
Allgemeine Geschäftsbedingungen
Hier finden Sie die aktuellen Allgemeinen Geschäftsbedingungen der DOCUNIZE GmbH als Webversion – inklusive Service Level Vereinbarung (SLA), Vereinbarung über die Auftragsverarbeitung (AVV) und aller Anhänge. Stand: Mai 2025 · Version 1.0.
AGB als PDF herunterladenInhalt dieses Dokuments
Allgemeine Geschäftsbedingungen
1. Präambel
1.1 Die DOCUNIZE GmbH, Neuöttinger Straße 5, 84503 Altötting (nachfolgend: Anbieter) ist ein Softwarehersteller und bietet eine Software zur Erstellung, Verwaltung und Automatisierung von Vorlagen, Dokumenten und E-Mail-Signaturen an.
1.2 Diese Allgemeinen Geschäftsbedingungen (im Folgenden: AGB) regeln die Bedingungen für einzelne Verträge, die der Anbieter mit Kunden über Angebote schließt. Im Falle von Widersprüchen gehen die Reglungen des Angebots vor.
2. Definitionen
2.1 Ein berechtigter Nutzer ist eine Person, die vertraglich berechtigt ist, Zugang zur Software zu erhalten, die Software im vertraglichen Umfang zu nutzen und Inhalte mit der Software zu erstellen oder zu verwalten und die (a) der Kunde oder ein verbundenes Unternehmen selbst sein kann, wenn der Kunde oder das verbundene Unternehmen eine natürliche Person ist und/oder (b) ein Mitarbeiter des Kunden oder eines verbundenen Unternehmens sein kann und/oder (c) ein Auftragnehmer des Kunden sein kann, der im Auftrag des Kunden im Rahmen der Erbringung von Dienstleistungen gegenüber dem Kunden Zugang zur Software erhalten soll.
2.2 Digitale Vermögenswerte sind Elemente in digitaler Form, einschließlich Anwendungen, für die der Kunde ein Nutzungsrecht hat, unabhängig von der vertraglichen Beziehung mit dem Anbieter.
2.3 Exportierbare Daten sind alle Eingabe- und Ausgabedaten einschließlich Metadaten, die unmittelbar oder mittelbar durch die Nutzung der Software durch den Kunden generiert werden, einschließlich aller digitalen Vermögenswerte des Kunden, mit Ausnahme der Vermögenswerte oder Daten des Anbieters oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.
2.4 Microsoft Produkte sind die Produkte des Anbieters Microsoft, in deren Zusammenhang die Software des Anbieters nutzbar ist, insbesondere Microsoft Word und Microsoft Outlook sowie weitere auf der Website des Anbieters angegebene Produkte.
2.5 Die Software des Anbieters ist die vom Anbieter entwickelte Software zur Erstellung, Verwaltung und Automatisierung von Vorlagen, Dokumenten und E-Mail-Signaturen in Verbindung mit Microsoft Produkten und mit dem auf der Website des Anbieters (https://docunize.com) und/oder in Dokumentationen und Benutzerhandbüchern und/oder in etwaigen Leistungsbeschreibungen definierten Funktionsumfang zusammen mit den dort etwaig beschriebenen Zusatzfunktionen. Diese Beschreibungen stellen keine Eigenschaftszusicherungen dar.
2.6 Als verbundenes Unternehmen nach diesem Vertrag gilt jedes mit dem Kunden verbundene Unternehmen im Sinne der §§ 15 ff. des Aktiengesetzes (AktG), das den Kunden unmittelbar oder mittelbar beherrscht oder von ihm beherrscht wird oder mit dem Kunden einer gemeinschaftlichen Beherrschung unterliegt, und zwar aufgrund von Beherrschung der Geschäftsführung oder Anteilseignerschaft an mehr als fünfzig (50) % der stimmberechtigten Anteile oder einer ähnlichen Beteiligung an dem besagten Unternehmen, sofern das verbundene Unternehmen dieselbe Server-Instanz wie der Kunde nutzt.
2.7 Zusatzfunktionen sind Funktionen, die den Funktionsumfang der Software erweitern und die mit oder nach Erteilung der Softwarelizenz in Betrieb genommen werden können.
3. Vertragsschluss
3.1 Die Übermittlung des Angebots ist das verbindliche Angebot des Anbieters, mit dem Kunden einen Vertrag nach Maßgabe der Bestimmungen dieser AGB abzuschließen. Der Kunde ist berechtigt, aber nicht verpflichtet, dieses Angebot anzunehmen. Die Annahme wird durch Unterschrift des Kunden auf dem Angebot und elektronische oder postalische Übermittlung des unterschriebenen Angebots erklärt. Alternativ kann die Annahme auch durch eine Bestätigungs-E-Mail ohne unterschriebene Rücksendung erfolgen.
3.2 Die Laufzeit dieses Vertrags beginnt mit dem Abschluss des Vertrags, es sei denn, im Angebot ist ein anderes Datum vereinbart.
3.3 Der Anbieter wird ein verbindliches Angebot zum Abschluss dieses Vertrags nur abgeben oder das verbindliche Angebot des Kunden nur akzeptieren, wenn der Kunde ein Unternehmen oder eine Person ist, die in Ausübung ihres Handelsgeschäfts oder Berufs tätig ist.
4. Umfang der Lizenz
4.1 Nach Vertragsschluss gewährt der Anbieter dem Kunden ein nicht ausschließliches, nicht übertragbares, nicht unterlizenzierbares, zeitlich auf die Laufzeit des Vertrags beschränkte Recht zur Nutzung der Software im Rahmen der im Vertrag festgelegten Lizenzbedingungen.
4.2 Die Lizenz ist auf die im Angebot vereinbarte Anzahl von berechtigten Nutzern und auf die Nutzung zu eigenen Geschäftszwecke des Kunden oder des verbundenen Unternehmens beschränkt.
4.3 Der Kunde darf die Software in keiner Weise kopieren oder modifizieren und die Software oder Teile davon nicht verändern, vermischen, bearbeiten, verbessern, anpassen, dekompilieren, disassemblieren, übersetzen, anderweitig abgeleitete Werke daraus erstellen oder die Software weiterzugeben, zu vermieten, in sonstiger Weise unterzulizensieren, drahtgebunden oder drahtlos öffentlich wiederzugeben, öffentlich zugänglich zu machen oder sie Dritten entgeltlich oder unentgeltlich zur Verfügung zu stellen, es sei denn, dies ist gesetzlich i.S. des §§ 69d Abs. 2 oder 69e UrhG oder durch den Anbieter ausdrücklich schriftlich erlaubt. Die Weitergabe von Lizenzen an verbundene Unternehmen nach 2.6 ist gestattet.
4.4 Die Software kann nur in Verbindung mit einer aktiven Microsoft Azure-ID bzw. Microsoft Entra-ID und in Verbindung mit Microsoft 365 Produkten benutzt werden.
