Service Level Agreement für Korthex

1. Präambel und Vertragsparteien

Dieses Service Level Agreement (nachfolgend "SLA") wird zwischen dem Anbieter und dem Auftraggeber (gemeinsam die "Parteien") geschlossen.

Gegenstand dieses SLA sind die nach Tarif gestaffelten Service Level für den Betrieb, den Support und die sicherheitsbezogene Pflege der Software "Korthex". Korthex ist eine Plattform zur kryptographischen Sicherheitsanalyse, Inventarisierung und Migrationsplanung und ein Produkt der Flowence Infrastructure.

Dieses SLA ergänzt (a) die Allgemeinen Geschäftsbedingungen von Flowence Infrastructure, abrufbar unter https://flowencehq.com/terms (nachfolgend "Allgemeine AGB"), und (b) die produktspezifischen Nutzungsbedingungen für Korthex, abrufbar unter https://korthex.de/terms (nachfolgend "Korthex-AGB"). Es stellt die in § 8 Abs. 1 der Allgemeinen AGB ausdrücklich vorgesehene abweichende Vereinbarung dar.

Die Service Level dieses SLA gelten gestaffelt für die Tarife Free, Community, Business und Enterprise. Für den Free-Tarif werden Leistungen ausschließlich nach bestem Bemühen (Best-Effort) und ohne zugesagte Zeiten oder Verfügbarkeiten erbracht. Verbindliche Reaktions-, Lösungs- und Verfügbarkeitszusagen sowie Service-Gutschriften gelten nur für die kostenpflichtigen Tarife nach Maßgabe der nachfolgenden Abschnitte. Für die Tarife Business und Enterprise wird dieses SLA als Individualvereinbarung geschlossen.

Soweit dieses SLA keine abweichenden Regelungen enthält, gelten die Korthex-AGB und ergänzend die Allgemeinen AGB fort.

Im Falle eines Widerspruchs gilt die in Abschnitt 1 der Korthex-AGB vereinbarte Rangfolge der Vertragsdokumente. Danach geht dieses SLA im Rahmen seines Geltungsbereichs den Korthex-AGB und den Allgemeinen AGB vor; individuelle Vereinbarungen der Parteien und die Bestellbestätigung gehen diesem SLA vor. Der Vorrang dieses SLA beruht auf dieser vereinbarten Rangfolge und nicht auf einer Einordnung des Dokuments als Individualabrede.

Dieses SLA ist in seiner vorformulierten Fassung eine Allgemeine Geschäftsbedingung im Sinne des § 305 Abs. 1 BGB und unterliegt der Inhaltskontrolle nach den §§ 305 ff. BGB. Eine Individualabrede im Sinne des § 305b BGB liegt nur vor, soweit eine einzelne Regelung zwischen den Parteien tatsächlich ausgehandelt wurde. Soweit dies der Fall ist, geht die ausgehandelte Regelung allen vorformulierten Bestimmungen vor, ohne dass es hierfür einer besonderen Kennzeichnung bedarf.

Der Anbieter stellt Auftraggebern der Tarife Business und Enterprise die Bestimmungen dieses SLA auf Wunsch zur Verhandlung. Wird eine Bestimmung auf dieser Grundlage geändert, halten die Parteien die geänderte Fassung in Textform fest; sie gilt als ausgehandelt im Sinne des vorstehenden Absatzes.

Verweise in diesem SLA auf einzelne Bestimmungen der Korthex-AGB oder der Allgemeinen AGB beziehen sich auf die bei Vertragsschluss geltende Fassung des jeweiligen Dokuments. Ändert sich dort die Nummerierung, gilt der Verweis auf diejenige Bestimmung, die denselben Regelungsgegenstand betrifft. Geht ein Verweis ins Leere, ist die Bestimmung anzuwenden, die dem bezeichneten Regelungsgegenstand am nächsten kommt; die Wirksamkeit der übrigen Bestimmungen bleibt unberührt.

Der Anbieter wird derzeit als Einzelunternehmen geführt. Beabsichtigt der Anbieter, den auf Korthex bezogenen Geschäftsbetrieb auf eine Gesellschaft zu übertragen, insbesondere auf eine noch zu gründende GmbH, wird er den Auftraggeber mindestens dreißig (30) Tage vor dem beabsichtigten Übergang in Textform informieren. Die Mitteilung benennt die übernehmende Gesellschaft, den Zeitpunkt des Übergangs sowie den Umstand, dass dieses SLA inhaltlich unverändert fortgilt.

Der Auftraggeber kann der Vertragsübernahme innerhalb von dreißig (30) Tagen nach Zugang der Mitteilung in Textform widersprechen. Widerspricht er nicht, gilt seine Zustimmung zur Übernahme dieses Vertrags durch die benannte Gesellschaft als erteilt; der Anbieter weist in der Mitteilung ausdrücklich auf diese Rechtsfolge und auf die Widerspruchsfrist hin. Widerspricht der Auftraggeber, bleibt der bisherige Vertragspartner Vertragspartei; in diesem Fall kann jede Partei den Vertrag mit einer Frist von drei (3) Monaten zum Ende des laufenden Vertragsjahres kündigen. Bis zum wirksamen Übergang bleibt der bisherige Vertragspartner für sämtliche Pflichten aus diesem SLA verantwortlich.

2. Definitionen

Für die Zwecke dieses SLA gelten die nachfolgenden Begriffsbestimmungen. Ergänzend gelten die Definitionen der Korthex-AGB und der Allgemeinen AGB.

Abkürzungsverzeichnis:

3. Servicebeschreibung

3.1 Leistungsumfang. Der Anbieter erbringt im Rahmen dieses SLA nach Maßgabe des gewählten Tarifs folgende Leistungen: (a) gestaffelten technischen Support nach Abschnitt 4 und 5; (b) Betrieb des Portals mit der in Abschnitt 4.1 zugesagten Verfügbarkeit (Business und Enterprise); (c) sicherheitsbezogene Pflege der Software nach Abschnitt 4.4; (d) Eskalations- und Incident-Management nach Abschnitt 6; (e) regelmäßiges Reporting nach Abschnitt 10 (Business und Enterprise).

