Vertrag zur Auftragsverarbeitung

(1) Der Anbieter stellt dem Kunden die KI-gestützte Software denti bzw. denti PRO bereit (nachfolgend einheitlich „die Software“); dieser Vertrag gilt für beide Modelle gleichermaßen. Mit der Software werden Anzeigen zur Gewinnung von Mitarbeitern und – mit denti PRO – von Patienten über Meta-Plattformen geschaltet; die daraus entstehenden Bewerbungen und Anfragen nimmt die Software entgegen, stellt sie zu und verwaltet sie. Gegenstand dieses Vertrages ist jede Verarbeitung personenbezogener Daten, die der Anbieter dabei im Auftrag des Kunden vornimmt – einschließlich jeder weiteren Verarbeitung, bei der Beschäftigte oder Beauftragte des Anbieters auf personenbezogene Daten des Kunden zugreifen können, insbesondere bei Support, Wartung und Fehlersuche. Einzelheiten beschreibt Anlage 1.

(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Bewahrt der Anbieter nach dessen Ende Daten auf, gilt dieser Vertrag für diese Daten nach Maßgabe des § 15 Abs. 2 fort. Die Pflichten aus § 6 (Vertraulichkeit, Berufsgeheimnis) und § 15 (Löschung) bestehen darüber hinaus fort.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder sonstigen Vereinbarungen geht in datenschutzrechtlichen Fragen dieser Vertrag vor.

(4) Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO): Er wird mit dem Hauptvertrag als dessen Anlage einbezogen und spätestens bei der ersten Anmeldung in der Software bestätigt; der Anbieter protokolliert Zeitpunkt, bestätigende Person und Fassung. Der Kunde stellt sicher, dass die bestätigende Person dazu berechtigt ist (§ 2 Abs. 6 der AGB gilt entsprechend). Vor der Bestätigung nimmt der Anbieter keine Verarbeitung im Auftrag des Kunden vor.

(5) Zur Orientierung: Die Pflichten des Anbieters aus Art. 28 Abs. 3 DSGVO stehen in § 5 (Weisungen), § 6 (Vertraulichkeit und Berufsgeheimnis), § 7 (technische und organisatorische Maßnahmen), § 8 (Unterauftragsverarbeiter), § 10 (Rechte der betroffenen Personen), § 11 (Meldung von Verletzungen), § 12 (Unterstützung), § 13 (Nachweise und Kontrollen), § 15 (Löschung und Rückgabe) und § 16 (Behördenanfragen und Zugriffe Dritter).

(1) Verarbeitet wird ausschließlich, um die vertraglich vereinbarten Leistungen zu erbringen: Anzeigen und Formulare bei Meta anlegen und ausspielen; eingehende Bewerbungen und Anfragen entgegennehmen und automatisiert anhand der vom Kunden vorgegebenen Aussortier-Antworten vorprüfen (Anlage 1); sie in der Software anzeigen, per E-Mail zustellen und die Zusammenarbeit im Team des Kunden ermöglichen; die vereinbarten KI-Funktionen ausführen (Chat-Assistenz, Bildprüfung, Spracheingabe).

(2) Besondere Kategorien: Gegenstand der Verarbeitung sind auch Gesundheitsdaten im Sinne von Art. 4 Nr. 15, Art. 9 Abs. 1 DSGVO – insbesondere Angaben von Interessenten zu Zahnstatus, Rauchverhalten und Vorerkrankungen (z. B. Diabetes) aus den Patienten-Formularen sowie die Interessenten-Eigenschaft für eine zahnärztliche Behandlung als solche.

(3) Eine Verarbeitung zu eigenen Zwecken des Anbieters – insbesondere zu Werbe-, Analyse- oder Trainingszwecken – findet nicht statt. Diese Zweckbindung gibt der Anbieter an alle Unterauftragsverarbeiter weiter (§ 8, Anlage 3).

