Allgemeine Geschäftsbedingungen
Der Nexode Consulting GmbH für die für die cloudbasierte Bereitstellung und Nutzung der Farion.AI Application Security Posture Management Platform
Stand: 19.08.2026 · Version 1.0
1. Allgemeines
1.1 Anwendungsbereich
Diese Allgemeinen Geschäftsbedingungen gelten für die cloudbasierte Bereitstellung und Nutzung der Application-Security-Posture-Management-Plattform Farion.AI, nachfolgend „Farion", gegenüber Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich rechtlichen Sondervermögen, nachfolgend „Kunde".
Anbieter von Farion und Vertragspartner des Kunden ist die Nexode Consulting GmbH, Oberwallstraße 6, 10117 Berlin, eingetragen im Handelsregister des Amtsgerichts Charlottenburg unter HRB 234987 B, nachfolgend „Nexode".
Nexode schließt auf Grundlage dieser AGB keine Verträge mit Verbrauchern im Sinne des § 13 BGB.
Der Kunde bestätigt bei Vertragsschluss, dass er den Vertrag in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit oder als juristische Person des öffentlichen Rechts beziehungsweise als öffentlich-rechtliches Sondervermögen abschließt. Nexode ist berechtigt, einen geeigneten Nachweis zu verlangen.
1.2 Vertragsschluss
Der Vertrag kommt zustande:
a. durch Annahme eines individuellen Angebots oder einer Bestellung von Nexode durch den Kunden; oder
b. im Rahmen eines Online-Bestellprozesses durch Annahme der Bestellung durch Nexode oder durch Freischaltung der gebuchten Leistungen, je nachdem, welches Ereignis zuerst eintritt. Die Darstellung von Leistungen und Preisen auf der Website oder innerhalb von Farion stellt kein verbindliches Angebot dar, soweit sie nicht ausdrücklich als solches bezeichnet ist.
Die für den Kunden handelnde Person versichert, zum Abschluss des Vertrags im Namen des Kunden berechtigt zu sein. Nexode ist berechtigt, einen geeigneten Nachweis der Vertretungsbefugnis zu verlangen.
Die Pflichten nach § 312i Absatz 1 Satz 1 Nummer 1 bis 3 und Satz 2 BGB werden abbedungen.
1.3 Vertragsbestandteile
Der Inhalt des Vertrags ergibt sich aus den folgenden Vertragsbestandteilen in der nachstehenden Rangfolge:
a. individuelle Vereinbarungen und die jeweilige Bestellung einschließlich eines Online Bestellformulars;
b. besondere Produkt-, Enterprise-, MSP- oder sonstige Zusatzvereinbarungen;
c. die für den Vertrag geltende Leistungsbeschreibung des gebuchten Pakets;
d. diese AGB;
e. das Service Level Agreement gemäß Anlage 1;
f. die Regelungen zu Datenexport und Anbieterwechsel gemäß Anlage 2;
g. sonstige ausdrücklich einbezogene Produktdokumente.
Soweit Nexode personenbezogene Daten im Auftrag des Kunden verarbeitet, gelten zusätzlich der zwischen den Parteien abgeschlossene Auftragsverarbeitungsvertrag und die dort einbezogenen technischen und organisatorischen Maßnahmen.
Der Auftragsverarbeitungsvertrag geht diesen AGB ausschließlich hinsichtlich datenschutzrechtlicher Regelungen vor. Die vertragliche Haftung richtet sich vorbehaltlich zwingender datenschutzrechtlicher Vorschriften nach diesen AGB.
1.4 Leistungsbeschreibung
Der konkrete Funktionsumfang, die gebuchten Module, die unterstützten Technologien, die Nutzungsgrenzen, die Bereitstellungsform und gegebenenfalls besondere Supportleistungen ergeben sich aus der Bestellung und der für den Vertrag geltenden Leistungsbeschreibung.
Nexode stellt dem Kunden die bei Vertragsschluss geltende Leistungsbeschreibung vor Vertragsschluss in einer Form zur Verfügung, die deren Speicherung und Wiedergabe ermöglicht.
1.5 Verbundene Unternehmen, Managed Services und Reseller
Der Vertrag berechtigt ausschließlich den in der Bestellung bezeichneten Kunden zur Nutzung von Farion.
Verbundene Unternehmen des Kunden dürfen Farion nur nutzen, soweit dies in der Bestellung, im gebuchten Paket oder in einer gesonderten Vereinbarung ausdrücklich vorgesehen ist.
Die Nutzung von Farion zur Analyse von Anwendungen, Systemen oder Softwareartefakten Dritter im Rahmen von Managed Services ist nur zulässig, wenn das gebuchte Paket oder eine gesonderte Vereinbarung ein entsprechendes MSP-Nutzungsrecht enthält.
Ein Recht zum Weiterverkauf, zur Unterlizenzierung, zum White-Label-Vertrieb oder zur eigenständigen gewerblichen Bereitstellung von Farion besteht nicht. Reseller- und Vertriebspartnerrechte bedürfen einer gesonderten Vereinbarung.
1.6 Änderung der AGB und der Leistungsbeschreibung
Nexode ist berechtigt, Änderungen, Anpassungen oder Ergänzungen dieser AGB und der Leistungsbeschreibung vorzunehmen, sofern die Änderungen nicht diese Ziffer 1.6, wesentliche Hauptleistungspflichten, die Haftungsregelungen, die laufende Vergütung oder eine vereinbarte Mindestlaufzeit betreffen und die Änderungen nicht dem Abschluss eines neuen Vertrags gleichkommen.
Nexode wird dem Kunden die geänderten Bedingungen in Textform mindestens sechs Wochen vor Inkrafttreten bekannt geben. Die Änderungen gelten als genehmigt, wenn der Kunde nicht innerhalb von sechs Wochen nach Zugang der Mitteilung widerspricht.
Nexode wird den Kunden mit der Änderungsmitteilung auf sein Widerspruchsrecht, die Widerspruchsfrist und die Folgen eines unterlassenen Widerspruchs gesondert hinweisen.
Widerspricht der Kunde fristgerecht, werden die Änderungen nicht Bestandteil des bestehenden Vertrags. Das Kündigungsrecht der Parteien bleibt unberührt.
Dringende Änderungen, die zur Behebung einer Sicherheitslücke, zur Abwehr einer unmittelbaren Gefahr oder zur Einhaltung zwingender gesetzlicher Vorgaben erforderlich sind, darf Nexode auch mit einer kürzeren Ankündigungsfrist umsetzen, soweit dies dem Kunden unter Berücksichtigung der beiderseitigen Interessen zumutbar ist.
1.7 Keine Geltung von Geschäftsbedingungen des Kunden
Allgemeine Geschäfts-, Einkaufs- oder sonstige Vertragsbedingungen des Kunden gelten nicht. Sie finden auch dann keine Anwendung, wenn Nexode ihrer Einbeziehung nicht ausdrücklich widerspricht.
Abweichende Bedingungen gelten nur, wenn Nexode ihnen ausdrücklich in Textform zugestimmt hat.
1.8 Vertragssprache
Die Vertragssprache ist Deutsch. Übersetzungen dienen ausschließlich der Verständlichkeit. Bei Widersprüchen zwischen verschiedenen Sprachfassungen ist die deutsche Fassung maßgeblich.
2. Art und Umfang der Leistung
2.1 Cloudbasierte Bereitstellung
Nexode stellt dem Kunden Farion am Ausgang der von Nexode eingesetzten Rechenzentrums- und Netzwerkinfrastruktur, nachfolgend „Übergabepunkt", während der Vertragslaufzeit zur Nutzung über eine Internetverbindung bereit.
Nexode stellt die für die Nutzung der gebuchten Leistungen erforderliche Rechenleistung und den erforderlichen Speicherplatz bereit.
Nexode schuldet nicht die Herstellung und Aufrechterhaltung der Datenverbindung zwischen den IT Systemen des Kunden und dem Übergabepunkt.
2.2 Nutzungsrecht und Nutzungsumfang
Nexode räumt dem Kunden für die Vertragslaufzeit ein einfaches, nicht ausschließliches, nicht übertragbares und nicht unterlizenzierbares Recht ein, Farion im Umfang der Bestellung und der Leistungsbeschreibung für eigene geschäftliche Zwecke zu nutzen.
Ein vereinbartes MSP-Nutzungsrecht berechtigt den Kunden zusätzlich zur Nutzung von Farion für Anwendungen und Systeme seiner eigenen Kunden. Ein unmittelbares Nutzungsrecht dieser Endkunden an Farion wird dadurch nicht begründet.
Die Nutzung erfolgt durch die im Rahmen des gebuchten Pakets zugelassenen Nutzer. Nutzerkonten sind personengebunden und dürfen nicht von mehreren Personen gemeinsam verwendet werden.
Die Bestellung oder Leistungsbeschreibung kann insbesondere Nutzer-, Repository-, Applikations-, Scan-, Speicher-, Rechen- oder sonstige Nutzungsgrenzen sowie Kontingente für modellgestützte Funktionen vorsehen.
Ein als „Fair Use" bezeichneter Nutzungswert begründet kein Recht auf unbegrenzte Nutzung. Die Leistungsbeschreibung kann eine technische Obergrenze vorsehen, die über dem üblichen Fair-Use-Wert liegt.
Bei erheblicher Überschreitung einer vereinbarten Nutzungsgrenze ist Nexode berechtigt, weitere Analysen zu priorisieren, in eine Warteschlange einzuordnen, die Verarbeitungsgeschwindigkeit oder Parallelität zu begrenzen, einzelne Funktionen vorübergehend zu pausieren oder dem Kunden eine Erweiterung des gebuchten Pakets anzubieten.
Zusätzliche Gebühren entstehen nur, wenn eine entsprechende Vergütungsregelung vereinbart wurde.
2.3 Sicherheitsanalysen
2.3.1 Grundlagen der Analyse
Farion führt nach Maßgabe der Bestellung und der Leistungsbeschreibung automatisierte Analysen von Software, Softwarekomponenten, Konfigurationen und Zielsystemen durch. Je nach gebuchtem Funktionsumfang kommen insbesondere statische, dynamische, regelbasierte und KI-gestützte Analyseverfahren zum Einsatz. Die Einzelheiten der unterstützten Analyseverfahren, Technologien, Artefakte und Funktionen ergeben sich aus der Leistungsbeschreibung.
Die Analyse erfolgt auf Grundlage des vereinbarten Scopes, der für Farion zugänglichen Artefakte, Konfigurationen, Zielsysteme und Kontextinformationen sowie der zum Zeitpunkt des jeweiligen Scanlaufs verfügbaren externen Informationen. Die Analyseergebnisse geben den innerhalb dieses Scopes durch die eingesetzten Verfahren technisch ermittelten oder im jeweiligen Testlauf beobachteten Stand wieder.