3.2 Tarifabhängigkeit. Der Free-Tarif umfasst keine zugesagten Service Level; Support erfolgt ausschließlich über Dokumentation und öffentlich zugängliche Community-Ressourcen (Best-Effort). Der kostenpflichtige Tarif Community umfasst Support zu Servicezeiten mit zugesagten Reaktionszeiten, jedoch keine Verfügbarkeitszusage und keine Service-Gutschriften. Der Business-Tarif umfasst zusätzlich eine Portal-Verfügbarkeitszusage und Service-Gutschriften. Der Enterprise-Tarif umfasst das höchste Service-Level einschließlich 24x7-Bearbeitung kritischer Incidents.

3.3 Ausgeschlossene Leistungen. Nicht Gegenstand dieses SLA sind insbesondere: (a) eine Verfügbarkeitszusage für den lokal betriebenen Client (vgl. § 8 Abs. 1 der Allgemeinen AGB); (b) die Verarbeitung, Speicherung oder Sicherung des Quellcodes oder der Analyseergebnisse des Auftraggebers, da diese das System des Auftraggebers nicht verlassen (Offline-First-Architektur); (c) die Gewährleistung der Einhaltung regulatorischer Vorgaben durch den Auftraggeber (vgl. § 10 Abs. 8 der Allgemeinen AGB); (d) Anpassungen, Schulungen oder Integrationsleistungen, soweit nicht gesondert vereinbart.

3.4 Leistungsstandorte und Betriebsumgebung. Der Client wird auf den Systemen des Auftraggebers betrieben. Die API-Infrastruktur des Portals wird bei Vercel mit einer Verarbeitungsregion in der Europäischen Union betrieben. Die Datenbank- und Speicherinfrastruktur wird im Vereinigten Königreich betrieben (Supabase, London). Support wird remote erbracht.

3.4.1 Keine Zusage ausschließlicher EU-Verarbeitung. Einzelne technisch erforderliche Netzwerk-, Auslieferungs- und Betriebskomponenten der eingesetzten Anbieter können auch außerhalb des Europäischen Wirtschaftsraums belegen sein oder von dort administriert werden. Der Anbieter sagt daher keine ausschließliche Verarbeitung innerhalb der Europäischen Union zu. Für Übermittlungen in Drittländer bestehen die in Abschnitt 11 sowie in der Korthex-Datenschutzerklärung beschriebenen Garantien, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Benötigt der Auftraggeber eine auf bestimmte Regionen beschränkte Verarbeitung, bedarf dies einer gesonderten Vereinbarung.

3.5 Technische Voraussetzungen und Abhängigkeiten. Die zugesagten Service Level gelten nur, sofern der Auftraggeber die Software in einer vom Anbieter unterstützten Umgebung betreibt, erforderliche Updates innerhalb der vereinbarten Fristen einspielt und die für Lizenzaktivierung sowie optionale Relay-/Update-Dienste erforderliche Netzwerkkonnektivität bereitstellt. Eine vollständige Auflistung der unterstützten Konfigurationen ergibt sich aus Anlage D.

4. Service Levels und KPIs

4.1 Verfügbarkeit. Die nachstehenden Verfügbarkeitszusagen beziehen sich ausschließlich auf das Portal und werden je Kalendermonat gemessen. Der lokal betriebene Client unterliegt keiner Verfügbarkeitszusage. Bei Nutzung der Air-Gapped-Lizenz bleibt der laufende Clientbetrieb von Portal-Ausfällen weitgehend unberührt.

Zielwerte für die Wiederherstellung des Portals: Business RTO 8 Stunden / RPO 24 Stunden; Enterprise RTO 4 Stunden / RPO 12 Stunden. Die technischen und organisatorischen Maßnahmen, auf denen diese Zielwerte beruhen, insbesondere verschlüsselte Sicherungskopien und die Wiederherstellungsverfahren, sind in Abschnitt 11 dieses SLA sowie in Abschnitt 11 der Korthex-Datenschutzerklärung beschrieben.

4.2 Antwort- und Lösungszeiten nach Priorität. Incidents werden nach den in Abschnitt 6.1 definierten Prioritäten P1 bis P4 klassifiziert. Die je Tarif geltenden Reaktions- und Lösungsziele ergeben sich aus den Tarifdetails (Abschnitt 5). Alle Zeiten werden ab Eingang eines korrekt klassifizierten Incidents über einen zugelassenen Kanal gemessen.

4.3 Performance-Metriken. Die Analyseleistung des Clients (Durchsatz, Scandauer) hängt maßgeblich von der Hardware und der Codebasis des Auftraggebers ab; der Anbieter sagt insoweit keine bestimmten Durchsatz- oder Latenzwerte zu. Für interaktive Portal-Endpunkte gilt ein Zielwert der Antwortzeit von unter 1 Sekunde im Median.

4.4 Sicherheits-SLA. Der Anbieter bewertet sicherheitsrelevante Schwachstellen in der Software anhand des CVSS und stellt nach den folgenden Zielzeiten einen Patch oder eine dokumentierte Mitigation bereit. Die Frist beginnt mit der Verifikation der Schwachstelle durch den Anbieter. Die nachstehenden Zielzeiten beziehen sich auf die Tarife Business und Enterprise; in den Tarifen Free und Community werden Sicherheitskorrekturen im Rahmen des nächsten regulären Releases bereitgestellt.

Sicherheitsaktualisierungen werden Verbrauchern, die den Free-Tarif als digitales Produkt nutzen, unabhängig von den vorstehenden Tarifstufen gemäß § 327f BGB bereitgestellt.

