Allgemeine Geschäftsbedingungen für ERP Holzbau.

Hinweis: 30 farblich hervorgehobene Stellen sind vom Betreiber noch festzulegen oder zu ergänzen.

Diese Allgemeinen Geschäftsbedingungen regeln die Bereitstellung und Nutzung der Software „ERP Holzbau“ einschließlich der zugehörigen Betriebs-, Support- und Zusatzleistungen durch SLLR Global. Sie gelten ausschließlich gegenüber Unternehmern. Bestandteil dieser Bedingungen sind die Anlagen 1 bis 7: Leistungsbeschreibung, Verfügbarkeit und Wartung, Support, Systemvoraussetzungen, Vertrag zur Auftragsverarbeitung, technische und organisatorische Maßnahmen sowie das Verzeichnis der Unterauftragsverarbeiter.

Teil A – Grundlagen des Vertragsverhältnisses

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“) gelten für alle Verträge über die Bereitstellung der Software „ERP Holzbau“ als Software-as-a-Service sowie über damit zusammenhängende Leistungen zwischen SLLR Global (nachfolgend „Anbieter“) und dem jeweiligen Vertragspartner (nachfolgend „Kunde“). Die vollständigen Angaben zum Anbieter ergeben sich aus dem Impressum der Website www.sllr-global.com; Rechtsform und vertretungsberechtigte Person: wird vom Betreiber ergänzt; Anschrift: wird vom Betreiber ergänzt; Registergericht, Registernummer und Umsatzsteuer-Identifikationsnummer: werden vom Betreiber ergänzt.

(2) Das Angebot des Anbieters richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen. Verträge mit Verbrauchern im Sinne des § 13 BGB schließt der Anbieter nicht. Der Kunde bestätigt mit Abgabe seiner Vertragserklärung, dass er in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit handelt.

(3) Diese AGB gelten ausschließlich. Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nur dann und nur insoweit Vertragsbestandteil, als der Anbieter ihrer Geltung ausdrücklich und mindestens in Textform zugestimmt hat. Dieses Zustimmungserfordernis gilt in jedem Fall, insbesondere auch dann, wenn der Anbieter in Kenntnis der Geschäftsbedingungen des Kunden Leistungen vorbehaltlos erbringt oder Zahlungen entgegennimmt.

(4) Diese AGB gelten in ihrer jeweils bei Vertragsschluss gültigen Fassung auch für künftige Verträge mit demselben Kunden über Leistungen gleicher Art, ohne dass der Anbieter in jedem Einzelfall erneut auf sie hinweisen muss. Für Änderungen während eines laufenden Vertrags gilt § 37.

(5) Im Einzelfall getroffene individuelle Vereinbarungen mit dem Kunden – einschließlich Nebenabreden, Ergänzungen und Änderungen – haben Vorrang vor diesen AGB. Für den Inhalt solcher Vereinbarungen ist, vorbehaltlich des Gegenbeweises, ein Vertrag oder eine Bestätigung des Anbieters mindestens in Textform maßgebend.

(6) Hinweise auf die Geltung gesetzlicher Vorschriften haben nur klarstellende Bedeutung. Auch ohne eine solche Klarstellung gelten die gesetzlichen Vorschriften, soweit sie in diesen AGB nicht unmittelbar abgeändert oder ausdrücklich ausgeschlossen werden.

§ 2 Begriffsbestimmungen

Für diese AGB und ihre Anlagen gelten die folgenden Begriffsbestimmungen:

(1) Software ist die vom Anbieter unter der Bezeichnung „ERP Holzbau“ betriebene Anwendung zur Organisation von Holzbaubetrieben in ihrer jeweils bereitgestellten Fassung einschließlich der im Vertrag vereinbarten Bereiche (Module), der zugehörigen Programmierschnittstellen und der Dokumentation.

(2) Dienst ist die Bereitstellung der Software zur Nutzung über das Internet einschließlich des Betriebs der dafür erforderlichen Systeme, der Speicherung der Kundendaten, der Datensicherung und des Supports.

(3) Mandant ist der logisch abgegrenzte Bereich innerhalb des Dienstes, in dem die Daten genau eines Kunden geführt werden.

(4) Benutzer ist jede natürliche Person, der der Kunde über ein persönliches Benutzerkonto den Zugang zu seinem Mandanten einräumt, insbesondere Inhaber, Beschäftigte und vom Kunden beauftragte Dritte.

(5) Administrator ist ein Benutzer, den der Kunde mit der Verwaltung seines Mandanten betraut hat, insbesondere mit der Anlage und Sperrung von Benutzern, der Vergabe von Rollen und Rechten und den Sicherheitseinstellungen.

(6) Kundendaten sind sämtliche Daten und Inhalte, die der Kunde oder seine Benutzer in den Dienst einstellen, dort erzeugen oder über Schnittstellen übermitteln, einschließlich personenbezogener Daten, Dokumenten, Fotos und Standortdaten.

(7) Zugangsdaten sind Benutzernamen, Kennwörter, Einladungslinks, Sitzungskennungen, Schlüssel für Programmierschnittstellen und sonstige Merkmale, die der Anmeldung am Dienst oder dem Nachweis einer Berechtigung dienen.

(8) Leistungsschein ist das Angebot, die Bestellung, die Auftragsbestätigung oder ein sonstiges Dokument, in dem die Parteien den konkreten Leistungsumfang, die gebuchten Bereiche, die Zahl der Benutzer oder sonstige Bemessungsgrößen, die Vergütung und die Laufzeit festlegen.

(9) Dokumentation sind die vom Anbieter in der Anwendung, auf der Website oder auf andere Weise bereitgestellten Beschreibungen der Funktionen und der Bedienung der Software.

(10) Zusatzleistungen sind Leistungen, die über die Bereitstellung des Dienstes hinausgehen, insbesondere Einrichtung, Übernahme von Altdaten, Schulung, Beratung, individuelle Anpassungen und Auswertungen.

(11) Drittdienste sind Dienste und Inhalte anderer Anbieter, die in die Software eingebunden sind oder von ihr abgerufen werden, etwa Kartenmaterial, Geokodierung, Routenberechnung, Wetterdaten und Herstellerkataloge.

(12) Werktage sind die Tage von Montag bis Freitag mit Ausnahme der bundeseinheitlichen gesetzlichen Feiertage in Deutschland sowie des 24. und 31. Dezember.

(13) Textform meint die Form des § 126b BGB; sie wird insbesondere durch E-Mail und durch Mitteilungen innerhalb der Anwendung gewahrt.

(14) Verbundene Unternehmen sind Unternehmen im Sinne der §§ 15 ff. AktG.

§ 3 Vertragsgegenstand

(1) Der Anbieter stellt dem Kunden für die Dauer des Vertrags den Dienst in dem im Leistungsschein vereinbarten Umfang zur Nutzung über das Internet zur Verfügung. Der Funktionsumfang der Software ergibt sich aus der Leistungsbeschreibung (Anlage 1) in Verbindung mit dem Leistungsschein und der Dokumentation.

(2) Die Software wird auf Systemen betrieben, die der Anbieter bei sorgfältig ausgewählten Rechenzentrumsbetreibern innerhalb der Europäischen Union unterhält. Eine Überlassung der Software zur Installation auf Systemen des Kunden ist nicht geschuldet. Der Zugriff erfolgt über einen aktuellen Internetbrowser; die Systemvoraussetzungen ergeben sich aus Anlage 4.

(3) Übergabepunkt für den Dienst ist der Routerausgang des vom Anbieter genutzten Rechenzentrums. Die Anbindung des Kunden an das Internet, die Aufrechterhaltung der Netzverbindung sowie die Beschaffung und der Betrieb der auf Seiten des Kunden erforderlichen Hard- und Software sind nicht Gegenstand der Leistungen des Anbieters.

(4) Die Software ist ein Werkzeug zur Organisation betrieblicher Abläufe. Sie ersetzt weder die fachliche Prüfung durch den Kunden noch steuerliche, rechtliche, statische, sicherheitstechnische oder sonstige fachliche Beratung. Auswertungen, Fälligkeiten, Erinnerungen, Berechnungen und Vorschläge der Software beruhen auf den vom Kunden eingegebenen Daten und den von ihm gewählten Einstellungen; für deren Richtigkeit und Vollständigkeit ist der Kunde verantwortlich.

(5) Die Software steuert keine Maschinen und Anlagen und ist nicht für den Einsatz in Umgebungen bestimmt, in denen ein Ausfall oder eine Fehlfunktion unmittelbar zu Gefahren für Leib und Leben oder zu erheblichen Sach- oder Umweltschäden führen kann.

(6) Beschaffenheitsangaben in der Leistungsbeschreibung, der Dokumentation, auf der Website oder in Werbeunterlagen sind keine Garantien. Eine Garantie liegt nur vor, wenn der Anbieter sie ausdrücklich und mindestens in Textform als solche bezeichnet hat.

(7) Zusatzleistungen erbringt der Anbieter nur aufgrund gesonderter Vereinbarung und gegen gesonderte Vergütung. Soweit nichts anderes vereinbart ist, handelt es sich bei Zusatzleistungen um Dienstleistungen im Sinne der §§ 611 ff. BGB; ein bestimmter Erfolg ist nicht geschuldet.

§ 4 Vertragsschluss und Rangfolge

(1) Die Darstellung der Software auf der Website, in Unterlagen und in Vorführungen ist kein bindendes Angebot, sondern eine Aufforderung an den Kunden, eine Anfrage zu stellen. Angebote des Anbieters sind freibleibend, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind oder eine bestimmte Annahmefrist enthalten.

(2) Der Vertrag kommt zustande, wenn der Kunde ein verbindliches Angebot des Anbieters innerhalb der Annahmefrist mindestens in Textform annimmt, wenn der Anbieter eine Bestellung des Kunden mindestens in Textform bestätigt oder wenn der Anbieter den Mandanten des Kunden für den Produktivbetrieb freischaltet. Die bloße Bereitstellung einer Vorführ- oder Testumgebung begründet noch keinen entgeltlichen Vertrag.

(3) Der Vertrag besteht aus den folgenden Bestandteilen, die bei Widersprüchen in der nachstehenden Reihenfolge gelten:

1. individuelle Vereinbarungen der Parteien einschließlich des Leistungsscheins,
2. der Vertrag zur Auftragsverarbeitung (Anlage 5) mit seinen Anlagen 6 und 7, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht,
3. die Anlagen 1 bis 4 zu diesen AGB,
4. diese AGB,
5. die Dokumentation.

(4) Der Anbieter ist berechtigt, den Vertragsschluss von der Vorlage geeigneter Nachweise über die Unternehmereigenschaft und die Vertretungsbefugnis der handelnden Person abhängig zu machen.

(5) Die für den Kunden handelnde Person sichert zu, zur Abgabe der Vertragserklärung für den Kunden berechtigt zu sein.

§ 5 Vorführung und Testzugang

(1) Der Anbieter kann dem Kunden vor Vertragsschluss eine Vorführumgebung mit Beispieldaten oder einen eigenen Testzugang bereitstellen. Soweit nichts anderes vereinbart ist, ist der Testzugang unentgeltlich und endet automatisch nach 30 Tage, ohne dass es einer Kündigung bedarf.

(2) Vorführ- und Testumgebungen dienen allein dazu, die Eignung der Software für die Zwecke des Kunden zu prüfen. Sie sind nicht für den Produktivbetrieb bestimmt. Der Kunde soll in Vorführumgebungen keine echten personenbezogenen Daten und keine vertraulichen Geschäftsdaten eingeben. In einem eigenen Testzugang verarbeitet der Anbieter Daten nach Maßgabe von Anlage 5.

(3) Während der unentgeltlichen Testphase bestehen keine Ansprüche auf eine bestimmte Verfügbarkeit, auf Support oder auf Datensicherung. Der Anbieter haftet in dieser Zeit nach den gesetzlichen Vorschriften über die Leihe, also nur für Vorsatz und grobe Fahrlässigkeit; § 32 Abs. 1 bleibt unberührt.

