Ergänzende Geschäftsbedingungen für Managed Services (EGB MSP)
der itelis solutions GmbH & Co. KG
Fassung: 1.1 — Stand: September 2026
Präambel
Managed Services unterstützen den Auftraggeber beim sicheren, wirtschaftlichen und zuverlässigen Betrieb seiner IT-Systeme. Die itelis solutions GmbH & Co. KG (nachfolgend „itelis”) erbringt wiederkehrende Betriebs-, Überwachungs-, Support-, Pflege- und Sicherheitsleistungen und arbeitet hierbei mit dem Auftraggeber langfristig und abgestimmt zusammen.
Diese Ergänzenden Geschäftsbedingungen regeln die hierfür maßgeblichen Besonderheiten, insbesondere die Verteilung von Aufgaben, Entscheidungsbefugnissen und Risiken zwischen itelis, den beteiligten Herstellern und dem Auftraggeber. Der konkrete Leistungsinhalt ergibt sich aus dem Angebot einschließlich etwaiger Leistungsscheine, Leistungsbeschreibungen, System-Scope-, Service-Level- und sonstiger ausdrücklich einbezogener Leistungsanlagen. Diese EGB MSP ergänzen die Allgemeinen Geschäftsbedingungen von itelis (nachfolgend „AGB”) und ersetzen diese nicht.
§ 1 Geltungsbereich
(1) Diese Ergänzenden Geschäftsbedingungen für Managed Services (nachfolgend „EGB MSP”) gelten ergänzend zu den AGB für sämtliche Managed Services sowie für damit zusammenhängende Support-, Monitoring-, Betriebs-, Administrations- und Sicherheitsleistungen von itelis gegenüber Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Gegenüber Verbrauchern finden sie keine Anwendung.
(2) Sie gelten insbesondere für Leistungen in den Bereichen Monitoring, Remote Management, Patchmanagement, Datensicherung, Endpoint- und Serversicherheit, Netzwerk- und Firewallbetreuung, Betriebsunterstützung, Support und Administration sowie für sonstige wiederkehrende Service- und Betriebsleistungen.
(3) Soweit diese EGB MSP keine abweichende Regelung enthalten, gelten die AGB uneingeschränkt fort. Begriffe, die in den AGB definiert sind, haben in diesen EGB MSP dieselbe Bedeutung.
§ 2 Vertragsunterlagen, Rangfolge und Verhältnis zu weiteren EGB
(1) Art, Umfang, Servicezeiten, System-Scope und Vergütung der Leistungen ergeben sich aus dem Angebot einschließlich etwaiger Leistungsscheine, Servicekataloge, Leistungsbeschreibungen, System-Scope-, Service-Level- und sonstiger ausdrücklich einbezogener Leistungsanlagen.
(2) Für die Rangfolge der Vertragsunterlagen gilt § 2 Abs. 5 AGB. Ergänzend gilt § 14 Abs. 2 dieser EGB MSP für Bedingungen von Herstellern.
(3) Die EGB MSP, EGB SaaS und EGB Cloud sind gleichrangig und gelten jeweils nur für ihren Regelungsbereich. Bei Widersprüchen geht die für den betroffenen Leistungsgegenstand speziellere Regelung vor.
(4) Erbringt itelis kombinierte Leistungen mit Managed-Service-, Software-as-a-Service- und Cloudanteilen, gelten die jeweiligen Ergänzenden Geschäftsbedingungen nebeneinander. Die EGB MSP gelten für Betrieb, Überwachung, Administration, Support und Sicherheitsleistungen, die EGB SaaS für Überlassung, Lizenzierung, Abrechnung und Beendigung von Softwareleistungen und die EGB Cloud für die Bereitstellung von Infrastruktur-, Hosting- und Rechenzentrumsleistungen.
§ 3 Leistungsumfang, Servicekatalog und System-Scope
(1) itelis erbringt die vereinbarten Managed Services mit der im Geschäftsverkehr üblichen Sorgfalt nach dem allgemein anerkannten Stand der Technik im Rahmen des vereinbarten Leistungsumfangs.
(2) Die betreuten Systeme werden in einem System-Scope (Leistungsanlage, Asset- oder Serviceregister) bezeichnet. Der System-Scope benennt insbesondere die betreuten Standorte, Mandanten, Server, Arbeitsplatzsysteme, Netzwerk- und Sicherheitskomponenten, Backupaufträge und Sicherheitsprodukte sowie die ausdrücklich ausgeschlossenen Systeme. Er ist Bestandteil des Vertrags.
(3) Leistungen werden nur für die im System-Scope aufgeführten Systeme geschuldet. Für Systeme, Anwendungen, Standorte oder Mandanten, die nicht aufgeführt sind, bestehen keine Leistungspflichten; die pauschale Vergütung umfasst sie nicht.
(4) Der Auftraggeber informiert itelis unverzüglich über Änderungen der betreuten Umgebung, insbesondere über Inbetriebnahmen, Außerbetriebnahmen, Standort-, Mandanten-, Benutzer-, Zugangs- oder wesentliche Konfigurationsänderungen. Der System-Scope wird in Textform, insbesondere durch Angebot, Leistungsschein, System-Scope-Register, Ticketfreigabe oder schriftliche Bestätigung, fortgeschrieben. Nimmt itelis auf Veranlassung oder mit Kenntnis und Zustimmung des Auftraggebers zusätzliche Systeme, Benutzer, Endgeräte, Standorte, Mandanten, Komponenten oder Leistungen in die laufende Betreuung, Überwachung, Administration, Sicherung oder Sicherheitsverwaltung auf, gelten diese ab dem dokumentierten Beginn der Leistungserbringung als Erweiterung des System-Scope. Die Vergütung richtet sich nach den vereinbarten Mengenpreisen; soweit keine Mengenpreise vereinbart sind, nach den im Angebot, in der Auftragsbestätigung oder in einer bei Beauftragung zugänglich gemachten Preisliste ausgewiesenen Vergütungssätzen.
(5) Der Erfolg einzelner Maßnahmen im Sinne eines bestimmten wirtschaftlichen, technischen oder sicherheitsbezogenen Ergebnisses sowie die vollständige Vermeidung von Störungen, Sicherheitsvorfällen oder Ausfällen werden nur geschuldet, soweit dies ausdrücklich in Textform vereinbart ist.
§ 4 Nicht enthaltene Leistungen und Zusatzleistungen
(1) Nicht Bestandteil der Managed Services sind, soweit nicht ausdrücklich vereinbart, insbesondere Projektleistungen, Migrationen, Neuinstallationen, individuelle Anpassungen und Entwicklungen, Vor-Ort-Einsätze, Schulungen, die Erstellung und Fortschreibung von Dokumentationen, Notfallmaßnahmen, Incident-Response- und forensische Leistungen, Krisenmanagement, Wiederherstellungsprojekte, Beratungsleistungen sowie Leistungen außerhalb der vereinbarten Servicezeiten.
(2) Zusatzleistungen können jederzeit gesondert beauftragt werden und werden nach den vereinbarten Vergütungssätzen, im Übrigen nach Aufwand vergütet.
(3) Die Übernahme von Organisations-, Leitungs- oder Betreiberfunktionen, insbesondere der Funktion eines Informationssicherheitsbeauftragten, eines Datenschutzbeauftragten oder der Verantwortung für Business Continuity Management, bedarf einer gesonderten Vereinbarung in Textform.
