Ergänzende Geschäftsbedingungen (EGB)
für Software-as-a-Service (SaaS)
Stand: Januar 2026
Diese Ergänzenden Geschäftsbedingungen für Software-as-a-Service („EGB SaaS“) gelten ausschließlich gegenüber Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts oder öffentlich-rechtlichen Sondervermögen. Verträge mit Verbrauchern im Sinne des § 13 BGB werden nicht geschlossen.
PRÄAMBEL
(1) Diese Ergänzenden Geschäftsbedingungen für Software-as-a-Service (nachfolgend „EGB SaaS“) gelten ergänzend zu unseren Allgemeinen Geschäftsbedingungen („AGB“) für alle Verträge über:
- Software-as-a-Service (SaaS)
- Cloud-Software-Lizenzen
- Subskriptionsbasierte Software-Dienste
- Reine Plattform-Bereitstellung ohne Managed Services
(2) Abgrenzung: Sofern zusätzlich Managed Services, insbesondere Monitoring-, SOC- oder Supportleistungen, beauftragt werden, gelten ergänzend die „Ergänzenden Geschäftsbedingungen für Managed Security Services (MSP)“.
(3) Rangfolge der Vertragsdokumente: Bei Widersprüchen gilt folgende Rangfolge:
1. Individuelle schriftliche Vereinbarungen im Lizenzvertrag
2. Produktnutzungs- und Lizenzbedingungen des Drittherstellers
3. Diese Ergänzenden Geschäftsbedingungen für SaaS (EGB SaaS)
4. Unsere Allgemeinen Geschäftsbedingungen (AGB)
§ 1 GELTUNGSBEREICH UND LEISTUNGSGEGENSTAND
1.1 Geltungsbereich
(1) Diese EGB SaaS gelten für Verträge, bei denen wir dem Besteller insbesondere
- Zugang zu Cloud-Software eines Drittherstellers verschaffen,
- Lizenzen auf Subskriptionsbasis bereitstellen,
- keine weitergehenden Dienstleistungen erbringen (kein Managed Service, keine Administration).
(2) Wir handeln ausschließlich als Wiederverkäufer (Reseller) und sind nicht Hersteller der Software. Die technische Bereitstellung, der Betrieb und die Weiterentwicklung der SaaS-Plattform obliegen dem jeweiligen Dritthersteller.
1.2 Vertragsgegenstand
(1) Wir erbringen – abhängig von der vertraglichen Vereinbarung – insbesondere die nachfolgenden Leistungen:
a) LizenzbereitstellungBeschaffung der SaaS-Lizenzen beim DrittherstellerBereitstellung der Zugangsdaten an den BestellerAktivierung der vereinbarten Anzahl Lizenzen/Seats
b) Onboarding-Unterstützung (optional, falls gebucht)
- Initiale Konfigurationsberatung
- Dokumentation (Quick Start Guide)
- Optional: Einmal-Schulung (Webinar)
c) Lizenz-Management (laufend)
- Verwaltung der Subskription beim Dritthersteller
- Anpassung der Lizenzanzahl
- Rechnungsstellung an den Besteller
- Weiterleitung von Support-Anfragen an den Hersteller
(2) Ein bestimmter technischer oder wirtschaftlicher Erfolg wird
– soweit nicht ausdrücklich schriftlich vereinbart
– nicht geschuldet.
1.3 Was wir NICHT leisten
(1) Folgende Leistungen sind nicht Vertragsgegenstand, sofern sie nicht ausdrücklich gesondert beauftragt sind:
- Administration der Software (Konfiguration, Policy-Management)
- Betrieb der Software (Monitoring, Wartung)
- Technischer Support (erfolgt durch Hersteller-Support)
- Incident Response oder Security-Dienstleistungen
- Schulung der Endanwender (außer optionale einmalige Basis-Schulung)
- Customizing oder Anpassungsentwicklung
- Datenmigration von Altsystemen
- Integration in andere Systeme
(2) Der Besteller betreibt die Software eigenverantwortlich.
