Auftragsverarbeitungsvertrag (AVV)

Vertragstext

Standard-Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen dem Verantwortlichen (im Folgenden „Mandant" oder „Auftraggeber") — der natürlichen oder juristischen Person, die mit der Jehle Agrarstruktur und Innovation GmbH einen Vertrag über die Nutzung der Software Hofmanager+ geschlossen hat —

und

der Jehle Agrarstruktur und Innovation GmbH, Leopoldstraße 8, 80802 München, Handelsregister HRB 308043 Amtsgericht München, vertreten durch den Geschäftsführer Markus Jehle (im Folgenden „Auftragsverarbeiter" oder „Anbieter").

Präambel

Der Auftragsverarbeiter stellt dem Mandanten die SaaS-Software „Hofmanager+" zur digitalen Hofverwaltung bereit. Im Rahmen der Bereitstellung verarbeitet der Auftragsverarbeiter personenbezogene Daten des Mandanten und seiner Mitarbeiter, Kunden, Lieferanten und sonstiger Betroffener im Auftrag und nach Weisung des Mandanten. Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO und ergänzt die zwischen den Parteien bestehenden Allgemeinen Geschäftsbedingungen (AGB).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der SaaS-Anwendung Hofmanager+ einschließlich Hosting, Speicherung, Backup, Wartung, Support, KI-gestützter Funktionen und transaktionalem E-Mail-Versand.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag über die Software Hofmanager+). Nach Beendigung des Hauptvertrags gelten die Lösch- und Rückgabepflichten nach § 9 dieses AVV in Verbindung mit § 23 der AGB.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Abfrage, Verwendung, Offenlegung durch Übermittlung, Einschränkung, Löschung und Vernichtung personenbezogener Daten innerhalb der Software Hofmanager+.

(2) Zweck der Verarbeitung: Bereitstellung sämtlicher vertraglich vereinbarter Funktionen der Software, insbesondere Maschinenverwaltung, Flächenmanagement, Personal- und Zeiterfassung, Urlaubsplanung, Aufgaben- und Auftragsverwaltung, Dokumentenablage, Kosten- und Budget-Tracking, Tank- und Erntelisten, Chat- und Benachrichtigungsfunktionen, optional unter Einsatz KI-gestützter Funktionen gemäß § 6 AGB und Abschnitt 6 der Datenschutzerklärung.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Kommunikationsdaten (E-Mail, Telefon, Chat-Nachrichten), Vertrags- und Abrechnungsdaten, Arbeitszeit- und Schichtdaten, Urlaubs- und Krankheitsdaten, Standort- und Bewegungsdaten von Maschinen, Flächendaten, Dokumente (z. B. Führerscheine, Verträge, Sicherheitsunterweisungen), Nutzungsdaten der Software (Login-Zeitstempel, Aktionen), technische Metadaten (IP-Adresse, Browser, Gerät).

(2) Kategorien betroffener Personen: Mitarbeiter des Mandanten (einschließlich saisonaler und studentischer Hilfskräfte), Kunden des Mandanten, Lieferanten und Geschäftspartner des Mandanten, externe Dienstleister, sonstige in der Software erfasste natürliche Personen.

(3) Der Mandant entscheidet eigenverantwortlich, welche personenbezogenen Daten er in der Software erfasst und verarbeitet. Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (insbesondere Gesundheitsdaten) ist nur zulässig, soweit der Mandant über eine entsprechende Rechtsgrundlage verfügt und die Verarbeitung mit den Funktionen der Software vereinbar ist.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten ausschließlich im Rahmen der Weisungen des Mandanten und unter Beachtung der einschlägigen datenschutzrechtlichen Vorschriften, insbesondere der DSGVO und des BDSG, zu verarbeiten. Insbesondere verpflichtet er sich:

a) personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Mandanten zu verarbeiten, sofern er nicht durch das Recht der Europäischen Union oder das Recht eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist; in diesem Fall teilt der Auftragsverarbeiter dem Mandanten diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

b) sicherzustellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

c) alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 7 dieses AVV);

d) den Mandanten unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen, soweit möglich, dabei zu unterstützen, seinen Pflichten zur Beantwortung von Anträgen Betroffener auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO nachzukommen (siehe § 8 dieses AVV);

e) den Mandanten bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen von Datenschutzverletzungen;

f) nach Wahl des Mandanten alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen entweder zurückzugeben oder zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (siehe § 9 dieses AVV);

g) dem Mandanten alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen — einschließlich Inspektionen —, die vom Mandanten oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen (siehe § 10 dieses AVV).