4.5 Zusatzfunktionen können bei oder nach Vertragsschluss für die vereinbarte Anzahl von berechtigten Nutzern zugebucht werden. Die Nutzung von Zusatzfunktionen erfordert eine Lizenz für die Software bei dem berechtigten Nutzer. Lizenzen für weitere berechtigte Nutzer können nach Vertragsschluss zugebucht werden.
5. Rechte und Pflichten des Anbieters
5.1 Der Anbieter ist Inhaber sämtlicher Rechte an und in Zusammenhang mit der Software.
5.2 Der Anbieter stellt dem Kunden den Zugang zur Nutzung der Software über das Internet mit den vereinbarten Funktionalitäten und Einschränkungen nach Vertragsschluss bereit. Der Kunde erhält dazu nach Authentifizierung mit seiner Microsoft Azure-ID bzw. Entra-ID einen Softwareteil zum Download, den er zur Nutzung der Software installieren und in das jeweilige Microsoft Produkt einbinden muss.
5.3 Sofern der Kunde gegen geltendes Recht oder diesen Vertrag verstößt, insbesondere wenn der Kunde mit der Zahlung des vertraglich vereinbarten Entgelts in Verzug ist oder er gemäß Ziffer 8 mit der tatsächlichen Nutzung der Software von der vertraglich zulässigen Nutzung abweicht, kann der Anbieter den Zugang des Kunden zur Software unverzüglich sperren.
5.4 Der Anbieter ist berechtigt, im Rahmen der Erbringung sämtlicher Leistungen unter diesem Vertrag Unterauftragnehmer einzusetzen.
5.5 Der Anbieter ist berechtigt, den Kunden inklusive Firmenname und Logo zu Referenzzwecken auf der Webseite des Anbieters und in Offline-Marketingmaterialien wie Flyern und Produktpräsentationen zu nennen.
5.6 Teil des Services ist ein Newsletter, der über Neuigkeiten informiert und jederzeit über einen Link in der E-Mail abbestellt werden kann.
6. Rechte und Pflichten des Kunden
6.1 Der Kunde hat dem Anbieter bei Vertragsschluss und während der Laufzeit des Vertrags stets zutreffende Informationen über sein Unternehmen und die Nutzung der Software zu übermitteln und den Anbieter zu informieren, wenn sich die übermittelten Informationen ändern.
6.2 Der Kunde ist verpflichtet, die Software ordnungsgemäß einzubinden und stets die aktuellste zur Verfügung gestellte Version auf einem den Systemanforderungen entsprechenden System zu nutzen. Erforderliche Anpassungen an der Soft- und Hardware des Kunden sind vom Kunden zu erbringen und nicht Gegenstand dieses Vertrags.
6.3 Der Kunde ist verpflichtet, importierte oder generierte Inhalte und Daten auch außerhalb der Software zu sichern.
6.4 Der Kunde hat beim Importieren und Generieren von Inhalten oder Daten etwaige Rechte Dritter zu beachten.
6.5 Der Kunde stellt den Anbieter auf erstes Anfordern von allen Ansprüchen Dritter frei, die diese gegen den Anbieter mit der Begründung geltend machen, dass eine vom Kunden durchgeführte Handlung und/oder vom Kunden bereitgestellte Inhalte oder Daten ihre Rechte verletzen.
6.6 Werden Ansprüche gegen den Kunden wegen der tatsächlichen oder angeblichen Verletzung von Rechten Dritter infolge der vertraglichen Nutzung der Software geltend gemacht, für die der Anbieter haftbar sein kann, so hat der Kunde den Anbieter unverzüglich zu informieren. Die Parteien werden die Verteidigung solcher Ansprüche in enger Abstimmung koordinieren, wobei der Anbieter die Führung so weit wie möglich und zulässig übernimmt. Der Kunde unterstützt den Anbieter. Erteilt der Anbieter trotz Mahnung nicht innerhalb einer angemessenen Frist Weisungen hinsichtlich der angemessenen Verteidigung, ist der Kunde berechtigt, die gegen ihn geltend gemachten Ansprüche nach seiner Wahl ohne weitere Rücksprache mit dem Anbieter zu behandeln.
6.7 Mit Vertragsende ist der Kunde verpflichtet, Installations-Dateien der Software und sämtliche Kopien hiervon zu vernichten sowie die Software im System so vollständig zu entfernen, dass diese nicht mehr zurückgewonnen werden kann.
7. Support und Service-Level
Der Anbieter leistet Support und Verfügbarkeit gemäß der Service Level Vereinbarung (SLA) in Anlage 1.
8. Lizenz-Audit
8.1 Der Anbieter ist berechtigt, anhand der ihm zur Verfügung stehenden Informationen zu prüfen, ob die Nutzung der Software durch den Kunden qualitativ und quantitativ vom Umfang der erteilten vertraglichen Lizenz abgedeckt ist.
8.2 Darüber hinaus ist der Kunde verpflichtet, dem Anbieter auf Anfrage Auskunft über alle Informationen oder Daten zu erteilen, die der Anbieter benötigt, um dies beurteilen zu können.
8.3 Bei Zweifeln an der Vertragsmäßigkeit der Nutzung der Software ist der Anbieter oder ein vom Anbieter beauftragter und zur Verschwiegenheit verpflichteter Dritter (z.B. Rechtsanwalt, Wirtschaftsprüfer, vereidigter Buchprüfer) berechtigt, die Hard- und Softwareumgebung vor Ort auf Richtigkeit und Vollständigkeit der Angaben und auf die Nutzung der Software zu überprüfen. Diese Prüfung findet während der üblichen Geschäftszeiten statt. Der Anbieter wird dafür Sorge tragen, dass der Geschäftsbetrieb des Kunden durch seine Tätigkeit vor Ort so wenig wie möglich gestört wird. Besteht kein konkreter Verdacht auf ein vorsätzliches Fehlverhalten des Kunden, wird der Kunde vorab informiert.
8.4 Der Anbieter verpflichtet sich, die durch eine Überprüfung gewonnenen Informationen und Daten nur zur Durchsetzung der Ansprüche aus diesem Vertrag oder aus gewerblichen Schutzrechten zu verwenden.
8.5 Die durch eine Überprüfung entstehenden Kosten werden dem Anbieter erstattet, wenn Abweichungen der tatsächlichen Nutzung von der vertraglich zulässigen Nutzung festgestellt werden.
9. Laufzeit
9.1 Dieser Vertrag hat die jeweils im Angebot vereinbarte initiale Laufzeit und verlängert sich um eine weitere Laufzeit von gleicher Dauer, wenn der Vertrag nicht mit einer Frist von drei (3) Monaten zum Ende der Laufzeit gekündigt wird.
9.2 Werden nach Vertragsschluss Zusatzfunktionen oder Zugänge für weitere berechtigte Nutzer gebucht, beginnt deren Laufzeit mit dem Tag der Bestätigung durch den Anbieter. Die Zusatzfunktionen oder Zugänge für weitere berechtigte Nutzer teilen fortan die Laufzeit der Software.