(4) Wiederholt erbrachte Unterstützungs- oder Kulanzleistungen und tatsächliche Abläufe begründen keinen Anspruch auf eine dauerhafte Erweiterung des vereinbarten Leistungsumfangs oder auf die Übernahme weitergehender Verantwortlichkeiten, sofern die Parteien keine abweichende Vereinbarung in Textform treffen.
§ 5 Rollenverteilung, Mitwirkung und technische Mindestvoraussetzungen
(1) itelis verantwortet die von ihr im vereinbarten Umfang tatsächlich betriebenen, überwachten und administrierten Komponenten nach Maßgabe des System-Scope und der vereinbarten Leistungen.
(2) Die Verantwortung für Geschäftsprozesse, organisatorische Entscheidungen, Freigaben, Compliance-Anforderungen, Datenschutz, Risikoakzeptanz, Wiederanlaufprioritäten und Business Continuity verbleibt beim Auftraggeber, soweit nichts anderes ausdrücklich vereinbart ist. Empfehlungen, Hinweise und Sicherheitsbewertungen von itelis unterstützen seine Entscheidungen; die Entscheidung selbst verbleibt bei ihm.
(3) Ergänzend zu § 4 AGB benennt der Auftraggeber geeignete Ansprechpartner sowie mindestens einen Notfallansprechpartner mit Entscheidungsbefugnis und stellt sicher, dass erforderliche Informationen, Zugänge, administrative Berechtigungen, Freigaben und Entscheidungen rechtzeitig zur Verfügung stehen.
(4) Der Auftraggeber stellt die vereinbarten technischen Mindestvoraussetzungen sicher. Soweit nichts anderes vereinbart ist, gehören hierzu insbesondere herstellerseitig unterstützte und mit Sicherheitsupdates versorgte Betriebssysteme und Anwendungen, ein funktionsfähiger Remote-Management-Agent, ein aktueller Endpoint-Schutz, eine Mehr-Faktor-Authentifizierung für administrative und extern erreichbare Konten, eine funktionsfähige Internetanbindung, der Zugang zu den erforderlichen administrativen Konten, die Beschränkung lokaler Administrationsrechte auf freigegebene Fälle sowie unterstützte Hardware- und Firmwarestände.
(5) Erfüllen Systeme die vereinbarten technischen Mindestvoraussetzungen nicht oder besteht für sie keine Herstellerunterstützung mehr, insbesondere bei End-of-Life- oder End-of-Support-Systemen, ist itelis berechtigt, die Leistungserbringung abzulehnen, einzuschränken oder ausschließlich nach Aufwand und ohne Zusage bestimmter Reaktionszeiten, Service-Level oder Sicherheitsniveaus zu erbringen. Wünscht der Auftraggeber die weitere Nutzung oder Betreuung eines solchen Systems, ist hierfür eine Risikoakzeptanz in Textform erforderlich. Diese benennt mindestens das betroffene System, die bekannte Abweichung beziehungsweise das Risiko, die empfohlene Maßnahme, die Entscheidung des Auftraggebers und, soweit sachgerecht, eine Befristung oder einen Überprüfungstermin. Die Risikoakzeptanz begründet keine Verpflichtung von itelis, technisch, rechtlich oder sicherheitsbezogen nicht vertretbare Leistungen zu erbringen.
(6) Verzögerungen und Mehraufwände, die auf fehlender, verspäteter oder unzutreffender Mitwirkung, auf fehlenden Zugängen oder auf nicht erfüllten Mindestvoraussetzungen beruhen, gehen nicht zu Lasten von itelis. Erforderlicher Mehraufwand wird nach Aufwand vergütet.
§ 6 Onboarding, Bestandsaufnahme und Altlasten
(1) Der Umfang der Managed Services setzt eine vollständige und zutreffende Bestandsaufnahme der betreuten Systeme voraus. Der Auftraggeber unterstützt itelis hierbei und stellt die ihm verfügbaren Informationen, Dokumentationen und Zugänge bereit.
(2) Systeme, Risiken, Altlasten oder Sicherheitsmängel, die im Rahmen des Onboardings festgestellt werden, sind nicht Bestandteil der laufenden Vergütung, soweit sie nicht ausdrücklich in den System-Scope einbezogen wurden. Erforderliche Bereinigungs-, Aktualisierungs-, Migrations- oder Sicherheitsmaßnahmen werden gesondert vereinbart oder nach Aufwand vergütet.
(3) itelis teilt dem Auftraggeber wesentliche, im Rahmen des Onboardings erkannte Risiken und Abweichungen von den vereinbarten Mindestvoraussetzungen in Textform mit. Die Entscheidung über deren Behebung trifft der Auftraggeber.
(4) Bis zum Abschluss des Onboardings und zur Herstellung der vereinbarten Mindestvoraussetzungen bestehen keine Zusagen zu Reaktionszeiten, Service-Level oder Sicherheitsniveaus, soweit nichts anderes vereinbart ist.
§ 7 Servicezeiten, Meldewege, Prioritäten und Service-Level
(1) Servicezeiten, Supportkanäle, berechtigte Melder, Prioritätsklassen, Reaktionszeiten, Wartungsfenster, Eskalationswege, Ausschlüsse und Reporting ergeben sich aus Angebot, Leistungsschein, Leistungsbeschreibung oder SLA.
(2) Soweit keine Servicezeiten vereinbart sind, werden Support- und Betriebsleistungen innerhalb der Servicezeiten nach § 6 Abs. 4 AGB erbracht. Außerhalb dieser Zeiten erbrachte Leistungen bedürfen einer gesonderten Vereinbarung und werden nach den vereinbarten Zuschlägen vergütet.
(3) Soweit keine Reaktionszeiten vereinbart sind, erfolgt die Bearbeitung innerhalb angemessener Frist unter Berücksichtigung der Dringlichkeit sowie der technischen und organisatorischen Möglichkeiten.
(4) Reaktionszeiten bezeichnen den Zeitraum bis zur qualifizierten Erstreaktion. Sie stellen keine Zusage einer bestimmten Behebungs-, Wiederherstellungs- oder Lösungszeit und keine Verfügbarkeitszusage dar. Wiederherstellungsziele (RTO), Datenverlustziele (RPO), Lösungszeiten und Verfügbarkeiten werden nur geschuldet, soweit sie ausdrücklich in Textform zugesagt sind.
(5) Meldungen sind über die vereinbarten Supportkanäle durch die benannten berechtigten Melder abzugeben. Meldungen über andere Kanäle, insbesondere an einzelne Mitarbeitende, lösen keine Reaktionszeiten aus.
(6) Nicht in die Berechnung von Reaktions- und Bearbeitungszeiten einbezogen werden Zeiträume, in denen die Bearbeitung aus Gründen außerhalb des Verantwortungsbereichs von itelis nicht möglich ist, insbesondere bei Störungen von Drittanbietern, fehlenden Zugängen oder Freigaben, vereinbarten Änderungssperren sowie bei Systemen außerhalb des System-Scope oder ohne Herstellerunterstützung.
(7) Eine ständige Überwachung oder Rufbereitschaft außerhalb der vereinbarten Servicezeiten wird nur geschuldet, soweit dies ausdrücklich vereinbart ist.
§ 8 Monitoring
(1) Soweit Monitoringleistungen vereinbart sind, unterstützen diese den Auftraggeber bei der frühzeitigen Erkennung von Störungen und Auffälligkeiten innerhalb der im System-Scope bezeichneten Komponenten.
(2) Art, Umfang, Überwachungsintervalle, Alarmierungswege und Überwachungszeiten ergeben sich aus Angebot, Leistungsschein oder Leistungsbeschreibung. Eine permanente Überwachung, eine Alarmierung außerhalb der Servicezeiten oder eine unmittelbare Bearbeitung jeder Meldung werden nur geschuldet, soweit dies ausdrücklich vereinbart ist.
