Anlage 1 zum Vertrag_BVB Cloud_SaaS.pdf

[Seite 1]

Besonderen Vertragsbedingungen für Cloud (BVB Cloud)

Inhaltsverzeichnis

1. Leistungsgegenstand ................................................................................................................... 2

2. Art und Umfang der Leistungen ................................................................................................... 2

2.1. Softwareas a Service (SaaS*) ................................................................................................. 2

2.2. Art und Umfang der initialen und sonstigen Leistungen .......................................................... 3

3. Weisungsrechte ............................................................................................................................. 3

4. Zugriff/Speicherplatz ..................................................................................................................... 3

5. Datensicherungsservice/Backup/Herausgabeanspruch ........................................................... 4

6. Verfügbarkeit .................................................................................................................................. 4

7. Reportingpflichten ......................................................................................................................... 5

8. Änderung der Leistung nach Vertragsschluss durch den Auftragnehmer ............................. 6

9. Nutzungsrechte.............................................................................................................................. 6

10. Rechte des Auftraggebers bei Mängeln der Leistungen ....................................................... 8

11. Zurückbehaltungs- und Leistungsverweigerungsrechte ...................................................... 8

12. Begriffsbestimmungen ............................................................................................................. 8

Seite 1 von 11

[Seite 2]

1. Leistungsgegenstand

1.1. Die Leistungen des Auftragnehmers umfassen insbesondere:

a) Software as a Service (SaaS)*,

b) Sonstige mit den vorgenannten Leistungen in Zusammenhang stehende Leistun- gen, wie zum Beispiel initiale Leistungen.

1.2. Soweit der Auftragnehmer bei der Leistungserbringung im Auftrag Daten des Auftragge- bers verarbeitet und/oder hostet, ist dies Teil der geschuldeten Leistungen.

1.3. Der Auftragnehmer ist verpflichtet, seine Leistungen ständig mit geeigneten technischen Mitteln (Monitoring*) zu überwachen. Die Reportingpflicht aus Ziffer 7 wird hierdurch nicht erweitert.

1.4. Der Auftragnehmer stellt die Leistungen frei von Schaden stiftender Software zur Verfü- gung. Dies gilt auch für etwaige der KfW überlassene Software (z.B. Zugangssoftware*). Der Auftragnehmer gewährleistet darüber hinaus, dass die Leistungen frei von Funktio- nen sind, die die Integrität, Vertraulichkeit und Verfügbarkeit der Daten der KfW oder von der KfW eingebrachte andere Daten bzw. von ihr eingebrachte Software gefährden und den Vertraulichkeits- oder Sicherheitsinteressen der KfW zuwiderlaufen durch

a) Funktionen zum unerwünschten Absetzen/Ausleiten von Daten,

b) Funktionen zur unerwünschten Veränderung/Manipulation von Daten oder der Ablauflogik oder

c) Funktionen zum unerwünschten Einleiten von Daten oder unerwünschte Funkti- onserweiterungen.

1.5. Unerwünscht ist eine mögliche Aktivität einer Funktion, wenn die Aktivität so weder von der KfW in ihrer Leistungsbeschreibung gefordert, noch vom Auftragnehmer unter kon- kreter Beschreibung der Aktivität und ihrer Funktionsweise angeboten und von der KfW ausdrücklich akzeptiert wurde, noch den Anforderungen des Anforderungskataloges C5 genügt.

2. Art und Umfang der Leistungen

2.1. Softwareas a Service (SaaS*)

2.1.1. Soweit eine SaaS*-Leistung geschuldet ist, stellt der Auftragnehmer der KfW ab dem vereinbarten Bereitstellungszeitpunkt die im Vertrag vereinbarte Anwen- dung zur Nutzung in einer vom Auftragnehmer betriebenen Cloudinfrastruktur einschließlich der notwendigen Zugänge zur Verfügung. Der Auftragnehmer sorgt für die vereinbarte Verfügbarkeit gemäß Ziffer 6.1, die vereinbarte Qualität der Leistung (funktional und nichtfunktional) sowie für die Sicherheit im Rahmen seines Verantwortungsbereichs während der gesamten Laufzeit der Leistung. Insbesondere hat der Auftragnehmer die Cloudinfrastruktur und die Anwendung so zu dimensionieren, dass diese mit einer im Hinblick auf die zu erwartenden bzw. vereinbarten Zugriffe angemessenen Reaktions- und Ausführungsge- schwindigkeit und mit einem für die bestimmungsgemäße Nutzung ausreichen- dem bzw. dem vereinbarten Speicherplatz verfügbaren aktuellen Sicherheits- patches und auch im Übrigen den vereinbarten Anforderungen entsprechend zur Verfügung steht.

