AGB

Teil A · Allgemeine Bestimmungen

§ 1 Geltungsbereich

(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“) gelten für alle Geschäftsbeziehungen zwischen datenlabor.io Inh. Daniel Schorpp, Am Brink 4, 31711 Luhden (nachfolgend „datenlabor“) und dem Kunden.

(2) Diese AGB richten sich ausschließlich an Unternehmer im Sinne von § 14 BGB. Verbraucher im Sinne von § 13 BGB sind von der Nutzung der Leistungen ausgeschlossen. Mit Auftragserteilung bestätigt der Kunde, dass er in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit handelt.

(3) Die AGB gelten für folgende Leistungen:

• (a) Entwicklung, Bereitstellung, Betrieb und Betreuung individueller Softwarelösungen sowie Betrieb und Betreuung bestehender Websites und Systeme des Kunden (Managed-Betrieb in einem der Betriebsmodelle nach § 11),
• (b) IT-Beratung, KI-Strategie, Security- und Compliance-Beratung,
• (c) Erstellung von Konzepten, Roadmaps und Machbarkeitsstudien,
• (d) Softwareentwicklung und Programmierung,
• (e) End-to-End-Testing und Qualitätssicherung.

(4) Abweichende, entgegenstehende oder ergänzende AGB des Kunden werden nicht Vertragsbestandteil, es sei denn, datenlabor stimmt ihrer Geltung ausdrücklich schriftlich zu.

(5) Diese AGB gelten auch für künftige Geschäftsbeziehungen, ohne dass es eines erneuten Hinweises bedarf. Für Verträge, die unter einer früheren Fassung dieser AGB geschlossen wurden, gilt diese Fassung erst, wenn der Kunde ihr ausdrücklich zustimmt, etwa im Kundenportal oder durch Unterschrift. Bis dahin gilt für sie die bisherige Fassung.

§ 2 Vertragsschluss

(1) Angebote von datenlabor sind freibleibend und unverbindlich, sofern sie nicht ausdrücklich als bindend gekennzeichnet sind.

(2) Der Vertrag kommt durch schriftliche Auftragserteilung des Kunden und schriftliche Auftragsbestätigung durch datenlabor zustande. Die Schriftform ist auch durch E-Mail gewahrt.

(3) Maßgeblich für den Leistungsumfang ist die jeweilige Leistungsbeschreibung im Angebot. Mündliche Nebenabreden bestehen nicht.

§ 3 Preise und Zahlungsbedingungen

(1) Alle Preise verstehen sich in Euro und netto zuzüglich der gesetzlichen Umsatzsteuer.

(2) Rechnungen sind innerhalb von 14 Tagen nach Rechnungsstellung ohne Abzug zur Zahlung fällig, sofern nicht anders vereinbart.

(3) Bei Zahlungsverzug ist datenlabor berechtigt, Verzugszinsen in Höhe von 9 Prozentpunkten über dem Basiszinssatz gemäß § 288 Abs. 2 BGB zu berechnen. Die Geltendmachung eines höheren Verzugsschadens bleibt vorbehalten.

(4) Eine Aufrechnung durch den Kunden ist nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen zulässig.

(5) datenlabor behält sich das Recht vor, bei Zahlungsverzug von mehr als 30 Tagen laufende Leistungen nach vorheriger Mahnung und Nachfristsetzung einzustellen, bis sämtliche offenen Forderungen beglichen sind. Für Kundensysteme (Teil B) richten sich die Folgen eines Zahlungsverzugs abschließend nach § 20; § 13 Abs. 6 und 9 bleiben unberührt.

§ 4 Mitwirkungspflichten des Kunden

(1) Der Kunde stellt alle zur Leistungserbringung erforderlichen Informationen, Unterlagen und Zugänge rechtzeitig und vollständig zur Verfügung.

(2) Der Kunde benennt eine ansprechbare, vertretungsberechtigte Person, die für Abstimmungen und Freigaben verfügbar ist.

(3) Der Kunde ist für die regelmäßige Sicherung seiner Daten selbst verantwortlich, soweit datenlabor die Datensicherung nicht als vertragliche Leistung übernommen hat. Die Übernahme ergibt sich aus dem Verantwortungsprofil des vereinbarten Betriebsmodells (§ 12, Anlage 1) oder aus dem Angebot: In den Betriebsmodellen B1 und B2 sichert datenlabor die Daten; in den Betriebsmodellen B3 und B4 gilt Anlage 1, soweit das Angebot nichts anderes festlegt. datenlabor empfiehlt eine tägliche Datensicherung.

(4) Der Kunde stellt sicher, dass seine IT-Umgebung die von datenlabor mitgeteilten Systemvoraussetzungen erfüllt.

(5) Verzögerungen, die auf eine Verletzung der Mitwirkungspflichten zurückzuführen sind, gehen nicht zulasten von datenlabor. Vereinbarte Termine verschieben sich entsprechend. Mehraufwand durch verspätete oder unvollständige Mitwirkung wird nach Aufwand abgerechnet.

§ 5 Nutzungsrechte und geistiges Eigentum

(1) Alle von datenlabor erstellten Werke (Software, Konzepte, Dokumentationen, Designs) sind urheberrechtlich geschützt.

