Allgemeine Geschäftsbedingungen

Überblick

Aufbau dieser AGB

Diese Allgemeinen Geschäftsbedingungen („AGB“) ersetzen die AGB der Decanos GmbH mit Stand Januar 2026. Sie behalten die allgemeinen Regeln für Managed Services, Beratungsleistungen und digitale Produkte bei und ergänzen besondere Bedingungen für Decanos AEP (Alaris Enterprise Platform), die Decanos in der Europäischen Union als autorisierter Partner des Technologieanbieters der Plattform vertreibt.

Rangfolge

Widersprechen sich Unterlagen, gilt die folgende Rangfolge (siehe § 1.3):

• (a) individuell ausgehandelte Bestimmungen im Bestellformular (Order Form), Vertrag oder Statement of Work („SoW“);
• (b) der Auftragsverarbeitungsvertrag („AVV“) für alle Fragen des Datenschutzes;
• (c) Teil C, danach Teil B dieser AGB für ihren jeweiligen Gegenstand;
• (d) Teil A dieser AGB;
• (e) Leistungsbeschreibungen und die Dokumentation.

Was diese AGB nicht sind. Sie sind kein Bestellformular und verpflichten keine Partei für sich genommen zum Kauf oder zur Leistung. Sie ersetzen nicht den Auftragsverarbeitungsvertrag, der vor der Verarbeitung personenbezogener Daten zu schließen ist. Sie versprechen keine Zertifizierung, kein Auditergebnis und keine behördliche Genehmigung, und sie versprechen nicht, dass jeder Angriff erkannt oder verhindert wird. Nichts in den Produkten oder Berichten von Decanos ist Rechtsberatung.

Teil A: Allgemeine Bestimmungen

§ 1 Vertragsparteien, Geltungsbereich und Vertragsschluss

1.1 Vertragsparteien und Geltungsbereich. Diese AGB gelten für alle Verträge und sonstigen Leistungen zwischen der Decanos GmbH, Alt-Moabit 73/73a, 10555 Berlin, Geschäftsführer: Niclas Matz, USt-IdNr.: DE343188316, Amtsgericht Berlin-Charlottenburg („Anbieter“ oder „Decanos“), und ihren Kunden („Kunde“) über Managed Security Services, Beratungsleistungen, Produkte und Plattformleistungen. Decanos betreibt die Websites www.decanos.com und www.cyber-curriculum.com; über letztere werden Beratungsleistungen und Trainingsleistungen unter der Marke Cyber Curriculum by Decanos vertrieben. Diese AGB gelten ausschließlich gegenüber Unternehmern (§ 14 BGB), juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Sie gelten nicht gegenüber Verbrauchern.

1.2 Abweichende Bedingungen. Abweichende, entgegenstehende oder ergänzende Bedingungen des Kunden, auch in Bestellungen, Bestellportalen oder Beschaffungssystemen, werden nur Vertragsbestandteil, wenn Decanos ihnen ausdrücklich schriftlich zustimmt. Das gilt auch, wenn Decanos in Kenntnis solcher Bedingungen vorbehaltlos leistet. Eine Bestellung dient nur internen Beschaffungszwecken und ändert den Vertrag nicht.

1.3 Rangfolge. Bei Widersprüchen gilt die folgende Rangfolge: (a) individuell ausgehandelte Bestimmungen im Bestellformular, Vertrag oder SoW; (b) der Auftragsverarbeitungsvertrag für Fragen des Datenschutzes; (c) Teil C und danach Teil B dieser AGB für ihren Gegenstand; (d) Teil A dieser AGB; (e) Leistungsbeschreibungen und die Dokumentation. Individuelle Vereinbarungen gehen diesen AGB vor (§ 305b BGB).

1.4 Vertragsschluss.

• (a) Ein Vertrag kommt durch Annahme eines schriftlichen Angebots oder durch die schriftliche Auftragsbestätigung von Decanos zustande. Mündliche Nebenabreden bedürfen zu ihrer Wirksamkeit der Schriftform.
• (b) Alle Angebote sind freibleibend, soweit sie nicht ausdrücklich als verbindlich gekennzeichnet sind.
• (c) Bei digitalen Trainingsprodukten, die über www.cyber-curriculum.com erworben werden, kommt der Vertrag zustande, wenn der Kunde die ausgewählten Produkte durch Betätigen der entsprechenden Schaltfläche als verbindliches Angebot abgibt und Decanos dieses Angebot innerhalb einer angemessenen Frist (§ 147 Abs. 2 BGB) durch eine per E-Mail versandte Auftragsbestätigung annimmt. Bei Bestellungen auf Anfrage ist das Betätigen der Schaltfläche kein verbindliches Angebot; in diesem Fall unterbreitet Decanos ein verbindliches Angebot per E-Mail. Die für den Vertragsschluss zur Verfügung stehende Sprache ist Deutsch.
• (d) Projektverträge, Managed Services, Beratungsleistungen, Abonnements für Decanos AEP und Enterprise-Verträge kommen durch beidseitige Unterzeichnung eines Vertrags, eines Bestellformulars oder eines SoW oder durch die schriftliche Auftragsbestätigung von Decanos zustande.
• (e) Decanos kann die Annahme eines Auftrags für Decanos AEP von einer erfolgreichen Sanktions- und Exportkontrollprüfung abhängig machen (§ 12).

§ 2 Leistungsgegenstand

2.1 Leistungsübersicht. Decanos erbringt Leistungen und Produkte in den Bereichen Cybersicherheit, IT-Compliance und Datenschutz. Der genaue Umfang ergibt sich aus dem jeweiligen Vertrag, Bestellformular oder SoW. Das Leistungsangebot umfasst insbesondere:

• (a) Managed Services (Marke Decanos, www.decanos.com): Managed Extended Detection and Response (MXDR/MDR); 24/7 Security Operations Center (SOC); Cyber Security Incident Response Team (CSIRT); forensische Aufarbeitung von Cyberangriffen nach den Anforderungen der Strafverfolgungsbehörden; Cyber Threat Intelligence Fusion Center (CTIFC); Managed Betrieb von Decanos AEP (Alaris Enterprise Platform).
• (b) Beratungsleistungen (Marke Cyber Curriculum by Decanos, www.cyber-curriculum.com): Compliance- und Sicherheitsaudits einschließlich Gap- und Reifegradanalysen; Penetrationstests und fortgeschrittene Red-Team-Einsätze; Beratung zu ISMS, BCM, DSGVO, NIS2-Umsetzung und CISO as a Service; Awareness- und Trainingsleistungen für Geschäftsleitung, Organe und Beschäftigte.
• (c) Plattformleistungen und digitale Produkte: Lizenzierung und Bereitstellung von Decanos AEP (Alaris Enterprise Platform) einschließlich ihrer Module, der Komponente für Endpoint Detection and Response und der beim Kunden bereitgestellten Komponenten (Teil B); Implementierungs-, Integrations-, Schulungs-, Migrations- und Konfigurationsleistungen für Decanos AEP; digitale Trainingsprodukte und E-Learning-Inhalte (ausschließlich über www.cyber-curriculum.com); Trainingsplattform und Adaptive Defense.

2.2 Besondere Leistungshinweise.

• (a) NIS2. Decanos unterstützt den Kunden bei der Umsetzung der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) und des nationalen Umsetzungsgesetzes, einschließlich Beratung, Risikoanalysen und Umsetzung von Maßnahmen. Die Verantwortung für die Einhaltung gesetzlicher Anforderungen verbleibt beim Kunden.
• (b) Managed Security Services. Der Kunde gewährt Decanos Zugang zu den für die vereinbarten Managed Security Services erforderlichen Systemen. Die Beratung beruht auf vom Kunden gelieferten Informationen; Decanos haftet nicht für deren Richtigkeit oder Vollständigkeit.
• (c) Keine Rechtsberatung. Produkte und Leistungen sind keine Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes (RDG). Sie erheben keinen Anspruch auf absolute Richtigkeit oder Vollständigkeit und ersetzen keine rechtliche, IT-Compliance- oder Datenschutzberatung. Weil Aufsichtsbehörden und Gerichte die Auslegung des Rechts fortlaufend fortentwickeln, hat der Kunde die Wirksamkeit und Eignung der von ihm genutzten Produkte und Leistungen regelmäßig zu prüfen.
• (d) Unterauftragnehmer. Decanos darf Teilleistungen durch qualifizierte Unterauftragnehmer erbringen lassen. Die Verantwortung gegenüber dem Kunden verbleibt bei Decanos.
• (e) Technologieanbieter. Decanos AEP (Alaris Enterprise Platform) beruht auf Technologie, die Decanos von einem Technologieanbieter lizenziert („Technologieanbieter“ oder „Lizenzgeber“, § 15.2). Decanos ist der alleinige Vertragspartner des Kunden für Decanos AEP. Der Technologieanbieter handelt als Unterauftragnehmer von Decanos und, soweit personenbezogene Daten verarbeitet werden, als Unterauftragsverarbeiter (§ 26).
• (f) Managed Services auf Decanos AEP. Soweit Decanos Decanos AEP im Auftrag des Kunden betreibt, bleibt der Kunde verantwortlich für alle geschäftlichen Entscheidungen über Behebung, Eindämmung und Incident Response jenseits des gemeinsam vereinbarten Response-Playbooks, für rechtzeitige Reaktionen auf Eskalationen und für die Rechtmäßigkeit von Maßnahmen, die auf Empfehlungen von Decanos gestützt werden.

2.3 Vergütung nach Aufwand. Beratungsleistungen und Plattformleistungen nach § 2.1 (b) und (c) werden nach Aufwand abgerechnet, sofern im SoW oder Angebot kein Festpreis vereinbart ist. Stunden- oder Tagessätze richten sich nach der Qualifikation der Berater sowie nach Gegenstand und Komplexität des Projekts und werden im Angebot oder SoW angegeben. Leistungen werden in Leistungsnachweisen (Stundenzettel oder Tätigkeitsberichte) dokumentiert, die dem Kunden mindestens monatlich vorgelegt werden. Widerspricht der Kunde nicht innerhalb von fünf Werktagen nach Zugang schriftlich, gilt der Nachweis als genehmigt; Decanos weist bei Vorlage des Nachweises auf diese Folge hin. Die Abrechnung erfolgt monatlich im Nachhinein auf der Grundlage genehmigter oder als genehmigt geltender Nachweise. Reise- und Nebenkosten werden nach vorheriger Vereinbarung gesondert in Rechnung gestellt.

2.4 Digitale Trainingsprodukte. Digitale Trainingsprodukte werden nach vollständigem Eingang der vereinbarten Vergütung per Download-Link per E-Mail bereitgestellt. Bei als „auf Anfrage“ gekennzeichneten Produkten teilt Decanos die Bereitstellungsfrist gesondert mit; sie kann bis zu vier Monate betragen. Ein erneuter Download ist eine freiwillige Leistung, die Decanos ändern oder einstellen kann. Wird die vereinbarte Bereitstellungsfrist um mehr als zwei Wochen überschritten, kann der Kunde vom Vertrag zurücktreten; geleistete Zahlungen werden unverzüglich erstattet.

2.5 Leistungsfristen und Verzug. Liefer- und Leistungstermine sind unverbindlich, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind. Decanos hat Verzögerungen nicht zu vertreten, die durch höhere Gewalt (§ 11) oder andere Umstände verursacht werden, die Decanos nicht zu vertreten hat.

