Allgemeine Geschäfts­bedingungen für Datenschutz
Informationssicherheit und KI Governance

Diese AGB gelten für alle Verträge, Angebote und Leistungen der Zink 75 GmbH in den Bereichen Datenschutz, Informationssicherheit und KI-Governance, soweit die Parteien ihre Einbeziehung vereinbaren. Sie gelten für künftige Einzelaufträge nur, wenn auf ihre Geltung erneut oder im Rahmen einer wirksamen Rahmenvereinbarung hingewiesen wird.

Bei Widersprüchen gilt folgende Rangfolge: individuelle Abreden, Angebot oder Auftragsbestätigung, besonderer Dienstleistungsvertrag einschließlich Anlagen und Aktivierungsblättern, eine erforderliche Vereinbarung zur Auftragsverarbeitung und anschließend diese AGB. Speziellere Regelungen gehen allgemeineren Regelungen vor. Die gesetzlich geschützte Unabhängigkeit eines Datenschutzbeauftragten bleibt in jedem Fall unberührt.

Abweichende Geschäftsbedingungen des Auftraggebers gelten nur, wenn der Auftragnehmer ihrer Geltung ausdrücklich mindestens in Textform zustimmt. Die vorbehaltlose Leistungserbringung oder Entgegennahme einer Leistung bedeutet keine Zustimmung zu fremden Geschäftsbedingungen.

Neue Fassungen dieser AGB gelten für bestehende Verträge nur nach Vereinbarung der Parteien oder aufgrund einer im Einzelvertrag wirksam vereinbarten Änderungsregelung. Schweigen des Auftraggebers gilt nicht als Zustimmung. Individuelle Abreden haben unabhängig von ihrer Form Vorrang gemäß § 305b BGB.

Angebote des Auftragnehmers sind freibleibend, soweit sie nicht ausdrücklich als verbindlich bezeichnet sind. Eine Bestellung des Auftraggebers kann der Auftragnehmer innerhalb von vierzehn Kalendertagen durch Auftragsbestätigung in Textform oder durch Beginn der vereinbarten Leistung annehmen.

Leistungsbeschreibungen, Präsentationen, Webseiteninhalte und sonstige vorvertragliche Angaben beschreiben den vorgesehenen Leistungsumfang. Eine Garantie, Beschaffenheitsvereinbarung oder Zusicherung liegt nur vor, wenn sie ausdrücklich als solche bezeichnet und mindestens in Textform vereinbart ist.

Der Auftraggeber informiert den Auftragnehmer vor Vertragsschluss über besondere gesetzliche, regulatorische, technische oder organisatorische Anforderungen, die für seinen Betrieb oder seine Branche gelten und für die Leistung erheblich sind.

Die Leistungen sind Dienstleistungen im Sinne der §§ 611 ff. BGB, soweit nicht ausdrücklich ein bestimmter werkvertraglicher Erfolg vereinbart wird. Der Auftragnehmer schuldet fachgerechtes Tätigwerden, nicht jedoch einen bestimmten wirtschaftlichen, technischen, rechtlichen oder behördlichen Erfolg.

Inhalt und Umfang bestimmen sich nach dem jeweiligen Einzelvertrag. Prüfungen, Empfehlungen, Richtlinien, Berichte und sonstige Arbeitsergebnisse beziehen sich auf die vom Auftraggeber mitgeteilten Informationen, den vereinbarten Prüfungsumfang und den bei Erstellung erkennbaren Sach- und Rechtsstand.

Ändern sich Rechtslage, Behördenpraxis, Systeme, Verarbeitungen, Einsatzorte, Zwecke, Risiken oder sonstige maßgebliche Umstände, informiert der Auftraggeber den Auftragnehmer unverzüglich. Eine erneute Prüfung, Aktualisierung oder Erweiterung ist nur geschuldet, soweit sie vom vereinbarten Leistungsumfang umfasst oder gesondert beauftragt ist.

Leistungen außerhalb des vereinbarten Fachgebiets, insbesondere technische Entwicklung, Implementierung, Penetrationstests, Zertifizierung, Konformitätsbewertung, Tätigkeiten einer Prüfstelle oder notifizierten Stelle sowie gerichtliche oder behördliche Vertretung, sind nur bei ausdrücklicher Vereinbarung geschuldet.