(3) Fehlalarme, verzögerte Meldungen und nicht erkannte Ereignisse lassen sich auch bei fachgerechtem Einsatz anerkannter Werkzeuge nicht vollständig ausschließen. Ein Monitoringalarm ist keine vollständige Fehler- oder Sicherheitsanalyse.
(4) Die aus Monitoringergebnissen abzuleitenden Maßnahmen werden im Rahmen der vereinbarten Leistungen erbracht. Darüber hinausgehende Analysen, Fehlerbehebungen oder Projekte werden gesondert vereinbart.
§ 9 Patchmanagement, Änderungen und Wartungsfenster
(1) Soweit Patchmanagementleistungen vereinbart sind, unterstützt itelis den Auftraggeber bei der Aktualisierung und Pflege der im System-Scope bezeichneten Systeme. Umfang, abgedeckte Betriebssysteme, Anwendungen und Firmwarestände sowie Wartungsfenster ergeben sich aus dem Angebot, Leistungsschein oder der Leistungsbeschreibung.
(2) Änderungen werden nach folgenden Kategorien durchgeführt:
a) Die Zustimmung des Auftraggebers zur Durchführung von Standardänderungen gilt mit Abschluss des Managed-Service-Vertrags als erteilt, soweit Art, Umfang, betroffene Systeme, Wartungsfenster und etwaige Ausschlüsse im Angebot, Leistungsschein, System-Scope oder SLA bezeichnet sind.
b) Normale Änderungen sind Maßnahmen mit erkennbarem Auswirkungsrisiko, insbesondere Versionswechsel, Konfigurationsänderungen an Netzwerk-, Firewall-, Verzeichnis- oder Sicherheitsdiensten sowie Änderungen an Aufbewahrungs- und Sicherungsparametern. Sie bedürfen der vorherigen Freigabe des Auftraggebers in Textform.
c) Notfalländerungen sind sicherheitskritische oder schadensbegrenzende Maßnahmen. Sie können auch kurzfristig und außerhalb von Wartungsfenstern durchgeführt werden; itelis informiert den Auftraggeber vorab, soweit dies möglich und zumutbar ist, andernfalls unverzüglich danach. § 13 bleibt unberührt. Notfalländerungen dürfen nur vorgenommen werden, soweit itelis hierzu aufgrund des vereinbarten Leistungsumfangs technisch und vertraglich berechtigt ist.
(3) Von der automatisierten Aktualisierung ausgenommen sind, soweit nichts anderes vereinbart ist, Fachanwendungen, Produktions-, Steuerungs- und Medizinsysteme, Systeme der Betriebstechnik, Altsysteme sowie Systeme außerhalb des System-Scope.
(4) Inhalt, Qualität und Auswirkungen von Aktualisierungen werden maßgeblich durch die jeweiligen Hersteller bestimmt. Eine Prüfung der Auswirkungen auf Fachanwendungen und Geschäftsprozesse ist nicht Bestandteil der Leistungen, soweit dies nicht ausdrücklich vereinbart ist. Der Auftraggeber prüft die Funktionsfähigkeit seiner Fachanwendungen nach Aktualisierungen innerhalb eines angemessenen Zeitraums und meldet Beeinträchtigungen unverzüglich.
(5) Auf Wunsch des Auftraggebers kann die Installation einzelner Aktualisierungen zurückgestellt werden. Die hierdurch entstehenden Risiken trägt der Auftraggeber; itelis weist auf ihr bekannte erhebliche Sicherheitsrisiken hin.
§ 10 Datensicherung, Wiederherstellung und Business Continuity
(1) Soweit Leistungen im Zusammenhang mit Datensicherungen vereinbart sind, ergeben sich die maßgeblichen Parameter aus dem Angebot einschließlich etwaiger Leistungsscheine und Leistungsbeschreibungen. Zu vereinbaren sind insbesondere die gesicherten und die ausdrücklich ausgeschlossenen Systeme, die Sicherungsmethode, das Sicherungsintervall, die Aufbewahrungsdauer, Verschlüsselung und Schlüsselverwaltung, der Speicherort, Umfang und Häufigkeit der Sicherungsüberwachung, der Umfang von Wiederherstellungen sowie die Berechtigung, Wiederherstellungen, Löschungen und Änderungen der Aufbewahrung anzuweisen.
(2) itelis verantwortet die ordnungsgemäße Durchführung der vereinbarten Sicherungsprozesse innerhalb der vereinbarten Parameter. Wiederherstellungsziele (RTO) und Datenverlustziele (RPO) werden nur geschuldet, soweit sie ausdrücklich in Textform zugesagt sind.
(3) Wiederherstellungen und Restore-Vorgänge werden im vereinbarten Umfang, im Übrigen nach gesonderter Beauftragung gegen Vergütung nach Aufwand durchgeführt.
(4) Regelmäßige Wiederherstellungstests, die Prüfung der Wiederherstellbarkeit vollständiger Systemlandschaften und Fachanwendungen, die Festlegung von Wiederanlaufzeiten und Prioritäten, Notfall- und Wiederanlaufkonzepte sowie deren Erprobung verbleiben beim Auftraggeber, soweit itelis diese Leistungen nicht ausdrücklich übernommen hat. Ein erfolgreich abgeschlossener Sicherungsauftrag begründet keine Zusage, dass Anwendungen, Datenbanken oder Systemlandschaften im Ernstfall vollständig und innerhalb einer bestimmten Zeit wiederherstellbar sind.
(5) Die Bereitstellung, Einrichtung oder Überwachung einer Sicherungslösung allein begründet keine Übernahme der Notfallvorsorge oder des Business Continuity Managements. Ergänzende Leistungen, insbesondere Wiederherstellungstests, Notfallkonzepte und Wiederanlaufübungen, können gesondert vereinbart werden.
(6) Die Einhaltung gesetzlicher und regulatorischer Aufbewahrungs- und Archivierungsanforderungen verbleibt beim Auftraggeber. Eine Datensicherung ist keine Archivierung.
§ 11 Informationssicherheit und Schwachstellenmanagement
(1) Ergänzend zu § 18 AGB gilt für Managed Services Folgendes.
(2) Die vereinbarten Leistungen können Risiken reduzieren und die Widerstandsfähigkeit der betreuten Systeme verbessern. Ein vollständiger Schutz vor Cyberangriffen, Schadsoftware, Fehlkonfigurationen, technischen Störungen oder Datenverlusten kann auch durch anerkannte Sicherheitslösungen nicht erreicht werden. itelis schuldet keinen Erfolg im Sinne einer vollständigen Verhinderung, Erkennung oder Abwehr solcher Ereignisse.
(3) Soweit Leistungen im Bereich Schwachstellenmanagement oder Sicherheitsbewertungen vereinbart sind, unterstützen diese den Auftraggeber bei der Erkennung und Bewertung bekannter Schwachstellen. Eine vollständige Erkennung sämtlicher Schwachstellen, Fehlkonfigurationen oder Sicherheitsrisiken ist nicht möglich. Ein automatisierter Schwachstellenscan ist kein Penetrationstest; eine Erkennungs- und Schutzlösung ist keine Zusage der Abwehr von Angriffen.
