Verträge, Datenschutz und technische UnterlagenContracts, data protection and technical documents

Allgemeine Geschäftsbedingungen für NEXIS 4 - Software as a Service Solution

(die "NEXIS 4 Plattform AGB")

1. Allgemeines

1.1 Diese NEXIS 4 Plattform AGB der Nexis GmbH, Rudolf-Vogt-Straße 6, 93053 Regensburg (im Folgenden "Nexis") gelten für alle Verträge und Kunden hinsichtlich der Nutzung der SaaS Plattform NEXIS 4 für Identitätsmanagement, Berechtigungsanalyse, Rollenverwaltung und Compliance (die "Nexis Plattform") und damit im Zusammenhang stehende Leistungen.

1.2 Diese NEXIS 4 Plattform AGB finden ausschließlich bei solchen Verträgen Anwendung, die Nexis mit Unternehmen, Unternehmern, Kaufleuten, juristischen Personen des öffentlichen Rechts oder öffentlichen Sondervermögen schließt. Nexis bietet seine Leistungen ausdrücklich nicht gegenüber Verbrauchern im Sinne des § 13 BGB an.

1.3 Allgemeine Geschäftsbedingungen des Kunden werden nicht Bestandteil des Vertragsverhältnisses, es sei denn, Nexis stimmt deren Einbeziehung ausdrücklich zu. Dieses Zustimmungsbedürfnis gilt auch dann, wenn Nexis in Kenntnis der Allgemeinen Geschäftsbedingungen des Kunden die Leistungen vorbehaltlos ausführt.

1.4 Nexis ist berechtigt, die NEXIS 4 Plattform AGB im Laufe des Vertragsverhältnisses anzupassen. Eine solche Anpassung erfolgt durch die Übersendung neuer NEXIS 4 Plattform AGB in Textform an den Kunden nebst einem Begleitschreiben, dass auf die zukünftig geltenden NEXIS 4 Plattform AGB, den Zeitpunkt deren Geltung und das Widerspruchsrecht des Kunden ausdrücklich hinweist. Die durch Nexis angepassten NEXIS 4 Plattform AGB werden mit Ablauf einer Frist von 21 Kalendertagen, beginnend mit Zugang der angepassten NEXIS 4 Plattform AGB nebst Begleitschreiben beim Kunden, wirksam und ersetzen die bis zu deren Inkrafttreten geltenden NEXIS 4 Plattform AGB insgesamt. Der Kunde hat das Recht, der Einbeziehung und Geltung neuer, durch Nexis angepasster NEXIS 4 Plattform AGB innerhalb einer Frist von 14 Kalendertagen, beginnend mit Zugang der anpassten NEXIS 4 Plattform AGB und dem entsprechenden Begleitschreiben beim Kunden, zu widersprechen. Widerspricht der Kunde der Einbeziehung der angepassten NEXIS 4 Plattform AGB fristgemäß, so werden diese nicht Vertragsinhalt. Geht Nexis innerhalb der Widerspruchsfrist kein Widerspruch durch den Kunden zu und nutzt dieser die von Nexis bereitgestellten Leistungen weiterhin, gilt die Zustimmung des Kunden zur Einbeziehung der durch Nexis angepassten NEXIS 4 Plattform AGB als erteilt.

2. Vertragsschluss

2.1 Vor Abschluss des Vertrags lässt Nexis dem Kunden ein zeitlich beschränktes, verbindliches Angebot samt dazugehörigem Leistungsschein zukommen (zusammen, das "Angebot").

2.2 Im Angebot individuell vereinbarte Regelungen gehen den Regelungen in den NEXIS 4 Plattform AGB vor. Bei einem Konflikt zwischen den Regelungen in den AGB und dem Service Level Agreement ("SLA") gehen die Regelungen des SLAs vor.

2.3 Der Vertrag zwischen Nexis und dem Kunden über die im Angebot beschriebenen Leistungen kommt durch die Annahme des Angebots durch den Kunden zustande. Die Annahme kann entweder schriftlich oder elektronisch (soweit technisch verfügbar per elektronischer Unterschrift oder per E-Mail) erfolgen.

3. Leistungsgegenstand

Nach Maßgabe dieser NEXIS 4 Plattform AGB bietet Nexis dem Kunden folgende Leistungen an, wobei sich ergänzende Details hinsichtlich des Leistungs- und Funktionsumfangs aus dem jeweiligen Angebot ergeben:

3.1 Zugriff und Nutzung der Nexis Plattform. Hinsichtlich der Nutzung der Nexis Plattform gelten insbesondere ergänzend die Bedingungen aus Ziffer 4. Darüber hinaus erbringt Nexis im Rahmen der Bereitstellung der Nexis Plattform allgemeine Supportleistungen ("Standard Support Services"), welche in Ziffer 5 beschrieben sind.

3.2 Auf Wunsch des Kunden und gemäß gesonderter Beauftragung erbringt Nexis zudem erweiterte Supportleistungen im Zusammenhang mit der Nutzung der Nexis Plattform ("Premium Support Services", die Standard Support Services und die Premium Support Services zusammen die "Support Services"). Hinsichtlich der Erbringung der Premium Support Services gelten insbesondere die in Ziffer 5 beschriebenen Bedingungen.

3.3 Zusätzlich erbringt Nexis auf Wunsch des Kunden und gemäß gesonderter Beauftragung sonstige Leistungen und Services im Zusammenhang mit der Nexis Plattform, wie etwa das initiale Setup der Nexis Plattform beim Kunden; Consultingleistungen oder Anpassung der Funktionalität der Nexis Plattform auf die Bedürfnisse des Kunden (die "Professional Services"). Hinsichtlich der Erbringung von Professional Services gelten insbesondere ergänzend die Bedingungen aus Ziffer 6.

4. Besondere Bedingungen für die Nutzung der Nexis Plattform

4.1 Allgemein

4.1.1 Der Zugang zur Nexis Plattform und sämtliche darin enthaltenen Informationen sind, abgesehen von Daten von Kunden, das geistige Eigentum von oder lizenziert an Nexis. Der Umfang der Rechteeinräumung an der Nexis Plattform gegenüber dem Kunden ergibt sich aus Ziffer 4.2

4.1.2 Vertragsgegenstand ist ausdrücklich nicht der Quellcode der der Nexis Plattform zugrundeliegenden Software und die Überlassung des Quellcodes zur Nutzung durch den Kunden.

4.1.3 Nexis ist berechtigt, die Nexis Plattform im Rahmen von Wartung, Support und regulärer Weiterentwicklung mittels Patches, Updates, Upgrades und neuen Releases zu ändern und/oder anzupassen, sofern und soweit dies technisch oder aufgrund geänderter, rechtlicher Rahmenbedingungen oder zur Schließung von Sicherheitslücken notwendig ist und/oder die Software funktional und/oder technisch verbessert. Solche Änderungen und Anpassungen sind in jedem Falle nur dann zulässig, wenn sie dem Kunden unter Berücksichtigung seiner Interessen zumutbar sind. Für solche Weiterentwicklungen der Nexis Plattform gilt das in Ziffer 4.2 geregelte Nutzungsrecht entsprechend.

4.1.4 Der Kunde hat keinen Anspruch auf Anpassung der Nexis Plattform wegen nicht im Lizenzumfang enthaltener, ihn treffender gesetzlicher Änderungen. In einem derartigen Fall wird die Anpassung nur bei ausdrücklicher Beauftragung im Rahmen von Professional Services vorgenommen.

4.1.5 Die ordnungsgemäße Nutzbarkeit der Nexis Plattform ist nur möglich, sofern der Kunde die aktuellen Systemvoraussetzungen vorhält, wie zum Beispiel die Verwendung aktueller Browser oder für den Betrieb des Connectivity Proxy auf den Systemen des Kunden. Die aktuellen Systemvoraussetzungen werden dem Kunden auf Nachfrage hin von Nexis mitgeteilt, sind im Leistungsschein enthalten oder auf der Webseite von Nexis veröffentlicht. Es obliegt dem Kunden, sich selbstständig darüber zu informieren.

4.1.6 Nexis ist berechtigt aber nicht verpflichtet, kundenspezifische Anpassungen hinsichtlich der Standardfunktionalität in die Nexis Plattform aufzunehmen. Solche etwaigen Anpassungen sind Gegenstand der Professional Services.

4.1.7 Nexis weist hiermit darauf hin, dass durch den vertragsgemäßen Einsatz der Nexis Plattform eine Nachlizenzierung von Drittsoftware notwendig werden kann. Hierfür anfallende Mehrkosten trägt der Kunde.

4.1.8 Sofern dem Kunden über die Nexis Plattform (bzw. einzeln hinzubuchbare Module) bestimmte Vorlagen (z.B. Templates oder Best-Practice-Empfehlungen) zur Verfügung gestellt werden, stellen diese lediglich eine unverbindliche Empfehlung und keine Rechtsberatung dar. Entsprechende Vorlagen sind vom Kunden daher selbst juristisch zu prüfen.

4.2 Lizenzbedingungen

4.2.1 Nexis räumt dem Kunden ein einfaches, widerrufliches, nicht übertragbares und nicht unterlizenzierbares Recht ein, die Nexis Plattform für eigene Geschäftszwecke im Zusammenhang mit dem Vertragsgegenstand zu nutzen. Dieses Nutzungsrecht ist zeitlich auf die Dauer des Vertrags beschränkt und bezieht sich ausschließlich auf den während der Vertragslaufzeit von Nexis jeweils bereitgestellten aktuellen Stand und Umfang der Nexis Plattform. Der Kunde erhält keine darüberhinausgehenden Rechte, beispielsweise an den der Nexis Plattform zugrundeliegenden Softwareapplikationen oder Betriebssoftware. Mit Ausnahme der in dieser Ziffer 4.2 getroffenen Regelungen oder sofern nicht anderweitig schriftlich vereinbart, darf der Kunde die Nexis Plattform nur (i) für seine eigenen geschäftlichen Zwecke, (ii) durch eigene Mitarbeiter und (iii) für die im Angebot angegebene maximale Anzahl von Lizenzen und Lizenzierungsvariante (siehe Ziffer 4.2.3) nutzen.

4.2.2 Die Nexis Plattform wird mit verschiedenen Modulen und jeweils unterschiedlichem Funktionsumfang angeboten. Im Angebot ist angegeben, welche Module der Nexis Plattform vom Kunden lizenziert sind. Zudem ergibt sich hieraus eine Übersicht der Module und deren Funktionsumfang.

4.2.3 Die Lizenzierung der Nexis Plattform erfolgt gemäß einer der beiden folgenden Varianten.

a) Auf der Basis der Anzahl der importierten digitalen Identitäten von natürlichen Personen: Es wird jede Entität, die als "Employee" bzw. "Mitarbeiter" in der Nexis Plattform verwaltet wird, und zusätzlich jede Entität mit einem Zugang zur Nexis Plattform, die nicht als "Employee" bzw. "Mitarbeiter" in der Nexis Plattform verwaltet wird, ab dem Tag ihrer Anlage in der Nexis Plattform als genutzte Lizenz gezählt. Besitzt eine natürliche Person mehrere digitale Identitäten oder Zugänge, so werden diese mehrfach gezählt.

b) Auf der Basis der Anzahl der natürlichen Personen, für die eine oder mehrere digitale Identitäten in der Nexis Plattform verwaltet werden oder für die ein Zugang zur Nexis Plattform besteht: Es wird jede natürliche Person, für die mindestens eine digitale Identität verwaltet wird oder für die Zugang zur Nexis Plattform besteht, ab dem Tag ihrer Anlage in der Nexis Plattform als genutzte Lizenz gezählt. Besitzt eine natürliche Person mehrere digitale Identitäten oder Zugänge, so werden diese nicht mehrfach gezählt. Sonderbenutzer (z.B. technische digitale Identitäten) werden auch als genutzte Lizenz gezählt, wenn sie als "Employee" bzw. "Mitarbeiter" importiert werden.

4.2.4 Der Kunde ist berechtigt, Mitarbeitern von verbundenen Unternehmen im Sinne von § 15 AktG im Rahmen des vereinbarten Lizenzmodells (Ziffer 4.2.3) Zugang zur Nexis Plattform einzuräumen, sofern dies im Angebot vereinbart und das verbundene Unternehmen konkret benannt wurde. Lediglich klarstellend halten die Parteien fest, dass auch das Nutzerverhalten von Mitarbeitern verbundener Unternehmen dem Kunden, insbesondere mit Hinblick auf eine etwaige Haftung des Kunden, zugerechnet werden.

4.2.5 Andere als die in dieser Ziffer 4.2 beschriebene Nutzungsarten sind nicht vom Nutzungsrecht umfasst. Insbesondere darf die der Zugang zur Nexis Plattform nicht gegenüber Dritten zugänglich gemacht werden.

4.2.6 Jede Nutzung der Nexis Plattform durch den Kunden über das vereinbarte Maß hinaus, insbesondere mit mehr als im Angebot angegebenen Lizenzen, gilt als vertragswidrige Handlung. In diesem Fall ist der Kunde verpflichtet, die Übernutzung unverzüglich mitzuteilen und mit Nexis eine Vereinbarung zur Nachlizenzierung (mit angemessener Vergütung) auf Basis der gültigen Preislisten von Nexis zu treffen. Eventuelle urheberrechtliche Ansprüche von Nexis bleiben hiervon unberührt. Diese Regelung gilt insbesondere auch, wenn der Zugang zur Nexis Plattform von einem Partner von Nexis an den Kunden vermittelt wurde.

4.3 Verfügbarkeit, Übergabepunkt

4.3.1 Nexis schuldet die Bereitstellung des Zugangs zur Nexis Plattform am Übergabepunkt. Übergabepunkt ist die Datenschnittstelle des Rechenzentrums von Nexis bzw. des von Nexis beauftragten Dienstleisters zur Bereitstellung eines Rechenzentrums (z.B. AWS), auf dem die Nexis Plattform betrieben wird.

4.3.2 Die Anbindung des Kunden an das Internet ist nicht Gegenstand des Vertrags, sondern obliegt dem Verantwortungsbereich des Kunden.

4.3.3 Die Verantwortlichkeit von Nexis für die Verfügbarkeit der Nexis Plattform endet am Übergabepunkt. Nexis gewährleistet die Verfügbarkeit der Nexis Plattform gemäß den Ausführungen im SLA.

4.4 Datenverwendung und -löschung

4.4.1 Mit Beendigung des Vertragsverhältnisses ist Nexis berechtigt, sämtliche vom Kunden auf die Nexis Plattform übertragene Daten und Informationen ersatzlos zu löschen. Spätestens vier (4) Wochen vor Beendigung des Vertragsverhältnisses informiert Nexis den Kunden über diese anstehende Löschung. Auf Nachfrage des Kunden hin unterbreitet Nexis ein Angebot auf Migration bzw. Unterstützung bei der Migration der auf der Nexis Plattform befindlichen Daten des Kunden auf ein anderes, vom Kunden zu benennendes System, soweit dies für Nexis zumutbar ist und die Übertragung in einem Nexis bekannten Datenformat und technischen Übertragungsweg erfolgen soll. Kündigt Nexis das Vertragsverhältnis außerordentlich fristlos aus wichtigem Grund, so verschafft Nexis dem Kunden auf dessen Aufforderung hin und für einen Zeitraum von höchstens drei (3) Monaten, nach Vertragsbeendigung die Möglichkeit, seine Daten in geeignetem Format zu exportieren, wobei der Kunde die dahingehenden Aufwände von Nexis gemäß der zuletzt vereinbarten Stunden- und Tagessätze aufwandsbezogen vergütet; Nexis ist in diesem Falle berechtigt, die voraussichtlich anfallenden Kosten als Vorschuss vom Kunden zu verlangen.

4.4.2 Treffen Nexis Aufbewahrungspflichten, so ist Nexis berechtigt, die entsprechenden Daten und Informationen für die Dauer der Aufbewahrungspflicht zu speichern und zu verarbeiten. Mit Ablauf der Dauer der Aufbewahrungspflicht löscht Nexis die betreffenden Daten und Informationen insgesamt; die Regelung in vorstehender Ziffer 4.4.1 bleibt hiervon unberührt.

4.4.3 Übertragungsdaten aus Echtzeitkommunikation werden von Nexis bei Bedarf zu Zwecken der Fehlererkennung (sog. Debugging) für maximal 12 Monate erhoben und gespeichert.

4.4.4 Der asynchrone Datenaustausch über Standardschnittstellen mit Drittsystemen wird nur bei Bedarf und maximal für 12 Monate zu Zwecken der Fehlererkennung (sog. Debugging) erhoben und gespeichert.

5. Besondere Bedingungen für Support Services

Im Rahmen der Lizenzierung der Nexis Plattform gemäß Ziffer 4 erbringt Nexis auch Standard Support Services, deren Umfang sich aus dem Leistungsschein, dem SLA, als auch aus der Beschreibung in dieser Ziffer 5 ergibt.

5.1 Die Bereitstellung der Support Services bezieht sich ausschließlich auf die jeweils aktuelle Version der Nexis Plattform und etwaige damit verbundene Software.

5.2 Die Support Services umfassen die Beseitigung von Fehlern und das Bereitstellen von Updates (entspricht dem Bereitstellen einer neuen Nebenversion) und Upgrades (entspricht dem Bereitstellen einer neuen Hauptversion) der Nexis Plattform.

5.3 Die Beseitigung von Störungen und Schäden, die durch unsachgemäße Nutzung der Nexis Plattform durch den Kunden, fehlerhaftes Nutzerverhalten, durch Einwirkung Dritter oder durch höhere Gewalt verursacht werden, sind nicht Gegenstand der Support Services. Sie können aber im Einzelfall gegen gesonderte Vergütung vereinbart werden.

5.4 Nicht Gegenstand der Support Services ist zudem die Pflege der Hardware, von Drittsoftware (z.B. Betriebssystem, betriebssystemnahe Software) und von Veränderungen, die durch den Kunden oder Dritte vorgenommen werden, um die Interoperabilität der Nexis Plattform mit Drittsoftware herzustellen (z.B. Schnittstellen zu anderen Softwareprodukten).

5.5 Sonstige Leistungen im Zusammenhang mit der Nexis Plattform, insbesondere ein Hotline-Service für Fragen des Kunden zur Nexis Plattform, Installations- und Konfigurationsleistungen, Customizing und/oder Schulungsmaßnahmen sind nicht Gegenstand der Support Services.

5.6 Der Kunde kann Support Services nach diesen Bedingungen nur für alle von ihm erworbenen Lizenzen für die Nexis Plattform in Anspruch nehmen. Die Inanspruchnahme der Support Services nur für einen Teil der erworbenen Lizenzen ist nicht möglich.

5.7 Der Kunde ist berechtigt, den Support von Nexis zur Meldung von Störungen, Betriebseinschränkungen und Funktionsbeeinträchtigungen der Nexis Plattform zu kontaktieren.

5.8 Für jede Anfrage oder Meldung an den Support von Nexis eröffnet dieser ein qualifiziertes Support Ticket (das "Support Ticket").

5.9 Die Bearbeitung von Support Tickets erfolgt ausschließlich in deutscher oder englischer Sprache.

5.10 Der Support steht grundsätzlich an Werktagen am Standort Regensburg von Nexis von 9:00 - 17:00 Uhr zur Verfügung ("Supportzeiten"). Die Annahme und Bearbeitung von Support Tickets erfolgt ausschließlich innerhalb der Supportzeiten. Hiervon abweichende Supportzeiten können individuell vereinbart werden.

5.11 Der Kunde kann Support-Tickets über das durch Nexis bereitgestellte Ticket-System öffnen und an Nexis versenden.

5.12 Nexis informiert den Kunden über Eingang sowie Erledigung der Support Tickets. Dies kann auch in Form einer automatisch generierten E-Mail aus dem System erfolgen.

5.13 Ausschließlich Key-User sind berechtigt, den Support von Nexis zu kontaktieren. Der Kunde ist berechtigt, bis zu zwei Key-User zeitgleich zu benennen. Key-User sind die vom Kunden mitgeteilten Anfrageberechtigten aus der Sphäre des Kunden. Der Kunde übergibt Nexis nach Vertragsschluss eine Liste der Key-User, die Nexis in die Lage versetzt, Key-User als solche zu identifizieren.

5.14 Der Kunde ist jederzeit berechtigt, die Liste der von ihm bestimmten Key-User zu aktualisieren. Eine vom Kunden übermittelte, aktualisierte Liste wird mit Beginn des Monats für Nexis verbindlich, der auf den Monat folgt, in dessen Verlauf die aktualisierte Liste vom Kunden vorgelegt wurde.

5.15 Nexis rechnet den Preis für die Bearbeitung von Support Tickets aufwandsbezogen und in einer Taktung von 15 Minuten ab, sofern vertraglich nicht anders vereinbart. Die Stundensätze für die Erbringung von Support Services ergeben sich aus dem Angebot.

5.16 Nexis ist berechtigt, auf ausdrücklichen Kundenwunsch außerhalb der Supportzeiten bearbeitete Support Tickets mit dem Faktor 2,5 zu berechnen

5.17 Eröffnet der Kunde bzw. ein Key-User ein Support Ticket zur Meldung von Störungen, Betriebseinschränkungen und Funktionsbeeinträchtigungen der Nexis Plattform und/oder des Systems, die Nexis nicht im Rahmen der Gewährleistung zu beseitigen hat, so ist Nexis berechtigt, je Support Ticket die tatsächlich angefallenen und im Rahmen der Prüfung, Erkennung und/oder Beseitigung des gemeldeten Sachverhalts entstanden Aufwendungen, unabhängig hiervon jedoch mindestens eine pauschale Bearbeitungsgebühr in Höhe von EUR 250 zu verlangen. Hinsichtlich der pauschalierten Bearbeitungsgebühr bleibt dem Kunden der Nachweis vorbehalten, dass kein oder nur ein wesentlich geringerer Schaden entstanden ist.

5.18 Die Parteien können gemäß Angebot vereinbaren, dass der Kunde gegen Zahlung eines zusätzlichen Entgelts Premium Support Services bucht, welche im Vergleich zu den allgemeinen Supportleistungen einen erweiterten Leistungsumfang und andere Reaktionszeiten beinhalten. Details ergeben sich aus Angebot und dem SLA.

6. Besondere Bedingungen für Professional Services

6.1 Allgemein

6.1.1 Bei den Professional Services handelt es sich grundsätzlich um Dienstverträge, sofern sich aus der Natur des Vertrags nicht ausdrücklich etwas anderes ergibt. Sofern im Rahmen der Professional Services ausnahmsweise Werkleistungen erbracht werden, gelten ergänzend die nachfolgenden Bestimmungen von Ziffer 6.2 -6.6

6.1.2 Die im Rahmen der Professional Services von Nexis zu erbringenden Leistungen ergeben sich aus dem Angebot.

6.1.3 Die Vergütung erfolgt, sofern nicht anderweitig schriftlich vereinbart nach Aufwand (Time and Material). Die Abrechnung erfolgt im 15-Minuten Takt.

6.1.4 Zur Vereinfachung werden alle Kurztätigkeiten (<15 Minuten Dauer) nicht einzeln, sondern über einen Sammelposten (Verwaltungspauschale) in Höhe von 7% der geleisteten Stunden eines Monats abgerechnet. Sollte dies nicht gewünscht sein, muss der Kunde dies gegenüber Nexis bei Vertragsschluss hinsichtlich der Professional Services mitteilen. In diesem Fall werden alle Kurztätigkeiten (jeweils aufgerundet auf 15 Minuten Dauer) einzeln verrechnet.

6.1.5 Ein etwaig vereinbartes Gesamtkontingent kann unter Berücksichtigung entsprechender Vorlaufzeiten bei Nexis flexibel über eine Projektlaufzeit abgerufen werden. Eine Abnahmeverpflichtung des Kunden hinsichtlich eines vereinbarten Gesamtkontingents besteht nicht.

6.1.6 Der Kunde ist verpflichtet, vor vereinbartem Beginn der Professional Services gegenüber Nexis schriftlich (E-Mail ausreichend) einen Ansprechpartner für die Erbringung der Professional Services und eine etwaige Projektkommunikation auf Seiten des Kunden zu benennen. Über diesen Kommunikationskanal vereinbaren die Parteien insbesondere zeitliche Ablaufpläne zur Erbringung der Professional Services oder im Rahmen eines konkreten Projekts.

6.2 Abnahme von Werkleistungen

6.2.1 Nexis zeigt dem Kunden die Abnahmereife von Werkleistungen schriftlich (E-Mail ausreichend) an.

6.2.2 Der Kunde beginnt unmittelbar nach Erhalt der Mitteilung über die Abnahmereife mit der Abnahmeprüfung.

6.2.3 Der Kunde stellt die für die Abnahmeprüfung erforderlichen Daten und Geräte unentgeltlich und im erforderlichen Umfang zur Verfügung.

6.2.4 Der Kunde darf die Abnahme nicht wegen unwesentlichen Mängeln verweigern. Unwesentliche Mängel sind insbesondere solche von eher kosmetischer Art, welche nicht zu einer Beeinträchtigung der Funktion führen, oder Mängel, die beim Layout auftreten, welche die Benutzung des Systems oder der Nexis Plattform durch den Nutzer nicht wesentlich behindern

6.2.5 Die abzunehmende Leistung gilt als abgenommen, wenn

• der Kunde die Durchführung der Abnahmeprüfung oder die Unterzeichnung bzw. Anfertigung des Protokolls ohne nachvollziehbare Begründung, insbesondere ohne Beschreibung abnahmehindernder Mängel verweigert, oder
• der Kunde nicht innerhalb einer angemessenen Frist gegenüber Nexis abnahmehindernden Mängel mitteilt, wobei eine angemessene Frist grundsätzlich vier Wochen beträgt, sofern von Nexis keine abweichende Frist mitgeteilt wird, oder
• der Kunde nach Erhalt der Mitteilung über die Abnahmereife der abzunehmenden Werkleistung diese für einen Zeitraum von insgesamt mehr als zwölf (12) Wochen produktiv nutzt.

6.2.6 Ist nach der Beschaffenheit der Werkleistung die Abnahme ausgeschlossen, so tritt an die Stelle der Abnahme die Vollendung der Leistung.

6.2.7 Im Falle von Teilabnahmen ist Nexis berechtigt, weitere Teilleistungen zurückzuhalten, wenn der Kunde mit der Abnahme von Teilleistungen oder mit der Bezahlung abgenommener Teilleistungen in Verzug ist. Vereinbarte Fixtermine verlängern sich automatisch um den Zeitraum einer solchen berechtigten Zurückbehaltung.

6.2.8 Nexis ist berechtigt, vom Kunden Teilabnahmen über vertragsgemäß erbrachte Teilleistungen zu verlangen. Für diese Teilabnahmen gelten die Regelungen von Ziffer 6.2 entsprechend. Teilabnahmen stehen unter dem Vorbehalt der Gesamtabnahme. Gleichwohl kann der Kunde die Gesamtabnahme nicht aufgrund von Mängeln verweigern, die im Rahmen einer Teilabnahmeprüfung offensichtlich waren oder vom Kunden hätten erkannt werden müssen, dieser aber dennoch die Abnahme erklärte.

6.3 Ansprüche des Kunden bei Sachmängeln

6.3.1 Der Kunde hat angemessene Fristen zur Mangelbeseitigung einzuräumen.

6.3.2 Im Rahmen der Nacherfüllung wählt Nexis zwischen Nachbesserung oder Neulieferung.

6.3.3 Nach einem erfolglosen Nacherfüllungsversuch ist Nexis zumindest ein weiterer Nacherfüllungsversuch zu gestatten, es sei denn, Nexis verweigert die Nacherfüllung ernsthaft und endgültig.

6.3.4 Alle Mängelrügen und Nacherfüllungsverlangen werden nach Möglichkeit mit nachvollziehbaren Schilderungen der Mangelsymptome schriftlich und unter Übergabe anzufertigender schriftlicher Aufzeichnungen, Hartkopien oder sonstiger die Mängel veranschaulichender Unterlagen erfolgen.

6.3.5 Das Recht zur Selbstvornahme gemäß §§ 634 Nr. 2, 637 BGB ist ausgeschlossen.

6.3.6 Die Minderung der Vergütung um insgesamt mehr als 50% ist nicht zulässig.

6.3.7 Mängelansprüche erstrecken sich nicht auf Arbeitsergebnisse und Leistungen von Nexis, die der Kunde oder ein Dritter im Auftrag des Kunden ohne Zustimmung von Nexis ändert. Dies gilt nicht, wenn der Kunde nachweist, dass diese Änderung für den gegenständlichen Mangel nicht ursächlich ist.

6.4 Systemkompatibilität

6.4.1 Ist Gegenstand der Professional Services die Erstellung oder Überlassung einer Webanwendung oder Softwareanwendung durch Nexis, so schuldet Nexis deren Funktionsfähigkeit nur für die ausdrücklich vereinbarten Betriebssysteme, Browsertypen und Versionen.

6.4.2 Ist eine korrekte Wiedergabe einer zu erstellenden und/oder zu überlassenden Webanwendung mittels einer der vereinbarten Browserversionen allein aufgrund der Nichteinhaltung der Konventionen der W3C oder eines Programmierfehlers seitens des Browserherstellers nicht möglich und hat Nexis diesen Umstand nicht zu vertreten, so stellt dies keinen Sachmangel dar und Nexis ist nicht verpflichtet, die betreffende Webanwendung zu ändern oder anzupassen.

6.4.3 Nexis weist den Kunden hiermit ausdrücklich darauf hin, dass die Lauffähigkeit bzw. Funktionalität der Webanwendung beeinträchtigt oder vollständig beseitigt werden kann, sofern die vereinbarten Betriebssysteme und Browserversionen durch neue Releases, Updates, Upgrades oder Folgeversionen dieser Programme verändert, überholt oder abgelöst werden.

6.5 Change Request

6.5.1 Die Parteien sind jederzeit berechtigt, der jeweils anderen Partei für den im Rahmen der Professional Services vereinbarten Leistungsgegenstand abweichende Eigenschaften oder Anforderungen vorzuschlagen ("Change Request").

6.5.2 Nach Eingang einer entsprechenden Anfrage des Kunden schätzt Nexis die Aufwände zur fachlichen, technischen und organisatorischen Umsetzung der Anfrage des Kunden und unterbreitet zugleich ein Angebot zum Abschluss eines entsprechenden Change Requests.

6.5.3 Nexis teilt dem Kunden den Abschluss der Anpassungsleistungen gemäß eines Change Requests mit.

6.5.4 Während der Verhandlung eines Change Request leistet Nexis gemäß den geltenden Abreden weiter. Wünscht der Kunde die vorübergehende Einstellung der vertragsgemäßen Leistungserbringung bis zum Abschluss der Verhandlungen, so gilt Ziffer 10.1.5 entsprechend.

6.5.5 Aufgrund der Durchführung eines Change Request anfallende Mehraufwände von Nexis sind vom Kunden zusätzlich und aufwandsbezogen zu vergüten. Nexis und der Kunde werden sich vor Durchführung des Change Requests über die erwartenden Mehrkosten abstimmen.

6.6 Schutzrechte

Soweit im Rahmen der Professional Services geistige Schutzrechte von Nexis geschaffen werden, richtet sich die Rechteeinräumung an etwaigen Arbeitsergebnissen vorbehaltlich einer abweichenden schriftlichen Vereinbarung nach Ziffer 4.2. Lediglich klarstellend halten die Parteien fest, dass, sofern nicht abweichend vereinbart, im Rahmen der Professional Services entwickelten Modifikationen an der Nexis Plattform nicht als individuell für den Kunden erstellte Softwarekomponenten gelten und Nexis jederzeit berechtigt ist, diese Anpassungen, in den Standardfunktionsumfang der Nexis Plattform zu überführen und auch gegenüber anderen Kunden von Nexis anzubieten.

7. Allgemeine Grundsätze der Leistungserbringung durch Nexis

7.1 Nexis erbringt die vertragsgemäßen Leistungen gemäß dem jeweils aktuellen Stand der Technik.

7.2 Nexis überlässt dem Kunden zur Nexis Plattform und etwaiger im Rahmen von Professional Services entwickelte Software eine Benutzerdokumentation (Anwenderleitfaden) in digitaler Form in deutscher Sprache, die sich an einen fachkundigen IT-Nutzer adressiert. Weitere Dokumentation ist nicht geschuldet.

7.3 Nexis setzt ausschließlich qualifizierte und zuverlässige Mitarbeiter ein und verwendet bewährte Verfahren und Werkzeuge, deren Eignung Nexis bekannt ist.

7.4 Nexis entscheidet nach eigenem, pflichtgemäßem Ermessen, welche Mitarbeiter zur vertragsgemäßen Leistungserbringung eingesetzt oder ausgetauscht werden. Die Weisungsbefugnis bezüglich der eingesetzten Mitarbeiter liegt und verbleibt ausschließlich bei Nexis.

7.5 Nexis ist berechtigt, Ort, Arbeitszeit und Arbeitsablauf selbst zu bestimmen, berücksichtigt jedoch die gegebenen Verhältnisse und sachlich begründeten Erfordernisse insoweit, als es die ordnungsgemäße Durchführung des Vertragsverhältnisses erfordert.

7.6 Nexis ist nicht verpflichtet, die Vereinbarkeit der vom Kunden gestellten, inhaltlichen Anforderungen an die von Nexis zu erbringenden Leistungen mit geltenden gesetzlichen Bestimmungen, insbesondere wettbewerbsrechtlichen, datenschutzrechtlichen und verbraucherschutzrechtlichen Bestimmungen, sowie Verstößen gegen das Marken- und Patentrecht zu prüfen. Die Verantwortung hierfür liegt und verbleibt beim Kunden. Gleichwohl weist Nexis den Kunden auf Rechtsbrüche hin, sobald Nexis solche zur Kenntnis nimmt und der Hinweis selbst keine Pflichtverletzung seitens Nexis darstellt.

7.7 Beratungspflichten von Nexis bestehen nur, soweit solche ausdrücklich vereinbart sind.

7.8 Leistungen von Nexis gelten nur insofern und insoweit als garantiert, wie das Wort "Garantie" oder "garantierte Leistung" ausdrücklich und in deren Zusammenhang fällt. Insbesondere im SLA oder im Rahmen von Support Services oder Professional Services vereinbarte Leistungen stellen keine Garantien dar.

7.9 Leistungs- und Erfüllungsort ist der Hauptgeschäftssitz von Nexis.

7.10 Relative und/oder absolute Fixtermine sind nur solche, die ausdrücklich als "Fixtermin" oder "Fixtermine" oder mit einer ähnlichen und gleichbedeutenden Bezeichnung bezeichnet sind.

7.11 Die Sicherung von Daten des Kunden liegt grundsätzlich im Verantwortungsbereich des Kunden, sofern nicht abweichend, z.B. im Rahmen von Premium Support Services, vereinbart.

7.12 Der Kunde ist verpflichtet, sämtliche auf ihn anwendbaren außenwirtschaftsrechtlichen Bestimmungen zu beachten und keine Verbindungen zu Personen und Organisationen aufzunehmen und/oder zu unterhalten, gegen die restriktive Maßnahmen zur Bekämpfung des Terrorismus oder andere außenwirtschaftliche Sanktionen verhängt wurden bzw. werden.

7.13 Die Leistungen und Lieferungen von Nexis stehen unter dem Vorbehalt der Selbstbelieferung, bedingt auf den Umstand, dass Nexis an dem temporären oder dauerhaften Ausfall der Selbstbelieferung kein zumindest grob fahrlässiges Verschulden trifft. Nexis informiert den Kunden über einen solchen Ausfall möglichst vorab, zeitnah und schriftlich.

7.14 Sind vertragsgemäße Leistungen auf verschiedene technische Arten und/oder mit verschiedenen technischen Mitteln umsetzbar, so entscheidet Nexis über Art und Mittel nach billigem Ermessen. Eine solche Entscheidung muss die Interessen des Kunden berücksichtigen und diesem zumutbar sein.

8. Laufzeit und Kündigung

8.1 Zugriff auf die Nexis Plattform

8.1.1 Vorbehaltlich einer anderweitigen schriftlichen Vereinbarung, wird ein Vertrag über die Nutzung der Nexis Plattform für eine feste Laufzeit von sechsunddreißig (36) Monaten geschlossen.

8.1.2 Unberührt bleibt das Recht beider Parteien zur fristlosen Kündigung aus wichtigem Grund, insbesondere wenn die andere Partei nachhaltig gegen wesentliche Vertragspflichten verstößt und den Verstoß trotz Abmahnung mit angemessener Fristsetzung nicht fristgerecht beseitigt, oder wenn bei der anderen Partei eine wesentliche Vermögensverschlechterung oder - gefährdung eintritt. Darüber hinaus ist Nexis zur fristlosen Kündigung berechtigt, wenn der Kunde in zwei (2) aufeinander folgenden Monaten oder in einem Zeitraum von mehr als zwei (2) Monaten mit der Bezahlung in Höhe von insgesamt zwei (2) Monatsvergütungen in Verzug kommt.

8.2 Support Services

8.2.1 Die Laufzeit der im Zusammenhang mit der Bereitstellung der Nexis Plattform angebotenen Standard Support Services ist identisch zur Laufzeit des Vertrags über die Nutzung der Nexis Plattform. Auch die Laufzeit etwaiger vom Kunden gebuchten Premium Support Services ist, sofern nicht abweichend schriftlich vereinbart, mit der Laufzeit des Vertrags über die Nutzung der Nexis Plattform identisch.

8.2.2 Das Recht zur außerordentlichen Kündigung bleibt hiervon unberührt.

8.2.3 Sofern ein Vertrag über die Premium Support Services gemeinsam mit dem Vertrag über die Nutzung der Nexis Plattform geschlossen wird, so beginnt die Leistungserbringung mit Bereitstellung der Zugangsdaten zur Nexis Plattform gegenüber dem den Kunden. Sofern nicht abweichend im Angebot vereinbart, beginnt die Pflicht zur Entrichtung der vereinbarten Wartungs- und Supportpauschale beginnt mit Ablauf einer Frist von zwei (2) Monaten, beginnend mit Abschluss des Nexis Plattform Vertrags.

8.2.4 Ist (auch) Support von Drittsoftware Gegenstand der Premium Support Services und kündigt der Hersteller dieser Drittsoftware das sog. "End-of-Life" des herstellerseitigen Supports der betreffenden Drittsoftware an, so ist Nexis berechtigt, Premium Support Services, bezogen auf die betreffende Drittsoftware, ohne Einhaltung einer Kündigungsfrist und mit Wirkung zu dem vom betreffenden Hersteller als "End-of-Life" genannten Termin zu kündigen (außerordentliches Sonderkündigungsrecht). Liegt die aufgrund Geltendmachung dieses Sonderkündigungsrechts erfolgende Beendigung von Premium Support Services, bezogen auf die betreffende Drittsoftware, vor dem Ablauf der Vertragslaufzeit, für die der Kunde bereits eine Vergütung an Nexis bezahlt hat, so erstattet Nexis die Vergütung für Premium Support Services entsprechend zeitanteilig an den Kunden zurück.

8.2.5 Läuft ein Herstellersupport eines Dritten aus (sog. end-of-life), den Nexis bezieht und benötigt, um die vertragsgegenständlichen Premium Support Services zu erbringen, so ist Nexis berechtigt,

• den Supportvertrag insgesamt unter Einhaltung einer Kündigungsfrist von 30 Kalendertagen zu kündigen,
• die vertragsgegenständlichen Premium Support Services, die vom betreffenden end-of-life betroffen sind, unter Einhaltung einer Kündigungsfrist von 30 Kalendertagen anteilig zu kündigen oder
• eine Anpassung des Supportvertrags oder der Premium Support Services dahingehend zu verlangen, dass durch den betreffenden end-of-life keine Nicht- und/oder Schlechtleistungen durch Nexis entstehen.

8.2.6 Das Kündigungsrecht gemäß vorstehenden Ziffer 8.2.5 entsteht mit Ankündigung des end-of-life durch den Hersteller.

8.3 Professional Services

8.3.1 Sofern es sich bei den Professional Services um Dienstleistungen handelt schuldet der Kunde eine Vergütung für alle bereits erbrachten Leistungen.

8.3.2 Sofern die im Rahmen von Professional Services erbrachten Leistungen ausnahmsweise als Werkleistungen gelten, so finden in Abweichung zu den gesetzlichen Bestimmungen die in dieser Ziffer 8.3.2 getroffenen Regelungen Anwendung:

a) Bezüglich § 648 S. 3 BGB gilt, dass Nexis fünfzehn (15) vom Hundert der auf den noch nicht erbrachten Teil der Werkleistung entfallenden vereinbarten Vergütung zustehen. Dieser pauschalisierte Anspruch steht Nexis nicht zu, sofern und soweit der Kunde nachweist, dass der nach § 648 BGB Nexis zustehende Betrag wesentlich geringer ist oder Nexis kein Vergütungsanspruch zusteht.

b) Kündigt der Kunde im Rahmen eines typengemischten Vertrags Werkleistungen gemäß § 648 BGB, so bleibt der Vertrag im Übrigen von dieser Kündigung unberührt. Kündigt Nexis im Rahmen eines typengemischten Vertrags Werkleistungen gemäß § 643 BGB, so bleibt der Vertrag im Übrigen von dieser Kündigung unberührt.

9. Vergütung

9.1 Leistungen von Nexis sind vom Kunden gemäß Angebot zu vergüten.

9.2 Sämtliche von Nexis ausgewiesenen Tagessätze, Stundensätze, Preise und Vergütungen verstehen sich jeweils zuzüglich anfallender, gesetzlicher Umsatzsteuer und gegebenenfalls anfallender Zölle und sonstiger Abgaben. Die Berechnung der Besteuerung erfolgt gemäß den gesetzlichen Vorgaben für den innergemeinschaftlichen Erwerb in der EU.

9.3 Nexis stellt die vertragsgemäßen Vergütungsansprüche ordentlich in Rechnung. Nexis ist zur Rechnungslegung per E-Mail berechtigt.

9.3.1 Die Rechnungsstellung für die Nutzung der Nexis Plattform erfolgt zwölf (12) Monate im Voraus. Die Abrechnung des Folgezeitraums erfolgt direkt im Anschluss nach Ablauf der vorherigen Abrechnungsperiode. Demnach ergibt sich pro Jahr der Vertragslaufzeit eine Rechnung, die jeweils zu Beginn des jeweiligen Jahres gestellt wird. Im Falle einer kürzeren Vertragslaufzeit als 12 Monate entspricht die Abrechnungsperiode dem Zeitraum von Beginn bis zum Ende der Vertragslaufzeit.

9.3.2 Die Rechnungsstellung für Premium Support Services erfolgt jährlich im Voraus.

9.3.3 Die Rechnungsstellung für erbrachte Professional Services erfolgt monatlich, jeweils zum Ablauf des auf die Leistungserbringung folgenden Monats.

9.4 Rechnungen sind innerhalb von 14 Kalendertagen ab Zugang der Rechnung ohne Abzug zur Zahlung fällig. Abweichende Zahlungsbedingungen, insbesondere solche in Purchase Orders (PO) oder Allgemeinen Geschäftsbedingungen des Auftraggebers, finden keine Anwendung, sofern ihnen nicht ausdrücklich schriftlich durch Nexis zugestimmt wurde.

9.5 Erbringt Nexis Leistungen im Rahmen gesetzlicher und/oder vertraglicher Mängelhaftung des Kunden, so sind diese vergütungsfrei, insbesondere auch in dem Fall, dass zwischen Nexis und dem Kunden ein Vertragsverhältnis (z.B. ein Vertrag über Professional Services) besteht, gemäß dem dieselben Leistungen vom Kunden zu vergüten wären.

9.6 Der Kunde erstattet Nexis Reisekosten, die auf Grund von Reisen von Nexis-Mitarbeitern zwischen dem jeweils betreffenden Nexis und dem Standort des Kunden anfallen.

Bei der Nutzung von Verkehrsmitteln sind folgende Modalitäten zu beachten:

• Bahnfahrten: Erstattungsfähig sind Kosten für die 2. Klasse.
• Flüge: Erstattungsfähig sind Kosten für die Economy-Class.
• Nutzung eigener PKW: Erstattet werden 0,40 Euro je angefangenem Kilometer.

Angefallene Reisezeiten bei Reisen von Mitarbeitern von Nexis sind vom Kunden in Höhe von 50% der im Angebot vereinbarten Tages- bzw. Stundensätze zu vergüten.

Bei Reisen von Nexis-Mitarbeitern ist Nexis berechtigt, anfallende Hotelkosten, sowie einen zusätzlich Übernachtungskostenersatz in Höhe von EUR 150 pauschal je notwendiger Übernachtung vom Kunden geltend zu machen; eine Übernachtung ist dann notwendig, wenn die Vertragsparteien über die Notwendigkeit einig sind, sie erforderlich ist, um den Anforderungen an das Arbeitszeitgesetz zu entsprechen, oder die Entfernung zwischen dem Standort von Nexis und dem Standort des Kunden mehr als 200 km direkte Fahrtstrecke (auf europäischen Hauptverkehrsstraßen) beträgt.

10. Nebenpflichten des Kunden

10.1 Allgemeine Nebenpflichten

10.1.1 Der Kunde ist zur unentgeltlichen Mitwirkung in notwendigem Umfang verpflichtet. Auf notwendige Mitwirkung weist Nexis möglichst vorab hin.

10.1.2 Der Kunde stellt sicher, dass von ihm beigebrachte Daten und Informationen richtig, vollständig und zweckmäßig sind; Nexis obliegen insofern keine aktiven Prüfungspflichten.

10.1.3 Der Kunde ist verpflichtet, Nexis unverzüglich auf etwaige Mängel oder Lücken bei der Leistungserbringung hinzuweisen, sofern und sobald er hiervon Kenntnis nimmt oder im gewöhnlichen Geschäftsbetrieb nehmen kann.

10.1.4 Der Kunde benennt einen Mitarbeiter seines Haues, der Nexis als entscheidungsberechtigter Ansprechpartner zur Verfügung steht. Ferner benennt der Kunde einen Stellvertreter für Fälle der Nichterreichbarkeit des primären Ansprechpartners.

10.1.5 Kommt der Kunde mit der Vornahme oder Erbringung einer Mitwirkungshandlung in Verzug oder verzögert sich die vertragsgemäße Leistungserbringung von Nexis aus einem anderen, vom Kunden zu vertretender Umstand ("Verzögerung"), so verschieben sich alle vereinbarten Termine, die aufgrund der Verzögerung von Nexis aus betrieblichen Gründen nicht eingehalten werden können, auf einen angemessenen späteren Zeitpunkt, den Nexis nach billigem Ermessen festlegt. Ferner ist Nexis berechtigt, Ersatz des aus der Verzögerung entstehenden Schadens einschließlich notwendiger Mehraufwendungen vom Kunden zu verlangen, sofern und soweit solche anfallen.

10.1.6 Der Kunde unterstützt Nexis bei der Ermittlung der Höhe variabler, insbesondere nutzungsabhängiger Vergütungsansprüche in notwendigem und zumutbarem Umfang und für Nexis kostenfrei.

10.1.7 Sofern Nexis im Rahmen der Professional Services Werkleistungen erbringt, bleiben §§ 642, 643 BGB von vorstehenden Regelungen unberührt.

10.2 Ergänzende Nebenpflichten hinsichtlich Nutzung der Nexis Plattform

10.2.1 Der Kunde unterstützt Nexis bei Prüfungen, ob die Nexis Plattform ausschließlich in dem Umfang genutzt wird, wie Nexis dem Kunden an der Nexis Plattform Rechte eingeräumt hat. Auf entsprechende Nachfrage von Nexis hin erteilt der Kunde innerhalb angemessener Frist entsprechende Selbstauskünfte mit nachvollziehbaren Nachweisen über den Nutzungsumfang.

10.2.2 Der Kunde ist verpflichtet,

• die ihm bzw. seinen Nutzern zugeordneten Zugangsdaten für die Nexis Plattform, insbesondere Nutzungs- und Zugangsberechtigungen sowie Identifikations- und Authentifizierungs-Sicherungen vor dem Zugriff durch unberechtigte Dritte zu schützen und gibt diese nicht an unberechtigte Nutzer und/oder unberechtigte Dritte weiter,
• den unbefugten Zugriff Dritter auf die Nexis Plattform und/oder das System und auf die Dokumentation durch geeignete Vorkehrungen zu verhindern,
• angemessene Vorkehrungen für den Fall zu treffen, dass die Nexis Plattform ganz oder teilweise nicht ordnungsgemäß arbeitet. Eine solche angemessene Vorkehrung liegt insbesondere in einer angemessenen und regelmäßigen Datensicherung (sofern nicht im Rahmen von Premium Support Services abweichend vereinbart) sowie einer regelmäßigen Überprüfung der Datenverarbeitungsergebnisse,
• vor der ersten Benutzung der Nexis Plattform nur ausreichend geschulten und über die Folgen einer missbräuchlichen oder fehlerhaften Nutzung der in über die Nexis Plattform bereitgestellten Funktionen aufgeklärte Personen Zugangsdaten zur Nexis Plattform zur Nutzung zu überlassen,
• die auf der Nexis Plattform befindlichen, steuer- und/oder handelsrechtlich relevanten, aufbewahrungspflichtigen Informationen und Dokumente (Rechnungen, Gutschriften u.ä.) gesetzeskonform zu speichern und aufzubewahren,
• Nexis, sofern für die Durchführung von Wartungsarbeiten an der Nexis Plattform erforderlich, Zugriff auf das Web-Frontend der Nexis Plattform und die entsprechenden APIs einzuräumen, und
• Nexis die für die Installation von Patches, Updates oder Upgrades auf sämtlichen Systemen des Kunden, die einer Freigabe bedürfen, eine solche Freigaben ohne schuldhaftes Zögern zu erteilen.

10.2.3 Der Kunde verpflichtet sich es zu unterlassen,

• die Nexis Plattform ohne Zustimmung von Nexis im Quell- und/oder Objektcode zu ändern, zu bearbeiten, zu dekompilieren, sofern und soweit er hierzu nicht aufgrund § 69e UrhG oder der ausdrücklichen Zustimmung durch Nexis berechtigt ist,
• Funktionen oder Prozesse der Nexis Plattform und des zugrundeliegenden Systems vertrags- bzw. bestimmungswidrig zu nutzen, nutzen zu lassen oder eine solche Nutzung zu unterstützen oder zu ermöglichen,
• sich selbst oder Dritten Zugang zu nicht für ihn bestimmte Daten und Informationen zu verschaffen,
• die Nexis Plattform missbräuchlich zu nutzen, insbesondere rechts- oder sittenwidrigen oder solche Inhalte einzustellen oder auf solche Inhalte durch Hyperlink zu verweisen, die gegen Rechte Dritter verstoßen oder rechtswidrig sind (z.B. Verstöße gegen Persönlichkeits-, Urheber-, Marken- oder Wettbewerbsrecht),
• in die Datennetze, Server, Programme und Programmteile oder sonstige Systemkomponenten von Nexis unbefugt einzudringen oder zu nutzen,
• Urhebervermerke, Seriennummern sowie sonstige der Identifikation von Soft- und/oder Hardware dienende Merkmale zu entfernen und/oder zu verändern,
• ohne vorherige Zustimmung von Nexis keine Last-, Penetrations-, Schwachstellen- oder sonstige Testverfahren (insbesondere, aber nicht abschließend automatisierte Schwachstellenscans, Fuzzing, Code-Injection-Tests sowie Simulationen von DDoS- oder sonstigen Überlastungsangriffen) durchzuführen, welche die Stabilität, Sicherheit oder Verfügbarkeit der Nexis Plattform beeinträchtigen könnten, oder
• die Software und Systeme von Nexis für den unaufgeforderten Versand von elektronischen Nachrichten oder Informationen an Dritte zu Werbezwecken (sog. Spamming) zu nutzen.

10.2.4 Der Kunde stellt Nexis im Bedarfsfalle und auf Nachfrage von Nexis folgendes zur Verfügung:

• Parameter zur Systemkonfiguration,
• Informationen zu Schnittstellen und Datenformaten,
• die Bereitstellung von Testdaten und
• die Definition von Testfällen.

10.2.5 Im Falle der Anbindung der Nexis Plattform an Drittsysteme per Schnittstelle stellt der Kunde Nexis zeitnah und rechtzeitig vorab ein Testsystem und/oder einen Testzugang zu den betreffenden Drittsystemen bereit.

10.2.6 Verstößt der Kunde gegen eine Pflicht gemäß den Ziffern 10.2.1 - 10.2.3 so ist Nexis berechtigt, den Kunden zur Einhaltung aufzufordern und ihm hierzu eine angemessene Frist zu setzen. Verstreicht diese Frist fruchtlos, so ist Nexis berechtigt, die vertragsgemäße Leistungserbringung bzw. den Zugang zur Nexis Plattform und dem System bis zur Erfüllung der Mitwirkungs- oder Nebenpflicht durch den Kunden ganz oder teilweise zu sperren oder einzuschränken. Eine solche Sperrung oder Einschränkung berechtigt den Kunden nicht zur Zurückbehaltung oder Minderung der monatlichen Vergütung.

10.2.7 Erzeugt der Kunde auf der Nexis Plattform Daten oder hält er auf dem System Daten, die die Verletzung einer Pflicht gemäß den Ziffern 10.2.1 - 10.2.3 bedingen oder deren Besitz und/oder deren Verarbeitung gegen geltendes Recht verstößt, so ist Nexis berechtigt, die betreffenden Daten sofort und ersatzlos zu löschen.

11. Werke und Leistungen Dritter, Open Source

11.1 Überlässt Nexis dem Kunden Drittsoftware, Hardware Dritter, Rechenzentrumsleistungen Dritter und/oder sonstige Leistungen Dritter, so gelten für deren Nutzung und deren Support und Wartung vorrangig die Regelungen der Lizenzbedingungen der betreffenden Dritten, sofern und soweit Nexis beim Einsatz der vertragsgegenständlichen Drittleistungen gegenüber dem Dritten verpflichtet ist, deren Lizenzbedingungen auch in das Vertragsverhältnis zwischen den Vertragsparteien einzubeziehen. Auf Nachfrage des Kunden teilt Nexis dem Kunden in Textform mit, um welche Lizenzbedingungen es sich handelt, auf welche Drittleistungen sich diese beziehen und überlässt bzw. übersendet dem Kunden die entsprechenden Lizenzbedingungen. Lizenzbedingungen in diesem Sinne sind insbesondere End-User Licence Agreements, SLAs, Support- und Wartungsverträge und Nutzungsbedingungen.

