Allgemeine Geschäftsbedingungen (AGB)

1Anwendung der Bedingungen#

1.1

Diese Allgemeinen Geschäftsbedingungen (oder die „Bedingungen“) gelten für Ihre (die des Kunden) Nutzung des Services (wie unten definiert). Indem Sie auf den Service zugreifen und ihn nutzen:

a
Sie diesen Bedingungen zustimmen; und
b
wenn Sie im Namen einer anderen Person (z. B. eines Unternehmens) zugreifen und die Dienste nutzen, bestätigen Sie, dass Sie berechtigt sind, diesen Bedingungen im Namen dieser Person zuzustimmen, und dies auch tatsächlich tun, und dass diese Person durch Ihre Zustimmung in ihrem Namen an diese Bedingungen gebunden ist.

1.2

Wenn Sie diesen Bedingungen nicht zustimmen, sind Sie nicht berechtigt, auf den Service zuzugreifen und ihn zu nutzen, und Sie müssen dies unverzüglich einstellen (Ausnahme 1.3).

1.3

Individuelle Bedingungen: Ungeachtet des Vorstehenden erkennen Sie an, dass wir mit bestimmten Kunden individuelle Bedingungen vereinbaren können, die diese allgemeinen Allgemeinen Geschäftsbedingungen ändern, ersetzen oder ergänzen. Solche individuellen Bedingungen werden mit beiderseitiger schriftlicher Vereinbarung für die Parteien verbindlich, und nur soweit sie diese allgemeinen Allgemeinen Geschäftsbedingungen ausdrücklich außer Kraft setzen. Besteht ein Widerspruch zwischen diesen allgemeinen Allgemeinen Geschäftsbedingungen und den zwischen uns und einem Kunden schriftlich vereinbarten individuellen Bedingungen, haben die individuellen Bedingungen Vorrang.

2Änderungen#

2.1

Diese Bedingungen können nur geändert werden, wenn die Parteien solchen Änderungen schriftlich zustimmen. Sofern nichts anderes angegeben ist, wird eine Änderung zu dem in der Mitteilung genannten Datum wirksam. Sie sind dafür verantwortlich, sich mit den jeweils aktuellen Bedingungen vertraut zu machen. Indem Sie den Service ab dem Datum der Änderung weiter nutzen, erklären Sie sich an die geänderten Bedingungen gebunden. Ändern wir die Bedingungen und möchten Sie den Service aufgrund einer solchen Änderung nicht weiter nutzen, können Sie diesen Vertrag mit sofortiger Wirkung kündigen, indem Sie uns benachrichtigen. Wir erstatten Ihnen dann anteilig die für den Service vorausbezahlten Gebühren.

2.2

Diese Bedingungen wurden zuletzt im November 2025 aktualisiert.

3Auslegung#

In diesen Bedingungen:

Vertrauliche Informationen sind alle Informationen, die nicht öffentlich bekannt sind und die im Rahmen oder im Zusammenhang mit der Bereitstellung und Nutzung des Dienstes von der anderen Partei erlangt werden. Unsere Vertraulichen Informationen umfassen geistiges Eigentum, das uns (oder unseren Lizenzgebern) gehört, einschließlich der Kaduu Software und aller zugehörigen Daten des Dienstes.
Kaduu-Software oder -Anwendung bezeichnet die in unserem Eigentum stehende Software, die zur Erbringung des Cyber-Threat-Intelligence-Service verwendet wird.
Kaduu-Daten: Cyber-Threat-Intelligence-Daten, die unsere Crawler und Datenanalysten im Darknet und Deep Web erheben.
Daten sind alle Daten, Inhalte und Informationen (einschließlich personenbezogener Informationen), die Ihnen oder in Ihrem Auftrag gehören, von Ihnen oder in Ihrem Auftrag gehalten, genutzt oder erstellt werden und im Dienst gespeichert oder in diesen eingegeben werden.
Gebühren sind die jeweils geltenden Gebühren, wie sie zwischen Ihnen und uns schriftlich anderweitig vereinbart und von Zeit zu Zeit aktualisiert werden.
Zugelassene Nutzer bezeichnet Ihre Organisation und Ihre Mitarbeitenden sowie die Mitarbeitenden Ihrer verbundenen Unternehmen, die berechtigt sind, auf den Service zuzugreifen und ihn zu nutzen.
Service bezeichnet den Dienst mit den auf der Website beschriebenen Kernfunktionen, wie die Website von Zeit zu Zeit aktualisiert wird.
Startdatum bezeichnet das festgelegte Startdatum der Lizenz oder des Service.
Bedingungen bezeichnet diese Bedingungen mit dem Titel Kaduu SaaS Terms of Service 2024.
Zugrunde liegende Systeme bezeichnet die Kaduu-Software, die zur Erbringung des Service verwendet wird, einschließlich aller Lösungen, Systeme und Netzwerke Dritter.
Wir, uns, unser oder Kaduu bezeichnet die Kaduu AG.
Website bezeichnet die Internetseite unter www.kaduu.ch oder eine andere von uns mitgeteilte Seite.
Jahr bezeichnet einen Zeitraum von 12 Monaten, beginnend am Startdatum oder am Jahrestag dieses Datums.
Wörter im Singular umfassen den Plural und umgekehrt.
Ein Verweis auf ein Gesetz umfasst Verweise auf Verordnungen, Anordnungen oder Bekanntmachungen, die aufgrund oder im Zusammenhang mit dem Gesetz oder den Verordnungen ergangen sind, sowie auf alle Änderungen, Ersetzungen oder sonstigen Anpassungen derselben.

4Bereitstellung des Dienstes#

4.1

Wir müssen uns in angemessener Weise bemühen, den Service bereitzustellen:

a
in Übereinstimmung mit diesen Bedingungen und dem Schweizer Recht;
b
mit gebotener Sorgfalt, Fachkenntnis und Gewissenhaftigkeit; und
c
unter Einsatz von angemessen qualifizierten, erfahrenen und ausgebildeten Mitarbeitenden.

4.2

Unsere Bereitstellung des Dienstes für Sie erfolgt nicht exklusiv. Nichts in diesen Bedingungen hindert uns daran, den Dienst anderen Personen oder Organisationen bereitzustellen.

4.3

Wir unternehmen angemessene Anstrengungen, um sicherzustellen, dass der Service rund um die Uhr (24/7) verfügbar ist. Es ist jedoch möglich, dass der Service gelegentlich nicht verfügbar ist, um Wartungs- oder sonstige Entwicklungsarbeiten zu ermöglichen, oder im Fall höherer Gewalt.

4.4

Über Webservices und APIs arbeitet der Dienst mit einer Reihe von Funktionen Dritter zusammen. Wir geben keine Gewährleistung oder Zusicherung zur Verfügbarkeit dieser Funktionen ab. Ohne den vorherigen Satz einzuschränken: Stellt ein Anbieter einer Drittfunktion diese Funktion nicht mehr bereit oder nicht mehr zu angemessenen Bedingungen zur Verfügung, können wir die Bereitstellung dieser Funktion für Sie einstellen. Zur Klarstellung: Wenn wir unser Recht ausüben, die Verfügbarkeit einer Drittfunktion zu beenden, haben Sie keinen Anspruch auf Erstattung, Preisnachlass oder sonstige Entschädigung.

4.5

Der Kunde erhält über Kaduu Zugang zu geleakten Daten. Diese Daten können Benutzerkonten und Passwörter, allgemeine Dokumente, Datenbanken, Nutzerinformationen aus sozialen Medien, technische Dokumente, Code aus Entwicklungen, Domain-Details, Ransomware-Angriffsarchive, Botnet-Logs, Kreditkartendaten und technische Schwachstellen umfassen. Die Aufzählung ist nicht abschließend. Kaduu sammelt diese Daten im Darknet, im Internet und im Deep Web und stellt sie in ihrem Service bereit. Kaduu indexiert diese Daten, kann aber nicht jeden Datensatz manuell prüfen. Kaduu ergreift technische Schutzmaßnahmen und Sicherheitsvorkehrungen nach dem Stand der Technik, damit die Plattform selbst keinen Schadcode enthält. Wir können jedoch nicht ausschließen, dass bestimmte Links auf Websites führen, die Schadsoftware enthalten können, und dass die gehackten Datensätze (z. B. Dokumente oder Dateien) Schadsoftware enthalten.

5Ihre Pflichten#

5.1

Sie und Ihr Personal müssen:

a
Entweder den Dienst in Übereinstimmung mit diesen Bedingungen ausschließlich nutzen für:
1. i
  Ihren eigenen internen Geschäftsbetrieb oder den Ihrer verbundenen Unternehmen, wobei „verbundene Unternehmen“ Einheiten bezeichnet, die von Ihnen unmittelbar kontrolliert werden, Sie kontrollieren oder mit Ihnen unter gemeinsamer Kontrolle stehen. Dies schließt den Weiterverkauf oder die Nutzung durch Dritte aus, sofern das Angebot sie nicht ausdrücklich erlaubt; und
2. ii
  rechtmäßige Zwecke.
b
Oder den Service an Dritte weiterverkaufen
1. i
  Wenn Sie eine Lizenz für MSSP (Managed Security Service Provider) oder OEM (Original Equipment Manufacturer) erwerben, dürfen Sie die Daten und Services innerhalb der im Angebot festgelegten API-Limits an Ihre eigenen Kunden weiterverkaufen oder bereitstellen.
2. ii
  Wenn Sie die Darknet-Lösung Kaduu nutzen, um Dienstleistungen für Dritte zu erbringen, muss diese Nutzung im Angebot ausdrücklich genannt und der Begriff MSSP deutlich erwähnt werden.
3. iii
  In allen anderen Fällen dürfen Sie den Dienst nur nach vorheriger Mitteilung an Kaduu weiterverkaufen oder Dritten zur Verfügung stellen.

5.2

Beim Zugriff auf den Dienst muss der Berechtigte Nutzer:

a
sich nicht als andere Person ausgeben und keine Befugnis zum Handeln im Namen anderer oder in unserem Namen vortäuschen;
b
sicherstellen, dass alle vertraulichen Daten, die aus dem Dienst abgerufen werden, gesichert sind und nicht von unbefugten Dritten ausgenutzt werden können;
c
sich bewusst sein, dass Sie die von Kaduu abgerufenen Logins ohne vorherige Genehmigung des ursprünglichen Kontoinhabers nicht für den Zugriff auf Systeme verwenden dürfen;
d
sich bewusst zu sein, dass wir Systeme nicht aktiv ausnutzen, um Zugang zu vertraulichen Daten zu erhalten, und dass alle in Kaduu angezeigten Informationen Daten sind, die bereits im Internet oder Darknet geleakt wurden;
e
nicht versuchen, die Sicherheit oder Integrität der zugrunde liegenden Systeme zu untergraben;
f
den Dienst nicht in einer Weise zu nutzen oder zu missbrauchen, die die Funktionsfähigkeit der zugrunde liegenden Systeme oder die Möglichkeit anderer Nutzer, den Dienst zu nutzen, beeinträchtigen kann;
g
nicht versuchen, Materialien oder Daten einzusehen, darauf zuzugreifen oder sie zu kopieren, außer:
1. i
  das, worauf Sie zugreifen dürfen; und
2. ii
  soweit dies erforderlich ist, damit Sie den Dienst gemäß diesen Bedingungen nutzen können; und
h
den Service weder in einer Weise nutzen noch Daten übermitteln, eingeben oder speichern, die Rechte Dritter verletzt oder anstößig, unrichtig oder irreführend ist.