(4) Schließt der Kunde im Anschluss an die Testphase einen entgeltlichen Vertrag, können die im Testzugang erfassten Daten auf Wunsch des Kunden in den Produktivbetrieb übernommen werden. Andernfalls löscht der Anbieter die Daten des Testzugangs spätestens 60 Tagen nach dessen Ende.

Teil B – Leistungen des Anbieters

§ 6 Bereitstellung des Dienstes

(1) Der Anbieter richtet für den Kunden einen Mandanten ein und übermittelt dem vom Kunden benannten Administrator eine Einladung zur Einrichtung seines Benutzerkontos. Weitere Benutzer legt der Kunde selbst an.

(2) Der Anbieter schuldet die Bereitstellung der im Leistungsschein vereinbarten Bereiche der Software. Bereiche, die nicht vereinbart sind, kann der Anbieter im Mandanten des Kunden ausblenden oder sperren. Der Kunde kann weitere Bereiche nach Maßgabe der jeweils gültigen Preise hinzubuchen.

(3) Der Anbieter stellt die Software in der jeweils aktuellen, von ihm für den allgemeinen Betrieb freigegebenen Fassung bereit. Ein Anspruch auf Bereitstellung einer bestimmten älteren Fassung besteht nicht.

(4) Der Anbieter stellt dem Kunden Speicherplatz für seine Kundendaten in einem dem gewöhnlichen Gebrauch entsprechenden Umfang zur Verfügung. Soweit der Leistungsschein Obergrenzen für Speicherplatz, Dokumente, Benutzer oder vergleichbare Größen vorsieht, gelten diese. Erreicht der Kunde eine Obergrenze, weist ihn der Anbieter darauf hin; der Kunde kann zusätzliche Kontingente gegen Vergütung buchen.

(5) Der Anbieter ist berechtigt, sich zur Erbringung seiner Leistungen Dritter als Erfüllungsgehilfen zu bedienen, insbesondere Rechenzentrumsbetreibern und Netzdienstleistern. Für die Verarbeitung personenbezogener Daten durch solche Dritte gelten die Anlagen 5 und 7.

§ 7 Nutzungsrechte

(1) Der Anbieter räumt dem Kunden für die Dauer des Vertrags das einfache, nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht ein, die Software im vereinbarten Umfang für eigene betriebliche Zwecke über das Internet zu nutzen. Die Nutzung für eigene betriebliche Zwecke schließt die Verwaltung von Daten der eigenen Auftraggeber, Lieferanten und Nachunternehmer ein.

(2) Die Nutzung ist auf die im Leistungsschein vereinbarte Bemessungsgröße beschränkt, insbesondere auf die vereinbarte Zahl von Benutzern oder Beschäftigten. Benutzerkonten sind personengebunden; die gemeinsame Nutzung eines Benutzerkontos durch mehrere Personen ist unzulässig. Der Kunde darf ein Benutzerkonto dauerhaft auf eine andere Person übertragen, wenn die bisherige Person die Software nicht mehr nutzt.

(3) Die Nutzung durch verbundene Unternehmen des Kunden ist nur zulässig, wenn dies im Leistungsschein vereinbart ist. Der Kunde steht in diesem Fall für die Einhaltung dieser AGB durch die verbundenen Unternehmen wie für eigenes Verhalten ein.

(4) Der Kunde ist nicht berechtigt, die Software Dritten entgeltlich oder unentgeltlich zur Nutzung zu überlassen, sie zu vermieten oder als eigene Dienstleistung anzubieten. Ausgenommen sind Dritte, die als Benutzer im Auftrag und für Zwecke des Kunden tätig werden, etwa Steuerberater, Nachunternehmer oder Leiharbeitnehmer.

(5) Der Kunde darf die Software weder ganz noch teilweise vervielfältigen, bearbeiten, dekompilieren, disassemblieren oder auf andere Weise in eine andere Darstellungsform zurückführen, soweit dies nicht nach den §§ 69d, 69e UrhG zwingend gestattet ist. Informationen, die zur Herstellung der Interoperabilität mit unabhängig geschaffenen Programmen erforderlich sind, stellt der Anbieter auf Anfrage gegen angemessene Vergütung zur Verfügung.

(6) Sämtliche Rechte an der Software, an der Dokumentation, an Kennzeichen, Gestaltungen und am zugrunde liegenden Know-how verbleiben beim Anbieter und seinen Lizenzgebern. Das gilt auch für Weiterentwicklungen, die auf Anregungen, Fehlermeldungen oder Wünschen des Kunden beruhen. Der Kunde räumt dem Anbieter an solchen Anregungen ein unentgeltliches, zeitlich und räumlich unbeschränktes Recht zur Verwertung ein.

(7) Die Software enthält Bestandteile, die unter Open-Source-Lizenzen stehen. Deren Lizenzbedingungen bleiben unberührt; der Anbieter stellt auf Anfrage eine Übersicht der verwendeten Bestandteile und ihrer Lizenzen bereit. Die Nutzung des Dienstes durch den Kunden wird durch diese Lizenzen nicht eingeschränkt.

(8) Soweit die Software Programmierschnittstellen bereitstellt, darf der Kunde diese ausschließlich nach Maßgabe der Dokumentation und im Rahmen der dort oder im Leistungsschein genannten Mengenbegrenzungen nutzen. Der Anbieter darf Abrufe begrenzen, soweit dies zum Schutz der Stabilität des Dienstes erforderlich ist.

§ 8 Verfügbarkeit und Wartung

(1) Der Anbieter stellt den Dienst mit der in Anlage 2 bestimmten Verfügbarkeit bereit. Maßgeblich sind die dort festgelegte Bezugsgröße, der Messzeitraum und die Ausnahmen.

(2) Der Anbieter ist berechtigt, den Dienst für Wartungsarbeiten vorübergehend zu unterbrechen oder einzuschränken. Planbare Wartungsarbeiten führt der Anbieter nach Möglichkeit in nutzungsarmen Zeiten durch und kündigt sie nach Maßgabe von Anlage 2 an.

(3) Der Anbieter ist berechtigt, den Dienst ohne Vorankündigung zu unterbrechen oder einzuschränken, soweit dies erforderlich ist, um eine unmittelbare Gefahr für die Sicherheit oder Integrität des Dienstes, der Kundendaten oder der Systeme Dritter abzuwenden. Der Anbieter unterrichtet den Kunden in diesem Fall unverzüglich über Anlass und voraussichtliche Dauer.

(4) Die Rechtsfolgen einer Unterschreitung der vereinbarten Verfügbarkeit ergeben sich aus Anlage 2 und aus § 30.

§ 9 Support und Störungsbeseitigung

(1) Der Anbieter unterstützt den Kunden bei Störungen des Dienstes und bei Fragen zur Bedienung der Software nach Maßgabe von Anlage 3. Support wird gegenüber den vom Kunden benannten Ansprechpartnern erbracht; ein Anspruch auf Unterstützung jedes einzelnen Benutzers besteht nicht.

(2) Der Kunde meldet Störungen unverzüglich und so genau, dass der Anbieter sie nachvollziehen kann. Er beschreibt insbesondere die Arbeitsschritte, die zur Störung geführt haben, die Auswirkungen, den Zeitpunkt, den betroffenen Benutzer und, soweit vorhanden, den Wortlaut von Fehlermeldungen.

(3) Der Anbieter ordnet eine gemeldete Störung nach billigem Ermessen einer der in Anlage 3 bestimmten Fehlerklassen zu und beginnt innerhalb der dort genannten Reaktionszeit mit der Bearbeitung. Reaktionszeiten sind keine Beseitigungsfristen. Der Anbieter beseitigt Störungen innerhalb angemessener Zeit; er kann zunächst eine Umgehungslösung bereitstellen, wenn dies dem Kunden zumutbar ist.

(4) Soweit es zur Bearbeitung einer Supportanfrage erforderlich ist, darf der Anbieter mit Zustimmung des Kunden auf dessen Mandanten zugreifen. Der Zugriff erfolgt über die dafür vorgesehene Unterstützungsfunktion, ist auf das Erforderliche beschränkt, zeitlich begrenzt und wird im Mandanten des Kunden protokolliert. Einzelheiten regelt Anlage 5.

(5) Nicht vom Support umfasst sind insbesondere Unterstützung bei Störungen, die auf der Infrastruktur des Kunden oder auf Drittdiensten beruhen, die fachliche Beratung zur Organisation des Betriebs, die Korrektur von Fehleingaben des Kunden, Schulungen sowie die Wiederherstellung von Daten, die der Kunde selbst gelöscht hat. Solche Leistungen erbringt der Anbieter als Zusatzleistungen.

(6) Stellt sich heraus, dass eine gemeldete Störung nicht auf einem Mangel des Dienstes beruht, kann der Anbieter den ihm entstandenen Aufwand nach seinen jeweils gültigen Stundensätzen berechnen, wenn der Kunde dies bei Anwendung der erforderlichen Sorgfalt hätte erkennen können.

§ 10 Weiterentwicklung und Änderung der Leistungen

(1) Der Anbieter entwickelt die Software laufend weiter. Er ist berechtigt, Funktionen zu ergänzen, zu verbessern, zu ändern und die Bedienoberfläche anzupassen, soweit dadurch der vertragsgemäße Gebrauch der vereinbarten Bereiche nicht mehr als nur unerheblich beeinträchtigt wird.

(2) Der Anbieter ist darüber hinaus berechtigt, Leistungen zu ändern, soweit dies aus triftigem Grund erforderlich ist und die Änderung dem Kunden unter Berücksichtigung der beiderseitigen Interessen zumutbar ist. Ein triftiger Grund liegt insbesondere vor, wenn die Änderung erforderlich ist,

• um die Software an eine geänderte Rechtslage, an Rechtsprechung oder an behördliche Anforderungen anzupassen,
• um Sicherheitslücken zu schließen oder die Sicherheit des Dienstes zu erhöhen,
• weil Drittdienste oder Vorleistungen, auf denen eine Funktion beruht, geändert oder eingestellt werden,
• um die Software an den Stand der Technik anzupassen oder ihren stabilen Betrieb zu sichern.

(3) Führt eine Änderung nach Absatz 2 zu einer mehr als nur unerheblichen Einschränkung der vereinbarten Leistungen, kündigt der Anbieter sie dem Kunden mit einer Frist von mindestens sechs Wochen in Textform an. Der Kunde ist in diesem Fall berechtigt, den Vertrag oder den betroffenen Bereich mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Der Anbieter weist in der Ankündigung auf dieses Recht hin. Im Voraus gezahlte Vergütung für die Zeit nach dem Wirksamwerden der Kündigung erstattet der Anbieter anteilig.

(4) Ein Anspruch des Kunden auf die Entwicklung bestimmter neuer Funktionen besteht nicht. Neue Bereiche und wesentliche Funktionserweiterungen kann der Anbieter gegen gesonderte Vergütung anbieten.

(5) Der Anbieter kann Funktionen als Vorabfassung („Beta“, „Vorschau“ oder ähnlich bezeichnet) bereitstellen. Vorabfassungen dienen der Erprobung. Sie können jederzeit geändert oder eingestellt werden; Zusagen zur Verfügbarkeit und zum Support gelten für sie nicht. Die Nutzung ist freiwillig.

§ 11 Datensicherung

(1) Der Anbieter sichert die Datenbank des Dienstes regelmäßig, mindestens einmal täglich, und bewahrt die Sicherungen für sieben Tage auf. Die Sicherungen dienen der Wiederherstellung des Dienstes nach einem Ausfall oder Datenverlust in der Verantwortung des Anbieters.

(2) Ein Anspruch auf die Wiederherstellung einzelner Datensätze oder eines bestimmten früheren Standes eines einzelnen Mandanten, etwa nach Fehlbedienung oder versehentlicher Löschung durch Benutzer des Kunden, besteht nicht. Soweit eine solche Wiederherstellung technisch möglich und zumutbar ist, erbringt der Anbieter sie als Zusatzleistung.