2.6 Mängelanzeige. Der Kunde zeigt Mängel unverzüglich nach Entdeckung in Textform an und beschreibt Art und Umfang möglichst genau. Bei berechtigten Mängelanzeigen beseitigt Decanos den Mangel oder erbringt nach ihrer Wahl eine Ersatzleistung. Für Decanos AEP gelten zusätzlich §§ 24 und 25.

§ 3 Mitwirkungspflichten des Kunden

• (a) Der Kunde stellt Decanos rechtzeitig alle für die Leistungen erforderlichen Informationen, Zugänge, Systemberechtigungen und Ansprechpartner zur Verfügung.
• (b) Penetrationstests und Red-Team-Einsätze setzen eine vom Kunden vor Beginn erteilte schriftliche Penetrationstest-Freigabe voraus. Ohne sie werden diese Leistungen nicht erbracht.
• (c) Der Kunde informiert Decanos unverzüglich über sicherheitsrelevante Änderungen seiner IT-Infrastruktur, die den Leistungsumfang berühren.
• (d) Der Kunde benennt eine technische und eine kaufmännische Ansprechperson und zeigt Änderungen unverzüglich an.
• (e) Bei Leistungen nach Aufwand prüft der Kunde Leistungsnachweise rechtzeitig (§ 2.3) oder erhebt begründete Einwände.
• (f) Für Decanos AEP gelten zusätzlich die Pflichten nach § 21.
• (g) Verzögerungen und Mehrkosten infolge unzureichender Mitwirkung trägt Decanos nicht; sie können dem Kunden zu den vereinbarten Sätzen in Rechnung gestellt werden.

§ 4 Nutzungsrechte und geistiges Eigentum

4.1 Inhalte, Trainingsprodukte und Arbeitsergebnisse.

• (a) Alle Inhalte, Produkte und Arbeitsergebnisse sind urheberrechtlich geschützt. Decanos überträgt kein Eigentum. Der Kunde erhält ein einfaches (nicht ausschließliches), nicht übertragbares Recht, sie innerhalb des eigenen Unternehmens zu nutzen. Bis zur vollständigen Zahlung der vereinbarten Vergütung kann das Nutzungsrecht widerrufen werden.
• (b) Wettbewerberausschluss. Das Nutzungsrecht erstreckt sich nicht auf Unternehmen, die selbst Beratung in Informationssicherheit, Business Continuity Management, Datenschutz oder IT-Compliance erbringen.
• (c) Die Übertragung von Nutzungsrechten auf Dritte, einschließlich verbundener Unternehmen, bedarf der vorherigen schriftlichen Zustimmung von Decanos.
• (d) Der Kunde darf den Inhalt von Produkten an die Bedürfnisse des eigenen Unternehmens anpassen. Eine Weitergabe an Dritte, öffentliche Zugänglichmachung, Einstellung ins Internet oder andere Netze und ein Weiterverkauf sind nicht gestattet.
• (e) Digitale Trainingsprodukte in ihrer Rohform dürfen nur von der Geschäftsleitung und von Beschäftigten genutzt werden, die für die Umsetzung der Unternehmens-Compliance bestimmt sind. Intern werden sie als schreibgeschützte PDF-Dateien bereitgestellt. Der Kunde verpflichtet seine Beschäftigten zur Vertraulichkeit.
• (f) Produkte können digitale Wasserzeichen und einen DRM-Schutz tragen. Urhebervermerke, Marken und Wasserzeichen dürfen nicht entfernt werden.

4.2 Decanos AEP. Nutzungsrechte, Beschränkungen und geistiges Eigentum an Decanos AEP richten sich ausschließlich nach Teil B (§§ 17 bis 20). § 4.1 gilt nicht für Decanos AEP.

4.3 Berichte und Analysen. Berichte, Analysen und sonstige Arbeitsergebnisse werden nach vollständiger Zahlung zur internen Verwendung durch den Kunden bereitgestellt. Eine Weitergabe an Dritte oder eine kommerzielle Verwertung bedarf der vorherigen schriftlichen Zustimmung von Decanos. Die Offenlegung gegenüber Wirtschaftsprüfern, Versicherern, Aufsichtsbehörden und Rechtsberatern des Kunden ist zulässig, soweit diese zur Vertraulichkeit verpflichtet sind.

4.4 Durchsetzung. Verstöße gegen diesen § 4 und gegen § 18 werden urheber-, zivil- und strafrechtlich verfolgt.

§ 5 Vergütung und Zahlungsbedingungen

• (a) Es gelten die im Angebot, Bestellformular oder Vertrag vereinbarten Preise. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
• (b) Wiederkehrende Leistungen (zum Beispiel SOC, MDR, Abonnements für Decanos AEP) werden monatlich im Voraus in Rechnung gestellt, sofern im Bestellformular keine jährliche Vorausrechnung vereinbart ist.
• (c) Leistungen nach Aufwand (§ 2.3) werden monatlich im Nachhinein in Rechnung gestellt.
• (d) Sonstige Projekt- und Einmalleistungen werden nach dem Zahlungsplan im SoW abgerechnet. Ohne Zahlungsplan sind 50 % bei Auftragserteilung und 50 % bei Fertigstellung fällig.
• (e) Rechnungen sind innerhalb von 14 Tagen nach Rechnungsdatum ohne Abzug zu zahlen. Ist der Zahlungstermin kalendermäßig bestimmt, kommt der Kunde mit Ablauf der Frist ohne Mahnung in Verzug.
• (f) Wählt der Kunde das SEPA-Lastschriftverfahren, erteilt er das erforderliche Mandat und stellt eine ausreichende Kontodeckung sicher. Kosten einer vom Kunden zu vertretenden Rücklastschrift trägt der Kunde.
• (g) Bei Verzug kann Decanos Verzugszinsen in Höhe von neun Prozentpunkten über dem Basiszinssatz (§ 288 Abs. 2 BGB) und die Pauschale nach § 288 Abs. 5 BGB verlangen. Ist eine Zahlung mehr als 30 Tage überfällig, kann Decanos Managed Services und den Zugang zu Decanos AEP nach schriftlicher Abmahnung mit einer Frist von fünf Werktagen aussetzen. Die Zahlungspflicht besteht während der Aussetzung fort.
• (h) Mehrverbrauch. Eine Nutzung von Decanos AEP über die abrechenbaren Einheiten im Bestellformular hinaus wird nach § 17.4 in Rechnung gestellt.
• (i) Preisanpassung für Verlängerungslaufzeiten. Decanos kann die Preise wiederkehrender Leistungen mit Wirkung zum Beginn einer Verlängerungslaufzeit anpassen. Decanos kündigt die Anpassung mindestens vier Monate vor Ende der laufenden Laufzeit in Textform an. Der Kunde kann dann mit der Frist nach § 6 (a) zum Ende der laufenden Laufzeit kündigen. Preise innerhalb einer laufenden Laufzeit bleiben unverändert.
• (j) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen oder Zahlungen zurückbehalten.

§ 6 Laufzeit und Kündigung

• (a) Verträge über Managed Services und Abonnements für Decanos AEP haben eine Mindestlaufzeit von 12 Monaten, sofern das Bestellformular nichts anderes bestimmt. Sie verlängern sich jeweils um 12 Monate, wenn sie nicht mit einer Frist von drei Monaten zum Ende der jeweiligen Laufzeit in Textform gekündigt werden.
• (b) Aufwandsverträge ohne festes Projektende können von jeder Partei mit einer Frist von vier Wochen zum Monatsende gekündigt werden. Bis dahin erbrachte und dokumentierte Leistungen werden vergütet.
• (c) Projektverträge enden mit der vollständigen Erbringung der vereinbarten Leistungen.
• (d) Das Recht jeder Partei zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für Decanos liegt insbesondere vor bei:

• unbefugter Weitergabe von Produkten oder Leistungen an Dritte oder Veröffentlichung von Inhalten;
• einem wesentlichen Verstoß gegen § 18 (Nutzungsbeschränkungen) oder § 12 (Exportkontrolle), den der Kunde nicht innerhalb von 30 Tagen nach Abmahnung abstellt oder, wenn der Verstoß ein Sicherheitsrisiko, eine unbefugte Nutzung oder einen Rechtsverstoß betrifft, nicht innerhalb von 15 Tagen abstellt;
• Zahlungsverzug in Höhe von zwei Monatsentgelten;
• wesentlicher Verletzung von Mitwirkungspflichten trotz Abmahnung;
• Eröffnung eines Insolvenzverfahrens über das Vermögen des Kunden oder Ablehnung der Eröffnung mangels Masse.

• (e) Kündigungen bedürfen der Textform (E-Mail genügt).
• (f) Besondere Kündigungsrechte für Decanos AEP sind in §§ 16.3, 25, 26.5 und 31.4 geregelt.

§ 7 Vertraulichkeit

• (a) Beide Parteien behandeln alle im Rahmen des Vertragsverhältnisses erlangten vertraulichen Informationen der anderen Partei streng vertraulich und verwenden sie nur für die Zwecke des Vertrags.
• (b) Vertraulich sind insbesondere Sicherheitsberichte, Ergebnisse von Penetrationstests, Schwachstellenanalysen, Threat Intelligence, Systemarchitekturen, Geschäftsgeheimnisse und alle als vertraulich gekennzeichneten Unterlagen.
• (c) Eine Offenlegung ist zulässig gegenüber Beschäftigten, Unterauftragnehmern (einschließlich des Technologieanbieters) und Beratern, die die Informationen für den Vertrag benötigen und Vertraulichkeitspflichten unterliegen, die nicht weniger schützen als dieser § 7, sowie gegenüber Behörden, soweit die Offenlegung gesetzlich vorgeschrieben ist.
• (d) Die Pflicht gilt nicht für Informationen, die (i) ohne Pflichtverletzung allgemein bekannt sind oder werden, (ii) der empfangenden Partei bereits rechtmäßig bekannt waren, (iii) von einem Dritten ohne Vertraulichkeitspflicht rechtmäßig empfangen wurden, (iv) von der empfangenden Partei unabhängig und ohne Verwendung der Informationen entwickelt wurden oder (v) aufgrund Gesetzes oder Anordnung eines Gerichts oder einer Behörde offengelegt werden müssen; in diesem Fall informiert die empfangende Partei die andere Partei vorher, soweit dies rechtlich zulässig ist.
• (e) Plattforminformationen. Der Kunde hält alle nicht öffentlichen, eigentumsrechtlich geschützten oder technischen Informationen über Decanos AEP vertraulich, insbesondere Produktarchitektur, Sicherheitsmaßnahmen, API-Spezifikationen, Algorithmen und Leistungsdaten.
• (f) Die Pflichten gelten während des Vertrags und für fünf Jahre nach seinem Ende, für Geschäftsgeheimnisse so lange, wie sie Geschäftsgeheimnisse bleiben.
• (g) Referenz. Decanos darf den Kunden als Referenz benennen und das Bestehen der Geschäftsbeziehung auf ihrer Website, in Angeboten und anderen Medien erwähnen, sofern der Kunde nicht in Textform widerspricht. Der Kunde kann seine Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen. Die Nennung von Leistungsdetails, Sicherheitsinformationen oder Vertragsinhalten bedarf der ausdrücklichen schriftlichen Zustimmung des Kunden. Decanos gestattet ihren Unterauftragnehmern, einschließlich des Technologieanbieters, nicht, den Kunden öffentlich zu benennen.