(4) Die Beseitigung erkannter Schwachstellen erfolgt im Rahmen der vereinbarten Leistungen. Erforderliche Maßnahmen, die über den vereinbarten Umfang hinausgehen, werden gesondert vereinbart. Entscheidet der Auftraggeber, eine empfohlene Maßnahme nicht oder nicht zeitnah umzusetzen, trägt er das hierdurch entstehende Risiko; itelis dokumentiert den Hinweis in Textform.
(5) Der Auftraggeber verantwortet die Sicherheit seiner Zugangsdaten, Benutzerkonten und Berechtigungen sowie seine internen organisatorischen Sicherheitsmaßnahmen, soweit nichts anderes vereinbart ist.
§ 12 Sicherheitsereignisse und Incident Response
(1) Bei Störungen und Sicherheitsereignissen arbeiten die Parteien eng zusammen. Der Auftraggeber stellt die ihm verfügbaren Informationen unverzüglich bereit und benennt entscheidungsbefugte Ansprechpartner.
(2) Die Erkennung, Analyse, Eindämmung, forensische Untersuchung, Beweissicherung und Wiederherstellung im Zusammenhang mit Sicherheitsvorfällen sowie die Kommunikation mit Behörden, Versicherern, Strafverfolgungsbehörden, betroffenen Personen, Rechtsberatern oder sonstigen Dritten sind nur geschuldet, soweit dies ausdrücklich als Incident-Response-, Security-, SOC-, MDR- oder Notfallleistung vereinbart ist. Andernfalls erbringt itelis solche Leistungen nur nach gesonderter Beauftragung gegen Vergütung nach Aufwand.
(3) Die rechtliche Bewertung von Sicherheitsvorfällen, die Entscheidung über Meldungen und die Erfüllung gesetzlicher Melde- und Informationspflichten, insbesondere nach Art. 33 und Art. 34 DSGVO, verbleiben beim Auftraggeber, soweit nichts anderes ausdrücklich vereinbart ist.
(4) Eine Rufbereitschaft, eine ständige Erreichbarkeit oder eine Reaktion außerhalb der vereinbarten Servicezeiten wird nur geschuldet, soweit dies ausdrücklich vereinbart ist.
(5) Bei echten Sicherheitsdienstleistungen vereinbaren die Parteien Meldewege, Notfallkontakte, Entscheidungsbefugnisse, zulässige Sofortmaßnahmen, Eskalationszeiten, Zustimmungsvorbehalte und das Abrechnungsmodell in einer gesonderten Anlage.
§ 13 Notfallmaßnahmen und Notfallbudget
(1) Ist aufgrund eines akuten Sicherheitsereignisses, eines drohenden erheblichen Schadens, einer fortschreitenden Kompromittierung oder eines schwerwiegenden Systemausfalls eine unverzügliche Maßnahme erforderlich und kann eine vorherige Freigabe des Auftraggebers nicht rechtzeitig eingeholt werden, ist itelis berechtigt, im Rahmen des vereinbarten Leistungsumfangs und ihrer technischen sowie vertraglichen Berechtigungen die zur unmittelbaren Gefahren- und Schadensabwehr erforderlichen Sofortmaßnahmen durchzuführen.
(2) Sofortmaßnahmen nach Absatz 1 dürfen bis zu dem im Angebot, Leistungsschein oder Notfallplan vereinbarten Notfallbudget durchgeführt werden. Ist kein Notfallbudget vereinbart, gilt ein Notfallbudget von 1.000 EUR netto je Ereignis. itelis weist den Auftraggeber bei Vertragsschluss oder im Rahmen des Onboardings auf das geltende Notfallbudget und die Möglichkeit hin, im Angebot, Leistungsschein oder Notfallplan abweichende Freigabegrenzen festzulegen.
(3) Maßnahmen, die das Notfallbudget nach Absatz 2 überschreiten, bedürfen grundsätzlich der vorherigen Freigabe des benannten Notfallansprechpartners des Auftraggebers. Ist der benannte Notfallansprechpartner trotz angemessener und dokumentierter Kontaktversuche nicht rechtzeitig erreichbar und würde ein Zuwarten voraussichtlich zu einem erheblichen Schaden, einem erheblichen Datenverlust, einer fortschreitenden Kompromittierung oder einer weiteren Ausbreitung eines Sicherheitsvorfalls führen, ist itelis berechtigt, die zur unmittelbaren Schadensbegrenzung erforderlichen Maßnahmen bis zu einem zusätzlichen Aufwand von 5.000 EUR netto, zuzüglich unvermeidbarer Drittanbieter-, Lizenz-, Material- und sonstiger Fremdkosten fortzuführen.
(4) Weitergehende Maßnahmen über die Grenzen des Absatzes 3 hinaus bedürfen der Freigabe des Auftraggebers. Dies gilt nicht, soweit eine unmittelbare Gefahr einer fortschreitenden Datenzerstörung, einer erheblichen Ausbreitung eines Sicherheitsvorfalls oder einer vergleichbaren schwerwiegenden Beeinträchtigung besteht und ein Abbruch oder Zuwarten den Schaden voraussichtlich wesentlich vergrößern würde. Auch in diesem Fall darf itelis nur solche Maßnahmen treffen, die zur unmittelbaren Gefahren- und Schadensbegrenzung erforderlich und verhältnismäßig sind und zu denen itelis technisch und vertraglich berechtigt ist.
(5) itelis unternimmt angemessene Versuche, den benannten Notfallansprechpartner vor der Durchführung von Maßnahmen nach den Absätzen 3 und 4 zu erreichen. Ist eine vorherige Information nicht möglich oder nicht zumutbar, informiert itelis den Auftraggeber unverzüglich nach Durchführung beziehungsweise Beginn der Maßnahmen über Anlass, Art und Umfang der Maßnahmen sowie den voraussichtlichen Aufwand.
(6) itelis dokumentiert die nach diesem Paragraphen durchgeführten Sofortmaßnahmen in angemessenem Umfang und stellt dem Auftraggeber die Dokumentation auf Verlangen zur Verfügung.
(7) Sofortmaßnahmen, die nicht bereits vom vereinbarten Leistungsumfang und der laufenden Vergütung umfasst sind, werden nach den vereinbarten Vergütungssätzen, im Übrigen nach Aufwand abgerechnet. Unvermeidbare Drittanbieter-, Lizenz-, Material- und sonstige Fremdkosten werden zusätzlich berechnet.
(8) Der Auftraggeber kann im Angebot, Leistungsschein oder Notfallplan bestimmte Systeme, Zeiträume, Maßnahmenarten oder Kostenarten von Sofortmaßnahmen ausschließen oder weitergehende Freigabegrenzen festlegen. Soweit hierdurch eine rechtzeitige Gefahren- oder Schadensabwehr eingeschränkt wird, trägt der Auftraggeber die hieraus resultierenden Risiken nach Maßgabe der gesetzlichen Vorschriften.
§ 14 Hersteller, Drittanbieter und technische Änderungen
(1) Managed Services setzen regelmäßig Produkte und Leistungen von Herstellern, Cloudanbietern, Telekommunikationsanbietern und sonstigen Dritten voraus. itelis unterstützt den Auftraggeber im Rahmen ihrer Einflussmöglichkeiten bei Kommunikation, Koordination und Eskalation gegenüber diesen Anbietern. Liegt die Ursache einer Störung außerhalb des Verantwortungsbereichs von itelis, erfolgt die technische Bearbeitung durch den jeweils verantwortlichen Anbieter.