(1) Für die Erhebung der Daten über die Formulare der Anzeigen (von Meta „Lead Ads“ genannt) auf den Meta-Plattformen sind der Kunde und Meta Platforms Ireland Ltd. nach Maßgabe der zugehörigen Meta-Nutzungsbedingungen gemeinsam Verantwortliche (Art. 26 DSGVO); die dafür von Meta vorgesehene Vereinbarung schließt der Kunde in seinem Werbekonto ab. Meta ist insoweit nicht Unterauftragsverarbeiter des Anbieters, sondern Quelle der Daten. Ab dem Abruf der Bewerbungen und Anfragen über die Meta-Schnittstelle verarbeitet der Anbieter als Auftragsverarbeiter des Kunden. Bei Meta verbleibende Kopien verfallen dort plattformseitig regelmäßig 90 Tage nach Eingang.

(2) Der Anbieter übermittelt keine Gesundheitsangaben aus eingegangenen Anfragen an Meta zurück (kein Conversion-Tracking, keine Zielgruppenbildung aus Gesundheitsmerkmalen).

(3) Zahlungsdaten verarbeitet Stripe Payments Europe Ltd. für die Abrechnung des Hauptvertrages; insoweit ist der Anbieter selbst Verantwortlicher und Stripe teilweise eigenständig Verantwortlicher. Bewerbungen und Anfragen erhält Stripe nicht.

(1) Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der beauftragten Verarbeitung verantwortlich – insbesondere für die Rechtsgrundlagen (bei Gesundheitsdaten die ausdrückliche Einwilligung der betroffenen Personen nach Art. 9 Abs. 2 lit. a DSGVO im Formular) und für die Information der betroffenen Personen nach Art. 13, 14 DSGVO. Die in den Formularen verlinkte Datenschutzerklärung des Kunden muss die Verarbeitung über die Software abdecken. Der Anbieter unterstützt den Kunden nach dessen Weisung bei der Gestaltung der Formulare.

(2) Die in der Software hinterlegten und die vom Kunden angepassten Formularfragen einschließlich der Aussortier-Antworten gelten als Weisung des Kunden im Sinne von § 5.

(3) Dem Kunden stehen die Rechte aus diesem Vertrag zu, insbesondere das Weisungsrecht (§ 5), die Kontrollrechte (§ 13), das Wahlrecht bei Vertragsende zwischen Herausgabe, Löschung und Aufbewahrung (§ 15) und die Rechte bei Vertragsverstößen (§ 18).

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden; das gilt auch für die Übermittlung in ein Drittland. Das gilt nicht, soweit der Anbieter durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Als dokumentierte Weisung gelten dieser Vertrag, der Hauptvertrag und die Nutzung der in der Software vorgesehenen Funktionen. Ergänzende Weisungen bedürfen der Textform (in der Software oder per E-Mail an denti@patientenmagnet.de); mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Weisungsberechtigt sind die vom Kunden benannten Nutzer seines Kundenkontos. Bei einander widersprechenden Weisungen mehrerer Nutzer gilt die Weisung der Inhaberin oder des Inhabers bzw. der Geschäftsleitung des Kunden. Weisungsempfänger ist die Geschäftsführung des Anbieters.

(4) Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann der Anbieter nach vorheriger Ankündigung berechnen; maßgeblich ist der nachgewiesene Aufwand. Seine gesetzlichen Pflichten und die Mitwirkungspflichten aus diesem Vertrag bleiben davon unberührt.

(1) Ist der Kunde Berufsgeheimnisträger im Sinne von § 203 Abs. 1 StGB – bei Zahnarztpraxen ist das der Fall (§ 203 Abs. 1 Nr. 1 StGB) –, wird der Anbieter als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB tätig. Die folgenden Absätze gelten unabhängig davon für alle fremden Geheimnisse des Kunden.

(2) Der Anbieter verpflichtet sich zur Verschwiegenheit über alle ihm im Zusammenhang mit der Leistungserbringung bekannt werdenden fremden Geheimnisse, insbesondere Patientengeheimnisse und Gesundheitsdaten. Diese Verpflichtung besteht zeitlich unbegrenzt und über die Beendigung dieses Vertrages hinaus fort.

