Besondere Bedingungen Datargo Monitor

1. Geltung, Verhältnis zu weiteren Dokumenten und Rangfolge

(1) Diese besonderen Bedingungen (nachfolgend “Besondere Bedingungen Monitor”) gelten ausschließlich für die Nutzung des Moduls Datargo Monitor und ergänzen die Allgemeinen Geschäftsbedingungen der Datargo GmbH (nachfolgend “Datargo”). Sie richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen.

(2) Soweit sich diese Besonderen Bedingungen Monitor und die Allgemeinen Geschäftsbedingungen im Kontext von Datargo Monitor widersprechen, gehen diese Besonderen Bedingungen Monitor vor. Im Übrigen bleiben die Allgemeinen Geschäftsbedingungen, insbesondere die dortige Haftungsregelung (Ziffer 9 der Allgemeinen Geschäftsbedingungen), unberührt und gelten ergänzend. Jeder Verweis in diesen Besonderen Bedingungen Monitor auf “die Haftungsregelung” bezieht sich auf Ziffer 9 der Allgemeinen Geschäftsbedingungen.

(3) Es gilt die folgende Rangfolge: Individualabrede vor Auftragsverarbeitungsvertrag (AVV) vor Service Level Agreement und diesen Besonderen Bedingungen Monitor vor den Allgemeinen Geschäftsbedingungen. In Fragen der Verarbeitung personenbezogener Daten geht der Auftragsverarbeitungsvertrag vor. Spezifische Regelungen für regulierte Kunden enthält der DORA-Zusatz für Finanzkunden , der diesen Besonderen Bedingungen Monitor insoweit vorgeht, als er ausdrücklich abweichende Regelungen für regulierte Kunden trifft.

2. Begriffsbestimmungen

Für diese Besonderen Bedingungen Monitor gelten ergänzend zu den Allgemeinen Geschäftsbedingungen die folgenden Begriffsbestimmungen:

3. Leistungsbeschreibung

(1) Datargo Monitor ist ein Dienst zur automatisierten Beobachtung vom Kunden bestimmter Prüfziele. Datargo führt die vom Kunden konfigurierten Prüfungen in den vereinbarten Prüfintervallen durch, wertet die Ergebnisse aus und stellt dem Kunden Statusinformationen, eine Vorfallhistorie und Berichte bereit.

(2) Datargo Monitor unterstützt insbesondere die folgenden Arten von Prüfungen. Der konkrete, geschuldete Funktionsumfang ergibt sich aus dem gewählten Tarif und der Leistungsbeschreibung:

(3) Die Prüfintervalle sind vom Kunden im Rahmen der tariflichen Vorgaben konfigurierbar. Datargo ist bemüht, die konfigurierten Intervalle einzuhalten, schuldet jedoch keine sekundengenaue Ausführung. Aus betrieblichen Gründen, insbesondere zur Lastverteilung, kann der tatsächliche Ausführungszeitpunkt geringfügig vom konfigurierten Zeitpunkt abweichen.

(4) Datargo kann Ereignisse vor der Auslösung eines Alarms über mehrere Prüfregionen bestätigen (mehrregionale Bestätigung, siehe Ziffer 7). Die Auswertung erfolgt nach den im jeweiligen Tarif beschriebenen Verfahren und den vom Kunden gewählten Schwellenwerten.

(5) Datargo entwickelt Datargo Monitor fortlaufend weiter. Datargo ist berechtigt, einzelne Funktionen, Prüfarten, Auswertungsverfahren und Schnittstellen anzupassen, zu ersetzen oder weiterzuentwickeln, soweit der vertraglich geschuldete Leistungsumfang hierdurch nicht wesentlich eingeschränkt wird und die berechtigten Interessen des Kunden gewahrt bleiben. Wesentliche, für den Kunden nachteilige Änderungen wird Datargo mit angemessener Frist in Textform ankündigen.