(3) Der Kunde bleibt für die Einhaltung der ihn treffenden handels- und steuerrechtlichen Aufbewahrungspflichten selbst verantwortlich. Er hat die Möglichkeit, seine Daten nach Maßgabe von § 28 jederzeit zu exportieren, und soll hiervon in angemessenen Abständen Gebrauch machen.

§ 12 Einrichtung, Datenübernahme und Schulung

(1) Die Einrichtung des Mandanten über die Bereitstellung nach § 6 Abs. 1 hinaus, die Übernahme von Daten aus anderen Systemen, die Anpassung von Vorlagen sowie Schulungen sind Zusatzleistungen. Umfang, Termine und Vergütung ergeben sich aus dem Leistungsschein.

(2) Übernimmt der Anbieter Daten aus Altsystemen des Kunden, stellt der Kunde diese in dem vom Anbieter vorgegebenen Format bereit. Für Vollständigkeit, Richtigkeit und Rechtmäßigkeit der bereitgestellten Daten ist der Kunde verantwortlich. Der Kunde prüft die übernommenen Daten unverzüglich nach der Übernahme und meldet Abweichungen innerhalb von zehn Werktagen.

(3) Vereinbarte Termine für Zusatzleistungen sind nur verbindlich, wenn sie ausdrücklich als verbindlich bezeichnet sind. Sie verschieben sich angemessen, soweit der Kunde Mitwirkungshandlungen nicht rechtzeitig erbringt.

(4) Sagt der Kunde einen vereinbarten Schulungs- oder Einrichtungstermin weniger als drei Werktage vorher ab, kann der Anbieter die vereinbarte Vergütung für diesen Termin berechnen, soweit er die frei gewordene Zeit nicht anderweitig verwerten kann.

§ 13 Drittdienste und Drittinhalte

(1) Die Software bindet Drittdienste ein, unter anderem Kartenmaterial, die Umwandlung von Adressen in Koordinaten, Routenberechnung, Höhen- und Wetterdaten. Diese Drittdienste werden von ihren jeweiligen Anbietern in eigener Verantwortung bereitgestellt. Der Anbieter schuldet insoweit nur die sorgfältige Auswahl und technische Einbindung, nicht jedoch die ständige Verfügbarkeit, Richtigkeit, Vollständigkeit oder Aktualität der von Drittdiensten gelieferten Inhalte.

(2) Kartendarstellungen, Entfernungen, Fahrzeiten, Höhenangaben, Wetterdaten und Sonnenzeiten sind unverbindliche Orientierungshilfen. Sie sind nicht für sicherheitsrelevante Entscheidungen bestimmt, insbesondere nicht für die Beurteilung der Witterung bei Kran- und Montagearbeiten, und ersetzen nicht die Prüfung vor Ort.

(3) Der in der Software bereitgestellte Herstellerkatalog enthält Angaben zu Herstellern und Artikeln, die aus öffentlich zugänglichen Quellen zusammengestellt sind. Der Anbieter übernimmt keine Gewähr für Richtigkeit, Vollständigkeit, Aktualität, Lieferbarkeit oder Preise. Kennzeichen und Produktbezeichnungen Dritter dienen ausschließlich der Beschreibung und sind Eigentum ihrer jeweiligen Inhaber.

(4) Wird ein Drittdienst eingestellt, wesentlich geändert oder nur noch zu unzumutbaren Bedingungen angeboten, ist der Anbieter berechtigt, ihn durch einen gleichwertigen Dienst zu ersetzen oder die betroffene Funktion nach Maßgabe von § 10 Abs. 2 und 3 anzupassen.

(5) Soweit die Nutzung eines Drittdienstes die Beachtung von Nutzungsbedingungen dieses Drittdienstes durch den Kunden voraussetzt, weist der Anbieter den Kunden in der Dokumentation darauf hin.

§ 14 Versand von Nachrichten über den Dienst

(1) Die Software ermöglicht dem Kunden, E-Mails an eigene Geschäftspartner zu versenden, etwa Angebote, Rechnungen, Dokumente und Mitteilungen an Kontakte aus dem Bereich Kundenpflege. Absender im Rechtssinne und Verantwortlicher für Inhalt, Empfängerkreis und Zulässigkeit dieser Nachrichten ist allein der Kunde.

(2) Der Kunde stellt sicher, dass er Werbung per E-Mail nur an Empfänger versendet, deren vorherige ausdrückliche Einwilligung vorliegt oder bei denen die Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind, und dass jede Nachricht die gesetzlich vorgeschriebenen Angaben und einen Hinweis auf das Widerspruchsrecht enthält. Die Software stellt Hilfsmittel zur Dokumentation von Einwilligungen bereit; die rechtliche Beurteilung obliegt dem Kunden.

(3) Der Anbieter ist berechtigt, den Versand zu begrenzen oder zu unterbinden, soweit Anhaltspunkte für den Versand unverlangter Werbung, für Schadsoftware oder für einen sonstigen Missbrauch bestehen oder soweit dies zum Schutz der Zustellbarkeit für alle Kunden erforderlich ist.

Teil C – Pflichten und Verantwortung des Kunden

§ 15 Mitwirkung und Systemvoraussetzungen

(1) Der Kunde erbringt die zur Durchführung des Vertrags erforderlichen Mitwirkungshandlungen vollständig, rechtzeitig und unentgeltlich. Mitwirkungshandlungen sind wesentliche Vertragspflichten des Kunden.

(2) Der Kunde ist insbesondere verpflichtet,

• die in Anlage 4 genannten Systemvoraussetzungen auf eigene Kosten zu schaffen und aufrechtzuerhalten,
• dem Anbieter mindestens einen fachlich und technisch kundigen Ansprechpartner sowie einen Vertreter zu benennen, die zur Abgabe und Entgegennahme von Erklärungen im Rahmen der Vertragsdurchführung befugt sind,
• seine Benutzer in die Bedienung der Software einzuweisen und zur Einhaltung dieser AGB anzuhalten,
• Stammdaten, Rollen und Rechte in seinem Mandanten sorgfältig zu pflegen,
• Mitteilungen des Anbieters innerhalb der Anwendung und per E-Mail zur Kenntnis zu nehmen,
• Störungen nach Maßgabe von § 9 Abs. 2 zu melden und den Anbieter bei der Eingrenzung in zumutbarem Umfang zu unterstützen,
• die Ergebnisse der Software vor ihrer Verwendung im Geschäftsverkehr in dem Umfang zu prüfen, der bei Anwendung der im Verkehr erforderlichen Sorgfalt geboten ist, insbesondere Angebote, Rechnungen, Mengen, Fristen und Prüftermine.

(3) Erbringt der Kunde eine Mitwirkungshandlung nicht, nicht rechtzeitig oder nicht ordnungsgemäß, verlängern sich Fristen des Anbieters um den Zeitraum der Verzögerung zuzüglich einer angemessenen Wiederanlaufzeit. Der Anbieter ist für die hieraus entstehenden Folgen nicht verantwortlich und kann Mehraufwand nach seinen jeweils gültigen Stundensätzen berechnen.

§ 16 Benutzerkonten und Zugangsdaten

(1) Der Kunde verwaltet die Benutzer seines Mandanten selbst. Er vergibt Rollen und Rechte nach dem Grundsatz, dass jeder Benutzer nur die Berechtigungen erhält, die er für seine Aufgaben benötigt, und entzieht Berechtigungen unverzüglich, wenn sie nicht mehr erforderlich sind, insbesondere beim Ausscheiden von Beschäftigten.

(2) Zugangsdaten sind geheim zu halten und vor dem Zugriff Unbefugter zu schützen. Der Kunde verpflichtet seine Benutzer, Kennwörter zu wählen, die den in der Anwendung eingestellten Mindestanforderungen entsprechen, sie nicht für andere Dienste zu verwenden und sie nicht an Dritte weiterzugeben, auch nicht an andere Beschäftigte des Kunden.

(3) Besteht der Verdacht, dass Unbefugte Kenntnis von Zugangsdaten erlangt haben oder ein Benutzerkonto missbräuchlich genutzt wird, sperrt der Kunde das betroffene Benutzerkonto unverzüglich, ändert die Zugangsdaten und unterrichtet den Anbieter.

(4) Der Kunde hat Handlungen, die unter Verwendung der Zugangsdaten seiner Benutzer vorgenommen werden, wie eigene Handlungen zu vertreten, es sei denn, er weist nach, dass er die Verwendung nicht zu vertreten hat.

(5) Soweit der Anbieter zusätzliche Verfahren zur Absicherung der Anmeldung bereitstellt, soll der Kunde diese jedenfalls für Administratoren aktivieren.

§ 17 Zulässige Nutzung

(1) Der Kunde nutzt den Dienst ausschließlich im Rahmen der geltenden Gesetze und dieser AGB. Er unterlässt jede Nutzung, die die Sicherheit, Stabilität oder Verfügbarkeit des Dienstes oder die Rechte Dritter beeinträchtigen kann.

(2) Unzulässig ist es insbesondere,

• Inhalte einzustellen oder zu versenden, die gegen Strafgesetze, Persönlichkeitsrechte, Urheber-, Marken- oder sonstige Schutzrechte oder gegen wettbewerbsrechtliche Vorschriften verstoßen,
• Schadsoftware einzustellen oder zu verbreiten,
• Schutzmechanismen des Dienstes zu umgehen, Schwachstellen ohne vorherige Zustimmung des Anbieters aktiv zu suchen oder auszunutzen oder sich Zugang zu Daten anderer Mandanten zu verschaffen,
• den Dienst durch automatisierte Abrufe außerhalb der dokumentierten Schnittstellen oder durch eine über den gewöhnlichen Gebrauch hinausgehende Last zu beanspruchen,
• den Dienst zur Überwachung von Personen in einer Weise einzusetzen, die gegen arbeits- oder datenschutzrechtliche Vorschriften verstößt,
• Leistungsmessungen oder Vergleiche des Dienstes ohne Zustimmung des Anbieters zu veröffentlichen,
• den Dienst zu nutzen, um ein konkurrierendes Produkt zu entwickeln.

(3) Entdeckt der Kunde eine Sicherheitslücke, teilt er sie dem Anbieter unverzüglich und vertraulich mit und gibt ihm angemessene Gelegenheit zur Behebung, bevor er Dritte unterrichtet.

§ 18 Verantwortung für Kundendaten

(1) Der Kunde ist für sämtliche Kundendaten allein verantwortlich. Er stellt sicher, dass er zur Erhebung, Speicherung und sonstigen Verarbeitung der Kundendaten im Dienst berechtigt ist und dass die Kundendaten keine Rechte Dritter verletzen. Der Anbieter prüft Kundendaten nicht inhaltlich.

(2) Der Kunde ist im Verhältnis zum Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in seinem Mandanten verarbeiteten personenbezogenen Daten. Er stellt insbesondere sicher, dass

• für jede Verarbeitung eine Rechtsgrundlage besteht,
• die betroffenen Personen – namentlich seine Beschäftigten, Bewerber, Kunden, Interessenten, Lieferanten und Nachunternehmer – nach den Art. 13, 14 DSGVO unterrichtet werden,
• gesetzlich erforderliche Einwilligungen eingeholt und dokumentiert sind,
• die Anforderungen an die Verarbeitung von Beschäftigtendaten eingehalten werden.

(3) Die Software enthält Funktionen, die geeignet sind, das Verhalten oder die Leistung von Beschäftigten zu erfassen, insbesondere Zeiterfassung, Fahrtenbuch, die Erfassung von Standorten und Anwesenheiten, Protokolle über Buchungen und Änderungen sowie Auswertungen hierzu. Der Kunde entscheidet in eigener Verantwortung, ob und in welchem Umfang er diese Funktionen einsetzt. Er beachtet dabei die Mitbestimmungsrechte einer bestehenden Arbeitnehmervertretung, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, und holt erforderliche Einwilligungen der Beschäftigten ein. Die in der Anwendung vorgesehenen Einwilligungsabfragen unterstützen den Kunden hierbei, ersetzen aber nicht seine eigene rechtliche Prüfung.

