1 Geltungsbereich und Vertragspartner

1.1Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge über Leistungen der Afdal Technologies UG (haftungsbeschränkt), Thurn-und-Taxis-Platz 6, 60313 Frankfurt am Main, eingetragen im Handelsregister des Amtsgerichts Frankfurt am Main unter HRB 144713, vertreten durch den Geschäftsführer Semi Bedirhan Crohn, nachfolgend Afdal genannt.

1.2Die AGB gelten ausschließlich gegenüber Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Verträge mit Verbrauchern werden auf Grundlage dieser AGB nicht geschlossen.

1.3Entgegenstehende oder abweichende Geschäftsbedingungen des Kunden gelten nur, wenn Afdal ihrer Geltung ausdrücklich in Textform zugestimmt hat. Die vorbehaltlose Leistung oder Annahme einer Zahlung stellt keine Zustimmung dar.

1.4Individuelle Vereinbarungen haben Vorrang. Für ihren jeweiligen Regelungsgegenstand gehen außerdem die Auftragsbestätigung, die Leistungsbeschreibung, ein Service Level Agreement, eine Vereinbarung zur Auftragsverarbeitung und dokumentierte besondere Testregeln diesen AGB vor. Bei Widersprüchen gilt diese Reihenfolge, sofern die Parteien nichts anderes vereinbart haben.

2 Vertragsschluss und Vertragsunterlagen

2.1Angebote von Afdal sind freibleibend, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind. Ein Vertrag kommt durch die Auftragsbestätigung von Afdal, durch beiderseitige Unterzeichnung, durch Annahme über einen elektronischen Bestellprozess oder durch Beginn der Leistung auf ausdrücklichen Wunsch des Kunden zustande.

2.2Mündliche Auskünfte, Präsentationen, Kostenschätzungen und Leistungsbeschreibungen vor Vertragsschluss sind nur verbindlich, wenn sie in die Vertragsunterlagen aufgenommen oder ausdrücklich bestätigt werden.

2.3Der Kunde prüft die Auftragsbestätigung unverzüglich. Er weist Afdal ohne schuldhaftes Zögern auf erkennbare Abweichungen von seiner Bestellung hin.

2.4Afdal darf ein Angebot von einer technischen Vorprüfung oder der Klärung von Anforderungen abhängig machen. Eine solche Vorprüfung ist nur geschuldet, wenn sie ausdrücklich beauftragt wurde.

3 Leistungsumfang und geschuldeter Erfolg

3.1Gegenstand und Umfang der Leistung ergeben sich aus den Vertragsunterlagen. Nicht ausdrücklich aufgeführte Leistungen, Systeme, Standorte, Konten, Schnittstellen oder Betriebszeiten sind nicht geschuldet.

3.2Beratung, laufende Betreuung, Monitoring, Support, Incident Response, Schulungen, Vertriebsunterstützung und Prüfleistungen werden als Dienstleistungen erbracht, sofern die Parteien keinen bestimmten Erfolg ausdrücklich als Werkleistung vereinbaren. Bei Dienstleistungen schuldet Afdal eine fachgerechte Tätigkeit, nicht den Eintritt eines bestimmten wirtschaftlichen, technischen, regulatorischen oder vertrieblichen Erfolgs.

3.3Bei Werkleistungen richtet sich der geschuldete Erfolg ausschließlich nach den vereinbarten Abnahmekriterien. Angaben zu Konzepten, Roadmaps, Schätzungen oder möglichen Ergebnissen erweitern den Leistungsumfang nicht.

3.4IT Sicherheit ist ein fortlaufender Risikomanagementprozess. Sofern nicht ausdrücklich vereinbart, schuldet Afdal weder vollständige Angriffssicherheit noch die Erkennung sämtlicher Schwachstellen, Schadsoftware oder Angriffe. Erkenntnisse beziehen sich auf den geprüften Umfang, den Prüfzeitpunkt, die eingesetzten Methoden und den zu diesem Zeitpunkt erreichbaren Stand der Technik.

3.5Leistungen zu ISO 27001, NIS2, Datenschutz oder anderen Regelwerken sind fachliche Unterstützungsleistungen. Sie ersetzen keine Rechtsberatung und keine Zertifizierung, behördliche Prüfung oder Freigabe durch eine akkreditierte Stelle. Eine erfolgreiche Zertifizierung oder vollständige Compliance ist nur geschuldet, wenn dies ausdrücklich und rechtlich zulässig vereinbart wurde.