§ 2 EIGENVERANTWORTUNG DES BESTELLERS
2.1 Eigenverantwortlicher Betrieb
(1) Der Besteller betreibt die SaaS-Software vollständig eigenverantwortlich. Dies umfasst insbesondere:
a) Administrative Verantwortung
- Verwaltung von Benutzerzugängen
- Konfiguration und Anpassung der Software
- Verwaltung von Einstellungen, Policies, Regeln
- Datenpflege
b) Operative Verantwortung
- Tägliche Nutzung und Überwachung
- Erkennung von Problemen oder Anomalien
- Selbständige Fehlerbehebung (oder Kontakt zum Hersteller-Support)
- Backup von Daten (soweit von Software unterstützt/erforderlich)
c) Compliance-Verantwortung
- Einhaltung der Nutzungsbedingungen des Herstellers
- Einhaltung gesetzlicher Vorgaben
- Sicherstellung rechtmäßiger Nutzung
2.2 Qualifizierung des Personals
(1) Der Besteller stellt sicher, dass
- ausreichend qualifiziertes Personal für Bedienung der Software vorhanden ist,
- Mitarbeiter geschult sind (durch Hersteller-Dokumentation, Tutorials, externe Schulung),
- bei Personalwechsel Wissenstransfer erfolgt.
(2) Eine Schulungspflicht unsererseits besteht nicht, soweit nicht ausdrücklich eine einmalige Basis-Schulung vereinbart ist.
2.3 Einhaltung der Nutzungsbedingungen
(1) Der Besteller verpflichtet sich,
- die Nutzungsbedingungen des Drittherstellers einzuhalten,
- die Acceptable Use Policy des Herstellers zu beachten,
- keine illegale Nutzung vorzunehmen (Malware-Hosting, Spam, Urheberrechtsverletzungen etc.),
- Lizenzbeschränkungen zu respektieren (Anzahl Nutzer, Standorte, Use Cases).
(2) Bei Verstößen
- kann der Hersteller den Zugang sperren,
- können wir den Vertrag außerordentlich kündigen,
- haftet der Besteller für etwaige Schadensersatzforderungen des Herstellers.
§ 3 BEREITSTELLUNG UND VERFÜGBARKEIT3.1 SaaS-Plattform wird vom Dritthersteller betrieben
(1) Die Software wird vom Dritthersteller gehostet und betrieben, nicht von uns. Wir haben keinen Einfluss auf
- Verfügbarkeit der Cloud-InfrastrukturPerformance der SoftwareSoftware-Updates und neue Features
- Behebung von Software-BugsSicherheit der Plattform (Datenschutz, Verschlüsselung)
- Datenverarbeitung und -speicherung
3.2 Verfügbarkeit (SLA)
(1) Die Verfügbarkeit richtet sich nach dem SLA des Drittherstellers. Typische Verfügbarkeiten sind beispielsweise:
CrowdStrike Falcon: 99,9%
Microsoft 365: 99,9%
Salesforce: 99,9%
Zendesk: 99,9%
(2) Die Umrechnung erfolgt beispielhaft wie folgt:
99,9% = ca. 8,7 Stunden Downtime pro Jahr.
(3) Geplante Wartungen des Herstellers zählen nicht als Downtime (gemäß Hersteller-SLA).
3.3 Kein eigenes SLA
(1) Wir garantieren keine Verfügbarkeit über die Garantien des Herstellers hinaus.
(2) Ausnahme: Falls zusätzlich Managed Services erbracht werden, gilt ein separates SLA für unsere Dienstleistungen (vgl. EGB MSP).
3.4 Meldung von Ausfällen
Bei Ausfall oder Störung der SaaS-Software gilt folgendes Vorgehen:
a) Der Besteller wendet sich direkt an den Hersteller-Support.
b) Optional informiert der Besteller uns; wir eskalieren an den Hersteller (Priority-Support kann möglich sein).
c) Wir können Ausfälle nicht selbst beheben; dies kann ausschließlich der Hersteller.
3.5 Service Credits bei Verfügbarkeitsproblemen
(1) Unterschreitet der Dritthersteller die vertraglich zugesicherte Verfügbarkeit, kann der Besteller nach Maßgabe der Herstellerbedingungen Service Credits beanspruchen.