(3) Der Anbieter nimmt geschützte Geheimnisse nur zur Kenntnis, soweit dies für die vertragsgemäße Leistungserbringung erforderlich ist, und stellt dies durch ein Rollen- und Berechtigungskonzept sicher.

(4) Der Anbieter setzt nur Personen ein, die er zuvor in Textform zur Vertraulichkeit verpflichtet und dabei über die Strafbarkeit einer unbefugten Offenbarung nach § 203 Abs. 4 StGB sowie über § 204 StGB belehrt hat. Die Verpflichtungen werden dokumentiert und dem Kunden auf Verlangen nachgewiesen.

(5) Unterauftragsverarbeiter (§ 8) erhalten geschützte Geheimnisse nur, soweit dies für deren Leistung erforderlich ist, und nur auf Grundlage von Verträgen, die sie zur Vertraulichkeit und zur ausschließlichen Verarbeitung für die Zwecke des Auftrags verpflichten – einschließlich der Pflicht, ihr eingesetztes Personal in gleicher Weise zur Vertraulichkeit zu verpflichten und, soweit es Zugang zu geschützten Geheimnissen haben kann, über die Strafbarkeit nach § 203 Abs. 4 StGB zu belehren (Anlage 3).

(6) Dem Anbieter ist bekannt, dass er sich bei unbefugter Offenbarung oder Verwertung geschützter Geheimnisse selbst nach § 203 Abs. 4, § 204 StGB strafbar machen kann. Gesetzliche Aussage- und Auskunftspflichten bleiben unberührt; § 16 gilt entsprechend.

(1) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält sie auf dem Stand der Technik. Wegen der Verarbeitung von Gesundheitsdaten trifft er darüber hinaus angemessene und spezifische Maßnahmen entsprechend den Wertungen des § 22 Abs. 2 BDSG, insbesondere Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffsbeschränkung und ein dokumentiertes Löschkonzept.

(2) Die Maßnahmen dürfen fortgeschrieben werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Anbieter dem Kunden mit; die jeweils aktuelle Fassung der Anlage 2 ist in der Software einsehbar.

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Der Anbieter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die ihn selbst aus diesem Vertrag treffen, und bleibt dem Kunden gegenüber für dessen Pflichterfüllung verantwortlich (Art. 28 Abs. 4 DSGVO).

(2) Beabsichtigte Neuaufnahmen oder Wechsel teilt der Anbieter dem Kunden mindestens 30 Tage vorab in Textform mit. Der Kunde kann binnen 14 Tagen aus berechtigten Gründen widersprechen. Bei fristgerechtem Widerspruch wird der betreffende Unterauftragsverarbeiter für Daten dieses Kunden nicht eingesetzt, bis eine einvernehmliche Lösung gefunden ist; kommt sie nicht zustande, kann der Kunde den Hauptvertrag außerordentlich kündigen. Ist der Einsatz für den Betrieb der Software technisch zwingend und bleibt der Widerspruch bestehen, kann stattdessen auch der Anbieter den Hauptvertrag mit einer Frist von drei Monaten kündigen.

(3) Erfordert ein dringendes Sicherheitsrisiko oder der unvorhergesehene Ausfall eines Unterauftragsverarbeiters einen sofortigen Wechsel, darf der Anbieter ihn ohne Einhaltung der Vorlauffrist vornehmen; er informiert den Kunden unverzüglich danach. Das Widerspruchsrecht nach Abs. 2 bleibt unberührt.

(4) Nebenleistungen Dritter – etwa Telekommunikations-, Transport-, Reinigungs-, Bewachungs- oder Wartungsleistungen sowie die Entsorgung von Datenträgern – sind keine Unterauftragsverarbeitung, solange ein Zugriff auf personenbezogene Daten des Kunden ausgeschlossen ist. Kann der Zugriff nicht ausgeschlossen werden, gilt Abs. 1.