(2) An der für den Kunden individuell entwickelten Lösung räumt datenlabor dem Kunden mit vollständiger Bezahlung der hierfür vereinbarten Vergütung ein ausschließliches, zeitlich, räumlich und inhaltlich unbeschränktes sowie übertragbares Nutzungsrecht ein. Der Kunde ist insbesondere berechtigt, die Lösung selbst zu betreiben oder durch Dritte betreiben zu lassen, sie zu ändern, weiterzuentwickeln und weiterentwickeln zu lassen sowie sie auch nach Beendigung der Zusammenarbeit mit datenlabor uneingeschränkt weiterzunutzen. Änderungen und Weiterentwicklungen durch den Kunden oder von ihm beauftragte Dritte erfolgen auf einem Server des Kunden (Betriebsmodelle B3 und B4) oder nach Übergabe der Lösung (Absätze 3 und 7), nicht auf der Infrastruktur von datenlabor (Betriebsmodelle B1 und B2, § 13 Abs. 2). Der Umfang des Nutzungsrechts bleibt davon unberührt.

(3) Zur Ausübung dieser Rechte stellt datenlabor dem Kunden die für den eigenständigen Betrieb erforderlichen Bestandteile der individuellen Lösung (insbesondere den individuell erstellten Quellcode) bereit. Zeitpunkt, Form und ein etwaiger Aufwand der Übergabe richten sich nach dem jeweiligen Vertrag. Server und sonstige Infrastruktur von datenlabor sind nicht Teil der Übergabe (§ 22 Abs. 4). Möchte der Kunde eine in B1 oder B2 betriebene Lösung selbst oder durch Dritte weiterentwickeln, setzt dies die Übergabe der Lösung oder einen Umzug auf einen Server des Kunden voraus (§ 11 Abs. 5).

(4) datenlabor bleibt berechtigt, die zur Erstellung der Lösung verwendeten allgemeinen Bausteine auch in anderen Projekten wiederzuverwenden. Hierzu zählen insbesondere wiederkehrende Programmbausteine, Module, Bibliotheken, Vorlagen, Werkzeuge, Verfahren sowie das allgemeine, nicht kundenspezifische Know-how, das datenlabor vor oder während der Zusammenarbeit entwickelt hat. Dieses Recht betrifft die Art und Weise, wie datenlabor Lösungen grundsätzlich erstellt, und besteht unabhängig von den Rechten des Kunden nach Absatz (2).

(5) datenlabor gibt die individuelle Gesamtlösung des Kunden nicht als Ganzes oder in ihren wesentlichen, kundenspezifischen Teilen an Dritte weiter, veräußert sie nicht und bildet sie nicht für Dritte nach. Die kundenspezifischen Inhalte, Daten, Geschäftsprozesse und Ideen des Kunden bleiben dem Kunden vorbehalten und werden vertraulich behandelt (§ 10).

(6) Bis zur vollständigen Bezahlung aller für die jeweilige Leistung fälligen Forderungen behält sich datenlabor die in Absatz (2) genannten Nutzungsrechte vor (Rechtevorbehalt). Bereits überlassene Werke darf der Kunde bis dahin nur im Rahmen des bestimmungsgemäßen Gebrauchs nutzen.

(7) Betreibt der Kunde die Lösung nach Übergabe selbst oder durch Dritte weiter, übernimmt datenlabor ab dem Zeitpunkt der Übergabe keine Verantwortung für Betrieb, Wartung und Sicherheit der Lösung, soweit hierzu keine gesonderte Vereinbarung besteht. In den Betriebsmodellen B3 und B4 gilt dies entsprechend für Änderungen, die der Kunde oder von ihm beauftragte Dritte an der Lösung vornehmen; für die übrigen Leistungen von datenlabor gelten §§ 14 und 15.

§ 6 Haftung

6.1 Allgemeine Haftung

(1) datenlabor haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper und Gesundheit.

(2) Bei leichter Fahrlässigkeit haftet datenlabor nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten). Die Haftung ist auf den vertragstypischen, vorhersehbaren Schaden begrenzt.

6.2 Haftungshöchstgrenze

(3) Die Gesamthaftung von datenlabor, gleich aus welchem Rechtsgrund, ist pro Vertragsjahr auf die Höhe der vom Kunden in den zwölf (12) Monaten vor dem schadensbegründenden Ereignis an datenlabor gezahlten Nettovergütung begrenzt. Bei einmaligen Leistungen (z. B. Einzelprojekte) ist die Haftung auf die Höhe der für die jeweilige Leistung gezahlten Nettovergütung begrenzt.

(4) Die Haftungshöchstgrenze gilt nicht für Fälle des Absatzes (1).

6.3 Ausschluss von Folgeschäden

(5) Ausgeschlossen ist, soweit gesetzlich zulässig, die Haftung für:

• (a) entgangenen Gewinn und entgangene Einnahmen,
• (b) Betriebsunterbrechungen und Produktionsausfälle,
• (c) Verlust oder Beschädigung von Daten, soweit der Kunde seiner Datensicherungspflicht gemäß § 4 Abs. 3 nicht nachgekommen ist,
• (d) verpasste Fristen gegenüber Dritten, insbesondere gegenüber Finanzbehörden, Sozialversicherungsträgern oder Geschäftspartnern,
• (e) Verlust von Geschäftsinformationen oder Geschäftschancen,
• (f) mittelbare Schäden und Folgeschäden jeder Art.

(6) Der Ausschluss gemäß Absatz (5) gilt nicht für Fälle des Absatzes (1).

6.4 Schadensminderungspflicht

(7) Der Kunde ist verpflichtet, zumutbare Maßnahmen zur Schadensvermeidung und Schadensminderung zu ergreifen. Hierzu gehören insbesondere:

• (a) die regelmäßige Sicherung von Daten (mindestens täglich), soweit sie nach § 4 Abs. 3 dem Kunden obliegt,
• (b) das zeitnahe Einspielen bereitgestellter Sicherheitsupdates, soweit dies nach dem Verantwortungsprofil dem Kunden obliegt,
• (c) die unverzügliche Meldung erkannter Störungen oder Sicherheitsvorfälle an datenlabor,
• (d) die Einhaltung der von datenlabor empfohlenen Systemvoraussetzungen und Konfigurationen.