9.3 Zusatzfunktionen oder Zugänge für berechtigte Nutzer können jederzeit mit einer Kündigungsfrist gemäß Absatz 1 dieser Ziffer gekündigt werden. Die Kündigung von einzelnen Zusatzunktionen oder einzelnen Zugängen für berechtigte Nutzer lässt die Laufzeit des Vertrags an sich unberührt.
9.4 Jede Kündigung bedarf zu ihrer Wirksamkeit der Schriftform. Die Textform (z.B. E-Mail) genügt insoweit der Schriftform.
9.5 Das Recht beider Vertragsparteien, die Vereinbarung aus wichtigem Grund zu kündigen, bleibt von den vorstehenden Regelungen unberührt.
10. Beendigungsunterstützung
10.1 Der Anbieter wird dem Kunden nach Beendigung des Vertrags nach entsprechender Anforderung alle exportierbaren Daten übertragen, sofern diese Übertragung nicht das geistige Eigentum oder Geschäftsgeheimnisse des Anbieters gefährdet oder offenlegt oder die Sicherheit und Integrität der exportierbaren Daten gefährdet.
10.2 Der Anbieter wird, sofern zwischen den Parteien vereinbart, für die Software anwendbare offene Interoperabilitätsspezifikationen oder harmonisierte Interoperabilitätsnormen einhalten, um die Kompatibilität mit Diensten anderer Anbieter sicherzustellen, dem Kunden die exportierbaren Daten mindestens aber in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stellen.
10.3 Der Anbieter übermittelt die Daten mit den folgenden Übertragungsmethoden und Dateiformate: Die Übertragung erfolgt durch Bereitstellung zum Download (z.B. über einen FTP-Server und/oder eine andere Schnittstelle). Daten können im SQL oder CSV Format übertragen werden. Vorlagen können als .dotm, .xltm oder .potm Format übertragen werden.
10.4 Übermittelt werden können folgende Datenkategorien von exportierbaren Daten einschließlich der für die Funktionsweise spezifischen internen Verknüpfungen: Firma/ Name des Kunden, Organisationseinheit z.B. Standort, Kunden zugeordnete Nutzerprofile inklusive benutzerdefinierter Metadaten wie Namen, Sprache, benutzerdefinierte Vorlagen inklusive Inhalte wie Textbausteine/ Snippets, Logo, Fußzeilen, Verknüpfung bestimmter Sprachen zu Bausteinen, Verknüpfung bestimmter Bausteine zu Vorlagen, Verknüpfung bestimmter Sprachen zu Vorlagen, Verknüpfungen von bestimmten Vorlagen zu Organisationseinheiten
10.5 Es sind keine Datenkategorien von exportierbaren Daten, die für die interne Funktionsweise der Software des Anbieters spezifisch sind, im Hinblick auf die Gefahr der Verletzung von Geschäftsgeheimnissen, von der Übermittlung ausgenommen.
10.6 Der Anbieter wird die exportierbaren Daten für maximal 30 Tage nach Ende des Vertrags bereitstellen und alle bei ihm noch vorhandenen exportierbaren Daten des Kunden und Daten, die sich auf den Kunden beziehen, löschen, es sei denn der Anbieter und der Kunde haben einvernehmlich einen längeren Zeitraum vereinbart oder ein Wechsel nach Ziffer 11 ist noch nicht erfolgreich vollzogen.
10.7 Die Datenübermittlung und Löschung nach Ziffer erfolgt ohne zusätzliches Entgelt. Alle darüber hinausgehenden Dienstleistungen im Rahmen der Beendigungsunterstützung wird der Anbieter nach Aufwand abrechnen.
11. Einleitung der Wechselphase und vorzeitige Vertragsbeendigung für den Anbieterwechsel
11.1 Der Vertrag endet unabhängig von den Voraussetzungen der Ziffer 9 nach den Regelungen dieser Ziffer, wenn der Kunde den Anbieterwechsel gemäß den Voraussetzungen dieser Ziffer verlangt hat. Der Anbieterwechsel umfasst dabei sowohl den Wechsel auf eigene IKT-Infrastruktur des Kunden als auch den Wechsel auf einen anderen Anbieter.
11.2 Zur Einleitung der Wechselphase muss der Kunde den Anbieter schriftlich oder in Textform mindestens zwei (2) Monate vor dem vom Kunden gewünschten Beginn der Wechselphase ankündigen (im Folgenden: Wechselverlangen). Das Wechselverlangen muss klar zum Ausdruck bringen, dass ein Wechsel nach den Vorschriften dieser Ziffer beabsichtigt ist und soll die Erklärung darüber beinhalten, dass der Kunde einen Anbieterwechsel durchführen will, zu welchem anderen Anbieter der Kunde wechseln will, ob er zu einer eigenen IKT-Infrastruktur wechseln will oder die Löschung seiner Daten begehrt. Diese Erklärung kann auch noch nach Beginn der Wechselphase nachgeholt werden.
11.3 Während der Wechselphase wird der Anbieter gegenüber dem Kunden und/oder einem vom Kunden autorisierten Dritten folgende Leistungen erbringen:
11.3.1 Der Anbieter wird alle exportierbaren Daten gemäß Ziffer 10 übermitteln.
11.3.2 Der Anbieter wird beim Wechsel in angemessenem Umfang Unterstützung leisten, um die Kontinuität des Geschäftsbetriebs des Kunden aufrechtzuerhalten und die Erbringung der vertragsmäßigen Leistungen bis zum Ende des Vertrags fortzusetzen.
11.3.3 Auf Anforderung wird der Anbieter den Kunden bei dessen Ausstiegsstrategie im Rahmen des Zumutbaren unterstützen, wenn der Kunde den Anbieter schriftlich oder in Textform über diese Strategie und die hierzu vom Anbieter zu erbringenden Leistungen informiert.
11.3.4 Der Anbieter wird den Kunden über bekannte Risiken für die unterbrechungsfreie Erbringung der Dienste unterrichten und beim Wechsel für ein hohes Maß an Datensicherheit sorgen.
11.4 Die Wechselphase beträgt grundsätzlich dreißig (30) Tage. Die Wechselphase endet mit dem Ablauf dieser Frist oder mit dem tatsächlichen Vollzug des Wechsel, je nachdem, welches Ereignis früher eintritt. Begehrt der Kunde die Löschung seiner Daten, so endet die Wechselphase unmittelbar nach ihrem Beginn.
11.5 Abweichend von Ziffer 9 Abs. 1 gilt das Ende der Wechselphase als Beendigung des Vertrags.
11.6 Der Anbieter wird den Kunden über das Ende des Vertrags unterrichten.
11.7 Stellt der Anbieter fest, dass die Wechselphase gemäß Ziffer 11.4 nicht ausreicht, weil der Wechsel in dieser Frist technisch nicht durchführbar ist, wird, so kann er den Kunden hierüber innerhalb von vierzehn (14) Werktagen ab Wechselverlangen unter Mitteilung der Gründe informieren und die Wechselphase um einen angemessen Zeitraum von maximal sieben (7) Monaten verlängern.