(2) Soweit die Geltung von Produkt-, Lizenz-, Nutzungs- oder Vertragsbedingungen eines Herstellers technische, lizenzrechtliche oder vertragliche Voraussetzung für die Nutzung der jeweiligen Drittleistung ist, gelten diese ergänzend und ausschließlich für die betreffende Drittleistung vorrangig. Im Übrigen bleiben die zwischen itelis und dem Auftraggeber vereinbarten Leistungs-, Support-, Vergütungs-, Laufzeit- und Haftungsregelungen unberührt. itelis benennt die einschlägigen Bedingungen im Angebot oder Leistungsschein mit Produktbezeichnung, Fundstelle und, soweit verfügbar, Versionsstand oder stellt sie als Anlage oder über ein Kundenportal zur Verfügung. Bedingungen, die ausschließlich im Verhältnis zwischen itelis und einem Hersteller gelten, begründen keine Pflichten des Auftraggebers.
(3) Herstellerseitige Service-Level und Zusagen werden nach Maßgabe der jeweiligen Bedingungen an den Auftraggeber weitergegeben. Sie begründen keine eigenen Zusagen von itelis.
(4) Ändern, beschränken oder stellen Hersteller Funktionen, Lizenzmodelle, Schnittstellen, technische Voraussetzungen oder Supportmodelle ein, informiert itelis den Auftraggeber über ihr bekannt gewordene wesentliche Änderungen, die den vereinbarten Leistungsumfang betreffen, unverzüglich in Textform und stimmt erforderliche Maßnahmen mit ihm ab. Hierdurch erforderliche Anpassungs-, Umstellungs- oder Migrationsleistungen werden gesondert vereinbart.
(5) itelis ist berechtigt, eingesetzte Verfahren, Werkzeuge und Produkte weiterzuentwickeln oder durch gleichwertige Lösungen zu ersetzen, soweit der vereinbarte Leistungsumfang gewahrt bleibt und berechtigte Interessen des Auftraggebers nicht unangemessen beeinträchtigt werden. itelis informiert den Auftraggeber über wesentliche Änderungen rechtzeitig in Textform.
§ 15 Keine Zusage regulatorischer Compliance
(1) Die Erbringung von Managed Services begründet keine Zusage, dass der Auftraggeber bestimmte gesetzliche, regulatorische, branchenspezifische oder zertifizierungsbezogene Anforderungen erfüllt. Dies gilt insbesondere für Anforderungen aus DSGVO, GoBD, NIS2, KRITIS-Regelungen, ISO 27001 und TISAX sowie für interne Compliance-Vorgaben des Auftraggebers.
(2) Soweit nicht ausdrücklich in Textform vereinbart, schuldet itelis keine Rechts-, Steuer-, Datenschutz- oder Complianceberatung und keine Prüfung der Einhaltung solcher Anforderungen.
(3) Eine Zusage nach Absatz 1 bedarf einer ausdrücklichen Vereinbarung in Textform, in der der zugesagte Standard und der Umfang der Zusage konkret bezeichnet sind.
(4) Zertifizierungen, Testate oder Prüfberichte von Herstellern beziehen sich ausschließlich auf deren Leistungen und stellen keine Zusage von itelis dar.
§ 16 Laufzeit, Verlängerung und Kündigung
(1) Laufzeit, Leistungsumfang und Vergütung ergeben sich aus dem Angebot, dem Leistungsschein oder einer individuellen Vereinbarung. Fehlt eine Angabe, beträgt die Erstlaufzeit zwölf Monate ab Aufnahme der laufenden Leistungserbringung.
(2) Nach Ablauf der Erstlaufzeit verlängert sich der Vertrag jeweils um weitere zwölf Monate, sofern er nicht mit einer Frist von drei Monaten zum jeweiligen Laufzeitende in Textform gekündigt wird.
(3) Laufzeiten, Verlängerungsperioden und Kündigungsfristen von Subskriptionen, Lizenzen und sonstigen Drittleistungen, die für die Managed Services eingesetzt werden, bleiben unberührt und können von den Laufzeit- und Kündigungsregelungen dieser EGB MSP abweichen. itelis weist im Angebot oder Leistungsschein auf ihr bekannte abweichende Mindestlaufzeiten, Verlängerungsperioden und Kündigungsfristen hin. Soweit zur rechtzeitigen Umsetzung einer Kündigung, Reduzierung oder sonstigen Vertragsänderung gegenüber dem jeweiligen Hersteller oder Drittanbieter ein Bearbeitungsvorlauf erforderlich ist, kann im Angebot oder Leistungsschein eine angemessen frühere Frist für die Erklärung des Auftraggebers vorgesehen werden.
(4) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Partei trotz angemessener Fristsetzung schwerwiegend gegen wesentliche Vertragspflichten verstößt, wenn der Auftraggeber die vereinbarten technischen Mindestvoraussetzungen oder erforderliche Mitwirkungshandlungen trotz Fristsetzung nicht erbringt und itelis die Leistungen dadurch nicht ordnungsgemäß erbringen kann, oder wenn ein Hersteller eine für die Leistung erforderliche Drittleistung dauerhaft einstellt.
(5) Kündigungen können auf einzelne Leistungen oder Systeme beschränkt werden, soweit diese technisch und wirtschaftlich eigenständig sind.
§ 17 Vergütung, Mengenanpassungen und Preisanpassung
(1) Die Vergütung ergibt sich aus dem Angebot, dem Leistungsschein oder einer individuellen Vereinbarung. Alle Preise verstehen sich zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.
(2) Wiederkehrende Leistungen werden im Voraus für die vereinbarte Abrechnungsperiode abgerechnet. Nutzungs- und mengenabhängige Leistungen, Zusatzleistungen sowie sonstige nach Aufwand zu vergütende Leistungen werden, soweit nichts anderes vereinbart ist, nachträglich abgerechnet. Rechnungen sind innerhalb von vierzehn Kalendertagen ab Rechnungsdatum ohne Abzug zur Zahlung fällig. Im Übrigen gilt § 5 AGB.
(3) Leistungen außerhalb des vereinbarten Leistungsumfangs sowie Aufwände, die auf Umständen außerhalb des Verantwortungsbereichs von itelis beruhen, insbesondere auf Leistungen Dritter, nicht betreuten Systemen, kundenseitigen Änderungen, fehlenden Zugängen, nicht erfüllten technischen Mindestvoraussetzungen oder nicht unterstützten Software- oder Hardwareständen, werden nach den vereinbarten Vergütungssätzen, hilfsweise nach Aufwand zu den im Angebot, in der Auftragsbestätigung oder in einer dem Auftraggeber vor Beauftragung zugänglich gemachten Preisliste ausgewiesenen Vergütungssätzen vergütet. itelis informiert den Auftraggeber hierüber vorab, soweit dies nach den Umständen möglich und zumutbar ist. § 13 bleibt unberührt.
(4) Erhöht sich während einer laufenden Vertragsperiode die Anzahl der betreuten Systeme, Benutzer, Endgeräte, Komponenten, Standorte, Mandanten oder sonstigen abrechnungsrelevanten Einheiten, wird der vereinbarte Mengenumfang entsprechend erweitert. Die Vergütung wird ab Aufnahme der zusätzlichen Leistung nach den vereinbarten Mengenpreisen angepasst. Tatsächlich hinzugekommene und auf Veranlassung oder mit Kenntnis und Zustimmung des Auftraggebers in die Managed Services aufgenommene Einheiten gelten ab dem dokumentierten Beginn der Leistungserbringung als Erweiterung des vereinbarten Leistungsumfangs.