4 Leistungsänderungen

4.1Jede Partei kann Änderungen des Leistungsumfangs vorschlagen. Afdal prüft, soweit erforderlich, die Auswirkungen auf Vergütung, Termine, Ressourcen, Sicherheit und technische Machbarkeit.

4.2Bis zu einer Einigung gelten die bisherigen Vertragsunterlagen fort. Afdal ist nicht verpflichtet, eine gewünschte Änderung vor der Einigung umzusetzen. Aufwand für eine umfangreiche Änderungsprüfung wird nur berechnet, wenn Afdal den Kunden vorher darauf hingewiesen hat.

4.3Muss Afdal eine Leistung wegen einer akuten und erheblichen Sicherheitsgefahr vorläufig anpassen, darf Afdal die zwingend erforderlichen Maßnahmen ergreifen, sofern das Abwarten einer Weisung unvertretbar wäre. Afdal informiert den Kunden unverzüglich und beschränkt die Maßnahme auf das Erforderliche.

5 Mitwirkungspflichten des Kunden

5.1Der Kunde stellt rechtzeitig alle Informationen, Ansprechpartner, Freigaben, Testdaten, Zugänge, Lizenzen und technischen Voraussetzungen bereit, die für die vereinbarte Leistung erforderlich sind. Angaben müssen vollständig und richtig sein.

5.2Der Kunde benennt fachlich und technisch entscheidungsbefugte Ansprechpartner sowie einen erreichbaren Notfallkontakt. Verzögerungen durch fehlende Entscheidungen oder Freigaben gehen nicht zulasten von Afdal.

5.3Der Kunde gewährt nur die erforderlichen Berechtigungen, schützt Zugangsdaten vor unbefugtem Zugriff und widerruft nicht mehr benötigte Zugänge unverzüglich. Er informiert Afdal sofort über vermuteten Missbrauch oder sicherheitsrelevante Änderungen.

5.4Der Kunde erstellt vor eingriffsintensiven Arbeiten und regelmäßig während des Betriebs vollständige, aktuelle und überprüfte Datensicherungen nach einem seinem Risiko angemessenen Sicherungskonzept, sofern die Datensicherung nicht ausdrücklich Afdal übertragen wurde. Sicherungskopien sind so zu trennen, dass sie von einem Ausfall oder Angriff auf das Produktivsystem nicht gleichzeitig betroffen werden.

5.5Der Kunde bleibt für seine geschäftlichen Entscheidungen, die Priorisierung von Risiken und die Umsetzung nicht beauftragter Empfehlungen verantwortlich. Er prüft Berichte und Handlungsempfehlungen unter Berücksichtigung seiner Systeme und Betriebsabläufe.

5.6Kommt der Kunde einer erforderlichen Mitwirkung trotz Hinweises nicht nach, verlängern sich Leistungsfristen angemessen. Nachweisbarer zusätzlicher Aufwand kann nach der vereinbarten, hilfsweise nach der üblichen Vergütung berechnet werden. Weitergehende gesetzliche Rechte bleiben unberührt.

6 Sicherheitsprüfungen und Penetrationstests

6.1Sicherheitsprüfungen, Schwachstellenanalysen, Webchecks und Penetrationstests werden nur innerhalb eines vorab dokumentierten Prüfauftrags durchgeführt. Dieser soll mindestens Zielsysteme, zulässige Methoden, ausgeschlossene Handlungen, Testzeitraum, Intensität, Abbruchkriterien, Ansprechpartner und Meldeweg für kritische Feststellungen festlegen.

6.2Der Kunde versichert, zur Beauftragung sämtlicher Prüfhandlungen an allen Zielsystemen, Anwendungen, Konten, Daten und Netzen berechtigt zu sein. Er beschafft erforderliche Zustimmungen von Eigentümern, Hostern, Cloud Anbietern, Plattformbetreibern und sonstigen Dritten vor Testbeginn und weist sie Afdal auf Verlangen nach.