4. Hilfsmittel ohne Erfolgs- oder Vollständigkeitsgarantie

(1) Datargo Monitor ist ein automatisiertes Hilfsmittel zur Unterstützung des Kunden. Geschuldet ist die sorgfältige Durchführung der vereinbarten Prüfungen nach dem Stand der Technik, nicht jedoch ein bestimmter Erkennungs-, Melde- oder sonstiger Erfolg.

(2) Datargo übernimmt keine Garantie dafür, dass sämtliche Vorfälle, Störungen oder Ereignisse vollständig, zutreffend oder rechtzeitig erkannt, bewertet oder gemeldet werden. Unentdeckte Ereignisse (false negative), verzögerte Meldungen sowie unzutreffende Meldungen und Fehlalarme (false positive) sind dem System immanent und können auch bei sorgfältigem Betrieb nicht vollständig ausgeschlossen werden. Sie hängen unter anderem von der Konfiguration durch den Kunden, der Beschaffenheit der überwachten Systeme, den gewählten Schwellenwerten und von Umständen außerhalb des Einflussbereichs von Datargo ab.

(3) Ansprüche wegen solcher Ereignisse sind ausgeschlossen, soweit Datargo die geschuldete Sorgfalt eingehalten hat. Die Haftung nach Maßgabe der Haftungsregelung der Allgemeinen Geschäftsbedingungen, insbesondere für Vorsatz, grobe Fahrlässigkeit, die Verletzung wesentlicher Vertragspflichten sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, aus einer übernommenen Garantie und nach dem Produkthaftungsgesetz, bleibt unberührt.

5. Zustellung von Alarmen über Drittkanäle

(1) Die Zustellung von Alarmen und Benachrichtigungen erfolgt teilweise über Dienste Dritter, insbesondere über SMS- und Sprachanruf-Anbieter (Mobilfunk- und Telefonie-Netzbetreiber), Push-Benachrichtigungsdienste sowie über E-Mail. Auf die Verfügbarkeit, Geschwindigkeit und tatsächliche Zustellung dieser Drittkanäle hat Datargo keinen Einfluss.

(2) Datargo haftet nicht für verzögerte, ausgebliebene, mehrfache oder fehlerhafte Zustellungen, die auf Umständen in der Sphäre Dritter oder des Kunden beruhen, insbesondere auf Netz-, Geräte- oder Konfigurationsproblemen, auf Überlastung oder Ausfall eines Drittkanals, auf Spam-, Sperr- oder Nicht-stören-Filtern, auf Roaming- oder Zustellbeschränkungen einzelner Netzbetreiber oder auf unrichtigen, unvollständigen oder veralteten Kontaktdaten.

(3) Der Kunde ist verpflichtet,

a) mehrere voneinander unabhängige Benachrichtigungskanäle einzurichten und vorzuhalten, sodass der Ausfall eines einzelnen Kanals nicht zum Ausbleiben der Benachrichtigung führt;

b) eine Eskalationskette mit mehreren Empfängern und Vertretungsregelungen zu hinterlegen;

c) die hinterlegten Kontaktdaten und Kanäle aktuell zu halten und regelmäßig, mindestens jedoch in den vom Kunden festzulegenden, angemessenen Abständen, durch Probealarme zu testen.

(4) Unterlässt der Kunde die Maßnahmen nach Absatz 3, kann dies bei der Bemessung eines etwaigen Schadensersatzanspruchs als Mitverschulden (§ 254 BGB) zu berücksichtigen sein.

(5) Folgeschäden aus einem unentdeckten Ausfall, einem Fehlalarm oder dem Ausbleiben oder der Verzögerung eines Alarms werden ausschließlich nach der Haftungsregelung der Allgemeinen Geschäftsbedingungen ersetzt. Bei einfacher Fahrlässigkeit außerhalb wesentlicher Vertragspflichten ist die Haftung ausgeschlossen. Die unbeschränkte Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, aus einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz bleibt unberührt.

