§ 1 Geltungsbereich und Vertragsschluss
Diese AGB gelten für Verträge über IT-, Software- und IT-Sicherheitsleistungen zwischen Codex Operations ("Auftragnehmer") und Unternehmern im Sinne des § 14 BGB. Verträge mit Verbrauchern werden auf Grundlage dieser AGB nicht geschlossen.
Individuelle Angebote, Projektverträge, Leistungsbeschreibungen, SOWs, Rules of Engagement und Auftragsbestätigungen gehen diesen AGB im Widerspruchsfall vor. Ein Vertrag kommt durch Annahme eines Angebots, Unterzeichnung oder sonstige eindeutige Beauftragung und Annahme zustande.
§ 2 Leistungen und Änderungen
Art, Umfang, Ziel und technische Rahmenbedingungen ergeben sich aus der jeweiligen Leistungsbeschreibung. Beratungs-, Testing-, Pentesting-, Review- und Schulungsleistungen sind grundsätzlich Tätigkeitsleistungen; bei ausdrücklich vereinbarten Werkleistungen wird das konkret beschriebene Werk geschuldet.
Änderungen oder Erweiterungen nach Projektbeginn gelten als Change Requests und können zu zusätzlichem Aufwand, Mehrkosten und Terminverschiebungen führen.
§ 3 Mitwirkung des Auftraggebers
Der Auftraggeber stellt rechtzeitig alle erforderlichen Informationen, Zugänge, Systeme, Testkonten, Freigaben und Ansprechpartner bereit und ist für deren Richtigkeit sowie für die Berechtigung zur Nutzung verantwortlich.
Vor Eingriffen in Produktivsysteme, Deployments, Migrationen oder aktiven Sicherheitstests hält der Auftraggeber angemessene aktuelle Datensicherungen vor. Mehraufwand oder Verzögerungen wegen fehlender Mitwirkung können zusätzlich berechnet werden.
§ 4 Penetrationstests und Security Assessments
Penetrationstests und aktive Sicherheitsprüfungen erfolgen ausschließlich innerhalb eines vorab vereinbarten Scopes. Der Auftraggeber versichert, zur Prüfung aller betroffenen Systeme berechtigt zu sein und erforderliche Zustimmungen Dritter eingeholt zu haben.
Besonders risikoreiche Methoden, insbesondere Denial-of-Service-Tests, Social Engineering, physische oder destruktive Tests, werden nur nach ausdrücklicher Vereinbarung durchgeführt. Codex Operations darf Prüfungen bei unklarer Autorisierung oder unvertretbaren Risiken unterbrechen oder abbrechen.
Ein Penetrationstest kann nicht garantieren, sämtliche vorhandenen oder zukünftigen Schwachstellen zu erkennen. Ergebnisse beziehen sich auf den vereinbarten Scope und den technischen Stand zum Prüfzeitpunkt.
§ 5 Findings, Softwareentwicklung und Drittkomponenten
Gefundene Schwachstellen werden fachlich dokumentiert und priorisiert. Ein Retest prüft grundsätzlich nur die bezeichneten Findings und ersetzt keinen vollständigen neuen Penetrationstest.
Bei Entwicklungsprojekten richtet sich der Funktionsumfang nach der Leistungsbeschreibung. Codex Operations darf marktübliche Open-Source-Komponenten, Frameworks, Bibliotheken, APIs und Drittsoftware einsetzen; hierfür gelten ergänzend deren Lizenzbedingungen. Änderungen externer Systeme nach Übergabe begründen nur dann eine Anpassungspflicht, wenn Wartung oder fortlaufende Kompatibilität ausdrücklich vereinbart wurde.
§ 6 Abnahme, Vergütung und Zahlung
Bei abnahmefähigen Werkleistungen prüft der Auftraggeber die Leistung innerhalb angemessener Frist. Die Abnahme darf wegen unwesentlicher Mängel nicht verweigert werden; Codex Operations erhält Gelegenheit zur Nacherfüllung.
Die Vergütung richtet sich nach Angebot oder individueller Vereinbarung. Preise verstehen sich gegenüber Unternehmern netto zuzüglich gesetzlicher Umsatzsteuer, sofern diese anfällt. Rechnungen sind mangels anderer Vereinbarung innerhalb von 14 Kalendertagen ohne Abzug fällig. Zusatzleistungen und freigegebene Change Requests werden gesondert vergütet.
§ 7 Nutzungsrechte und Vertraulichkeit
Nach vollständiger Zahlung erhält der Auftraggeber an individuell erstellten Arbeitsergebnissen die für den vereinbarten Zweck erforderlichen Nutzungsrechte. Vorbestehende Komponenten, Methoden, Werkzeuge, generisches Know-how und wiederverwendbare Module verbleiben bei Codex Operations bzw. dem jeweiligen Rechteinhaber.
Beide Parteien behandeln vertrauliche Informationen, insbesondere Zugangsdaten, Quellcode, Sicherheitslücken, Pentest-Findings, technische Dokumentationen und Geschäftsgeheimnisse, vertraulich und verwenden sie nur zur Vertragsdurchführung.
§ 8 Datenschutz
Beide Parteien beachten die anwendbaren Datenschutzvorschriften. Soweit Codex Operations personenbezogene Daten im Auftrag verarbeitet, schließen die Parteien vor Beginn der Verarbeitung eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Der Auftraggeber bleibt für die Rechtmäßigkeit der von ihm veranlassten Datenverarbeitung verantwortlich, soweit gesetzlich nichts anderes bestimmt ist.
§ 9 Haftung und Datensicherung
Codex Operations haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie nach zwingenden gesetzlichen Vorschriften. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden begrenzt; im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen, soweit gesetzlich zulässig.
Der Auftraggeber bleibt für Betrieb, Zugriffskontrolle, Backups und Wiederherstellbarkeit seiner Systeme verantwortlich, soweit diese Aufgaben nicht ausdrücklich Codex Operations übertragen wurden.
§ 10 Laufzeit, Kündigung und Schlussbestimmungen
Laufzeit und ordentliche Kündigung richten sich nach der individuellen Vereinbarung. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Bereits ordnungsgemäß erbrachte Leistungen sind nach den vertraglichen und gesetzlichen Regelungen zu vergüten.
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts, soweit zulässig. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Kiel Gerichtsstand, soweit gesetzlich zulässig. Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen unberührt.