(2) Soweit uns der Dritthersteller Service Credits gewährt, reichen wir diese an den Besteller weiter, regelmäßig durch Verrechnung mit der nächsten Rechnung.
(3) Service Credits sind pauschalierte Kompensation und werden auf etwaige Minderungsansprüche angerechnet.
Zwingende gesetzliche Rechte bleiben unberührt. Weitergehende Schadensersatzansprüche bestehen nur nach Maßgabe von § 6 dieser EGB.
§ 4 MÄNGELANSPRÜCHE4.1
Mängelverantwortlichkeit
(1) Mängel der SaaS-Software (Bugs, Fehler, fehlende Features) fallen in die Verantwortung des Drittherstellers.
4.2 Meldung von Mängeln
Bei Mängeln gilt folgendes Verfahren:
a) Besteller meldet Mangel an uns (per E-Mail/Ticket, detaillierte Beschreibung).
b) Wir prüfen, ob es sich um einen Mangel oder Bedienungsfehler handelt.
c) Wir leiten berechtigte Mängelrügen an Hersteller-Support weiter.
d) Hersteller behebt den Mangel (nach dessen SLA/Support-Prozess).
e) Wir informieren Besteller über Status/Lösung
.4.3 Unsere Nacherfüllungspflicht
(1) Wir sind zur Nacherfüllung verpflichtet, soweit
a) der Mangel auf unserer fehlerhaften Konfiguration beim Onboarding beruht (falls wir Onboarding erbracht haben), oder
b) wir den Mangel mit eigenen Mitteln beheben können (z. B. Korrektur von Einstellungen).
(2) Wir sind nicht zur Nacherfüllung verpflichtet, wenn
- der Mangel in der Software selbst liegt (kann nur Hersteller beheben),
- der Mangel auf Bedienungsfehler des Bestellers zurückzuführen ist,
- der Mangel auf Änderungen durch den Besteller beruht (nach unserer Übergabe),
- der Mangel auf Systemen außerhalb der SaaS-Software beruht (z. B. Netzwerk des Bestellers, Browser-Probleme).
4.4 Rechte bei Fehlschlagen der Nacherfüllung
(1) Bei Fehlschlagen der Nacherfüllung durch den Hersteller kommen – nach Maßgabe der Herstellerbedingungen – insbesondere folgende Rechte in Betracht:
- Minderung der Subskriptionsgebühr (anteilig für betroffenen Zeitraum)bei erheblichem Mangel (>30 Tage): außerordentliche Kündigung
- Schadensersatzansprüche richten sich gegen Hersteller (gemäß dessen AGB)
(2) Bei Fehlschlagen der Nacherfüllung durch uns (sofern wir nacherfüllungspflichtig waren) gelten:
- Minderung unserer Vergütungbei erheblichem Mangel: außerordentliche Kündigung durch den Besteller
- Schadensersatz nur bei Vorsatz/grober Fahrlässigkeit (siehe § 6)
4.5 Verjährung
(1) Ansprüche wegen Mängeln laufender SaaS-Leistungen unterliegen der gesetzlichen Verjährung.
(2) Ansprüche wegen Mängeln aus einmaligen Leistungen (z. B. Onboarding, Schulung, Dokumentation) verjähren in 12 Monaten ab Leistungserbringung.
(3) Die Verjährungsverkürzungen gelten nicht bei Vorsatz oder arglistigem Verschweigen, bei Übernahme einer Garantie sowie bei Ansprüchen wegen Verletzung von Leben, Körper oder Gesundheit.
§ 5 SCHULUNG UND SUPPORT
5.1 Hersteller-Support ist primär
(1) Technischer Support erfolgt primär durch den Dritthersteller. Typische Supportkanäle sind:
Online-Dokumentation / Knowledge Base
Community-ForumTicket-System
E-Mail-SupportTelefon-Hotline (bei Premium-Support)
(2) Der Besteller erhält die Zugangsdaten für das Hersteller-Support-Portal.