Seite 2 von 11

[Seite 3]

2.1.2. Die KfW wird ohne vorherige Zustimmung des Auftragnehmers keine Penetrati- onstests in der jeweiligen Cloudinfrastruktur durchführen oder autorisieren. Dar- über hinaus ergibt sich der Umfang der Leistungen aus dem Vertrag.

2.1.3. Soweit vereinbart, ist der Auftragnehmer zur Installation und Integration der im Vertrag vereinbarten Programmstände* der Anwendung verpflichtet. Dies er- folgt jeweils innerhalb angemessener Frist, nachdem der Programmstand* ver- fügbar ist, jedoch unter Beachtung von Ziffer 2.1.6.

2.1.4. Soweit vereinbart, ist der Auftragnehmer verpflichtet, Programmstände* zur Um- setzung von Änderungen solcher Rechtsvorschriften und technischer Normen zu installieren und zu integrieren, die die Nutzbarkeit der Anwendung für den bestimmungsgemäßen Gebrauch beeinflussen. Im Vertrag können darüber hin- aus weitere Fälle vereinbart sein, in denen Programmstände* zu installieren und zu integrieren sind. Hierzu können z.B. Anpassungen an geänderte Verwal- tungsvorschriften, Tarife oder Schnittstellenanpassungen gehören. Sind derar- tige Programmstände* nicht verfügbar, hat der Auftragnehmer diese zu erstellen bzw. erstellen zu lassen.

2.1.5. Soweit eine Verpflichtung nach Ziffer 2.1.3 und/oder 2.1.4 besteht, installiert und integriert der Auftragnehmer die geschuldeten Programmstände* innerhalb an- gemessener Zeit vor, spätestens aber mit dem Inkrafttreten der jeweiligen Vor- schrift oder Norm bzw. dem Zeitpunkt der vorgesehenen Änderung bzw. Anpas- sung. Erfolgt dies nicht spätestens zu diesen Terminen, ist der Auftragnehmer unbeschadet davon verpflichtet, der KfW eine Übergangslösung bereitzustellen. Soweit ihm beides zu diesen Terminen zeitlich nicht zumutbar ist, hat die Erbrin- gung innerhalb einer angemessenen Frist zu erfolgen.

2.1.6. Der Auftragnehmer ist verpflichtet, die KfW zur Vermeidung von Inkompatibilitä- ten, Unterbrechungen und sonstigen Störungen rechtzeitig (beispielsweise per E-Mail oder über die Administrationskonsole) über die Absicht von Systeman- passungen zu unterrichten.

2.2. Art und Umfang der initialen und sonstigen Leistungen

2.2.1. Der Auftragnehmer schuldet initiale Leistungen zur Herbeiführung der Betriebs- bereitschaft*. Einzelheiten ergeben sich aus der Leistungsbeschreibung.

2.2.2. Der Auftragnehmer erbringt ferner die in der Leistungsbeschreibung beschrie- benen sonstigen Leistungen (beispielsweise Beratungsleistungen).

3. Weisungsrechte

Die KfW ist berechtigt, dem Auftragnehmer bezüglich der Erbringung aller Vertragsleis- tungen, nicht arbeitsrechtliche Weisungen zu erteilen. Weisungen können allgemein oder für den Einzelfall ergehen. Die Weisungen können mündlich oder schriftlich und auch auf technischem Wege, beispielsweise mittels Managementkonsole oder Application-Pro- gramming-Interfaces (APIs) ergehen.