(4) Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO – etwa Gesundheitsdaten – sowie Daten über strafrechtliche Verurteilungen darf der Kunde im Dienst nur verarbeiten, soweit die Software hierfür ausdrücklich vorgesehene Felder bereitstellt oder der Anbieter dem mindestens in Textform zugestimmt hat. Freitextfelder und Dokumentenablagen sind nicht für solche Daten bestimmt.

(5) Der Kunde räumt dem Anbieter an den Kundendaten die Rechte ein, die zur Erbringung der vertraglichen Leistungen erforderlich sind, insbesondere das Recht, die Kundendaten zu speichern, zu vervielfältigen, zu sichern und den Benutzern des Kunden zugänglich zu machen. Darüber hinausgehende Rechte an den Kundendaten erwirbt der Anbieter nicht; § 29 bleibt unberührt.

(6) Der Kunde stellt den Anbieter von sämtlichen Ansprüchen Dritter frei, die auf einer rechtswidrigen Verwendung des Dienstes durch den Kunden oder seine Benutzer oder auf rechtswidrigen Kundendaten beruhen, und erstattet dem Anbieter die Kosten einer angemessenen Rechtsverteidigung, es sei denn, der Kunde hat die Rechtsverletzung nicht zu vertreten. Der Anbieter unterrichtet den Kunden unverzüglich über die Geltendmachung solcher Ansprüche.

§ 19 Sperrung

(1) Der Anbieter ist berechtigt, den Zugang des Kunden oder einzelner Benutzer zum Dienst vorübergehend ganz oder teilweise zu sperren, wenn

• tatsächliche Anhaltspunkte dafür bestehen, dass der Kunde oder ein Benutzer gegen § 17 oder § 18 verstößt oder Zugangsdaten missbräuchlich genutzt werden,
• die Sperrung erforderlich ist, um Schaden vom Dienst, von anderen Kunden oder von Dritten abzuwenden,
• der Anbieter aufgrund gesetzlicher Vorschriften oder behördlicher oder gerichtlicher Anordnung zur Sperrung verpflichtet ist,
• der Kunde mit der Zahlung fälliger Vergütung in Höhe von mindestens einer Monatsvergütung länger als 30 Tage in Verzug ist und der Anbieter die Sperrung mindestens 14 Tage vorher in Textform angedroht hat.

(2) Der Anbieter berücksichtigt bei der Entscheidung über die Sperrung die berechtigten Interessen des Kunden, wählt das mildeste geeignete Mittel und unterrichtet den Kunden unverzüglich, soweit möglich vor der Sperrung, über Anlass und Umfang. Er hebt die Sperrung auf, sobald der Anlass entfallen ist.

(3) Während einer vom Kunden zu vertretenden Sperrung bleibt der Kunde zur Zahlung der vereinbarten Vergütung verpflichtet. Die Sperrung wegen Zahlungsverzugs lässt die Möglichkeit des Kunden zum Datenexport nach § 28 für eine Dauer von mindestens 30 Tagen unberührt.

(4) Weitergehende Rechte des Anbieters, insbesondere das Recht zur außerordentlichen Kündigung, bleiben unberührt.

Teil D – Vergütung

§ 20 Vergütung und Abrechnung

(1) Die Höhe der Vergütung, die Bemessungsgrößen und der Abrechnungszeitraum ergeben sich aus dem Leistungsschein. Soweit dort nichts anderes bestimmt ist, wird die laufende Vergütung monatlich im Voraus abgerechnet; einmalige Vergütungen für Zusatzleistungen werden nach Erbringung, bei länger als einen Monat dauernden Leistungen monatlich nachträglich abgerechnet.

(2) Alle Preise verstehen sich in Euro zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.

(3) Richtet sich die Vergütung nach der Zahl der Benutzer, der Beschäftigten oder einer anderen veränderlichen Größe, ist der im jeweiligen Abrechnungszeitraum erreichte Höchststand maßgeblich. Erhöhungen werden ab dem Abrechnungszeitraum berechnet, in dem sie eintreten; Verringerungen wirken sich zum Beginn des nächsten Verlängerungszeitraums aus, soweit der Leistungsschein nichts anderes bestimmt. Der Kunde teilt dem Anbieter Veränderungen einer Bemessungsgröße, die nicht aus dem Dienst selbst ersichtlich ist, unverzüglich mit.

(4) Der Anbieter ist berechtigt, die Einhaltung der vereinbarten Bemessungsgrößen anhand der im Dienst ohnehin vorhandenen Verwaltungsdaten zu prüfen. Ergibt die Prüfung eine Überschreitung, berechnet der Anbieter die Differenz nach den vereinbarten Preisen nach.

(5) Zusatzleistungen werden, soweit kein Festpreis vereinbart ist, nach Aufwand zu den jeweils gültigen Stundensätzen des Anbieters vergütet. Reisezeiten, Reisekosten und Spesen werden nach Vereinbarung berechnet.

(6) Der Anbieter stellt Rechnungen in elektronischer Form. Der Kunde stimmt dem elektronischen Rechnungsversand zu und benennt hierfür eine E-Mail-Adresse.

§ 21 Zahlungsbedingungen und Verzug

(1) Rechnungen sind innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug zur Zahlung fällig. Maßgeblich für die Rechtzeitigkeit ist der Eingang auf dem Konto des Anbieters.

(2) Erteilt der Kunde ein SEPA-Lastschriftmandat, zieht der Anbieter den Rechnungsbetrag frühestens fünf Werktage nach Zugang der Rechnung ein. Die Frist für die Vorabankündigung wird auf einen Werktag verkürzt. Kosten einer vom Kunden zu vertretenden Rücklastschrift trägt der Kunde.

(3) Gerät der Kunde in Verzug, schuldet er Verzugszinsen in gesetzlicher Höhe (§ 288 Abs. 2 BGB) sowie die Pauschale nach § 288 Abs. 5 BGB. Die Geltendmachung eines weitergehenden Verzugsschadens bleibt vorbehalten. Für die Sperrung gilt § 19 Abs. 1.

(4) Einwendungen gegen eine Rechnung sind innerhalb von sechs Wochen nach Zugang in Textform zu erheben. Unterlässt der Kunde rechtzeitige Einwendungen, gilt die Rechnung als genehmigt; der Anbieter weist in der Rechnung auf diese Folge hin. Gesetzliche Ansprüche des Kunden bei begründeten Einwendungen nach Fristablauf bleiben unberührt.

§ 22 Preisanpassung

(1) Der Anbieter ist berechtigt, die laufende Vergütung nach billigem Ermessen (§ 315 BGB) an die Entwicklung der Kosten anzupassen, die für die Preisberechnung maßgeblich sind. Hierzu zählen insbesondere die Kosten für Rechenzentrumsleistungen, Vorleistungen und Drittdienste, Personal, Energie sowie Kosten aufgrund geänderter gesetzlicher oder behördlicher Anforderungen. Steigerungen bei einer Kostenart dürfen nur in dem Umfang für eine Erhöhung herangezogen werden, in dem kein Ausgleich durch rückläufige Kosten in anderen Bereichen erfolgt. Sinken die Kosten insgesamt, ermäßigt der Anbieter die Vergütung entsprechend.

(2) Eine Anpassung ist frühestens zum Ablauf der Mindestlaufzeit und danach höchstens einmal je Kalenderjahr zulässig. Der Anbieter kündigt sie dem Kunden mindestens acht Wochen vor ihrem Wirksamwerden in Textform an und erläutert die Gründe.

(3) Übersteigt eine Erhöhung 5 % je Kalenderjahr, ist der Kunde berechtigt, den Vertrag innerhalb von vier Wochen nach Zugang der Ankündigung mit Wirkung zum Zeitpunkt des Wirksamwerdens der Erhöhung zu kündigen. Der Anbieter weist in der Ankündigung auf dieses Recht hin.

(4) Änderungen der gesetzlichen Umsatzsteuer gibt der Anbieter ohne Ankündigung und ohne Kündigungsrecht an den Kunden weiter.

§ 23 Aufrechnung und Zurückbehaltung

(1) Der Kunde kann nur mit Forderungen aufrechnen, die unbestritten, rechtskräftig festgestellt oder entscheidungsreif sind oder die im Gegenseitigkeitsverhältnis zur Forderung des Anbieters stehen.

(2) Ein Zurückbehaltungsrecht kann der Kunde nur wegen Gegenansprüchen aus demselben Vertragsverhältnis geltend machen.

Teil E – Daten, Vertraulichkeit und Sicherheit

§ 24 Datenschutz und Auftragsverarbeitung

(1) Die Parteien beachten die jeweils für sie geltenden datenschutzrechtlichen Vorschriften, insbesondere die Verordnung (EU) 2016/679 (DSGVO), das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

(2) Soweit der Anbieter bei der Erbringung des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der Vertrag zur Auftragsverarbeitung in Anlage 5 mit den technischen und organisatorischen Maßnahmen in Anlage 6 und dem Verzeichnis der Unterauftragsverarbeiter in Anlage 7. Der Vertrag zur Auftragsverarbeitung wird mit dem Hauptvertrag geschlossen, ohne dass es einer gesonderten Unterzeichnung bedarf; auf Wunsch des Kunden stellt der Anbieter eine gesonderte Ausfertigung bereit.

(3) Soweit der Anbieter personenbezogene Daten in eigener Verantwortung verarbeitet – insbesondere Daten der Ansprechpartner des Kunden zur Vertragsdurchführung und Abrechnung, Anmelde- und Sicherheitsprotokolle sowie Daten der Besucher der Website –, gilt die Datenschutzerklärung des Anbieters in ihrer jeweils aktuellen Fassung.

(4) Der Kunde unterrichtet seine Benutzer in geeigneter Weise darüber, dass und in welchem Umfang der Anbieter ihre Daten verarbeitet. Der Anbieter stellt hierfür in der Datenschutzerklärung die erforderlichen Angaben bereit.

§ 25 Vertraulichkeit

(1) Vertrauliche Informationen sind alle Informationen einer Partei, die als vertraulich gekennzeichnet sind oder deren Vertraulichkeit sich aus den Umständen ergibt, unabhängig von der Form ihrer Mitteilung. Hierzu zählen insbesondere die Kundendaten, die Preise und Konditionen des Vertrags, nicht öffentliche Angaben zur technischen Funktionsweise und zur Sicherheit des Dienstes sowie Geschäftsgeheimnisse im Sinne des § 2 Nr. 1 GeschGehG.

(2) Jede Partei verpflichtet sich, vertrauliche Informationen der anderen Partei geheim zu halten, sie nur für die Zwecke des Vertrags zu verwenden, sie durch angemessene Maßnahmen vor dem Zugriff Unbefugter zu schützen und sie nur solchen Beschäftigten, Beratern und Erfüllungsgehilfen zugänglich zu machen, die sie für die Zwecke des Vertrags kennen müssen und die ihrerseits zur Vertraulichkeit verpflichtet sind.

(3) Die Verpflichtung gilt nicht für Informationen, die

• der empfangenden Partei bei Mitteilung bereits ohne Verpflichtung zur Vertraulichkeit bekannt waren,
• ohne Verstoß gegen diese Vereinbarung öffentlich bekannt sind oder werden,
• die empfangende Partei rechtmäßig von einem Dritten ohne Verpflichtung zur Vertraulichkeit erhält,
• die empfangende Partei unabhängig und ohne Rückgriff auf vertrauliche Informationen der anderen Partei entwickelt hat.

Die Beweislast für das Vorliegen einer Ausnahme trägt die Partei, die sich darauf beruft.

(4) Ist eine Partei aufgrund gesetzlicher Vorschriften oder aufgrund einer gerichtlichen oder behördlichen Anordnung zur Offenlegung verpflichtet, unterrichtet sie die andere Partei, soweit rechtlich zulässig, unverzüglich und beschränkt die Offenlegung auf das Erforderliche.

(5) Die Verpflichtung zur Vertraulichkeit besteht für die Dauer des Vertrags und für fünf Jahre nach seiner Beendigung fort; für Geschäftsgeheimnisse gilt sie, solange diese als solche geschützt sind. Gesetzliche Verschwiegenheitspflichten und die Vorschriften über den Schutz personenbezogener Daten bleiben unberührt.