5.2 Unsere Support-Vermittlung (optional)
Falls im Vertrag vereinbart, vermitteln wir:
- Ersteinschätzung: Prüfung, ob Problem lösbar ist (Bedienungsfehler vs. Software-Bug)
- Weiterleitung: Berechtigte Support-Fälle an Hersteller
- Eskalation: Eskalation bei langwierigen Fällen (Priority-Zugang möglich)
5.3 Schulung
(1) Der Hersteller bietet regelmäßig Online-Tutorials/Videos, Webinare, Dokumentation und Zertifizierungsprogramme an.
(2) Falls von uns gebucht, stellen wir bereit:
- Einmalige Basis-Schulung (Webinar)
- Quick Start Guide (PDF)
(3) Eine Garantie für Lernerfolg wird nicht übernommen.
§ 6 HAFTUNGSBESCHRÄNKUNG
6.1 Haftungsgrundsätze
(1) Wir haften unbeschränkt bei Vorsatz, grober Fahrlässigkeit sowie bei Schäden aus Verletzung von Leben, Körper oder Gesundheit.
(2) Bei einfach fahrlässiger Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) ist unsere Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt.
(3) Im Übrigen ist eine weitergehende Haftung ausgeschlossen.
6.2 Haftungsbeschränkung bei SaaS-Leistungen
(1) Wir haften nicht für Leistungsstörungen, Ausfälle oder Mängel der SaaS-Software, soweit diese im Verantwortungsbereich des Drittherstellers liegen. Dies betrifft insbesondere:
a) Verfügbarkeit, Performance und Skalierbarkeit der Plattform
b) Software-Fehler, Bugs oder Sicherheitslücken
c) Datenverlust oder Datenverfügbarkeit innerhalb der Plattform
d) Änderungen oder Einstellung von Funktionen (Deprecation / End-of-Life)
(2) Dies gilt nicht, soweit wir einen Mangel arglistig verschwiegen oder eine ausdrückliche Garantie übernommen haben.
6.3 Haftung des Herstellers
(1) Für die vorgenannten Punkte haftet der Dritthersteller gemäß dessen AGB/Terms of Service. Typische Haftungsbeschränkungen sind:
-Haftungshöchstgrenze: 12 Monate Subskriptionsgebühr
- Ausschluss mittelbarer Schäden (entgangener Gewinn, Folgeschäden)
- Service Credits als einziges Rechtsmittel bei SLA-Verletzungen
(2) Der Besteller akzeptiert diese Beschränkungen durch Nutzung der Software.
6.4 Haftung bei Onboarding-Leistungen (falls vereinbart)
(1) Onboarding-Leistungen sind unterstützende Dienst- und Beratungsleistungen; ein bestimmter Erfolg wird nicht geschuldet.
(2) Wir haften für Schäden aus Onboarding-Leistungen ausschließlich bei Vorsatz oder grober Fahrlässigkeit.
(3) Die Haftung ist auf die vereinbarte Onboarding-Vergütung begrenzt, maximal jedoch auf 3.000 EUR, sofern nicht zwingend gesetzlich etwas anderes bestimmt ist.
6.5 Freistellung
Der Besteller stellt uns frei von:
- Ansprüchen des Herstellers wegen Vertragsverstoß des Bestellers (z. B. Lizenzüberschreitung, illegale Nutzung)
- Ansprüchen Dritter wegen vom Besteller in die Software eingestellter Inhalte (Urheberrechtsverletzungen, DSGVO-Verstöße)
- Ansprüchen wegen vom Besteller veranlasster Änderungen/Customizings
§ 7 LIZENZIERUNG UND NUTZUNGSRECHTE
7.1 Subskriptionsmodell
Die Software wird auf Subskriptionsbasis (monatlich oder jährlich) lizenziert. Es erfolgt kein Kauf und keine unbefristete Lizenz. Nach Ende der Subskription erlischt das Nutzungsrecht.
7.2 Umfang der Nutzungsrechte
Die Nutzungsrechte ergeben sich aus den Lizenzbedingungen des Drittherstellers. Typische Beschränkungen sind:
- Anzahl Nutzer/Seats: Nur vereinbarte Anzahl darf zugreifen
- Geographische Beschränkungen: Nutzung nur in bestimmten Ländern
- Use Case: Nur für vereinbarten Zweck (z. B. „Internal Business Use“, nicht „Resale“
- )Keine Weiterveräußerung: Lizenz nicht übertragbar
- Keine Reverse Engineering: Dekompilierung, Disassemblierung verboten
Der Besteller verpflichtet sich, diese Beschränkungen einzuhalten.
