AVV
Vereinbarung über die Verarbeitung personenbezogener Daten
Zwischen
(1) Forgent AI GmbH, Humboldtinsel 33, 13507 Berlin (nachfolgend „Auftragsverarbeiter“; Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO)
und
(2) dem Kunden in seiner im Hauptvertrag (Service Order nebst Allgemeinem Vertragsteil) bezeichneten Identität (nachfolgend „Auftraggeber"; Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)
– nachfolgend gemeinsam „Parteien“ und einzeln „Partei“ –
wird dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) geschlossen.
Soweit in untenstehendem AVV der Begriff „Kunde“ verwendet wird, ist damit stets der Auftraggeber gemeint.
PRÄAMBEL
Der Auftragsverarbeiter ist ein Anbieter von Software- und Produktlösungen im Bereich der künstlichen Intelligenz („KI"), insbesondere mit Fokus auf Beschaffung und Ausschreibungen. Der Auftragsverarbeiter bietet dem Kunden Zugang zu KI-Softwaretools, die die Identifizierung, Verwaltung und Durchführung von Ausschreibungsmöglichkeiten durch Automatisierung relevanter administrativer und analytischer Aufgaben unterstützen („Leistung"), gemäß dem Hauptvertrag zwischen den Parteien („Hauptvertrag").
Im Rahmen der Durchführung des Hauptvertrags stellt der Kunde (als Verantwortlicher) dem Auftragsverarbeiter personenbezogene Daten zur Verfügung („personenbezogene Daten des Kunden"), die der Auftragsverarbeiter im Auftrag des Kunden verarbeitet.
Soweit dieser AVV Begriffe verwendet, die in der DSGVO definiert sind, haben diese die ihnen in der DSGVO festgelegte Bedeutung.
Gegenstand und Umfang des AVV
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Kunden im Auftrag und nach Weisung des Kunden (Auftragsverarbeitung im Sinne von Art. 28 DSGVO). Der Kunde bleibt Verantwortlicher.
Umfang, Art und Zweck der Verarbeitung der personenbezogenen Daten des Kunden durch den Auftragsverarbeiter sind im Hauptvertrag und in Anlage 1 zu diesem AVV festgelegt; die Verarbeitung bezieht sich auf die dort genannten Arten der personenbezogenen Daten und Kategorien betroffener Personen. Die personenbezogenen Daten umfassen keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO.
Die Parteien schließen diesen AVV, um die gegenseitigen Rechte und Pflichten nach der DSGVO zu konkretisieren. Im Zweifel haben die Bestimmungen dieses AVV Vorrang vor den Bestimmungen des Hauptvertrags in Bezug auf die Verarbeitung der personenbezogenen Daten des Kunden.
Der Auftragsverarbeiter verpflichtet sich ausdrücklich, dass die über die Leistung verarbeiteten vertraulichen geschäftlichen Informationen des Kunden, einschließlich, aber nicht beschränkt auf Ausschreibungsunterlagen, Angebote, Preisinformationen, Angebotsstrategien und sonstige inhaltliche Unterlagen („Kundeninhalte"), NICHT verwendet werden für:
Training, Verbesserung oder Entwicklung von KI-Modellen, die anderen Kunden zugänglich sind
Erstellung von Branchen-Benchmarks oder Wettbewerbsanalysen
Jeder andere Zweck als die Erbringung der vertraglich geschuldeten Leistung für diesen Kunden
Diese Verpflichtung gilt unabhängig davon, ob Kundeninhalte personenbezogene Daten enthalten.
Der Kunde kann auf freiwilliger Basis und nur aufgrund einer gesonderten Vereinbarung sowie ausdrücklicher Einwilligung an optionalen Datenaustauschprogrammen teilnehmen. Solche Programme unterliegen separaten Bedingungen; die Leistung für nicht teilnehmende Kunden bleibt hiervon unberührt.
Der Auftragsverarbeiter darf Nutzungsdaten für eigene Zwecke (als Verantwortlicher) verarbeiten, soweit dies aufgrund einer gesetzlichen Erlaubnis oder einer Einwilligung der betroffenen Person zulässig ist. Dies umfasst insbesondere:
Technische Nutzungsinformationen (Funktionsnutzung, Performance-Kennzahlen, Fehlerprotokolle)
Benutzerinteraktionsmuster (Navigationspfade, Funktionspräferenzen, Sitzungsdauer)
Systemfeedback-Daten (Genauigkeitsbewertungen, Fehlerkorrekturen – unter Ausschluss der zugrunde liegenden Kundeninhalte)
Such- und Abfragemuster (verwendete Suchbegriffe, Filterkombinationen, Sortierpräferenzen – unter Ausschluss der konkreten Ausschreibungsinhalte)
Dokumentenverarbeitungsmetadaten (Dateitypen, Dateigrößen, Verarbeitungszeiten, Seitenanzahl – unter Ausschluss der Dokumenteninhalte)
Integrations- und API-Nutzung (genutzte Integrationen, API-Aufrufmuster, Datensynchronisierungsfrequenzen)
Zeitliche Nutzungsmuster (Anmeldezeiten, Spitzennutzungszeiten, saisonale Funktionsnutzung)
Modellleistungsmetriken (Inferenzzeiten, Konfidenzbewertungen, Ressourcenverbrauch – unter Ausschluss von Eingabe- und Ausgabeinhalten)
User-Journey-Analysen (Onboarding-Abschlussraten, Funktionsadoptionssequenzen, Time-to-Value-Kennzahlen)
Support-Interaktionsmetadaten (Ticketkategorien, Lösungszeiten, FAQ-Nutzung – unter Ausschluss der Inhalte einzelner Supportfälle)
Zusammenarbeitsmuster (Teamgröße, Häufigkeit der Freigaben, Berechtigungsmuster – unter Ausschluss der geteilten Inhalte)
Sonstige technische Metadaten, die für den Betrieb, die Sicherheit und die Leistungsoptimierung erforderlich sind und keine Kundeninhalte enthalten oder offenbaren
Eine solche Nutzungsdatenverarbeitung erfolgt ausschließlich für:
Erfüllung des Hauptvertrags
Technische Verbesserung und Optimierung der Leistung
Bereitstellung von Nutzungsanalysen für den Kunden
IT- und Datensicherheitszwecke
Fehlerdiagnose und -behebung
Der Auftragsverarbeiter verpflichtet sich, auch bei Verarbeitung als Verantwortlicher die in Abschnitt 5 dieses AVV vorgesehenen Datenschutzmaßnahmen in gleicher Weise anzuwenden. Der Auftragsverarbeiter darf Nutzungsdaten (wie in Abschnitt 2.5 definiert) anonymisieren und aggregieren, sodass eine Identifizierung einzelner betroffener Personen oder bestimmter Kunden nicht mehr möglich ist, und diese Daten zur Verbesserung der Leistung verwenden. Solche anonymisierten und aggregierten Daten:
Schließen alle Kundeninhalte aus
Lassen keine Rückschlüsse auf einzelne Kunden oder betroffene Personen zu
Gelten für die Zwecke dieses AVV nicht als personenbezogene Daten
Die Verarbeitung der personenbezogenen Daten des Kunden durch den Auftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union oder eines anderen Vertragsstaats des Europäischen Wirtschaftsraums (EWR). Eine Verarbeitung außerhalb des EWR ist zulässig, sofern der Auftragsverarbeiter den Kunden vorab über den Ort der Verarbeitung informiert und die Voraussetzungen der Art. 44 bis 48 DSGVO erfüllt sind oder ein Ausnahmetatbestand nach Art. 49 DSGVO eingreift.
Pflichten des Kunden
Der Kunde ist als Verantwortlicher allein für die Beurteilung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen im Verhältnis zwischen den Parteien verantwortlich; dies gilt unbeschadet der gesetzlichen Pflichten des Auftragsverarbeiters sowie seiner Unterstützungs- und Mitwirkungspflichten nach diesem AVV.
Auf Anfrage stellt der Kunde dem Auftragsverarbeiter die in Art. 30 Abs. 2 DSGVO genannten Informationen zur Verfügung, soweit sie dem Auftragsverarbeiter nicht selbst vorliegen.
Sofern der Auftragsverarbeiter verpflichtet ist, einer Behörde oder sonstigen öffentlichen Stelle Auskunft über die Verarbeitung der personenbezogenen Daten des Kunden zu erteilen oder in sonstiger Weise mit diesen Stellen zu kooperieren, ist der Kunde verpflichtet, den Auftragsverarbeiter auf erstes Anfordern bei der Erteilung solcher Auskünfte und bei der Erfüllung sonstiger Mitwirkungspflichten zu unterstützen.
Weisungsrecht
Der Auftragsverarbeiter darf die personenbezogenen Daten des Kunden nur im Rahmen des Hauptvertrags, dieses AVV und nach Weisung des Kunden verarbeiten. Ist der Auftragsverarbeiter aufgrund des Rechts der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer weitergehenden Verarbeitung der personenbezogenen Daten des Kunden verpflichtet, teilt der Auftragsverarbeiter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit dies rechtlich zulässig ist.
Die Weisungen des Kunden sind zunächst im Hauptvertrag und diesem AVV festgelegt und können vom Kunden nachträglich in Textform durch Einzelweisungen geändert, ergänzt oder ersetzt werden. Der Kunde ist berechtigt, entsprechende Weisungen jederzeit zu erteilen. Dies umfasst insbesondere Weisungen zur Berichtigung und Löschung der personenbezogenen Daten des Kunden sowie zur Einschränkung der Verarbeitung. Für beide Parteien sind zur Erteilung bzw. Entgegennahme von Weisungen ausschließlich bevollmächtigte Personen berechtigt, sofern die Parteien nichts Abweichendes vereinbaren.
Sämtliche erteilten Weisungen sind vom Kunden und vom Auftragsverarbeiter in Textform zu dokumentieren. Weisungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen, werden als Änderungsantrag behandelt und unterliegen dem im Hauptvertrag geregelten Änderungsverfahren.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Kunden gegen diesen AVV oder geltende Datenschutzvorschriften verstößt, hat er den Kunden unverzüglich zu informieren. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie vom Kunden bestätigt oder geändert wird.
Schutzmaßnahmen des Auftragsverarbeiters
Der Auftragsverarbeiter gestaltet in seinem Verantwortungsbereich seine interne Organisation so, dass sie den besonderen Anforderungen der geltenden Datenschutzgesetze entspricht. Der Auftragsverarbeiter ist verpflichtet, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der personenbezogenen Daten des Kunden sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen zu treffen, mindestens einschließlich der in Anlage 2 aufgeführten Maßnahmen, und diese für die Laufzeit dieses AVV aufrechtzuerhalten. Eine vollständige Übersicht aller technischen und organisatorischen Maßnahmen, einschließlich etwaiger zusätzlicher Maßnahmen über die in Anlage 2 aufgeführten hinaus, ist im Trust Center des Auftragsverarbeiters zu finden (hier: https://trust.forgent.ai/).
Die technischen und organisatorischen Maßnahmen können an zukünftige technologische Entwicklungen angepasst werden. Die angepassten Maßnahmen müssen mindestens dem Sicherheitsniveau der in Anlage 2 vereinbarten Maßnahmen entsprechen. Der Auftragsverarbeiter informiert den Kunden über wesentliche Änderungen in Textform.
Beim Auftragsverarbeiter tätigen Personen ist es untersagt, personenbezogene Daten des Kunden ohne Berechtigung zu verarbeiten. Der Auftragsverarbeiter verpflichtet alle Personen, die mit der Verarbeitung personenbezogener Daten des Kunden oder der Erfüllung dieses AVV befasst sind, entsprechend und belehrt sie über die besonderen datenschutzrechtlichen Pflichten aus diesem AVV sowie über die bestehende Weisungs- und Zweckbindung. Der Auftragsverarbeiter verpflichtet diese Personen zur Vertraulichkeit in Bezug auf die Verarbeitung personenbezogener Daten des Kunden.