4.5 Messpunkte, Messmethodik und Berichtszeitraum. Die Portal-Verfügbarkeit wird anhand der serverseitigen Überwachung des Anbieters gemessen. Berichtszeitraum ist der Kalendermonat. Von der Verfügbarkeitsberechnung ausgenommen sind angekündigte Wartungsfenster (Abschnitt 5.4) sowie ausgeschlossene Ereignisse (Abschnitt 13.4). Die Ergebnisse werden gemäß Abschnitt 10 berichtet.

4.6 Meldepflichten nach dem Cyber Resilience Act. Die Zielzeiten nach Abschnitt 4.4 betreffen die Bereitstellung von Korrekturen an den Auftraggeber. Hiervon zu unterscheiden sind die eigenen Meldepflichten des Anbieters als Hersteller eines Produkts mit digitalen Elementen nach Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act). Diese Pflichten gelten ab dem 11. September 2026, bestehen unabhängig vom Tarif des Auftraggebers und unabhängig davon, ob bereits ein Patch verfügbar ist.

Erlangt der Anbieter Kenntnis von einer aktiv ausgenutzten Schwachstelle in Korthex oder von einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit von Korthex, übermittelt er (a) innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung an das als Koordinator benannte CSIRT und an die ENISA, (b) innerhalb von 72 Stunden eine Meldung mit Angaben zu Art, Auswirkungen und, soweit verfügbar, zu Korrektur- oder Risikominderungsmaßnahmen und (c) einen Abschlussbericht, bei Schwachstellen innerhalb von 14 Tagen nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme und bei schwerwiegenden Vorfällen innerhalb eines Monats nach der Meldung nach Buchstabe (b).

Der Anbieter informiert die betroffenen Auftraggeber unverzüglich nach Kenntniserlangung über die Schwachstelle oder den Vorfall sowie, soweit erforderlich, über Risikominderungsmaßnahmen und über Maßnahmen, die der Auftraggeber selbst ergreifen kann. Die Information erfolgt über die im Nutzerkonto hinterlegte E-Mail-Adresse und, soweit vorhanden, über den benannten technischen Ansprechpartner. Diese Information erfolgt unabhängig von den Zielzeiten nach Abschnitt 4.4 und wird nicht bis zur Verfügbarkeit eines Patches zurückgestellt.

Meldepflichten nach anderen Vorschriften, insbesondere nach Art. 33 und Art. 34 DSGVO bei einer Verletzung des Schutzes personenbezogener Daten, bleiben unberührt und bestehen neben den Pflichten nach diesem Abschnitt. Der Anbieter unterhält für beide Fallgruppen dokumentierte Prozesse, Meldewege und Zuständigkeiten.

5. Supportzeiten und Tarifleistungen

5.1 Reguläre Servicezeiten. Support wird grundsätzlich innerhalb der Servicezeiten (Abschnitt 2) erbracht.

5.2 24x7-Bereitschaft. Für Incidents der Priorität P1 wird im Enterprise-Tarif eine Bereitschaft außerhalb der Servicezeiten (24x7) vorgehalten. In den übrigen Tarifen besteht keine Bereitschaft außerhalb der Servicezeiten.

5.3 Kontaktwege. Zugelassene Kanäle zur Meldung von Incidents sind das im Nutzerkonto bereitgestellte Ticketsystem und die Support-E-Mail-Adresse; für P1-Incidents im Enterprise-Tarif zusätzlich eine Eskalations-Telefonnummer. Meldungen über andere Kanäle lösen keine Service-Level-Fristen aus.

Die konkreten Kontaktdaten einschließlich der Eskalations-Telefonnummer ergeben sich aus Anlage E. Der Anbieter übermittelt dem Auftraggeber die Anlage E spätestens mit der Freischaltung des Zugangs, bei Enterprise-Verträgen spätestens fünf (5) Werktage nach Vertragsschluss, in Textform und hält sie aktuell. Solange dem Auftraggeber keine Eskalations-Telefonnummer vorliegt, gilt für P1-Incidents ein Ticket im Nutzerkonto mit der Priorität P1 sowie eine parallele Nachricht an die Support-E-Mail-Adresse als zugelassener Meldeweg; die Fristen des Abschnitts 5.2 laufen in diesem Fall ab Eingang dieser Meldung. Eine fehlende oder veraltete Anlage E geht nicht zu Lasten des Auftraggebers.

5.4 Wartungsfenster. Geplante Wartung wird mit Vorlauf angekündigt und so terminiert, dass die Auswirkung gering bleibt. Notfallwartung kann ohne Einhaltung der Ankündigungsfrist erfolgen, soweit sie zur Abwehr von Sicherheits- oder Stabilitätsrisiken erforderlich ist.

6. Incident- und Problem-Management

6.1 Incident-Klassifizierung und Prioritäten. Incidents werden unabhängig vom Tarif des Auftraggebers nach ihrer Auswirkung klassifiziert. Der Anbieter weist die initiale Priorität zu; eine Neueinstufung erfolgt einvernehmlich.

Die Bereitstellung eines Workarounds führt nicht automatisch zu einer Herabstufung der Priorität. Eine Herabstufung setzt voraus, dass der Workaround die Beeinträchtigung für den vertraglich vorausgesetzten Einsatzzweck tatsächlich beseitigt und die Voraussetzungen erfüllt, die Abschnitt 9 der Korthex-AGB für die Zumutbarkeit eines Workarounds vorsieht, insbesondere die Funktionsfähigkeit in automatisierten Umgebungen ohne manuelle Eingriffe. Stimmt der Auftraggeber einer Herabstufung nicht zu, bleibt die bisherige Priorität bis zur endgültigen Behebung maßgeblich; der Anbieter kann die Einstufung nach Abschnitt 16 klären lassen.

Auch nach einer Herabstufung bleibt die Pflicht zur endgültigen Behebung bestehen. Für die Frist zur Ablösung eines Workarounds durch eine endgültige Behebung gilt Abschnitt 9 der Korthex-AGB; für sicherheitsrelevante Schwachstellen gelten zusätzlich die Zielzeiten nach Abschnitt 4.4.