(5) Eine Reduzierung des vergütungspflichtigen Mengenumfangs während einer laufenden Mindest- oder Vertragsperiode ist nur zulässig, soweit dies im Angebot oder Leistungsschein ausdrücklich vorgesehen ist. Im Übrigen wird eine Reduzierung erst zum Beginn der nächsten Vertragsperiode wirksam, wenn der Auftraggeber sie spätestens innerhalb derselben Frist in Textform anzeigt, die für die Kündigung der betroffenen Leistung zum Ende der jeweiligen Vertragsperiode gilt. Die Anzeige muss die betroffene Leistung und den künftig gewünschten Mengenumfang eindeutig bezeichnen. Geht die Anzeige nicht fristgerecht zu, wird die betreffende Leistung für die folgende Vertragsperiode im bisherigen Mengenumfang fortgeführt.
(6) Eine vereinbarte Mindestabnahmemenge oder ein vereinbarter Mindestvertragswert bleibt für die jeweilige Vertragsperiode verbindlich. Eine Reduzierung unter die vereinbarte Mindestabnahmemenge oder unter den vereinbarten Mindestvertragswert ist während der jeweiligen Bindungsperiode ausgeschlossen, soweit im Angebot oder Leistungsschein nichts anderes vereinbart ist.
(7) Beruht die Vergütung auf einer Mengenstaffel, einem Volumenpreis, einer mengenabhängigen Pauschale, einer Betreuungs- oder Verwaltungspauschale oder einer sonstigen mengenbezogenen Kalkulationsgrundlage, gilt nach Wirksamwerden einer Reduzierung die für den verbleibenden Mengenumfang maßgebliche Preis- und Konditionsstruktur. Ist für den reduzierten Mengenumfang kein Staffel- oder Mengenpreis ausgewiesen, gilt der zum Wirksamwerden der Reduzierung für diesen Mengenumfang geltende Standard- oder Einzelpreis von itelis.
(8) Führt eine Reduzierung des Mengenumfangs dazu, dass eine Mengenstaffel, Mindestabnahme, sonstige Kalkulationsgrundlage oder mengenabhängige Betreuungs- oder Verwaltungspauschale nicht mehr erreicht wird, ist itelis berechtigt, die Vergütung der betroffenen Leistung mit Wirkung zum Beginn der nächsten Vertragsperiode auf Grundlage des dann geltenden Mengenumfangs und der hierfür maßgeblichen Preis- und Konditionsstruktur neu zu berechnen.
(9) Erhöht sich der Mengenumfang innerhalb von drei Monaten nach Wirksamwerden einer Reduzierung erneut wesentlich, ist itelis berechtigt, die Preis- und Konditionsstruktur unter Berücksichtigung des tatsächlich wieder erreichten Mengenumfangs neu zu berechnen. Dies gilt insbesondere, wenn eine vorübergehende Reduzierung ansonsten zu Konditionsvorteilen führen würde, die bei dem tatsächlich genutzten oder betreuten Mengenumfang nicht vorgesehen sind.
(10) Führt eine Neuberechnung nach den Absätzen 7 bis 9 zu einer höheren laufenden Vergütung als der Auftraggeber auf Grundlage des von ihm angezeigten reduzierten Mengenumfangs und der ihm bekannten Preis- und Konditionsstruktur berechtigterweise erwarten durfte, informiert itelis den Auftraggeber unverzüglich in Textform über die neue Vergütung und deren Grundlage. Der Auftraggeber kann die betroffene Leistung innerhalb von zwei Wochen nach Zugang der Mitteilung mit Wirkung zum Beginn der betreffenden Vertragsperiode in Textform kündigen.
(11) itelis ist berechtigt, die Vergütung einer betroffenen Leistung anzupassen, wenn und soweit sich die hierfür maßgeblichen Kosten nach Vertragsschluss nachhaltig verändern. Maßgeblich sind insbesondere Änderungen von Preisen, Lizenz-, Subskriptions- und Abrechnungsmodellen oder sonstigen Beschaffungsbedingungen von Herstellern, Cloudanbietern und sonstigen Vorlieferanten sowie Änderungen von Personal-, Energie-, Telekommunikations-, Rechenzentrums-, Betriebs- und Verwaltungskosten, soweit diese Kosten der betroffenen Leistung zuzuordnen sind.
(12) Eine Preisanpassung nach Absatz 11 erfolgt nach billigem Ermessen gemäß § 315 BGB und darf nur den Umfang der eingetretenen Kostenänderung abbilden. Kostensenkungen werden nach denselben Grundsätzen und in demselben Umfang berücksichtigt wie Kostensteigerungen. Gegenläufige Kostenentwicklungen innerhalb derselben Leistung dürfen miteinander verrechnet werden.
(13) itelis teilt dem Auftraggeber eine Preisanpassung mindestens 30 Kalendertage vor ihrem Inkrafttreten in Textform mit. Die Mitteilung enthält den maßgeblichen Anpassungsgrund, die betroffene Leistung, den bisherigen und den künftig geltenden Preis sowie den Zeitpunkt des Inkrafttretens. Auf Verlangen des Auftraggebers legt itelis die zugrunde liegende Kostenentwicklung in geeigneter Weise nachvollziehbar dar, soweit dem keine berechtigten Geheimhaltungsinteressen oder vertraglichen Vertraulichkeitspflichten gegenüber Dritten entgegenstehen.
(14) Preisanpassungen wirken frühestens mit Beginn des nächsten Abrechnungszeitraums und nicht rückwirkend. Sie erfolgen grundsätzlich nicht häufiger als einmal je Vertragsjahr. Abweichend hiervon darf itelis eine unmittelbar wirksame und von itelis wirtschaftlich nicht vermeidbare Preis-, Lizenz-, Subskriptions- oder Abrechnungsänderung eines Herstellers, Cloudanbieters oder sonstigen Vorlieferanten zeitnah weitergeben, soweit diese die betroffene Leistung unmittelbar betrifft.
(15) Erhöht sich die laufende Vergütung einer betroffenen Leistung aufgrund von Preisanpassungen nach den Absätzen 11 bis 14 innerhalb von zwölf Monaten insgesamt um mehr als 15 Prozent, kann der Auftraggeber die betroffene Leistung innerhalb von vier Wochen nach Zugang der Mitteilung über die Preisanpassung mit Wirkung zum Zeitpunkt des Inkrafttretens der Preisanpassung in Textform kündigen. Bereits im Voraus gezahlte Vergütungen für Zeiträume nach Wirksamwerden der Kündigung werden zeitanteilig erstattet.
(16) Ein Kündigungsrecht nach Absatz 15 besteht nicht, soweit sich die Vergütung ausschließlich aufgrund einer Erweiterung oder Reduzierung des Leistungsumfangs oder System-Scope, einer Mengenanpassung nach den Absätzen 4 bis 10, eines nutzungsabhängigen Mehrverbrauchs oder aufgrund gesetzlicher Änderungen von Steuern, Abgaben oder sonstigen öffentlich-rechtlichen Belastungen verändert. Änderungen der Vergütung aufgrund solcher Mengen-, Nutzungs- oder Leistungsänderungen gelten nicht als Preisanpassung im Sinne der Absätze 11 bis 15.
(17) Ist für eine Leistung ausdrücklich ein Festpreis für einen bestimmten Zeitraum vereinbart, bleibt dieser für die vereinbarte Dauer unberührt, soweit im Angebot oder Leistungsschein nichts Abweichendes geregelt ist. Nach Ablauf der Festpreisbindung kann die Vergütung nach Maßgabe dieses Paragraphen angepasst werden.
(18) Auf Verlangen des Auftraggebers erteilt itelis Auskunft über den der Abrechnung zugrunde gelegten Mengenumfang und die maßgebliche Preis-, Mengen- oder Konditionsstruktur.