Anfragen und Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren und erforderlichen Umfang durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten des Kunden gemäß Art. 12 bis 22 DSGVO; etwaige zusätzliche Aufwände und Kosten des Auftragsverarbeiters sind vom Kunden zu erstatten.
Macht eine betroffene Person Betroffenenrechte unmittelbar gegenüber dem Auftragsverarbeiter geltend, verweist dieser die betroffene Person unverzüglich an den Kunden, informiert sie über seine Rolle als Auftragsverarbeiter und leitet das Ersuchen an den Kunden weiter; eine eigenständige inhaltliche Beantwortung erfolgt nur auf Weisung des Kunden.
Unterstützungs- und Mitteilungspflichten des Auftragsverarbeiters
Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Kunden gemäß Art. 32 DSGVO.
Soweit der Kunde aufgrund einer Verletzung des Schutzes der personenbezogenen Daten des Kunden einer gesetzlichen Meldepflicht unterliegt (insbesondere gemäß Art. 33, 34 DSGVO), informiert der Auftragsverarbeiter den Kunden unverzüglich über meldepflichtige Ereignisse in seinem Verantwortungsbereich. Der Auftragsverarbeiter unterstützt den Kunden auf dessen Anfrage bei der Erfüllung der Meldepflichten im zumutbaren und erforderlichen Umfang gegen Erstattung der dem Auftragsverarbeiter dadurch entstehenden zusätzlichen Aufwendungen und Kosten.
Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren und erforderlichen Umfang bei der Durchführung von Datenschutz-Folgenabschätzungen sowie – falls erforderlich – bei anschließenden Konsultationen mit der Aufsichtsbehörde gemäß Art. 35, 36 DSGVO; etwaige zusätzliche Aufwände und Kosten des Auftragsverarbeiters sind vom Kunden zu erstatten.
Kontrollrechte des Kunden
Der Auftragsverarbeiter stellt dem Kunden auf dessen Anfrage sämtliche ihm verfügbaren Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten des Auftragsverarbeiters aus diesem AVV erforderlich sind.
Der Kunde ist berechtigt, den Auftragsverarbeiter hinsichtlich der Einhaltung der Bestimmungen dieses AVV zu prüfen; dies umfasst insbesondere die Überprüfung der Umsetzung der technischen und organisatorischen Maßnahmen einschließlich Inspektionen.
Der Kunde führt Inspektionen nur im erforderlichen Umfang und gegen Erstattung zusätzlicher Kosten und Aufwände durch. Inspektionen dürfen die betrieblichen Abläufe des Auftragsverarbeiters nicht unverhältnismäßig stören. Nach rechtzeitiger Vorankündigung gemäß Abschnitt 8.4 ist der Kunde zur Durchführung von Inspektionen berechtigt, die Geschäftsräume des Auftragsverarbeiters, in denen personenbezogene Daten des Kunden verarbeitet werden, während der üblichen Geschäftszeiten (Montag bis Freitag von 9:00 bis 18:00 Uhr MEZ/MESZ) auf eigene Kosten, ohne Störung des Geschäftsbetriebs und unter strikter Wahrung der Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters zu betreten.
Der Kunde informiert den Auftragsverarbeiter mindestens zwei Wochen im Voraus über die Einzelheiten und Modalitäten der Durchführung der Prüfung. Der Kunde darf eine Prüfung pro Kalenderjahr durchführen. Diese Regelung gilt nicht für Prüfungen nach einem Sicherheitsvorfall, der die Voraussetzungen des Art. 33 oder Art. 34 DSGVO erfüllt.
Der Auftragsverarbeiter ist berechtigt, im Rahmen der Prüfung Informationen nicht offenzulegen, soweit dies zum Schutz von Betriebs- und Geschäftsgeheimnissen oder sonstigen vertraulichen Informationen erforderlich ist oder eine Offenlegung gegen gesetzliche Vorschriften oder vertragliche Pflichten verstoßen würde. Gesetzliche Prüfungs- und Auskunftsrechte des Kunden bleiben unberührt. Der Kunde ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragsverarbeiters, Kosteninformationen, Qualitätskontroll- und Vertragsmanagementberichte oder sonstige vertrauliche Daten des Auftragsverarbeiters zu erhalten, soweit diese für die vereinbarten Prüfungszwecke nicht unmittelbar relevant sind.
Beauftragt der Kunde einen Dritten mit der Durchführung der Prüfung, verpflichtet der Kunde den Dritten schriftlich in gleicher Weise, wie der Kunde gegenüber dem Auftragsverarbeiter gemäß diesem Abschnitt des AVV verpflichtet ist. Darüber hinaus verpflichtet der Kunde den Dritten zur Geheimhaltung und Vertraulichkeit, sofern der Dritte nicht bereits einer beruflichen Verschwiegenheitspflicht unterliegt. Auf Verlangen des Auftragsverarbeiters übermittelt der Kunde dem Auftragsverarbeiter unverzüglich eine Kopie der Verpflichtungsvereinbarung mit dem Dritten. Der Kunde darf keinen Wettbewerber des Auftragsverarbeiters mit der Durchführung der Prüfung beauftragen.
Der Kunde dokumentiert die Ergebnisse der von ihm durchgeführten oder beauftragten Prüfungen und informiert den Auftragsverarbeiter über deren Ergebnis. Stellt der Kunde während der Prüfung Fehler oder Unregelmäßigkeiten fest, informiert er den Auftragsverarbeiter unverzüglich. Werden im Rahmen der Prüfung Umstände festgestellt, die zur Vermeidung vergleichbarer Vorkommnisse künftig Änderungen des beauftragten Verfahrens erfordern, teilt der Kunde dem Auftragsverarbeiter die erforderlichen Verfahrensänderungen unverzüglich mit.
Nach (pflichtgemäßem) Ermessen des Auftragsverarbeiters kann der Nachweis der Einhaltung der Verpflichtungen aus diesem AVV anstelle einer Inspektion durch die Vorlage eines geeigneten und aktuellen Gutachtens oder Berichts einer unabhängigen Stelle (z. B. Wirtschaftsprüfer, Revisionsabteilung, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzprüfer oder Qualitätsprüfer) oder durch eine geeignete Zertifizierung im Bereich IT-Sicherheit oder Datenschutz (z. B. nach BSI-Grundschutz) erbracht werden. Dies gilt, sofern der Prüfbericht dem Kunden in angemessener Weise ermöglicht, sich von der Einhaltung der vertraglichen Verpflichtungen zu überzeugen, und sofern zwingendes Recht nichts Abweichendes vorsieht.
Einsatz von Unterauftragsverarbeitern
Der Kunde erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Unterauftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Kunden. Die im Trust Center des Auftragsverarbeiters (abrufbar unter https://trust.forgent.ai) aufgeführten Unterauftragsverarbeiter gelten als vom Kunden genehmigt. Der Auftragsverarbeiter ist berechtigt, im Rahmen seiner vertraglichen Verpflichtungen weitere Unterauftragsverhältnisse mit Unterauftragsverarbeitern zu begründen. Der Auftragsverarbeiter ist verpflichtet, Unterauftragsverarbeiter sorgfältig nach ihrer Eignung und Zuverlässigkeit auszuwählen.
Der Auftragsverarbeiter informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern rechtzeitig in Textform (z. B. per E-Mail oder über eine im Trust Center abonnierbare Benachrichtigung). Im Einzelfall hat der Kunde das Recht, der Beauftragung eines potenziellen Unterauftragsverarbeiters zu widersprechen. Ein Widerspruch kann nur aus wichtigen Gründen erhoben werden, die näher zu klären sind. Soweit der Kunde nicht innerhalb von 14 Tagen nach Erhalt der Mitteilung in Textform widerspricht, erlischt sein Widerspruchsrecht gegen die entsprechende Beauftragung. Widerspricht der Kunde, ist der Auftragsverarbeiter berechtigt, den Hauptvertrag und diesen AVV mit einer Kündigungsfrist von drei Monaten zu kündigen.
Die Vereinbarung zwischen dem Auftragsverarbeiter und dem weiteren Unterauftragsverarbeiter muss dieselben Pflichten auferlegen, wie sie dem Auftragsverarbeiter nach diesem AVV obliegen. Die Parteien sind sich einig, dass diese Anforderung erfüllt ist, wenn der Vertrag ein dem AVV entsprechendes Schutzniveau gewährleistet.
Vorbehaltlich der Einhaltung der Anforderungen gemäß Abschnitt 2.7 gelten die Bestimmungen dieses Abschnitts auch, wenn ein weiterer Unterauftragsverarbeiter in einem Drittland einbezogen wird. Die Parteien sind sich einig, dass in diesem Fall die Anforderungen gemäß Abschnitt 9.3 erfüllt sind, wenn die anwendbaren EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer mit dem weiteren Unterauftragsverarbeiter im Drittland abgeschlossen werden. Der Kunde erklärt seine Bereitschaft, bei der Erfüllung der Anforderungen des Art. 49 DSGVO im erforderlichen Umfang mitzuwirken.
Die Beauftragung Dritter mit Leistungen, die als reine Nebenleistungen des Auftragsverarbeiters anzusehen sind, stellt kein Unterauftragsverhältnis im Sinne dieser Bestimmungen dar. Dies umfasst beispielsweise Post-, Transport- und Versanddienstleistungen, Reinigungsdienste, Telekommunikationsdienstleistungen ohne spezifischen Bezug zu Leistungen, die der Auftragsverarbeiter für den Kunden erbringt, sowie Sicherheitsdienste und sonstige Maßnahmen zur Gewährleistung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hardware und Software von Datenverarbeitungssystemen. Die Pflicht des Auftragsverarbeiters, die Einhaltung von Datenschutz und Datensicherheit in diesen Fällen sicherzustellen, bleibt unberührt.
Haftung
Es gelten die Haftungsbeschränkungen des Hauptvertrags.
Soweit Dritte Ansprüche gegen den Auftragsverarbeiter geltend machen, die auf einer schuldhaften Verletzung dieses AVV oder einer Pflicht des Kunden als Verantwortlicher nach der DSGVO beruhen, stellt der Kunde den Auftragsverarbeiter von diesen Ansprüchen frei und hält ihn schadlos.
Der Kunde verpflichtet sich, den Auftragsverarbeiter von gegen ihn verhängten Bußgeldern freizustellen, in dem Umfang, in dem diese auf einem Verstoß beruhen, für den der Kunde (mit-)verantwortlich ist.
Laufzeit und Kündigung
Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags, sofern dieser AVV nichts Abweichendes erfordert.
Die Beendigung dieses AVV richtet sich nach den jeweiligen Bestimmungen des Hauptvertrags. Mit Beendigung des Hauptvertrags endet dieser AVV. Eine gesonderte Kündigung dieses AVV ist ausgeschlossen.
Löschung der personenbezogenen Daten des Kunden
Nach Beendigung des Hauptvertrags oder jederzeit auf schriftliches Verlangen des Kunden (Textform ist ausreichend) löscht der Auftragsverarbeiter sämtliche ihm vom Kunden überlassenen personenbezogenen Daten, sofern er nicht aufgrund gesetzlicher Aufbewahrungspflichten zu einer weiteren Speicherung verpflichtet ist.