4. Zugriff/Speicherplatz

4.1. Der Zugriff auf die Leistung erfolgt über das öffentliche Internet mit einem marktüblichen Web-Browser ohne unangemessene oder marktunübliche Browser-Einstellungen und ohne spezielle Zugriffssoftware. Der Übergabepunkt ist das Gateway des Auftragneh- mers in das Internet. Seite 3 von 11

[Seite 4]

4.2. Ist der Zugriff auf die Leistung mit einer speziellen Zugriffssoftware vereinbart, ist der Auftragnehmer verpflichtet, diese rechtzeitig der KfW zur Verfügung zu stellen.

4.3. Der Auftragnehmer ist verpflichtet, den Zugriff auf die Daten der KfW* durch unberech- tigte Stellen und Personen mit angemessenen Maßnahmen zu verhindern.

4.4. Der Zugriff des Auftragnehmers oder Dritter auf Daten der KfW* ist nur in den vereinbar- ten Fällen gestattet und auf das für diese Fälle erforderliche Maß zu beschränken. Auf Anforderung der KfW hat der Auftragnehmer die dazu von ihm ergriffenen Maßnahmen innerhalb angemessener Frist darzustellen.

4.5. Soweit die KfW die Größe des ihr zu Verfügung stehenden Speicherplatzes nicht selbst bestimmen kann, z.B. durch Konfiguration des Dienstes und auch keine bestimmte Größe vereinbart ist, stellt der Auftragnehmer der KfW für die vertragsgemäße Nutzung der Leistung ausreichenden Speicherplatz zur Verfügung.

5. Datensicherungsservice/Backup/Herausgabeanspruch

5.1. Soweit die Erstellung von Backups der Daten der KfW* vereinbart ist, ist der Auftragneh- mer verpflichtet, auf Anforderung der KfW in angemessener Frist eine Wiederherstellung von Dateien aus einem Backup auf den von der KfW gewünschten vorhandenen Stand vorzunehmen.

5.2. Die Leistung ist so auszugestalten, dass die Daten der KfW* entweder zu jeder Zeit selbstständig durch diese oder, soweit dies aus technischen Gründen nicht möglich ist, mit Unterstützung durch den Auftragnehmer aus der Cloudinfrastruktur in einem markt- üblichen Austauschformat exportiert werden können. Damit muss auch der Export von durch die KfW bestimmten Teilen der Daten möglich sein. Soweit die Daten verschlüsselt sind, ist diese Pflicht nur dann erfüllt, wenn die KfW über den Schlüssel verfügt. Für den Export der Daten und deren Sicherung beim Export ist die KfW verantwortlich.

6. Verfügbarkeit

6.1. Der Auftragnehmer schuldet die vereinbarte Verfügbarkeit der Leistung am geschuldeten Übergabepunkt unter Verwendung des vereinbarten Zugriffs während der Betriebszeit*. Die Anbindung des Rechenzentrums des Auftragnehmers an den Übergabepunkt ist so ausreichend zu dimensionieren, dass die Nutzung der Leistung auch unter vertraglich vereinbarter Maximallast (z.B. einem vereinbarten Mengengerüst oder einer anderen ver- einbarten Dimensionierung) nicht eingeschränkt ist.

Der Prozentsatz der Verfügbarkeit wird nach folgender Formel berechnet:

𝑉𝑒𝑟𝑓ü𝑔𝑏𝑎𝑟𝑘𝑒𝑖𝑡 = (𝐺𝑒𝑠𝑎𝑚𝑡𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛 - 𝐴𝑢𝑠𝑓𝑎𝑙𝑙𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛)/𝐺𝑒𝑠𝑎𝑚𝑡𝑧𝑒𝑖𝑡 𝑀𝑖𝑛𝑢𝑡𝑒𝑛*100

Die Gesamtzeit Minuten ergibt sich aus der vereinbarten Betriebszeit* je Kalendermonat. Ausfallzeit* sind diejenigen Minuten, an denen die KfW innerhalb der Betriebszeiten* keine Konnektivität zu der vom Auftragnehmer bereit zu stellende Cloudinfrastruktur her- stellen kann oder die betroffene Leistung für mehr als einen unwesentlichen Teil der Nut- zer insgesamt nicht oder nicht in allen ihren wesentlichen Grundfunktionalitäten zur Ver- fügung steht.