§ 18 Zahlungsverzug, Aussetzung und Reaktivierung
(1) Bei Zahlungsverzug gelten § 5 Abs. 8 AGB sowie die folgenden Regelungen.
(2) itelis ist berechtigt, die von einem Zahlungsverzug betroffenen Managed Services nach Maßgabe von § 5 Abs. 8 AGB vorübergehend einzuschränken oder auszusetzen. Soweit technisch möglich und soweit zwingende gesetzliche, technische, lizenzrechtliche oder vertragliche Vorgaben von Herstellern oder Drittanbietern nicht entgegenstehen, werden sicherheitsrelevante Grundfunktionen, insbesondere bereits eingerichtete Schutz- und Sicherungsmechanismen, für mindestens 30 Kalendertage ab Beginn der Aussetzung aufrechterhalten.
(3) Sperrungen, Deaktivierungen oder Einschränkungen, die ein Hersteller, Cloudanbieter oder sonstiger Drittanbieter aufgrund seiner eigenen Bedingungen veranlasst, liegen außerhalb des Einflussbereichs von itelis, soweit sie nicht auf einer von itelis zu vertretenden Pflichtverletzung beruhen. itelis informiert den Auftraggeber unverzüglich, sobald ihr eine solche Maßnahme bekannt wird.
(4) Die Zahlungspflicht des Auftraggebers bleibt während einer berechtigten Aussetzung bestehen, soweit der Auftraggeber den Zahlungsverzug zu vertreten hat und itelis für die betreffende Leistung weiterhin Kosten entstehen. Während einer Aussetzung bestehen keine Reaktionszeit-, Service-Level- oder Überwachungszusagen.
(5) Nach vollständigem Ausgleich der fälligen Forderungen nimmt itelis die Leistungen im Rahmen der technischen und herstellerseitigen Möglichkeiten unverzüglich wieder auf. Erforderliche Wiederherstellungs-, Reaktivierungs- und Herstelleraufwände werden nach den vereinbarten Vergütungssätzen, hilfsweise nach den im Angebot, in der Auftragsbestätigung oder in einer dem Auftraggeber vor Beauftragung zugänglich gemachten Preisliste ausgewiesenen Vergütungssätzen abgerechnet.
§ 19 Offboarding, Übergabe und Beendigung
(1) Mit Wirksamwerden der Beendigung endet die Verpflichtung von itelis zur Erbringung der vereinbarten Managed Services.
(2) itelis stellt dem Auftraggeber die in seinem Eigentum stehenden Daten sowie die ihm zustehenden Zugangsdaten und administrativen Berechtigungen für die betreuten Systeme zur Verfügung, soweit itelis hierüber verfügt und keine Rechte Dritter entgegenstehen.
(3) Bestandteil der Übergabe ist die bei itelis vorhandene, für die betreuten Systeme geführte Betriebsdokumentation in ihrem jeweiligen Stand, soweit sie dem Auftraggeber zusteht und keine Rechte Dritter entgegenstehen. Nicht Bestandteil der Übergabe sind proprietäre Werkzeuge, Vorlagen, Skripte, Automatisierungen, Methoden, interne Betriebsunterlagen, Sicherheitskonzepte, Zugangsdaten zu Systemen von itelis oder sonstige itelis-Bestandteile im Sinne von § 13 AGB. Die Erstellung, Aktualisierung, Aufbereitung oder Ergänzung von Dokumentationen, Netzplänen, Konfigurationsübersichten und Runbooks sowie Einweisungen, Wissenstransfer und die Begleitung eines Nachfolgedienstleisters sind Übergangsleistungen und werden nur nach gesonderter Beauftragung gegen Vergütung erbracht.
(4) itelis ist berechtigt, ihre eigenen Werkzeuge, Verwaltungs-, Monitoring-, Sicherungs- und Sicherheitskomponenten sowie über itelis lizenzierte Produkte nach Beendigung zurückzubauen oder zu deaktivieren. Die Parteien stimmen den Zeitpunkt unter Berücksichtigung einer geordneten Übergabe ab.
(5) Soweit itelis Daten des Auftraggebers verwahrt, insbesondere Sicherungen, Protokolldaten oder Konfigurationsdaten, ermöglicht itelis dem Auftraggeber, soweit technisch möglich und soweit keine abweichenden Herstellerbedingungen, gesetzlichen Aufbewahrungspflichten oder zwingenden technischen Gründe entgegenstehen, für bis zu 30 Kalendertage ab Wirksamwerden der Beendigung die Nutzung der verfügbaren Exportfunktionen oder einen Zugang zum Export dieser Daten. Der Export erfolgt grundsätzlich in den vorhandenen, technisch verfügbaren oder herstellerseitig vorgesehenen Formaten. Eine Verlängerung des Exportzeitraums sowie Exporte, die über einen bereitgestellten Zugang hinausgehen, werden nach gesonderter Beauftragung und nach Aufwand vergütet.
(6) Nach Ablauf der Frist nach Absatz 5 ist itelis berechtigt, Zugänge zu deaktivieren und Daten und Konfigurationen zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten oder abweichenden Vereinbarungen bestehen. Daten in Sicherungskopien werden im Rahmen der regulären Löschzyklen gelöscht. Auf Verlangen bestätigt itelis die Löschung in Textform.
(7) Exportiert der Auftraggeber seine Daten nicht innerhalb der Frist nach Absatz 5 und beauftragt er keine Übergangsleistung, trägt er das Risiko eines hierdurch eintretenden Datenverlusts.
(8) § 21 Abs. 4 AGB bleibt unberührt. Ein Zurückbehaltungsrecht wegen fälliger und unstreitiger Forderungen besteht nur, soweit dies gesetzlich zulässig ist; Daten und Zugangsdaten, die der Auftraggeber zur Aufrechterhaltung seines Betriebs oder zur Erfüllung gesetzlicher Pflichten benötigt, sind hiervon ausgenommen.
§ 20 Datenschutz und Auftragsverarbeitung
(1) Ergänzend zu § 17 AGB gilt für Managed Services Folgendes.
(2) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in den betreuten Systemen verarbeiteten personenbezogenen Daten und entscheidet über Art, Umfang und Zwecke der Verarbeitung.
(3) Soweit itelis personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, insbesondere bei Fernzugriffen, Ticketing, Monitoring, Protokollauswertung, Datensicherung, Endpoint- und Mandantenadministration, schließen die Parteien vor Beginn der betreffenden Verarbeitung eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Bestandteil dieser Vereinbarung sind insbesondere technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, das Verfahren zur Information über deren Änderungen, der Weisungsprozess, das Verfahren zur Meldung von Verletzungen des Schutzes personenbezogener Daten sowie Regelungen zur Löschung oder Rückgabe der Daten nach Vertragsende. Soweit eine Vereinbarung zur Auftragsverarbeitung erforderlich ist, ist itelis berechtigt, die Aufnahme oder Fortsetzung der hiervon betroffenen Verarbeitung bis zum Abschluss einer den gesetzlichen Anforderungen entsprechenden Vereinbarung auszusetzen.
(4) itelis stellt dem Auftraggeber auf Verlangen eine Übersicht der für die jeweilige Leistung eingesetzten Hersteller und Unterauftragsverarbeiter mit Funktion und Verarbeitungsort zur Verfügung, soweit ihr diese Informationen vorliegen.