Schlussbestimmungen
Dieser AVV ist Bestandteil des Hauptvertrags und wird mit dessen Abschluss (Unterzeichnung der Service Order) zwischen den Parteien wirksam; eine gesonderte Unterzeichnung dieses AVV ist nicht erforderlich. Mit Unterzeichnung der Service Order bestätigt der Kunde, diesen AVV in seiner zum Zeitpunkt des Vertragsschlusses auf der Website von Forgent AI GmbH veröffentlichten Fassung zur Kenntnis genommen zu haben und als verbindlich anzuerkennen.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden oder eine Lücke aufweisen, bleiben die übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine rechtlich zulässige Bestimmung zu ersetzen, die dem Zweck der unwirksamen Bestimmung am nächsten kommt und dabei die Anforderungen des Art. 28 DSGVO erfüllt.
Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem AVV ist Berlin, Deutschland. Der Auftragsverarbeiter ist darüber hinaus berechtigt, den Kunden am Sitz des Kunden oder vor einem zuständigen Gericht zu verklagen.
Es gilt das Recht der Bundesrepublik Deutschland.
Anlagen zu diesem AVV
Anlage 1: Beschreibung der Datenarten und Kategorien betroffener Personen
Anlage 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters
Anlage 3: Genehmigte Unterauftragsverarbeiter
Anlage 1: Beschreibung der Datenarten und Kategorien betroffener Personen
Betroffene Personen und Personengruppen
Insbesondere:
• Beschäftigte, Freiberufler und Vertreter des Kunden
• Beschäftigte und Vertreter der Kunden des Kunden (z. B. öffentliche Auftraggeber (ausschreibende Stelle))
Datenarten oder Datenkategorien
Insbesondere:
• Kontodaten (Name, geschäftliche E-Mail-Adresse, IP-Adresse, Telefonnummer)
• Zahlungsdaten (Name, Rechnungsadresse, E-Mail-Adresse)
• Kommunikationsdaten
• Zugangs- und Nutzungsdaten
• Berufserfahrungsdaten (einschl. Ausbildung, frühere/aktuelle Arbeitgeber)
• Kontaktdaten (Name, E-Mail-Adresse und Telefonnummer, Adresse)
Art und Zweck der Verarbeitung
Art der Verarbeitung:
• Erhebung, Nutzung, Speicherung, Anonymisierung und Löschung personenbezogener Daten
Zweck der Verarbeitung:
• Bereitstellung der Leistungen des Auftragsverarbeiters über das Internet (d. h. SaaS-Vertrieb, KI-gestützte Analyse von Ausschreibungsunterlagen)
• Bereitstellung von Support-Leistungen für den Kunden und seine Beschäftigten
Anlage 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters
§ 1 Vertraulichkeit gemäß Art. 32 Abs. 1 DSGVO
(1) Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten des Kunden verarbeitet oder genutzt werden, zu verwehren:
Technische Maßnahmen
X Manuelles Schließsystem
X Automatisches Zugangskontrollsystem
X Zugangsprotokollierung
Organisatorische Maßnahmen
X Schlüsselregelung/-liste
X Begleitung von Besuchern durch Beschäftigte
X Sorgfältige Auswahl des Reinigungsdienstes
X Regelmäßige Überprüfung der Zugangsberechtigungen
X Dienstanweisungen zum Umgang mit Zugangskontrollen
X Besucherbuch
X Begleitung von Besuchern durch Beschäftigte
(2) Zugangskontrolle
Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:
Technische Maßnahmen
X Anmeldung mit Benutzername und Passwort
X Passwort selbst durch Hash-Funktionen oder ähnliche Verfahren gesichert
X Sperrung des Benutzerkontos nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche
X Systemseitige Verpflichtung zur Einhaltung von Passwortrichtlinien
X Verschlüsselung von Datenträgern
X Firewall
X Intrusion Detection System
X Protokollierung von Fernzugriffen
X BitLocker oder andere Notebooks-/Tablets-Verschlüsselung
Organisatorische Maßnahmen
X Verwaltung von Benutzerberechtigungen
X Richtlinie 'Sicheres Passwort'
X Vergabe von Benutzerberechtigungen nach dem Need-to-know-Prinzip
X Richtlinie 'Datenschutz und/oder Informationssicherheit'
X Richtlinie 'Mobile Geräte'
X Richtlinie 'Mobiles Arbeiten'
X Verwendung von 2-Faktor-Authentifizierung für Fernzugriff
(3) Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten des Kunden zugreifen können und dass personenbezogene Daten des Kunden bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
Technische Maßnahmen
X Protokollierung von Zugriffen auf Anwendungsebene (Eingabe, Änderung, Löschung)
X Authentifizierung über IDP, SAML 2.0, OAuth 2.0
Organisatorische Maßnahmen
X Verwaltung von Benutzerrechten durch Administratoren
X 2-Faktor-Authentifizierung für Administratoren
(4) Trennungskontrolle
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten des Kunden getrennt verarbeitet werden:
Technische Maßnahmen
X Trennung von Produktions- und Testumgebung
X E-Mail-Verschlüsselung (Ende-zu-Ende oder Transport)
X Logische Mandantentrennung
X Laufwerksverschlüsselung
Organisatorische Maßnahmen
X Definition von Datenbankrechten
X Datensätze werden mit Zweckattributen versehen
§ 2 Pseudonymisierung und Verschlüsselung gemäß Art. 32 Abs. 1 lit. a und Art. 25 Abs. 1 DSGVO
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen:
Technische Maßnahmen
Pseudonymisierung: Trennung der Zuordnungsdaten und Speicherung in separaten und sicheren Systemen (möglichst verschlüsselt)
Organisatorische Maßnahmen
Interne Anweisung zur Anonymisierung/Pseudonymisierung personenbezogener Daten des Kunden nach Übermittlung oder nach Ablauf der gesetzlichen Löschfrist
§ 3 Vertraulichkeit (Beschäftigtenbelehrung), Art. 32 Abs. 1 lit. b DSGVO
Maßnahmen, die gewährleisten, dass Beschäftigte hinreichend auf die geltenden rechtlichen Verpflichtungen hingewiesen werden:
Technische Maßnahmen
Organisatorische Maßnahmen
X Datenschutzschulung für neue Beschäftigte erfolgt zeitnah
X Informationssicherheitsschulungen werden regelmäßig durchgeführt
X Relevante Richtlinien sind leicht auffindbar
X Sensibilisierung der Beschäftigten für den Umgang mit personenbezogenen Daten des Kunden im Umgang mit externen Partnern
§ 4 Integrität gemäß Art. 32 Abs. 1 DSGVO
(1) Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten des Kunden durch Einrichtungen zur Datenübertragung vorgesehen ist:
Technische Maßnahmen
X Data Loss Prevention
X E-Mail-Verschlüsselung
X Protokollierung von Zugriffen und Abrufen
X Verschlüsselte Verbindungen (Daten bei Übertragung)
X Verschlüsselte Speicherung (Daten im Ruhezustand: Festplatten/Ausdrucke)
Organisatorische Maßnahmen
X Dokumentation der Datenempfänger und der Dauer der geplanten Übermittlung oder Löschfristen
(2) Dokumentationskontrolle
Technische Maßnahmen
Organisatorische Maßnahmen
X Dokumentation der verwendeten IT-Systeme und deren Systemkonfiguration
§ 5 Verfügbarkeit und Belastbarkeit gemäß Art. 32 Abs. 1 lit. b DSGVO sowie Wiederherstellbarkeit nach einem physischen oder technischen Zwischenfall gemäß Art. 32 Abs. 1 lit. c DSGVO
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden gegen zufällige Zerstörung oder Verlust geschützt sind:
Technische Maßnahmen
X Redundante Internetverbindung
X Schwachstellenmanagement (z. B. Pentest)
X Vorausschauendes Kapazitäts- und Ressourcenmanagement
Organisatorische Maßnahmen
X Vorhandensein eines Notfallplans (z. B. BSI IT-Grundschutz 200-4)
X Risikoanalyse zur Ableitung der Sicherheitsmaßnahmen einschließlich Dokumentation
X Schulungen und Richtlinien
§ 6 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gemäß Art. 32 Abs. 1 lit. d DSGVO
(1) Datenschutzmanagement
Maßnahmen zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen:
Technische Maßnahmen
X Einsatz einer Softwarelösung für das Datenschutzmanagement
X Zentrale Dokumentation aller Verfahren und Regelungen zum Datenschutz mit Zugriff für Beschäftigte nach Bedarf oder Berechtigung
X Sicherheitszertifizierung nach ISO 27001
X Die Wirksamkeit der technischen Schutzmaßnahmen wird mindestens einmal jährlich überprüft
Organisatorische Maßnahmen
X Interner/externer Datenschutzbeauftragter (DSB) ist bestellt
X Beschäftigte werden geschult und auf Vertraulichkeit/Datengeheimnis verpflichtet
X Regelmäßige Sensibilisierung der Beschäftigten (mindestens jährlich)
X Interner/externer Informationssicherheitsbeauftragter (ISB) ist bestellt
X Datenschutz-Folgenabschätzung wird bei Bedarf durchgeführt
(2) Incident-Response-Management
Maßnahmen zur Unterstützung der Reaktion auf Sicherheitsverletzungen:
Technische Maßnahmen
X Einsatz von Firewalls und regelmäßige Updates
X Einsatz von Spam-Filtern und regelmäßige Updates
X Intrusion Detection System (IDS)
Organisatorische Maßnahmen
X Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen/Datenschutzverletzungen (auch in Bezug auf die Meldepflicht gegenüber Aufsichtsbehörden)
X Dokumentiertes Verfahren zum Umgang mit Sicherheitsvorfällen
X Einbindung des DSB bei Sicherheitsvorfällen und Datenschutzverletzungen
X Dokumentation von Sicherheitsvorfällen und Datenschutzverletzungen, z. B. über Ticketsystem
X Formaler Prozess und Verantwortlichkeiten für die Nachbereitung von Sicherheitsvorfällen und Datenschutzverletzungen
§ 7 Weisungsgebundenheit der Untergebenen gemäß Art. 32 Abs. 4 DSGVO
Maßnahmen, die gewährleisten, dass unterstellte natürliche Personen, die Zugang zu Personenbezogenen Daten des Kunden haben, diese nur auf Weisung des Verantwortlichen verarbeiten:
Technische Maßnahmen
X Verbot der Verarbeitung personenbezogener Daten des Kunden außerhalb der Weisung
Organisatorische Maßnahmen
X Zugang zu personenbezogenen Daten des Kunden wird nur gewährt, wenn dies für die vereinbarten Zwecke erforderlich ist
§ 8 Datenschutzfreundliche Voreinstellungen Art. 25 Abs. 2 DSGVO
Maßnahmen, die gewährleisten, dass standardmäßig nur personenbezogene Daten des Kunden verarbeitet werden, die für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind:
Technische Maßnahmen
X Es werden nicht mehr personenbezogene Daten des Kunden erhoben als für den jeweiligen Zweck erforderlich
Organisatorische Maßnahmen
X Einfache Ausübung des Widerspruchsrechts der betroffenen Person durch technische Maßnahmen
X Ermittlung personenbezogener Daten des Kunden bei Auskunftsersuchen wird durch technische Maßnahmen unterstützt
Anlage 3: Genehmigte Unterauftragsverarbeiter
Die jeweils aktuelle Liste der vom Kunden genehmigten Unterauftragsverarbeiter (jeweils mit Name, Anschrift, erbrachter Leistung und Verarbeitungsort) wird vom Auftragsverarbeiter in seinem Trust Center geführt und ist dort abrufbar unter: https://trust.forgent.ai. Maßgeblich ist die zum jeweiligen Zeitpunkt im Trust Center veröffentlichte Fassung. Änderungen richten sich nach Abschnitt 9.2 dieses AVV.
Nutzungsvertrag
VERTRAGSGEGENSTAND
Gegenstand dieses Vertrags ist die entgeltliche und auf die Dauer des Vertrags begrenzte Nutzungsüberlassung der Vertragssoftware nebst Speicherplatz (nachfolgend „Nutzungslizenz“).