7.3 Lizenzmetriken
Übliche Metriken sind:
Per User (Named User): Lizenz gebunden an konkrete Person
Per Concurrent User: Anzahl gleichzeitiger NutzerPer Device/Endpoint: Lizenz gebunden an Gerät
Per Usage (Consumption): Nach Verbrauch (z. B. API-Calls, Speicher, Datenvolumen)Bei Überschreitung gelten insbesondere:
- Automatische Berechnung zusätzlicher Lizenzen, oder
- Blockierung weiterer Nutzung (bis zusätzliche Lizenzen erworben)
Der Besteller überwacht seine Lizenznutzung selbst.
7.4 Compliance-Audits
Der Dritthersteller kann Compliance-Audits durchführen (regelmäßig mit 30 Tagen Vorlauf). Pflichten des Bestellers:
Gewährung von Zugang zu relevanten Systemen/DatenBereitstellung von Logs, Berichten
Kooperation mit Auditor
Bei festgestellten Lizenzverstößen können insbesondere Nachzahlungen, Vertragsstrafen (gemäß Hersteller-AGB) sowie Kündigungen durch den Hersteller erfolgen. Wir sind nicht beteiligt, können aber vermitteln.
§ 8 DATENSCHUTZ
8.1 Datenschutzrechtliche Rollen
Für personenbezogene Daten, die der Besteller innerhalb der SaaS-Software verarbeitet, gilt:– Besteller ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
– Dritthersteller ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.Wir verarbeiten keine Inhalts- oder Nutzungsdaten innerhalb der SaaS-Software und haben hierauf keinen Zugriff. Für personenbezogene Daten, die im Rahmen der Vertragsabwicklung, Lizenzverwaltung, Abrechnung oder Kommunikation verarbeitet werden (z. B. Ansprechpartnerdaten), sind wir eigenständiger Verantwortlicher im Sinne der DSGVO.
8.2 Auftragsverarbeitungsvertrag (AVV)
Der AVV wird geschlossen zwischen Besteller ↔ Dritthersteller.
Typische Umsetzung:
Hersteller stellt Standard-AVV bereit (Data Processing Agreement, DPA)
Besteller akzeptiert DPA bei Registrierung oder durch Nutzung
Oder: DPA ist Bestandteil der Terms of Service
8.3 Datenübermittlung in Drittländer
Viele SaaS-Anbieter hosten in Drittländern (USA, Schweiz, Singapur). Rechtsgrundlagen (typisch):
EU-US Data Privacy Framework (für US-zertifizierte Unternehmen)
Standardvertragsklauseln (SCC) zwischen Besteller und Hersteller
Adequacy Decision (z. B. Schweiz, UK)
Der Besteller ist selbst verantwortlich für:
Prüfung der Rechtsgrundlagen
Risikoabschätzung gemäß DSGVOggf.
Einholung von Einwilligungen betroffener Personen
Wir beraten nicht zum Datenschutz (keine Rechtsberatung).
8.4 Subprocessors
Der Hersteller setzt häufig Unterauftragsverarbeiter ein (z. B. AWS, SendGrid). Listen sind meist auf der Website des Herstellers verfügbar („Subprocessors“/„Data Processing Addendum“). Der Besteller sollte diese prüfen und bei Bedenken ggf. widersprechen, sofern dies das Hersteller-DPA vorsieht.
8.5 Unsere Rolle bei Datenpannen
Bei Data Breach beim Hersteller gilt typischerweise:
a) Hersteller informiert den Besteller gemäß DPA.
b) Besteller entscheidet über Meldung an Aufsichtsbehörde (Art. 33 DSGVO: 72h).
c) Wir sind nicht involviert, außer der Besteller bittet um Vermittlung/Unterstützung.
Meldepflichten liegen beim Besteller, nicht bei uns.
