PatchBudePortal

Stand: 13. September 2026

Datenschutzerklärung für das Kundenportal

Diese Erklärung gilt für das Kundenportal unter portal.patchbude.de. Für die öffentliche Website gilt die Datenschutzerklärung auf patchbude.de.

Verantwortlicher

Patrick Chowanski - PatchBude, Clevische Straße 15, 47495 Rheinberg, E-Mail: patrick@patchbude.de. Einzelunternehmen. Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und nicht benannt; für alle Fragen zum Datenschutz bin ich selbst der Ansprechpartner.

Für wen dieses Portal ist

Das Portal ist der geschlossene Bereich für Kunden, deren Website ich hoste oder warte. Es gibt keine öffentliche Registrierung. Ein Konto entsteht nur, wenn ich oder der Inhaber des Kundenkontos jemanden einlädt. Die Einladung ist 72 Stunden gültig und wird danach gelöscht, wenn sie nicht angenommen wurde.

Für einen Teil der Daten bin ich nicht Verantwortlicher, sondern Auftragsverarbeiter: Wenn ich für dein Unternehmen eine Website betreibe, verarbeite ich die Daten, die auf dieser Website liegen (zum Beispiel Benutzerkonten deiner WordPress-Installation oder Inhalte deiner Sicherungen), in deinem Auftrag. Dafür schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich für diese Daten bleibt dein Unternehmen.

Was dieses Portal nicht tut

Aufruf des Portals und Server-Logfiles

Bei jedem Aufruf speichert der Webserver automatisch technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite (Referrer), soweit der Browser sie übermittelt. Diese Daten dienen dem technischen Betrieb, der Fehlerbehebung und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach 14 Tagen automatisch gelöscht.

Cookies und Sitzung

Das Portal setzt ausschließlich technisch erforderliche Cookies. Keines davon wird für Werbung oder Analyse genutzt:

Zu jeder Sitzung speichert das Portal die IP-Adresse und die Browserkennung des Geräts, mit dem du angemeldet bist, um Sitzungen zu unterscheiden und Missbrauch zu erkennen. Diese Angaben werden mit dem Ende der Sitzung gelöscht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist nicht erforderlich.

Dein Benutzerkonto

Zu deinem Konto speichere ich: Name, E-Mail-Adresse, Passwort (nur als Hash, das Passwort selbst kenne ich nicht), das Geheimnis deiner Zwei-Faktor-Anmeldung samt Wiederherstellungscodes (verschlüsselt gespeichert), deine Rolle (Inhaber oder Mitarbeiter), den Zeitpunkt der letzten Anmeldung und deine Einstellungen zu Benachrichtigungen. Die Zwei-Faktor-Anmeldung ist Pflicht, weil im Portal Zugänge und Sicherungen deiner Website erreichbar sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Hosting- oder Wartungsvertrags). Bei Mitarbeitern eines Kunden, die der Inhaber einlädt, zusätzlich Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, dem Kunden die Zusammenarbeit mit seinem Team zu ermöglichen. Ein Konto wird gelöscht, wenn der Inhaber es entfernt, wenn du mich darum bittest oder wenn der Vertrag endet und keine Aufbewahrungspflichten entgegenstehen.

Fehlgeschlagene Anmeldungen

Um Angriffe auf Passwörter zu bremsen, zählt das Portal fehlgeschlagene Anmeldeversuche je E-Mail-Adresse und IP-Adresse. Nach fünf Fehlversuchen in einer Minute wird die Anmeldung kurz gesperrt. Der Zähler liegt im Zwischenspeicher des Servers und wird nach wenigen Minuten automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Protokoll deiner Aktionen

Aktionen mit Wirkung nach außen, etwa das Anfordern eines Backup-Downloads, das Anlegen eines Tickets, eine erteilte Freigabe oder eine Wiederherstellungsanfrage, werden mit deinem Konto, der Aktion, dem betroffenen Datensatz, deiner IP-Adresse und dem Zeitpunkt protokolliert. Das Protokoll dient der Sicherheit und der Nachvollziehbarkeit, zum Beispiel wenn du wissen willst, wer eine Wiederherstellung angefordert hat. Es ist nur für mich als Administrator sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Einträge werden nach zwölf Monaten automatisch gelöscht.

Betriebsdaten deiner Website

Kern des Portals sind die Daten, die beim Betrieb deiner Website anfallen. Ich verarbeite sie, um den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Soweit darin personenbezogene Daten deiner Mitarbeiter oder Kunden stecken, geschieht das als Auftragsverarbeiter für dein Unternehmen.

Tickets und Anhänge

Wenn du ein Ticket anlegst, speichere ich Betreff, Kategorie, deine Nachrichten und meine Antworten sowie Anhänge (Bilder oder PDF, bis 10 MB). Anhänge liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur an Nutzer deines Kundenkontos ausgeliefert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Tickets bleiben für die Dauer des Vertrags erhalten, damit du den Verlauf nachlesen kannst, und werden danach gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen.

Berichte, Vertrag, Rechnungen, Servicezeit

Im Portal liegen deine Monatsberichte, die Bausteine deines Vertrags mit Preisen, Rechnungen und Dokumente wie der Auftragsverarbeitungsvertrag sowie die Buchungen deiner Servicezeit mit Beschreibung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Rechnungen und Buchungsbelege bewahre ich acht Jahre auf, Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres. Danach werden sie gelöscht.

