass die Erhebung personenbezogener Daten und ihre Eingabe in den Dienst dem Recht ihres Landes entsprechen; sie informiert die Mitglieder über die Verarbeitung und holt, soweit erforderlich, deren Einwilligung ein.

Artikel 2 (Einzelheiten der Verarbeitung)

Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Artikel 3 (Verarbeitung auf Weisung der Gemeinde)

1. Das Unternehmen verarbeitet personenbezogene Daten nur auf dokumentierte Weisung der Gemeinde. Die Nutzung von Funktionen und die Wahl von Einstellungen in der Benutzeroberfläche des Dienstes durch die Gemeinde gelten als Weisung der Gemeinde.
2. Das Unternehmen verarbeitet personenbezogene Daten zu keinem anderen Zweck als der Erbringung des Dienstes, es sei denn, es ist gesetzlich dazu verpflichtet. In diesem Fall teilt es dies der Gemeinde vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
3. Ist das Unternehmen der Auffassung, dass eine Weisung der Gemeinde gegen Datenschutzrecht verstößt, informiert es die Gemeinde unverzüglich.

Artikel 4 (Vertraulichkeit)

Das Unternehmen beschränkt den Kreis der Personen, die personenbezogene Daten verarbeiten dürfen, auf das erforderliche Mindestmaß und verpflichtet sie zur Vertraulichkeit. Diese Pflicht besteht auch nach Ende ihrer Tätigkeit fort.

Artikel 5 (Sicherheitsmaßnahmen)

Das Unternehmen trifft dem Risiko für die personenbezogenen Daten angemessene technische und organisatorische Maßnahmen gemäß Anlage 2. Es kann diese Maßnahmen dem technischen Fortschritt anpassen, senkt dabei aber das Schutzniveau nicht.

Artikel 6 (Trennung nach Gemeinden)

Das Unternehmen verarbeitet die Daten der Gemeinde getrennt von den Daten anderer Gemeinden und stellt sicher, dass Nutzer anderer Gemeinden die Daten der Gemeinde nicht sehen können.

Artikel 7 (Unterauftragsverarbeitung)

1. Die Gemeinde genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter durch das Unternehmen.
2. Beabsichtigt das Unternehmen, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, teilt es dies der Gemeinde mindestens 30 Tage vorher mit; die Gemeinde kann innerhalb dieser Frist aus berechtigtem Grund widersprechen. Nimmt das Unternehmen den Widerspruch nicht an, kann die Gemeinde den Nutzungsvertrag ohne Vertragsstrafe kündigen.
3. Das Unternehmen erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags entsprechen, und haftet gegenüber der Gemeinde, wenn ein Unterauftragsverarbeiter diese Pflichten nicht erfüllt.

Artikel 8 (Unterstützung bei Betroffenenrechten)

1. Machen Mitglieder oder andere betroffene Personen Rechte wie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder Datenübertragbarkeit geltend, stellt das Unternehmen die Funktionen des Dienstes und die Unterstützung bereit, die die Gemeinde zur Beantwortung benötigt.
2. Wendet sich eine betroffene Person direkt an das Unternehmen, leitet das Unternehmen das Anliegen unverzüglich an die Gemeinde weiter und antwortet ohne Weisung der Gemeinde nicht selbst.

Artikel 9 (Verletzungen des Schutzes personenbezogener Daten)

1. Erfährt das Unternehmen von einem Vorfall, bei dem personenbezogene Daten der Gemeinde abgeflossen sind oder abgeflossen sein könnten, benachrichtigt es die Gemeinde unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem es davon Kenntnis erlangt hat.
2. Die Benachrichtigung beschreibt Art und Umstände des Vorfalls, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder geplanten Maßnahmen des Unternehmens sowie eine Kontaktperson. Angaben, die nicht sofort vorliegen, werden schrittweise nachgereicht.
3. Das Unternehmen stellt die Informationen und die Unterstützung bereit, die die Gemeinde benötigt, um die Aufsichtsbehörde und die betroffenen Personen nach dem Recht ihres Landes zu benachrichtigen.