§ 8 Datenschutz

• (a) Decanos verarbeitet kundenbezogene Daten zu Personen für die Auftragsabwicklung, Bereitstellung, Rechnungsstellung und Zahlung nach der DSGVO, dem BDSG und sonstigem anwendbarem Datenschutzrecht. Daten werden nicht verkauft und an Dritte nur weitergegeben, soweit dies zur Vertragserfüllung erforderlich ist.
• (b) Soweit Decanos personenbezogene Daten im Auftrag des Kunden verarbeitet (Art. 28 DSGVO), insbesondere für Managed Services und Decanos AEP, schließen die Parteien vor Beginn der Verarbeitung einen Auftragsverarbeitungsvertrag (AVV). Er ist Vertragsbestandteil. Für Decanos AEP gilt zusätzlich § 26.
• (c) Der Kunde stellt sicher, dass er seine Informationspflichten gegenüber betroffenen Personen erfüllt und eine Rechtsgrundlage für die Verarbeitung hat.
• (d) Decanos trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
• (e) Decanos verwendet personenbezogene Daten der betroffenen Personen des Kunden nicht ohne Einwilligung für Werbung, Markt- oder Meinungsforschung. Einzelheiten ergeben sich aus den Datenschutzerklärungen unter www.decanos.com und www.cyber-curriculum.com.

§ 9 Haftung

• (a) Unbeschränkte Haftung. Decanos haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit; für schuldhafte Verletzung von Leben, Körper oder Gesundheit; nach zwingenden gesetzlichen Vorschriften, insbesondere dem Produkthaftungsgesetz; für arglistig verschwiegene Mängel; und soweit Decanos ausdrücklich eine Garantie schriftlich übernommen hat.
• (b) Einfache Fahrlässigkeit. Für einfache Fahrlässigkeit haftet Decanos nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), also solcher Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Die Haftung ist auf den bei Vertragsschluss typischerweise vorhersehbaren Schaden begrenzt und höchstens auf die vom Kunden unter dem betroffenen Vertrag in den 12 Monaten vor dem schadensauslösenden Ereignis gezahlte Nettovergütung.
• (c) Mittelbare Schäden. Im Rahmen der Haftung nach (b) haftet Decanos nicht für entgangenen Gewinn, mittelbare Schäden und Folgeschäden.
• (d) Keine Garantie vollständiger Sicherheit. Decanos garantiert nicht, dass alle Cyberangriffe oder Sicherheitsvorfälle erkannt oder abgewehrt werden. Die Leistungen bieten professionelle Unterstützung nach dem Stand der Technik; absolute Sicherheit ist technisch unmöglich. Vorbehaltlich (a) haftet Decanos nicht für nicht erkannte oder nicht abgewendete Angriffe, es sei denn, sie hat ihre Vertragspflichten schuldhaft verletzt.
• (e) Datenverlust. In Decanos-Hosted und Managed Cloud hält Decanos die in Anlage 1 beschriebenen Backups vor und haftet für Datenverlust nach diesem § 9; ein Unterlassen eigener Exporte des Kunden nach § 21 (c) wird nach § 254 BGB berücksichtigt. In allen anderen Bereitstellungsmodellen haftet Decanos für Datenverlust nur für den Aufwand, der erforderlich ist, um die Daten aus Sicherungen wiederherzustellen, die der Kunde nach § 21 (c) vorzuhalten hat.
• (f) Inhalte und Beratungsergebnisse. Decanos gewährleistet nicht, dass Inhalte und Arbeitsergebnisse aktuell, richtig oder vollständig bleiben, sofern dies nicht ausdrücklich schriftlich vereinbart ist. Verallgemeinerte Inhalte sind nicht auf den einzelnen Kunden zugeschnitten.
• (g) Mitverschulden. Wurde ein Schaden mitverursacht durch mangelnde Mitwirkung, unrichtige oder unvollständige Informationen oder eine Pflichtverletzung des Kunden, gilt § 254 BGB.
• (h) Vertreter und Unterauftragnehmer. Die Haftungsbeschränkungen und -ausschlüsse gelten auch zugunsten der gesetzlichen Vertreter, Beschäftigten, Erfüllungsgehilfen und Unterauftragnehmer von Decanos, einschließlich des Technologieanbieters (siehe auch § 32).
• (i) Verjährung. Schadensersatzansprüche des Kunden verjähren, soweit rechtlich zulässig, in 12 Monaten ab dem Zeitpunkt, zu dem der Kunde Kenntnis von dem Schaden und den anspruchsbegründenden Umständen erlangt hat oder hätte erlangen müssen, spätestens jedoch drei Jahre nach dem schadensauslösenden Ereignis. Dies gilt nicht für Ansprüche nach (a).

§ 10 Vertragsstrafe

• (a) Für jeden schuldhaften Verstoß gegen die Nutzungsbedingungen nach § 4 oder § 18, insbesondere die Weitergabe von Produkten oder Leistungen an Dritte, deren Veröffentlichung, den Weiterverkauf oder das Reverse Engineering von Decanos AEP, zahlt der Kunde an Decanos eine angemessene Vertragsstrafe von bis zu 25.000 EUR.
• (b) Decanos bestimmt die Höhe im Einzelfall nach billigem Ermessen unter Berücksichtigung von Art, Umfang und Dauer des Verstoßes sowie des Verschuldensgrads. Der Kunde kann die Höhe durch das zuständige Gericht überprüfen lassen.
• (c) Die Vertragsstrafe wird auf Schadensersatzansprüche aus demselben Verstoß angerechnet.

§ 11 Höhere Gewalt

• (a) Keine Partei haftet für Verzögerungen oder die Nichterfüllung, soweit sie durch Ereignisse verursacht werden, die außerhalb ihrer zumutbaren Kontrolle liegen, insbesondere Naturkatastrophen, Krieg, Terrorismus, Pandemien, hoheitliche Maßnahmen, Sanktionen, Cyberangriffe auf Infrastruktur trotz angemessener Schutzmaßnahmen, großflächige Ausfälle der Telekommunikation oder der Stromversorgung. Zahlungspflichten bleiben unberührt.
• (b) Die betroffene Partei informiert die andere unverzüglich über das Ereignis und seine voraussichtliche Dauer und unternimmt angemessene Anstrengungen, die Auswirkungen zu mindern.
• (c) Dauert das Ereignis länger als 60 aufeinanderfolgende Tage, kann jede Partei den betroffenen Vertrag oder den betroffenen Teil kündigen. Für den Zeitraum nach der Kündigung im Voraus gezahlte Vergütung wird erstattet.

§ 12 Exportkontrolle, Sanktionen und Compliance

• (a) Der Kunde hält alle anwendbaren Vorschriften zur Exportkontrolle, Einfuhr und zu Sanktionen ein, insbesondere die EU-Dual-Use-Verordnung (EU) 2021/821, die EU-Sanktionsverordnungen, das Außenwirtschaftsgesetz (AWG) und die Außenwirtschaftsverordnung (AWV) sowie, soweit auf Produkte US-amerikanischen Ursprungs anwendbar, die US Export Administration Regulations und die OFAC-Sanktionen. Decanos AEP enthält Technologie US-amerikanischen Ursprungs.
• (b) Der Kunde exportiert Decanos AEP oder die Leistungen nicht, reexportiert sie nicht und macht sie nicht Personen, Einrichtungen oder Ländern zugänglich, die umfassenden Sanktionen unterliegen oder auf anwendbaren Sanktionslisten stehen. Der Kunde sichert zu, dass weder er noch seine Eigentümer oder autorisierten Nutzer so gelistet oder in einem umfassend sanktionierten Land ansässig sind.
• (c) Der Kunde nutzt die Leistungen nicht im Zusammenhang mit Massenvernichtungswaffen oder deren Trägersystemen, nicht zu kriminellen Zwecken und nicht sonst unter Verstoß gegen anwendbares Recht und nicht für militärische Endverwendungen, die eine nicht eingeholte Ausfuhrgenehmigung erfordern.
• (d) Der Kunde nimmt gleichwertige Pflichten in jede Vereinbarung auf, aufgrund derer er verbundenen Unternehmen die Nutzung von Decanos AEP gestattet.
• (e) Bei konkreten Anhaltspunkten für einen Verstoß kann Decanos die Leistungen sofort aussetzen und den Vertrag aus wichtigem Grund kündigen. Decanos kann fristlos kündigen oder aussetzen, wenn die Fortsetzung der Leistung gegen anwendbares Recht, Sanktionen oder behördliche Anordnungen verstoßen würde.
• (f) Jede Partei hält das anwendbare Antikorruptionsrecht ein (insbesondere §§ 299 ff. und §§ 331 ff. StGB, den UK Bribery Act 2010 und den US Foreign Corrupt Practices Act) und bietet, gewährt, fordert oder nimmt keine unzulässigen Vorteile an.

§ 13 Änderungen von Leistungen und AGB

• (a) Decanos darf Leistungen weiterentwickeln und anpassen, insbesondere Plattformmodule, Technologien und Werkzeuge, sofern das vereinbarte Leistungsniveau nicht wesentlich beeinträchtigt wird und die Änderung für den Kunden zumutbar ist. Für Decanos AEP gilt zusätzlich § 25.
• (b) Decanos zeigt Änderungen dieser AGB mindestens sechs Wochen vor ihrem Inkrafttreten in Textform an. Widerspricht der Kunde nicht innerhalb von vier Wochen nach Zugang in Textform, gelten die geänderten AGB als angenommen; Decanos weist in der Mitteilung ausdrücklich auf diese Folge hin. Änderungen der Hauptleistungspflichten und des Preises werden nicht über dieses Verfahren vorgenommen.
• (c) Widerspricht der Kunde, gelten die bisherigen AGB fort. Ist die Änderung gesetzlich, durch behördliche Anordnung oder durch eine Änderung der Bedingungen des Technologieanbieters geboten, die Decanos nicht vermeiden kann, und ist die Fortsetzung zu den bisherigen Bedingungen für Decanos unzumutbar, kann Decanos den betroffenen Vertrag mit einer Frist von drei Monaten kündigen; für den Zeitraum nach der Kündigung im Voraus gezahlte Vergütung wird erstattet.

§ 14 Schlussbestimmungen

• (a) Anwendbares Recht. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG).
• (b) Gerichtsstand. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertrag ist Berlin, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Decanos kann auch am allgemeinen Gerichtsstand des Kunden klagen.
• (c) Form. Änderungen und Ergänzungen des Vertrags bedürfen der Textform, sofern diese AGB nicht die Schriftform vorschreiben. Das gilt auch für den Verzicht auf das Formerfordernis. § 305b BGB bleibt unberührt.
• (d) Salvatorische Klausel. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften (§ 306 Abs. 2 BGB).
• (e) Abtretung. Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit vorheriger schriftlicher Zustimmung von Decanos abtreten. § 354a HGB bleibt unberührt. Decanos darf den Vertrag mit Zustimmung des Kunden nach § 31.5 übertragen.
• (f) Kein Verzicht. Die Nichtausübung eines Rechts gilt nicht als Verzicht auf dieses Recht.

Teil B: Besondere Bedingungen für Decanos AEP

§ 15 Geltungsbereich, Technologieanbieter und Begriffsbestimmungen

15.1 Geltungsbereich. Dieser Teil B gilt zusätzlich zu Teil A für die Bereitstellung von Decanos AEP (Alaris Enterprise Platform), ihrer Module, der Komponente für Endpoint Detection and Response, der beim Kunden bereitgestellten Komponenten, der Dokumentation, von Updates und des zugehörigen Supports (zusammen die „Plattform“), einschließlich Managed Services, die Decanos auf der Plattform erbringt.

