Allgemeine Geschäfts­bedingungen

für die Nutzung der Software „Holzwerker" (Zeiterfassung für Handwerksbetriebe) als Web-Anwendung sowie als iOS- und Android-App. Bestandteil dieser AGB ist der Auftragsverarbeitungsvertrag in Anlage 1.

§ 1 Anbieter und Geltungsbereich

Anbieter des Dienstes ist:

Diese AGB gelten für alle Verträge über die Nutzung von Holzwerker zwischen dem Anbieter und dem jeweiligen Betrieb („Kunde"). Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 1 UGB (insbesondere Handwerks- und Gewerbebetriebe), nicht an Verbraucher. Die Bestimmungen des Konsumentenschutzgesetzes (KSchG) finden keine Anwendung. Entgegenstehende oder abweichende Bedingungen des Kunden gelten nur, wenn der Anbieter ihnen ausdrücklich schriftlich zustimmt.

§ 2 Vertragsgegenstand

Holzwerker ist eine Software zur Arbeitszeiterfassung und Projektverwaltung („Software-as-a-Service"). Der Anbieter stellt dem Kunden die Software über das Internet zur Nutzung bereit; eine Installation auf Servern des Kunden erfolgt nicht. Der Funktionsumfang ergibt sich aus der jeweils aktuellen Beschreibung auf holzwerker.app. Ein Anspruch auf bestimmte einzelne Funktionen oder auf deren unveränderten Fortbestand besteht nicht; § 10 bleibt unberührt.

§ 3 Vertragsschluss und Konten

1. Der Vertrag kommt mit Abschluss der Registrierung eines Betriebskontos und Zustimmung zu diesen AGB zustande.
2. Ein Betriebskonto („Mandant") umfasst das Konto des registrierenden Betriebs sowie die vom Kunden angelegten Zugänge seiner Beschäftigten. Der Kunde bestimmt, wer Zugang erhält und mit welcher Rolle (Chef/Mitarbeiter).
3. Der Kunde stellt sicher, dass die bei der Registrierung und Verwaltung angegebenen Daten richtig und aktuell sind.

§ 4 Entgelt

1. Die Nutzung von Holzwerker ist derzeit unentgeltlich (Pilotphase). Es besteht kein Anspruch auf dauerhaft unentgeltliche Nutzung.
2. Die Einführung kostenpflichtiger Tarife wird dem Kunden mindestens 30 Tage im Voraus per E-Mail oder in der Anwendung angekündigt. Ein automatischer Übergang in einen kostenpflichtigen Tarif findet nicht statt; kostenpflichtig wird die Nutzung nur, wenn der Kunde einen Tarif aktiv bucht.
3. Bucht der Kunde keinen Tarif, kann er den Dienst bis zum angekündigten Stichtag weiter nutzen, seine Daten exportieren (§ 7) und das Konto jederzeit löschen.

§ 5 Pflichten des Kunden

1. Der Kunde und seine Nutzer halten Zugangsdaten geheim und schützen sie vor dem Zugriff Dritter. Der Verdacht einer missbräuchlichen Nutzung ist dem Anbieter unverzüglich mitzuteilen.
2. Der Kunde nutzt den Dienst nur im Rahmen der geltenden Gesetze und gibt keine rechtswidrigen Inhalte ein. Für sämtliche von ihm oder seinen Nutzern eingegebenen Inhalte (Mitarbeiter-, Kunden- und Projektdaten, Freitexte, Notizen) ist allein der Kunde verantwortlich.
3. Der Kunde bleibt als Arbeitgeber allein verantwortlich für die Erfüllung seiner arbeitsrechtlichen Pflichten, insbesondere der Arbeitszeitaufzeichnungspflicht nach § 26 AZG sowie einschlägiger Aufbewahrungs- und Meldepflichten. Holzwerker ist ein Hilfsmittel; die Software erbringt keine Rechtsberatung und ersetzt keine Prüfung durch den Kunden.
4. Der Kunde informiert seine Beschäftigten über den Einsatz der Software und die damit verbundene Datenverarbeitung und holt allenfalls erforderliche Zustimmungen (z. B. betriebsverfassungsrechtlicher Art) selbst ein.
5. In Freitextfelder (Notizen, Bemerkungen, Entscheidungsvermerke) dürfen keine Diagnosen oder sonstigen Gesundheitsdetails eingetragen werden; für Krankenstände genügen Zeitraum und Abwesenheitsart. Der Kunde weist seine Nutzer entsprechend an.

§ 6 Verfügbarkeit und Wartung

1. Der Anbieter bemüht sich um eine hohe Verfügbarkeit des Dienstes, schuldet jedoch — insbesondere während der unentgeltlichen Pilotphase — keine bestimmte Verfügbarkeit und kein Service-Level.
2. Wartungsarbeiten, Updates und technisch notwendige Unterbrechungen sind zulässig; geplante längere Unterbrechungen werden nach Möglichkeit vorab angekündigt.
3. Die Verfügbarkeit setzt eine funktionierende Internetverbindung des Kunden voraus; diese ist nicht Teil der Leistung.

