Datenschutzerklärung

Der Schutz personenbezogener Daten ist fester Bestandteil der Arbeitsweise von Honodo. Nachfolgend informieren wir gemäß Art. 13, 14 DSGVO über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung unserer Website und der Plattform.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist die Honodo GbR. Die vollständigen Kontaktdaten entnehmen Sie bitte dem Impressum. Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (§ 38 BDSG) derzeit nicht vorliegen.

2. Was Honodo ist — und unsere zwei Rollen

Honodo ist eine cloudbasierte Arbeitsplattform für Bauingenieurbüros: Projekte, Kunden, Angebote, Honorarangebote, HOAI-Berechnungen, Rechnungen (einschließlich Abschlags- und Schlussrechnungen), E-Rechnungen, PDF-Dokumente und Dokumentenhistorie.

Datenschutzrechtlich sind zwei Rollen zu unterscheiden:

• Wir als Verantwortlicher — für den Betrieb der Website, die Benutzerkonten, die Anmeldung und die Sicherheit der Plattform.
• Wir als Auftragsverarbeiter (Art. 28 DSGVO) — für die Inhalte, die die nutzenden Büros in der Plattform verarbeiten (deren Projekt-, Kunden-, Angebots- und Rechnungsdaten). Verantwortlicher für diese Daten ist das jeweilige Büro; mit jedem Büro wird hierzu ein Vertrag zur Auftragsverarbeitung geschlossen.

3. Bereitstellung der Website und Server-Logdaten

Bei jedem Zugriff verarbeitet unser Server automatisch die IP-Adresse des zugreifenden Geräts, Datum und Uhrzeit des Zugriffs sowie die aufgerufene Adresse. Diese Daten werden in Server-Logdateien gespeichert. Zweck ist ausschließlich der technische Betrieb, die Störungsanalyse und die Abwehr von Angriffen (u. a. besteht eine Begrenzung automatisierter Zugriffe). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am sicheren und stabilen Betrieb. Die Logdaten werden nicht mit anderen Datenquellen zusammengeführt und nicht zu Marketingzwecken ausgewertet.

4. Cookies und lokale Speicherung

Honodo verwendet ein technisch notwendiges Cookie:

Name	Zweck	Typ	Laufzeit
jwt	Anmeldesitzung; nur über HTTPS übertragen, für Skripte nicht auslesbar (httpOnly)	technisch notwendig	7 Tage bzw. bis zur Abmeldung

Zusätzlich speichert die Anwendung im localStorage des Browsers eine Kennung, ob die Anmeldung bestehen bleiben soll, die gewählte Darstellung (hell/dunkel), persönliche Dashboard-Einstellungen sowie Ihre Cookie-Einwilligung (Ziffer 4a). Die Einwilligung wird zusätzlich als Cookie „honodo_consent“ für die Subdomains von honodo.de gespeichert (Laufzeit 12 Monate), damit sie auch bei der Registrierung auf app.honodo.de gilt. Diese Einträge werden nicht an Dritte übermittelt. Alle genannten Mechanismen sind für den Betrieb der Anwendung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist hierfür nicht erforderlich.

Schriften werden lokal von unserem Server geladen. Inhalte fremder Server binden wir ausschließlich für das in Ziffer 4a beschriebene, einwilligungsbasierte Marketing-Tracking ein — nicht für den eigentlichen Betrieb der Website oder der Plattform.

4a. Marketing-Cookies (nur mit Einwilligung)

Auf unseren öffentlichen Marketing-Seiten (www.honodo.de) und auf der Registrierungsseite (app.honodo.de/register) setzen wir — ausschließlich nach Ihrer aktiven Einwilligung über den Cookie-Banner — Dienste zur Reichweitenmessung unserer Werbekampagnen ein:

• Google Tag Manager (Google Ireland Limited), über den je nach Konfiguration unserer Marketingagentur weitere Google-Dienste geladen werden können, insbesondere Google Analytics (GA4) und Google Ads (Conversion- und Remarketing-Tracking).
• Meta Pixel (Meta Platforms Ireland Limited), zur Erfolgsmessung und Optimierung von Werbeanzeigen auf Facebook/Instagram.

Diese Dienste setzen Cookies bzw. vergleichbare Kennungen, erfassen IP-Adresse, Geräte- und Browserinformationen sowie Ihr Interaktionsverhalten auf unserer Website und können diese Daten mit weiteren, bei Google bzw. Meta über Sie vorhandenen Informationen verknüpfen. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen; die Anbieter berufen sich hierfür auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Diese ist freiwillig, für die Nutzung der Website nicht erforderlich und jederzeit mit Wirkung für die Zukunft widerrufbar — über den Link im Seitenfuß. Ohne Einwilligung werden diese Dienste nicht geladen; im eingeloggten Kundenbereich (Dashboard) kommen sie grundsätzlich nicht zum Einsatz.

5. Registrierung und Benutzerkonto

Für die Nutzung der Plattform ist ein Benutzerkonto erforderlich. Verarbeitet werden Benutzername, Name, E-Mail-Adresse, Rolle/Berechtigungen, die Zuordnung zu Büro und Standort sowie Anmeldedaten. Passwörter werden ausschließlich als kryptografischer Hash (bcrypt) gespeichert, niemals im Klartext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen, im Testbetrieb die Testvereinbarung).

6. Anmeldung, Sitzungen und Zwei-Faktor-Authentifizierung

Die Anmeldung erfolgt über kurzlebige, signierte Zugriffs-Token und das in Ziffer 4 beschriebene Sitzungs-Cookie. Aktive Sitzungen werden serverseitig verwaltet und bei einem Passwortwechsel beendet. Optional kann eine Zwei-Faktor-Authentifizierung (zeitbasierte Einmalcodes, TOTP) aktiviert werden; die zugehörigen Geheimnisse und Backup-Codes werden verschlüsselt gespeichert. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie lit. f DSGVO (Kontosicherheit).