6. Eigenverantwortung des Kunden für Betrieb und Incident-Response

(1) Die Nutzung von Datargo Monitor ersetzt nicht den eigenverantwortlichen Betrieb der Systeme des Kunden. Der Kunde bleibt allein verantwortlich für Betrieb, Sicherheit, Datensicherung, Redundanz, Notfallplanung, die Reaktion auf Vorfälle (Incident-Response) sowie für die Wiederherstellung seiner Systeme.

(2) Datargo Monitor erbringt keine Reaktions-, Eingriffs- oder Wiederherstellungsleistungen an den überwachten Systemen. Die Bewertung eines Alarms, die Einleitung von Gegenmaßnahmen und die Behebung von Störungen obliegen allein dem Kunden, sofern hierüber nicht gesondert eine Individualvereinbarung getroffen wurde.

(3) Reagiert der Kunde auf einen Alarm nicht, zu spät oder unzureichend oder hält er keine eigenen Schutz-, Reaktions- und Wiederherstellungsmaßnahmen vor, ist ein hieraus entstehender oder vertiefter Schaden Datargo nicht zuzurechnen. Ein Mitverschulden des Kunden ist zu berücksichtigen.

(4) Der Kunde stellt sicher, dass er zur Überwachung der jeweiligen Prüfziele berechtigt ist und dass die Durchführung der Prüfungen durch Datargo keine Rechte Dritter verletzt. Der Kunde überwacht ausschließlich eigene Systeme oder Systeme, für deren Überwachung er die erforderlichen Berechtigungen besitzt.

7. Mehrregionale Bestätigung und Quorum

(1) Die mehrregionale Bestätigung von Ereignissen durch ein Quorum mehrerer Prüfregionen dient der Reduzierung von Fehlalarmen. Sie begründet keine Zusicherung einer bestimmten Erkennungs-, Genauigkeits- oder Verfügbarkeitsquote der überwachten Systeme.

(2) Datargo ist berechtigt, Anzahl, Standort und Zusammensetzung der Prüfregionen sowie die Verfahren der mehrregionalen Bestätigung anzupassen, soweit dies aus betrieblichen, technischen oder rechtlichen Gründen erforderlich ist und die berechtigten Interessen des Kunden gewahrt bleiben. Eine Mindestzahl an Prüfregionen wird nur geschuldet, soweit sie ausdrücklich im Tarif oder in einer Individualvereinbarung zugesagt ist.

8. Daten der überwachten Systeme, Aufbewahrung und Berichte

(1) Im Rahmen der Prüfungen verarbeitet Datargo die zur Durchführung erforderlichen Daten, insbesondere Konfigurationsdaten der Prüfungen, Mess- und Ergebnisdaten, Statusverläufe, Ereignis- und Alarmprotokolle sowie die vom Prüfziel zurückgegebenen Antwortdaten in dem für die Auswertung erforderlichen Umfang.

(2) Soweit über Datargo Monitor personenbezogene Daten verarbeitet werden, richtet sich die Verarbeitung nach dem Auftragsverarbeitungsvertrag (AVV) . Der Kunde stellt sicher, dass die von ihm konfigurierten Prüfungen und Prüfziele nicht ohne Erforderlichkeit personenbezogene Daten erfassen, und richtet seine Konfiguration am Grundsatz der Datenminimierung aus.

(3) Datargo bewahrt Mess-, Ereignis- und Protokolldaten für die im jeweiligen Tarif beschriebene Aufbewahrungsdauer auf und stellt dem Kunden während der Vertragslaufzeit Statusinformationen, eine Vorfallhistorie und Berichte zur Verfügung. Die Standard-Aufbewahrungsdauer der Mess- und Ereignisdaten beträgt je Tarif 13 Monate; eine verlängerte Aufbewahrung für Enterprise- und regulierte Kunden ist gesondert zu vereinbaren.