11.2 Die Integration, An- oder Verbindung von Werken Dritter (z.B. Software Dritter, Open Source Software, Freeware, Grafiken Dritter, Bilder Dritter) in, an bzw. mit der Nexis Plattform und/oder im Rahmen von Professional Services geschaffenen Arbeitsergebnissen von Nexis bedarf nicht der Zustimmung des Kunden.

11.3 Im Falle der Integration, An- oder Verbindung von Werken Dritter im Sinne von Ziffer 11.1, an denen urheberrechtliche Nutzungsrechte, Leistungsschutzrechte oder Schutzrechte sui generis zu Gunsten Dritter bestehen, räumt Nexis dem Kunden Rechte an den betreffenden Werken Dritter nur in dem Umfang ein, wie Nexis selbst Rechte von den jeweiligen Rechteinhabern erhält und es das Rechtsverhältnis gestattet, das zwischen Nexis und den jeweiligen Rechteinhabern besteht.

11.4 Sofern nicht abweichend vereinbart, räumt Nexis dem Kunden Rechte an Werken Dritter mindestens in dem Umfang ein, wie dies zu deren vertrags- und bestimmungsgemäßen Nutzung notwendig ist.

12. Ansprüche des Kunden bei Rechtsmängeln

12.1 Sind Leistungen von Nexis rechtsmangelhaft so kann Nexis nach seiner Wahl und auf seine Kosten

12.1.1 die betreffenden Leistungen so ändern oder ersetzen, dass die Rechtsmangelhaftigkeit beseitigt wird, aber im Wesentlichen doch den vereinbarten Funktions- und Leistungsmerkmalen in für den Kunden zumutbarer Weise entsprechen oder

12.1.2 Rechte von Dritten erwerben, die notwendig sind, damit der Kunde die vertragsgemäßen Leistungen rechtsmangelfrei sowie vertrags- und bestimmungsgemäß nutzen kann und diese Rechte dem Kunden einräumen oder

12.1.3 die betroffenen Leistungen gegen Erstattung der entrichteten Vergütung zurückzunehmen, wobei Nexis verpflichtet ist, dem Kunden dabei eine angemessene Auslauffrist zu gewähren, es sei denn, dies ist nur zu unzumutbaren rechtlichen oder sonstigen Bedingungen möglich.

12.2 Ferner stellt Nexis den Kunden von begründeten und durchsetzbaren Schadensersatzansprüchen aufgrund der Rechtsmangelhaftigkeit der Leistungen von Nexis gegenüber dem Schutzrechtsinhaber frei. Der Kunde informiert Nexis unverzüglich über eine Inanspruchnahme durch einen Dritten aufgrund einer geltend gemachten Schutzrechtsverletzung aufgrund Leistungen von Nexis. Der Kunde ist verpflichtet es zu unterlassen, Anerkenntnisse und/oder Vergleiche über solche von Dritten geltend gemachten Ansprüche ohne Zustimmung oder Genehmigung von Nexis zu erklären oder zu schließen. Ferner überlässt der Kunde Nexis die Rechtsverteidigung gegen solche Ansprüche und die Wahl und Geltendmachung von Abwehrmaßnahmen, soweit nicht dem Kunden aus Rechtsgründen die Abwehrmaßnahmen und /oder die Rechtsverteidigung vorbehalten bleiben müssen. Im Falle der Rechtsverteidigung durch Nexis unterstützt der Kunde Nexis hierbei, soweit ihm dies zumutbar und die dahingehenden Aufwände nicht unverhältnismäßig sind. Freistellungsansprüche mit sofortiger Wirkung und rückwirkend.

12.3 Sofern das Vertragsverhältnis über die Bereitstellung der Nexis Plattform als Mietvertrag angesehen wird, tritt an Stelle des Rechts zur Rücknahme gemäß vorstehender Ziffer 12.1.3. das Rechts zur außerordentlichen, fristlosen Kündigung, mit der Maßgabe, dass im Voraus entrichtete Mietzahlungen zeitanteilig zurück zu erstatten sind.

13. Verjährung von Ansprüchen

Die Verjährungsfrist für Ansprüche aus Sach- und/oder Rechtsmängeln beträgt zwölf (12) Monate, es sei denn, die Anwendung der regelmäßigen gesetzlichen Verjährung (§§ 195, 199 BGB) würde im Einzelfall zu einer kürzeren Verjährung führen. Unberührt bleiben die Verjährungsregelungen gemäß dem Produkthaftungsgesetz und gemäß den gesetzlichen Verjährungsvorschriften für Schadensersatzansprüche des Kunden gegenüber Nexis bei grob fahrlässiger oder vorsätzlicher Pflichtverletzung. Kaufmännische Rügepflichten des Kunden bleiben unberührt.

14. Haftung, Schadensersatz

14.1 Nexis haftet unbeschränkt bei Vorsatz, grober Fahrlässigkeit, für die Verletzung von Leben, Leib oder Gesundheit, nach den Vorschriften des Produkthaftungsgesetzes sowie im Umfang einer von Nexis übernommenen Garantie.

14.2 Verletzt Nexis eine wesentliche Pflicht fahrlässig, so ist die Haftung von Nexis der Höhe nach begrenzt auf den Ersatz des bei Vertragsschluss vertragstypischen und für Nexis vorhersehbaren Schadens. Wesentliche Pflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht, deren Verletzung die Erreichung des Vertragszwecks gefährdet und auf deren Einhaltung der Kunde regelmäßig vertraut.

14.3 Die verschuldensunabhängige Haftung von Nexis für Sachmängel, die bei Vertragsschluss bereits vorliegen (§ 536 a BGB), ist ausgeschlossen. Dieser Ausschluss gilt nicht für Rechtsmängel.

14.4 Im Falle des Verlusts und/oder der Beschädigung von Daten haftet Nexis nur insoweit, als dieser Verlust bzw. die Beschädigung und deren Wiederherstellung nicht durch angemessene Vorsorgemaßnahmen des Kunden, insbesondere die tägliche Anfertigung von Sicherungskopien, vermeidbar gewesen wäre.

14.5 Im Übrigen ist jegliche Schadensersatzhaftung von Nexis, gleich aus welchem Rechtsgrund, ausgeschlossen.

14.6 Die vorstehende Haftungsbeschränkung gilt auch für die persönliche Haftung der Mitarbeiter, Erfüllungsgehilfen, Organe und Vertreter von Nexis.

15. Datenschutz, Telemetrie

15.1 Sowohl Nexis als auch der Kunde verpflichten sich, personenbezogenen Daten entsprechend den Anforderungen der jeweils anwendbaren Datenschutzgesetze, insbesondere der EU-DSGVO zu verarbeiten.

15.2 Soweit Nexis im Rahmen der unter diesen NEXIS 4 Plattform AGB angebotenen Leistungen personenbezogene Daten des Kunden, dessen Mitarbeitern Endkunden oder sonstigen Dritten verarbeitet, tut Nexis dies nur auf Anweisung des Kunden oder um gesetzlichen Anforderungen zu entsprechen. Zu diesem Zweck schließen die Parteien gesondert einen Auftragsdatenverarbeitungsvertrag gemäß Anlage 1.

15.3 Nexis ist berechtigt, Daten über die Nutzung der Nexis Plattform durch den Kunden zu anonymisieren oder zu aggregieren, sodass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und in dieser Form unter anderem zur Optimierung der Nexis Plattform zu verwenden. Die Parteien stimmen darin überein, dass anonymisierte bzw. nach obiger Maßgabe aggregierte Daten nicht mehr als Kundendaten gelten.

16. Vertraulichkeit

16.1 Die Parteien verpflichten sich, alle vertraulichen Informationen, die ihnen im Rahmen der vertraglichen Beziehung bekannt werden, vertraulich zu behandeln und nur für vertraglich vereinbarte Zwecke zu verwenden. Vertrauliche Informationen im Sinne dieser Bestimmung sind Informationen, Unterlagen, Angaben und Daten, die als solche bezeichnet sind oder ihrer Natur nach als vertraulich anzusehen sind, insbesondere auch Informationen über die Funktionsweise der Nexis Plattform einschließlich der dahinterliegenden Struktur.

16.2 Eine Ausnahme zu Ziffer 16.1 besteht in den folgenden Fällen:

16.2.1 Wenn die Informationen zum Zeitpunkt des Vertragsschlusses bereits allgemein bekannt sind,

16.2.2 die Partei, die die Informationen erhält, die Informationen bereits vor dieser Offenlegung der Informationen durch die andere Partei bekannt waren,

16.2.3 die Informationen nach Abschluss des Vertrags allgemein bekannt geworden sind, ohne dass die zur Geheimhaltung verpflichtete Partei dies verschuldet hat, oder

16.2.4 eine Partei aufgrund anwendbarer Gesetze, behördlicher Vorschriften oder einer rechtmäßigen gerichtlichen oder behördlichen Anordnung dazu verpflichtet ist, vertraulichen Informationen herauszugeben und die jeweils andere Partei, sofern rechtlich zulässig, über eine solche Offenlegung informiert und angemessene Maßnahmen ergreift, um den Umfang der Offenlegung zu vermeiden und/oder zu minimieren.

16.3 Die Bestimmungen des Gesetzes zum Schutz von Geschäftsgeheimnissen bleiben von den in dieser Ziffer 16 getroffenen Regelungen unberührt.

16.4 Die Rechte und Pflichten nach Ziffer 16 dieser NEXIS 4 Plattform AGB bestehen über den Zeitraum des Vertragsverhältnisses hinaus. Beide Parteien sind verpflichtet, vertrauliche Informationen der anderen Partei bei Beendigung des Vertragsverhältnisses nach deren Wahl zurückzugeben oder zu vernichten, soweit diese nicht ordnungsgemäß verbraucht worden sind oder gemäß Ziffer4.4 gesonderte Vereinbarungen für die Löschung von Daten nach Nutzung der Nexis Plattform getroffen werden.

17. Mindestlohngesetz

17.1 Nexis verpflichtet sich und seine Subunternehmer zur Einhaltung der Vorschriften des Mindestlohngesetzes.

17.2 Nexis stellt den Kunden von sämtlichen Ansprüchen Dritter frei, die diesen gegenüber dem Kunden aufgrund eines Verstoßes von Nexis gegen die Vorschriften des Mindestlohngesetzes zustehen. Die Regelungen zur Freistellung des Kunden in Ziffer 12.2 entsprechend.

18. Change of Control

18.1 Der Kunde ist verpflichtet, Nexis über einen Wechsel seines Mehrheitseigners möglichst vorab und schriftlich zu informieren.

18.2 Ab Erhalt einer Information im Sinne von Ziffer 18.1, ist Nexis berechtigt, das Vertragsverhältnis ohne Einhaltung einer Kündigungsfrist und mit sofortiger Wirkung zu kündigen (außerordentliches Sonderkündigungsrecht).

19. Schlussbestimmungen

19.1 Die Übertragung des Vertrags oder einzelner Rechte oder Pflichten hieraus durch den Kunden an Dritte, bedarf der vorherigen schriftlichen Zustimmung von Nexis. § 354a HGB bleibt unberührt.

19.2 Eine Aufrechnung mit Gegenansprüchen des Kunden ist nur zulässig, wenn diese Ansprüche unstreitig oder rechtskräftig festgestellt sind. Das Recht des Kunden zur Aufrechnung besteht uneingeschränkt, soweit eine aufgerechnete Forderung mit der Hauptforderung synallagmatisch verknüpft ist.

19.3 Für die Leistungs- und Rechtsbeziehung zwischen den Parteien gilt ausschließlich deutsches Recht unter Ausschluss des United Nations Convention on Contracts for the International Sale of Goods (CISG).

19.4 Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertragsverhältnis ist der Hauptgeschäftssitz von Nexis. Nexis hat auch das Recht, den Kunden an dessen Sitz zu verklagen.

19.5 Vertragssprache ist Deutsch. Bei paralleler Verwendung anderer Sprachen und Widersprüchlichkeiten zwischen verschiedenen Sprachfassungen ist der deutsche Wortlaut der betreffenden Regelungen entscheidend.

19.6 Sollten einzelne Bestimmungen der NEXIS 4 Plattform AGB unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen der NEXIS 4 Plattform AGB nicht. Die Parteien werden sich bemühen, die unwirksame oder undurchführbare Bestimmung durch eine wirksame und durchführbare Regelung zu ersetzen, die der unwirksamen oder undurchführbaren Bestimmung wirtschaftlich so nahe wie möglich kommt. Gleiches gilt für den Fall einer Lücke dieser NEXIS 4 Plattform AGB.

***

General Terms and Conditions for NEXIS 4 - Software as a Service Solution

(the “NEXIS 4 Platform GTC")

Please note: This English version of the NEXIS 4 Platform GTC is a convenience translation only. In case of conflicts between the German and the English version, the German version shall prevail.

1. General Information

1.1 These NEXIS 4 Platform GTC of NEXIS GmbH, Rudolf-Vogt-Str. 6, 93053 Regensburg (hereinafter referred to as "Nexis") apply to all contracts and customers regarding the use of the SaaS platform NEXIS 4 for identity management, authorisation analysis, role administration and compliance (the "Nexis Platform") and related services.

1.2 These NEXIS 4 Platform GTC apply exclusively to contracts that Nexis concludes with companies, entrepreneurs, merchants, legal entities under public law or special funds under public law. Nexis expressly does not offer its services to consumers within the meaning of Section 13 of the German Civil Code (BGB).

1.3 The customer's general terms and conditions shall not become part of the contractual relationship unless Nexis expressly agrees to their inclusion. This requirement of consent shall also apply if Nexis performs the services without reservation in full knowledge of the customer's general terms and conditions.

1.4 Nexis shall be entitled to amend the NEXIS 4 Platform GTC during the course of the contractual relationship. Such an amendment shall be made by sending updated NEXIS 4 Platform GTC to the customer in text form together with an accompanying letter that expressly refers to the future NEXIS 4 Platform GTC, the date of their validity and the customer's right of objection. The NEXIS 4 Platform GTC amended by Nexis shall become effective upon expiry of a period of 21 calendar days, starting from receipt of the amended NEXIS 4 Platform GTC and accompanying letter by the customer, and shall replace the current NEXIS 4 Platform GTC in their entirety. The customer shall have the right to object to the inclusion and validity of new NEXIS 4 Platform GTC adapted by Nexis within a period of 14 calendar days, starting from receipt of the adapted NEXIS 4 Platform GTC and the corresponding accompanying letter by the customer. If the customer objects to the inclusion of the amended NEXIS 4 Platform GTC in due time, they shall not become part of the contract. If Nexis does not receive an objection from the customer within the objection period and the customer continues to use the services provided by Nexis, the customer shall be deemed to have consented to the inclusion of the NEXIS 4 Platform GTC as amended by Nexis.

2. Conclusion of Contract

2.1 Prior to the conclusion of the contract, Nexis shall send the customer a time-limited, binding offer together with the associated service certificate (together, the "Offer").

2.2 Provisions individually agreed in the Offer shall take precedence over the provisions in the NEXIS 4 Platform GTC. In the event of a conflict between the provisions in the GTC and the Service Level Agreement ("SLA"), the provisions of the SLA shall take precedence.

2.3 The contract between Nexis and the customer for the services described in the Offer shall be concluded upon acceptance of the Offer by the customer. Acceptance can be made either in writing or electronically (if technically available by electronic signature or e-mail).

3. Subject of Performance

In accordance with these NEXIS 4 Platform GTC, Nexis offers the customer the following services, whereby additional details regarding the scope of services and functions can be found in the respective Offer:

3.1 Access and use of the Nexis Platform. With regard to the use of the Nexis Platform, the conditions in section 4 shall apply in particular. In addition, Nexis provides general support services ("Standard Support Services") as part of the provision of the Nexis Platform, which are described in section 5.

3.2 At the customer's request and in accordance with a separate order, Nexis shall also provide extended support services in connection with the use of the Nexis Platform ("Premium Support Services", the Standard Support Services and the Premium Support Services together the "Support Services"). With regard to the provision of Premium Support Services, in particular the conditions described in section 5 shall apply.

3.3 In addition, Nexis shall provide other services in connection with the Nexis Platform at the customer's request and in accordance with a separate order, such as the initial setup of the Nexis Platform at the customer's premises; consulting services or customisation of the functionality of the Nexis Platform to the customer's needs (the "Professional Services"). With regard to the provision of Professional Services, in particular the conditions in section 6 shall apply.

4. Special Conditions for the Use of the Nexis Platform

4.1 General

4.1.1 Access to the Nexis Platform and all information contained therein, with the exception of customer data, is the intellectual property of or licensed to Nexis. The scope of the granting of rights to the Nexis Platform to the customer is set out in section 4.2.

4.1.2 The subject matter of the contract is expressly not the source code of the software on which the Nexis Platform is based and the provision of the source code for use by the customer.

4.1.3 Nexis is authorised to change and/or adapt the Nexis Platform within the scope of maintenance, support and regular further development by means of patches, updates, upgrades and new releases, if and to the extent that this is necessary for technical reasons or due to changes in the legal framework or to close security gaps and/or to improve the software functionally and/or technically. Such changes and adaptations shall in any case only be permitted if they are reasonable for the customer, taking into account his interests. The right of use regulated in section 4.2 shall apply accordingly to such further developments of the Nexis Platform.

4.1.4 The customer is not entitled to an adaptation of the Nexis Platform due to changes in legal requirements specifically applicable to him, which are not included in the scope of the licence. In such a case, the customisation will only be carried out if expressly commissioned as part of Professional Services.

4.1.5 The proper usability of the Nexis Platform is only possible if the customer maintains the current system requirements, such as the use of current browsers or for the operation of the connectivity proxy on the customer's systems. The current system requirements shall be communicated to the customer by Nexis upon request, are included in the service certificate (Leistungsschein) or are published on the Nexis website. It is the customer's responsibility to obtain information on this independently.

4.1.6 Nexis is authorised but not obliged to include customer-specific adaptations with regard to the standard functionality in the Nexis Platform. Any such customisations are the subject of the Professional Services.

4.1.7 Nexis hereby points out that the contractual use of the Nexis Platform may require the subsequent licensing of third-party software. Any additional costs incurred for this shall be borne by the customer.

4.1.8 If the customer is provided with certain templates (e.g. templates or best practice recommendations) via the Nexis Platform (or individually bookable modules), these merely represent a non-binding recommendation and do not constitute legal advice. The customer must therefore carry out their own legal checks on such templates.

4.2 License Conditions

4.2.1 Nexis shall grant the customer a non-exclusive, revocable, non-transferable and non-sublicensable right to use the Nexis Platform for its own business purposes in connection with the subject matter of the contract. This right of use is limited to the duration of the contract and relates exclusively to the current status and scope of the Nexis Platform provided by Nexis during the term of the contract. The customer shall not receive any further rights, for example to the software applications or operating software on which the Nexis Platform is based. With the exception of the provisions set out in this section 4.2 or unless otherwise agreed in writing, the customer may only use the Nexis Platform (i) for its own business purposes, (ii) by its own employees and (iii) for the maximum number of licences and licensing variant specified in the Offer (see section 4.2.3).

4.2.2 The Nexis Platform is offered with various modules, each with a different range of functions. The Offer specifies which modules of the Nexis Platform are licensed by the customer. It also provides an overview of the modules and their range of functions.

4.2.3 The Nexis Platform is licensed in accordance with the Offer, either based on the number of digital identities created on the Nexis Platform (see a)) or on the number of customer employees using the Nexis Platform (see b)).

a) Alternative 1: Each entity managed in the Nexis Platform as an "Employee" and each additional entity with access to the Nexis Platform that is not managed as an "Employee" shall count as one used licence from the day it is created in the Nexis Platform. If a natural person has multiple digital identities or accesses, each of these identities or accesses shall be counted separately.

b) Alternative 2: Each natural person for whom at least one digital identity is managed in the Nexis Platform or who has access to the Nexis Platform shall count as one used licence from the day they are created in the Nexis Platform.If a natural person has multiple digital identities or accesses, they shall not be counted more than once.Special users (e.g. technical digital identities) shall also count as used licences if they are imported as "Employees" in the Nexis Platform.

4.2.4 The customer is entitled to grant employees of affiliated companies within the meaning of Section 15 German Stock Corporation Act (Aktiengesetz - AktG) access to the Nexis Platform within the scope of the agreed licence model (section 4.2.3), provided that this has been agreed in the Offer and the affiliated company has been specifically named. The parties merely clarify that the user behaviour of employees of affiliated companies shall also be attributed to the customer, in particular with regard to any liability of the customer.

4.2.5 Types of use other than those described in this section 4.2 are not covered by the right of use. In particular, access to the Nexis Platform may not be made available to third parties.

4.2.6 Any use of the Nexis Platform by the customer beyond the agreed extent, in particular with more licences than specified in the Offer, shall be deemed to be in breach of contract. In this case, the customer shall be obliged to notify Nexis immediately of the excess use and to reach an agreement with Nexis on subsequent licensing (with appropriate remuneration) on the basis of the valid price lists of Nexis. Any copyright claims of Nexis shall remain unaffected by this. This provision shall also apply in particular if access to the Nexis Platform was provided to the customer by a Nexis partner.

4.3 Availability, Transfer Point

4.3.1 Nexis shall be responsible for providing access to the Nexis Platform at the transfer point. The transfer point is the data interface of the Nexis data centre or the service provider commissioned by Nexis to provide a data centre (e.g. AWS) on which the Nexis Platform is operated.

4.3.2 The customer's connection to the Internet is not the subject of the contract, but is the responsibility of the customer.

4.3.3 The responsibility of Nexis for the availability of the Nexis Platform ends at the transfer point. Nexis guarantees the availability of the Nexis Platform in accordance with the SLA.

4.4 Data Use and Deletion

4.4.1 Upon termination of the contractual relationship, Nexis shall be entitled to delete all data and information transferred by the customer to the Nexis Platform without replacement. Nexis shall inform the customer of this pending deletion no later than four (4) weeks prior to the termination of the contractual relationship. At the customer's request, Nexis shall submit an offer to migrate or support the migration of the customer's data from the Nexis Platform to another system to be named by the customer, provided that this is reasonable for Nexis and the transfer is to take place in a data format and technical transmission path known to Nexis. If Nexis terminates the contractual relationship without notice for good cause, Nexis shall, at the customer's request and for a maximum period of three (3) months after termination of the contract, provide the customer with the opportunity to export its data in a suitable format, whereby the customer shall reimburse Nexis for the expenses incurred in this respect in accordance with the most recently agreed hourly and daily rates; in this case, Nexis shall be entitled to demand the expected costs incurred from the customer as an advance payment.

4.4.2 If Nexis is subject to retention obligations, Nexis shall be entitled to store and process the corresponding data and information for the duration of the retention obligation. Upon expiry of the retention obligation, Nexis shall delete the relevant data and information in its entirety; the provision in the above section 4.4.1 shall remain unaffected by this.

4.4.3 Transmission data from real-time communication is collected and stored by Nexis for a maximum of 12 months for the purpose of error detection (so-called debugging).

4.4.4 Asynchronous data exchange via standard interfaces with third-party systems is only collected and stored if necessary and for a maximum of 12 months for the purposes of error detection (debugging).

5. Special Conditions for Support Services

As part of the licensing of the Nexis Platform in accordance with section 4, Nexis also provides Standard Support Services, the scope of which is set out in the Service Level Agreement, the SLA, and the description in this section 5.

5.1 The provision of Support Services relates exclusively to the current version of the Nexis Platform and any associated software.

5.2 The Support Services include the elimination of errors and the provision of updates (equivalent to the provision of a new minor version) and upgrades (equivalent to the provision of a new major version) of the Nexis Platform.

5.3 The elimination of faults and damage caused by improper use of the Nexis Platform by the customer, incorrect user behaviour, the influence of third parties or force majeure are not covered by the Support Services. However, they can be agreed in individual cases for a separate fee.

5.4 The Support Services also do not include the maintenance of hardware, third-party software (e.g. operating system, operating system-related software) and changes made by the customer or third parties in order to establish the interoperability of the Nexis Platform with third-party software (e.g. interfaces to other software products).

5.5 Other services in connection with the Nexis Platform, in particular a hotline service for customer questions about the Nexis Platform, installation and configuration services, customising and/or training measures are not part of the Support Services.

5.6 The customer can only make use of Support Services in accordance with these terms and conditions for all licences purchased by them for the Nexis Platform. It is not possible to use the Support Services for only some of the licences purchased.

5.7 The customer is authorised to contact Nexis support to report malfunctions, operational restrictions and functional impairments of the Nexis Platform.

5.8 For every enquiry or report to Nexis support, Nexis opens a qualified support ticket (the "Support Ticket").

5.9 Support Tickets are processed exclusively in German or English.

5.10 Support is generally available on working days at the Nexis Regensburg site from 9:00 am to 5:00 pm ("Support Hours"). Support Tickets are accepted and processed exclusively within the Support Hours. Support Hours deviating from this can be agreed individually.

5.11 The customer can open Support Tickets via the ticket system provided by Nexis and send them to Nexis.

5.12 Nexis informs the customer about the receipt and completion of Support Tickets. This can also take the form of an automatically generated e-mail from the system.

5.13 Only key users are authorised to contact Nexis support. The customer is authorised to name up to two key users at the same time. Key users are the authorised enquirers from the customer's sphere of responsibility appointed by the customer. After conclusion of the contract, the customer shall provide Nexis with a list of key users that enables Nexis to identify them as such.

5.14 The customer is authorised to update the list of key users designated by the customer at any time. An updated list submitted by the customer shall become binding for Nexis at the beginning of the month following the month in the course of which the updated list was submitted by the customer.

5.15 Nexis invoices the price for processing Support Tickets on a time and material basis and at 15-minute intervals, unless otherwise contractually agreed. The hourly rates for the provision of Support Services are set out in the Offer.

5.16 Nexis is authorised to charge a factor of 2.5 for Support Tickets processed outside Support Hours at the express request of the customer.

5.17 If the customer or a key user opens a Support Ticket to report malfunctions, operational restrictions and functional impairments of the Nexis Platform and/or the system that Nexis is not obliged to rectify under the warranty, Nexis shall be entitled to demand the actual expenses incurred in the course of checking, recognising and/or rectifying the reported issue for each Support Ticket, but regardless of this, at least a flat processing fee of EUR 250. With regard to the flat-rate processing fee, the customer reserves the right to prove that no or only significantly less damage has been incurred.

5.18 In accordance with the Offer, the parties may agree that the customer books Premium Support Services against payment of an additional fee, which include an extended scope of services and different response times compared to the general Support Services. Details can be found in the Offer and the SLA.

6. Special Conditions for Professional Services

6.1 General

6.1.1 Professional Services are generally service contracts (Dienstverträge), unless the nature of the contract expressly provides otherwise. If, in exceptional cases, work services (Werkleistungen) are provided as part of the Professional Services, the following provisions of section 6.2 to 6.6 shall apply in addition.

6.1.2 The services to be provided as part of Nexis' Professional Services are set out in the Offer.

6.1.3 Unless otherwise agreed in writing, remuneration is based on time and material. Billing takes place in 15-minute increments.

6.1.4 To simplify matters, all short activities (<15 minutes duration) are not billed individually, but via a collective item (administration flat rate) amounting to 7% of the hours worked in a month. If this is not desired, the customer must inform Nexis of this when concluding the contract with regard to Professional Services. In this case, all short activities (each rounded up to 15 minutes) will be invoiced individually.

6.1.5 Any agreed total budget can be called up flexibly over a project term, taking into account corresponding lead times at Nexis. The customer is under no obligation to call up services under an agreed total budget.

6.1.6 The customer is obliged to name a contact person for the provision of Professional Services and any project communication on the part of the customer to Nexis in writing (e-mail is sufficient) before the agreed start of the Professional Services. In particular, the parties shall use this communication channel to agree on schedules for the provision of Professional Services or within the framework of a specific project.

6.2 Acceptance of Work Performances

6.2.1 Nexis shall notify the customer of the readiness for acceptance of work services (Abnahmereife von Werkleistungen) in writing (e-mail is sufficient).

6.2.2 The customer shall commence the acceptance test immediately upon receipt of the notification of readiness for acceptance.

6.2.3 The customer shall provide the data and equipment required for the acceptance test free of charge and to the extent necessary.

6.2.4 The customer may not refuse acceptance due to insignificant defects. Insignificant defects are in particular those of a more cosmetic nature that do not lead to an impairment of the function, or defects that occur in the layout that do not significantly hinder the use of the Nexis Platform by the user.

6.2.5 The service to be accepted shall be deemed to have been accepted if

• the customer refuses to carry out the acceptance test or to sign or draw up the report without a comprehensible justification, in particular without a description of defects preventing acceptance, or
• the customer does not notify Nexis of defects preventing acceptance within a reasonable period of time, whereby a reasonable period of time is generally four weeks, unless Nexis notifies a different period of time, or
• the customer uses the work product to be accepted productively for a total period of more than twelve (12) weeks after receiving notification that the work product is ready for acceptance.

6.2.6 If acceptance is excluded due to the nature of the work, the completion of the work shall take the place of acceptance.

6.2.7 In the event of partial acceptance, Nexis shall be entitled to withhold further services if the customer is in default with the acceptance of partial work products or with the payment of partially accepted work products. Agreed fixed deadlines shall be automatically extended by the period of such authorised retention.

6.2.8 Nexis shall be entitled to demand partial acceptances from the customer for partially completed work productsrendered in accordance with the contract. The provisions of section 6.2 shall apply accordingly to these partial acceptances. Partial acceptances are subject to overall acceptance. Nevertheless, the customer may not refuse overall acceptance due to defects that were obvious during a partial acceptance test or should have been recognised by the customer, but the customer nevertheless declared acceptance.

6.3 Claims of the Customer for Material Defects

6.3.1 The customer shall grant reasonable periods of time to remedy the defect.

6.3.2 Within the scope of subsequent fulfilment, Nexis shall choose between rectification or new delivery.

6.3.3 After an unsuccessful attempt at subsequent fulfilment, Nexis shall be permitted at least one further attempt at subsequent fulfilment, unless Nexis seriously and definitively refuses subsequent fulfilment.

6.3.4 All notices of defects and requests for subsequent fulfilment shall, if possible, be made in writing with comprehensible descriptions of the symptoms of the defect and with the submission of written records, hard copies or other documents illustrating the defects.

6.3.5 The right to self-remedy in accordance with sections 634 No. 2, 637 BGB is excluded.

6.3.6 A reduction in remuneration totalling more than 50 % is not permitted.

6.3.7 Claims for defects shall not extend to work results and services of Nexis that the customer or a third party modifies on behalf of the customer without the consent of Nexis. This shall not apply if the customer proves that this change is not the cause of the defect in question.

6.4 System Compatibility

6.4.1 If the object of the Professional Services is the creation or provision of a web application or software application by Nexis, Nexis shall only be responsible for its functionality for the expressly agreed operating systems, browser types and versions.

6.4.2 If it is not possible to correctly reproduce a web application to be created and/or provided using one of the agreed browser versions solely due to non-compliance with W3C conventions or a programming error on the part of the browser manufacturer and Nexis is not responsible for this circumstance, this shall not constitute a material defect and Nexis shall not be obliged to modify or adapt the web application in question.

6.4.3 Nexis hereby expressly draws the customer's attention to the fact that the operability or functionality of the web application may be impaired or completely eliminated if the agreed operating systems and browser versions are changed, overhauled or replaced by new releases, updates, upgrades or subsequent versions of these programmes.

6.5 Change Request

6.5.1 The parties shall be entitled at any time to propose to the other party different characteristics or requirements for the object of performance agreed within the scope of the Professional Services ("Change Request").

6.5.2 Upon receipt of a corresponding request from the customer, Nexis estimates the costs for the professional, technical and organisational implementation of the customer's request and at the same time submits an offer to conclude a corresponding Change Request.

6.5.3 Nexis shall notify the customer of the completion of the customisation services in accordance with a Change Request.

6.5.4 During the negotiation of a Change Request, Nexis shall continue to perform in accordance with the applicable agreements. If the customer wishes to temporarily suspend the contractual provision of services until the conclusion of the negotiations, section 10.1.5 shall apply accordingly.

6.5.5 Any additional expenses incurred by Nexis due to the implementation of a Change Request shall be remunerated by the customer additionally and on a time and material basis. Nexis and the customer shall agree on the expected additional costs before implementing the Change Request.

6.6 Property Rights

Insofar as intellectual property rights are created by Nexis within the scope of Professional Services, the granting of rights to any work results shall be governed by section 4.2 unless otherwise agreed in writing. The parties merely clarify that, unless otherwise agreed, modifications to the Nexis Platform developed as part of the Professional Services shall not be deemed to be software components created individually for the customer and Nexis shall be entitled at any time to transfer these customisations to the standard functional scope of the Nexis Platform and also offer them to other Nexis customers.

7. General Principles of Service Provision by Nexis

7.1 Nexis shall provide the contractual services in accordance with the current state of the art.

7.2 Nexis shall provide the customer with user documentation (user guide) in digital form in German for the Nexis Platform and any software developed as part of Professional Services, which is addressed to a specialised IT user. No further documentation is owed.

7.3 Nexis only employs qualified and reliable staff and uses proven processes and tools that Nexis is aware of.

7.4 Nexis shall decide at its due discretion which employees are to be deployed or replaced for the contractual provision of services. The authority to issue instructions regarding the deployed employees lies and remains exclusively with Nexis.

7.5 Nexis shall be entitled to determine the location, working hours and work process itself, but shall take into account the given circumstances and objectively justified requirements to the extent necessary for the proper execution of the contractual relationship.

7.6 Nexis is not obliged to check the compatibility of the content requirements placed by the customer on the services to be provided by Nexis with applicable statutory provisions, in particular competition law, data protection law and consumer protection law provisions, as well as violations of trademark and patent law. The responsibility for this lies and remains with the customer. Nevertheless, Nexis shall notify the customer of breaches of law as soon as Nexis becomes aware of such breaches and the notification itself does not constitute a breach of duty on the part of Nexis.

7.7 Nexis shall only be obliged to provide advice if this has been expressly agreed.

7.8 Services provided by Nexis shall only be deemed guaranteed if and to the extent that the word "guarantee" or "guaranteed service" is expressly used in connection with them. In particular, services agreed in the SLA or as part of Support Services or Professional Services do not constitute guarantees.

7.9 The place of performance and fulfilment is the main place of business of Nexis.

7.10 Relative and/or absolute fixed dates are only those that are expressly designated as "fixed date" or "fixed dates" or with a similar and equivalent designation.

7.11 Unless otherwise agreed, e.g. as part of Premium Support Services, the customer is generally responsible for backing up the customer's data.

7.12 The customer is obliged to comply with all foreign trade regulations applicable to them and not to establish and/or maintain any connections with persons and organisations against which restrictive measures to combat terrorism or other foreign trade sanctions have been or will be imposed.

7.13 The services and deliveries of Nexis are subject to the reservation of self-supply, provided that Nexis is not at least grossly negligent in the temporary or permanent failure of self-supply. Nexis shall inform the customer of such a failure as far as possible in advance, promptly and in writing.

7.14 If contractual services can be realised in different technical ways and/or with different technical means, Nexis shall decide on the type and means at its reasonable discretion. Such a decision must take into account the interests of the customer and be reasonable.

8. Term and Cancellation

8.1 Access to the Nexis Platform

8.1.1 Unless otherwise agreed in writing, a contract for the use of the Nexis Platform is concluded for a fixed term of thirty-six (36) months.

8.1.2 The right of both parties to terminate the contract without notice for good cause shall remain unaffected, in particular if the other party persistently breaches material contractual obligations and fails to remedy the breach within a reasonable period of time despite a warning, or if the other party suffers a significant deterioration or threat to its assets. In addition, Nexis shall be entitled to terminate the contract without notice if the customer is in default of payment for two (2) consecutive months or for a period of more than two (2) months totalling two (2) months' remuneration.

8.2 Support Services

8.2.1 The term of the Standard Support Services offered in connection with the provision of the Nexis Platform is identical to the term of the contract for the use of the Nexis Platform. Unless otherwise agreed in writing, the term of any Premium Support Services booked by the customer is also identical to the term of the contract for the use of the Nexis Platform.

8.2.2 The right to extraordinary cancellation remains unaffected.

8.2.3 If a contract for Premium Support Services is concluded together with the contract for the use of the Nexis Platform, the provision of services shall begin when the login data for the Nexis Platform is provided to the customer. Unless otherwise agreed in the Offer, the obligation to pay the agreed maintenance and support fee shall commence upon expiry of a period of two (2) months, beginning with the conclusion of the Nexis Platform contract.

8.2.4 If support for third-party software is (also) the subject of Premium Support Services and the manufacturer of this third-party software announces the so-called "end-of-life" of the manufacturer's support for the third-party software in question, Nexis shall be entitled to terminate Premium Support Services in relation to the third-party software in question without observing a notice period and with effect from the date specified by the manufacturer in question as the "end-of-life" (extraordinary special right of termination). If the termination of Premium Support Services relating to the relevant third-party software due to the assertion of this special right of cancellation occurs before the end of the contract term for which the customer has already paid remuneration to Nexis, Nexis shall refund the remuneration for Premium Support Services to the customer on a pro rata temporis basis.

8.2.5 If manufacturer support from a third party expires (so-called end-of-life), which Nexis obtains and requires in order to provide the contractual Premium Support Services, Nexis shall be entitled to:

• terminate the support contract as a whole subject to a notice period of 30 calendar days,
• terminate the contractual Premium Support Services affected by the end-of-life in question on a pro rata basis subject to a notice period of 30 calendar days, or
• request an adjustment of the support contract or the Premium Support Services to the effect that the end-of-life in question does not result in non-performance and/or poor performance by Nexis.

8.2.6 The right of cancellation in accordance with the above section 8.2.5 arises with the announcement of the end-of-life by the manufacturer.

8.3 Professional Services

8.3.1 If the Professional Services are considered services (Dienstleistungen), the customer shall owe remuneration for all services already rendered.

8.3.2 Insofar as – by way of exception - the services provided within the scope of Professional Services areconsidered work services (Werkleistungen), the provisions set out in this section 8.3.2 shall apply in deviation from the statutory provisions:

a) With regard to section 648 sentence 3 BGB, Nexis shall be entitled to fifteen (15) percent of the agreed remuneration for the part of the work not yet performed. Nexis shall not be entitled to this lump-sum claim if and to the extent that the customer proves that the amount due to Nexis pursuant to section 648 BGB is significantly lower or that Nexis is not entitled to any remuneration.

b) If the customer cancels work services within the framework of a mixed-type contract in accordance with section 648 BGB, the rest of the contract shall remain unaffected by this cancellation. If Nexis cancels work services within the framework of a mixed-type contract in accordance with section 643 BGB, the contract shall otherwise remain unaffected by this cancellation.

9. Remuneration

9.1 Services provided by Nexis shall be remunerated by the customer in accordance with the Offer.

9.2 All daily rates, hourly rates, prices and remuneration stated by Nexis are exclusive of any applicable statutory value added tax and any customs duties and other levies. Taxation is calculated in accordance with the legal requirements for intra-community acquisitions in the EU.

9.3 Nexis shall properly invoice the contractual remuneration claims. Nexis is authorised to invoice by e-mail.

9.3.1 Invoices for the use of the Nexis Platform are issued twelve (12) months in advance. Billing for the subsequent period takes place directly after the end of the previous billing period. This results in one invoice per year of the contract term, which is issued at the beginning of each year. If the contract term is shorter than 12 months, the billing period corresponds to the period from the beginning to the end of the contract term.

9.3.2 Invoices for Premium Support Services are issued annually in advance.

9.3.3 Invoices for Professional Services are issued monthly, at the end of the month following the month in which the service was rendered.

9.4 Invoices are due for payment within 14 calendar days from receipt without deduction. Any deviating payment terms, in particular those contained in Purchase Orders (PO) or in the general terms and conditions of the customer, shall not apply unless expressly agreed to in writing by Nexis.

9.5 If Nexis provides services within the scope of the customer's statutory and/or contractual liability for defects, these shall be free of charge, in particular also in the event that a contractual relationship (e.g. a contract for Professional Services) exists between Nexis and the customer, according to which the same services would have to be remunerated by the customer.

9.6 The customer shall reimburse Nexis for travel expenses incurred by Nexis employees travelling between the relevant Nexis and the customer's location. The following modalities must be observed when using means of transport:

• Rail travel: Costs for 2nd class are eligible for reimbursement.
• Flights: Reimbursable are costs for economy class.
• Use of own car: 0.40 Euro per kilometre or part thereof will be reimbursed.

The customer shall pay 50% of the daily or hourly rates agreed in the Offer for travelling time incurred by Nexis employees.

When Nexis employees travel, Nexis shall be entitled to claim from the customer any hotel costs incurred as well as an additional overnight accommodation allowance of EUR 150 per necessary overnight stay; an overnight stay is necessary if the contracting parties agree on the necessity, if it is necessary in order to comply with the requirements of the Working Hours Act (Arbeitszeitgesetz) or if the distance between the Nexis site and the customer's site is more than 200 km direct travel distance (on major European roads).

10. Secondary Obligations of the Customer

10.1 General Secondary Obligations

10.1.1 The customer is obliged to co-operate to the necessary extent free of charge. Nexis shall inform the customer in advance of any necessary co-operation.

10.1.2 The customer shall ensure that the data and information provided by it is correct, complete and appropriate; Nexis shall not be subject to any active verification obligations in this respect.

10.1.3 The customer is obliged to inform Nexis immediately of any defects or gaps in the provision of services, if and as soon as they become aware of them or can become aware of them in the normal course of business.

10.1.4 The customer shall name an employee of their company who shall be available to Nexis as a contact person authorised to make decisions. The customer shall also nominate a deputy in the event that the primary contact person is unavailable.

10.1.5 If the customer is in default with the performance or provision of an act of co-operation or if the contractual provision of services by Nexis is delayed due to another circumstance for which the customer is responsible ("Delay"), all agreed deadlines that cannot be met due to the Delay by Nexis for operational reasons shall be postponed to a reasonable later date to be determined by Nexis at its reasonable discretion. Furthermore, Nexis shall be entitled to demand compensation from the customer for damages resulting from the Delay, including necessary additional expenses, if and to the extent that such expenses are incurred.

10.1.6 The customer shall support Nexis in determining the amount of variable, in particular usage-dependent remuneration claims to the extent necessary and reasonable and free of charge for Nexis.

10.1.7 If Nexis performs work within the scope of Professional Services, sections 642, 643 BGB shall remain unaffected by the above provisions.

10.2 Supplementary Ancillary Obligations Regarding the Use of the Nexis Platform

10.2.1 The customer shall support Nexis in checking whether the Nexis Platform is used exclusively to the extent that Nexis has granted the customer rights to it. Upon request by Nexis, the customer shall provide corresponding self-disclosures with comprehensible evidence of the scope of use within a reasonable period of time.

10.2.2 The customer is obliged:

• to protect the login data assigned to them or their users for the Nexis Platform, in particular usage and access authorisations as well as identification and authentication safeguards, from access by unauthorised third parties and shall not pass them on to unauthorised users and/or unauthorised third parties,
• to prevent unauthorised access by third parties to the Nexis Platform and/or the system and to the documentation by taking suitable precautions,
• to take reasonable precautions in the event that the Nexis Platform does not work properly in whole or in part. Such reasonable precautions include, in particular, appropriate and regular data backups (unless otherwise agreed as part of Premium Support Services) and regular checks of the data processing results,
• before using the Nexis Platform for the first time, to only provide access data for the Nexis Platform to persons who have been sufficiently trained and informed about the consequences of misuse or incorrect use of the functions provided via the Nexis Platform,
• to store and retain the information and documents (invoices, credit notes, etc.) on the Nexis Platform that are relevant under tax and/or commercial law and must be retained in accordance with the law,
• to grant Nexis access to the web front-end of the Nexis Platform and the corresponding APIs, if necessary for the performance of maintenance work on the Nexis Platform, and
• to issue such authorisations without undue delay for the installation of patches, updates or upgrades on all of the customer's systems that require approval.

10.2.3 The customer undertakes to refrain from doing the following:

• to modify, edit or decompile the source and/or object code of the Nexis Platform without the consent of Nexis, unless and insofar as they are authorised to do so on the basis of section 69e of the German Copyright Act (UrhG) or with the express consent of Nexis,
• to use or allow the use of functions or processes of the Nexis Platform and the underlying system contrary to the contract or the intended purpose, or to support or enable such use,
• to gain access to data and information not intended for themselves or third parties,
• to misuse the Nexis Platform, in particular to post illegal or immoral content or to refer to such content by hyperlink that violates the rights of third parties or is illegal (e.g. violations of personal rights, copyright, trademark or competition law),
• to penetrate or use the data networks, servers, programs and program components or other system components of Nexis without authorisation,
• to remove and/or change copyright notices, serial numbers and other features serving to identify software and/or hardware,
• not to carry out any load, penetration, vulnerability or other testing procedures (including but not limited to automated vulnerability scans, fuzzing, code injection tests and simulations of DDoS or other overload attacks) that could affect the stability, security or availability of the Nexis Platform without the prior consent of Nexis, or
• to use Nexis software and systems for the unsolicited sending of electronic messages or information to third parties for advertising purposes (so-called spamming).

10.2.4 The customer shall provide Nexis with the following if required and upon request by Nexis:

• Parameters for system configuration,
• information on interfaces and data formats,
• the provision of test data, and
• the definition of test cases.

10.2.5 If the Nexis Platform is connected to third-party systems via an interface, the customer shall provide Nexis with a test system and/or test access to the relevant third-party systems promptly and in good time in advance.

10.2.6 If the customer breaches an obligation pursuant to sections 10.2.1 to 10.2.3, Nexis shall be entitled to request the customer to comply and to set a reasonable deadline for compliance. If this deadline expires without result, Nexis shall be entitled to block or restrict the contractual provision of services or access to the Nexis Platform and the system in whole or in part until the customer fulfils the obligation to cooperate or ancillary obligation. Such blocking or restriction shall not entitle the customer to withhold or reduce the monthly fee.

10.2.7 If the customer generates data on the Nexis Platform or holds data on the system that constitutes a breach of an obligation pursuant to sections 10.2.1 to 10.2.3 or whose possession and/or processing violates applicable law, Nexis shall be entitled to delete the data in question immediately and without replacement.

11. Third-Party Works and Services, Open Source

11.1 If Nexis provides the customer with third-party software, third-party hardware, third-party data centre services and/or other third-party services, the provisions of the licence conditions of the third parties concerned shall take precedence for their use and their support and maintenance, if and to the extent that Nexis is obliged to include the licence conditions of the third party in the contractual relationship between the contracting parties when using the contractual third-party services. At the customer's request, Nexis shall inform the customer in text form which licence conditions are involved, to which third-party services these relate and shall provide or send the customer the corresponding licence conditions. Licence conditions in this sense are in particular end-user licence agreements, SLAs, support and maintenance contracts and terms of use.

11.2 The integration, connection or combination of third-party works (e.g. third-party software, open source software, freeware, third-party graphics, third-party images) in, on or with the Nexis Platform and/or work results created by Nexis as part of Professional Services shall not require the customer's consent.

11.3 In the event of the integration, connection or combination of third-party works within the meaning of section 11.1 in which copyrighted rights of use, ancillary copyrights or industrial property rights sui generis exist in favour of third parties, Nexis shall only grant the customer rights to the relevant third-party works to the extent that Nexis itself receives rights from the respective rights holders and the legal relationship that exists between Nexis and the respective rights holders permits this.

11.4 Unless otherwise agreed, Nexis shall grant the customer rights to third-party works at least to the extent necessary for their contractual and intended use.

12. Claims of the Customer for Defects of Title

12.1 If services provided by Nexis are legally defective, Nexis may, at its discretion and expense:

12.1.1 modify or replace the relevant services in such a way that the defect of title is remedied, but still essentially correspond to the agreed functional and performance characteristics in a manner that is reasonable for the customer, or

12.1.2 acquire rights from third parties that are necessary for the customer to be able to use the contractual services free of defects in title and in accordance with the contract and its intended purpose, and to grant these rights to the customer, or

12.1.3 withdraw the affected services against reimbursement of the remuneration paid, whereby Nexis is obliged to grant the customer a reasonable cancellation period, unless this is only possible under unreasonable legal or other conditions.

12.2 Furthermore, Nexis shall indemnify the customer against justified and enforceable claims for damages due to the legal defectiveness of the services of Nexis vis-à-vis the owner of the property rights. The customer shall inform Nexis immediately of any claims asserted by a third party due to an asserted infringement of property rights based on services provided by Nexis. The customer shall refrain from declaring or concluding acknowledgements and/or settlements regarding such claims asserted by third parties without the consent or authorisation of Nexis. Furthermore, the customer shall leave the legal defence against such claims and the choice and assertion of defence measures to Nexis, unless the customer must reserve the defence measures and/or the legal defence for legal reasons. In the event of legal defence by Nexis, the customer shall support Nexis in this, insofar as this is reasonable and the costs involved are not disproportionate. Indemnification claims with immediate effect and retroactively.

12.3 If the contractual relationship for the provision of the Nexis Platform is regarded as a rental agreement, the right of cancellation in accordance with the above section 12.1.3 shall be replaced by the right of extraordinary termination without notice, with the proviso that rental payments paid in advance shall be refunded pro rata temporis.

13. Limitation of Claims

The limitation period for claims arising from material defects and/or defects of title is twelve (12) months, unless the application of the regular statutory limitation period (sections 195, 199 BGB) would lead to a shorter limitation period in individual cases. The limitation regulations in accordance with the Product Liability Act and in accordance with the statutory limitation regulations for claims for damages by the customer against Nexis in the event of grossly negligent or wilful breach of duty shall remain unaffected. The customer's commercial obligations to give notice of defects shall remain unaffected.

14. Liability, Damages

14.1 Nexis shall be liable without limitation in the event of intent, gross negligence, injury to life, body or health, in accordance with the provisions of the Product Liability Act and to the extent of a guarantee assumed by Nexis.

14.2 If Nexis negligently breaches a material obligation, Nexis' liability shall be limited to compensation for damages that are typical for the contract and foreseeable for Nexis at the time the contract is concluded. Material obligations are those whose fulfilment is essential for the proper execution of the contract, whose breach jeopardises the achievement of the purpose of the contract and on whose compliance the customer regularly relies.

14.3 The strict liability of Nexis for material defects that already exist at the time the contract is concluded (section 536a BGB) is excluded. This exclusion does not apply to defects of title.

14.4 In the event of loss and/or damage to data, Nexis shall only be liable to the extent that this loss or damage and its recovery could not have been avoided by the customer taking reasonable precautions, in particular the daily creation of backup copies.

14.5 Otherwise, any liability for damages on the part of Nexis, regardless of the legal grounds, is excluded.

14.6 The above limitation of liability also applies to the personal liability of employees, vicarious agents, organs and representatives of Nexis.

15. Data protection, Telemetry

15.1 Both Nexis and the customer undertake to process personal data in accordance with the requirements of the applicable data protection laws, in particular the EU GDPR.

15.2 Insofar as Nexis processes personal data of the customer, its employees, end customers or other third parties as part of the services offered under these NEXIS 4 Platform GTC, Nexis shall only do so on the instructions of the customer or in order to comply with legal requirements. For this purpose, the parties shall conclude a separate order data processing agreement in accordance with Annex 1.

15.3 Nexis is entitled to anonymise or aggregate data about the customer's use of the Nexis Platform so that it is no longer possible to identify individual data subjects and use it in this form to optimise the Nexis Platform, among other things. The parties agree that anonymised data or data aggregated in accordance with the above shall no longer be considered customer data.

16. Confidentiality

16.1 The parties undertake to treat all confidential information that becomes known to them in the context of the contractual relationship as confidential and to use it only for contractually agreed purposes. Confidential information within the meaning of this provision is information, documents, details and data that are designated as such or are to be regarded as confidential by their nature, in particular also information about the functioning of the Nexis Platform including the underlying structure.

16.2 An exception to section 16.1 exists in the following cases:

16.2.1 If the information is already generally known at the time the contract is concluded,

16.2.2 the party receiving the information was already aware of the information prior to such disclosure of the information by the other party,

16.2.3 the information has become generally known after the conclusion of the contract without the party obliged to maintain confidentiality being at fault, or

16.2.4 one party is required by applicable law, governmental regulation or lawful court or governmental order to disclose Confidential Information and, to the extent permitted by law, notifies the other party of such disclosure and takes reasonable steps to avoid and/or minimise the extent of such disclosure.

16.3 The provisions of the law on the protection of business secrets shall remain unaffected by the provisions set out in this section 16.

16.4 The rights and obligations under section 16 of these NEXIS 4 Platform GTC shall survive the term of the contractual relationship. Both parties are obliged to return or destroy confidential information of the other party upon termination of the contractual relationship at their discretion, unless it has been properly used or separate agreements have been made for the deletion of data after use of the Nexis Platform in accordance with section 4.4.

17. Minimum Wage Act

17.1 Nexis commits itself and its subcontractors to comply with the provisions of the Minimum Wage Act (Mindestlohngesetz).

17.2 Nexis shall indemnify the customer against all claims of third parties to which they are entitled against the customer due to a breach by Nexis of the provisions of the Minimum Wage Act. The provisions on indemnification of the customer in section 12.2 shall apply accordingly.

18. Change of Control

18.1 The customer is obliged to inform Nexis of a change in its majority shareholder in advance and in writing if possible.

18.2 Upon receipt of information within the meaning of section 18.1, Nexis shall be entitled to terminate the contractual relationship without observing a notice period and with immediate effect (extraordinary special right of termination).

19. Final Provisions

19.1 The transfer of the contract or individual rights or obligations arising from it by the customer to third parties requires the prior written consent of Nexis. Section 354a German Commercial Code (HGB) remains unaffected.

19.2 Offsetting against counterclaims of the customer is only permitted if these claims are undisputed or have been legally established. The customer's right of set-off is unrestricted insofar as an offset claim is synallagmatically linked to the principal claim.