(8) Unterlässt der Kunde zumutbare Schadensminderungsmaßnahmen, reduziert sich die Haftung von datenlabor entsprechend dem Mitverschulden des Kunden gemäß § 254 BGB.

6.5 Freistellung

(9) Der Kunde stellt datenlabor von sämtlichen Ansprüchen Dritter frei, die aus einer vertragswidrigen oder rechtswidrigen Nutzung der Leistungen durch den Kunden resultieren. Dies umfasst insbesondere:

• (a) Ansprüche Dritter wegen Datenschutzverletzungen, die auf einer fehlerhaften Konfiguration oder Nutzung der Lösung durch den Kunden beruhen,
• (b) Ansprüche wegen der Verletzung von Compliance-Vorschriften (z. B. GoBD, ArbZG), soweit die Ursache im Verantwortungsbereich des Kunden liegt,
• (c) Ansprüche aus der Umsetzung oder Nichtumsetzung von Beratungsempfehlungen durch den Kunden,
• (d) Ansprüche Dritter, insbesondere des Rechenzentrumsbetreibers von datenlabor, sowie notwendige Kosten der Bearbeitung von Beschwerden, jeweils wegen einer Nutzung durch den Kunden oder seine Nutzer, die gegen die Nutzungsregeln (§ 13 Abs. 4) verstößt.

(10) Der Kunde übernimmt die notwendigen Kosten der Rechtsverteidigung einschließlich aller Gerichts- und Anwaltskosten in gesetzlicher Höhe. datenlabor informiert den Kunden unverzüglich über geltend gemachte Ansprüche.

6.6 Ausschlussfrist

(11) Schadensersatzansprüche des Kunden, gleich aus welchem Rechtsgrund, sind innerhalb von sechs (6) Monaten nach Kenntnis des Schadens und der Person des Schädigers schriftlich gegenüber datenlabor geltend zu machen. Nach Ablauf dieser Frist sind die Ansprüche ausgeschlossen, es sei denn, der Kunde hat die verspätete Geltendmachung nicht zu vertreten.

(12) Diese Ausschlussfrist gilt nicht für Ansprüche aus Vorsatz, grober Fahrlässigkeit oder der Verletzung von Leben, Körper und Gesundheit.

6.7 Verjährung

(13) Abweichend von den gesetzlichen Verjährungsfristen verjähren alle Ansprüche des Kunden gegenüber datenlabor innerhalb von zwölf (12) Monaten ab dem gesetzlichen Verjährungsbeginn.

(14) Die verkürzte Verjährungsfrist gilt nicht für Ansprüche aus Vorsatz, grober Fahrlässigkeit, der Verletzung von Leben, Körper und Gesundheit sowie für Ansprüche aus der Verletzung wesentlicher Vertragspflichten.

(15) Die Haftungsbeschränkungen dieses § 6 gelten auch zugunsten der gesetzlichen Vertreter, Angestellten und Erfüllungsgehilfen von datenlabor.

6.8 Verantwortungsbereich bei Servern des Kunden

(16) In den Betriebsmodellen B3 und B4 haftet datenlabor nicht für Schäden aus Änderungen, die der Kunde oder von ihm beauftragte Dritte an Server, Betriebssystem, Netz oder Anwendung vornehmen. Gleiches gilt für Schäden aus Maßnahmen des Hosting-Dienstleisters des Kunden. Dies gilt nicht, soweit datenlabor den Schaden durch die Verletzung eigener Pflichten verursacht hat; Absatz (1) bleibt unberührt.

§ 7 Höhere Gewalt

(1) Keine Partei haftet für die Nichterbringung oder verzögerte Erbringung von Leistungen, soweit dies auf Umstände zurückzuführen ist, die außerhalb ihrer angemessenen Kontrolle liegen (Höhere Gewalt).

(2) Als Höhere Gewalt gelten insbesondere:

• (a) Naturkatastrophen, Epidemien, Pandemien,
• (b) Krieg, Terror, Aufruhr, Sanktionen, Embargos,
• (c) Streik, Aussperrung (auch bei Drittunternehmen),
• (d) behördliche Anordnungen und Gesetzesänderungen,
• (e) Ausfall oder Störung wesentlicher Drittdienste (Rechenzentren, Cloud-Provider, DNS-Anbieter, Internetinfrastruktur),
• (f) Cyberangriffe auf die Infrastruktur von datenlabor oder deren Dienstleistern (DDoS, Ransomware u. ä.), soweit datenlabor branchenübliche Sicherheitsmaßnahmen getroffen hat,
• (g) Stromausfälle und Störungen der Telekommunikationsinfrastruktur.

(3) Die betroffene Partei informiert die andere Partei unverzüglich über den Eintritt und die voraussichtliche Dauer des Hindernisses.

(4) Dauert ein Fall Höherer Gewalt länger als 90 Tage an, ist jede Partei berechtigt, den betroffenen Vertrag mit einer Frist von 14 Tagen außerordentlich zu kündigen.

§ 8 Compliance-Hinweis und Haftungsausschluss

(1) Im Rahmen von Beratungs- und Entwicklungsleistungen unterstützt datenlabor den Kunden dabei, gesetzliche Anforderungen (insbesondere GoBD, DSGVO, ArbZG, UStG) zu erfüllen. datenlabor übernimmt jedoch ausdrücklich keine Gewähr und keine Haftung dafür, dass der Geschäftsbetrieb des Kunden in jedem Einzelfall allen gesetzlichen Anforderungen entspricht.