§ 5 Weisungsrecht des Mandanten

(1) Der Mandant erteilt seine Weisungen schriftlich oder in Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(2) Der Auftragsverarbeiter informiert den Mandanten unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Mandanten auszusetzen.

(3) Der Mandant benennt einen verantwortlichen Ansprechpartner für die Belange der Auftragsverarbeitung. Standard-Ansprechpartner auf Seiten des Mandanten ist der im Hauptvertrag genannte Vertragsadministrator des Mandanten-Accounts.

§ 6 Unterauftragsverarbeiter

(1) Der Mandant erteilt dem Auftragsverarbeiter die allgemeine Genehmigung gemäß Art. 28 Abs. 2 Satz 1 DSGVO, die zum Zeitpunkt des Vertragsabschlusses unter https://hofmanager.plus/subunternehmer aufgeführten Unterauftragsverarbeiter zur Vertragserfüllung einzusetzen.

(2) Der Auftragsverarbeiter setzt insbesondere folgende Unterauftragsverarbeiter ein:

— Lovable Cloud / Supabase (Hosting, Datenbank, Authentifizierung, Edge Functions) — Verarbeitungsort: EU
— OpenAI Ireland Ltd. (KI-gestützte Funktionen über das Lovable AI-Gateway) — Verarbeitungsort: u. a. USA
— Google Ireland Ltd. (KI-gestützte Funktionen über das Lovable AI-Gateway) — Verarbeitungsort: u. a. USA
— Resend, Inc. (transaktionaler E-Mail-Versand) — Verarbeitungsort: USA
— Cloudflare, Inc. (CDN, DDoS-Schutz) — Verarbeitungsort: USA / EU-Edge

Die jeweils aktuelle Liste ist unter https://hofmanager.plus/subunternehmer abrufbar.

(3) Der Auftragsverarbeiter wird den Mandanten gemäß § 12 Abs. 3 AGB über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung anderer Unterauftragsverarbeiter mindestens vier Wochen im Voraus per E-Mail oder über die Software informieren. Der Mandant kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien berechtigt, den Hauptvertrag außerordentlich zu kündigen, wenn keine einvernehmliche Lösung gefunden wird.

(4) Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben datenschutzrechtlichen Pflichten einhalten wie der Auftragsverarbeiter selbst. Bei Drittlandstransfers stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher (insbesondere EU-US Data Privacy Framework, EU-Standardvertragsklauseln, ergänzende Maßnahmen).

§ 7 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus, insbesondere:

a) Vertraulichkeit:
— Zutrittskontrolle: Hosting in zertifizierten EU-Rechenzentren des Unterauftragsverarbeiters Lovable Cloud / Supabase (ISO 27001, SOC 2 Type II) mit physischen Zugangskontrollen, Videoüberwachung, biometrischer Authentifizierung der Rechenzentrumsbetreiber;
— Zugangskontrolle: Authentifizierung über Benutzername/Passwort mit Mindestkomplexität, Login-Rate-Limiting (siehe § 14 AGB), Sperrung nach Fehlversuchen, optionale Passwort-Wiederherstellung über E-Mail-Magic-Link;
— Zugriffskontrolle: Multi-Tenant-Architektur mit Row-Level-Security (RLS) auf Datenbankebene, granulare Rollen- und Rechteverwaltung (Superadmin, Betriebsleiter, Büro, Mitarbeiter, Externe), Trennung zwischen Mandanten technisch erzwungen;
— Pseudonymisierung: IP-Adressen in Audit-Logs werden HMAC-SHA-256 mit projektspezifischem Pepper gehasht;
— Verschlüsselung: Transportverschlüsselung TLS 1.2+, Verschlüsselung der Datenbank at-rest (AES-256), Secrets-Management über Supabase Vault.

b) Integrität:
— Eingabekontrolle: Audit-Log für sicherheitsrelevante Aktionen (Login, Rollenänderungen, Datenexporte, AGB-/AVV-Akzeptanzen, Löschungen);
— Weitergabekontrolle: Verschlüsselte Übertragung, Zugriffsbeschränkung auf API-Ebene über RLS-Policies und Edge-Function-Authentifizierung.

