Auftragsverarbeitung

Vereinbarung nach Art. 28 DSGVO · Fassung 1.4, 11. Oktober 2026 · English version

Wann Sie das brauchen: nur wenn Sie BrowserDesk über unser Relay nutzen — dann verarbeiten wir Daten in Ihrem Auftrag. Betreiben Sie das Relay selbst, gibt es keine Auftragsverarbeitung; die Daten bleiben bei Ihnen, und Sie brauchen diese Vereinbarung nicht (siehe Abschnitt 2).

1Parteien und Zustandekommen

Verantwortlicher („Sie“) sind Sie als Kunde. Auftragsverarbeiter („wir“) ist Martin Stemplinger, Ilztalstraße 5, 94116 Hutthurm, Deutschland, info@browserdesk.de.

Diese Vereinbarung ergänzt die Nutzungsbedingungen und gilt, sobald Sie sie in Textform anfordern und wir sie bestätigen — eine E-Mail genügt. Auf Wunsch unterzeichnen wir sie zusätzlich. Im Widerspruchsfall geht diese Vereinbarung den Nutzungsbedingungen vor, soweit es um die Verarbeitung personenbezogener Daten geht.

2Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die beim Betrieb von BrowserDesk über unser Relay anfallen: Vermittlung von Fernverbindungen, Bereitstellung der Verwaltungskonsole, des Web-Clients und des Aktualisierungs-Feeds.

Nicht Gegenstand ist der Selbstbetrieb. Betreiben Sie das Relay per Docker, als Windows-Dienst oder als Linux-Paket, verarbeiten wir keine dieser Daten; sie bleiben ausschließlich auf Ihren Systemen. Erreichbar bleibt dann nur unser Feed, dessen Abruf die üblichen Server-Protokolle bei uns erzeugt — das verarbeiten wir als Verantwortliche, nicht in Ihrem Auftrag.

Die Vereinbarung läuft, solange wir für Sie verarbeiten, und endet mit dem Nutzungsverhältnis.

3Art, Zweck, Datenarten, Betroffene

Art und Zweck: Erheben, Speichern, Übermitteln und Löschen der unten genannten Daten, ausschließlich zur Erbringung der vereinbarten Leistung und zur Sicherung ihres Betriebs. Eine Verarbeitung zu eigenen Zwecken — etwa Werbung, Profilbildung oder Verkauf von Daten — findet nicht statt.

Datenart	Inhalt
Gerätedaten	Name, Plattform, Version, Kennzeichen, erste und letzte Meldung, Gerätezertifikat, Inventardaten aus Sammelskripten
Sitzungsdaten	Kennung des Zielgeräts, IP-Adressen beider Seiten, Beginn und Ende. Bild, Eingaben und Dateien der Sitzung werden nicht gespeichert (ausgenommen Aufzeichnungen, siehe unten). Wie sie unterwegs geschützt sind, hängt vom Weg ab (Anlage 1, „Vertraulichkeit der Übertragung“).
Protokolldaten	Verkettetes Audit-Log: Zeit, auslösende Person, Zugang, Gerät, Handlung und Einzelheiten dazu, bei manchen Ereignissen (etwa Anmeldungen und Schnellcodes) die IP-Adresse; Geräteprotokolle; Skriptläufe mit ihren Parametern — maskiert nur Parameter der Art „geheim“, alle übrigen im Klartext
Freigaben	Erteilte Zustimmungen je Fähigkeit, Person und Geltungsdauer
Konten	Benutzername, Rolle, Passwort ausschließlich als gesalzener Prüfwert (PBKDF2)
Aufzeichnungen	Bildschirm-Vorschauen und Sitzungsaufzeichnungen. Automatisch nur, wenn Sie das für ein Gerät einschalten (standardmäßig aus). Unabhängig davon kann ein Techniker in einer laufenden Sitzung eine Aufzeichnung starten; das gesteuerte Gerät zeigt dann „Aufzeichnung läuft“ (Programmfassung ab 20261006.8). Auf dem Relay liegen nur Aufzeichnungen „in die Konsole“; eine lokale Aufzeichnung speichert der Techniker auf seinem eigenen Rechner — sie liegt bei Ihnen, nicht bei uns.
Sprache und Ton	Stimme (Mikrofon) und Ton des Geräts während einer Sitzung — nur auf Wunsch der Beteiligten, das Mikrofon am betreuten Gerät nur nach Freigabeabfrage dort; zwischen den Endpunkten verschlüsselt übertragen, nicht gespeichert, nicht aufgezeichnet; im Protokoll steht nur, wer wann zugestimmt hat
Rückmeldungen	Fehlermeldungen und Verbesserungswünsche aus der App (Text, angegebene Gerätekennung, IP-Adresse, auf Wunsch Diagnose und Protokollauszug) — gespeichert auf dem Relay; an uns als Hersteller gehen sie nur auf Ihre Weisung (Weiterleiten je Meldung), dann ohne Gerätekennung und IP-Adresse; ab da verarbeiten wir sie zur Produktverbesserung in eigener Verantwortung