§ 9 LAUFZEIT UND KÜNDIGUNG
9.1 Vertragslaufzeit
Erstmalige Mindestlaufzeit:
soweit nicht anders vereinbart 12 Monate ab Bereitstellung des Zugangs.
Verlängerung: automatisch um jeweils 12 Monate.
Kündigungsfrist: 3 Monate zum jeweiligen Laufzeitende.
Textform erforderlich: E-Mail oder Brief.
9.2 Außerordentliche Kündigung
Wichtige Gründe für uns:
- Zahlungsverzug >30 Tage
- Insolvenz des Bestellers
- Verstoß gegen Nutzungsbedingungen des Herstellers (nach Abmahnung)
-Nutzung für illegale Zwecke
Wichtige Gründe für Besteller:
- Einstellung der Software durch Hersteller (End-of-Life)
- Schwerwiegende Mängel (>60 Tage trotz Nacherfüllungsverlangen)
- Wiederholte SLA-Verletzungen (>3 Monate <95% Verfügbarkeit)
9.3 Folgen der Beendigung
Bei Vertragsende gilt:
a) Zugang zur Software wird deaktiviert
Bei Zahlungsverzug sind wir berechtigt, dem Besteller nach vorheriger Mahnung und angemessener Fristsetzung den Zugang ganz oder teilweise zu sperren.
Die Sperre wird angekündigt und erfolgt frühestens 7 Kalendertage nach Fristablauf, sofern der Zahlungsrückstand nicht ausgeglichen wurde.
Das Recht zur außerordentlichen Kündigung bleibt unberührt.
Zum Kündigungsende bei ordentlicher Kündigung wird der Zugang beendet.
b) Daten des Bestellers beim Hersteller
Verfügbarkeit richtet sich nach Hersteller-AGB
In der Regel: 10–30 Tage Aufbewahrung, dann Löschung
Besteller muss Daten vorher exportieren
c) Keine Rückerstattung
Bei ordentlicher Kündigung: keine Rückerstattung vorausgezahlter Beträge
Bei außerordentlicher Kündigung (unser Verschulden): anteilige Rückerstattung
9.4 Datenexport vor Vertragsende
Wichtig: Der Besteller muss seine Daten vor Vertragsende exportieren.
Unterstützung durch uns (optional, gegen Aufpreis):
Durchführung des Exports
Bereitstellung in Standard-Format (CSV, JSON etc.)
Kosten: nach Aufwand
Haftungsausschluss: Wir haften nicht für Datenverlust, wenn der Besteller nicht rechtzeitig exportiert.
§ 10 PREISE UND ZAHLUNGSBEDINGUNGEN
10.1 Preismodelle
Typische Modelle:
a) Per User/Month: Beispiel: 15€ pro User/Monat, 200 User = 3.000€/Monat
b) Gestaffelte Preise: Beispiel: 1–50 User: 20€/User, 51–200 User: 15€/User etc.
c) Prepaid-Pakete / per User/Endpoint/Year: Beispiel: 12 Monate Jahresabonnement: 3.000€
d) Consumption-based: Beispiel: API-Calls, Speicher, Datenvolumen
Details ergeben sich aus dem Servicevertrag.
10.2 Rechnungsstellung
Monatliche Abrechnung erfolgt im Voraus zum 1. des Monats; Zahlungsziel ist 14 Tage.
Jährliche Vorauszahlung erfolgt per einmaliger Rechnung zu Vertragsbeginn; Zahlungsziel ist 14 Tage.
Zahlungsweise ist SEPA-Lastschrift (bevorzugt) oder Überweisung.
10.3 Anpassung der Lizenzanzahl
Erhöhungen sind jederzeit möglich; Mitteilung per E-Mail, Aktivierung binnen 2 Werktagen; Abrechnung pro rata ab Aktivierungstag.
Reduzierungen erfolgen bei monatlicher Zahlung zum Monatsende, bei jährlicher Vorauszahlung zum Jahresende; Kündigungsfrist: 1 Monat.
10.4 Preisanpassung
Erhöht der Dritthersteller seine Preise, dürfen wir diese Erhöhung weitergeben. Die Preisanpassung wird mindestens 4 Wochen vor Wirksamwerden angekündigt.