6.3Afdal überschreitet den vereinbarten Prüfbereich nicht. Wird während der Prüfung ein vermutlich außerhalb des Prüfbereichs liegendes System erreicht oder eine erhebliche Gefahr für Dritte erkennbar, unterbricht Afdal die betreffende Handlung und stimmt das weitere Vorgehen mit dem Kunden ab, soweit nicht eine sofortige Gefahrenabwehr zwingend erforderlich ist.

6.4Der Kunde nimmt zur Kenntnis, dass auch sorgfältig geplante Prüfungen zu Lastspitzen, Fehlalarmen, Sperren, Neustarts oder Betriebsbeeinträchtigungen führen können. Produktive Systeme dürfen nur in dem vereinbarten Umfang getestet werden. Afdal beachtet vereinbarte Ratenbegrenzungen, Sperrzeiten und Abbruchkriterien.

6.5Kritische Feststellungen darf Afdal über den vereinbarten Notfallkanal vorab melden. Der Kunde entscheidet über die Abhilfemaßnahmen, sofern Afdal nicht ausdrücklich mit deren Umsetzung beauftragt ist.

6.6Ein Prüfbericht dokumentiert die im Prüfzeitraum erkannten Befunde. Er ist keine Garantie dafür, dass keine weiteren oder später entstehenden Schwachstellen bestehen. Risikoeinstufungen sind fachliche Bewertungen auf Grundlage der verfügbaren Informationen und ersetzen die kundenseitige Risikoentscheidung nicht.

6.7Social Engineering und Awareness Tests werden nur aufgrund einer ausdrücklichen Beauftragung und schriftlich dokumentierter Testregeln durchgeführt. Der Kunde legt zulässige Kommunikationswege, Zielgruppen, Ausschlüsse, Eskalationskontakte und den Umgang mit Testergebnissen fest und stellt die erforderliche innerbetriebliche Berechtigung sowie datenschutzrechtliche Zulässigkeit sicher.

6.8Die Ausnutzung erkannter Schwachstellen, Denial of Service Angriffe und Lasttests sind nicht geschuldet und werden nur durchgeführt, wenn sie ausnahmsweise ausdrücklich, rechtlich zulässig und in einem gesonderten Prüfplan vereinbart wurden. Ohne eine solche Vereinbarung unterbleiben diese Handlungen.

7 Laufende IT und Sicherheitsleistungen

7.1Monitoring, SIEM, EDR, Patch Management, Microsoft 365 Schutzmaßnahmen, Backup Überwachung und vergleichbare laufende Leistungen erfassen nur die ausdrücklich einbezogenen Systeme, Benutzer, Datenquellen und Ereignisse.

7.2Eine Überwachung rund um die Uhr, feste Reaktionszeiten, Wiederherstellungszeiten oder eine bestimmte Verfügbarkeit gelten nur, wenn sie in einem Service Level Agreement ausdrücklich vereinbart sind. Eine Reaktionszeit ist die Zeit bis zur Aufnahme der Bearbeitung und keine Zusage zur Lösung innerhalb dieser Zeit.

7.3Afdal darf planbare Wartungsarbeiten in angemessenen Zeitfenstern durchführen. Soweit die Leistung hierdurch wesentlich beeinträchtigt wird, informiert Afdal den Kunden mit angemessenem Vorlauf. Dringende Sicherheitsupdates dürfen kurzfristiger durchgeführt werden.

7.4Der Kunde stellt sicher, dass unterstützte Systemstände, ausreichende Lizenzen und kompatible technische Umgebungen vorhanden sind. Leistungen an nicht unterstützten oder wesentlich veralteten Systemen können gesonderte Maßnahmen und Vergütung erfordern.

7.5Alarme und automatisierte Erkennungen können Fehlalarme oder unvollständige Ergebnisse enthalten. Afdal bewertet sie im vereinbarten Umfang; eine manuelle Prüfung jedes Ereignisses ist nur geschuldet, wenn dies ausdrücklich vereinbart wurde.

7.6Die regulären Geschäftszeiten von Afdal sind montags bis freitags von 08:00 Uhr bis 17:00 Uhr mit Ausnahme gesetzlicher Feiertage am Sitz von Afdal. Leistungen außerhalb dieser Zeiten, eine 24 Stunden Erreichbarkeit an sieben Tagen pro Woche sowie garantierte Verfügbarkeiten gelten ausschließlich, wenn sie im Angebot oder in einem Service Level Agreement ausdrücklich vereinbart sind.