11.8 Stellt der Kunde fest, dass die Wechselphase nicht ausreicht, kann der Kunde den Zeitraum gemäß Ziffer 11.4 einmalig um einen angemessenen Zeitraum verlängern.
11.9 Wenn der Vertrag nach dieser Ziffer 11 vor Ablauf der vereinbarten Laufzeit beendet wird, bleiben die für diese Laufzeit bereits entstandenen Entgelte hiervon unberührt. Wenn die Wechselphase das Ende einer Laufzeit überdauert, so beginnt eine weitere Laufzeit nach Ziffer 9.1, wenn der Kunde den Vertrag nicht gemäß Ziffer 9 gekündigt hat.
11.10 Der Anbieter wird dem Kunden ggf. Informationen über die Software bereitstellen, durch die der Wechsel sehr kompliziert oder kostspielig wird oder ohne nennenswerte Eingriffe in die Daten, digitalen Vermögenswerte oder die Dienstarchitektur unmöglich ist.
12. Entgelt
12.1 Es fällt das im Angebot genannte Entgelt für die jeweilige Leistung an.
12.2 Soweit das Entgelt eine Lizenzgebühr ist, die für eine Laufzeit zu bezahlen ist, wird es im Voraus für die jeweilige Laufzeit zur Zahlung fällig.
12.3 Für Zusatzfunktionen oder nachträglich gebuchte Zugänge für weitere berechtigte Nutzer wird das im Angebot oder vor Buchung vereinbarte Entgelt erhoben. Das Entgelt wird anteilig zur Dauer der ersten Laufzeit berechnet.
12.4 Überschreitet der Kunde den Umfang der vereinbarten Lizenz im Sinne der Ziffer 8, so hat er für den Zeitraum der Überschreitung das der Nutzung entsprechende Entgelt zu zahlen.
12.5 Soweit das Entgelt eine nach Aufwand abzurechnende Dienstleistung betrifft, so wird es mit Leistungserbringung fällig und nach Leistungserbringung abgerechnet. Es gilt ein Stundensatz von 150,- EUR, soweit nicht ausdrücklich Abweichendes vereinbart ist.
12.6 Alle Entgelte sind vorbehaltlich abweichender Vereinbarung binnen 14 Tagen nach Rechnungsdatum ohne jeden Abzug zu zahlen.
12.7 Der Anbieter ist berechtigt, Rechnungen elektronisch z.B. per E-Mail zu stellen.
12.8 Alle Preise des Anbieters gelten zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.
13. Geheimhaltung
13.1 Die Parteien vereinbaren, über vertrauliche Informationen Stillschweigen zu wahren. Vertrauliche Informationen sind alle Informationen und Unterlagen der jeweils anderen Partei, die als vertraulich gekennzeichnet sind, als Geschäftsgeheimnis im Sinne des Geschäftsgeheimnisgesetz gelten oder aus den Umständen heraus als vertraulich anzusehen sind und über welche die Parteien im Rahmen der vertraglichen Zusammenarbeit Kenntnis erhalten haben, insbesondere Informationen über Finanzen, betriebliche Abläufe, Geschehensabläufe, Geschäftsbeziehungen, Know-how und Interna.
13.2 Von dieser Verpflichtung ausgenommen sind solche vertraulichen Informationen
(a) die dem Empfänger bei Abschluss dieses Vertrags nachweislich bereits bekannt waren oder danach von dritter Seite bekannt werden, ohne dass dadurch eine Vertraulichkeitsvereinbarung, gesetzliche Vorschriften oder behördliche Anordnungen verletzt werden;
(b) die bei Abschluss dieses Vertrags öffentlich bekannt sind oder danach öffentlich bekannt gemacht werden, soweit dies nicht auf einer Verletzung dieses Vertrags beruht oder
(c) die aufgrund gesetzlicher Verpflichtungen oder auf Anordnung eines Gerichtes oder einer Behörde offengelegt werden müssen. Soweit zulässig und möglich wird der zur Offenlegung verpflichtete Empfänger die andere Partei vorab unterrichten und ihr Gelegenheit geben, gegen die Offenlegung vorzugehen.
13.3 Die Parteien werden nur solchen Beratern Zugang zu vertraulichen Informationen gewähren, die dem Berufsgeheimnis unterliegen oder denen zuvor den Geheimhaltungsverpflichtungen dieses Vertrags entsprechende Verpflichtungen auferlegt worden sind. Des Weiteren werden die Parteien nur denjenigen Mitarbeitern die vertraulichen Informationen offenlegen, die diese für die Durchführung dieses Vertrags kennen müssen und diese Mitarbeiter auch für die Zeit nach ihrem Ausscheiden in arbeitsrechtlich zulässigem Umfang zur Geheimhaltung verpflichten. Im Übrigen werden die vertraulichen Informationen nicht offengelegt.
13.4 Die Parteien sind verpflichtet, alle Schriftstücke, Informationen und Daten, die vertrauliche Informationen enthalten und welche diese von der jeweils anderen Partei erhalten haben, sorgfältig aufzubewahren und vor jeder Einsichtnahme unbefugter Dritter zu schützen sowie auf Verlangen jederzeit, spätestens bei Beendigung dieses Vertrags an die andere Partei herauszugeben.
14. Datenschutz und Datensicherheit
14.1 Die Parteien werden bei der Verarbeitung personenbezogener Daten im Rahmen dieses Vertrages die gesetzlichen Bestimmungen beachten und personenbezogene Daten nur für den Zweck dieses Vertrags oder wie anderweitig zulässig verarbeiten.
14.2 Vertragsbestandteil ist die in Anlage 2 enthaltene Vereinbarung über die Auftragsvereinbarung (AVV).
14.3 Der Anbieter ergreift zudem zur Sicherung von nicht-personenbezogenen Daten, insbesondere zur Verhinderung von internationalen staatlichen Zugriffen/Übermittlungen im Widerspruch zum Unionsrecht oder zum nationalen Recht angemessene technische, organisatorische und vertragliche Maßnahmen. Dazu gehören Verschlüsselung, Zugriffsbeschränkungen, Monitoring von Zugriffsversuchen, Schulungen, interne Richtlinien, sowie vertragliche Verpflichtungen für Dienstleister.
15. Haftungsbeschränkung
15.1 Der Anbieter haftet im Rahmen dieses Vertrags dem Grunde nach nur für Schäden, (a) die der Anbieter oder seine gesetzlichen Vertreter oder Erfüllungsgehilfen vorsätzlich oder grob fahrlässig herbeigeführt haben und/oder (b) die aus der Verletzung des Lebens, des Körpers oder der Gesundheit durch eine Pflichtverletzung des Anbieters oder durch eine Pflichtverletzung seiner gesetzlichen Vertreter oder Erfüllungsgehilfen entstanden sind. Der Anbieter haftet ferner, (c) wenn der Schaden durch die Verletzung einer Verpflichtung des Anbieters entstanden ist, deren Erfüllung die ordnungsgemäße Durchführung dieses Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf (Kardinalpflicht).