Bei einer Erhöhung von mehr als 15 % kann der Besteller binnen 30 Tagen nach Zugang der Mitteilung außerordentlich zum Zeitpunkt des Wirksamwerdens kündigen.
§ 11 NUTZUNG DURCH DRITTE / RESALE
11.1 Keine Weitergabe ohne Genehmigung
Der Besteller darf die SaaS-Lizenzen nicht an Dritte weitergeben, vermieten oder als Service anbieten, außer:
a) konzernverbundene Unternehmen (bei Konzernlizenz)
b) nach schriftlicher Genehmigung durch uns (Reseller-Vereinbarung erforderlich)
11.2 Reseller-Modell (bei Genehmigung)
Will der Besteller als Reseller/MSP an Endkunden weitergeben, ist eine separate Reseller-Vereinbarung erforderlich, insbesondere zu:
- Konditionen für Wiederverkauf
- Marge des Bestellers
- Support-Verantwortlichkeiten
- Haftungsverteilung
Ohne Reseller-Vereinbarung stellt die Weitergabe einen Vertragsverstoß dar und berechtigt zur außerordentlichen Kündigung sowie ggf. Schadensersatz.
§ 12 ÄNDERUNGEN DER SOFTWARE DURCH HERSTELLER
12.1 Updates und Feature-Änderungen
Der Dritthersteller ist berechtigt:
- Updates auszurollen (automatisch oder manuell)neue Features hinzuzufügen
- bestehende Features zu ändern oder zu entfernen (Deprecation)
- UI/UX zu verändern
Wir haben darauf keinen Einfluss.
12.2 Breaking Changes
Bei wesentlichen Änderungen gilt typischerweise:
Hersteller kündigt meist 30–90 Tage im Voraus an
Migration Guides werden bereitgestellt
ggf. Legacy-Modus für Übergangszeit
Pflicht des Bestellers ist, rechtzeitig auf Ankündigungen zu reagieren und ggf. Anpassungen vorzunehmen. Unsere Unterstützung ist optional und erfolgt gegen Aufpreis (Beratung, Workflow-Anpassungen).
12.3 End-of-Life / End-of-Support
Stellt der Hersteller ein Produkt ein, gilt typischerweise:
a) Ankündigung meist 6–12 Monate im Voraus
b) Migration Path zu Nachfolgeprodukt
c) Sonderkündigungsrecht für Besteller (1 Monat zum EOL-Datum)
Wir können informieren, Alternativen benennen und eine Migration zu einer anderen Lösung auf Basis eines neuen Vertrages anbieten; ein Anspruch auf Weiterführung besteht nicht.
§ 13 SICHERHEIT UND COMPLIANCE
13.1 Sicherheitsverantwortung des Herstellers
Der Dritthersteller ist verantwortlich für:
Infrastruktur-Sicherheit (Datacenter, Netzwerk, Server)
Applikationssicherheit (Patches, Vulnerability Management)
Zugriffskontrolle (Authentifizierung, Autorisierung)
Verschlüsselung (in Transit, at Rest)
Backup der Plattform-Daten
Incident Response bei Sicherheitsvorfällen
Penetrationstests und Security Audits
Typische Zertifizierungen: ISO 27001, SOC 2 Type II, CSA STAR, BSI C5.
13.2 Sicherheitsverantwortung des Bestellers
Der Besteller ist verantwortlich für:
sichere Passwörter (Komplexität, Wechsel)
MFA aktivieren (soweit unterstützt)
Berechtigungsmanagement (Least Privilege)
Schulung der Nutzer (Phishing-Awareness, sichere Nutzung)
Logout bei Verlassen des Arbeitsplatzessichere Endgeräte (aktuelles OS, Antivirus, Firewall)
Backup eigener Daten (Export, falls vom Hersteller nicht garantiert)
13.3 Compliance
Hersteller stellt üblicherweise TOMs/DPA bereit; der Besteller muss prüfen, ob die Software seine Compliance-Anforderungen erfüllt. Wir unterstützen optional durch Bereitstellung von Dokumenten und Kontaktvermittlung; keine Rechts-/Auditberatung.