6.2 Statusaktualisierungen. Während der Bearbeitung eines Incidents informiert der Anbieter den Auftraggeber in wiederkehrenden Abständen über den Bearbeitungsstand (Update-Intervall). Das je Tarif und Priorität geltende Update-Intervall ergibt sich aus den Tarifdetails in Abschnitt 5. Ist dort für eine Priorität kein Update-Intervall ausgewiesen, informiert der Anbieter den Auftraggeber bei P3-Incidents mindestens wöchentlich und bei P4-Incidents mit der Bearbeitung des Vorgangs. Ein Update-Intervall gilt als verpasst, wenn der Anbieter nicht innerhalb des maßgeblichen Zeitraums über den Bearbeitungsstand informiert hat; Zeiten außerhalb der Servicezeiten bleiben dabei unberücksichtigt, soweit keine 24x7-Bearbeitung vereinbart ist.

6.3 Eskalationsstufen und -prozesse. Schreitet die Bearbeitung eines Incidents nicht innerhalb der zugesagten Zeiten voran, kann der Auftraggeber in den kostenpflichtigen Tarifen wie folgt eskalieren:

6.4 Problem-Management und Ursachenanalyse (RCA). Für wiederkehrende Incidents und für jeden P1-Incident führt der Anbieter eine Ursachenanalyse durch und dokumentiert geeignete Maßnahmen zur Vermeidung einer Wiederholung.

6.5 Postmortem bei kritischen Incidents. Nach Abschluss eines P1-Incidents stellt der Anbieter dem Auftraggeber (Business und Enterprise) auf Anforderung innerhalb von 5 Werktagen einen schriftlichen Postmortem-Bericht bereit, der Hergang, Ursache, ergriffene Maßnahmen und Präventionsmaßnahmen darstellt.

7. Change-Management

7.1 Change-Typen. Änderungen am Portal und an der Software werden unterschieden in Standard-Changes (geringes Risiko, vorab freigegeben), Normal-Changes (geplant, mit Ankündigung) und Emergency-Changes (zur Abwehr akuter Sicherheits- oder Stabilitätsrisiken).

7.2 Freigabe. Da der Service durch den Anbieter zentral erbracht wird, entscheidet der Anbieter über die Freigabe von Changes. Ein formelles Change-Advisory-Board des Auftraggebers besteht nicht. Ein Change darf nur freigegeben werden, wenn hierfür ein triftiger Grund im Sinne des Abschnitts 3 der Korthex-AGB vorliegt; der dort abschließend geregelte Katalog gilt entsprechend. Der Anbieter beschränkt einen Change auf das zur Erreichung dieses Grundes erforderliche Maß.

7.2.1 Ankündigung. Standard-Changes werden nicht gesondert angekündigt. Normal-Changes mit Auswirkung auf den Auftraggeber werden gemäß Abschnitt 5.4 angekündigt. Beeinträchtigt ein Normal-Change die Nutzung des Portals oder der Software für den Auftraggeber voraussichtlich nicht nur unerheblich, kündigt der Anbieter ihn mindestens dreißig (30) Tage vor dem geplanten Wirksamwerden in Textform an und benennt dabei Inhalt, Zeitpunkt, den maßgeblichen triftigen Grund und die voraussichtlichen Auswirkungen.

7.2.2 Einspruch. Gegen einen Change nach Abschnitt 7.2.1 kann der Auftraggeber innerhalb von zehn (10) Werktagen nach Zugang der Ankündigung in Textform Einspruch erheben und die konkrete Beeinträchtigung darlegen. Der Anbieter prüft den Einspruch und teilt dem Auftraggeber vor dem Wirksamwerden mit, ob er den Change anpasst, verschiebt oder unverändert umsetzt; im letztgenannten Fall begründet er dies. Ein Einspruch hemmt die Umsetzung nicht, soweit der Change zur Abwehr von Sicherheits- oder Stabilitätsrisiken oder zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

7.2.3 Folgen einer wesentlichen Beeinträchtigung. Beeinträchtigt ein umgesetzter Change die vertragsgemäße Nutzung dauerhaft und nicht nur unerheblich, kann der Auftraggeber den Vertrag mit einer Frist von dreißig (30) Tagen kündigen; Abschnitt 15 gilt für die Abwicklung entsprechend. Stellt der Anbieter keine funktional gleichwertige Alternative bereit, schreibt er die auf den betroffenen Leistungsumfang und Zeitraum entfallende Vergütung zeitanteilig gut. Gegenüber Verbrauchern bleiben die Rechte nach Abschnitt 3 der Korthex-AGB und nach § 327r BGB unberührt.

7.2.4 Emergency-Changes. Emergency-Changes können ohne vorherige Ankündigung und ohne Einspruchsmöglichkeit umgesetzt werden. Der Anbieter informiert den Auftraggeber unverzüglich nach der Umsetzung über Anlass, Inhalt und Auswirkungen und nimmt den Change in das Reporting nach Abschnitt 10 auf.

7.3 Release- und Deployment-Management. Software-Releases werden nach einem dokumentierten Release-Prozess bereitgestellt. Der Auftraggeber ist verpflichtet, sicherheitsrelevante Releases innerhalb der in Anlage D genannten Fristen einzuspielen.

7.3.1 Voraussetzungen einer Entlastung. Versäumt der Auftraggeber das Einspielen eines sicherheitsrelevanten Releases, kann sich der Anbieter hierauf nur berufen, wenn er den Auftraggeber zuvor über die Verfügbarkeit des Releases, über die Folgen einer unterlassenen Installation und über die ordnungsgemäße Installation informiert hat und die Installationsanleitung nicht mangelhaft war. Diese Voraussetzungen gelten gegenüber Unternehmern und Verbrauchern gleichermaßen; gegenüber Verbrauchern gilt ergänzend § 327f Abs. 2 BGB.

