Vertragsanlage nach DORA

zwischen der Beschützerbox GmbH, Großbeerenstr. 11, 10963 Berlin, Amtsgericht Charlottenburg, HRB 163551 B („Beschützerbox“), und (Firma und Anschrift, „Kunde“), einem Finanzunternehmen nach Art. 2 der Verordnung (EU) 2022/2554 (DORA)

§ 1 Gegenstand, Rang und Änderungen

(1) Diese Anlage ergänzt den Vertrag über das Kunden-WLAN (Bestellung oder Angebot, Allgemeine Geschäftsbedingungen von Beschützerbox (AGB) in der Fassung bei Vertragsschluss, Leistungsbeschreibung). Sie gilt ab Vertragsbeginn, auch für einen Test mit Rückgabe innerhalb von 30 Tagen nach Lieferung (AGB § 9.6).

(2) Bei Widersprüchen geht diese Anlage den AGB vor. § 12.2 AGB gilt für diesen Vertrag nicht. Änderungen der AGB, der Leistungsbeschreibung oder dieser Anlage gelten für diesen Vertrag nur, wenn der Kunde ihnen in Textform zustimmt; ausgenommen sind Änderungen, die den Kunden ausschließlich begünstigen.

(3) Beschützerbox stellt dem Kunden alle Vertragsbestandteile zusammen als PDF bereit.

§ 2 Leistung und Unterauftragnehmer (Art. 30 Abs. 2 a)

(1) Beschützerbox stellt den Kunden des Kunden in dessen Geschäftsstellen einen Internetzugang bereit (Kunden-WLAN), mit der Beschützerbox oder über den WireGuard-Zugang; den Umfang regeln Bestellung oder Angebot und die Leistungsbeschreibung.

(2) Für den Betrieb setzt Beschützerbox als Unterauftragnehmer ein: Hetzner Online GmbH (Rechenzentren und Server in Deutschland), Cloudflare, Inc. (Nameserver ihrer Domains) und Twilio Inc. (Versand der E-Mail-Meldungen des Portals über SendGrid). Für deren Leistungen bleibt Beschützerbox dem Kunden gegenüber verantwortlich.

(3) Stuft der Kunde das Kunden-WLAN als Unterstützung einer kritischen oder wichtigen Funktion ein, teilt er das vor Vertragsschluss mit; die Inhalte nach Art. 30 Abs. 3 DORA vereinbaren die Parteien dann ergänzend.

§ 3 Orte der Leistung und der Daten (Art. 30 Abs. 2 b)

(1) Der Internetzugang läuft über Server in Deutschland; dort stehen auch das Portal und die Serverliste. Die Orte der Daten, auch bei den Dienstleistern für Buchhaltung und Rechnungsarchiv, nennt Teil 4 des DORA-Prüfpakets in der Fassung bei Vertragsschluss. Soweit Teil 4 für eine Verarbeitung durch einen Anbieter mit Sitz in den USA keinen Speicherort in der EU nennt, kann diese Verarbeitung auch in den USA stattfinden.

(2) Beschützerbox informiert den Kunden mindestens drei Monate vorher in Textform über jede beabsichtigte Änderung der in Teil 4 genannten Orte der Leistung, Verarbeitung oder Speicherung und vor dem Wechsel eines Rechenzentrumsbetreibers oder eines Unterauftragnehmers für den Betrieb. Der Kunde kann den Vertrag dann nach § 9 Abs. 2 kündigen. Einzelne Server und IP-Adressen kann Beschützerbox ohne Vorankündigung ändern, solange die genannten Orte gleich bleiben (AGB § 3.2).

§ 4 Schutz der Daten (Art. 30 Abs. 2 c)

(1) Die Verfügbarkeit richtet sich nach AGB § 5.3 (99 % je Abrechnungsmonat); Ausfälle der Unterauftragnehmer nach § 2 Abs. 2 gelten dabei als Ausfälle von Beschützerbox.

(2) Den Verkehr, den Beschützerbox für die Kunden des Kunden ins Internet weiterleitet, protokolliert sie nicht; sie wahrt das Fernmeldegeheimnis (§ 3 TDDDG).

(3) Zwischen Box und Servern läuft der Verkehr verschlüsselt durch einen WireGuard-Tunnel, das Portal ist nur per HTTPS erreichbar. Die übrigen Maßnahmen aus Teil 3 des DORA-Prüfpakets hält Beschützerbox während der Laufzeit mindestens gleichwertig aufrecht.