(5) Stellt der Anbieter seine Tätigkeit dauerhaft ein oder wird über sein Vermögen ein Insolvenzverfahren eröffnet, kann der Kunde von den Unterauftragsverarbeitern die Löschung oder Herausgabe der ihn betreffenden Daten verlangen; der Anbieter verankert diese Berechtigung in den Verträgen mit den Unterauftragsverarbeitern.

(1) Speicherung (Datenbank, Datei-Speicher, Anmeldung) und Ausführung der Software erfolgen in der Europäischen Union (Anlage 3). In den USA verarbeiten die KI-Dienste die ihnen übermittelten Daten; außerdem verarbeitet der Hosting-Dienstleister dort seine Kontrollebene sowie die Betriebs- und Fehlerprotokolle. Die betreffenden Empfänger und der jeweilige Übermittlungsmechanismus sind in Anlage 3 je Empfänger ausgewiesen: der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914).

(2) Entfällt ein Angemessenheitsbeschluss oder wird er für ungültig erklärt, stellt der Anbieter die betroffenen Übermittlungen unverzüglich auf EU-Standardvertragsklauseln nebst erforderlicher ergänzender Maßnahmen um oder beendet sie und informiert den Kunden.

(3) Der Anbieter wirkt an einer Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) mit, soweit der Kunde sie benötigt, und stellt die ihm verfügbaren Informationen über die Rechtslage in den Empfängerländern bereit.

(1) Macht eine betroffene Person Rechte aus Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gegenüber dem Anbieter geltend, leitet dieser das Ersuchen unverzüglich, spätestens binnen drei Werktagen, an den Kunden weiter; er beantwortet es nicht selbst.

(2) Der Anbieter unterstützt den Kunden mit geeigneten Mitteln bei der Erfüllung: Auskünfte lassen sich für die in der Software sichtbaren Daten dort zusammenstellen; darüber hinaus unterstützt der Anbieter auf Anfrage (§ 12). Das Löschen von Bewerbungen und Anfragen in der Software wirkt endgültig in den Produktivsystemen (Einzelheiten und Ausnahmen: Anlage 2, Löschkonzept). Für Sicherungskopien gilt § 15 Abs. 3, für die bei Meta verbleibenden Kopien § 3 Abs. 1; bei Löschersuchen, die diese Kopien betreffen, unterstützt der Anbieter den Kunden gegenüber Meta.

(1) Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die diesen Auftrag betrifft, unverzüglich nach Kenntnis – und stets so rechtzeitig und vollständig, dass der Kunde seine Pflichten aus Art. 33 und 34 DSGVO fristgerecht erfüllen kann; im Regelfall binnen 24 Stunden. Wird die Verletzung bei einem Unterauftragsverarbeiter bekannt, steht dessen Meldung an den Anbieter der eigenen Kenntnis gleich. Die Meldung enthält mindestens die Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar; Nachlieferungen erfolgen ohne schuldhaftes Zögern.

(2) Meldungen an Aufsichtsbehörden oder betroffene Personen nimmt für diesen Auftrag allein der Kunde vor; der Anbieter unterstützt ihn dabei und dokumentiert den Vorfall einschließlich der Abhilfemaßnahmen.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO – insbesondere bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für die Verarbeitung von Gesundheitsdaten im Zusammenhang mit über Werbeanzeigen gewonnenen Patientenanfragen. Vorhandene Unterlagen – dieser Vertrag samt Anlagen und die Beschreibung der Maßnahmen – stellt er unentgeltlich bereit; ergänzende Fragen des Kunden oder seines Datenschutzbeauftragten beantwortet er in angemessener Frist, im Regelfall binnen zehn Werktagen. Wesentlich darüber hinausgehende Unterstützung kann der Anbieter nach vorheriger Ankündigung berechnen; maßgeblich ist der nachgewiesene Aufwand.

(1) Der Anbieter weist die Einhaltung seiner Pflichten auf Verlangen nach – zunächst durch Selbstauskunft, die Beschreibung der Maßnahmen (Anlage 2) und aktuelle Testate oder Zertifikate der eingesetzten Rechenzentrumsbetreiber (z. B. ISO 27001, SOC 2).