(4) Berichte und Vorfallhistorien werden nach bestem Wissen auf Grundlage der erhobenen Messdaten erstellt. Sie dokumentieren die durchgeführten Prüfungen und festgestellten Ereignisse, begründen jedoch keine über Ziffer 4 hinausgehende Zusicherung hinsichtlich Vollständigkeit oder Richtigkeit der zugrunde liegenden Erkennung.

(5) Auf Anforderung stellt Datargo dem Kunden die ihn betreffenden Mess-, Ereignis- und Berichtsdaten in einem gängigen, maschinenlesbaren Format bereit. Einzelheiten der Rückgabe bei Vertragsende regelt Ziffer 12.

9. Sicherheit, Unterauftragnehmer und Auditrechte

(1) Datargo betreibt Datargo Monitor in EU-Rechenzentren in Frankfurt am Main und unterhält angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik.

(2) Datargo ist berechtigt, zur Erbringung von Datargo Monitor Unterauftragnehmer und Drittdienstleister einzusetzen, insbesondere für die Bereitstellung von Prüfregionen und für die Zustellung von Alarmen über Drittkanäle. Datargo wählt diese sorgfältig aus und verpflichtet sie auf ein angemessenes Schutzniveau. Das jeweils aktuelle Verzeichnis der eingesetzten Unterauftragnehmer und Drittkanal-Anbieter (insbesondere E-Mail-, SMS- und Sprachanruf-Anbieter sowie Anbieter der Prüfregionen) mit Sitz und Verarbeitungsstandort ergibt sich aus der Sub-Prozessoren-Liste ; soweit dabei personenbezogene Daten verarbeitet werden, ist diese Bestandteil des AVV . Die Prüfregionen und Check-Nodes werden teils bei Drittanbietern weltweit betrieben; dort werden ausschließlich nicht personenbezogene Rohdaten der Server-Checks verarbeitet, keine personenbezogenen Daten der Kunden.

(3) Soweit der Kunde einer regulatorischen Aufsicht unterliegt, gewährt Datargo dem Kunden, einem von ihm beauftragten Prüfer sowie der zuständigen Aufsichtsbehörde die nach dem anwendbaren Recht erforderlichen Informations-, Zugangs-, Einsichts- und Prüfungsrechte in Bezug auf die für Datargo Monitor erbrachten Leistungen. Datargo wirkt an angemessenen Audits mit. Umfang, Ablauf, Ankündigungsfristen, Vertraulichkeit und Kostentragung richten sich nach dem DORA-Zusatz für Finanzkunden oder einer Individualvereinbarung. Außerhalb regulatorischer Anforderungen stellt Datargo geeignete Nachweise (etwa aktuelle Zertifikate und Prüfberichte) zur Verfügung; Vor-Ort-Audits bedürfen einer gesonderten Vereinbarung.

10. Unterstützung bei NIS-2 und DORA ohne Compliance-Zusicherung

(1) Datargo Monitor kann den Kunden bei der Erfüllung und beim Nachweis regulatorischer Anforderungen unterstützen, insbesondere im Zusammenhang mit der NIS-2-Richtlinie und ihrer nationalen Umsetzung, der Verordnung (EU) 2022/2554 (DORA) sowie den Normen der Reihe ISO/IEC 27000, etwa durch Statusüberwachung, Berichte und eine Vorfallhistorie.

(2) Die Verantwortung für die Einhaltung dieser Anforderungen verbleibt allein beim Kunden und ist regulatorisch nicht auf Datargo übertragbar. Datargo sichert nicht zu, dass die Nutzung von Datargo Monitor für sich genommen die jeweiligen regulatorischen Anforderungen erfüllt.

