Allgemeine Nutzungsbedingungen

1. Gegenstand

Vigicap ist eine White-Label-Plattform für Managed Service Provider (MSP) zur Steuerung der Cyber-Compliance ihrer KMU-Kunden: ANSSI-ReCyF-Diagnose, Maßnahmenplan, Angebote, Berichte und Konnektoren zur automatisierten Überprüfung.

2. Zugang zum Dienst

Der Zugang setzt die Erstellung eines MSP-Kontos voraus. Der Anbieter kann kostenlose, Test- oder kostenpflichtige Angebote bereitstellen, deren Preisbedingungen in den Allgemeinen Verkaufsbedingungen festgelegt sind. Der Anbieter bemüht sich um eine durchgehende Verfügbarkeit, garantiert jedoch keine vollständige Unterbrechungsfreiheit (Wartung, Störungen, Vorgaben Dritter).

3. Konto und Sicherheit

Der Nutzer ist für die Vertraulichkeit seiner Zugangsdaten und für sämtliche über sein Konto durchgeführten Aktivitäten verantwortlich. Er verpflichtet sich, jede unbefugte Nutzung unverzüglich zu melden. Mehr-Faktor-Authentifizierung und eine robuste Passwortrichtlinie werden empfohlen.

4. Zulässige Nutzung

Der Nutzer verpflichtet sich, Folgendes zu unterlassen:

• den Dienst zweckwidrig zu verwenden oder seine Integrität, Sicherheit oder Verfügbarkeit zu beeinträchtigen;
• Konnektoren oder Zugänge einzurichten, für die er keine berechtigte Befugnis besitzt;
• rechtswidrige oder die Rechte Dritter verletzende Inhalte hochzuladen.

5. Konnektoren Dritter

Die Konnektoren lesen den Zustand von Tools Dritter anhand der vom Nutzer bereitgestellten Zugänge, unter seiner Verantwortung und für seine eigenen Kunden. Die Zugangsdaten werden im Ruhezustand verschlüsselt. Die erzeugten Ergebnisse sind vom Berater zu validierende Vorschläge und binden den Anbieter nicht.

6. Mandat des Endkunden und Freistellung

Die in der Plattform konfigurierten Konnektoren und delegierten Zugänge versetzen den Anbieter in die Lage, beim KMU-Kunden Verzeichnis-, Bestands- und Sicherheitsinformationen zu lesen. Dieser Zugang wird vom Nutzer eröffnet; er wird dem Anbieter niemals unmittelbar von dem KMU eingeräumt. Der vorliegende Artikel zieht daraus die Konsequenzen.

Der Nutzer erklärt und garantiert für jeden von ihm konfigurierten Konnektor und für die gesamte Dauer der Verbindung:

• dass er über ein Mandat oder eine schriftliche vertragliche Ermächtigung seines Kunden verfügt, die ihm den Zugriff auf die betreffenden Tools und die Übertragung des Lesezugriffs an einen dritten Dienstleister zum Zweck der Cyber-Governance gestattet;
• dass dieser Zugriff unter Einhaltung der Bedingungen des Anbieters des angebundenen Tools erfolgt, gegebenenfalls einschließlich der für Partner geltenden Bedingungen der delegierten Administration;
• dass er seinen Kunden gemäß den Artikeln 13 und 14 DSGVO über den Einsatz der Plattform informiert hat und dass er, soweit sein eigener Vertrag dies verlangt, die Genehmigung zur Hinzuziehung des Anbieters als weiteren Auftragsverarbeiter eingeholt hat;
• dass er die Zugänge nach dem Grundsatz der geringstmöglichen Rechte einrichtet, mit reinem Lesezugriff, soweit das angebundene Tool dies zulässt;
• dass er jeden Konnektor unverzüglich trennt, dessen entsprechendes Mandat beendet oder widerrufen wurde oder nie bestanden hat.

