DSGVO-konformes Social Media Management

Infrastruktur & Serverstandorte

Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO steht jedem Tarif kostenlos zu, auf Anfrage direkt in den Kontoeinstellungen oder per Mail. In den Tarifen Studio und Civic wird er zusätzlich automatisch beim Vertragsabschluss zugeschickt.

Der AVV regelt insbesondere:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien von betroffenen Personen
• Technische und organisatorische Maßnahmen (TOMs)
• Weisungsbefugnis des Verantwortlichen
• Unterauftragsverarbeiter (vollständige Liste)
• Berichtigungspflichten bei Datenschutzverletzungen

AVV-Anfragen: hallo@karbach.digital

Anmeldung mit zweitem Faktor

Jeder Zugang zu social lässt sich mit einem zweiten Faktor absichern: einem Code aus einer Authenticator-App, dazu Wiederherstellungscodes für den Fall, dass das Telefon verloren geht.

In den Tarifen Studio und Civic ist der zweite Faktor für alle im Team Pflicht. Wer ihn noch nicht eingerichtet hat, wird nach der Anmeldung durch die Einrichtung geführt und kommt erst danach in die Organisation.

Europäische Infrastruktur und der US CLOUD Act

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet Unternehmen, die US-amerikanischem Recht unterliegen, auf Anfrage von US-Behörden Daten herauszugeben, auch wenn diese auf Servern in der EU liegen.

Am stärksten betroffen sind Tools mit US-Mutterkonzern oder mit Hosting bei Google Cloud, Microsoft Azure oder AWS. Das trifft auf einen Großteil der internationalen Social-Media-Management-Anbieter zu.

Anwendungsserver und Datenbank von social by karbach.digital laufen bei Netcup in Deutschland, die KI-Verarbeitung bei Mistral SAS in Frankreich. Beide sind europäische Unternehmen ohne US-Mutterkonzern.

Ganz ausschließen kann einen Zugriff nach US-Recht trotzdem niemand, und wir versprechen es auch nicht: Europäische Unternehmen mit Niederlassungen in den USA können ebenfalls Anfragen erhalten, und der Dienstleister für Posting & Inbox setzt, wie oben beschrieben, selbst Anbieter außerhalb der EU ein.

Kirchlicher Datenschutz (DSG-EKD / KDO)

Evangelische und katholische Kirchengemeinden unterliegen neben der DSGVO einem eigenen kirchlichen Datenschutzrecht (DSG-EKD für evangelische, KDO für katholische Einrichtungen). social by karbach.digital ist mit beiden Regelwerken kompatibel:

• AVV nach Art. 28 DSGVO, kostenlos in jedem Tarif
• Vollständige Sub-Auftragsverarbeiter-Liste, offen auf dieser Seite und als Grundlage des AVV
• Anwendungsserver in Nürnberg, KI-Verarbeitung in Paris, beide ohne US-Mutterkonzern
• Dokumentiertes Löschkonzept, Datenexport und Löschung jederzeit möglich

Das sind die Unterlagen, die Ihr kirchlicher Datenschutzbeauftragter für seine Prüfung braucht. Ob damit die Anforderungen des DSG-EKD oder der KDO in Ihrem konkreten Fall erfüllt sind, entscheidet er, nicht wir. Wir liefern die Grundlage und beantworten Rückfragen direkt.