Der Auftraggeber bleibt für seine gesetzlichen und vertraglichen Pflichten, seine Organisation und seine Entscheidungen verantwortlich. Beratung und Dokumentation durch den Auftragnehmer übertragen keine Organ-, Leitungs-, Kontroll- oder Vertretungsbefugnisse.

Im Datenschutz bleibt der Auftraggeber Verantwortlicher oder Auftragsverarbeiter im Sinne der DSGVO. Er entscheidet insbesondere über Zwecke und Mittel der Verarbeitung, Rechtsgrundlagen, Betroffenenrechte sowie technische und organisatorische Maßnahmen. Die Benennung eines Datenschutzbeauftragten überträgt diese Verantwortung nicht.

Ein benannter Datenschutzbeauftragter erfüllt seine gesetzlichen Aufgaben nach Art. 37 bis 39 DSGVO fachlich unabhängig und weisungsfrei. Weisungen zu Inhalt, Priorisierung oder Ergebnis seiner gesetzlichen Prüfungen und Empfehlungen sind ausgeschlossen. Dienstvertrag und Benennung sind rechtlich getrennt zu beurteilen.

Bei Informations­sicherheits­leistungen bleiben Einstufung, Risikomanagement, Umsetzung, Registrierung und Meldungen nach dem BSIG oder anderen einschlägigen Vorschriften Aufgabe des Auftraggebers, soweit der Einzelvertrag keine ausdrücklich bezeichnete Unterstützungsleistung vorsieht.

Bei KI-Leistungen bestimmt der Auftraggeber eigenverantwortlich seine Rolle, den Zweck und den Einsatz eines KI-Systems. Pflichten als Anbieter, Betreiber, Einführer, Händler oder sonstiger Akteur nach der KI-Verordnung verbleiben beim jeweils gesetzlich Verpflichteten. Leistungen für Hochrisiko-KI-Systeme entstehen nur nach der im besonderen Vertragsanhang vorgesehenen Aktivierung.

Rechtsbezogene Hinweise werden ausschließlich als zulässige Nebenleistung im sachlichen Zusammenhang mit der beauftragten Datenschutz-, Informationssicherheits- oder KI-Organisationsberatung gemäß § 5 RDG erbracht. Eine umfassende Rechtsberatung oder Vertretung durch einen Rechtsanwalt ist nicht geschuldet.

Leistungen werden online, telefonisch oder vor Ort erbracht, wie im Einzelvertrag vereinbart. Der Auftragnehmer gestaltet Zeit, Ort und Art der Leistungserbringung eigenverantwortlich unter Berücksichtigung abgestimmter Termine, gesetzlicher Unabhängigkeits­anforderungen und berechtigter betrieblicher Belange des Auftraggebers.

Erreichbarkeit besteht während der üblichen Geschäftszeiten nach Verfügbarkeit. Reaktionszeiten, feste Servicezeiten, Rufbereitschaft oder Leistungen an Wochenenden und Feiertagen sind nur geschuldet, wenn sie ausdrücklich vereinbart sind. Eine vereinbarte Erstreaktionszeit ist nicht mit einer abschließenden Bearbeitungsfrist gleichzusetzen.

Gesetzliche Melde-, Anzeige-, Auskunfts- und Reaktionsfristen des Auftraggebers laufen unabhängig von Erreichbarkeit oder Tätigkeit des Auftragnehmers. Der Auftraggeber kennzeichnet fristgebundene und dringende Vorgänge eindeutig und übermittelt alle erforderlichen Informationen unverzüglich über den vereinbarten Kommunikationsweg.

Termine und Bearbeitungsfristen verlängern sich angemessen, wenn erforderliche Mitwirkung, Freigaben oder Informationen fehlen oder wenn Ereignisse außerhalb des Einflussbereichs des Auftragnehmers die Leistung verzögern. Zwingende gesetzliche Fristen des Auftraggebers werden dadurch nicht verändert.

Der Auftragnehmer darf fachkundige und zur Vertraulichkeit verpflichtete Mitarbeiter oder Unterauftragnehmer einsetzen. Die gesetzliche Stellung einer benannten natürlichen Person und ausdrücklich vereinbarte persönliche Leistungspflichten bleiben unberührt. Soweit eine Auftragsverarbeitung entsteht, gelten zusätzlich Art. 28 DSGVO und die hierzu geschlossene Vereinbarung.

Der Auftraggeber benennt fachlich geeignete und entscheidungsbefugte Ansprechpartner, stellt vollständige, richtige und aktuelle Informationen und Unterlagen bereit und ermöglicht die erforderlichen Zugänge zu Systemen, Verarbeitungsvorgängen, Räumen und zuständigen Personen.