19.3 The performance and legal relationship between the parties shall be governed exclusively by German law to the exclusion of the United Nations Convention on contracts for the International Sale of Goods (CISG).

19.4 The exclusive place of jurisdiction for all disputes arising from or in connection with the contractual relationship is the main place of business of Nexis. Nexis also has the right to sue the customer at its registered office.

19.5 The contractual language is German. In the event of parallel use of other languages and inconsistencies between different language versions, the German wording of the relevant provisions shall be decisive.

19.6 Should individual provisions of the NEXIS 4 Platform GTC be or become invalid or unenforceable, this shall not affect the validity of the remaining provisions of the NEXIS 4 Platform GTC. The parties shall endeavour to replace the invalid or unenforceable provision with a valid and enforceable provision that comes as close as possible to the economic intent of the invalid or unenforceable provision. The same applies in the event of a loophole in these NEXIS 4 Platform GTC.

***

Service Level Agreement

("SLA")

1. Einleitung

1.1 Hinsichtlich der im Rahmen der Allgemeinen Geschäftsbedingungen für NEXIS 4 - Software as a Service Solution ("NEXIS 4 Plattform AGB") durch Nexis erbrachten Leistungen, insbesondere der Bereitstellung der Nexis Plattform, gelten die im Rahmen dieser SLA vereinbarten Verfügbarkeiten und Service Level zur Messung und Kontrolle der Qualität der Leistungen.

1.2 Sofern im Rahmen dieses SLAs nicht abweichend definiert, gelten die in den NEXIS 4 Plattform AGB festgelegten Definitionen gleichermaßen fort.

1.3 Bei einem Konflikt zwischen den Regelungen in den NEXIS 4 Plattform AGB und dem SLA gehen die Regelungen dieses SLAs vor. Im Angebot individuell vereinbarte Regelungen gehen sowohl dem SLA als auch den NEXIS 4 Plattform AGB vor.

2. Verfügbarkeit

2.1 Nexis stellt dem Kunden den Zugang zur produktiven Nexis Plattform über eine Internetverbindung zu 98% pro Kalendermonat zur Verfügung (die "Verfügbarkeit"). Sofern der Kunde Premium Support Services in Anspruch nimmt, beträgt die Verfügbarkeit 99% pro Kalendermonat.

2.2 Der Prozentsatz der tatsächlichen Uptime wird nach folgender Formel berechnet:

Tatsächliche Uptime = (Vereinbarte Uptime − Ungeplante Ausfallzeit) / Vereinbarte Uptime ∗ 100

2.3 Die vereinbarte Uptime ist die Gesamtzeit eines Kalendermonats, gemessen in Minuten. Die ungeplante Ausfallzeit wird ebenfalls in Minuten angegeben.

2.4 Nicht als ungeplante Ausfallzeit und damit unbeachtlich für die Berechnung der tatsächlichen Uptime gilt die Durchführung geplanter, angekündigte Unterbrechungen für Wartungsarbeiten, sofern und soweit diese technisch notwendig sind und/oder zur Sicherstellung und/oder Aufrechterhaltung der Sicherheit, Verfügbarkeit und Integrität der Nexis Plattform erfolgen.

2.5 Nexis wird versuchen, diese Wartungsarbeiten außerhalb der regelmäßigen Arbeitszeiten zwischen 18:00 und 09:00 Uhr Mitteleuropäische Zeit (CET/MEZ) durchzuführen.

2.6 Unterschreitet die tatsächliche Uptime die Verfügbarkeit, steht dem Kunden ein zur Unterschreitung der Verfügbarkeit proportionales Minderungsrecht zu.

2.7 Die in Ziffer 14 der NEXIS 4 Plattform AGB sowie etwaige im Angebot dargelegten Haftungsbeschränkungen von Nexis, insbesondere auch die Ausnahmen hierzu, finden gleichermaßen auf dieses SLA Anwendung.

3. Service Level

3.1 Eine Behebung etwaiger Einschränkungen der Funktionsweise der Nexis Plattform ("Fehler") richtet sich nach den in dieser Ziffer 3 beschriebenen Service Level.

3.2 Ob ein Fehler der Nexis Plattform vorliegt, bestimmt sich nach der Beschreibung der Funktionalität der Nexis Plattform gemäß Leistungsschein. Ein Fehler liegt insbesondere vor, wenn die Nexis Plattform nicht die im Leistungsschein angegebenen Funktionen erfüllt, den Lauf unkontrolliert abbricht oder in sonstiger Weise nicht ordnungsgemäß arbeitet, so dass eine Nutzung der Plattform nicht nur unerheblich eingeschränkt oder unmöglich ist.

3.3 Ein Fehler liegt nicht vor, wenn die Funktionsstörung auf unsachgemäße Nutzung der Plattform, insbesondere ein Abweichen von etwaigen Nutzungsanweisungen (Benutzerhandbuch) oder Einsatz in einer nicht dafür vorgesehenen Hard- und Softwareumgebung, beruht.

3.4 Nexis wird unter Einsatz der zur Verfügung stehenden Mittel innerhalb angemessener Frist nach Eingang einer Fehlermeldung des Kunden mit der Fehlerbeseitigung beginnen. Nexis wird sich auch bemühen, dem Kunden eine Umgehungslösung anzubieten.

3.5 Hinsichtlich der von Nexis angebotenen Service Level wird zwischen den nachfolgenden Fehlerklassen unterschieden:

• Klasse 1 (kein Arbeiten möglich): Die Nutzung der Nexis Plattform oder wesentliche Teile der Plattform ist nicht möglich; Die Plattform ist entweder nicht lauffähig oder bricht ihre Funktion willkürlich ab.
• Klasse 2 (Arbeiten kritisch): Die Anwendung wesentlicher Teile der Nexis Plattform ist nur stark eingeschränkt möglich, der Benutzer ist in seiner Arbeit stark eingeschränkt.
• Klasse 3 (kleinere Fehler): Die Nexis Plattform ist ohne wesentliche Einschränkungen nutzbar, die Arbeitsergebnisse brauchbar.

3.6 Einschränkungen in der Nutzung der Plattform können die Kunden über die in den NEXIS 4 Plattform AGB beschriebenen Kanäle melden.

3.7 Die Kategorisierung der gemeldeten Fehler wird grundsätzlich einvernehmlich zwischen Nexis und dem Kunden getroffen. Kann kein Einvernehmen erzielt werden, so entscheidet Nexis über die Kategorisierung.

3.8 Die Reaktionszeit bemisst sich nach den Umständen des Einzelfalls, insbesondere nach der Schwere des Fehlers und ist definiert als die Zeit, die der Lizenzgeber benötigt, um mit der Fehlerbeseitigung zu beginnen. Die Zeitbemessung richtet sich nur innerhalb der vereinbarten Supportzeiten in Stunden (h). Soweit nicht besondere Umstände vorliegen, gelten folgende Fehlerklassen und Reaktionszeiten für die Fehlerbehebung:

3.9 Sofern die geschätzte Zeit bis zur Beseitigung des jeweiligen Fehlers nicht eingehalten werden kann, wird Nexis den Kunden hierüber rechtzeitig in Kenntnis setzen, einschließlich der Hintergründe für die Verzögerung und wie lange die gemeldete Störung voraussichtlich noch andauern wird.

3.10 Wird ein Fehler außerhalb der Geschäftszeiten von Nexis (Montag-Freitag, außer an gesetzlichen Feiertagen am Standort Regensburg von Nexis, 09:00 und 17:00 Uhr) gemeldet, gilt er als zu Beginn der nächsten Geschäftszeiten gemeldet. Soweit eine Frist in Tagen berechnet wird, endet die Frist mit dem Ende der jeweiligen Geschäftszeiten dieses Tages.

4. Updates

Sofern Nexis - wie insbesondere in Ziffer 4.1 der NEXIS 4 Plattform AGB beschrieben - die Nexis Plattform im Rahmen von Wartung, Support und regulärer Weiterentwicklung mittels Patches, Updates (entspricht dem Bereitstellen einer neuen Nebenversion), Upgrades (entspricht dem Bereitstellen einer neuen Hauptversion) und neuen Releases ändert und/oder anpasst, erfolgen diese grundsätzlich nach den im Folgenden beschriebenen Intervallen:

5. Weitere Leistungen gemäß Premium Support Services

Im Rahmen der gemäß Angebot gesondert vereinbarten Premium Support Services erhält der Kunde gegenüber dem allgemeinen Support folgende Zusatzleistungen:

5.1 Backup Service Paket: Nexis führt für den Kunden hinsichtlich der auf der Nexis Plattform verarbeiteten Daten des Kunden täglich ein Backup durch und stellt es dem Kunden für eine Dauer von 48h nach Erstellung des Backups zum Download zur Verfügung.

5.2 Für jedes volle Jahr gebuchter Premium Support Services stellt Nexis dem Kunden Professional Services (siehe. Ziffer 6 der NEXIS 4 Plattform AGB) auf dem Level eines Junior Consultants im Umfang von 5 Personentagen zur Verfügung. Das im Rahmen dieser Ziffer 5.2 bereitgestellte Kontingent an Professional Services muss vom Kunden während der Laufzeit der Premium Support Services eingelöst werden. Andernfalls verfällt das Kontingent.

5.3 Einzelne Updates der Nexis Plattform werden auf Anfrage des Kunden und sofern sich hieraus für Nexis oder die Nutzung der Plattform keine unangemessenen Nachteile oder (Sicherheits-)Risiken ergeben, für einen Zeitraum von höchstens 2 Monaten ausgesetzt.

Service Level Agreement

("SLA")

Please note: This English version of the SLA is a convenience translation only. In case of conflicts between the German and the English version, the German version shall prevail.

1. Preamble

1.1 With regard to the services provided by Nexis under the General Terms and Conditions for Nexis 4 - Software as a Service Solution ("Nexis 4 Platform GTC"), in particular the provision of the Nexis Platform, the availabilities and service levels agreed in the context of this SLA shall apply to measure and control the quality of the services.

1.2 Unless otherwise defined in this SLA, the definitions set out in the Nexis 4 Platform GTC shall continue to apply equally.

1.3 In the event of a conflict between the provisions in the Nexis 4 Platform GTC and the SLA, the provisions of this SLA shall take precedence. Provisions agreed individually in the Offer shall take precedence over both the SLA and the Nexis 4 Platform GTC.

2. Availability

2.1 Nexis shall provide the customer with access to the productive Nexis Platform via an internet connection at 97.0% per calendar month (the "Availability"). If the customer utilises Premium Support Services, the Availability is 99% per calendar month.

2.2 The percentage of actual uptime is calculated using the following formula:

Actual uptime = (Agreed uptime − Unplanned downtime) / Agreed uptime ∗ 100

2.3 The agreed uptime is the total time of a calendar month, measured in minutes. The unplanned downtime is also specified in minutes.

2.4 The execution of planned, announced interruptions for maintenance work shall not be considered unplanned downtime and thus irrelevant for the calculation of the actual uptime, if and insofar as these are technically necessary and/or are carried out to ensure and/or maintain the security, availability and integrity of the Nexis Platform.

2.5 Nexis will endeavour to carry out this maintenance work outside regular working hours between 6:00 pm and 9:00 am Central European Time (CET/MEZ).

2.6 If the actual uptime falls short of the availability, the customer shall be entitled to a reduction in price proportional to the shortfall in availability.

2.7 The limitations of liability of Nexis set out in Section 14 of the Nexis 4 Platform GTC and any limitations of liability of Nexis set out in the Offer, in particular the exceptions thereto, shall apply equally to this SLA.

3. Service Level

3.1 The elimination of any restrictions in the functioning of the Nexis Platform ("Errors") is based on the service level described in this section 3.

3.2 Whether there is an Error in the Nexis 4 Platform is determined by the description of the functionality of the Nexis Platform in accordance with the service certificate. An Error exists in particular if the Nexis Platform does not fulfil the functions specified in the service certificate (Leistungsschein), aborts the run in an uncontrolled manner or does not work properly in any other way, so that use of the platform is not only insignificantly restricted or impossible.

3.3 An Error does not exist if the malfunction is due to improper use of the Nexis Platform, in particular a deviation from any instructions for use (user manual) or use in a hardware and software environment not intended for this purpose.

3.4 Nexis shall begin to rectify the Error using the means available within a reasonable period of time after receiving an error message from the customer. Nexis shall also endeavour to offer the customer a workaround solution.

3.5 With regard to the service levels offered by Nexis, a distinction is made between the following Error classes:

• Class 1 (no work possible): It is not possible to use the Nexis Platform or essential parts of the platform; the platform is either not executable or arbitrarily interrupts its function.
• Class 2 (work critical): The use of essential parts of the Nexis Platform is only possible to a very limited extent, the user is severely restricted in his work.
• Class 3 (minor issue): The Nexis Platform can be used without significant restrictions, the work results are usable.

3.6 Customers can report restrictions in the use of the platform via the channels described in the Nexis 4 Platform GTC.

3.7 The categorisation of the reported Errors is generally agreed between Nexis and the customer. If no agreement can be reached, Nexis shall decide on the categorisation.

3.8 The response time is determined by the circumstances of the individual case, in particular the severity of the Error and is defined as the time required by Nexis to begin rectifying the Error. The time measurement applies only within the agreed support hours (h). Unless there are special circumstances, the following Error classes and response times apply for Error rectification:

3.9 If the estimated time to remedy the respective Error can cannot be met, Nexis shall inform the customer of this in good time, including the reasons for the delay and how long the reported issue is expected to continue.

3.10 If an Error is reported outside Nexis' business hours (Monday-Friday, except on public holidays at Nexis' Regensburg site, 9:00 am to 5:00 pm), it shall be deemed to have been reported at the beginning of the next business hours. If a deadline is calculated in days, the deadline ends at the end of the respective business hours of that day.

4. Updates

If Nexis changes and/or adapts the Nexis Platform as part of maintenance, support and regular further development by means of patches, updates (corresponds to the provision of a new minor version), upgrades (corresponds to the provision of a new major version) and new releases - as described in particular in Section 4.1 of the Nexis 4 Platform GTC - these shall generally be carried out at the intervals described below:

5. Further services according to Premium Support

As part of the Premium Support Support agreed separately in accordance with the Offer, the customer receives the following additional services compared to the general support:

5.1 Backup service package: Nexis carries out a daily backup of the customer's data processed on the Nexis Platform and makes it available to the customer for download for a period of 48 hours after the backup has been created.

5.2 For each full year of Premium Support Services booked, Nexis shall provide the customer Professional Services (see Section 6 of the Nexis 4 Platform GTC) at the level of a junior consultant to the extent of 5 man-days. The quota of Professional Services provided under this section 5.2 must be claimed by the customer during the term of the Premium Support Services. Otherwise, it expires.

5.3 Individual updates to the Nexis Platform shall be suspended for a maximum period of 2 months at the customer's request and provided that this does not result in any unreasonable disadvantages or (security) risks for Nexis or the use of the platform.

Anlage 1 zu den Nexis 4 Plattform AGB

Auftragsverarbeitungsvertrag

"Vertrag"

Nachfolgend werden der Verantwortliche und Nexis jeweils als Vertragspartei und gemeinsam als Vertragsparteien bezeichnet. Verantwortlicher im Sinne dieser Anlage ist der Lizenznehmer.

Präambel

Dieser Vertrag regelt die datenschutzrechtlichen Verpflichtungen betreffend die Verarbeitung personenbezogener Daten im Zuge der von Nexis unter den Nexis 4 Plattform AGB und im Zusammenhang mit dem dazugehörigen Angebot (der "Hauptvertrag") erbrachten Leistungen.

Sofern im Rahmen dieses Vertrags nicht abweichend definiert, gelten die in den Nexis 4 Plattform AGB festgelegten Definitionen gleichermaßen fort.

1. Gegenstand der Verarbeitung

1.1 Soweit Nexis im Rahmen der Durchführung des Hauptvertrages Zugang zu personenbezogenen Daten erhält, die er im Auftrag des Verantwortlichen verarbeitet ("Gegenstand der Verarbeitung"), gelten die Bestimmungen dieses Vertrages. Einzelheiten der Verarbeitung ergeben sich aus Annex 1 (Beschreibung der Verarbeitung), der Bestandteil dieses Vertrages ist.

1.2 Der Gegenstand der Verarbeitung gilt als Weisung im Sinne des Punkt 2.1.

1.3 Jede Änderung des Gegenstands der Verarbeitung bedarf einer entsprechenden schriftlichen Weisung durch den Verantwortlichen.

2. Verarbeitung nur auf Weisung des Verantwortlichen

2.1 Personenbezogene Daten dürfen nur auf schriftliche Weisung des Verantwortlichen, insbesondere in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, verarbeitet werden. Mündliche Weisungen sind vom Verantwortlichen unverzüglich und ohne Aufforderung in Textform (bspw. E-Mail) zu bestätigen.

2.2 Sollte Nexis auch ohne Vorliegen einer derartigen Weisung durch nationales Recht oder Unionsrecht zur Verarbeitung oder Übermittlung verpflichtet sein, so hat Nexis dies dem Verantwortlichen vor Aufnahme der entsprechenden Verarbeitungstätigkeit in Textform (per E-Mail) mitzuteilen, sofern eine derartige Mitteilung nicht aufgrund eines wichtigen öffentlichen Interesses oder sonstigen gesetzlich zwingenden Gründen untersagt ist.

2.3 Nexis hat den Verantwortlichen unverzüglich zu informieren, falls er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen anwendbare datenschutzrechtliche Vorschriften verstößt.

3. Wahrung der Vertraulichkeit

Nexis hat alle mit der Verarbeitung personenbezogener Daten beauftragten Personen vor Aufnahme der Tätigkeit zur Wahrung der Vertraulichkeit zu verpflichten, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4. Sicherheit der Verarbeitung

4.1 Nexis hat gemäß Artikel 32 der Datenschutz-Grundverordnung (Verordnung (EU) 679/2016, "DSGVO") erforderliche Maßnahmen für ein angemessenes Schutzniveau zu ergreifen. Die von Nexis gemäß Artikel 32 DSGVO getroffenen technischen und organisatorischen Maßnahmen ergeben sich aus Annex 2 (Technisch-organisatorische Maßnahmen), der Bestandteil dieses Vertrages ist.

4.2 Nexis hat unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten zu unterstützen.

4.3 Nexis unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Ausübung der in Kapitel III der DSGVO genannten Rechte betroffener Personen.

5. Informationspflichten und Kontrollrechte

5.1 Der Verantwortliche hat das Recht, sich jederzeit persönlich oder durch einen von ihm benannten Vertreter von der Einhaltung der Bedingungen dieses Vertrages zu überzeugen. Nexis hat dem Verantwortlichen bzw. den von ihm benannten Vertreter Zugang zu den im Zusammenhang mit der Verarbeitung stehenden wesentlichen Räumlichkeiten zu verschaffen. Diese Überprüfungen erfolgen ausschließlich während der gewöhnlichen Geschäftszeiten von Nexis und, sofern nicht im Einzelfall zwingend anders erforderlich, mit einer vorherigen Ankündigungsfrist von mindestens 14 Werktagen. Der Verantwortliche wird sicherstellen, dass derartige Überprüfungen in einer Weise durchgeführt werden, die den Geschäftsbetrieb von Nexis so wenig wie möglich beeinträchtigt. Eine solche Überprüfung soll grundsätzlich nicht häufiger als einmal jährlich erfolgen. Die im Rahmen dieser jährlichen Überprüfung anfallenden Kosten trägt jede Partei selbst. Darüberhinausgehende Prüfungen sollen nur erfolgen, wenn konkrete Anhaltspunkte für einen Verstoß gegen die datenschutzrechtlichen Verpflichtungen durch Nexis vorliegen. Zeigt sich im Rahmen einer zusätzlichen Überprüfung, dass Nexis nicht gegen die datenschutzrechtlichen Verpflichtungen verstoßen hat, trägt der Verantwortliche die für Nexis entstehenden, angemessenen Kosten.

5.2 Nexis hat dem Verantwortlichen alle Daten und Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in diesem Vertrag genannten Verpflichtungen erforderlich sind.

6. Unterauftragsverarbeiter

6.1 Nexis besitzt die allgemeine schriftliche Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in Annex 3 aufgeführt sind. Nexis unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in Textform über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Nexis stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

6.2 Nexis stellt sicher, dass Unterauftragsverarbeiter durch einen Vertrag zur Einhaltung der gleichen datenschutzrechtlichen Pflichten verpflichtet werden, die in diesem Vertrag festgelegt sind, insbesondere zur Gewährleistung geeigneter technischer und organisatorischer Maßnahmen gemäß Artikel 28 Abs. 4 DSGVO.

6.3 Eine Liste der zum Zeitpunkt des Vertragsschlusses vom Verantwortlichen genehmigten Unterauftragsverarbeiter ist in Annex 3 (Autorisierte Unterauftragsverarbeiter) enthalten, der Bestandteil dieses Vertrages ist.

7. Beginn, Laufzeit, Kündigung

7.1 Dieser Vertrag tritt mit dem Hauptvertrag und spätestens mit Erbringung der Leistungen durch Nexis gemäß des Hauptvertrags in Kraft.

7.2 Dieser Vertrag wird auf Dauer des Hauptvertrages abgeschlossen und endet, wenn der Hauptvertrag durch Zeitablauf endet oder sonst vorzeitig beendet wird.

7.3 Die ordentliche Kündigung dieses Vertrages ohne Kündigung des Hauptvertrags ist ausgeschlossen.

8. Rechtsfolgen der Beendigung

8.1 Nexis hat nach Beendigung dieses Vertrages oder Beendigung der Verarbeitungsleistungen alle personenbezogenen Daten, Verarbeitungsergebnisse und Unterlagen, die personenbezogene Daten enthalten, nach Wahl des Verantwortlichen zurückzugeben und/oder zu löschen, außer er ist durch nationale Vorschriften oder Unionsrecht zur Weiterspeicherung verpflichtet.

8.2 Trifft der Verantwortliche bei oder vor Beendigung dieses Vertrages oder der Verarbeitungsleistungen keine entsprechende Wahl, so sind alle personenbezogenen Daten, zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

9. Sonstiges

9.1 Die Vertragsparteien verpflichten sich, sämtliche Rechte und Pflichten aus diesem Vertrag einschließlich dieser Überbindungsverpflichtung wechselseitig auf ihre jeweiligen Gesamtrechtsnachfolger zu überbinden.

9.2 Alle Änderungen und Ergänzungen sowie die Aufhebung dieses Vertrages und seiner Anhänge einschließlich des Abgehens von der hier festgelegten Form bedürfen zu ihrer Wirksamkeit der Textform (bspw. E-Mail), soweit keine strengere, insbesondere notarielle Form erforderlich sein sollte.

9.3 Durch die Ungültigkeit, Gesetzwidrigkeit oder Undurchsetzbarkeit einer oder mehrere der in diesem Vertrag enthaltenen Bestimmungen wird die Gültigkeit, Rechtmäßigkeit und Durchsetzbarkeit der übrigen Bestimmungen dieses Vertrages in keiner Weise berührt. Eine unwirksame, nichtige oder undurchsetzbare Bestimmung dieses Vertrages gilt – soweit gesetzlich zulässig – durch eine solche rechtswirksame, gültige und durchsetzbare Bestimmung ersetzt, die ihr nach dem von den Vertragsparteien rechtlich und wirtschaftlich verfolgten Zweck am nächsten kommt.

9.4 Rechtswahl und Gerichtsstand ergibt sich aus den Nexis 4 Plattform AGB.

Für den Verantwortlichen: Für Nexis:

Name: Name:

Funktion: Funktion:

Annex 1

Gegenstand der Verarbeitung

Annex 2

Technische und organisatorische Maßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen hat Nexis die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Artikel 32 DSGVO umgesetzt:

1. Gewährleistung der Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Chipkarten / Transpondersysteme
• Sicherheitsschlösser
• Absicherung der Gebäudeschächte
• Türen mit Knauf auf Außenseite
• Schlüsselregelung / Liste
• Empfang / Rezeption / Pförtner
• Besucherbuch / Protokoll der Besucher
• Mitarbeiter- / Besucherausweise
• Besucher in Begleitung durch Mitarbeiter
• Sorgfalt bei Auswahl Reinigungsdienste

Zugangskontrolle

• Login mit Benutzername & Passwort
• Login mit 2-Faktor-Authentifizierung
• Anti-Virus-Software Server
• Anti-Virus-Software Clients
• Firewall
• Verschlüsselung von Datenträgern
• Automatische Desktopsperre
• Benutzerberechtigungskonzept
• Administrierte Benutzerverwaltung
• Zwingende Passwortanforderungen
• Clean Desk Richtlinie
• Mobile Device Policy
• Remote Working Policy

Zugriffskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung der Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Trennungskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Mandantentrennung logisch
• Trennung von Test- und Produktivsystemen
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Pseudonymisierung

• Pseudonymisierung von Kundendaten in Dateien, wenn anwendbar und technisch möglich
• Pseudonymisierung von Kundendaten in NEXIS 4 (Analysesoftware), wenn anwendbar und technisch möglich

Weitergabekontrolle

• Starke Abschottung des internen Netzes mit Hilfe eines gesicherten Tunnels (VPN-Zugang)
• Begrenzter Mitarbeiterkreis
• Mitarbeiter geschult in Informationssicherheit
• Verpflichtung der Mitarbeiter auf sorgfältigen Umgang mit Informationen und Geheimhaltung
• E-Mail-Verschlüsselung (S/MIME / PGP)
• Einsatz von VPN
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Dokumentation von Datenempfängern, Speicherdauer und Sicherheitsmaßnahmen
• Regelmäßige Kontrolle der Datenübermittlungen

2. Gewährleistung der Integrität und Eingabekontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• Protokollierung von Nutzeraktionen bei Eingabe von Daten
• Protokollierung von Nutzeraktionen bei Änderungen von Daten
• Protokollierung von Nutzeraktionen beim Löschen von Daten
• Protokollierung aller Aktionen in NEXIS 4 bei der Verarbeitung personenbezogener Daten
• Bedarfsfallbezogene Auswertung der Protokolle
• Protokollierung der Eingabe, Änderung und Löschung von Daten
• Kennzeichnung erfasster Daten
• Dedizierter Logserver
• Übersicht über Programme mit Zugriff auf personenbezogene Daten
• Individuelle Benutzerprofile
• Vergabe von Rechten basierend auf einem Berechtigungskonzept
• Organisatorische Festlegung von Eingabezuständigkeiten
• Verpflichtung auf das Datengeheimnis bzw. zur Vertraulichkeit/Verschwiegenheit
• Berechtigungskonzept für Logzugriff

3. Gewährleistung der Belastbarkeit von Systemen (Art. 32 Abs. 1 lit. b DSGVO)

• Lastausgleich (load balancing) der Netzwerkkomponenten
• Lastausgleich (load balancing) der Dienste
• Ausweichverarbeitungsanlagen vorhanden
• Redundante USV
• Redundante Klimatisierung
• Redundante Stromversorgung
• Redundante Brandbekämpfung
• Computer Emergency Response Team (CERT)
• Regelmäßige Penetration-Tests
• Regelmäßiges Patchen aller Systeme
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse Regelmäßiges Training der Mitarbeiter

4. Gewährleistung der Verfügbarkeit und Verfahren zur Wiederherstellung der Verfügbarkeit personenbezogener Daten (Art. 32 Abs. 1 lit. b, c DSGVO)

• Unterbringung der Server in spezifischem Serverraum in den Geschäftsräumen der Nexis GmbH oder dem Anbieter des Rechenzentrums
• Brandmeldeanlange (BMA)
• Feuer- und Rauchmeldeanlagen
• Wasserlose Brandbekämpfung im Serverraum
• Temperatur- und Feuchtigkeitsüberwachung Serverraum
• Klimatisierung des Serverraums
• Blitz- und Überspannungsschutz
• Unterbrechungsfreie Stromversorgung (USV)
• Notstromgenerator
• Schutzsteckdosen Severraum
• RAID-System / Festplattenspiegelung
• Videoüberwachung Serverraum
• Alarmmeldung bei unberechtigtem Zutritt zum Serverraum
• Backup & Recovery-Konzept (ausformuliert)
• Regelmäßige Kontrolle von Back-Up-Maßnahmen
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
• Serverräumlichkeiten in unterschiedlichem Brandabschnitt
• Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
• Keine sanitären Anschlüsse im oder oberhalb des Serverraums
• Getrennte Partitionen für Betriebssysteme und Daten
• Vorhandener Katastrophen- bzw. Notfallplan
• Zutrittsbegrenzung zum Serverraum
• Regelmäßige Schwachstellenanalyse

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO)

• ISMS unter Berücksichtigung ausgewählter Anforderungen der ISO/IEC 27001
• Strukturiertes Risikomanagement nach ISO/IEC 27001 und BSI
• Regelmäßige interne und externe Audits im Rahmen des Aufbaus eines ISMS nach ISO/IEC 27001
• Datenschutz-Management-Software
• Interne Verfahrensverzeichnisse werden mind. jährlich aktualisiert.
• Prozess zur Meldung neuer Verarbeitungsverfahren
• Auswahl datenschutzfreundlicher Voreinstellungen
• Prozess zur Einbindung des Datenschutzbeauftragten
• Überprüfung der getroffenen Maßnahmen nach dem PDCA-Zyklus (Plan, Do, Check, Act) Prozess zur Reaktion auf Datenschutzverletzungen

6. Auftragskontrolle

• Vertragsgestaltung gem. DSGVO (Art. 26, 28 DSGVO)
• Zentrale Erfassung vorhandener Dienstleister
• Vertragsmanagement und regelmäßige Aktualisierung der Verträge

7. KI-spezifische Maßnahmen

• Serverseitige Aufrufe der LLM-Komponente über eine zentrale, gekapselte Integrationsschicht; kein direkter Aufruf des LLM-Anbieters aus dem Browser des Nutzers
• Betrieb der lokalen ML-Komponente als interner Dienst ohne externe Schnittstellen
• Mandantengetrennte Führung von RAG-Indizes und semantischen Stores; Retrieval ausschließlich innerhalb des jeweiligen Mandantenkontexts
• Serverseitige Zusammenstellung von System-Prompts und mandantenspezifischen Prompt-Komponenten; kein Zugriff der Nutzer auf System-Prompts
• Keine Nutzung von Kundendaten, Prompts, Outputs oder RAG-Inhalten zum Training, Fine-Tuning oder zur Verbesserung von Foundation Models
• Keine Übernahme von RAG-Inhalten in Modellgewichte; kein Fine-Tuning oder kundenspezifisches Training mit Kunden- oder personenbezogenen Daten ohne gesonderte datenschutzrechtliche Prüfung und vertragliche Grundlage
• Prompt-Injection-Erkennung, Filterung schädlicher Eingabemuster sowie Längen- und Strukturprüfungen von Eingaben
• Einsatz eines mehrschichtigen System-Prompt-Konzepts zur Identitäts-, Verhaltens-, Scope- und Sicherheitssteuerung
• Plausibilitäts-, Schema- und Output-Prüfung von LLM-Ausgaben vor Rückgabe an den Nutzer
• Mandantenspezifische API-Quotas und Rate-Limiting zur Vermeidung missbräuchlicher Nutzung und DDoS-Muster
• Aktivierung von Azure AI Content Safety zur Prüfung von Eingaben und Ausgaben auf schädliche Inhalte zur Laufzeit
• Kennzeichnung von NICO-Interaktionspunkten als KI-Funktion sowie visuelle Markierung KI-generierter Inhalte
• Anzeige eines Informationshinweises vor der erstmaligen Nutzung mit Hinweis auf KI-Charakter, mögliche Ungenauigkeiten und Nutzerverantwortung
• Bereitstellung von NICO-Ergebnissen als Vorschläge, Hinweise, Zusammenfassungen, Klassifikationen oder Findings; Möglichkeit für Nutzer, KI-Vorschläge abzulehnen, zu bearbeiten oder zu verwerfen
• Speicherung von Roh-Prompts nur, soweit für Workflow-Kontext, Nachvollziehbarkeit oder Audit-Trail erforderlich; zeitbasierte Löschung nach Maßgabe der kundenseitig konfigurierten Aufbewahrungsfristen

Annex 3

Autorisierte Unterauftragsverarbeiter

Annex 1 to the Nexis 4 Platform Terms and Conditions

Data Processing Agreement pursuant to Art. 28 GDPR

Hereinafter, the Controller and Nexis shall each be referred to as a “Party” and collectively as the “Parties”. For the purposes of this Annex, the Controller within the meaning of this Annex is the Licensee.

Preamble

This Agreement governs the data protection obligations regarding the processing of personal data in the course of the services provided by Nexis under the NEXIS 4 Platform Terms and Conditions and in connection with the related offer (the “Main Agreement”).

Unless otherwise defined in this Agreement, the definitions set forth in the NEXIS 4 Platform Terms and Conditions shall apply accordingly.

1. Object and Term of the Order

1.1 Insofar as Nexis, in the course of performing the Main Agreement, obtains access to personal data that it processes on behalf of the Controller (“Subject Matter of the Processing”), the provisions of this Agreement shall apply. Details of the processing are set forth in Annex 1 (Description of the Processing), which forms an integral part of this Agreement.

1.2 The Subject Matter of the Processing shall be deemed an instruction within the meaning of Section 2.1.

1.3 Any change to the Subject Matter of the Processing shall require a corresponding written instruction from the Controller.

2. Processing Only on the Controller’s Instructions

2.1 Personal data may be processed solely on the Controller’s written instructions, in particular with regard to the transfer of personal data to a third country or to an international organization. Oral instructions shall be confirmed by the Controller without undue delay and without being requested to do so, in text form (e.g., by email).

2.2 If Nexis is obliged to process or transfer personal data without such instructions due to national law or Union law, Nexis shall notify the Controller in text form (by email) prior to commencing the relevant processing activity, unless such notification is prohibited on the grounds of an important public interest or other compelling legal reasons.

2.3 Nexis shall inform the Controller without undue delay if it is of the opinion that an instruction from the Controller infringes applicable data protection provisions.

3. Confidentiality

Nexis shall require all persons engaged in the processing of personal data to commit themselves to confidentiality prior to commencing their activities, unless they are subject to an appropriate statutory duty of confidentiality.

4. Security of Processing

4.1 In accordance with Article 32 of the General Data Protection Regulation (Regulation (EU) 679/2016, “GDPR”), Nexis shall take the measures required to ensure an appropriate level of protection. The technical and organizational measures implemented by Nexis pursuant to Article 32 GDPR are set forth in Annex 2 (Technical and Organizational Measures), which forms an integral part of this Agreement.

4.2 Considering the nature of the processing and the information available to it, Nexis shall assist the Controller in complying with the obligations set out in Articles 32 to 36 GDPR.

4.3 Taking into account the nature of the processing, Nexis shall, through appropriate technical and organizational measures, assist the Controller in fulfilling its obligations to respond to requests for the exercise of the rights of data subjects as set forth in Chapter III of the GDPR.

5. Obligations to Provide Information and Rights of Inspection

5.1 The Controller shall have the right, at any time, to personally verify, or to have a representative appointed by them verify, compliance with the terms of this Agreement. Nexis shall grant the Controller or the Controller’s appointed representative access to the essential premises related to the processing. Such inspections shall take place exclusively during Nexis’s normal business hours and, unless a different arrangement is strictly required in an individual case, with prior notice of at least 14 working days. The Controller shall ensure that such inspections are conducted in a manner that interferes as little as possible with Nexis’s business operations. Such an inspection shall generally take place no more than once per year. Each party shall bear its own costs for this annual inspection. Additional inspections shall only be conducted if there are specific indications of a breach of data protection obligations by Nexis. If, during such an additional inspection, it is found that Nexis has not breached its data protection obligations, the Controller shall bear the reasonable costs incurred by Nexis in connection with the inspection.

5.2 Nexis shall provide the Controller with all data and information necessary to verify compliance with the obligations set out in this Agreement.

6. Sub-processors

6.1 Nexis has the Controller’s general written authorization to engage the sub-processors listed in Annex 3. Nexis shall expressly notify the Controller in text form at least 30 days in advance of any intended changes to this list by adding or replacing sub-processors, thereby granting the Controller sufficient time to raise objections to such changes before the relevant sub-processor(s) are engaged. Nexis shall provide the Controller with the necessary information to enable the Controller to exercise their right to object.

6.2 Nexis shall ensure that sub-processors are bound by contract to comply with the same data protection obligations as those set out in this Agreement, in particular to implement appropriate technical and organizational measures in accordance with Article 28(4) GDPR.

6.3 A list of the sub-processors approved by the Controller at the time of conclusion of this Agreement is set out in Annex 3 (Authorized Sub-processors), which forms an integral part of this Agreement.

7. Start, Contract Period, Termination

7.1 This Agreement shall enter into force together with the Main Agreement and, at the latest, upon Nexis’s provision of the services in accordance with the Main Agreement.

7.2 This Agreement is concluded for the duration of the Main Agreement and shall terminate when the Main Agreement expires or is otherwise terminated early.

7.3 Ordinary termination of this Agreement without termination of the Main Agreement is excluded.

8. Legal Consequences of Termination

8.1 Upon termination of this Agreement or cessation of the processing services, Nexis shall, at the Controller’s choice, return and/or delete all personal data, processing results, and documents containing personal data, unless it is required to retain them under national provisions or Union law.

8.2 If the Controller does not make a corresponding choice at or before the termination of this Agreement or the processing services, all personal data shall be deleted, unless there is an obligation to retain the personal data under Union law or the law of the Member States.

9. Miscellaneous

9.1 The Parties agree to mutually transfer all rights and obligations under this Agreement, including this transfer obligation, to their respective universal legal successors.

9.2 Any amendments, additions, or termination of this Agreement and its annexes, including any deviation from the form stipulated herein, shall be valid only if made in text form (e.g., by e-mail), unless a stricter form, in particular notarization, is required.

9.3 The invalidity, illegality, or unenforceability of one or more provisions of this Agreement shall in no way affect the validity, legality, or enforceability of the remaining provisions of this Agreement. Any invalid, void, or unenforceable provision of this Agreement shall – to the extent permitted by law – be deemed replaced by a valid, legal, and enforceable provision that most closely reflects the legal and economic intent pursued by the Parties.

9.4 The choice of law and place of jurisdiction shall be determined in accordance with the Nexis 4 Platform Terms and Conditions.

For the Controller: For Nexis:

Name: Name:

Function: Function:

Annex 1

Subject Matter of Processing

Annex 2

Technical and Organizational Measures

Taking into account the state of the art, the costs of implementation, as well as the nature, scope, context, and purposes of processing, and the varying likelihood and severity of risks to the rights and freedoms of natural persons, Nexis has implemented the following technical and organizational measures to ensure an appropriate level of protection within the meaning of Article 32 GDPR:

1. Ensuring confidentiality (Art. 32(1)(b) GDPR)

Entry control

• Chip cards / transponder systems
• Security locks
• Securing of building shafts
• Doors with knobs on the outside
• Key management / inventory list
• Reception / front desk / gatekeeper
• Visitor log / record of visitors
• Employee / visitor ID badges
• Visitors accompanied by employees
• Careful selection of cleaning services

Access control

• Login with username and password
• Login with two-factor authentication
• Server antivirus software
• Client antivirus software
• Firewall
• Encryption of data carriers
• Automatic desktop lock
• User authorization concept
• Administered user management
• Mandatory password requirements
• Clean desk policy
• Mobile Device Policy
• Remote Working Policy

Logical access control

• Automated log analysis
• Logging of all data access Logging of application access Granular permissions for data, applications, and operating system Granular permissions for reading, modifying, and deleting
• Data encryption “at rest”
• Transport encryption “in transit”
• Reduction of administrator access rights
• Careful selection of administrators
• Management of user rights by administrators

Separation control

• Automated log analysis
• Logging of all data access
• Logging of application access
• Granular permissions for data, applications, and operating system
• Granular permissions for reading, modifying, and deleting
• Logical separation of tenants
• Separation of test and production systems
• Reduction of administrator access rights
• Careful selection of administrators
• Management of user rights by administrators

Pseudonymization

• Pseudonymization of customer data in files, where applicable and technically feasible
• Pseudonymization of customer data in NEXIS 4 (analysis software), where applicable and technically feasible

Transfer control

• Strong isolation of the internal network using a secure tunnel (VPN access)
• Limited group of employees
• Employees trained in information security
• Commitment of employees to handle information carefully and maintain confidentiality
• Email encryption (S/MIME / PGP)
• Use of VPN
• Data encryption “at rest”
• Transport encryption “in transit”
• Documentation of data recipients, retention periods, and security measures
• Regular monitoring of data transfers

2. Ensuring integrity and input control (Art. 32(1)(b) GDPR)

• Logging of user actions when entering data
• Logging of user actions when modifying data
• Logging of user actions when deleting data Logging of all actions in NEXIS 4 when processing personal data Case-specific evaluation of logs Logging data entry, modification, and deletion
• Labeling of recorded data
• Dedicated log server
• Overview of programs with access to personal data
• Individual user profiles
• Assignment of rights based on an authorization concept
• Organizational definition of input responsibilities
• Commitment to data secrecy and confidentiality/non-disclosure
• Authorization concept for log access

3. Ensuring the resilience of systems (Art. 32(1)(b) GDPR)

• Load balancing of network components
• Load balancing of services
• Backup processing facilities available
• Redundant uninterruptible power supply (UPS)
• Redundant air conditioning
• Redundant power supply
• Redundant fire suppression systems
• Computer Emergency Response Team (CERT)
• Regular penetration tests
• Regular patching of all systems
• Regular tests of data restoration and documentation of the results
• Regular employee training

4. Ensuring the availability of and procedures for restoring the availability of personal data (Art. 32(1) (b), (c) GDPR)

• Placement of servers in a dedicated server room at the business premises of Nexis GmbH or at the data center provider’s facilities
• Fire alarm system (FAS)
• Fire and smoke detection systems
• Waterless fire suppression in the server room
• Temperature and humidity monitoring in the server room
• Air conditioning of the server room
• Lightning and surge protection
• Uninterruptible power supply (UPS)
• Emergency power generator
• Protected power outlets in the server room
• RAID system / disk mirroring
• Video surveillance of the server room
• Alarm notification in case of unauthorized access to the server room
• Backup and recovery concept (documented)
• Regular review of backup measures
• Regular tests of data restoration and logging of the results Server rooms located in separate fire compartments Storage of backup media in a secure location outside the server room No sanitary facilities in or above the server room
• Separate partitions for operating systems and data
• Existing disaster recovery and emergency plan
• Access restriction to the server room
• Regular vulnerability analysis

5. Procedures for the regular review, assessment, and evaluation of the effectiveness of technical and organizational measures (Art. 32(1)(d) GDPR)

• ISMS considering selected requirements of ISO/IEC 27001
• Structured risk management according to ISO/IEC 27001 and BSI
• Regular internal and external audits within the framework of establishing an ISMS according to ISO/IEC 27001
• Data protection management software
• Internal procedure directories are updated at least annually
• Process for reporting new processing procedures
• Selection of privacy-friendly default settings
• Process for involving the data protection officer
• Review of implemented measures according to the PDCA cycle (Plan, Do, Check, Act)
• Process for responding to data protection breaches

6. Order Control

• Contract design according to GDPR (Art. 26, 28 GDPR)
• Centralized recording of existing service providers
• Contract management and regular updating of contracts

7. AI-specific measures

• Server‑side invocation of the LLM component via a centralized, encapsulated integration layer; no direct invocation of the LLM provider from the user’s browser
• Operation of the local ML component as an internal service without external interfaces
• Tenant‑separated management of RAG indices and semantic stores; retrieval exclusively within the respective tenant context
• Server‑side assembly of system prompts and tenant‑specific prompt components; no user access to system prompts
• No use of customer data, prompts, outputs, or RAG content for the training, fine‑tuning, or improvement of foundation models No incorporation of RAG content into model weights; no fine‑tuning or customer‑specific training using customer or personal data without a separate data protection assessment and contractual basis Detection of prompt injection, filtering of malicious input patterns, and validation of input length and structure
• Implementation of a multi‑layer system prompt concept for identity, behavior, scope, and security control
• Plausibility checks, schema validation, and output validation of LLM outputs prior to delivery to the user
• Tenant‑specific API quotas and rate limiting to prevent misuse and DDoS patterns
• Activation of Azure AI Content Safety to assess inputs and outputs for harmful content at runtime
• Identification of NICO interaction points as AI functionality and visual labeling of AI‑generated content
• Display of an informational notice prior to first use, indicating the AI‑based nature of the functionality, potential inaccuracies, and user responsibility
• Provision of NICO results as suggestions, hints, summaries, classifications, or findings; users are able to reject, modify, or discard AI‑generated suggestions
• Storage of raw prompts only to the extent required for workflow context, traceability, or audit trail purposes; time‑based deletion in accordance with customer‑configured retention periods

Annex 3

Authorized sub-processors

Hard- und Softwareanforderungen NEXIS Bridge

Systemvoraussetzungen für den Betrieb der NEXIS Bridge

Stand: 22.10.2026 | Status: Bestätigt

1. Allgemein

Die NEXIS Plattform wird als SaaS-Lösung bereitgestellt und lässt sich sowohl mit Cloud-Services als auch mit On-Premises-Applikationen integrieren. Cloud-Services sind in der Regel direkt über ihre öffentlichen APIs erreichbar. On-Premises-Applikationen – etwa eine IGA-Lösung – stellen ebenfalls APIs bereit, jedoch verhindert die Netzwerkgrenze des Kunden, dass die NEXIS Plattform eingehende Verbindungen zu Systemen innerhalb dieses Netzwerks aufbaut.

Die NEXIS Bridge löst dieses Problem. Sie ist eine schlanke Komponente, die im Netzwerk des Kunden betrieben wird und eine ausgehende WebSocket-Secure-Verbindung (WSS) zur NEXIS Plattform aufbaut. Da die Verbindung innerhalb des Netzwerks initiiert wird, sind keine eingehenden Firewall-Ports erforderlich.

Nach dem Aufbau dient die Verbindung als dauerhafter, bidirektionaler Kommunikationskanal. Obwohl der Kanal von der Bridge initiiert wird, ist die NEXIS Plattform der logische Initiator aller Operationen: Sie liest Daten aus den On-Premises-Systemen und überträgt Änderungen über dieselbe Verbindung an diese Systeme.

Abbildung 1: Einbindung der NEXIS Bridge in die On-Premises-Infrastruktur

2. Hardwareanforderungen

Die Hardwareanforderungen richten sich nach dem von der Bridge verarbeiteten Datenvolumen – in erster Linie nach der Anzahl der pro Synchronisation übertragenen verwalteten Objekte (Mitarbeiter, Accounts, Systemberechtigungen und Geschäftsrollen), der Häufigkeit der Synchronisation und der Anzahl angebundener Zielsysteme. Umgebungen mit großen Objektmengen oder häufigem Abgleich können Ressourcen am oberen Ende der Bandbreite erfordern.

Tabelle 1: Hardwareanforderungen der NEXIS Bridge

3. Softwareanforderungen

Die NEXIS Bridge ist eine Java-Applikation, die sich über Secure WebSockets (WSS) mit der NEXIS Plattform verbindet. Die Verbindung wird stets ausgehend von der Bridge aufgebaut; eine eingehende Verbindung in die On-Premises-Infrastruktur ist nicht erforderlich. Folgende Netzwerkpfade müssen freigegeben sein:

• Ausgehend TCP 443 (WSS) von der Bridge zum NEXIS SaaS-Endpunkt.
• Ausgehende Konnektivität von der Bridge zu jedem Zielsystem (z. B. Datenbank, LDAP/Active Directory, Dateipfad) gemäß der konfigurierten Verbindungs-Allowlist.

Die Bridge unterstützt keine Verbindung über einen ausgehenden HTTP/HTTPS-Proxy; ein direkter ausgehender Zugriff auf den NEXIS-Endpunkt über TCP 443 ist erforderlich. Die TLS-Zertifikatskette von NEXIS SaaS muss von der Java-Laufzeitumgebung der Bridge als vertrauenswürdig eingestuft werden (Aufnahme in den Truststore der JDK), damit der WSS-Handshake erfolgreich ist.

Tabelle 2: Unterstützte Software der NEXIS Bridge

Hardware and Software Requirements NEXIS Bridge

System prerequisites for operating the NEXIS Bridge

As of: October 22, 2026 | Status: Confirmed

1. General

The NEXIS Platform is delivered as a SaaS solution and integrates with both cloud services and on-premises applications. Cloud services are typically reachable directly through their public APIs. On-premises applications – such as an IGA solution – also expose APIs, but the customer’s network boundary prevents the NEXIS Platform from initiating inbound connections to systems inside it.

The NEXIS Bridge resolves this. It is a lightweight component deployed within the customer network that establishes an outbound WebSocket Secure (WSS) connection to the NEXIS Platform. Because the connection originates inside the network, no inbound firewall ports are required.

Once established, the connection serves as a persistent, bidirectional communication channel. Although the channel is initiated by the bridge, the NEXIS Platform acts as the logical initiator of all operations: it pulls data from on-premises systems and pushes changes to them over the same connection.

Figure 1: Integration of the NEXIS Bridge into the on-premises infrastructure

2. Hardware Requirements

Hardware requirements vary with the volume of data processed by the bridge – primarily the number of managed objects (employees, accounts, system entitlements, and business roles) transferred per synchronization, the frequency of synchronization, and the number of connected target systems. Deployments with large object volumes or frequent reconciliation may require resources toward the upper end of the range.

Table 1: Hardware requirements of the NEXIS Bridge

3. Software Requirements

The NEXIS Bridge is a Java application that connects to the NEXIS Platform over secure WebSockets (WSS). The connection is always established outbound by the bridge; no inbound connection into the on-premises infrastructure is required. The following network paths must be permitted:

• Outbound TCP 443 (WSS) from the bridge to the NEXIS SaaS endpoint.
• Outbound connectivity from the bridge to each target system (e.g., database, LDAP/Active Directory, file path), as configured in the connection allowlist.

The bridge does not support connection through an outbound HTTP/HTTPS proxy; direct outbound access to the NEXIS endpoint on TCP 443 is required. The NEXIS SaaS TLS certificate chain must be trusted by the bridge’s Java runtime (added to the JDK trust store) for the WSS handshake to succeed.

Table 2: Supported software of the NEXIS Bridge

Lizenzbedingungen NEXIS Plattform

Lizenzbedingungen der Nexis GmbH für das Produkt „NEXIS Plattform“

Stand: 22.10.2026 | Status: Bestätigt

§ 1 Gegenstand dieser Bedingungen

(1) Die Nexis GmbH mit Sitz in Regensburg (nachfolgend „Lizenzgeber“) ist ausschließliche Nutzungsrechtsinhaberin an dem Standardsoftwareprodukt „NEXIS Plattform“ (nachfolgend „Software“) und überträgt dem Kunden (nachfolgend „Lizenznehmer“) Nutzungsrechte (Lizenzen) an den im gesondert zwischen dem Lizenznehmer und dem Lizenzgeber oder einem seiner Partner abgeschlossenen Kauf-/Mietvertrag (nachfolgend „License Certificate“) genannten Modulen der Software (= lizenzierter Funktionsumfang) gemäß den nachfolgenden Regelungen.

(2) Der Lizenznehmer erklärt sein Einverständnis mit der Geltung dieser Lizenzbedingungen durch die Annahme des Angebots zur Softwarenutzung oder durch die Installation der Software, je nachdem, welche Variante früher eintritt. Die Lizenzbedingungen binden die Parteien auch schuldrechtlich.

(3) Die in diesen Lizenzbedingungen enthaltenen Regelungen gehen allen abweichenden oder ergänzenden Regelungen des Lizenznehmers, insbesondere in dessen AGB, Einkaufsbedingungen, Bestellungen oder sonstigen Schriftstücken, vor. Solche Regelungen nach Satz 1 werden, selbst bei Kenntnis des Lizenzgebers, nicht Vertragsbestandteil, es sei denn, ihrer Geltung wird ausdrücklich zugestimmt. Der Lizenzgeber widerspricht hiermit zudem diesen Lizenzbedingungen entgegenstehenden Regelungen ausdrücklich.

§ 2 Umfang der Nutzungsberechtigung

(1) Der Lizenzgeber räumt dem Lizenznehmer ein einfaches, nicht ausschließliches Nutzungsrecht, das kein Recht zur Einräumung von Unterlizenzen enthält, nach den nachfolgenden Regelungen gemäß § 2 Abs. (2) bis (13) ein.

(2) Die Software wird vom Lizenzgeber in Form von verschiedenen Modulen mit jeweils unterschiedlichem Funktionsumfang angeboten. Im License Certificate ist angegeben, welche Module der Software vom Lizenznehmer lizenziert sind. Eine Übersicht der Module und deren Funktionsumfang ergibt sich aus dem im gesondert mit dem Lizenzgeber oder einem seiner Partner abgeschlossenen Kauf-/Mietvertrag zur Verfügung gestellten Dokument „Modulbeschreibung NEXIS Plattform“.

(3) Der Lizenznehmer ist berechtigt, die lizenzierten Module der Software im Rahmen des normalen, bestimmungsgemäßen Gebrauchs innerhalb des im License Certificate angegebenen Unternehmens und für die im License Certificate angegebene maximale Anzahl von Lizenzen und Lizenzierungsvariante (siehe § 2 Abs. (4)) zeitlich unbeschränkt (dann Kauflizenz) oder für einen definierten bestimmten Zeitraum (dann Mietlizenz) einzusetzen, also bestimmungsgemäß zu installieren und ablaufen zu lassen.

(4) Die Lizenzierung der Software erfolgt gemäß einer der beiden folgenden Varianten.

a) Auf der Basis der Anzahl der importierten digitalen Identitäten von natürlichen Personen: Es wird jede Entität, die als „Employee“ bzw. „Mitarbeiter“ in der Software verwaltet wird, und zusätzlich jede Entität mit einem Zugang zur Software, die nicht als „Employee“ bzw. „Mitarbeiter“ in der Software verwaltet wird, ab dem Tag ihrer Anlage in der Software als genutzte Lizenz gezählt. Besitzt eine natürliche Person mehrere digitale Identitäten oder Zugänge, so werden diese mehrfach gezählt.

b) Auf der Basis der Anzahl der natürlichen Personen, für die eine oder mehrere digitale Identitäten in der Software verwaltet werden oder für die ein Zugang zur Software besteht: Es wird jede natürliche Person, für die mindestens eine digitale Identität verwaltet wird oder für die Zugang zur Software besteht, ab dem Tag ihrer Anlage in der Software als genutzte Lizenz gezählt. Besitzt eine natürliche Person mehrere digitale Identitäten oder Zugänge, so werden diese nicht mehrfach gezählt. Sonderbenutzer (z. B. technische digitale Identitäten) werden auch als genutzte Lizenz gezählt, wenn sie als „Employee“ bzw. „Mitarbeiter“ importiert werden.