(2) Die Verantwortung für die ordnungsgemäße Konfiguration, Nutzung und Pflege der bereitgestellten Funktionen liegt ausschließlich beim Kunden.

(3) datenlabor empfiehlt dem Kunden ausdrücklich, die Konfiguration und Nutzung compliance-relevanter Funktionen durch fachkundige Personen (z. B. Steuerberater, Datenschutzbeauftragte, Rechtsanwälte) prüfen und begleiten zu lassen.

(4) Gleiches gilt für Beratungsleistungen: Empfehlungen von datenlabor zu Compliance-Themen stellen keine Rechtsberatung dar und ersetzen nicht die Prüfung durch fachlich qualifizierte Berater.

§ 9 Datenschutz

(1) datenlabor verarbeitet personenbezogene Daten des Kunden ausschließlich im Rahmen der geltenden Datenschutzgesetze (DSGVO, BDSG).

(2) Einzelheiten zur Datenverarbeitung ergeben sich aus der Datenschutzerklärung auf der Website von datenlabor.

(3) Soweit datenlabor im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen die Parteien eine gesonderte Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO ab.

(4) Der Gegenstand der Vereinbarung zur Auftragsverarbeitung richtet sich nach dem Betriebsmodell (§ 11):

• (a) In den Betriebsmodellen B1 und B2 umfasst sie den Betrieb des Kundensystems auf der Infrastruktur von datenlabor einschließlich der von datenlabor eingesetzten Unterauftragsverarbeiter, insbesondere des Rechenzentrumsbetreibers.
• (b) Im Betriebsmodell B3 umfasst sie die Zugriffe von datenlabor auf den Server des Kunden. Den Vertrag mit seinem Hosting-Dienstleister schließt der Kunde selbst. Der Hosting-Dienstleister ist deshalb kein Unterauftragsverarbeiter von datenlabor.
• (c) Im Betriebsmodell B4 umfasst sie den Fernzugriff von datenlabor. Für den Datenschutz vor Ort, insbesondere Zutritt, Geräte und den Schutz im Haus, ist der Kunde verantwortlich.

§ 10 Geheimhaltung

(1) Beide Parteien verpflichten sich, alle im Rahmen der Zusammenarbeit erlangten vertraulichen Informationen geheim zu halten.

(2) Die Geheimhaltungspflicht gilt nicht für Informationen, die öffentlich bekannt sind, dem Empfänger bereits bekannt waren, von Dritten rechtmäßig erlangt wurden oder aufgrund gesetzlicher Verpflichtung offengelegt werden müssen.

(3) Die Geheimhaltungspflicht besteht über das Vertragsende hinaus für einen Zeitraum von drei (3) Jahren fort.

Teil B · Betrieb und Betreuung von Kundensystemen

Die folgenden Bestimmungen gelten ergänzend, wenn datenlabor ein System für den Kunden dauerhaft betreibt oder betreut (nachfolgend „Kundensystem“), insbesondere eine für den Kunden individuell entwickelte Lösung oder eine bestehende Website des Kunden. Sie beschreiben keinen Erwerb einer fertigen Standardsoftware, sondern den laufenden Betrieb und die Betreuung eines Kundensystems. Für Verträge, die unter einer früheren Fassung dieser AGB geschlossen wurden, gilt Teil B in dieser Fassung erst nach Zustimmung des Kunden (§ 1 Abs. 5).

§ 11 Betriebsmodelle

(1) Jedes Kundensystem wird in genau einem der folgenden Betriebsmodelle betrieben:

• (a) B1, bei datenlabor geteilt: Das Kundensystem läuft auf einem gemeinsam genutzten Server, den datenlabor in eigenem Namen bei einem Rechenzentrumsbetreiber angemietet hat, in einer eigenen, technisch abgegrenzten Umgebung. Die Ressourcengrenzen legt datenlabor je System fest. Der Kunde hat keinen Zugang zum Server.
• (b) B2, bei datenlabor auf dediziertem Server: Das Kundensystem läuft auf einem Server, der ausschließlich diesem Kunden dient und den datenlabor ebenfalls in eigenem Namen angemietet hat, auch als virtueller Server. B2 ist insbesondere für besonders schutzbedürftige Daten oder hohe Dauerlast vorgesehen. Der Kunde hat keinen Zugang zum Server.
• (c) B3, Server des Kunden bei seinem Hosting-Dienstleister: Der Kunde mietet den Server in eigenem Namen und auf eigene Rechnung bei einem Hosting-Dienstleister seiner Wahl und hat vollen Zugang. datenlabor betreibt darauf mit einem eigenen Zugang, was es für den Kunden baut oder betreut.
• (d) B4, lokaler Server im Firmennetz des Kunden: Der Server steht in den Räumen und im Netz des Kunden. Hardware, Strom, Netz, Firewall und physischer Zugang liegen beim Kunden. datenlabor betreibt die Anwendung über einen Fernzugang, den der Kunde bereitstellt.

(2) In den Betriebsmodellen B1 und B2 (nachfolgend „Infrastruktur von datenlabor“) verantwortet datenlabor den Server. In den Betriebsmodellen B3 und B4 (nachfolgend „Server des Kunden“) verantwortet der Kunde den Server und alles, was er oder Dritte, ausgenommen datenlabor und dessen Erfüllungsgehilfen, darauf oder in seinem Netz tun.

(3) Mischformen sind ausgeschlossen. Ein Kundensystem liegt entweder vollständig auf der Infrastruktur von datenlabor oder vollständig auf einem Server des Kunden.

(4) Möchte der Kunde administrativen Zugang zum Server (insbesondere Root-, SSH- oder Deploy-Zugang) erhalten oder das Kundensystem selbst oder durch Dritte mitentwickeln, kommt nur ein Betrieb auf einem Server des Kunden in Betracht (B3 oder B4).