Der Auftraggeber prüft Empfehlungen und Arbeitsergebnisse, trifft die erforderlichen Entscheidungen und dokumentiert deren Umsetzung oder begründete Abweichungen. Er informiert den Auftragnehmer unverzüglich über wesentliche Änderungen, Vorfälle, Beschwerden, Behördenkontakte und neue oder geänderte Systeme und Verarbeitungen.

Der Auftraggeber darf nur solche Daten, Unterlagen, Programme und Zugänge bereitstellen, zu deren Übermittlung und Nutzung er berechtigt ist. Besondere Kategorien personenbezogener Daten, Berufsgeheimnisse und sonstige besonders schutzbedürftige Informationen werden nur übermittelt, soweit dies erforderlich, rechtlich zulässig und angemessen geschützt ist.

Zugangsdaten, Konten und Berechtigungen sind vom Auftraggeber vor unbefugter Nutzung zu schützen. Ausscheidende oder nicht mehr berechtigte Personen sind unverzüglich zu sperren. Der Auftraggeber stellt sicher, dass seine Mitarbeiter und sonstigen Nutzer die vereinbarten Sicherheits- und Nutzungsregeln einhalten.

Fehlende, unrichtige oder verspätete Mitwirkung kann die Aussagekraft von Prüfungen und die Leistungserbringung beeinträchtigen. Hierdurch erforderliche Zusatzleistungen werden nur nach vorheriger Vereinbarung erbracht und vergütet. Gesetzliche Rechte des Auftragnehmers bleiben unberührt.

Die Parteien kommunizieren über die vereinbarten Ansprechpartner und Kommunikationswege. Erklärungen per E-Mail erfüllen die Textform, wenn die Person des Erklärenden erkennbar ist und die Erklärung auf einem dauerhaften Datenträger gespeichert werden kann.

Der Auftraggeber teilt mindestens in Textform mit, welche Personen kostenpflichtige Zusatzleistungen beauftragen dürfen. Die Einrichtung als Administrator, Moderator oder Nutzer einer Plattform begründet allein keine Vollmacht zur Bestellung zusätzlicher Leistungen.

Elektronische Kommunikation kann trotz angemessener Schutzmaßnahmen Sicherheitsrisiken aufweisen. Die Parteien verwenden für besonders schutzbedürftige Inhalte die vereinbarten sicheren Übermittlungswege. Entscheidet sich der Auftraggeber entgegen einer konkreten Sicherheitsempfehlung für einen weniger geschützten Übermittlungsweg, trägt er die daraus resultierenden Risiken mit, soweit ihn ein Verschulden trifft.

Für Online-Plattformen gelten vereinbarte Nutzerzahlen und Nutzungszwecke. Wartungen, Sicherheitsmaßnahmen und Störungen von Telekommunikations- oder Drittanbieterdiensten können die Verfügbarkeit vorübergehend einschränken. Eine bestimmte Verfügbarkeit ist nur geschuldet, wenn sie ausdrücklich vereinbart ist. Gesetzliche Fristen dürfen nicht allein über eine Plattform überwacht werden.

Entwürfe sind vom Auftraggeber zeitnah auf tatsächliche Richtigkeit, Vollständigkeit und betriebliche Umsetzbarkeit zu prüfen. Ohne ausdrückliche Freigabe oder eindeutige Kennzeichnung als finale Fassung gelten Entwürfe nicht allein durch Zeitablauf als genehmigt.

Änderungen des Leistungsumfangs und Zusatzleistungen bedürfen vor Leistungsbeginn einer Vereinbarung mindestens in Textform. Dabei werden Leistungsgegenstand, Vergütung, Termine, erforderliche Mitwirkung und gegebenenfalls Reisezeit oder Drittleistungen festgelegt.

Der Auftragnehmer weist den Auftraggeber darauf hin, wenn eine Anfrage voraussichtlich nicht von der Pauschale oder einem vereinbarten Kontingent umfasst ist. Ohne Vereinbarung besteht keine Pflicht zur Aufnahme der Zusatzleistung. Zwingende gesetzliche Pflichten und Fristen des Auftraggebers bleiben unberührt.

Die Parteien behandeln alle ihnen im Zusammenhang mit dem Vertrag bekannt werdenden nicht offenkundigen geschäftlichen, technischen, organisatorischen und personenbezogenen Informationen vertraulich und verwenden sie nur für Vertragsdurchführung und gesetzlich zulässige Zwecke.