8 Unterstützung bei Sicherheitsvorfällen

8.1Incident Response Leistungen dienen der Analyse, Eindämmung, Beweissicherung, Wiederherstellung oder Koordination im vereinbarten Umfang. Afdal schuldet keinen bestimmten Aufklärungserfolg, keine vollständige Datenwiederherstellung und keine Garantie, dass ein Angreifer dauerhaft ausgeschlossen werden kann.

8.2Der Kunde bleibt für die Leitung des Vorfalls, unternehmerische Entscheidungen sowie gesetzliche, behördliche, versicherungsvertragliche und gegenüber Betroffenen bestehende Meldepflichten verantwortlich. Afdal unterstützt hierbei nur, wenn dies ausdrücklich beauftragt und rechtlich zulässig ist.

8.3Eingriffe wie das Isolieren von Systemen, Sperren von Konten, Zurücksetzen von Zugangsdaten oder Abschalten von Diensten erfolgen nach Freigabe des Kunden. Eine Vorabfreigabe für klar definierte Notfallmaßnahmen kann in einem Notfallplan vereinbart werden.

8.4Der Kunde verändert potenzielle Beweismittel nicht ohne Abstimmung, soweit dadurch die Gefahrenabwehr nicht unvertretbar verzögert wird. Er dokumentiert eigene Maßnahmen und stellt Afdal relevante Protokolle und Zeitangaben bereit.

9 Softwareentwicklung und Werkleistungen

9.1Anforderungen, Schnittstellen, Zielumgebung und Abnahmekriterien werden in der Leistungsbeschreibung festgelegt. Afdal darf fachlich gleichwertige technische Lösungen einsetzen, soweit vereinbarte Funktionen und berechtigte Interessen des Kunden nicht beeinträchtigt werden.

9.2Bei agilen Projekten werden Leistungsumfang und Prioritäten innerhalb des vereinbarten Budgets fortlaufend konkretisiert. Eine Schätzung ist keine Festpreis oder Fertigstellungszusage, sofern sie nicht ausdrücklich als solche bezeichnet ist.

9.3Nach Fertigstellung einer Werkleistung fordert Afdal den Kunden zur Abnahme auf. Der Kunde prüft die Leistung innerhalb der gesetzten angemessenen Frist, die regelmäßig mindestens zehn Werktage beträgt. Erklärt der Kunde innerhalb der Frist weder die Abnahme noch verweigert er sie unter Benennung mindestens eines konkreten Mangels, gilt die Leistung nach Maßgabe des § 640 Absatz 2 BGB als abgenommen.

9.4Unwesentliche Mängel berechtigen nicht zur Verweigerung der Abnahme. Teilabnahmen können für in sich abgeschlossene und selbstständig nutzbare Leistungsteile vereinbart oder verlangt werden, wenn dies dem Kunden zumutbar ist.

9.5Nutzt der Kunde eine fertiggestellte Leistung produktiv, ohne innerhalb einer angemessenen Prüfungsfrist einen wesentlichen Mangel anzuzeigen, kann dies als Abnahme gelten, wenn Afdal den Kunden zuvor auf diese Folge hingewiesen hat.

10 Softwarelizenzen Vertrieb und Leistungen Dritter

10.1Afdal vertreibt eigene Leistungen und kann Software, Cloud Dienste, Sicherheitsprodukte oder Nutzungsrechte von Drittanbietern an den Kunden weiterverkaufen oder vermitteln. Soweit Afdal lediglich einen Vertrag mit einem Drittanbieter vermittelt, wird der Drittanbieter Vertragspartner für das vermittelte Produkt; hierauf weist Afdal im Angebot hin. Im Übrigen bleibt Afdal Vertragspartner des Kunden.

10.2Für Produkte und Lizenzen Dritter gelten ergänzend die jeweiligen Nutzungs, Lizenz und Supportbedingungen des Drittanbieters, soweit sie wirksam einbezogen werden. Afdal stellt dem Kunden die maßgeblichen Bedingungen vor Vertragsschluss oder über einen zugänglichen Verweis zur Verfügung.