(5) Ein Wechsel des Betriebsmodells erfolgt ausschließlich als Umzug: Das Kundensystem wird im neuen Betriebsmodell neu aufgebaut, die Daten werden übertragen. Server werden dabei nicht übertragen. Der Umzug wird gesondert vereinbart und vergütet.

§ 12 Verantwortungsprofile und Angebot

(1) Für jedes Betriebsmodell gilt ein festes Verantwortungsprofil. Es legt fest, wer für Server und Hosting, Domain, Updates und Sicherheit, Sicherungen, Inhalte, eigene Änderungen des Kunden, angebundene Fremd- und KI-Dienste, Datenschutz (Auftragsverarbeitung) sowie Störungen und Vorfälle verantwortlich ist. Beim lokalen Server (B4) kommen Hardware, Strom, Netz, Fernzugang, Sicherungen außer Haus, Updates des Betriebssystems, physischer Zugang, Ausfall und Wiederanlauf sowie Datenschutz vor Ort hinzu. Die Profile ergeben sich aus Anlage 1.

(2) Jedes Angebot über den Betrieb oder die Betreuung eines Kundensystems nennt das Betriebsmodell und das zugehörige Verantwortungsprofil. Das Angebot kann das Profil für seinen Umfang ergänzen oder einschränken. Abweichungen vom Profil gelten nur, wenn das Angebot sie ausdrücklich als solche bezeichnet. Von § 11 Abs. 3 und 4, § 13 Abs. 2 und den Zeilen ‚Server und Hosting‘, ‚Zugang des Kunden zum Server‘ und ‚Eigene Änderungen des Kunden‘ der Anlage 1 weicht kein Angebot ab; ein solcher Wunsch führt zur Neuzuordnung nach Absatz (4).

(3) Bei Widersprüchen gilt vorbehaltlich Absatz (2) Satz 4 folgende Rangfolge: (a) das Angebot einschließlich Leistungsbeschreibung und Verantwortungsprofil, (b) Teil B dieser AGB einschließlich Anlage 1, (c) Teil A dieser AGB.

(4) Ändern sich die Umstände, die der Zuordnung zugrunde liegen, etwa weil der Kunde selbst entwickeln oder administrativen Zugang erhalten möchte, ordnen die Parteien das Kundensystem neu zu. § 11 Abs. 5 gilt.

§ 13 Betrieb auf der Infrastruktur von datenlabor (B1, B2)

(1) Die Server der Betriebsmodelle B1 und B2 mietet datenlabor in eigenem Namen bei einem Rechenzentrumsbetreiber mit Servern in der EU. Vertragspartner des Rechenzentrumsbetreibers ist allein datenlabor.

(2) Der Kunde erhält keinen administrativen Zugang zum Server (insbesondere keinen Root-, SSH- oder Deploy-Zugang) und spielt keinen eigenen Code ein. Er nutzt das Kundensystem über die Zugänge zur Anwendung (§ 17 Abs. 3). Code, den der Kunde oder Dritte erstellt oder geändert haben, betreibt datenlabor in B1 und B2 nur, wenn der Kunde ihn an datenlabor übergeben hat und weitere Änderungen ausschließlich durch datenlabor erfolgen. Als eigener Code gelten auch Erweiterungen, Vorlagen und Skripte, die sich über die Anwendung installieren lassen; ihre Installation ist datenlabor vorbehalten.

(3) Zum Schutz der Infrastruktur und aller darauf betriebenen Systeme trifft datenlabor in B1 und B2 angemessene Maßnahmen gegen missbräuchliche Aktivitäten, insbesondere Spam, Mining, ungewöhnliche Lastspitzen und ungeschützt geöffnete Dienste. Eine Zusage, dass solche Aktivitäten ausgeschlossen sind, ist damit nicht verbunden. Für Inhalte und für die Nutzung der Anwendung durch den Kunden und seine Nutzer bleibt der Kunde verantwortlich (Absatz 4).

(4) Der Kunde und seine Nutzer verwenden das Kundensystem nicht für

• (a) den Versand unerwünschter Nachrichten (Spam) oder Phishing,
• (b) das Verbreiten oder Ausführen von Schadsoftware,
• (c) Angriffe auf andere Systeme, insbesondere unbefugtes Eindringen (Hacking) oder Überlastungsangriffe (DDoS),
• (d) das Errechnen von Kryptowährungen (Mining),
• (e) Proxy- oder Anonymisierungsdienste für Dritte,
• (f) Handlungen, die zur Aufnahme von Servern, Adressen oder Domains in Sperrlisten führen können,
• (g) sonstige Nutzungen, die gegen geltendes Recht oder gegen dem Kunden mitgeteilte Bedingungen des Rechenzentrumsbetreibers verstoßen.

(5) datenlabor ist berechtigt, die Systeme in B1 und B2 technisch zu überwachen, um Missbrauch, Störungen und Gefahren für die Infrastruktur zu erkennen. Die Überwachung erfasst technische Metadaten wie Auslastung, Datenverkehr, Verbindungen und offene Dienste, nicht aber die Inhalte der Kundendaten. Eine Pflicht von datenlabor zu einer bestimmten Überwachung oder ein Anspruch des Kunden darauf wird hierdurch nicht begründet.

(6) Besteht der begründete Verdacht, dass ein Kundensystem gegen Absatz (4) verstößt, andere Systeme, die Infrastruktur oder Dritte gefährdet oder eine Maßnahme des Rechenzentrumsbetreibers auslösen kann, darf datenlabor das System drosseln, einzelne Funktionen abschalten oder das System vorübergehend sperren, soweit dies zur Abwehr der Gefahr erforderlich ist. datenlabor informiert den Kunden unverzüglich über Anlass und Umfang der Maßnahme. datenlabor hebt die Maßnahme auf, sobald die Ursache behoben ist.

