Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Zwischen dem Nutzer (Verantwortlicher) und der Jehle Agrarstruktur und Innovation GmbH, Karlsplatz 3 (Stachus), 80335 München (Auftragsverarbeiter) · Amtsgericht München, HRB 308043 · USt-ID DE234176031 · Stand: September 2026 (Version 2026-09-06)
§ 1 Gegenstand und Dauer
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung von hofmanager.ai. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags über hofmanager.ai; sie endet mit dessen Beendigung.
§ 2 Art und Zweck der Verarbeitung
Gegenstand der Verarbeitung sind das Speichern und Auswerten von Unterhaltungen, Projekten, Projektanweisungen, dem Betriebsprofil, Dateianhängen und – soweit der Verantwortliche die Verbindung herstellt – abgerufenen hofmanager+-Daten, um landwirtschaftliche Fachfragen des Verantwortlichen zu beantworten und Ergebnisse auf seine ausdrückliche Anforderung nach hofmanager+ zu übertragen. Hinzu kommen Kontoverwaltung, Rechnungsstellung und Missbrauchsabwehr.
§ 3 Datenkategorien
- Kontakt- und Kontodaten (Name, E-Mail-Adresse, Betrieb, Telefonnummer)
- Betriebsdaten (Flächen, Kulturen, Tierbestand, Technik, Region)
- Unterhaltungsinhalte einschließlich Projekt- und Gedächtniseinträgen
- Dateianhänge (Bilder, PDF, TXT, CSV) und Spracheingaben
- Zahlungsdaten (Kontoinhaber, IBAN, BIC, Mandatsreferenz)
- Schnittstellenschlüssel der Verbindung zu hofmanager+
§ 4 Kreis der betroffenen Personen
Betroffen sind der Nutzer selbst sowie – soweit der Verantwortliche entsprechende Angaben eingibt – Mitarbeiter, Kunden und Geschäftspartner seines Betriebs.
§ 5 Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dokumentierter Weisungen des Verantwortlichen. Die Nutzung der Software in ihren vorgesehenen Funktionen (Eingaben, Abfragen, Speicherungen, Übertragungen nach hofmanager+) gilt als solche Weisung. Einzelweisungen sind in Textform an hallo@hofmanager.plus zu richten. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, teilt er dies mit und kann deren Ausführung aussetzen.
§ 6 Vertraulichkeit
Der Auftragsverarbeiter setzt für die Verarbeitung nur Beschäftigte ein, die auf Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzpflichten unterrichtet sind. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
§ 7 Technische und organisatorische Maßnahmen
- Verschlüsselung der Übertragung (TLS) und der Speicherung (at rest)
- Zugriffsbeschränkung auf Kontoebene durch Row-Level-Security-Regeln in der Datenbank
- Zusätzlich verschlüsselte Ablage von IBAN und Schnittstellenschlüsseln (AES-256-GCM)
- Backups mit einer Aufbewahrung von höchstens 30 Tagen
- Protokollierung sicherheitsrelevanter Zugriffe und Fehler
- Botschutz und Missbrauchsabwehr über Cloudflare Turnstile
- Rollen- und Rechtekonzept für administrative Zugriffe
§ 8 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Dienstleister | Sitz / Verarbeitungsort | Zweck | Grundlage |
|---|---|---|---|
| Lovable Labs | Stockholm, Schweden | Hosting (Lovable Cloud), Betrieb des AI-Gateways | EU/EWR |
| Supabase | EU-Region | Datenbank und Authentifizierung | EU/EWR |
| OpenAI Ireland Ltd. | Dublin, Irland | Sprachmodell und Transkription über das Lovable AI-Gateway, Store-Option deaktiviert | EU/EWR, für Konzernübermittlungen EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
| Google Ireland Ltd. | Dublin, Irland | optionales Sprachmodell | EU/EWR, für Konzernübermittlungen EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
| Resend, Inc. | USA | Versand transaktionaler E-Mails | EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
| Cloudflare, Inc. | USA / EU-Edge | Content Delivery Network, DDoS-Schutz, Turnstile-Botschutz | EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
| Slack Technologies LLC | USA | interne Weiterleitung der ohne Konto gestellten Gast-Frage | EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln |
Grundlage für Übermittlungen in Drittländer ist das EU-US Data Privacy Framework, soweit der Dienstleister zertifiziert ist, andernfalls die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Änderungen der Liste werden dem Verantwortlichen vorab per E-Mail mitgeteilt; er kann aus wichtigem Grund widersprechen.
§ 9 Unterstützung bei Betroffenenrechten und Folgenabschätzung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei einer Datenschutz-Folgenabschätzung und einer etwaigen Konsultation der Aufsichtsbehörde. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter.
§ 10 Datenschutzverletzungen
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, spätestens 48 Stunden nach Kenntnis, an den Verantwortlichen und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben zur Verfügung.
§ 11 Kontrollrechte
Der Verantwortliche kann Auskünfte und Nachweise über die Einhaltung dieses Vertrags verlangen, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen. Vor-Ort-Prüfungen sind nach angemessener Vorankündigung während der Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.
§ 12 Löschung und Rückgabe
Der Verantwortliche kann seine Daten jederzeit im Konto exportieren. Nach Beendigung des Vertrags werden die verarbeiteten Daten innerhalb von 30 Tagen gelöscht; Backups laufen spätestens nach 30 Tagen aus. Rechnungs- und Mandatsdaten bleiben im Rahmen der gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) erhalten und werden bis dahin gesperrt.
§ 13 Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht. In Fragen des Datenschutzes gehen die Regelungen dieses Vertrags den AGB vor. Ergänzende Informationen zur Verarbeitung enthält die Datenschutzerklärung. Ein PDF-Ausdruck dieses Vertrags kann unter hallo@hofmanager.plus angefordert werden.