10.3Afdal schuldet keinen bestimmten Verkaufserfolg, keine bestimmte wirtschaftliche Wirkung eines eingesetzten Produkts und keine dauerhafte Verfügbarkeit eines Drittprodukts. Afdal haftet nach Abschnitt 17 für eigene Pflichtverletzungen, insbesondere bei ausdrücklich beauftragter Auswahl, Konfiguration oder Integration.

10.4Afdal darf für den Vertrieb sorgfältig ausgewählte Vertriebspartner einsetzen. Diese sind ohne ausdrückliche Vollmacht nicht berechtigt, von den Vertragsunterlagen abweichende Zusagen abzugeben oder Garantien im Namen von Afdal zu übernehmen.

10.5Ändert ein Drittanbieter technische Voraussetzungen, Lizenzmodelle oder Preise oder stellt er ein Produkt ein, informiert Afdal den Kunden, sobald Afdal hiervon Kenntnis erlangt. Änderungen laufender Entgelte werden nur nach Maßgabe einer Vereinbarung oder zum Beginn eines neuen Verlängerungszeitraums wirksam. Ist die Änderung für den Kunden unzumutbar, kann er die betroffene Leistung zum Änderungszeitpunkt kündigen.

11 Vergütung und Zahlungsbedingungen

11.1Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer. Reisekosten, Auslagen und Leistungen außerhalb des vereinbarten Umfangs werden nur berechnet, wenn dies vereinbart ist oder der Kunde sie nach vorherigem Hinweis veranlasst hat.

11.2Projektleistungen werden nach dem vereinbarten Zahlungsplan, laufende Leistungen grundsätzlich monatlich nachträglich und sonstige Leistungen nach Erbringung abgerechnet. Eine Anzahlung oder abweichende Abrechnung gilt nur, wenn sie im Angebot oder Vertrag vereinbart ist. Fehlt bei einem Projekt ein Zahlungsplan, darf Afdal monatlich nach Leistungsstand abrechnen.

11.3Rechnungen sind innerhalb von sieben Kalendertagen ab Zugang ohne Abzug fällig. Maßgeblich ist der Zahlungseingang bei Afdal.

11.4Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen und die gesetzliche Verzugspauschale für Entgeltforderungen zwischen Unternehmern. Die Geltendmachung eines weitergehenden Verzugsschadens bleibt vorbehalten; die Pauschale wird hierauf angerechnet.

11.5Erhöht sich ein vereinbarter Leistungsumfang durch Anforderungen des Kunden oder durch nicht von Afdal zu vertretende technische Umstände, informiert Afdal den Kunden und holt vor zusätzlichem Aufwand eine Freigabe ein, sofern nicht eine sofortige Maßnahme zur Abwehr einer erheblichen Gefahr erforderlich und vom Vertragszweck gedeckt ist.

11.6Zahlungen können, soweit angeboten, per Überweisung, SEPA Lastschrift, Karte oder über einen Zahlungsdienstleister erfolgen. Ergänzend können die Bedingungen des Zahlungsdienstleisters gelten. Gebühren einer fehlgeschlagenen oder unberechtigten Rückbelastung trägt der Kunde nur, soweit er sie zu vertreten hat und sie tatsächlich angefallen sind.

12 Nutzungsrechte und Arbeitsergebnisse

12.1Nach vollständiger Zahlung erhält der Kunde an individuell für ihn erstellten Berichten, Konzepten, Dokumentationen und Arbeitsergebnissen ein zeitlich und räumlich unbeschränktes, nicht ausschließliches Recht zur vertragsgemäßen internen Nutzung. Eine weitergehende oder ausschließliche Rechteübertragung bedarf einer ausdrücklichen Vereinbarung.

12.2Der Kunde darf Prüfberichte an seine verbundenen Unternehmen, Berufsgeheimnisträger, Versicherer, Auditoren, Zertifizierungsstellen und zuständigen Behörden weitergeben, soweit dies für den vorgesehenen Zweck erforderlich ist und angemessene Vertraulichkeit gewahrt bleibt. Eine Veröffentlichung oder werbliche Nutzung bedarf der Zustimmung von Afdal.

