Vertrag zur Auftragsverarbeitung

Fassung vom 09.10.2026

Vertragsparteien
Zwischen dem Hof, der MyHofmate nutzt (Verantwortlicher, im Folgenden „Hof“), und der fabmade GmbH, Steinhalde 117, 79117 Freiburg, HRB 723411 Amtsgericht Freiburg, vertreten durch Fabian Leonhardt (Auftragsverarbeiter, im Folgenden „fabmade“).
§ 1 Gegenstand, Dauer und Verhältnis zu den AGB
  1. fabmade betreibt für den Hof die Plattform MyHofmate: Hof-Backend, Online-Shop, Kundenverwaltung, Bestellungen, Rechnungen, Lastschrift, Newsletter und Tourenplanung. Dabei verarbeitet fabmade personenbezogene Daten im Auftrag des Hofs.
  2. Der Vertrag kommt zustande, wenn der Hof ihm bei der Registrierung zusammen mit den Allgemeinen Geschäftsbedingungen (AGB) zustimmt. fabmade speichert Zeitpunkt und Fassung der Zustimmung.
  3. Der Vertrag gilt, solange der Hof MyHofmate nach den AGB nutzt, und darüber hinaus, bis fabmade die Daten nach § 9 gelöscht oder zurückgegeben hat.
  4. Er ergänzt die AGB. Bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor.
§ 2 Art und Zweck der Verarbeitung, Daten und betroffene Personen

fabmade speichert, hostet, übermittelt und verarbeitet die Daten nur, um MyHofmate für den Hof bereitzustellen und zu betreiben, einschließlich Support, Fehlerbehebung und Datensicherung.

Betroffene PersonenDatenZweck
Kunden des HofsName, Anschrift, Liefer- und Rechnungsadresse, E-Mail, Telefon, Kundennummer, Kundenkonto (Passwort als Hash)Kundenkonto, Bestellung, Lieferung, Kontakt
Kunden des HofsBestellungen, Abholtermine, Abos, Rechnungen, Gutscheine, WiderrufserklärungenVertragsabwicklung, Buchhaltung, Nachweis
Kunden des HofsKontoinhaber, IBAN, LastschriftmandateSEPA-Lastschrift
Kunden und InteressentenE-Mail, Newsletter-Einwilligung mit Zeitpunkt, VersandprotokollNewsletter
Besucher des ShopsIP-Adresse, Zeitpunkt, aufgerufene Seite, Browser (Server-Protokolle, 14 Tage)Betrieb und Schutz vor Angriffen
Mitarbeitende des HofsName, E-Mail, Rolle, Aktivitäten im Hof-BackendZugang, Nachvollziehbarkeit

Besondere Kategorien nach Art. 9 DSGVO verarbeitet fabmade nicht, soweit der Hof sie nicht selbst in Freitextfelder einträgt. Die Verarbeitung findet in der EU statt; Ausnahmen nennt Anlage 2.

Der KI-Assistent im Hof-Backend erhält nur Angaben zur Einrichtung des Hofs (Verkäufe, Produkte, Versand- und Zahlarten), keine Kundendaten. Der Hof gibt dort keine Daten seiner Kunden ein. Der Assistent ist deshalb nicht Teil dieser Auftragsverarbeitung; fabmade beschreibt ihn in der eigenen Datenschutzerklärung.