5.3

Sie und Ihre verbundenen Unternehmen können jedem Mitglied Ihres jeweiligen Personals die Berechtigung als Permitted User erteilen. In diesem Fall müssen Sie uns den Namen des Permitted User und weitere Informationen mitteilen, die wir im Zusammenhang mit dem Permitted User billigerweise benötigen. Sie müssen sicherstellen, dass jeder Permitted User die Klauseln 5.1 und 5.2 einhält. Der Kaduu-Zugang wird für eine juristische Person eingerichtet. Alle verbundenen Unternehmen des Kunden sind zum Kaduu-Zugang berechtigt.

5.4

Ein Verstoß Ihres Personals gegen diese Bedingungen, ausdrücklich einschließlich eines berechtigten Nutzers, gilt als Verstoß Ihrerseits gegen diese Bedingungen.

5.5

Sie sind dafür verantwortlich, alle Lizenzen, Genehmigungen und Einwilligungen zu beschaffen, die Sie und Ihre Mitarbeitenden benötigen, um den Dienst zu nutzen, einschließlich der Nutzung, Speicherung und Eingabe von Daten in den Dienst sowie der Verarbeitung und Verbreitung von Daten über den Dienst.

6API-Nutzung#

Standardmäßig gelten, um Timeouts zu vermeiden und einen stabilen Dienst sicherzustellen, folgende API-Nutzungsgrenzen: höchstens 10.000 API-Aufrufe innerhalb eines gleitenden 24-Stunden-Zeitraums und eine maximale Rate von 1 API-Aufruf pro Sekunde. Gleichzeitige API-Aufrufe sind nicht zulässig.

Kaduu kann mit dem Kunden jedoch individuelle API-Nutzungslimits oder Lizenzbedingungen vereinbaren. Solche Sonderbedingungen müssen ausdrücklich im schriftlichen Angebot oder in der schriftlichen Vereinbarung von Kaduu festgelegt sein.

Bestehen solche Sonderbedingungen, haben sie Vorrang vor den in diesen Allgemeinen Geschäftsbedingungen festgelegten Standardbeschränkungen der API-Nutzung.

Überschreitung der API-Aufruflimits und Fair-Use-Richtlinie

Überschreiten Sie die oben genannten API-Aufruflimits und die faire Nutzung der API, kann Kaduu nach eigenem Ermessen und nach eigener Wahl, jedoch mit vorheriger schriftlicher Mitteilung an Sie und zusätzlich zu allen anderen ihr gesetzlich oder nach Billigkeitsrecht zustehenden Rechten oder Rechtsbehelfen: (i) für Überschreitungen die jeweils aktuellen Sätze von Kaduu berechnen oder (ii) Ihre Nutzung der Kaduu-Software aussetzen, bis die Aufruflimits und die faire Nutzung nicht mehr überschritten werden.

7Einschränkungen#

Im Verhältnis der Parteien zueinander ist Kaduu Inhaberin aller Rechte, Titel und Ansprüche an jeder Anwendung und den Kaduu-Daten sowie aller darin enthaltenen Rechte an geistigem Eigentum. Kaduu behält sich alle Rechte vor, die Ihnen in diesen Bedingungen nicht ausdrücklich eingeräumt werden. Sie erkennen an und stimmen zu, dass Sie Folgendes nicht tun dürfen, sofern dies in dieser Vereinbarung oder im jeweiligen Bestellformular nicht ausdrücklich erlaubt ist:

(a)
eine Application oder Kaduu-Daten zu verändern, offenzulegen, abzuwandeln, zu übersetzen oder davon abgeleitete Werke zu erstellen;
(b)
eine Anwendung oder Kaduu-Daten (oder Teile davon) zu lizenzieren, unterzulizenzieren, weiterzuverkaufen, zu vertreiben, zu verleasen, zu vermieten, zu verleihen, zu übertragen, abzutreten oder anderweitig darüber zu verfügen;
(c)
einen Teil einer Anwendung oder von Kaduu-Daten im Timesharing- oder Servicebüro-Modell anzubieten;
(d)
Dritten den Zugriff auf eine Anwendung oder die Kaduu-Daten oder deren Nutzung zu gestatten oder zu ermöglichen;
(e)
eine Anwendung zu nutzen, um Viren, Softwareroutinen oder anderen Code zu speichern oder zu übertragen, der dazu bestimmt ist, jemandem unbefugten Zugriff auf Software, Hardware oder Daten zu ermöglichen, diese zu deaktivieren, zu löschen oder anderweitig zu schädigen, oder um andere schädliche Handlungen auszuführen;
(f)
ein konkurrierendes Produkt oder eine konkurrierende Dienstleistung zu entwickeln oder Merkmale oder Funktionen einer Anwendung (einschließlich, aber nicht beschränkt auf das Look-and-feel einer Anwendung) oder der Kaduu-Daten zu kopieren;
(g)
die Integrität oder Leistung einer Anwendung stören oder beeinträchtigen;
(h)
Leistungsinformationen oder Analysen zu einer Anwendung öffentlich gegenüber Dritten offenzulegen;
(i)
Eigentumsvermerke in oder auf einer Anwendung oder Kaduu-Daten, einschließlich Urheberrechtsvermerken, zu entfernen, zu verändern oder unkenntlich zu machen;
(j)
eine Anwendung, Kaduu-Daten oder ein daraus abgeleitetes Produkt für einen rechtswidrigen oder unbefugten Zweck oder in einer Weise zu nutzen, die gegen Gesetze oder Vorschriften in Ihrem Rechtsraum verstößt;
(k)
eine Anwendung oder Kaduu-Daten für andere Zwecke zu nutzen als die in dieser Vereinbarung und im jeweiligen Bestellformular festgelegten;
(l)
den Quellcode, Objektcode oder die zugrunde liegende Struktur, Ideen oder Algorithmen einer Anwendung oder von Software, Dokumentation oder Daten im Zusammenhang mit einer Anwendung zurückzuentwickeln (Reverse Engineering), zu dekompilieren, zu disassemblieren oder anderweitig zu ermitteln zu versuchen, außer in dem begrenzten Umfang, in dem das anwendbare Recht eine solche Beschränkung untersagt;
(m)
soweit die Lizenz eine bestimmte Anzahl von Seat-Lizenzen vorsieht, mehreren Nutzern die Verwendung derselben Seat-Lizenz zu gestatten (unbeschadet des Vorstehenden können Sie Seat-Lizenzen von einem Nutzer auf einen anderen übertragen); oder
(n)
Dritte (einschließlich, ohne Einschränkung, Kunden) zu einer der vorgenannten Handlungen veranlassen oder ihnen diese gestatten.

8Recht zur Änderung der Application#

Sie erkennen an, dass wir uns das Recht vorbehalten, jede Application oder Teile davon jederzeit und ohne Ankündigung oder Haftung Ihnen gegenüber vorübergehend oder dauerhaft zu ändern. Wir können eine Application aus verschiedenen Gründen ändern, unter anderem, um neue Funktionen bereitzustellen, neue Protokolle einzuführen, die Kompatibilität mit neuen Standards zu erhalten oder regulatorische Anforderungen zu erfüllen. Wir ändern eine Application nicht in einer Weise, die ihre Features oder Funktionalität während der laufenden Abonnementlaufzeit gemäß dem jeweiligen Bestellformular wesentlich verringert. Wir nehmen jedoch keine Änderungen an der API-Syntax vor, ohne den Kunden mindestens eine Woche im Voraus schriftlich zu informieren.

9Recht zur Sperrung des Zugriffs auf die Anwendung#

Unbeschadet unserer sonstigen Rechte aus diesem Abschnitt sind wir berechtigt, nach eigenem Ermessen und mit vorheriger schriftlicher Mitteilung Ihren Zugriff auf eine Anwendung (ganz oder teilweise) ohne Haftung zu sperren, und zwar unter den folgenden Umständen:

(i)
für planmäßige Wartungen oder Notfallwartungen der Anwendung oder eines Teils davon;
(ii)
wenn wir vernünftigerweise annehmen, dass Sie die Anwendung oder die Kaduu-Daten unter Verstoß gegen diese Vereinbarung oder geltendes Recht nutzen;
(iii)
wenn wir vernünftigerweise annehmen, dass Ihre Nutzung der Anwendung ein Sicherheitsrisiko für uns oder Dritte darstellt;
(iv)
wenn dies von einer Strafverfolgungs- oder Regierungsbehörde verlangt wird oder anderweitig zur Einhaltung geltender Gesetze oder Vorschriften erforderlich ist;
(v)
wenn Sie die Anwendung oder die Kaduu-Daten für einen anderen als den vereinbarten Zweck nutzen; oder
(vi)
wenn Sie Ihren Zahlungspflichten hieraus nicht nachkommen, obwohl Ihnen eine erste Mahnung zugesandt wurde.

10Freistellung#

Freistellung durch den Kunden

Sie verpflichten sich, Kaduu AG sowie deren leitende Angestellte, Direktoren, Mitarbeitende und Vertreter von sämtlichen Ansprüchen, Schäden, Verbindlichkeiten, Verlusten, Kosten und Aufwendungen (einschließlich angemessener Rechtskosten) freizustellen, zu verteidigen und schadlos zu halten, die sich aus Ihrer Nutzung des Dienstes unter Verletzung dieser Bedingungen oder aus einer rechtswidrigen oder fahrlässigen Handlung oder Unterlassung von Ihnen oder Ihrem Personal im Zusammenhang mit dem Dienst ergeben oder damit zusammenhängen.

Freistellung durch Kaduu

Kaduu AG verpflichtet sich, Sie von allen Ansprüchen, Schäden, Haftungen, Verlusten, Kosten und Aufwendungen (einschließlich angemessener Rechtskosten) freizustellen, diese abzuwehren und Sie schadlos zu halten, die sich aus einem Anspruch ergeben oder damit zusammenhängen, dass der Service Rechte eines Dritten an geistigem Eigentum verletzt.