Automatisierte Analyseverfahren können das tatsächliche Verhalten einer Software anhand der verfügbaren Informationen modellieren oder innerhalb konkreter Testläufe beobachten. Eine vollständige und abschließende Erfassung sämtlicher möglicher Programmzustände, Laufzeitbedingungen, Datenflüsse, Softwarekomponenten, Schwachstellen und lizenzbezogener Sachverhalte ist durch automatisierte Analyseverfahren nach dem Stand der Technik nicht möglich.
Nexode schuldet die ordnungsgemäße Durchführung der in der Leistungsbeschreibung beschriebenen Analyseverfahren auf Grundlage des vereinbarten Scopes sowie der zugänglichen und unterstützten Artefakte beziehungsweise Zielsysteme. Nicht geschuldet sind ein bestimmtes Analyseergebnis, die Erkennung sämtlicher vorhandener Risiken oder die Herstellung vollständiger Sicherheit.
Ein im Rahmen der Analyse ermitteltes Finding oder ein modellierter technischer Zusammenhang kann sich bei der fachlichen Prüfung unter Berücksichtigung der konkreten Anwendung oder Laufzeitumgebung als nicht einschlägig erweisen. Umgekehrt können außerhalb des analysierten oder getesteten Scopes weitere Risiken bestehen. Das Fehlen eines Findings stellt daher keine Bestätigung dar, dass die untersuchte Software, Softwarekomponente oder Umgebung frei von Schwachstellen oder sonstigen Risiken ist.
2.3.2 Scanstatus und technische Einschränkungen
Farion weist den Status eines Scanlaufs sowie bekannte wesentliche Einschränkungen aus, soweit diese die Aussage des Ergebnisses beeinflussen.
Kann ein für den vereinbarten Scope wesentlicher Analyseschritt nicht oder nicht vollständig durchgeführt werden, gibt Farion für den betroffenen Scope kein uneingeschränkt positives Gesamtergebnis wie „Passed", „Secure", „No Vulnerabilities" oder eine inhaltlich gleichwertige Aussage aus.
Die Angabe „0 Findings" bedeutet in diesem Fall ausschließlich, dass innerhalb des erfolgreich analysierten Teils des angegebenen Scopes keine Findings ermittelt wurden. Sie stellt keine Aussage über den nicht oder nicht vollständig analysierten Teil dar.
Bekannte wesentliche Einschränkungen werden in den für das jeweilige Ergebnis relevanten Ausgabekanälen angezeigt. Dies gilt insbesondere für Benutzeroberfläche, API, Reports, Integrationen und Exporte, soweit über den jeweiligen Kanal ein Ergebnis ausgegeben wird, dessen Einordnung durch die Einschränkung berührt ist.
2.3.3 Ergebnisse verschiedener Scanläufe
Jedes Analyseergebnis dokumentiert den im jeweiligen Scanlauf ermittelten Stand. Die einem konkreten Scanlauf zugeordneten Ergebnisse werden durch spätere Scanläufe nicht rückwirkend verändert.
Nachfolgende Scanläufe können auch bei unverändertem Quellcode zu abweichenden Ergebnissen führen. Dies kann insbesondere auf geänderten Artefakten, Konfigurationen, externen Informationen, Security Advisories, Scannerregeln, Modellen oder Bewertungsmethoden beruhen.
Über die dem einzelnen Scanlauf zugeordneten Ergebnisse hinaus schreibt Farion im Rahmen der Vulnerability-Management-Funktionen die einem Finding zugeordneten Sicherheitsinformationen fort und stellt sie im Rahmen der technischen Möglichkeiten chronologisch dar. Vulnerability- und Advisory-Daten werden von einer Vielzahl unabhängiger Quellen verteilt gepflegt und erreichen einen einheitlichen Stand erst zeitversetzt; eine zu einem bestimmten Datum eindeutige Abbildung der Sicherheitslage ist daher nicht möglich. Die fortgeschriebenen Informationen eignen sich zur Erkennung von Entwicklungen im Zeitverlauf, nicht als stichtagsbezogener Nachweis der Sicherheitslage.
Eine Abweichung zwischen verschiedenen Scanläufen stellt für sich genommen keinen Fehler von Farion dar, sofern der jeweilige Scan nach den zu diesem Zeitpunkt geltenden Analyseverfahren ordnungsgemäß durchgeführt wurde.
2.3.4 Evidence und fachliche Prüfung
Farion kann zu einem Analyseergebnis insbesondere Codeausschnitte, Datenflüsse, Call Paths, Dependency Paths, Advisory-Informationen, Lizenztexte und sonstige technische Evidence bereitstellen.
Die Evidence dient der Nachvollziehbarkeit und fachlichen Prüfung des jeweiligen Ergebnisses. Die Entscheidung über Priorisierung, Risikoakzeptanz, Remediation, Release-Freigabe und sonstige daraus abgeleitete Maßnahmen verbleibt beim Kunden.
2.3.5 Einbindung von Drittinformationen
Soweit Farion für die Sicherheitsanalysen auf Informationen Dritter zurückgreift, insbesondere Vulnerability-Datenbanken, Herstellerinformationen und Security Advisories, ist Nexode für deren angemessene Auswahl und technische Einbindung verantwortlich. Die inhaltliche Richtigkeit, Aktualität und Vollständigkeit dieser Drittquellen ist jedoch nicht Gegenstand der von Nexode geschuldeten Leistung.
2.4 Besondere Funktionen
KI-gestützte Bewertungen, Scores und Priorisierungsvorschläge sind technische Entscheidungshilfen. Sie stellen keine verbindliche Feststellung über die tatsächliche Ausnutzbarkeit oder Bedeutung eines Findings dar. KI-generierte Patches und sonstige Änderungsvorschläge sind vor ihrer Verwendung durch den Kunden fachlich zu prüfen und angemessen zu testen. Sie sind nicht zur ungeprüften Übernahme in ein Produktivsystem bestimmt. Soweit nicht ausdrücklich anders vereinbart, nimmt Farion keine eigenständigen produktiven Merges oder Deployments vor.
Soweit Farion aktive Tests gegen ein Zielsystem durchführt, ist der Kunde für die richtige Festlegung des Test-Scopes und die erforderliche Berechtigung zur Durchführung der Tests verantwortlich. Aktive Tests können Auswirkungen auf das Zielsystem, dessen Sicherheitsüberwachung oder angebundene Dienste
haben. Soweit nicht ausdrücklich anders vereinbart, führt Farion keine bewusst destruktiven Tests, Denial-of-Service-Angriffe, dauerhafte Persistenz, Social Engineering, Malware-Verteilung oder unbeschränkte Datenextraktion durch.
Automatisierte Lizenzinformationen, Lizenzklassifizierungen und Policy-Auswertungen sind technische Analyseergebnisse. Sie stellen keine Rechtsberatung oder verbindliche rechtliche Bewertung der Nutzung, Veränderung, Verknüpfung oder Verbreitung einer Softwarekomponente dar. Soweit verfügbar, stellt Farion dem Kunden die für die Einordnung verwendeten Lizenzinformationen beziehungsweise Lizenztexte zur eigenen Prüfung bereit.
Weist Farion auf möglicherweise offengelegte Zugangsdaten oder sonstige geheime Werte hin, sind deren Prüfung, Rotation, Widerruf und Sperrung sowie die Untersuchung möglicher Folgeschäden Sache des Kunden. Farion widerruft oder rotiert keine Zugangsdaten, sofern dies nicht ausdrücklich als gesonderte Leistung vereinbart ist.
Nexode kann einzelne Funktionen ausdrücklich als „Beta", „Preview", „Experimental", „Early Access" oder vergleichbar kennzeichnen. Solche Funktionen können unvollständig sein, häufiger geändert oder eingestellt werden und sind nicht Bestandteil einer Verfügbarkeitszusage, sofern in der Bestellung nichts anderes vereinbart ist.
2.5 Verfügbarkeit, Fehlerbeseitigung und Aktualisierung
2.5.1 Verfügbarkeit
Nexode schuldet die im Service Level Agreement gemäß Anlage 1 geregelte Verfügbarkeit der Farion Kernplattform.
Nicht eingerechnet werden bei der Berechnung der Verfügbarkeit die im Service Level Agreement geregelten Einschränkungen und Beeinträchtigungen.
2.5.2 Fehlerbehebung
Ein Fehler liegt vor, wenn Farion reproduzierbar und nicht nur unerheblich vom dokumentierten Funktionsumfang der gebuchten Leistung abweicht.
Nexode wird nach Zugang einer hinreichend konkreten Fehlermeldung oder anderweitiger Kenntnisnahme vom Fehler innerhalb angemessener Zeit mit der Fehleranalyse und Fehlerbehebung beginnen.
Nexode ist berechtigt, einen Fehler zunächst durch eine geeignete Umgehungslösung zu beheben.
Die gesetzlichen Rechte des Kunden bei erheblichen und nicht innerhalb angemessener Frist behobenen Fehlern bleiben nach Maßgabe dieser AGB unberührt.
2.5.3 Ursachen außerhalb des Einflussbereichs von Nexode
Nexode weist den Kunden darauf hin, dass Einschränkungen oder Beeinträchtigungen der erbrachten Dienste entstehen können, die außerhalb des Einflussbereichs von Nexode liegen.
Hierunter fallen insbesondere:
a. Handlungen Dritter, die nicht im Auftrag von Nexode handeln;
b. technische Bedingungen des Internets oder öffentlicher Telekommunikationsnetze;
c. Ausfälle oder Änderungen kundenseitiger Systeme;
d. Ausfälle oder Änderungen vom Kunden ausgewählter Drittsysteme;
e. höhere Gewalt.
Als höhere Gewalt gelten insbesondere Feuer, Explosionen, Überschwemmungen, Naturkatastrophen, Krieg, Aufstände, Blockaden, Embargos, Pandemien, Arbeitskämpfe, behördliche Maßnahmen, großflächige Strom- oder Telekommunikationsausfälle sowie außergewöhnliche Cyberangriffe, die trotz angemessener Schutzmaßnahmen nicht verhindert werden konnten.
Soweit derartige Umstände Einfluss auf die Verfügbarkeit oder Funktionalität der von Nexode erbrachten Leistung haben, stellt dies keine Vertragsverletzung durch Nexode dar.
Die gesetzliche Verantwortung von Nexode für eigene gesetzliche Vertreter und Erfüllungsgehilfen bleibt unberührt.