Backup-Download

Du kannst dir jeden Stand deiner Website als Archiv herunterladen. Dafür gibst du ein Passwort an, mit dem das Archiv verschlüsselt wird. Das Passwort wird verschlüsselt gespeichert, nur bis der Agent das Archiv gebaut hat, und dann gelöscht; ich kenne es nicht. Das Archiv liegt 24 Stunden im Hetzner Object Storage in Deutschland und wird danach automatisch gelöscht. Der Download-Link ist 15 Minuten gültig, jeder Abruf wird protokolliert (siehe „Protokoll deiner Aktionen“).

E-Mails

Das Portal schickt dir E-Mails, zum Beispiel die Einladung, Antworten auf Tickets, den Monatsbericht oder die Nachricht, dass ein Backup-Archiv bereitliegt. Welche Benachrichtigungen du bekommst, stellst du im Profil ein; Einladung, Passwort-Zurücksetzen und sicherheitsrelevante Hinweise gehen immer raus. Der Versand läuft über Scaleway (Scaleway SAS, Paris, Frankreich) innerhalb der EU. Scaleway versendet ausschließlich diese automatischen Nachrichten und speichert sie nicht dauerhaft. Verarbeitet werden Absender- und Empfängeradresse sowie der Inhalt der Nachricht. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Antwortest du auf eine dieser Mails, landet deine Antwort in meinem Postfach bei Microsoft 365 (Microsoft Ireland Operations Limited, Dublin, Irland). Die Daten werden in Rechenzentren innerhalb der EU gespeichert; für Support und Betrieb kann Microsoft in Einzelfällen aus den USA zugreifen und stützt sich dafür auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Mit Microsoft besteht ein Vertrag zur Auftragsverarbeitung. Lieber ohne E-Mail? Dann schreib mir ein Ticket im Portal, das bleibt auf meinem Server.

Interne Alarme an mich

Damit ich schnell reagieren kann, schickt mir das Portal bei wichtigen Ereignissen eine Nachricht an mein eigenes Konto beim Messenger Telegram (Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate). Diese Nachrichten enthalten bewusst nur die Domain der betroffenen Website, die Art des Ereignisses, die Uhrzeit und bei Tickets die Ticketnummer, keine Namen, keine Nachrichteninhalte, keine Anhänge. Bei Unternehmen ist die Domain kein personenbezogenes Datum; bei Einzelunternehmern kann sie den Inhaber erkennen lassen. Für diesen Fall ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit meinem berechtigten Interesse an einer schnellen Alarmierung bei Ausfällen und Angriffen; die Übermittlung erfolgt auf Grundlage von Art. 49 Abs. 1 lit. f DSGVO in Verbindung mit dem minimalen Inhalt. Wenn du das für deine Domain nicht möchtest, schreib mir; dann bekomme ich die Alarme für deine Website nur per E-Mail.

Hosting und Auftragsverarbeiter

Das Portal läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Sicherungen und Download-Archive liegen im Hetzner Object Storage in Deutschland. Die Verwaltung des Servers und die Erreichbarkeitsmessung laufen über Ploi (Ploi B.V., Niederlande). E-Mails versendet Scaleway (Paris, Frankreich), mein Postfach liegt bei Microsoft 365 (Irland). Mit allen vier Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Länder außerhalb der EU findet durch den Betrieb des Portals nicht statt; Ausnahmen sind die oben beschriebenen internen Alarme und mögliche Support-Zugriffe von Microsoft.

Eine Weitergabe an andere Dritte erfolgt nicht. Auf Anfrage nenne ich dir die eingesetzten Anbieter im Einzelnen.

Verschlüsselung

Das Portal wird ausschließlich verschlüsselt über TLS ausgeliefert (https://). Passwörter sind gehasht, Zwei-Faktor-Geheimnisse und Server-Schlüssel verschlüsselt gespeichert, Sicherungen verschlüsselt abgelegt. Anhänge und Sicherungen werden nur nach Prüfung der Berechtigung ausgeliefert.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3). Eine formlose Nachricht an patrick@patchbude.de oder ein Ticket im Portal genügt. Name, E-Mail-Adresse und Benachrichtigungen kannst du im Profil selbst ändern.

Für Daten, die ich als Auftragsverarbeiter für dein Unternehmen verarbeite, richten sich Betroffene an dein Unternehmen als Verantwortlichen; ich unterstütze dabei im Rahmen des Auftragsverarbeitungsvertrags.

Besonderer Hinweis auf das Widerspruchsrecht nach Art. 21 DSGVO

Soweit ich Daten auf Grundlage eines berechtigten Interesses verarbeite, kannst du jederzeit widersprechen. Nach einem Widerspruch stelle ich die Verarbeitung ein, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Beschwerderecht

Du kannst dich bei der zuständigen Aufsichtsbehörde beschweren: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de. Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes oder Arbeitsplatzes wenden.

Pflicht zur Bereitstellung

Ohne Name, E-Mail-Adresse, Passwort und Zwei-Faktor-Anmeldung kann kein Konto eingerichtet werden. Alle weiteren Angaben, etwa in Tickets, sind freiwillig.

Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich die Datenverarbeitung im Portal oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils aktuelle Fassung auf dieser Seite.