15.2 Der Anbieter haftet in den Fällen des Absatzes 1 dieser Ziffer, Buchstaben (a) und (b) der Höhe nach im Rahmen des gesetzlichen Haftungsumfangs. Im Übrigen ist der Schadensersatzanspruch auf den vertragstypisch vorhersehbaren Schaden begrenzt. Die Parteien sind sich einig, dass ein Schaden maximal in Höhe von 100.000 EUR pro Schadensfall vertragstypisch vorhersehbar ist. Droht dem Kunden ein Schaden, der diesen Betrag überschreiten kann, so ist er verpflichtet, den Anbieter unverzüglich hierauf aufmerksam zu machen.
15.3 In anderen als den in Absatz 1 genannten Fällen ist die Haftung des Anbieters unabhängig vom Rechtsgrund ausgeschlossen.
15.4 Die Haftungsregelungen in vorstehenden Absätzen gelten auch für eine persönliche Haftung der Organe, Mitarbeiter und Erfüllungsgehilfen des Anbieters.
15.5 Soweit eine Haftung nach dem Produkthaftungsgesetz, aus der Übernahme einer Garantie oder wegen arglistiger Täuschung in Betracht kommt, bleibt sie von den vorstehenden Haftungsregelungen unberührt.
16. Schlussbestimmungen
16.1 Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen des Kunden akzeptiert der Anbieter nicht. Dies gilt auch, wenn er der Einbeziehung nicht ausdrücklich widerspricht.
16.2 Alle Verträge zwischen dem Anbieter und dem Kunden können in deutscher Sprache geschlossen werden. Die Vertragstexte werden vom Anbieter gespeichert. Die Vertragstexte werden dem Kunden einmalig bei Vertragsschluss übersandt oder vor Vertragsschluss zum Download bereitgestellt.
16.3 Es gilt deutsches Recht unter Ausschluss der Vorschriften des internationalen Privatrechts sowie des UN-Kaufrechts.
16.4 Für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag (einschließlich solcher über seine Gültigkeit) sind in erster Instanz die Gerichte in München ausschließlich zuständig.
16.5 Änderungen und Ergänzungen dieses Vertrags sowie ein Verzicht auf ein Recht aus diesem Vertrag bedürfen zu ihrer Wirksamkeit der Schrift- oder Textform. Dies gilt auch für den Verzicht auf das Schrift- oder Textformerfordernis.
16.6 Sollte eine Bestimmung dieses Vertrags ganz oder teilweise unwirksam oder undurchführbar sein oder die Wirksamkeit oder Durchführbarkeit später verlieren oder sich eine Regelungslücke herausstellen, soll hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt werden. Die Parteien verpflichten sich, anstelle der unwirksamen oder undurchführbaren Bestimmung oder zur Ausfüllung der Regelungslücke eine angemessene Regelung zu vereinbaren, die, soweit rechtlich zulässig, dem am nächsten kommt, was die Parteien gewollt haben oder nach dem Sinn und Zweck des Vertrags gewollt hätten, wenn sie die Unwirksamkeit oder die Regelungslücke gekannt hätten. Beruht die Unwirksamkeit oder Undurchführbarkeit einer Bestimmung auf einem darin festgelegten Maß der Leistung oder der Zeit (Frist oder Termin), so ist das der Bestimmung am nächsten kommende rechtlich zulässige Maß zu vereinbaren. Es ist der ausdrückliche Wille der Parteien, dass dieser Absatz keine bloße Beweislastumkehr zur Folge hat, sondern § 139 BGB insgesamt abbedungen ist.
Service Level Vereinbarung (SLA)
1. Regelungsgegenstand
Die nachfolgenden Bestimmungen dieser Anlage konkretisieren die vom Anbieter vertraglich geschuldeten Leistungen. Alle Leistungsangaben beziehen sich auf die vom Anbieter geschuldete Qualität der Software.
2. Support und Supportzeiten
2.1 Der Anbieter leistet Support und Unterstützung im Falle von auftretenden Fehlern in der Software, bei Einbindung und Konfiguration sowie Bedienung der Software und bei Integration von Updates auf Basis dieser Anlage während der Supportzeiten an Werktagen (am Sitz des Anbieters) zwischen 8:00 Uhr und 17:00 Uhr (MEZ).
2.2 Support erfolgt per E-Mail, über ein Ticketsystem im ServiceCenter auf der Website des Anbieters oder per Fernwartung.
2.3 Die Leistung von Support und Unterstützung außerhalb der Supportzeiten nach Absatz 1 dieser Ziffer ist nicht Gegenstand dieses Vertrags, kann aber im Einzelfall als Dienstleistung zu im Voraus zu vereinbarenden Konditionen beauftragt werden.
2.4 Die Erstellung, Migration und Pflege von Vorlagen/Inhalten für die Software, die Schulung und Beratung (z.B. zur Optimierung von Prozessen, Vor-Ort-Workshops), die Projektleitung (z.B. in Update-Projekten), die Entwicklung, Wartung und Integration von kundenspezifischen Anpassungen, Erweiterungen oder Zusatzfunktionen, die erforderlichen Anpassungen an der Soft- und Hardware des Kunden oder die Schnittstellenprogrammierung und -anpassung sind nicht Gegenstand dieses Vertrags, können aber im Einzelfall als Dienstleistung zu im Voraus zu vereinbarenden Konditionen beauftragt werden.
3. Updates
3.1 Der Anbieter wird die Software während der Laufzeit des Vertrags fortlaufend aktualisieren und dem Kunden aktualisierte Versionen zur Verfügung stellen. Der Anbieter stellt neue Versionen als Major Releases (Programmversionen mit zusätzlichen Funktionen), Service Releases (Bündelung von Fehlerkorrekturen und Optimierungen) und Patches (singuläre Fehlerkorrekturen) bereit.
3.2 Der Anbieter informiert den Kunden zu Veröffentlichung und Umfang eines Updates im ServiceCenter auf der Website des Anbieters oder über einen Newsletter.
4. Dokumentation
Der Anbieter stellt ein Benutzerhandbuch und Dokumentationen zur Software in digitaler Form bereit.
5. Verfügbarkeit
5.1 Der Anbieter bietet eine Verfügbarkeit von 98% im Jahresmittel. Im Falle kürzerer Laufzeiten bezieht sich die Verfügbarkeit auf die jeweilige Laufzeit.