(5) Werden personenbezogene Daten in ein Drittland übermittelt, informiert itelis den Auftraggeber über die ihr bekannten Datenflüsse und die genutzten Garantien, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Die datenschutzrechtliche Bewertung der Verarbeitungsvorgänge und die Entscheidung über den Einsatz der jeweiligen Lösung obliegen dem Auftraggeber; itelis unterstützt ihn hierbei im vereinbarten Umfang durch Bereitstellung verfügbarer Informationen und Unterlagen.
(6) Eine Rechts- oder Datenschutzberatung ist nicht Bestandteil der Leistungen.
§ 21 Vertraulichkeit und administrative Zugriffe
(1) Für die Vertraulichkeit gilt § 19 AGB. Zu den vertraulichen Informationen gehören insbesondere Zugangsdaten, Konfigurationen, Netz- und Systemdokumentationen, Sicherheitsinformationen, Preisgestaltungen und die Daten des Auftraggebers.
(2) Soweit zur Erbringung der vereinbarten Leistungen erforderlich, greift itelis auf Systeme, Mandanten, Verwaltungsportale, Dienste und Daten des Auftraggebers zu. Solche Zugriffe erfolgen ausschließlich im erforderlichen Umfang, zweckgebunden und im Rahmen der vereinbarten Berechtigungen und Sicherheitsanforderungen.
(3) itelis trifft angemessene technische und organisatorische Maßnahmen zum Schutz der ihr überlassenen Zugänge und Informationen, verwaltet administrative Zugangsdaten geschützt und dokumentiert administrative Zugriffe im technisch möglichen und vereinbarten Umfang.
(4) Die Verpflichtung zur Vertraulichkeit besteht nach Beendigung des Vertragsverhältnisses für einen Zeitraum von drei Jahren fort. Für Geschäftsgeheimnisse im Sinne des Geschäftsgeheimnisgesetzes gilt sie zeitlich unbegrenzt, solange die gesetzlichen Voraussetzungen vorliegen.
§ 22 Störungsmeldung, Gewährleistung, Haftung und Verjährung
(1) Der Auftraggeber meldet Mängel, Leistungsstörungen und Sicherheitsereignisse unverzüglich über die vereinbarten Supportkanäle unter Angabe der ihm bekannten, für die Analyse erforderlichen Informationen.
(2) itelis erhält Gelegenheit, die Meldung zu prüfen und die Störung im Rahmen der vereinbarten Leistungen zu beseitigen oder eine angemessene Umgehungslösung bereitzustellen. Reaktionszeiten stellen keine Zusage einer bestimmten Behebungs- oder Wiederherstellungszeit dar, soweit dies nicht ausdrücklich in einer Service-Level-Vereinbarung vereinbart ist.
(3) Für Gewährleistung, Haftung und Verjährung gelten im Übrigen die §§ 12, 15 und 16 AGB. Die dort vereinbarten Haftungsbegrenzungen und Haftungshöchstbeträge gelten auch für Ansprüche aus oder im Zusammenhang mit Managed Services.
(4) itelis haftet nicht für Störungen, Einschränkungen, Ausfälle, Änderungen oder Leistungsdefizite, die ausschließlich aus der technischen oder organisatorischen Leistungssphäre eines Herstellers, Cloudanbieters, Telekommunikationsanbieters oder sonstigen Drittanbieters stammen und von itelis nicht zu vertreten sind.
(5) Die Haftung von itelis für eigene Pflichtverletzungen bleibt unberührt, insbesondere für fehlerhafte Konfiguration oder Administration, fehlerhafte Beratung, schuldhaft unterlassene vertraglich geschuldete Wartung, Überwachung oder Reaktion sowie schuldhafte Verzögerungen bei der Leistungserbringung. Das Verschulden von Erfüllungsgehilfen, die itelis zur Erfüllung eigener Pflichten einsetzt, hat itelis nach § 278 BGB zu vertreten.
(6) Soweit itelis die Durchführung, Überwachung oder Prüfung von Datensicherungen oder Wiederherstellungen nicht ausdrücklich übernommen hat, ist die Haftung bei Verlust oder Beschädigung von Daten außer in den Fällen unbeschränkter Haftung nach den AGB auf den Aufwand begrenzt, der bei einer ordnungsgemäßen, regelmäßigen und auf Wiederherstellbarkeit überprüften Datensicherung des Auftraggebers für die Wiederherstellung erforderlich gewesen wäre. Soweit ein Schaden durch fehlende, unzureichende oder nicht überprüfte Datensicherungen des Auftraggebers mitverursacht wurde, gelten ergänzend die gesetzlichen Vorschriften über das Mitverschulden.
(7) Beruht eine Störung oder ein Schaden darauf, dass der Auftraggeber die vereinbarten technischen Mindestvoraussetzungen nicht erfüllt, eine empfohlene Maßnahme nicht umgesetzt, eine erforderliche Freigabe nicht erteilt oder Systeme außerhalb des System-Scope betrieben hat, gelten ergänzend die gesetzlichen Vorschriften über das Mitverschulden.
(8) Ansprüche wegen Mängeln der laufenden Managed Services unterliegen den gesetzlichen Verjährungsvorschriften. Ansprüche wegen Mängeln einmaliger Projekt-, Onboarding-, Migrations-, Wiederherstellungs- oder Schulungsleistungen verjähren in einem Jahr. Die Frist beginnt bei Werkleistungen mit der Abnahme, bei Lieferleistungen mit der Ablieferung und bei Dienst- und Beratungsleistungen mit der Erbringung der jeweiligen Leistung.
(9) Absatz 8 Satz 2 gilt nicht in den Fällen des § 15 Abs. 4 AGB, insbesondere nicht bei Vorsatz, grober Fahrlässigkeit, Arglist, übernommenen Garantien, Schäden aus der Verletzung von Leben, Körper oder Gesundheit, bei der Verletzung wesentlicher Vertragspflichten sowie bei Ansprüchen nach dem Produkthaftungsgesetz. Zwingende längere gesetzliche Fristen bleiben unberührt.
§ 23 Freistellung und Schlussbestimmungen
(1) Der Auftraggeber stellt itelis von Ansprüchen Dritter einschließlich angemessener Kosten der Rechtsverteidigung frei, soweit die Ansprüche auf einer vom Auftraggeber zu vertretenden rechtswidrigen Nutzung der betreuten Systeme, einer Verletzung anwendbarer Gesetze, einer Überschreitung von Nutzungs- oder Lizenzrechten oder auf vom Auftraggeber bereitgestellten Inhalten und Weisungen beruhen. itelis informiert den Auftraggeber über geltend gemachte Ansprüche unverzüglich, soweit dies rechtlich zulässig ist und die Rechtsverteidigung hierdurch nicht beeinträchtigt wird. itelis bleibt berechtigt, die Rechtsverteidigung nach angemessener Abstimmung mit dem Auftraggeber selbst zu führen; Anerkenntnisse oder Vergleiche, die Verpflichtungen von itelis begründen, bedürfen ihrer vorherigen Zustimmung. Die Freistellung besteht nicht, soweit itelis den Anlass des Anspruchs selbst zu vertreten hat.
(2) Änderungen und Ergänzungen dieser EGB MSP bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Individuelle Vereinbarungen im Sinne von § 305b BGB bleiben unberührt.
(3) Sollte eine Bestimmung dieser EGB MSP unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die gesetzlichen Vorschriften.
(4) Im Übrigen gelten die Allgemeinen Geschäftsbedingungen von itelis, insbesondere § 23 AGB zu Rechtswahl, Gerichtsstand, Vertragssprache und Textform.
itelis solutions GmbH & Co. KG — Ergänzende Geschäftsbedingungen Managed Services, Fassung 1.1, Stand September 2026