Bedingungen

Die Freistellungsverpflichtungen jeder Partei unterliegen Folgendem:

a.
Die freigestellte Partei muss die freistellende Partei unverzüglich über jeden Anspruch benachrichtigen;
b.
Die freistellende Partei hat die alleinige Kontrolle über die Verteidigung und die Beilegung des Anspruchs (wobei die freigestellte Partei auf eigene Kosten teilnehmen darf); und
c.
Die freigestellte Partei muss die von der freistellenden Partei angeforderte angemessene Zusammenarbeit, Information und Unterstützung leisten.

Diese Freistellungen sind die einzigen und ausschließlichen Rechtsbehelfe der Parteien in Bezug auf die oben beschriebenen Ansprüche Dritter.

11Ausschluss von Folgeschäden#

Soweit das anwendbare Recht nichts anderes verlangt, und mit Ausnahme von Ansprüchen, die eine Verletzung der Vertraulichkeit betreffen oder die Verteidigungs- und Freistellungspflichten von Kaduu berühren (wie in Abschnitt 10 beschrieben), haftet Kaduu Ihnen oder Dritten in keinem Fall für entgangenen Gewinn, Nutzungsausfall, Umsatzausfall, Verlust von Goodwill, Betriebsunterbrechung, Datenverlust oder für mittelbare, besondere, zufällige, beispielhafte, Straf- oder Folgeschäden jeglicher Art, die sich aus diesem Vertrag oder Ihrer Nutzung (oder der Unmöglichkeit der Nutzung) einer Anwendung, der Kaduu-Daten oder der Professional Services ergeben oder damit zusammenhängen, sei es aus Vertrag, unerlaubter Handlung, verschuldensunabhängiger Haftung oder aus anderem Rechtsgrund, selbst wenn Kaduu auf die Möglichkeit solcher Schäden hingewiesen wurde oder diese anderweitig kennt.

12Datenschutz#

12.1

Sie erkennen an, dass:

a
Bei der Einrichtung des Service kann der Kunde Angaben zu Mitarbeitenden oder interne Vertrauliche Informationen bereitstellen, die für die Suchbegriffe in Kaduu verwendet werden. Es ist üblich, dass Kunden uns zur Einrichtung des Monitorings Vertrauliche Informationen übermitteln (z. B. Personen, die über Social-Media-Monitoring überwacht werden, oder E-Mail-Konten, die im Rahmen des Leak-Monitorings überwacht werden). Wir können Zugriff auf die Daten benötigen, die Sie bei der Einrichtung des Service bereitstellen, und zwar ausschließlich, um unsere Rechte auszuüben und unsere Pflichten aus diesen Bedingungen zu erfüllen; und
b
soweit dies erforderlich ist, können wir ein oder mehrere Mitglieder unseres Personals ermächtigen, zu diesem Zweck auf die Daten zuzugreifen.

12.2

Sie erkennen an und stimmen zu, dass:

a.
Kundendaten werden in der Kaduu-Threat-Intelligence-Anwendung in keiner Form verwendet;
b.
nach Beendigung oder Kündigung Ihres Vertrags mit uns löschen wir alle kundenspezifischen Daten (einschließlich Alarme, Kontoinformationen usw.) aus unserer SaaS-Anwendung. Wir behalten uns jedoch das Recht vor, kundenbezogene Aufzeichnungen für administrative Zwecke aufzubewahren, etwa in unserem Content-Management-System (CMS), in Buchhaltungsunterlagen und ähnlichen Bereichen, soweit diese Speicherung für unsere betriebliche Integrität und die Einhaltung gesetzlicher Pflichten erforderlich ist. Die nachstehend beschriebenen Rechte zur Nutzung von Analysedaten bleiben nach Beendigung oder Ablauf dieser Bedingungen bestehen;
c.
ungeachtet des Vorstehenden dürfen wir Daten, die nicht mit unseren Kunden in Verbindung stehen und aus externen Quellen stammen, verwenden, um anonymisierte und aggregierte statistische und analytische Daten (Analysedaten) für unsere interne Forschung und Produktentwicklung zu erzeugen sowie statistische Analysen durchzuführen und Trends und Erkenntnisse zu ermitteln;
d.
Das Eigentum an den Analysedaten und alle Rechte an geistigem Eigentum daran sind und bleiben unser Eigentum, und unsere Rechte an der Nutzung dieser Analysedaten bestehen über die Beendigung oder den Ablauf dieser Bedingungen hinaus fort. Wir ergreifen branchenübliche Maßnahmen, um alle mit dem Service gespeicherten Daten zu sichern.

12.3

Sie stimmen zu, dass wir Daten auf sicheren Kaduu-Servern in Deutschland beim Anbieter Hetzner speichern dürfen.

13Datenschutz#

13.1

Jede Partei erkennt an, dass bestimmte Informationen, die ihr die andere Partei im Zusammenhang mit diesem Vertrag bereitstellt, personenbezogene Daten (die „personenbezogenen Daten“) im Sinne der anwendbaren Datenschutzvorschriften (die „Datenschutzvorschriften“) sind. Jede Partei erkennt an, dass sie im Sinne der Datenschutzvorschriften für alle personenbezogenen Daten, die ihr die andere Partei im Rahmen dieses Vertrags bereitstellt, als (eigenständiger) Verantwortlicher handelt. „Verantwortlicher“ ist die Stelle, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

13.2

In diesem Zusammenhang verpflichtet sich jede Partei, ihre Pflichten aus den Datenschutzvorschriften in Bezug auf die personenbezogenen Daten einzuhalten. Ohne Einschränkung des Vorstehenden verarbeitet jede Partei die personenbezogenen Daten so, dass sie (i) mit den rechtmäßigen und legitimen Zwecken vereinbar ist, zu denen sie diese im Zusammenhang mit diesem Vertrag erhoben hat, und (ii) deren angemessene Sicherheit gewährleistet, d. h. mit geeigneten technischen und organisatorischen Sicherheitsmaßnahmen. Jede Partei haftet allein für einen etwaigen Verstoß gegen die Datenschutzvorschriften im Zusammenhang mit ihrer eigenen Verarbeitung der personenbezogenen Daten.

13.3

Jede Partei erkennt an und stellt jederzeit sicher, dass jede Übermittlung personenbezogener Daten in ein Land, das nach den Vorschriften der EU, des Vereinigten Königreichs oder der Schweiz als nicht angemessen gilt, im Einklang mit den Datenschutzvorschriften erfolgt, unabhängig davon, ob die Übermittlung direkt oder indirekt durch die Partei oder einen Unterauftragnehmer veranlasst wird. Jede Partei ist allein dafür verantwortlich, sich über die aktuellen rechtlichen Anforderungen an internationale Datenübermittlungen auf dem Laufenden zu halten.

14Gebühren#

14.1

Zahlung der Gebühren: Sie sind verpflichtet, die Gebühren für die Nutzung der Services zu zahlen. Die Gebühren richten sich nach den Bedingungen einer schriftlichen Vereinbarung, die in Form eines unterzeichneten Vertrags oder einer bestätigten E-Mail vorliegen oder in einer offiziellen Bestellung angegeben sein kann.

14.2

Rechnungsstellung: Wir stellen regelmäßig gültige Rechnungen aus und stellen sicher, dass sie Ihnen vor dem Fälligkeitsdatum der Zahlung zugehen. Die Mindestlaufzeit des Abonnements für die Dienste beträgt 6 Monate; längere Laufzeiten können einvernehmlich vereinbart werden.

14.3

Zahlungsbedingungen:

a.
Die Gebühren sind innerhalb von 30 Tagen nach Erhalt der Rechnung zu zahlen.
b.
Zahlungen müssen elektronisch in frei verfügbaren Mitteln und ohne Abzüge oder Aufrechnungen erfolgen.
c.
Abweichende Zahlungsbedingungen können in einem gesonderten Vertrag vereinbart werden.

14.4

Lizenzverlängerung und Preise: Kaduu-Lizenzen verlängern sich nicht automatisch. Wir behalten uns vor, die Lizenzpreise künftig anzupassen. Um von den aktuellen Preisen zu profitieren, können Sie ein SaaS-Abonnement über 2 oder 3 Jahre wählen, wobei der Gesamtbetrag im Voraus zu zahlen ist.

15Geistiges Eigentum#

15.1

Alle Rechte an geistigem Eigentum am Service, an der Website und an allen zugrunde liegenden Systemen sind und bleiben unser Eigentum (und das Eigentum unserer Lizenzgeber). Sie dürfen dieses Eigentum oder die Gültigkeit dieser Rechte an geistigem Eigentum weder bestreiten noch anfechten.

15.2

Wenn Sie uns nicht vertrauliche Ideen, Kommentare oder Vorschläge zum Dienst oder zu den zugrunde liegenden Systemen übermitteln:

a
alle Rechte an geistigem Eigentum an diesem Feedback und an allem, was infolge dieses Feedbacks entsteht (einschließlich neuer Materialien, Erweiterungen, Änderungen oder abgeleiteter Werke), stehen allein uns zu; und
b
wir dürfen das anonymisierte Feedback für beliebige Zwecke nutzen oder offenlegen.

15.3

Sie erkennen an, dass der Service auf Websites oder Feeds Dritter verlinken kann, die mit dem Service verbunden oder für ihn relevant sind. Ein Link aus dem Service bedeutet nicht, dass wir diese Websites oder Feeds oder deren Inhalte oder Betreiber gutheißen, genehmigen oder empfehlen oder dafür Verantwortung tragen. Im größtmöglichen gesetzlich zulässigen Umfang schließen wir jede Verantwortung und Haftung für diese Websites oder Feeds aus.

16Vertraulichkeit#

16.1

Haben die Parteien eine gesonderte Geheimhaltungsvereinbarung geschlossen, gelten für die hierunter ausgetauschten Informationen die Bedingungen dieser Geheimhaltungsvereinbarung (außer soweit eine oder mehrere besondere Bestimmungen hierin ausdrücklich auf diese Geheimhaltungsvereinbarung Bezug nehmen).

16.2

Jede Partei darf nur mit vorheriger schriftlicher Einwilligung der anderen Partei:

a
die Vertraulichen Informationen der anderen Partei jederzeit vertraulich zu behandeln;
b
angemessene Sicherheitsmaßnahmen umsetzen und aufrechterhalten, um die Vertraulichen Informationen der anderen Partei vor unbefugtem Zugriff oder unbefugter Nutzung zu schützen; und
c
die Vertraulichen Informationen der anderen Partei nur nach dem Need-to-know-Prinzip an ihre Mitarbeitenden oder professionellen Berater weitergeben und in diesem Fall sicherstellen, dass jede Mitarbeiterin, jeder Mitarbeiter und jeder professionelle Berater, dem sie die Vertraulichen Informationen der anderen Partei offenlegt, diese Geheimhaltungspflichten kennt.