c) Verfügbarkeit:
— Verfügbarkeitszusage: 95 % Jahresverfügbarkeit gemäß § 8 AGB;
— Tägliche Backups durch den Hosting-Subunternehmer Supabase mit Point-in-Time-Recovery (typischerweise 7 Tage), zusätzliche monatliche Mandanten-Backups gemäß § 23 Abs. 5 AGB;
— Disaster-Recovery-Konzept des Hosting-Subunternehmers;
— DDoS-Schutz über Cloudflare.

d) Belastbarkeit:
— Automatische Skalierung der Datenbank- und Edge-Function-Kapazitäten;
— Monitoring und Alerting bei Anomalien.

e) Wiederherstellbarkeit:
— Backup-Rotation und Restore-Tests im Rahmen der Hosting-Subunternehmer-Prozesse;
— Mandanten-Datenexport jederzeit über die Software möglich (Maschinen, Felder, Aufgaben, Zeiten, Kunden, Dokumente etc.).

f) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung:
— Periodische interne Sicherheitsüberprüfung der Anwendung und der RLS-Policies;
— Responsible-Disclosure-Programm unter https://hofmanager.plus/sicherheit/responsible-disclosure;
— Verpflichtung der eingesetzten Unterauftragsverarbeiter auf laufende Auditierung (ISO 27001 / SOC 2).

Der Auftragsverarbeiter ist berechtigt, die TOM im Lauf der Vertragsbeziehung an den Stand der Technik und neue gesetzliche Anforderungen anzupassen, sofern das Schutzniveau dadurch nicht unterschritten wird.

§ 8 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Mandanten dabei, Anträge betroffener Personen auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) zu bearbeiten.

(2) Die Unterstützung umfasst insbesondere:
— Bereitstellung technischer Funktionen zum Export und zur Löschung von Mandantendaten innerhalb der Software;
— auf konkrete Anfrage Bereitstellung weitergehender Informationen zu in der Software gespeicherten Daten einer betroffenen Person;
— Information des Mandanten, sofern eine betroffene Person direkt an den Auftragsverarbeiter herantritt (der Auftragsverarbeiter wird Betroffenen-Anfragen nicht eigenständig inhaltlich beantworten, sondern an den Mandanten weiterleiten).

(3) Anfragen des Mandanten nach diesem Paragrafen werden im Rahmen des regulären Supports bearbeitet. Darüber hinausgehender Aufwand kann nach den Sätzen der zum Zeitpunkt der Anfrage gültigen Preisliste vergütet werden.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags wird der Auftragsverarbeiter sämtliche im Auftrag des Mandanten verarbeiteten personenbezogenen Daten nach Wahl des Mandanten entweder löschen oder zurückgeben, sofern nicht eine Rechtspflicht zur weiteren Speicherung besteht.

(2) Die Lösch- und Rückgabefristen richten sich nach § 23 AGB. Insbesondere gilt:
— 30 Tage Übergangsfrist zur Datensicherung nach Vertragsende;
— anschließend Löschung der produktiven Mandantendaten;
— Daten in Backups werden im Rahmen der ordnungsgemäßen Backup-Rotation gelöscht (siehe § 23 Abs. 5 AGB);
— gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO für Vertrags- und Rechnungsdaten beim Auftragsverarbeiter selbst) bleiben unberührt; die betroffenen Daten werden gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

(3) Der Auftragsverarbeiter bestätigt dem Mandanten auf Anfrage die Löschung in Textform.

§ 10 Nachweise und Audits

(1) Der Auftragsverarbeiter weist die Einhaltung der in diesem AVV niedergelegten Pflichten auf Anforderung des Mandanten in geeigneter Weise nach. Geeignete Nachweise sind insbesondere:
— die jeweils aktuelle Fassung dieser TOM-Beschreibung (§ 7);
— aktuelle Zertifikate, Testate oder Berichte der eingesetzten Unterauftragsverarbeiter (insbesondere ISO 27001, SOC 2 Type II);
— Auskünfte über Sicherheitsvorfälle und Maßnahmen.