Die Vertraulichkeitspflicht gilt zeitlich unbefristet, solange ein berechtigtes Geheimhaltungsinteresse besteht. Gesetzliche Offenlegungs-, Auskunfts-, Melde- und Kooperationspflichten sowie die unabhängige Kommunikation eines Datenschutzbeauftragten mit Aufsichtsbehörden und betroffenen Personen bleiben unberührt.

Die Parteien treffen angemessene Geheimhaltungsmaßnahmen im Sinne des Geschäftsgeheimnisgesetzes. Der Auftragnehmer verpflichtet eingesetzte Personen entsprechend. Soweit § 203 StGB auf den Auftraggeber, dessen Berufsgeheimnisträger oder mitwirkende Personen anwendbar ist, werden erforderliche Verpflichtungen und Zugriffsbegrenzungen vor Offenlegung der Geheimnisse vereinbart.

Jede Partei verarbeitet personenbezogene Daten in eigener Verantwortung, soweit keine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit vereinbart ist. Der Auftraggeber stellt sicher, dass für die Bereitstellung personenbezogener Daten eine Rechtsgrundlage besteht und Informationspflichten erfüllt sind.

Soweit der Auftragnehmer personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeitet, schließen die Parteien vor Beginn eine Vereinbarung nach Art. 28 DSGVO. Die Tätigkeit als benannter Datenschutzbeauftragter begründet für sich allein keine Auftragsverarbeitung.

Die Parteien beachten Datenminimierung und angemessene technische und organisatorische Maßnahmen. Der Auftraggeber übermittelt nur die für die jeweilige Leistung erforderlichen personenbezogenen Daten und nutzt die vereinbarten geschützten Übermittlungswege.

Nach Vertragsende gibt der Auftragnehmer überlassene Unterlagen nach Vereinbarung zurück oder löscht sie, soweit keine gesetzlichen Aufbewahrungs-, Nachweis- oder Verteidigungsinteressen entgegenstehen. In diesem Fall wird die weitere Verarbeitung auf den jeweiligen Zweck beschränkt.

Der Auftragnehmer darf KI-gestützte Werkzeuge zur Leistungserbringung einsetzen, wenn Vertraulichkeit, Datenschutz und Informationssicherheit angemessen gewährleistet sind und der Einsatz mit dem vereinbarten Leistungszweck vereinbar ist.

Kundenspezifische Inhalte, personenbezogene Daten oder Geschäftsgeheimnisse dürfen ohne vorherige Freigabe des Auftraggebers weder zum Training allgemein verfügbarer Modelle verwendet noch in nicht freigegebene öffentliche KI-Dienste eingegeben werden. Erforderliche Vereinbarungen zur Auftragsverarbeitung und Drittlandübermittlung bleiben unberührt.

KI-gestützte Ergebnisse werden im Rahmen des vereinbarten Leistungsumfangs menschlich plausibilisiert. Der Auftragnehmer bleibt für seine vertragliche Leistung verantwortlich, übernimmt jedoch keine Garantie für die Fehlerfreiheit von KI-Systemen oder deren fortdauernde Verfügbarkeit und Rechtskonformität.

Der Auftraggeber prüft vor Nutzung von Arbeitsergebnissen in eigenen KI-Systemen oder automatisierten Entscheidungsprozessen deren Eignung für den konkreten Zweck. Besondere Pflichten nach der KI-Verordnung, der DSGVO und dem anwendbaren Fachrecht bleiben beim jeweils Verpflichteten.

Beratung zur Informationssicherheit unterstützt den Auftraggeber bei Organisation, Risikoanalyse und Maßnahmenplanung. Die operative Umsetzung, der sichere Betrieb, die Datensicherung und die fortlaufende Überwachung bleiben Aufgabe des Auftraggebers, soweit nichts anderes ausdrücklich vereinbart ist.

Der Auftraggeber prüft eigenverantwortlich, ob er als besonders wichtige oder wichtige Einrichtung, Betreiber kritischer Anlagen oder aufgrund sonstiger Vorschriften besonderen Pflichten unterliegt. Leistungen zur Umsetzung des BSIG, sektorspezifischer Regeln oder der Verordnung über die digitale operationale Resilienz im Finanzsektor sind nur im ausdrücklich vereinbarten Umfang geschuldet.