Artikel 10 (Weitere Unterstützung)

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen stellt das Unternehmen der Gemeinde die Informationen bereit, die sie zur Erfüllung ihrer Pflichten nach dem Recht ihres Landes benötigt, etwa zur Gewährleistung der Sicherheit, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde.

Artikel 11 (Speicherort und Übermittlung in Drittländer)

1. Das Unternehmen speichert die Daten der Gemeinde auf Servern in der Republik Korea und übermittelt sie nicht in Länder außerhalb der Republik Korea, außer im Fall des Artikels 6 des Anhangs (Routenführung).
2. Die Übermittlung aus dem Land der Gemeinde in die Republik Korea richtet sich nach Artikel 4 des Anhangs. Verlangt das Recht dieses Landes ein gesondertes Instrument wie Standardvertragsklauseln, richten die Gemeinde und das Unternehmen dieses zusammen mit diesem Vertrag ein.

Artikel 12 (Rückgabe und Vernichtung nach Ende des Nutzungsvertrags)

1. Die Gemeinde kann ihre Daten vor dem Ende des Nutzungsvertrags und bis 90 Tage danach mit der Exportfunktion des Dienstes herunterladen.
2. Nach Ablauf dieser Frist vernichtet das Unternehmen die Daten der Gemeinde so, dass sie nicht wiederhergestellt werden können. Verlangt die Gemeinde die sofortige Vernichtung, vernichtet das Unternehmen die Daten unverzüglich. Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist, werden für die vorgeschriebene Dauer aufbewahrt.
3. Daten in Sicherungskopien werden bei Sicherungen auf den Servern des Unternehmens nach 90 Tagen und bei Sicherungen auf einem gesonderten, vom Unternehmen verwalteten Speichergerät nach 1 Jahr vernichtet. Bis dahin werden sie zu keinem anderen Zweck als zur Wiederherstellung verwendet.
4. Auf Verlangen der Gemeinde bestätigt das Unternehmen die Vernichtung schriftlich.

Artikel 13 (Informationen und Überprüfungen)

1. Das Unternehmen stellt der Gemeinde die Informationen bereit, die zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag erforderlich sind.
2. Die Gemeinde kann einmal jährlich schriftliche Fragen stellen, die das Unternehmen kostenlos beantwortet. Möchte die Gemeinde oder ein von ihr beauftragter Prüfer eine Vor-Ort-Prüfung durchführen, ist diese 30 Tage im Voraus zu beantragen; die Kosten trägt die Gemeinde. Der Prüfer ist zur Vertraulichkeit verpflichtet.

Artikel 14 (Haftung)

Die Gemeinde und das Unternehmen haften einander jeweils für Schäden, die sie durch Verstöße gegen diesen Vertrag oder gegen Gesetze verursachen. Die Haftung des Unternehmens ist auf die Gesamtsumme der Nutzungsgebühren begrenzt, die die Gemeinde in den 12 Monaten vor dem Tag des Schadenseintritts gezahlt hat. Diese Begrenzung gilt nicht für Schäden, die das Unternehmen vorsätzlich oder grob fahrlässig verursacht hat, und nicht, soweit das Gesetz eine Haftungsbegrenzung nicht zulässt.

Artikel 15 (Laufzeit)

Dieser Vertrag gilt ab dem Tag, an dem die Gemeinde nach der Freigabe durch das Unternehmen den Nutzungsvertrag abschließt, bis zur Erfüllung der Pflichten aus Artikel 12 nach Ende des Nutzungsvertrags.

Artikel 16 (Anwendbares Recht und Gerichtsstand)

Dieser Vertrag unterliegt dem Recht der Republik Korea. Zwingende Bestimmungen des Datenschutzrechts des Landes der Gemeinde, die nicht durch Vereinbarung abbedungen werden können, sowie die Befugnisse der dortigen Aufsichtsbehörde bleiben unberührt. Gerichtsstand für Streitigkeiten im Zusammenhang mit diesem Vertrag ist das für den Sitz des Unternehmens zuständige Gericht.