§ 3 Weisungen
  1. fabmade verarbeitet die Daten nur auf dokumentierte Weisung des Hofs, es sei denn, das Recht der EU oder Deutschlands verlangt etwas anderes; dann teilt fabmade dem Hof das vorher mit, soweit das Gesetz es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen und Aktionen des Hofs im Backend. Weitere Weisungen erteilt der Hof in Textform an info@hofmate.com.
  3. Hält fabmade eine Weisung für rechtswidrig, weist fabmade den Hof unverzüglich darauf hin und darf sie aussetzen, bis der Hof sie bestätigt oder ändert.
§ 4 Vertraulichkeit
fabmade setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Sie greifen nur auf Daten zu, soweit es für ihre Aufgabe nötig ist, etwa für Support auf Anfrage des Hofs oder zur Behebung einer Störung.
§ 5 Sicherheit der Verarbeitung
fabmade trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt. fabmade darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert fabmade.
§ 6 Unterauftragsverarbeiter
  1. Der Hof stimmt den Unterauftragsverarbeitern in Anlage 2 zu.
  2. fabmade informiert den Hof mindestens 30 Tage vorher per E-Mail, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Hof kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; können sich die Parteien nicht einigen, darf der Hof den Vertrag über MyHofmate außerordentlich kündigen.
  3. fabmade verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO).
  4. Daten verlassen die EU und den EWR nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
  5. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post oder die Bank des Hofs beim Lastschrifteinzug.
§ 7 Unterstützung des Hofs
  1. fabmade unterstützt den Hof mit geeigneten Maßnahmen, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Auskunft, Berichtigung, Löschung und Export der Kundendaten kann der Hof weitgehend selbst im Backend erledigen.
  2. Wendet sich eine betroffene Person direkt an fabmade, leitet fabmade die Anfrage unverzüglich an den Hof weiter und beantwortet sie nicht selbst.
  3. fabmade unterstützt den Hof bei seinen Pflichten aus Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung, mit den Informationen, die fabmade vorliegen.
§ 8 Verletzungen des Schutzes personenbezogener Daten
fabmade meldet dem Hof eine Verletzung des Schutzes seiner Daten unverzüglich, spätestens 48 Stunden nachdem fabmade davon weiß. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO, damit der Hof seine eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde einhalten kann. fabmade ergreift sofort Maßnahmen, um die Verletzung einzudämmen und Folgen zu mindern.
§ 9 Löschung und Rückgabe
  1. Endet die Nutzung von MyHofmate, kann der Hof seine Daten innerhalb von 30 Tagen im Backend exportieren oder bei fabmade als Export anfordern.
  2. Danach löscht fabmade die Daten des Hofs, spätestens 90 Tage nach Vertragsende. Datensicherungen laufen nach ihrer Aufbewahrungsfrist von 30 Tagen aus.
  3. Daten, die fabmade aufgrund gesetzlicher Pflichten aufbewahren muss, werden bis zum Ablauf der Pflicht gesperrt und dann gelöscht. Auf Wunsch bestätigt fabmade die Löschung in Textform.
§ 10 Nachweise und Kontrollen
  1. fabmade stellt dem Hof auf Anfrage die Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO).
  2. Der Hof darf die Einhaltung nach Anmeldung mit mindestens 14 Tagen Vorlauf während der Geschäftszeiten prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen, höchstens einmal im Jahr, außer bei konkretem Anlass. Die Prüfung darf den Betrieb für andere Höfe nicht stören; vorrangig genügen schriftliche Auskünfte und Nachweise.
§ 11 Haftung und Schlussbestimmungen
  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
  2. Änderungen bedürfen der Textform. fabmade kann diesen Vertrag anpassen, wenn Gesetz, Rechtsprechung oder Aufsichtsbehörden es verlangen, und teilt dies dem Hof mindestens 30 Tage vorher mit.
  3. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht; Gerichtsstand ist Freiburg im Breisgau, soweit gesetzlich zulässig.
Anlage 1: Technische und organisatorische Maßnahmen
BereichMaßnahme
RechenzentrumServer in Rechenzentren der Hetzner Online GmbH in Deutschland; Zutritt, Brandschutz und Stromversorgung stellt der Anbieter
Zugang zu den SystemenKubernetes-Verwaltung und Plattform-Backoffice nur aus einem privaten Netz erreichbar; Backoffice mit zweitem Faktor (TOTP)
Zugang der HöfePersönliche Konten je Mitarbeitendem mit Rollen; Passwörter nur als Hash; zweiter Faktor (TOTP) wählbar
TrennungEigenes Datenbankschema je Hof; Zugangsschlüssel der Shops sind auf einen Hof beschränkbar
ÜbertragungAlle Verbindungen verschlüsselt per TLS; Benachrichtigungen zwischen Diensten signiert (HMAC)
Schutz vor MissbrauchBegrenzung der Anfragen je Endkunde bei Anmeldung, Registrierung, Passwort, Kontakt und Widerruf; Spam-Schutz in Formularen
EingabekontrolleProtokoll der Aktionen im Hof-Backend; Protokoll versandter E-Mails
VerfügbarkeitDatenbank mit zwei Instanzen; laufende Sicherung in einen Objektspeicher der Hetzner Online GmbH in Deutschland, 30 Tage aufbewahrt; Rechnungsarchiv getrennt nach GoBD
Server-ProtokolleIP-Adressen in Server-Protokollen werden nach 14 Tagen gelöscht
OrganisationVertraulichkeitsverpflichtung aller Personen mit Zugriff; Support-Zugriff nur auf Anfrage des Hofs
Anlage 2: Unterauftragsverarbeiter
UnternehmenLeistungOrt der VerarbeitungGrundlage bei Übermittlung
Hetzner Online GmbH, Industriestr. 25, 91710 GunzenhausenServer, Datenbank, Objektspeicher für Sicherungen und RechnungsarchivDeutschland–
IONOS SE, Elgendorfer Str. 57, 56410 MontabaurE-Mail-Versand und Empfang von UnzustellbarkeitsmeldungenDeutschland–
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 LuxemburgSpeicherung hochgeladener Bilder (Produkte, Hof, Beiträge)Frankfurt am MainStandardvertragsklauseln für mögliche Zugriffe aus den USA
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, IrlandGeocodierung von Adressen und Routenplanung für Lieferungen (Google Maps Platform)EU, Übermittlung in die USA möglichEU-US Data Privacy Framework, Standardvertragsklauseln