2.5.4 Störungsmeldung
Der Kunde ist verpflichtet, Funktionsausfälle, Störungen oder Beeinträchtigungen von Farion unverzüglich und so präzise wie möglich über die vorgesehenen Supportkanäle anzuzeigen.
Der Kunde stellt Nexode die zur Reproduktion, Eingrenzung und Behebung erforderlichen Informationen in angemessenem Umfang zur Verfügung.
2.5.5 Aktualisierungen
Nexode wird Farion durch das Einspielen sicherheits- oder funktionsrelevanter Aktualisierungen auf einem angemessenen technischen Stand halten.
Nexode ist berechtigt, Scannerregeln, Modelle, Prompts, Bewertungsmethoden, Datenquellen, Integrationen, Benutzeroberflächen und interne technische Komponenten zu aktualisieren oder auszutauschen, soweit der wesentliche Zweck und der gebuchte Funktionsumfang nicht unangemessen beeinträchtigt werden.
Ein Anspruch auf den Einsatz eines bestimmten Modells, einer bestimmten Modellversion, einer bestimmten Drittkomponente oder eines bestimmten internen Analyseverfahrens besteht nur, wenn dies ausdrücklich individuell vereinbart wurde.
Wird eine wesentliche entgeltliche Funktion dauerhaft eingestellt und keine im Wesentlichen gleichwertige Alternative angeboten, kann der Kunde den betroffenen Leistungsteil zum Zeitpunkt der Einstellung kündigen, wenn ihm eine Fortsetzung des Vertrags ohne diese Funktion nicht zumutbar ist.
Die Vergütung reduziert sich in diesem Fall ab Wirksamwerden der Teilkündigung um den auf den gekündigten Leistungsteil entfallenden Anteil. Lässt sich dieser Anteil nicht bestimmen, ist der Kunde stattdessen berechtigt, den Vertrag insgesamt zum Zeitpunkt der Einstellung zu kündigen.
2.6 Systeme und Dienste Dritter
Farion kann mit Systemen und Diensten Dritter verbunden werden, insbesondere mit Repository-, CI/CD-, Ticketing-, Messaging-, Identity-, Registry- und Cloud-Systemen.
Die Verfügbarkeit und Mangelfreiheit von Systemen und Diensten Dritter, die der Kunde ausgewählt, angebunden oder selbst betrieben hat, sowie die Verfügbarkeit der Datenverbindungen zwischen Farion und solchen Systemen sind nicht Gegenstand der von Nexode geschuldeten Leistung.
Die gesetzliche Verantwortung von Nexode für eigene Unterauftragnehmer und Erfüllungsgehilfen bleibt unberührt. Ziffer 5 bleibt unberührt.
3. Vergütung
3.1 Vereinbarte Vergütung
Nexode erbringt die Leistungen gegen die in der Bestellung vereinbarte Vergütung.
3.2 Fälligkeit
Die Vergütung ist, soweit in der Bestellung nichts anderes vereinbart ist, jeweils 14 Tage nach Zugang der Rechnung fällig.
3.3 Umsatzsteuer
Die Vergütung versteht sich zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.
3.4 Rechnungseinwendungen
Der Kunde hat Einwendungen gegen die Abrechnung der von Nexode erbrachten Leistungen innerhalb von acht Wochen nach Zugang der Rechnung in Textform zu erheben.
Nach Ablauf dieser Frist gilt die Abrechnung als genehmigt, es sei denn, der Kunde war ohne eigenes Verschulden an einer rechtzeitigen Prüfung gehindert.
Nexode wird den Kunden mit Übersendung der Rechnung auf die Bedeutung seines Verhaltens und die Einhaltung der Frist gesondert hinweisen.
Die Genehmigung führt nicht zum Verlust gesetzlicher Ansprüche des Kunden. Sie begründet lediglich eine widerlegliche Vermutung für die Richtigkeit der Abrechnung.
3.5 Zahlungsverzug
Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen und sonstigen gesetzlichen Rechte.
Nexode ist berechtigt, den Zugang zu Farion nach vorheriger Mahnung und Ablauf einer angemessenen Nachfrist vorübergehend zu sperren, wenn der Kunde mit einem nicht nur unerheblichen Betrag in Verzug ist.
Die Sperrung ist auf das erforderliche Maß zu begrenzen. Zwingende gesetzliche Datenexport- und Datenabrufrechte bleiben unberührt. Ziffer 7.5 Absätze 2 bis 4 gelten entsprechend.
Die Verpflichtung zur Zahlung der vereinbarten Vergütung bleibt während einer vom Kunden verursachten berechtigten Sperrung bestehen.
3.6 Preisänderungen bei Vertragsverlängerungen
Bei Verträgen mit automatischer Verlängerung ist Nexode berechtigt, die Preise für eine zukünftige Verlängerungsperiode zu ändern.
Nexode wird den Kunden mindestens sechs Wochen vor Beginn der Verlängerungsperiode in Textform über die neuen Preise informieren.
Der Kunde kann den Vertrag bis zum Beginn der Verlängerungsperiode in Textform kündigen, wenn Nexode die Preise erhöht. Nexode wird den Kunden mit der Änderungsmitteilung auf dieses Kündigungsrecht hinweisen.
Preisänderungen innerhalb einer bereits begonnenen festen Vertragsperiode bedürfen einer ausdrücklichen Vereinbarung, soweit sie nicht auf einer vom Kunden bestellten Leistungsänderung beruhen.
4. Mitwirkungspflichten des Kunden
4.1 Allgemeine Mitwirkung
Der Kunde wird Nexode bei der Erbringung der vertraglichen Leistungen in angemessenem Umfang unterstützen.
4.2 Technische Voraussetzungen
Für die Nutzung von Farion müssen die in der Leistungsbeschreibung genannten technischen und organisatorischen Voraussetzungen beim Kunden erfüllt sein. Der Kunde trägt hierfür selbst die Verantwortung.
4.3 Bereitstellung von Artefakten und Informationen
Der Kunde stellt die für die gebuchten Analysen erforderlichen Repositories, Artefakte, Manifest-Dateien, Lockfiles, Buildinformationen, Container-Images, Konfigurationen, Zugangsdaten und Berechtigungen vollständig und richtig bereit.
Der Kunde ist für die Auswahl der zu untersuchenden Repositories, Branches, Artefakte, Anwendungen, Umgebungen und Zielsysteme verantwortlich.
Verändert der Kunde den Scan-Scope, die untersuchte Software, die Laufzeitumgebung oder andere wesentliche technische Grundlagen nach Abschluss eines Scans, liegt es in seiner Verantwortung, eine erneute Analyse durchzuführen oder zu veranlassen.
4.4 Rechte an bereitgestellten Inhalten
Soweit der Kunde Nexode geschützte Inhalte überlässt, versichert er, über alle erforderlichen Rechte und Befugnisse zu verfügen, um die betreffenden Inhalte, Repositories, Softwareartefakte, Images und Zielsysteme durch Farion verarbeiten und analysieren zu lassen.
Die für die Vertragsdurchführung erforderliche Rechteeinräumung richtet sich nach Ziffer 6.3.
4.5 Zugangsdaten
Der Kunde hat ihm zur Verfügung gestellte oder von ihm eingerichtete Zugangsdaten geheim zu halten und dafür zu sorgen, dass seine Nutzer dies ebenfalls tun.
Der Kunde ist insbesondere verpflichtet:
a. individuelle Nutzerkonten zu verwenden;
b. verfügbare sichere Authentifizierungsverfahren zu nutzen;
c. ausgeschiedene oder nicht mehr berechtigte Nutzer unverzüglich zu sperren;
d. kompromittierte oder möglicherweise offengelegte Zugangsdaten unverzüglich zu ersetzen;
e. Nexode unverzüglich über einen vermuteten unbefugten Zugriff auf Farion zu informieren.
4.6 Prüfung von Ergebnissen und Änderungsvorschlägen
Der Kunde ist für die fachliche Bewertung und Priorisierung seiner Findings verantwortlich.
Der Kunde stellt sicher, dass modellgestützt erzeugte Änderungsvorschläge, Versionsänderungen und sonstige Änderungen vor einer produktiven Verwendung seine angemessenen Review-, Test-, Freigabe und Deployment-Prozesse durchlaufen.
Deutlich angezeigte Warnungen über fehlgeschlagene oder unvollständige Scans sowie kritische Findings sind vom Kunden bei seinen Security- und Release-Entscheidungen angemessen zu berücksichtigen.
4.7 Aktive Tests gegen Zielsysteme
Sieht die Leistungsbeschreibung Analyseverfahren vor, die aktive Anfragen, Testdaten oder Prüfsequenzen an Zielsysteme senden, ist der Kunde für die vollständige und richtige Festlegung des Test-Scopes sowie für die erforderliche Testberechtigung verantwortlich.
Der Kunde sichert zu, dass er:
a. Eigentümer oder berechtigter Betreiber jedes getesteten Zielsystems ist oder über eine ausreichende Testgenehmigung verfügt;
b. alle erforderlichen Zustimmungen, Freigaben und Benachrichtigungen gegenüber Auftraggebern, Eigentümern, Betreibern, Hosting-Providern, Cloud-Anbietern und sonstigen Dritten eingeholt beziehungsweise vorgenommen hat;
c. Domains, IP-Adressen, Schnittstellen, Zugangsdaten, Zeitfenster und sonstige Scope-Informationen vollständig und richtig konfiguriert;
d. nicht freigegebene Systeme eindeutig vom Test-Scope ausgenommen hat.
Vor Tests gegen produktive oder geschäftskritische Systeme hält der Kunde angemessene Sicherungs-, Monitoring-, Notfall- und Wiederherstellungsverfahren für diese Zielsysteme vor und prüft die Eignung des Testzeitpunkts eigenständig.
4.8 Rechtmäßige Nutzung
Der Kunde darf Farion nicht:
a. ohne ausreichende Berechtigung gegen Systeme oder Daten Dritter einsetzen;
b. zur Entwicklung, Unterstützung oder Durchführung rechtswidriger Angriffe verwenden;
c. zur Entwicklung oder Verbreitung von Malware einsetzen;
d. technische Nutzungs-, Sicherheits- oder Zugriffsbeschränkungen umgehen;
e. interne Scannerregeln, Modelle, Prompts, Bewertungslogik oder sonstige nicht öffentlich dokumentierte Komponenten auslesen oder rekonstruieren;
f. außerhalb des vertraglich zugelassenen Umfangs vervielfältigen, vermieten, verkaufen oder Dritten bereitstellen;
g. reverse engineeren, dekompilieren oder disassemblieren, soweit dies nicht durch zwingendes Recht ausdrücklich gestattet ist.