6.2. Zeiten der geplanten Nichtverfügbarkeit mindern die Verfügbarkeit nicht, es sei denn, sie fallen in eine vereinbarte Kernbetriebszeit*.

6.3. Bezüglich der Verfügbarkeit gilt Folgendes: Seite 4 von 11

[Seite 5]

a) Der Auftragnehmer schuldet während der Betriebszeit* eine Verfügbarkeit von mindestens der Verfügbarkeitsklasse* VK1 im Bezugszeitraum.

b) Der Bezugszeitraum ist der Kalendermonat.

c) Alle Zeitangaben verstehen sich als Angaben nach mitteleuropäischer Zeit (MEZ) bzw. Sommerzeit (MESZ).

d) Die Betriebszeit* ist die Zeit von Montag bis Sonntag von 0:00 bis 24:00 Uhr.

e) Ausfallzeiten*, die auf einem der folgenden Ereignisse beruhen, mindern die Ver- fügbarkeit nicht:

• Probleme innerhalb des Netzwerks oder der Infrastruktur der KfW oder von von ihr beauftragten Dritten,

• Ausfall/Beeinträchtigung der Netzanbindung der KfW,

• Ausfälle/Beeinträchtigungen, die auf dem Handeln oder Unterlassen der KfW oder eines nicht vom Auftragnehmer beauftragten Dritten beruhen,

• nicht vertragsgemäße Nutzung der Leistung des Auftragnehmers durch die KfW,

• Versäumnisse der KfW, vereinbarte Vorgaben zu erforderlichen Konfiguratio- nen und Architekturen einzuhalten sowie fehlerhafte Eingaben beziehungs- weise Anweisungen durch Nutzer der KfW,

• Handlungen nicht autorisierter Nutzer, soweit die Handlungsmöglichkeit des nicht autorisierten Nutzers der KfW zuzurechnen ist (bspw. durch die Nichtbe- achtung angemessener Sicherheitsverfahren),

• Aussetzen des Zugangs durch einen Sicherheitsvorfall* zum Schutz auch der KfW, sofern die internen Richtlinien (operative Maßnahmen), die Grundlage der Erfüllung der C5 Anforderungen sind, vergleichbar mit den IT-Grundschutz Bausteinen DER.2.X „Security Incident Management“ des BSI sind und auf- grund der Schwere des Sicherheitsvorfalls* eine Aussetzung als Maßnahme erlauben,

• Ereignisse, die auf höherer Gewalt beruhen und nicht durch angemessene Maßnahmen des Auftragnehmers kompensiert werden können.

f) Der Auftragnehmer ist für die Messung der Verfügbarkeit verantwortlich.

7. Reportingpflichten

7.1. Bezüglich der Pflichten des Auftragnehmers zum Reporting wird Folgendes vereinbart:

a) Der Auftragnehmer ist für das laufende monatliche Reporting an die KfW verant- wortlich; Reporting umfasst in Bezug auf die Verfügbarkeit sowie etwaige verein- barte Reaktions- und Wiederherstellungszeiten mindestens folgende Informatio- nen:

Seite 5 von 11

[Seite 6]

· Aufzeichnung der Zeiten der Verfügbarkeit und der Nichtverfügbarkeit,

· die sich daraus errechnende Verfügbarkeit/Nichtverfügbarkeit pro Bezugszeit- raum und

· im Bezugszeitraum aufgetretene, die Leistung betreffende und ggf. bereits behobene sicherheitsrelevante Störungen*,

· im Bezugszeitraum von der KfW gemeldete Störungen* sowie deren Bearbei- tungsstand (ggf. über ein eingesetztes Ticketsystem),

· Aufzeichnung der Überschreitung (in Minuten) von vereinbarten Reaktions- oder Wiederherstellungszeiten pro Überschreitungsfall.

b) Das Reporting umfasst im Falle einer nutzungsabhängigen Vergütung alle vergü- tungsrelevanten Parameter.

c) Das Reporting umfasst zudem etwaig geschuldete Gutschriften, wobei diese al- ternativ in der Abrechnung ausgewiesen werden können, wenn und soweit dies in der Leistungsbeschreibung vorgesehen ist.

