Vereinbarung zur Auftragsverarbeitung

Vertragsparteien und Zustandekommen

Diese Vereinbarung nach Art. 28 Abs. 3 DSGVO wird geschlossen zwischen dem Kunden als Verantwortlichem und der

Honeyfield GmbH
Strubergasse 26, 5020 Salzburg, Österreich
FN 554194 t, Landesgericht Salzburg · UID ATU 76962217
vertreten durch Ing. Vernes Perviz, BSc
Datenschutzkontakt: hello@honeyfield.at, +43 676 4600 960

als Auftragsverarbeiter. Verantwortlicher ist die natürliche oder juristische Person, die das Benutzerkonto eröffnet; ihre Identität ergibt sich aus den bei der Registrierung angegebenen Daten des Kontos und der Organisation.

Die Vereinbarung kommt mit der Registrierung zustande: Wer ein Konto anlegt, bestätigt dabei ausdrücklich, diese Vereinbarung zusammen mit den Nutzungsbedingungen und der Datenschutzerklärung anzunehmen. Der Zeitpunkt der Annahme und die angenommene Fassung werden zum Benutzerkonto gespeichert. Eine gesonderte Unterzeichnung ist nicht erforderlich; auf Wunsch stellen wir eine unterschriebene Ausfertigung mit den Daten des Verantwortlichen zur Verfügung. Schreiben Sie dafür an hello@honeyfield.at.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software-as-a-Service-Plattform „Honeyfield Marketing MCP“ bereit und betreibt sie. Über die Plattform verbindet der Verantwortliche seine eigenen Marketing-, Analyse- und Website-Konten und lässt sie durch von ihm eingesetzte KI-Assistenten auslesen und verwalten.
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung dieser Leistung und ausschließlich nach Weisung des Verantwortlichen. Eine Nutzung zu eigenen Zwecken, insbesondere zur Profilbildung, zu Werbezwecken, zum Training von KI-Modellen oder zur mandantenübergreifenden Auswertung, findet nicht statt.
3. Gegenstand, Art, Zweck, Kategorien betroffener Personen und Arten personenbezogener Daten ergeben sich aus § 1 Abs. 1 und Anlage 1.
4. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt, soweit § 6 nichts anderes bestimmt. Die Produktivsysteme werden in der AWS-Region Frankfurt am Main (eu-central-1) betrieben.
5. Diese Vereinbarung gilt für die Laufzeit des zugrundeliegenden Hauptvertrags (Nutzungsbedingungen) und endet mit diesem. Die Pflichten nach § 8 und § 9 bestehen darüber hinaus fort.

§ 2 Weisungsrecht

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich. Er erteilt alle Weisungen schriftlich oder in Textform; Weisungen in elektronischer Form genügen.
2. Als Weisung gilt auch jede Handlung, die der Verantwortliche oder ein von ihm berechtigter Nutzer über die Oberfläche der Plattform, über deren Schnittstelle oder über einen angebundenen KI-Assistenten auslöst. Der Verantwortliche stellt sicher, dass die von ihm eingesetzten Assistenten und die dafür berechtigten Personen nur im Rahmen seiner Weisungen handeln.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
4. Weisungsberechtigt auf Seiten des Verantwortlichen sind die von ihm benannten Personen; empfangsberechtigt auf Seiten des Auftragsverarbeiters ist die Geschäftsführung.
5. Die Weisungsbindung gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist der Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 3 Vertraulichkeit

1. Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Vorgaben des Datenschutzes vertraut sind. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. Zugriff auf Produktivdaten erhalten nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen. Lesende Auswertungen erfolgen über einen gesonderten Datenbankzugang ohne Schreibrechte; verschlüsselt abgelegte Zugangsdaten des Verantwortlichen sind auf diesem Weg nicht lesbar.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage nachgewiesen.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Hinzuziehen oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann binnen 14 Tagen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Bleibt eine einvernehmliche Lösung aus, steht dem Verantwortlichen ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung zu.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien dafür, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.
4. Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung ist die Übermittlung an Dienste, zu denen der Verantwortliche selbst in einem Vertragsverhältnis steht und die er über die Plattform anbindet, insbesondere Google, Meta, LinkedIn, Microsoft Clarity, DataForSEO sowie die eigenen Website- und Redaktionssysteme des Verantwortlichen. Der Auftragsverarbeiter greift dort ausschließlich mit den vom Verantwortlichen hinterlegten Zugangsdaten und auf dessen Weisung zu.

§ 5a Vom Verantwortlichen eingesetzter KI-Assistent

1. Die Plattform gibt die abgerufenen Daten an denjenigen KI-Assistenten aus, den der Verantwortliche selbst verbindet (etwa Claude oder ChatGPT). Diese Übermittlung erfolgt auf Weisung des Verantwortlichen an einen Dienst, den er selbst gewählt hat und zu dem er selbst in einem Vertragsverhältnis steht.
2. Der Verantwortliche ist für die datenschutzrechtliche Grundlage dieser Übermittlung, für den Abschluss der erforderlichen Vereinbarungen mit dem Anbieter des Assistenten und für die Auswahl der dort verarbeiteten Daten verantwortlich.
3. Der Auftragsverarbeiter übermittelt keine Daten an Anbieter von KI-Modellen, ohne dass der Verantwortliche eine solche Verbindung eingerichtet hat.