(2) Darüber hinaus kann der Kunde oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer – kein unmittelbarer Wettbewerber des Anbieters – nach Ankündigung von mindestens 14 Tagen zu üblichen Geschäftszeiten Kontrollen durchführen, ohne den Geschäftsbetrieb unangemessen zu stören. Bei konkretem Anlass – insbesondere nach einer Verletzung nach § 11 – entfällt die Ankündigungsfrist. Für mehr als eine anlasslose Kontrolle je Vertragsjahr kann der Anbieter angemessenen, nachgewiesenen Aufwandsersatz verlangen; Kontrollen aus konkretem Anlass bleiben stets ohne Aufwandsersatz. Das Kontrollrecht des Kunden wird dadurch nicht eingeschränkt.

(3) Der Anbieter führt für diesen Auftrag ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

(1) Datenschutz-Anlaufstelle des Anbieters ist die Geschäftsführung, erreichbar über denti@patientenmagnet.de. Der Kunde benennt dem Anbieter eine Ansprechperson für Datenschutzfragen; bis zur Benennung gilt die Inhaberin oder der Inhaber bzw. die Geschäftsleitung des Kunden.

(2) Der Anbieter benennt einen Datenschutzbeauftragten, soweit er hierzu gesetzlich verpflichtet ist (Art. 37 DSGVO, § 38 BDSG), und teilt dem Kunden dessen Kontaktdaten unaufgefordert mit.

(1) Der Kunde kann jederzeit – auch nach Beendigung des Hauptvertrages – in Textform (z. B. per E-Mail oder Brief) verlangen, dass der Anbieter alle personenbezogenen Daten in einem gängigen Format herausgibt oder sie löscht. Die Löschung erfolgt einschließlich aller Kopien in den Produktivsystemen binnen 30 Tagen und wird in Textform bestätigt. Für Sicherungskopien gilt Abs. 3; solange eine geschaltete oder in der Software entworfene Anzeige auf ein Motiv verweist, bleibt der verkleinerte Beleg nach Anlage 2 erhalten – mit der vollständigen Löschung des Kontos entfällt auch er.

(2) Bei Vertragsende entscheidet der Kunde, ob die Daten herausgegeben, gelöscht oder für eine mögliche Reaktivierung des Vertrages aufbewahrt werden. Wählt er die Aufbewahrung oder trifft er keine Wahl, bewahrt der Anbieter die Daten des Kontos für eine mögliche Reaktivierung auf – als fortgesetzte, auf Speicherung, Sicherung, Sperrung, Löschung und Herausgabe beschränkte Auftragsverarbeitung nach diesem Vertrag, längstens jedoch 24 Monate ab Vertragsende. Während dieser Zeit bleiben die Daten gesperrt und werden ausschließlich für eine Reaktivierung durch den Kunden verwendet. Der Kunde kann die Aufbewahrung jederzeit ohne Angabe von Gründen beenden, indem er nach Abs. 1 Herausgabe oder Löschung verlangt. Nach Ablauf der 24 Monate löscht der Anbieter die Daten automatisiert und protokolliert die Löschung.

(2a) Von der Aufbewahrung nach Abs. 2 ausgenommen sind die vom Kunden in das Medienarchiv hochgeladenen Foto- und Videodateien: Sie werden mit dem Ende des Zugangs gelöscht. Grund ist der damit belegte Speicherplatz, der nach Vertragsende nicht mehr vergütet und nicht mehr genutzt wird; für eine Reaktivierung des Kontos sind die Dateien nicht erforderlich. Der Kunde kann sie bis zum Ende des Zugangs jederzeit selbst aus der Software herunterladen; auf die Löschung wird im Kündigungsdialog hingewiesen. Motive, auf die eine geschaltete oder entworfene Anzeige verweist, bleiben als verkleinerter Beleg nach Abs. 1 erhalten. Alle übrigen Daten des Kontos bleiben von dieser Regelung unberührt.