(5) Bei beiden Lizenzierungsvarianten aus § 2 Abs. (4) sind die Lizenzen nur übertragbar, wenn die Übertragung innerhalb der im License Certificate genannten Anspruchsberechtigten (Lizenznehmer und ggf. verbundene Unternehmen etc.) stattfindet und es sich um dauerhaft nicht mehr verwendete Lizenzen handelt. Dauerhaft nicht mehr verwendete Lizenzen zählen nicht länger zu den genutzten Lizenzen im Sinne von § 2 Abs. (3) und sind definiert als Entitäten, die in der Software länger als 30 Tage durchgehend als „inaktiv“ (oder „outdated“) gekennzeichnet sind oder länger als 30 Tage durchgehend keinen Zugang zur Software mehr besitzen. In allen anderen Fällen ist die Übertragung ausgeschlossen.

(6) Der Lizenznehmer ist berechtigt, die Software auf einem produktiven System und zusätzlich auf bis zu fünf nicht-produktiven Systemen mit den identischen oder einer Teilmenge der im produktiven System importierten Daten zu nutzen.

(7) Andere Nutzungsarten sind nicht vom Nutzungsrecht umfasst. Insbesondere darf die Software nicht an Dritte vermietet oder verliehen werden. Wird die Software auf mietvertraglicher Basis überlassen, so darf der Lizenznehmer die Software zusätzlich weder an Dritte veräußern noch verschenken.

(8) Soweit die Software durch den Lizenznehmer im Rahmen eines Kaufvertrags dennoch an Dritte weitergegeben wird, so hat er den Dritten schriftlich auf die Einhaltung der in diesem Vertrag vereinbarten Bestimmungen zu verpflichten. Des Weiteren ist der Lizenznehmer verpflichtet, die Software vollständig von sämtlichen Computern zu löschen und sämtliche Kopien der Software vollständig zu vernichten. Der Lizenznehmer muss dem Lizenzgeber diese Löschung schriftlich bestätigen und den Lizenzgeber über den Verkauf informieren.

(9) Der Lizenznehmer darf von der ihm elektronisch überlassenen Software eine Sicherungskopie erstellen, soweit dies zum Zwecke der Sicherung der künftigen Benutzung der Software (z. B. im Falle eines Systemausfalles) erforderlich ist. Die Zahl der Sicherungskopien ist auf das absolut notwendige Maß zu beschränken. Die Sicherungskopie ist als solche zu kennzeichnen, mit dem Urheberrechtsvermerk des Lizenzgebers zu versehen und vor Zugriff Dritter zu schützen. Wird die Hardware, auf der die Software genutzt wird, ausgetauscht, ist die Software auf der bisher verwendeten Hardware zu löschen.

(10) Der Lizenznehmer ist zu Änderungen, Erweiterungen und sonstigen Umarbeitungen der Software nicht befugt. Insbesondere verbleiben alle anderen Nutzungsrechte beim Lizenzgeber und eine weitergehende Verwertung, insbesondere eine Veränderung, Dekompilierung oder eine Umkehrentwicklung, ist nicht gestattet. Auch eine Entfernung des Herkunftsnachweises ist unzulässig. Er ist auch nicht befugt, vorhandene Schutzmechanismen der Software, die gegen unberechtigte Nutzung angebracht wurden, zu entfernen oder zu umgehen, es sei denn, dies ist unbedingt erforderlich, um eine störungsfreie Programmnutzung zu erreichen. Urheber- und sonstige Schutzrechtsvermerke innerhalb der überlassenen Software dürfen weder entfernt noch verändert werden. Die Rechte aus §§ 69d und 69e UrhG bleiben unberührt.

(11) Die Software verfügt über einen Kopierschutz, mit dessen Hilfe die Einhaltung der korrekten Nutzung der Software nachvollzogen wird. Die Entfernung oder Manipulation dieses Kopierschutzes ist vorbehaltlich der Rechte des Lizenznehmers aus §§ 69d und 69e UrhG nicht zulässig.

(12) Jede Nutzung der überlassenen Software durch den Lizenznehmer über das vereinbarte Maß hinaus, insbesondere mit mehr als im License Certificate angegebenen Lizenzen, gilt als vertragswidrige Handlung. In diesem Fall ist der Lizenznehmer verpflichtet, die Übernutzung unverzüglich mitzuteilen und mit seinem Vertragspartner eine Vereinbarung zur Nachlizenzierung (mit angemessener Vergütung) auf Basis der gültigen Preislisten seines Vertragspartners zu treffen. Eventuelle urheberrechtliche Ansprüche des Lizenzgebers bleiben hiervon unberührt. Diese Regelung gilt insbesondere auch, wenn die Software von einem Partner des Lizenzgebers überlassen wurde.

(13) Auftretende Mängel an der Software werden im Rahmen der vom jeweiligen Verkäufer geschuldeten Sachmängelhaftung oder im Rahmen eines gültigen Supportvertrags beseitigt.

§ 3 Pflichten des Lizenznehmers

(1) Der Lizenznehmer ist verpflichtet, eine funktionsfähige und ausreichend dimensionierte Hard- und Softwareumgebung, wie sie in der Produktbeschreibung empfohlen wird, für die Software vorzuhalten. Dies liegt in der alleinigen Verantwortung des Lizenznehmers. Der Lizenznehmer muss sicherstellen, dass der Kopierschutz auf dem Computersystem, auf dem die Software betrieben wird, verfügbar ist.

(2) Der Lizenznehmer ist verpflichtet, angemessene Vorkehrungen für den Fall zu treffen, dass die Software ganz oder teilweise nicht ordnungsgemäß arbeitet. Eine solche angemessene Vorkehrung liegt insbesondere in einer angemessenen und regelmäßigen Datensicherung sowie einer regelmäßigen Überprüfung der Datenverarbeitungsergebnisse.

(3) Der Lizenznehmer wird den Lizenzgeber bei der Fehlerfeststellung und -behebung unentgeltlich unterstützen und Einsicht in die Unterlagen, aus denen sich die näheren Umstände des Fehlers ergeben, gewähren. Etwaige hierbei vom Lizenznehmer zu vertretende Verzögerungen in der Unterstützungspflicht verlängern die Nacherfüllungsfristen.

(4) Der Lizenznehmer muss alle zumutbaren Vorkehrungen treffen, um einen unbefugten Zugriff Dritter auf die Software und Unterlagen zur Software zu verhindern. Dritten darf die Benutzung der Software und Unterlagen zur Software weder direkt noch indirekt ermöglicht werden.

(5) Soweit der Lizenznehmer nicht ausdrücklich vorab darauf hinweist, darf der Lizenzgeber davon ausgehen, dass alle Daten des Lizenznehmers, mit denen er in Berührung kommen kann, gesichert sind.

§ 4 Mängelrechte

(1) Sofern der Lizenzgeber Verkäufer bzw. Vermieter der Software ist, stehen dem Lizenznehmer die gesetzlichen Mängelrechte zu, sofern nicht in diesen Bedingungen etwas anderes bestimmt ist. Der Lizenznehmer hat dem Lizenzgeber einen nach den Umständen des Einzelfalls angemessenen Zeitraum für die Erbringung der Nacherfüllung zu gewähren, wobei die Art der Nacherfüllung nach eigener Wahl des Lizenzgebers erfolgt. Die Fehlerbeseitigung kann auch im Rahmen von Updates/Upgrades vorgenommen werden, sofern dies für die Art des Mangels angemessen ist.

(2) Die Gewährleistung ist ausgeschlossen für Mängel, deren Ursachen auf Handlungen des Lizenznehmers, insbesondere unsachgemäße Handhabung der Software, Nichtbeachtung der Installationshinweise sowie unsachgemäßen und ohne schriftliche Einwilligung des Lizenzgebers vorgenommenen Änderungen an der Software, beruhen.

(3) Im Falle eines Kaufs ist der Lizenznehmer verpflichtet, dem Lizenzgeber bzw. dem jeweiligen Verkäufer gegenüber schriftlich Mängel der Software spätestens zehn (10) Tage nach deren Entdeckung zu rügen, soweit ihn die kaufmännische Rügepflicht trifft. Die Rüge hat eine nach Kräften detaillierte Beschreibung des Mangels zu enthalten. Nach Ablauf der zehn (10) Tage gilt der Mangel als genehmigt.

(4) Mängelansprüche verjähren in zwölf Monaten. Dies gilt sowohl für Primär- als auch für Sekundäransprüche, sofern nicht ein Fall des § 5 Abs. (1) vorliegt.

(5) Solange der Lizenznehmer die nach dem jeweiligen Vertrag fällige Vergütung, die dem Wert der mangelhaften Leistung entspricht, noch nicht vollständig gezahlt hat und er kein berechtigtes Interesse am Zurückbehalt der rückständigen Vergütung hat, ist der Lizenzgeber berechtigt, die Nacherfüllung zu verweigern.

(6) Macht ein Dritter gegenüber dem Lizenznehmer geltend, dass eine Leistung des Lizenzgebers seine Rechte verletzt, benachrichtigt der Lizenznehmer unverzüglich den Lizenzgeber. Der Lizenzgeber und ggf. dessen Vorlieferanten sind berechtigt, aber nicht verpflichtet, soweit zulässig die geltend gemachten Ansprüche auf deren Kosten abzuwehren. Der Lizenznehmer ist nicht berechtigt, Ansprüche Dritter anzuerkennen, bevor er dem Lizenzgeber angemessen Gelegenheit gegeben hat, die Rechte Dritter auf andere Art und Weise abzuwehren.

§ 5 Haftung

(1) Der Lizenzgeber haftet für Vorsatz und grobe Fahrlässigkeit. Für leichte Fahrlässigkeit haftet der Lizenzgeber dem Grunde nach nur bei Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf, sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit oder aufgrund von gegebenen Garantien.

(2) Die Haftung ist im Falle leichter Fahrlässigkeit summenmäßig beschränkt auf die Höhe des vorhersehbaren Schadens, mit dessen Entstehung typischerweise gerechnet werden muss. Jedenfalls aber ist die Haftung für leichte Fahrlässigkeit summenmäßig beschränkt auf die Höhe der von der Haftpflichtversicherung des Lizenzgebers gedeckten Summe für Vermögensschäden von EUR 50.000 pro Versicherungsfall.

(3) Der Lizenzgeber haftet nicht für mangelnden wirtschaftlichen Erfolg des Lizenznehmers durch die Nutzung der Software. Hierunter verstehen die Parteien eventuell vom Lizenznehmer beabsichtigte positive Entwicklungen einer oder mehrerer Kennzahlen, die über das Wirtschaften in einer bestimmten Periode Auskunft geben. Typische Kennzahlen sind hier der Gewinn, aber auch Rationalisierungs- oder Skalierungseffekte. Der Lizenzgeber haftet also nicht dafür, dass der Lizenznehmer durch die Software auch tatsächlich eine Steigerung seiner Tätigkeit erreicht, da dies von vielen weiteren, vom Lizenzgeber nicht beeinflussbaren Faktoren abhängt.

(4) Für den Verlust von Daten und deren Wiederherstellung haftet der Lizenzgeber nur insoweit, als ihn ein Verschulden trifft und wenn ein solcher Datenverlust auch durch angemessene und regelmäßige Datensicherungsmaßnahmen seitens des Lizenznehmers nicht vermeidbar gewesen wäre. Die Haftung des Lizenzgebers ist der Höhe nach auf den typischen Wiederherstellungsaufwand beschränkt.

(5) Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der Mitarbeiter und Erfüllungsgehilfen des Lizenzgebers.

(6) Die vorstehenden Haftungsbeschränkungen gelten nicht für die Haftung nach dem ProdHaftG.

§ 6 Geheimhaltung und Datenschutz

(1) Beide Parteien haben über alle ihnen bekannt gewordenen geschäftlichen und betrieblichen Angelegenheiten Stillschweigen zu bewahren und sämtliche im Zusammenhang mit der Erfüllung dieses Vertrags stehenden Informationen auch über dessen Beendigung hinaus streng vertraulich zu behandeln. Gleiches gilt für personenbezogene Daten, die unter die Bestimmungen der Datenschutzgesetze fallen.

(2) Die Parteien halten die gesetzlichen Bestimmungen des Datenschutzes ein.

(3) Der Lizenzgeber verpflichtet sich, Informationen, Unterlagen oder Daten des Lizenznehmers im Sinne des Abs. (1) nur zu Projektzwecken zu nutzen oder zu verwerten. In diesem Zusammenhang gespeicherte Daten sind zu löschen, wenn sie nicht mehr benötigt werden. Dies gilt nicht, solange eine gesetzliche Regelung die Speicherung der Daten erlaubt oder sogar verpflichtend vorsieht.

(4) Die Parteien werden auch ihre Mitarbeiter entsprechend verpflichten und die eventuell zur Vertragserfüllung eingeschalteten Dritten und/oder Partner hierauf hinweisen.

§ 7 Beendigung

(1) Bei einer Mietlizenz erlischt das Nutzungsrecht mit Ablauf der Vertragslaufzeit. Unabhängig von der Vertragsart ist bei erheblichen Verstößen gegen vertragliche Verpflichtungen durch den Lizenznehmer der Lizenzgeber zur außerordentlichen Kündigung der Lizenz berechtigt. Mit Zugang der Kündigung erlischt das Nutzungsrecht an der Software. Der Lizenzgeber behält sich, unabhängig von der Vertragsart, sämtliche Rechte und Ansprüche, insbesondere Schadensersatzansprüche, vor, die aus einem Verstoß des Lizenznehmers gegen seine Verpflichtungen aus diesem Vertrag entstehen.

(2) Bei Beendigung des Vertrages ist der Lizenznehmer verpflichtet, sämtliche vorhandenen Originaldatenträger und Kopien der Software unverzüglich zu vernichten und dem Lizenzgeber die Vernichtung schriftlich zu bestätigen.

§ 8 Sonstige Bestimmungen

(1) Alle Änderungen und Ergänzungen dieser Lizenzbedingungen bedürfen der Schriftform. Dies gilt auch für eine Änderung dieser Schriftformklausel selbst. Mündliche Nebenabreden bestehen nicht.

(2) Gegen Ansprüche des Lizenzgebers kann der Lizenznehmer nur mit unbestrittenen oder rechtskräftig festgestellten Ansprüchen aufrechnen. Dem Lizenznehmer steht die Geltendmachung eines Zurückbehaltungsrechtes nur wegen Gegenansprüchen aus diesem Vertragsverhältnis zu. Die Geltendmachung von Zurückbehaltungsrechten durch den Lizenznehmer aus früheren oder anderen Rechtsgeschäften ist ausgeschlossen.

(3) Der Lizenzgeber übernimmt keine Herstellergarantien für die Software, es sei denn, ein Teil der Software ist ausdrücklich schriftlich als „garantiert“ bezeichnet.

(4) Der Lizenzgeber ist berechtigt, die Rechte und Pflichten aus diesem Vertrag an Dritte ohne Zustimmung des Lizenznehmers abzutreten. Im Falle der Abtretung steht der Lizenzgeber für die ordnungsgemäße Erfüllung der in diesem Vertrag niedergelegten Pflichten des Lizenzgebers ein. Der Lizenznehmer hat in diesem Fall das Recht zur außerordentlichen Kündigung dieses Lizenzvertrags.

(5) Auf das Vertragsverhältnis findet ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des Internationalen Privatrechts und des UN-Kaufrechts Anwendung.

(6) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die Parteien bemühen sich dann, anstelle der unwirksamen Vertragsbestimmung eine angemessene Regelung zu treffen, die dem mit der unwirksamen Bestimmung angestrebten Zweck möglichst nahekommt. Im Übrigen gelten die gesetzlichen Bestimmungen.

(7) Ausschließlicher Gerichtsstand bei Streitigkeiten aus diesem Vertragsverhältnis ist der Firmensitz des Lizenzgebers, wenn der Lizenznehmer Kaufmann, juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat. Der Lizenzgeber ist aber berechtigt, auch am Sitz des Lizenznehmers zu klagen.

(8) Dieser Vertrag ist in der deutschen Sprachfassung verbindlich.

License Terms NEXIS Platform

License Terms of Nexis GmbH for the product “NEXIS Platform”

As of: October 22, 2026 | Status: Confirmed

Section 1 Subject Matter of these Terms and Conditions

(1) Nexis GmbH with its registered place of business in Regensburg (hereinafter “Licensor”) is the sole holder of the rights to use the standard software product “NEXIS Platform” (hereinafter “software”) and hereby transfers to the customer (hereinafter “Licensee”) the rights (i.e., the licenses) to use the respective software modules (= licensed functional scope) specified in the separate purchase/lease agreement concluded between Licensee and Licensor or one of its partners (hereinafter “License Certificate”) in accordance with the provisions set out below.

(2) Licensee, by accepting the offer for use of the software or by installing the software, whichever occurs earlier, hereby declares its intention to be bound by these license terms. The license terms shall also be binding upon the Parties under the law of obligation.

(3) The provisions contained in these license terms shall have priority over all of Licensee’s deviating or supplementary regulations, notably Licensee’s General Terms and Conditions, terms of purchase, purchase orders, or other types of documents. Such provisions according to the preceding sentence shall not become part of the contract, even if Licensor is aware of them, unless their validity is expressly agreed. Furthermore, Licensor hereby expressly rejects any terms conflicting with or deviating from these license terms.

Section 2 Scope of Usage Authorization

(1) Licensor hereby grants Licensee the simple, non-exclusive right of use and enjoyment, which does not contain the right to grant sub-licenses, in accordance with the following terms as set out under Section 2 (2) to Section 2 (13).

(2) Licensor offers the software in the form of different modules, each with different functional scopes. The License Certificate specifies which modules of the software are licensed by Licensee. An overview of the modules and their functional scope can be found in the document “NEXIS Platform Module Description” provided in the purchase/lease agreement concluded separately with Licensor or one of its partners.

(3) Licensee may use the licensed modules of the software within the scope of normal, authorized intended use within the enterprise stated in the License Certificate, for the number of acquired licenses (see Section 2 (4)) specified therein; Licensee’s use of the software may be either for an indefinite period (in which case a buying license shall apply) or for a definite period (in which case a rental license shall apply); i.e., Licensee may, for the purpose of this agreement, install the software license and allow it to run in accordance with its intended use. The number of licenses stated in the License Certificate defines the maximum number of licenses usable by Licensee.

(4) The licensing of the software by Licensee is based on one of the following licensing variants.

a) On the basis of the number of imported digital identities of natural persons: Every entity maintained as “Employee” or “Mitarbeiter” within the software and every entity having access to the software without being maintained as “Employee” or “Mitarbeiter” within the software will be counted as a used license from day one after creation. If a natural person possesses several digital identities, or user accounts for accessing the software, each one of them will be counted.

b) On the basis of the number of natural persons for which digital identities are maintained in the software or access has been granted to the software: The total number of natural persons for which at least one digital identity is maintained or access to the software is granted will be counted as a used license from day one after creation. In case a natural person has been assigned to multiple digital identities, those multiple identities are not counted as separate licenses. Special users (e.g., technical digital identities) are also counted as used licenses if they are imported as “Employee” or “Mitarbeiter”.

(5) In the case of both licensing variants from Section 2 (4), the licenses are only transferable if the transfer takes place within the entitled parties named in the License Certificate (Licensee and, if applicable, affiliated companies, etc.) and if the licenses are permanently unused. Permanently unused licenses are no longer counted as used licenses and are defined as entities which, for a minimum of 30 consecutive days, have been marked as “outdated” or “inaktiv” within the software or have been revoked access to the software. In all other cases, the transfer is excluded.

(6) Licensee is entitled to use the software on one productive system and additionally on up to five non-productive systems with the identical data or a subset of the data maintained in the productive system.

(7) The right of use and enjoyment does not encompass any other types of use. It is notably prohibited to lease or hire out the licensed software to third parties. If the software is made available on the basis of a lease agreement, Licensee shall additionally be prohibited from selling or giving away the software to third parties.

(8) However, in cases where Licensee nonetheless passes the software on to third parties within the scope of a purchase agreement, Licensee shall commit such third party in writing to compliance with the provisions agreed in this contract. Licensee shall furthermore be obliged to delete the program completely from all computers and to completely destroy all copies of the software. Licensee shall confirm such deletion to Licensor in writing and shall notify Licensor of any sale of the software.

(9) Licensee has the right to make a back-up copy of the licensed software received in electronic form to the extent such back-up copy is necessary for ensuring future use of the software (e.g., in the event of a system failure). The number of back-up copies shall be kept to the absolute minimum. The back-up copy shall be identified as such, labeled with Licensor’s copyright notice and protected against third-party access. After replacing hardware on which the licensed software is run, the licensed software shall be deleted from any such previously used hardware.

(10) Licensee shall not be authorized to alter, extend, or modify the licensed software in any manner. Specifically, all remaining rights of use shall remain with Licensor, and any utilization beyond the scope of this agreement, notably any modification, decompilation or reverse engineering, shall be prohibited. Furthermore, any removal of the proof of origin shall be prohibited. Moreover, Licensee shall not be authorized to remove or bypass existing protective mechanisms shielding the software from unauthorized use unless such removal or bypass is absolutely necessary for troublefree use of the program. It is prohibited to remove or alter any copyright notices or proprietary notices from within the software products received. Rights relating to §§ 69d and 69e UrhG (German Copyright Act) shall remain unaffected.

(11) The software has a copy protection to ensure correct use of the software. The removal of or tampering with this copy protection is not permitted, subject to the rights of Licensee according to §§ 69d and 69e UrhG.

(12) Any use of the software received by Licensee beyond what was agreed in the contract, notably any use involving more licenses than those specified in the License Certificate, will be deemed a breach of contract. In that case, Licensee agrees to promptly notify such overuse and to enter into a relicensing agreement with its contractual partner (including a provision for adequate compensation) based on the contractual partner’s valid price lists. Any of Licensor’s copyright claims, if applicable, shall remain unaffected. This provision shall apply notably in cases where the software was received from one of Licensor’s partners.

(13) Any defects occurring in the licensed software will be eliminated either within the scope of the liability for material defects owed by the respective seller of the software or within the scope of a valid support contract.

Section 3 Licensee’s Obligations

(1) Licensee is obliged to provide a functioning and adequately dimensioned hardware and software periphery of the type recommended in the product description for the licensed software. Meeting this requirement shall be the sole responsibility of Licensee. It is Licensee’s duty to ensure that the copy protection is available on the computer system on which the software is run.

(2) It is Licensee’s obligation to take adequate precautions in case of the licensed software’s complete or partial failure to function properly. Such appropriate precautions shall be deemed to include notably adequate and regular data backups as well as regular checks of the data processing results.

(3) Licensee agrees to assist Licensor free of charge in the identification and elimination of errors and to provide Licensor with access to any documents which may offer details on the circumstances of the error. The grace periods for remedying the defects shall be extended accordingly in case of delays in Licensee’s duty to provide assistance for which Licensee is responsible.

(4) Licensee shall take all reasonable precautions necessary to prevent unauthorized third-party access to the software and documents. Third parties shall be prevented from directly or indirectly utilizing the software and documents.

(5) Unless explicitly indicated by Licensee beforehand, Licensor may assume that there is a backup of any of Licensee’s data which Licensor might encounter.

Section 4 Warranty Rights

(1) If Licensor is the seller or lessor of the software, Licensee shall be entitled to the statutory rights in respect of defects, unless otherwise provided in these provisions. Licensee shall grant Licensor a reasonable period of time for the provision of subsequent performance according to the circumstances of the individual case, whereby the type of subsequent performance shall be at Licensor’s own discretion. The elimination of defects may, at Licensor’s discretion, be performed in the form of updates or upgrades in cases where such updates or upgrades are deemed appropriate for the nature of the defect.

(2) The warranty is excluded for defects whose causes are based on actions of Licensee, in particular incorrect use of the software, non-compliance with the installation instructions as well as unauthorized modifications to the software made without the written consent of Licensor.

(3) In case of a purchase, Licensee is obliged to notify Licensor or the respective vendor in writing of any defects in the software not later than ten (10) days following their detection to the extent Licensee is under commercial obligation to investigate and give notice of defects. Licensee’s notice of defects should include a description of the defect in as much detail as possible. Upon expiry of the ten (10) day notification period, the defect will be deemed accepted.

(4) Claims for defects shall become statute-barred after twelve months. This applies to both primary and secondary claims, unless a case of Section 5 (1) applies.

(5) As long as Licensee has not fully paid the remuneration due under the respective contract, which corresponds to the value of the defective performance, and Licensee has no legitimate interest in retaining the overdue remuneration, Licensor shall be entitled to refuse subsequent performance.

(6) If a third party asserts to Licensee that a performance of Licensor is in breach of the rights of that third party, Licensee shall notify Licensor immediately. Licensor and its upstream suppliers, if applicable, shall be entitled – though not obligated – to repel the asserted claims at their own expense, as far as this is admissible. Licensee shall not be entitled to acknowledge third-party claims before it has given Licensor adequate opportunity to defend itself against the rights of third parties in another way.

Section 5 Liability

(1) Licensor shall be liable for intent and gross negligence. In the case of slight negligence, Licensor shall only be liable on the merits in the event of a breach of an essential contractual obligation, the fulfillment of which enables the proper execution of the contract in the first place and the observance of which the contractual partner may regularly rely on, as well as in the event of damage resulting from injury to life, body or health or on the basis of given guarantees.

(2) In the event of slight negligence, liability shall be limited to the amount of the foreseeable damage, the occurrence of which must typically be expected. In any case, liability for slight negligence is limited to the amount covered by Licensor’s liability insurance for financial losses of EUR 50,000 per insured event.

(3) Licensor shall not be liable for any lack of economic success of Licensee through the use of the software. The Parties understand this to mean any possible positive developments of one or more key figures intended by Licensee, which provide information about the economic activity in a certain period. Typical key figures here are profit, but also rationalization or scaling effects. Licensor is therefore not liable for the fact that Licensee actually achieves an increase in its activity as a result of the software, since this depends on many other factors that cannot be influenced by Licensor.

(4) Licensor shall be liable for the loss of data and its recovery only to the extent that Licensor is at fault and if such loss of data could not have been avoided even by reasonable and regular data backup measures on the part of Licensee. The liability of Licensor shall be limited to the amount of the typical recovery costs.

(5) The above limitations of liability shall also apply in favor of the employees and vicarious agents of Licensor.

(6) The above limitations of liability shall not apply to liability under the ProdHaftG (German Product Liability Act).

Section 6 Confidentiality and Data Privacy Protection

(1) The Parties agree to keep as secret and confidential any business and operational matters which may have come to their knowledge and to keep in strict confidentiality any information related to the performance of this contract even after termination thereof. The same applies to personal data governed by the provisions of the data protection laws.

(2) The Parties agree to comply with the statutory data protection provisions.

(3) Licensor agrees to refrain from recording, saving or reproducing any of Licensee’s information, documents or data as defined by Section 6 (1), and furthermore agrees to refrain from using or otherwise exploiting such data in any manner except for the purposes of the project. Any stored data will be deleted if no longer required. This provision does not apply in cases where data storage is permitted or even mandatory under the relevant legal provisions.

(4) The Parties agree to also commit their employees to compliance with the foregoing provisions and to advise any third parties and/or partners involved for the fulfillment of the contract of the need for compliance with said provisions.

Section 7 Termination

(1) In case of rental licenses, the right of use and enjoyment will lapse on expiry of the contract term. Regardless of contract type, Licensor shall be entitled to extraordinary termination of the license in case of Licensee’s significant violations of contractual obligations. Licensee’s right of use and enjoyment of the software shall lapse on receipt of the notice of termination. Regardless of the type of contract, Licensor reserves all rights and claims, in particular claims for damages, arising from a breach by Licensee of its obligations under this Agreement.

(2) At termination of the contract, Licensee agrees to destroy all existing original data carriers and all copies of the software without undue delay and to confirm the destruction thereof to Licensor in writing.

Section 8 Other Provisions

(1) All modifications and amendments to these license terms must be made in writing to be effective. This also applies to a modification of this written form clause itself. No oral ancillary agreements have been made.

(2) Set-off of Licensor’s claims by Licensee will be admissible only for claims that are undisputed or have been upheld by final decision of a court of competent jurisdiction. Licensee shall be entitled to claim any rights of retention only on account of any counterclaims resulting directly from this contractual relationship. Licensee may not assert any rights of retention based on earlier or other business transactions.

(3) Licensor will not assume any manufacturer’s warranties for the software unless a part of the software is expressly designated in writing as “covered by warranty”.

(4) Licensor may assign any rights and obligations arising from this contract to third parties without Licensee’s prior consent. In the event of an assignment, Licensor shall be responsible for the proper performance of Licensor’s duties set out in this contract. In this case, Licensee shall have the right to terminate this License Agreement for cause.

(5) The contractual relationship shall be governed exclusively by the law of the Federal Republic of Germany, to the exclusion of private international law and the United Nations Convention on Contracts for the International Sale of Goods (CISG).

(6) Should any of the provisions of this agreement be or become ineffective, the effectiveness of the other provisions shall remain unaffected. In that case, the Parties shall endeavor to replace the ineffective contractual provision with an adequate provision coming as close as possible to the intended purpose of the ineffective provision. In all other respects, the statutory provisions shall apply.

(7) The exclusive place of jurisdiction for disputes arising from this contractual relationship shall be Licensor’s registered office if Licensee is a business entity, a corporate body under public law or a special fund under public law, or if Licensee has no general place of jurisdiction in the Federal Republic of Germany. However, Licensor has the right to invoke the courts of law having jurisdiction at Licensee’s domicile or place of business.

(8) This Agreement is binding in the German language version.

Supportbedingungen NEXIS Plattform

Supportbedingungen der Nexis GmbH für das Produkt „NEXIS Plattform“

Stand: 22.10.2026 | Status: Bestätigt

Präambel

(1) Die Nexis GmbH mit Sitz in Regensburg (nachfolgend „Lizenzgeber“) ist ausschließliche Nutzungsrechtsinhaberin an dem Standardsoftwareprodukt „NEXIS Plattform“ (nachfolgend „Software“) und hat dem Kunden (nachfolgend „Lizenznehmer“) bereits mit gesondertem Vertrag (Lizenzbedingungen) Nutzungsrechte (Lizenzen) an den im zwischen dem Lizenznehmer und dem Lizenzgeber oder einem mit ihm verbundenen Partner abgeschlossenen Kauf-/Mietvertrag (nachfolgend „License Certificate“) genannten Modulen der Software eingeräumt.

(2) Die Erbringung von Supportleistungen für den Lizenznehmer erfolgt für die im mit dem Lizenzgeber oder einem seiner Partner abgeschlossenen Kauf-/Mietvertrag genannte Version und Module der Software auf Basis dieser Supportbedingungen.

(3) Der Lizenznehmer ist ein Unternehmen und setzt die Software im eigenen Unternehmen zur Analyse und Re-Strukturierung von Berechtigungsdaten aus Anwendungssystemen ein.

§ 1 Vertragsgegenstand

(1) Der Lizenzgeber erbringt für die Software den Support gemäß nachfolgenden Bestimmungen sowie gemäß den Angaben im jeweiligen Vertrag. Die Pflichten des Lizenzgebers beziehen sich ausschließlich auf die aktuelle Nebenversion der Software und deren beide Nebenversions-Vorgänger1.

(2) Der Softwaresupport umfasst die Beseitigung von Fehlern und das Bereitstellen von Updates (entspricht dem Bereitstellen einer neuen Nebenversion) und Upgrades (entspricht dem Bereitstellen einer neuen Hauptversion) der Software.

(3) Sonstige Leistungen im Zusammenhang mit der Software, insbesondere ein Hotline-Service für Fragen des Lizenznehmers zur Software, Installations- und Konfigurationsleistungen, Customizing und/oder Schulungsmaßnahmen, sind nicht Gegenstand dieser Supportbedingungen.

(4) Die Beseitigung von Störungen und Schäden, die durch unsachgemäße Behandlung seitens des Lizenznehmers, durch Einwirkung Dritter oder durch höhere Gewalt verursacht werden, ist ebenfalls nicht Gegenstand dieser Supportbedingungen. Sie kann aber im Einzelfall gegen gesonderte Vergütung vereinbart werden. Gleiches gilt für Schäden und Störungen, die durch Umweltbedingungen am Aufstellungsort, durch Fehler oder Nichtleistung der Stromversorgung, fehlerhafte Hardware oder sonstige, nicht vom Lizenzgeber zu vertretende Einwirkungen verursacht werden.

(5) Der Lizenznehmer kann den Support des Lizenzgebers nach diesen Bedingungen nur für alle von ihm erworbenen Lizenzen für die Software in Anspruch nehmen. Die Inanspruchnahme der Supportleistungen des Lizenzgebers nur für einen Teil der erworbenen Lizenzen ist nicht möglich.

(6) Nicht Gegenstand des Vertrages sind die Pflege der Hardware, von Drittsoftware (z. B. Betriebssystem, betriebssystemnahe Software) und von Veränderungen, die durch den Lizenznehmer oder Dritte vorgenommen werden, um die Interoperabilität der Software mit Drittsoftware herzustellen (z. B. Schnittstellen zu anderen Softwareprodukten).

§ 2 Fehlerbeseitigung

(1) Ob ein Fehler vorliegt, bestimmt sich nach den Beschreibungen des Programms in den vorhandenen Materialien (Benutzerhandbuch der beim Lizenznehmer betriebenen Softwareversion) und den darin für den vertragsgemäßen Einsatz festgelegten Leistungen. Ein Fehler liegt danach insbesondere vor, wenn die Software nicht die in dem Benutzerhandbuch der beim Lizenznehmer betriebenen Softwareversion angegebenen Funktionen erfüllt, den Lauf unkontrolliert abbricht oder in sonstiger Weise nicht ordnungsgemäß arbeitet, sodass eine Nutzung der Software nicht nur unerheblich eingeschränkt oder unmöglich ist.

1 Die Hauptversionsnummer der Software (Major-Release) wird durch die erste Ziffer der Versionsnummer, die Nebenversionsnummer (Minor-Release) durch die zweite Ziffer der Versionsnummer ausgedrückt (Beispiel: Die Versionsnummer 4.1 entspricht der Hauptversion „4“ in der Nebenversion „1“). Die Versionsnummer ist im administrativen Bereich der Software einsehbar. Vor ihrer Umbenennung war die Software als „Nexis Controle“ bis zur Version 3.4 verfügbar (direkte Vorgängerversion der NEXIS Plattform in der Versionsnummer 4.0).

(2) Ein Fehler im Sinne dieses Vertrags liegt nicht vor, wenn die Funktionsstörung auf unsachgemäße Behandlung der Software, insbesondere Abweichen von den Installations- und Nutzungsanweisungen (Benutzerhandbuch), oder Einsatz in einer nicht dafür vorgesehenen Hard- und Softwareumgebung beruht.

(3) Der Lizenzgeber kann Vergütung seines Aufwands verlangen, soweit er aufgrund einer Meldung tätig wird, ohne dass ein Mangel vorliegt.

(4) Eine nicht nur unerhebliche Einschränkung der Nutzung der Software liegt vor, wenn eine zweckmäßige, wirtschaftlich sinnvolle Nutzung von wesentlichen Teilen der Software aufgrund eines Fehlers der Software nicht mehr möglich oder nur in unzumutbar eingeschränktem Umfang möglich ist.

(5) Der Lizenzgeber wird unter Einsatz der ihm zur Verfügung stehenden Mittel innerhalb angemessener Frist nach Eingang einer Fehlermeldung des Lizenznehmers mit der Fehlerbeseitigung beginnen. Er wird sich auch bemühen, dem Lizenznehmer eine Umgehungslösung anzubieten.

(6) Die Reaktionszeit bemisst sich nach den Umständen des Einzelfalls, insbesondere nach der Schwere des Fehlers, und ist definiert als die Zeit, die der Lizenzgeber benötigt, um mit der Fehlerbeseitigung zu beginnen. Soweit nicht besondere Umstände vorliegen, gelten folgende Fehlerklassen und Reaktionszeiten für die Fehlerbehebung:

Tabelle 1: Fehlerklassen und Reaktionszeiten

(7) Die Kategorisierung der Fehler soll grundsätzlich einvernehmlich zwischen dem Lizenzgeber und dem Lizenznehmer getroffen werden. Kann kein Einvernehmen erzielt werden, so entscheidet der Lizenzgeber.

(8) Der Lizenznehmer hat Mängel unverzüglich in nachvollziehbarer und detaillierter Form unter Angabe aller für die Mängelerkennung und -analyse zweckdienlichen Informationen schriftlich zu melden. Anzugeben sind dabei insbesondere die Arbeitsschritte, die zum Auftreten des Mangels geführt haben, die Erscheinungsform sowie die Auswirkungen des Mangels. Auf dem Bildschirm erscheinende Fehlermeldungen sind im Originaltext mitzuteilen.

(9) Wird der Fehler außerhalb der Geschäftszeiten des Lizenzgebers (Montag bis Freitag, außer an gesetzlichen Feiertagen am Unternehmenssitz des Lizenzgebers, 09:00– 17:00 Uhr) gemeldet, gilt er als zu Beginn der nächsten Geschäftszeiten gemeldet. Soweit eine Frist in Tagen berechnet wird, endet die Frist mit dem Ende der jeweiligen Geschäftszeiten dieses Tages.

(10) Gelingt dem Lizenzgeber die Fehlerbeseitigung nicht innerhalb einer der Schwere des Fehlers angemessenen Frist, kann der Lizenznehmer – nach zweimaliger Nachfristsetzung hinsichtlich der Fehlerbeseitigung – den Supportvertrag (im Falle eines zugrundeliegenden Softwarekaufs) oder den Mietvertrag (im Falle einer zugrundeliegenden Softwaremiete) kündigen.

(11) Der Lizenznehmer ist nach der Beseitigung von Fehlern der Klassen 1 bis 2 zur Abnahme verpflichtet. Der Lizenzgeber teilt nach Abschluss der Arbeiten die Abnahmebereitschaft mit. Der Lizenznehmer hat die Abnahme zu erklären oder innerhalb von 14 Tagen nach Mitteilung der Abnahmebereitschaft zur Abnahmeverweigerung berechtigende Gründe mitzuteilen. Erklärt sich der Lizenznehmer innerhalb dieser Frist nicht, gelten die Leistungen als abgenommen.

(12) Dem Lizenzgeber obliegt die Wahl der Art der Fehlerbeseitigung (Nachbesserung oder Nachlieferung). Erfolgt die Fehlerbeseitigung durch Lieferung einer neuen Softwareversion, eines Patches oder eines Updates, ist der Lizenznehmer verpflichtet, diese(s) zu installieren. Andernfalls ist der Lizenzgeber für auftretende Fehler nicht verantwortlich. Auf Wunsch des Lizenznehmers erfolgt eine Installation durch den Lizenzgeber gegen gesonderte Vergütung.

(13) Ein Fehler im Sinne dieses Vertrages liegt ferner nicht vor, wenn bei Schnittstellenprogrammierungs- und Datenübertragungsarbeiten oder dem Einspielen von Patches oder Updates seitens des Lizenzgebers Nichtlieferungen, Verzögerungen der Leistungen oder Erhöhungen der Aufwände daraus resultieren, dass der Lizenznehmer eine Veränderung in den Anforderungen dem Lizenzgeber gegenüber nicht kommuniziert.

§ 3 Updates

(1) Der Lizenzgeber liefert dem Lizenznehmer Software-Updates, unter anderem zur Fehlerbeseitigung oder zur Weiterentwicklung der Software. Die Anzahl der Updates liegt im Ermessen des Lizenzgebers unter Berücksichtigung von Anzahl und Art der auftretenden Fehler und den sich daraus ergebenden Funktionsbeeinträchtigungen der Software.

(2) Updates werden entweder beim Lizenznehmer vor Ort oder über einen Fernzugriff (remote) auf das Computersystem, auf dem die Software betrieben wird, installiert.

(3) Der Lizenznehmer wird Patches und Updates installieren, um die Software auf dem aktuellsten Stand zu halten und insbesondere Fehler zu beheben.

(4) Der Lizenznehmer hat keinen Anspruch auf Anpassung der Software wegen nicht im Lizenzumfang enthaltener, ihn treffender gesetzlicher Änderungen. In einem derartigen Fall wird die Anpassung nur bei ausdrücklicher Beauftragung und gegen eine entsprechende, zusätzlich zu vereinbarende Vergütung vorgenommen.

(5) Die Nutzungsrechte des Lizenznehmers an neuen Versionen und an sonstigen Korrekturen der Software entsprechen den Nutzungsrechten an der vorhergehenden Version der Software. Hinsichtlich der Nutzungsrechte treten die Rechte an den neuen Versionen und sonstigen Korrekturen an die Stelle der Rechte an den vorangegangenen Versionen und sonstigen Korrekturen.

§ 4 Mitwirkungspflichten des Lizenznehmers

(1) Der Lizenznehmer hat den Lizenzgeber bei der Erfüllung der vertraglichen Leistungspflichten unentgeltlich zu unterstützen. Insbesondere wird der Lizenznehmer bei Fehlermeldungen die Symptome sowie die Hard- und Softwareumgebung möglichst detailliert beschreiben und dem Lizenzgeber weitere sachdienliche Informationen, z. B. Anzahl der betroffenen Profile u. Ä., mitteilen. Fehlfunktionen sind möglichst in reproduzierbarer Form dem Lizenzgeber zur Verfügung zu stellen. Etwaige hierbei vom Lizenznehmer zu vertretende Verzögerungen in der Unterstützungspflicht verlängern die Nachbesserungsfristen.

(2) Des Weiteren hat der Lizenznehmer den mit den Supportleistungen beauftragten Mitarbeitern des Lizenzgebers Zugang zu den Rechnern zu gewähren, auf denen die Software installiert ist.

(3) Vorschläge des Lizenzgebers zur Fehlersuche und Fehlerbeseitigung hat der Lizenznehmer einzuhalten.

(4) Der Lizenznehmer ist zu einer ausreichenden und regelmäßigen Datensicherung verpflichtet, die eine Rekonstruktion verlorener Daten mit zumutbarem Aufwand ermöglicht.

§ 5 Vergütung

(1) Die Supportgebühr errechnet sich bei einem Softwarekauf aus einem bestimmten Prozentsatz des Kaufpreises der Software und wird im entsprechenden Kaufvertrag (siehe Präambel Abs. (1)) beziffert. Sofern im jeweiligen Vertrag nichts anderes geregelt ist, versteht sich die Supportgebühr beim Kauf als jährliche Gebühr ab dem 13. Monat nach dem Erwerb der Software. Der im jeweiligen Vertrag genannte Betrag versteht sich zzgl. der gesetzlichen Umsatzsteuer. Bei einer Miete der Software ist der Support im monatlichen Mietpreis enthalten.

(2) Die Supportgebühr ist beim Kauf jeweils jährlich im Voraus zu zahlen.

(3) Die Parteien sind sich einig, dass beim Softwarekauf die ersten 12 Monate Support deshalb kostenfrei gewährt werden, weil damit die nach diesem Vertrag zu beseitigenden Fehler der Fehlerklasse 1 und 2 unter die im Softwarekaufvertrag geschuldete Gewährleistung fallen. Die Gewährleistungsfrist für diese Mängel beträgt nach dem separat abgeschlossenen Kaufvertrag ein Jahr. Für den Zeitraum von einem Jahr nach Vertragsschluss ist daher die Beseitigung derartiger Fehler mit dem Kaufpreis abgegolten.

(4) Weitere, über die im Rahmen dieses Vertrags geschuldeten Leistungen hinausgehende Leistungen sind gesondert nach Absprache mit dem Lizenzgeber zu vergüten.

§ 6 Vertragslaufzeit

(1) Der Supportvertrag tritt mit der Unterzeichnung durch beide Parteien in Kraft. Die Vertragslaufzeit wird beim Softwarekauf in dem entsprechenden Kaufvertrag (siehe Präambel Abs. (1)) festgelegt. Ist in dem Kaufvertrag hierzu nichts geregelt, beträgt die Mindestvertragslaufzeit 1 Jahr. Bei einer Vermietung der Software an den Lizenznehmer entspricht die Vertragslaufzeit der Dauer der Miete und endet automatisch mit Beendigung der Mietzeit.

(2) Wird der Supportvertrag nach einem Softwarekauf gekündigt, kann er nur rückwirkend zum Zeitpunkt der Kündigung wieder aufgenommen werden. Die Supportgebühren fallen in diesem Fall rückwirkend zum Tag der ursprünglichen Kündigung an und werden vom Lizenzgeber bei der ersten Rechnungsstellung nach der Wiederaufnahme des Supportvertrags abgerechnet.

(3) Der Lizenznehmer kann diesen Vertrag ohne Einhaltung einer Frist kündigen, wenn der Lizenzgeber beim Vorliegen eines erheblichen Softwaremangels im Sinne von § 2 Abs. (4) dieses Vertrags nicht nachweisen kann, dass er mit dessen Beseitigung innerhalb angemessener Frist begonnen hat, oder der Fehler nicht innerhalb eines angemessenen Zeitraums beseitigt werden konnte und dem Lizenznehmer dadurch ein nicht nur unerheblicher Schaden entstanden ist.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(5) Kündigungen bedürfen der Schriftform.

§ 7 Mängelrechte

(1) Sofern es sich bei den vom Lizenzgeber erbrachten Leistungen um Werkleistungen handelt, stehen dem Lizenznehmer nach durchgeführter Abnahme die gesetzlichen Mängelrechte zu, soweit nicht in diesen Bedingungen etwas anderes bestimmt ist. Verfügt die Leistung des Lizenzgebers nicht über die vereinbarte Beschaffenheit oder eignet sie sich nicht für den vertraglich vorausgesetzten oder den gewöhnlichen Gebrauch, ist der Lizenzgeber zur zweimaligen Nachbesserung berechtigt und, soweit dies nicht mit unzumutbarem Aufwand verbunden ist, auch verpflichtet. Gelingt es dem Lizenzgeber nicht innerhalb einer angemessenen Frist, den Mangel zu beseitigen oder so zu umgehen, dass dem Lizenznehmer die vertragsgemäße Nutzung ermöglicht wird, stehen dem Lizenznehmer die weiteren gesetzlichen Gewährleistungsrechte zu. Statt des Rücktrittsrechts hat der Lizenznehmer das Recht, diesen Vertrag zu kündigen.

(2) Der Lizenznehmer hat dem Lizenzgeber einen nach den Umständen des Einzelfalls angemessenen Zeitraum für die Erbringung der Nacherfüllung zu gewähren, wobei die Art der Nacherfüllung nach eigener Wahl des Lizenzgebers erfolgt. Setzt der Lizenznehmer eine Frist zur Nacherfüllung, hat er nach erfolglosem Fristablauf unverzüglich mitzuteilen, wie mit dem Vertrag weiter verfahren werden soll. Teilt er dies nicht mit, kann der Lizenzgeber davon ausgehen, dass der Vertrag unverändert fortbestehen soll.

(3) Gewährleistungsansprüche sind ausgeschlossen für Mängel, deren Ursache auf Handlungen des Lizenznehmers, insbesondere unsachgemäßer Handhabung der Software, Nichtbeachtung der Installationshinweise oder Missachtung von Sicherheitsmaßnahmen, beruht.

(4) Mängelansprüche verjähren in zwölf Monaten. Dies gilt sowohl für Primär- als auch für Sekundäransprüche, sofern nicht ein Fall des § 8 Abs. (1) vorliegt.

(5) Solange der Lizenznehmer die nach dem jeweiligen Vertrag fällige Vergütung, die dem Wert der mangelhaften Leistung entspricht, noch nicht vollständig gezahlt hat und er kein berechtigtes Interesse am Zurückbehalt der rückständigen Vergütung hat, ist der Lizenzgeber berechtigt, die Nacherfüllung zu verweigern.

(6) Macht ein Dritter gegenüber dem Lizenznehmer geltend, dass eine Leistung des Lizenzgebers seine Rechte verletzt, benachrichtigt der Lizenznehmer unverzüglich den Lizenzgeber. Der Lizenzgeber und ggf. dessen Vorlieferanten sind berechtigt, aber nicht verpflichtet, soweit zulässig die geltend gemachten Ansprüche auf deren Kosten abzuwehren. Der Lizenznehmer ist nicht berechtigt, Ansprüche Dritter anzuerkennen, bevor er dem Lizenzgeber angemessen Gelegenheit gegeben hat, die Rechte Dritter auf andere Art und Weise abzuwehren.

§ 8 Haftung

(1) Der Lizenzgeber haftet für Vorsatz und grobe Fahrlässigkeit. Für leichte Fahrlässigkeit haftet der Lizenzgeber dem Grunde nach nur bei Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf, sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit oder aufgrund von gegebenen Garantien.

(2) Die Haftung ist im Falle leichter Fahrlässigkeit summenmäßig beschränkt auf die Höhe des vorhersehbaren Schadens, mit dessen Entstehung typischerweise gerechnet werden muss. Jedenfalls aber ist die Haftung für leichte Fahrlässigkeit summenmäßig beschränkt auf die Höhe der von der Haftpflichtversicherung des Lizenzgebers gedeckten Summe für Vermögensschäden von EUR 50.000 pro Versicherungsfall.

(3) Der Lizenzgeber haftet nicht für mangelnden wirtschaftlichen Erfolg des Lizenznehmers. Hierunter verstehen die Parteien eventuell vom Lizenznehmer beabsichtigte positive Entwicklungen einer oder mehrerer Kennzahlen, die über das Wirtschaften in einer bestimmten Periode Auskunft geben. Typische Kennzahlen sind hier der Gewinn, aber auch Rationalisierungs- oder Skalierungseffekte. Der Lizenzgeber haftet nicht dafür, dass der Lizenznehmer durch die Software auch tatsächlich eine Steigerung seiner Tätigkeit erreicht, da dies von vielen weiteren, vom Lizenzgeber nicht beeinflussbaren Faktoren abhängt.

(4) Für den Verlust von Daten und deren Wiederherstellung haftet der Lizenzgeber nur insoweit, als ihn ein Verschulden trifft und wenn ein solcher Datenverlust auch durch angemessene und regelmäßige Datensicherungsmaßnahmen seitens des Lizenznehmers nicht vermeidbar gewesen wäre. Die Haftung des Lizenzgebers ist der Höhe nach auf den typischen Wiederherstellungsaufwand beschränkt.

(5) Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der Mitarbeiter und Erfüllungsgehilfen des Lizenzgebers.

(6) Die vorstehenden Haftungsbeschränkungen gelten nicht für die Haftung nach dem ProdHaftG.

§ 9 Geheimhaltung und Datenschutz

(1) Beide Parteien haben über alle ihnen bekannt gewordenen geschäftlichen und betrieblichen Angelegenheiten Stillschweigen zu bewahren und sämtliche im Zusammenhang mit der Erfüllung dieses Vertrags stehenden Informationen auch über dessen Beendigung hinaus streng vertraulich zu behandeln. Gleiches gilt für personenbezogene Daten, die unter die Bestimmungen der Datenschutzgesetze fallen.

(2) Die Parteien halten die gesetzlichen Bestimmungen des Datenschutzes ein.

(3) Der Lizenzgeber verpflichtet sich, Informationen, Unterlagen oder Daten des Lizenznehmers im Sinne des Abs. (1) nur zu Projektzwecken zu nutzen oder zu verwerten. In diesem Zusammenhang gespeicherte Daten sind zu löschen, wenn sie nicht mehr benötigt werden. Dies gilt nicht, solange eine gesetzliche Regelung die Speicherung der Daten erlaubt oder sogar verpflichtend vorsieht.

(4) Die Parteien werden auch ihre Mitarbeiter entsprechend verpflichten und die eventuell zur Vertragserfüllung eingeschalteten Dritten und/oder Partner hierauf hinweisen.

§ 10 Höhere Gewalt

(1) Der Lizenzgeber ist von der Verpflichtung zur Leistung aus diesem Vertrag befreit, wenn und soweit die Nichterfüllung von Leistungen auf das Eintreten von Umständen höherer Gewalt nach Vertragsabschluss zurückzuführen ist. Als Umstände höherer Gewalt gelten zum Beispiel Krieg, Streiks, Unruhen, Pandemien, Epidemien, Enteignungen, kardinale Rechtsänderungen, Sturm, Überschwemmungen und sonstige Naturkatastrophen sowie sonstige, vom Lizenzgeber nicht zu vertretende Umstände (insbesondere Wassereinbrüche, Stromausfälle und Unterbrechungen oder Zerstörung datenführender Leitungen).

(2) Jede Vertragspartei hat die andere Vertragspartei über den Eintritt eines Falles von höherer Gewalt unverzüglich und in Textform in Kenntnis zu setzen.

§ 11 Schlussbestimmungen

(1) Alle Änderungen und Ergänzungen dieser Supportbedingungen bedürfen der Schriftform. Dies gilt auch für eine Änderung dieser Schriftformklausel selbst. Mündliche Nebenabreden bestehen nicht.

(2) Gegen Ansprüche des Lizenzgebers kann der Lizenznehmer nur mit unbestrittenen oder rechtskräftig festgestellten Ansprüchen aufrechnen. Dem Lizenznehmer steht die Geltendmachung eines Zurückbehaltungsrechtes nur wegen Gegenansprüchen aus diesem Vertragsverhältnis zu. Die Geltendmachung von Zurückbehaltungsrechten durch den Lizenznehmer aus früheren oder anderen Rechtsgeschäften ist ausgeschlossen.

(3) Der Lizenzgeber ist berechtigt, die Rechte und Pflichten aus diesem Vertrag an Dritte ohne Zustimmung des Lizenznehmers abzutreten. Im Falle der Abtretung steht der Lizenzgeber für die ordnungsgemäße Erfüllung der in diesem Vertrag niedergelegten Pflichten des Lizenzgebers ein. Der Lizenznehmer hat in diesem Fall das Recht zur außerordentlichen Kündigung dieses Supportvertrags.