§ 6 Drittlandübermittlung

1. Verarbeitung und Speicherung erfolgen in der Europäischen Union. Soweit einzelne Unterauftragsverarbeiter Daten in ein Drittland übermitteln oder einen Zugriff aus einem Drittland nicht ausschließen, ist dies in Anlage 3 vermerkt.
2. In diesen Fällen stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln nebst ergänzenden Maßnahmen. Die entsprechenden Nachweise werden auf Anfrage zur Verfügung gestellt.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich weiter und antwortet nicht selbst.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und bei Datenschutz-Folgenabschätzungen.
3. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen. Fehlende Angaben werden unverzüglich nachgereicht.
4. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt die den Verantwortlichen betreffenden Angaben auf Anfrage bereit.

§ 8 Löschung und Rückgabe

1. Nach Beendigung der Leistung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück. Die Fristen und der Ablauf ergeben sich aus Anlage 4.
2. Der Verantwortliche kann verbundene Konten, Workspaces und sein Benutzerkonto jederzeit selbst in der Plattform löschen. Zugangsdaten zu verbundenen Konten werden dabei unwiderruflich entfernt.
3. Eine Aufbewahrung über die Fristen hinaus erfolgt nur, soweit eine gesetzliche Pflicht dies verlangt. In diesem Fall werden die Daten gesperrt und ausschließlich zum Zweck der Erfüllung dieser Pflicht verarbeitet.
4. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 9 Nachweise und Überprüfung

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anfrage nach, insbesondere durch aktuelle Angaben zu den Maßnahmen nach Anlage 2 und durch Nachweise seiner Unterauftragsverarbeiter.
2. Der Verantwortliche ist berechtigt, sich nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung zu überzeugen, auch durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist. Eine Prüfung je Kalenderjahr erfolgt unentgeltlich; weitere Prüfungen werden nach Aufwand vergütet, sofern kein begründeter Anlass vorliegt.
3. Der Auftragsverarbeiter wirkt an Prüfungen der Aufsichtsbehörde mit, soweit sie den Verantwortlichen betreffen.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung des Hauptvertrags.
2. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel. Änderungen dieser Vereinbarung werden dem Verantwortlichen mindestens 30 Tage vor Wirksamwerden in Textform mitgeteilt; widerspricht er nicht innerhalb dieser Frist, gilt die neue Fassung als angenommen. Auf das Widerspruchsrecht und die Folgen wird in der Mitteilung ausdrücklich hingewiesen.
3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
4. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
5. Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Gerichtsstand ist das für den Sitz des Auftragsverarbeiters sachlich zuständige Gericht, soweit nicht zwingende gesetzliche Regelungen entgegenstehen.

Anlage 1: Beschreibung der Verarbeitung

Zweck

Bereitstellung und Betrieb der Plattform: Verwaltung von Benutzerkonten und Workspaces, Anbinden der Konten des Verantwortlichen, Auslesen von Marketing-, Analyse- und Website-Daten, Ausführen von Änderungen an diesen Konten auf Weisung, Protokollierung der Nutzung sowie Abrechnung.

Kategorien betroffener Personen

• Nutzerinnen und Nutzer des Verantwortlichen (Mitarbeitende, berechtigte Dritte)
• Kunden, Interessenten und Websitebesucher des Verantwortlichen, soweit deren Daten in den verbundenen Konten enthalten sind
• Personen, die über Formulare des Verantwortlichen Kontakt aufnehmen, soweit die entsprechenden Funktionen genutzt werden

Arten personenbezogener Daten

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die vom Verantwortlichen verbundenen Dienste und an den von ihm eingesetzten KI-Assistenten, Einschränken, Löschen und Vernichten.

Anlage 2: Technische und organisatorische Maßnahmen

Stand 15. September 2026. Die Angaben beschreiben den tatsächlich umgesetzten Zustand.

Vertraulichkeit

• Zugangskontrolle. Anmeldung am Portal über E-Mail und Passwort oder über Google; Passwörter werden ausschließlich als Hashwert gespeichert. Der Zugang der KI-Assistenten läuft über einen Autorisierungsablauf gegen das Portal mit kurzlebigen Zugriffstoken, die der Client selbst erneuert. Registrierungen sind durch eine Bot-Prüfung geschützt, Anmeldeversuche durch eine Ratenbegrenzung.
• Zugriffskontrolle. Jeder Aufruf wird einem Mandanten und einem Workspace zugeordnet; ein Rechtegatter prüft je Werkzeug die benötigte Datenquelle, den Tarif und bei schreibenden Aufrufen die Freigabe. Ein Schreibkontingent begrenzt automatisierte Schreibzugriffe je Workspace und Tag und meldet das Auslösen an den Betrieb.
• Trennungskontrolle. Mandantentrennung auf Datenebene; jede Abfrage ist an die Mandantenkennung gebunden. Keine mandantenübergreifende Auswertung.
• Verschlüsselung. Übertragung ausschließlich über TLS. Zugangsdaten des Verantwortlichen werden feldweise mit einem verwalteten Schlüssel verschlüsselt (jährliche automatische Rotation, 30 Tage Löschfrist für den Schlüssel); die Datenbank und ihre Sicherungen sind zusätzlich vollständig verschlüsselt.
• Datensparsamkeit im Protokoll. Das Nutzungsprotokoll enthält keine Inhalte. Im Änderungsjournal werden umfangreiche Nutzlasten wie Kundenlisten, Ereignislisten und Dateiinhalte durch eine Beschreibung des Umfangs ersetzt, statt sie zu speichern.