16.3

Die Pflicht zur Vertraulichkeit gilt nicht für die Offenlegung oder Nutzung Vertraulicher Informationen:

a
die ohne Verschulden des Empfängers der Vertraulichen Informationen oder seines Personals öffentlich zugänglich ist oder
b
die eine Partei von einem Dritten rechtmäßig, ohne Beschränkung und ohne Verletzung einer Geheimhaltungspflicht erhalten hat;
c
Zur Klarstellung: Ist eine Partei aufgrund anwendbarer Gesetze oder Vorschriften verpflichtet, die Vertraulichen Informationen der anderen Partei offenzulegen, teilt die zur Offenlegung verpflichtete Partei der anderen Partei die geplante Offenlegung, sofern rechtlich zulässig, mindestens 30 Tage im Voraus mit und unterstützt diese bei ihren Bemühungen, die Offenlegung anzufechten oder zu begrenzen. Zur Klarstellung der Anwendbarkeit der oben beschriebenen Ausnahmen behandelt Kaduu außerdem alle geleakten Kundendaten und sonstigen Kundeninformationen, die mithilfe des Dienstes und/oder einer Application erkannt werden, als Vertrauliche Informationen des Kunden, unabhängig davon, ob diese Daten oder Informationen unter eine der in (a) oder (b) oben genannten Ausnahmen fallen.

16.4

Der vorliegende Vertrag stellt keine Garantie hinsichtlich der Richtigkeit, Vollständigkeit oder Anwendbarkeit der ausgetauschten Vertraulichen Informationen dar. Keine Partei ist verpflichtet, Vertrauliche Informationen mit der anderen Partei auszutauschen. Die empfangende Partei hat das Recht, Vertrauliche Informationen abzulehnen, die von der offenlegenden Partei noch nicht offengelegt wurden. Vorbehaltlich anderslautender schriftlicher Vereinbarungen haben sich die Parteien gegenseitig keine Lizenz eingeräumt.

16.5

Der Austausch Vertraulicher Informationen erfolgt ab Beginn dieser Vereinbarung für die Dauer ihrer Gültigkeit. Bei einer Verletzung der Geheimhaltungspflicht oder der Nutzungsbeschränkung durch eine Partei ist die andere Partei berechtigt, die Projektzusammenarbeit fristlos zu beenden. Die Beendigung der Projektzusammenarbeit entbindet die Parteien nicht von der weiteren Einhaltung der Geheimhaltungspflicht und der Nutzungsbeschränkung für die Vertraulichen Informationen. Diese gelten fort, bis die Vertraulichen Informationen von der verfügungsberechtigten Partei nicht mehr als vertraulich angesehen werden. Die Beendigung des Informationsaustauschs führt nicht zur Beendigung der Geheimhaltungspflicht und der Nutzungsbeschränkung für die Vertraulichen Informationen.

17Bankgeheimnis#

17.1

Soweit der Kunde eine Bank ist, unterliegen wir dem Berufsgeheimnis nach Artikel 47 des Schweizer Bankengesetzes (nachfolgend „BankG“). Wir verpflichten uns, jeden Vertreter über seine Vertraulichkeitspflichten und das von Ihnen verlangte Geschäftsgeheimnis zu informieren (Art. 47 BankG). Wir stellen Ihnen die Bankgeheimnis-Erklärung (diesem Vertrag als Anhang 1 beigefügt) ordnungsgemäß datiert und von Ihren Zeichnungsberechtigten unterzeichnet zur Verfügung und sichern zu, den Inhalt der beigefügten Erklärung jedem Ihrer Mitarbeitenden und/oder Berater, die die Dienste im Rahmen dieses Vertrags erbringen, vor Beginn der Dienste zur Kenntnis zu bringen.

18Gewährleistungen#

18.1

Jede Partei sichert zu, dass sie über die volle Befugnis und Berechtigung verfügt, diese Bedingungen einzugehen und ihre Pflichten daraus zu erfüllen. Kaduu sichert zu, dass die Services keine Rechte Dritter an geistigem Eigentum verletzen oder anderweitig missachten.

18.2

Soweit gesetzlich zulässig:

a
unsere Gewährleistung ist auf die in diesen Bedingungen festgelegte beschränkt, und alle anderen Bedingungen, Garantien oder Gewährleistungen, ob ausdrücklich oder stillschweigend, gesetzlich oder anderweitig (einschließlich jeder Gewährleistung nach Part 3 des Vertrags), sind ausdrücklich ausgeschlossen; soweit sie nicht ausgeschlossen werden können, ist die Haftung dafür auf den Höchstbetrag des Vertragsvolumens beschränkt; und
b
wir geben keine Zusicherung zur Qualität des Dienstes und versprechen nicht, dass der Dienst:
1. i
  Ihre Anforderungen erfüllen oder für einen bestimmten Zweck geeignet sein wird, einschließlich dass die Nutzung des Dienstes eine gesetzliche Rolle oder Verantwortung erfüllt, die Sie möglicherweise haben; oder
2. ii
  unterbrechungs- oder fehlerfrei sein wird.

18.3

Sie erklären und versichern, dass Sie den Service erwerben und diese Bedingungen zum Zweck einer rechtmäßigen Nutzung des Services akzeptieren. Die Parteien vereinbaren Folgendes:

a
im größtmöglichen gesetzlich zulässigen Umfang; und
b
es ist angemessen und billig, dass die Parteien an diese Klausel gebunden sind.

19Haftung#

19.1

Die maximale Gesamthaftung jeder Partei aus oder im Zusammenhang mit diesen Bedingungen oder dem Dienst, sei es aus Vertrag, unerlaubter Handlung (einschließlich Fahrlässigkeit), Verletzung gesetzlicher Pflichten oder aus anderem Grund, darf in keinem Jahr das Zweifache (2x) der Gebühren übersteigen, die Sie für den Dienst im vorangegangenen Jahr geschuldet oder gezahlt haben.

19.2

Keine Partei haftet der anderen im Rahmen oder im Zusammenhang mit diesen Bedingungen oder dem Service für:

a
entgangener Gewinn, Umsatz, Einsparungen, Geschäfte, Nutzung, Daten (einschließlich Daten) und/oder Firmenwert; oder
b
Folgeschäden, mittelbare, zufällige oder besondere Schäden oder Verluste jeder Art.

19.3

Ungeachtet der vorstehenden Klausel 17.2 wird die Haftung der Parteien nicht beschränkt oder ausgeschlossen im Fall von:

a
Körperverletzung oder Tod;
b
grobe Fahrlässigkeit, Betrug oder vorsätzliches Fehlverhalten;
c
Verletzung von Vertraulichkeitspflichten oder Verletzung von Rechten an geistigem Eigentum.

19.4

Diese Klausel gilt nicht zur Beschränkung Ihrer Haftung:

a
die Gebühren zu zahlen;

19.5

Keine Partei ist verantwortlich oder haftbar oder gilt als vertragsbrüchig, wenn sie ihre Pflichten aus diesen Bedingungen oder anderweitig nicht erfüllt, soweit dies darauf beruht, dass die andere Partei ihre Pflichten aus diesen Bedingungen nicht erfüllt, oder auf Fahrlässigkeit oder Fehlverhalten der anderen Partei oder ihres Personals.

19.6

Jede Partei muss angemessene Schritte unternehmen, um Verluste, Schäden, Kosten oder Aufwendungen zu mindern, die ihr durch Handlungen oder Unterlassungen der anderen Partei im Rahmen oder im Zusammenhang mit diesen Bedingungen oder dem Dienst entstehen können.

20Laufzeit, Kündigung und Sperrung#

20.1

Sofern nicht gekündigt, gelten diese Bedingungen und Ihr Recht, auf den Service zuzugreifen und ihn zu nutzen:

a
beginnen am Startdatum; und
b
läuft ab dem Startdatum für einen Zeitraum von 12 Monaten oder bis eine Partei mit einer Frist von 30 Tagen schriftlich mitteilt, dass diese Bedingungen und Ihr Zugang zum Service sowie dessen Nutzung mit Ablauf dieser Frist enden, je nachdem, was früher eintritt.

20.2

Jede Partei kann durch Mitteilung an die andere Partei diese Bedingungen und Ihr Recht auf Zugang zum Service und dessen Nutzung mit sofortiger Wirkung beenden, wenn die andere Partei:

a
gegen eine wesentliche Bestimmung dieser Bedingungen verstößt und der Verstoß nicht:
1. i
  innerhalb von 10 Tagen nach Erhalt einer Mitteilung der ersten Partei, die die Behebung der Verletzung verlangt, behoben wird; oder
2. ii
  behebbar ist; oder
b
zahlungsunfähig wird, liquidiert wird oder in Konkurs gerät, einen Verwalter, Zwangsverwalter, Liquidator, gesetzlichen Verwalter oder einen Beauftragten eines Hypotheken- oder Pfandgläubigers bestellt bekommt, einer Form von Insolvenzmaßnahme oder externer Verwaltung unterliegt oder den Geschäftsbetrieb aus irgendeinem Grund einstellt.

20.3

Die Beendigung dieser Bedingungen berührt nicht die Rechte und Pflichten der Parteien, die vor der Beendigung entstanden sind.

20.4

Bei Beendigung dieser Bedingungen müssen Sie alle Gebühren für die Bereitstellung des Services bis zu dieser Beendigung bezahlen.

20.5

Wir schulden Ihnen keine Entschädigung aufgrund der Beendigung dieser Bedingungen, und Sie haben keinen Anspruch auf Erstattung bereits gezahlter Gebühren, es sei denn, wir haben den vorliegenden Vertrag verletzt. Haben wir den vorliegenden Vertrag verletzt, erstatten wir die für die laufende Laufzeit gezahlten Gebühren.

20.6

Soweit eine Partei nicht fortdauernde Rechte zur Nutzung Vertraulicher Informationen hat, muss sie auf Verlangen der anderen Partei alle Vertraulichen Informationen der anderen Partei, die sich in ihrem Besitz oder ihrer Kontrolle befinden, unverzüglich an diese zurückgeben oder vernichten.

20.7

Jederzeit bis einen Monat nach dem Beendigungsdatum können Sie verlangen:

a
eine Kopie aller mit dem Service gespeicherten Kundendaten, sofern Sie unsere angemessenen Kosten für die Bereitstellung dieser Kopie tragen. Nach Eingang dieser Anfrage stellen wir eine Kopie der Kundendaten in einem gängigen elektronischen Format bereit. Wir gewährleisten nicht, dass das Format der Daten mit einer bestimmten Software kompatibel ist; und/oder
b
die Löschung der mit dem Service gespeicherten Kundendaten; in diesem Fall müssen wir angemessene Anstrengungen unternehmen, diese Kundendaten unverzüglich zu löschen und Ihnen die Löschung schriftlich zu bestätigen.