Artikel 17 (Sprache und Vertragsschluss)

1. Maßgeblich ist die koreanische Fassung dieses Vertrags. Weicht eine Übersetzung davon ab, gilt die koreanische Originalfassung, sofern das Recht des Landes der Gemeinde nichts anderes bestimmt.
2. Dieser Vertrag kommt zustande, wenn die Gemeinde diesem Vertrag auf dem Bildschirm durch Auswahl von „Zustimmen“ (동의) zustimmt. Das Unternehmen bewahrt einen Nachweis darüber auf und stellt der Gemeinde auf Verlangen eine unterzeichnete Ausfertigung zur Verfügung.

Anlage 1 — Einzelheiten der Verarbeitung

Gegenstand	Mitgliederdaten und Finanzunterlagen, die die Gemeinde in den Dienst eingibt
Kategorien betroffener Personen	Mitglieder und ihre Familien, neue Mitglieder und Besucher, Spender, Mitarbeitende der Gemeinde und Nutzer des Dienstes
Arten personenbezogener Daten	Die Angaben nach Artikel 2 der Datenschutzerklärung und Artikel 3 des Anhangs — Name (Nach- und Vorname in lateinischer Schrift), Geschlecht, Geburtsdatum (Eingabe optional), Kontaktdaten, Anschrift, Foto, kirchliches Amt, Gemeindebezirk (Untergliederung der Gemeinde) und Class Meeting/Hauskreis, Mitgliedsstatus, Tauf- und Konfirmationsdaten, Dienste und Beruf, Familienbeziehungen, Anwesenheit, Besuchsnotizen und Gebetsanliegen, Hinweise zur Fürsorge, Kollekten- und Spendenaufzeichnungen, Nachweise über Einwilligungen sowie Spenderangaben für Zuwendungsbestätigungen des jeweiligen Landes
Besondere Kategorien	Die Tatsache der Kirchenmitgliedschaft und Aufzeichnungen über das Glaubensleben (Daten über die religiöse Überzeugung); Gesundheitsdaten, die die Gemeinde in den Hinweisen zur Fürsorge einträgt
Art und Zweck	Erbringung des Dienstes — Speicherung, Anzeige, Bearbeitung, Druck, Export, Sicherung, E-Mail-Versand und Erstellung von Besuchstexten (es werden keine Angaben übermittelt, die ein Mitglied identifizieren)
Dauer	Laufzeit des Nutzungsvertrags und 90 Tage nach seinem Ende (Sicherungskopien: Artikel 12 Absatz 3 — Server 90 Tage, gesondertes Speichergerät 1 Jahr)

Anlage 2 — Sicherheitsmaßnahmen

• Verschlüsselung bei der Übertragung (HTTPS)
• Speicherung von Passwörtern ausschließlich in nicht umkehrbarer Form
• Trennung der Daten nach Gemeinden — eine Schranke je Gemeinde in der Datenbank, sodass Daten anderer Gemeinden nicht gelesen werden können
• Rollenbasierte Berechtigungen und Aufbewahrung von Zugriffsprotokollen
• Firewall — nur die für den Webzugang und den administrativen Zugang erforderlichen Ports sind geöffnet; die Datenbank ist von außerhalb des Servers nicht erreichbar
• Schutzsoftware gegen Schadprogramme — automatische Aktualisierung der Signaturen und tägliche Prüfung
• Regelmäßige Sicherungen — täglich auf dem Server, Übertragung auf ein gesondertes, vom Unternehmen verwaltetes Speichergerät (Server 90 Tage, gesondertes Speichergerät 1 Jahr)

Anlage 3 — Unterauftragsverarbeiter (alle mit Sitz und Verarbeitung in der Republik Korea)

Unterauftragsverarbeiter	Tätigkeit
YourIT Co., Ltd.	Bereitstellung von Servern und Speicherplatz; Datenspeicherung
NHN Cloud Corp.	E-Mail-Versand (an ausländische Mobilfunknummern werden keine SMS versandt)
Upstage Co., Ltd.	Erstellung von Predigtentwürfen in Wesley Simbang Plus (keine Angaben, die ein Mitglied identifizieren)
Toss Payments Co., Ltd.	Abwicklung der Gebührenzahlungen (Auslandsgemeinden zahlen derzeit per Banküberweisung)