Integrität

• Eingabekontrolle. Schreibende Aktionen werden im Änderungsjournal mit Zeitpunkt, Werkzeug, Parametern und handelnder Person festgehalten.
• Weitergabekontrolle. Ausgehende Verbindungen gehen nur an die vom Verantwortlichen verbundenen Dienste; Adressen werden vor dem Abruf geprüft, um Anfragen an interne Netze zu verhindern.
• Änderungskontrolle. Auslieferung ausschließlich über eine Pipeline mit automatisierten Tests und einem automatisierten Code-Review, dessen Befunde die Auslieferung blockieren. Datenbankänderungen laufen versioniert und vor der Umstellung des Dienstes.

Verfügbarkeit und Belastbarkeit

• Betrieb auf verwalteten Containern hinter einem Load Balancer mit Zustandsprüfung; automatische Wiederherstellung ausgefallener Instanzen.
• Tägliche Sicherung der Datenbank mit 14 Tagen Aufbewahrung und punktgenauer Wiederherstellung; Löschschutz für die Datenbankinstanz aktiviert.
• Überwachung mit Alarmen für Serverfehler, ungesunde Instanzen sowie Speicher, Rechenleistung, Verbindungen und Arbeitsspeicher der Datenbank; Alarme laufen in einen ständig beobachteten Kanal.

Verfahren zur Überprüfung

• Auswertungen auf Produktivdaten erfolgen über einen gesonderten Zugang ohne Schreibrechte und mit Zeitbegrenzung je Abfrage.
• Zugangsdaten und Schlüssel liegen in einem verwalteten Geheimnisspeicher, nicht im Quelltext.
• Datenschutzvorfälle und Sicherheitsmeldungen werden nachvollziehbar dokumentiert.

Anlage 3: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter

Google (Ads, Analytics, Search Console, Tag Manager, Business Profile), Meta, LinkedIn, Microsoft Clarity, DataForSEO sowie die Website- und Redaktionssysteme des Verantwortlichen sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Zugriff erfolgt ausschließlich mit den Zugangsdaten, die der Verantwortliche selbst hinterlegt oder per Autorisierung freigibt, auf seine Weisung und im Rahmen der Verträge, die er selbst mit diesen Anbietern geschlossen hat. Der Auftragsverarbeiter unterhält für diese Dienste keine eigenen Konten, über die Daten des Verantwortlichen liefen.

Die Aufzählung steht hier dennoch ausdrücklich, damit der Verantwortliche den vollständigen Datenfluss kennt: Er benötigt diese Angaben für sein eigenes Verzeichnis der Verarbeitungstätigkeiten und für die Vereinbarungen, die er mit diesen Anbietern selbst zu schließen hat. Gleiches gilt für den von ihm eingesetzten KI-Assistenten (§ 5a).

Anlage 4: Löschkonzept

Fassung 1.3 vom 29. September 2026. Die Angaben zu Diensten, Datenarten, Aufbewahrungsfristen und Unterauftragsverarbeitern entsprechen dem Stand der Plattform zu diesem Datum. Änderungen der technischen und organisatorischen Maßnahmen richten sich nach § 4 Abs. 2.

Änderungen: Fassung 1.1 vom 17. September 2026 nahm Twilio Ireland Limited (SendGrid) in Anlage 3 für den Versand von Systemnachrichten per E-Mail auf. Fassung 1.2 vom 18. September 2026 ergänzt dort den Zweck der Bestätigung der E-Mail-Adresse; der Kreis der Unterauftragsverarbeiter bleibt unverändert. Fassung 1.3 vom 29. September 2026 ergänzt in § 2 Abs. 5 die Weisungsbindung bei Übermittlungen an ein Drittland oder eine internationale Organisation und die Mitteilung gesetzlich vorgeschriebener Verarbeitungen (Art. 28 Abs. 3 lit. a DSGVO), fasst die Pflichten der Unterauftragsverarbeiter und die Haftung für sie in § 5 Abs. 3 nach Art. 28 Abs. 4 DSGVO neu, stellt in § 1 Abs. 3 und § 6 Abs. 1 klar, wo Gegenstand und Drittlandbezüge geregelt sind, und nimmt das Verändern in die Art der Verarbeitung nach Anlage 1 auf; der Kreis der Unterauftragsverarbeiter bleibt unverändert.