20.8

Unbeschadet aller anderen uns zustehenden Rechte und Rechtsbehelfe dürfen wir Ihren Zugang zum Service und dessen Nutzung einschränken oder sperren und/oder die betreffenden Daten löschen, bearbeiten oder entfernen, wenn wir der Ansicht sind, dass Sie oder Ihr Personal:

a
die Sicherheit oder Integrität des Dienstes oder zugrunde liegender Systeme untergraben oder versucht hat, sie zu untergraben;
b
den Service genutzt oder versucht haben zu nutzen:
1. i
  für unzulässige Zwecke; oder
2. ii
  in einer Weise, die nicht dem normalen Betrieb dient und die Betriebsleistung des Dienstes wesentlich beeinträchtigt;
c
Daten übermittelt, eingegeben oder gespeichert hat, die gegen diese Bedingungen oder Rechte Dritter (einschließlich Rechte an geistigem Eigentum und Persönlichkeitsrechte) verstoßen oder verstoßen können oder die anstößig, unrichtig oder irreführend sind oder sein können; oder
d
diese Bedingungen anderweitig wesentlich verletzt hat.

21Allgemeines#

21.1

Keine Partei haftet gegenüber der anderen für die Nichterfüllung ihrer Pflichten aus diesen Bedingungen, soweit diese durch höhere Gewalt verursacht wurde.

21.2

Sofern in diesen Bedingungen nichts anderes vereinbart ist, hat keine andere Person als Sie und wir einen Anspruch auf einen Vorteil aus diesen Bedingungen oder auf deren Durchsetzung.

21.3

Die Parteien sind unabhängige Vertragspartner; darüber hinaus besteht im Rahmen dieser Bedingungen keine andere Beziehung (z. B. Joint Venture, Vertretung, Treuhand oder Partnerschaft).

21.4

Wenn wir Sie kontaktieren müssen, können wir dies per E-Mail tun. Sie erklären sich damit einverstanden, dass dies alle gesetzlichen Anforderungen an schriftliche Mitteilungen erfüllt. Sie können uns Mitteilungen im Rahmen oder im Zusammenhang mit diesen Bedingungen per E-Mail übermitteln.

21.5

Diese Bedingungen sowie jede Streitigkeit im Zusammenhang mit diesen Bedingungen oder dem Service unterliegen dem Recht der Schweiz und sind danach auszulegen. Jede Partei unterwirft sich der nicht ausschließlichen Zuständigkeit der Gerichte in Zug, Schweiz, für alle Streitigkeiten im Zusammenhang mit diesen Bedingungen oder dem Service. Ungeachtet des Vorstehenden können die Parteien einvernehmlich durch eine gesonderte schriftliche Änderung den anwendbaren Gerichtsstand und Ort ändern, sofern beide Parteien dies für notwendig oder wünschenswert halten.

21.6

Ist ein Teil oder eine Bestimmung dieser Bedingungen rechtswidrig, nicht durchsetzbar oder ungültig oder wird sie dies, gilt dieser Teil bzw. diese Bestimmung als in dem Umfang geändert, der erforderlich ist, um die Rechtswidrigkeit, Nichtdurchsetzbarkeit oder Ungültigkeit zu beheben. Ist eine Änderung nicht möglich, gilt der Teil bzw. die Bestimmung für alle Zwecke als von diesen Bedingungen abgetrennt. Die übrigen Bestimmungen dieser Bedingungen bleiben verbindlich.

21.7

Diese Bedingungen enthalten alles, was die Parteien in Bezug auf den Dienst vereinbart haben, und ersetzen alles, was vor dem Startdatum besprochen, ausgetauscht oder vereinbart wurde.

21.8

Keine Partei darf Rechte oder Pflichten aus diesen Bedingungen ohne vorherige schriftliche Einwilligung der anderen Partei abtreten, novieren, unterbeauftragen oder übertragen; die Einwilligung darf nicht unbillig verweigert werden. Jede Partei bleibt trotz einer genehmigten Abtretung, Unterbeauftragung oder Übertragung für ihre Pflichten aus diesen Bedingungen haftbar.

21.9

Bei Widersprüchen zwischen diesen Bedingungen und einem Bestellformular oder einem anderen Vertragsdokument haben diese Bedingungen Vorrang.

22Technische Dokumentation#

Angaben in Broschüren, technischen Unterlagen und Katalogen von Kaduu sind nicht verbindlich. Angaben in technischen Unterlagen sind nur verbindlich, wenn ihre Verbindlichkeit in diesem Angebot oder in den entsprechenden technischen Unterlagen ausdrücklich festgelegt ist.

23Korruptionsbekämpfung#

Jede Partei sichert zu, dass sie auf eigene Kosten alle anwendbaren Gesetze einhalten wird, einschließlich, aber nicht beschränkt auf Sanktionsvorschriften, Gesetze zur Bekämpfung von Geldwäsche, Korruptionsbekämpfung und Korruption oder Terrorismusbekämpfung (wie gegebenenfalls das Schweizerische Strafgesetzbuch, der US Foreign Corrupt Practices Act von 1977 oder der UK Bribery Act 2010), sowie ihre eigenen berufsständischen Verhaltenskodizes und internen Richtlinien und Verfahren, die rechtswidriges oder unethisches Verhalten untersagen und die in direktem oder indirektem Zusammenhang mit diesem Vertrag oder mit der Ausübung von Rechten oder der Erfüllung der Pflichten der jeweils anderen Partei aus diesem Vertrag stehen.

Jede Partei sichert zu, dass weder sie noch nach ihrem besten Wissen ihre verbundenen Unternehmen, Direktoren, Führungskräfte, Mitarbeitenden oder Vertreter Handlungen vorgenommen haben, die auf ein Angebot, eine Zahlung, ein Zahlungsversprechen oder die Genehmigung oder Freigabe der Zahlung oder Gewährung von Geld, Vermögenswerten, Geschenken oder anderen Wertgegenständen unmittelbar oder mittelbar an eine Person oder Einrichtung gerichtet waren, um eine Amtshandlung zu beeinflussen oder sich einen unzulässigen Vorteil zu verschaffen.

Handelt die betreffende Partei als Vermittler und/oder bezieht sie weitere Parteien ein (z. B. zugrunde liegende Kunden, Subunternehmer), ergreift sie die erforderlichen Maßnahmen, um gleichwertige Verfahren und eine angemessene Due Diligence gegenüber diesen Dritten durchzuführen.

24Verwendung des Namens#

Außer soweit zur Erbringung der Dienste gemäß diesem Vertrag erforderlich, darf keine Partei Namen, Logos, Marken oder verbundene Unternehmen der anderen Partei verwenden oder öffentliche Mitteilungen über das Bestehen dieses Vertrags oder die hierunter zu erbringenden Dienste veröffentlichen, ohne die vorherige schriftliche Einwilligung der anderen Partei und in einer für die gewährende Partei akzeptablen Form; die Einwilligung kann nach alleinigem Ermessen der gewährenden Partei verweigert werden. Jede Partei entfernt einen solchen Verweis auf die erste schriftliche Aufforderung der anderen Partei hin in kürzestmöglicher Frist.

1DSGVO-Vereinbarung#

Die Vereinbarung wird zwischen der unten als Verantwortlicher bezeichneten Stelle und der Kaduu AG (Auftragsverarbeiter) geschlossen. Dieser DPA gilt für die Verarbeitung personenbezogener Daten im Anwendungsbereich der EU-Datenschutz-Grundverordnung 2016/679 (wie in Abschnitt 11 näher definiert und nachfolgend „DSGVO“) durch die Kaduu AG im Auftrag des Verantwortlichen. Mit Wirkung zum 23. Juli 2018 verarbeitet die Kaduu AG personenbezogene Daten gemäß den DSGVO-Anforderungen, die für die Erbringung ihrer Dienste durch die Kaduu AG unmittelbar gelten.

Die Parteien dieses DPA vereinbaren hiermit, an die Bedingungen der beigefügten Vertragsklauseln gebunden zu sein. Damit dieser DPA wirksam wird, muss der Verantwortliche zunächst:

Füllen Sie den folgenden Informationsblock aus und unterzeichnen Sie ihn

Senden Sie den ausgefüllten und unterzeichneten AVV an info@kaduu.io

2Verarbeitung personenbezogener Daten#

Die Parteien vereinbaren, dass der Kunde hinsichtlich der Verarbeitung personenbezogener Daten der Verantwortliche und die Kaduu AG der Auftragsverarbeiter ist und dass die Kaduu AG Unterauftragsverarbeiter gemäß den Anforderungen in Abschnitt 5 „Unterauftragsverarbeiter“ unten einsetzt.

Der Kunde verarbeitet bei der Nutzung oder dem Bezug der Services personenbezogene Daten gemäß den Anforderungen der Datenschutzgesetze und stellt sicher, dass seine Weisungen für die Verarbeitung personenbezogener Daten den Datenschutzgesetzen entsprechen. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Mittel, mit denen er die personenbezogenen Daten erworben hat.

Die Kaduu AG verarbeitet personenbezogene Daten gemäß den anwendbaren Datenschutzgesetzen und den DSGVO-Anforderungen, die für die Erbringung ihrer Dienste durch die Kaduu AG unmittelbar gelten. Die Kaduu AG verarbeitet personenbezogene Daten nur im Auftrag und gemäß den dokumentierten Weisungen des Kunden und behandelt personenbezogene Daten als Vertrauliche Informationen. Der Kunde weist die Kaduu AG an, personenbezogene Daten für die folgenden Zwecke zu verarbeiten:

(i)
Verarbeitung gemäß dem Vertrag und den geltenden Bestellungen; (ii) Verarbeitung zur Befolgung sonstiger angemessener Weisungen des Kunden (z. B. über ein Support-Ticket), sofern diese Weisungen mit den Bedingungen des Vertrags vereinbar sind, und
(ii)
(iii) Verarbeitung personenbezogener Daten, die nach dem für die Kaduu AG oder ein verbundenes Unternehmen der Kaduu AG geltenden Recht erforderlich ist, einschließlich, aber nicht beschränkt auf anwendbare Datenschutzgesetze; in diesem Fall informiert die Kaduu AG oder das betreffende verbundene Unternehmen den Kunden, soweit nach geltendem Recht zulässig, über diese gesetzlich vorgeschriebene Verarbeitung personenbezogener Daten.
(iii)
Gemäß Artikel 28 Absatz 3 der DSGVO sind Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen in Anhang I zu diesem DPA-Nachtrag festgelegt (mit dem Titel „Anhang 1: Details der Verarbeitung personenbezogener Kundendaten“). Gegenstand der Verarbeitung personenbezogener Daten durch Kaduu AG ist die Erbringung der im Rahmen des Vertrags bereitgestellten Dienste. Nach vorheriger schriftlicher Mitteilung kann der Kunde angemessene Änderungen verlangen, die er für erforderlich hält, um die Anforderungen von Artikel 28 Absatz 3 der DSGVO zu erfüllen; Kaduu AG prüft diese Änderungswünsche.