7. Passwort zurücksetzen

Beim Zurücksetzen des Passworts versenden wir eine E-Mail mit einem Bestätigungscode an die hinterlegte E-Mail-Adresse. Der Versand erfolgt über einen von uns betriebenen No-Reply-Postausgang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Inhalte der Büros (Projekte, Kunden, Angebote, Rechnungen)

Die nutzenden Büros erfassen in Honodo eigene Geschäftsdaten, darunter personenbezogene Daten ihrer Kunden und Ansprechpartner (Namen, Adressen, Kontaktdaten) sowie Angebots-, Honorar- und Rechnungsdaten. Diese Daten verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Büros (Art. 28 DSGVO, siehe Ziffer 2). Sie werden mandantengetrennt gespeichert; die Inhaltsfelder werden zusätzlich verschlüsselt (AES-256) in der Datenbank abgelegt. Eine Nutzung dieser Daten für unsere eigenen Zwecke findet nicht statt.

9. PDF-Dokumente und E-Rechnungen

Angebote, Rechnungen und weitere Dokumente werden innerhalb der Plattform als PDF erzeugt. Für E-Rechnungen erzeugt die Plattform strukturierte Rechnungsdaten in den Formaten XRechnung (XML) und ZUGFeRD/Factur-X (PDF/A-3 mit eingebettetem XML) nach EN 16931. Die Erzeugung erfolgt vollständig auf unseren Systemen; externe Dienste werden dabei nicht eingebunden.

10. E-Mail-Versand über eigene Postfächer der Büros

Büros können in Honodo die Zugangsdaten ihres eigenen E-Mail-Postfachs hinterlegen (z. B. ein Gmail-, Microsoft- oder eigenes SMTP-Konto), um Angebote und Rechnungen direkt aus der Plattform an ihre Kunden zu senden. Dabei gilt:

• Die hinterlegten Zugangsdaten werden verschlüsselt gespeichert und ausschließlich für den vom Büro ausgelösten Versand verwendet.
• Der Versand erfolgt über den vom Büro gewählten E-Mail-Anbieter; für die dortige Verarbeitung ist das Büro als Kontoinhaber verantwortlich, und es gelten die Bedingungen des jeweiligen Anbieters.

11. Hosting und Infrastruktur

Die Anwendung wird auf Servern der Hetzner Online GmbH betrieben; Serverstandort ist Falkenstein, Deutschland. Mit dem Anbieter wird ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Die Übertragung aller Daten zwischen Ihrem Browser und unseren Servern erfolgt verschlüsselt über HTTPS/TLS.

12. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach dem Stand der Technik, unter anderem:

• TLS-verschlüsselte Übertragung, HSTS im Produktivbetrieb
• Passwort-Hashing (bcrypt) und optionale Zwei-Faktor-Authentifizierung
• Verschlüsselung gespeicherter Inhaltsdaten (AES-256) und der hinterlegten E-Mail-Zugangsdaten
• mandantengetrennte Datenhaltung und rollenbasierte Berechtigungen
• HTTP-Sicherheitsrichtlinien (u. a. Content-Security-Policy) und Begrenzung automatisierter Zugriffe

Eine absolute Sicherheit kann — wie bei jeder IT-Anwendung — nicht garantiert werden; wir orientieren uns am Stand der Technik.

13. Empfänger und Weitergabe

Eine Übermittlung personenbezogener Daten an Dritte findet nur statt, soweit sie zur Vertragserfüllung erforderlich ist (z. B. der vom Büro veranlasste E-Mail-Versand nach Ziffer 10), wir gesetzlich dazu verpflichtet sind, ein in dieser Erklärung genannter Auftragsverarbeiter eingesetzt wird oder Sie in das Marketing-Tracking nach Ziffer 4a eingewilligt haben (dort genannte Empfänger: Google Ireland Limited, Meta Platforms Ireland Limited). Ein Verkauf von Daten findet nicht statt.

14. Speicherdauer

• Konto- und Sitzungsdaten: für die Dauer der Kontonutzung; Anmeldesitzungen enden spätestens nach 7 Tagen ohne erneute Anmeldung.
• Inhaltsdaten der Büros: für die Dauer der Vertragsbeziehung mit dem jeweiligen Büro.
• Server-Logdaten: nur so lange, wie es für Störungsanalyse und Angriffsabwehr erforderlich ist.
• Rechnungs- und buchhaltungsrelevante Unterlagen: gemäß den gesetzlichen Aufbewahrungspflichten des Handels- und Steuerrechts; E-Rechnungen werden im ursprünglichen strukturierten Format aufbewahrt.

Im Übrigen werden personenbezogene Daten gelöscht, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), für das Marketing-Tracking nach Ziffer 4a jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß

Wenden Sie sich dazu an die im Impressum genannten Kontaktdaten. Daneben besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Soweit Daten im Auftrag eines Büros verarbeitet werden (Ziffer 8), richten Sie Anfragen bitte an das jeweilige Büro als Verantwortlichen; wir unterstützen die Büros bei der Beantwortung.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die HOAI- und Rechnungsberechnungen der Plattform sind fachliche Rechenfunktionen ohne Rechtswirkung gegenüber betroffenen Personen.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Funktionsumfang der Plattform oder die Rechtslage ändert. Es gilt die jeweils an dieser Stelle veröffentlichte Fassung.

Stand: September 2026