§ 26 Datensicherheit

(1) Der Anbieter trifft technische und organisatorische Maßnahmen, die dem Stand der Technik entsprechen und unter Berücksichtigung der Art, des Umfangs und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken ein angemessenes Schutzniveau gewährleisten. Die Maßnahmen sind in Anlage 6 beschrieben.

(2) Zu den Maßnahmen gehören insbesondere die Verschlüsselung der Übertragung, die logische Trennung der Mandanten auf Ebene der Datenbank, ein Rollen- und Rechtekonzept, die Protokollierung sicherheitsrelevanter Vorgänge, die regelmäßige Datensicherung und der Betrieb in Rechenzentren innerhalb der Europäischen Union.

(3) Der Anbieter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau insgesamt nicht unterschritten wird.

(4) Der Anbieter unterrichtet den Kunden unverzüglich, wenn ihm eine Verletzung der Sicherheit bekannt wird, die Kundendaten betrifft. Für Verletzungen des Schutzes personenbezogener Daten gilt Anlage 5.

(5) Der Kunde trägt in seinem Verantwortungsbereich zur Sicherheit bei, insbesondere durch sichere Endgeräte, aktuelle Browser, den sorgfältigen Umgang mit Zugangsdaten und eine sachgerechte Vergabe von Berechtigungen.

§ 27 Protokollierung

(1) Der Dienst protokolliert Vorgänge, die für die Nachvollziehbarkeit von Änderungen und für die Sicherheit bedeutsam sind, insbesondere Anmeldungen und Anmeldeversuche, Änderungen an Benutzern, Rollen und Sicherheitseinstellungen sowie fachliche Buchungen und Änderungen. Die Protokolle stehen dem Kunden, soweit sie seinen Mandanten betreffen, in der Anwendung zur Einsicht zur Verfügung.

(2) Zugriffe des Anbieters auf den Mandanten des Kunden im Rahmen des Supports werden gesondert protokolliert und sind für den Kunden als solche erkennbar.

(3) Protokolle über fachliche Buchungen sind Bestandteil der Nachvollziehbarkeit der Geschäftsvorfälle und können nicht nachträglich geändert werden.

§ 28 Rechte an Kundendaten, Datenexport

(1) Im Verhältnis der Parteien stehen sämtliche Rechte an den Kundendaten dem Kunden zu. Der Anbieter macht an den Kundendaten kein Zurückbehaltungsrecht geltend.

(2) Der Kunde kann seine Kundendaten während der Vertragslaufzeit jederzeit selbst über die Exportfunktionen der Software in gängigen, maschinenlesbaren Formaten (insbesondere CSV und PDF) abrufen. Soweit die Exportfunktionen einzelne Datenbestände nicht abdecken, stellt der Anbieter diese auf Anforderung in einem gängigen Format bereit; er kann hierfür eine aufwandsabhängige Vergütung verlangen, wenn die Anforderung über das bei Vertragsende Übliche hinausgeht.

(3) Der Kunde ist dafür verantwortlich, exportierte Daten in eigenen Systemen sicher aufzubewahren.

§ 29 Auswertung von Nutzungsdaten

(1) Der Anbieter ist berechtigt, Daten über die Nutzung des Dienstes in zusammengefasster, nicht auf einzelne Personen oder einzelne Kunden beziehbarer Form auszuwerten, um den Dienst zu betreiben, abzusichern, zu verbessern und weiterzuentwickeln sowie für statistische Zwecke.

(2) Eine Auswertung des Bedienverhaltens einzelner Benutzer zur Verbesserung der Anwendung erfolgt nur, soweit der jeweilige Benutzer hierin eingewilligt hat. Einzelheiten ergeben sich aus der Datenschutzerklärung.

(3) Der Anbieter verwendet Kundendaten nicht, um Modelle der künstlichen Intelligenz zu trainieren, und gibt Kundendaten nicht zu Werbezwecken an Dritte weiter.

Teil F – Leistungsstörungen und Haftung

§ 30 Mängelrechte

(1) Der Anbieter gewährleistet, dass der Dienst während der Vertragslaufzeit die vereinbarte Beschaffenheit aufweist und der vertragsgemäßen Nutzung keine Rechte Dritter entgegenstehen. Ein Mangel liegt nicht vor bei nur unerheblichen Abweichungen von der vereinbarten Beschaffenheit, bei nur unerheblicher Beeinträchtigung der Gebrauchstauglichkeit sowie bei Beeinträchtigungen, die auf Umständen aus dem Verantwortungsbereich des Kunden, auf Drittdiensten nach § 13 oder auf höherer Gewalt beruhen.

(2) Der Kunde zeigt Mängel unverzüglich nach § 9 Abs. 2 an. Unterlässt er die Anzeige, ist er insoweit nicht berechtigt, die Vergütung zu mindern, Schadensersatz zu verlangen oder den Vertrag wegen des Mangels außerordentlich zu kündigen, als der Anbieter infolge der unterlassenen Anzeige keine Abhilfe schaffen konnte.

(3) Der Anbieter beseitigt Mängel innerhalb angemessener Frist nach seiner Wahl durch Behebung, durch Bereitstellung einer neuen Fassung oder durch eine dem Kunden zumutbare Umgehungslösung.

(4) Die verschuldensunabhängige Haftung des Anbieters für Mängel, die bereits bei Vertragsschluss vorhanden waren (§ 536a Abs. 1 Alt. 1 BGB), ist ausgeschlossen.

(5) Eine Minderung der laufenden Vergütung setzt voraus, dass die Tauglichkeit des Dienstes zum vertragsgemäßen Gebrauch nicht nur unerheblich gemindert ist. Der Kunde ist nicht berechtigt, eine Minderung durch Abzug von der laufenden Vergütung durchzusetzen; sein Anspruch auf Rückforderung zu viel gezahlter Vergütung bleibt unberührt. Bei Unterschreitung der vereinbarten Verfügbarkeit gelten vorrangig die Gutschriften nach Anlage 2; sie werden auf weitergehende Minderungs- und Schadensersatzansprüche wegen desselben Umstands angerechnet.

(6) Das Recht des Kunden zur außerordentlichen Kündigung wegen Nichtgewährung des vertragsgemäßen Gebrauchs (§ 543 Abs. 2 Satz 1 Nr. 1 BGB) besteht erst, wenn der Anbieter den Mangel nicht innerhalb einer vom Kunden in Textform gesetzten angemessenen Frist beseitigt hat oder die Beseitigung als fehlgeschlagen anzusehen ist.

(7) Das Recht des Kunden, Mängel selbst zu beseitigen und Ersatz der hierfür erforderlichen Aufwendungen zu verlangen (§ 536a Abs. 2 BGB), ist ausgeschlossen, soweit hierfür ein Eingriff in die Software oder die Systeme des Anbieters erforderlich wäre.

(8) Für Schadens- und Aufwendungsersatzansprüche wegen Mängeln gilt § 32.

(9) Für Zusatzleistungen, die als Dienstleistungen erbracht werden, gelten die gesetzlichen Vorschriften des Dienstvertragsrechts. Soweit im Einzelfall ein Werk geschuldet ist, gelten die §§ 633 ff. BGB mit der Maßgabe, dass Mängelansprüche in einem Jahr ab Abnahme verjähren; dies gilt nicht in den Fällen des § 32 Abs. 1.

§ 31 Rechte Dritter

(1) Macht ein Dritter gegenüber dem Kunden geltend, die vertragsgemäße Nutzung des Dienstes verletze seine gewerblichen Schutzrechte oder Urheberrechte, unterrichtet der Kunde den Anbieter unverzüglich in Textform. Der Kunde erkennt die behauptete Rechtsverletzung nicht an und überlässt dem Anbieter auf dessen Verlangen die Verteidigung einschließlich des Abschlusses von Vergleichen; er unterstützt den Anbieter hierbei in zumutbarem Umfang.

(2) Unter den Voraussetzungen des Absatzes 1 stellt der Anbieter den Kunden von den rechtskräftig festgestellten oder vom Anbieter anerkannten Ansprüchen des Dritten frei und trägt die Kosten der Rechtsverteidigung in angemessenem Umfang. Für Schadensersatz gilt § 32.

(3) Der Anbieter kann nach seiner Wahl dem Kunden das Recht zur weiteren Nutzung verschaffen, den Dienst so ändern, dass er Rechte Dritter nicht mehr verletzt, oder, wenn beides mit zumutbarem Aufwand nicht möglich ist, den Vertrag hinsichtlich des betroffenen Teils außerordentlich kündigen und im Voraus gezahlte Vergütung anteilig erstatten.

(4) Ansprüche des Kunden bestehen nicht, soweit die Rechtsverletzung auf Kundendaten, auf Vorgaben des Kunden, auf einer nicht vertragsgemäßen Nutzung oder auf der Verbindung des Dienstes mit nicht vom Anbieter bereitgestellten Programmen oder Daten beruht.

§ 32 Haftung

(1) Der Anbieter haftet unbeschränkt

• für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, die auf einer vorsätzlichen oder fahrlässigen Pflichtverletzung des Anbieters, seiner gesetzlichen Vertreter oder Erfüllungsgehilfen beruhen,
• für Schäden, die auf Vorsatz oder grober Fahrlässigkeit des Anbieters, seiner gesetzlichen Vertreter oder Erfüllungsgehilfen beruhen,
• im Umfang einer vom Anbieter übernommenen Garantie,
• bei arglistigem Verschweigen eines Mangels,
• nach dem Produkthaftungsgesetz.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht ist die Haftung des Anbieters auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf.

(3) Die Parteien gehen übereinstimmend davon aus, dass der vorhersehbare, vertragstypische Schaden im Sinne des Absatzes 2 je Schadensfall und für alle Schadensfälle eines Vertragsjahres insgesamt folgenden Betrag nicht übersteigt: die vom Kunden in den zwölf Monaten vor dem schädigenden Ereignis gezahlte Nettovergütung, mindestens jedoch 10.000 Euro.

(4) Im Übrigen ist die Haftung des Anbieters für leichte Fahrlässigkeit ausgeschlossen.

(5) Für den Verlust von Daten haftet der Anbieter im Rahmen der vorstehenden Absätze nur in Höhe des Aufwands, der zur Wiederherstellung erforderlich ist, wenn der Kunde die ihm nach § 11 Abs. 3 obliegenden Exporte in angemessenen Abständen vorgenommen hat. Die Pflicht des Anbieters zur Datensicherung nach § 11 Abs. 1 bleibt unberührt.

(6) Der Anbieter haftet nicht für Schäden, die darauf beruhen, dass der Kunde Ergebnisse der Software entgegen § 15 Abs. 2 ungeprüft verwendet hat, soweit der Schaden bei gebotener Prüfung vermieden worden wäre. § 254 BGB bleibt unberührt.

(7) Soweit die Haftung des Anbieters ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung seiner gesetzlichen Vertreter, Beschäftigten und Erfüllungsgehilfen.

(8) Schadensersatzansprüche des Kunden verjähren, außer in den Fällen des Absatzes 1, in einem Jahr ab dem Zeitpunkt, in dem der Kunde von den anspruchsbegründenden Umständen Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen, spätestens jedoch drei Jahre nach dem schädigenden Ereignis.

(9) Die vorstehenden Regelungen gelten für alle Schadens- und Aufwendungsersatzansprüche gleich aus welchem Rechtsgrund, insbesondere auch für Ansprüche aus unerlaubter Handlung. Die datenschutzrechtliche Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt; für den Ausgleich im Innenverhältnis gelten die vorstehenden Absätze.

§ 33 Höhere Gewalt

(1) Keine Partei haftet für die Nichterfüllung oder verspätete Erfüllung ihrer Pflichten, soweit diese auf Umständen beruht, die außerhalb ihres zumutbaren Einflussbereichs liegen und die sie auch bei Anwendung der gebotenen Sorgfalt nicht vermeiden konnte. Hierzu zählen insbesondere Naturereignisse, Brand, Krieg, Terror, Pandemien, behördliche Anordnungen, Arbeitskämpfe bei Dritten, großflächige Ausfälle von Strom- oder Telekommunikationsnetzen sowie Angriffe auf informationstechnische Systeme, soweit die betroffene Partei die dem Stand der Technik entsprechenden Schutzmaßnahmen getroffen hat.