(2) Der Mandant kann darüber hinaus eine angemessene Inspektion verlangen. Diese Inspektion ist mit einer Vorankündigungsfrist von mindestens 30 Werktagen, auf Kosten des Mandanten, während der üblichen Geschäftszeiten und unter Vermeidung von Störungen des Geschäftsbetriebs durchzuführen. Der Mandant kann sich auf eigene Kosten eines geeigneten unabhängigen Prüfers bedienen, der vorab eine Vertraulichkeitsvereinbarung mit dem Auftragsverarbeiter zu unterzeichnen hat. Eigenständige Audits in den Rechenzentren der Unterauftragsverarbeiter sind ausgeschlossen, da diese den genannten Zertifizierungen unterliegen.

(3) Soweit eine Inspektion durch den Mandanten mehr als einmal pro Kalenderjahr erfolgt oder eine konkrete Anfrage einen erheblichen Aufwand auslöst, kann der Auftragsverarbeiter den Aufwand nach den Sätzen seiner gültigen Preisliste in Rechnung stellen.

§ 11 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Mandanten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO im Verantwortungsbereich des Auftragsverarbeiters oder seiner Unterauftragsverarbeiter, soweit die Verletzung mandantenbezogene Daten betrifft.

(2) Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt:
a) eine Beschreibung der Art der Verletzung einschließlich, soweit möglich, der Kategorien und der Anzahl betroffener Personen und Datensätze;
b) Name und Kontaktdaten des verantwortlichen Ansprechpartners;
c) eine Beschreibung der wahrscheinlichen Folgen;
d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensminderung.

(3) Der Auftragsverarbeiter unterstützt den Mandanten bei dessen Meldepflichten nach Art. 33 und Art. 34 DSGVO. Die eigenständige Erfüllung der Meldepflicht gegenüber der Aufsichtsbehörde und betroffenen Personen obliegt dem Mandanten.

§ 12 Drittlandstransfer

(1) Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt ausschließlich auf der Grundlage geeigneter Garantien nach Kapitel V DSGVO. Maßgeblich sind insbesondere:
— Angemessenheitsbeschluss nach Art. 45 DSGVO (insbesondere EU-US Data Privacy Framework für zertifizierte Anbieter mit Sitz in den USA);
— EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO einschließlich ergänzender Maßnahmen, soweit erforderlich;
— ausdrückliche Einwilligung des Mandanten nach Art. 49 Abs. 1 lit. a DSGVO, soweit keine andere Garantie greift.

(2) Die jeweils aktuelle Liste der Subunternehmer mit Sitz, Verarbeitungsort und einschlägiger Rechtsgrundlage ist unter https://hofmanager.plus/subunternehmer abrufbar.

§ 13 Haftung

Die Haftung der Parteien richtet sich nach den Bestimmungen des Hauptvertrags (AGB), insbesondere § 16 AGB, sowie nach den zwingenden Vorschriften der DSGVO und des BDSG. Art. 82 DSGVO bleibt unberührt.

§ 14 Schlussbestimmungen

(1) Dieser AVV gilt für die Dauer des Hauptvertrags und endet automatisch mit dessen Beendigung. Die in § 9 geregelten Pflichten gelten über das Vertragsende hinaus.

(2) Im Falle von Widersprüchen zwischen diesem AVV und anderen vertraglichen Regelungen der Parteien gehen die Regelungen dieses AVV in datenschutzrechtlichen Belangen vor.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Bestimmung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(4) Änderungen dieses AVV bedürfen der Textform. Änderungen, die durch zwingende gesetzliche Anforderungen, Auflagen der Aufsichtsbehörden oder Anpassungen der eingesetzten Unterauftragsverarbeiter erforderlich werden, kann der Auftragsverarbeiter unter den Voraussetzungen des § 26 AGB im Wege einer aktiven Re-Zustimmung herbeiführen.

(5) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist — soweit gesetzlich zulässig — der Sitz des Auftragsverarbeiters (München).

Stand: 16. Mai 2026 · Version 2026-05-16

Zustimmung erfolgt durch separate, dokumentierte Akzeptanz im Login-Onboarding der Software Hofmanager+. Die Zustimmung wird revisionssicher mit Inhalts-Hash (SHA-256), Zeitstempel, gehashter IP-Adresse und User-Agent protokolliert.