3Rechte betroffener Personen#

Die Kaduu AG benachrichtigt den Kunden, soweit rechtlich zulässig, unverzüglich, wenn sie von einer betroffenen Person eine Anfrage erhält, mit der diese ihr Auskunftsrecht, ihr Recht auf Berichtigung, auf Einschränkung der Verarbeitung, auf Löschung („Recht auf Vergessenwerden“), auf Datenübertragbarkeit, ihr Widerspruchsrecht gegen die Verarbeitung oder ihr Recht ausübt, keiner automatisierten Entscheidung im Einzelfall unterworfen zu werden („Anfrage der betroffenen Person“). Unter Berücksichtigung der Art der Verarbeitung unterstützt die Kaduu AG den Kunden, soweit möglich, durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht, Anfragen betroffener Personen nach Kapitel III der DSGVO zu beantworten. Soweit nicht durch geltendes Recht vorgeschrieben, beantwortet die Kaduu AG eine solche Anfrage der betroffenen Person nicht ohne vorherige schriftliche Einwilligung des Kunden, außer um zu bestätigen, dass sich die Anfrage auf den Kunden bezieht.

Soweit der Kunde bei seiner Nutzung der Services nicht in der Lage ist, eine Anfrage einer betroffenen Person zu bearbeiten, unterstützt die Kaduu AG den Kunden auf dessen Anfrage mit wirtschaftlich angemessenem Aufwand bei der Beantwortung dieser Anfrage, soweit die Kaduu AG dazu rechtlich befugt ist und die Anfrage der betroffenen Person nach den anwendbaren Datenschutzgesetzen erforderlich ist. Die durch diese Unterstützung entstehenden Kosten trägt der Kunde, soweit rechtlich zulässig.

4Mitarbeitende#

Die Kaduu AG stellt sicher, dass ihr Personal, das mit der Verarbeitung personenbezogener Daten befasst ist, über den vertraulichen Charakter der personenbezogenen Daten informiert wird, angemessen zu seinen Pflichten geschult wurde und Vertraulichkeitsverpflichtungen unterliegt. Diese Verpflichtungen bestehen auch nach Beendigung der Tätigkeit der jeweiligen Person für die Kaduu AG fort.

Die Kaduu AG ergreift wirtschaftlich angemessene Maßnahmen, um die Zuverlässigkeit des Personals der Kaduu AG sicherzustellen, das mit der Verarbeitung personenbezogener Daten befasst ist.

Die Kaduu AG stellt sicher, dass der Zugriff der Kaduu AG Group auf personenbezogene Daten auf diejenigen Mitarbeitenden beschränkt ist, die diesen Zugriff zur Erfüllung des Vertrags benötigen.

Datenschutzbeauftragter. Die Mitglieder der Kaduu AG haben einen Datenschutzbeauftragten benannt, sofern eine solche Benennung nach den Datenschutzgesetzen erforderlich ist. Die benannte Person ist unter gdpr@kaduu.io erreichbar.

5Unterauftragsverarbeiter#

Der Kunde erkennt an und stimmt zu, dass (a) verbundene Unternehmen von Kaduu AG als Unterauftragsverarbeiter beauftragt werden können und (b) Kaduu AG und die verbundenen Unternehmen von Kaduu AG jeweils Drittanbieter als Unterauftragsverarbeiter im Zusammenhang mit der Erbringung der Dienste einsetzen dürfen. Diese Unterauftragsverarbeiter dürfen personenbezogene Daten nur erhalten, um die Dienste zu erbringen, mit denen Kaduu AG sie beauftragt hat; die Verwendung personenbezogener Daten für andere Zwecke ist ihnen untersagt.

Die Kaduu AG haftet für Handlungen und Unterlassungen ihrer Unterauftragsverarbeiter in demselben Umfang, in dem die Kaduu AG haften würde, wenn sie die Leistungen des jeweiligen Unterauftragsverarbeiters nach den Bedingungen dieses DPA selbst erbrächte, sofern im Vertrag nichts anderes bestimmt ist.

Kaduu AG oder ein Verbundunternehmen von Kaduu AG hat mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung geschlossen, die Datenschutzpflichten enthält, die den Bestimmungen dieses Nachtrags zum Schutz personenbezogener Daten nicht nachstehen und die Anforderungen von Artikel 28 Absatz 3 der DSGVO oder gleichwertiger Bestimmungen eines anderen Datenschutzgesetzes erfüllen, soweit sie auf die Art der von diesem Unterauftragsverarbeiter erbrachten Leistungen anwendbar sind.

Der Kunde ermächtigt die Kaduu AG und jedes verbundene Unternehmen der Kaduu AG, Unterauftragsverarbeiter gemäß diesem Abschnitt zu beauftragen.

Der Kunde kann der Beauftragung eines neuen Unterauftragsverarbeiters durch Kaduu AG widersprechen, indem er Kaduu AG unverzüglich, innerhalb von zehn (10) Werktagen, schriftlich benachrichtigt. Im Fall eines solchen Widerspruchs unternimmt Kaduu AG wirtschaftlich angemessene Schritte, um den Widerspruch des Kunden zu klären, und erläutert dem Kunden die ergriffenen Schritte in angemessener Form schriftlich.

Datenübermittlungen. Kaduu AG übermittelt personenbezogene Daten des Kunden ausschließlich rechtmäßig und in Übereinstimmung mit den anwendbaren Datenschutzgesetzen. Allein zur Erbringung der Services für den Kunden im Rahmen des Vertrags und vorbehaltlich dieses Abschnitts ermächtigt der Kunde Kaduu AG hiermit, routinemäßige Übermittlungen personenbezogener Daten an die lokale Gesellschaft der Kaduu AG und/oder an genehmigte Unterauftragsverarbeiter der Kaduu AG vorzunehmen. Unabhängig davon gilt: Werden personenbezogene Daten des Kunden aus der Europäischen Union, dem Europäischen Wirtschaftsraum und/oder deren Mitgliedstaaten, der Schweiz und dem Vereinigten Königreich in Länder übermittelt, die kein angemessenes Datenschutzniveau im Sinne der Datenschutzgesetze der vorgenannten Gebiete gewährleisten („Beschränkte Übermittlungen“), hält Kaduu AG in Bezug auf solche Beschränkten Übermittlungen die Bestimmungen von Abschnitt 5 ein.

6Sicherheit#

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen setzen der Kunde und die Kaduu AG geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Kaduu AG unterhält geeignete technische und organisatorische Maßnahmen zum Schutz der Sicherheit, Vertraulichkeit und Integrität personenbezogener Daten, die die Anforderungen an einen Auftragsverarbeiter nach der DSGVO erfüllen, wie in Anhang 2 „Sicherheit der Verarbeitung – DSGVO Art. 32“ dargelegt. Die Kaduu AG überwacht die Einhaltung dieser Schutzmaßnahmen regelmäßig. Die Kaduu AG verringert die Gesamtsicherheit der Dienste während der Laufzeit der Erbringung dieser Dienste durch die Kaduu AG gemäß dem jeweiligen Vertrag oder Bestellformular nicht wesentlich.

Auf schriftliches Verlangen des Kunden in angemessenen Abständen stellt Kaduu AG eine Kopie der jeweils aktuellsten Audits oder Zertifizierungen Dritter oder gegebenenfalls Zusammenfassungen davon bereit, die sich auf die Verarbeitung personenbezogener Daten des Kunden beziehen und die Kaduu AG ihren Kunden zum Zeitpunkt der Anfrage allgemein zur Verfügung stellt. Kaduu AG stellt dem Kunden auf angemessene schriftliche Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Nachtrags erforderlich sind, und gestattet schriftliche Audit-Anfragen des Kunden oder eines unabhängigen Prüfers in Bezug auf die Verarbeitung personenbezogener Daten, um zu überprüfen, dass Kaduu AG angemessene Verfahren im Einklang mit diesem Nachtrag anwendet; der Kunde darf dieses Recht nicht häufiger als einmal pro Jahr ausüben. Diese Informations- und Auditrechte werden nach diesem Abschnitt 6 gewährt, soweit der Vertrag keine Auditrechte vorsieht, die den Anforderungen der anwendbaren Datenschutzgesetze (einschließlich, soweit anwendbar, Artikel 28 Absatz 3 Buchstabe h der DSGVO) genügen. Alle von Kaduu AG bereitgestellten Informationen und/oder nach diesem Abschnitt durchgeführten Audits unterliegen den im Vertrag festgelegten Vertraulichkeitspflichten.

Kaduu AG unterstützt den Kunden angemessen bei der Erfüllung seiner Pflicht, eine Datenschutz-Folgenabschätzung nach Artikel 35 oder 36 der DSGVO im Zusammenhang mit der Nutzung der Dienste durchzuführen. Kaduu AG leistet diese Unterstützung auf angemessenes Verlangen des Kunden, soweit der Kunde nicht anderweitig Zugang zu den relevanten Informationen hat und soweit diese Informationen für Kaduu AG verfügbar sind. Zudem unterstützt Kaduu AG den Kunden angemessen bei der Zusammenarbeit oder vorherigen Konsultation mit der Aufsichtsbehörde bei der Wahrnehmung ihrer Aufgaben im Zusammenhang mit diesem Abschnitt 6, soweit dies nach der DSGVO erforderlich ist.

7Management und Meldung von Sicherheitsverletzungen#

Kaduu AG benachrichtigt den Kunden umgehend und unverzüglich, nachdem Kaduu AG von einer versehentlichen oder unrechtmäßigen Vernichtung, einem Verlust, einer Veränderung, einer unbefugten Offenlegung oder einem unrechtmäßigen Zugriff auf personenbezogene Daten des Kunden Kenntnis erlangt hat, die von Kaduu AG oder ihren Unterauftragsverarbeitern übermittelt, gespeichert oder anderweitig verarbeitet werden („Sicherheitsverletzung“). Kaduu AG unternimmt angemessene Anstrengungen, um die Ursache der Sicherheitsverletzung zu ermitteln, und wird umgehend und unverzüglich: (a) die Sicherheitsverletzung untersuchen und dem Kunden Informationen zur Sicherheitsverletzung bereitstellen, gegebenenfalls einschließlich derjenigen Informationen, die ein Auftragsverarbeiter einem Verantwortlichen nach Art. 33 Abs. 3 DSGVO bereitstellen muss, soweit diese Informationen in angemessener Weise verfügbar sind; und (b) angemessene Maßnahmen ergreifen, um die Auswirkungen zu mildern und den aus der Sicherheitsverletzung entstehenden Schaden zu minimieren, soweit die Behebung im angemessenen Einflussbereich von Kaduu AG liegt. Die hier genannten Pflichten gelten nicht für Verletzungen, die der Kunde oder seine autorisierten Nutzer verursacht haben. Die Benachrichtigung erfolgt an den Kunden gemäß Abschnitt 7 unten.