5.2 Die Software ist verfügbar, wenn kein Fehler der Fehlerklasse 1 vorliegt.
5.3 Bei der Berechnung der tatsächlichen Verfügbarkeiten gelten dem Anbieter nicht zurechenbare Ausfallzeiten oder Ausfallzeiten wegen Wartungsarbeiten als verfügbare Zeiten. Eine Nichtverfügbarkeit der Software während dieser Ausfallzeiten bleibt bei der Berechnung der vertragsgemäßen Verfügbarkeit außer Betracht. Diese unschädlichen Ausfallzeiten sind:
(a) mit dem Kunden abgestimmte Wartungs- oder sonstige Leistungen, durch die ein Zugriff auf die Software nicht möglich ist;
(b) unvorhergesehen erforderlich werdende Wartungsarbeiten auf Grund von z.B. höherer Gewalt, nicht vorhersehbare Hardwareausfälle, Streiks, Naturereignisse etc., wenn diese Arbeiten nicht durch eine Verletzung der Pflichten des Anbieters zum Erbringen der Services verursacht wurden;
(c) Ausfallzeiten aufgrund von Viren- oder Hackerangriffen, soweit der Anbieter die vereinbarten, mangels Vereinbarung die üblichen, Schutzmaßnahmen getroffen hat;
(d) Ausfallzeiten für das Einspielen von dringend notwendigen Security Patches;
(e) Ausfallzeiten, die durch Dritte (nicht dem Anbieter zurechenbare Personen) verursacht werden und
(f) Ausfallzeiten für planmäßige Wartungsarbeiten, wenn diese in der Zeit von 21:00 Uhr bis 7:00 Uhr (MEZ) durchgeführt werden und dem Kunden mindestens sieben (7) Tage vor Durchführung der Arbeiten angekündigt wurden. Die Ankündigung kann in Textform oder als Dialogmitteilung im Front-End-System erfolgen.
5.4 Der Anbieter ist nicht verpflichtet, eine Internetverbindung zwischen dem Webserver und dem Internet-Zugangspunkt des Kunden herzustellen und aufrechtzuerhalten.
5.5 Die Software ist nicht fehlertolerant und wurde nicht dafür vorgesehen und ist nicht dafür geeignet, sie in Zusammenhang mit sicherheitskritischen Umgebungen und ausfallsicheren Systemen zu nutzen.
6. Fehlerbehebung und Fehlerklassen
6.1 Der Anbieter wird auftretende Fehler in der Software beseitigen. Er wird dabei in folgenden Zeitfenstern abhängig von der schwere des Fehlers mit der Fehlerbehebung beginnen (im Folgenden: Reaktionszeit):
| Fehlerklasse | Reaktionszeit |
|---|---|
| Fehlerklasse 1 – Schwerer Fehler: Die Nutzung der Software ist insgesamt nicht mehr möglich oder nur stark eingeschränkt mit erheblichen Verzögerungen oder sonstigen Störungen nutzbar. | 4 Stunden |
| Fehlerklasse 2 – Mittlerer Fehler: Die Nutzung der Software ist eingeschränkt, aber mit gewissen Einschränkungen möglich. | 8 Stunden |
| Fehlerklasse 3 – Leichter Fehler: Alle Fehler, die nicht einer anderen Fehlerklasse zuzuordnen sind. | Im Rahmen des nächsten Update-Zyklus |
6.2 Die Reaktionszeit nach Absatz 1 dieser Ziffer beginnt ab Zugang einer ordnungsgemäßen Fehlermeldung. Fällt dieser Zeitpunkt nicht in die Supportzeit, so beginnt die Reaktionszeit mit Beginn der nächsten Supportzeit. Eine Fehlermeldung ist ordnungsgemäß, wenn sie so konkret ist, dass ein verständiger Dritter den Fehler nachvollziehen und auf Basis der Fehlermeldung reproduzieren kann und wenn sie durch einen namentlich benannten berechtigten Nutzer erfolgt.
6.3 Der Anbieter ist berechtigt, Fehler zu beheben, indem er dem Kunden eine geänderte Version der Software zur Verfügung stellt oder dem Kunden vorübergehend eine Umgehungslösung („Work-around“) bereitstellt.
6.4 Die Beseitigung von Fehlern und Schäden, die durch unsachgemäße Handhabung durch den Kunden, durch den Einfluss Dritter oder durch höhere Gewalt verursacht werden z.B. durch falsche Netzwerk-, Security-, Datenbank-, Schnittstellen-, Client-Konfiguration oder Third-party-Anwendungen, ist nicht Gegenstand dieses Vertrags, kann aber im Einzelfall als Dienstleistung zu im Voraus zu vereinbarenden Konditionen beauftragt werden.
7. Mitwirkung des Kunden
7.1 Der Kunde muss auftretende Fehler unverzüglich in Textform oder im Ticketsystem im ServiceCenter auf der Website des Anbieters ordnungsgemäß mitteilen und den Anbieter bei der Fehleruntersuchung und Fehlerbeseitigung im Rahmen des Zumutbaren unterstützen.
7.2 Der Kunde hat dem Anbieter alle Informationen und Zugänge zu erteilen, die notwendig sind, um die Support-Anfrage oder auftretende und gemeldete Fehler ordnungsgemäß zu untersuchen und zu bearbeiten.
8. Rechtsfolgen
Die Rechtsfolgen im Falle der Verfehlung der Verfügbarkeitszeiten und Reaktionszeiten richten sich nach den gesetzlichen Vorschriften, soweit nicht Abweichendes vereinbart ist.
Vereinbarung über die Auftragsverarbeitung (AVV)
1. Regelungsgegenstand
1.1 Die nachfolgenden Bestimmungen dieser Anlage konkretisieren die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Auftragsverarbeitung des Anbieters als Auftragsverarbeiter (im Folgenden: Auftragsverarbeiter) für den Kunden als Verantwortlichen (im Folgenden: Verantwortlichen) auf Grundlage des zwischen den Parteien geschlossenen Vertrags ergeben.
1.2 Die konkretisierten Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit der Auftragsverarbeitung in Zusammenhang stehen und bei denen Mitarbeiter des Auftragsverarbeiters oder durch den Auftragsverarbeiter beauftragte Dritte mit personenbezogenen Daten des Verantwortlichen in Berührung kommen können.
2. Gegenstand des Auftrages und Konkretisierung des Auftragsinhalts durch Weisungen
2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Art und Zweck dieser Datenverarbeitung sowie die Betroffenen dieser Datenverarbeitung einschließlich der betroffenen Datenarten ergeben sich aus Anhang 1 zu dieser Vereinbarung sowie aus dem Vertrag.
2.2 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union (EU), in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) oder in einem Drittland mit Angemessenheitsbeschluss statt. Jede Verlagerung der Datenverarbeitung in ein Drittland ohne Angemessenheitsbeschluss bedarf der vorherigen Information des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt werden.