Dieser Vertrag gilt für sämtliche, auch künftige Leistungen von Forgent im Zusammenhang mit der Bereitstellung der Vertragssoftware, dem Betrieb von Portalen, Schnittstellen und Internetdiensten sowie damit zusammenhängenden Supportleistungen gegenüber dem Kunden (nachfolgend „Service“). Die Parteien erkennen an, dass die Bereitstellung der Vertragssoftware im Wege der Softwaremiete Zweck und Schwerpunkt des Vertrags bildet.
Der Inhalt des Vertrags richtet sich nach Maßgabe der nachfolgenden Dokumente, wobei jeweils das ranghöhere und bei gleichrangigen Dokumenten das zeitlich jüngere Dokument maßgeblich ist:
Service Order
Allgemeiner Vertragsteil
Auftragsverarbeitungsvertrag (AVV) einschließlich der technischen und organisatorischen Maßnahmen (TOMs), abrufbar auf der Website von Forgent AI GmbH
Entgegenstehende oder zusätzliche Vertragsbedingungen des Kunden gelten nur dann, wenn Forgent diese ausdrücklich schriftlich bestätigt.
Dieser Vertrag stellt die alleinige Abrede zwischen Forgent und dem Kunden hinsichtlich der Leistungserbringung dar. Etwaige sonstige in Bezug auf den Vertragsgegenstand schriftlich oder mündlich geschlossene Verträge verlieren mit Inkrafttreten dieses Vertrags ihre Gültigkeit. Mündliche Nebenabreden bestehen nicht.
VERTRAGSSCHLUSS
Dieser Vertrag kommt mit der Unterzeichnung der ersten Service Order durch die Parteien zustande. Alle nachfolgenden Service Order, sofern vorhanden, ergänzen automatisch bestehende Service Order und werden Bestandteil dieses Vertrags, es sei denn, es ergibt sich aus der neuen Service Order oder den Gesamtumständen, dass sie frühere Service Order ersetzt.
Das Angebot von Forgent richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB. Forgent kann daher vor Vertragsschluss verlangen, dass der Kunde seine Unternehmereigenschaft ausreichend nachweist, z.B. durch Angabe seiner UST-ID-Nr. oder durch sonstige geeignete Nachweise. Die für den Nachweis erforderlichen Daten sind von dem Kunden vollständig und wahrheitsgemäß anzugeben.
Der Kunde hat Forgent bei Auftragserteilung alle Informationen mitzuteilen, die Forgent vernünftigerweise benötigt, um die Leistungen korrekt und vollständig zu erbringen. Der Kunde ist verpflichtet, Forgent unverzüglich über relevante Änderungen zu informieren.
NUTZUNGS-LIZENZ; RECHTE AM GEISTIGEN EIGENTUM
Der Nutzungszweck der Vertragssoftware ist auf die Identifizierung, das Management und die Verwaltung von Ausschreibungs- und Vergabeverfahren begrenzt.
Forgent hostet und betreibt die Vertragssoftware unter eigener Domain. Der Kunde erhält Zugriff auf die Vertragssoftware über einen Webbrowser oder eine andere in der Service Order festgelegte Zugriffsart.
Soweit nicht vertraglich anders geregelt, behält sich Forgent sämtliche Rechte und ausschließliche Nutzungsrechte an der Vertragssoftware vor, einschließlich Rechte an der zugrundeliegenden Software, Algorithmen, allgemeinen Konfigurationseinstellungen und textlichen Anweisungen, Prompts, Promptarchitektur, System-Prompts, Befehlen und Parametern sowie sämtlichen anderen Daten, unabhängig davon, ob diese durch geistige Eigentumsrechte geschützt sind oder nicht.
Vorbehaltlich der Bestimmungen dieses Vertrags und der vollständigen Zahlung der Servicegebühren gewährt Forgent dem Kunden mit Beginn und für die Dauer der Service-Laufzeit, das weltweite, nicht-exklusive, nicht-übertragbare und nicht-unterlizenzierbare Rechte, auf die Vertragssoftware gemäß dem in der Service Order und der Leistungsbeschreibung vereinbarten Umfang zuzugreifen und diese zu nutzen (nachfolgend „Nutzungs-Lizenz“). Soweit erforderlich, darf der Kunde vorübergehende Vervielfältigungen der gesamten oder Teilen der Vertragssoftware erstellen, um diese zu laden, anzuzeigen, ablaufen zu lassen, zu übertragen oder zu speichern.
Darüber hinaus ist der Kunde nicht berechtigt, dauerhafte oder vorübergehende Kopien oder Vervielfältigungen der Vertragssoftware herzustellen, Bearbeitungen oder andere Umarbeitungen an der Vertragssoftware vorzunehmen, diese in geänderter oder nicht-geänderter Form, z.B. als White-Label-Software, zu kommerziellen oder nicht-kommerziellen Zwecken zu verbreiten oder öffentlich zugänglich zu machen, die Vertragssoftware, ihre Arbeitsweise oder Bestandteile, zu dekompilieren, zu reverse-engineeren oder auf sonstige Weise die Arbeitsweise der Vertragssoftware zu ermitteln.
Dem Kunden ist es untersagt, Hinweise und Angaben zu Urheberrechten, Markenrechten, Patentrechten und anderen geistigen Eigentumsrechten der Vertragssoftware oder des Service zu entfernen.
BEREITSTELLUNG DER SOFTWARE
Forgent stellt dem Kunden die Vertragssoftware zum Zugriff mittels Browser auf dem Server vorbehaltlich der vereinbarten Funktionalität und Verfügbarkeit zur Verfügung. Die Bereitstellung der Vertragssoftware erfolgt am Routerausgang des Rechenzentrums, in dem sich der von Forgent gewählte Hosting-Provider befindet. Für die Internetverbindung zwischen dem Standort und dem Rechenzentrum und die hierfür erforderliche Hard- und Software (z.B. PC, Internetanschluss) ist der Kunde verantwortlich.
Forgent stellt die Vertragssoftware "as is" mit der vereinbarten Funktionalität und in einem Zustand bereit, der für die vertraglich vorgesehene Nutzung geeignet ist und gewährleistet deren Verfügbarkeit gemäß den in der Service Order definierten und beschriebenen Bedingungen. Zulässige Einsatzbedingungen und Nutzungsumfang ergeben sich aus der Service Order sowie der vereinbarten Leistungsbeschreibung.
Forgent behält sich vor, die Vertragssoftware und deren Funktionsweise weiterzuentwickeln, einschließlich der Einführung zusätzlicher Funktionen und Module. Forgent stellt dem Kunden die jeweils aktuelle Version bereit, wobei Produktupdates mit neuen, in der Service Order nicht aufgeführten Funktionen nur gegen gesonderte Vergütung bereitgestellt werden. Forgent ist berechtigt, Funktionen hinzuzufügen oder zu entfernen, wenn diese nicht mehr erforderlich sind, sowie Anpassungen aufgrund von Änderungen der Rechtslage, technischer Entwicklungen oder aus Gründen der IT-Sicherheit vorzunehmen, wobei die Interessen des Kunden angemessen berücksichtigt werden. Die grundlegende Funktionalität bleibt unberührt.
Soweit in der Service Order vereinbart, wird Forgent wirtschaftlich angemessene Anstrengungen unternehmen, um die Interoperabilität der Vertragssoftware mit Websites, APIs, Datenbanken oder anderen Infrastrukturen des Kunden oder Dritter herzustellen. Forgent stellt dem Kunden die für den Zugriff und die Nutzung des Service erforderlichen Zugangsdaten, wie Benutzer-IDs und Passwörter, in entsprechend der Anzahl der in der Service Order vereinbarten Nutzerlizenzen zur Verfügung. Der Kunde ist verpflichtet, alle Benutzer-IDs und Passwörter unverzüglich nach Erhalt zu ändern, sodass ausschließlich autorisierte Nutzer Zugang erhalten.
Soweit die Bereitstellung der Vertragssoftware technische Integrations- oder Konfigurationsmaßnahmen innerhalb der Hard- und Software-Infrastruktur des Kunden, einschließlich Server, Netzwerke, Datenbanken, Anwendungen und sonstigen technischen Systeme, die für den Geschäftsbetrieb des Kunden erforderlich sind, (nachfolgend „IT-Systeme des Kunden“) erfordert, die über das übliche Kunden-Onboarding (einschließlich der Integration von API-Zugang, Single-Sign-On-Verfahren und marktüblichen Exportformaten sowie der Anbindung an ERP- und CRM-Systeme des Kunden) hinausgehen, sind solche Leistungen Gegenstand einer gesondert zwischen den Parteien abzuschließenden Implementierungsvereinbarung. Derartige Leistungen werden gesondert vergütet.
Der Zugang zur Vertragssoftware erfolgt über persönliche Nutzeraccounts. Für jeden Nutzer ist eine Nutzerlizenz erforderlich. Eine Nutzerlizenz berechtigt jeweils einen namentlich benannten Nutzer (Named User) zum Zugang; die gemeinsame Nutzung eines Nutzeraccounts oder der Zugangsdaten durch mehrere Personen ist nicht zulässig. Die Anzahl der Nutzerlizenzen ergibt sich aus der Service Order. Forgent stellt dem Kunden individuelle Nutzerkonten zur Verfügung. In den Nutzerkonten können u.a. die folgenden Funktionalitäten bereitgestellt werden:
Modulzugriff auf die im Service Order vorgesehenen Plattformmodule und Funktionen;
Arbeitsbereich mit Dashboard und Benutzeroberfläche zur Verwaltung von Projekten, Ausschreibungen und Dokumenten;
Möglichkeit der Datenverwaltung zur Speicherung und Verwaltung von Kundendaten, hochgeladenen Dokumenten und generierten Inhalten;
Nutzungsverlauf mit Zugriff auf Historie und Protokollierung vergangener Aktivitäten;
Kontoeinstellungen zur Verwaltung von Benutzereinstellungen, Präferenzen und Konfigurationen.
Forgent ist berechtigt, Maßnahmen zu ergreifen, um sicherzustellen, dass die Nutzung der Vertragssoftware und des Service innerhalb der in der Service Order festgelegten Parameter erfolgt und den vertraglichen Bestimmungen entspricht.
Forgent ist berechtigt, die Nutzung der Vertragssoftware durch den Kunden, einschließlich des durch die Nutzung des Service erzeugten Datenverkehrs und der Datenmengen, zu überwachen und zu analysieren. Dabei werden die in der Service Order vereinbarten Nutzungsparameter, wie die Anzahl der erworbenen Lizenzen, Preise, Anzahl der Nutzer oder andere relevante Parameter, berücksichtigt. Forgent wird bei der Festlegung von Nutzungsgrenzen dem Umstand Rechnung tragen, dass die Nutzung der Vertragssoftware Schwankungen, einschließlich zeitweiser Spitzen der Datenverkehrsmengen, unterliegen kann und derartige Schwankungen im Rahmen des technisch und wirtschaftlich Zumutbaren berücksichtigen.
Forgent stellt Speicherplatz für Daten bereit, die im Zusammenhang mit der Nutzung der Vertragssoftware und der Vertragsabwicklung entstehen oder erforderlich sein können. Forgent verpflichtet sich, angemessene physische, technische und organisatorische Sicherheitsmaßnahmen in Bezug auf die Vertragssoftware und die Kundeninhalte zu ergreifen.
Die Vertragssoftware wird auf Servern innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (EWR) gehostet, sofern in der Service Order kein abweichender Standort vereinbart ist.
VERFÜGBARKEIT; PERFORMANCE
Die vertragliche Verfügbarkeit der Vertragssoftware beträgt 99,0 % im Jahresdurchschnitt am Übergabepunkt. Verfügbarkeit ist definiert als die Möglichkeit des Kunden, die Vertragssoftware in Übereinstimmung mit der Service Order und diesem Allgemeinen Vertragsteil zu nutzen.