Kategorien betroffener Personen: Ihre Beschäftigten und Beauftragten, die BrowserDesk nutzen oder deren Geräte betreut werden; Personen, die sich in Ihrem Auftrag an einem betreuten Gerät befinden. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand; gelangen sie durch Ihre Nutzung dennoch in eine Aufzeichnung, verantworten Sie das.

4Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Als Weisung gelten diese Vereinbarung, die Nutzungsbedingungen und Ihre Einstellungen in der Konsole — etwa Aufbewahrungsfristen, Freigaben und das Ein- oder Ausschalten von Vorschau und Aufzeichnung. Weitere Weisungen erteilen Sie in Textform an info@browserdesk.de.

Halten wir eine Weisung für rechtswidrig, teilen wir dies mit und dürfen ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern.

5Unsere Pflichten

Verarbeitung ausschließlich in der Europäischen Union; keine Übermittlung in Drittländer.
Vertraulichkeit: Zugang nur für Personen, die zur Vertraulichkeit verpflichtet und mit den Anforderungen der DSGVO vertraut sind.
Umsetzung und Aufrechterhaltung der Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
Unterstützung bei Ihren Pflichten nach Art. 32 bis 36 DSGVO, soweit uns möglich und angemessen.
Führung eines Verzeichnisses der für Sie durchgeführten Verarbeitungen (Art. 30 Abs. 2 DSGVO).
Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen; Ansprechpartner ist Martin Stemplinger unter der oben genannten Adresse.

6Ihre Pflichten

Sie bleiben für die Zulässigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage des Fernzugriffs.
Sie informieren betroffene Personen und beteiligen — wo nötig — Mitarbeitervertretung und Datenschutz, besonders bevor Sie Vorschau oder Aufzeichnung einschalten.
Sie wählen Aufbewahrungsfristen und Freigaben so, wie es Ihre Zwecke erfordern.
Sie melden uns Missbrauch oder verlorene Zugangsdaten unverzüglich.

7Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen nach Anlage 1. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Verschlechterungen teilen wir vorher mit.

8Unterauftragnehmer

Sie stimmen dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu. Wir binden sie vertraglich mindestens auf das Schutzniveau dieser Vereinbarung.

Einen Wechsel oder die Aufnahme weiterer Unterauftragnehmer teilen wir mindestens vier Wochen vorher in Textform mit. Sie können innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, dürfen Sie das Nutzungsverhältnis zum Wirksamwerden der Änderung kündigen.

9Betroffenenrechte

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs- oder Löschverlangen an uns, verweisen wir sie an Sie und informieren Sie unverzüglich. Wir unterstützen Sie bei der Erfüllung solcher Anfragen — Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragung — und stellen die Daten auf Wunsch in einem gängigen Format bereit. Einfache Anfragen erledigen wir ohne zusätzliche Kosten; bei erheblichem Aufwand stimmen wir eine Vergütung vorher ab.

10Datenschutzverletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir Sie unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis — mit Beschreibung des Vorfalls, betroffenen Datenarten, möglichen Folgen und ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt Ihnen; wir liefern die dazu erforderlichen Angaben.

11Nachweise und Prüfungen

Wir weisen die Einhaltung dieser Vereinbarung durch Auskunft in Textform und durch Vorlage der Maßnahmen nach Anlage 1 nach. Auf Anfrage beantworten wir einen Fragebogen.

Genügt Ihnen das nicht als Grundlage, können Sie eine Prüfung vor Ort verlangen — nach Ankündigung mit angemessener Frist, während der Geschäftszeit, ohne Störung des Betriebs und ohne Einsicht in Daten anderer Kunden. Prüfungen durch Dritte setzen deren Verpflichtung zur Vertraulichkeit voraus. Eine Zertifizierung nach ISO 27001 oder ein Bericht nach SOC 2 liegt nicht vor.

12Löschung und Rückgabe

Nach Ende des Nutzungsverhältnisses löschen wir die für Sie verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellen wir sie vorher in einem gängigen Format bereit. Sicherungen laufen im Rahmen des Aufbewahrungszyklus aus (höchstens 14 Sicherungen). Die Löschung bestätigen wir auf Anfrage in Textform.

13Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Änderungen dieser Vereinbarung bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist Passau, soweit gesetzlich zulässig. Wird eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

A1Anlage 1: Technische und organisatorische Maßnahmen

Stand der hier beschriebenen Maßnahmen: 11. Oktober 2026.