Nexode ist berechtigt, eine rechtswidrige oder sicherheitsgefährdende Nutzung von Farion nach Maßgabe der Ziffer 7.5 vorübergehend zu sperren. Das Recht zur außerordentlichen Kündigung nach Ziffer 7.4 bleibt unberührt.
4.9 Exportkontrolle, Sanktionen und Embargos
Der Kunde beachtet sämtliche auf ihn und seine Nutzung von Farion anwendbaren Vorschriften des Außenwirtschafts-, Exportkontroll-, Sanktions- und Embargorechts der Europäischen Union und der Bundesrepublik Deutschland.
Vorschriften anderer Rechtsordnungen sind vom Kunden zu beachten, soweit er oder der konkrete Vorgang diesen Vorschriften unmittelbar unterliegt und ihre Befolgung nicht durch zwingendes Recht der Europäischen Union oder der Bundesrepublik Deutschland untersagt ist.
Der Kunde darf Farion weder unmittelbar noch mittelbar Personen, Organisationen, Einrichtungen, Ländern oder Gebieten bereitstellen oder zugänglich machen oder für eine Endverwendung einsetzen, soweit dies nach den anwendbaren Vorschriften verboten ist oder einer behördlichen Genehmigung bedarf, die nicht vorliegt.
Dies gilt insbesondere für nach anwendbarem Recht verbotene proliferationsbezogene Endverwendungen, einschließlich der Entwicklung, Herstellung oder Verwendung nuklearer, chemischer oder biologischer Waffen oder ihrer Trägersysteme.
Der Kunde informiert Nexode unverzüglich, wenn ihm Umstände bekannt werden, aufgrund derer die weitere Bereitstellung oder Nutzung von Farion gegen anwendbare Exportkontroll-, Sanktions- oder Embargovorschriften verstoßen könnte.
Der Kunde stellt Nexode auf begründete Anforderung die für eine rechtliche Prüfung erforderlichen Informationen zum Endnutzer, Einsatzort und Verwendungszweck zur Verfügung.
Liegen konkrete Anhaltspunkte für einen Verstoß gegen diese Ziffer 4.9 vor oder ist eine Maßnahme zur Einhaltung auf Nexode anwendbarer Vorschriften erforderlich, ist Nexode zu den Maßnahmen nach Ziffer 7.5 berechtigt. Das Recht zur außerordentlichen Kündigung nach Ziffer 7.4 lit. g bleibt unberührt.
5. Haftung und Schadensersatz
Soweit nicht ausdrücklich individuell eine für den Kunden günstigere Regelung vereinbart ist, gelten die folgenden Haftungsregelungen.
5.1 Vorsatz und grobe Fahrlässigkeit
Im Fall von Vorsatz und grober Fahrlässigkeit haftet Nexode gemäß den gesetzlichen Bestimmungen.
5.2 Ausschluss der verschuldensunabhängigen Haftung für anfängliche Mängel
Die verschuldensunabhängige Haftung von Nexode für Mängel, die bereits bei Vertragsschluss vorhanden waren, gemäß § 536a Absatz 1 Alternative 1 BGB ist ausgeschlossen.
Unberührt bleiben die Haftung wegen Vorsatzes und grober Fahrlässigkeit, bei arglistigem Verschweigen eines Mangels, bei der Verletzung des Lebens, des Körpers oder der Gesundheit, bei der Übernahme einer ausdrücklichen Garantie sowie in sonstigen Fällen zwingender gesetzlicher Haftung.
Verschuldensabhängige Ansprüche des Kunden, die Pflicht von Nexode zur Fehlerbeseitigung nach Ziffer 2.5.2 und die übrigen Rechte des Kunden bei Mängeln bleiben unberührt.
5.3 Einfache Fahrlässigkeit
Im Fall einfacher Fahrlässigkeit haftet Nexode nur, sofern es sich um die Verletzung einer wesentlichen Vertragspflicht handelt.
In diesem Fall ist die Haftung von Nexode auf den vorhersehbaren, vertragstypischen Schaden begrenzt.
Eine wesentliche Vertragspflicht ist eine Verpflichtung, deren Erfüllung die ordnungsgemäße Durchführung des jeweiligen Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.
5.4 Zwingende Haftung
Schadensersatzansprüche nach dem Produkthaftungsgesetz sowie bei der Verletzung des Lebens, des Körpers oder der Gesundheit bleiben von den vorstehenden Haftungsbeschränkungen unberührt.
Dies gilt entsprechend bei Arglist, bei der Übernahme einer ausdrücklichen Garantie und in sonstigen Fällen zwingender gesetzlicher Haftung.
5.5 Haftungshöchstbetrag und Serienschäden
In den Fällen der Ziffer 5.3 ist die Haftung von Nexode zusätzlich auf den höheren der folgenden Beträge je Schadensfall beschränkt:
a. EUR 50.000; oder
b. die für die von der Pflichtverletzung betroffene Leistung in den zwölf Monaten vor dem schadensauslösenden Ereignis vertraglich geschuldete Nettovergütung.
Besteht der Vertrag bei Eintritt des schadensauslösenden Ereignisses noch keine zwölf Monate, ist die seit Vertragsbeginn für die betroffene Leistung vertraglich geschuldete Nettovergütung maßgeblich.
Lässt sich die auf die betroffene Leistung entfallende Vergütung nicht bestimmen, ist die für den Vertrag insgesamt geschuldete Nettovergütung im maßgeblichen Zeitraum zugrunde zu legen.
Mehrere Schäden, die auf derselben Pflichtverletzung oder demselben technischen Fehler beruhen, gelten als ein Schadensfall.
Dies gilt insbesondere, wenn sich derselbe Fehler in einer Scannerregel, einem Parser, einem Modell, einer Auswertungslogik oder einer Ausgabefunktion auf mehrere Scans, Repositories, Anwendungen oder Nutzer auswirkt. Für die Bestimmung des maßgeblichen Zeitraums nach Absatz 1 lit. b ist in diesem Fall der Zeitpunkt des ersten Schadenseintritts maßgeblich.
Die Haftungsobergrenze gilt nicht in den Fällen der Ziffern 5.1 und 5.4.
Soweit eine verschuldensunabhängige Haftung von Nexode für anfängliche Mängel entgegen Ziffer 5.2 besteht, gilt die Haftungsobergrenze nach dieser Ziffer 5.5 entsprechend. Dies gilt nicht in den Fällen der Ziffern 5.1 und 5.4.
Höhere Haftungsobergrenzen können in der Bestellung oder einer individuellen Vereinbarung festgelegt werden.
5.6 Leistungsgrenzen der Sicherheitsanalysen
Die in den Ziffern 2.3 und 2.4 beschriebenen Grenzen automatisierter Sicherheitsanalysen bestimmen den geschuldeten Leistungsumfang. Sie stellen keinen Ausschluss der Haftung für eine schuldhafte, nicht vertragsgemäße Durchführung eines vereinbarten Analyseverfahrens dar.
Nexode haftet insbesondere nicht allein deshalb, weil:
a. eine technisch nicht erkennbare oder zum Analysezeitpunkt unbekannte Schwachstelle nicht erkannt wurde;
b. ein noch nicht veröffentlichtes oder Farion nicht verfügbares Advisory nicht berücksichtigt wurde;
c. eine Komponente aus den zugänglichen Artefakten technisch nicht bestimmbar war;
d. eine modellbasierte Einschätzung oder fachlich vertretbare Risikobewertung sich nachträglich als unzutreffend erwies;
e. eine automatisierte Lizenzzuordnung aufgrund unvollständiger oder mehrdeutiger Lizenzinformationen nicht zutraf.
Beruht ein fehlerhaftes Ergebnis dagegen auf einem von Nexode zu vertretenden reproduzierbaren Fehler bei der Verarbeitung eines vollständig zugänglichen und unterstützten Artefakts, gelten die allgemeinen Fehlerbehebungs- und Haftungsregelungen.
5.7 Mitverantwortung des Kunden
Bei der Feststellung einer Pflichtverletzung sowie bei Grund und Umfang einer Haftung von Nexode ist zu berücksichtigen, in welchem Umfang ein Schaden auf einer schuldhaften Verletzung der Mitwirkungs-, Prüf-, Sicherheits- oder Schadensminderungspflichten des Kunden beruht.
Ein relevanter Kundenbeitrag kann insbesondere vorliegen, wenn der Kunde:
a. für die Analyse erforderliche Repositories, Artefakte, Manifest-Dateien, Lockfiles, Buildinformationen, Images, Berechtigungen oder Konfigurationen nicht, unvollständig oder fehlerhaft bereitgestellt hat;
b. einen unzutreffenden oder unvollständigen Scan-Scope konfiguriert hat;
c. eine deutlich angezeigte Meldung über einen fehlgeschlagenen oder unvollständigen Scan ignoriert hat;
d. konkrete kritische Findings oder nachvollziehbare Warnungen ohne angemessene Risikobewertung ignoriert hat;
e. modellgestützt erzeugte Änderungsvorschläge ohne die erforderliche fachliche Prüfung und angemessene Tests produktiv verwendet hat;
f. automatisierte Lizenzzuordnungen oder Compliance-Auswertungen als abschließende rechtliche Bewertung verwendet hat;
g. angemessene Maßnahmen zur Abwendung oder Minderung eines erkennbaren Schadens unterlassen hat.
Eine Minderung oder ein Ausschluss der Haftung erfolgt nur in dem Umfang, in dem die jeweilige Pflichtverletzung des Kunden für den Schaden ursächlich geworden ist.
Nexode kann sich nicht auf eine vom Kunden ignorierte Warnung berufen, wenn die Warnung nicht hinreichend deutlich, verständlich oder sichtbar war oder den betroffenen Scope und die Auswirkung auf die Aussagekraft nicht erkennen ließ.
5.8 Gesetzliche Vertreter und Erfüllungsgehilfen
Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und sonstigen Erfüllungsgehilfen von Nexode.
5.9 Verjährung
Ansprüche des Kunden gegen Nexode verjähren in zwölf Monaten ab dem gesetzlichen Verjährungsbeginn.
Dies gilt nicht für Ansprüche wegen Vorsatzes, grober Fahrlässigkeit oder Arglist, für Ansprüche wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, für Ansprüche nach dem Produkthaftungsgesetz, für Ansprüche aus einer ausdrücklich übernommenen Garantie sowie in sonstigen Fällen zwingender gesetzlicher Verjährungsfristen. Insoweit gelten die gesetzlichen Verjährungsfristen.