(2) Die betroffene Partei unterrichtet die andere Partei unverzüglich über Eintritt und voraussichtliche Dauer des Hindernisses und bemüht sich nach Kräften, dessen Auswirkungen zu begrenzen.

(3) Dauert das Hindernis länger als 60 Tage an, ist jede Partei berechtigt, den Vertrag hinsichtlich der betroffenen Leistungen außerordentlich zu kündigen. Im Voraus gezahlte Vergütung für nicht erbrachte Leistungen erstattet der Anbieter anteilig.

Teil G – Laufzeit und Beendigung

§ 34 Laufzeit und ordentliche Kündigung

(1) Der Vertrag beginnt mit dem im Leistungsschein genannten Datum, ersatzweise mit der Freischaltung des Mandanten für den Produktivbetrieb. Soweit im Leistungsschein nichts anderes bestimmt ist, hat er eine Mindestlaufzeit von 12 Monate.

(2) Der Vertrag verlängert sich jeweils um 12 Monate, wenn er nicht von einer Partei mit einer Frist von drei Monaten zum Ende der jeweiligen Laufzeit gekündigt wird.

(3) Die Kündigung einzelner hinzugebuchter Bereiche ist mit derselben Frist zum Ende der jeweiligen Laufzeit möglich; der Vertrag im Übrigen bleibt unberührt.

(4) Jede Kündigung bedarf der Textform. Der Kunde kann die Kündigung auch durch einen Administrator über eine in der Anwendung hierfür bereitgestellte Funktion erklären, soweit eine solche vorhanden ist.

§ 35 Außerordentliche Kündigung

(1) Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(2) Ein wichtiger Grund liegt für den Anbieter insbesondere vor, wenn

• der Kunde für zwei aufeinanderfolgende Abrechnungszeiträume mit der Zahlung der Vergütung oder eines nicht unerheblichen Teils davon in Verzug ist oder in einem Zeitraum, der sich über mehr als zwei Abrechnungszeiträume erstreckt, mit einem Betrag in Verzug ist, der die Vergütung für zwei Monate erreicht,
• der Kunde trotz Abmahnung in Textform wiederholt oder schwerwiegend gegen § 7, § 17 oder § 18 verstößt,
• über das Vermögen des Kunden die Eröffnung eines Insolvenzverfahrens mangels Masse abgelehnt wird; § 119 InsO bleibt unberührt.

(3) Ein wichtiger Grund liegt für den Kunden insbesondere vor, wenn der Anbieter die vereinbarte Verfügbarkeit in drei aufeinanderfolgenden Kalendermonaten oder in vier Kalendermonaten innerhalb eines Vertragsjahres um mehr als fünf Prozentpunkte unterschreitet.

(4) Besteht der wichtige Grund in der Verletzung einer vertraglichen Pflicht, ist die Kündigung erst nach erfolglosem Ablauf einer zur Abhilfe bestimmten angemessenen Frist oder nach erfolgloser Abmahnung zulässig, soweit nicht nach § 323 Abs. 2 BGB eine Fristsetzung entbehrlich ist.

(5) Kündigt der Anbieter aus einem vom Kunden zu vertretenden wichtigen Grund, schuldet der Kunde als pauschalierten Schadensersatz 50 % der Vergütung, die bis zum nächstmöglichen ordentlichen Beendigungstermin angefallen wäre. Dem Kunden bleibt der Nachweis vorbehalten, dass ein Schaden nicht oder nur in wesentlich geringerer Höhe entstanden ist; dem Anbieter bleibt der Nachweis eines höheren Schadens vorbehalten.

§ 36 Folgen der Beendigung

(1) Mit Beendigung des Vertrags enden die Nutzungsrechte des Kunden nach § 7. Der Anbieter sperrt den Zugang der Benutzer zum Dienst mit Ausnahme des Zugangs der Administratoren zum Zweck des Datenexports.

(2) Der Kunde kann seine Kundendaten innerhalb von 30 Tagen nach Beendigung des Vertrags über die Exportfunktionen der Software abrufen. Auf Anforderung innerhalb dieser Frist stellt der Anbieter die Kundendaten einmalig in einem gängigen maschinenlesbaren Format bereit.

(3) Nach Ablauf der Frist des Absatzes 2 löscht der Anbieter die Kundendaten im Produktivsystem innerhalb von 60 Tagen nach Vertragsende. In Datensicherungen enthaltene Kundendaten werden mit Ablauf der regulären Aufbewahrungsdauer der jeweiligen Sicherung überschrieben; bis dahin sind sie für den laufenden Betrieb gesperrt. Auf Wunsch bestätigt der Anbieter die Löschung in Textform.

(4) Von der Löschung ausgenommen sind Daten, zu deren Aufbewahrung der Anbieter gesetzlich verpflichtet ist, insbesondere Abrechnungsunterlagen, sowie Daten, die der Anbieter zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Diese Daten werden für andere Zwecke gesperrt.

(5) Unterstützung bei der Überführung der Kundendaten in ein anderes System, die über die Bereitstellung nach Absatz 2 hinausgeht, erbringt der Anbieter auf Wunsch des Kunden als Zusatzleistung zu den jeweils gültigen Stundensätzen.

(6) Bestimmungen, die ihrem Sinn nach über die Beendigung des Vertrags hinaus gelten sollen, bleiben auch nach Beendigung wirksam. Das gilt insbesondere für die §§ 18 Abs. 6, 25, 32, 42 und für Anlage 5, solange der Anbieter noch personenbezogene Daten des Kunden verarbeitet.

Teil H – Schlussbestimmungen

§ 37 Änderungen dieser AGB

(1) Der Anbieter ist berechtigt, diese AGB mit Wirkung für die Zukunft zu ändern, soweit dies aus triftigem Grund erforderlich ist, insbesondere wegen einer Änderung der Rechtslage, der höchstrichterlichen Rechtsprechung, der Marktgegebenheiten oder des Leistungsangebots, und soweit die Änderung den Kunden nicht entgegen Treu und Glauben unangemessen benachteiligt. Änderungen der Hauptleistungspflichten, die das Verhältnis von Leistung und Gegenleistung zum Nachteil des Kunden verschieben, sind auf diesem Weg nicht zulässig; für Preisanpassungen gilt § 22, für Leistungsänderungen § 10.

(2) Der Anbieter teilt dem Kunden die geänderten Bedingungen mindestens sechs Wochen vor dem geplanten Wirksamwerden in Textform mit und hebt die Änderungen hervor.

(3) Die Änderungen gelten als genehmigt, wenn der Kunde ihnen nicht bis zum Zeitpunkt des geplanten Wirksamwerdens in Textform widerspricht. Der Anbieter weist den Kunden in der Mitteilung auf diese Wirkung und auf das Widerspruchsrecht besonders hin.

(4) Widerspricht der Kunde, gelten die bisherigen Bedingungen fort. Der Anbieter ist in diesem Fall berechtigt, den Vertrag mit einer Frist von drei Monaten zum Ende eines Kalendermonats zu kündigen, wenn ihm die Fortsetzung zu den bisherigen Bedingungen nicht zumutbar ist.

§ 38 Referenznennung

Der Anbieter darf den Kunden nur mit dessen vorheriger Zustimmung in Textform als Referenz nennen und dessen Firma und Kennzeichen hierfür verwenden. Der Kunde kann die Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen. Erfahrungsberichte, Zitate und Zahlen aus dem Betrieb des Kunden veröffentlicht der Anbieter nur nach ausdrücklicher Freigabe des jeweiligen Wortlauts.

§ 39 Abtretung und Vertragsübernahme

(1) Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit vorheriger Zustimmung des Anbieters in Textform auf Dritte übertragen. § 354a HGB bleibt unberührt. Der Anbieter wird die Zustimmung nicht unbillig verweigern, insbesondere nicht bei einer Übertragung im Rahmen einer Unternehmensnachfolge.

(2) Der Anbieter ist berechtigt, den Vertrag im Ganzen auf ein mit ihm verbundenes Unternehmen oder auf einen Rechtsnachfolger zu übertragen, der den Geschäftsbetrieb fortführt. Er zeigt dem Kunden die Übertragung mindestens sechs Wochen im Voraus an. Der Kunde ist in diesem Fall berechtigt, den Vertrag mit Wirkung zum Zeitpunkt der Übertragung zu kündigen, wenn ihm die Fortsetzung mit dem Übernehmer nicht zumutbar ist.

§ 40 Regeltreue, Ausfuhr und Sanktionen

(1) Beide Parteien halten bei der Durchführung des Vertrags die für sie geltenden Gesetze ein, insbesondere die Vorschriften zur Bekämpfung von Korruption und Geldwäsche, zum Mindestlohn und zum Schutz der Menschenrechte in Lieferketten, soweit sie auf sie anwendbar sind.

(2) Der Kunde nutzt den Dienst nicht unter Verstoß gegen Ausfuhr- oder Sanktionsvorschriften der Europäischen Union oder der Bundesrepublik Deutschland und gewährt keinen Personen Zugang, die in einschlägigen Sanktionslisten geführt werden.

(3) Erhält eine Partei Kenntnis von einem Verstoß der anderen Partei gegen Absatz 1 oder 2, der die Durchführung des Vertrags berührt, kann sie Auskunft und Abhilfe verlangen.

§ 41 Mitteilungen und Form

(1) Erklärungen und Mitteilungen im Rahmen des Vertrags bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Der Anbieter darf Mitteilungen an die vom Kunden zuletzt benannte E-Mail-Adresse richten sowie über die Mitteilungsfunktion der Anwendung an die Administratoren des Kunden.

(2) Der Kunde hält seine Kontaktdaten, insbesondere die E-Mail-Adresse für Vertrags- und Rechnungsmitteilungen sowie die Angaben zu seinen Ansprechpartnern, aktuell.

(3) Änderungen und Ergänzungen des Vertrags einschließlich dieser Klausel bedürfen der Textform. Der Vorrang individueller Vereinbarungen nach § 305b BGB bleibt unberührt.

§ 42 Anwendbares Recht und Gerichtsstand

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG) und der Verweisungsnormen des internationalen Privatrechts.

(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertrag der Sitz des Anbieters. Dasselbe gilt, wenn der Kunde keinen allgemeinen Gerichtsstand in Deutschland hat. Der Anbieter ist berechtigt, auch am allgemeinen Gerichtsstand des Kunden zu klagen. Zwingende gesetzliche Bestimmungen über ausschließliche Gerichtsstände bleiben unberührt.

(3) Erfüllungsort für Zahlungen ist der Sitz des Anbieters.

(4) Der Anbieter ist nicht bereit und nicht verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen; das Angebot richtet sich ausschließlich an Unternehmer.

§ 43 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen des Vertrags ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Soweit Bestimmungen nicht Vertragsbestandteil geworden oder unwirksam sind, richtet sich der Inhalt des Vertrags nach den gesetzlichen Vorschriften (§ 306 Abs. 2 BGB).

(2) Der Vertrag enthält alle Vereinbarungen der Parteien über seinen Gegenstand. Mündliche Nebenabreden bestehen bei Vertragsschluss nicht.

(3) Die Vertragssprache ist Deutsch. Übersetzungen dienen nur dem Verständnis; maßgeblich ist die deutsche Fassung.

(4) Die Überschriften in diesen AGB dienen nur der Übersicht und sind für die Auslegung ohne Bedeutung.

Anlage 1 – Leistungsbeschreibung

1. Gegenstand

„ERP Holzbau“ ist eine Anwendung zur Organisation von Holzbaubetrieben – Zimmereien, Betrieben des Holzrahmen- und Elementbaus, des Ingenieurholzbaus und der Sanierung. Sie führt Material, Geräte, Fahrzeuge, Baustellen, Personal und kaufmännische Belege in einer gemeinsamen Datenbasis. Die Anwendung wird im Browser bedient und ist für Handy, Tablet und PC ausgelegt.

