Vertrag zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand, Dauer, Ort

(1) Der Auftragsverarbeiter (Honodo GbR, Lohwaldstr. 22, 86356 Neusäß) verarbeitet personenbezogene Daten im Auftrag des Kunden, um ihm die Plattform Honodo nach den AGB bereitzustellen.

(2) Dieser Vertrag gilt für die Dauer des Nutzungsvertrags einschließlich einer Testphase sowie bis zur vollständigen Löschung nach § 8.

(3) Die Verarbeitung findet ausschließlich in der Europäischen Union statt, auf einem Server im Rechenzentrum Falkenstein (Deutschland). Eine Verlagerung in ein Land außerhalb der EU bzw. des EWR erfolgt nur mit vorheriger Zustimmung des Kunden in Textform und unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 2 Art und Zweck, Daten, Betroffene

(1) Art und Zweck: Speicherung, Anzeige, Berechnung, Erzeugung von Dokumenten (PDF, E-Rechnung), Versand auf Veranlassung des Kunden und Löschung von Daten, die der Kunde in der Plattform erfasst – zur Verwaltung seiner Projekte, Kunden, Angebote und Rechnungen.

(2) Arten personenbezogener Daten:

• Namen, Anschriften, E-Mail-Adressen und Telefonnummern von Kunden und Ansprechpartnern des Kunden,
• Projekt-, Angebots-, Honorar- und Rechnungsdaten mit Personenbezug,
• Daten der Benutzer und Beschäftigten des Kunden (Name, E-Mail, Rolle, Standortzuordnung),
• über Schnittstellen übernommene Daten, z. B. Zeiteinträge aus clockodo,
• Inhalte hochgeladener Dateien wie Logos und Dokumente.

(3) Betroffene Personen: Kunden, Auftraggeber und Ansprechpartner des Kunden, seine Beschäftigten und Benutzer sowie sonstige Personen, die in Dokumenten des Kunden genannt sind.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Kunde erfasst solche Daten nicht in der Plattform.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind abschließend in den AGB, diesem Vertrag und den Einstellungen und Aktionen des Kunden in der Plattform festgelegt. Weitere Weisungen erteilt der Kunde in Textform an info@honodo.de.

(2) Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
• Er nutzt die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach § 5 oder auf Weisung des Kunden (z. B. E-Mail-Versand über das Postfach des Kunden, vom Kunden eingerichtete Schnittstellen).
• Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Kunde erteilt eine allgemeine Genehmigung für weitere oder andere Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.

(4) Anbieter, die der Kunde selbst wählt (eigenes E-Mail-Postfach, Schnittstellen zu ERPNext, Odoo oder clockodo), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; die Übermittlung an sie erfolgt auf Weisung des Kunden.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich an den Kunden weiter.

(2) Er unterstützt den Kunden bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.

(3) Viele Aufgaben erledigt der Kunde selbst in der Plattform, etwa Auskunft (Ansicht und PDF-Export), Berichtigung und Löschung von Datensätzen.

§ 7 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen und finden während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs statt.

§ 8 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags kann der Kunde seine Daten 30 Tage lang exportieren (AGB § 9 Abs. 7). Danach löscht der Auftragsverarbeiter die Daten des Kunden, soweit keine gesetzliche Pflicht zur Speicherung besteht.

(2) Auf Verlangen des Kunden bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 9 Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

(3) Änderungen dieses Vertrags gelten nach § 12 Abs. 2 der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt: Der Server steht im Rechenzentrum der Hetzner Online GmbH in Falkenstein; die physische Sicherung (Zutrittskontrolle, Brandschutz, Stromversorgung) richtet sich nach den Maßnahmen von Hetzner als Unterauftragsverarbeiter.
• Zugang: Anmeldung nur mit persönlichem Konto; Passwörter ausschließlich als kryptografischer Hash gespeichert; optionale Zwei-Faktor-Anmeldung (TOTP); Begrenzung wiederholter Anmeldeversuche; Beenden aller Sitzungen bei Passwortwechsel. Administrativer Zugang zum Server nur für die Gesellschafter.
• Zugriff: rollenbasierte Berechtigungen, die der Kunde selbst vergibt; Prüfung der Rechte auf dem Server.
• Trennung: Daten verschiedener Kunden sind logisch getrennt; jede Abfrage ist auf den jeweiligen Kunden beschränkt.
• Weitergabe: Übertragung ausschließlich verschlüsselt über HTTPS (TLS), HSTS im Produktivbetrieb.
• Eingabe- und Integritätskontrolle: festgeschriebene Rechnungen sind nicht mehr änderbar; Server-Protokolle für Störungsanalyse und Angriffsabwehr, Löschung nach 14 Tagen.
• Schutz der Anwendung: HTTP-Sicherheitsrichtlinien (u. a. Content-Security-Policy), Eingabevalidierung, Begrenzung automatisierter Zugriffe.
• Verfahren zur Überprüfung: Überprüfung und Anpassung der Maßnahmen bei Änderungen der Plattform, mindestens einmal jährlich.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Bereitstellung des Servers (Infrastructure as a Service) im Rechenzentrum Falkenstein, Deutschland.

Stand: 16. Oktober 2026