Nicht in die Berechnung der Verfügbarkeit einzubeziehen sind
Zeiten für Notfall-Wartungen zur Installation kritischer Sicherheitsupdates;
Zeiten unerheblicher Störungen;
Störungen aus dem Verantwortungsbereich des Kunden (z.B. verspätete Störungsmeldung, Handlungen unbefugter Nutzer);
Störungen außerhalb der Kontrolle von Forgent (z.B. höhere Gewalt, Ausfall von Drittanbietern).
Für den Nachweis der Verfügbarkeit sind die Messinstrumente des Hostinganbieters im Rechenzentrum maßgeblich.
Forgent verfolgt folgende Performance-Zielwerte für die Vertragssoftware, gemessen als Durchschnittswerte über einen Kalendermonat während der deutschen Geschäftszeiten (Montag bis Freitag, 9:00–18:00 Uhr MEZ), unter Ausschluss gesetzlicher Feiertage im Bundesland Berlin:
a) UI-/Dashboard-Interaktionen (Seitenaufrufe, Navigation, Anzeige gespeicherter Daten, Filteroperationen): Antwortzeit in der Regel unter 5 Sekunden
b) Suchfunktionen und Standard-Queries (z. B. Suche im Finder-Modul, Abruf von Ausschreibungslisten, Stammdatenabfragen): Antwortzeit in der Regel unter 10 Sekunden
c) Hintergrundprozesse (Report-Erstellung, Batch-Verarbeitungen, Datenexporte): wirtschaftlich angemessene Bearbeitungszeit, keine festen ZielwerteAusdrücklich von den Performance-Zielwerten gemäß Ziffer 5.4 ausgenommen sind:
a) Sämtliche Funktionen, die auf Large Language Models (LLMs) oder andere KI-Dienste von Drittanbietern (z. B. Anthropic, OpenAI) zurückgreifen, einschließlich aller Analyse-, Bewertungs-, Generierungs- und Reasoning-basierten Operationen. Die Antwortzeiten dieser Funktionen hängen von externen Drittanbietern ab, die ihrerseits keine Latenzgarantien gewähren. Forgent unternimmt wirtschaftlich angemessene Anstrengungen zur Optimierung dieser Antwortzeiten.
b) Zeiten geplanter Deployments, Wartungsfenster und Feature-Rollouts.
c) Zeiten außerhalb der in Ziffer 5.4 definierten deutschen Geschäftszeiten.Die Nichterreichung der Performance-Zielwerte gemäß Ziffer 5.4 gilt ausdrücklich nicht als Nichtverfügbarkeit der Vertragssoftware im Sinne von Ziffer 5.1 bis 5.3. Performance-Zielwerte begründen keine eigenständigen Minderungs-, Schadensersatz- oder Kündigungsrechte.
Forgent unterhält ein internes Qualitätssicherungs- und Monitoring-Verfahren für die KI-gestützten Funktionen der Vertragssoftware, einschließlich regelmäßiger Evaluation der Ausgabequalität sowie Überwachung der Modell-Performance. Qualitätsprobleme werden im Rahmen der Supportregelung gemäß Ziffer 6 adressiert. Eine über die Verfügbarkeits- und Performance-Zielwerte dieser Ziffer 5 hinausgehende Zusicherung bestimmter Ausgabequalität, Richtigkeit oder Vollständigkeit der von KI-Systemen generierten Inhalte wird ausdrücklich nicht geschuldet.
WARTUNG; SUPPORT
Forgent ergreift alle angemessenen Maßnahmen bezüglich der Wartung der Vertragssoftware, die erforderlich sind, um die Vertragssoftware in einem vertragsgemäßen Zustand zu erhalten. Forgent erbringt solche Wartungsleistungen in Übereinstimmung mit allgemein anerkannten Standards und Praktiken.
Forgent erbringt während der Leistungslaufzeit Support zur Diagnose und Behebung technischer Probleme oder zur Beantwortung von Fragen bezüglich der Nutzung der Vertragssoftware. Der Support kann nach allgemein geltenden Branchenstandards insbesondere Third-Level-Support umfassen: Engineering-Eskalation bei Software-Bugs, Probleme der System-Architektur sowie Implementierung dauerhafter Lösungen durch Anpassungen, Updates oder Patches der Software- oder Systemkonfiguration.
Der Support umfasst nicht:
Schulungen;
Anpassungen der Vertragssoftware;
Datenimport.
Standard-Support wird per E-Mail unter support@forgent.ai bereitgestellt. Support für Administratoren kann in Einzelfällen, insbesondere bei kritischen Systemausfällen außerhalb der Geschäftszeiten oder vergleichbar dringenden Fällen, auch telefonisch bereitgestellt werden.
Forgent erbringt Supportleistungen zur Sicherstellung der vertragsgemäßen Funktionalität. Darüber hinausgehende Unterstützung (z.B. individueller Beratungsbedarf oder Konfigurationswünsche) sowie Mehraufwand infolge wiederholter Anwenderfehler bedürfen einer zusätzlichen Service Order.
Abweichende Vereinbarungen können in der Service Order getroffen werden.
Die Supportleistungen werden von Forgent an Werktagen von Montag bis Freitag in der Zeit von 9.00 bis 18.00 Uhr MEZ erbracht. Für kritische Systemausfälle außerhalb der Geschäftszeiten steht Forgent für Notfall-Maßnahmen zur Verfügung. Ausgenommen hiervon sind gesetzliche Feiertage im Bundesland Berlin sowie der 24.12. und 31.12. Anfragen werden innerhalb dieser Zeiten mit folgenden angestrebten Zielzeiten bearbeitet (Reaktionszeit / Lösungszeit):
Höchste Priorität (erhebliche Funktionseinschränkungen ohne Workaround): 4 / 24 Stunden
Mittlere Priorität (erhebliche Funktionseinschränkungen mit Workaround): 24 / 72 Stunden
Niedrige Priorität (alle anderen Anfragen): 72 Stunden / nach angemessenen Anstrengungen
PFLICHTEN DES KUNDEN
Soweit die Erbringung des Service durch Forgent eine Mitwirkungshandlung des Kunden erfordert (z.B. in den Räumlichkeiten des Kunden), unterstützt der Kunde Forgent durch sämtliche notwendigen technischen, organisatorischen und sonstigen Maßnahmen. Insbesondere
stellt der Kunde Forgent rechtzeitig die erforderlichen Informationen und Unterlagen zur Verfügung und gewährt den Mitarbeitern von Forgent rechtzeitig Zugang zu den Räumlichkeiten oder der informationstechnischen Infrastruktur des Kunden;
gewährt Forgent Zugangsdaten zu relevanten Ausschreibungsportalen, sofern eine entsprechende Integration erwünscht ist;
stellt Forgent Unternehmensinformationen (u.a. Firmenprofil, Leistungsspektrum, Referenzen, Lebensläufe von Mitarbeitern) sowie Fachinformationen (u.a. Wissensdokumente wie White Papers, bisherige Konzepte) zur Verfügung, sofern diese für die Erstellung von Konzepten durch die Vertragssoftware erforderlich und erwünscht sind;
stellt Forgent sicher, dass eine ausreichende Internetbandbreite sowie moderne Browser für die Nutzung der Vertragssoftware zur Verfügung stehen;
stellt Forgent bei Nutzung von API- oder MCP-Schnittstellen die technische Dokumentation der zu integrierenden Systeme bereit.
Verzögerungen in der Leistungserbringung durch Forgent, die auf einer Nicht- oder verzögerten Erbringung von Mitwirkungshandlungen des Kunden beruhen, hat Forgent nicht zu vertreten.
Der Kunde verpflichtet sich, seine Kontaktdaten stets aktuell, korrekt und vollständig zu halten, damit Forgent Mitteilungen, Abrechnungen und andere Informationen übermitteln kann.
Der Kunde benennt eine verantwortliche Kontaktperson. Die Kontaktperson fungiert als primärer Ansprechpartner für Forgent während des Onboarding-Prozesses sowie für alle Supportanfragen während der Vertragslaufzeit. Diese Kontaktperson ist dafür zuständig, Forgent die erforderlichen Informationen, einschließlich technischer Informationen, bereitzustellen und alle Entscheidungen im Zusammenhang mit der Durchführung dieses Vertrags unverzüglich herbeizuführen.
Der Kunde stellt sicher, dass die Vertragssoftware bestimmungsgemäß genutzt wird, indem er geeignete technische und organisatorische Maßnahmen ergreift. Der Kunde verpflichtet sich, die Vertragssoftware nicht missbräuchlich zu nutzen oder eine missbräuchliche Nutzung zuzulassen. Insbesondere verpflichtet sich der Kunde, die folgenden Handlungen zu unterlassen:
Die Zugangsdaten unberechtigt weiterzugeben oder die Zugangsbeschränkungen oder Sicherheitsmechanismen der Software zu umgehen oder Hackingaktivitäten durchzuführen;
die Vertragssoftware oder Teile davon unrechtmäßig zu verwenden, zu dekompilieren, Quellcode, Geschäftsgeheimnisse oder Know-how zu extrahieren und/oder konkurrierende Produkte zu entwickeln oder zu trainieren;
auf dem Server rechts- oder sittenwidrige Inhalte und/ oder solche Inhalte, die der Volksverhetzung dienen, zu Straftaten anleiten, Gewalt verherrlichen oder verharmlosen, sexuell anstößig bzw. pornographisch sind, oder die geeignet sind, Kinder oder Jugendliche sittlich schwer zu gefährden oder in ihrem Wohl zu beeinträchtigen oder das Ansehen von Forgent zu schädigen, zu nutzen und auf solche Inhalte hinzuweisen, sie zu speichern oder zu verwenden;
automatisiertes Scraping, Bots, Spiders, oder sonstige Formen der übermäßigen Belastung der Systeme durchzuführen;
Malware, Viren oder Schadcode in die Vertragssoftware einzuspeisen.
Der Kunde trifft angemessene Vorkehrungen, um einen unbefugten Zugriff auf den Service oder dessen Nutzung zu verhindern. Der Kunde ist verpflichtet, Benutzer-IDs und Passwörter geheim zu halten und sie unbefugten Dritten nicht zugänglich zu machen. Diese Verpflichtung ist auch gegenüber autorisierten Nutzern ausdrücklich durchzusetzen. Der Kunde haftet für den Missbrauch von Benutzer-IDs und Passwörtern.
Der Kunde informiert Forgent unverzüglich, sobald er Kenntnis von einer Verletzung eines gewerblichen Schutzrechts oder Urheberrechts an der Vertragssoftware oder dem Service oder von der Offenlegung von Benutzer-IDs oder Passwörtern an unbefugte Dritte erlangt.
Der Kunde wird angemessene Maßnahmen ergreifen, um sicherzustellen, dass autorisierte Nutzer mit den grundlegenden Funktionen der Vertragssoftware vertraut sind.
KUNDENINHALTE; SERVICE-ERGEBNISSE; FEEDBACK
Der Kunde nutzt die Vertragssoftware auf Grundlage der von ihm gewählten Anweisungen, Konfigurationen, Eingabedaten oder anderen Informationen (z.B. Unternehmensstammdaten, Projektinformationen, Referenzen, Ausschreibungsunterlagen etc.), die er eingibt, hochlädt, übermittelt, speichert oder anderweitig zur Verfügung stellt (nachfolgend zusammen „Kundeninhalte“).