5.10 Keine Garantien
Angaben zu Funktionsumfang, Beschaffenheit, Verfügbarkeit und Ergebnisdarstellung von Farion in diesen AGB, der Leistungsbeschreibung und den Anlagen stellen Leistungs- beziehungsweise Beschaffenheitsvereinbarungen dar.
Sie begründen keine Garantie oder Beschaffenheitsgarantie im Rechtssinne, sofern die betreffende Zusage nicht ausdrücklich als Garantie bezeichnet ist.
5.11 Freistellungsansprüche
Freistellungsansprüche von Nexode nach den Ziffern 6.8 und 6.9 bleiben durch die vorstehenden Haftungsbeschränkungen unberührt.
6. Kundendaten, Rechte und Freistellung von Ansprüchen Dritter
6.1 Kundendaten
Nexode speichert und verarbeitet als technischer Dienstleister Inhalte und Daten für den Kunden, die dieser bei der Nutzung von Farion eingibt, bereitstellt, anbinden lässt oder zum Abruf bereithält, nachfolgend „Kundendaten".
Der Kunde behält sämtliche Rechte an seinen Kundendaten, insbesondere an seinem Quellcode, seinen Repositories, Softwareartefakten, Konfigurationen und sonstigen Inhalten.
6.2 Verantwortung des Kunden
Der Kunde ist für sämtliche von ihm oder seinen Nutzern verwendeten Inhalte und verarbeiteten Daten sowie die hierfür erforderlichen Rechtspositionen verantwortlich.
Der Kunde hat insbesondere zu prüfen, ob die Verarbeitung von personenbezogenen Daten, Geschäftsgeheimnissen und sonstigen geschützten Inhalten über Farion rechtlich zulässig ist.
Nexode prüft die Rechtmäßigkeit, Vollständigkeit oder inhaltliche Richtigkeit der vom Kunden bereitgestellten Inhalte grundsätzlich nicht.
6.3 Rechte zur Vertragsdurchführung
Der Kunde räumt Nexode für die Vertragslaufzeit ein nicht ausschließliches, auf die Vertragsdurchführung beschränktes Recht ein, Kundendaten zu speichern, zu vervielfältigen, zu übertragen, technisch umzuformen und automatisiert zu analysieren, soweit dies für die Bereitstellung, Absicherung, Fehlerbehebung und Unterstützung von Farion erforderlich ist.
Nexode ist berechtigt, Änderungen an internen Datenstrukturen oder Datenformaten vorzunehmen, soweit dies für den Betrieb, die Fehlerbehebung, eine technische Migration oder die Weiterentwicklung von Farion erforderlich ist und die vertragsgemäße Nutzung sowie die Exportierbarkeit der hierfür vorgesehenen Kundendaten nicht unangemessen beeinträchtigt werden.
Soweit Nexode personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der zwischen den Parteien abgeschlossene Auftragsverarbeitungsvertrag.
6.4 Rechte an Analyseergebnissen
Der Kunde erhält an seinen kundenbezogenen Findings, Reports, SBOMs, VEX-Daten, exportierten Lizenzinformationen, angezeigter Evidence und generierten Änderungsvorschlägen ein zeitlich und räumlich unbeschränktes, nicht ausschließliches Recht, diese für eigene geschäftliche Zwecke sowie im Rahmen eines vereinbarten MSP-Nutzungsrechts zu verwenden, zu vervielfältigen, zu bearbeiten und weiterzugeben.
Die Rechte werden nur insoweit eingeräumt, als Nexode über die betreffenden Rechte verfügen kann. Rechte und Lizenzbedingungen Dritter bleiben unberührt.
Modellgestützt erzeugte oder generische Ergebnisse können identisch oder ähnlich auch für andere Kunden erzeugt werden. Der Kunde erhält daran keine Exklusivität.
6.5 Rechte von Nexode
Sämtliche Rechte an Farion und der zugrunde liegenden Technologie verbleiben bei Nexode beziehungsweise den jeweiligen Rechteinhabern.
Dies umfasst insbesondere:
a. Quell- und Objektcode der Plattform;
b. Scanner, Parser, Regeln und Signaturen;
c. interne Property Graphs und Zwischenformate;
d. Modelle, Modellgewichte, Trainingsmethoden und Prompts;
e. Agenten-, Workflow- und Orchestrierungslogik;
f. interne Scoring-, Ranking- und Priorisierungsmethoden;
g. interne Vulnerability-Datenmodelle und Knowledge Graphs;
h. Benutzeroberflächen, Designs, Templates und Dokumentationen;
i. allgemeines technisches Know-how.
6.6 Technische Betriebs- und Nutzungsdaten
Nexode ist berechtigt, technische Betriebs-, Sicherheits-, Performance- und Nutzungsinformationen zu erheben und zu verwenden, um Farion zu betreiben, abzusichern, Fehler zu erkennen, Kapazitäten zu planen und die Plattform weiterzuentwickeln.
Soweit solche Informationen über den konkreten Betrieb des Kundenkontos hinaus verwendet werden, müssen sie aggregiert oder anderweitig so aufbereitet sein, dass sie keine Kundeninhalte offenlegen und den Kunden nicht identifizieren.
Quellcode, konkrete Findings, kundenbezogene Dataflows und Repository-Inhalte gelten nicht allein deshalb als technische Betriebs- oder Nutzungsdaten.
6.7 Feedback und Verbesserungsvorschläge
Übermittelt der Kunde Nexode freiwillig produktbezogene Anregungen, Ideen, Verbesserungsvorschläge oder sonstiges Feedback zu Farion, ist Nexode berechtigt, dieses Feedback unentgeltlich für die Entwicklung, Änderung, Bereitstellung, Vermarktung und kommerzielle Nutzung von Farion und anderen Produkten und Leistungen von Nexode zu verwenden.
Soweit an dem übermittelten Feedback urheberrechtliche oder sonstige übertragbare Schutzrechte bestehen, räumt der Kunde Nexode die hierfür erforderlichen zeitlich, räumlich und inhaltlich unbeschränkten, nicht ausschließlichen, übertragbaren und unterlizenzierbaren Nutzungsrechte ein.
Nexode ist nicht verpflichtet, das Feedback umzusetzen oder den Kunden über dessen Verwendung zu informieren.
Enthält eine Mitteilung des Kunden zugleich vertrauliche Informationen im Sinne der Ziffer 8, insbesondere Quellcode, Findings, Evidence oder Architektur- und Systeminformationen, geht Ziffer 8 insoweit vor.
Nexode darf in diesem Fall nur den von kundenspezifischen Inhalten losgelösten produktbezogenen Gehalt der Mitteilung nach dieser Ziffer 6.7 verwenden.
Die Übermittlung von Feedback berechtigt Nexode insbesondere nicht zur Verwendung von Kundencode oder vertraulichen kundenbezogenen Informationen außerhalb der Vertragsdurchführung.
6.8 Freistellung von Ansprüchen Dritter
Der Kunde stellt Nexode von berechtigten Ansprüchen Dritter einschließlich angemessener Kosten der Rechtsverteidigung frei, soweit diese Ansprüche darauf beruhen, dass der Kunde schuldhaft:
a. Inhalte, Softwareartefakte oder Daten ohne die erforderlichen Rechte über Farion verarbeiten lässt;
b. ein Zielsystem ohne ausreichende Berechtigung durch aktive Tests testen lässt;
c. einen rechtswidrigen oder unzutreffenden Test-Scope konfiguriert;
d. Farion entgegen Ziffer 4.8 rechtswidrig oder vertragswidrig verwendet;
e. Farion-Ergebnisse unter Verletzung gesetzlicher Datenschutz-, Vertraulichkeits- oder Geheimhaltungspflichten weitergibt.
Nexode wird den Kunden unverzüglich über eine entsprechende Inanspruchnahme informieren und ihm, soweit rechtlich möglich, Gelegenheit zur Abwehr des geltend gemachten Anspruchs geben.
Der Kunde wird Nexode unverzüglich alle ihm verfügbaren Informationen über den Sachverhalt vollständig mitteilen.
Nexode wird ohne vorherige Zustimmung des Kunden keine den Kunden belastende Anerkennung oder Einigung abgeben. Die Zustimmung darf nicht unbillig verweigert werden.
Die Freistellung gilt nicht, soweit Nexode den Anspruch selbst verursacht oder mitverursacht hat. Darüber hinausgehende Schadensersatzansprüche von Nexode bleiben unberührt.
6.9 Weitergabe von Reports, SBOMs und VEX-Daten
Der Kunde darf Reports, SBOMs, VEX-Daten, Findings und sonstige exportierte Ergebnisse im Rahmen seiner üblichen Security-, Entwicklungs-, Compliance-, Beschaffungs-, Lieferketten- und Kundenprozesse an berechtigte Dritte weitergeben.
Eine Weitergabe kann insbesondere an verbundene Unternehmen mit eigener Nutzungsberechtigung, externe Berater, Rechtsberater, Wirtschaftsprüfer, zuständige Behörden, Auftraggeber, Kunden, Lieferanten und sonstige Beteiligte der Softwarelieferkette erfolgen.
Angaben zu Scan-Scope, Datenstand, Scanstatus, bekannten Einschränkungen und Bewertungsgrundlagen dürfen bei einer Weitergabe nicht entfernt, irreführend verkürzt oder inhaltlich verfälscht werden.
Farion-Berichte, SBOMs, VEX-Daten und Compliance-Auswertungen stellen insbesondere keine Zertifizierung, behördliche Konformitätsbestätigung, Prüfung, Bestätigung, Testat, Garantie oder verbindliche rechtliche Bewertung dar.
Durch die zulässige Weitergabe werden Dritte nicht Vertragspartner von Nexode und erhalten grundsätzlich keine eigenen vertraglichen Rechte gegen Nexode.
Soll ein bestimmter Report ausdrücklich für die Entscheidung eines namentlich bezeichneten Dritten erstellt werden, insbesondere für eine M&A-Transaktion, Finanzierung, Versicherung, Zertifizierung oder ein besonderes Audit, bedarf dies einer gesonderten Vereinbarung über Empfänger, Verwendungszweck, Scope und Haftungsumfang.
Der Kunde stellt Nexode von berechtigten Ansprüchen eines Dritten frei, soweit diese Ansprüche darauf beruhen, dass der Kunde schuldhaft:
a. einen Farion-Report oder Export irreführend verändert oder verkürzt hat;
b. Hinweise zu Scope, Datenstand, Scanstatus oder Einschränkungen entfernt oder verschleiert hat;
c. ein veraltetes oder auf einen anderen Scope bezogenes Ergebnis als aktuelle Aussage dargestellt hat;
d. einen Farion-Report als Zertifizierung, Testat oder Garantie von Nexode bezeichnet hat;
e. dem Dritten ohne Zustimmung von Nexode ein weitergehendes Vertrauen oder unmittelbare Rechte gegenüber Nexode zugesagt hat.