7.2. Das Reporting ist unverzüglich nach Ende des jeweiligen Reportingzeitraums in elektro- nischer Form z.B. zum Download auf einer zugangsgeschützten Website (z.B. einer Ad- ministrationskonsole) verfügbar zu machen oder zur Verfügung zu stellen und der KfW auf deren Wunsch zu erläutern.

7.3. Die KfW hat an den Reports Rechte gemäß Ziffer 9.1, wobei die Nutzungsrechte zeitlich nicht beschränkt sind.

7.4. Für den Fall, dass der Auftragnehmer seinen Reportingpflichten auch nach Ablauf einer angemessenen, von der KfW gesetzten Frist nicht nachkommt, hat die KfW Anspruch auf eine angemessene Gutschrift.

8. Änderung der Leistung nach Vertragsschluss durch den Auftragnehmer

8.1. Um die Funktionalität der Leistungen zu verbessern oder die Leistungen dem Stand der Technik anzupassen, kann der Auftragnehmer die Leistungen nach Vertragsbeginn ohne Zustimmung der KfW anpassen. Eine solche Änderung darf aber nicht dazu führen, dass der KfW die ursprünglich vereinbarten Funktionalitäten nicht mehr zur Verfügung stehen oder ursprünglich vereinbarte Anforderungen nur noch eingeschränkt erfüllt werden oder neue rechtliche Verpflichtungen für die KfW entstehen. Änderungen des Leistungsum- fanges, welche eine Reduktion des Leistungsumfangs gegenüber dem Stand zum Zeit- punkt des Vertragsschlusses beinhalten, sind nur insoweit zulässig, als eine Teilkündi- gung des Vertrages gemäß den vertraglichen oder gesetzlichen Regelungen zulässig wäre.

8.2. Der Auftragnehmer muss der KfW geplante Änderungen des Leistungsumfanges mit ei- nem Vorlauf von mindestens 30 Kalendertagen vor Produktivstellung mindestens in Text- form (§ 126b BGB) mitteilen.

9. Nutzungsrechte

9.1. Der Auftragnehmer räumt der KfW mit Bereitstellung das

a) nicht ausschließliche, Seite 6 von 11

[Seite 7]

b) zeitlich auf die Vertragslaufzeit beschränkte,

c) nach der vertraglichen Vereinbarung ordentlich und im Übrigen nur außeror- dentlich kündbare oder aussetzbare,

d) mit Ausnahme der KfW Konzenrunternehmen nicht übertragbare Recht

ein, die Leistung einschließlich etwaig zur Nutzung der Leistung zur Verfügung gestellter Zugangssoftware* unter Berücksichtigung etwaiger im Vertrag vorgesehener quantitati- ver Metriken wie Useranzahl, Volumen etc. zu nutzen. Das heißt auch, die zur Verfügung gestellte Software temporär zu speichern und zu laden, sie anzuzeigen und ablaufen zu lassen, soweit dies zur bestimmungsgemäßen Nutzung der Leistung erforderlich ist. Dies gilt auch, soweit hierfür Vervielfältigungen notwendig werden.

9.2. Das Nutzungsrecht besteht weltweit bis auf diejenigen Länder, in denen der Auftragneh- mer aufgrund staatlicher Rechtsakte (beispielsweise Exportbeschränkungen) die jewei- lige Leistung nicht allgemein anbietet und der Zugang zu den Leistungen bestimmungs- gemäß nicht möglich ist. Bestimmungsgemäß ist der Zugang nicht möglich, wenn bei einer zutreffenden Geolokalisierung der Zugang für alle Kunden in dem betreffenden Land aufgrund staatlicher Rechtsakte gesperrt ist. Der Auftragnehmer wird der KfW auf Anforderung unverzüglich die Länder nennen, in denen der Auftragnehmer die Leistun- gen aufgrund vorgenannter Regelung nicht verfügbar macht. Die vorgenannten Rechte gelten unbeschadet weitergehender Rechte an individuell zu erbringenden Leistungen gemäß Ziffer 9.3.