15.2 Technologieanbieter. Die Plattform wird von einem Technologieanbieter mit Sitz in den Vereinigten Staaten entwickelt („Technologieanbieter“ oder „Lizenzgeber“). Decanos vertreibt die Plattform in der Europäischen Union als autorisierter Partner des Technologieanbieters unter dem Namen Decanos AEP. Der Technologieanbieter ist nicht Partei des Vertrags mit dem Kunden. Die Bestimmungen dieses Teils B, die den Lizenzgeber schützen (insbesondere §§ 7 (e), 18, 19, 23 und 32), dienen auch den Interessen des Lizenzgebers; Decanos kann sie für den Lizenzgeber geltend machen. Der Technologieanbieter wird im Unterauftragsverarbeiter-Anhang des Auftragsverarbeitungsvertrags benannt.

15.3 Begriffsbestimmungen. In diesem Teil B bedeutet:

• (a) Bestellformular: das vom Kunden angenommene Angebot, die Auftragsbestätigung oder der Vertrag, in dem Module, abrechenbare Einheiten, Bereitstellungsmodell, Hosting-Region, Support-Stufe, Laufzeit und Entgelte festgelegt sind.
• (b) Autorisierte Nutzer: Beschäftigte, Auftragnehmer und Beauftragte, denen der Kunde die Nutzung der Plattform in seinem Namen gestattet.
• (c) Kundendaten: alle Daten, die der Kunde in die Plattform hochlädt, übermittelt oder in ihr erzeugt, einschließlich personenbezogener Daten, Kundenmaterialien und Output.
• (d) Kundenmaterialien: Konfigurationen, Erkennungsregeln, Playbooks, Response-Skripte, Dashboards, Integrationen und sonstige vom Kunden erstellte Inhalte.
• (e) Output: Berichte, Analysen, Alerts, Empfehlungen, Risk Scores, Untersuchungszusammenfassungen und sonstige von der Plattform erzeugte Ergebnisse.
• (f) Beim Kunden bereitgestellte Komponenten: Software-Agenten, Sensoren, Konnektoren, Collectors, Kubernetes-Operatoren, serverlose Funktionen und vergleichbare Komponenten, die in der Infrastruktur des Kunden laufen.
• (g) Abrechenbare Einheiten: die Einheiten, nach denen Entgelte berechnet werden, insbesondere Endpoints, Cloud Assets, AI Credits, Data Credits, Runs/Scans, Agents und Users, wie im Bestellformular und in der Dokumentation definiert.
• (h) Bereitstellungsmodell: Decanos-Hosted, Managed Cloud, BYOC oder On-Premise (§ 16.2).
• (i) Dokumentation: Nutzerhandbücher, Release Notes, API-Dokumentation, Systemanforderungen und technische Spezifikationen der Plattform.
• (j) Support-Stufe: Baseline, Plus oder Elite, wie in Anlage 1 beschrieben.
• (k) Threat Intelligence: Malware-Proben, Indicators of Compromise, Taktiken, Techniken und Verfahren, Signaturen, Verhaltensmuster und Sicherheitstelemetrie, die keine personenbezogenen Daten enthalten oder so de-identifiziert wurden, dass sie einer identifizierten oder identifizierbaren natürlichen Person nicht mehr zugeordnet werden können (Erwägungsgrund 26 DSGVO).
• (l) Nutzungsdaten: aggregierte, de-identifizierte Kennzahlen zur Nutzung und Leistung der Plattform, die weder eine Identifizierung des Kunden noch einer natürlichen Person erlauben.
• (m) Automatisierte Maßnahmen: Maßnahmen, die die Plattform in den Systemen des Kunden ohne menschliche Freigabe in Echtzeit ausführt (§ 23.4).
• (n) Beta-Funktionen: als Beta, Preview oder Early Access gekennzeichnete Funktionen.

§ 16 Module, Bereitstellungsmodelle und Hosting-Regionen

16.1 Module. Die Plattform umfasst Anwendungsmodule (derzeit Dashboards, Copilot Chat, Security Workbench, Attack Surface, Autopilot, Knowledge, Graph Explorer, Threat Intelligence, Workflows und Settings), Infrastrukturmodule (derzeit AgentOps, Security Graph, Workflows Engine, Security Lake, Plattformdatenbanken und APIs) und, soweit bestellt, die Komponente für Endpoint Detection and Response. Die geschuldeten Module und Mengen ergeben sich aus dem Bestellformular. Module können hinzugefügt, umbenannt oder zusammengeführt werden; eine Verringerung des Funktionsumfangs während einer laufenden Laufzeit richtet sich nach § 25.

16.2 Bereitstellungsmodelle. Das Bestellformular legt eines der folgenden Modelle fest:

• (a) Decanos-Hosted (Standard): Decanos betreibt die Plattform in einer von Decanos kontrollierten Cloud-Infrastruktur in der EU, derzeit Amazon Web Services, Region Frankfurt (eu-central-1). Der Technologieanbieter stellt die Anwendungsschicht über automatisierte Pipelines bereit und pflegt sie. Gegenüber dem Kunden ist Decanos für die Infrastruktur und die Anwendungsschicht verantwortlich.
• (b) Managed Cloud: Soweit im Bestellformular vereinbart, stellt Decanos die Plattform über den Technologieanbieter in einer freigegebenen Hosting-Region in der EU/im EWR bereit. Decanos ist gegenüber dem Kunden für die Anwendungs- und die Infrastrukturschicht verantwortlich.
• (c) BYOC (Bring Your Own Cloud): Die Plattform wird durch automatisierte Pipelines in einem Cloud-Konto bereitgestellt und gepflegt, das dem Kunden gehört (AWS, Microsoft Azure, Google Cloud oder ein anderer freigegebener Anbieter). § 22 gilt.
• (d) On-Premise: Die Plattform wird im eigenen Rechenzentrum des Kunden installiert. Je nach Bestellformular betreibt der Kunde sie selbst, oder Decanos betreibt sie über einen vom Kunden freigegebenen Fernzugriff. Ohne diese Freigabe hat Decanos keinen Zugang. Der Kunde ist für die Infrastruktur verantwortlich; Decanos gibt keine Verfügbarkeitszusage.

16.3 Hosting-Regionen. Kundendaten im Ruhezustand, einschließlich Backups, werden ausschließlich in der im Bestellformular angegebenen Hosting-Region in der EU/im EWR gespeichert. Bei Decanos-Hosted ist das die AWS-Region Frankfurt (Deutschland). Für Managed Cloud und BYOC stehen derzeit Frankfurt (Deutschland), Amsterdam (Niederlande) und Dublin (Irland) zur Verfügung. Enthält das Bestellformular keine Region, gilt Frankfurt. Soll eine aktive Region eingestellt werden, zeigt Decanos dies mindestens 180 Tage im Voraus an und migriert den Kunden kostenfrei in eine andere EU/EWR-Region. Eine kürzere Frist gilt nur, soweit sie gesetzlich, durch die Einstellung des Infrastrukturanbieters oder durch eine Sicherheitslücke geboten ist, die nicht zumutbar behoben werden kann; steht keine geeignete EU/EWR-Region zur Verfügung, kann der Kunde das betroffene Abonnement kündigen, und im Voraus gezahlte Entgelte werden anteilig erstattet.

16.4 Keine Übermittlung außerhalb der EU/des EWR. Kundendaten werden nicht außerhalb der EU/des EWR übermittelt, gespeichert oder verarbeitet, außer (i) mit vorheriger ausdrücklicher Genehmigung des Kunden im Auftragsverarbeitungsvertrag oder sonst schriftlich unter Angabe des Ziellands und der Schutzmaßnahmen oder (ii) nach Art. 49 DSGVO. Der Auftragsverarbeitungsvertrag beschreibt jede genehmigte Verarbeitung außerhalb der EU/des EWR und die angewendeten Schutzmaßnahmen, insbesondere (a) den zeitlich begrenzten, ticketbasierten und protokollierten Support- und Fehlerbehebungszugriff autorisierter Personen des Technologieanbieters in den Vereinigten Staaten, einschließlich des zulässigen Umfangs dieses Zugriffs, und (b) vom Kunden ausgewählte KI-Modellanbieter außerhalb der EU/des EWR (§ 23.6).

16.5 Wechsel des Bereitstellungsmodells. Ein Wechsel des Bereitstellungsmodells oder der Hosting-Region bedarf einer schriftlichen Änderungsvereinbarung, die das Zielmodell, den Zeitplan, die Datenmigration und Verschlüsselung, Zugangsänderungen, Service Levels während der Migration und die Kostenverteilung festlegt.

§ 17 Nutzungsrechte, Umfang und Mehrverbrauch

17.1 Einräumung. Vorbehaltlich vollständiger Zahlung räumt Decanos dem Kunden für die Abonnementlaufzeit ein einfaches (nicht ausschließliches), nicht übertragbares und nicht unterlizenzierbares Recht ein, (a) auf die Plattform im vereinbarten Bereitstellungsmodell zuzugreifen und sie zu nutzen, (b) sie durch autorisierte Nutzer nutzen zu lassen, (c) die Dokumentation zu nutzen und (d) die beim Kunden bereitgestellten Komponenten in seiner Infrastruktur zu installieren, soweit dies für den Betrieb der Plattform erforderlich ist.

17.2 Umfang. Die Nutzung ist auf die Module, abrechenbaren Einheiten und die Support-Stufe im Bestellformular sowie auf die eigenen internen Geschäfts- und Cybersicherheitszwecke des Kunden beschränkt. Die Verarbeitung von Daten im Auftrag Dritter, außer für im Bestellformular benannte verbundene Unternehmen, bedarf einer ausdrücklichen Vereinbarung im Bestellformular. Die dem Kunden eingeräumten Rechte gehen nicht über die Rechte hinaus, die Decanos selbst vom Technologieanbieter eingeräumt wurden.

17.3 Vorbehalt. Alle nicht ausdrücklich eingeräumten Rechte verbleiben beim Lizenzgeber oder bei Decanos. Zwingende Rechte nach §§ 69d und 69e UrhG bleiben unberührt.

17.4 Mehrverbrauch. Der Verbrauch abrechenbarer Einheiten wird durch Plattformtelemetrie gemessen und ist für den Kunden in der Plattform sichtbar. Decanos informiert den Kunden, wenn der Verbrauch 80 % der bestellten Menge erreicht. Verbrauch über die bestellte Menge hinaus wird monatlich im Nachhinein zu den Mehrverbrauchssätzen im Bestellformular oder, soweit keine vereinbart sind, zu den im Zeitpunkt geltenden Listenpreisen von Decanos in Rechnung gestellt. Der Kunde kann eine Mehrverbrauchsrechnung innerhalb von 30 Tagen mit angemessener Dokumentation beanstanden; der unbestrittene Teil bleibt fällig. Eine Nutzung über die bestellte Menge hinaus ist nicht von den Service Levels erfasst (Anlage 1).

17.5 Änderungsaufträge. Zusätzliche Mengen, Module oder eine höhere Support-Stufe während einer Laufzeit werden durch Änderungsauftrag bestellt. Sie enden zusammen mit dem laufenden Abonnement und werden, sofern nichts anderes vereinbart ist, anteilig für die Restlaufzeit in Rechnung gestellt.