2.3 Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter Weisungen hinsichtlich der Datenverarbeitung zu erteilen. Weisungen sind grundsätzlich in Textform zu erteilen. Werden Weisungen ausnahmsweise mündlich erteilt, sind sie unverzüglich nachträglich vom Verantwortlichen schriftlich in Textform zu dokumentieren. Der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen die vertragsgegenständlichen Daten ausschließlich entsprechend der Weisung des Verantwortlichen verarbeiten einschließlich der in dieser Vereinbarung eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
2.4 Bestimmt der Auftragsverarbeiter die Zwecke und Mittel der Verarbeitung unter Verstoß gegen die DSGVO, ist er bezüglich der in dieser Vereinbarung geregelten Verarbeitung selbst Verantwortlicher und haftet entsprechend gemäß Art. 82 DSGVO.
3. Pflichten des Auftragsverarbeiters
3.1 Der Auftragsverarbeiter wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Verantwortlichen treffen, die den Anforderungen der Datenschutz-Grundverordnung insbesondere Art. 32 DSGVO genügen.
3.2 Der Auftragsverarbeiter wird bei der Durchführung der Arbeiten nur Mitarbeiter einsetzen, die er mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut gemacht hat und in geeigneter Weise zur Verschwiegenheit verpflichtet hat (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO).
3.3 Der Auftragsverarbeiter hat die Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung hinsichtlich der konkreten Auftragsdurchführung in Anhang 2 dokumentiert. Dem Verantwortlichen sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
3.4 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
3.5 Der Auftragsverarbeiter wird den Verantwortlichen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von datenschutzrechtlichen Rechten Betroffener nachzukommen und wird ihn bei der Einhaltung seiner datenschutzrechtlichen Pflichten aus Art. 32-36 DSGVO unterstützen und ihm alle erforderlichen Informationen zur Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung stellen.
3.6 Der Auftragsverarbeiter wird den Verantwortlichen jederzeit auf Anfrage über Person und Kontaktdaten des betrieblichen Datenschutzbeauftragten des Auftragsverarbeiters oder des Ansprechpartners in Datenschutzangelegenheiten informieren.
4. Kontrollen des Verantwortlichen und von Aufsichtsbehörden
4.1 Sollten im Einzelfall Kontrollen der technischen organisatorischen Maßnahmen hinsichtlich der vertragsgegenständlichen Daten durch den Verantwortlichen erforderlich sein, werden diese zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach vorheriger Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt.
4.2 Der Auftragsverarbeiter darf die Durchführung von Kontrollen von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen, wenn nicht der Verantwortliche einen von Gesetzes wegen und/oder berufsrechtlich zur Verschwiegenheit verpflichteten Prüfer mit der Durchführung der Kontrolle beauftragt.
4.3 Sollte der durch den Verantwortlichen beauftragte Prüfer in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht.
4.4 Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Verantwortlichen eine Kontrolle der vertragsgegenständlichen Datenverarbeitung durchführen wollen, wird der Auftragsverarbeiter den Verantwortlichen hierbei unterstützen. Die vorstehenden Absätze gelten entsprechend.
4.5 Der Auftragsverarbeiter kann für die Mitwirkung bei einer Kontrolle den Ersatz seines durch die Kontrolle entstehenden Aufwands verlangen, den er auf Basis eines Stundensatzes in Höhe von 150,- EUR gegenüber dem Verantwortlichen abrechnen wird. Zur Klarstellung: Diese Vergütungsregelung soll gewährleisten, dass der Auftragsverarbeiter auch nach Vertragsschluss den individuellen Kundenbedürfnissen des Verantwortlichen im Bereich des Datenschutzes gerecht werden kann und den Verantwortlichen auch bei einem Kontrolltermin serviceorientiert betreuen kann.
5. Berichtigung, Einschränkung und Löschung von Daten
5.1 Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nur löschen oder deren Verarbeitung einschränken, wenn dies im Vertrag oder in dieser Vereinbarung über die Auftragsverarbeitung vorgesehen ist oder der Verantwortliche eine entsprechende Weisung erteilt. Soweit eine betroffene Person sich mit einem Löschbegehren unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
5.2 Der Auftragsverarbeiter wird nach Ende dieser Vereinbarung alle vertragsgegenständlichen personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben, soweit nicht nach dem Unionsrecht oder dem deutschen Datenschutzrecht eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
5.3 Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
6. Unterauftragsverhältnisse
6.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragsverarbeiter z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
6.2 Der Auftragsverarbeiter darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Verantwortlichen oder nach einer Information des Verantwortlichen, die den Anforderungen von Art. 28 Abs. 2 S. 2 DSGVO entspricht, beauftragen.
6.3 Eine Beauftragung von Unterauftragnehmern in Drittländern ohne Angemessenheitsbeschluss darf nur erfolgen, wenn zusätzlich die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
6.4 Der Verantwortliche stimmt den in Anhang 3 genannten Unterauftragnehmern mit Vertragsschluss zu.
6.5 Verweigert der Verantwortliche die Zustimmung oder widerspricht er der Beauftragung des Unterauftragnehmers, so ist der Auftragsverarbeiter berechtigt, den Vertrag vorzeitig mit einer Frist von einem (1) Monat zu kündigen.
7. Vergütung
7.1 Sofern eine Weisung Maßnahmen erforderlich macht, zu denen der Auftragsverarbeiter nicht auf Basis des Vertrags oder dieser Vereinbarung verpflichtet ist, kann er die Umsetzung der Weisung von der Vereinbarung über eine für die entsprechende Maßnahme angemessene Vergütung auf Basis eines Stundensatzes von 150,- EUR abhängig machen. Die Zusatzkosten gelten nicht für alle sonstigen Pflichten des Auftragsverarbeiters aus dieser Vereinbarung, insbesondere nicht für die Erfüllung von Auskunftspflichten und Mitwirkungspflichten. Zur Klarstellung: Diese Vergütungsregelung soll gewährleisten, dass der Auftragsverarbeiter auch nach Vertragsschluss die individuellen Kundenbedürfnissen des Verantwortlichen im Bereich des Datenschutzes gerecht werden kann und gilt daher nur für solche Fälle, in denen der Verantwortliche zusätzliche Maßnahmen im Bereich Datenschutz beauftragt, zu denen der Auftragsverarbeiter nicht schon auf Basis des Vertrags oder dieser Vereinbarung verpflichtet war.
8. Laufzeit
Diese Vereinbarung gilt ab Vertragsschluss und endet mit der vollständigen Durchführung der in Anhang 1 beschriebenen Maßnahmen, ohne dass es einer Kündigung durch eine der Parteien bedürfte oder mit der Beendigung des dieser Vereinbarung zugrundeliegenden Vertrags.