§ 7 Daten des Kunden, Export und Sicherung

1. Alle vom Kunden eingegebenen Daten bleiben dessen Eigentum bzw. unterliegen dessen Verfügungsbefugnis. Der Anbieter nutzt sie ausschließlich zur Vertragserfüllung (Details in Anlage 1 und der Datenschutzinformation).
2. Der Kunde kann seine Arbeitszeitdaten jederzeit selbst als CSV-Datei exportieren (Auswertung → Export). Für exportierte Dateien und deren weitere Verarbeitung ist der Kunde verantwortlich.
3. Der Anbieter erstellt tägliche Sicherungen der Datenbank. Lokale Sicherungen werden spätestens nach 15 Tagen gelöscht; zusätzlich wird täglich eine verschlüsselte Sicherung in einem EU-Objektspeicher (Cloudflare R2, siehe Anlage 1 Ziffer 5) abgelegt und nach Ablauf einer festen Aufbewahrungsfrist automatisch gelöscht. Diese Sicherungen dienen der Betriebskontinuität und ersetzen keine eigene Datensicherung des Kunden; dem Kunden wird empfohlen, regelmäßig eigene Exporte anzufertigen.

§ 8 Haftung

1. Der Anbieter haftet unbeschränkt für Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen.
2. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Die Haftung für entgangenen Gewinn, mittelbare Schäden und Folgeschäden ist — soweit gesetzlich zulässig — ausgeschlossen.
3. Für Datenverlust haftet der Anbieter nur in dem Umfang, in dem der Schaden auch bei ordnungsgemäßer eigener Datensicherung durch den Kunden (§ 7 Abs 3) eingetreten wäre.
4. Die Ersatzpflicht des Geschädigten, den Schaden zu beweisen, bleibt unberührt (§ 1298 ABGB findet zwischen Unternehmern in der Ausprägung des § 349 UGB Anwendung).

§ 9 Laufzeit, Kündigung und Sperre

1. Der Vertrag läuft auf unbestimmte Zeit. Der Kunde kann ihn jederzeit ohne Frist beenden, indem er sein Konto in der Anwendung löscht (Konto löschen) oder die Löschung per E-Mail an [email protected] verlangt. Mit der Löschung des letzten Zugangs eines Betriebs werden sämtliche Daten des Betriebs unwiderruflich gelöscht.
2. Der Anbieter kann den Vertrag mit einer Frist von 30 Tagen kündigen; während der unentgeltlichen Pilotphase auch ohne Angabe von Gründen. Der Kunde erhält vor Wirksamwerden Gelegenheit zum Datenexport.
3. Bei schwerwiegenden Verstößen gegen diese AGB, bei Missbrauch (z. B. Angriffe auf den Dienst, rechtswidrige Inhalte) oder auf behördliche Anordnung kann der Anbieter Zugänge vorübergehend sperren oder den Vertrag aus wichtigem Grund mit sofortiger Wirkung beenden.

§ 10 Änderungen der AGB und des Dienstes

Der Anbieter kann diese AGB und den Funktionsumfang mit Wirkung für die Zukunft ändern, soweit dies für den Kunden zumutbar ist. Änderungen der AGB werden mindestens 30 Tage vor Inkrafttreten per E-Mail oder in der Anwendung angekündigt. Widerspricht der Kunde nicht bis zum Inkrafttreten oder nutzt er den Dienst danach weiter, gelten die geänderten AGB als angenommen; auf diese Folge wird in der Ankündigung hingewiesen. Im Fall des Widerspruchs kann jede Partei den Vertrag zum Zeitpunkt des Inkrafttretens beenden.

§ 11 Schlussbestimmungen

1. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und der Verweisungsnormen des internationalen Privatrechts.
2. Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist das sachlich zuständige Gericht am Sitz des Anbieters.
3. Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine wirksame Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Anlage 1: Auftragsverarbeitungsvertrag (Art 28 DSGVO)

Diese Anlage regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden und wird mit der Registrierung Vertragsbestandteil. Der Kunde ist Verantwortlicher, der Anbieter Auftragsverarbeiter im Sinne der DSGVO.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist das Hosten und Verarbeiten der vom Kunden und seinen Nutzern in Holzwerker eingegebenen Daten zum Zweck der Arbeitszeiterfassung, Abwesenheits- und Urlaubsverwaltung, Projektverwaltung und Auswertung. Die Dauer entspricht der Laufzeit des Hauptvertrags (§ 9 der AGB). Die Verarbeitung erfolgt in Rechenzentren in der EU; ausgenommen sind einzelne Unterauftragsverarbeiter mit Drittlandsbezug nach Ziffer 5, deren Einsatz durch EU-Standardvertragsklauseln nach Art 46 DSGVO abgesichert ist.