Der Kunde erkennt an, dass die Leistungsfähigkeit, Genauigkeit und Zuverlässigkeit der Vertragssoftware sowie die Qualität der von ihr generierten Service-Ergebnisse unmittelbar von der Vollständigkeit, Aktualität, Strukturierung und inhaltlichen Qualität der bereitgestellten Kundeninhalte abhängen. Der Kunde trägt die alleinige Verantwortung dafür, sicherzustellen, dass die Kundeninhalte für den beabsichtigten Verwendungszweck geeignet, hinreichend umfassend, aktuell, korrekt und in einem für die Vertragssoftware verarbeitbaren Format (z.B. PDF, DOCX, XLSX, JSON API) bereitgestellt werden und dass keine relevanten Informationen ausgelassen, manipuliert oder falsch dargestellt werden. Der Kunde wählt Eingabe- und Analysedaten, einschließlich Kundeninhalte, für die Verarbeitung innerhalb der Vertragssoftware unter Anwendung eines angemessenen und sorgfältigen Sorgfalts- und Fachstandards aus und verwendet diese entsprechend.
Der Kunde bleibt alleiniger Inhaber der Kundeninhalte. Der Kunde räumt Forgent das nicht-ausschließliche Recht ein, die in die Vertragssoftware eingegebenen, hochgeladenen oder gespeicherten Kundeninhalte ausschließlich zum Zweck der Bereitstellung der Vertragssoftware und der damit verbundenen Leistungen für den Kunden zu verarbeiten. Dieses Recht erlischt mit Beendigung des Vertrags, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Forgent ist berechtigt, technische Nutzungsdaten (wie Performance-Kennzahlen, Fehlerprotokolle, Sitzungsdauer und Systemauslastung), die keine Kundeninhalte oder deren Derivate enthalten, in aggregierter und anonymisierter Form zum Benchmarking, Testen und zur Weiterentwicklung der Vertragssoftware zu verwenden. Die weitergehenden Bestimmungen des Auftragsverarbeitungsvertrags (AVV), insbesondere Abschnitt 2.4 des AVV, bleiben unberührt.
Der Kunde erkennt an, dass die in die Vertragssoftware eingegebenen Kundeninhalte mit Hilfe von Softwareprodukten verarbeitet werden, die Technologien aus dem Bereich der künstlichen Intelligenz (LLMs, RAGs, Maschine Learning-Algorithmen, etc.) verarbeitet werden können. Um diese Funktionalitäten zu nutzen, kann Forgent Dienste Dritter in die Vertragssoftware einbinden. Der Kunde trägt die alleinige Verantwortung für alle Kundeninhalte, insbesondere dafür, dass deren Übermittlung an und Verarbeitung durch Forgent zur Erfüllung dieses Vertrags nicht gegen geltendes Recht, einschließlich geltendem Datenschutzrecht, gewerbliche Schutzrechte oder sonstige Rechte Dritter verstößt. Der Kunde gewährleistet, dass er entweder alleiniger Inhaber der Kundeninhalte ist oder über Lizenzen von ausreichendem Umfang verfügt, um Forgent die oben genannten Rechte an den Kundeninhalten einzuräumen. Vor dem Hochladen oder anderweitigen Übermitteln von Kundeninhalten an die Vertragssoftware hat der Kunde branchenübliche Virenschutzprogramme zu verwenden, um sicherzustellen, dass die Kundeninhalte frei von Viren, Spam, Malware, Schadcode oder sonstigem Material sind, das für die Vertragssoftware potenziell schädlich sein könnte.
Während der Service-Laufzeit stellt Forgent Speicherplatz auf dem Server für Kundeninhalte und andere Daten bereit, die vom Kunden durch die Nutzung des Service erzeugt werden oder die für die Nutzung des Service erforderlich sind. Forgent wird angemessene Vorkehrungen treffen, um die Zugänglichkeit und Abrufbarkeit solcher Daten im Zusammenhang mit der Nutzung der Vertragssoftware sicherzustellen. Forgent führt
Die Vertragssoftware generiert und liefert bestimmte Entwürfe von E-Mails, Dokumenten, Ausschreibungsunterlagen oder anderen Ergebnissen auf Grundlage von Kundeninhalten (wie oben definiert) (nachfolgend „Service-Ergebnisse“).
Forgent gewährleistet nicht die Richtigkeit, Vollständigkeit, Rechtmäßigkeit oder Eignung für einen bestimmten Zweck von Service-Ergebnissen. Der Kunde erkennt an, dass die im Rahmen der Vertragssoftware eingesetzten KI-Systeme nicht auf deterministischer Grundlage arbeiten und Service-Ergebnisse aufgrund der probabilistischen Funktionsweise von KI-Technologien unvollständig oder kontextuell ungenau sein können. Forgent übernimmt keine Verantwortung für vergaberechtliche Konsequenzen, einschließlich der Ablehnung von Angeboten oder des Ausschlusses aus Vergabeverfahren aufgrund KI-generierter Inhalte, sowie für abgelehnte oder entgangene Aufträge durch fehlerhafte Analysen oder verspätete Benachrichtigungen.
Forgent ist nicht verantwortlich für Entscheidungen oder Verpflichtungen des Kunden, die auf solchen Service-Ergebnissen basieren. Der Kunde erkennt an, dass die Vertragssoftware nicht dazu bestimmt ist, autonom rechtsverbindliche Willenserklärungen abzugeben oder Vereinbarungen im Namen des Kunden einzugehen. Der Kunde ist allein dafür verantwortlich, sicherzustellen, dass die Generierung und Übermittlung von Service-Ergebnissen so konfiguriert ist, dass sie keine rechtsverbindlichen Erklärungen ohne angemessene menschliche Aufsicht auslösen. Soweit Forgent an der Konfiguration, Integration oder Implementierung der Vertragssoftware beteiligt ist, ist diese Beteiligung rein technischer Natur und erstreckt sich nicht auf Forgents Kontrolle über Art, Umfang oder Inhalt von Entscheidungen, die der Kunde unter Verwendung der Vertragssoftware oder von Service-Ergebnissen trifft.
Der Kunde ist Inhaber aller Rechte an den Service-Ergebnissen, soweit diese nicht wesentlich auf proprietären Vorlagen, System-Prompts oder anderen geschützten Elementen der Vertragssoftware basieren, an denen Forgent sich Rechte vorbehält.
Die Vertragssoftware und die Services sind keine Rechts- oder Steuerberatung und können keine individuelle Prüfung im Einzelfall ersetzen. Forgent schuldet insbesondere keine rechtliche Prüfung der Vergabeunterlagen oder der erstellten Angebote auf Konformität mit geltendem Recht. Der Kunde erkennt an, dass die von der Vertragssoftware generierten Analysen, Risikoeinschätzungen und Vorschläge rein technischer Natur sind und für die Richtigkeit oder Vollständigkeit der Ergebnisse keine Haftung übernommen werden kann.
Der Kunde bleibt allein verantwortlich für die Festlegung und Implementierung geeigneter interner Überprüfungs- und Qualitätssicherungsverfahren für die Nutzung der Vertragssoftware, einschließlich der Entscheidung, in welchem Umfang KI-generierte Inhalte vor ihrer Verwendung durch qualifizierte Mitarbeiter überprüft und freigegeben werden (nachfolgend „Human in the Loop-Prinzip"). Konfiguriert der Kunde die Vertragssoftware so, dass diese mit einem geringeren Grad menschlicher Überprüfung oder vollständig autonom agiert, trägt der Kunde die alleinige Verantwortung für alle daraus resultierenden Handlungen, Entscheidungen und Ergebnisse.
Dem Kunden ist es untersagt, Service-Ergebnisse zu verwenden, um Produkte oder Dienstleistungen zu analysieren, zu reverse-engineeren, neu zu entwickeln oder anderweitig zu versuchen, Produkte oder Dienstleistungen zu entwickeln, die den Leistungen oder der Vertragssoftware oder deren zugrunde liegenden Modellen, Algorithmen oder Prompts im Wesentlichen ähnlich sind.
Soweit der Kunde Vorschläge, Verbesserungsideen, Empfehlungen oder sonstiges Feedback zur Vertragssoftware zur Verfügung stellt (nachfolgend „Feedback"), ist Forgent berechtigt, dieses Feedback nach eigenem Ermessen und ohne Einschränkung zu nutzen, zu modifizieren und in die Vertragssoftware, andere Produkte oder Dienstleistungen zu integrieren, soweit Feedback keine identifizierbaren Kundeninhalte enthält. Der Kunde erkennt an, dass ihm keine Rechte an Produktupdates oder der Vertragssoftware zustehen.
BERECHTIGUNG VERBUNDENER UNTERNEHMEN
Der Kunde ist berechtigt, den Service eigenen Mitarbeitern sowie Mitarbeitern der mit dem Kunden im Sinne von § 15 ff. AktG verbundenen Unternehmen (nachfolgend „Konzernunternehmen“) nach Maßgabe dieses Vertrags zugänglich zu machen. Die Standorte der Konzernunternehmen, die auf die Vertragssoftware zugreifen, sind vom Kunden zu nennen. Ziffern 10, 13, 14, 15, und 17 dieses Vertrages gelten für Konzernunternehmen, die auf den Service zugreifen, entsprechend. Der Kunde wird diesen Konzernunternehmen die Pflichten aus den vorgenannten Bestimmungen auferlegen.
Eine Liste der Konzernunternehmen zum Zeitpunkt des Abschlusses dieses Vertrages ist dem Service Order zu entnehmen. Ergänzungen zu der Liste der Konzernunternehmen wird der Kunde Forgent schriftlich bekannt geben.
Erfüllt ein in der Liste der Konzernunternehmen genanntes Unternehmen nicht mehr die Voraussetzungen eines Konzernunternehmens, ist dieses Unternehmen zur Nutzung des Services nicht mehr berechtigt. Hierüber wird der Kunde Forgent schriftlich informieren.
SPERRUNG VON ZUGÄNGEN
Forgent ist berechtigt, den Zugang zum Service nach vorheriger erfolgloser Abmahnung des Kunden, vorübergehend oder dauerhaft zu sperren, wenn
begründete konkrete Anhaltspunkte mit nachvollziehbarer Tatsachengrundlage vorliegen, dass der Kunde oder einer seiner Mitarbeiter gegen wesentliche Pflichten aus diesem Vertrag oder geltendes Recht verstößt, insbesondere in Bezug auf die Nutzung vertraulicher Informationen und die in Ziffer 7.5 festgelegten Pflichten, einschließlich, aber nicht beschränkt auf die Nutzung des Service zur Förderung illegaler Geschäfte oder der Umgehung regulatorischer Vorschriften;
konkrete Anhaltspunkte vorliegen, dass Benutzer-IDs, Passwörter oder andere Zugangsmethoden missbräuchlich verwendet werden;
dies aus technischen Gründen, einschließlich Risiken für die Cybersicherheit, zwingend erforderlich ist;
dies aus zwingenden gesetzlichen, gerichtlich oder behördlich angeordneten Gründen erforderlich ist;
der Kunde mit der Zahlung von Servicegebühren mehr als zwei Wochen in Verzug ist;
der Kunde falsche Kontakt- oder Bankdaten hinterlegt hat.
Bei der Entscheidung über eine Sperrung wird Forgent die berechtigten Interessen des Kunden angemessen berücksichtigen. Forgent informiert den Kunden spätestens fünf (5) Werktage vor Inkrafttreten der Sperrung über diese Maßnahme, sofern die Unterrichtung dem Zweck der Sperrung nicht zuwiderläuft. Die Sperrung muss im Verhältnis zur Schwere des zugrundeliegenden Verstoßes angemessen sein; eine dauerhafte Sperrung kommt nur bei schwerwiegenden oder wiederholten Verstößen in Betracht.
Die Sperrung bleibt bestehen, bis der die Sperrung begründende Umstand in angemessener Weise beseitigt worden ist.