7.3.2 Umfang der Entlastung. Liegen die Voraussetzungen des Abschnitts 7.3.1 vor, ruhen die Service-Level-Zusagen nur, soweit die Beeinträchtigung gerade auf dem Fehlen des nicht eingespielten Releases beruht, und nur für die Dauer dieses Zustands. Ein Wegfall von Service-Level-Ansprüchen für den gesamten Berichtszeitraum oder für hiervon nicht betroffene Vorgänge tritt nicht ein. Die Verfügbarkeitszusagen für das Portal bleiben unberührt, es sei denn, die Beeinträchtigung des Portals beruht ihrerseits auf dem fehlenden Release. Im Übrigen gilt der Grundsatz des Abschnitts 8.4 entsprechend: Verzögerungen verlängern die betroffenen Fristen, ohne den Anspruch dem Grunde nach entfallen zu lassen.

7.3.3 Nachholung. Spielt der Auftraggeber das Release nach, gelten die Service-Level-Zusagen ab dem Zeitpunkt der erfolgreichen Installation wieder uneingeschränkt.

8. Mitwirkungspflichten des Auftraggebers

8.1 Der Auftraggeber stellt dem Anbieter die zur Leistungserbringung erforderlichen Informationen, Zugänge und Diagnosedaten in zumutbarem Umfang rechtzeitig zur Verfügung.

8.2 Der Auftraggeber benennt einen oder mehrere verantwortliche Ansprechpartner sowie deren Vertretung und teilt Änderungen unverzüglich mit (Anlage E).

8.3 Der Auftraggeber hält die in Anlage D genannten technischen Mindestanforderungen ein, betreibt die Software in einer unterstützten Umgebung und spielt erforderliche Updates fristgerecht ein.

8.4 Der Auftraggeber meldet Incidents über die zugelassenen Kanäle unter Angabe der zur Diagnose erforderlichen Informationen. Verzögerungen, die auf unzureichende Mitwirkung zurückzuführen sind, verlängern die Service-Level-Fristen entsprechend.

9. Verantwortlichkeiten und Rollen

9.1 Verantwortlichkeitsmatrix (RACI). Die nachstehende Matrix verteilt die Verantwortung für zentrale Tätigkeiten. R = Responsible (durchführend), A = Accountable (rechenschaftspflichtig), C = Consulted (zu konsultieren), I = Informed (zu informieren).

Die Matrix dient der Zuordnung von Rollen und der Auslegung. Sie begründet keine über die vertraglichen Bestimmungen hinausgehenden Pflichten und keine eigenständigen Ansprüche. Weichen die Matrix und die Pflichtenregelungen der Abschnitte 3, 7 und 8 dieses SLA oder der Korthex-AGB voneinander ab, gehen die dortigen Bestimmungen vor.

9.1.1 Migrationsempfehlungen. Die Bewertung, Freigabe und Umsetzung von Migrationsempfehlungen liegt beim Auftraggeber; Abschnitt 10 der Korthex-AGB bleibt unberührt. Der Auftraggeber kann zu einer Empfehlung über die zugelassenen Supportkanäle Rückfragen stellen; der Anbieter beantwortet diese nach Maßgabe der für seinen Tarif geltenden Reaktionszeiten. Meldet der Auftraggeber eine aus seiner Sicht unzutreffende oder unvollständige Empfehlung, prüft der Anbieter die Meldung als Incident nach Abschnitt 6 und behandelt eine bestätigte Fehlbewertung der Erkennungs- oder Empfehlungslogik als Mangel nach Abschnitt 9 der Korthex-AGB.

9.2 Ansprechpartner beider Parteien. Die benannten technischen und kaufmännischen Ansprechpartner sowie deren Erreichbarkeit ergeben sich aus Anlage E.

9.3 Drittanbieter und Subunternehmer. Der Anbieter ist berechtigt, zur Leistungserbringung Subunternehmer (z. B. Hosting-, Zahlungs- und E-Mail-Dienstleister) einzusetzen. Soweit dabei personenbezogene Daten im Auftrag verarbeitet werden, gilt der Auftragsverarbeitungsvertrag gemäß Anlage C. Der Anbieter bleibt für die Leistungen seiner Subunternehmer gegenüber dem Auftraggeber verantwortlich.

10. Reporting und Review

10.1 Regelmäßige Service-Reports. Der Anbieter stellt dem Auftraggeber in den Tarifen Business und Enterprise folgende Berichte bereit:

10.2 SLA-Review-Zyklen. Die Parteien überprüfen die Angemessenheit der vereinbarten Service Level mindestens jährlich und passen sie bei Bedarf einvernehmlich an.

10.3 Eskalationsberichte. Bei P1-Incidents und bei Unterschreitung der Verfügbarkeitszusage erstellt der Anbieter eine Executive Summary für die Leitungsebene des Auftraggebers.

Eine Executive Summary wird außerdem erstellt, wenn der Anbieter innerhalb eines Berichtszeitraums bei Incidents unterhalb der Priorität P1 in drei (3) oder mehr Fällen eine zugesagte Erstreaktionszeit oder ein Update-Intervall nach Abschnitt 6.2 nicht eingehalten hat. Der Bericht benennt die betroffenen Vorgänge, die Ursachen und die Maßnahmen zur Abstellung. Der Auftraggeber kann eine solche Zusammenfassung auch bei einer geringeren Anzahl von Überschreitungen anfordern, wenn er ein berechtigtes Interesse darlegt.

11. Datenschutz und Datensicherheit

11.1 DSGVO-Konformität. Die Verarbeitung personenbezogener Daten richtet sich nach der DSGVO, dem BDSG und dem TDDDG sowie nach der Datenschutzerklärung des Anbieters (https://korthex.de/privacy und ergänzend https://flowencehq.com/privacy). Aufgrund der Offline-First-Architektur verarbeitet der Anbieter weder Quellcode noch Analyseergebnisse des Auftraggebers.