§ 18 Nutzungsbeschränkungen

18.1 Der Kunde wird Folgendes unterlassen und keinem Dritten gestatten:

• (a) die Plattform zurückzuentwickeln, zu dekompilieren oder zu disassemblieren oder anderweitig zu versuchen, ihren Quellcode abzuleiten, außer soweit zwingendes Recht dies ausdrücklich erlaubt (§ 69e UrhG);
• (b) die Plattform zu ändern, anzupassen oder zu übersetzen oder abgeleitete Werke von ihr zu erstellen;
• (c) Schutzrechtsvermerke, Kennzeichnungen oder Markierungen zu entfernen, zu ändern oder unkenntlich zu machen;
• (d) die Plattform unterzulizenzieren, weiterzuverkaufen, zu vermieten, zu verleasen, zu verleihen oder Dritten sonst zugänglich zu machen;
• (e) die Plattform zu nutzen, um ein konkurrierendes Produkt oder eine konkurrierende Leistung zu entwickeln oder Wettbewerbsanalysen oder Benchmarks zur Veröffentlichung ohne vorherige schriftliche Zustimmung durchzuführen;
• (f) Ergebnisse von Leistungs-, Sicherheits- oder Funktionstests der Plattform ohne vorherige schriftliche Zustimmung zu veröffentlichen oder offenzulegen;
• (g) Sicherheitsmaßnahmen, Zugangskontrollen oder Nutzungsgrenzen zu umgehen oder außer Funktion zu setzen;
• (h) Penetrationstests, Schwachstellenscans oder andere Sicherheitsprüfungen der Plattform ohne vorherige schriftliche Genehmigung von Decanos durchzuführen;
• (i) Schadcode an oder über die Plattform zu übermitteln, ihre Integrität oder Leistung zu beeinträchtigen, sie zu überlasten oder zu versuchen, sich unbefugt Zugang zur Plattform, zu den Systemen von Decanos oder des Technologieanbieters oder zu Daten anderer Kunden zu verschaffen;
• (j) die Plattform unter Verstoß gegen anwendbares Recht zu nutzen, insbesondere gegen Datenschutzrecht, Exportkontrollrecht und Antikorruptionsrecht.

18.2 Zulässige Sicherheitsprüfungen. Auf Wunsch des Kunden genehmigt Decanos einmal jährlich einen Penetrationstest der Plattform durch ein im Voraus vereinbartes unabhängiges Prüfunternehmen, das weder mit Decanos noch mit dem Technologieanbieter im Wettbewerb steht. Der Test setzt eine Ankündigung von 30 Tagen, einen vereinbarten Umfang und vereinbarte Einsatzregeln voraus und kann in Echtzeit beobachtet werden. Die Ergebnisse sind vertrauliche Informationen von Decanos und des Lizenzgebers. Die Kosten trägt der Kunde. Penetrationstests, die Decanos an den eigenen Systemen des Kunden durchführt (§ 2.1 (b)), werden von § 18.1 (h) nicht berührt.

18.3 Folgen. Verstöße berechtigen Decanos zur Aussetzung (§ 30), zur Kündigung aus wichtigem Grund (§ 6 (d)) und zur Vertragsstrafe (§ 10).

§ 19 Geistiges Eigentum, Kundendaten und Output

19.1 Plattform. Alle Rechte des geistigen Eigentums an der Plattform, einschließlich Software, Algorithmen, Modellen, Dokumentation, Geschäftsgeheimnissen und eigentumsrechtlich geschützter Technologie, sowie an Änderungen, Verbesserungen und abgeleiteten Werken stehen ausschließlich dem Lizenzgeber und/oder seinen Technologieanbietern zu und verbleiben bei diesen. Der Kunde erwirbt kein Eigentum. Seine Rechte sind auf die in diesem Teil B ausdrücklich eingeräumten Nutzungsrechte beschränkt und unterliegen § 18.

19.2 Kundendaten und Kundenmaterialien. Im Verhältnis der Parteien verbleiben alle Rechte an Kundendaten und Kundenmaterialien beim Kunden. Der Kunde räumt Decanos und ihren Unterauftragnehmern für die Laufzeit das nicht ausschließliche Recht ein, sie zu hosten, zu speichern, zu vervielfältigen und zu verarbeiten, soweit dies zur Bereitstellung der Plattform erforderlich ist. Der Kunde ist für die Rechtmäßigkeit, Richtigkeit und Qualität der Kundendaten und Kundenmaterialien verantwortlich.

19.3 Output. Der Kunde darf Output für seine internen Geschäfts- und Cybersicherheitszwecke nutzen. Er wird nicht (a) Output als eigenständiges Produkt oder eigenständige Leistung an Dritte vertreiben, (b) Output nutzen, um Algorithmen, Modelle oder Erkennungsmethoden zurückzuentwickeln, oder (c) Output ohne vorherige schriftliche Zustimmung von Decanos als offizielle Bewertung, Auditbericht, Compliance-Zertifizierung, behördliche Einreichung oder externen Bericht verwenden. Sämtlicher KI-generierter Output dient Informations- und Betriebszwecken, ist keine professionelle Beratung, kein Rechtsgutachten und keine regulatorische Zertifizierung und ersetzt keine qualifizierte menschliche Prüfung. Der Kunde darf in Output enthaltene Informationen nach eigener Prüfung und in eigener Verantwortung in eigenen Berichten und in Meldungen an Behörden verwenden.

19.4 Threat Intelligence und Nutzungsdaten. Decanos und der Lizenzgeber dürfen aus dem Betrieb der Plattform Threat Intelligence und Nutzungsdaten ableiten und sie zur Verbesserung der Erkennung, des Security Graph, von KI-Modellen und der Plattform verwenden; die Rechte daran stehen dem Lizenzgeber zu. Personenbezogene Daten des Kunden werden nicht für das Training, die Feinabstimmung oder die Optimierung von KI-Modellen oder für die Anreicherung des Security Graph verwendet, es sei denn, der Kunde hat zuvor ausdrücklich schriftlich zugestimmt. Eine Dokumentation des De-Identifizierungsverfahrens wird auf Anfrage zur Verfügung gestellt. Threat Intelligence und Nutzungsdaten identifizieren den Kunden gegenüber Dritten niemals.

19.5 Feedback, Open Source, Kennzeichen. Decanos und der Lizenzgeber dürfen Anregungen und Feedback zur Plattform uneingeschränkt und ohne Vergütung verwenden. Open-Source-Komponenten unterliegen ihren eigenen Lizenzen, die für diese Komponenten vorgehen; eine Liste wird auf Anfrage bereitgestellt. Der Kunde darf Marken von Decanos oder des Lizenzgebers nur mit vorheriger schriftlicher Zustimmung verwenden.

§ 20 Beim Kunden bereitgestellte Komponenten

• (a) Beim Kunden bereitgestellte Komponenten werden als Teil der Plattform lizenziert und nicht verkauft; sie bleiben Eigentum des Lizenzgebers. Der Kunde stellt sie bereit und betreibt sie nach der Dokumentation und den veröffentlichten Systemanforderungen.
• (b) Der Kunde hält die beim Kunden bereitgestellten Komponenten höchstens zwei Hauptversionen hinter der aktuellen Version. Störungen, die durch veraltete Versionen verursacht werden, sind von Gewährleistung und Service Levels ausgenommen.
• (c) Decanos und der Technologieanbieter dürfen beim Kunden bereitgestellte Komponenten aus der Ferne aktualisieren, patchen oder deaktivieren, soweit dies für Sicherheit, Kompatibilität oder gesetzliche Compliance erforderlich ist, und halten die Beeinträchtigung dabei gering. Eine Fern-Deaktivierung kann die Funktion der Plattform beeinträchtigen.
• (d) Innerhalb von 15 Tagen nach Ende des Nutzungsrechts entfernt der Kunde alle beim Kunden bereitgestellten Komponenten und widerruft alle zugehörigen Service Principals, API-Zugangsdaten, IAM-Rollen und sonstigen Zugänge und bestätigt dies auf Anfrage in Textform. Unterlässt er das, kann Decanos die Komponenten nach Ankündigung von fünf Geschäftstagen aus der Ferne deaktivieren. Decanos beschränkt die Deaktivierung auf ihre eigenen Komponenten. Decanos haftet nicht für den Verlust des Schutzes infolge der Entfernung; ihre Haftung nach § 9 für einen durch eine schuldhaft fehlerhafte Deaktivierung verursachten Schaden bleibt unberührt.

§ 21 Pflichten des Kunden für die Plattform

• (a) Zugangsdaten. Der Kunde hält Zugangsdaten, API-Schlüssel und Authentifizierungsmechanismen vertraulich, vergibt persönliche Zugangsdaten an jeden autorisierten Nutzer (eine gemeinsame Nutzung ist untersagt), erzwingt eine Multi-Faktor-Authentifizierung für alle Konten, überprüft Berechtigungen regelmäßig und ist für alle Aktivitäten unter seinen Zugangsdaten verantwortlich.
• (b) Meldung. Der Kunde zeigt Decanos unverzüglich jeden Verdacht auf unbefugten Zugriff, kompromittierte Zugangsdaten oder einen Sicherheitsvorfall an, der die Plattform oder Kundendaten betrifft.
• (c) Backups. Der Kunde hält eigene Backups der Kundendaten durch regelmäßige Exporte nach der Dokumentation vor. Von Decanos oder dem Technologieanbieter erstellte Backups dienen der Notfallwiederherstellung und ersetzen nicht die eigene Sicherung des Kunden.
• (d) Nutzer. Der Kunde schult autorisierte Nutzer in der ordnungsgemäßen Nutzung der Plattform und ist für deren Handeln und Unterlassen verantwortlich.
• (e) Systeme. Der Kunde stellt die für die Nutzung erforderliche Hardware, Software, Netze und Konnektivität bereit, einschließlich kompatibler Systeme für die beim Kunden bereitgestellten Komponenten.
• (f) Rechtmäßige Daten. Der Kunde gewährleistet, dass er Kundendaten rechtmäßig erhoben hat und über die erforderlichen Rechtsgrundlagen verfügt. Er verarbeitet über die Plattform nicht absichtlich besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO), sofern dies nicht im Bestellformular mit zusätzlichen Schutzmaßnahmen vereinbart ist. Beide Parteien erkennen an, dass die Sicherheitsüberwachung solche Daten beiläufig erfassen kann.
• (g) Mitbestimmung. Der Kunde ist dafür verantwortlich, seinen Betriebsrat (insbesondere § 87 Abs. 1 Nr. 6 BetrVG) oder Personalrat zu beteiligen und seine Beschäftigten zu informieren, bevor die Plattform eingesetzt wird.
• (h) Onboarding. Der Kunde stellt die für Onboarding, Support und Incident-Bearbeitung erforderlichen Zugänge, Personen und Informationen rechtzeitig bereit.

§ 22 BYOC: Verantwortlichkeiten für die Kundeninfrastruktur

22.1 Anwendung. Dieser § 22 gilt nur, wenn das Bestellformular BYOC vorsieht. Er gilt entsprechend, wenn ein vom Kunden benannter Dritter Inhaber des Cloud-Kontos ist.

22.2 Verantwortung. Der Kunde ist allein verantwortlich für (a) Bereitstellung, Konfiguration, Betrieb, Wartung, Sicherheit und Verfügbarkeit seines Cloud-Kontos; (b) die Einhaltung der in der Dokumentation veröffentlichten technischen Anforderungen; (c) ein Cloud-Audit-Logging, das jeden Zugriff von Decanos und des Technologieanbieters erfasst; (d) die Bereitstellung von IAM-Rollen für Deployment-Pipelines und Supportzugriff; (e) den Datenstandort und die regulatorische Compliance der Infrastruktur; (f) die Notfallwiederherstellung für die Infrastrukturschicht; und (g) die Unterrichtung von Decanos innerhalb von 24 Stunden über Sicherheitsvorfälle auf Infrastrukturebene.