GEBÜHREN UND ZAHLUNG
Die Servicegebühr ist für den in der Service Order vereinbarten Abrechnungszeitraum (z. B. monatlich, vierteljährlich, halbjährlich oder jährlich) jeweils im Voraus zu Beginn des betreffenden Abrechnungszeitraums zur Zahlung fällig.
Sofern zwischen den Parteien nicht ausdrücklich etwas anderes vereinbart wurde, sind die Forderungen von Forgent mit Übersendung der Rechnung fällig und zahlbar innerhalb von vierzehn (14) Tagen. Dem Kunden ist die Aufrechnung und die Geltendmachung von Zurückbehaltungsrechten gegen Zahlungsforderungen von Forgent nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen des Kunden gestattet.
Zusätzliche oder über den in der Service Order vereinbarten Leistungsumfang hinausgehende Leistungen werden nach individueller Vereinbarung der Parteien gesondert vergütet.
Angegebene Preise verstehen sich zzgl. der jeweiligen gesetzlichen Umsatzsteuer.
GEWÄHRLEISTUNG
Hinsichtlich der Bereitstellung des Service gelten die Gewährleistungsvorschriften des Mietrechts (§§ 535 ff. BGB).
Ein Mangel der Vertragssoftware liegt nur dann vor, wenn die Vertragssoftware nicht nur geringfügig oder unwesentlich von den vereinbarten oder vorausgesetzten Eigenschaften abweicht. Produktbeschreibungen gelten nur dann als zugesicherte Eigenschaften, wenn dies ausdrücklich schriftlich vereinbart wurde.
Im Falle eines Mangels stehen dem Kunden die gesetzlichen Rechte zu, wobei eine Minderung der Servicegebühren erst ab dem Zeitpunkt der ordnungsgemäßen Mängelanzeige gemäß Ziffer 12.5 geltend gemacht werden kann. Das Recht des Kunden, überzahlte Servicegebühren auf Grundlage der Vorschriften über die ungerechtfertigte Bereicherung zurückzufordern, bleibt unberührt.
Forgent wird Mängel (i) innerhalb des in Ziffer 6.7 festgelegten Zeitrahmen beheben, sofern der Mangel einen dort spezifizierten Schweregrad aufweist, andernfalls (ii) innerhalb einer angemessenen Frist, jeweils nach Mitteilung des Mangels gemäß Ziffer 12.5 dieses Vertrags. Die Behebung des Mangels kann auch durch ein Upgrade, Fixes oder Patches der Vertragssoftware erfolgen. Als vorübergehende Maßnahme kann Forgent dem Kunden Möglichkeiten aufzeigen, wie die Symptome des Mangels umgangen werden können. Der Kunde wird Forgent in angemessener Weise bei der Identifizierung der Ursache des Mangels unterstützen.
Der Kunde ist verpflichtet, Forgent Mängel unverzüglich anzuzeigen.
Eine verschuldensunabhängige Haftung gemäß § 536a Abs. 1 BGB für Mängel, die bereits bei Vertragsschluss bestanden, ist ausgeschlossen. Die gesetzlichen Ansprüche des Kunden bleiben vorbehaltlich der Haftungsbeschränkungen gemäß Ziffer 13 unberührt.
Die Gewährleistungsansprüche des Kunden wegen eines Mangels sind ausgeschlossen, wenn der Kunde Forgent nicht innerhalb eines Jahres nach vollständiger Kenntnis der die Ansprüche begründenden Umstände über diese Ansprüche informiert hat.
HAFTUNGSBESCHRÄNKUNG
Forgent haftet unbeschränkt für Schäden, die vorsätzlich oder grob fahrlässig verursacht wurden.
Bei fahrlässiger Verletzung einer Vertragspflicht, deren Verletzung die Erreichung des Vertragszwecks gefährdet oder deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde daher vertrauen darf (sogenannte Kardinalpflicht), ist die Haftung von Forgent auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Die Parteien vereinbaren, dass der vorhersehbare, vertragstypische Schaden bei der Verletzung einer Kardinalpflicht (i) pro Schadensfall nicht den Betrag der jährlich vereinbarten Servicegebühr sowie (ii) für die innerhalb eines Jahres insgesamt zu erwartenden Schadensfälle nicht den Betrag der Gesamtsumme der jährlich vereinbarten Servicegebühr übersteigt. Bei fahrlässiger Verletzung einer Vertragspflicht, die keine Kardinalpflicht ist, haftet Forgent nicht.
Die vorstehenden Haftungsausschlüsse dieser Ziffer 13 berühren nicht die Haftung von Forgent für eine übernommene Beschaffenheitsgarantie, für Arglist, für Schäden aus der Verletzung von Leib, Leben, oder Gesundheit, nach Maßgabe des Produkthaftungsgesetzes sowie für die Haftung aufgrund der DS-GVO. Eine Änderung der Beweislast zum Nachteil des Kunden ist hiermit nicht verbunden.
Soweit die Haftung nach dieser Ziffer 13 ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung der Angestellten, Mitarbeiter, Organe, Vertreter und Erfüllungsgehilfen von Forgent.
Falls dem Kunden ein Schaden durch den Verlust von Daten entsteht, haftet Forgent hierfür nicht, soweit dieser Schaden durch eine regelmäßige und vollständige Sicherung aller relevanten Daten im Sinne von Ziffer 8.6 hätte vermieden werden können.
Die Parteien können in der Service Order ergänzende oder abweichende Haftungsregelungen vereinbaren. Soweit die Service Order solche Regelungen enthält, gehen diese den Bestimmungen dieser Ziffer 13 vor; im Übrigen gilt diese Ziffer 13. Die zwingende Haftung gemäß Ziffer 13.3 bleibt unberührt.
Die Parteien sind sich der jeweiligen Pflichten aus der Verordnung (EU) 2024/1689 (nachfolgend „KI-Verordnung”) bewusst. Forgent erfüllt die ihm als Anbieter im Sinne der KI-Verordnung obliegenden Pflichten. Der Kunde erfüllt die ihm als Betreiber im Sinne der KI-Verordnung obliegenden Pflichten, insbesondere die Sicherstellung der bestimmungsgemäßen Nutzung gemäß der von Forgent bereitgestellten Dokumentation, der menschlichen Aufsicht durch qualifiziertes Personal sowie der Information betroffener Personen. Die Parteien kooperieren in zumutbarem Umfang bei regulatorischen Anfragen, Audits und Compliance-Anforderungen, soweit dies zur Erfüllung der jeweiligen Pflichten erforderlich ist.
Forgent haftet nicht für ein Versäumnis oder eine Verzögerung bei der Erfüllung seiner Verpflichtungen aus diesem Vertrag, wenn dieses Versäumnis oder diese Verzögerung auf ein externes Ereignis zurückzuführen ist, das durch elementare Naturgewalten oder Handlungen Dritter verursacht wird, das nach menschlicher Einsicht und Erfahrung unvorhersehbar ist, auch bei Anwendung der unter den gegebenen Umständen vernünftigerweise zu erwartenden größtmöglichen Sorgfalt nicht durch wirtschaftlich zumutbare Mittel verhindert oder unschädlich gemacht werden kann und das Forgent aufgrund seiner Häufigkeit nicht hinnehmen muss, einschließlich, aber nicht beschränkt auf höhere Gewalt, Naturkatastrophen, Krieg, Terrorismus, Unruhen, zivile Unruhen, staatliche Maßnahmen, Arbeitskämpfe, Feuer, Überschwemmungen oder Pandemien („Ereignis höherer Gewalt"). Während des Andauerns eines Ereignisses höherer Gewalt sind die Verpflichtungen von Forgent in dem Umfang ausgesetzt, in dem sie von dem Ereignis betroffen sind, und Forgent gilt nicht als vertragsbrüchig. Forgent wird die Erfüllung seiner Verpflichtungen so bald wie vernünftigerweise möglich nach Beendigung des Ereignisses höherer Gewalt wieder aufnehmen.
FREISTELLUNG
Der Kunde erkennt an, dass er die Einhaltung aller anwendbaren gesetzlichen Vorschriften im Zusammenhang mit der beabsichtigten Nutzung der Vertragssoftware sicherstellen muss.
Der Kunde stellt Forgent von Ansprüchen Dritter frei, die gegen Forgent geltend gemacht werden und (i) auf Kundeninhalten beruhen, insbesondere auf deren Rechtsverletzung (z. B. Urheberrechts-, Marken-, Persönlichkeitsrechtsverletzungen, Verstöße gegen Datenschutzrecht), (ii) auf einem Verstoß des Kunden gegen Ziffer 7.5 (unzulässige Nutzung) beruhen, oder (iii) sich daraus ergeben, dass der Kunde die Vertragssoftware außerhalb des nach diesem Vertrag zulässigen Nutzungsumfangs eingesetzt hat. Die Freistellungspflicht gilt nicht, soweit Forgent die Ansprüche selbst schuldhaft verursacht hat oder soweit die Ansprüche auf einer Verletzung von Forgents Pflichten als Anbieter im Sinne der KI-Verordnung beruhen. Forgent wird den Kunden über geltend gemachte Ansprüche unverzüglich informieren, ihm angemessene Gelegenheit zur Mitwirkung an der Verteidigung geben und ohne vorherige Zustimmung des Kunden keine Anerkenntnis- oder Vergleichserklärungen abgeben.
VERTRAULICHKEIT
„Vertrauliche Informationen“ im Sinne dieses Vertrags sind sämtliche Informationen, die
die offenlegende Partei der empfangenden Partei im Rahmen der Vorbereitung und Durchführung dieser Vereinbarung mitteilt und die (i) als Vertrauliche Informationen deutlich gekennzeichnet, als solche bezeichnet oder in anderer Weise als solche erkennbar gemacht sind, (ii) wegen ihres Inhalts offensichtlich oder vernünftigerweise als vertraulich anzusehen sind, oder (iii) von vertraulichen Informationen, welche die offenlegende Partei zur Verfügung gestellt hat, abgeleitet wurden.
Vertrauliche Informationen von Forgent umfassen insbesondere:
Zugangsdaten, Benutzer-IDs und Passwörter für die Vertragssoftware;
Die Gestaltung der Vertragssoftware hinsichtlich UI/UX, Benutzerführung, Look & Feel und sonstige Elemente;
Preisgestaltungen und Preiskalkulationen, einschließlich der jeweiligen Berechnungsgrundlagen;
Die Architektur und die Prozesse, die Forgent verwendet, um die geschäftlichen Anforderungen des Kunden in die Vertragssoftware zu übersetzen, einschließlich, aber nicht beschränkt auf die Integration und den Zugriff auf externe Systeme oder die Erstellung von Anweisungen;
Allgemeine Konfigurationseinstellungen und textliche Anweisungen der Vertragssoftware, Prompts, Prompt-Architektur, System-Prompts, Befehle, Parameter und Einschränkungen; Schulungsmaterialien.
Vertrauliche Informationen des Kunden sind u.a. Kundeninhalte wie:
Kalkulationsgrundlagen und Preisstrukturen;
Strategische Informationen zu geplanten Angeboten;
Interne Leistungsverzeichnisse und Kostenkalkulationen;
Lieferanten- und Partnerinformationen;
Referenzprojekte und Kundenbeziehungen.
Vertrauliche Informationen sind nicht Informationen, die nachweislich
der empfangenden Partei bereits öffentlich zugänglich sind oder werden, ohne dass gegen diese Vereinbarung verstoßen wird;
im rechtmäßigen Besitz der empfangenden Partei sind oder von einer anderen Quelle als der offenlegenden Partei in ihren Besitz gelangen, vorausgesetzt, dass diese Quelle die Informationen rechtmäßig erworben hat und ihr die Offenlegung dieser Informationen nicht gesetzlich oder vertraglich untersagt ist; oder
von der empfangenden Partei unabhängig von und ohne Bezugnahme auf vertrauliche Informationen der offenlegenden Partei entwickelt wurden oder werden.