11.2 Auftragsverarbeitung. Soweit der Anbieter personenbezogene Daten im Auftrag des Auftraggebers verarbeitet (insbesondere Konto- und Lizenzdaten über das Portal), schließen die Parteien einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, der diesem SLA als Anlage C beigefügt ist.

11.3 Vertraulichkeit. Es gilt die Vertraulichkeitsregelung des § 11 der Korthex-AGB bzw. der Allgemeinen AGB. Ergänzend gilt ein etwaiges zwischen den Parteien geschlossenes Geheimhaltungsabkommen (NDA), soweit dem Auftraggeber Zugang zu Quellcode oder nicht öffentlichen technischen Informationen gewährt wird.

11.4 Datenlokalisierung und Drittlandtransfer. Die Portal-API wird mit einer Verarbeitungsregion in der Europäischen Union betrieben; eine ausschließliche Verarbeitung innerhalb der Europäischen Union wird nicht zugesagt, da einzelne technisch erforderliche Netzwerk-, Auslieferungs- und Betriebskomponenten der eingesetzten Anbieter auch außerhalb des Europäischen Wirtschaftsraums belegen sein oder von dort administriert werden können (Abschnitt 3.4.1); die Datenbank- und Speicherinfrastruktur wird im Vereinigten Königreich (Supabase, London) betrieben, für das ein Angemessenheitsbeschluss der EU-Kommission besteht. Übermittlungen in die USA (insbesondere an Stripe und Google) erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, ergänzend auf Basis von EU-Standardvertragsklauseln. Der Zugriff erfolgt rollenbasiert nach dem Prinzip der minimalen Rechte. Einzelheiten ergeben sich aus der Datenschutzerklärung und Anlage C.

11.5 Meldung von Datenschutzverletzungen (Breach Notification). Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Verantwortungsbereich des Anbieters eingetreten ist, informiert er den Auftraggeber unverzüglich, spätestens innerhalb von vierundzwanzig (24) Stunden nach Kenntniserlangung. Soweit der Anbieter insoweit Auftragsverarbeiter ist, ergibt sich diese Pflicht aus Art. 33 Abs. 2 DSGVO; eine eigene 72-Stunden-Frist besteht für den Auftragsverarbeiter nicht.

Die Meldung erfolgt auch dann, wenn noch nicht alle Angaben vorliegen. Der Anbieter übermittelt zunächst die verfügbaren Informationen und ergänzt sie unverzüglich, sobald weitere Erkenntnisse vorliegen. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und Betroffenengruppen, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen.

Der Anbieter unterstützt den Auftraggeber bei der Erfüllung von dessen Meldepflichten nach Art. 33 und Art. 34 DSGVO (Art. 28 Abs. 3 lit. f DSGVO) und stellt die hierfür erforderlichen Informationen so rechtzeitig bereit, dass der Auftraggeber seine eigene Frist von 72 Stunden gegenüber der Aufsichtsbehörde einhalten kann. Die gesetzliche Frist des Verantwortlichen bleibt unberührt.

Meldepflichten des Anbieters nach dem Cyber Resilience Act bestehen daneben und richten sich nach Abschnitt 4.6.

11.6 Umgang mit kryptographischem Material. Die lokalen Verschlüsselungsschlüssel der Software werden auf dem System des Auftraggebers erzeugt und durch das Betriebssystem geschützt (z. B. DPAPI unter Windows); der Anbieter hat keinen Zugriff darauf (kein Key-Escrow). Lizenz- und Aktivierungsschlüssel werden ausschließlich zur Lizenzverwaltung genutzt. Bei Beendigung des Vertrages gelten die Regelungen zum Exit-Management (Abschnitt 15.4).

11.7 Produktsicherheit und koordinierte Offenlegung. Der Anbieter behandelt sicherheitsrelevante Schwachstellen nach Abschnitt 4.4. Der Anbieter ist Hersteller eines Produkts mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) und damit unmittelbar Adressat der dortigen Pflichten. Diese beziehen sich auf das Produkt Korthex selbst und bestehen unabhängig davon, ob der Auftraggeber die Software air-gapped oder mit Portal-Anbindung betreibt, und unabhängig von der Infrastruktur des Anbieters. Die Melde- und Informationspflichten nach Art. 14 der Verordnung richten sich nach Abschnitt 4.6. Der Auftraggeber ist berechtigt, die von ihm betriebene Korthex-Installation im eigenen Verantwortungsbereich auf eigene Kosten zu testen. Tests gegen die vom Anbieter betriebene Portal-Infrastruktur bedürfen der vorherigen schriftlichen Abstimmung hinsichtlich Zeitfenster, Umfang und Methodik. Festgestellte Schwachstellen sind dem Anbieter im Wege der koordinierten Offenlegung mitzuteilen.

12. Vergütung und Zahlungsbedingungen

12.1 Es gelten die Vergütungs- und Zahlungsbedingungen des § 6 der Korthex-AGB bzw. der Allgemeinen AGB (Preise netto zzgl. USt., Zahlung im Voraus je Abrechnungszeitraum, Fälligkeit binnen 14 Tagen, Verzugszinsen, Preisanpassung mit 90 Tagen Vorlauf). Dieses SLA begründet keine abweichenden Zahlungsmodalitäten, soweit nachfolgend nichts anderes geregelt ist.

12.2 Die im Rahmen dieses SLA erbrachten Service Level sind in der Vergütung des gewählten Tarifs enthalten, sofern nicht eine gesonderte SLA-Gebühr ausgewiesen ist (Anlage B).

12.3 Einmalige Einrichtungsgebühren (z. B. Onboarding) und Zusatzleistungen außerhalb des vereinbarten Leistungsumfangs werden nach Aufwand zu den in Anlage B genannten Sätzen abgerechnet.