Maßgeblich für den geschuldeten Umfang sind die im Leistungsschein vereinbarten Bereiche in der jeweils bereitgestellten Fassung. Die nachstehende Beschreibung gibt den Stand bei Veröffentlichung dieser Fassung wieder; Einzelheiten der Bedienung ergeben sich aus der Dokumentation.

2. Bereiche

Unabhängig von den gebuchten Bereichen stehen zur Verfügung: Stammdaten, Firmenprofil, Benutzerverwaltung mit Rollen und Rechten, Einladungen, Sitzungsübersicht, Sicherheitseinstellungen, Änderungsprotokoll, Meldungen, Suche und Export von Tabellen.

3. Ausdrücklich nicht geschuldet

Nicht Gegenstand der Leistung sind insbesondere

• Konstruktion, Statik, Abbund und die Ansteuerung von Maschinen,
• Finanzbuchhaltung, Lohn- und Gehaltsabrechnung sowie die Übermittlung an Finanzbehörden und Sozialversicherungsträger,
• die Erzeugung strukturierter elektronischer Rechnungen nach EN 16931, soweit die Dokumentation dies nicht ausdrücklich als Funktion ausweist; die Anwendung erzeugt Rechnungen als PDF,
• eine Zeiterfassung mit Beginn und Ende des einzelnen Arbeitstags, soweit die Dokumentation dies nicht ausdrücklich ausweist; erfasst werden Stunden je Tag,
• die Ortung von Personen oder Fahrzeugen im Hintergrund oder über eigene Ortungsgeräte; Standorte entstehen nur über den Browser bei geöffneter Anwendung und erteilter Einwilligung,
• rechtliche, steuerliche oder sicherheitstechnische Prüfungen.

4. Sprache und Dokumentation

Die Anwendung und die Dokumentation stehen in deutscher Sprache zur Verfügung.

Anlage 2 – Verfügbarkeit und Wartung

1. Zugesagte Verfügbarkeit

Der Anbieter stellt den Dienst am Übergabepunkt mit einer Verfügbarkeit von 99,0 % im Kalendermonat bereit.

2. Berechnung

(1) Die Verfügbarkeit berechnet sich als Verhältnis der Zeit, in der der Dienst im Messzeitraum verfügbar war, zur Gesamtzeit des Messzeitraums abzüglich der nach Ziffer 3 ausgenommenen Zeiten.

(2) Der Dienst gilt als verfügbar, wenn die Anmeldung möglich ist und die wesentlichen Funktionen der gebuchten Bereiche genutzt werden können. Die Beeinträchtigung einzelner Funktionen ohne wesentliche Bedeutung für den Betriebsablauf sowie Ausfälle von Drittdiensten nach § 13 der AGB mindern die Verfügbarkeit nicht.

(3) Maßgeblich sind die Messungen des Anbieters. Dem Kunden bleibt der Nachweis abweichender Werte vorbehalten.

3. Ausgenommene Zeiten

Bei der Berechnung bleiben außer Betracht

• angekündigte Wartungsarbeiten nach Ziffer 4 bis zu einer Dauer von insgesamt acht Stunden je Kalendermonat,
• Unterbrechungen, die erforderlich sind, um eine unmittelbare Gefahr für die Sicherheit des Dienstes oder der Kundendaten abzuwenden,
• Zeiten, in denen der Dienst aufgrund von Umständen nicht erreichbar ist, die außerhalb des Einflussbereichs des Anbieters liegen, insbesondere höhere Gewalt, Störungen des Internets außerhalb des vom Anbieter genutzten Rechenzentrums und Angriffe, die trotz dem Stand der Technik entsprechender Schutzmaßnahmen nicht abgewehrt werden konnten,
• Zeiten, in denen der Dienst aufgrund von Umständen aus dem Verantwortungsbereich des Kunden nicht genutzt werden kann,
• Sperrungen nach § 19 der AGB.

4. Wartung

(1) Planbare Wartungsarbeiten, die den Dienst unterbrechen, führt der Anbieter nach Möglichkeit werktags zwischen 20:00 und 06:00 Uhr sowie an Wochenenden durch.

(2) Der Anbieter kündigt solche Wartungsarbeiten mindestens drei Werktage im Voraus durch einen Hinweis in der Anwendung oder per E-Mail an die Administratoren an. Arbeiten, die den Dienst voraussichtlich nicht länger als fünf Minuten unterbrechen, bedürfen keiner Ankündigung.

(3) Aktualisierungen der Software werden in der Regel ohne Unterbrechung eingespielt. Nach einer Aktualisierung kann es erforderlich sein, die Anwendung im Browser neu zu laden.

5. Gutschriften

(1) Unterschreitet der Anbieter die zugesagte Verfügbarkeit in einem Kalendermonat, erhält der Kunde auf Antrag eine Gutschrift auf die laufende Vergütung der betroffenen Bereiche für diesen Monat:

(2) Der Antrag ist innerhalb von 30 Tagen nach Ablauf des betroffenen Kalendermonats in Textform zu stellen. Die Gutschrift wird mit der nächsten Rechnung verrechnet; bei Vertragsende wird sie ausgezahlt.

(3) Weitergehende gesetzliche Rechte des Kunden bleiben nach Maßgabe von § 30 Abs. 5 und § 32 der AGB unberührt.

Die Werte dieser Anlage sind Vorschläge und vom Betreiber vor Verwendung festzulegen. Hinweis: Die Datenbank wird derzeit ohne Hochverfügbarkeit (ein Knoten) betrieben; die Zusage sollte dazu passen.

Anlage 3 – Support

1. Erreichbarkeit

(1) Der Support ist montags bis freitags von 08:00 bis 17:00 Uhr (ausgenommen bundeseinheitliche gesetzliche Feiertage) erreichbar. Anfragen können per E-Mail an die im Leistungsschein genannte Adresse oder über eine in der Anwendung bereitgestellte Funktion gestellt werden.

(2) Anfragen außerhalb der Supportzeiten gelten als zu Beginn der nächsten Supportzeit eingegangen.

2. Fehlerklassen und Reaktionszeiten

(1) Reaktionszeit ist die Zeit zwischen dem Eingang der ordnungsgemäßen Meldung und der ersten fachlichen Rückmeldung des Anbieters.

(2) Der Anbieter bearbeitet Störungen der Klasse 1 vorrangig und ohne Unterbrechung innerhalb der Supportzeiten bis zur Wiederherstellung oder Bereitstellung einer Umgehungslösung und unterrichtet den Kunden regelmäßig über den Stand.

(3) Wünsche zur Weiterentwicklung sind keine Störungen. Der Anbieter nimmt sie entgegen; ein Anspruch auf Umsetzung besteht nicht.

3. Unterstützungssitzungen

(1) Mit Zustimmung des Kunden kann der Support eine zeitlich begrenzte Unterstützungssitzung im Mandanten des Kunden öffnen. Die Sitzung läuft mit den Rechten eines vom Kunden bestimmten Benutzers, dauert höchstens 120 Minuten, erfordert die Angabe eines Grundes, ist in der Anwendung für alle Benutzer erkennbar gekennzeichnet und wird im Anmelde- und Änderungsprotokoll des Mandanten ausgewiesen.

(2) Die Zustimmung kann für die einzelne Anfrage oder allgemein mindestens in Textform erteilt und jederzeit widerrufen werden.

4. Mitwirkung

Der Kunde benennt höchstens drei Ansprechpartner, die Anfragen bündeln, vor der Meldung prüfen, ob die Störung im eigenen Verantwortungsbereich liegt, und dem Support die zur Bearbeitung erforderlichen Angaben machen.

Supportzeiten und Reaktionszeiten sind Vorschläge und vom Betreiber vor Verwendung festzulegen.

Anlage 4 – Systemvoraussetzungen

1. Endgeräte und Browser

(1) Die Anwendung setzt einen aktuellen Browser voraus. Unterstützt werden die jeweils aktuelle und die unmittelbar vorhergehende Hauptversion von Google Chrome, Microsoft Edge, Mozilla Firefox und Apple Safari auf den vom jeweiligen Hersteller unterstützten Betriebssystemen.

(2) Im Browser müssen JavaScript, Cookies und der lokale Speicher für die Adresse der Anwendung zugelassen sein. Erweiterungen, die Inhalte blockieren, können die Funktion beeinträchtigen.

(3) Für das Scannen von Codes und die Aufnahme von Fotos ist ein Endgerät mit Kamera erforderlich; der Browser muss den Zugriff auf die Kamera erlauben. Für die Erfassung von Standorten muss der Browser den Zugriff auf den Standort erlauben.

(4) Empfohlen wird eine Bildschirmbreite von mindestens 360 Bildpunkten auf dem Handy und 1.280 Bildpunkten am Arbeitsplatz.

2. Netzverbindung

Die Nutzung setzt eine bestehende Internetverbindung voraus. Eine Nutzung ohne Verbindung ist nicht vorgesehen; bereits geladene Ansichten können aus dem Zwischenspeicher angezeigt werden, Buchungen sind ohne Verbindung nicht möglich. Auf Baustellen mit unzureichender Mobilfunkversorgung ist die Nutzung eingeschränkt.

3. Etiketten und Druck

Etiketten und Belege werden als PDF erzeugt und über die Druckfunktion des Endgeräts ausgegeben. Etikettendrucker und Verbrauchsmaterial beschafft der Kunde selbst.

4. E-Mail

Für Einladungen, Benachrichtigungen und den Versand von Belegen muss der Kunde sicherstellen, dass E-Mails des Anbieters bei seinen Benutzern zugestellt und nicht als unerwünscht aussortiert werden.

5. Sicherheit der Endgeräte

Der Kunde hält Betriebssysteme und Browser der eingesetzten Endgeräte auf aktuellem Stand, schützt die Endgeräte durch eine Bildschirmsperre und setzt auf gemeinsam genutzten Geräten keine gespeicherten Anmeldungen ein.

Anlage 5 – Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und dem Anbieter als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

1. Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung des Dienstes „ERP Holzbau“ nach dem Hauptvertrag. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien.

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Dieser Vertrag gilt darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet oder in seinem Besitz hat.

2. Art, Umfang und Zweck der Verarbeitung

(1) Zweck der Verarbeitung ist die Bereitstellung des Dienstes: Speicherung, Anzeige, Auswertung und Sicherung der vom Auftraggeber und seinen Benutzern eingegebenen Daten, Versand von Nachrichten im Namen des Auftraggebers, Betrieb, Wartung und Support.

(2) Die Verarbeitung umfasst das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln nach Weisung, Abgleichen, Einschränken, Löschen und Vernichten von Daten.

(3) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nach Ziffer 8. Für die in Ziffer 8 Abs. 6 genannten Geodienste gilt die dortige Regelung.

3. Arten der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten sind nicht Gegenstand des Auftrags, mit Ausnahme mittelbarer Angaben zur Gesundheit, die sich aus der Zeitart „Krankheit“ oder aus einzelnen Qualifikationsnachweisen ergeben können. Im Übrigen gilt § 18 Abs. 4 der AGB.

4. Weisungen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen sind durch den Hauptvertrag, diesen Vertrag und die Einstellungen festgelegt, die der Auftraggeber und seine Administratoren in der Anwendung vornehmen. Darüber hinausgehende Einzelweisungen erteilt der Auftraggeber mindestens in Textform durch die benannten Ansprechpartner. Mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, behandelt der Auftragnehmer als Antrag auf Leistungsänderung; hierdurch entstehender Mehraufwand ist gesondert zu vergüten.

5. Pflichten des Auftragnehmers

(1) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht wurden. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

(2) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; diese sind in Anlage 6 beschrieben.

(3) Der Auftragnehmer führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(4) Der Auftragnehmer benennt einen Datenschutzbeauftragten, soweit er hierzu gesetzlich verpflichtet ist, und teilt dem Auftraggeber dessen Kontaktdaten mit. Besteht keine Pflicht zur Benennung, nennt er einen Ansprechpartner für den Datenschutz.