(4) Daten, die Beschützerbox bei der Box 4 Pro im Auftrag des Kunden verarbeitet (Zugangscodes, Anmeldedaten, Feedback), verarbeitet sie nur nach dessen Weisung; dafür schließen die Parteien einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

§ 5 Zugang, Rückgabe und Löschung (Art. 30 Abs. 2 d)

(1) Auf Anforderung in Textform stellt Beschützerbox dem Kunden innerhalb von 30 Tagen seine Daten in einem gängigen elektronischen Format bereit: die Liste der Boxen mit Seriennummer, Standort und Vertrag, ihre Einstellungen, die Daten der Box 4 Pro nach § 4 Abs. 4 sowie die Vertrags- und Rechnungsdaten. Das gilt während der Laufzeit, bis 30 Tage nach Vertragsende und auch bei Einstellung des Geschäftsbetriebs, Abwicklung oder Insolvenz von Beschützerbox. Gehen Daten verloren, stellt Beschützerbox sie aus den vorhandenen Datensicherungen wieder her.

(2) Nach Ablauf dieser Frist und einer Bereitstellung, spätestens 60 Tage nach Vertragsende, löscht Beschützerbox Konten, Einstellungen und Daten der Box 4 Pro des beendeten Vertrags und bestätigt die Löschung in Textform. Konten, die der Kunde für andere laufende Verträge nutzt, bleiben bestehen; Kopien in Datensicherungen entfallen mit deren regulärer Löschung. Vertrags- und Rechnungsdaten bewahrt Beschützerbox auf, solange das Gesetz es verlangt, und löscht sie danach.

§ 6 Dienstleistungsgüte (Art. 30 Abs. 2 e)

(1) Die Dienstleistungsgüte ergibt sich aus Bestellung oder Angebot, der Leistungsbeschreibung und den AGB, insbesondere § 5.3. Aktualisierungen und Überarbeitungen gelten nach § 1 Abs. 2.

§ 7 IKT-Vorfälle (Art. 30 Abs. 2 f)

(1) Bei IKT-Vorfällen im Zusammenhang mit dem Kunden-WLAN unterstützt Beschützerbox den Kunden ohne zusätzliche Kosten: mit Auskunft zu Beginn, Ende, betroffenen Boxen und Ursache, mit den vorhandenen Verbindungsdaten ihrer Server und mit der Sperre oder dem Austausch betroffener Boxen.

(2) Betrifft ein IKT-Vorfall den Dienst des Kunden, informiert Beschützerbox ihn unverzüglich per E-Mail an die Kontaktadresse, die der Kunde dafür in Textform hinterlegt, bei einem Sicherheitsvorfall spätestens zeitgleich mit einer Erstmeldung nach § 168 TKG, und berichtet danach Ursache und Maßnahmen.

§ 8 Zusammenarbeit mit Behörden (Art. 30 Abs. 2 g)

(1) Beschützerbox arbeitet mit den für den Kunden zuständigen Aufsichts- und Abwicklungsbehörden, insbesondere der BaFin, der Deutschen Bundesbank und der Europäischen Zentralbank, und den von ihnen benannten Personen uneingeschränkt zusammen und erteilt ihnen Auskunft zur Leistung.

§ 9 Kündigung (Art. 30 Abs. 2 h, Art. 28 Abs. 7)

(1) Der Kunde kann im Monatstarif zum Ende des Abrechnungsmonats kündigen (AGB § 9.1). Verträge über 6, 12 oder 24 Monate kann er mit einer Frist von einem Monat zum Ende der Laufzeit kündigen; sonst verlängern sie sich um dieselbe Laufzeit (AGB § 9.2).

(2) Der Kunde kann außerordentlich kündigen, mit sofortiger Wirkung oder zu einem von ihm bestimmten späteren Zeitpunkt, wenn

1. Beschützerbox erheblich gegen geltende Gesetze, Vorschriften oder diesen Vertrag verstößt,
2. bei der Überwachung Umstände festgestellt werden, die die vereinbarte Leistung beeinträchtigen können, einschließlich wesentlicher Änderungen, die sich auf diesen Vertrag oder die Lage von Beschützerbox auswirken,
3. Schwächen im IKT-Risikomanagement von Beschützerbox nachgewiesen sind, insbesondere bei der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, oder
4. die zuständige Behörde den Kunden wegen dieses Vertrags oder der damit verbundenen Umstände nicht mehr wirksam beaufsichtigen kann.

Im Voraus gezahlte Entgelte für die Zeit nach dem Vertragsende erstattet Beschützerbox anteilig.

(3) Beschützerbox kann ordentlich mit einer Frist von drei Monaten zum Ende eines Abrechnungsmonats kündigen, Verträge über 6, 12 oder 24 Monate frühestens zum Ende der Laufzeit.

(4) Das Recht beider Parteien zur Kündigung aus wichtigem Grund (§ 314 BGB) bleibt unberührt. Bis zum Vertragsende erbringt Beschützerbox die Leistung unverändert.

§ 10 Schulungen (Art. 30 Abs. 2 i)

(1) Auf Anforderung nimmt Beschützerbox an Programmen des Kunden zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz teil (Art. 13 Abs. 6 DORA), soweit sie das Kunden-WLAN betreffen. Bis zu zwei Stunden je Kalenderjahr per Videokonferenz sind im Preis enthalten, Termine stimmen die Parteien ab; eine weitergehende Teilnahme vereinbaren sie vorher, auch ihre Vergütung.