Sicherheitsvorfälle, erhebliche Cyberbedrohungen, Schwachstellen und Beinahevorfälle mit möglicher Bedeutung für die Leistung meldet der Auftraggeber unverzüglich. Gesetzliche Melde- und Registrierungsfristen bleiben Verantwortung des Auftraggebers, soweit der Auftragnehmer nicht ausdrücklich mit einer bestimmten Unterstützungsleistung beauftragt ist.

Technische Prüfungen, Schwachstellenscans und Penetrationstests werden nur nach ausdrücklicher Beauftragung, dokumentierter Berechtigung und Festlegung des Testumfangs durchgeführt. Eine Beratung oder Prüfung gewährleistet keine vollständige Abwesenheit von Sicherheitslücken und ersetzt keine vorgeschriebene Zertifizierung oder behördliche Prüfung.

Vergütung, Abrechnungsmodus und gegebenenfalls maßgebliche Nutzer-, Mitarbeiter- oder Systemzahlen ergeben sich aus dem Einzelvertrag. Sämtliche Preise verstehen sich zuzüglich gesetzlicher Umsatzsteuer, soweit diese anfällt.

Wiederkehrende Vergütungen werden monatlich im Voraus abgerechnet, soweit der Einzelvertrag nichts anderes bestimmt. Rechnungen sind innerhalb von zehn Kalendertagen nach Zugang ohne Abzug fällig. Die Zahlung erfolgt per SEPA-Lastschrift aufgrund eines gesonderten Mandats oder per Überweisung.

Zusatzleistungen werden nach der vereinbarten Pauschale, dem vereinbarten Zeitaufwand oder dem angenommenen Angebot abgerechnet. Eine Rundung auf volle Stunden findet nur statt, wenn sie im Einzelvertrag oder Angebot ausdrücklich vereinbart ist.

Preisänderungen, geänderte Bemessungsgrundlagen und zusätzliche Nutzer, Mitarbeiter, Systeme oder Standorte werden nur nach Maßgabe des Einzelvertrags oder einer gesonderten Vereinbarung berücksichtigt. Gesetzliche Verzugsfolgen bleiben unberührt.

Erforderliche Aufwendungen und Reisekosten werden nur erstattet, wenn sie nach dem Einzelvertrag umfasst oder vorab mindestens in Textform freigegeben sind. Bei ausdrücklich vereinbarten Vor-Ort-Terminen kann der Einzelvertrag bestimmen, dass die Terminzusage zugleich die Fahrtkosten freigibt.

Kilometersätze, Reisezeiten, Übernachtungen und sonstige Reisekosten richten sich nach dem Einzelvertrag oder Angebot. Gesetzliche Umsatzsteuer wird hinzugerechnet, soweit sie anfällt.

Externe Sachverständige, Rechtsanwälte, Prüfer, Zertifizierungsstellen, notifizierte Stellen und sonstige Dritte werden vom Auftraggeber beauftragt und vergütet, soweit die Parteien nicht ausdrücklich etwas anderes vereinbaren. Der Auftragnehmer darf nach vorheriger Freigabe koordinierend mitwirken.

Nach vollständiger Zahlung erhält der Auftraggeber an individuell für ihn erstellten Richtlinien, Berichten und Dokumentationshilfen ein einfaches, zeitlich unbeschränktes Recht zur internen Nutzung und Bearbeitung für eigene betriebliche Zwecke.

Vorbestehende Methoden, Muster, Checklisten, Schulungsunterlagen, Plattforminhalte, Software und allgemeines Know-how verbleiben beim Auftragnehmer oder jeweiligen Rechteinhaber. Sie dürfen nur im vereinbarten Nutzerkreis verwendet und ohne vorherige Zustimmung nicht veröffentlicht, weiterverkauft oder Dritten als eigene Beratungs-, Prüfungs- oder Schulungsleistung zugänglich gemacht werden.

Der Auftraggeber versichert, dass er zur vertragsgemäßen Nutzung der von ihm bereitgestellten Inhalte berechtigt ist. Rechte Dritter, gesetzliche Nutzungsrechte sowie Lizenzbedingungen von Drittsoftware und frei lizenzierten Bestandteilen bleiben unberührt.

Der Auftragnehmer haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei schuldhafter Verletzung von Leben, Körper oder Gesundheit, nach zwingenden gesetzlichen Haftungsvorschriften sowie im Umfang einer ausdrücklich übernommenen Garantie.