Die Pflicht der Kaduu AG, eine Sicherheitsverletzung nach diesem Abschnitt zu melden oder darauf zu reagieren, ist nicht als Anerkennung eines Verschuldens oder einer Haftung der Kaduu AG in Bezug auf die Sicherheitsverletzung auszulegen und wird auch nicht so ausgelegt.

Benachrichtigungen über Sicherheitsverletzungen werden, falls erforderlich, an einen oder mehrere geschäftliche, technische oder administrative Ansprechpartner des Kunden übermittelt, und zwar auf einem von Kaduu AG gewählten Weg, auch per E-Mail. Der Kunde ist allein dafür verantwortlich, dass die Kontaktdaten in den Support-Systemen von Kaduu AG jederzeit korrekt sind.

8Rückgabe und Löschung von Kundendaten#

Kaduu AG gibt Kundendaten an den Kunden zurück und/oder löscht Kundendaten gemäß den Verfahren der Kaduu AG und den Datenschutzgesetzen und/oder im Einklang mit den Bedingungen des Vertrags.

Auf Verlangen des Kunden löscht Kaduu AG nach Ende der Erbringung der Leistungen im Zusammenhang mit der Verarbeitung alle personenbezogenen Daten oder gibt sie an den Kunden zurück und löscht vorhandene Kopien.

9Zusätzliche Bedingungen für personenbezogene Daten aus der EU#

Die Standardvertragsklauseln gelten nur für personenbezogene Daten, die aus dem Europäischen Wirtschaftsraum (EWR) oder der Schweiz direkt oder im Wege der Weiterübermittlung in ein Land oder an einen Empfänger außerhalb des EWR oder der Schweiz übermittelt werden, (i) das bzw. der von der Europäischen Kommission nicht als Land mit angemessenem Schutzniveau für personenbezogene Daten anerkannt ist (gemäß dem anwendbaren Datenschutzrecht), und (ii) das bzw. der nicht durch einen geeigneten Rahmen abgedeckt ist, den die zuständigen Behörden oder Gerichte als Gewährleistung eines angemessenen Schutzniveaus für personenbezogene Daten anerkennen, einschließlich, aber nicht beschränkt auf verbindliche interne Datenschutzvorschriften für Auftragsverarbeiter.

Die Standardvertragsklauseln gelten für (i) die juristische Person, die die Standardvertragsklauseln als Datenexporteur unterzeichnet hat, und (ii) alle im Europäischen Wirtschaftsraum (EWR) und in der Schweiz ansässigen verbundenen Unternehmen (wie in der Vereinbarung definiert) des Kunden, die Services auf der Grundlage einer Bestellung im Rahmen der Vereinbarung erworben haben. Für die Zwecke der Standardvertragsklauseln und dieses Abschnitts 9 gelten der Kunde und seine verbundenen Unternehmen als „Datenexporteure“.

Dieser AVV und der Vertrag sind die vollständigen und abschließenden Weisungen des Datenexporteurs an den Datenimporteur für die Verarbeitung personenbezogener Daten. Zusätzliche oder abweichende Weisungen bedürfen einer gesonderten Vereinbarung. Für die Zwecke von Klausel 5(a) der Standardvertragsklauseln gilt Folgendes als Weisung des Datenexporteurs zur Verarbeitung personenbezogener Daten: (a) gemäß dem Vertrag und den darunter erteilten Aufträgen sowie (b) in Übereinstimmung mit anderen angemessenen Weisungen des Kunden (z. B. über ein Support-Ticket), sofern diese Weisungen mit den Bedingungen des Vertrags vereinbar sind.

Gemäß Klausel 5(h) der Standardvertragsklauseln erkennt der Datenexporteur an und stimmt ausdrücklich zu, dass Verbundunternehmen von Kaduu AG als Unterauftragsverarbeiter beauftragt werden können und (b) dass Kaduu AG und ihre Verbundunternehmen jeweils Dritte als Unterauftragsverarbeiter im Zusammenhang mit der Erbringung der Leistungen einsetzen können. Der Datenimporteur stellt dem Kunden eine aktuelle Liste der Unterauftragsverarbeiter für die jeweiligen Leistungen mit deren Identität gemäß Abschnitt 5 dieser DPA zur Verfügung.

Die Parteien vereinbaren, dass der Datenimporteur aus den Kopien der Unterauftragsverarbeiter-Verträge, die er gemäß Klausel 5 der Standardvertragsklauseln an den Datenexporteur senden muss, vorab alle kommerziellen Informationen oder Bestimmungen ohne Bezug zu den Standardvertragsklauseln oder deren Äquivalent entfernen darf und dass der Datenimporteur solche Kopien nur auf angemessene Anfrage des Datenexporteurs bereitstellt.

Die Parteien vereinbaren, dass die Audits der Standardvertragsklauseln nach den folgenden Vorgaben durchgeführt werden: Auf Verlangen des Datenexporteurs und vorbehaltlich der im Vertrag festgelegten Vertraulichkeitspflichten stellt der Datenimporteur dem Datenexporteur (oder dessen unabhängigem externem Prüfer, der kein Wettbewerber der Kaduu AG ist) innerhalb einer angemessenen Frist nach dem Verlangen Informationen über die Einhaltung der in diesem AVV festgelegten Pflichten durch die Kaduu AG Group zur Verfügung. Dies geschieht in Form der Zertifizierungen und Audits Dritter, die sie durchführt und die im Vertrag und/oder im Dokument zu den Sicherheitspraktiken beschrieben sind, soweit die Kaduu AG sie ihren Kunden allgemein zugänglich macht. Der Kunde kann sich gemäß dem Abschnitt „Mitteilungen“ des Vertrags an den Datenimporteur wenden, um ein Vor-Ort-Audit der für den Schutz personenbezogener Daten relevanten Verfahren zu beantragen. Der Kunde erstattet dem Datenimporteur den Zeitaufwand für ein solches Vor-Ort-Audit zu den jeweils aktuellen Sätzen der Kaduu AG Group für professionelle Dienstleistungen, die dem Datenexporteur auf Anfrage mitgeteilt werden. Vor Beginn eines solchen Vor-Ort-Audits vereinbaren Datenexporteur und Datenimporteur gemeinsam den Umfang, den Zeitpunkt und die Dauer des Audits sowie den Erstattungssatz, für den der Datenexporteur aufkommt. Alle Erstattungssätze müssen angemessen sein und den Ressourceneinsatz des Datenimporteurs berücksichtigen. Der Datenexporteur informiert den Datenimporteur unverzüglich über Verstöße, die im Verlauf eines Audits festgestellt werden.

Die Parteien vereinbaren, dass der Datenimporteur dem Datenexporteur die Bescheinigung über die Löschung personenbezogener Daten nur auf Verlangen des Datenexporteurs bereitstellt.

10Parteien dieses DPA#

Haftungsbeschränkung. Die Kaduu AG, Inc. ist Partei der Standardvertragsklauseln in Anlage 1. Ist die Kaduu AG, Inc. nicht Partei der Vereinbarung, gilt der Abschnitt „Haftungsbeschränkung“ der Vereinbarung zwischen dem Kunden und der Kaduu AG, Inc., und jede Bezugnahme auf „Kaduu AG“ umfasst in diesem Zusammenhang sowohl die Kaduu AG, Inc. als auch die Kaduu AG-Gesellschaft, die Partei der Vereinbarung ist. Die Haftung jeder Partei und aller ihrer verbundenen Unternehmen, insgesamt und zusammengenommen, die sich aus diesem DPA und allen DPAs zwischen berechtigten verbundenen Unternehmen und der Kaduu AG ergibt oder damit zusammenhängt, sei es aus Vertrag, unerlaubter Handlung oder einer anderen Haftungsgrundlage, unterliegt dem Abschnitt „Haftungsbeschränkung“ der Vereinbarung, die für die jeweiligen Services gilt. Jede Bezugnahme in diesem Abschnitt auf die Haftung einer Partei bezeichnet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen aus der Vereinbarung und allen DPAs zusammen. Zur Klarstellung: Jede Bezugnahme auf das DPA in diesem DPA bezeichnet dieses DPA einschließlich seiner Anhänge, Anlagen und/oder Nachträge.

Autorisierte Verbundene Unternehmen und Vertragsverhältnis. Mit dem Abschluss dieses DPA schließt der Kunde diesen DPA im eigenen Namen und, soweit nach den anwendbaren Datenschutzgesetzen erforderlich, im Namen und im Auftrag seiner Autorisierten Verbundenen Unternehmen, sofern und soweit Kaduu AG personenbezogene Daten verarbeitet, für die diese Autorisierten Verbundenen Unternehmen als Verantwortliche gelten. Jedes Autorisierte Verbundene Unternehmen erklärt sich damit einverstanden, an die Pflichten aus diesem DPA und, soweit anwendbar, aus dem Vertrag gebunden zu sein. Zur Klarstellung: Ein Autorisiertes Verbundenes Unternehmen ist nicht Partei des Vertrags und wird dies auch nicht; es ist ausschließlich Partei des DPA. Jeder Zugriff auf die Dienste und jede Nutzung der Dienste durch Autorisierte Verbundene Unternehmen muss den Bestimmungen des Vertrags entsprechen, und jeder Verstoß eines Autorisierten Verbundenen Unternehmens gegen die Bestimmungen des Vertrags gilt als Verstoß des Kunden. Nur für die Zwecke dieses DPA umfasst der Begriff „Kunde“ den Kunden und die Autorisierten Verbundenen Unternehmen, sofern hierin nichts anderes angegeben ist.

Kommunikation. Der Kunde, der Vertragspartei des Vertrags ist, bleibt dafür verantwortlich, die gesamte Kommunikation mit Kaduu AG im Rahmen dieser DPA zu koordinieren, und ist berechtigt, im Namen seiner Autorisierten Verbundenen Unternehmen jede Kommunikation im Zusammenhang mit dieser DPA vorzunehmen und entgegenzunehmen.

11Hinweispflicht bei Weisungen#

Einhaltung von Weisungen:
Der Auftragsverarbeiter (Kaduu AG) verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Kunde), auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder an eine internationale Organisation, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Pflicht zur Mitteilung bei rechtswidrigen Weisungen:
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen geltende Datenschutzgesetze verstößt, einschließlich der Datenschutz-Grundverordnung (DSGVO) oder anderer Datenschutzvorschriften, informiert er den Verantwortlichen unverzüglich. Diese Mitteilung enthält:

Eine detaillierte Beschreibung des wahrgenommenen Verstoßes.
Ein Verweis auf die anwendbaren Bestimmungen der DSGVO oder anderer einschlägiger Datenschutzvorschriften.
Soweit möglich, Empfehlungen für rechtmäßige Alternativen zur Weisung.