12.4 Rechnungsstellung und Zahlungsziel richten sich nach § 6 der Allgemeinen AGB.

13. Service-Gutschriften

13.1 Service-Credit-Modell. Unterschreitet die tatsächliche Portal-Verfügbarkeit im Kalendermonat die in Abschnitt 4.1 zugesagte Verfügbarkeit, erhält der Auftraggeber in den Tarifen Business und Enterprise auf Antrag eine Service-Gutschrift, berechnet als Prozentsatz der monatsanteiligen Jahresvergütung. In den Tarifen Free und Community bestehen keine Service-Gutschriften.

13.2 Geltendmachung. Service-Gutschriften sind innerhalb von 30 Tagen nach dem betroffenen Monat in Textform geltend zu machen. Sie werden mit der nächsten Rechnung verrechnet und nicht ausgezahlt.

13.3 Rechtsnatur und Verhältnis zur Haftung. Service-Gutschriften sind ein pauschalierter Ausgleich für die Nichteinhaltung der Verfügbarkeitszusage. Dem Auftraggeber bleibt der Nachweis vorbehalten, dass kein oder ein wesentlich geringerer Schaden entstanden ist (§ 309 Nr. 5 lit. b BGB). Service-Gutschriften sind der vorrangige Rechtsbehelf für die Nichteinhaltung der Verfügbarkeitszusage und werden auf einen etwaigen weitergehenden Schadensersatzanspruch wegen derselben Verfügbarkeitsunterschreitung angerechnet. Die gesetzliche Haftung des Anbieters - insbesondere für Schäden aus der Verletzung von Leben, Körper oder Gesundheit, bei Vorsatz und grober Fahrlässigkeit, bei Verletzung wesentlicher Vertragspflichten sowie nach dem Produkthaftungsgesetz - sowie die Rechte von Verbrauchern bleiben unberührt. Die in § 10 der Allgemeinen AGB geregelte Haftungsobergrenze bleibt unberührt und wird durch dieses SLA nicht erhöht.

13.4 Ausnahmen. Keine Service-Gutschriften bestehen für Ausfälle, die zurückzuführen sind auf: angekündigte Wartung; höhere Gewalt im Sinne von § 14 der Allgemeinen AGB und des Abschnitts 14 der Korthex-AGB, einschließlich der dort für Cyberangriffe geregelten Voraussetzungen (Schutzmaßnahmen nach dem Stand der Technik); vom Auftraggeber zu vertretende Umstände; Ausfälle von Kundennetzwerk, -hardware oder Drittsoftware; Nutzung in nicht unterstützten Umgebungen; sowie Incidents, die über nicht zugelassene Kanäle gemeldet wurden.

14. Haftung und Gewährleistung

14.1 Für Gewährleistung und Haftung gelten die §§ 9 und 10 der Korthex-AGB bzw. der Allgemeinen AGB unverändert fort. Dieses SLA erweitert die Haftung des Anbieters nicht.

Unabhängig vom Inhalt der in Bezug genommenen Dokumente gilt: Die Haftung des Anbieters für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für Vorsatz und grobe Fahrlässigkeit ist weder ausgeschlossen noch beschränkt. Dies gilt auch für die persönliche Haftung der Angestellten, Arbeitnehmer, Vertreter, Organe und Erfüllungsgehilfen des Anbieters. Eine über den nach § 309 Nr. 7 BGB zulässigen Umfang hinausgehende Freistellung wird durch dieses SLA und durch die in Bezug genommenen Dokumente nicht vereinbart; eine abweichende Bestimmung eines in Bezug genommenen Dokuments findet insoweit keine Anwendung.

14.2 Insbesondere gilt § 9 Abs. 4 der Allgemeinen AGB: Analyseergebnisse sind wahrscheinlichkeitsbasiert; es besteht keine Garantie auf Vollständigkeit oder Fehlerfreiheit, und ein ausbleibendes Finding stellt keine Sicherheitsgarantie dar. Die Einhaltung der Service Level dieses SLA ändert hieran nichts.

14.3 Für die Nichteinhaltung von Verfügbarkeits-Service-Levels sind die Service-Gutschriften nach Abschnitt 13 vorrangig; ein darüber hinausgehender Schadensersatz richtet sich nach den Grenzen des § 10 der Allgemeinen AGB. Gegenüber Verbrauchern gelten die gesetzlichen Vorschriften.

14.4 Die Verantwortung für die Umsetzung technischer Änderungen und Migrationsempfehlungen verbleibt gemäß § 10 Abs. 7 der Allgemeinen AGB beim Auftraggeber.

15. Laufzeit und Kündigung

15.1 Vertragsbeginn und Laufzeit. Dieses SLA tritt mit dem in der Kopfzeile genannten Datum in Kraft und ist an die Laufzeit des zugehörigen Nutzungsvertrages gekoppelt. Es gelten die Laufzeit- und Verlängerungsregelungen des § 12 der Allgemeinen AGB bzw. der Korthex-AGB.

15.1.1 Tarifwechsel. Wechselt der Auftraggeber während der laufenden Vertragslaufzeit den Tarif, bleibt dieses SLA unverändert in Kraft; es bedarf keines neuen SLA-Dokuments. Die Service Level des neuen Tarifs gelten ab dem Zeitpunkt des Wirksamwerdens des Tarifwechsels. Für den Berichtszeitraum, in den der Wechsel fällt, werden Verfügbarkeit und Service-Gutschriften zeitanteilig nach den jeweils geltenden Zusagen berechnet.

Der Anbieter aktualisiert die vom Tarifwechsel betroffenen Anlagen, insbesondere die Anlagen D und E, unverzüglich und übermittelt sie dem Auftraggeber in Textform. Wechselt der Auftraggeber in einen Tarif ohne Verfügbarkeitszusage oder ohne Service-Gutschriften, entfallen diese Ansprüche erst mit Wirkung für die Zeit nach dem Wechsel; bereits entstandene Ansprüche bleiben unberührt.

15.2 Ordentliche Kündigung. Die ordentliche Kündigung richtet sich nach § 12 der Allgemeinen AGB (Verlängerung um jeweils ein Jahr, Kündigungsfrist drei Monate zum Laufzeitende).