Auflistung der beauftragten Dienstleistungen (Umfang, Art, Zweck der Erhebung, Verarbeitung, Nutzung von Daten, Art der Daten, Kreis der Betroffenen)
| Art der Leistung | Art der Verarbeitung | Datenarten | Kreis der Betroffenen |
|---|---|---|---|
| Bereitstellung einer Softwarelösung zur Erstellung, Verwaltung und Automatisierung von Vorlagen, Dokumenten und E-Mail Signaturen im Zusammenhang mit Microsoft Produkten |
| Vor- und Nachnamen, Firmenname, Kundentyp, Kontaktdaten (z.B. Adresse, E-Mail, Telefonnummer), Zahlungsdaten, Jobtitel, Position im Unternehmen, Kommunikationsinhalte | Mitarbeiter, potenzielle Kunden des Kunden, Lieferanten des Kunden |
Technische und organisatorische Maßnahmen
Technische Maßnahmen
1. Mandantentrennung:
- Die Daten der Mandanten werden logisch voneinander getrennt. Jede Datenbank ist mit einer eindeutigen Mandanten-ID verknüpft.
2. Zugriffsmanagement:
- Zugriffsrechte werden nach dem Prinzip der minimalen Rechte (Least Privilege) vergeben. Benutzerrollen werden über ein rollenbasiertes Zugriffskontrollsystem (RBAC) verwaltet.
- Die Multi-Faktor-Authentifizierung (MFA) ist für alle Benutzer verpflichtend.
3. Netzwerksicherheit:
- Der Zugriff auf die SaaS-Plattform erfolgt ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS).
- Eine Application Firewall (WAF) schützt den Service vor unbefugten oder schädlichen Zugriffen, indem sie eingehenden Datenverkehr auf bekannte Angriffsmuster wie SQL-Injection, Cross-Site-Scripting (XSS) und andere OWASP Top 10-Sicherheitsrisiken überprüft und blockiert.
4. Monitoring und Logging:
- Ein zentrales Monitoring-System überwacht die Verfügbarkeit und Performance der SaaS-Lösung in Echtzeit. Auffälligkeiten wie ungewöhnlich hohe Latenzen oder Systemausfälle werden automatisch erkannt und gemeldet.
- Ein automatisiertes Alarmsystem benachrichtigt das IT-Team bei kritischen Ereignissen, wie z. B. fehlgeschlagenen Anmeldeversuchen oder Ressourcenengpässen.
5. Datensicherung und Wiederherstellung:
- Tägliche Backups werden automatisch erstellt und in einem georedundanten Rechenzentrum gespeichert.
- Die Wiederherstellbarkeit der Backups wird vierteljährlich getestet.
6. Skalierbarkeit und Verfügbarkeit:
- Die SaaS-Lösung ist so konzipiert, dass sie durch horizontale Skalierung zusätzliche Serverressourcen automatisch hinzufügt, um Lastspitzen zu bewältigen.
- Ein Load-Balancer verteilt eingehende Anfragen gleichmäßig auf mehrere Server, um eine hohe Verfügbarkeit und optimale Performance sicherzustellen.
- Die Infrastruktur ist hochverfügbar ausgelegt, mit redundanten Servern, um Ausfallzeiten zu minimieren. Die garantierte Verfügbarkeit beträgt 98 % gemäß SLA.
7. Patch-Management:
- Ein zentralisiertes Patch-Management-System sorgt dafür, dass alle Betriebssysteme, Middleware und Anwendungen regelmäßig auf Sicherheitsupdates überprüft und aktualisiert werden.
- Kritische Sicherheitsupdates werden innerhalb von 24 Stunden nach Veröffentlichung eingespielt, um potenzielle Schwachstellen zu schließen.
- Vor der Installation von Updates werden diese in einer isolierten Testumgebung geprüft, um die Stabilität und Kompatibilität der SaaS-Lösung sicherzustellen.
Organisatorische Maßnahmen
1. Datenschutz und Compliance:
- Die Verarbeitung personenbezogener Daten erfolgt gemäß den Anforderungen der DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) wird mit jedem Kunden abgeschlossen.
- Ein Datenschutzbeauftragter überwacht die Einhaltung der Datenschutzrichtlinien.
2. Schulungen und Sensibilisierung:
- Alle Mitarbeiter erhalten jährlich Schulungen zu IT-Sicherheit und Datenschutz.
- Neue Mitarbeiter müssen vor Arbeitsbeginn eine verpflichtende Sicherheitsschulung absolvieren.
3. Risikomanagement:
- Regelmäßige Risikoanalysen werden durchgeführt, um potenzielle Schwachstellen in der SaaS-Lösung zu identifizieren und zu bewerten. Die Ergebnisse werden dokumentiert und priorisiert.
- Für identifizierte Risiken werden geeignete Maßnahmen definiert, umgesetzt und regelmäßig überprüft, um die Sicherheits- und Verfügbarkeitsanforderungen zu gewährleisten.
4. Zugriffsrichtlinien:
- Zugriffsrechte werden nach dem Prinzip der minimalen Rechte (Least Privilege) vergeben, sodass Benutzer nur auf die Ressourcen zugreifen können, die sie für ihre Aufgaben benötigen.
- Alle Zugriffsrechte werden vierteljährlich überprüft und bei Bedarf angepasst, um sicherzustellen, dass keine unbefugten Zugriffe möglich sind.
- Administratoren- und privilegierte Zugriffe sind durch Multi-Faktor-Authentifizierung (MFA) geschützt und werden in Echtzeit überwacht.
5. Vertragsmanagement:
- Mit jedem Kunden wird ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen, der die Einhaltung der DSGVO und anderer relevanter Datenschutzgesetze sicherstellt.
- Service Level Agreements (SLAs) definieren klare Vorgaben zu Verfügbarkeit, Reaktionszeiten und Verantwortlichkeiten. Diese werden regelmäßig überprüft und bei Bedarf angepasst.
- Transparenz über die Datenverarbeitung wird durch detaillierte Vertragsdokumente gewährleistet, die den Kunden jederzeit zur Verfügung stehen.
6. Incident-Management:
- Ein Incident-Management-Prozess ist etabliert, der die Erkennung, Meldung, Analyse und Behebung von Sicherheitsvorfällen regelt. Alle Vorfälle werden dokumentiert und ausgewertet.
- Sicherheitsvorfälle werden innerhalb von 24 Stunden nach Entdeckung an die zuständigen Stellen gemeldet und bearbeitet.
- Nach jedem Vorfall wird eine Ursachenanalyse durchgeführt, um Maßnahmen zur Vermeidung ähnlicher Vorfälle in der Zukunft zu entwickeln.
Unterauftragnehmer
| Unterauftragnehmer | Adresse | Zweck der Beauftragung | Ort der Verarbeitung |
|---|---|---|---|
| Microsoft | Microsoft Deutschland GmbH Walter-Gropius-Strasse 5 80807 München | Hosting | EU und Schweiz |
| Microsoft | Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA | Hosting | EU und Schweiz |
AGB als PDF-Dokument
Die Webversion entspricht dem PDF-Dokument „AGB_DOCUNIZE-20250501-V1.0“ (Stand: 01. Mai 2025, Version 1.0). Für Ihre Unterlagen können Sie das Dokument hier herunterladen.
AGB herunterladen (PDF, Stand Mai 2025)