(7) Bei wiederholten oder schwerwiegenden Verstößen gegen Absatz (4) kann datenlabor den Umzug des Kundensystems auf einen Server des Kunden (B3) verlangen oder den Vertrag aus wichtigem Grund kündigen.

(8) Für Ansprüche Dritter und die Kosten der Bearbeitung von Beschwerden wegen eines Verstoßes gegen Absatz (4) gilt die Freistellung nach § 6 Abs. 9 Buchstabe (d).

(9) Der Rechenzentrumsbetreiber kann nach seinen Vertragsbedingungen Server, Dienste oder das gesamte Konto von datenlabor sperren, einschränken oder kündigen, auch aus Anlässen, die andere Systeme im selben Konto betreffen. Eine Garantie, dass solche Maßnahmen auf ein einzelnes Kundensystem beschränkt bleiben, übernimmt datenlabor nicht. datenlabor informiert den Kunden unverzüglich, wenn eine solche Maßnahme sein Kundensystem betrifft.

(10) Für Ausfälle infolge von Maßnahmen des Rechenzentrumsbetreibers haftet datenlabor nur, soweit datenlabor die Maßnahme durch die Verletzung eigener Pflichten verursacht hat; im Übrigen gilt § 6.

§ 14 Betrieb auf einem Server des Kunden (B3, B4)

(1) In den Betriebsmodellen B3 und B4 stellt der Kunde den Server. Im Betriebsmodell B3 ist der Kunde Vertragspartner seines Hosting-Dienstleisters und verantwortet die Einhaltung von dessen Bedingungen; für das Betriebsmodell B4 gilt zusätzlich § 15. Der Kunde verantwortet den Server und alles, was er oder Dritte, ausgenommen datenlabor und dessen Erfüllungsgehilfen, auf dem Server oder in seinem Netz tun.

(2) Der Kunde richtet datenlabor einen eigenen Zugang mit eigener Kennung ein, der nicht mit anderen Personen geteilt wird. Der Zugang umfasst, was für die vereinbarten Leistungen erforderlich ist. Der Kunde kann den Zugang jederzeit ändern oder entziehen; die davon abhängigen Leistungen ruhen dann, § 4 Abs. 5 gilt entsprechend. datenlabor verwendet die Zugangsdaten nur zur Leistungserbringung, hält sie geheim und protokolliert seine Zugriffe.

(3) datenlabor betreibt und betreut auf dem Server des Kunden nur, was im Angebot vereinbart ist, in der Regel die Anwendung, die datenlabor für den Kunden gebaut hat oder betreut. Härtung, Updates und Sicherungen des Servers und seines Betriebssystems übernimmt datenlabor nur, soweit das Verantwortungsprofil oder das Angebot dies vorsieht.

(4) Störungen, die der Kunde oder von ihm beauftragte Dritte verursachen, etwa durch Änderungen an Server, Betriebssystem, Netz oder Anwendung, behebt datenlabor auf Wunsch des Kunden als gesonderte Leistung gegen Vergütung nach Aufwand.

(5) Für Verfügbarkeit, Leistungsfähigkeit und Sicherheit des Servers, des Netzes und der Leistungen des Hosting-Dienstleisters übernimmt datenlabor keine Zusage. § 18 Abs. 1 gilt in B3 und B4 nicht.

(6) Sperrt, beschränkt oder kündigt der Hosting-Dienstleister den Server oder das Konto des Kunden, liegt dies nicht im Verantwortungsbereich von datenlabor, soweit datenlabor die Maßnahme nicht durch die Verletzung eigener Pflichten verursacht hat.

(7) Meldungen seines Hosting-Dienstleisters zu Missbrauch, Sicherheitsvorfällen oder Störungen leitet der Kunde unverzüglich an datenlabor weiter, soweit sie das Kundensystem betreffen. datenlabor unterstützt bei der Bearbeitung im vereinbarten Umfang.

§ 15 Zusätzliche Bestimmungen für den lokalen Server (B4)

(1) Der Kunde stellt einen Server, der die von datenlabor für die jeweilige Anwendung mitgeteilten Mindestanforderungen an Prozessor, Arbeitsspeicher, Speicher und Betriebssystem erfüllt. Kauf, Garantie und Ersatz bei Defekt liegen beim Kunden.

(2) Der Kunde sorgt für Stromversorgung, Netzanbindung und Firewall einschließlich der Freigaben für den Zugang von datenlabor. Er sichert den Server durch eine unterbrechungsfreie Stromversorgung (USV) ab.

(3) Der Kunde stellt einen festen, verschlüsselten Fernzugang (zum Beispiel über ein VPN) mit eigener Kennung für datenlabor bereit. Er benennt eine Ansprechperson, die den Zugang ein- und abschaltet. Fehlt der Fernzugang oder ist er abgeschaltet, ruhen die davon abhängigen Leistungen, insbesondere Updates und Sicherungen; die Folgen trägt der Kunde.

(4) Raum, Schlüssel, Zutritt und der physische Schutz des Servers liegen beim Kunden. Ebenso liegt der Datenschutz vor Ort beim Kunden.

(5) datenlabor richtet die Sicherung auf einen Speicher außerhalb der Räume des Kunden ein und prüft sie. Den Speicher stellt der Kunde in eigenem Vertrag und auf eigene Kosten. Zugang und Aufbewahrungsdauer legt das Angebot fest.

(6) Fallen Server, Strom, Netz oder Firewall aus, liegt dies nicht im Verantwortungsbereich von datenlabor. datenlabor stellt die Anwendung wieder her und spielt Sicherungen zurück, sobald Server und Fernzugang wieder bereitstehen.