2. Kategorien betroffener Personen und Daten

• Betroffene: Beschäftigte des Kunden; Kunden bzw. Auftraggeber des Kunden, soweit deren Daten in Projekten erfasst werden.
• Datenkategorien: Stammdaten der Beschäftigten (Name, Benutzername, optional E-Mail-Adresse, Rolle, Qualifikation); Arbeitszeitdaten (Datum, Beginn/Ende, Pausen, Projekt, Tätigkeit, Freitextnotizen); Abwesenheiten samt Urlaubskonten und Arbeitszeitmodellen — darunter Krankenstände (nur Zeitraum und Art, keine Diagnosen; Diagnosen werden weder abgefragt noch benötigt, und Freitextfelder sind dafür nicht vorgesehen, § 5 Abs 5 der AGB), die als Gesundheitsdaten im Sinne des Art 9 DSGVO gelten können; Stammdaten der Auftraggeber des Kunden (Name, Telefonnummer, E-Mail-Adresse, Baustellen- bzw. Montageadressen — darunter auch Daten von Privatpersonen) und Projektdaten inklusive Freitextfeldern sowie vom Kunden hochgeladener Projektunterlagen (CAD-Pläne).

3. Pflichten des Auftragsverarbeiters

1. Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden — die Nutzung der Software durch den Kunden gilt als solche Weisung — und nicht für eigene Zwecke. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden.
2. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
3. Der Anbieter trifft technische und organisatorische Maßnahmen nach Art 32 DSGVO (Ziffer 4).
4. Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art 12–23 DSGVO) sowie bei den Pflichten aus Art 32–36 DSGVO.
5. Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
6. Nach Vertragsende werden alle personenbezogenen Daten des Kunden gelöscht, sofern keine gesetzliche Aufbewahrungspflicht des Anbieters besteht. Die Löschung erfolgt über die Kontolöschung in der Anwendung oder auf Verlangen des Kunden; zuvor kann der Kunde seine Daten exportieren (§ 7 der AGB). Lokale Sicherungskopien werden spätestens nach Ablauf des Sicherungszyklus von 15 Tagen überschrieben; verschlüsselte Sicherungen im EU-Objektspeicher (Ziffer 5) werden nach Ablauf ihrer festen Aufbewahrungsfrist automatisch gelöscht und bis dahin ausschließlich zur Wiederherstellung verwendet.
7. Der Anbieter stellt dem Kunden alle zum Nachweis der Einhaltung des Art 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen; diese erfolgen vorrangig durch Beantwortung schriftlicher Anfragen und Vorlage geeigneter Nachweise.

4. Technische und organisatorische Maßnahmen (Auszug)

• Strikte Mandantentrennung: Daten verschiedener Betriebe sind auf Anwendungs- und Datenbankebene (Row-Level-Security, mandantengebundene Fremdschlüssel) gegeneinander abgeschottet.
• Übertragung ausschließlich verschlüsselt (TLS); Passwörter werden nie im Klartext gespeichert, sondern beim Authentifizierungs-Dienstleister als Hash verwaltet.
• Rollenbasierte Zugriffe: Beschäftigte sehen nur ihre eigenen Daten, Chef-Zugänge die Daten des eigenen Betriebs.
• Besonderer Schutz für Krankenstandsdaten (Art 9 DSGVO): sichtbar nur für Chef-Zugänge und die betroffene Person selbst; gespeichert werden ausschließlich Zeitraum und Abwesenheitsart, keine Diagnosen.
• Tägliche Datenbanksicherung (lokal, Löschung spätestens nach 15 Tagen) sowie verschlüsselte Sicherung in einem EU-Objektspeicher mit fester, technisch erzwungener Aufbewahrungsfrist (unveränderbar, Schutz vor nachträglicher Manipulation); Zugriff auf die Server-Infrastruktur nur durch den Anbieter.

5. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Diese Liste ist mit der Datenschutzinformation abgestimmt:

Der Anbieter informiert den Kunden über beabsichtigte Änderungen dieser Liste (Aufnahme oder Ersetzung) per E-Mail oder in der Anwendung. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund binnen 30 Tagen widersprechen; in diesem Fall steht beiden Parteien ein Kündigungsrecht zu. Unterauftragsverarbeitern werden durch Vertrag dieselben Datenschutzpflichten auferlegt, wie sie in dieser Anlage festgelegt sind.

6. Rangfolge

Bei Widersprüchen zwischen dieser Anlage und den übrigen Bestimmungen der AGB geht diese Anlage hinsichtlich der Verarbeitung personenbezogener Daten vor.

Stand: 19. August 2026