Die Regelungen der Ziffer 6.8 zur Information, Mitwirkung, zum Anerkenntnisvorbehalt und zur Mitverursachung gelten entsprechend.
7. Vertragslaufzeit und Beendigung des Vertrags
7.1 Vertragsbeginn und Laufzeit
Der Vertrag beginnt, soweit nichts anderes bestimmt ist, mit seinem Zustandekommen.
Die Bereitstellung der Leistungen erfolgt ab dem in der Bestellung bestimmten Zeitpunkt oder, falls kein Zeitpunkt bestimmt ist, nach Freischaltung des Kundenkontos.
Mindestlaufzeit, Abrechnungsperiode und automatische Verlängerung ergeben sich aus der Bestellung.
Enthält die Bestellung keine besondere Laufzeitregelung, wird der Vertrag auf unbestimmte Zeit geschlossen.
7.2 Ordentliche Kündigung
Ein auf unbestimmte Zeit geschlossener Vertrag kann vom Kunden mit einer Frist von zwei Monaten und von Nexode mit einer Frist von drei Monaten in Textform ordentlich gekündigt werden.
Eine Mitteilung des Kunden nach Anlage 2 Abschnitt II leitet den Anbieterwechsel ein und enthält zugleich das Beendigungsverlangen des Kunden. Der konkrete Zeitpunkt der Vertragsbeendigung richtet sich nach Anlage 2 Abschnitt IV.
Für befristete Verträge gelten die in der Bestellung vereinbarten Kündigungs- und Verlängerungsregelungen.
Das Recht des Kunden, einen Anbieterwechsel nach Anlage 2 einzuleiten, bleibt hiervon unberührt.
Bei einem Vertrag mit fester Laufzeit kann im Fall einer Beendigung vor dem vereinbarten Laufzeitende eine verhältnismäßige Entschädigung anfallen. Voraussetzung ist, dass deren Höhe oder Berechnungsmethode vor Vertragsschluss transparent in der Bestellung ausgewiesen wurde. Einzelheiten ergeben sich aus der Bestellung.
7.3 Tests und Piloten
Ein ausdrücklich befristeter Test oder Pilot endet mit Ablauf des vereinbarten Zeitraums, ohne dass es einer Kündigung bedarf.
Eine automatische Umwandlung in einen entgeltlichen Vertrag erfolgt nur, wenn dies im Bestellprozess oder in der Bestellung ausdrücklich vereinbart wurde.
7.4 Außerordentliche Kündigung
Das gesetzliche Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für Nexode liegt insbesondere vor, wenn der Kunde:
a. Farion rechtswidrig oder zur Schädigung Dritter nutzt;
b. Zielsysteme ohne ausreichende Berechtigung testen lässt;
c. wesentliche Nutzungs- oder Sicherheitsbeschränkungen umgeht;
d. trotz Mahnung und angemessener Nachfrist mit einer wesentlichen Zahlung in Verzug bleibt;
e. eine erhebliche Vertragsverletzung trotz Abmahnung und angemessener Abhilfefrist nicht beendet;
f. durch seine Nutzung die Sicherheit, Integrität oder Verfügbarkeit von Farion, anderen Kunden oder Dritten erheblich gefährdet;
g. gegen auf ihn oder den betreffenden Vorgang anwendbare Exportkontroll-, Sanktions- oder Embargovorschriften der Europäischen Union, der Bundesrepublik Deutschland oder unmittelbar anwendbare Vorschriften anderer Rechtsordnungen verstößt, soweit deren Befolgung nicht durch zwingendes Recht der Europäischen Union oder der Bundesrepublik Deutschland untersagt ist.
Eine vorherige Abmahnung oder Nachfrist ist nicht erforderlich, wenn die Vertragsverletzung nicht behoben werden kann oder eine sofortige Kündigung unter Abwägung der Interessen beider Parteien gerechtfertigt ist.
Vertraglich vereinbarte Sonderkündigungsrechte, insbesondere nach dem Auftragsverarbeitungsvertrag, bleiben unberührt.
7.5 Vorübergehende Sperrung
Nexode ist berechtigt, einzelne Funktionen oder den Zugang zu Farion im erforderlichen Umfang und für die erforderliche Dauer vorübergehend zu sperren, soweit dies zur Abwehr eines Missbrauchs, einer
Sicherheitsgefährdung, einer erheblichen Überlastung, einer Rechtsverletzung, eines Verstoßes gegen Ziffer 4.9 oder zur Einhaltung auf Nexode anwendbarer Exportkontroll-, Sanktions- oder Embargovorschriften erforderlich ist und gegenüber einer Kündigung das mildere Mittel darstellt.
Nexode informiert den Kunden unverzüglich über Grund, Umfang und voraussichtliche Dauer der Maßnahme, soweit dies rechtlich und sicherheitstechnisch zulässig ist.
Soweit keine sofortige Maßnahme erforderlich ist, erhält der Kunde Gelegenheit, die zugrunde liegenden Umstände aufzuklären und geeignete Nachweise vorzulegen.
Nexode überprüft die Voraussetzungen der Sperrung in angemessenen Abständen und hebt die Maßnahme unverzüglich auf, sobald ihre Voraussetzungen entfallen.
Beruht die Sperrung auf einer schuldhaften Pflichtverletzung, einer unrichtigen Angabe oder einer sonstigen vom Kunden zu vertretenden Handlung, bleibt die Verpflichtung zur Zahlung der vereinbarten Vergütung bestehen.
Beruht die Sperrung nicht auf einem vom Kunden zu vertretenden Umstand, entfällt die Vergütungspflicht für die Dauer und den Umfang der nicht bereitgestellten Leistung.
Dauert die Sperrung länger als 30 Kalendertage an, kann der Kunde den betroffenen Leistungsteil in Textform kündigen. Nexode steht dieses Kündigungsrecht nur zu, soweit die Sperrung nicht auf einem von Nexode zu vertretenden Umstand beruht.
Zwingende gesetzliche Datenexport- und Datenabrufrechte bleiben unberührt.
7.6 Datenexport und Löschung
Nach Beendigung des Vertrags richten sich Datenexport, Anbieterwechsel, Datenabruf und Löschung nach Anlage 2 sowie, soweit personenbezogene Daten betroffen sind, nach dem Auftragsverarbeitungsvertrag.
Gesetzliche Aufbewahrungspflichten und Aufbewahrungsrechte bleiben unberührt.
8. Vertraulichkeit
8.1 Vertrauliche Informationen
Die Parteien sind verpflichtet, alle ihnen im Zusammenhang mit diesem Vertrag bekannt gewordenen oder bekannt werdenden Informationen über die jeweils andere Partei, die als vertraulich gekennzeichnet werden oder anhand ihrer Art oder der Umstände ihrer Offenlegung als vertraulich erkennbar sind, vertraulich zu behandeln, nicht unbefugt an Dritte weiterzugeben und nicht außerhalb des Vertragszwecks zu verwenden.
Unabhängig von einer Kennzeichnung gelten insbesondere als vertraulich:
a. Quellcode und nicht öffentliche Softwareartefakte;
b. Secrets, Zugangsdaten und Sicherheitskonfigurationen;
c. Findings, Evidence, Dataflows, Architektur- und Systeminformationen;
d. interne Produkt-, Preis-, Strategie- und Entwicklungsinformationen;
e. personenbezogene und kundenbezogene Daten;
f. Geschäftsgeheimnisse im Sinne der gesetzlichen Bestimmungen.
8.2 Zulässige Empfänger
Eine Partei darf vertrauliche Informationen solchen Mitarbeitern, Beratern und Unterauftragnehmern zugänglich machen, die diese Informationen zur Vertragsdurchführung benötigen und in angemessener Weise zur Vertraulichkeit verpflichtet sind.
Gesetzlich zulässige Offenlegungen an beruflich zur Verschwiegenheit verpflichtete Rechts-, Steuer- und sonstige Berater bleiben unberührt.
8.3 Ausnahmen
Informationen sind keine vertraulichen Informationen im Sinne dieser Ziffer 8, wenn sie nachweislich:
a. der empfangenden Partei bereits zuvor bekannt waren, ohne dass die Informationen einer Vertraulichkeitsverpflichtung unterlagen;
b. allgemein bekannt sind oder ohne Verletzung der übernommenen Vertraulichkeitsverpflichtungen allgemein bekannt werden;
c. der empfangenden Partei ohne Verletzung einer Vertraulichkeitsverpflichtung von einem Dritten offenbart werden;
d. von der empfangenden Partei unabhängig und ohne Verwendung vertraulicher Informationen entwickelt wurden.
8.4 Gesetzlich erforderliche Offenlegung
Muss eine Partei vertrauliche Informationen aufgrund eines Gesetzes, einer gerichtlichen Entscheidung oder einer vollziehbaren behördlichen Anordnung offenlegen, darf sie die Informationen im erforderlichen Umfang offenlegen.
Soweit rechtlich zulässig, wird sie die andere Partei vorher informieren und deren angemessene Schutzmaßnahmen unterstützen.
8.5 Dauer
Die Verpflichtungen nach dieser Ziffer 8 gelten während der Vertragslaufzeit und für fünf Jahre nach Vertragsende.
Für Geschäftsgeheimnisse gelten die Verpflichtungen darüber hinaus so lange, wie die betreffenden Informationen die gesetzlichen Voraussetzungen eines Geschäftsgeheimnisses erfüllen.
8.6 Referenznutzung
Nexode ist nur mit vorheriger Zustimmung des Kunden berechtigt, dessen Namen, Logo oder sonstige Kennzeichen öffentlich als Kundenreferenz zu verwenden.
8.7 Rückgabe und Löschung vertraulicher Informationen
Nach Vertragsende gibt jede Partei auf Verlangen der anderen Partei deren vertrauliche Informationen und vorhandene Kopien zurück oder löscht diese, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Aufbewahrungsrechte entgegenstehen.
Vertrauliche Informationen in routinemäßig erstellten Sicherungskopien müssen nicht gesondert gelöscht werden, sofern sie bis zu ihrer turnusmäßigen Überschreibung nicht produktiv verwendet und weiterhin nach Maßgabe dieser Ziffer 8 geschützt werden.
Für Kundendaten gelten vorrangig die Regelungen der Anlage 2 und des Auftragsverarbeitungsvertrags.
9. Verschiedenes
9.1 Abtretung und Vertragsübertragung
Die Abtretung von Rechten und Pflichten aus diesem Vertrag durch den Kunden ist nur mit vorheriger Zustimmung von Nexode zulässig. Die Zustimmung darf nicht unbillig verweigert werden.