(5) Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und gibt sie nicht an Dritte weiter, soweit dieser Vertrag dies nicht vorsieht. Kopien erstellt er nur, soweit sie zur ordnungsgemäßen Verarbeitung, zur Datensicherung oder zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(6) Zugriffe von Beschäftigten des Auftragnehmers auf Daten im Mandanten des Auftraggebers erfolgen nur, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist, und werden protokolliert. Für Unterstützungssitzungen gilt Anlage 3 Ziffer 3.

6. Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, für die Wahrung der Rechte der betroffenen Personen und für die Erfüllung der Informationspflichten verantwortlich.

(2) Der Auftraggeber unterrichtet den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Der Auftraggeber benennt dem Auftragnehmer die für Weisungen berechtigten Personen.

(4) Der Auftraggeber entscheidet über den Einsatz der Funktionen zur Nutzungsmessung und zur Standorterfassung in seinem Mandanten und über die Aufbewahrungsfrist der dabei entstehenden Daten im Rahmen der in der Anwendung vorgesehenen Grenzen.

7. Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach den Art. 12 bis 22 DSGVO. Die Anwendung stellt hierfür insbesondere Such-, Export- und Berichtigungsfunktionen bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, verweist dieser sie an den Auftraggeber, sofern eine Zuordnung möglich ist, und leitet den Antrag unverzüglich weiter. Der Auftragnehmer beantwortet solche Anträge nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde.

(4) Soweit die Anwendung einzelne Vorgänge nicht als Funktion bereitstellt – etwa die endgültige Löschung einzelner Stammdatensätze, die wegen der Nachvollziehbarkeit von Buchungen nicht unmittelbar löschbar sind –, führt der Auftragnehmer sie auf Weisung des Auftraggebers durch.

(5) Unterstützungsleistungen nach dieser Ziffer, die über die Bereitstellung der Funktionen der Anwendung und über gesetzliche Pflichten des Auftragnehmers hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer nach Aufwand zu seinen jeweils gültigen Stundensätzen berechnen.

8. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 7 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer unterrichtet den Auftraggeber mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Widerspricht der Auftraggeber, bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht zustande, ist jede Partei berechtigt, den Hauptvertrag hinsichtlich der betroffenen Leistung mit Wirkung zum Zeitpunkt der Änderung zu kündigen.

(4) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für deren Einhaltung.

(5) Keine Unterauftragsverhältnisse im Sinne dieser Ziffer sind Nebenleistungen, die der Auftragnehmer in Anspruch nimmt, ohne dass der Dritte bestimmungsgemäß Zugriff auf personenbezogene Daten des Auftraggebers erhält, etwa Telekommunikationsleistungen, Namensauflösung, Ausstellung von Zertifikaten sowie Wartung und Pflege von Systemen ohne Datenzugriff.

(6) Die in der Anwendung eingebundenen Geodienste (Kartenkacheln, Adresssuche, Routenberechnung, Wetter- und Höhendaten) werden von ihren Anbietern in eigener Verantwortung erbracht. Der Auftragnehmer übermittelt an diese Dienste auf Weisung des Auftraggebers – die mit der Nutzung der jeweiligen Funktion als erteilt gilt – ausschließlich Adresstexte und Koordinaten, keine Namen und keine Benutzerkennungen. Kartenkacheln ruft der Browser des Benutzers unmittelbar beim Anbieter ab. Die Dienste und ihre Sitzstaaten sind in Anlage 7 genannt. Der Auftraggeber kann verlangen, dass die Geodienste für seinen Mandanten abgeschaltet werden.

9. Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nach Möglichkeit innerhalb von 48 Stunden nach Kenntnis, wenn ihm eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt wird.

(2) Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen und vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Auftragnehmer unverzüglich nach.

(3) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Auftraggeber bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach den Art. 33, 34 DSGVO.

10. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten erforderlich sind.

(2) Der Nachweis kann erbracht werden durch aktuelle Auskünfte und Beschreibungen des Auftragnehmers, durch Bescheinigungen, Berichte oder Zertifikate unabhängiger Stellen, auch solche der eingesetzten Rechenzentrumsbetreiber, oder durch Auszüge aus Protokollen.

(3) Soweit die Nachweise nach Absatz 2 im Einzelfall nicht ausreichen oder ein begründeter Anlass besteht, ist der Auftraggeber berechtigt, selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragnehmer stehenden Prüfer Kontrollen beim Auftragnehmer durchzuführen. Kontrollen finden nach Ankündigung mit angemessener Frist, in der Regel mindestens 14 Tage, zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden statt. Ein Zutritt zu Rechenzentren der Unterauftragsverarbeiter richtet sich nach deren Bedingungen.

(4) Mehr als eine Kontrolle je Kalenderjahr, die nicht durch einen konkreten Anlass veranlasst ist, kann der Auftragnehmer nach Aufwand berechnen.

(5) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Kontrollen und Maßnahmen von Aufsichtsbehörden, soweit sie die Verarbeitung für den Auftraggeber betreffen.

11. Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Für Fristen und Verfahren gilt § 36 der AGB.

(2) Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform.

(3) Unterlagen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahren.

12. Haftung

Für die Haftung der Parteien im Innenverhältnis gelten die Regelungen des Hauptvertrags. Art. 82 DSGVO bleibt im Verhältnis zu den betroffenen Personen unberührt.

13. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Sollten Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich und weist die handelnden Dritten darauf hin, dass die Verantwortung für die Daten beim Auftraggeber liegt.

(3) Änderungen dieses Vertrags bedürfen der Textform.

Anlage 6 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben den Stand bei Veröffentlichung dieser Fassung. Der Auftragnehmer darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

1. Vertraulichkeit

Zutrittskontrolle. Die Systeme werden in Rechenzentren des Rechenzentrumsbetreibers (Anlage 7) betrieben. Zutrittsschutz, Überwachung und physische Sicherheit richten sich nach dessen zertifizierten Verfahren. Der Auftragnehmer selbst unterhält keine eigenen Serverräume.

Zugangskontrolle.

• Anmeldung der Benutzer mit persönlichem Benutzernamen und Kennwort; Mindestlänge und Anforderungen sind je Mandant einstellbar.
• Speicherung von Kennwörtern ausschließlich als Prüfwert nach dem Verfahren scrypt mit individuellem Zufallswert.
• Vorübergehende Sperre des Kontos nach fünf aufeinanderfolgenden Fehlversuchen.
• Sitzungen mit begrenzter Gültigkeit; Sitzungsschlüssel werden serverseitig nur als Prüfwert gespeichert; Benutzer und Administratoren können Sitzungen beenden.
• Einladungen statt Versand von Kennwörtern; vom Support erzeugte Kennwörter müssen bei der ersten Anmeldung geändert werden.
• Verwaltungszugänge zu den Servern nur über verschlüsselte Verbindungen mit Schlüsselanmeldung, beschränkt auf festgelegte Netzadressen; Schutz gegen wiederholte Anmeldeversuche.
• Die Betreiber-Konsole ist nicht frei im Internet erreichbar und erfordert eine vorgeschaltete zusätzliche Anmeldung.

Zugriffskontrolle.

• Rollen- und Rechtekonzept: Jede Funktion der Schnittstelle ist an ein Recht gebunden; Anfragen ohne Recht werden abgewiesen.
• Gesonderte Rechte für Vergütungsdaten, Personaldaten, Verwaltung und Freigaben.
• Abgestufte Rollen für Beschäftigte des Auftragnehmers; die Rolle für den Support ist auf Lesen, Entsperren und Unterstützungssitzungen beschränkt und kann keine Sitzung für Administratorkonten öffnen.

Trennungskontrolle.

• Mandantentrennung in drei Ebenen: Mandantenkennung in jeder Tabelle mit zusammengesetzten Fremdschlüsseln, Zugriffsregeln je Datenzeile in der Datenbank mit erzwungener Geltung auch für die Anwendungsrolle, und Bindung jeder Datenbanktransaktion an genau einen Mandanten.
• Getrennte Datenbanken für Produktivbetrieb, Vorführung und Test.

Verschlüsselung.

• Verschlüsselung aller Verbindungen zwischen Browser und Dienst (TLS, mindestens Version 1.2) mit Umleitung unverschlüsselter Aufrufe und Anweisung an den Browser, nur verschlüsselt zu verbinden.
• Verschlüsselte Verbindungen zwischen den Servern des Dienstes und zur Datenbank.
• Verschlüsselung der Datenbank auf dem Speichersystem des Rechenzentrumsbetreibers.

2. Integrität

Weitergabekontrolle. Daten werden nur über verschlüsselte Verbindungen übertragen. Der Anwendungsserver und die Datenbank sind nicht unmittelbar aus dem Internet erreichbar; die Datenbank nimmt Verbindungen nur vom Anwendungsserver an.

Eingabekontrolle.

• Änderungsprotokoll über Anlage, Änderung und Löschung von Datensätzen mit Akteur, Zeitpunkt, altem und neuem Inhalt; das Protokoll ist technisch gegen nachträgliche Änderung gesichert.
• Protokoll der Anmeldungen und Anmeldeversuche.
• Gesondertes Protokoll der Handlungen der Beschäftigten des Auftragnehmers in der Betreiber-Konsole; Kennzeichnung von Unterstützungssitzungen in den Protokollen des Mandanten.

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherung der Datenbank mit einer Aufbewahrung von sieben Tage; Ablage der Sicherungen in einer anderen Region des Rechenzentrumsbetreibers innerhalb der Europäischen Union.
• Zusätzliche Sicherung vor Änderungen an der Datenbankstruktur.
• Schutz der öffentlich erreichbaren Systeme durch Firewall-Regeln mit grundsätzlicher Sperre eingehender Verbindungen.
• Begrenzung der Zahl von Anfragen an öffentlich erreichbare Schnittstellen.
• Zeitnahes Einspielen von Sicherheitsaktualisierungen.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Mandantentrennung und der Zugriffsrechte als Bestandteil der Softwareentwicklung.
• Prüfung der Auslieferungen auf versehentlich enthaltene Zugangsdaten.
• Prüfung der Firewall-Einstellungen nach Änderungen an der Infrastruktur.
• Dokumentation von Änderungen an Systemen und Einstellungen.

5. Datenschutzfreundliche Voreinstellungen

• Nutzungsmessung und Standorterfassung setzen die Einwilligung des jeweiligen Benutzers voraus und sind standardmäßig abgelehnt; der Auftraggeber kann sie für seinen Mandanten vollständig abschalten.
• Automatische Löschung von Nutzungs- und Standortdaten nach der vom Auftraggeber eingestellten Frist.
• Keine Ortung im Hintergrund.
• In Unterstützungssitzungen werden weder Nutzungs- noch Standortdaten erfasst.

6. Auftragskontrolle

• Auswahl der Unterauftragsverarbeiter nach Sorgfaltsgesichtspunkten, Verträge nach Art. 28 DSGVO, Verarbeitung in der Europäischen Union.
• Verpflichtung der Beschäftigten auf Vertraulichkeit.

Vom Betreiber zu ergänzen bzw. umzusetzen: zusätzliche Anmeldebestätigung (zweiter Faktor) für Benutzer der Anwendung, automatischer Lauf der Löschung von Sitzungen und Anmeldeprotokollen, Hochverfügbarkeit der Datenbank, schriftliches Verfahren für Sicherheitsvorfälle und Wiederherstellungstests.

Anlage 7 – Unterauftragsverarbeiter und eingebundene Dienste

1. Unterauftragsverarbeiter

Sobald für die Zustellung von E-Mails aus der Anwendung ein Maildienst eingesetzt wird, ist er hier aufzunehmen und den Kunden nach Anlage 5 Ziffer 8 Abs. 2 anzukündigen.

2. Dienste ohne Zugriff auf Daten des Mandanten

3. Eingebundene Geodienste (eigenständig Verantwortliche)

Der öffentliche Routenserver des Projekts OSRM ist ein Demonstrationsdienst ohne Zusagen; für den Produktivbetrieb sollte der Betreiber einen vertraglich gebundenen oder selbst betriebenen Dienst einsetzen.