DEEN

Vertrag zur Auftragsverarbeitung

Fassung 1.0 · Stand 27. August 2026 · nach Art. 28 DSGVO

Brauchst du diesen Vertrag überhaupt?

Für den kostenlosen Dienst: nein. Wenn du dich selbst mit deiner eigenen Adresse anmeldest, sind wir dafür Verantwortlicher und nicht dein Auftragsverarbeiter — ein AVV wäre der falsche Vertrag. Nötig wird er, sobald deine Organisation Adressen anderer Menschen bei uns hinterlegt: Team-Mitglieder in patchletter Pro und MSP sowie reine Verteileradressen ohne Login. Genau dafür gilt dieser Vertrag.

1. Vertragspartner

Auftragsverarbeiter: patchletter UG (haftungsbeschränkt) i. G., vertreten durch den Geschäftsführer Kolja Sagorski, Meisterweg 16, 45896 Gelsenkirchen — legal@patchletter.com (im Folgenden „wir“).

Verantwortlicher: der in der Bestellung genannte Kunde, also die Organisation, die ein Abonnement von patchletter Pro oder MSP hält (im Folgenden „du“).

Einen Datenschutzbeauftragten haben wir nicht bestellt; bei unserer Beschäftigtenzahl besteht dazu keine Pflicht (§ 38 BDSG). Datenschutzanfragen erreichen die Geschäftsführung unmittelbar unter der oben genannten Adresse.

2. Gegenstand, Art und Zweck der Verarbeitung

Wir betreiben patchletter als Software-Dienst: Wir beobachten für die von dir ausgewählten Produkte Releases, End-of-Life-Daten und Sicherheitshinweise und benachrichtigen die von dir eingetragenen Personen — per E-Mail und, sofern du eines einrichtest, an ein von dir gewähltes Webhook-Ziel. Die Verarbeitung personenbezogener Daten ist nicht Zweck des Dienstes, sondern Nebenfolge der Zustellung an benannte Empfänger. Wir verarbeiten ausschließlich zu diesem Zweck und zu keinem eigenen.

Die Verarbeitung erfolgt automatisiert durch unsere Systeme. Ein händischer Zugriff des Betreibers findet nur zu Betriebs- und Supportzwecken statt — siehe Abschnitt 13.

3. Was dieser Vertrag nicht abdeckt

Für deine Rechnungsdaten — Firmierung, Anschrift, USt-IdNr., Rechnungsadresse, Rechnungen — sind wir eigener Verantwortlicher und nicht dein Auftragsverarbeiter. Uns treffen dort eigene handels- und steuerrechtliche Pflichten (insbesondere die Aufbewahrungsfristen des § 147 AO), die keine Weisung von dir aufheben kann. Dasselbe gilt für Daten der Person, die auf deiner Seite den Vertrag zeichnet. Diese Verarbeitung beschreibt unsere Datenschutzerklärung.

Außerhalb dieses Vertrags steht auch ein Webhook-Ziel, das du selbst einrichtest. Wir wählen es nicht aus und sind nicht sein Auftragsverarbeiter — du weist uns an, dorthin zuzustellen, und was der empfangende Dienst mit der Nachricht tut, richtet sich nach deinem Verhältnis zu ihm. Die Nachrichten enthalten ausschließlich Produktdaten, keine Kontodaten.

4. Art der Daten und Kategorien betroffener Personen

In deinem Auftrag verarbeiten wir:

Kategorien betroffener Personen: deine Beschäftigten und Beauftragten, die patchletter nutzen, sowie die Inhaber der von dir eingetragenen Verteileradressen. Besondere Datenkategorien nach Art. 9 DSGVO fallen nicht an, und der Dienst fragt keine ab.

Die E-Mail-Adresse ist das einzige Pflicht-Personendatum. Wir fragen weder Namen noch Telefonnummer noch Funktion ab, und es gibt kein Feld, in das man sie eintragen könnte.

5. Dauer

Dieser Vertrag läuft, solange dein Abonnement läuft, und endet mit ihm. Die Abschnitte 12 und 13 gelten so lange darüber hinaus, wie es ihr Zweck erfordert.

6. Weisungsbindung

Wir verarbeiten die Daten ausschließlich nach deinen dokumentierten Weisungen (Art. 28 Abs. 3 lit. a DSGVO). Deine Weisungen sind: dieser Vertrag, die Bestellung und die Einstellungen, die du im Produkt vornimmst. Darüber hinausgehende Weisungen erfolgen in Textform an legal@patchletter.com. Erfordert eine Weisung Aufwand über den gewöhnlichen Betrieb hinaus, sagen wir das vor der Ausführung.