22.3 Zugriff. Der Kunde gewährt Zugriff für die automatisierten Deployment-Pipelines und zeitlich begrenzten, ticketbasierten Fehlerbehebungszugriff, wie in der Dokumentation beschrieben, und kann diesen Zugriff jederzeit überwachen und widerrufen. Ein Widerruf befreit Decanos und den Technologieanbieter von Update- und Patch-Pflichten für die betroffene Umgebung. Personen von Decanos und des Technologieanbieters greifen auf Infrastrukturkomponenten (Hypervisor, Netz, Speicher, Host-Betriebssystem, IAM auf Kontenebene) nur mit schriftlicher Genehmigung des Kunden für einen bestimmten Zweck zu.

22.4 Mindeststandards. Die Infrastruktur des Kunden bietet mindestens (a) AES-256-Verschlüsselung im Ruhezustand; (b) TLS 1.2 oder höher bei der Übertragung; (c) Multi-Faktor-Authentifizierung für administrativen Zugriff; (d) Netzsegmentierung, die die Plattform isoliert; (e) automatisiertes Sicherheitspatching von Infrastrukturkomponenten; und (f) eine Hosting-Region, die die anwendbaren Anforderungen an den Datenstandort erfüllt. Audit-Logs werden mindestens 12 Monate aufbewahrt. Das Cloud-Konto bedarf vor dem Produktivbetrieb der Freigabe durch Decanos.

22.5 Ausschluss. Decanos ist nicht verantwortlich für Ausfallzeiten, Datenverlust, Leistungseinbußen oder Sicherheitsverletzungen, die verursacht werden durch (a) Ausfälle der Infrastruktur des Kunden, (b) unbefugte IAM-Änderungen, (c) einen Widerruf des Zugriffs, der die Wartung verhindert, oder (d) Handeln oder Unterlassen des Cloud-Anbieters, es sei denn, Decanos oder ihre Unterauftragnehmer haben sie verursacht. Die Service Levels gelten nur für die Anwendungsschicht.

§ 23 Künstliche Intelligenz und automatisierte Maßnahmen

23.1 KI-Funktionen. Die Plattform verwendet künstliche Intelligenz, maschinelles Lernen und automatisierte Entscheidungsfindung. Die vereinbarte Beschaffenheit der Plattform ergibt sich aus der Dokumentation. Output, der in jedem Fall richtig, vollständig und frei von Fehlern, Auslassungen oder Verzerrungen ist, ist nicht Teil der vereinbarten Beschaffenheit, und weder Decanos noch der Lizenzgeber gibt eine Garantie dieses Inhalts. Output kann unvollständig oder für die Umgebung des Kunden ungeeignet sein und ist von qualifiziertem Personal zu prüfen, bevor der Kunde darauf handelt. Die Plattform ist ein Werkzeug und ersetzt keinen CISO und kein qualifiziertes Sicherheitspersonal. Sie gibt möglicherweise nicht die jüngsten Gesetze, Vorschriften oder Standards wieder. § 9 bleibt unberührt.

23.2 KI-Regulierung. Der Technologieanbieter stuft die KI-Komponenten der Plattform nach der Verordnung (EU) 2024/1689 (KI-Verordnung) ein. Auf Anfrage stellt Decanos eine Zusammenfassung dieser Einstufung, eine Beschreibung der KI-Modelle und ihres Zwecks, bekannte wesentliche Einschränkungen einschließlich der Falsch-Positiv- und Falsch-Negativ-Raten, soweit diese zumutbar messbar sind, die Mechanismen menschlicher Aufsicht und die Arten der Trainingsdaten zur Verfügung, in einem Umfang, der für die eigene Risikobewertung des Kunden ausreicht und ohne Offenlegung von Geschäftsgeheimnissen. Der Kunde ist verantwortlich für die Einstufung seiner eigenen Nutzung der KI-Funktionen und für seine Pflichten als Betreiber. Soweit die Plattform zu Entscheidungen im Sinne von Art. 22 DSGVO beiträgt, stellt Decanos die für menschliche Aufsicht, Überprüfung und Erläuterung erforderlichen Informationen und Funktionen bereit.

23.3 Automatisierte Maßnahmen. Funktionen der Plattform, insbesondere Autopilot, Workflow-Automatisierung und automatisierte Reaktionen der beim Kunden bereitgestellten Komponenten, können Maßnahmen in den Systemen des Kunden ohne menschliche Freigabe in Echtzeit vornehmen. Dazu gehören Eindämmung, Isolierung, Quarantäne und Prozessbeendigung auf Endpoints; Änderungen an IAM-Rollen, Richtlinien, Zugriffsschlüsseln, Security Groups und Firewall-Regeln; Quarantäne oder Beendigung von Cloud-Ressourcen, Pods und Containern; Sperrung von Netzverkehr; Sperrung von Nutzerkonten und Sitzungen; und Befehle an Drittplattformen über konfigurierte Integrationen.

23.4 Verantwortung des Kunden. Der Kunde ist allein verantwortlich für (a) die Konfiguration von Umfang und Berechtigungen automatisierter Maßnahmen, wobei Zugriffsrechte auf das erforderliche Minimum beschränkt sind; (b) die Einrichtung von Freigabe-Workflows und eines Änderungsmanagements für Maßnahmen, die Produktivsysteme betreffen; (c) das Testen von Konfigurationen in einer Nicht-Produktivumgebung vor dem Produktivbetrieb; (d) die Überwachung der Ergebnisse; und (e) das Vorhalten von Möglichkeiten zum Übersteuern, Zurücksetzen und für den Notfallzugriff. Soweit Decanos automatisierte Maßnahmen im Rahmen von Managed Services konfiguriert, bestimmt das vom Kunden in Textform freigegebene Response-Playbook den konfigurierten Umfang.

23.5 Haftung für automatisierte Maßnahmen. Decanos und der Lizenzgeber haften nicht für nachteilige Auswirkungen automatisierter Maßnahmen, die innerhalb des vom Kunden konfigurierten oder freigegebenen Umfangs arbeiten oder die aus der vorhersehbaren Schwankungsbreite von KI-Ergebnissen folgen. Decanos haftet nach § 9, wenn ein Mangel, also ein reproduzierbarer Softwarefehler, Datenverarbeitungsfehler oder Algorithmusfehler, dazu führt, dass eine automatisierte Maßnahme wesentlich von der Konfiguration abweicht. § 9 (a) bleibt in jedem Fall unberührt.

23.6 Wahl der KI-Modelle. Die Plattform ist im Hinblick auf große Sprachmodelle anbieterunabhängig. Der Kunde wählt den oder die Modellanbieter und das oder die Modelle aus den von der Plattform unterstützten Optionen. Der Verarbeitungsort folgt dem gewählten Anbieter und Endpunkt. Vor der Auswahl informiert Decanos den Kunden über die verfügbaren Optionen, ihre Verarbeitungsorte und die Bedingungen der Anbieter zu Aufbewahrung und Training, nutzt EU/EWR-Endpunkte, soweit der Anbieter sie anbietet, und dokumentiert die Auswahl im Unterauftragsverarbeiter-Anhang des Auftragsverarbeitungsvertrags. Eine Verarbeitung außerhalb der EU/des EWR bedarf der ausdrücklichen Genehmigung des Kunden (§ 16.4). Modellanbieter dürfen Kundendaten nicht zum Training oder zur Verbesserung ihrer Modelle verwenden. Die Qualität des Outputs kann sich zwischen Modellen unterscheiden; § 23.1 gilt.

§ 24 Service Levels und Support

24.1 Support-Stufe. Das Bestellformular legt die Support-Stufe fest; ohne Festlegung gilt Baseline. Anlage 1 regelt Verfügbarkeit, Reaktionszeiten, Wartungsfenster, Servicegutschriften, Reporting und Notfallwiederherstellung. Service Levels über Anlage 1 hinaus gelten nur, wenn sie im Bestellformular ausdrücklich vereinbart sind.

24.2 Supportprozess. Decanos erbringt den First-Line-Support (Ticketannahme, Triage, Schweregrad-Einstufung und Bearbeitung bekannter Probleme) und eskaliert an den Technologieanbieter für den Second- und Third-Line-Support. Reaktionszeiten laufen ab Eingang des Tickets bei Decanos über die vereinbarten Supportkanäle. Decanos stuft den Schweregrad jedes Tickets nach Anlage 1 ein; der Kunde kann mit zusätzlichen Informationen eine Neueinstufung verlangen.

24.3 Nicht umfasst. Der Support umfasst nicht Probleme, die durch Änderungen oder eine diesen AGB widersprechende Nutzung verursacht werden; Probleme in der Infrastruktur, im Netz oder in Drittsoftware des Kunden; individuelle Entwicklung, individuelle Integrationen und Professional Services (verfügbar im Rahmen eines SoW); Schulungen über das Standard-Onboarding hinaus; und Beta-Funktionen (nur nach bestem Bemühen).

24.4 Servicegutschriften. Fällt die monatliche Verfügbarkeitsquote unter die Zusage für die Support-Stufe des Kunden, erhält der Kunde die in Anlage 1 festgelegte Servicegutschrift. Servicegutschriften sind eine pauschale Minderung der Vergütung für den betroffenen Monat und werden auf künftige Rechnungen angerechnet; ausgezahlt werden sie nur bei Kündigung. Der Kunde verlangt die Gutschrift innerhalb von 30 Tagen nach Monatsende in Textform unter Angabe der Zeiten, der Auswirkungen und der verfügbaren Nachweise der Ausfallzeit. Weitergehende Ansprüche wegen derselben Ausfallzeit bestehen nur nach § 9, und Servicegutschriften werden darauf angerechnet. Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

24.5 Bereitstellungsmodelle. Für Decanos-Hosted und Managed Cloud gelten die Service Levels in Anlage 1 für die gesamte Plattform, einschließlich der Infrastrukturschicht. Für BYOC gelten sie nur für die Anwendungsschicht. Für On-Premise erbringt Decanos Support, aber keine Verfügbarkeitszusage, auch wenn Decanos die Plattform betreibt.

§ 25 Updates, Wartung und Einstellung

• (a) Updates. Decanos stellt Updates bereit (Patches, Fehlerbehebungen, Sicherheitsupdates und Nebenversionen). In Decanos-Hosted und Managed Cloud werden sie automatisch eingespielt, in BYOC über die Deployment-Pipelines. Bei On-Premise werden sie von Decanos eingespielt, soweit Decanos die Plattform betreibt, andernfalls vom Kunden innerhalb einer angemessenen Frist.
• (b) Wartung. Planmäßige Wartung findet in den in Anlage 1 festgelegten Fenstern und mit den dort genannten Ankündigungsfristen statt, in der Regel außerhalb der Geschäftszeiten. Notfallwartung zur Behebung kritischer Schwachstellen oder unmittelbar drohender Bedrohungen kann jederzeit mit der frühestmöglichen Ankündigung erfolgen.
• (c) Abkündigung. Decanos kündigt die Abkündigung einer wesentlichen Funktion oder eines wesentlichen Moduls, das im Abonnement des Kunden enthalten ist, mindestens 90 Tage im Voraus an und benennt die Funktion, das Datum, einen etwaigen Ersatz und erforderliche Maßnahmen. Wird kein im Wesentlichen gleichwertiger Ersatz bereitgestellt, kann der Kunde das betroffene Abonnement zum Abkündigungsdatum kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.
• (d) Hauptversionen und APIs. Änderungen von Hauptversionen, die ein Handeln des Kunden erfordern, werden mindestens 60 Tage im Voraus mit Migrationsleitfäden angekündigt. Veröffentlichte APIs bleiben nach Ankündigung einer nicht abwärtskompatiblen Änderung mindestens 12 Monate abwärtskompatibel.
• (e) Einstellung. Decanos kündigt die Einstellung der Plattform oder eines Moduls mindestens 180 Tage im Voraus an, bietet soweit möglich einen Migrationsweg und erbringt die eingestellte Leistung für die laufende Laufzeit weiter. Steht kein im Wesentlichen gleichwertiger Ersatz zur Verfügung, kann der Kunde das betroffene Abonnement kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.
• (f) Neue Funktionen. Neue Funktionen oder Module, die gesondert lizenziert werden, sind in bestehenden Abonnements nicht enthalten und erfordern eine gesonderte Bestellung.