(4) Auf das Vertragsverhältnis findet ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des Internationalen Privatrechts und des UN-Kaufrechts Anwendung.

(5) Die in diesen Supportbedingungen enthaltenen Regelungen gehen allen abweichenden oder ergänzenden Regelungen des Lizenznehmers, insbesondere in dessen AGB, Einkaufsbedingungen, Bestellungen oder sonstigen Schriftstücken, vor. Solche Regelungen nach Satz 1 werden, selbst bei Kenntnis des Lizenzgebers, nicht Vertragsbestandteil, es sei denn, ihrer Geltung wird ausdrücklich zugestimmt. Der Lizenzgeber widerspricht hiermit zudem diesen Supportbedingungen entgegenstehenden Regelungen ausdrücklich.

(6) Ausschließlicher Gerichtsstand bei Streitigkeiten aus diesem Vertragsverhältnis ist der Firmensitz des Lizenzgebers, wenn der Lizenznehmer Kaufmann, juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat. Der Lizenzgeber ist aber berechtigt, auch am Sitz des Lizenznehmers zu klagen.

(7) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die Parteien bemühen sich dann, anstelle der unwirksamen Vertragsbestimmung eine angemessene Regelung zu treffen, die dem mit der unwirksamen Bestimmung angestrebten Zweck möglichst nahekommt. Im Übrigen gelten die gesetzlichen Bestimmungen.

(8) Dieser Vertrag ist in der deutschen Sprachfassung verbindlich.

Support Conditions NEXIS Platform

Support Conditions of Nexis GmbH for the product “NEXIS Platform”

As of: October 22, 2026 | Status: Confirmed

Recitals

(1) Nexis GmbH with its registered place of business in Regensburg (hereinafter “Licensor”) is the sole holder of the rights to use the standard software product “NEXIS Platform” (hereinafter “software”) and has already transferred to the customer (hereinafter “Licensee”), by separate contract (License Terms), the rights (i.e., the licenses) to use the software modules specified in the purchase/lease agreement concluded between Licensee and Licensor or one of its partners (hereinafter “License Certificate”).

(2) The support services for Licensee’s software modules and version specified in the purchase/lease agreement concluded with Licensor or one of its partners will be provided on the basis of these support conditions.

(3) Licensee is an enterprise and uses the software in its own organization for the analysis, management, and optimization of authorization data from application systems.

Section 1 Subject Matter of the Agreement

(1) Licensor agrees to provide support services for the software in accordance with the following provisions and the specifications contained in the respective contract. Licensor’s duties refer exclusively to the most current minor version of the software and its two direct minor version predecessors in each case1.

(2) The software support shall be deemed to include the elimination of errors and the supply of updates (an update is considered the supply of a new minor software version) and upgrades (an upgrade is considered the supply of a new major software version).

(3) Other services in connection with the software, notably installation and configuration services, a hotline service for handling questions on the software, customizing, and/or Licensee training in the licensed software, are not deemed a subject matter of these support conditions.

(4) The elimination of malfunctions and damages caused by inappropriate treatment by Licensee, third-party influences or force majeure is equally not deemed a subject matter of these support conditions. However, it may be agreed for separate remuneration on a case-by-case basis. The same applies to malfunctions and damages caused by the environmental conditions at the place of installation, faults or failure of the power supply, defective hardware, or any other influences beyond Licensor’s control.

(5) Licensee may claim the software support of Licensor under these conditions only for all licenses for the software acquired by it. Partial software support covering only parts of the licenses acquired is not possible.

(6) The administration of the hardware, third-party software (e.g., operating system, machine-oriented software) and changes performed by Licensee or third parties in order to establish the interoperability of the software with third-party software (e.g., interfaces to other software products) are not the subject of the contract.

Section 2 Troubleshooting

(1) The question of whether a software defect is present shall be determined according to the performance described in the program specifications (user manual of the software version operated by Licensee) and the services set forth therein for use in accordance with the contract. A software defect will be deemed to exist notably if the software fails to fulfill the functions specified in the user manual for the software version operated by Licensee, if its running is aborted in an uncontrolled manner, or if it otherwise fails to work properly, such that the use of the software is either impossible or substantially limited.

1 The major version (major release) of the software is stated by the first digit of the software version number, the minor version (minor release) by the second digit (example: version 4.1 of the NEXIS Platform represents the major version “4” in its minor release “1”). The currently operated software version is stated in the administrative area of the software. Before rebranding, the software was available as “Nexis Controle” up to version 3.4 (direct predecessor of the NEXIS Platform in its version 4.0).

(2) A software defect as defined by this contract will not be deemed to exist if the malfunction was caused by inappropriate treatment of the software, notably non-compliance with the instructions for installation and use (user manual) or use of the software in a hardware and software periphery not intended for that purpose.

(3) Licensor may require remuneration for its outlay if it acts based on a notification although no defect exists.

(4) A substantially limited use of the software will be deemed to exist in cases where the appropriate and economically viable use of significant parts of the software is either impossible or possible only to an unreasonably limited extent due to a defect in the software.

(5) Licensor, by making use of all the resources available to it, undertakes to commence troubleshooting within a reasonable time following receipt of Licensee’s error report. Licensor will furthermore make its best efforts to offer Licensee a workaround solution.

(6) Response time shall be commensurate with the circumstances of the particular case, notably the severity of the error, and is defined as the time it takes Licensor to begin troubleshooting. Except in special circumstances, the following error classes and response times shall apply:

Table 1: Error classes and response times

(7) The categorization of the errors should be mutually agreed by Licensor and Licensee on principle. If no agreement can be reached, Licensor shall make the decision.

(8) Licensee is to report defects in writing immediately in detailed and documented form, providing all information that serves the purpose of identifying and analyzing the defects. Here, the steps that led to the defect occurring, the manifestation and the effects of the defect are particularly to be specified. The original wording of the error messages appearing on the screen is to be communicated.

(9) If the error is reported outside of Licensor’s business hours (Monday to Friday, except for legal holidays at Licensor’s company domicile; 9:00 a.m. – 5:00 p.m.), it shall be considered reported at the start of the subsequent business hours. If a period is calculated in days, the period shall end at the close of the respective business hours of that day.

(10) If Licensor fails to eliminate the error within a period commensurate with the severity of the error, Licensee may – upon having granted Licensor two periods of grace for troubleshooting – terminate the support contract (in the case of an underlying software purchase) or the lease agreement (in the case of an underlying software lease).

(11) Licensee is under obligation to perform an acceptance following the elimination of class 1 and class 2 errors. Licensor will advise readiness for acceptance after completion of the works. Licensee shall either declare acceptance or give its reasons justifying refusal of acceptance within fourteen (14) days following notification of readiness for acceptance. In the event of Licensee’s failure to respond within the foregoing period, the works will be deemed accepted.

(12) The choice of the troubleshooting method (i.e., either rectification or subsequent delivery) is at Licensor’s discretion. If troubleshooting is performed through the supply of a new software version, a patch, or an update, Licensee will be under obligation to install such new software version, patch, or update. Otherwise, Licensor will not be responsible for any occurring errors. At Licensee’s request, installation by Licensor will be performed against separate remuneration.

(13) A defect as defined by this contract will also not be deemed to exist if non-deliveries, delays in performance or increased efforts in interface programming and data transfer work or in the installation of patches or updates by Licensor result from Licensee not having communicated a change in requirements to Licensor.

Section 3 Updates

(1) Licensor will supply Licensee with software updates to be used, among other things, for troubleshooting or further development of the software. The number of updates supplied shall be at Licensor’s own discretion, but subject to Licensor’s due consideration of the number and nature of the occurring errors and any functional impairments of the software ensuing therefrom.

(2) Updates will be installed either at Licensee’s premises or via remote access to the computer system on which the software is operated.

(3) It is Licensee’s obligation to install patches and updates in order to keep the software up to date and notably to eliminate errors.

(4) Licensee shall have no claim to software alignment due to statutory changes to which it is subject and which do not fall within the scope of the license. In such cases, the alignment will only be performed subject to an explicit order and in return for a corresponding fee, which is to be agreed additionally.

(5) Licensee’s right to use new versions of the software and other corrections of the software shall correspond to the right to use the previous version of the software. With regard to the rights of use, the rights to the new versions and other corrections shall replace the rights to the previous versions and other corrections.

Section 4 Licensee’s Duties to Cooperate

(1) Licensee agrees to support Licensor free of charge in the fulfillment of the contractual obligations to perform. Licensee notably agrees to describe the symptoms as well as the hardware and software periphery in the greatest detail possible when submitting error reports and to provide Licensor with additional relevant information (e.g., the number of profiles affected and the like). Malfunctions should be communicated to Licensor in as reproducible a form as possible. Any delays in the duty to cooperate for which Licensee is responsible shall extend the periods for rectification accordingly.

(2) Furthermore, Licensee agrees to grant Licensor’s employees in charge of the support services access to the computer systems on which the software is installed.

(3) Licensee agrees to comply with Licensor’s troubleshooting proposals.

(4) Licensee is obliged to perform adequate and routine data backups allowing the reconstruction of lost data at a reasonable expense.

Section 5 Remuneration

(1) The support fee payable in case of a software purchase will be calculated from a specific percentage of the software’s purchase price and will be quantified in the corresponding purchase agreement (see Recitals (1)). Unless otherwise provided in the respective contract, the support fee payable in case of a software purchase will be an annual fee payable from the 13th month following software acquisition. The amount quoted in the respective contract is exclusive of statutory value added tax. In case of a software lease, the support will be included in the monthly lease price.

(2) In case of a software purchase, the support fee is due for payment annually in advance.

(3) The Parties agree that for every software purchase, the first twelve (12) months of support services will be granted free of charge because class 1 and class 2 errors to be eliminated under this contract are covered by the warranty owed for the software purchase. The warranty period for these errors is one (1) year according to the separately concluded purchase agreement. Hence, the elimination of such errors will be deemed settled through payment of the purchase price for the term of one (1) year following the conclusion of the contract.

(4) Any additional services rendered above and beyond those owed under this contract will be subject to separate remuneration upon separate agreement with Licensor.

Section 6 Contract Term

(1) The support contract will become legally effective upon signature by both Parties. In case of a software purchase, the contract term is stated in the respective purchase agreement (see Recitals (1)). Unless otherwise stated in the purchase agreement, the minimum contract period will be one (1) year. In case of a software lease, the contract term will correspond to the duration of the leasing period and will terminate automatically on termination of the leasing period.

(2) If the support contract is terminated after a software purchase, it may only be revived with retroactive effect to the time of termination. In that case, the support fees will accrue with retroactive effect from the date of the original notice of termination and will be billed by Licensor in the first invoice issued after revival of the support contract.

(3) Licensee may terminate this contract without observing a period of notice if, in the event of a significant software defect as defined by Section 2 (4) of this contract, Licensor is unable to prove that it has commenced the elimination of the defect within a reasonable time, or if the defect could not be eliminated within a reasonable time and Licensee has thereby suffered more than insignificant damage.

(4) The right to extraordinary termination for good cause shall remain unaffected.

(5) Notices of termination must be made in writing to be effective.

Section 7 Warranty

(1) Insofar as the services provided by Licensor are work performances, Licensee shall be entitled to the statutory rights in respect of defects after acceptance has been carried out, unless otherwise stated in these conditions. If the service provided by Licensor does not feature the contractually agreed quality, or if it is not fit for the contractually stipulated use or for ordinary use, Licensor is entitled and – provided this does not involve unreasonable expense – obliged to rework twice. Should Licensor fail within a reasonable time to eliminate the defect or to circumvent it in a manner permitting Licensee’s contractual use, Licensee shall be entitled to further statutory warranty rights. In lieu of the right of withdrawal, Licensee has the right to terminate the contract.

(2) Licensee agrees to grant Licensor an adequate period for subsequent performance commensurate with the circumstances of the individual case, whereby the type of subsequent performance shall be at Licensor’s own discretion. If Licensee has specified a deadline for subsequent performance, Licensee shall, after fruitless expiry of this period, immediately advise Licensor on how to proceed with the contract. If Licensee fails to do so, Licensor may presume that the contract will remain in force unchanged.

(3) Warranty claims shall be excluded for defects whose root cause is attributable to actions of Licensee, notably inappropriate handling of the software, non-observance of the installation instructions or disregard of safety measures.

(4) Claims for defects shall become statute-barred after twelve months. This applies to both primary and secondary claims, unless a case of Section 8 (1) exists.

(5) As long as Licensee has not fully paid the remuneration due under the respective contract, which corresponds to the value of the defective performance, and Licensee has no legitimate interest in retaining the overdue remuneration, Licensor shall be entitled to refuse subsequent performance.

(6) If a third party asserts to Licensee that a performance of Licensor is in breach of its rights, Licensee shall notify Licensor immediately. Licensor and, if applicable, its upstream suppliers shall be entitled, but not obligated, to ward off the asserted claims at their expense, as far as this is admissible. Licensee shall not be entitled to recognize claims of third parties before giving Licensor appropriate opportunity to ward off the rights of third parties in a different way.

Section 8 Liability

(1) Licensor shall be liable for intent and gross negligence. In the case of slight negligence, Licensor shall only be liable on the merits in the event of a breach of an essential contractual obligation, the fulfillment of which enables the proper execution of the contract in the first place and the observance of which the contractual partner may regularly rely on, as well as in the event of damage resulting from injury to life, body or health or on the basis of given guarantees.

(2) In the event of slight negligence, liability shall be limited to the amount of the foreseeable damage, the occurrence of which must typically be expected. In any case, liability for slight negligence is limited to the amount covered by Licensor’s liability insurance for financial losses of EUR 50,000 per insured event.

(3) Licensor shall not be liable for any lack of economic success of Licensee. The Parties understand this to mean any possible positive developments of one or more key figures intended by Licensee, which provide information about the economic activity in a certain period. Typical key figures here are profit, but also rationalization or scaling effects. Licensor is not liable for the fact that Licensee actually achieves an increase in its activity as a result of the software, since this depends on many other factors that cannot be influenced by Licensor.

(4) Licensor shall be liable for the loss of data and its recovery only to the extent that Licensor is at fault and if such loss of data could not have been avoided even by reasonable and regular data backup measures on the part of Licensee. The liability of Licensor shall be limited to the amount of the typical recovery costs.

(5) The above limitations of liability shall also apply in favor of the employees and vicarious agents of Licensor.

(6) The above limitations of liability shall not apply to liability under the ProdHaftG (German Product Liability Act).

Section 9 Confidentiality and Data Privacy Protection

(1) The Parties agree to keep as secret and confidential any business and operational matters which may have come to their knowledge and to keep in strict confidentiality any information related to the performance of this contract even after termination thereof. The same applies to personal data governed by the provisions of the data protection laws.

(2) The Parties agree to comply with the statutory data protection provisions.

(3) Licensor agrees to use or exploit Licensee’s information, documents or data as defined by Section 9 (1) only for the purposes of the project. Data stored in this context will be deleted if no longer required. This does not apply as long as a statutory provision permits or even mandates the storage of the data.

(4) The Parties agree to also commit their employees accordingly and to advise any third parties and/or partners involved in the fulfillment of the contract thereof.

Section 10 Force Majeure

(1) Licensor shall be released from the obligation to perform under this Agreement if and to the extent that the failure to perform is due to the occurrence of circumstances of force majeure after the conclusion of the Agreement. Circumstances of force majeure include, for example, war, strikes, riots, pandemics, epidemics, expropriations, cardinal changes in law, storms, floods and other natural disasters as well as other circumstances for which Licensor is not responsible (in particular water ingress, power failures and interruptions or destruction of data-carrying lines).

(2) Each contracting party shall notify the other contracting party of the occurrence of a case of force majeure without undue delay and in text form.

Section 11 Final Provisions

(1) All modifications and amendments to these support conditions must be made in writing to be effective. This also applies to a modification of this written form clause itself. No oral ancillary agreements have been made.

(2) Set-off of Licensor’s claims by Licensee will be admissible only for claims that are undisputed or have been upheld by final decision of a court of competent jurisdiction. Licensee shall be entitled to claim any rights of retention only on account of any counterclaims resulting directly from this contractual relationship. Licensee may not assert any rights of retention based on earlier or other business transactions.

(3) Licensor may assign any rights and obligations arising from this contract to third parties without Licensee’s prior consent. In the event of an assignment, Licensor shall be responsible for the proper performance of Licensor’s duties set out in this contract. In this case, Licensee shall have the right to terminate this support contract for cause.

(4) The contractual relationship shall be governed exclusively by the law of the Federal Republic of Germany, to the exclusion of private international law and the United Nations Convention on Contracts for the International Sale of Goods (CISG).

(5) The provisions set forth in these support conditions shall have priority over any deviating or supplementary provisions of Licensee, in particular in Licensee’s General Terms and Conditions, terms of purchase, purchase orders or other types of documents. Such provisions pursuant to sentence 1 shall not become part of the contract, even if Licensor is aware of them, unless their validity is expressly agreed.

In addition, Licensor hereby expressly rejects any terms conflicting with or deviating from these support conditions.

(6) The exclusive place of jurisdiction for disputes arising from this contractual relationship shall be Licensor’s registered office if Licensee is a business entity, a corporate body under public law or a special fund under public law, or if Licensee has no general place of jurisdiction in the Federal Republic of Germany. However, Licensor has the right to invoke the courts of law having jurisdiction at Licensee’s domicile or place of business.

(7) Should any of the provisions of this agreement be or become ineffective, the effectiveness of the other provisions shall remain unaffected. In that case, the Parties shall endeavor to replace the ineffective contractual provision with an adequate provision coming as close as possible to the intended purpose of the ineffective provision. In all other respects, the statutory provisions shall apply.

(8) This Agreement is binding in the German language version.

Betriebsbedingungen Testlizenz NEXIS Plattform

Bedingungen der Nexis GmbH für das Nutzen des Produkts „NEXIS Plattform“ zu Testzwecken

Stand: 22.10.2026 | Status: Bestätigt

§ 1 Gegenstand dieser Bedingungen

(1) Die Nexis GmbH mit Sitz in Regensburg (nachfolgend „Lizenzgeber“ genannt) ist ausschließliche Nutzungsrechtsinhaberin an dem Standardsoftwareprodukt „NEXIS Plattform“ (nachfolgend „Software“) und überträgt dem Kunden (nachfolgend „Lizenznehmer“) Nutzungsrechte (Lizenzen) ausschließlich zu temporären Testzwecken (z. B. Durchführung eines zeitlich begrenzten Proof of Concepts) an der Software gemäß den nachfolgenden Regelungen.

(2) Der Lizenznehmer erklärt sein Einverständnis mit der Geltung dieser Betriebsbedingungen durch die Unterzeichnung dieser Bedingungen oder durch die Installation der Software.

(3) Die in diesen Betriebsbedingungen enthaltenen Regelungen gehen allen abweichenden oder ergänzenden Regelungen des Lizenznehmers, insbesondere in dessen AGB, Einkaufsbedingungen, Bestellungen oder sonstigen Schriftstücken, vor. Der Lizenzgeber widerspricht hiermit zudem ausdrücklich allen diesen Lizenzbedingungen entgegenstehenden Regelungen.

§ 2 Umfang der Nutzungsberechtigung

(1) Der Lizenzgeber räumt dem Lizenznehmer ein einfaches, befristetes, nicht ausschließliches Nutzungsrecht, das kein Recht zur Einräumung von Unterlizenzen enthält, nach den nachfolgenden Regelungen gemäß § 2 Abs. (2) bis (7) ein.

(2) Der Lizenznehmer ist berechtigt, die Software im Rahmen des normalen, bestimmungsgemäßen Gebrauchs für die vom Lizenzgeber schriftlich vorab mitgeteilten Softwaremodule, Lizenzierungsvariante und maximale Anzahl an Lizenzen zeitlich beschränkt zu Testzwecken einzusetzen, also bestimmungsgemäß zu installieren und ablaufen zu lassen. Es dürfen keine produktiven Ergebnisse (z. B. Datenauswertungen, Modellierungsergebnisse, Berichte, …) für Geschäftszwecke des Lizenznehmers oder für die Geschäftszwecke von Firmenkontakten oder Kunden des Lizenznehmers erarbeitet werden.

(3) Andere Nutzungsarten sind nicht vom Nutzungsrecht umfasst. Insbesondere darf die Software nicht an Dritte vermietet, veräußert, verschenkt oder verliehen werden.

(4) Der Lizenznehmer darf von der ihm elektronisch überlassenen Software eine Sicherungskopie erstellen, soweit dies erforderlich ist. Die Zahl der Sicherungskopien ist auf das absolut notwendige Maß zu beschränken. Die Sicherungskopie ist vor Zugriff Dritter zu schützen, als solche zu kennzeichnen und mit dem Urhebervermerk des Lizenzgebers zu versehen.

(5) Der Lizenznehmer ist zu Änderungen, Erweiterungen und sonstigen Umarbeitungen der Software nicht befugt. Insbesondere verbleiben alle anderen Nutzungsrechte beim Lizenzgeber und eine weitergehende Verwertung, insbesondere eine Veränderung, Dekompilierung oder eine Umkehrentwicklung, ist nicht gestattet. Auch eine Entfernung des Herkunftsnachweises ist unzulässig. Der Lizenznehmer ist zudem nicht befugt, vorhandene Schutzmechanismen der Software, die gegen unberechtigte Nutzung angebracht wurden (Kopierschutz), zu entfernen oder zu umgehen. Urheber- und sonstige Schutzrechtsvermerke innerhalb der überlassenen Software dürfen weder entfernt noch verändert werden. Die Rechte aus §§ 69d und 69e UrhG bleiben unberührt.

(6) Jede Nutzung der überlassenen Software durch den Lizenznehmer über das vereinbarte Maß hinaus, insbesondere die Nutzung zu produktiven Zwecken (§ 2 Abs. (2)), gilt als vertragswidrige Handlung und muss dem Lizenzgeber vom Lizenznehmer innerhalb von fünf (5) Werktagen mitgeteilt werden. Eventuelle urheberrechtliche Ansprüche des Lizenzgebers bleiben hiervon unberührt.

(7) Im Falle des Verstoßes gegen die Betriebsbedingungen vereinbaren die Parteien unter Ausschluss der Einrede des Fortsetzungszusammenhangs eine Vertragsstrafe in Höhe von 100.000,00 €. Diese Vertragsstrafe wird mit Bekanntwerden des Verstoßes sofort fällig. Zudem behält sich der Lizenzgeber die Geltendmachung weiterer Ansprüche vor.

§ 3 Pflichten des Lizenznehmers

(1) Wird die Software beim Lizenznehmer betrieben, ist er verpflichtet, eine funktionsfähige und ausreichend dimensionierte Hard- und Softwareumgebung, wie sie vom Lizenzgeber empfohlen wird, für die Software vorzuhalten. Dies liegt in der alleinigen Verantwortung des Lizenznehmers.

(2) Der Lizenznehmer muss alle zumutbaren Vorkehrungen treffen, um einen unbefugten direkten oder indirekten Zugriff Dritter auf die Software und Unterlagen zur Software zu verhindern.

§ 4 Mängelrechte

Der Lizenzgeber übernimmt keine Gewährleistung für Sach- und Rechtsmängel oder Herstellergarantien, da es sich um eine Testlizenz der Software handelt.

§ 5 Laufzeit und Beendigung

(1) Die Laufzeit der Nutzungsberechtigung (Testlizenz) beträgt maximal 30 Tage und beginnt mit dem Aktivieren der Lizenzen durch den Lizenzgeber (z. B. nach der Erstinstallation). Die Laufzeit verlängert sich automatisch um jeweils weitere 30 Tage, sofern der Lizenzgeber die weitere Nutzung nicht durch schriftliche Mitteilung an den Lizenznehmer untersagt.

(2) Bei Beendigung des Bereitstellungszeitraums ist der Lizenznehmer verpflichtet, sämtliche vorhandenen Originaldatenträger, Kopien und Sicherungskopien der Vertragssoftware innerhalb von 7 Tagen zu vernichten, dem Lizenzgeber die Vernichtung schriftlich zu bestätigen und optional bereitgestellte Hardware zurückzugeben.

(3) Bei erheblichen Verstößen gegen vertragliche Verpflichtungen durch den Lizenznehmer ist der Lizenzgeber zur außerordentlichen Kündigung der Lizenz berechtigt. Mit Zugang der Kündigung erlischt das Nutzungsrecht an der Software.

§ 6 Sonstige Bestimmungen

(1) Alle Änderungen und Ergänzungen dieser Betriebsbedingungen bedürfen der Schriftform. Mündliche Nebenabreden bestehen nicht.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Internationalen Privatrechts und des UN-Kaufrechts.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die Parteien bemühen sich dann, anstelle der unwirksamen Vertragsbestimmung eine angemessene Regelung zu treffen, die dem mit der unwirksamen Bestimmung angestrebten Zweck möglichst nahekommt. Im Übrigen gelten die gesetzlichen Bestimmungen.

(4) Gerichtsstand ist der Firmensitz des Lizenzgebers.

(5) Dieser Vertrag ist in der deutschen Sprachfassung verbindlich.

Trial License Terms NEXIS Platform

Terms of Nexis GmbH for the use of the product “NEXIS Platform” for testing purposes

As of: October 22, 2026 | Status: Confirmed

Section 1 Subject Matter of these Terms

(1) Nexis GmbH, with its registered office in Regensburg (hereinafter “Licensor”), is the sole holder of the rights to use the standard software product “NEXIS Platform” (hereinafter “Software”) and hereby transfers to the customer (hereinafter “Licensee”) rights of use (licenses) to the Software exclusively for temporary testing purposes (e.g., the conduction of a time-limited Proof of Concept) in accordance with the provisions set out below.

(2) The Licensee declares its consent to the validity of these license terms by signing these terms or by installing the Software.

(3) The provisions contained in these license terms shall have priority over all of Licensee’s deviating or supplementary regulations, notably Licensee’s General Terms and Conditions, terms of purchase, purchase orders, or other types of documents. Furthermore, Licensor hereby expressly rejects any terms conflicting with or deviating from these license terms.

Section 2 Scope of Usage Authorization

(1) Licensor hereby grants Licensee a simple, temporary, non-exclusive right of use, which does not contain the right to grant sub-licenses, in accordance with the terms set out in Section 2 (2) to (7).

(2) Licensee may use the Software within the scope of normal, intended use for a limited period of time and for testing purposes only, i.e., install and run it as intended, for the software modules, licensing variant and maximum number of licenses communicated in advance in writing by Licensor. No productive results (e.g., data analyses, data modeling results, reports, …) may be generated for business purposes of Licensee or for business purposes of business contacts or customers of Licensee.

(3) No other intended use is covered by these license terms. In particular, the Software is not to be rented, sold, given away or lent to a third party.

(4) Licensee has the right to make a back-up copy of the Software received in electronic form to the extent such back-up copy is necessary. The number of back-up copies shall be kept to the absolute minimum. The back-up copy shall be protected against third-party access, identified as such and labeled with Licensor’s copyright notice.

(5) Licensee shall not be authorized to alter, extend, or modify the Software in any manner. Specifically, all remaining rights of use shall remain with Licensor, and any utilization beyond the scope of this agreement, notably any modification, decompilation or reverse engineering, shall be prohibited. Furthermore, any removal of the proof of origin shall be prohibited. Moreover, Licensee shall not be authorized to remove or bypass existing protective mechanisms shielding the Software from unauthorized use (copy protection). It is prohibited to remove or alter any copyright notices or proprietary notices within the Software received. Rights under §§ 69d and 69e UrhG (German Copyright Act) shall remain unaffected.

(6) Any use of the Software by Licensee beyond the agreed scope, notably any use for productive purposes (Section 2 (2)), will be deemed a breach of contract and must be notified by Licensee to Licensor within five (5) business days. Any copyright claims of Licensor shall remain unaffected.

(7) In case of a breach of these license terms, the parties agree to a contractual penalty of EUR 100,000.00 to the exclusion of the plea of connection with any previous act of contravention. This contractual penalty will be due immediately upon the infringement becoming known. Additionally, Licensor reserves the right to assert further claims.

Section 3 Licensee’s Obligations

(1) If the Software is operated at Licensee’s premises, Licensee is obliged to provide a functioning and adequately dimensioned hardware and software environment for the Software as recommended by Licensor. Meeting this requirement shall be the sole responsibility of Licensee.

(2) Licensee shall take all reasonable precautions necessary to prevent unauthorized direct or indirect third-party access to the Software and the documents relating to the Software.

Section 4 Warranty Rights

Licensor does not provide any warranty for material defects, defects of title or manufacturer’s warranties, as this is a trial license of the Software.

Section 5 Term and Termination

(1) The term of the right of use (trial license) is a maximum of 30 days and begins with the activation of the licenses by Licensor (e.g., after the first installation). The term is automatically extended by a further 30 days in each case, unless Licensor prohibits further use by written notice to Licensee.

(2) Upon expiry of the provision period, Licensee agrees to destroy all existing original data carriers, copies and back-up copies of the licensed Software within 7 days, to confirm the destruction to Licensor in writing and to return any hardware provided.

(3) In the event of significant breaches of contractual obligations by Licensee, Licensor is entitled to terminate the license for cause. Upon receipt of the termination notice, the right to use the Software expires.

Section 6 Other Provisions

(1) All modifications and amendments to these license terms must be made in writing to be effective. No oral ancillary agreements have been made.

(2) The law of the Federal Republic of Germany shall apply to the exclusion of private international law and the United Nations Convention on Contracts for the International Sale of Goods (CISG).

(3) Should any of the provisions of this agreement be or become ineffective, the effectiveness of the other provisions shall remain unaffected. In that case, the parties shall endeavor to replace the ineffective provision with an adequate provision coming as close as possible to the intended purpose of the ineffective provision. In all other respects, the statutory provisions shall apply.

(4) Place of venue shall be Licensor’s registered office.

(5) The German language version of this agreement shall be binding.

Vertrag zur Auftragsverarbeitung gem. Art. 28 Abs. 3 DS-GVO

Version 1.3 · Stand 22.10.2026

zwischen

Auftraggeber Straße PLZ Ort Deutschland

- im Folgenden „Auftraggeber“ genannt -

und

Nexis GmbH Rudolf-Vogt-Straße 6 93053 Regensburg Deutschland

- im Folgenden „Auftragsverarbeiter“ genannt -

§0 Präambel

Es ist der ausdrückliche Wille beider Parteien, dass alle Voraussetzungen und Anforderungen an eine rechtskonforme Auftragsverarbeitung gemäß der Europäischen Datenschutzgrundverordnung erfüllt werden. Zwischen den Parteien besteht neben diesem Auftragsverarbeitungsvertrag ein separater Vertrag (Hauptvertrag), der die nicht datenschutzbezogenen Leistungspflichten der Parteien regelt. Der Auftragsverarbeiter wird vom Auftraggeber mit der Erbringung bestimmter, im Hauptvertrag geregelter, Leistungen beauftragt. Im Zusammenhang mit der Erbringung dieser Leistungen findet durch den Auftragsverarbeiter auch eine Verarbeitung von personenbezogenen Daten statt. Hierin liegt eine Auftragsverarbeitung im Sinne des Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, „DS-GVO“). Zur Erfüllung der Anforderungen der DS-GVO an derartige Konstellationen schließen die Parteien den nachfolgenden Vertrag, dessen Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

§1 Gegenstand und Dauer des Vertrages

1. Der Auftragsverarbeiter erbringt für den Auftraggeber Leistungen auf Grundlage des Hauptvertrags. Die personenbezogenen Daten, auf die der Auftragsverarbeiter währenddessen Zugriff erhält (Auftraggeberdaten), verarbeitet dieser ausschließlich im Auftrag und nach Weisung des Auftraggebers. Sofern diese Datenarten besonderen Kategorien personenbezogener Daten umfassen sollten, sind diese in § 2 Nr. 2 als solche gesondert gekennzeichnet.

2. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten des Auftraggebers selbst oder von Dritten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrages.

3. Die Verarbeitung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union (EU) oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Jede Verlagerung der Dienstleistung oder von Teilarbeiten in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

4. Die Laufzeit dieses Vertrags

☐ beginnt am 29.07.2021 und endet am 29.07.2021. ☐ bemisst sich anhand der Laufzeit des Hauptvertrags Klicken oder tippen Sie hier, um Text einzugeben. Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzbestimmungen oder gegen Inhalte dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Auftraggebers verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

5. Der Auftragsverarbeiter wird die Auftraggeberdaten nur so lange verarbeiten, wie dies für die Erreichung des jeweiligen Zwecks erforderlich ist. Dies bedeutet insbesondere, dass der Auftragsverarbeiter die Auftraggeberdaten nach Erreichen des Zwecks unverzüglich löschen wird, sofern er nicht aus anderen Gründen zu einer Speicherung verpflichtet ist; eine darüberhinausgehende Speicherung der Auftraggeberdaten beim Auftragsverarbeiter ist nicht erforderlich und nicht gestattet. Dem Auftragsverarbeiter ist eine abweichende oder über die Festlegungen in der Anhang A hinausgehende Verarbeitung von Auftraggeberdaten untersagt. Dies gilt auch für die Verwendung anonymisierter Daten.

§2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen

1. Im Rahmen der Auftragsverarbeitung werden vom Auftragsnehmer folgende Verarbeitungstätigkeiten durchgeführt: Klicken oder tippen Sie hier, um Text einzugeben.

Es werden folgende Arten von personenbezogenen Daten verarbeitet: Klicken oder tippen Sie hier, um Text einzugeben.

Die folgenden Kategorien von Personen sind betroffen: Klicken oder tippen Sie hier, um Text einzugeben.

Der Auftragsverarbeiter verwendet die Daten ausschließlich in Übereinstimmung mit den Weisungen des Auftraggebers und den in diesem Vertrag definierten Bestimmungen.

§3 Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers

1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragsverarbeiter verpflichtet, alle solche Anfragen, sofern sie erkennbar an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.

2. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

3. Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind auf Verlangen unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

4. Der Auftraggeber ist berechtigt, sich wie unter §5 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

5. Der Auftraggeber informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Datenverarbeitung feststellt.

6. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.

§4 Weisungsberechtigte des Auftraggebers und Weisungsempfänger des Auftragsverarbeiters

1. Weisungsberechtigte Personen des Auftraggebers gegenüber des Auftragsverarbeiters sind: Name, Funktion, Telefonnummer 2. Weisungsempfänger beim Auftragsverarbeiter sind: Name, Funktion, Telefonnummer

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Bis zum Zugang einer solchen Mitteilung gelten die benannten Personen weiter als berechtigt.

3. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

§5 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).

2. Der Auftragsverarbeiter ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Die Auftraggeberdaten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

3. Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt

4. Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

5. Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden vom Auftragsverarbeiter dokumentiert.

6. Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DS-GVO) sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers (Art. 35 DS-GVO) hat der Auftragsverarbeiter im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art.

28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderlichen Angaben jeweils unverzüglich an die in §4 Satz 1 genannten Personen des Auftraggebers weiterzuleiten.

7. Der Auftragsverarbeiter wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO).

8. Der Auftragsverarbeiter hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragsverarbeiters dem nicht entgegenstehen.

9. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen. Macht ein Betroffener Rechte, insbesondere auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragsverarbeiter geltend, wird er dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten und dessen Weisungen abwarten. Ohne entsprechende Einzelweisung wird der Auftragsverarbeiter nicht mit der betroffenen Person in Kontakt treten. 10.Der Auftragsverarbeiter verpflichtet sich, alle erforderlichen Maßnahmen gem. Art. 32 DS-GVO zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten. Auf Verlangen des Auftraggebers wird der Auftragsverarbeiter dem Auftraggeber die Einhaltung der gemäß Art. 32 DS-GVO erforderlichen technischen und organisatorischen Maßnahmen durch geeignete Nachweise nachweisen. Eine Übersicht über die technischen und organisatorischen Maßnahmen finden sich in Anhang A dieses Vertrags, wobei die dort aufgeführten Maßnahmen lediglich das vertraglich vereinbarte Minimum hinsichtlich der zu erfüllenden Vorkehrungen darstellen. 11.Der Auftragsverarbeiter erklärt sich damit einverstanden, dass der Auftraggeber - grundsätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO). Der Auftragsverarbeiter wird hierbei im erforderlichen Umfang mitwirken. Weiter wird der Auftragsverarbeiter dem Auftraggeber unverzüglich, spätestens aber innerhalb von 3 Werktagen, jede gewünschte Auskunft über die Verarbeitung der Auftraggeberdaten geben und entsprechende Nachweise zur Verfügung stellen, sofern der Auftraggeber nicht selbst über die entsprechenden Informationen verfügt. Der Auftraggeber wird Überprüfungen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragsverarbeiters nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig. 12.Der Auftragsverarbeiter stellt sicher und kontrolliert regelmäßig, wenigstens einmal jährlich, dass die Datenverarbeitung und -nutzung im Rahmen dieses Vertrags und des möglichen Hauptvertrags in Übereinstimmung mit den jeweils geltenden datenschutzrechtlichen Vorschriften erfolgt. 13.Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften, insbesondere der DS-GVO bekannt sind. 14.Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. 15.Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter werden zudem regelmäßig, wenigstens einmal jährlich hinsichtlich der einzuhaltenden datenschutzrechtlichen Vorgaben geschult. Auf Verlangen des Auftraggebers wird der Auftragsverarbeiter dem Auftraggeber die Verpflichtung der Mitarbeiter schriftlich oder in elektronischer Form nachweisen. 16.Beim Auftragsverarbeiter ist für den Datenschutz bestellt: clever datenschutz GmbH Frau Mandy Hrube privacy@nexis-secure.com

Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

§6 Mitteilungspflichten des Auftragsverarbeiters bei Störungen der Verarbeitung und bei

Verletzung des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten unverzüglich, spätestens aber innerhalb von 24 Stunden in Schriftform oder elektronischer Form mit. Dasselbe gilt für Prüfungen des Auftragsverarbeiters durch die Datenschutz-Aufsichtsbehörde. Die Meldungen gemäß Satz 1 enthalten jeweils zumindest die in Art. 33 Abs. 3 DS-GVO genannten Angaben. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DS-GVO.

2. Die Meldung über eine Verletzung des Schutzes personenbezogener Daten enthält zumindest folgende Informationen: a. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Kategorien und der Zahl der betroffenen personenbezogenen Datensätze; b. eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

3. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen und informiert hierüber den Auftraggeber.

4. Der Auftragsverarbeiter sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO).

5. Meldungen nach Art. 33 oder 34 DS-GVO für den Auftraggeber darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. §4 dieses Vertrages durchführen.

6. Sollten die Auftraggeberdaten beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragsverarbeiter wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ im Sinne der DSGVO liegen.

§7 Unterauftragsverhältnisse mit Subunternehmern

1. Ein Unterauftragsverhältnis mit Subunternehmern liegt vor, wenn der Auftragsverarbeiter weitere Auftragsverarbeiter mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistungen beauftragt.

2. Der Auftragsverarbeiter ist nicht zur Beauftragung von Subunternehmern befugt, es sei denn der Auftraggeber hat eine explizite Beauftragung eines bestimmten, vom Auftragsverarbeiter festgelegten Subunternehmers oder Subunternehmern genehmigt. In diesem Fall ist ein Unterauftragsverhältnis ausschließlich mit den genehmigten Subunternehmern erlaubt, solange diese analog zu diesem Auftragsverarbeitungsvertrag zur Einhaltung der Pflichten vertraglich verpflichtet werden. Eine Ersetzung bestehender genehmigter Subunternehmer gilt als Neubeauftragung im Sinne dieser Klausel. Die Weiterleitung von Daten an den Subunternehmer ist erst dann zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO erfüllt hat.

3. Der Auftragsverarbeiter hat dem Auftraggeber mindestens den Namen und die Anschrift mitzuteilen sowie für welche Tätigkeit der Subunternehmer eingesetzt werden soll. Der Auftragsverarbeiter hat die Eignung des Subunternehmers insbesondere unter Berücksichtigung der technischen und organisatorischen Maßnahmen zum Schutz der Datenverarbeitung sorgfältig zu prüfen und die Unterlagen hierzu dem Auftraggeber zur Verfügung zu stellen.

4. Bei einer Beauftragung von Subunternehmern in Drittstaaten gilt zusätzlich § 1 Nr. 3 dieses Vertrags.

5. Der Auftragsverarbeiter haftet gegenüber dem Auftraggeber für die Einhaltung der datenschutzrechtlichen Pflichten durch den Subunternehmer.

6. Zum Zeitpunkt des Vertragsschlusses sind für den Auftragsverarbeiter die folgenden Subunternehmer tätig:

• a. Nexis Group GmbH, Rudolf-Vogt-Str. 6, 93053 Regensburg, Deutschland – Tätigkeitsbereich: Zentrale Dienste und Entwicklungsunterstützung
• b. Nexis GRC GmbH, Hans-Henny-Jahnn-Weg 53, 22085 Hamburg, Deutschland – Tätigkeitsbereich: Bei Bedarf Unterstützung bei der Bearbeitung von Support-Tickets

Der Auftraggeber erklärt sich mit deren Beauftragung einverstanden.

§8 Technische und Organisatorische Maßnahmen

1. Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

2. Das im Anhang A beschriebene Datenschutzkonzept stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragsverarbeiter dar.

3. Der Auftragsverarbeiter hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DS-GVO).

4. Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind zwischen Auftragsverarbeiter und Auftraggeber abzustimmen.

5. Soweit die beim Auftragsverarbeiter getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftragsverarbeiter unverzüglich.

6. Die Maßnahmen beim Auftragsverarbeiter können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten. Wesentliche Änderungen muss der Auftragsverarbeiter mit dem Auftraggeber in dokumentierter Form (schriftlich, elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.

§9 Verpflichtung des Auftragsverarbeiters nach Beendigung des Auftrags

1. Der Auftragsverarbeiter wird dem Auftraggeber nach Beendigung des Vertrags alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder – auf Wunsch des Auftraggebers, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen. Die Parteien werden bei Bedarf die Art und Weise der Löschung abstimmen. Die Löschung hat in jedem Fall datenschutzgerecht zu erfolgen. Der Auftragsverarbeiter wird die Löschung bzw. Rückgabe auf Wunsch schriftlich bestätigen.

2. Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

§10 Schlussbestimmungen

1. Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

2. Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

3. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Die Parteien werden sich bemühen, die unwirksamen Teile der Vereinbarung durch solche zu ersetzen, die dem Willen der Parteien im Zeitpunkt des Vertragsschlusses am nächsten kommt, aber wirksam ist. Dasselbe gilt im Falle der Undurchsetzbarkeit einer Vorschrift oder bei Regelungslücken.

4. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Selbiges gilt für Nebenabreden zu diesem Vertrag. Mündliche Nebenabreden haben zum Zeitpunkt des Vertragsschlusses nicht bestanden.

5. Diese Vereinbarung unterliegt deutschem Recht. Alleiniger Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag ist Regensburg.

Regensburg, den 22. Oktober 2026

Dr. Michael Kunz Geschäftsführer, Nexis GmbH

Regensburg, den 22. Oktober 2026

Max Mustermann

Geschäftsführer

Anhang A – Technisch-Organisatorische Maßnahmen des Auftragsverarbeiters

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen hat Nexis die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Artikel 32 DSGVO umgesetzt:

1. Gewährleistung der Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Chipkarten / Transpondersysteme
• Sicherheitsschlösser
• Absicherung der Gebäudeschächte
• Türen mit Knauf auf Außenseite
• Schlüsselregelung / Liste
• Empfang / Rezeption / Pförtner
• Besucherbuch / Protokoll der Besucher
• Mitarbeiter- / Besucherausweise
• Besucher in Begleitung durch Mitarbeiter
• Sorgfalt bei Auswahl Reinigungsdienste

Zugangskontrolle

• Login mit Benutzername & Passwort
• Login mit 2-Faktor-Authentifizierung
• Anti-Virus-Software Server
• Anti-Virus-Software Clients
• Firewall
• Verschlüsselung von Datenträgern
• Automatische Desktopsperre
• Benutzerberechtigungskonzept
• Administrierte Benutzerverwaltung
• Zwingende Passwortanforderungen
• Clean Desk Richtlinie
• Mobile Device Policy
• Remote Working Policy

Zugriffskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung der Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Trennungskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Mandantentrennung logisch
• Trennung von Test- und Produktivsystemen
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Pseudonymisierung

• Pseudonymisierung von Kundendaten in Dateien, wenn anwendbar und technisch möglich
• Pseudonymisierung von Kundendaten in NEXIS 4 (Analysesoftware), wenn anwendbar und technisch möglich

Weitergabekontrolle

• Starke Abschottung des internen Netzes mit Hilfe eines gesicherten Tunnels (VPN-Zugang)
• Begrenzter Mitarbeiterkreis
• Mitarbeiter geschult in Informationssicherheit
• Verpflichtung der Mitarbeiter auf sorgfältigen Umgang mit Informationen und Geheimhaltung
• E-Mail-Verschlüsselung (S/MIME / PGP)
• Einsatz von VPN
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Dokumentation von Datenempfängern, Speicherdauer und Sicherheitsmaßnahmen
• Regelmäßige Kontrolle der Datenübermittlungen

2. Gewährleistung der Integrität und Eingabekontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• Protokollierung von Nutzeraktionen bei Eingabe von Daten
• Protokollierung von Nutzeraktionen bei Änderungen von Daten
• Protokollierung von Nutzeraktionen beim Löschen von Daten
• Protokollierung aller Aktionen in NEXIS 4 bei der Verarbeitung personenbezogener Daten
• Bedarfsfallbezogene Auswertung der Protokolle
• Protokollierung der Eingabe, Änderung und Löschung von Daten
• Kennzeichnung erfasster Daten
• Dedizierter Logserver
• Übersicht über Programme mit Zugriff auf personenbezogene Daten
• Individuelle Benutzerprofile
• Vergabe von Rechten basierend auf einem Berechtigungskonzept
• Organisatorische Festlegung von Eingabezuständigkeiten
• Verpflichtung auf das Datengeheimnis bzw. zur Vertraulichkeit/Verschwiegenheit
• Berechtigungskonzept für Logzugriff

3. Gewährleistung der Belastbarkeit von Systemen (Art. 32 Abs. 1 lit. b DSGVO)

• Lastausgleich (load balancing) der Netzwerkkomponenten
• Lastausgleich (load balancing) der Dienste
• Ausweichverarbeitungsanlagen vorhanden
• Redundante USV
• Redundante Klimatisierung
• Redundante Stromversorgung
• Redundante Brandbekämpfung
• Computer Emergency Response Team (CERT)
• Regelmäßige Penetration-Tests
• Regelmäßiges Patchen aller Systeme
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse Regelmäßiges Training der Mitarbeiter

4. Gewährleistung der Verfügbarkeit und Verfahren zur Wiederherstellung der Verfügbarkeit personenbezogener Daten (Art. 32 Abs. 1 lit. b, c DSGVO)

• Unterbringung der Server in spezifischem Serverraum in den Geschäftsräumen der Nexis GmbH oder dem Anbieter des Rechenzentrums
• Brandmeldeanlange (BMA)
• Feuer- und Rauchmeldeanlagen
• Wasserlose Brandbekämpfung im Serverraum
• Temperatur- und Feuchtigkeitsüberwachung Serverraum
• Klimatisierung des Serverraums
• Blitz- und Überspannungsschutz
• Unterbrechungsfreie Stromversorgung (USV)
• Notstromgenerator
• Schutzsteckdosen Severraum
• RAID-System / Festplattenspiegelung
• Videoüberwachung Serverraum
• Alarmmeldung bei unberechtigtem Zutritt zum Serverraum
• Backup & Recovery-Konzept (ausformuliert)
• Regelmäßige Kontrolle von Back-Up-Maßnahmen
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
• Serverräumlichkeiten in unterschiedlichem Brandabschnitt
• Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
• Keine sanitären Anschlüsse im oder oberhalb des Serverraums
• Getrennte Partitionen für Betriebssysteme und Daten
• Vorhandener Katastrophen- bzw. Notfallplan
• Zutrittsbegrenzung zum Serverraum
• Regelmäßige Schwachstellenanalyse

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO)

• ISMS unter Berücksichtigung ausgewählter Anforderungen der ISO/IEC 27001
• Strukturiertes Risikomanagement nach ISO/IEC 27001 und BSI
• Regelmäßige interne und externe Audits im Rahmen des Aufbaus eines ISMS nach ISO/IEC 27001
• Datenschutz-Management-Software
• Interne Verfahrensverzeichnisse werden mind. jährlich aktualisiert.
• Prozess zur Meldung neuer Verarbeitungsverfahren
• Auswahl datenschutzfreundlicher Voreinstellungen
• Prozess zur Einbindung des Datenschutzbeauftragten
• Überprüfung der getroffenen Maßnahmen nach dem PDCA-Zyklus (Plan, Do, Check, Act) Prozess zur Reaktion auf Datenschutzverletzungen

6. Auftragskontrolle

• Vertragsgestaltung gem. DSGVO (Art. 26, 28 DSGVO)
• Zentrale Erfassung vorhandener Dienstleister Vertragsmanagement und regelmäßige Aktualisierung der Verträge

Contract for order processing pursuant to Art. 28 (3) GDPR

between

Company name Street Postcode City Germany

- hereinafter referred to as the "Client" -

and

Nexis GmbH Rudolf-Vogt-Strasse 6 93053 Regensburg Germany

- hereinafter referred to as the "Processor" -

Version: 1.3

Date of change: 22.10.2026

§0 Preamble

It is the express will of both parties that all prerequisites and requirements for legally compliant order processing in accordance with the European General Data Protection Regulation (GDPR) are met. In addition to this processing contract, a separate (main) contract exists between the parties, which regulates the non-data protection-related performance obligations of both parties. The Processor is commissioned by the Client with the provision of certain services regulated in the main contract. In connection with the provision of these services, the Processor also processes personal data. This constitutes order processing within the meaning of Article 28 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of individuals with regard to the processing of personal data, on the free movement of such data and repealing Directive 95/46/EC (General Data Protection Regulation, "GDPR"). In order to meet the requirements of GDPR for such constellations, the parties conclude the following contract, the performance of which shall not be remunerated separately unless this is expressly agreed.

§1 Subject matter and duration of the contract

1. The Processor shall provide services to the Client on the basis of the main contract. The personal data to which the Processor obtains access in the course of this (Client data) shall be processed by the Processor exclusively on behalf of and in accordance with the instructions of the Client. If these types of data include special categories of personal data, these are identified separately as such in §2 (2).

2. In doing so, the Processor shall process personal data of the Client itself or of third parties for the Client within the meaning of Art. 4 (2) and Art. 28 GDPR on the basis of this contract.

3. The processing of the data shall take place exclusively in the territory of the Federal Republic of Germany, in a member state of the European Union (EU) or in another contracting state of the Agreement on the European Economic Area (EEA). Any relocation of the service or partial work to a third country requires the prior consent of the Client and may only take place if the special requirements of Art. 44 ff. GDPR are fulfilled.

4. The term of this contract

☐ begins on 29.07.2021 and ends on 29.07.2021. ☐ Measured on the basis of the term of the main contract Click or type here to enter text. The Client may terminate the contract at any time without notice if there is a serious breach by the Processor of data protection provisions or of the contents of this contract, if the Processor is unable or unwilling to carry out an instruction of the Client or if the Processor refuses control rights of the Client. In particular, non-compliance with the obligations agreed in this contract and derived from Art. 28 GDPR constitutes a serious breach.

5. The Processor shall only process the Client’s data for as long as is necessary to achieve the respective purpose. This means in particular that the Processor will delete the Client data immediately after the purpose has been achieved, unless it is obliged to store it for other reasons; any further storage of the Client data by the Processor is neither necessary nor permitted. The Processor is prohibited from processing Client data in a manner that deviates from or goes beyond the specifications in Annex A. This also applies to the use of anonymised data.

§2 Nature and purpose of the processing, type of personal data and categories of data subjects

1. Within the scope of the order processing, the following processing activities are carried out by the contractor: Click or tap here to enter text.

The following types of personal data are processed: Click or tap here to enter text.

The following categories of people are affected: Click or tap here to enter text.

The Processor shall use the data exclusively in accordance with the Client's instructions and the provisions defined in this contract.

§3 Rights and duties, and authority of the Client

1. The Client shall be solely responsible for assessing the permissibility of the processing pursuant to Art. 6 (1) GDPR and for safeguarding the rights of the data subjects pursuant to Art. 12 to 22 GDPR. Nevertheless, the Processor is obliged to forward all such requests to the Client without delay if they are recognisably addressed to the Client.

2. Changes to the subject matter of the processing and procedural changes shall be agreed jointly between the Client and the Processor and shall be set out in writing or in a documented electronic format.

3. As a rule, the Client shall issue all orders, partial orders and instructions in writing or in a documented electronic format. Verbal instructions shall be confirmed immediately upon request in writing or in a documented electronic format.

4. The Client shall be entitled, as stipulated in § 5, to satisfy itself prior to the commencement of the processing, and thereafter regularly in an appropriate manner, of the compliance with the technical and organisational measures taken by the Processor as well as the obligations stipulated in this agreement.

5. The Client shall inform the Processor without undue delay if it discovers errors or irregularities in the examination of the data processing.

6. The Client is obliged to treat all knowledge of business secrets and data security measures of the Processor obtained within the framework of the contractual relationship as confidential. This obligation shall remain in force even after termination of this contract.

§4 Persons authorised to give instructions on behalf of the Client and recipients of instructions at the Processor

1. The persons authorised to give instructions from the Client to the Processor are: Name, function, telephone number 2. The recipients of instructions at the Processor are: Name, function, telephone number

In the event of a change or a longer-term unavailability of the contact persons, the contracting partner must be informed immediately and in principle in writing or electronically of the successors or the representatives. Until receipt of such notification, the designated persons shall continue to be deemed authorised.

3. The instructions shall be kept for their period of validity and subsequently for three full calendar years.

§5 Obligations of the Processor

1. The Processor shall process personal data exclusively within the framework of the agreements made and in accordance with the instructions of the Client, unless it is obliged to process otherwise by the law of the Union or the Member States to which the Processor is subject (e.g. investigations by law enforcement or state protection authorities); in such a case, the Processor shall notify the Client of these legal requirements prior to the processing, unless the law in question prohibits such notification due to an important public interest (Article 28 (3) sentence 2 lit. a GDPR).