Alle zwischen den Parteien während der Laufzeit des Vertrags ausgetauschten vertraulichen Informationen, soweit nicht vertraglich zulässig
sind streng vertraulich zu behandeln und die empfangende Partei hat alle angemessenen technischen und organisatorischen Maßnahmen zu ergreifen, um vertrauliche Informationen der anderen Partei vor unbefugter Offenlegung zu schützen, einschließlich, aber nicht beschränkt auf, mindestens solcher Maßnahmen, die die empfangende Partei zum Schutz ihrer eigenen vertraulichen oder geschützten Informationen ergreift;
dürfen ausschließlich im Zusammenhang mit der Erbringung des Service verwendet werden, und die empfangende Partei wird die vertraulichen Informationen nicht in ihrem eigenen Interesse oder dem eines Dritten wirtschaftlich verwerten;
dürfen von der empfangenden Partei in keiner Weise oder Form an andere Personen als solchen, die diese vertraulichen Informationen im Zusammenhang mit der Durchführung dieses Vertrags vernünftigerweise kennen müssen, übergeben, offengelegt oder weitergegeben werden;
verbleiben im Eigentum der offenlegenden Partei; insbesondere ist diese Vereinbarung in keiner Weise derart zu verstehen, dass der empfangenden Partei irgendwelche Rechte oder Lizenzen an den vertraulichen Informationen oder an geistigen Eigentumsrechten der offenlegenden Partei übertragen oder eingeräumt werden; und
dürfen, ungeachtet der Verwendung der vertraulichen Informationen durch die empfangende Partei im Zusammenhang mit der Erbringung des Service, von der empfangenden Partei nicht für eigene Zwecke oder für Zwecke Dritter verwendet werden, und die empfangende Partei wird keine Schutzrechte oder sonstige Rechte an den vertraulichen Informationen oder Teilen davon beantragen oder beanspruchen.
Die empfangende Partei wird es unterlassen, vertrauliche Informationen durch Reverse-Engineering von Waren, Produkten oder Dienstleistungen, die vertrauliche Informationen enthalten, zu erlangen. Der Kunde wird insbesondere davon absehen, im Wege des Reverse-Engineering die Funktions- und Arbeitsweise der Vertragssoftware zu ermitteln.
Auf Verlangen, spätestens jedoch bei Beendigung der Geschäftsbeziehung, sind alle in diesem Zusammenhang von der empfangenden Partei erlangten vertraulichen Informationen an die offenlegende Partei zurückzugeben oder auf deren Anweisung unwiederbringlich zu vernichten. Elektronische Daten sind vollständig zu löschen. Zurückbehaltungsrechte können insoweit nicht geltend gemacht werden. Die Vernichtung wird der offenlegenden Partei auf Anfrage schriftlich bestätigt. Von den Pflichten gemäß dieser Ziffer 15.7 unberührt bleiben Aufbewahrungen aufgrund gesetzlicher Aufbewahrungspflichten.
Beide Parteien verpflichten sich, im Falle eines Verstoßes gegen die hier genannten Verpflichtungen oder sofern Anzeichen für einen solchen Verstoß vorliegen, die jeweils andere Partei unverzüglich zu unterrichten und bei der Eingrenzung eines Schadens mitzuwirken. Unbeschadet dessen hat Forgent bei einem Verstoß gegen die Bestimmungen dieses Abschnitts das Recht, vom Kunden zu verlangen, dass der pflichtwidrig handelnde Mitarbeiter bei der Vertragsdurchführung nicht mehr eingesetzt wird.
Die Verschwiegenheitspflicht endet mit Ablauf von fünf (5) Jahren nach Vertragsbeendigung.
Der Kunde ist verpflichtet, seine Unterlizenznehmer, Mitarbeiter und andere autorisierte Nutzer marktüblichen Vertraulichkeitsvereinbarungen zu unterwerfen, die mindestens die vertraulichen Informationen abdecken.
DATENSCHUTZ UND IT-SICHERHEIT
Soweit im Rahmen der Leistungen personenbezogene Daten verarbeitet werden, regelt sich der datenschutzrechtliche Rahmen ausschließlich nach dem Auftragsverarbeitungsvertrag (AVV), der in seiner zum Zeitpunkt des Vertragsschlusses auf der Website von Forgent AI GmbH veröffentlichten Fassung Bestandteil dieses Vertrags ist und mit Abschluss der Service Order wirksam wird.
Forgent wird marktübliche und angemessene IT-Sicherheitsmaßnahmen ergreifen, um die Vertraulichkeit, Integrität und Verfügbarkeit der Vertragssoftware und der Kundeninhalte zu schützen.
LAUFZEIT UND KÜNDIGUNG
Dieser Vertrag beginnt mit Unterzeichnung der ersten Service Order durch beide Parteien. Er wird für die in der Service Order angegebene Laufzeit geschlossen und unterliegt der darin beschriebenen Verlängerungsoption.
Die Vertragslaufzeit richtet sich nach den Bestimmungen der jeweiligen Service Order.
Das Recht beider Parteien zur fristlosen Kündigung aus einem sonstigen wichtigen Grund bleibt unberührt.
Forgent ist insbesondere berechtigt, den Vertrag aus wichtigem Grund fristlos zu kündigen, wenn:
der Kunde im Falle monatlicher Zahlungsperioden für zwei aufeinander folgende Termine mit der Entrichtung der Servicegebühren oder eines nicht unerheblichen Teils der Servicegebühren in Verzug ist und eine dem Kunden gesetzte Nachfrist von 14 Tagen erfolglos abgelaufen ist. Im Falle quartalsweiser, halbjährlicher oder jährlicher Zahlungsperioden der Servicegebühren gilt die Regelung entsprechend, wenn der Kunde in einem Zeitraum, der sich über mehr als einen Monat erstreckt, mit der Entrichtung der Servicegebühren in Höhe eines Betrags in Verzug ist, der die anteilige Vergütung für zwei Monate erreicht;
vorbehaltlich § 112 Insolvenzordnung, eine wesentliche Verschlechterung der Vermögensverhältnisse des Kunden eintritt oder einzutreten droht und dadurch die Zahlung der Vergütung oder die Erfüllung einer sonstigen wesentlichen Verbindlichkeit gegenüber Forgent konkret gefährdet wird, insbesondere, wenn der Kunde seine Zahlungen nicht nur vorübergehend einstellt, zahlungsunfähig oder überschuldet ist oder in sein Vermögen die Zwangsvollstreckung gegen sein Vermögen betrieben wird;
der Kunde eine Verletzung von wesentlichen Vertragspflichten trotz Abmahnung durch Forgent nicht unverzüglich einstellt und hierdurch die Rechte von Forgent in erheblichem Maße verletzt werden. Eine Abmahnung ist entbehrlich, wenn sie offensichtlich keinen Erfolg verspricht oder wenn besondere Umstände vorliegen, die unter Abwägung der beiderseitigen Interessen eine sofortige Kündigung rechtfertigen.
der Kunde die Vertragssoftware für oder im Zusammenhang mit der Förderung illegaler Geschäfte oder der Umgehung regulatorischer Vorschriften nutzt, einschließlich, aber nicht beschränkt auf den Handel mit verbotenen Gütern, Verstöße gegen Exportkontrollgesetze, Sanktionsvorschriften oder Aktivitäten, die eine Straftat nach geltendem Recht darstellen.
Die Kündigung bedarf der Schriftform.
Im Falle einer vorzeitigen Beendigung des Vertrags aufgrund einer vom Kunden zu vertretenden fristlosen Kündigung durch Forgent umfasst der Anspruch von Forgent zusätzlich zu evtl. noch rückständigen Brutto-Vergütungen und Servicegebühren und sonstigen Beträgen die für die vereinbarte Laufzeit noch ausstehenden Netto-Vergütungen und -Servicegebühren. Die Anrechnung ersparter Aufwendungen und anderer kündigungsbedingter Vorteile richtet sich nach den gesetzlichen Vorschriften. Mit Wirksamwerden der Kündigung wird der Anspruch von Forgent fällig. Weitergehende Schadensersatzansprüche von Forgent bleiben unberührt.
Mit Vertragsbeendigung enden die Service-Laufzeit, die Nutzungs-Lizenz sowie sonstige Rechte des Kunden an der Vertragssoftware. Forgent wird dem Kunden die auf dem Server gespeicherten Kundeninhalte innerhalb von 14 Tagen ab dem Zeitpunkt der Vertragsbeendigung in einem marktüblichen Format zum Download zur Verfügung zu stellen. Nach Ablauf dieser Frist, wird Forgent noch auf dem Server befindliche Kundeninhalte und sonstige Daten löschen, soweit Forgent nach diesem Vertrag nicht berechtigt ist, diese über die Vertragsbeendigung hinaus aufzubewahren. Forgent ist nicht verpflichtet, Kundeninhalte und/oder Service-Ergebnisse für den Kunden aufzubewahren oder bereitzustellen.
Die Parteien werden in gutem Glauben zusammenarbeiten, um alle erforderlichen Vereinbarungen zu treffen und Maßnahmen zu ergreifen, um die Einhaltung der Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung („Data Act“) sicherzustellen, soweit diese auf die Bereitstellung und Nutzung der Vertragssoftware und des Service anwendbar ist.
SCHLUSSBESTIMMUNGEN
Sollten einzelne Bestimmungen des Vertrags ganz oder teilweise unwirksam sein oder werden, wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Anstelle unwirksamer Bestimmungen treten in erster Linie solche, die den unwirksamen Bestimmungen in rechtswirksamer Weise wirtschaftlich am nächsten kommen. Gleiches gilt für eventuelle Regelungslücken.
Zum Zwecke der Vertragserfüllung kann sich Forgent anderer Dienstleister bedienen. Sofern in diesem Vertrag nicht anders vereinbart, dürfen die Parteien Rechte und Pflichten aus diesem Vertrag nur nach vorheriger schriftlicher Zustimmung durch die jeweils andere Partei an Dritte übertragen.
Die Parteien sind voneinander unabhängig. Zwischen den Parteien besteht keine Gesellschaft, kein Joint Venture und keine vergleichbare rechtliche Beziehung. Keine Partei ist berechtigt, die jeweils andere Partei rechtsgeschäftlich zu vertreten. Jede Partei ist ausschließlich gegenüber eigenem Personal zur Anleitung, Beaufsichtigung und Weisungserteilung befugt. Die Arbeitnehmer der einen Partei sind zu keinem Zeitpunkt in die Betriebs- und Arbeitsorganisation der anderen Partei eingegliedert.
Änderungen oder Ergänzungen dieses Vertrags – inklusive dieser Schriftformklausel – und ihrer Anlagen bedürfen zu ihrer Wirksamkeit der Schriftform. § 354a HGB bleibt hiervon unberührt.
Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dem Vertrag ist Berlin. Forgent ist auch berechtigt, am Sitz des Kunden oder einem sonst zuständigen Gericht zu klagen.
Es gilt das Recht der Bundesrepublik Deutschland mit Ausnahme von dessen Regelungen über die Rechtswahl, die zur Anwendung einer anderen Rechtsordnung führen würden. Die Geltung des CISG („UN-Kaufrecht”) wird ausgeschlossen.
Der Kunde erklärt sich damit einverstanden, dass Forgent den Firmennamen und das Firmenlogo des Kunden in Referenzlisten, auf der Website sowie in Marketingmaterialien zum Zwecke der Darstellung bestehender Geschäftsbeziehungen verwenden darf. Der Kunde kann diese Einwilligung jederzeit mit Wirkung für die Zukunft durch schriftliche Mitteilung an Forgent widerrufen.
Stand: 16. Juli 2026