Bei einfach fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet der Auftragnehmer nur auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung die andere Partei regelmäßig vertrauen darf. Diese Haftung ist je Schadensereignis und insgesamt je Vertragsjahr auf 25.000,00 Euro begrenzt, soweit der Einzelvertrag keine andere Haftungshöchstgrenze bestimmt.

Mehrere Schäden aus derselben Ursache gelten als ein Schadensereignis. Schäden aus miteinander verbundenen Datenschutz-, Informationssicherheits- und KI-Modulen, die auf demselben Lebenssachverhalt beruhen, werden für die vereinbarte Haftungshöchstgrenze als ein Schadensereignis behandelt. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen.

Die Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und Erfüllungsgehilfen des Auftragnehmers. Sie beschränken keine zwingenden Ansprüche betroffener Personen, Behörden oder sonstiger Dritter gegen die jeweils gesetzlich verantwortliche Partei. Für den internen Ausgleich zwischen den Parteien gelten die vorstehenden Regelungen, soweit rechtlich zulässig.

Mitverschulden, insbesondere unvollständige oder verspätete Informationen, unterlassene Datensicherungen, nicht umgesetzte Sicherheitsmaßnahmen oder eine Nutzung von Arbeitsergebnissen außerhalb des vereinbarten Zwecks, wird nach den gesetzlichen Vorschriften berücksichtigt.

Der Auftragnehmer unterhält während der Vertragslaufzeit eine angemessene Berufs- oder Vermögens­schaden­haftpflicht­versicherung und weist deren Bestehen auf Verlangen nach.

Keine Partei haftet für Verzögerungen oder Ausfälle, die auf einem außerhalb ihres zumutbaren Einflussbereichs liegenden und trotz angemessener Vorsorge nicht vermeidbaren Ereignis beruhen. Hierzu können insbesondere Naturereignisse, hoheitliche Maßnahmen, Arbeitskämpfe, erhebliche Ausfälle von Energie- oder Kommunikationsnetzen und schwerwiegende Cyberangriffe zählen.

Die betroffene Partei informiert die andere Partei unverzüglich über Ursache, voraussichtliche Dauer und zumutbare Abhilfemaßnahmen. Leistungspflichten ruhen im betroffenen Umfang; Termine verlängern sich angemessen. Gesetzliche Pflichten des Auftraggebers und vereinbarte Notfallregelungen bleiben unberührt.

Dauert die wesentliche Leistungsbehinderung länger als sechzig Kalendertage, kann jede Partei den betroffenen Leistungsteil aus wichtigem Grund in Textform beenden. Bereits erbrachte Leistungen sind zu vergüten.

Beginn, Mindestlaufzeit und ordentliche Kündigungsfristen ergeben sich ausschließlich aus dem Einzelvertrag. Fehlt dort eine Regelung, gilt der Vertrag auf unbestimmte Zeit und kann mit einer Frist von drei Monaten zum Monatsende gekündigt werden.

Kündigungen bedürfen der Textform, soweit keine strengere gesetzliche oder wirksam vereinbarte Form gilt. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Soweit der wichtige Grund behebbar ist, ist grundsätzlich zuvor eine angemessene Frist zur Abhilfe zu setzen oder abzumahnen.

Kündigung eines Dienstleistungsvertrags und Beendigung der Benennung als Datenschutzbeauftragter sind rechtlich getrennt zu beurteilen. Zwingende Schutzvorschriften, Meldepflichten, Veröffentlichungen und eine gegebenenfalls erforderliche nahtlose Nachbenennung bleiben unberührt.

Mit Vertragsende enden Zugangs- und Nutzungsrechte an Plattformen und laufenden Diensten, soweit der Einzelvertrag nichts anderes vorsieht. Fortgeltende Vertraulichkeits-, Aufbewahrungs-, Lösch-, Vergütungs-, Nutzungsrechts- und Haftungsregelungen bleiben bestehen.

Änderungen und Ergänzungen sollen zu Nachweiszwecken in Textform erfolgen. Individuelle Abreden haben unabhängig von ihrer Form Vorrang. Gesetzliche Formvorschriften bleiben unberührt.

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers ausschließlicher Gerichtsstand.

Ist eine Bestimmung ganz oder teilweise unwirksam oder undurchführbar, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen oder undurchführbaren Bestimmung treten die gesetzlichen Vorschriften. Eine ergänzende Vereinbarung ist nur zu treffen, wenn sonst eine regelungsbedürftige Lücke verbleibt.