2. The Processor is obliged to observe the statutory provisions on data protection and to not disclose information obtained from the Client's area to third parties or expose it to their access. The Client's data shall be secured against access by unauthorised persons, according to the latest technologies.

3. The Processor shall not use personal data provided for processing for any other purposes, in particular for its own purposes. Copies or duplicates of personal data shall not be made without the knowledge of the Client.

4. In the area of the processing of personal data in accordance with the order, the Processor shall ensure that all agreed measures are carried out in accordance with the contract. The Processor shall ensure that the data processed for the Client is strictly separated from other data.

5. Data storage mediums that originate from the Client or are used for the Client shall be specially marked. Incoming and outgoing data as well as data under ongoing use shall be documented by the Processor.

6. The Processor shall cooperate to the necessary extent in the fulfilment of the rights of the data subjects pursuant to Art. 12 to 22 of GDPR by the Client, in the preparation of the lists of processing activities (Art. 30 of GDPR) and in any necessary data protection impact assessments of the Client (Art. 35 of GDPR) and shall support the Client appropriately to the extent possible (Art. 28 (3) sentence 2 lit e and f of GDPR). The Processor shall immediately forward the information required for this purpose to the persons of the Client named in §4 sentence 1.

7. The Processor shall immediately draw the Client's attention to the fact if, in its opinion, an instruction issued by the Client violates statutory provisions (Article 28 (3) sentence 3 of GDPR).

8. The Processor shall correct, delete or restrict the processing of personal data from the contractual relationship if the Client requests this by means of an instruction and the legitimate interests of the Processor do not conflict with this.

9. The Processor may only provide information on personal data from the contractual relationship to third parties or the Data Subject after prior instruction or consent by the Client. If a data subject asserts rights, in particular to the provision of information, correction or deletion with regard to his data, directly against the Processor, the Processor shall immediately forward this request to the Client and await the Client's instructions. Without corresponding individual instructions, the Processor shall not contact the Data Subject. 10.The Processor undertakes to take all necessary measures pursuant to Article 32 of GDPR and to maintain these measures for the duration of the processing of the Client data. At the request of the Client, the Processor shall provide the Client with evidence of compliance with the technical and organisational measures required pursuant to Article 32 of GDPR. An overview of the technical and organisational measures can be found in Annex A to this contract, whereby the measures listed there merely represent the contractually agreed minimum with regard to the precautions to be taken. 11.The Processor agrees that the Client is entitled - in principle by appointment - to monitor compliance with the provisions on data protection and data security as well as the contractual agreements to a reasonable and necessary extent itself or through third parties commissioned by the Client, in particular by obtaining information and inspecting the stored data and the data processing programmes as well as through on-site reviews and inspections (Art. 28 (3) sentence 2 lit. h GDPR). The Processor shall cooperate in this to the extent necessary. Furthermore, the Processor shall provide the Client with any requested information on the processing of the Client data without undue delay, but within 3 working days at the latest, and shall provide corresponding evidence, unless the Client has the corresponding information itself. The Client shall only carry out inspections to the extent necessary and take reasonable account of the Processor's operating procedures. The parties shall agree on the time and the type of audit in advance. 12.The Processor shall ensure and regularly check, at least once a year, that the data processing and use under this Agreement and the possible main agreement is carried out in accordance with the applicable data protection regulations. 13.The Processor confirms that it is aware of the relevant data protection regulations for the order processing, in particular GDPR. 14.The Processor undertakes to maintain confidentiality when processing the Client's personal data in accordance with the contract. This obligation shall continue even after termination of the contract. 15.The Processor warrants that it will familiarise the staff employed in the performance of the work with the relevant provisions of data protection law before they commence their work and that they will be bound to secrecy in an appropriate manner for the duration of their work and after termination of the employment relationship (Art. 28 (3) sentence 2 lit. b and Art. 29 GDPR). The employees engaged in the performance of the work shall also be trained regularly, at least once a year, with regard to the data protection requirements to be complied with. At the request of the Client, the Processor shall provide the Client with evidence of the employees' commitment in writing or in electronic form. 16.The following data protection officer has been appointed by the Processor: clever datenschutz GmbH Ms Mandy Hrube privacy@nexis-secure.com

The Client shall be informed immediately of any change of the Data Protection Officer.

§6 Notification obligations of the Processor in the event of processing disruptions and personal data breaches

1. The Processor shall notify the Client without undue delay in writing or electronically of any disruptions, infringements by the Processor or the persons employed by the Processor as well as of any infringements of data protection provisions or the stipulations made in the order as well as of any suspected data protection infringements or irregularities in the processing of personal data, but no later than within 24 hours. The same shall apply to audits of the Processor by the data protection supervisory authority. The notifications pursuant to sentence 1 shall contain at least the information specified in Article 33 (3) of GDPR. This also applies in particular with regard to any reporting and notification obligations of the Client pursuant to Art. 33 and Art. 34 of GDPR.

2. The notification of a personal data breach shall contain at least the following information: a. a description of the nature of the personal data breach, including, where possible, the categories and number of individuals concerned, the categories concerned and the number of personal data records concerned; b. a description of the measures taken or proposed by the Processor to address the breach and, where applicable, measures to mitigate any possible adverse effects.

3. The Processor shall immediately take the necessary measures to secure the data and to mitigate possible adverse consequences of the data subjects and shall inform the Client thereof.

4. The Processor assures to adequately support the Client, if necessary, in its obligations under Articles 33 and 34 of GDPR (Article 28 (3) sentence 2 lit. f of GDPR).

5. Notifications pursuant to Art. 33 or 34 of GDPR for the Client may only be carried out by the Processor after prior instruction pursuant to § 4 of this Agreement.

6. Should the Client data stored at the Processor be endangered by attachment or seizure, by insolvency or composition proceedings or by other events or measures of third parties, the Processor shall inform the Client thereof without undue delay, unless it is prohibited from doing so by court or administrative order. In this context, the Processor shall immediately inform all competent bodies that the decision-making sovereignty over the data lies exclusively with the Client as the "responsible party" within the meaning of GDPR.

§7 Subcontracting relationships with subcontractors

1. A subcontracting relationship with subcontractors exists if the Processor commissions other processors to perform all or part of the services agreed in the contract.

2. The Processor is not authorised to engage subcontractors unless the Client has approved an explicit engagement of a specific subcontractor or subcontractors specified by the Processor. In this case, a subcontracting relationship is permitted exclusively with the approved subcontractors, as long as they are contractually obligated to comply with the obligations analogous to this Order Processing Agreement. Any replacement of existing approved subcontractors shall be deemed to be a new subcontract for the purposes of this clause. The onward transfer of data to the subcontractor is only permitted once the subcontractor has fulfilled the obligations pursuant to Art. 29 and Art. 32 (4) of GDPR.

3. The Processor shall inform the Client of at least the name and address as well as the activity for which the subcontractor is to be used. The Processor shall carefully examine the suitability of the subcontractor, in particular taking into account the technical and organisational measures for the protection of data processing, and shall make the documents relating thereto available to the Client.

4. In the event that subcontractors are engaged in third countries, § 1 (3) of this contract shall additionally apply.

5. The Processor shall be liable to the Client for the Subcontractor's compliance with its obligations under data protection law.

6. At the time of the conclusion of the contract, the following subcontractors are working for the Processor:

• a. Nexis Group GmbH, Rudolf-Vogt-Str. 6, 93053 Regensburg, Germany – field of activity: central services and development support
• b. Nexis GRC GmbH, Hans-Henny-Jahnn-Weg 53, 22085 Hamburg, Germany – field of activity: support with processing support tickets where required

The Client agrees to their commissioning.

§8 Technical and organisational measures

1. A level of protection appropriate to the risk to the rights and freedoms of natural persons concerned by the processing is ensured for the specific order processing. To this end, the protection objectives of Article 32 (1) of GDPR, such as confidentiality, integrity and availability of the systems and services as well as their resilience in relation to the type, scope, circumstances and purpose of the processing operations, are taken into account in such a way that the risk is permanently mitigated by appropriate technical and organisational remedies.

2. The data protection concept described in Annex A describes in detail the selection of technical and organisational measures appropriate to the identified risk, taking into account the protection goals according to the latest technologies and with special consideration of the IT systems and processing procedures used by the Processor.

3. The Processor shall carry out a review, assessment and evaluation of the effectiveness of the technical and organisational measures to ensure the security of the processing when there is cause to do so, but at least annually (Art. 32 (1) (d) GDPR).

4. Decisions on the organisation of data processing and on the procedures used that are significant for security shall be agreed between the Processor and the Client.

5. Insofar as the measures taken at the Processor do not meet the requirements of the Client, the Client shall notify the Processor without delay.

6. The measures taken by the Processor may be adapted to technical and organisational developments in the course of the contractual relationship, but may not fall below the agreed standards. The Processor must coordinate significant changes with the Client in a documented form (in writing, electronically). Such agreements shall be retained for the duration of this contract.

§9 Obligation of the Processor after termination of the contract

1. After termination of the contract, the Processor shall return to the Client all documents, data and data storage mediums provided to it or - at the Client's request, unless there is an obligation under Union law or the law of the Federal Republic of Germany to store the personal data - delete them. If necessary, the parties shall agree on the manner of deletion. The deletion shall in any case be carried out in accordance with data protection law. The Processor shall confirm the deletion or return in writing upon request.

2. The deletion or destruction shall be confirmed to the Client in writing or in a documented electronic format, stating the date.

§10 Final provisions

1. Agreements on the technical and organisational measures as well as control and audit documents shall be retained by both contracting parties for their period of validity and subsequently for three full calendar years.

2. The defence of the right of retention within the meaning of § 273 of the German Civil Code (BGB) is excluded with regard to the processed data and the associated data carriers.

3. Should individual parts of this agreement be invalid, this shall not affect the validity of the rest of the agreement. The parties shall endeavour to replace the ineffective parts of the agreement with parts that come closest to the intention of the parties at the time of the conclusion of the agreement but are effective. The same shall apply in the event of the unenforceability of a provision or in the event of loopholes.

4. Amendments and supplements to this agreement must be made in writing. This also applies to the waiver of this formal requirement. The same applies to ancillary agreements to this contract. No oral ancillary agreements exist at the time of the conclusion of the contract.

5. This agreement is subject to German law. The sole place of jurisdiction for all disputes arising from and in connection with this agreement is Regensburg.

Place, date Nexis GmbH (Processor)

Place, date Client

Annex A - Technical and organisational measures of the Processor

Taking into account the state of the art, the costs of implementation, as well as the nature, scope, context, and purposes of processing, and the varying likelihood and severity of risks to the rights and freedoms of natural persons, Nexis has implemented the following technical and organizational measures to ensure an appropriate level of protection within the meaning of Article 32 GDPR:

1. Ensuring confidentiality (Art. 32(1)(b) GDPR)

Entry control

• Chip cards / transponder systems
• Security locks
• Securing of building shafts
• Doors with knobs on the outside
• Key management / inventory list
• Reception / front desk / gatekeeper
• Visitor log / record of visitors
• Employee / visitor ID badges
• Visitors accompanied by employees
• Careful selection of cleaning services

Access control

• Login with username and password
• Login with two-factor authentication
• Server antivirus software
• Client antivirus software
• Firewall
• Encryption of data carriers
• Automatic desktop lock
• User authorization concept
• Administered user management
• Mandatory password requirements
• Clean desk policy
• Mobile Device Policy
• Remote Working Policy

Logical access control

• Automated log analysis
• Logging of all data access
• Logging of application access
• Granular permissions for data, applications, and operating system
• Granular permissions for reading, modifying, and deleting
• Data encryption “at rest”
• Transport encryption “in transit”
• Reduction of administrator access rights
• Careful selection of administrators
• Management of user rights by administrators

Separation control

• Automated log analysis
• Logging of all data access
• Logging of application access
• Granular permissions for data, applications, and operating system
• Granular permissions for reading, modifying, and deleting
• Logical separation of tenants
• Separation of test and production systems
• Reduction of administrator access rights
• Careful selection of administrators
• Management of user rights by administrators

Pseudonymization

• Pseudonymization of customer data in files, where applicable and technically feasible
• Pseudonymization of customer data in NEXIS 4 (analysis software), where applicable and technically feasible

Transfer control

• Strong isolation of the internal network using a secure tunnel (VPN access)
• Limited group of employees
• Employees trained in information security
• Commitment of employees to handle information carefully and maintain confidentiality
• Email encryption (S/MIME / PGP)
• Use of VPN
• Data encryption “at rest”
• Transport encryption “in transit”
• Documentation of data recipients, retention periods, and security measures
• Regular monitoring of data transfers

2. Ensuring integrity and input control (Art. 32(1)(b) GDPR)

• Logging of user actions when entering data
• Logging of user actions when modifying data
• Logging of user actions when deleting data
• Logging of all actions in NEXIS 4 when processing personal data
• Case-specific evaluation of logs
• Logging data entry, modification, and deletion
• Labeling of recorded data
• Dedicated log server
• Overview of programs with access to personal data
• Individual user profiles
• Assignment of rights based on an authorization concept
• Organizational definition of input responsibilities
• Commitment to data secrecy and confidentiality/non-disclosure
• Authorization concept for log access

3. Ensuring the resilience of systems (Art. 32(1)(b) GDPR)

• Load balancing of network components
• Load balancing of services
• Backup processing facilities available
• Redundant uninterruptible power supply (UPS)
• Redundant air conditioning
• Redundant power supply
• Redundant fire suppression systems
• Computer Emergency Response Team (CERT)
• Regular penetration tests
• Regular patching of all systems
• Regular tests of data restoration and documentation of the results
• Regular employee training

4. Ensuring the availability of and procedures for restoring the availability of personal data (Art. 32(1)(b), (c) GDPR)

• Placement of servers in a dedicated server room at the business premises of Nexis GmbH or at the data center provider’s facilities
• Fire alarm system (FAS)
• Fire and smoke detection systems
• Waterless fire suppression in the server room
• Temperature and humidity monitoring in the server room
• Air conditioning of the server room
• Lightning and surge protection
• Uninterruptible power supply (UPS)
• Emergency power generator
• Protected power outlets in the server room
• RAID system / disk mirroring
• Video surveillance of the server room
• Alarm notification in case of unauthorized access to the server room
• Backup and recovery concept (documented)
• Regular review of backup measures
• Regular tests of data restoration and logging of the results
• Server rooms located in separate fire compartments
• Storage of backup media in a secure location outside the server room
• No sanitary facilities in or above the server room
• Separate partitions for operating systems and data
• Existing disaster recovery and emergency plan
• Access restriction to the server room
• Regular vulnerability analysis

5. Procedures for the regular review, assessment, and evaluation of the effectiveness of technical and organizational measures (Art. 32(1)(d) GDPR)

• ISMS considering selected requirements of ISO/IEC 27001
• Structured risk management according to ISO/IEC 27001 and BSI
• Regular internal and external audits within the framework of establishing an ISMS according to ISO/IEC 27001
• Data protection management software
• Internal procedure directories are updated at least annually
• Process for reporting new processing procedures
• Selection of privacy-friendly default settings
• Process for involving the data protection officer
• Review of implemented measures according to the PDCA cycle (Plan, Do, Check, Act)
• Process for responding to data protection breaches

6. Order Control

• Contract design according to GDPR (Art. 26, 28 GDPR)
• Centralized recording of existing service providers
• Contract management and regular updating of contracts

Hard- und Softwareanforderungen

Systemvoraussetzungen für den Betrieb der NEXIS Plattform

Stand: 22.10.2026 | Status: Bestätigt

1. Allgemein

Die NEXIS Plattform kann auf einem dedizierten Server, virtualisiert (z. B. über ESXi) sowie containerisiert (Docker) betrieben werden. Die Anforderungen unterscheiden sich nach der Anzahl der zu verwaltenden Objekte, Zuweisungen und Zielsysteme (Applikationen). Die folgenden Hardwareanforderungen dienen als Richtwerte für den Betrieb der Software.

1.1. Lizenzaktivierung

Die Lizenz der NEXIS Plattform kann auf zwei Wegen aktiviert werden:

• Aktivierung über den NEXIS Lizenzserver: Der Applikationsserver aktiviert seine Lizenz, indem er den Lizenzserver unter https://license.nxsec.de kontaktiert. Die NEXIS Plattform wird jeweils monatlich für einen weiteren Monat auf Basis der im Lizenzserver hinterlegten Lizenzinformationen aktiviert. Kann der Applikationsserver den Lizenzserver länger als einen Monat nicht erreichen, wird der Zugang zur Software deaktiviert.
• Aktivierung über eine NEXIS Lizenzdatei: Die Lizenzdatei wird von Nexis im 6-Monats-Zyklus bereitgestellt. Mit dem Hersteller können individuelle Vereinbarungen zum Bereitstellungsintervall getroffen werden.

Für Cloud-Deployments (z. B. in Azure, AWS) müssen individuelle Vereinbarungen mit dem Hersteller getroffen werden.

2. Hardwareanforderungen

Die Hardwareanforderungen ergeben sich aus der Anzahl der verwalteten Objekte sowie der erwarteten Anzahl an Nutzern der NEXIS Plattform. Verwaltete Objekte sind Mitarbeiter, Accounts, Systemberechtigungen und Geschäftsrollen, die in die NEXIS Plattform importiert oder erstellt werden. Je nachdem, wie viele Relationen zwischen diesen Objekten bestehen oder auf wie viele Zielsysteme (Applikationen) sie verteilt sind, müssen die Hardwareanforderungen gegebenenfalls angepasst werden.

Hinsichtlich der Anzahl an Nutzern der NEXIS Plattform beziehen sich die Anforderungen auf ein typisches IAM-Team. Wird die Software zur unternehmensweiten (Re-)Zertifizierung eingesetzt, müssen die Hardwareanforderungen und das Staging-Konzept gegebenenfalls angepasst werden.

2.1. Option 1: Applikations- und Datenbankserver kombiniert

Tabelle 1: Hardwareanforderungen bei kombiniertem Betrieb

2.2. Option 2: Applikations- und Datenbankserver getrennt

Tabelle 2: Hardwareanforderungen bei getrenntem Betrieb

Es wird empfohlen, Applikations- und Datenbankserver auf einer (virtuellen oder physischen) Maschine zu betreiben. Alle Angaben beziehen sich auf die Anforderungen der angegebenen Software. Für das Betriebssystem sowie weitere Dienste müssen zusätzliche Ressourcen bereitgestellt werden.

3. Softwareanforderungen

Die NEXIS Plattform kann mit verschiedenen Software-Stacks betrieben werden. Die Software selbst wird als Java-WAR-Datei ausgeliefert. Die ausgelieferte WAR-Datei enthält die Basissoftware der NEXIS Plattform; zusätzliche JARs müssen daher über den Applikationsserver bereitgestellt werden. Die von Nexis ausgelieferten Applikationsserver sind bereits vollständig konfiguriert. Wird eine eigene Version verwendet, muss diese entsprechend angepasst werden. Ab Version 4.3.7 der NEXIS Plattform wird ein JDK 25 benötigt.

Tabelle 3: Unterstützte Software-Stacks

4. Containerisierte Bereitstellung

Die NEXIS Plattform kann als Container betrieben werden. Hierfür stellt der Hersteller ein Docker-Image auf Basis von Ubuntu bereit, das den Applikationsserver (Tomcat), OpenJDK sowie die NEXIS Plattform enthält. Die Datenbank muss separat bereitgestellt werden. Das Image kann sowohl als Einzelcontainer als auch in einem Cluster (z. B. Kubernetes, OpenShift) betrieben werden. Die Hardwareanforderungen bleiben unverändert. Die Softwareanforderungen ändern sich insofern, als die verwendete Container-Engine Linux-basierte Images unterstützen muss.

5. Anmerkungen

• Die NEXIS Plattform erfordert vollen Zugriff auf die PostgreSQL-Datenbank. Dies umfasst a) Berechtigungen zum Erstellen und Löschen von Datenbanken, b) volle DDL- und DML-Berechtigungen und c) das Erstellen und Wiederherstellen von SQL-Archiven.
• Die NEXIS Plattform erfordert vollen Zugriff auf ein Verzeichnis (und dessen Unterordner). Dies kann pro Installation konfiguriert werden.
• Das von Nexis gelieferte Java kann durch ein vorhandenes Java ersetzt werden. Bis Version 4.3.6 kann die NEXIS Plattform sowohl mit einer JRE als auch mit einem JDK (Version 17) betrieben werden; ab Version 4.3.7 ist ein JDK 25 erforderlich.

Hardware and Software Requirements

System prerequisites for operating the NEXIS Platform

As of: October 22, 2026 | Status: Confirmed

1. General

The NEXIS Platform can be operated on a dedicated server, virtualized (e.g., via ESXi), or containerized (Docker). The requirements differ according to the number of objects, assignments, and target systems (applications). The following hardware requirements should be taken as guide values for operating the software.

1.1. License Activation

The NEXIS Platform license can be activated in two ways:

• Activation via the NEXIS license server: The application server activates its license by contacting the license server at https://license.nxsec.de. The NEXIS Platform is activated each month for another month based on the licensing information stored in the license server. If the application server cannot contact the license server for more than one month, access to the software is deactivated.
• Activation via a NEXIS license file: The license file is provided by Nexis in a 6month cycle. Individual agreements on the delivery interval can be made with the vendor.

For cloud deployments (e.g., in Azure, AWS), individual agreements need to be made with the vendor.

2. Hardware Requirements

The hardware requirements depend on the number of managed objects and the expected number of NEXIS Platform users. Managed objects are employees, accounts, system entitlements, and business roles that are imported or created in the NEXIS Platform. Depending on how many relations exist between these objects or across how many target systems (applications) they are distributed, the hardware requirements may have to be adapted.

With respect to the number of NEXIS Platform users, the given requirements refer to a typical IAM team. If the software is used for company-wide (re-)certification, the hardware requirements and the staging concept may have to be adapted.

2.1. Option 1: Combined Application and Database Server

Table 1: Hardware requirements for a combined setup

2.2. Option 2: Separate Application and Database Servers

Table 2: Hardware requirements for a separate setup It is recommended to operate the application and database servers on one (virtual or physical) machine. All specifications refer to the requirements of the given software. Additional resources must be provided for the operating system and other services.

3. Software Requirements

The NEXIS Platform can be operated with various software stacks. The software itself is delivered as a Java WAR file. The delivered WAR file contains the NEXIS Platform base software; additional JARs must therefore be provided via the application server. The application servers delivered by Nexis are already completely configured. If your own version is used, it must be adapted accordingly. From version 4.3.7 of the NEXIS Platform, JDK 25 is required.

Table 3: Supported software stacks

4. Containerized Deployment

The NEXIS Platform can be operated as a container. For this purpose, the vendor provides a Docker image based on Ubuntu, which includes the application server (Tomcat), OpenJDK, and the NEXIS Platform. The database must be provided separately. The image can be run either as a standalone container or within a cluster (e.g., Kubernetes, OpenShift). The hardware requirements remain unchanged. The software requirements change in that the container engine used must support Linux-based images.

5. Notes

• The NEXIS Platform requires full access to the PostgreSQL database. This includes a) authorizations to create and delete databases, b) full DDL and DML permissions, and c) the creation and recovery of SQL archives.
• The NEXIS Platform requires full access to a directory (and its subfolders). This can be configured per installation.
• The Java delivered by Nexis may be replaced by an existing Java installation. Up to version 4.3.6, the NEXIS Platform can be operated with both a JRE and a JDK (version 17); from version 4.3.7, JDK 25 is required.

Annex 2

Technische und organisatorische Maßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen hat Nexis die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Artikel 32 DSGVO umgesetzt:

1. Gewährleistung der Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Chipkarten / Transpondersysteme
• Sicherheitsschlösser
• Absicherung der Gebäudeschächte
• Türen mit Knauf auf Außenseite
• Schlüsselregelung / Liste
• Empfang / Rezeption / Pförtner
• Besucherbuch / Protokoll der Besucher
• Mitarbeiter- / Besucherausweise
• Besucher in Begleitung durch Mitarbeiter
• Sorgfalt bei Auswahl Reinigungsdienste

Zugangskontrolle

• Login mit Benutzername & Passwort
• Login mit 2-Faktor-Authentifizierung
• Anti-Virus-Software Server
• Anti-Virus-Software Clients
• Firewall
• Verschlüsselung von Datenträgern
• Automatische Desktopsperre
• Benutzerberechtigungskonzept
• Administrierte Benutzerverwaltung
• Zwingende Passwortanforderungen
• Clean Desk Richtlinie
• Mobile Device Policy
• Remote Working Policy

Zugriffskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung der Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Trennungskontrolle

• Automatisierte Logauswertung
• Protokollierung aller Datenzugriffe
• Protokollierung Anwendungszugriffe
• Differenzierte Berechtigungen Daten, Anwendungen, Betriebssystem
• Differenzierte Berechtigungen lesen, ändern, löschen
• Mandantentrennung logisch
• Trennung von Test- und Produktivsystemen
• Reduktion von Administratorzugängen
• Sorgfalt Auswahl Administratoren
• Verwaltung der Benutzerrechte durch Administratoren

Pseudonymisierung

• Pseudonymisierung von Kundendaten in Dateien, wenn anwendbar und technisch möglich
• Pseudonymisierung von Kundendaten in NEXIS 4 (Analysesoftware), wenn anwendbar und technisch möglich

Weitergabekontrolle

• Starke Abschottung des internen Netzes mit Hilfe eines gesicherten Tunnels (VPN-Zugang)
• Begrenzter Mitarbeiterkreis
• Mitarbeiter geschult in Informationssicherheit
• Verpflichtung der Mitarbeiter auf sorgfältigen Umgang mit Informationen und Geheimhaltung
• E-Mail-Verschlüsselung (S/MIME / PGP)
• Einsatz von VPN
• Datenverschlüsselung „at rest“
• Transportverschlüsselung „in transit“
• Dokumentation von Datenempfängern, Speicherdauer und Sicherheitsmaßnahmen
• Regelmäßige Kontrolle der Datenübermittlungen

2. Gewährleistung der Integrität und Eingabekontrolle (Art. 32 Abs. 1 lit. b DSGVO)

• Protokollierung von Nutzeraktionen bei Eingabe von Daten
• Protokollierung von Nutzeraktionen bei Änderungen von Daten
• Protokollierung von Nutzeraktionen beim Löschen von Daten
• Protokollierung aller Aktionen in NEXIS 4 bei der Verarbeitung personenbezogener Daten
• Bedarfsfallbezogene Auswertung der Protokolle
• Protokollierung der Eingabe, Änderung und Löschung von Daten
• Kennzeichnung erfasster Daten
• Dedizierter Logserver
• Übersicht über Programme mit Zugriff auf personenbezogene Daten
• Individuelle Benutzerprofile
• Vergabe von Rechten basierend auf einem Berechtigungskonzept
• Organisatorische Festlegung von Eingabezuständigkeiten
• Verpflichtung auf das Datengeheimnis bzw. zur Vertraulichkeit/Verschwiegenheit
• Berechtigungskonzept für Logzugriff

3. Gewährleistung der Belastbarkeit von Systemen (Art. 32 Abs. 1 lit. b DSGVO)

• Lastausgleich (load balancing) der Netzwerkkomponenten
• Lastausgleich (load balancing) der Dienste
• Ausweichverarbeitungsanlagen vorhanden
• Redundante USV
• Redundante Klimatisierung
• Redundante Stromversorgung
• Redundante Brandbekämpfung
• Computer Emergency Response Team (CERT)
• Regelmäßige Penetration-Tests
• Regelmäßiges Patchen aller Systeme
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse Regelmäßiges Training der Mitarbeiter

4. Gewährleistung der Verfügbarkeit und Verfahren zur Wiederherstellung der Verfügbarkeit personenbezogener Daten (Art. 32 Abs. 1 lit. b, c DSGVO)

• Unterbringung der Server in spezifischem Serverraum in den Geschäftsräumen der Nexis GmbH oder dem Anbieter des Rechenzentrums
• Brandmeldeanlange (BMA)
• Feuer- und Rauchmeldeanlagen
• Wasserlose Brandbekämpfung im Serverraum
• Temperatur- und Feuchtigkeitsüberwachung Serverraum
• Klimatisierung des Serverraums
• Blitz- und Überspannungsschutz
• Unterbrechungsfreie Stromversorgung (USV)
• Notstromgenerator
• Schutzsteckdosen Severraum
• RAID-System / Festplattenspiegelung
• Videoüberwachung Serverraum
• Alarmmeldung bei unberechtigtem Zutritt zum Serverraum
• Backup & Recovery-Konzept (ausformuliert)
• Regelmäßige Kontrolle von Back-Up-Maßnahmen
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
• Serverräumlichkeiten in unterschiedlichem Brandabschnitt
• Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
• Keine sanitären Anschlüsse im oder oberhalb des Serverraums
• Getrennte Partitionen für Betriebssysteme und Daten
• Vorhandener Katastrophen- bzw. Notfallplan
• Zutrittsbegrenzung zum Serverraum
• Regelmäßige Schwachstellenanalyse

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO)

• ISMS unter Berücksichtigung ausgewählter Anforderungen der ISO/IEC 27001
• Strukturiertes Risikomanagement nach ISO/IEC 27001 und BSI
• Regelmäßige interne und externe Audits im Rahmen des Aufbaus eines ISMS nach ISO/IEC 27001
• Datenschutz-Management-Software
• Interne Verfahrensverzeichnisse werden mind. jährlich aktualisiert.
• Prozess zur Meldung neuer Verarbeitungsverfahren
• Auswahl datenschutzfreundlicher Voreinstellungen
• Prozess zur Einbindung des Datenschutzbeauftragten
• Überprüfung der getroffenen Maßnahmen nach dem PDCA-Zyklus (Plan, Do, Check, Act) Prozess zur Reaktion auf Datenschutzverletzungen

6. Auftragskontrolle

• Vertragsgestaltung gem. DSGVO (Art. 26, 28 DSGVO)
• Zentrale Erfassung vorhandener Dienstleister Vertragsmanagement und regelmäßige Aktualisierung der Verträge

Annex 2

Technical and organizational measures

Taking into account the state of the art, the implementation costs, as well as the nature, scope, circumstances and purposes of the processing, as well as the different probability and severity of the risks to the rights and freedoms of natural persons, Nexis has implemented the following technical and organisational measures to ensure an adequate level of protection within the meaning of Article 32 DSGVO:

1. Guarantee of confidentiality (Art. 32 para. 1 lit. b DSGVO)

Access control

• Chip Cards / Transponder Systems
• Security locks
• Securing the building shafts
• Doors with knob on the outside
• Key regulation / list
• Reception / Reception / Doorman
• Visitors' book / visitors' log
• Employee / visitor badges
• Visitors accompanied by staff
• Care in choosing cleaning services

Access control

• Login with username & password
• Login with 2-factor authentication
• Anti-Virus Software Server
• Anti-Virus Software Clients
• Firewall
• Encryption of data carriers
• Automatic desktop lock
• User Authorization Concept
• Administered user management
• Mandatory password requirements
• Clean Desk Policy
• Mobile Device Policy
• Remote Working Policy

Access control

• Automated log evaluation
• Logging of all data accesses
• Logging of application accesses
• Differentiated permissions Data, applications, operating system
• Read, modify, delete fine-grained permissions
• Data encryption "at rest"
• Transport encryption "in transit"
• Reduction of administrator access
• Care Selection Administrators
• Management of user rights by administrators

Separation control

• Automated log evaluation
• Logging of all data accesses
• Application Access Logging
• Differentiated permissions Data, applications, operating system
• Read, modify, delete fine-grained permissions
• Client separation logical
• Separation of test and production systems
• Reduction of administrator access
• Care Selection Administrators
• Management of user rights by administrators

Pseudonymization

• Pseudonymization of customer data in files, if applicable and technically feasible
• Pseudonymization of customer data in NEXIS 4 (analysis software), if applicable and technically feasible

Transfer control

• Strong isolation of the internal network with the help of a secure tunnel (VPN access)
• Limited group of employees
• Employees trained in information security
• Obligation of employees to handle information carefully and to maintain confidentiality
• Email encryption (S/MIME / PGP)
• Use of VPN
• Data encryption "at rest"
• Transport encryption "in transit"
• Documentation of data recipients, storage period and security measures
• Regular control of data transmissions

2. Ensuring integrity and input control (Art. 32 para. 1 lit. b DSGVO)

• Logging of user actions when data is entered
• Logging of user actions when data changes
• Logging of user actions when data is deleted
• Logging of all actions in NEXIS 4 when processing personal data
• Needs-based evaluation of the protocols
• Logging of data entry, modification and deletion
• Marking of Collected Data
• Dedicated log server
• Overview of programs with access to personal data
• Individual user profiles
• Assignment of rights based on an authorization concept
• Organizational definition of submission responsibilities
• Commitment to data secrecy or confidentiality/secrecy
• Authorization concept for log access

3. Ensuring the resilience of systems (Art. 32 para. 1 lit. b DSGVO)

• Load balancing of network components
• Load balancing of services
• Alternative processing facilities available
• Redundant UPS
• Redundant air conditioning
• Redundant power supply
• Redundant firefighting
• Computer Emergency Response Team (CERT)
• Regular penetration tests
• Regular patching of all systems
• Regular tests for data recovery and logging of results Regular training of employees

4. Ensuring the availability and procedures for restoring the availability of personal data (Art. 32 para. 1 lit. b, c DSGVO)

• Placement of servers in a specific server room in the business premises of Nexis GmbH or the provider of the data center
• Fire alarm system (BMA)
• Fire and smoke alarm systems
• Waterless firefighting in the server room
• Temperature and humidity monitoring server room
• Air conditioning of the server room
• Lightning and surge protection
• Uninterruptible power supply (UPS)
• Emergency power generator
• Protective sockets Severraum
• RAID System / Disk Mirroring
• Video surveillance server room
• Alarm message in case of unauthorized access to the server room
• Backup & Recovery concept (formulated)
• Regular monitoring of back-up measures
• Regular tests for data recovery and logging of results
• Server rooms in different fire compartments
• Store backup media in a secure location outside the server room
• No sanitary connections in or above the server room
• Separate partitions for operating systems and data
• Existing disaster or emergency plan
• Access restriction to the server room
• Regular vulnerability analysis

5. Procedure for regularly reviewing, evaluating and evaluating the effectiveness of technical and organisational measures (Art. 32 para. 1 lit. d DSGVO)

• ISMS taking into account selected requirements of ISO/IEC 27001
• Structured risk management according to ISO/IEC 27001 and BSI
• Regular internal and external audits as part of the establishment of an ISMS according to ISO/IEC 27001
• Privacy Management Software
• Internal process directories are updated at least once a year.
• Process for notifying new processing methods
• Selection of privacy-friendly preferences
• Process for the involvement of the data protection officer
• Review of the measures taken according to the PDCA cycle (Plan, Do, Check, Act) Data breach response process

6. Order control

• Drafting of contracts in accordance with the DSGVO (Art. 26, 28 DSGVO)
• Central recording of existing service providers Contract management and regular updating of contracts

Vertraulichkeitsvereinbarung

zwischen

und

Nexis GmbH Rudolf-Vogt-Straße 6 93053 Regensburg Deutschland

- im Folgenden „die Parteien“ genannt

Zweck dieser Vereinbarung

(1) Die Parteien werden füreinander oder für Kunden oder Geschäftspartner der Parteien Leistungen erbringen. In dem Zusammenhang ist es nicht ausgeschlossen, dass die Parteien Kenntnis von personenbezogenen Daten oder Informationen zu Betriebs- und Geschäftsgeheimnissen oder anderen vertraulichen Informationen der jeweils anderen Partei erhält.

(2) Mit dieser Vereinbarung werden die Parteien zur Einhaltung der rechtlichen Vorgaben zum Umgang mit personenbezogenen Daten und Informationen zu Betriebs- und Geschäftsgeheimnissen sowie der Vorgaben im Rahmen dieser Vertraulichkeitsvereinbarung verpflichtet.

(3) Soweit erforderlich, werden die Parteien ergänzende Vereinbarungen abschließen. Dies gilt insbesondere für ergänzende Vereinbarungen, die nach den geltenden Datenschutzbestimmungen für den Schutz von personenbezogenen Daten erforderlich sein können.

2 Definition von vertraulichen Informationen

Vertrauliche Informationen im Sinne dieser Vereinbarung sind alle Informationen, die eine der Parteien von der jeweils anderen Partei in Schriftform, Textform, mündlich, elektronisch oder in Form von digital verkörperten Informationen erhalten hat, wobei unerheblich ist, auf welchem Trägermedium die vertraulichen Informationen verkörpert sind. Dies beinhaltet insbesondere

• sämtliche Inhalte dieser Vertraulichkeitsvereinbarung,
• personenbezogene Daten gemäß Art. 4 Nr. 1 der Datenschutz-Grundverordnung (DSGVO),
• Angaben zu Angeboten, Preisen, Kunden, Kooperationspartnern, Vertragspartnern, Beschäftigten,
• wirtschaftliche Informationen,
• wissenschaftliche Informationen,
• Informationen zu Produkten, Waren oder Dienstleistungen, die die jeweils andere Partei herstellt oder herstellen lässt,
• Informationen zu Entwicklung und Forschung,
• Informationen zu gewerblichen Schutzrechten,
• Informationen zu Urheberrechten und
• Informationen, die als „vertraulich“, „geheim“, „confidential“ oder in ähnlicher Weise gekennzeichnet sind.

3 Allgemeine Geheimhaltungspflicht

(1) Die Parteien verpflichten sich, alle vertraulichen Informationen gemäß Abschnitt 2 dieser Vereinbarung vertraulich zu behandeln und nicht ohne Zustimmung der jeweils anderen Partei an nicht am vorliegenden Vertrag beteiligte Personen (Dritte) weiterzugeben oder diese Informationen Dritten zugänglich zu machen. Die Zustimmung der jeweils anderen Partei bedarf der Textform.

(2) Die Parteien dürfen vertrauliche Informationen nur verwenden, soweit dies für die Durchführung ihrer Leistungen für die jeweils andere Partei erforderlich ist.

(3) Die Parteien sind autorisiert, die vertraulichen Informationen ihren Mitarbeitern zu offenbaren, soweit dies für den Zweck, zu dem die vertraulichen Informationen erteilt werden, zwingend erforderlich ist und soweit diese Mitarbeiter ihrerseits in gleicher Weise zur Geheimhaltung verpflichtet wurden, wie es in dieser Vereinbarung geregelt ist. Die Parteien werden auf Aufforderung Kopien der entsprechenden Vertraulichkeitsvereinbarungen mit ihren Mitarbeitern vorlegen.

(4) Den Parteien ist es untersagt, vertrauliche Informationen der jeweils anderen Partei im Wege des Reverse Engineering zu erlangen. "Reverse Engineering" sind dabei sämtliche Handlungen, einschließlich des Beobachtens, Testens, Untersuchens und des Rück- sowie ggf. erneuten Zusammenbaus, mit dem Ziel, an vertrauliche Informationen zu gelangen. Sind solche Handlungen für die Durchführung der vertraglich vereinbarten Leistungen für die jeweils andere Partei erforderlich, sind die Ergebnisse gleichwohl geheim zu halten und vertraulich zu behandeln.

4 Ausnahmen von der Geheimhaltungspflicht

Die Verpflichtung zur Vertraulichkeit gilt nicht bzw. nicht mehr für solche Informationen einer Partei, für die die jeweils andere Partei nachweisen kann, dass

• die Information zum Zeitpunkt der Offenlegung durch die Partei der jeweils anderen Partei bereits bekannt ist oder
• die jeweils andere Partei die Information nach der Offenlegung durch die Partei rechtmäßig von einem Dritten ohne Verletzung einer Vertraulichkeitspflicht erlangt hat oder
• die Information zum Zeitpunkt der Offenlegung bereits allgemein bekannt ist oder nach Offenlegung allgemein bekannt wird oder
• die jeweils andere Partei aufgrund einer Rechtsvorschrift oder behördlichen Anordnung zur Weitergabe verpflichtet ist. In diesem Fall hat die jeweils andere Partei die Partei – soweit zulässig – über die beabsichtigte Weitergabe vorab in Textform zu informieren und die gesetzlich zulässigen und erforderlichen Vorkehrungen zu treffen, um den Umfang der Weitergabe so gering wie möglich zu halten. Darüber hinaus wird die jeweils andere Partei im Zuge der Offenlegung kenntlich machen, dass es sich, sofern dies der Fall ist, bei den vertraulichen Informationen um Geschäftsgeheimnisse handelt, und darauf hinwirken, dass von den Maßgaben der §§ 16 ff. des GeschGehG Gebrauch gemacht wird.

5 Einbindung von Dritten

(1) Die Einbindung von Dritten durch eine Partei, die im Zusammenhang mit der Erbringung von Leistungen für die Partei, personenbezogene Daten verarbeiten, ist nur zulässig, wenn dies unter Einhaltung der Vorgaben des Art. 28 DSGVO erfolgt.

(2) Die Einbindung von Dritten durch eine Partei ist der jeweils anderen Partei vorab in Textform mitzuteilen.

(3) Dritte sind von der beauftragenden Partei zur Einhaltung sämtlicher in dieser Vereinbarung genannten Pflichten ihrerseits vertraglich in Schriftform zu verpflichten.

(4) Die Parteien verpflichten sich, bei der Einbindung von Dritten diesen nur die Informationen zugänglich zu machen, die für die Erfüllung der beauftragten Leistungen benötigt werden.

6 Schutzmaßnahmen und Hinweis auf § 23 GeschGehG

(1) Um die Geheimhaltung der vertraulichen Informationen zu gewährleisten, verpflichten sich die Parteien,

• die vertraulichen Informationen sicher aufzubewahren, um sie gegen Diebstahl und unbefugten Zugang zu schützen;
• die vertraulichen Informationen nicht auf einem Computer oder elektronischen Informationssystem in einer Weise zu verwenden, zu reproduzieren, zu verarbeiten oder zu speichern, die unbefugten Dritten den Zugriff ermöglicht;
• der jeweils anderen Partei unverzüglich nach Kenntniserlangung eines tatsächlichen oder drohenden unbefugten Gebrauchs oder einer tatsächlichen oder drohenden unbefugten Offenlegung von vertraulichen Informationen zu unterrichten und alle angemessenen Maßnahmen zu ergreifen, um - gegebenenfalls mit Unterstützung des der anderen Partei - einen solchen Gebrauch oder eine solche Offenlegung zu verhindern oder zu beenden.

(2) Den Parteien ist bekannt, dass die Verletzung von Geschäftsgeheimnissen nach § 23 GeschGehG strafbar ist.

7 Vertragsstrafe und Haftung

(1) Für jeden Fall einer zurechenbaren Zuwiderhandlung gegen die Bestimmungen dieser Vereinbarung kann die geschädigte Partei von der jeweils anderen Partei die Zahlung einer angemessenen Vertragsstrafe verlangen, die die geschädigte Partei nach billigem Ermessen festlegen darf und die im Streitfall vom zuständigen Gericht überprüft wird. Darüberhinausgehende Schadensersatzansprüche bleiben unberührt. Eine gezahlte Vertragsstrafe ist auf etwaige Schadensersatzansprüche anzurechnen, wobei die Vertragsstrafe den Mindestschaden darstellt.

(2) Unbeschadet der vereinbarten Vertragsstrafe gilt: Die Parteien verpflichten sich, der jeweils anderen Partei alle nachgewiesenen Schäden und Aufwendungen zu ersetzen, die sich aus einer wenigstens fahrlässigen Verletzung dieser Vertraulichkeitsvereinbarung ergeben. Eine fahrlässige Verletzung der vorliegenden Vertraulichkeitsvereinbarung liegt vor, wenn eine Partei den Nachweis führen kann, dass vertrauliche Informationen einer Partei an Dritte gelangt sind. Das Recht der jeweils anderen Partei den Gegenbeweis zu führen besteht.

(3) Die Parteien haften im gleichen Maße für ihre Mitarbeiter und Erfüllungsgehilfen sowie ihrer Verrichtungsgehilfen. Die Berechtigung zur Führung des Entlastungsbeweises gemäß §831 Abs. 1 Satz 2 BGB ist ausgeschlossen. Sie haben demnach für von ihnen beauftragte Dritte in vollem Maße einzustehen.

(4) Diese Verpflichtung erstreckt sich auch auf eine schuldhafte Verletzung dieser Vertraulichkeitsvereinbarung durch Personen, denen eine Partei Zugang zu den Informationen gestattet oder ermöglicht hat, jedoch nur, falls sich diese Personen nicht selbst vorsätzlich Zugang zu diesen Informationen verschafft haben.

8 Keine Einräumung oder Übertragung von Rechten und keine Mängelhaftung

(1) Der Inhalt dieser Vereinbarung kann nicht als Einräumung oder Übertragung irgendwelcher Rechte zugunsten der jeweils anderen Partei mittels Lizenz oder auf sonstige Weise in Bezug auf jegliche Patentrechte, Urheberrechte, Betriebs- und Geschäftsgeheimnisse oder andere gewerbliche Schutzrechte ausgelegt werden, noch räumt diese Vereinbarung der jeweils anderen Partei Rechte im Hinblick auf die vertraulichen Informationen ein, mit Ausnahme der Nutzung der vertraulichen Informationen wie in dieser Vereinbarung geregelt. Die Parteien sind auch nicht verpflichtet, der jeweils anderen Partei vertrauliche Informationen zur Verfügung zu stellen.

(2) Sofern dies nicht ausdrücklich zwischen den Parteien vereinbart ist, übernehmen die Parteien keine Mängelhaftung für die Richtigkeit bzw. Vollständigkeit der weitergegebenen vertraulichen Informationen oder ihre Nutzbarkeit, es sei denn, die jeweils vertrauliche Informationen übermittelnde Partei handelt vorsätzlich oder grob fahrlässig.

9 Laufzeit und Beendigung der Vereinbarung

(1) Diese Vereinbarung tritt mit Unterzeichnung durch beide Parteien in Kraft. Sie endet automatisch nach Beendigung aller zwischen den Parteien ansonsten bestehenden Vertragsverhältnisse oder nach drei (3) Jahren, je nach dem welcher Fall später eintritt. Sie kann mit einer Frist von 6 Monaten zum Monatsende von jeder Partei ohne Angabe von Gründen schriftlich gekündigt werden.

(2) Die Pflichten zur Geheimhaltung und die datenschutzrechtlichen Pflichten aus dieser Vereinbarung gelten nach Beendigung dieser Vereinbarung für alle Parteien für einen Zeitraum von fünf (5) Jahren fort.

(3) Auf schriftliche Aufforderung oder spätestens nach Beendigung dieser Vereinbarung werden die Parteien alle von der jeweils anderen Partei erhaltenen Informationen zurückgeben oder auf Weisung der jeweils anderen Partei vernichten.

(4) Vertrauliche Informationen, die sich auf genutzten Datenträgern der Parteien befinden, sind nach der Beendigung dieser Vereinbarung von der jeweiligen Partei in einer Weise zu löschen, die eine Wiederherstellung der Daten nach dem Stand der Technik unmöglich macht.

(5) Vertrauliche Informationen, die sich auf anderen Datenträgern (z.B. bei Cloud-Diensten Dritter) befinden, sind nach der Beendigung dieser Vereinbarung von der jeweiligen Partei unter Verwendung aller gegebener Möglichkeiten zu löschen.

(6) Die Parteien können von der jeweils anderen Partei einen geeigneten Nachweis der Löschung nach den Absätzen 3 bis 5 verlangen.

(7) Anwendbare gesetzliche Aufbewahrungspflichten stehen den Verpflichtungen nach den Absätzen 3 bis 6 nur entgegen, wenn sie zwingend sind. Ein Zurückbehaltungsrecht der zur Rückgabe, Vernichtung oder Löschung verpflichteten Partei (gleich aus welchem Rechtsgrund) ist ausgeschlossen. Soweit eine vollständige Löschung aus technischen Gründen nicht möglich ist (z.B. bei automatisch erstellten Backup-Kopien), bleiben die Parteien zur Geheimhaltung der vertraulichen Informationen verpflichtet und sind nicht berechtigt, die vertraulichen Informationen zu nutzen.

10 Schlussbestimmungen

(1) Sollten einzelne Regelungen dieser Vereinbarung ganz oder teilweise ungültig sein, berührt dies die Wirksamkeit der übrigen vertraglichen Vereinbarungen nicht. Die Parteien verpflichten sich, die unwirksame Regelung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Regelung am nächsten kommt.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Das gilt auch für eine Änderung dieser Schriftformklausel selbst.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Gerichtsstand für alle Streitigkeiten aus dem Vertragsverhältnis ist Regensburg.

Regensburg, den

Dr. Michael Kunz

Geschäftsführer, Nexis GmbH

Mutual Non-Disclosure Agreement

between Company name and address:

and Nexis GmbH, Rudolf-Vogt-Straße 6, 93053 Regensburg, Germany - hereinafter referred to as „the Parties“

1. Objective of this Agreement

(1) The Parties will provide services for each other or for customers or business partners of the Parties. In this connection, it cannot be ruled out that the Parties will receive knowledge of personal data or information on business and trade secrets or other confidential information belonging to the respective other Party.

(2) With this Agreement, the Parties are obliged to comply with the legal provisions concerning the handling of personal data and information on business and trade secrets, as well as with the provisions within the framework of this Non-Disclosure Agreement.

(3) If necessary, the Parties will conclude supplementary agreements. This particularly applies to supplementary agreements that may be required by the applicable data protection regulations for the protection of personal data.

2. Definition of Confidential Information

In terms of this Agreement, confidential information is regarded as all information which one of the Parties has received from the respective other Party in written form, in text form, verbally, electronically, or in the form of information that is represented in digital format. The carrier medium on which the confidential information is represented is immaterial here. This particularly include

• any and all contents of this Non-Disclosure Agreement,
• personal data according to Art. 4 No. 1 of the General Data Protection Regulation (GDPR),
• information on offers, prices, customers, cooperation partners, contractual partners, personnel,
• economic information,
• scientific information,
• information on products, goods or services which the respective other Party manufactures or which are manufactured for the respective other Party,
• information on research and development,
• information on industrial property rights,
• information on copyright and
• information marked as “confidential”, “secret” or similar.

3. General Obligation to Maintain Secrecy

(1) The Parties are obliged to treat as confidential all confidential information in terms of section 2 of this Agreement and shall not disclose or make it accessible to third parties without the consent of the respective other Party. The consent of the respective other Party must be given in text form.

(2) The Parties may only use confidential information if this is necessary to perform their services for the respective other Party.

(3) The Parties are authorised to disclose confidential information to their staff if this is absolutely necessary for the purpose for which the confidential information is provided, and if these members of staff are in turn obliged to maintain secrecy in the same way as what is laid down in this Agreement. The Parties shall present copies of the respective Non-Disclosure Agreements with their staff on request.

(4) The Parties are prohibited from obtaining information belonging to the respective other Party by way of reverse engineering. Here “reverse engineering” includes all actions with the goal of obtaining confidential information, including observation, testing, examination, dismantling or – where applicable – reassembly. If such actions are necessary to perform the contractually agreed services for the respective other Party, the results are nevertheless to be kept secret and treated as confidential.

4. Exceptions to the Obligation to Maintain Secrecy

The confidentiality obligation does not apply or no longer applies to information of one of the Parties where the respective other Party can prove that

• the respective other Party already knew the information at the time it was disclosed by the Party,
• the respective other Party obtained the information legally from a third party after its disclosure by the Party without an obligation to confidentiality being breached, or
• the information was already common knowledge at the time it was disclosed or becomes common knowledge after its disclosure, or
• the respective other Party is obliged to disclose it based on legal provision or official oder. In this case, the respective other Party is to inform the Party – as far as this is admissible – of the intended disclosure in text form beforehand and to take the legally admissible precautions necessary to restrict the extent of the disclosure as far as possible. Furthermore, in the course of the disclosure, the respective other Party will indicate that the confidential information consists of trade secrets – if this is the case – and work towards the provisions of sections 16 et seqq. of the German Act on the Protection of Trade Secrets (GeschGehG) being applied.

5. Involvement of Third Parties

(1) It is only admissible for a Party to involve third parties that process personal data in connection with the performance of services for the Party if this takes place in accordance with the provisions of Art. 28 GDPR.

(2) The respective other Party is to be notified of the involvement of third parties by a Party beforehand in text form.

(3) The Party involving third parties is to bind these third parties in turn to comply with all of the obligations mentioned in this Agreement by written contract.

(4) When involving third parties, the Parties shall only make information accessible to them that is required in order to perform the services that have been commissioned.

6. Protective measures and reference to section 23 of the German Act on the Protection of Trade Secrets

(1) To ensure that the confidential information is kept secret, the Parties are obliged

• to keep the confidential information safe to protect it against theft and unauthorised access;
• not to use, reproduce, process or store the confidential information on any computer or electronic information system in a manner that allows access by unauthorised third parties;
• to notify the respective other Party immediately after learning of any actual or impending unauthorised use or any actual or impending unauthorised disclosure of confidential information, and to take all appropriate measures to prevent or terminate such use or disclosure – with the other Party’s assistance if need be;

(2) The Parties are aware that violations of trade secrets constitute punishable offences according to section 23 of the German Act on the Protection of Trade Secrets.

7. Contractual penalty and liability

(1) In the case of an attributable breach of the provisions of this Agreement, the injured Party can demand payment of an appropriate contractual penalty from the respective other Party. The amount of this contractual penalty may be determined by the injured Party with the exercise of reasonable discretion and will be reviewed by the competent court in the case of dispute. Any claims to compensation for damages exceeding this remain unaffected. A contractual penalty that has been paid is to be credited against potential claims to compensation for damages, whereby the contractual penalty constitutes the minimum amount of damages.

(2) Without prejudice to the contractual penalty agreed, the following applies: The Parties are obliged to reimburse the respective other Party for all proven damages and expenses incurred as a result of an at least negligent breach of this Non-Disclosure Agreement. A negligent breach of this Non-Disclosure Agreement occurs if a Party is able to prove that confidential information of one of the Parties reached third parties. The respective other Party has the right to provide evidence to the contrary.