(7) Updates des Betriebssystems spielt datenlabor per Fernzugang im Wartungsfenster ein, soweit das Verantwortungsprofil oder das Angebot dies vorsieht.

(8) Einsätze vor Ort gehören nicht zum Leistungsumfang des Betriebs. Sie werden gesondert vereinbart und vergütet.

§ 16 Leistungsbeschreibung und KI-Funktionen

(1) datenlabor betreibt oder betreut das Kundensystem als Managed Service in dem im Angebot genannten Betriebsmodell (§ 11). In den Betriebsmodellen B1 und B2 läuft das Kundensystem auf Servern in der EU (§ 13 Abs. 1).

(2) Der Leistungsumfang umfasst, soweit im Angebot vereinbart:

• (a) in B1 und B2 die Bereitstellung und den Betrieb des Servers mit dem Kundensystem, in B3 und B4 den Betrieb des Kundensystems auf dem Server des Kunden,
• (b) Ersteinrichtung (Server-Setup nur in B1 und B2; Domain, SSL-Zertifikat, E-Mail-Konfiguration, Backup-Einrichtung, Zwei-Faktor-Authentifizierung),
• (c) regelmäßige verschlüsselte Backups der Kundendaten,
• (d) Updates und Sicherheitspatches,
• (e) technische Wartung des Servers in B1 und B2, in B3 und B4 nur, soweit das Angebot sie ausdrücklich vorsieht,
• (f) persönlichen Support.

(3) Der konkrete Funktions- und Leistungsumfang der betriebenen Lösung ergibt sich aus der individuellen Leistungsbeschreibung im Angebot.

(4) Soweit die betriebene Lösung KI-gestützte Funktionen enthält, stellt datenlabor die technischen Voraussetzungen für deren Nutzung bereit. In allen Betriebsmodellen setzt die Nutzung voraus, dass der Kunde einen eigenen Vertrag mit dem jeweiligen KI-Anbieter schließt und eigene Zugangsschlüssel bereitstellt; die Einrichtung übernimmt datenlabor nach dem Angebot. Die Nutzungskosten des KI-Anbieters trägt der Kunde; der KI-Anbieter rechnet sie direkt mit dem Kunden ab. Die Entscheidung über den Einsatz und die daraus folgenden Pflichten liegen beim Kunden. Für den KI-Ablauf ist datenlabor Auftragsverarbeiter des Kunden. Die Einzelheiten, insbesondere die Einbindung des KI-Anbieters und Übermittlungen in Drittländer, regelt die Vereinbarung zur Auftragsverarbeitung. § 6 bleibt unberührt. Die Sätze 2 und 3 gelten nicht, soweit datenlabor eine KI-Funktion vereinbarungsgemäß lokal und vollständig selbst betrieben auf dem Server bereitstellt, auf dem das Kundensystem läuft; hierfür gelten die Leistungsbeschreibung und die Vereinbarung zur Auftragsverarbeitung.

§ 17 Einrichtung und Bereitstellung

(1) Für die erstmalige Einrichtung fällt eine einmalige Einrichtungsgebühr an, deren Höhe sich aus dem Angebot ergibt.

(2) datenlabor richtet das Kundensystem innerhalb eines angemessenen Zeitraums nach Vertragsschluss und Zahlungseingang der Einrichtungsgebühr ein, in B1 und B2 einschließlich des Servers. In B3 und B4 beginnt die Einrichtung, sobald der Kunde den Server und den Zugang nach § 14 Abs. 2 bereitgestellt hat.

(3) Der Kunde erhält nach Fertigstellung der Einrichtung die Zugangsdaten zur Anwendung. In B1 und B2 umfassen sie keinen Zugang zum Server (§ 13 Abs. 2).

§ 18 Verfügbarkeit und Wartung

(1) datenlabor strebt in den Betriebsmodellen B1 und B2 eine Serververfügbarkeit von 99 % im Jahresmittel an (bezogen auf die Gesamtzeit abzüglich geplanter Wartungsfenster). Für B3 und B4 gilt § 14 Abs. 5.

(2) Die Verfügbarkeitszusage stellt keine Garantie dar. Bei Nichterreichung der angestrebten Verfügbarkeit bestehen keine Ansprüche auf Minderung oder Schadensersatz, es sei denn, datenlabor hat die Nichterreichung vorsätzlich oder grob fahrlässig verursacht.

(3) Geplante Wartungsarbeiten werden dem Kunden mindestens 48 Stunden im Voraus angekündigt und finden nach Möglichkeit außerhalb der üblichen Geschäftszeiten statt.

(4) datenlabor ist berechtigt, Updates einzuspielen, die für die Sicherheit und Stabilität des Systems erforderlich sind.

(5) Wartungsarbeiten, Störungen und Maßnahmen des Rechenzentrumsbetreibers (§ 13 Abs. 9) liegen außerhalb der Steuerung von datenlabor. Absatz (3) gilt für sie nicht.

§ 19 Domains

(1) Domains für das Kundensystem werden auf den Namen des Kunden registriert. Der Kunde ist Inhaber (Registrant) der Domain.

(2) Vor der Registrierung oder Übernahme einer Domain nimmt der Kunde die Domain-Bedingungen des jeweiligen Registrars in ihrer aktuellen Fassung an. datenlabor dokumentiert die Annahme und bewahrt den Nachweis mindestens drei Jahre auf.

(3) Der Kunde hält seine Inhaberdaten vollständig und richtig und teilt Änderungen unverzüglich mit. Unrichtige Angaben können nach den Bedingungen des Registrars zur Kündigung oder Löschung der Domain führen.