Diese Erklärungen sind für die Zustimmung des Anbieters maßgeblich: Da er in keiner vertraglichen Beziehung zum KMU-Kunden steht, ist er nicht in der Lage, das Bestehen des Mandats zu überprüfen, und führt die Lesevorgänge allein im Vertrauen auf die vom Nutzer vorgenommene Konfiguration aus, die als dokumentierte Weisung im Sinne des Auftragsverarbeitungsvertrags gilt.

Freistellung. Der Nutzer stellt den Anbieter von allen Ansprüchen, Klagen oder Verfahren eines KMU-Kunden, einer betroffenen Person, eines Anbieters eines angebundenen Tools oder eines sonstigen Dritten frei, die auf dem Fehlen, der Unzulänglichkeit, dem Ablauf oder dem Widerruf des in diesem Artikel genannten Mandats beruhen. Diese Freistellung umfasst angemessene Verteidigungskosten und die insoweit ausgesprochenen zivilrechtlichen Verurteilungen. Sie erstreckt sich nicht auf behördliche Sanktionen, deren Last vertraglich nicht übertragen werden kann.

Der Anbieter kann einen Konnektor aussetzen, nach vorheriger Information des Nutzers, soweit dies möglich ist, wenn er ernsthafte Gründe zu der Annahme hat, dass das entsprechende Mandat fehlt.

Der vorliegende Artikel regelt das Verhältnis zwischen den Parteien. Er ändert weder die nach der DSGVO getroffene Einordnung — der Nutzer bleibt Verantwortlicher und der Anbieter Auftragsverarbeiter — noch die Pflichten, die die Verordnung jedem von ihnen gegenüber den betroffenen Personen auferlegt.

7. Geistiges Eigentum

Der Anbieter räumt ein persönliches, nicht ausschließliches und nicht übertragbares Nutzungsrecht am Dienst ein. Die vom Nutzer eingegebenen Daten bleiben sein Eigentum. Die Marke sowie die White-Label-Marken der MSP bleiben Eigentum ihrer jeweiligen Inhaber.

8. Personenbezogene Daten

Die Verarbeitung personenbezogener Daten ist in der Datenschutzerklärung beschrieben, die integraler Bestandteil dieser Bedingungen ist.

Ist der Nutzer ein IT-Dienstleister (MSP), der die Daten seiner eigenen Kunden in die Plattform eingibt, handelt er als Verantwortlicher und Vigicap als Auftragsverarbeiter. Die Auftragsverarbeitungsklauseln im Sinne von Artikel 28 DSGVO finden dann Anwendung und sind ebenfalls integraler Bestandteil dieser Bedingungen.

9. Verantwortung

Vigicap ist ein Werkzeug zur Entscheidungsunterstützung: Es ersetzt weder die Verantwortung der Geschäftsleitung noch ein Audit oder eine Beratung durch einen qualifizierten Fachmann. Der Anbieter haftet weder für Entscheidungen, die auf Grundlage der erstellten Analysen getroffen werden, noch für mittelbare Schäden.

10. Haftungsbeschränkung

Der Dienst wird an Unternehmer zu einem Preis erbracht, der die nachstehend vereinbarte Haftungsobergrenze berücksichtigt. Diese Obergrenze stellt eine zwischen Unternehmern vereinbarte Risikoverteilung und eine wesentliche Bedingung des gewährten Preisniveaus dar: Ihre Gegenleistung ist die Verpflichtung des Anbieters, einen vollständigen und eigenständig abrufbaren Datenexport bereitzuhalten, der jederzeit und ohne sein Zutun verfügbar ist.

Obergrenze. Die Haftung des Anbieters ist, aus allen Gründen und für alle Schäden zusammen für ein und dasselbe Vertragsjahr, auf den Gesamtbetrag der Beträge beschränkt, die der Nutzer im Rahmen seines Abonnements in den zwölf (12) Monaten vor dem schadensauslösenden Ereignis tatsächlich gezahlt hat. Hat das Vertragsverhältnis zu diesem Zeitpunkt weniger als zwölf Monate bestanden, darf die Obergrenze nicht unter drei (3) Monatsbeiträgen des gebuchten Plans liegen.