13.4 Sicherheitsvorfälle
Bei Data Breach beim Hersteller:
a) Hersteller informiert den Besteller (gemäß DPA, meist binnen 72h)
b) Besteller entscheidet über weitere Schritte (Meldung, Information Betroffener)
c) Wir vermitteln bei Bedarf
Haftung: § 6.
§ 14 EXPORT UND NUTZUNGSBESCHRÄNKUNGEN
14.1 Exportkontrolle
Viele SaaS-Anbieter unterliegen Exportkontrollgesetzen:
US Export Administration Regulations (EAR)
Office of Foreign Assets Control (OFAC) Sanctions
EU Dual-Use-Verordnung
Verbotene Nutzung (typisch):
in sanktionierten Ländern (z. B. Iran, Nordkorea, Krim)
durch Personen auf Sanctions Lists (OFAC, EU)
für Rüstungszwecke (ohne Lizenz)
für Nuklear-/ABC-Waffen
Pflicht des Bestellers ist die Einhaltung aller Exportkontrollgesetze. Bei Verstoß kann der Hersteller sperren; wir können kündigen.
14.2 Acceptable Use Policy
Verbotene Nutzung (typisch):
Versand von Spam oder Phishing-E-Mails
Hosting oder Verbreitung von Malwareillegale Inhalte (CSAM, terroristische Propaganda etc.)
Urheberrechtsverletzungen (Piraterie, unlizenzierte Inhalte)
Denial-of-Service-Angriffe
Cryptomining (ohne Genehmigung)
Scraping oder automatisierte Massenabfragen (ohne API)
Bei Verstoß:
Verwarnung durch Herstellertemporäre Sperrung
permanente Sperrung (bei schweren Verstößen)
ggf. Strafanzeige
Wir sind nicht verantwortlich, können aber vermitteln.
§ 15 GEHEIMHALTUNG
15.1 Vertrauliche Informationen
Beide Parteien verpflichten sich zur Geheimhaltung vertraulicher Informationen. Als vertraulich gelten insbesondere:
Von uns:
Geschäftsgeheimnisse zu Pricing-Modellen,
Kalkulationen und Margeninterne Prozesse,
Produkt-Roadmaps und geplante Features
Kundenlisten
Technische Details wie Quellcode, Architektur, APIs und Systemdesign
Vom Besteller:
Geschäftsdaten in der SoftwarePersonenbezogene Daten von Mitarbeitern oder Endkunden
Interne Geschäftsprozesse und Workflows
Zugangsdaten und Sicherheitskonfigurationen
Nutzungsstatistiken
Konfigurationen
Ausnahmen: öffentlich bekannte Informationen, gesetzliche Offenlegungspflichten, gerichtliche Anordnungen. Dauer der Geheimhaltung: 3 Jahre nach Vertragsende.
15.2 Datenzugriff
Wir haben keinen Zugriff auf die vom Besteller in der SaaS-Software gespeicherten Daten. Ausnahme:
ausdrückliche Beauftragung (z. B. Datenexport-Service) und schriftliche Zugangsberechtigung.
§ 16 ABSCHLIESSENDE BESTIMMUNGEN
16.1 Salvatorische Klausel
Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle tritt die gesetzliche Regelung.
16.2 Textform
Änderungen und Ergänzungen bedürfen der Textform (§ 126b BGB), sofern nicht gesetzlich strengere Form vorgeschrieben ist. Individuelle Vertragsabreden gehen vor.
16.3 Anwendbares Recht
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts (CISG).
16.4 Gerichtsstand
Gerichtsstand ist Lemgo, sofern der Besteller Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
16.5 Übersetzungen
Vertragssprache ist Deutsch. Übersetzungen dienen nur der Information; bei Widersprüchen gilt die deutsche Fassung.
§ 17 UNTERSCHIEDE ZU EGB MSP
Diese EGB SaaS gelten nur, wenn keine Managed Services beauftragt sind.
Bei Kombination gilt: Wenn sowohl SaaS-Lizenz als auch Managed Services beauftragt sind, gelten beide EGB; im Kollisionsfall haben die EGB MSP für die Managed-Services-Regelungen Vorrang.