9.3. Soweit individuelle Leistungen vereinbart sind, räumt der Auftragnehmer der KfW an den betreffenden Leistungen (z.B. Konfigurationsleistungen) jeweils mit der Erbringung das nicht ausschließliche, örtlich unbeschränkte, in jeder beliebigen Hard- und Softwareum- gebung ausübbare, übertragbare, dauerhafte, unwiderrufliche und unkündbare Recht ein, die individuellen Leistungen im Original oder in abgeänderter, übersetzter, bearbei- teter oder umgestalteter Form zu nutzen, abzuändern, zu übersetzen, zu bearbeiten oder auf anderem Wege umzugestalten auf einem beliebigen bekannten Medium oder in an- derer Weise zu speichern, zu vervielfältigen, auszustellen, in körperlicher oder unkörper- licher Form zu verbreiten, mit Ausnahme eines etwaig überlassenen Quellcodes zu ver- öffentlichen, durch Dritte bestimmungsgemäß nutzen zu lassen, für die KfW betreiben zu lassen, nicht nur für eigene Zwecke zu nutzen, sondern auch zur Erbringung von gewerb- lichen und nicht gewerblichen Leistungen an Auftraggeber gemäß §§ 99 bis 101 GWB sowie nicht gewerbliche Leistungen an sonstige Dritte.

9.4. Sofern und soweit durch die Nutzung der Leistungen durch die KfW Daten, Datenbanken oder Datenbankwerke oder andere Ergebnisse (z.B. Software, Dokumente) entstehen, stehen der KfW alle Rechte aus Ziffer 9.3 an den von ihr neu generierten Werken mit der Maßgabe zu, dass sie diese Rechte ausschließlich hält und die dort vereinbarten Be- schränkungen der Rechte der KfW, insbesondere zur Veröffentlichung sowie zur Nutzung auch für Leistungen an Dritte nicht gelten. Soweit die von der KfW neu generierten Werke Leistungen des Auftragnehmers (z.B. Bibliotheken) als integralen Bestandteil umfassen oder die Wahrnehmung der Rechte an den Werken die Nutzung von Leistungen des Auf- tragnehmers erfordert, verbleibt es in Bezug auf die Nutzung solcher Leistungen des Auf- tragnehmers bei den jeweiligen Rechten gemäß Ziffer 9.1. bzw. Ziffer 9.3. Die KfW räumt dem Auftragnehmer an den von der KfW neu generierten Werken, mit denen sie die Leis- tung nutzt oder die sie in die Leistung einbringt, maximal auf die Vertragslaufzeit befris- tete Rechte ein, diese Werke ausschließlich zur Vertragserfüllung und im dafür erforder- lichen Umfang zu nutzen.

9.5. Soweit die Inanspruchnahme von Leistungen durch die KfW nach Vertragsende verein- bart ist, stehen ihr die hierfür erforderlichen Nutzungsrechte zu.

Seite 7 von 11

[Seite 8]

9.6. Die KfW räumt dem Auftragnehmer und den an der Leistungserbringung beteiligten Drit- ten die zur Erbringung der Leistungen erforderlichen Rechte an den von ihr eingebrach- ten Daten und Software ein.

10. Rechte des Auftraggebers bei Mängeln der Leistungen

10.1. Für die Zeit, in der die Nutzbarkeit der Leistung wegen eines Mangels oder einer Schlechtleistung gemindert ist, hat die KfW nur eine angemessen herabgesetzte Vergü- tung für die Leistung zu entrichten, soweit für diese Schlechtleistung nicht eine andere Kompensation (wie Nichterfüllungsgutschriften) vereinbart ist.

10.2. Die sonstigen gesetzlichen Ansprüche der KfW wegen Mängeln oder Schlechtleistung bleiben unberührt.

11. Zurückbehaltungs- und Leistungsverweigerungsrechte

Zurückbehaltungs- und Leistungsverweigerungsrechte des Auftragnehmers sind ausge- schlossen, es sei denn, die KfW bestreitet die zugrunde liegenden Gegenansprüche nicht oder diese sind rechtskräftig festgestellt. Dies gilt auch für ein etwaiges Vermieterpfand- recht in Bezug auf gehostete Daten und Anwendungen der KfW.

12. Begriffsbestimmungen

Seite 8 von 11

[Seite 9]

Seite 9 von 11

[Seite 10]

Seite 10 von 11

[Seite 11]

Seite 11 von 11