(4) In den Betriebsmodellen B1 und B2 verwaltet datenlabor die Domain technisch im Rahmen der vereinbarten Leistungen. Im Betriebsmodell B3 verwaltet datenlabor die Domain nach Absprache. Im Betriebsmodell B4 wird eine Domain nur registriert, soweit sie benötigt wird.

(5) datenlabor macht an der Domain kein Zurückbehaltungsrecht geltend, auch nicht bei Zahlungsverzug, während einer Sperre (§ 20) oder nach Vertragsende. datenlabor übergibt die Verwaltung der Domain auf Verlangen, spätestens bei Vertragsende, an den Kunden oder an einen von ihm benannten Dritten.

(6) datenlabor verlängert eine Domain nur, wenn der Kunde die Verlängerungsgebühr im Voraus bezahlt hat (Vorkasse). Rechtzeitig vor dem Ablauf der Domain weist datenlabor den Kunden auf die Verlängerung und die erforderliche Vorkasse hin.

§ 20 Zahlungsverzug und Sperre

(1) Die Absätze (2) bis (5) gelten in den Betriebsmodellen B1 und B2. Für B3 und B4 gilt Absatz (6).

(2) Ist der Kunde mit der Zahlung fälliger Vergütung für den Betrieb mehr als 30 Tage in Verzug, mahnt datenlabor ihn schriftlich und setzt eine Zahlungsfrist von mindestens 14 Tagen. Die Mahnung weist auf die Sperre nach Absatz (3) hin.

(3) Zahlt der Kunde nicht innerhalb der Frist, darf datenlabor das Kundensystem sperren. Während der Sperre ist die Anwendung nicht erreichbar; die Daten des Kunden bleiben vollständig erhalten. Die Sperre endet, sobald sämtliche fälligen Forderungen beglichen sind.

(4) Ist die Sperre 30 Tage nach ihrem Beginn nicht aufgehoben, bietet datenlabor dem Kunden den Export seiner Daten an. datenlabor ist dann berechtigt, den Vertrag aus wichtigem Grund zu kündigen. Nach Vertragsende gilt § 21 Abs. 4: Die Daten stehen 30 Tage zum Download bereit und werden danach gelöscht.

(5) Für die Domain gelten auch während der Sperre § 19 Abs. 5 und 6.

(6) In den Betriebsmodellen B3 und B4 ruht bei einem Verzug im Sinne von Absatz (2) Satz 1 nach Mahnung und fruchtlosem Ablauf einer Frist von 14 Tagen nur die Leistung von datenlabor. Eine Sperre des Kundensystems findet dort nicht statt.

§ 21 Laufzeit, Kündigung und Ausstieg

(1) Laufzeit und Kündigung des Vertrags über Betrieb oder Betreuung eines Kundensystems richten sich nach dem Angebot; bestimmt es nichts, ist der Vertrag von jeder Partei zum Ende eines Kalendermonats kündbar.

(2) Die laufende Vergütung ist zum Ersten des Abrechnungszeitraums im Voraus fällig, mangels anderer Bestimmung im Angebot monatlich; nutzungsabhängige Vergütung wird nachträglich abgerechnet.

(3) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(4) In den Betriebsmodellen B1 und B2 stellt datenlabor dem Kunden bei Vertragsende seine Daten in einem gängigen Format für einen Zeitraum von 30 Tagen zum Download bereit. Nach Ablauf dieser Frist werden die Daten unwiderruflich gelöscht. Für die Migration der Daten in andere Systeme ist der Kunde selbst verantwortlich. Für die Bereitstellung von Quellcode und sonstigen Bestandteilen der individuellen Lösung gelten ergänzend die Regelungen aus § 5 Abs. 3.

(5) Beim Ausstieg aus den Betriebsmodellen B1 und B2 übergibt datenlabor die Verwaltung der Domain (§ 19 Abs. 5) und stellt die Daten, die Konfiguration und den individuell erstellten Code nach Maßgabe von § 5 Abs. 3 bereit. Neuaufbau und Datenübertragung obliegen dem Kunden; datenlabor unterstützt auf Wunsch nach Aufwand. Server werden nicht übertragen.

(6) In den Betriebsmodellen B3 und B4 verbleiben Kundensystem und Daten bei Vertragsende auf dem Server des Kunden. Mit Vertragsende endet der Zugang von datenlabor; der Kunde sperrt ihn.

§ 22 Daten und Eigentum

(1) Alle vom Kunden eingegebenen oder durch die Nutzung erzeugten Daten verbleiben im Eigentum des Kunden.

(2) datenlabor nutzt Kundendaten ausschließlich zum Zweck der vertragsmäßigen Leistungserbringung.

(3) Der Kunde kann seine Daten jederzeit über die in der jeweiligen Lösung vorhandenen Export-Funktionen exportieren, soweit solche vereinbart und bereitgestellt wurden.

(4) Dem Kunden stehen seine Daten, der für ihn individuell erstellte Code nach Maßgabe von § 5, die Konfiguration seines Kundensystems und seine Domain (§ 19) zu. Nicht dazu gehören die Server in einem Konto von datenlabor einschließlich virtueller Server sowie die übrige Infrastruktur von datenlabor; sie werden weder übertragen noch überlassen.

Anlage 1 Verantwortungsprofile B1 bis B4

Das Profil gilt für jedes Angebot im jeweiligen Betriebsmodell; das Angebot kann es nach § 12 Abs. 2 ergänzen oder einschränken.

Teil 1: Themen aller Betriebsmodelle

Teil 2: Zusätzliche Themen beim lokalen Server (B4)

In den Betriebsmodellen B1 bis B3 entfallen diese Themen.