15.3 Außerordentliche Kündigung. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund nach § 12 der Allgemeinen AGB bleibt unberührt.

15.4 Übergangs- und Exit-Management. Bei Beendigung unterstützt der Anbieter den Auftraggeber in zumutbarem Umfang bei der geordneten Beendigung der Nutzung. Mit Vertragsende erlöschen die Nutzungsrechte; der Auftraggeber deinstalliert die Software gemäß § 12 der Korthex-AGB. Lokal erzeugte Analyseergebnisse und Berichte verbleiben beim Auftraggeber. Lizenz- und Aktivierungsschlüssel werden anbieterseitig deaktiviert; ein Key-Escrow lokaler kryptographischer Schlüssel findet nicht statt (Abschnitt 11.6).

16. Streitbeilegung und Gerichtsstand

16.1 Bei Meinungsverschiedenheiten über die Einhaltung der Service Level streben die Parteien zunächst eine einvernehmliche Lösung auf Ebene der benannten Ansprechpartner und sodann der Leitungsebene an. Diese Eskalation soll innerhalb von fünfzehn (15) Werktagen ab der ersten schriftlichen Beanstandung abgeschlossen sein. Sie ist keine Zulässigkeitsvoraussetzung für die Anrufung der Gerichte; das Recht jeder Partei, jederzeit gerichtlichen Rechtsschutz in Anspruch zu nehmen, insbesondere im Wege des einstweiligen Rechtsschutzes, bleibt unberührt.

16.2 Im Übrigen gelten das anwendbare Recht und der Gerichtsstand des § 16 der Allgemeinen AGB bzw. § 18 der Korthex-AGB (ausschließlich deutsches Recht unter Ausschluss des UN-Kaufrechts; Gerichtsstand am Sitz des Anbieters, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist). Für Verbraucher gelten die gesetzlichen Bestimmungen über den Gerichtsstand.

16.3 Eine Schiedsklausel wird nicht vereinbart.

17. Sonstige Bestimmungen

17.1 Textform. Änderungen und Ergänzungen dieses SLA sollen der Textform bedürfen. Individuelle Vertragsabreden haben nach § 305b BGB stets Vorrang vor den Bestimmungen dieses SLA; sie sind auch dann wirksam, wenn sie mündlich oder durch schlüssiges Verhalten getroffen wurden und der Textform nicht entsprechen. Dieses Formerfordernis dient der Beweissicherung und schließt spätere individuelle Vereinbarungen weder aus noch macht es sie unwirksam.

17.2 Salvatorische Klausel. Sollte eine Bestimmung dieses SLA ganz oder teilweise unwirksam, nichtig, undurchführbar oder nicht Vertragsbestandteil geworden sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle treten die gesetzlichen Vorschriften (§ 306 Abs. 2 BGB). Eine geltungserhaltende Reduktion findet nicht statt; eine unwirksame Bestimmung wird nicht auf das rechtlich zulässige Maß zurückgeführt. Eine automatische Ersetzung durch eine Regelung, die dem wirtschaftlichen Zweck möglichst nahekommt, findet nicht statt; den Parteien bleibt es unbenommen, eine unwirksame Bestimmung durch eine gesonderte Individualvereinbarung in Textform zu ersetzen. Abschnitt 19 der Korthex-AGB gilt entsprechend.

17.3 Gesamtvereinbarung. Dieses SLA, die Korthex-AGB, die Allgemeinen AGB sowie die Anlagen bilden die gesamte Vereinbarung der Parteien über den Gegenstand dieses SLA. Es gilt die Rangfolge nach Abschnitt 1.

17.4 Abtretungsverbot. Der Auftraggeber kann Rechte und Pflichten aus diesem SLA nur mit vorheriger Zustimmung des Anbieters in Textform auf Dritte übertragen. § 354a HGB bleibt unberührt: Ist die Abtretung einer Geldforderung für beide Teile ein Handelsgeschäft, bleibt die Abtretung trotz des vorstehenden Verbots wirksam. Der Anbieter kann in diesem Fall mit befreiender Wirkung an den Auftraggeber als bisherigen Gläubiger leisten, bis ihm die Abtretung in Textform angezeigt worden ist. Die Zustimmung zu einer Übertragung darf nicht unbillig verweigert werden. Für eine Übertragung auf Seiten des Anbieters gilt Abschnitt 1.

18. Anlagen

Die folgenden Anlagen sind Bestandteil dieses SLA und werden je Vertrag ausgefüllt:

Der Anbieter übermittelt dem Auftraggeber die für seinen Tarif einschlägigen Anlagen in Textform, spätestens mit der Freischaltung des Zugangs, bei Enterprise-Verträgen spätestens fünf (5) Werktage nach Vertragsschluss. Er hält sie aktuell und übermittelt Änderungen unverzüglich.

Solange eine Anlage dem Auftraggeber nicht vorliegt, gilt Folgendes: Für die Anlagen A und B sind die Angaben der Bestellbestätigung und die Tarifbeschreibung nach Abschnitt 4 der Korthex-AGB maßgeblich. Für Anlage D gelten die in der Produktdokumentation und in den Versionshinweisen genannten unterstützten Umgebungen; die Frist zum Einspielen sicherheitsrelevanter Releases beträgt in diesem Fall dreißig (30) Tage ab Bereitstellung und Information nach Abschnitt 7.3.1. Für Anlage E gilt der Ersatzmeldeweg nach Abschnitt 5.3.

Das Fehlen oder die Unvollständigkeit einer Anlage geht nicht zu Lasten des Auftraggebers. Der Anbieter kann sich auf eine in einer Anlage vorgesehene Obliegenheit des Auftraggebers nur berufen, soweit ihm die betreffende Anlage vorlag. Anlage C ist vor Beginn einer Verarbeitung personenbezogener Daten im Auftrag abzuschließen; Abschnitt 11.2 dieses SLA und Abschnitt 7 der Korthex-AGB bleiben unberührt.