(3) Aus Sicherungskopien werden die Daten spätestens mit Ablauf des Sicherungszyklus von höchstens 35 Tagen nach der Löschung in den Produktivsystemen entfernt; bis dahin sind sie gesperrt und zweckgebunden.

(4) Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden gesperrt und nach Fristablauf gelöscht.

(5) Mit dem Vollzug des Vertragsendes beendet und entfernt der Anbieter die laufenden Anzeigen im Werbekonto des Kunden und ruft dabei ein letztes Mal die Kennzahlen der beendeten Anzeigen ab, damit die Auswertung vollständig bleibt; ist die Schnittstelle gestört, wird der Vollzug längstens 14 Tage erneut versucht. Danach ruft der Anbieter keine Daten des Kunden mehr über die Meta-Schnittstelle ab und trennt die technische Verknüpfung zum Werbekonto und zur Facebook-Seite des Kunden. Die bei Meta verbleibenden Kopien verfallen dort nach § 3 Abs. 1.

(1) Über Kontrollhandlungen und Anfragen von Aufsichtsbehörden sowie über behördliche oder gerichtliche Herausgabeverlangen, die diesen Auftrag betreffen, informiert der Anbieter den Kunden unverzüglich, soweit rechtlich zulässig, und gibt Daten ohne Abstimmung nur heraus, soweit er rechtlich dazu verpflichtet ist. Soweit Daten dem Berufsgeheimnis unterliegen, beruft er sich auf das Zeugnisverweigerungsrecht mitwirkender Personen (§ 53a StPO) und den Schutz vor Beschlagnahme (§ 97 StPO). Unverhältnismäßige Anordnungen aus Drittländern ficht er im rechtlich möglichen Rahmen an.

(2) Werden die Daten des Kunden beim Anbieter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Maßnahmen Dritter gefährdet, informiert der Anbieter den Kunden unverzüglich und weist die handelnden Stellen darauf hin, dass die Datenhoheit ausschließlich beim Kunden liegt und die Daten dem Berufsgeheimnis nach § 6 unterliegen können.

(1) Für Ansprüche betroffener Personen haften die Parteien im Außenverhältnis nach Art. 82 DSGVO; vertragliche Haftungsbeschränkungen wirken insoweit nicht.

(2) Im Innenverhältnis stellen sich die Parteien von Schadensersatz- und Aufwendungsersatzansprüchen entsprechend ihrem jeweiligen Verantwortungsanteil frei (Art. 82 Abs. 5 DSGVO). Verarbeitet der Anbieter personenbezogene Daten weisungswidrig oder unter Verstoß gegen diesen Vertrag, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Im Übrigen gelten im Verhältnis der Parteien untereinander die Haftungsregelungen des Hauptvertrages.

(1) Verstößt der Anbieter schwerwiegend oder trotz Fristsetzung fortdauernd gegen diesen Vertrag oder befolgt er rechtmäßige Weisungen nicht, kann der Kunde die betroffene Verarbeitung aussetzen lassen und den Hauptvertrag außerordentlich kündigen; § 15 gilt entsprechend.

(2) Änderungen dieses Vertrages werden dem Kunden in Textform angekündigt und werden wirksam, wenn der Kunde die neue Fassung in der Software bestätigt. Bestätigt der Kunde nicht, gilt die zuletzt bestätigte Fassung fort; der Zugang wird deshalb nicht gesperrt. Das Kündigungsrecht des Anbieters bei ausbleibender Bestätigung (§ 15 Abs. 1 der AGB) bleibt unberührt. Änderungen der Anlage 2 (nach § 7 Abs. 2) und der Anlage 3 (nach § 8 Abs. 2 und 3) folgen ausschließlich den dort geregelten Verfahren und bedürfen keiner Bestätigung. Erweitert der Anbieter die Software um neue Funktionen, gilt Anlage 1 als entsprechend ergänzt, sobald der Kunde die neue Funktion nutzt.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung. Es gilt deutsches Recht.