12.3Vorbekannte Werkzeuge, Bibliotheken, Methoden, Vorlagen, generisches Wissen und wiederverwendbare Bestandteile von Afdal verbleiben bei Afdal. Der Kunde erhält daran die für die Nutzung des konkreten Arbeitsergebnisses notwendigen Rechte.

12.4Für individuell entwickelte Software gelten die in der Leistungsbeschreibung vereinbarten Nutzungsrechte. Ohne abweichende Vereinbarung erhält der Kunde nach vollständiger Zahlung ein einfaches, zeitlich unbeschränktes Recht, die überlassene Software für eigene Geschäftszwecke zu nutzen. Quellcode, Bearbeitungsrechte, Weitervertrieb oder ausschließliche Rechte werden nur geschuldet, wenn dies ausdrücklich vereinbart ist.

12.5Open Source Software und Bestandteile Dritter unterliegen den jeweils geltenden Lizenzbedingungen. Afdal weist den Kunden auf wesentliche Lizenzbedingungen hin, soweit diese für die vertragsgemäße Nutzung relevant sind.

12.6Der Kunde versichert, dass von ihm bereitgestellte Inhalte, Daten, Kennzeichen und Software vertragsgemäß genutzt werden dürfen. Er stellt Afdal von berechtigten Ansprüchen Dritter frei, die auf einer vom Kunden zu vertretenden Rechtsverletzung beruhen; Afdal informiert den Kunden unverzüglich und überlässt ihm, soweit rechtlich möglich, die Verteidigung in Abstimmung mit Afdal.

13 Vertraulichkeit

13.1Die Parteien behandeln alle als vertraulich gekennzeichneten oder nach den Umständen erkennbar vertraulichen kaufmännischen, organisatorischen und technischen Informationen der jeweils anderen Partei vertraulich. Hierzu gehören insbesondere Zugangsdaten, Sicherheitsarchitekturen, Schwachstellen, Prüfberichte, Geschäftsgeheimnisse und nicht öffentliche Vertragsinhalte.

13.2Vertrauliche Informationen dürfen nur für die Durchführung des Vertrags verwendet und nur solchen Beschäftigten und eingesetzten Dritten zugänglich gemacht werden, die sie hierfür benötigen und angemessen zur Vertraulichkeit verpflichtet sind.

13.3Die Verpflichtung gilt nicht für Informationen, die nachweislich öffentlich bekannt sind, rechtmäßig von einem Dritten erlangt wurden, unabhängig entwickelt wurden oder aufgrund einer gesetzlichen oder vollziehbaren behördlichen Anordnung offengelegt werden müssen. Soweit zulässig, informiert die offenlegende Partei die andere Partei vorher.

13.4Die Vertraulichkeitspflicht gilt für fünf Jahre nach Vertragsende fort. Für Geschäftsgeheimnisse gilt sie darüber hinaus, solange die gesetzlichen Voraussetzungen eines Geschäftsgeheimnisses bestehen.

13.5Eine Nennung des Kunden als Referenz, die Verwendung seines Logos oder die Veröffentlichung von Projektdetails bedarf seiner vorherigen Zustimmung.

14 Datenschutz

14.1Jede Partei verarbeitet personenbezogene Daten in eigener Verantwortung nach den anwendbaren Datenschutzvorschriften, soweit nicht eine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit vorliegt.

14.2Verarbeitet Afdal personenbezogene Daten im Auftrag des Kunden, schließen die Parteien vor Beginn der Verarbeitung eine Vereinbarung nach Artikel 28 DSGVO. Diese regelt insbesondere Gegenstand und Dauer, Weisungen, technische und organisatorische Maßnahmen, Unterauftragnehmer, Unterstützungspflichten sowie Rückgabe und Löschung.

14.3Der Kunde stellt sicher, dass die Übermittlung an Afdal und die von ihm erteilten Weisungen rechtmäßig sind. Er informiert Afdal über besondere Kategorien personenbezogener Daten oder erhöhte Schutzanforderungen, bevor Afdal Zugriff erhält.

14.4Afdal informiert den Kunden im Rahmen der anwendbaren Vereinbarung unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten und unterstützt ihn im vereinbarten Umfang. Gesetzliche Meldepflichten der jeweils verantwortlichen Partei bleiben unberührt.