Nexode ist berechtigt, den Vertrag auf ein mit Nexode verbundenes Unternehmen oder einen Erwerber des Farion-Geschäfts zu übertragen, wenn der neue Vertragspartner sämtliche Rechte und Pflichten aus dem Vertrag übernimmt.
Nexode wird den Kunden vor einer solchen Übertragung in Textform informieren.
Der Kunde kann den Vertrag innerhalb von 30 Tagen nach Zugang der Information zum Zeitpunkt der Übertragung in Textform kündigen.
Nexode ist berechtigt, Dritte mit der Erfüllung der Pflichten aus diesem Vertrag zu betrauen. Datenschutzrechtliche Anforderungen richten sich ergänzend nach dem Auftragsverarbeitungsvertrag.
9.2 Aufrechnung, Zurückbehaltungsrecht und Minderung
Der Kunde kann nur mit unbestrittenen, entscheidungsreifen oder rechtskräftig festgestellten Forderungen aufrechnen.
Ein Zurückbehaltungsrecht kann der Kunde wegen Ansprüchen aus demselben Vertragsverhältnis sowie wegen unbestrittener, entscheidungsreifer oder rechtskräftig festgestellter Ansprüche ausüben.
Der Kunde kann eine Minderung der Vergütung nur in der Weise geltend machen, dass er den betreffenden Mangel gegenüber Nexode in Textform anzeigt, die vereinbarte Vergütung zunächst entrichtet und den auf die Minderung entfallenden Betrag anschließend zurückfordert.
Dies gilt nicht, wenn der Minderungsanspruch unbestritten, entscheidungsreif oder rechtskräftig festgestellt ist.
Das gesetzliche Minderungsrecht des Kunden bleibt dem Grunde und der Höhe nach unberührt. Die vorstehenden Absätze regeln ausschließlich die Art seiner Ausübung.
9.3 Textform
Vertragliche Erklärungen, Mitteilungen, Kündigungen und Änderungen können in Textform erfolgen, soweit nicht zwingendes Recht oder eine individuelle Vereinbarung eine strengere Form verlangt.
Mitteilungen können auch über hierfür vorgesehene Funktionen von Farion abgegeben werden.
9.4 Unwirksame Bestimmungen
Die etwaige Unwirksamkeit einzelner Bestimmungen dieses Vertrags beeinträchtigt nicht die Gültigkeit des übrigen Vertragsinhalts.
An die Stelle unwirksamer oder undurchführbarer Bestimmungen treten die gesetzlichen Vorschriften.
9.5 Anwendbares Recht
Die vertraglichen Vereinbarungen zwischen dem Kunden und Nexode unterliegen ausschließlich dem materiellen Recht der Bundesrepublik Deutschland unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf und der Verweisungsnormen des Internationalen Privatrechts.
9.6 Gerichtsstand
Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Berlin, soweit eine solche Gerichtsstandsvereinbarung gesetzlich zulässig ist.
ANLAGE 1 ZU DEN FARION-AGB — Service Level Agreement
I. Geltungsbereich und Farion-Kernplattform
Dieses Service Level Agreement regelt die Verfügbarkeit der cloudbasierten Farion-Kernplattform. Zur Farion-Kernplattform gehören, soweit die jeweilige Funktion vom Kunden gebucht ist:
a. die Authentifizierung und der Zugriff auf die Plattform;
b. die Entgegennahme von Scanaufträgen;
c. die zentrale Orchestrierung der gebuchten Scanverfahren;
d. der Zugriff auf die in Farion gespeicherten Scanergebnisse.
Einzelne Analyseverfahren, Integrationen und optionale Funktionen können nach Maßgabe der Leistungsbeschreibung außerhalb der Kernplattform liegen.
II. Verfügbarkeitszusage
Nexode schuldet eine monatliche Verfügbarkeit der Farion-Kernplattform von 99,5 Prozent nach Maßgabe der nachfolgenden Regelungen.
Die Verfügbarkeit wird für jeden Kalendermonat nach folgender Formel berechnet:
Verfügbarkeit in Prozent = (Gesamtzeit des Kalendermonats abzüglich anrechenbarer Ausfallzeit) geteilt durch Gesamtzeit des Kalendermonats, multipliziert mit 100.
Die Verfügbarkeit wird am Übergabepunkt der Farion-Plattform gemessen.
Der Übergabepunkt befindet sich an den öffentlich erreichbaren Endpunkten der von Nexode betriebenen Plattform am Ausgang der von Nexode eingesetzten Rechenzentrums- und Netzwerkinfrastruktur.
Datenverbindungen, Internetzugänge, Unternehmensnetzwerke, Endgeräte und sonstige Systeme auf Seiten des Kunden liegen außerhalb des Übergabepunkts.
III. Anrechenbare Ausfallzeit
Anrechenbare Ausfallzeit liegt vor, wenn während eines nicht nur unerheblichen Zeitraums:
a. die Farion-Kernplattform am Übergabepunkt vollständig nicht erreichbar ist;
b. Scanaufträge für die überwiegende Zahl der Nutzer des Kunden nicht entgegengenommen werden können;
c. die zentrale Orchestrierung der gebuchten Scanverfahren so schwerwiegend beeinträchtigt ist, dass keine vertragsgemäße Scanverarbeitung möglich ist; oder
d. die wesentlichen gespeicherten Scanergebnisse für die überwiegende Zahl der Nutzer des Kunden nicht zugänglich sind.
Jeder dieser Fälle begründet für sich genommen anrechenbare Ausfallzeit.
Nicht jede Störung eines einzelnen Moduls ist eine vollständige Nichtverfügbarkeit.
Insbesondere gelten einzelne fehlgeschlagene Scans, verzögerte Scan-Verarbeitung, Wartezeiten in Scan-Warteschlangen oder die vorübergehende Nichtverfügbarkeit einer einzelnen optionalen Funktion nicht automatisch als Ausfallzeit der gesamten Kernplattform.
Solche Beeinträchtigungen können unabhängig davon einen nach den AGB zu behandelnden Fehler darstellen.
IV. Nicht anrechenbare Zeiten
Bei der Berechnung der Verfügbarkeit werden nicht berücksichtigt:
a. nach Abschnitt V angekündigte Wartungsarbeiten bis zu einem Umfang von insgesamt vier Stunden je Kalendermonat; darüber hinausgehende Wartungszeiten werden als anrechenbare Ausfallzeit berücksichtigt;
b. kurzfristig erforderliche Sicherheits- oder Notfallwartungen;
c. Störungen aufgrund höherer Gewalt;
d. Störungen in Kommunikationsnetzen oder Systemen außerhalb des Übergabepunkts;
e. Störungen vom Kunden ausgewählter Drittsysteme oder Integrationen;
f. Störungen, die auf einer fehlerhaften, nicht unterstützten oder vertragswidrigen Konfiguration durch den Kunden beruhen;
g. Einschränkungen aufgrund einer berechtigten Sperrung nach den AGB;
h. Beeinträchtigungen aufgrund einer erheblichen Überschreitung vereinbarter Nutzungsgrenzen;
i. ausdrücklich als Beta, Preview, Experimental oder Early Access gekennzeichnete Funktionen;
j. vereinbarte Tests, Notfallübungen oder sonstige Maßnahmen, denen der Kunde zugestimmt hat.
V. Wartungsarbeiten
Nexode kündigt planbare Wartungsarbeiten mindestens fünf Werktage vorher über Farion, per E-Mail oder über einen veröffentlichten Statuskanal an.
Nexode wird planbare Wartungsarbeiten nach Möglichkeit außerhalb der Zeit von Montag bis Freitag zwischen 08:00 und 18:00 Uhr (MEZ beziehungsweise MESZ) durchführen. Gesetzliche Feiertage am Sitz von Nexode gelten nicht als Werktage im Sinne dieses Abschnitts.
Sicherheitskritische oder zur Abwehr einer unmittelbaren Gefahr erforderliche Wartungsarbeiten können ohne vorherige Ankündigung durchgeführt werden.
Nexode wird Wartungsarbeiten nach Möglichkeit so planen und durchführen, dass die Beeinträchtigung des Kunden minimiert wird.
VI. Fehlerbehebung
Beim Auftreten von Fehlern an Farion wird Nexode unverzüglich nach Zugang einer hinreichend konkreten Fehlermeldung oder anderweitiger Kenntnisnahme vom Fehler mit der Fehleranalyse und Fehlerbehebung beginnen und diese in angemessener Frist abschließen.
Nexode ist berechtigt, zunächst eine geeignete Umgehungslösung bereitzustellen.
VII. Support
Der Kunde kann Fehler und Supportanfragen über die in Farion, der Bestellung oder der Leistungsbeschreibung bezeichneten Kommunikationskanäle melden.
Feste Reaktionszeiten, Wiederherstellungszeiten, Hotlines oder Bereitschaftsdienste gelten nur, wenn sie in der Bestellung oder einem besonderen Enterprise-SLA ausdrücklich vereinbart wurden.
VIII. Messung
Nexode ist berechtigt, für die Berechnung der Verfügbarkeit eigene Monitoring- und Statusdaten zu verwenden.
Der Kunde ist verpflichtet, ihm bekannte Störungen unverzüglich über die vorgesehenen Supportkanäle zu melden und Nexode die zur Untersuchung erforderlichen Informationen bereitzustellen.
IX. Service Credits
Eine Unterschreitung der Verfügbarkeitszusage begründet nicht automatisch einen Anspruch auf Service Credits.
Service Credits oder besondere Rechtsfolgen gelten nur, wenn sie in der Bestellung oder einem besonderen Enterprise-SLA ausdrücklich vereinbart wurden.
Die gesetzlichen und vertraglichen Rechte des Kunden bei einer von Nexode zu vertretenden wesentlichen Pflichtverletzung bleiben nach Maßgabe der AGB unberührt.
ANLAGE 2 ZU DEN FARION-AGB — Datenexport und Anbieterwechsel
I. Exporte während der Vertragslaufzeit
Der Kunde kann die in seinem gebuchten Paket unterstützten Exportfunktionen während der Vertragslaufzeit nutzen.
Die verfügbaren Formate, Datenstrukturen, Standards und bekannten technischen Einschränkungen ergeben sich aus der Leistungsbeschreibung und einem von Nexode bereitgestellten aktuellen Exportregister.
II. Einleitung eines Anbieterwechsels
Der Kunde kann Nexode in Textform mitteilen, dass er:
a. zu einem anderen Anbieter eines Datenverarbeitungsdienstes wechseln möchte;
b. seine exportierbaren Daten auf eine eigene oder von einem Dritten betriebene Infrastruktur übertragen möchte; oder
c. seine exportierbaren Daten nach Vertragsende löschen lassen möchte.