§ 26 Datenschutz für die Plattform

26.1 Rollen. Der Kunde ist Verantwortlicher und Decanos ist Auftragsverarbeiter. Unterauftragsverarbeiter von Decanos sind insbesondere der Infrastrukturanbieter (bei Decanos-Hosted) und der Technologieanbieter. Vor der Verarbeitung personenbezogener Daten schließen die Parteien einen Auftragsverarbeitungsvertrag, der (a) Gegenstand und Zweck der Verarbeitung, (b) die Arten personenbezogener Daten, (c) die Kategorien betroffener Personen, (d) die Pflichten jeder Partei, (e) das Verfahren für Betroffenenrechte, (f) die Einschaltung von Unterauftragsverarbeitern und die Anzeige von Änderungen, (g) die technischen und organisatorischen Maßnahmen und (h) Aufbewahrung und Löschung festlegt.

26.2 Unterauftragsverarbeiter-Anhang. Der Unterauftragsverarbeiter-Anhang des Auftragsverarbeitungsvertrags benennt alle Unterauftragsverarbeiter von Decanos und die weiteren Unterauftragsverarbeiter des Technologieanbieters, einschließlich der vom Kunden ausgewählten KI-Modellanbieter, mit ihrem Standort, der von ihnen vorgenommenen Verarbeitung und dem Übermittlungsmechanismus. Der Anhang ist für den Kunden maßgeblich; vom Technologieanbieter für sein eigenes Angebot veröffentlichte Listen gelten nicht.

26.3 Standort und Übermittlungen. Personenbezogene Daten werden nur in freigegebenen Hosting-Regionen in der EU/im EWR verarbeitet und gehostet (§ 16.3). Übermittlungen außerhalb der EU/des EWR erfolgen nur nach § 16.4 und auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) mit zusätzlichen Maßnahmen, einschließlich Verschlüsselung bei der Übertragung und im Ruhezustand, restriktiver Zugriffskontrolle und der Pflicht, unverhältnismäßige staatliche Zugriffsersuchen anzufechten und sie, soweit rechtlich zulässig, anzuzeigen.

26.4 Zweckbindung. Personenbezogene Daten werden nur verarbeitet, um die Plattform und die vereinbarten Leistungen bereitzustellen. Sie werden nicht verkauft und nicht ohne vorherige ausdrückliche schriftliche Genehmigung des Kunden für KI-Training, Modelloptimierung oder andere Zwecke verwendet.

26.5 Wechsel von Unterauftragsverarbeitern. Decanos zeigt beabsichtigte Wechsel von Unterauftragsverarbeitern unverzüglich an, in der Regel mindestens 30 Tage im Voraus. Der Kunde kann innerhalb von zehn Werktagen nach der Anzeige aus berechtigten datenschutzrechtlichen Gründen widersprechen. Wird innerhalb von 30 Tagen keine Alternativlösung gefunden, kann der Kunde die betroffenen Leistungen ohne Vertragsstrafe kündigen; für den Zeitraum nach der Kündigung im Voraus gezahlte Entgelte werden erstattet.

26.6 Verletzungen des Schutzes personenbezogener Daten. Decanos benachrichtigt den Kunden unverzüglich, nachdem sie Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, und ergänzt sie im Fortgang der Untersuchung. Decanos unterstützt den Kunden bei Meldungen an Behörden und betroffene Personen.

26.7 Unterstützung und Audits. Decanos unterstützt den Kunden bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Der Kunde kann die Einhaltung einmal je Kalenderjahr mit einer Ankündigung von 30 Tagen während der Geschäftszeiten selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer prüfen, der kein Wettbewerber von Decanos oder des Technologieanbieters ist. Die Prüfung erfolgt vorrangig anhand aktueller Auditberichte, Zertifikate und Antworten auf schriftliche Fragen. Auditaufwand über fünf Personentage je Jahr wird zu den vereinbarten Sätzen vergütet. Auditergebnisse sind vertraulich.

26.8 Löschung. Nach der Exportfrist (§ 31.2) werden personenbezogene Daten innerhalb von 30 Tagen aus den Primärsystemen und innerhalb weiterer 90 Tage aus den Backups gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Decanos bestätigt die Löschung auf Anfrage.

26.9 On-Premise. Bei On-Premise verarbeitet Decanos personenbezogene Daten nur, soweit der Kunde für Supportzwecke Fernzugriff gewährt.

§ 27 Informationssicherheit, NIS2 und KRITIS

27.1 Sicherheitsmaßnahmen. Decanos stellt, auch durch ihre Vereinbarungen mit dem Technologieanbieter, angemessene technische und organisatorische Maßnahmen sicher. Dazu gehören insbesondere Verschlüsselung bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256 oder gleichwertig); Multi-Faktor-Authentifizierung, rollenbasierte Zugriffskontrolle und Least Privilege; logische Mandantentrennung und Netzsegmentierung; Web Application Firewall, DDoS-Schutz und Intrusion Detection; ein sicherer Entwicklungszyklus mit statischen und dynamischen Sicherheitstests; Behebung kritischer Schwachstellen innerhalb von 24 Stunden, hoher innerhalb von 7 Tagen, mittlerer innerhalb von 30 Tagen und niedriger innerhalb von 90 Tagen nach Entdeckung; Penetrationstests durch unabhängige Dritte mindestens jährlich; manipulationssichere Audit-Logs mit einer Aufbewahrung von mindestens 12 Monaten; Sicherheitsüberwachung rund um die Uhr; ein dokumentierter Incident-Response-Plan; Zuverlässigkeitsüberprüfungen und Sicherheitsschulungen für Personen mit Zugriff auf Kundendaten; und tägliche verschlüsselte Backups innerhalb der Hosting-Region. Einzelheiten ergeben sich aus dem Anhang zum Auftragsverarbeitungsvertrag. Wesentliche Verringerungen dieser Maßnahmen werden für eine laufende Laufzeit nicht wirksam.

27.2 Zertifizierungen. Decanos stellt auf Anfrage unter einer Vertraulichkeitsvereinbarung Informationen zu aktuellen Zertifizierungen, Testaten und Auditberichten von Decanos und des Technologieanbieters bereit. Eine bestimmte Zertifizierung ist nur geschuldet, wenn sie im Bestellformular ausdrücklich vereinbart ist.

27.3 NIS2 und KRITIS. Soweit der Kunde NIS2, dem BSIG oder einer anderen Regulierung kritischer Infrastrukturen unterliegt, (a) stellt Decanos die für Risikobewertungen der Lieferkette vernünftigerweise erforderlichen Informationen bereit (Art. 21 Abs. 2 Buchst. d NIS2); (b) stellt technische Dokumentation und Nachweise der Sicherheitsmaßnahmen bereit; (c) benachrichtigt den Kunden unverzüglich über erhebliche Sicherheitsvorfälle, die die Plattform betreffen und Meldepflichten auslösen können, und unterstützt die Vorbereitung von Meldungen mit technischen Einzelheiten; und (d) wirkt an Audits zuständiger Behörden mit, soweit ihre Beteiligung erforderlich ist. Die eigenen Registrierungs- und Meldepflichten des Kunden verbleiben beim Kunden.

§ 28 Drittplattformen und Integrationen

• (a) Die Plattform kann auf Weisung des Kunden mit Drittplattformen, Diensten und Anwendungen verbunden werden. Der Kunde ist verantwortlich für die Autorisierung dieses Zugriffs, für die Einhaltung der Nutzungsbedingungen der Dritten und für gültige Zugangsdaten.
• (b) Drittplattformen sind nicht Teil der Plattform und nicht von den Service Levels, den Sicherheitsmaßnahmen oder dem Auftragsverarbeitungsvertrag erfasst. Daten, die auf Weisung des Kunden an Drittplattformen übermittelt werden, liegen in der Verantwortung des Kunden.
• (c) Decanos unternimmt angemessene Anstrengungen, Integrationen mit weit verbreiteten Drittplattformen aufrechtzuerhalten, ist aber nicht verantwortlich für Störungen, die durch Änderungen ihrer Schnittstellen, Funktionen oder Bedingungen verursacht werden.

§ 29 Beta-Funktionen und Nicht-Produktivumgebungen

• (a) Beta-Funktionen werden unentgeltlich zu Test- und Feedbackzwecken bereitgestellt, sind nicht für den Produktivbetrieb bestimmt, sind von den Service Levels und Supportpflichten ausgenommen und können jederzeit geändert oder eingestellt werden. Für Beta-Funktionen haftet Decanos nur nach § 9 (a). Sobald eine Funktion allgemein verfügbar wird, gilt § 25.
• (b) Nicht-Produktivumgebungen (Staging, Test, Sandbox) sind von den Service Levels ausgenommen, dürfen nicht für personenbezogene Daten genutzt werden, sofern nicht schriftlich vereinbart, unterliegen denselben Nutzungsbeschränkungen und können jederzeit geändert oder beendet werden.

§ 30 Aussetzung

• (a) Decanos kann den Zugang zur Plattform sofort und ohne vorherige Ankündigung aussetzen, wenn (i) die Nutzung ein unmittelbar drohendes Sicherheitsrisiko für die Plattform, Decanos, den Technologieanbieter oder andere Kunden darstellt, (ii) die Nutzung die Plattform nachteilig beeinträchtigen kann, (iii) die Aussetzung gesetzlich, durch Gerichtsbeschluss oder behördliche Anordnung geboten ist oder (iv) Decanos vernünftigerweise annimmt, dass das Konto des Kunden kompromittiert wurde.
• (b) Decanos informiert den Kunden gleichzeitig oder unmittelbar danach unter Angabe der Gründe. Decanos prüft einen Widerspruch des Kunden innerhalb von 4 Stunden bei Elite und innerhalb von 24 Stunden bei den anderen Support-Stufen.
• (c) Bei anderen wesentlichen Verstößen gegen diesen Teil B kann Decanos den Zugang aussetzen, wenn der Kunde den Verstoß nicht innerhalb von zehn Tagen nach Abmahnung in Textform abstellt.
• (d) Die Aussetzung nach § 5 (g) wegen Zahlungsverzugs bleibt unberührt.
• (e) Die Aussetzung ist in Umfang und Dauer auf das Erforderliche beschränkt. Der Zugang wird unverzüglich wiederhergestellt, sobald der Grund entfallen ist. Die Zahlungspflicht besteht fort, es sei denn, die Aussetzung war unberechtigt.