Halten wir eine Weisung für datenschutzrechtlich unzulässig, teilen wir dir das mit und dürfen ihre Ausführung bis zu deiner Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

Eine Übermittlung in ein Drittland nehmen wir nur auf deine Weisung oder aufgrund einer Rechtspflicht vor; im zweiten Fall unterrichten wir dich vorher, sofern das Recht dies nicht verbietet.

7. Vertraulichkeit

Jede zur Verarbeitung befugte Person ist über das Ende ihrer Tätigkeit hinaus zur Vertraulichkeit verpflichtet und datenschutzrechtlich unterwiesen (Art. 28 Abs. 3 lit. b DSGVO). Dieser Kreis besteht derzeit aus der Geschäftsführung; wächst er, wird die Verpflichtung vor der Zugriffserteilung unterzeichnet, nicht danach.

8. Technische und organisatorische Maßnahmen

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie stehen in Anlage 2 und geben den Zustand unserer Systeme zum Stand dieser Fassung wieder. Einzelne Maßnahmen dürfen wir ändern, solange das beschriebene Schutzniveau nicht unterschritten wird.

9. Unterauftragsverarbeiter

Du erteilst die allgemeine Genehmigung zum Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO). Wir verpflichten jeden von ihnen datenschutzrechtlich mindestens so weitgehend wie uns dieser Vertrag verpflichtet.

Jede beabsichtigte Änderung — ein neuer Unterauftragsverarbeiter oder ein Wechsel — kündigen wir mindestens 30 Tage vorher in Textform an deine Rechnungsadresse an. Innerhalb dieser 30 Tage kannst du aus sachlichem datenschutzrechtlichem Grund widersprechen. Können wir den Widerspruch nicht ausräumen, darfst du das Abonnement zum Wirksamwerden der Änderung kündigen; einen im Voraus gezahlten Betrag für die Restlaufzeit erstatten wir.

10. Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an dich weiter und beantworten es nicht selbst. Auf deine Anforderung unterstützen wir bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 28 Abs. 3 lit. e DSGVO) — soweit möglich über Funktionen, die du im Produkt selbst bedienst.

Ein Recht wird ohne dich ausgeübt: Jede Mail trägt einen 1-Klick-Abmeldelink (RFC 8058). Nutzt ein Empfänger ihn, endet die Zustellung an diese Adresse sofort. Wir halten das für richtig — ein Widerspruch darf nicht erst über eine Verwaltung laufen — und du sollst wissen, dass es passiert.

11. Unterstützung bei Sicherheit, Datenpannen und Folgenabschätzung

Wir unterstützen dich bei der Einhaltung der Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Eine Verletzung des Schutzes deiner Daten melden wir dir unverzüglich, spätestens 24 Stunden nach unserer Kenntnis, mit den zu diesem Zeitpunkt vorliegenden Angaben — wir warten nicht auf ein vollständiges Bild, weil deine 72-Stunden-Frist aus Art. 33 DSGVO läuft, bevor es eines gibt.

Einen Verdacht auf eine Schwachstelle kannst du uns jederzeit melden; die Kontakte und unser PGP-Schlüssel stehen in unserer security.txt.

12. Löschung und Rückgabe

Nach Ende des Abonnements löschen wir die in deinem Auftrag verarbeiteten Daten, soweit keine Rechtspflicht zur Aufbewahrung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung im Livebetrieb ist ein echter Hard-Delete, kein Markieren.

Aus den Sicherungen rotieren die Daten mit dem üblichen Turnus heraus: stündliche Sicherungen nach 30 Tagen, die vom Monatsersten nach spätestens einem Jahr. Aus Sicherungen löschen wir nicht gezielt — das ginge nur, indem man die Sicherungskette bricht, und das ist für alle, deren Daten darin liegen, der schlechtere Tausch.

Vor Vertragsende kannst du deine Daten im Produkt selbst exportieren. Auf Anforderung stellen wir sie einmalig in einem gängigen, maschinenlesbaren Format bereit.

13. Nachweise und Kontrollen

Wir stellen dir die Angaben zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind, und ermöglichen Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). In erster Linie geschieht das über diese Seite, unsere Datenschutzerklärung und die Betriebsseite — die kein Werbetext ist, sondern die Befehle abdruckt, mit denen du unsere Aussagen selbst nachprüfen kannst.

Darüber hinaus darfst du einmal je Kalenderjahr vor Ort prüfen, mit 30 Tagen Vorlauf, zu Geschäftszeiten und ohne Betriebsstörung. Du kannst die Prüfung durch einen unabhängigen Dritten durchführen lassen, der nicht unser Wettbewerber und zur Vertraulichkeit verpflichtet ist. Unsere eigenen Kosten tragen wir; eine zweite Prüfung im selben Jahr geht zu deinen Lasten, sofern nicht ein Verstoß Anlass gab.