14.5Soweit Afdal den Speicherort selbst bestimmt, werden auftragsbezogene Kundendaten grundsätzlich in Deutschland verarbeitet. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur nach Vereinbarung und unter Einhaltung der gesetzlichen Voraussetzungen. Für eigenständig vom Kunden gewählte oder vorgegebene Drittanbieter gelten deren dokumentierte Verarbeitungsorte und Datenschutzbedingungen.

15 Termine und höhere Gewalt

15.1Termine und Fristen sind nur verbindlich, wenn sie ausdrücklich als verbindlich vereinbart wurden. Voraussetzung ist, dass der Kunde seine Mitwirkung rechtzeitig erbringt.

15.2Leistungsfristen verlängern sich angemessen, wenn Afdal durch höhere Gewalt oder ein anderes bei Vertragsschluss nicht vorhersehbares und trotz angemessener Maßnahmen nicht beherrschbares Ereignis an der Leistung gehindert ist. Dazu können Naturereignisse, hoheitliche Maßnahmen, Arbeitskämpfe, erhebliche Störungen öffentlicher Kommunikationsnetze sowie schwerwiegende Angriffe auf die Infrastruktur von Afdal oder unverzichtbarer Anbieter gehören, sofern Afdal das Ereignis nicht zu vertreten hat.

15.3Afdal informiert den Kunden unverzüglich über Beginn und voraussichtliche Dauer der Behinderung. Dauert sie länger als sechzig Tage an, kann jede Partei den noch nicht erfüllten Teil des Vertrags kündigen, wenn ihr ein weiteres Festhalten nicht zumutbar ist. Bereits erbrachte Leistungen sind zu vergüten.

16 Mängelrechte bei Werkleistungen und Lieferungen

16.1Bei mangelhaften Werkleistungen oder Lieferungen stehen dem Kunden die gesetzlichen Mängelrechte nach Maßgabe dieses Abschnitts zu. Der Kunde beschreibt einen Mangel so konkret, dass er reproduziert und geprüft werden kann, und stellt erforderliche Protokolle und Informationen bereit.

16.2Afdal kann zunächst nach eigener Wahl nachbessern oder eine mangelfreie Ersatzleistung erbringen, soweit die gewählte Art der Nacherfüllung für den Kunden zumutbar ist. Schlägt die Nacherfüllung fehl oder ist sie unzumutbar, stehen dem Kunden die weiteren gesetzlichen Rechte zu.

16.3Kein Mangel liegt vor, soweit eine Beeinträchtigung auf einer nicht vereinbarten Einsatzumgebung, einer Änderung durch den Kunden oder Dritte, einer Missachtung der Dokumentation, inkompatiblen Drittprodukten oder einer nicht von Afdal zu vertretenden Störung beruht.

16.4Mängelansprüche für Werkleistungen und Lieferungen verjähren, soweit gesetzlich zulässig, in zwölf Monaten ab Abnahme beziehungsweise Ablieferung. Die Verkürzung gilt nicht bei Arglist, Garantie, vorsätzlicher oder grob fahrlässiger Pflichtverletzung, Schäden aus der Verletzung von Leben, Körper oder Gesundheit, Ansprüchen nach dem Produkthaftungsgesetz sowie in Fällen, in denen das Gesetz zwingend eine längere Frist vorsieht.

17 Haftung

17.1Afdal haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz, im Umfang einer übernommenen Garantie sowie in allen sonstigen Fällen zwingender gesetzlicher Haftung.

17.2Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet Afdal nur auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

17.3Bei leicht fahrlässiger Verletzung anderer Pflichten ist die Haftung ausgeschlossen. Die Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Beschäftigten und Erfüllungsgehilfen von Afdal.

17.4Bei einem von Afdal leicht fahrlässig verursachten Datenverlust ist der vertragstypische Schaden auf den Wiederherstellungsaufwand begrenzt, der auch bei einer ordnungsgemäßen und dem Risiko angemessenen Datensicherung angefallen wäre. Abschnitt 17.1 bleibt unberührt.

17.5Ein Mitverschulden des Kunden, insbesondere eine unzureichende Datensicherung, verspätete Installation freigegebener Sicherheitsupdates, unterlassene Sperrung kompromittierter Zugänge oder Missachtung konkreter Sicherheitswarnungen, wird nach den gesetzlichen Vorschriften berücksichtigt.