§ 31 Vertragsende, Datenexport und Fortführung

31.1 Ende der Nutzungsrechte. Die Nutzungsrechte enden mit dem Ende des Abonnements. Der Kunde stellt dann jede Nutzung der Plattform und der Dokumentation ein, entfernt die beim Kunden bereitgestellten Komponenten (§ 20), und jede Partei gibt vertrauliche Informationen der anderen auf Anfrage zurück oder löscht sie. Decanos deaktiviert den Zugang.

31.2 Datenexport. Während der Laufzeit kann der Kunde jederzeit einen Export der Kundendaten verlangen. Für 30 Tage nach Vertragsende (Exportfrist) stellt Decanos Kundendaten auf Anfrage in einem gängigen maschinenlesbaren Format bereit (zum Beispiel JSON, CSV oder Parquet). Exporte werden innerhalb von zehn Geschäftstagen nach der Anfrage bereitgestellt. Endet der Vertrag, weil die Fortsetzung der Bereitstellung rechtswidrig wäre (§ 12 (e)), erfolgt der Export, soweit rechtlich zulässig.

31.3 Kontinuität des Kontos. Konten, Konfigurationen, Kundendaten und Berechtigungen bleiben für die Dauer des Abonnements unabhängig vom Bereitstellungsmodell erhalten. Die Umwandlung einer Evaluierung (Teil C) in ein Abonnement erfordert kein neues Konto.

31.4 Ausfall des Technologieanbieters. Kann Decanos die Plattform nicht mehr bereitstellen, weil der Technologieanbieter sie nicht mehr zur Verfügung stellt (zum Beispiel wegen Insolvenz, Geschäftsaufgabe oder Ende der Vertriebsbeziehung), (a) informiert Decanos den Kunden unverzüglich; (b) kündigt, soweit möglich, mit einer Frist von mindestens 60 Tagen an; (c) stellt den Zugang zu Kundendaten und Konfigurationen für Export und Übergang sicher; und (d) erstattet im Voraus gezahlte Entgelte für den Zeitraum nach dem Ende der Bereitstellung anteilig. Der Kunde kann das betroffene Abonnement dann fristlos kündigen. Sieht das Bestellformular eine Quellcode-Hinterlegung vor, gelten die dort vereinbarten Bedingungen.

31.5 Übertragung zur Fortführung. Zur Sicherstellung eines unterbrechungsfreien Betriebs kann Decanos mit Zustimmung des Kunden in Textform den Vertrag über die Plattform mit allen Daten, Konfigurationen und Berechtigungen auf einen anderen autorisierten Partner des Technologieanbieters oder auf ein Unternehmen des Technologieanbieters übertragen, jeweils mit Sitz in der EU/im EWR. Die Hosting-Region, der Auftragsverarbeitungsvertrag und die Regeln zum Zugriff aus Drittländern gelten unverändert fort; Kundendaten verbleiben in der vereinbarten Hosting-Region in der EU/im EWR. Stimmt der Kunde nicht zu, gilt § 31.4.

§ 32 Haftung für die Plattform und Schutz des Lizenzgebers

• (a) Für die Plattform gilt § 9.
• (b) Der Kunde hat keine vertraglichen Ansprüche gegen den Lizenzgeber. Soweit der Kunde im Zusammenhang mit der Plattform Ansprüche gegen den Lizenzgeber aus anderen Rechtsgründen geltend macht, ist die Gesamthaftung des Lizenzgebers auf die vom Kunden für die Plattform in den 12 Monaten vor dem anspruchsauslösenden Ereignis gezahlten Entgelte begrenzt, und der Lizenzgeber haftet nicht für mittelbare, begleitende, besondere oder Folgeschäden, Strafschadensersatz oder den Verlust von Gewinn, Umsatz, Daten, Geschäftswert oder Geschäftschancen.
• (c) Die Beschränkung nach (b) gilt nicht für Vorsatz, grobe Fahrlässigkeit oder Arglist, für die Verletzung von Leben, Körper oder Gesundheit, für die Haftung nach dem Produkthaftungsgesetz oder für eine sonstige Haftung, die nach zwingendem Recht nicht beschränkt werden kann.
• (d) Decanos haftet nicht für die BYOC-Infrastruktur des Kunden (§ 22), für Drittplattformen (§ 28) oder für automatisierte Maßnahmen innerhalb des konfigurierten Umfangs (§ 23.5), jeweils vorbehaltlich § 9 (a).

Teil C: Evaluierung und Proof of Value

§ 33 Evaluierungszugang zu Decanos AEP

33.1 Gegenstand. Decanos kann einen zeitlich begrenzten Zugang zur Plattform zur Evaluierung oder als Proof of Value gewähren („Evaluierung“). Umfang, Bereitstellungsmodell, Zeitraum und ein etwaiges Entgelt ergeben sich aus der Evaluierungsbestätigung. Sofern nichts anderes vereinbart ist, ist die Evaluierung unentgeltlich.

33.2 Zweck und Beschränkungen. Die Evaluierung dient ausschließlich der internen Erprobung und Bewertung der Plattform und nicht kommerziellen Zwecken oder dem Schutz von Produktivumgebungen, sofern in der Evaluierungsbestätigung nichts anderes vereinbart ist. § 18 gilt. Der Kunde wird außerdem nicht (a) Robots, Scraper oder andere automatisierte Mittel nutzen, um über die vorgesehenen Schnittstellen hinaus auf die Plattform zuzugreifen, (b) Daten aus der Plattform für andere Zwecke als die Evaluierung nutzen oder (c) Datensätze, KI-Modelle oder Analysen außerhalb des Umfangs der Evaluierung erstellen.

33.3 Support und Änderungen. Decanos leistet angemessenen Support per E-Mail und in vereinbarten Besprechungen. Anlage 1 gilt nicht. Decanos kann Funktionen während der Evaluierung ändern; § 25 gilt nur im Rahmen eines Abonnements.

33.4 Daten. Vor der Verarbeitung personenbezogener Daten in der Evaluierung schließen die Parteien einen Auftragsverarbeitungsvertrag. Soweit möglich, verwendet der Kunde Test-, synthetische oder pseudonymisierte Daten. Die Sicherheitsmaßnahmen nach § 27.1 gelten auch während der Evaluierung.

33.5 Gewährleistung und Haftung. Bei einer unentgeltlichen Evaluierung wird die Plattform in ihrem jeweils aktuellen Zustand bereitgestellt. Decanos haftet für Mängel nur, wenn sie diese arglistig verschweigt, und im Übrigen nur für Vorsatz und grobe Fahrlässigkeit, für die Verletzung von Leben, Körper oder Gesundheit und nach dem Produkthaftungsgesetz. Bei einer entgeltlichen Evaluierung gilt § 9.

33.6 Ende. Jede Partei kann die Evaluierung mit einer Frist von 15 Tagen in Textform beenden, bei einem Verstoß gegen § 18 sofort. Mit dem Ende der Evaluierung endet das Nutzungsrecht. Der Kunde entfernt die beim Kunden bereitgestellten Komponenten innerhalb von 15 Tagen und löscht vertrauliche Informationen. Evaluierungsdaten werden 30 Tage nach dem Ende gelöscht, sofern nicht zuvor ein Abonnement geschlossen wird; in diesem Fall werden sie übernommen (§ 31.3).

33.7 Keine Abnahmepflicht, Öffentlichkeit. Die Evaluierung verpflichtet keine Partei zum Abschluss eines Abonnements. Ergebnisse der Evaluierung sind vertrauliche Informationen von Decanos und des Lizenzgebers (§ 7). Decanos verwendet den Namen des Kunden oder eine Fallstudie nur mit vorheriger schriftlicher Zustimmung des Kunden.

Anlage 1: Service Levels und Support-Stufen

Diese Anlage gilt für Decanos AEP in Decanos-Hosted und Managed Cloud vollständig und, für die Anwendungsschicht, in BYOC (§ 24.5). Die Support-Stufe ergibt sich aus dem Bestellformular; ohne Festlegung gilt Baseline.

A1.1 Verfügbarkeit

Die monatliche Verfügbarkeitsquote ist die Anzahl der Minuten eines Kalendermonats abzüglich der Minuten der Ausfallzeit, geteilt durch die Minuten des Monats. Ausfallzeit ist jeder Zeitraum, in dem die Plattform wesentlich nicht verfügbar oder wesentlich beeinträchtigt ist, insbesondere wenn sich der Kunde nicht anmelden kann, Kernfunktionen nicht nutzen kann oder mehr als 5 % der Anfragen über einen zusammenhängenden Zeitraum von fünf Minuten fehlschlagen. Die Ausfallzeit wird in Ein-Minuten-Schritten gemessen; einzelne Vorfälle von weniger als fünf aufeinanderfolgenden Minuten werden nicht gezählt. Decanos stellt Statusinformationen zu Verfügbarkeit, planmäßiger Wartung und Vorfallhistorie bereit. Nicht als Ausfallzeit zählen: planmäßige Wartung mit der oben genannten Ankündigung; Notfallwartung zur Behebung kritischer Schwachstellen oder unmittelbar drohender Bedrohungen; höhere Gewalt; Ursachen im Verantwortungsbereich des Kunden, einschließlich Fehlkonfiguration; Drittdienste und Integrationen, die nicht von Decanos oder ihren Unterauftragsverarbeitern bereitgestellt werden; Ausfälle der BYOC- oder Kundeninfrastruktur; Beta-Funktionen; und Nutzung über die bestellten abrechenbaren Einheiten hinaus.

A1.2 Servicegutschriften

Bei jährlichen oder mehrjährigen Abonnements ist das monatliche Entgelt ein Zwölftel des Jahresentgelts für die betroffenen Leistungen. Servicegutschriften in einem Monat übersteigen 100 % des monatlichen Entgelts nicht. Anforderung und Anrechnung richten sich nach § 24.4.

A1.3 Schweregrade und Zielzeiten für die Behebung

Behebung bedeutet eine Fehlerbehebung oder einen wirksamen Workaround. Behebungszeiten sind Zielwerte und keine Zusagen; die Reaktionszeiten in der Tabelle oben sind Zusagen.

A1.4 Reporting und Notfallwiederherstellung

• Bei kritischen Vorfällen, die länger als 30 Minuten dauern, stellt Decanos innerhalb von fünf Geschäftstagen nach der Behebung eine schriftliche Ursachenanalyse bereit.
• Für Plus und Elite stellt Decanos innerhalb von zehn Geschäftstagen nach Monatsende einen monatlichen Servicebericht bereit und führt vierteljährliche Service-Reviews durch.
• Decanos-Hosted und Managed Cloud: Backups mindestens alle 24 Stunden mit zeitpunktbezogener Wiederherstellung; Wiederherstellungspunkt (RPO) 24 Stunden; Wiederherstellungszeit (RTO) wie in der Tabelle oben; Betrieb über mehrere Verfügbarkeitszonen innerhalb der Hosting-Region; Tests der Notfallwiederherstellung mindestens jährlich. Regionsübergreifendes Failover für Elite nur auf Anfrage und nur innerhalb der EU/des EWR.
• BYOC und On-Premise: Die Notfallwiederherstellung für die Infrastrukturschicht liegt in der Verantwortung des Kunden; Decanos stellt die erneute Bereitstellung der Anwendungsschicht sicher, sobald die Infrastruktur verfügbar ist.

Decanos GmbH · Alt-Moabit 73/73a, 10555 Berlin · contact@decanos.com · www.decanos.com · www.cyber-curriculum.com · Geschäftsführer: Niclas Matz · USt-IdNr.: DE343188316 · Amtsgericht Berlin-Charlottenburg