Eine Grenze gehört hier klar benannt: Unsere Server stehen in fremden Rechenzentren. Eine Prüfung unserer Systeme und Abläufe können wir gewähren; der Zutritt zur Rechenzentrumsfläche liegt bei den in Anlage 1 genannten Unterauftragsverarbeitern, und dort sind deren Prüfberichte das, was zur Verfügung steht.

14. Ort der Verarbeitung

Anwendung, Datenbank, Objektspeicher und Mailversand laufen in Deutschland. Verfügbarkeits-Überwachung und die Sicherungskopien laufen auf einer zweiten Maschine, ebenfalls in Deutschland. Eine Übermittlung in die USA gibt es, und sie steht in Anlage 1: der autoritative DNS-Dienst. Konto-Daten oder Mail-Inhalte werden dabei nicht übermittelt.

15. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Bedingungen des zugrunde liegenden Abonnements. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Widersprechen sich dieser Vertrag und die Bedingungen des Abonnements in Datenschutzfragen, geht dieser Vertrag vor.

16. Wie der Vertrag zustande kommt

Der AVV ist Bestandteil von patchletter Pro und MSP — du bestellst ihn nicht gesondert, und er kostet nichts extra. Nach Beginn des Abonnements schicken wir ihn dir zur elektronischen Unterschrift; die gegengezeichnete Fassung bekommst du als PDF zurück. Die Unterzeichnung läuft über unsere eigene Instanz auf unserem eigenen Server in Deutschland; ein Signaturanbieter ist daran nicht beteiligt und taucht deshalb auch nicht in Anlage 1 auf.

Verlangt dein Einkauf ein eigenes Muster, schick es an legal@patchletter.com. Wir lesen es und sagen offen, welche Klauseln wir nicht erfüllen können, statt sie zu unterschreiben.

Anlage 1 — Unterauftragsverarbeiter

Stand dieser Fassung. Diese Liste ist die datenschutzrechtliche Sicht auf denselben Aufbau, den unsere Datenschutzerklärung in Abschnitt 3 beschreibt.

Bewusst nicht in dieser Liste: unser Zahlungsdienstleister. Er verarbeitet Rechnungsdaten, für die wir eigener Verantwortlicher sind (Abschnitt 3) — er ist kein Unterauftragsverarbeiter für die Daten, die wir in deinem Auftrag verarbeiten. Reichweitenmessung (Umami), Fehler-Monitoring (Bugsink) und Bot-Schutz (ALTCHA) betreiben wir selbst auf demselben Server; auch daran ist kein Dritter beteiligt.

Anlage 2 — Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO, Stand dieser Fassung. Wo eine Maßnahme fehlt, steht das dabei — eine Anlage, die nur das Vorhandene aufzählt, ist kein Nachweis, sondern Werbung.

Zutrittskontrolle

Einen eigenen Serverraum betreiben wir nicht. Die Maschinen stehen in den Rechenzentren der in Anlage 1 genannten Anbieter, mit deren Zutrittskontrollen und deren Prüfberichten.

Zugangskontrolle

Zugriffskontrolle

Trennungskontrolle

Jede Zeile, die zu einer Organisation gehört, trägt deren Kennung, und jede Abfrage ist daran gebunden. Wird eine Organisation gelöscht, laufen Mitglieder, Einladungen, Benachrichtigungs-Einstellungen und Abrechnungszeilen in derselben Transaktion mit — es bleibt keine verwaiste Zeile zurück.

Weitergabekontrolle

Verfügbarkeit und Wiederherstellbarkeit

Verschlüsselung im Ruhezustand

Klar benannt, weil es die Frage ist, die ein aufmerksamer Leser stellt: Die Produktivdatenbank und der Objektspeicher sind über das hinaus, was der Hoster auf Speicherebene tut, nicht im Ruhezustand verschlüsselt. Verschlüsselt sind die Off-Site-Sicherungskopien. Das schreiben wir lieber hin, als eine Anlage etwas anderes andeuten zu lassen.

Datenminimierung

Die E-Mail-Adresse ist das einzige Pflicht-Personendatum; ein Feld für einen Namen gibt es nicht. Löschfristen setzen geplante Jobs durch, nicht der Vorsatz: Benachrichtigungs-Protokoll 12 Monate, Zustell-Ereignisse 24 Monate, Server-Logs 14 Tage, unbestätigte Anmeldungen 48 Stunden.

Überprüfung

Abhängigkeiten werden laufend auf Schwachstellen geprüft, Fehler sammelt ein selbstgehostetes Fehler-Monitoring, und die Betriebsseite druckt die Befehle ab, mit denen sich die hier gemachten Aussagen von außen nachprüfen lassen.

Fassung 1.0, Stand 27. August 2026. Dazu passen: Datenschutzerklärung, Betrieb & Datenschutz, Verfahrensdokumentation.