(3) Soweit Datargo nach DORA als Drittdienstleister von Informations- und Kommunikationstechnologie für regulierte Kunden tätig wird, gelten ergänzend die Regelungen des DORA-Zusatzes für Finanzkunden . Dieser regelt insbesondere Leistungsbeschreibung und Service Level für kritische oder wichtige Funktionen, Standorte der Leistungserbringung und Datenverarbeitung, Unterauftragsvergabe, Vorfallunterstützung, Mitwirkung bei Resilienztests, Informations-, Zugangs- und Prüfungsrechte sowie Kündigungs- und Ausstiegsrechte.

11. Abgrenzung von Dienst und überwachten Systemen, Service-Credits

(1) Die im Service Level Agreement vereinbarte Verfügbarkeit betrifft ausschließlich die Verfügbarkeit von Datargo Monitor selbst, nicht jedoch die Verfügbarkeit, Sicherheit oder Funktionsfähigkeit der durch den Kunden überwachten Systeme. Die Verfügbarkeit der überwachten Systeme schuldet Datargo nicht.

(2) Von der zugesagten Verfügbarkeit der Plattform ausgenommen ist insbesondere die Zustellung von Alarmen über Drittkanäle (Ziffer 5). Die weiteren Ausschlüsse von der Berechnung der Verfügbarkeit ergeben sich aus dem Service Level Agreement.

(3) Bei einer Unterschreitung der zugesagten Verfügbarkeit der Plattform sind die im Service Level Agreement vorgesehenen Service-Gutschriften (Service-Credits) der abschließende Rechtsbehelf des Kunden wegen der reinen Verfügbarkeitsunterschreitung. Weitergehende Ansprüche auf Schadensersatz oder Minderung wegen der bloßen Verfügbarkeitsunterschreitung sind insoweit ausgeschlossen.

(4) Unberührt von Absatz 3 bleibt die zwingende Haftung, insbesondere für Vorsatz, grobe Fahrlässigkeit, die Verletzung wesentlicher Vertragspflichten, Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, Ansprüche aus einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz. Bei wiederholter erheblicher Unterschreitung der zugesagten Verfügbarkeit steht dem Kunden ein außerordentliches Kündigungsrecht nach Maßgabe der Allgemeinen Geschäftsbedingungen und des Service Level Agreements zu.

12. Datenrückgabe und Löschung bei Vertragsende

(1) Nach Beendigung des Vertrags über Datargo Monitor stellt Datargo dem Kunden auf dessen Anforderung die ihn betreffenden Mess-, Ereignis- und Berichtsdaten innerhalb einer angemessenen Frist in einem gängigen, maschinenlesbaren Format zur Rückgabe oder zum Export bereit. Der Kunde ist gehalten, den Export rechtzeitig vor Vertragsende zu veranlassen.

(2) Nach Ablauf einer angemessenen Übergangsfrist nach Vertragsende löscht Datargo die Daten des Kunden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Übergangs- und Vorhaltefrist für den Datenexport nach Vertragsende beträgt 30 Tage; für Enterprise- und regulierte Kunden kann eine verlängerte Frist gesondert vereinbart werden. Einzelheiten zur Löschung personenbezogener Daten richten sich nach dem Auftragsverarbeitungsvertrag (AVV) .

(3) Für regulierte Kunden gelten ergänzend die Ausstiegs- und Transitionsregelungen des DORA-Zusatzes für Finanzkunden .

13. Haftung

Die Haftung von Datargo richtet sich abschließend nach Ziffer 9 der Allgemeinen Geschäftsbedingungen und den vorstehenden modulspezifischen Regelungen. Die unbeschränkte Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, aus einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz bleibt von sämtlichen vorstehenden Beschränkungen und Ausschlüssen unberührt.

Maßgebliche Sprachfassung

Dieses Dokument wird in deutscher, englischer und französischer Sprache bereitgestellt. Die englische und die französische Fassung sind ausschließlich Übersetzungen zur besseren Verständlichkeit. Maßgeblich und im Streitfall sowie bei Auslegungs- oder Übersetzungsdifferenzen allein verbindlich ist die deutsche Fassung.