17.6Die in diesen AGB beschriebenen technischen Grenzen und Risikohinweise ändern nicht die vereinbarte Leistungspflicht. Sie stellen klar, welche Ergebnisse ohne eine ausdrückliche Garantie nicht geschuldet sind.

18 Laufzeit Kündigung und Leistungsunterbrechung

18.1Laufzeit und ordentliche Kündigung richten sich nach den Vertragsunterlagen. Fehlt bei einem auf unbestimmte Zeit geschlossenen Vertrag über laufende Leistungen eine Regelung, kann jede Partei mit einer Frist von einem Monat zum Monatsende kündigen.

18.2Ist eine feste Laufzeit vereinbart und enthalten die Vertragsunterlagen keine abweichende Verlängerungsregelung, verlängert sich der Vertrag nach Ablauf jeweils um einen Monat, sofern er nicht mit einer Frist von einem Monat zum Ablauf der jeweiligen Vertragsperiode gekündigt wird.

18.3Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Soweit der wichtige Grund in einer behebbaren Pflichtverletzung liegt, ist grundsätzlich zunächst erfolglos eine angemessene Frist zur Abhilfe zu setzen.

18.4Afdal darf eine betroffene Leistung nach vorheriger Ankündigung angemessen aussetzen, wenn der Kunde mit einem wesentlichen Betrag in Verzug ist oder eine erhebliche Sicherheits oder Rechtsverletzung trotz Abhilfefrist fortsetzt. Bei unmittelbarer Gefahr für Systeme, Daten oder Dritte darf die Aussetzung sofort erfolgen. Afdal berücksichtigt die betrieblichen Interessen des Kunden und beschränkt die Maßnahme auf das Erforderliche.

18.5Nach Vertragsende gibt Afdal kundeneigene Daten und Unterlagen im vereinbarten Format heraus oder löscht sie nach Ablauf gesetzlicher Aufbewahrungsfristen. Migration, Übergabeunterstützung und Aufbereitung werden nach Aufwand vergütet, sofern sie nicht bereits zum Leistungsumfang gehören.

18.6Lizenz und Nutzungsrechte Dritter enden nach deren Bedingungen. Der Kunde ist für die rechtzeitige Übernahme oder Neubeschaffung solcher Lizenzen verantwortlich, sofern nichts anderes vereinbart ist.

19 Aufrechnung und Zurückbehaltungsrechte

19.1Der Kunde kann nur mit unbestrittenen, rechtskräftig festgestellten oder entscheidungsreifen Gegenforderungen aufrechnen. Das gilt nicht für Gegenforderungen aus demselben Vertragsverhältnis, soweit ein Aufrechnungsverbot mit Treu und Glauben unvereinbar wäre.

19.2Ein Zurückbehaltungsrecht kann der Kunde nur wegen Ansprüchen aus demselben Vertragsverhältnis ausüben.

20 Einsatz Dritter und Abtretung

20.1Afdal darf sorgfältig ausgewählte Unterauftragnehmer einsetzen und bleibt für die vertragsgemäße Leistung verantwortlich. Datenschutzrechtliche Anforderungen, insbesondere an Unterauftragsverarbeiter, bleiben unberührt.

20.2Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit Zustimmung von Afdal übertragen. Die Zustimmung darf nicht unbillig verweigert werden. § 354a HGB sowie die Abtretung von Geldforderungen bleiben unberührt.

21 Schlussbestimmungen

21.1Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN Kaufrechts.

21.2Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen oder hat er keinen allgemeinen Gerichtsstand in Deutschland, ist, soweit gesetzlich zulässig, ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit dem Vertragsverhältnis Frankfurt am Main. Afdal darf den Kunden auch an dessen allgemeinem Gerichtsstand verklagen.

21.3Änderungen und Ergänzungen des Vertrags sollen in Textform dokumentiert werden. Individuelle Abreden haben unabhängig von ihrer Form Vorrang nach § 305b BGB. Gesetzliche Formvorschriften bleiben unberührt.

21.4Sollte eine Bestimmung ganz oder teilweise unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften. Eine von den gesetzlichen Grundsätzen abweichende geltungserhaltende Reduktion ist nicht vereinbart.