Die maximale Ankündigungsfrist für die Einleitung des Wechselprozesses beträgt zwei Monate. Die Parteien können einen früheren Beginn vereinbaren.
Die Mitteilung leitet den Wechselprozess ein und enthält zugleich das Beendigungsverlangen des Kunden. Der konkrete Zeitpunkt der Vertragsbeendigung richtet sich nach Abschnitt IV.
Für die Folgen einer Beendigung vor Ablauf einer vereinbarten festen Vertragslaufzeit gilt Ziffer 7.2 der AGB.
III. Übergangszeitraum
Der Wechselprozess wird grundsätzlich innerhalb eines Übergangszeitraums von höchstens 30 Kalendertagen nach Ablauf der maßgeblichen Ankündigungsfrist durchgeführt.
Die Parteien können vereinbaren, dass der Übergangszeitraum bereits vor Ablauf der Ankündigungsfrist beginnt.
Während des Übergangszeitraums bleibt der Vertrag anwendbar. Nexode:
a. stellt die vereinbarten Leistungen weiter bereit;
b. unterstützt den Kunden und von ihm autorisierte Dritte in angemessenem Umfang;
c. informiert über Nexode bekannte Risiken für die Kontinuität;
d. wahrt ein angemessenes Sicherheitsniveau während Export und Übertragung. Ist der Übergangszeitraum von 30 Kalendertagen technisch nicht durchführbar, informiert Nexode den Kunden innerhalb von 14 Arbeitstagen nach Eingang des Wechselverlangens, begründet die technische Undurchführbarkeit und nennt einen alternativen Übergangszeitraum.
Der alternative Übergangszeitraum darf sieben Monate nicht überschreiten.
Der Kunde kann den Übergangszeitraum einmal um einen von ihm für seine Zwecke als erforderlich angesehenen angemessenen Zeitraum verlängern.
IV. Beendigung im Zusammenhang mit dem Wechsel
Der Vertrag gilt hinsichtlich der betroffenen Leistung als beendet:
a. mit erfolgreichem Abschluss des Wechselprozesses; oder
b. nach Ablauf der maßgeblichen Ankündigungsfrist, wenn der Kunde keinen Wechsel, sondern ausschließlich die Löschung seiner exportierbaren Daten verlangt.
Kann der Wechsel bis zum Ende des maßgeblichen Übergangszeitraums einschließlich einer Verlängerung nach Abschnitt III nicht erfolgreich abgeschlossen werden, kann der Kunde vor Ablauf des maßgeblichen Übergangszeitraums in Textform erklären, dass:
a. der Übergangszeitraum nach Maßgabe des Abschnitts III verlängert werden soll, soweit die Voraussetzungen hierfür vorliegen;
b. der bestehende Vertrag fortgesetzt werden soll; oder
c. der Vertrag hinsichtlich der betroffenen Leistung mit Ablauf des maßgeblichen Übergangszeitraums endet.
Nexode weist den Kunden spätestens zehn Kalendertage vor Ablauf des maßgeblichen Übergangszeitraums in Textform auf den bevorstehenden Ablauf und auf die Wahlmöglichkeiten nach dem vorstehenden Absatz hin.
Gibt der Kunde keine entsprechende Erklärung ab, wird der Vertrag zunächst fortgesetzt. Der Kunde kann den fortgesetzten Vertrag hinsichtlich der betroffenen Leistung jederzeit mit einer Frist von 30 Kalendertagen in Textform kündigen.
Die Parteien können vereinbaren, dass der Wechsel mit dem Ende einer vereinbarten Vertragslaufzeit zusammenfällt.
V. Datenabruf nach Vertragsende
Nach Beendigung des Übergangszeitraums beziehungsweise nach dem sonstigen Vertragsende stellt Nexode dem Kunden für mindestens 30 Kalendertage einen Abruf seiner exportierbaren Daten zur Verfügung.
Nexode kann hierfür einen eingeschränkten, insbesondere nur lesenden Zugang oder einen gesonderten Exportweg bereitstellen.
Der Kunde kann auf den weiteren Datenabruf verzichten und Nexode in Textform zur früheren Löschung der Daten anweisen.
VI. Exportierbare Datenkategorien
Zu den exportierbaren Daten gehören, soweit sie im Kundenkonto vorhanden und gespeichert sind:
a. vom Kunden eingegebene Workspace-, Anwendungs-, Service-, Repository-, Branch- und Projektmetadaten;
b. vom Kunden konfigurierte Analyse-, Policy-, Ausnahme- und Workflow-Einstellungen, ausgenommen geheime Zugangsdaten;
c. SCA-, SAST-, DAST- und Secret-Scanning-Findings;
d. CVE-, CWE- und sonstige öffentlich verwendbare Advisory-Zuordnungen;
e. angezeigte Severity-, Reachability-, AI-Exploitability-, FVR- und sonstige finale Bewertungsergebnisse;
f. Status, Prioritäten, Zuweisungen, Fristen, Kommentare und Bearbeitungshistorien;
g. dem Kunden angezeigte Code-Evidence, Dataflow-, Call- und Dependency Paths, soweit diese als Ergebnis in Farion gespeichert sind;
h. Scanzeitpunkte, Scanstatus und kundenbezogene Scan-Historien;
i. SBOMs, VEX-Daten und zugehörige kundenbezogene Metadaten;
j. ermittelte Lizenzinformationen, verfügbare Lizenztexte, Policy-Ergebnisse und License-Compliance Reports;
k. generierte Reports und exportierbare Remediation- beziehungsweise Patch-Vorschläge;
l. Benutzer-, Rollen- und kundenbezogene Auditinformationen, soweit der Kunde zu deren Erhalt berechtigt ist und datenschutzrechtliche Vorgaben dies zulassen;
m. sonstige vom Kunden eingegebene und zum Exportzeitpunkt noch in Farion gespeicherte Inhalte.
VII. Nicht exportierbare interne Datenkategorien
Nicht zu den exportierbaren Daten gehören:
a. vollständige interne Property Graphs;
b. proprietäre interne Zwischen- und Analyseformate;
c. vollständige interne Dataflow-, Taint-, Call- und Programmanalysegraphen, soweit sie über die dem Kunden angezeigte Evidence hinausgehen;
d. Scannerregeln, Erkennungssignaturen und interne Detection-Logik;
e. Prompts, Prompt-Templates, interne Agentenzustände und Orchestrierungslogik;
f. Modellparameter, Modellgewichte und Trainingsdaten;
g. interne Scoring-, Ranking- und Priorisierungsformeln, soweit nicht das finale kundenbezogene Ergebnis betroffen ist;
h. proprietäre interne Vulnerability-Knowledge-Graphen und Datenanreicherungen;
i. interne Debug-, Monitoring-, Telemetrie-, Missbrauchserkennungs- und Sicherheitsdaten, soweit diese keine für den Kunden bestimmten Auditdaten darstellen;
j. Sicherungskopien und technische Replikate;
k. geheime Zugangsdaten, Tokens und Schlüssel, soweit deren Export die Sicherheit gefährden würde;
l. Inhalte aus Drittquellen, soweit Nexode nicht zu deren Weitergabe berechtigt ist. Zugehörige Identifikatoren, kundenbezogene Zuordnungen und öffentlich verfügbare Verweise bleiben hiervon unberührt.
Der Ausschluss interner Daten darf nicht dazu führen, dass dem Kunden die ihm angezeigten finalen Ergebnisse und die ihm angezeigte Evidence vorenthalten werden.
Die Ausnahmen dürfen nicht dazu verwendet werden, den Anbieterwechsel unangemessen zu behindern oder zu verzögern.
VIII. Formate und technische Unterstützung
SBOMs werden, soweit die Funktion gebucht ist, im CycloneDX-Format exportiert.
Andere Daten werden in den von Farion unterstützten strukturierten, gängigen und maschinenlesbaren Formaten bereitgestellt.
Nexode veröffentlicht und aktualisiert ein Exportregister mit Angaben zu verfügbaren Datenstrukturen, Datenformaten, Standards und bekannten technischen Einschränkungen.
Nexode ist nicht verpflichtet, für einen einzelnen Kunden neue Technologien, individuelle Konverter oder kundenspezifische Schnittstellen zu entwickeln.
Nexode ist ebenfalls nicht verpflichtet, geistiges Eigentum, Geschäftsgeheimnisse oder sicherheitskritische interne Systeme offenzulegen oder die Farion-Software, Scanner, Modelle oder eine funktional gleichwertige Analyseplattform an den Kunden oder einen Zielanbieter zu übertragen.
IX. Kosten
Standardexporte und die gesetzlich erforderliche Unterstützung beim Anbieterwechsel werden nicht gesondert berechnet.
Individuell beauftragte Leistungen, die über die gesetzlich und vertraglich geschuldete Standardunterstützung hinausgehen, insbesondere kundenspezifische Datenaufbereitung, individuelle Migration, Beratung oder Integration in ein Zielsystem, können gesondert vergütet werden.
X. Löschung
Nach Ablauf des Datenabrufzeitraums oder nach einer früheren Löschanweisung des Kunden löscht Nexode die exportierbaren Kundendaten aus den aktiven Systemen unverzüglich, regelmäßig innerhalb von 14 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten oder ausdrücklich vereinbarten längeren Fristen bestehen.
Daten in Sicherungskopien werden nach Maßgabe des Auftragsverarbeitungsvertrags und der dort einbezogenen technischen und organisatorischen Maßnahmen innerhalb der vorgesehenen Sicherungs und Löschzyklen überschrieben.
Gesetzlich aufzubewahrende Abrechnungs-, Vertrags- und Nachweisdaten bleiben von der Löschung unberührt.
XI. Nicht produktionsreife Test- und Evaluierungsversionen
Wird Farion ausdrücklich als nicht produktionsreife Version, insbesondere als Beta-, Preview- oder Vorabversion, ausschließlich zu Test- und Bewertungszwecken und für einen begrenzten Zeitraum bereitgestellt, kann die Bestellung abweichende Wechsel-, Abruf- und Löschfristen vorsehen, soweit dies gesetzlich zulässig ist.
Nexode informiert den Kunden in diesem Fall vor Vertragsschluss darüber, welche gesetzlichen Anbieterwechselpflichten nicht gelten.
Für Tests, Piloten und Evaluierungen auf der produktiven Farion-Plattform gelten die Abschnitte I bis X uneingeschränkt, auch wenn die Nutzung unentgeltlich oder befristet erfolgt.