Aussetzung der Ausführung:
Der Auftragsverarbeiter ist berechtigt, die Ausführung einer Weisung, die seines Erachtens gegen die DSGVO oder andere Datenschutzgesetze verstößt, vorübergehend auszusetzen, bis die Angelegenheit zwischen den Parteien oder mit einer zuständigen Aufsichtsbehörde geklärt ist.

Dokumentation:
Der Auftragsverarbeiter dokumentiert alle derartigen Mitteilungen und den zugehörigen Schriftverkehr, um die Einhaltung dieser Klausel und der anwendbaren Gesetze nachzuweisen.

12Anhang#

12.1Anhang 1 Einzelheiten der Verarbeitung personenbezogener Kundendaten

Bei der Bereitstellung der Kaduu Threat Intelligence SaaS ist es wichtig, Art und Umfang der Verarbeitung personenbezogener Daten im Auftrag unserer Kunden darzulegen. Die Kaduu AG verpflichtet sich zu Transparenz und zur Einhaltung der Datenschutz-Grundverordnung (DSGVO) und anderer anwendbarer Datenschutzgesetze. Dieser Abschnitt beschreibt die Verarbeitungstätigkeiten im Zusammenhang mit den personenbezogenen Daten, welche die Kaduu AG bei der Erbringung unserer Dienste durchführt.

Art der Datenverarbeitung: Die Kaduu AG betreibt einen proaktiven Threat-Intelligence-Dienst, der potenzielle Sicherheitsbedrohungen und Schwachstellen im Zusammenhang mit den Domainnamen unserer Kunden erkennen soll. Unser Dienst überwacht und analysiert Domänen automatisch anhand einer Datenbank mit Sicherheitsbedrohungen und Schwachstellen, die von unserem Team täglich eigenständig aktualisiert wird.

Begrenzte Erhebung personenbezogener Daten: Die im Rahmen unserer Leistungen verarbeiteten personenbezogenen Daten umfassen vor allem die E-Mail-Adressen der benannten Empfänger in Ihrer Organisation, die für den Empfang von Alarmen eingerichtet sind. Dabei ist wichtig: Kaduu AG benötigt und speichert über diese E-Mail-Adressen hinaus keine sensiblen personenbezogenen Informationen. Unser System erhebt keine personenbezogenen Daten im Auftrag von Kunden; es nutzt vielmehr die Domaininformationen der Kunden als Filter, um sie mit unserer unabhängig geführten Datenbank von Bedrohungen abzugleichen.

Warum keine Speicherung vertraulicher Daten nötig ist: Unser System nutzt Ihre Domain-Informationen konstruktionsbedingt, um einen Scan nach möglichen Expositionen oder Bedrohungen durchzuführen, die unabhängig erkannt und in unserer Datenbank gespeichert wurden. Wird eine Übereinstimmung gefunden, werden Alarme erzeugt und an die vorab festgelegten E-Mail-Adressen Ihrer Domäne gesendet. Dadurch müssen keine zusätzlichen vertraulichen Daten gespeichert oder verarbeitet werden, was den Umfang der Verarbeitung personenbezogener Daten verringert und die Datensicherheit erhöht.

Unabhängige Datenerhebung: Unsere Datenbank wird durch die strenge tägliche Arbeit unseres Expertenteams befüllt und aktualisiert, das verschiedene Quellen nach potenziellen Sicherheitsbedrohungen und Schwachstellen durchsucht. Dieser Prozess läuft unabhängig von Kundendaten ab. So ist unsere Bedrohungserkennung proaktiv und nicht von Angaben des Kunden abhängig, mit Ausnahme der Domäne, mit der der Service eingerichtet wird.

Mit diesem strukturierten Vorgehen stellt Kaduu AG sicher, dass die Verarbeitung personenbezogener Daten auf das beschränkt bleibt, was für die wirksame Erbringung des Dienstes unbedingt erforderlich ist, und hält dabei höchste Standards für Datenschutz und Sicherheit ein. Diese Methode entspricht nicht nur den rechtlichen Anforderungen, sondern verringert auch die Risiken der Datenverarbeitung, indem sie die personenbezogenen Daten auf das für unsere Leistungen Wesentliche begrenzt.

Gegenstand: Die Verarbeitung von Domainnamen, die dem Kunden gehören oder von ihm verwaltet werden, um mögliche Sicherheitsbedrohungen zu überwachen und zu erkennen.
Art und Zweck der Verarbeitung: Die Verarbeitung umfasst die Erfassung und Analyse von Domain-Daten, um Bedrohungen und Schwachstellen zu erkennen. Auf Grundlage der Analyse werden Alarme erzeugt, und Benachrichtigungen werden per E-Mail an benannte Empfänger in der Organisation des Kunden gesendet.
Arten personenbezogener Daten: E-Mail-Adressen der Alarmempfänger.
Kategorien betroffener Personen: Mitarbeitende oder Vertreter des Kunden, die dazu bestimmt sind, Alarme zu Threat Intelligence zu erhalten.
Dauer der Verarbeitung: Personenbezogene Daten werden für die Dauer des Abonnements des Kunden für die Kaduu Threat Intelligence SaaS verarbeitet, es sei denn, der Kunde verlangt gemäß der DSGVO eine frühere Löschung.

12.2Anhang 2 Sicherheit der Verarbeitung

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und des Zwecks der Verarbeitung verpflichtet sich die Kaduu AG, belastbare technische und organisatorische Maßnahmen aufrechtzuerhalten, um ein dem Risiko der Verarbeitung personenbezogener Daten angemessenes Schutzniveau zu gewährleisten.

Sicherheit des Rechenzentrums: Alle personenbezogenen Daten werden in unserem sicheren Rechenzentrum in Deutschland gespeichert und verarbeitet, das die Standards nach ISO/IEC 27001:2013 erfüllt. Siehe https://www.hetzner.com/de/unternehmen/zertifizierung/
Verschlüsselung: Personenbezogene Daten werden bei der Übertragung und im Ruhezustand mit branchenüblichen Verschlüsselungsmethoden verschlüsselt.
Zugriffskontrolle: Strenge Zugriffskontrollen stellen sicher, dass nur befugtes Personal Zugriff auf personenbezogene Daten hat, nach dem Prinzip der minimalen Rechte.
Regelmäßige Audits: Regelmäßige Sicherheitsaudits stellen sicher, dass die festgelegten Sicherheitsrichtlinien und Datenschutzgesetze fortlaufend eingehalten werden.
Incident Response: Wir verfügen über einen etablierten Incident-Response-Plan, um jede vermutete Verletzung der Datensicherheit umgehend und wirksam zu behandeln. Dazu gehört, Kunden unverzüglich zu benachrichtigen, nachdem wir von der Verletzung Kenntnis erlangt haben.
Einhaltung von Artikel 32 DSGVO: Alle Maßnahmen sind darauf ausgelegt, die Anforderungen von Artikel 32 der DSGVO zu erfüllen und die fortdauernde Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste der Verarbeitung sicherzustellen.

12.3Anhang 3 Verbundene Unternehmen und Unterauftragnehmer

12.3.1Anhang 3 A: Hosting-Anbieter

Zur Erbringung der in dieser Vereinbarung beschriebenen Dienste nutzt der Lieferant bestimmte verbundene Unternehmen und Unterauftragsverarbeiter für das Hosting und die Speicherung personenbezogener Daten. Der Hosting-Anbieter Hetzner Online GmbH mit Sitz in Deutschland ist als Unterauftragsverarbeiter für Server-Infrastrukturdienste beauftragt.

Die Hetzner Online GmbH erbringt Hosting-Leistungen, hat aber keinen Zugriff auf die Inhalte der Server, da alle Daten ausschließlich vom Lieferanten verwaltet und kontrolliert werden. Die Hetzner Online GmbH handelt ausschließlich als Anbieter von Server-Infrastruktur und hält die Datenschutzanforderungen der DSGVO ein, einschließlich geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit und Vertraulichkeit personenbezogener Daten.

Der Lieferant stellt sicher, dass:

Mit der Hetzner Online GmbH besteht ein Auftragsverarbeitungsvertrag (AVV).
Die Hetzner Online GmbH handelt im Einklang mit der DSGVO und verarbeitet personenbezogene Daten ausschließlich auf Weisung und unter der Kontrolle des Lieferanten.
Alle an die Hetzner Online GmbH übermittelten Daten bleiben im Europäischen Wirtschaftsraum (EWR) gespeichert.

Der Kunde erkennt an und willigt ein, dass die Hetzner Online GmbH als Unterauftragsverarbeiter für die im Rahmen dieser Vereinbarung erbrachten Leistungen eingesetzt wird.

12.3.2Anhang 3 B: Einsatz von externem Personal

Zur Unterstützung von Entwicklung und Wartung der im Rahmen dieser Vereinbarung erbrachten Leistungen kann der Lieferant externes Personal, einschließlich Freelancer, einsetzen, das eingeschränkten Zugriff auf den Dienst und die damit verbundenen personenbezogenen Daten hat. Diese Personen arbeiten auf Grundlage strenger vertraglicher Vereinbarungen, um die Einhaltung der Datenschutzgesetze, einschließlich der Datenschutz-Grundverordnung (DSGVO), sicherzustellen.

Der Lieferant stellt sicher, dass:

1.
Vertraulichkeits- und Datenschutzvereinbarungen: Alle Freelancer sind durch Vertraulichkeits- und Datenschutzvereinbarungen gebunden, die Pflichten zum Schutz personenbezogener Daten, zur Verhinderung unbefugten Zugriffs und zur Einhaltung der Datenschutzrichtlinien des Lieferanten enthalten.
2.
Zugriffsbeschränkung: Der Zugriff auf personenbezogene Daten wird nur nach dem Need-to-know-Prinzip gewährt und ist streng auf den Umfang beschränkt, der für die Erfüllung der zugewiesenen Aufgaben erforderlich ist. Wo möglich, wird der Zugriff auf personenbezogene Daten pseudonymisiert oder minimiert, um die Gefährdung zu verringern.
3.
Datenschutzschulung: Freelancer erhalten Anleitungen und, soweit zutreffend, Schulungen, damit sie ihre Verantwortlichkeiten nach der DSGVO und die internen Datenverarbeitungsprotokolle des Lieferanten verstehen.
4.
Überwachung und Prüfung: Der Lieferant überwacht und prüft die Tätigkeiten der Freelancer, um die Einhaltung der vertraglichen Pflichten und der geltenden Gesetze sicherzustellen.
5.
Haftung: Der Lieferant haftet weiterhin in vollem Umfang für das Handeln von Freelancern in Bezug auf die Verarbeitung personenbezogener Daten.

Der Kunde erkennt den Einsatz dieses externen Personals an und stimmt ihm zu, sofern dessen Zugriff und Tätigkeiten im Einklang mit den oben genannten Bedingungen und den Pflichten des Lieferanten nach der DSGVO erfolgen.