Bereich	Maßnahme
Vertraulichkeit der Übertragung	TLS 1.3 und 1.2 zum Relay (ältere Fassungen sind abgeschaltet), Zertifikat einer öffentlichen Zertifizierungsstelle. Auf dem direkten Weg und über TURN sind Bild und Eingaben zwischen den Endpunkten verschlüsselt (DTLS/SRTP); das Relay leitet dort allenfalls verschlüsselte Pakete weiter. Sperrt ein Netz diese Wege, trägt das Relay die Sitzung selbst (Relay-Modus): Arbeiten beide Seiten mit der Programmfassung ab 20261010.19, sind die Rahmen auch dann zwischen den Endpunkten verschlüsselt (ECDH P-256, AES-256-GCM). Seit Fassung 20261012.1 signiert das betreute Gerät diesen Schlüsseltausch mit einer geräteeigenen Identität, deren privater Schlüssel das Gerät nie verlässt; der Betrachter prüft die Signatur und merkt sich den Fingerabdruck und warnt, wenn er sich ändert — so wird ein nachträglich zwischengeschaltetes Relay erkannt, und der Betreiber des Relays kann die Sitzung auch im Relay-Modus nicht mitlesen. Mit einer älteren Gegenseite und stets mit dem Client für Windows XP/7 sind die Rahmen im Relay-Modus nur auf dem Weg zum Relay per TLS geschützt und laufen im Relay unverschlüsselt durch; ein Programm ab 20261010.19 zeigt den Zustand (verschlüsselt und geprüft, verschlüsselt oder unverschlüsselt) in der Sitzung an.
Authentisierung der Geräte	Gegenseitiger Nachweis per Gerätezertifikat (mTLS); Zertifikate sperrbar; Pflicht pro Mandant erzwingbar.
Passwörter	Ausschließlich als gesalzener Prüfwert (PBKDF2); niemals im Klartext — auch Geräte-Zugangspasswörter nicht.
Zugriffssteuerung	Rollen für Betrachten, Steuern und Verwalten; Trennung nach Mandanten; Vier-Augen-Freigabe für kritische Geräte.
Nachvollziehbarkeit	Verkettetes Audit-Log (Hash-Kette), dadurch werden nachträgliche Änderungen erkennbar; Sitzungs- und Skriptprotokolle.
Freigabeprinzip	Vorschau, automatische Aufzeichnung und Zugang vor der Anmeldung sind standardmäßig aus und werden je Gerät oder Mandant freigeschaltet. Eine Aufzeichnung, die ein Techniker in der Sitzung startet, zeigt das gesteuerte Gerät an. Das Mikrofon am betreuten Gerät öffnet sich nur nach einer Freigabeabfrage am Gerät, je Sitzung — es lässt sich durch keine Einstellung vorab erlauben; Ton wird nie aufgezeichnet.
Verfügbarkeit	Nächtliche Datenbanksicherung auf dem Server mit Aufbewahrung der letzten 14 Stück; Wiederanlauf des Dienstes nach Absturz. Eine zusätzliche Sicherung außerhalb dieses Servers (etwa per E-Mail) ist derzeit nicht eingerichtet; wird sie eingerichtet, dann nur verschlüsselt.
Trennung	Mandantentrennung in der Datenbank; getrennte Konten für Verwaltung und Nutzung.
Speicherbegrenzung	Sitzungsdaten und Geräteprotokolle werden nach 30 Tagen automatisch gelöscht; Server-Protokolle nach 14 Tagen überschrieben. Das verkettete Audit-Log wird nicht automatisch gekürzt; es bleibt für die Dauer des Nutzungsverhältnisses gespeichert (danach Abschnitt 12).
Organisation	Serverzugang über SSH mit Schlüsselpaar; Zugriff auf Kundendaten nur, soweit für Betrieb oder Fehlersuche erforderlich, und nur durch den Auftragsverarbeiter selbst (Martin Stemplinger).
Datenminimierung	Der Sitzungsinhalt wird nicht gespeichert (ausgenommen Aufzeichnungen); Skriptparameter der Art „geheim“ werden maskiert abgelegt, alle übrigen stehen im Klartext im Verlauf des Skriptlaufs — Kennwörter und andere Geheimnisse gehören deshalb nur in Parameter der Art „geheim“.
Anmeldung	Zweiter Faktor (TOTP, jeder Code nur einmal gültig) für Konsolenkonten freiwillig und für Mitglieder eines Zugangs, dort je Zugang als Pflicht schaltbar — ausgenommen die Notfall-Anmeldung des Relay-Betreibers. Anmeldebremsen je Netzadresse und je Konto (20 Fehlversuche in 5 Minuten). Konsolen-Sitzungen enden nach 8 Stunden. Programmzugänge (API-Tokens) mit Pflicht-Ablauf von höchstens 365 Tagen, sofort widerrufbar, gespeichert nur als Prüfwert (SHA-256). Anmeldung über OIDC oder LDAPS und Kontenpflege per SCIM 2.0 sind möglich.
Netz- und Gerätegrenzen	Konsole und Steuerung der Geräte eines Zugangs lassen sich auf vertraute Netze (Adressbereiche) beschränken; „Steuerung nur aus dem eigenen Zugang“ ist schaltbar. Am Gerät kann dessen Verwalter mit einem lokalen Riegel Funktionen (Remote-Konsole, Shell, Skripte, Ausführen als anderer Benutzer) sperren — das Relay kann diese Sperre nicht aufheben.
Schlüssel	Geheimnisse am Relay (etwa Zugangsdaten für E-Mail-Versand und Zahlungsdienst) liegen verschlüsselt; der Schlüsselring dazu ist mit einem eigenen Schlüssel eingehüllt (AES-256-GCM). Eine Sicherung dieser Schlüssel entsteht nur verschlüsselt mit einer Passphrase.

A2Anlage 2: Unterauftragnehmer

Unternehmen	Leistung	Ort
IONOS SE, Elgendorfer Straße 57, 56410 Montabaur	Server (virtueller Server, auf dem Relay und Datenbank laufen)	Deutschland
IONOS SE, Elgendorfer Straße 57, 56410 Montabaur	E-Mail-Versand (Benachrichtigungen, Antworten auf Anfragen)	Deutschland

Weitere Unterauftragnehmer setzen wir derzeit nicht ein. Insbesondere findet keine Nutzung von Analyse-, Werbe- oder Content-Delivery-Diensten statt.