Patch & Security

Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Fassung 1.0 vom 14.10.2026

Vertragsparteien

Verantwortlicher (Auftraggeber): der Kunde, der Patch & Security nutzt – die bei der Registrierung angegebene Firma.

Auftragsverarbeiter (Auftragnehmer): Websilencer, Manuel Hanke, Rothenburger Straße 49, 02826 Görlitz, E-Mail mail@patchsecurity.de.

§ 1 Gegenstand und Dauer

  1. Der Auftragnehmer stellt dem Auftraggeber das Portal Patch & Security und den zugehörigen Agent bereit, mit denen der Auftraggeber seine Windows-Computer inventarisiert, überwacht und mit Updates versorgt. Je nach gebuchtem Paket übernimmt der Auftragnehmer auch die Einspielung von Updates und die Reaktion auf Meldungen. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.
  2. Grundlage ist der Nutzungsvertrag über Patch & Security (Testzeitraum oder gebuchtes Paket). Diese AVV gilt, solange der Auftragnehmer Daten des Auftraggebers verarbeitet, und endet mit dem Nutzungsvertrag und der Löschung der Daten nach § 9.

§ 2 Art, Zweck und betroffene Daten

ZweckÜberblick über die Computer des Auftraggebers, Erkennen fehlender Updates und Sicherheitsmängel, Einspielen von Updates, Treibern und Programmen, Netzwerkplan, Berichte und Benachrichtigungen.
Art der VerarbeitungErheben (durch den Agent), Übermitteln, Speichern, Anzeigen, Auswerten, Versenden von Berichten und Meldungen per E-Mail, Löschen.
Arten von Daten
  • Gerätedaten: Computername, Hersteller, Modell, Seriennummer, Ausstattung, Windows-Version, Garantieende, Zustand von Festplatten und Akku
  • Netzwerkdaten: lokale und öffentliche IP-Adressen, MAC-Adressen, Domäne; beim Netzwerk-Scan zusätzlich IP-Adressen, MAC-Adressen und Namen anderer Geräte im Firmennetz
  • Benutzerbezogene Daten: Name des angemeldeten Windows-Benutzers, Mitglieder der lokalen Administratorgruppe, Benutzerkonten mit verbundenen Netzlaufwerken und Freigabe-Berechtigungen
  • Software und Sicherheit: installierte Programme mit Version, Update-Stand, Virenschutz, Firewall, Verschlüsselung, Secure Boot, TPM, Absturzmeldungen
  • Protokolle der Aufgaben (z. B. eingespielte Updates, Neustarts) und der Aktionen im Portal
  • Zugangsdaten der Portal-Benutzer des Auftraggebers (Name, E-Mail-Adresse, Passwort als Prüfsumme)
Betroffene PersonenBeschäftigte und sonstige Nutzer der Computer des Auftraggebers; Portal-Benutzer des Auftraggebers.
Nicht verarbeitetInhalte von Dateien, E-Mails oder Dokumenten, Bildschirminhalte, Tastatureingaben, Passwörter der Windows-Benutzer. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags.

§ 3 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Einstellungen und Aufträge, die der Auftraggeber im Portal vornimmt (z. B. Zeitpläne, Updates, Freigaben), sowie Weisungen in Textform (E-Mail).
  2. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er eine Weisung für rechtswidrig hält. Er darf die Ausführung bis zur Klärung aussetzen.
  3. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt; ausgenommen sind die für die Abrechnung nötige Zahl der Geräte und gesetzliche Pflichten.

§ 4 Pflichten des Auftragnehmers

  1. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).
  2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
  3. Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei Anfragen betroffener Personen (Art. 12–22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde (Art. 32–36 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
  4. Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
  5. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da keine Pflicht dazu besteht. Ansprechpartner ist Manuel Hanke, mail@patchsecurity.de.

§ 5 Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Computer und ihre Nutzer überwachen darf und seine Beschäftigten informiert (Art. 13 DSGVO). Gibt es einen Betriebs- oder Personalrat, beteiligt er ihn, soweit erforderlich.
  2. Er hält seine Zugangsdaten zum Portal geheim, legt nur berechtigte Benutzer an und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bemerkt.

§ 6 Unterauftragsverarbeiter

  1. Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
  2. Der Auftragnehmer informiert den Auftraggeber vorab per E-Mail über jede beabsichtigte Änderung. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten den Nutzungsvertrag außerordentlich kündigen.
  3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in dieser AVV.
  4. Keine Unterauftragsverarbeiter sind Hersteller, von deren Servern die Computer des Auftraggebers Updates, Treiber oder Programme direkt herunterladen (z. B. Microsoft, Lenovo, Dell, HP, Programmquellen von winget). Der Auftragnehmer übermittelt ihnen keine Daten.

§ 7 Ort der Verarbeitung

Die Daten werden ausschließlich in Deutschland verarbeitet. Eine Verlagerung in ein Land außerhalb der EU bzw. des EWR bedarf der vorherigen Zustimmung des Auftraggebers und muss die Voraussetzungen der Art. 44 ff. DSGVO erfüllen.

§ 8 Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer – nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskunft. Die Einsicht in die Rechenzentren des Hosting-Anbieters richtet sich nach dessen Bedingungen.

§ 9 Löschung und Rückgabe

  1. Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er dem Auftraggeber vorher eine Übersicht der Computer und Programme als Datei zur Verfügung.
  2. In den Datensicherungen bleiben die Daten bis zu deren automatischem Überschreiben enthalten, höchstens 30 weitere Tage.
  3. Löscht der Auftraggeber im Portal einen Computer, werden dessen Inventar-, Software- und Aufgabendaten sofort aus der Datenbank entfernt. Einträge im Aktionsprotokoll bleiben bis zum Vertragsende erhalten.

§ 10 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO.
  2. Diese AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Auftraggeber sie bei der Registrierung oder im Portal bestätigt. Zeitpunkt, Fassung und bestätigende Person werden gespeichert.
  3. Bei Widersprüchen geht diese AVV dem Nutzungsvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.
  4. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Überprüfung

Anlage 2 – Unterauftragsverarbeiter

UnternehmenLeistungOrt
LA Webhosting, Inh. Philipp Lahn, Azmannsdorfer Weg 2, 99085 ErfurtBetrieb von Webserver und Datenbank, Versand der E-Mails des PortalsDeutschland

Kunden schließen diese AVV bei der Registrierung bzw. nach der Anmeldung im Portal elektronisch ab.