(3) Both Parties are equally liable for their staff and performing agents as well as their vicarious agents. The right to produce exonerating evidence according to section 831(1) 2nd sentence of the German Civil Code (BGB) is excluded. They are therefore fully liable for third parties commissioned by them.

(4) This obligation also extends to a culpable breach of this Non-Disclosure Agreement by persons that have been granted or facilitated access to the information by one of the Parties. However, this only applies if these persons have not deliberately gained access to this information themselves.

8. No granting or transfers of rights, and no liability for defects

(1) The content of this Agreement cannot be construed as the granting or transfer of any rights for the benefit of the respective other Party by way of licence or in any other way with respect to any patent rights, copyrights, business and trade secrets or any other industrial property rights, and nor does this Agreement grant any rights to the respective other Party with regard to the confidential information, with the exception of the use of the confidential information as regulated in this Agreement. Nor are the Parties obliged to make confidential information available to the respective other Party.

(2) Unless this is specifically agreed between the Parties, the Parties do not assume any liability for defects with regard to the correctness, completeness or usability of the confidential information that is passed on except where the Party transmitting the confidential information in the specific case is acting deliberately or with gross negligence.

9. Term and Termination of the Agreement

(1) This Agreement becomes effective upon signing by both Parties. It ends automatically after all other contractual relationships that may exist between the Parties have ended, or after three (3) years, whichever occurs later. It can be terminated in writing by each of the Parties without giving reasons, observing a notice period of 6 months to the end of the month.

(2) The obligations to maintain secrecy and the legal data protection obligations arising from this Agreement continue to apply for a period of five (5) years after termination of this Agreement for all Parties.

(3) Upon written request, or after termination of this Agreement at the latest, the Parties will return all information received from the respective other Party or destroy it at the direction of that Party.

(4) Confidential information located on data carriers used by the Parties is to be erased by the respective Party after termination of this Agreement such that any recovery of the data is rendered impossible according to the best available technology.

(5) Confidential information located on other data carriers (e.g. cloud services) is to be erased by the respective Party after termination of this Agreement using all the possibilities available.

(6) The Parties can require the respective other Party to provide suitable proof of the erasure according to paragraphs 3 to 5.

(7) Applicable legal obligations to preserve records only bar the obligations according to subsections 3 to 6 if they are compulsory. All retention rights of the Party obligated to return, destroy or erase information (for whatever legal reason) are excluded. If complete erasure is impossible for technical reasons (e.g. in the case of automatically generated back-up copies), the Parties remain under the obligation to keep the confidential information secret and are not authorised to use the confidential information.

10. Final provisions

(1) Should individual provisions of this Agreement be wholly or partly void, this does not affect the effectiveness of the remaining contractual agreements. The Parties undertake to replace the invalid provision with an effective provision that most closely approximates the economic purpose of the provision which is null and void.

(2) Amendments and supplements to this Agreement must be made in writing. The same applies to changes to this written form requirement itself.

(3) The laws of the Federal Republic of Germany shall apply.

(4) The place of jurisdiction for all disputes arising from the contractual relationship is Regensburg.

Date, Place Regensburg,

Name: Name: Position: Position:

Modulbeschreibung NEXIS Plattform

Version 4.3

Stand: 22.10.2026 | Status: Bestätigt

1. Überblick

Mit der Version 4.3 steht für die NEXIS Plattform eine modulare Plattformarchitektur zur Verfügung, bestehend aus der NEXIS Basisplattform, drei aufbauenden Funktionsmodulen sowie optionalen Feature Packs und Konnektoren. Die neue Struktur ermöglicht eine flexible Lizenzierung und eine passgenaue Skalierung der Funktionen nach Bedarf.

Die NEXIS Plattform ist eine Identity and Intelligence Platform (IVIP), die IAM-Infrastrukturen um KI-gestützte Analysen, Workflow-Automatisierung und Echtzeit-Governance erweitert. Sie bietet Unternehmen eine zentrale Sicht auf Identitäten, Rollen und Berechtigungen über alle Systeme hinweg und unterstützt gleichzeitig Identity Security Posture Management (ISPM), Application Onboarding und KI-basierte Berechtigungsoptimierung. Mit der Basisplattform erhalten Kunden Zugriff auf alle grundlegenden Datenverwaltungs-, Analyse-, Administrations- und Systemsteuerungsfunktionen.

Die aufbauenden Module erweitern diesen Funktionsumfang um spezialisierte Features in den Bereichen Workflow-Management, IAM Governance sowie Business Design & User Services. Optional ergänzende Feature Packs erhöhen die Integrationsfähigkeit und Effizienz im operativen Einsatz.

2. NEXIS Basisplattform

Die NEXIS Basisplattform bildet die technische und funktionale Grundlage der Lösung. Sie stellt zentrale Dienste für Datenimport, Datenschemaverwaltung, Berechtigungsmanagement, Systemüberwachung, Reporting und Corporate-Identity-Anpassung sowie grundlegende Funktionen für Analytics und Datenmanagement bereit.

Darüber hinaus bietet die Plattform ein einheitliches Administrations-Interface, über das sämtliche Basiskomponenten verwaltet werden. Die NEXIS Basisplattform steht grundsätzlich sowohl als Software-as-a-Service-Lösung (SaaS) als auch als On-Premises-Lösung zur Verfügung. Die SaaS-Lösung kann mit Standard- oder Premium-SLAs bereitgestellt werden. Die Basisplattform stellt Funktionalitäten für grundlegende Anwendungsfälle in den Bereichen Rollenmodellierung, Richtlinienverwaltung und Datenanalyse bereit.

Tabelle 1: Funktionen der NEXIS Basisplattform

3. Module der NEXIS Plattform

3.1. NEXIS Workflow Modul

Das NEXIS Workflow Modul enthält alle Funktionen zur Abbildung und Automatisierung von unternehmensspezifischen Freigabe- und Genehmigungsprozessen. Es ermöglicht die grafische Modellierung und Ausführung von Standard- und kundenspezifischen Workflows, wie z. B. Rezertifizierungen und Antragsprozessen, auf Basis der integrierten Workflow Engine. Durch wiederverwendbare Workflow-Komponenten wie Benachrichtigungen, Delegations- und Eskalationsmechanismen sowie durch das Task Dashboard für Endbenutzer wird eine durchgängige Prozesssteuerung unterstützt. Zusätzlich stehen Funktionen zur Synchronisation von Daten inklusive Delta-Verarbeitung sowie eine KIbasierte Unterstützung (NICO) für Rezertifizierungen zur Verfügung.

Tabelle 2: Funktionen des NEXIS Workflow Moduls

3.2. NEXIS Business Modul

Das NEXIS Business Modul ermöglicht die Erstellung benutzerdefinierter Dashboards, End-User-Services und Analyseansichten. Über den integrierten UI-Designer können eigene Browser-Seiten, Formulare und Navigationsstrukturen entwickelt werden. Das Modul unterstützt Best-Practice-Templates sowie Bestellportale für Produkte, Rollen und Rechte.

Tabelle 3: Funktionen des NEXIS Business Moduls

1 Die Konfiguration von Browser-Seiten steht allen Kunden, die die Software NEXIS Controle in der Governance Edition vor dem 15.06.2021 lizenziert haben (Kauf), weiterhin zur Verfügung.

3.3. NEXIS IAM Governance Modul

Das NEXIS IAM Governance Modul stellt alle Funktionen zur (dezentralen) Verwaltung, Freigabe und Steuerung von IAM-Dokumentation bereit, optional unterstützt durch den KIbasierten Assistenten NICO. Die Application Onboarding Engine ermöglicht die strukturierte Darstellung und Wissenserhebung für Applikationen, die an das IAM-System angebunden werden sollen. Die SoD (Segregation of Duties) Engine stellt alle Funktionalitäten zur detektiven oder präventiven Erkennung von SoD-Konflikten bereit. Die grafische SoD-Matrix dient der Definition, Prüfung und Umsetzung von Trennungsrichtlinien und bildet eine zentrale Grundlage für die Compliance-Überwachung.

Tabelle 4: Funktionen des NEXIS IAM Governance Moduls

4. Feature Packs

Zur Erweiterung der Standardfunktionen können optional Feature Packs lizenziert werden. Sie erhöhen die Effizienz und Integrationsfähigkeit der NEXIS Plattform.

4.1. NEXIS License Killer

Die License-Killer-Funktion liefert umsetzbare Einblicke in die Anwendungsnutzung, um unnötige Lizenzkosten zu eliminieren und Entscheidungen im Anwendungslebenszyklus zu optimieren. Zu diesem Zweck kann der Zugriff von Benutzern auf „lizenzpflichtige“ Anwendungen über einen definierten Zeitraum hinweg verfolgt werden – entweder auf Zugriffsebene (z. B. durch Nachverfolgung der Authentifizierung gegenüber der Anwendung) oder auf Berechtigungsebene (z. B. durch Überwachung der Nutzung von Berechtigungen).

2 Die SoD-Funktionalität steht allen Kunden, die die NEXIS Plattform inklusive des vormaligen Governance Moduls (bis Version 4.2) vor dem 01.01.2026 durchgängig lizenziert haben (Kauf/Miete), weiterhin zur Verfügung.

• Nutzungsüberwachung zur Kostenreduktion: Erfasst die tatsächliche Anwendungsnutzung, um ungenutzte oder gering genutzte Lizenzen zu identifizieren und potenzielle Einsparungsmöglichkeiten aufzudecken.
• Workflow-Integration: Unterstützt Remediation-Workflows zur Anpassung an organisatorische Anforderungen (erfordert das Workflow Modul).
• Application Discovery: Anwendungen können auf Basis von Daten aus IGA-Systemen oder IDPs identifiziert werden und ermöglichen so eine umfassende Lizenzoptimierung in der gesamten Umgebung.

Technische Integration:

• Nutzungsinformationen können aus Identity Providern (IDPs), SIEM-Systemen oder anderen Telemetriequellen importiert werden.
• Die Daten werden pro Benutzerkonto (z. B. ein Entra-ID-Konto) und Anwendung (z. B. eine in Entra ID verwaltete Business-Anwendung) erfasst und anschließend der Identität sowie den entsprechenden lokalen Konten zugeordnet.

4.2. NEXIS Microsoft Teams Integration

Die Microsoft-Teams-Integration ermöglicht die Übermittlung von Benachrichtigungen neben E-Mail auch als Teams-Nachrichten sowie die Übermittlung einfacher Freigabeentscheidungen über Teams-Funktionalitäten.

Workflow-Integrationsmodi:

• Direkte Genehmigungen: Genehmigungsanfragen – beispielsweise die Zuweisung von Berechtigungen – können direkt in Microsoft Teams geprüft und bestätigt werden, mit vollständiger Auditierbarkeit.
• Anpassbare Benachrichtigungen: Teams-Benachrichtigungen können individuell konfiguriert werden, um Benutzer an ausstehende Aktionen zu erinnern oder sie einzuladen, direkt in der NEXIS Plattform zu arbeiten.

Technische Integration:

• Die Integration erfordert eine direkte Verbindung zwischen dem NEXIS Teams-Backend, das in der NEXIS SaaS-Umgebung gehostet wird, und der NEXIS Plattform.
• Der Microsoft-Teams-Bot muss im Tenant des Kunden installiert und allen relevanten Benutzern zugewiesen werden.

4.3. NEXIS Evidence Collector

Der NEXIS Evidence Collector verlagert die Nachweisführung von der punktuellen Audit-Vorbereitung hin zu einem kontinuierlichen Nachweis der Wirksamkeit von Kontrollen. Nachweisanforderungen werden zentral in der IAM Governance Documentation definiert. Evidenzen wie Screenshots, PDFs oder Exporte werden zu den gesteuerten Applikationen, Services, Kontrollen und Prozessen erfasst und vom KI-Assistenten NICO anhand der vom Kunden festgelegten Kriterien validiert.

• Zentrale Konfiguration: Pro Governance-Objekt können mehrere Nachweisanforderungen hinterlegt werden, jeweils mit Arbeitsanweisung für den Endanwender, Bewertungskriterien und optionaler Gültigkeitsdauer. Abgelaufene Evidenzen werden automatisch neu angefordert.
• Erfassung: Upload direkt in den Feldern der IAM Governance Documentation, über die Evidence-Collector-Ansicht oder per optionalem Browser-Plugin direkt aus dem Zielsystem.
• KI-gestützte Bewertung: NICO liest den Inhalt, prüft ihn gegen die definierten Kriterien und liefert Ergebnis (konform/nicht konform), Konfidenz und Begründung. Oberhalb eines konfigurierbaren Schwellenwerts wird die Evidenz automatisch akzeptiert, darunter zur manuellen Prüfung vorgelegt.
• Revisionssicherheit: Evidenzen werden unverändert, mit Zeitstempel und gegen Manipulation geschützt gespeichert. Jede Bewertung wird protokolliert, Audit-Berichte können jederzeit erzeugt werden, und fehlende Evidenzen bleiben als Lücke sichtbar.

Voraussetzungen und Lizenzierung:

• Der Evidence Collector setzt das NEXIS IAM Governance Modul voraus.
• Im Feature Pack sind 200 verarbeitete Evidenzen enthalten. Darüber hinaus benötigte Evidenzen werden in zusätzlichen Paketen lizenziert.

4.4. NEXIS Bring Your Own LLM

Standardmäßig werden die KI-gestützten Funktionen der NEXIS Plattform, etwa NICO für die IAM Governance Documentation, den Evidence Collector oder das Berechtigungsmanagement, über den Nexis AI Service ausgeführt. Mit Bring Your Own LLM laufen sie stattdessen auf einem vom Kunden betriebenen Sprachmodell, auf eigener Infrastruktur oder über einen Cloud-Endpunkt im Rahmen eines eigenen Vertrags. So lassen sich Modelle nutzen, die intern bereits hinsichtlich Datenresidenz, Beschaffung und KI-Richtlinien freigegeben sind.

• Betriebsmodus: Ein Mandant nutzt entweder Nexis AI oder das eigene Modell, ein automatischer Wechsel zwischen beiden findet nicht statt. Ist das eigene Modell nicht erreichbar, wird die jeweilige Anfrage nicht ausgeführt. Ist kein Modell konfiguriert, sind die KI-Funktionen deaktiviert.
• Einrichtung: Endpunkt und Zugangsdaten werden in der Credential-Verwaltung (Kategorie AI Model) registriert und im Vault abgelegt. Vor der Aktivierung prüft die NEXIS Plattform Erreichbarkeit, Antwortverhalten und ggf. Embeddings. Nach der Aktivierung nutzen alle bestehenden und künftigen KI-Funktionen das eigene Modell.
• Unterstützte Modelle: Standard-Chat- und Completion-Modelle ohne Fine-Tuning. Für Funktionen, die vor der Antwort auf Governance-Daten zugreifen (Retrieval), ist optional ein Embeddings-Endpunkt mit der von NICO erwarteten Dimensionalität erforderlich.
• Datenfluss und Nutzung: Identitäts- und Berechtigungsdaten werden ausschließlich an den registrierten Endpunkt übertragen. Die Nutzung wird nicht durch Nexis gemessen.

Verantwortlichkeiten und Bereitstellung:

• Die Prompts werden in beiden Modi von der NEXIS Plattform erzeugt. Beim Einsatz eines eigenen Modells liegen Modellverhalten und Output-Filterung in der Verantwortung des Kunden. Die Rollenverteilung von Anbieter und Betreiber nach EU AI Act verschiebt sich entsprechend.
• Den Konnektor für das jeweilige Modell implementiert Nexis auf Basis der vom Kunden bereitgestellten Angaben (Endpunkt, API, Authentifizierung). Registrierung und Aktivierung erfolgen anschließend durch den Kunden in der Oberfläche.

5. Integrationen

Die NEXIS Plattform stellt eine Reihe von Konnektoren zur Verfügung, um externe Systeme anzubinden und Identitäts-, Rollen- und Berechtigungsdaten zu importieren oder zu exportieren. Die Konnektoren unterstützen je nach Ausprägung Import-, Export- oder bidirektionale Synchronisationsszenarien und können sowohl für einmalige Datenübernahmen als auch für regelmäßige Abgleiche eingesetzt werden. Abhängig vom Konnektor werden unterschiedliche Datenformate, Protokolle und Schnittstellen unterstützt. Neben den in der Basisplattform enthaltenen Konnektoren stellt Nexis für weitere Systeme separat lizenzpflichtige Konnektoren zur Verfügung.

5.1. Standardkonnektoren (in der Basisplattform enthalten)

Tabelle 5: Standardkonnektoren

5.2. Lizenzpflichtige Konnektoren

Tabelle 6: Lizenzpflichtige Konnektoren

6. Lizenzierungshinweis

Für den Betrieb der NEXIS Plattform ist mindestens die NEXIS Basisplattform erforderlich. Die aufbauenden Module (Workflow, IAM Governance, Business) können einzeln oder kombiniert lizenziert werden. Feature Packs und separat lizenzpflichtige Konnektoren sind optional und erfordern eine gültige Lizenz der Basisplattform. Der Funktionsumfang richtet sich nach der jeweiligen Lizenzkonfiguration. Sämtliche Module und Erweiterungen unterliegen den Lizenz- und Nutzungsbedingungen der Nexis GmbH.

NEXIS Platform Module Description

Version 4.3

As of: October 22, 2026 | Status: Confirmed

1. Overview

With version 4.3, the NEXIS Platform offers a modular architecture consisting of the NEXIS Base Platform, three add-on functional modules, and optional feature packs and connectors. The new structure enables flexible licensing and precise scaling of functions as needed.

The NEXIS Platform is an Identity and Intelligence Platform (IVIP) that extends IAM infrastructures with AI-powered analytics, workflow automation, and real-time governance. It provides organizations with a centralized view of identities, roles, and permissions across all systems while supporting Identity Security Posture Management (ISPM), application onboarding, and AI-based permission optimization. The base platform provides customers with access to all core data management, analytics, administration, and system control functions.

The add-on modules expand this scope of functionality with specialized features in the areas of workflow management, IAM governance, and business design & user services. Optional supplementary feature packs enhance integration capabilities and operational efficiency.

2. NEXIS Base Platform

The NEXIS Base Platform forms the technical and functional foundation of the solution. It provides central services for data import, data schema management, authorization management, system monitoring, reporting, and corporate identity customization, as well as basic functions for analytics and data management.

In addition, the platform offers a unified administration interface through which all base components are managed. The NEXIS Base Platform is generally available both as a Software-as-a-Service (SaaS) solution and as an on-premises solution. The SaaS solution can be provided with either Standard or Premium SLAs. The base platform provides functionalities for fundamental use cases in the areas of role modeling, policy management, and data analysis.

Table 1: Functions of the NEXIS Base Platform

3. Modules of the NEXIS Platform

3.1. NEXIS Workflow Module

The NEXIS Workflow Module contains all functions for mapping and automating companyspecific approval and authorization processes. It enables the graphical modeling and execution of standard and customer-specific workflows, such as recertifications and request processes, based on the integrated workflow engine. Reusable workflow components such as notifications, delegation and escalation mechanisms, as well as the task dashboard for end users, support end-to-end process control. Additionally, functions for data synchronization, including delta processing, and AI-based support (NICO) for recertifications are available.

Table 2: Functions of the NEXIS Workflow Module

3.2. NEXIS Business Module

The NEXIS Business Module enables the creation of custom dashboards, end-user services, and analytical views. Using the integrated UI Designer, you can develop your own browser pages, forms, and navigation structures. The module supports best-practice templates as well as ordering portals for products, roles, and permissions.

Table 3: Functions of the NEXIS Business Module

3.3. NEXIS IAM Governance Module

The NEXIS IAM Governance Module provides all functions for the (decentralized) management, approval, and control of IAM documentation, optionally supported by the AI-based assistant NICO. The Application Onboarding Engine enables the structured presentation and knowledge gathering for applications that are to be connected to the IAM system. The SoD (Segregation of Duties) Engine provides all functionalities for the detective or preventive detection of SoD conflicts. The graphical SoD matrix serves to define, verify, and implement segregation policies and forms a central basis for compliance monitoring.

1 The configuration of browser pages remains available to all customers who licensed (purchased) the NEXIS Controle software (Governance Edition) prior to June 15, 2021.

Table 4: Functions of the NEXIS IAM Governance Module

4. Feature Packs

Feature packs can optionally be licensed to extend the standard functions. They increase the efficiency and integration capabilities of the NEXIS Platform.

4.1. NEXIS License Killer

The License Killer feature provides actionable insights into application usage to eliminate unnecessary licensing costs and optimize decisions throughout the application lifecycle. To this end, user access to “license-required” applications can be tracked over a defined period – either at the access level (e.g., by tracking authentication against the application) or at the permission level (e.g., by monitoring permission usage).

• Usage monitoring for cost reduction: Captures actual application usage to identify unused or underutilized licenses and uncover potential savings opportunities.
• Workflow integration: Supports remediation workflows to align with organizational requirements (requires the Workflow Module).
• Application discovery: Applications can be identified based on data from IGA systems or IDPs, enabling comprehensive license optimization across the entire environment.

Technical integration:

• Usage information can be imported from identity providers (IDPs), SIEM systems, or other telemetry sources.

2 The SoD functionality remains available to all customers who have continuously licensed the NEXIS Platform, including the former Governance Module (up to version 4.2), under a purchase or rental agreement prior to January 1, 2026.

• The data is collected per user account (e.g., an Entra ID account) and application (e.g., a business application managed in Entra ID) and then mapped to the identity and the corresponding local accounts.

4.2. NEXIS Microsoft Teams Integration

The Microsoft Teams integration allows notifications to be sent not only via email but also as Teams messages, as well as the transmission of simple approval decisions via Teams features.

Workflow integration modes:

• Direct approvals: Approval requests – such as the assignment of permissions – can be reviewed and confirmed directly in Microsoft Teams, with full auditability.
• Customizable notifications: Teams notifications can be individually configured to remind users of pending actions or invite them to work directly in the NEXIS Platform.

Technical integration:

• The integration requires a direct connection between the NEXIS Teams backend, hosted in the NEXIS SaaS environment, and the NEXIS Platform.
• The Microsoft Teams bot must be installed in the customer’s tenant and assigned to all relevant users.

4.3. NEXIS Evidence Collector

The NEXIS Evidence Collector shifts evidence collection from periodic audit preparation to continuous proof that controls actually work. Evidence requirements are defined centrally in the IAM Governance Documentation. Evidence such as screenshots, PDFs or exports is captured for the governed applications, services, controls and processes and validated by the AI assistant NICO against criteria defined by the customer.

• Central configuration: Multiple evidence requirements can be attached to each governed item, each with a working instruction for the end user, evaluation criteria and an optional validity period. Expired evidence is requested again automatically.
• Capture: Upload directly on the IAM Governance Documentation fields, via the Evidence Collector view, or with the optional browser plugin straight from the target system.
• AI-assisted evaluation: NICO reads the content, checks it against the defined criteria and returns a result (compliant/non-compliant), a confidence level and its reasoning. Above a configurable threshold, evidence is accepted automatically; below it, evidence is flagged for manual review.
• Audit-proof storage: Evidence is stored unchanged, time-stamped and protected against tampering. Every evaluation is recorded, audit reports can be produced at any time, and missing evidence remains visible as a gap.

Prerequisites and licensing:

• The Evidence Collector requires the NEXIS IAM Governance Module.
• The feature pack includes 200 processed pieces of evidence. Additional evidence is licensed in additional packages.

4.4. NEXIS Bring Your Own LLM

By default, the AI-assisted features of the NEXIS Platform, such as NICO for IAM Governance Documentation, the Evidence Collector or authorization management, run on the Nexis AI service. With Bring Your Own LLM, they run on a language model operated by the customer instead, either on the customer’s own infrastructure or via a cloud endpoint under the customer’s own contract. This allows the use of models that have already been approved internally with regard to data residency, procurement and AI policy.

• Operating mode: A tenant uses either Nexis AI or its own model; there is no automatic fallback between the two. If the customer’s model is unreachable, the respective request is not executed. If no model is configured, AI features are switched off.
• Setup: The endpoint and credentials are registered in Credential Management (category AI Model) and stored in the vault. Before activation, the NEXIS Platform verifies reachability, response behavior and, where needed, embeddings. Once activated, all existing and future AI features use the customer’s model.
• Supported models: Standard chat and completion models without fine-tuning. For features that read from governance data before answering (retrieval), an embeddings endpoint with the dimensionality expected by NICO is optionally required.
• Data flow and usage: Identity and entitlement data is sent exclusively to the registered endpoint. Usage is not metered by Nexis.

Responsibilities and provisioning:

• In both modes, prompts are built by the NEXIS Platform. When the customer’s own model is used, model behavior and output filtering are the customer’s responsibility. The allocation of provider and deployer roles under the EU AI Act shifts accordingly.
• Nexis implements the connector for the respective model based on the information provided by the customer (endpoint, API, authentication). Registration and activation are then performed by the customer in the user interface.

5. Integrations

The NEXIS Platform provides a range of connectors to integrate external systems and to import or export identity, role, and permission data. Depending on the connector, they support import, export, or bidirectional synchronization scenarios and can be used for both one-time data transfers and regular synchronizations. Depending on the connector, different data formats, protocols, and interfaces are supported. In addition to the connectors included in the base platform, Nexis provides separately licensed connectors for further systems.

5.1. Standard Connectors (included in the Base Platform)

Table 5: Standard connectors

5.2. Separately Licensed Connectors

Table 6: Separately licensed connectors

6. Licensing Note

The NEXIS Base Platform is required to operate the NEXIS Platform. The add-on modules (Workflow, IAM Governance, Business) can be licensed individually or in combination. Feature packs and separately licensed connectors are optional and require a valid base platform license. The scope of functionality depends on the respective license configuration. All modules and extensions are subject to the license and terms of use of Nexis GmbH.

Allgemeine Geschäftsbedingungen für Nexis QSEC - Software as a Service Solution

(die "Nexis QSEC Plattform AGB")

1. Allgemeines

1.1 Diese Nexis QSEC Plattform AGB der NEXIS GRC GmbH, Zimmerstraße 1, 22085 Hamburg (im Folgenden "Nexis") gelten für alle Verträge und Kunden hinsichtlich der Nutzung der SaaS Plattform Nexis QSEC für Identitätsmanagement, Berechtigungsanalyse, Rollenverwaltung und Compliance (die "Nexis Plattform") und damit im Zusammenhang stehende Leistungen.

1.2 Diese Nexis QSEC Plattform AGB finden ausschließlich bei solchen Verträgen Anwendung, die Nexis mit Unternehmen, Unternehmern, Kaufleuten, juristischen Personen des öffentlichen Rechts oder öffentlichen Sondervermögen schließt. Nexis bietet seine Leistungen ausdrücklich nicht gegenüber Verbrauchern im Sinne des § 13 BGB an.

1.3 Allgemeine Geschäftsbedingungen des Kunden werden nicht Bestandteil des Vertragsverhältnisses, es sei denn, Nexis stimmt deren Einbeziehung ausdrücklich zu. Dieses Zustimmungsbedürfnis gilt auch dann, wenn Nexis in Kenntnis der Allgemeinen Geschäftsbedingungen des Kunden die Leistungen vorbehaltlos ausführt.

1.4 Nexis ist berechtigt, die Nexis QSEC Plattform AGB im Laufe des Vertragsverhältnisses anzupassen. Eine solche Anpassung erfolgt durch die Übersendung neuer Nexis QSEC Plattform AGB in Textform an den Kunden nebst einem Begleitschreiben, dass auf die zukünftig geltenden Nexis QSEC Plattform AGB, den Zeitpunkt deren Geltung und das Widerspruchsrecht des Kunden ausdrücklich hinweist. Die durch Nexis angepassten Nexis QSEC Plattform AGB werden mit Ablauf einer Frist von 21 Kalendertagen, beginnend mit Zugang der angepassten Nexis QSEC Plattform AGB nebst Begleitschreiben beim Kunden, wirksam und ersetzen die bis zu deren Inkrafttreten geltenden Nexis QSEC Plattform AGB insgesamt. Der Kunde hat das Recht, der Einbeziehung und Geltung neuer, durch Nexis angepasster Nexis QSEC Plattform AGB innerhalb einer Frist von 14 Kalendertagen, beginnend mit Zugang der anpassten Nexis QSEC Plattform AGB und dem entsprechenden Begleitschreiben beim Kunden, zu widersprechen. Widerspricht der Kunde der Einbeziehung der angepassten Nexis QSEC Plattform AGB fristgemäß, so werden diese nicht Vertragsinhalt. Geht Nexis innerhalb der Widerspruchsfrist kein Widerspruch durch den Kunden zu und nutzt dieser die von Nexis bereitgestellten Leistungen weiterhin, gilt die Zustimmung des Kunden zur Einbeziehung der durch Nexis angepassten Nexis QSEC Plattform AGB als erteilt.

2. Vertragsschluss

2.1 Vor Abschluss des Vertrags lässt Nexis dem Kunden ein zeitlich beschränktes, verbindliches Angebot samt dazugehörigem Leistungsschein zukommen (zusammen, das "Angebot").

2.2 Im Angebot individuell vereinbarte Regelungen gehen den Regelungen in den Nexis QSEC Plattform AGB vor. Bei einem Konflikt zwischen den Regelungen in den AGB und dem Service Level Agreement ("SLA") gehen die Regelungen des SLAs vor.

2.3 Der Vertrag zwischen Nexis und dem Kunden über die im Angebot beschriebenen Leistungen kommt durch die Annahme des Angebots durch den Kunden zustande. Die Annahme kann entweder schriftlich oder elektronisch (soweit technisch verfügbar per elektronischer Unterschrift oder per E-Mail) erfolgen.

3. Leistungsgegenstand

Nach Maßgabe dieser Nexis QSEC Plattform AGB bietet Nexis dem Kunden folgende Leistungen an, wobei sich ergänzende Details hinsichtlich des Leistungs- und Funktionsumfangs aus dem jeweiligen Angebot ergeben:

3.1 Zugriff und Nutzung der Nexis Plattform. Hinsichtlich der Nutzung der Nexis Plattform gelten insbesondere ergänzend die Bedingungen aus Ziffer 4. Darüber hinaus erbringt Nexis im Rahmen der Bereitstellung der Nexis Plattform allgemeine Supportleistungen ("Standard Support Services"), welche in Ziffer 5 beschrieben sind.

3.2 Auf Wunsch des Kunden und gemäß gesonderter Beauftragung erbringt Nexis zudem erweiterte Supportleistungen im Zusammenhang mit der Nutzung der Nexis Plattform ("Premium Support Services", die Standard Support Services und die Premium Support Services zusammen die "Support Services"). Hinsichtlich der Erbringung der Premium Support Services gelten insbesondere die in Ziffer 5 beschriebenen Bedingungen.

3.3 Zusätzlich erbringt Nexis auf Wunsch des Kunden und gemäß gesonderter Beauftragung sonstige Leistungen und Services im Zusammenhang mit der Nexis Plattform, wie etwa das initiale Setup der Nexis Plattform beim Kunden; Consultingleistungen oder Anpassung der Funktionalität der Nexis Plattform auf die Bedürfnisse des Kunden (die "Professional Services"). Hinsichtlich der Erbringung von Professional Services gelten insbesondere ergänzend die Bedingungen aus Ziffer 6.

4. Besondere Bedingungen für die Nutzung der Nexis Plattform

4.1 Allgemein

4.1.1 Der Zugang zur Nexis Plattform und sämtliche darin enthaltenen Informationen sind, abgesehen von Daten von Kunden, das geistige Eigentum von oder lizenziert an Nexis. Der Umfang der Rechteeinräumung an der Nexis Plattform gegenüber dem Kunden ergibt sich aus Ziffer 4.2

4.1.2 Vertragsgegenstand ist ausdrücklich nicht der Quellcode der der Nexis Plattform zugrundeliegenden Software und die Überlassung des Quellcodes zur Nutzung durch den Kunden.

4.1.3 Nexis ist berechtigt, die Nexis Plattform im Rahmen von Wartung, Support und regulärer Weiterentwicklung mittels Patches, Updates, Upgrades und neuen Releases zu ändern und/oder anzupassen, sofern und soweit dies technisch oder aufgrund geänderter, rechtlicher Rahmenbedingungen oder zur Schließung von Sicherheitslücken notwendig ist und/oder die Software funktional und/oder technisch verbessert. Solche Änderungen und Anpassungen sind in jedem Falle nur dann zulässig, wenn sie dem Kunden unter Berücksichtigung seiner Interessen zumutbar sind. Für solche Weiterentwicklungen der Nexis Plattform gilt das in Ziffer 4.2 geregelte Nutzungsrecht entsprechend.

4.1.4 Der Kunde hat keinen Anspruch auf Anpassung der Nexis Plattform wegen nicht im Lizenzumfang enthaltener, ihn treffender gesetzlicher Änderungen. In einem derartigen Fall wird die Anpassung nur bei ausdrücklicher Beauftragung im Rahmen von Professional Services vorgenommen.

4.1.5 Die ordnungsgemäße Nutzbarkeit der Nexis Plattform ist nur möglich, sofern der Kunde die aktuellen Systemvoraussetzungen vorhält, wie zum Beispiel die Verwendung aktueller Browser oder für den Betrieb des Connectivity Proxy auf den Systemen des Kunden. Die aktuellen Systemvoraussetzungen werden dem Kunden auf Nachfrage hin von Nexis mitgeteilt, sind im Leistungsschein enthalten oder auf der Webseite von Nexis veröffentlicht. Es obliegt dem Kunden, sich selbstständig darüber zu informieren.

4.1.6 Nexis ist berechtigt aber nicht verpflichtet, kundenspezifische Anpassungen hinsichtlich der Standardfunktionalität in die Nexis Plattform aufzunehmen. Solche etwaigen Anpassungen sind Gegenstand der Professional Services.

4.1.7 Nexis weist hiermit darauf hin, dass durch den vertragsgemäßen Einsatz der Nexis Plattform eine Nachlizenzierung von Drittsoftware notwendig werden kann. Hierfür anfallende Mehrkosten trägt der Kunde.

4.1.8 Sofern dem Kunden über die Nexis Plattform (bzw. einzeln hinzubuchbare Module) bestimmte Vorlagen (z.B. Templates oder Best-Practice-Empfehlungen) zur Verfügung gestellt werden, stellen diese lediglich eine unverbindliche Empfehlung und keine Rechtsberatung dar. Entsprechende Vorlagen sind vom Kunden daher selbst juristisch zu prüfen.

4.2 Lizenzbedingungen

4.2.1 Nexis räumt dem Kunden ein einfaches, widerrufliches, nicht übertragbares und nicht unterlizenzierbares Recht ein, die Nexis Plattform für eigene Geschäftszwecke im Zusammenhang mit dem Vertragsgegenstand zu nutzen. Dieses Nutzungsrecht ist zeitlich auf die Dauer des Vertrags beschränkt und bezieht sich ausschließlich auf den während der Vertragslaufzeit von Nexis jeweils bereitgestellten aktuellen Stand und Umfang der Nexis Plattform. Der Kunde erhält keine darüberhinausgehenden Rechte, beispielsweise an den der Nexis Plattform zugrundeliegenden Softwareapplikationen oder Betriebssoftware. Mit Ausnahme der in dieser Ziffer 4.2 getroffenen Regelungen oder sofern nicht anderweitig schriftlich vereinbart, darf der Kunde die Nexis Plattform nur (i) für seine eigenen geschäftlichen Zwecke, (ii) durch eigene Mitarbeiter und (iii) für die im Angebot angegebene maximale Anzahl von Lizenzen und Lizenzierungsvariante (siehe Ziffer 4.2.3) nutzen.

4.2.2 Die Nexis Plattform wird mit verschiedenen Modulen und jeweils unterschiedlichem Funktionsumfang angeboten. Im Angebot ist angegeben, welche Module der Nexis Plattform vom Kunden lizenziert sind. Zudem ergibt sich hieraus eine Übersicht der Module und deren Funktionsumfang.

4.2.3 Berechnungsgrundlage für die Anzahl der Lizenzen zur Nutzung der Nexis Plattform ist die Gesamtmitarbeiteranzahl (interne und externe Mitarbeiter) des Kunden sowie die im Angebot genannten Editionen, Module und Inhalte.

4.2.4 Der Kunde ist berechtigt, Mitarbeitern von verbundenen Unternehmen im Sinne von § 15 AktG im Rahmen des vereinbarten Lizenzmodells (Ziffer 4.2.3) Zugang zur Nexis Plattform einzuräumen, sofern dies im Angebot vereinbart und das verbundene Unternehmen konkret benannt wurde. Lediglich klarstellend halten die Parteien fest, dass auch das Nutzerverhalten von Mitarbeitern verbundener Unternehmen dem Kunden, insbesondere mit Hinblick auf eine etwaige Haftung des Kunden, zugerechnet werden.

4.2.5 Andere als die in dieser Ziffer 4.2 beschriebene Nutzungsarten sind nicht vom Nutzungsrecht umfasst. Insbesondere darf die der Zugang zur Nexis Plattform nicht gegenüber Dritten zugänglich gemacht werden.

4.2.6 Jede Nutzung der Nexis Plattform durch den Kunden über das vereinbarte Maß hinaus, insbesondere mit mehr als im Angebot angegebenen Lizenzen, gilt als vertragswidrige Handlung. In diesem Fall ist der Kunde verpflichtet, die Übernutzung unverzüglich mitzuteilen und mit Nexis eine Vereinbarung zur Nachlizenzierung (mit angemessener Vergütung) auf Basis der gültigen Preislisten von Nexis zu treffen. Eventuelle urheberrechtliche Ansprüche von Nexis bleiben hiervon unberührt. Diese Regelung gilt insbesondere auch, wenn der Zugang zur Nexis Plattform von einem Partner von Nexis an den Kunden vermittelt wurde.

4.3 Verfügbarkeit, Übergabepunkt

4.3.1 Nexis schuldet die Bereitstellung des Zugangs zur Nexis Plattform am Übergabepunkt. Übergabepunkt ist die Datenschnittstelle des Rechenzentrums von Nexis bzw. des von Nexis beauftragten Dienstleisters zur Bereitstellung eines Rechenzentrums (z.B. AWS), auf dem die Nexis Plattform betrieben wird.

4.3.2 Die Anbindung des Kunden an das Internet ist nicht Gegenstand des Vertrags, sondern obliegt dem Verantwortungsbereich des Kunden.

4.3.3 Die Verantwortlichkeit von Nexis für die Verfügbarkeit der Nexis Plattform endet am Übergabepunkt. Nexis gewährleistet die Verfügbarkeit der Nexis Plattform gemäß den Ausführungen im SLA.

4.4 Datenverwendung und -löschung

4.4.1 Mit Beendigung des Vertragsverhältnisses ist Nexis berechtigt, sämtliche vom Kunden auf die Nexis Plattform übertragene Daten und Informationen ersatzlos zu löschen. Spätestens vier (4) Wochen vor Beendigung des Vertragsverhältnisses informiert Nexis den Kunden über diese anstehende Löschung. Auf Nachfrage des Kunden hin unterbreitet Nexis ein Angebot auf Migration bzw. Unterstützung bei der Migration der auf der Nexis Plattform befindlichen Daten des Kunden auf ein anderes, vom Kunden zu benennendes System, soweit dies für Nexis zumutbar ist und die Übertragung in einem Nexis bekannten Datenformat und technischen Übertragungsweg erfolgen soll. Kündigt Nexis das Vertragsverhältnis außerordentlich fristlos aus wichtigem Grund, so verschafft Nexis dem Kunden auf dessen Aufforderung hin und für einen Zeitraum von höchstens drei (3) Monaten, nach Vertragsbeendigung die Möglichkeit, seine Daten in geeignetem Format zu exportieren, wobei der Kunde die dahingehenden Aufwände von Nexis gemäß der zuletzt vereinbarten Stunden- und Tagessätze aufwandsbezogen vergütet; Nexis ist in diesem Falle berechtigt, die voraussichtlich anfallenden Kosten als Vorschuss vom Kunden zu verlangen.

4.4.2 Treffen Nexis Aufbewahrungspflichten, so ist Nexis berechtigt, die entsprechenden Daten und Informationen für die Dauer der Aufbewahrungspflicht zu speichern und zu verarbeiten. Mit Ablauf der Dauer der Aufbewahrungspflicht löscht Nexis die betreffenden Daten und Informationen insgesamt; die Regelung in vorstehender Ziffer 4.4.1 bleibt hiervon unberührt.

4.4.3 Übertragungsdaten aus Echtzeitkommunikation werden von Nexis bei Bedarf zu Zwecken der Fehlererkennung (sog. Debugging) für maximal 12 Monate erhoben und gespeichert.

4.4.4 Der asynchrone Datenaustausch über Standardschnittstellen mit Drittsystemen wird nur bei Bedarf und maximal für 12 Monate zu Zwecken der Fehlererkennung (sog. Debugging) erhoben und gespeichert.

5. Besondere Bedingungen für Support Services

Im Rahmen der Lizenzierung der Nexis Plattform gemäß Ziffer 4 erbringt Nexis auch Standard Support Services, deren Umfang sich aus dem Leistungsschein, dem SLA, als auch aus der Beschreibung in dieser Ziffer 5 ergibt.

5.1 Die Bereitstellung der Support Services bezieht sich ausschließlich auf die jeweils aktuelle Version der Nexis Plattform und etwaige damit verbundene Software.

5.2 Die Support Services umfassen die Beseitigung von Fehlern und das Bereitstellen von Updates (entspricht dem Bereitstellen einer neuen Nebenversion) und Upgrades (entspricht dem Bereitstellen einer neuen Hauptversion) der Nexis Plattform.

5.3 Die Beseitigung von Störungen und Schäden, die durch unsachgemäße Nutzung der Nexis Plattform durch den Kunden, fehlerhaftes Nutzerverhalten, durch Einwirkung Dritter oder durch höhere Gewalt verursacht werden, sind nicht Gegenstand der Support Services. Sie können aber im Einzelfall gegen gesonderte Vergütung vereinbart werden.

5.4 Nicht Gegenstand der Support Services ist zudem die Pflege der Hardware, von Drittsoftware (z.B. Betriebssystem, betriebssystemnahe Software) und von Veränderungen, die durch den Kunden oder Dritte vorgenommen werden, um die Interoperabilität der Nexis Plattform mit Drittsoftware herzustellen (z.B. Schnittstellen zu anderen Softwareprodukten).

5.5 Sonstige Leistungen im Zusammenhang mit der Nexis Plattform, insbesondere ein Hotline-Service für Fragen des Kunden zur Nexis Plattform, Installations- und Konfigurationsleistungen, Customizing und/oder Schulungsmaßnahmen sind nicht Gegenstand der Support Services.

5.6 Der Kunde kann Support Services nach diesen Bedingungen nur für alle von ihm erworbenen Lizenzen für die Nexis Plattform in Anspruch nehmen. Die Inanspruchnahme der Support Services nur für einen Teil der erworbenen Lizenzen ist nicht möglich.

5.7 Der Kunde ist berechtigt, den Support von Nexis zur Meldung von Störungen, Betriebseinschränkungen und Funktionsbeeinträchtigungen der Nexis Plattform zu kontaktieren.

5.8 Für jede Anfrage oder Meldung an den Support von Nexis eröffnet dieser ein qualifiziertes Support Ticket (das "Support Ticket").

5.9 Die Bearbeitung von Support Tickets erfolgt ausschließlich in deutscher oder englischer Sprache.

5.10 Der Support steht grundsätzlich an Werktagen am Standort Regensburg von Nexis von 9:00 - 17:00 Uhr zur Verfügung ("Supportzeiten"). Die Annahme und Bearbeitung von Support Tickets erfolgt ausschließlich innerhalb der Supportzeiten. Hiervon abweichende Supportzeiten können individuell vereinbart werden.

5.11 Der Kunde kann Support-Tickets über das durch Nexis bereitgestellte Ticket-System öffnen und an Nexis versenden.

5.12 Nexis informiert den Kunden über Eingang sowie Erledigung der Support Tickets. Dies kann auch in Form einer automatisch generierten E-Mail aus dem System erfolgen.

5.13 Ausschließlich Key-User sind berechtigt, den Support von Nexis zu kontaktieren. Der Kunde ist berechtigt, bis zu zwei Key-User zeitgleich zu benennen. Key-User sind die vom Kunden mitgeteilten Anfrageberechtigten aus der Sphäre des Kunden. Der Kunde übergibt Nexis nach Vertragsschluss eine Liste der Key-User, die Nexis in die Lage versetzt, Key-User als solche zu identifizieren.

5.14 Der Kunde ist jederzeit berechtigt, die Liste der von ihm bestimmten Key-User zu aktualisieren. Eine vom Kunden übermittelte, aktualisierte Liste wird mit Beginn des Monats für Nexis verbindlich, der auf den Monat folgt, in dessen Verlauf die aktualisierte Liste vom Kunden vorgelegt wurde.

5.15 Nexis rechnet den Preis für die Bearbeitung von Support Tickets aufwandsbezogen und in einer Taktung von 15 Minuten ab, sofern vertraglich nicht anders vereinbart. Die Stundensätze für die Erbringung von Support Services ergeben sich aus dem Angebot.

5.16 Nexis ist berechtigt, auf ausdrücklichen Kundenwunsch außerhalb der Supportzeiten bearbeitete Support Tickets mit dem Faktor 2,5 zu berechnen

5.17 Eröffnet der Kunde bzw. ein Key-User ein Support Ticket zur Meldung von Störungen, Betriebseinschränkungen und Funktionsbeeinträchtigungen der Nexis Plattform und/oder des Systems, die Nexis nicht im Rahmen der Gewährleistung zu beseitigen hat, so ist Nexis berechtigt, je Support Ticket die tatsächlich angefallenen und im Rahmen der Prüfung, Erkennung und/oder Beseitigung des gemeldeten Sachverhalts entstanden Aufwendungen, unabhängig hiervon jedoch mindestens eine pauschale Bearbeitungsgebühr in Höhe von EUR 250 zu verlangen. Hinsichtlich der pauschalierten Bearbeitungsgebühr bleibt dem Kunden der Nachweis vorbehalten, dass kein oder nur ein wesentlich geringerer Schaden entstanden ist.

5.18 Die Parteien können gemäß Angebot vereinbaren, dass der Kunde gegen Zahlung eines zusätzlichen Entgelts Premium Support Services bucht, welche im Vergleich zu den allgemeinen Supportleistungen einen erweiterten Leistungsumfang und andere Reaktionszeiten beinhalten. Details ergeben sich aus Angebot und dem SLA.

6. Besondere Bedingungen für Professional Services

6.1 Allgemein

6.1.1 Bei den Professional Services handelt es sich grundsätzlich um Dienstverträge, sofern sich aus der Natur des Vertrags nicht ausdrücklich etwas anderes ergibt. Sofern im Rahmen der Professional Services ausnahmsweise Werkleistungen erbracht werden, gelten ergänzend die nachfolgenden Bestimmungen von Ziffer 6.2 -6.6

6.1.2 Die im Rahmen der Professional Services von Nexis zu erbringenden Leistungen ergeben sich aus dem Angebot.

6.1.3 Die Vergütung erfolgt, sofern nicht anderweitig schriftlich vereinbart nach Aufwand (Time and Material). Die Abrechnung erfolgt im 15-Minuten Takt.

6.1.4 Zur Vereinfachung werden alle Kurztätigkeiten (<15 Minuten Dauer) nicht einzeln, sondern über einen Sammelposten (Verwaltungspauschale) in Höhe von 7% der geleisteten Stunden eines Monats abgerechnet. Sollte dies nicht gewünscht sein, muss der Kunde dies gegenüber Nexis bei Vertragsschluss hinsichtlich der Professional Services mitteilen. In diesem Fall werden alle Kurztätigkeiten (jeweils aufgerundet auf 15 Minuten Dauer) einzeln verrechnet.

6.1.5 Ein etwaig vereinbartes Gesamtkontingent kann unter Berücksichtigung entsprechender Vorlaufzeiten bei Nexis flexibel über eine Projektlaufzeit abgerufen werden. Eine Abnahmeverpflichtung des Kunden hinsichtlich eines vereinbarten Gesamtkontingents besteht nicht.

6.1.6 Der Kunde ist verpflichtet, vor vereinbartem Beginn der Professional Services gegenüber Nexis schriftlich (E-Mail ausreichend) einen Ansprechpartner für die Erbringung der Professional Services und eine etwaige Projektkommunikation auf Seiten des Kunden zu benennen. Über diesen Kommunikationskanal vereinbaren die Parteien insbesondere zeitliche Ablaufpläne zur Erbringung der Professional Services oder im Rahmen eines konkreten Projekts.

6.2 Abnahme von Werkleistungen

6.2.1 Nexis zeigt dem Kunden die Abnahmereife von Werkleistungen schriftlich (E-Mail ausreichend) an.

6.2.2 Der Kunde beginnt unmittelbar nach Erhalt der Mitteilung über die Abnahmereife mit der Abnahmeprüfung.

6.2.3 Der Kunde stellt die für die Abnahmeprüfung erforderlichen Daten und Geräte unentgeltlich und im erforderlichen Umfang zur Verfügung.

6.2.4 Der Kunde darf die Abnahme nicht wegen unwesentlichen Mängeln verweigern. Unwesentliche Mängel sind insbesondere solche von eher kosmetischer Art, welche nicht zu einer Beeinträchtigung der Funktion führen, oder Mängel, die beim Layout auftreten, welche die Benutzung des Systems oder der Nexis Plattform durch den Nutzer nicht wesentlich behindern

6.2.5 Die abzunehmende Leistung gilt als abgenommen, wenn

• der Kunde die Durchführung der Abnahmeprüfung oder die Unterzeichnung bzw. Anfertigung des Protokolls ohne nachvollziehbare Begründung, insbesondere ohne Beschreibung abnahmehindernder Mängel verweigert, oder
• der Kunde nicht innerhalb einer angemessenen Frist gegenüber Nexis abnahmehindernden Mängel mitteilt, wobei eine angemessene Frist grundsätzlich vier Wochen beträgt, sofern von Nexis keine abweichende Frist mitgeteilt wird, oder
• der Kunde nach Erhalt der Mitteilung über die Abnahmereife der abzunehmenden Werkleistung diese für einen Zeitraum von insgesamt mehr als zwölf (12) Wochen produktiv nutzt.

6.2.6 Ist nach der Beschaffenheit der Werkleistung die Abnahme ausgeschlossen, so tritt an die Stelle der Abnahme die Vollendung der Leistung.

6.2.7 Im Falle von Teilabnahmen ist Nexis berechtigt, weitere Teilleistungen zurückzuhalten, wenn der Kunde mit der Abnahme von Teilleistungen oder mit der Bezahlung abgenommener Teilleistungen in Verzug ist. Vereinbarte Fixtermine verlängern sich automatisch um den Zeitraum einer solchen berechtigten Zurückbehaltung.

6.2.8 Nexis ist berechtigt, vom Kunden Teilabnahmen über vertragsgemäß erbrachte Teilleistungen zu verlangen. Für diese Teilabnahmen gelten die Regelungen von Ziffer 6.2 entsprechend. Teilabnahmen stehen unter dem Vorbehalt der Gesamtabnahme. Gleichwohl kann der Kunde die Gesamtabnahme nicht aufgrund von Mängeln verweigern, die im Rahmen einer Teilabnahmeprüfung offensichtlich waren oder vom Kunden hätten erkannt werden müssen, dieser aber dennoch die Abnahme erklärte.

6.3 Ansprüche des Kunden bei Sachmängeln

6.3.1 Der Kunde hat angemessene Fristen zur Mangelbeseitigung einzuräumen.

6.3.2 Im Rahmen der Nacherfüllung wählt Nexis zwischen Nachbesserung oder Neulieferung.

6.3.3 Nach einem erfolglosen Nacherfüllungsversuch ist Nexis zumindest ein weiterer Nacherfüllungsversuch zu gestatten, es sei denn, Nexis verweigert die Nacherfüllung ernsthaft und endgültig.

6.3.4 Alle Mängelrügen und Nacherfüllungsverlangen werden nach Möglichkeit mit nachvollziehbaren Schilderungen der Mangelsymptome schriftlich und unter Übergabe anzufertigender schriftlicher Aufzeichnungen, Hartkopien oder sonstiger die Mängel veranschaulichender Unterlagen erfolgen.

6.3.5 Das Recht zur Selbstvornahme gemäß §§ 634 Nr. 2, 637 BGB ist ausgeschlossen.

6.3.6 Die Minderung der Vergütung um insgesamt mehr als 50% ist nicht zulässig.

6.3.7 Mängelansprüche erstrecken sich nicht auf Arbeitsergebnisse und Leistungen von Nexis, die der Kunde oder ein Dritter im Auftrag des Kunden ohne Zustimmung von Nexis ändert. Dies gilt nicht, wenn der Kunde nachweist, dass diese Änderung für den gegenständlichen Mangel nicht ursächlich ist.

6.4 Systemkompatibilität

6.4.1 Ist Gegenstand der Professional Services die Erstellung oder Überlassung einer Webanwendung oder Softwareanwendung durch Nexis, so schuldet Nexis deren Funktionsfähigkeit nur für die ausdrücklich vereinbarten Betriebssysteme, Browsertypen und Versionen.

6.4.2 Ist eine korrekte Wiedergabe einer zu erstellenden und/oder zu überlassenden Webanwendung mittels einer der vereinbarten Browserversionen allein aufgrund der Nichteinhaltung der Konventionen der W3C oder eines Programmierfehlers seitens des Browserherstellers nicht möglich und hat Nexis diesen Umstand nicht zu vertreten, so stellt dies keinen Sachmangel dar und Nexis ist nicht verpflichtet, die betreffende Webanwendung zu ändern oder anzupassen.

6.4.3 Nexis weist den Kunden hiermit ausdrücklich darauf hin, dass die Lauffähigkeit bzw. Funktionalität der Webanwendung beeinträchtigt oder vollständig beseitigt werden kann, sofern die vereinbarten Betriebssysteme und Browserversionen durch neue Releases, Updates, Upgrades oder Folgeversionen dieser Programme verändert, überholt oder abgelöst werden.

6.5 Change Request

6.5.1 Die Parteien sind jederzeit berechtigt, der jeweils anderen Partei für den im Rahmen der Professional Services vereinbarten Leistungsgegenstand abweichende Eigenschaften oder Anforderungen vorzuschlagen ("Change Request").