Ausgeschlossene Schäden. Der Anbieter haftet nicht für mittelbare Schäden und ebenso wenig für die folgenden Schadenspositionen:

• entgangener Umsatz, entgangener Gewinn, Verlust von Kundschaft, entgangene erwartete Einsparungen oder entgangene Geschäftschancen;
• Beeinträchtigung des Ansehens, des Rufs oder der Beziehung des Nutzers zu seinen eigenen Kunden;
• Verlust, Veränderung oder Beschädigung von Daten, wobei dem Nutzer jederzeit ein vollständiger Export zur Verfügung steht und es ihm obliegt, davon eine Kopie aufzubewahren;
• Kosten einer Ersatz- oder Wiederherstellungsleistung, über die vorstehende Obergrenze hinaus.

Was die Obergrenze nicht abdeckt. Die vorstehenden Bestimmungen gelten nicht und können vom Anbieter nicht geltend gemacht werden im Falle:

• von Arglist oder grober Fahrlässigkeit des Anbieters (art. 1231-3 du code civil);
• einer Körperverletzung oder einer Beeinträchtigung des Lebens oder der körperlichen Unversehrtheit einer Person;
• der Verletzung einer Pflicht, deren Missachtung dem Vertrag seine Substanz nehmen würde, wobei der vorliegende Artikel insoweit keine Anwendung findet, als er diese Wirkung hätte (art. 1170 du code civil);
• von Pflichten, deren vertragliche Abbedingung das Gesetz untersagt, insbesondere der Haftung des Anbieters gegenüber den betroffenen Personen nach Artikel 82 DSGVO, die der vorliegende Artikel unberührt lässt.

Die Obergrenze gilt ebenso wenig für die Beträge, die der Nutzer im Rahmen seines Abonnements schuldet.

11. Kündigung

Der Nutzer kann die Nutzung des Dienstes jederzeit einstellen. Der Anbieter kann ein Konto bei einem Verstoß gegen diese Bedingungen aussetzen oder kündigen, nach vorheriger Benachrichtigung, soweit dies möglich ist.

12. Änderungen

Diese Bedingungen können aktualisiert werden. Die Nutzer werden über wesentliche Änderungen informiert; die fortgesetzte Nutzung gilt als Annahme.

13. Anwendbares Recht und Gerichtsstand

Diese Bedingungen unterliegen französischem Recht unter Ausschluss seiner Kollisionsnormen. Die Parteien bemühen sich, jede Streitigkeit gütlich beizulegen, durch vorherigen schriftlichen Austausch an contact@vigicap.fr, bevor ein streitiges Verfahren eingeleitet wird.

Kommt keine gütliche Einigung zustande, unterliegt jede Streitigkeit über das Zustandekommen, die Auslegung, die Erfüllung oder die Beendigung dieser Bedingungen der ausschließlichen Zuständigkeit der zuständigen Gerichte von Paris (Frankreich), einschließlich im einstweiligen Rechtsschutz, bei mehreren Beklagten oder bei Streitverkündung.

Diese Gerichtsstandsvereinbarung wird zwischen Personen geschlossen, die beide in der Eigenschaft als Kaufmann (commerçant) kontrahieren, im Sinne von article 48 du code de procédure civile; der Dienst steht ausschließlich eingetragenen Unternehmern offen, die für die Zwecke ihrer Tätigkeit handeln. Kontrahiert der Nutzer nicht in dieser Eigenschaft, ist diese Klausel ihm gegenüber nicht durchsetzbar und die Zuständigkeit richtet sich nach den allgemeinen Vorschriften, ohne dass dies die Wirksamkeit der übrigen Bestimmungen berührt.