6.5.2 Nach Eingang einer entsprechenden Anfrage des Kunden schätzt Nexis die Aufwände zur fachlichen, technischen und organisatorischen Umsetzung der Anfrage des Kunden und unterbreitet zugleich ein Angebot zum Abschluss eines entsprechenden Change Requests.

6.5.3 Nexis teilt dem Kunden den Abschluss der Anpassungsleistungen gemäß eines Change Requests mit.

6.5.4 Während der Verhandlung eines Change Request leistet Nexis gemäß den geltenden Abreden weiter. Wünscht der Kunde die vorübergehende Einstellung der vertragsgemäßen Leistungserbringung bis zum Abschluss der Verhandlungen, so gilt Ziffer 10.1.5 entsprechend.

6.5.5 Aufgrund der Durchführung eines Change Request anfallende Mehraufwände von Nexis sind vom Kunden zusätzlich und aufwandsbezogen zu vergüten. Nexis und der Kunde werden sich vor Durchführung des Change Requests über die erwartenden Mehrkosten abstimmen.

6.6 Schutzrechte

Soweit im Rahmen der Professional Services geistige Schutzrechte von Nexis geschaffen werden, richtet sich die Rechteeinräumung an etwaigen Arbeitsergebnissen vorbehaltlich einer abweichenden schriftlichen Vereinbarung nach Ziffer 4.2. Lediglich klarstellend halten die Parteien fest, dass, sofern nicht abweichend vereinbart, im Rahmen der Professional Services entwickelten Modifikationen an der Nexis Plattform nicht als individuell für den Kunden erstellte Softwarekomponenten gelten und Nexis jederzeit berechtigt ist, diese Anpassungen, in den Standardfunktionsumfang der Nexis Plattform zu überführen und auch gegenüber anderen Kunden von Nexis anzubieten.

7. Allgemeine Grundsätze der Leistungserbringung durch Nexis

7.1 Nexis erbringt die vertragsgemäßen Leistungen gemäß dem jeweils aktuellen Stand der Technik.

7.2 Nexis überlässt dem Kunden zur Nexis Plattform und etwaiger im Rahmen von Professional Services entwickelte Software eine Benutzerdokumentation (Anwenderleitfaden) in digitaler Form in deutscher Sprache, die sich an einen fachkundigen IT-Nutzer adressiert. Weitere Dokumentation ist nicht geschuldet.

7.3 Nexis setzt ausschließlich qualifizierte und zuverlässige Mitarbeiter ein und verwendet bewährte Verfahren und Werkzeuge, deren Eignung Nexis bekannt ist.

7.4 Nexis entscheidet nach eigenem, pflichtgemäßem Ermessen, welche Mitarbeiter zur vertragsgemäßen Leistungserbringung eingesetzt oder ausgetauscht werden. Die Weisungsbefugnis bezüglich der eingesetzten Mitarbeiter liegt und verbleibt ausschließlich bei Nexis.

7.5 Nexis ist berechtigt, Ort, Arbeitszeit und Arbeitsablauf selbst zu bestimmen, berücksichtigt jedoch die gegebenen Verhältnisse und sachlich begründeten Erfordernisse insoweit, als es die ordnungsgemäße Durchführung des Vertragsverhältnisses erfordert.

7.6 Nexis ist nicht verpflichtet, die Vereinbarkeit der vom Kunden gestellten, inhaltlichen Anforderungen an die von Nexis zu erbringenden Leistungen mit geltenden gesetzlichen Bestimmungen, insbesondere wettbewerbsrechtlichen, datenschutzrechtlichen und verbraucherschutzrechtlichen Bestimmungen, sowie Verstößen gegen das Marken- und Patentrecht zu prüfen. Die Verantwortung hierfür liegt und verbleibt beim Kunden. Gleichwohl weist Nexis den Kunden auf Rechtsbrüche hin, sobald Nexis solche zur Kenntnis nimmt und der Hinweis selbst keine Pflichtverletzung seitens Nexis darstellt.

7.7 Beratungspflichten von Nexis bestehen nur, soweit solche ausdrücklich vereinbart sind.

7.8 Leistungen von Nexis gelten nur insofern und insoweit als garantiert, wie das Wort "Garantie" oder "garantierte Leistung" ausdrücklich und in deren Zusammenhang fällt. Insbesondere im SLA oder im Rahmen von Support Services oder Professional Services vereinbarte Leistungen stellen keine Garantien dar.

7.9 Leistungs- und Erfüllungsort ist der Hauptgeschäftssitz von Nexis.

7.10 Relative und/oder absolute Fixtermine sind nur solche, die ausdrücklich als "Fixtermin" oder "Fixtermine" oder mit einer ähnlichen und gleichbedeutenden Bezeichnung bezeichnet sind.

7.11 Die Sicherung von Daten des Kunden liegt grundsätzlich im Verantwortungsbereich des Kunden, sofern nicht abweichend, z.B. im Rahmen von Premium Support Services, vereinbart.

7.12 Der Kunde ist verpflichtet, sämtliche auf ihn anwendbaren außenwirtschaftsrechtlichen Bestimmungen zu beachten und keine Verbindungen zu Personen und Organisationen aufzunehmen und/oder zu unterhalten, gegen die restriktive Maßnahmen zur Bekämpfung des Terrorismus oder andere außenwirtschaftliche Sanktionen verhängt wurden bzw. werden.

7.13 Die Leistungen und Lieferungen von Nexis stehen unter dem Vorbehalt der Selbstbelieferung, bedingt auf den Umstand, dass Nexis an dem temporären oder dauerhaften Ausfall der Selbstbelieferung kein zumindest grob fahrlässiges Verschulden trifft. Nexis informiert den Kunden über einen solchen Ausfall möglichst vorab, zeitnah und schriftlich.

7.14 Sind vertragsgemäße Leistungen auf verschiedene technische Arten und/oder mit verschiedenen technischen Mitteln umsetzbar, so entscheidet Nexis über Art und Mittel nach billigem Ermessen. Eine solche Entscheidung muss die Interessen des Kunden berücksichtigen und diesem zumutbar sein.

8. Laufzeit und Kündigung

8.1 Zugriff auf die Nexis Plattform

8.1.1 Vorbehaltlich einer anderweitigen schriftlichen Vereinbarung, wird ein Vertrag über die Nutzung der Nexis Plattform für eine feste Laufzeit von sechsunddreißig (36) Monaten geschlossen.

8.1.2 Unberührt bleibt das Recht beider Parteien zur fristlosen Kündigung aus wichtigem Grund, insbesondere wenn die andere Partei nachhaltig gegen wesentliche Vertragspflichten verstößt und den Verstoß trotz Abmahnung mit angemessener Fristsetzung nicht fristgerecht beseitigt, oder wenn bei der anderen Partei eine wesentliche Vermögensverschlechterung oder - gefährdung eintritt. Darüber hinaus ist Nexis zur fristlosen Kündigung berechtigt, wenn der Kunde in zwei (2) aufeinander folgenden Monaten oder in einem Zeitraum von mehr als zwei (2) Monaten mit der Bezahlung in Höhe von insgesamt zwei (2) Monatsvergütungen in Verzug kommt.

8.2 Support Services

8.2.1 Die Laufzeit der im Zusammenhang mit der Bereitstellung der Nexis Plattform angebotenen Standard Support Services ist identisch zur Laufzeit des Vertrags über die Nutzung der Nexis Plattform. Auch die Laufzeit etwaiger vom Kunden gebuchten Premium Support Services ist, sofern nicht abweichend schriftlich vereinbart, mit der Laufzeit des Vertrags über die Nutzung der Nexis Plattform identisch.

8.2.2 Das Recht zur außerordentlichen Kündigung bleibt hiervon unberührt.

8.2.3 Sofern ein Vertrag über die Premium Support Services gemeinsam mit dem Vertrag über die Nutzung der Nexis Plattform geschlossen wird, so beginnt die Leistungserbringung mit Bereitstellung der Zugangsdaten zur Nexis Plattform gegenüber dem den Kunden. Sofern nicht abweichend im Angebot vereinbart, beginnt die Pflicht zur Entrichtung der vereinbarten Wartungs- und Supportpauschale beginnt mit Ablauf einer Frist von zwei (2) Monaten, beginnend mit Abschluss des Nexis Plattform Vertrags.

8.2.4 Ist (auch) Support von Drittsoftware Gegenstand der Premium Support Services und kündigt der Hersteller dieser Drittsoftware das sog. "End-of-Life" des herstellerseitigen Supports der betreffenden Drittsoftware an, so ist Nexis berechtigt, Premium Support Services, bezogen auf die betreffende Drittsoftware, ohne Einhaltung einer Kündigungsfrist und mit Wirkung zu dem vom betreffenden Hersteller als "End-of-Life" genannten Termin zu kündigen (außerordentliches Sonderkündigungsrecht). Liegt die aufgrund Geltendmachung dieses Sonderkündigungsrechts erfolgende Beendigung von Premium Support Services, bezogen auf die betreffende Drittsoftware, vor dem Ablauf der Vertragslaufzeit, für die der Kunde bereits eine Vergütung an Nexis bezahlt hat, so erstattet Nexis die Vergütung für Premium Support Services entsprechend zeitanteilig an den Kunden zurück.

8.2.5 Läuft ein Herstellersupport eines Dritten aus (sog. end-of-life), den Nexis bezieht und benötigt, um die vertragsgegenständlichen Premium Support Services zu erbringen, so ist Nexis berechtigt,

• den Supportvertrag insgesamt unter Einhaltung einer Kündigungsfrist von 30 Kalendertagen zu kündigen,
• die vertragsgegenständlichen Premium Support Services, die vom betreffenden end-of-life betroffen sind, unter Einhaltung einer Kündigungsfrist von 30 Kalendertagen anteilig zu kündigen oder
• eine Anpassung des Supportvertrags oder der Premium Support Services dahingehend zu verlangen, dass durch den betreffenden end-of-life keine Nicht- und/oder Schlechtleistungen durch Nexis entstehen.

8.2.6 Das Kündigungsrecht gemäß vorstehenden Ziffer 8.2.5 entsteht mit Ankündigung des end-of-life durch den Hersteller.

8.3 Professional Services

8.3.1 Sofern es sich bei den Professional Services um Dienstleistungen handelt schuldet der Kunde eine Vergütung für alle bereits erbrachten Leistungen.

8.3.2 Sofern die im Rahmen von Professional Services erbrachten Leistungen ausnahmsweise als Werkleistungen gelten, so finden in Abweichung zu den gesetzlichen Bestimmungen die in dieser Ziffer 8.3.2 getroffenen Regelungen Anwendung:

a) Bezüglich § 648 S. 3 BGB gilt, dass Nexis fünfzehn (15) vom Hundert der auf den noch nicht erbrachten Teil der Werkleistung entfallenden vereinbarten Vergütung zustehen. Dieser pauschalisierte Anspruch steht Nexis nicht zu, sofern und soweit der Kunde nachweist, dass der nach § 648 BGB Nexis zustehende Betrag wesentlich geringer ist oder Nexis kein Vergütungsanspruch zusteht.

b) Kündigt der Kunde im Rahmen eines typengemischten Vertrags Werkleistungen gemäß § 648 BGB, so bleibt der Vertrag im Übrigen von dieser Kündigung unberührt. Kündigt Nexis im Rahmen eines typengemischten Vertrags Werkleistungen gemäß § 643 BGB, so bleibt der Vertrag im Übrigen von dieser Kündigung unberührt.

9. Vergütung

9.1 Leistungen von Nexis sind vom Kunden gemäß Angebot zu vergüten.

9.2 Sämtliche von Nexis ausgewiesenen Tagessätze, Stundensätze, Preise und Vergütungen verstehen sich jeweils zuzüglich anfallender, gesetzlicher Umsatzsteuer und gegebenenfalls anfallender Zölle und sonstiger Abgaben. Die Berechnung der Besteuerung erfolgt gemäß den gesetzlichen Vorgaben für den innergemeinschaftlichen Erwerb in der EU.

9.3 Nexis stellt die vertragsgemäßen Vergütungsansprüche ordentlich in Rechnung. Nexis ist zur Rechnungslegung per E-Mail berechtigt.

9.3.1 Die Rechnungsstellung für die Nutzung der Nexis Plattform erfolgt zwölf (12) Monate im Voraus. Die Abrechnung des Folgezeitraums erfolgt direkt im Anschluss nach Ablauf der vorherigen Abrechnungsperiode. Demnach ergibt sich pro Jahr der Vertragslaufzeit eine Rechnung, die jeweils zu Beginn des jeweiligen Jahres gestellt wird. Im Falle einer kürzeren Vertragslaufzeit als 12 Monate entspricht die Abrechnungsperiode dem Zeitraum von Beginn bis zum Ende der Vertragslaufzeit.

9.3.2 Die Rechnungsstellung für Premium Support Services erfolgt jährlich im Voraus.

9.3.3 Die Rechnungsstellung für erbrachte Professional Services erfolgt monatlich, jeweils zum Ablauf des auf die Leistungserbringung folgenden Monats.

9.4 Rechnungen sind innerhalb von 14 Kalendertagen ab Zugang der Rechnung ohne Abzug zur Zahlung fällig. Abweichende Zahlungsbedingungen, insbesondere solche in Purchase Orders (PO) oder Allgemeinen Geschäftsbedingungen des Auftraggebers, finden keine Anwendung, sofern ihnen nicht ausdrücklich schriftlich durch Nexis zugestimmt wurde.

9.5 Erbringt Nexis Leistungen im Rahmen gesetzlicher und/oder vertraglicher Mängelhaftung des Kunden, so sind diese vergütungsfrei, insbesondere auch in dem Fall, dass zwischen Nexis und dem Kunden ein Vertragsverhältnis (z.B. ein Vertrag über Professional Services) besteht, gemäß dem dieselben Leistungen vom Kunden zu vergüten wären.

9.6 Der Kunde erstattet Nexis Reisekosten, die auf Grund von Reisen von Nexis-Mitarbeitern zwischen dem jeweils betreffenden Nexis und dem Standort des Kunden anfallen.

Bei der Nutzung von Verkehrsmitteln sind folgende Modalitäten zu beachten:

• Bahnfahrten: Erstattungsfähig sind Kosten für die 2. Klasse.
• Flüge: Erstattungsfähig sind Kosten für die Economy-Class.
• Nutzung eigener PKW: Erstattet werden 0,40 Euro je angefangenem Kilometer.

Angefallene Reisezeiten bei Reisen von Mitarbeitern von Nexis sind vom Kunden in Höhe von 50% der im Angebot vereinbarten Tages- bzw. Stundensätze zu vergüten.

Bei Reisen von Nexis-Mitarbeitern ist Nexis berechtigt, anfallende Hotelkosten, sowie einen zusätzlich Übernachtungskostenersatz in Höhe von EUR 150 pauschal je notwendiger Übernachtung vom Kunden geltend zu machen; eine Übernachtung ist dann notwendig, wenn die Vertragsparteien über die Notwendigkeit einig sind, sie erforderlich ist, um den Anforderungen an das Arbeitszeitgesetz zu entsprechen, oder die Entfernung zwischen dem Standort von Nexis und dem Standort des Kunden mehr als 200 km direkte Fahrtstrecke (auf europäischen Hauptverkehrsstraßen) beträgt.

10. Nebenpflichten des Kunden

10.1 Allgemeine Nebenpflichten

10.1.1 Der Kunde ist zur unentgeltlichen Mitwirkung in notwendigem Umfang verpflichtet. Auf notwendige Mitwirkung weist Nexis möglichst vorab hin.

10.1.2 Der Kunde stellt sicher, dass von ihm beigebrachte Daten und Informationen richtig, vollständig und zweckmäßig sind; Nexis obliegen insofern keine aktiven Prüfungspflichten.

10.1.3 Der Kunde ist verpflichtet, Nexis unverzüglich auf etwaige Mängel oder Lücken bei der Leistungserbringung hinzuweisen, sofern und sobald er hiervon Kenntnis nimmt oder im gewöhnlichen Geschäftsbetrieb nehmen kann.

10.1.4 Der Kunde benennt einen Mitarbeiter seines Haues, der Nexis als entscheidungsberechtigter Ansprechpartner zur Verfügung steht. Ferner benennt der Kunde einen Stellvertreter für Fälle der Nichterreichbarkeit des primären Ansprechpartners.

10.1.5 Kommt der Kunde mit der Vornahme oder Erbringung einer Mitwirkungshandlung in Verzug oder verzögert sich die vertragsgemäße Leistungserbringung von Nexis aus einem anderen, vom Kunden zu vertretender Umstand ("Verzögerung"), so verschieben sich alle vereinbarten Termine, die aufgrund der Verzögerung von Nexis aus betrieblichen Gründen nicht eingehalten werden können, auf einen angemessenen späteren Zeitpunkt, den Nexis nach billigem Ermessen festlegt. Ferner ist Nexis berechtigt, Ersatz des aus der Verzögerung entstehenden Schadens einschließlich notwendiger Mehraufwendungen vom Kunden zu verlangen, sofern und soweit solche anfallen.

10.1.6 Der Kunde unterstützt Nexis bei der Ermittlung der Höhe variabler, insbesondere nutzungsabhängiger Vergütungsansprüche in notwendigem und zumutbarem Umfang und für Nexis kostenfrei.

10.1.7 Sofern Nexis im Rahmen der Professional Services Werkleistungen erbringt, bleiben §§ 642, 643 BGB von vorstehenden Regelungen unberührt.

10.2 Ergänzende Nebenpflichten hinsichtlich Nutzung der Nexis Plattform

10.2.1 Der Kunde unterstützt Nexis bei Prüfungen, ob die Nexis Plattform ausschließlich in dem Umfang genutzt wird, wie Nexis dem Kunden an dieser Rechte eingeräumt hat. Auf entsprechende Nachfrage von Nexis hin erteilt der Kunde innerhalb angemessener Frist entsprechende Selbstauskünfte mit nachvollziehbaren Nachweisen über den Nutzungsumfang.

10.2.2 Der Kunde ist verpflichtet,

• die ihm bzw. seinen Nutzern zugeordneten Zugangsdaten für die Nexis Plattform, insbesondere Nutzungs- und Zugangsberechtigungen sowie Identifikations- und Authentifizierungs-Sicherungen vor dem Zugriff durch unberechtigte Dritte zu schützen und gibt diese nicht an unberechtigte Nutzer und/oder unberechtigte Dritte weiter,
• den unbefugten Zugriff Dritter auf die Nexis Plattform und/oder das System und auf die Dokumentation durch geeignete Vorkehrungen zu verhindern,
• angemessene Vorkehrungen für den Fall zu treffen, dass die Nexis Plattform ganz oder teilweise nicht ordnungsgemäß arbeitet. Eine solche angemessene Vorkehrung liegt insbesondere in einer angemessenen und regelmäßigen Datensicherung (sofern nicht im Rahmen von Premium Support Services abweichend vereinbart) sowie einer regelmäßigen Überprüfung der Datenverarbeitungsergebnisse,
• vor der ersten Benutzung der Nexis Plattform nur ausreichend geschulten und über die Folgen einer missbräuchlichen oder fehlerhaften Nutzung der in über die Nexis Plattform bereitgestellten Funktionen aufgeklärte Personen Zugangsdaten zur Nexis Plattform zur Nutzung zu überlassen,
• die auf der Nexis Plattform befindlichen, steuer- und/oder handelsrechtlich relevanten, aufbewahrungspflichtigen Informationen und Dokumente (Rechnungen, Gutschriften u.ä.) gesetzeskonform zu speichern und aufzubewahren,
• Nexis, sofern für die Durchführung von Wartungsarbeiten an der Nexis Plattform erforderlich, Zugriff auf das Web-Frontend der Nexis Plattform und die entsprechenden APIs einzuräumen, und
• Nexis die für die Installation von Patches, Updates oder Upgrades auf sämtlichen Systemen des Kunden, die einer Freigabe bedürfen, eine solche Freigaben ohne schuldhaftes Zögern zu erteilen.

10.2.3 Der Kunde verpflichtet sich es zu unterlassen,

• die Nexis Plattform ohne Zustimmung von Nexis im Quell- und/oder Objektcode zu ändern, zu bearbeiten, zu dekompilieren, sofern und soweit er hierzu nicht aufgrund § 69e UrhG oder der ausdrücklichen Zustimmung durch Nexis berechtigt ist,
• Funktionen oder Prozesse der Nexis Plattform und des zugrundeliegenden Systems vertrags- bzw. bestimmungswidrig zu nutzen, nutzen zu lassen oder eine solche Nutzung zu unterstützen oder zu ermöglichen,
• sich selbst oder Dritten Zugang zu nicht für ihn bestimmte Daten und Informationen zu verschaffen,
• die Nexis Plattform missbräuchlich zu nutzen, insbesondere rechts- oder sittenwidrigen oder solche Inhalte einzustellen oder auf solche Inhalte durch Hyperlink zu verweisen, die gegen Rechte Dritter verstoßen oder rechtswidrig sind (z.B. Verstöße gegen Persönlichkeits-, Urheber-, Marken- oder Wettbewerbsrecht),
• in die Datennetze, Server, Programme und Programmteile oder sonstige Systemkomponenten von Nexis unbefugt einzudringen oder zu nutzen,
• Urhebervermerke, Seriennummern sowie sonstige der Identifikation von Soft- und/oder Hardware dienende Merkmale zu entfernen und/oder zu verändern,
• ohne vorherige Zustimmung von Nexis keine Last-, Penetrations-, Schwachstellen- oder sonstige Testverfahren (insbesondere, aber nicht abschließend automatisierte Schwachstellenscans, Fuzzing, Code-Injection-Tests sowie Simulationen von DDoS- oder sonstigen Überlastungsangriffen) durchzuführen, welche die Stabilität, Sicherheit oder Verfügbarkeit der Nexis Plattform beeinträchtigen könnten, oder
• die Software und Systeme von Nexis für den unaufgeforderten Versand von elektronischen Nachrichten oder Informationen an Dritte zu Werbezwecken (sog. Spamming) zu nutzen.

10.2.4 Der Kunde stellt Nexis im Bedarfsfalle und auf Nachfrage von Nexis folgendes zur Verfügung:

• Parameter zur Systemkonfiguration,
• Informationen zu Schnittstellen und Datenformaten,
• die Bereitstellung von Testdaten und
• die Definition von Testfällen.

10.2.5 Im Falle der Anbindung der Nexis Plattform an Drittsysteme per Schnittstelle stellt der Kunde Nexis zeitnah und rechtzeitig vorab ein Testsystem und/oder einen Testzugang zu den betreffenden Drittsystemen bereit.

10.2.6 Verstößt der Kunde gegen eine Pflicht gemäß den Ziffern 10.2.1 - 10.2.3 so ist Nexis berechtigt, den Kunden zur Einhaltung aufzufordern und ihm hierzu eine angemessene Frist zu setzen. Verstreicht diese Frist fruchtlos, so ist Nexis berechtigt, die vertragsgemäße Leistungserbringung bzw. den Zugang zur Nexis Plattform und dem System bis zur Erfüllung der Mitwirkungs- oder Nebenpflicht durch den Kunden ganz oder teilweise zu sperren oder einzuschränken. Eine solche Sperrung oder Einschränkung berechtigt den Kunden nicht zur Zurückbehaltung oder Minderung der monatlichen Vergütung.

10.2.7 Erzeugt der Kunde auf der Nexis Plattform Daten oder hält er auf dem System Daten, die die Verletzung einer Pflicht gemäß den Ziffern 10.2.1 - 10.2.3 bedingen oder deren Besitz und/oder deren Verarbeitung gegen geltendes Recht verstößt, so ist Nexis berechtigt, die betreffenden Daten sofort und ersatzlos zu löschen.

11. Werke und Leistungen Dritter, Open Source

11.1 Überlässt Nexis dem Kunden Drittsoftware, Hardware Dritter, Rechenzentrumsleistungen Dritter und/oder sonstige Leistungen Dritter, so gelten für deren Nutzung und deren Support und Wartung vorrangig die Regelungen der Lizenzbedingungen der betreffenden Dritten, sofern und soweit Nexis beim Einsatz der vertragsgegenständlichen Drittleistungen gegenüber dem Dritten verpflichtet ist, deren Lizenzbedingungen auch in das Vertragsverhältnis zwischen den Vertragsparteien einzubeziehen. Auf Nachfrage des Kunden teilt Nexis dem Kunden in Textform mit, um welche Lizenzbedingungen es sich handelt, auf welche Drittleistungen sich diese beziehen und überlässt bzw. übersendet dem Kunden die entsprechenden Lizenzbedingungen. Lizenzbedingungen in diesem Sinne sind insbesondere End-User Licence Agreements, SLAs, Support- und Wartungsverträge und Nutzungsbedingungen.

11.2 Die Integration, An- oder Verbindung von Werken Dritter (z.B. Software Dritter, Open Source Software, Freeware, Grafiken Dritter, Bilder Dritter) in, an bzw. mit der Nexis Plattform und/oder im Rahmen von Professional Services geschaffenen Arbeitsergebnissen von Nexis bedarf nicht der Zustimmung des Kunden.

11.3 Im Falle der Integration, An- oder Verbindung von Werken Dritter im Sinne von Ziffer 11.1, an denen urheberrechtliche Nutzungsrechte, Leistungsschutzrechte oder Schutzrechte sui generis zu Gunsten Dritter bestehen, räumt Nexis dem Kunden Rechte an den betreffenden Werken Dritter nur in dem Umfang ein, wie Nexis selbst Rechte von den jeweiligen Rechteinhabern erhält und es das Rechtsverhältnis gestattet, das zwischen Nexis und den jeweiligen Rechteinhabern besteht.

11.4 Sofern nicht abweichend vereinbart, räumt Nexis dem Kunden Rechte an Werken Dritter mindestens in dem Umfang ein, wie dies zu deren vertrags- und bestimmungsgemäßen Nutzung notwendig ist.

12. Ansprüche des Kunden bei Rechtsmängeln

12.1 Sind Leistungen von Nexis rechtsmangelhaft so kann Nexis nach seiner Wahl und auf seine Kosten

12.1.1 die betreffenden Leistungen so ändern oder ersetzen, dass die Rechtsmangelhaftigkeit beseitigt wird, aber im Wesentlichen doch den vereinbarten Funktions- und Leistungsmerkmalen in für den Kunden zumutbarer Weise entsprechen oder

12.1.2 Rechte von Dritten erwerben, die notwendig sind, damit der Kunde die vertragsgemäßen Leistungen rechtsmangelfrei sowie vertrags- und bestimmungsgemäß nutzen kann und diese Rechte dem Kunden einräumen oder

12.1.3 die betroffenen Leistungen gegen Erstattung der entrichteten Vergütung zurückzunehmen, wobei Nexis verpflichtet ist, dem Kunden dabei eine angemessene Auslauffrist zu gewähren, es sei denn, dies ist nur zu unzumutbaren rechtlichen oder sonstigen Bedingungen möglich.

12.2 Ferner stellt Nexis den Kunden von begründeten und durchsetzbaren Schadensersatzansprüchen aufgrund der Rechtsmangelhaftigkeit der Leistungen von Nexis gegenüber dem Schutzrechtsinhaber frei. Der Kunde informiert Nexis unverzüglich über eine Inanspruchnahme durch einen Dritten aufgrund einer geltend gemachten Schutzrechtsverletzung aufgrund Leistungen von Nexis. Der Kunde ist verpflichtet es zu unterlassen, Anerkenntnisse und/oder Vergleiche über solche von Dritten geltend gemachten Ansprüche ohne Zustimmung oder Genehmigung von Nexis zu erklären oder zu schließen. Ferner überlässt der Kunde Nexis die Rechtsverteidigung gegen solche Ansprüche und die Wahl und Geltendmachung von Abwehrmaßnahmen, soweit nicht dem Kunden aus Rechtsgründen die Abwehrmaßnahmen und /oder die Rechtsverteidigung vorbehalten bleiben müssen. Im Falle der Rechtsverteidigung durch Nexis unterstützt der Kunde Nexis hierbei, soweit ihm dies zumutbar und die dahingehenden Aufwände nicht unverhältnismäßig sind. Freistellungsansprüche mit sofortiger Wirkung und rückwirkend.

12.3 Sofern das Vertragsverhältnis über die Bereitstellung der Nexis Plattform als Mietvertrag angesehen wird, tritt an Stelle des Rechts zur Rücknahme gemäß vorstehender Ziffer 12.1.3. das Rechts zur außerordentlichen, fristlosen Kündigung, mit der Maßgabe, dass im Voraus entrichtete Mietzahlungen zeitanteilig zurück zu erstatten sind.

13. Verjährung von Ansprüchen

Die Verjährungsfrist für Ansprüche aus Sach- und/oder Rechtsmängeln beträgt zwölf (12) Monate, es sei denn, die Anwendung der regelmäßigen gesetzlichen Verjährung (§§ 195, 199 BGB) würde im Einzelfall zu einer kürzeren Verjährung führen. Unberührt bleiben die Verjährungsregelungen gemäß dem Produkthaftungsgesetz und gemäß den gesetzlichen Verjährungsvorschriften für Schadensersatzansprüche des Kunden gegenüber Nexis bei grob fahrlässiger oder vorsätzlicher Pflichtverletzung. Kaufmännische Rügepflichten des Kunden bleiben unberührt.

14. Haftung, Schadensersatz

14.1 Nexis haftet unbeschränkt bei Vorsatz, grober Fahrlässigkeit, für die Verletzung von Leben, Leib oder Gesundheit, nach den Vorschriften des Produkthaftungsgesetzes sowie im Umfang einer von Nexis übernommenen Garantie.

14.2 Verletzt Nexis eine wesentliche Pflicht fahrlässig, so ist die Haftung von Nexis der Höhe nach begrenzt auf den Ersatz des bei Vertragsschluss vertragstypischen und für Nexis vorhersehbaren Schadens. Wesentliche Pflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht, deren Verletzung die Erreichung des Vertragszwecks gefährdet und auf deren Einhaltung der Kunde regelmäßig vertraut.

14.3 Die verschuldensunabhängige Haftung von Nexis für Sachmängel, die bei Vertragsschluss bereits vorliegen (§ 536 a BGB), ist ausgeschlossen. Dieser Ausschluss gilt nicht für Rechtsmängel.

14.4 Im Falle des Verlusts und/oder der Beschädigung von Daten haftet Nexis nur insoweit, als dieser Verlust bzw. die Beschädigung und deren Wiederherstellung nicht durch angemessene Vorsorgemaßnahmen des Kunden, insbesondere die tägliche Anfertigung von Sicherungskopien, vermeidbar gewesen wäre.

14.5 Im Übrigen ist jegliche Schadensersatzhaftung von Nexis, gleich aus welchem Rechtsgrund, ausgeschlossen.

14.6 Die vorstehende Haftungsbeschränkung gilt auch für die persönliche Haftung der Mitarbeiter, Erfüllungsgehilfen, Organe und Vertreter von Nexis.

15. Datenschutz, Telemetrie

15.1 Sowohl Nexis als auch der Kunde verpflichten sich, personenbezogenen Daten entsprechend den Anforderungen der jeweils anwendbaren Datenschutzgesetze, insbesondere der EU-DSGVO zu verarbeiten.

15.2 Soweit Nexis im Rahmen der unter diesen Nexis QSEC Plattform AGB angebotenen Leistungen personenbezogene Daten des Kunden, dessen Mitarbeitern Endkunden oder sonstigen Dritten verarbeitet, tut Nexis dies nur auf Anweisung des Kunden oder um gesetzlichen Anforderungen zu entsprechen. Zu diesem Zweck schließen die Parteien gesondert einen Auftragsdatenverarbeitungsvertrag gemäß Anlage 1.

15.3 Nexis ist berechtigt, Daten über die Nutzung der Nexis Plattform durch den Kunden zu anonymisieren oder zu aggregieren, sodass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und in dieser Form unter anderem zur Optimierung der Nexis Plattform zu verwenden. Die Parteien stimmen darin überein, dass anonymisierte bzw. nach obiger Maßgabe aggregierte Daten nicht mehr als Kundendaten gelten.

16. Vertraulichkeit

16.1 Die Parteien verpflichten sich, alle vertraulichen Informationen, die ihnen im Rahmen der vertraglichen Beziehung bekannt werden, vertraulich zu behandeln und nur für vertraglich vereinbarte Zwecke zu verwenden. Vertrauliche Informationen im Sinne dieser Bestimmung sind Informationen, Unterlagen, Angaben und Daten, die als solche bezeichnet sind oder ihrer Natur nach als vertraulich anzusehen sind, insbesondere auch Informationen über die Funktionsweise der Nexis Plattform einschließlich der dahinterliegenden Struktur.

16.2 Eine Ausnahme zu Ziffer 16.1 besteht in den folgenden Fällen:

16.2.1 Wenn die Informationen zum Zeitpunkt des Vertragsschlusses bereits allgemein bekannt sind,

16.2.2 die Partei, die die Informationen erhält, die Informationen bereits vor dieser Offenlegung der Informationen durch die andere Partei bekannt waren,

16.2.3 die Informationen nach Abschluss des Vertrags allgemein bekannt geworden sind, ohne dass die zur Geheimhaltung verpflichtete Partei dies verschuldet hat, oder

16.2.4 eine Partei aufgrund anwendbarer Gesetze, behördlicher Vorschriften oder einer rechtmäßigen gerichtlichen oder behördlichen Anordnung dazu verpflichtet ist, vertraulichen Informationen herauszugeben und die jeweils andere Partei, sofern rechtlich zulässig, über eine solche Offenlegung informiert und angemessene Maßnahmen ergreift, um den Umfang der Offenlegung zu vermeiden und/oder zu minimieren.

16.3 Die Bestimmungen des Gesetzes zum Schutz von Geschäftsgeheimnissen bleiben von den in dieser Ziffer 16 getroffenen Regelungen unberührt.

16.4 Die Rechte und Pflichten nach Ziffer 16 dieser Nexis QSEC Plattform AGB bestehen über den Zeitraum des Vertragsverhältnisses hinaus. Beide Parteien sind verpflichtet, vertrauliche Informationen der anderen Partei bei Beendigung des Vertragsverhältnisses nach deren Wahl zurückzugeben oder zu vernichten, soweit diese nicht ordnungsgemäß verbraucht worden sind oder gemäß Ziffer4.4 gesonderte Vereinbarungen für die Löschung von Daten nach Nutzung der Nexis Plattform getroffen werden.

17. Mindestlohngesetz

17.1 Nexis verpflichtet sich und seine Subunternehmer zur Einhaltung der Vorschriften des Mindestlohngesetzes.

17.2 Nexis stellt den Kunden von sämtlichen Ansprüchen Dritter frei, die diesen gegenüber dem Kunden aufgrund eines Verstoßes von Nexis gegen die Vorschriften des Mindestlohngesetzes zustehen. Die Regelungen zur Freistellung des Kunden in Ziffer 12.2 entsprechend.

18. Change of Control

18.1 Der Kunde ist verpflichtet, Nexis über einen Wechsel seines Mehrheitseigners möglichst vorab und schriftlich zu informieren.

18.2 Ab Erhalt einer Information im Sinne von Ziffer 18.1, ist Nexis berechtigt, das Vertragsverhältnis ohne Einhaltung einer Kündigungsfrist und mit sofortiger Wirkung zu kündigen (außerordentliches Sonderkündigungsrecht).

19. Schlussbestimmungen

19.1 Die Übertragung des Vertrags oder einzelner Rechte oder Pflichten hieraus durch den Kunden an Dritte, bedarf der vorherigen schriftlichen Zustimmung von Nexis. § 354a HGB bleibt unberührt.

19.2 Eine Aufrechnung mit Gegenansprüchen des Kunden ist nur zulässig, wenn diese Ansprüche unstreitig oder rechtskräftig festgestellt sind. Das Recht des Kunden zur Aufrechnung besteht uneingeschränkt, soweit eine aufgerechnete Forderung mit der Hauptforderung synallagmatisch verknüpft ist.

19.3 Für die Leistungs- und Rechtsbeziehung zwischen den Parteien gilt ausschließlich deutsches Recht unter Ausschluss des United Nations Convention on Contracts for the International Sale of Goods (CISG).

19.4 Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertragsverhältnis ist der Hauptgeschäftssitz von Nexis. Nexis hat auch das Recht, den Kunden an dessen Sitz zu verklagen.

19.5 Vertragssprache ist Deutsch. Bei paralleler Verwendung anderer Sprachen und Widersprüchlichkeiten zwischen verschiedenen Sprachfassungen ist der deutsche Wortlaut der betreffenden Regelungen entscheidend.

19.6 Sollten einzelne Bestimmungen der Nexis QSEC Plattform AGB unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen der Nexis QSEC Plattform AGB nicht. Die Parteien werden sich bemühen, die unwirksame oder undurchführbare Bestimmung durch eine wirksame und durchführbare Regelung zu ersetzen, die der unwirksamen oder undurchführbaren Bestimmung wirtschaftlich so nahe wie möglich kommt. Gleiches gilt für den Fall einer Lücke dieser Nexis QSEC Plattform AGB.

***

November 2025

General Terms and Conditions for Nexis QSEC- Software as a Service Solution

(the “Nexis QSEC Platform GTC")

Please note: This English version of the QSEC Platform GTC is a convenience translation only. In case of conflicts between the German and the English version, the German version shall prevail.

1. General Information

1.1 These Nexis QSEC Platform GTC of NEXIS GRC GmbH, Hans-Henny-Jahnn-Weg 53, 22058 Hamburg (hereinafter referred to as "Nexis") apply to all contracts and customers regarding the use of the SaaS platform Nexis QSEC for identity management, authorisation analysis, role administration and compliance (the "Nexis Platform") and related services.

1.2 These NEXIS QSEC Platform GTC apply exclusively to contracts that Nexis concludes with companies, entrepreneurs, merchants, legal entities under public law or special funds under public law. Nexis expressly does not offer its services to consumers within the meaning of Section 13 of the German Civil Code (BGB).

1.3 The customer's general terms and conditions shall not become part of the contractual relationship unless Nexis expressly agrees to their inclusion. This requirement of consent shall also apply if Nexis performs the services without reservation in full knowledge of the customer's general terms and conditions.

1.4 Nexis shall be entitled to amend the NEXIS QSEC Platform GTC during the course of the contractual relationship. Such an amendment shall be made by sending updated NEXIS QSEC Platform GTC to the customer in text form together with an accompanying letter that expressly refers to the future NEXIS QSEC Platform GTC, the date of their validity and the customer's right of objection. The NEXIS QSEC Platform GTC amended by Nexis shall become effective upon expiry of a period of 21 calendar days, starting from receipt of the amended NEXIS QSEC Platform GTC and accompanying letter by the customer, and shall replace the current NEXIS QSEC Platform GTC in their entirety. The customer shall have the right to object to the inclusion and validity of new NEXIS QSEC Platform GTC adapted by Nexis within a period of 14 calendar days, starting from receipt of the adapted NEXIS QSEC Platform GTC and the corresponding accompanying letter by the customer. If the customer objects to the inclusion of the amended NEXIS QSEC Platform GTC in due time, they shall not become part of the contract. If Nexis does not receive an objection from the customer within the objection period and the customer continues to use the services provided by Nexis, the customer shall be deemed to have consented to the inclusion of the NEXIS QSEC Platform GTC as amended by Nexis.

2. Conclusion of Contract

2.1 Prior to the conclusion of the contract, Nexis shall send the customer a time-limited, binding offer together with the associated service certificate (together, the "Offer").

2.2 Provisions individually agreed in the Offer shall take precedence over the provisions in the NEXIS QSEC Platform GTC. In the event of a conflict between the provisions in the GTC and the Service Level Agreement ("SLA"), the provisions of the SLA shall take precedence.

2.3 The contract between Nexis and the customer for the services described in the Offer shall be concluded upon acceptance of the Offer by the customer. Acceptance can be made either in writing or electronically (if technically available by electronic signature or e-mail).

3. Subject of Performance

In accordance with these NEXIS QSEC Platform GTC, Nexis offers the customer the following services, whereby additional details regarding the scope of services and functions can be found in the respective Offer:

3.1 Access and use of the Nexis Platform. With regard to the use of the Nexis Platform, the conditions in section 4 shall apply in particular. In addition, Nexis provides general support services ("Standard Support Services") as part of the provision of the Nexis Platform, which are described in section 5.

3.2 At the customer's request and in accordance with a separate order, Nexis shall also provide extended support services in connection with the use of the Nexis Platform ("Premium Support Services", the Standard Support Services and the Premium Support Services together the "Support Services"). With regard to the provision of Premium Support Services, in particular the conditions described in section 5 shall apply.

3.3 In addition, Nexis shall provide other services in connection with the Nexis Platform at the customer's request and in accordance with a separate order, such as the initial setup of the Nexis Platform at the customer's premises; consulting services or customisation of the functionality of the Nexis Platform to the customer's needs (the "Professional Services"). With regard to the provision of Professional Services, in particular the conditions in section 6 shall apply.

4. Special Conditions for the Use of the Nexis Platform

4.1 General

4.1.1 Access to the Nexis Platform and all information contained therein, with the exception of customer data, is the intellectual property of or licensed to Nexis.

The scope of the granting of rights to the Nexis Platform to the customer is set out in section 4.2.

4.1.2 The subject matter of the contract is expressly not the source code of the software on which the Nexis Platform is based and the provision of the source code for use by the customer.

4.1.3 Nexis is authorised to change and/or adapt the Nexis Platform within the scope of maintenance, support and regular further development by means of patches, updates, upgrades and new releases, if and to the extent that this is necessary for technical reasons or due to changes in the legal framework or to close security gaps and/or to improve the software functionally and/or technically. Such changes and adaptations shall in any case only be permitted if they are reasonable for the customer, taking into account his interests. The right of use regulated in section 4.2 shall apply accordingly to such further developments of the Nexis Platform.

4.1.4 The customer is not entitled to an adaptation of the Nexis Platform due to changes in legal requirements specifically applicable to him, which are not included in the scope of the licence. In such a case, the customisation will only be carried out if expressly commissioned as part of Professional Services.

4.1.5 The proper usability of the Nexis Platform is only possible if the customer maintains the current system requirements, such as the use of current browsers or for the operation of the connectivity proxy on the customer's systems. The current system requirements shall be communicated to the customer by Nexis upon request, are included in the service certificate (Leistungsschein) or are published on the Nexis website. It is the customer's responsibility to obtain information on this independently.

4.1.6 Nexis is authorised but not obliged to include customer-specific adaptations with regard to the standard functionality in the Nexis Platform. Any such customisations are the subject of the Professional Services.

4.1.7 Nexis hereby points out that the contractual use of the Nexis Platform may require the subsequent licensing of third-party software. Any additional costs incurred for this shall be borne by the customer.

4.1.8 If the customer is provided with certain templates (e.g. templates or best practice recommendations) via the Nexis Platform (or individually bookable modules), these merely represent a non-binding recommendation and do not constitute legal advice. The customer must therefore carry out their own legal checks on such templates.

4.2 License Conditions

4.2.1 Nexis shall grant the customer a non-exclusive, revocable, non-transferable and non-sublicensable right to use the Nexis Platform for its own business purposes in connection with the subject matter of the contract. This right of use is limited to the duration of the contract and relates exclusively to the current status and scope of the Nexis Platform provided by Nexis during the term of the contract. The customer shall not receive any further rights, for example to the software applications or operating software on which the Nexis Platform is based. With the exception of the provisions set out in this section 4.2 or unless otherwise agreed in writing, the customer may only use the Nexis Platform (i) for its own business purposes, (ii) by its own employees and (iii) for the maximum number of licences and licensing variant specified in the Offer (see section 4.2.3).

4.2.2 The Nexis Platform is offered with various modules, each with a different range of functions. The Offer specifies which modules of the Nexis Platform are licensed by the customer. It also provides an overview of the modules and their range of functions.

4.2.3 The Nexis Platform is licensed in accordance with the Offer, either based on the number of digital identities created on the Nexis Platform (see a)) or on the number of customer employees using the Nexis Platform (see b)).

a) Alternative 1: Each entity managed in the Nexis Platform as an "Employee" and each additional entity with access to the Nexis Platform that is not managed as an "Employee" shall count as one used licence from the day it is created in the Nexis Platform. If a natural person has multiple digital identities or accesses, each of these identities or accesses shall be counted separately.

b) Alternative 2: Each natural person for whom at least one digital identity is managed in the Nexis Platform or who has access to the Nexis Platform shall count as one used licence from the day they are created in the Nexis Platform.If a natural person has multiple digital identities or accesses, they shall not be counted more than once.Special users (e.g. technical digital identities) shall also count as used licences if they are imported as "Employees" in the Nexis Platform.

4.2.4 The customer is entitled to grant employees of affiliated companies within the meaning of Section 15 German Stock Corporation Act (Aktiengesetz - AktG) access to the Nexis Platform within the scope of the agreed licence model (section 4.2.3), provided that this has been agreed in the Offer and the affiliated company has been specifically named. The parties merely clarify that the user behaviour of employees of affiliated companies shall also be attributed to the customer, in particular with regard to any liability of the customer.

4.2.5 Types of use other than those described in this section 4.2 are not covered by the right of use. In particular, access to the Nexis Platform may not be made available to third parties.

4.2.6 Any use of the Nexis Platform by the customer beyond the agreed extent, in particular with more licences than specified in the Offer, shall be deemed to be in breach of contract. In this case, the customer shall be obliged to notify Nexis immediately of the excess use and to reach an agreement with Nexis on subsequent licensing (with appropriate remuneration) on the basis of the valid price lists of Nexis. Any copyright claims of Nexis shall remain unaffected by this. This provision shall also apply in particular if access to the Nexis Platform was provided to the customer by a Nexis partner.

4.3 Availability, Transfer Point

4.3.1 Nexis shall be responsible for providing access to the Nexis Platform at the transfer point. The transfer point is the data interface of the Nexis data centre or the service provider commissioned by Nexis to provide a data centre (e.g. AWS) on which the Nexis Platform is operated.

4.3.2 The customer's connection to the Internet is not the subject of the contract, but is the responsibility of the customer.

4.3.3 The responsibility of Nexis for the availability of the Nexis Platform ends at the transfer point. Nexis guarantees the availability of the Nexis Platform in accordance with the SLA.

4.4 Data Use and Deletion

4.4.1 Upon termination of the contractual relationship, Nexis shall be entitled to delete all data and information transferred by the customer to the Nexis Platform without replacement. Nexis shall inform the customer of this pending deletion no later than four (4) weeks prior to the termination of the contractual relationship. At the customer's request, Nexis shall submit an offer to migrate or support the migration of the customer's data from the Nexis Platform to another system to be named by the customer, provided that this is reasonable for Nexis and the transfer is to take place in a data format and technical transmission path known to Nexis. If Nexis terminates the contractual relationship without notice for good cause, Nexis shall, at the customer's request and for a maximum period of three (3) months after termination of the contract, provide the customer with the opportunity to export its data in a suitable format, whereby the customer shall reimburse Nexis for the expenses incurred in this respect in accordance with the most recently agreed hourly and daily rates; in this case, Nexis shall be entitled to demand the expected costs incurred from the customer as an advance payment.

4.4.2 If Nexis is subject to retention obligations, Nexis shall be entitled to store and process the corresponding data and information for the duration of the retention obligation. Upon expiry of the retention obligation, Nexis shall delete the relevant data and information in its entirety; the provision in the above section 4.4.1 shall remain unaffected by this.

4.4.3 Transmission data from real-time communication is collected and stored by Nexis for a maximum of 12 months for the purpose of error detection (so-called debugging).

4.4.4 Asynchronous data exchange via standard interfaces with third-party systems is only collected and stored if necessary and for a maximum of 12 months for the purposes of error detection (debugging).

5. Special Conditions for Support Services

As part of the licensing of the Nexis Platform in accordance with section 4, Nexis also provides Standard Support Services, the scope of which is set out in the Service Level Agreement, the SLA, and the description in this section 5.

5.1 The provision of Support Services relates exclusively to the current version of the Nexis Platform and any associated software.

5.2 The Support Services include the elimination of errors and the provision of updates (equivalent to the provision of a new minor version) and upgrades (equivalent to the provision of a new major version) of the Nexis Platform.

5.3 The elimination of faults and damage caused by improper use of the Nexis Platform by the customer, incorrect user behaviour, the influence of third parties or force majeure are not covered by the Support Services. However, they can be agreed in individual cases for a separate fee.

5.4 The Support Services also do not include the maintenance of hardware, third-party software (e.g. operating system, operating system-related software) and changes made by the customer or third parties in order to establish the interoperability of the Nexis Platform with third-party software (e.g. interfaces to other software products).

5.5 Other services in connection with the Nexis Platform, in particular a hotline service for customer questions about the Nexis Platform, installation and configuration services, customising and/or training measures are not part of the Support Services.

5.6 The customer can only make use of Support Services in accordance with these terms and conditions for all licences purchased by them for the Nexis Platform. It is not possible to use the Support Services for only some of the licences purchased.

5.7 The customer is authorised to contact Nexis support to report malfunctions, operational restrictions and functional impairments of the Nexis Platform.

5.8 For every enquiry or report to Nexis support, Nexis opens a qualified support ticket (the "Support Ticket").

5.9 Support Tickets are processed exclusively in German or English.

5.10 Support is generally available on working days at the Nexis Regensburg site from 9:00 am to 5:00 pm ("Support Hours"). Support Tickets are accepted and processed exclusively within the Support Hours. Support Hours deviating from this can be agreed individually.

5.11 The customer can open Support Tickets via the ticket system provided by Nexis and send them to Nexis.

5.12 Nexis informs the customer about the receipt and completion of Support Tickets. This can also take the form of an automatically generated e-mail from the system.

5.13 Only key users are authorised to contact Nexis support. The customer is authorised to name up to two key users at the same time. Key users are the authorised enquirers from the customer's sphere of responsibility appointed by the customer. After conclusion of the contract, the customer shall provide Nexis with a list of key users that enables Nexis to identify them as such.

5.14 The customer is authorised to update the list of key users designated by the customer at any time. An updated list submitted by the customer shall become binding for Nexis at the beginning of the month following the month in the course of which the updated list was submitted by the customer.

5.15 Nexis invoices the price for processing Support Tickets on a time and material basis and at 15-minute intervals, unless otherwise contractually agreed. The hourly rates for the provision of Support Services are set out in the Offer.

5.16 Nexis is authorised to charge a factor of 2.5 for Support Tickets processed outside Support Hours at the express request of the customer.

5.17 If the customer or a key user opens a Support Ticket to report malfunctions, operational restrictions and functional impairments of the Nexis Platform and/or the system that Nexis is not obliged to rectify under the warranty, Nexis shall be entitled to demand the actual expenses incurred in the course of checking, recognising and/or rectifying the reported issue for each Support Ticket, but regardless of this, at least a flat processing fee of EUR 250. With regard to the flat-rate processing fee, the customer reserves the right to prove that no or only significantly less damage has been incurred.

5.18 In accordance with the Offer, the parties may agree that the customer books Premium Support Services against payment of an additional fee, which include an extended scope of services and different response times compared to the general Support Services. Details can be found in the Offer and the SLA.

6. Special Conditions for Professional Services

6.1 General

6.1.1 Professional Services are generally service contracts (Dienstverträge), unless the nature of the contract expressly provides otherwise. If, in exceptional cases, work services (Werkleistungen) are provided as part of the Professional Services, the following provisions of section 6.2 to 6.6 shall apply in addition.

6.1.2 The services to be provided as part of Nexis' Professional Services are set out in the Offer.

6.1.3 Unless otherwise agreed in writing, remuneration is based on time and material. Billing takes place in 15-minute increments.

6.1.4 To simplify matters, all short activities (<15 minutes duration) are not billed individually, but via a collective item (administration flat rate) amounting to 7% of the hours worked in a month. If this is not desired, the customer must inform Nexis of this when concluding the contract with regard to Professional Services. In this case, all short activities (each rounded up to 15 minutes) will be invoiced individually.

6.1.5 Any agreed total budget can be called up flexibly over a project term, taking into account corresponding lead times at Nexis. The customer is under no obligation to call up services under an agreed total budget.

6.1.6 The customer is obliged to name a contact person for the provision of Professional Services and any project communication on the part of the customer to Nexis in writing (e-mail is sufficient) before the agreed start of the Professional Services. In particular, the parties shall use this communication channel to agree on schedules for the provision of Professional Services or within the framework of a specific project.

6.2 Acceptance of Work Performances

6.2.1 Nexis shall notify the customer of the readiness for acceptance of work services (Abnahmereife von Werkleistungen) in writing (e-mail is sufficient).

6.2.2 The customer shall commence the acceptance test immediately upon receipt of the notification of readiness for acceptance.

6.2.3 The customer shall provide the data and equipment required for the acceptance test free of charge and to the extent necessary.

6.2.4 The customer may not refuse acceptance due to insignificant defects. Insignificant defects are in particular those of a more cosmetic nature that do not lead to an impairment of the function, or defects that occur in the layout that do not significantly hinder the use of the Nexis Platform by the user.

6.2.5 The service to be accepted shall be deemed to have been accepted if

• the customer refuses to carry out the acceptance test or to sign or draw up the report without a comprehensible justification, in particular without a description of defects preventing acceptance, or
• the customer does not notify Nexis of defects preventing acceptance within a reasonable period of time, whereby a reasonable period of time is generally four weeks, unless Nexis notifies a different period of time, or
• the customer uses the work product to be accepted productively for a total period of more than twelve (12) weeks after receiving notification that the work product is ready for acceptance.

6.2.6 If acceptance is excluded due to the nature of the work, the completion of the work shall take the place of acceptance.

6.2.7 In the event of partial acceptance, Nexis shall be entitled to withhold further services if the customer is in default with the acceptance of partial work products or with the payment of partially accepted work products. Agreed fixed deadlines shall be automatically extended by the period of such authorised retention.

6.2.8 Nexis shall be entitled to demand partial acceptances from the customer for partially completed work productsrendered in accordance with the contract. The provisions of section 6.2 shall apply accordingly to these partial acceptances. Partial acceptances are subject to overall acceptance. Nevertheless, the customer may not refuse overall acceptance due to defects that were obvious during a partial acceptance test or should have been recognised by the customer, but the customer nevertheless declared acceptance.

6.3 Claims of the Customer for Material Defects

6.3.1 The customer shall grant reasonable periods of time to remedy the defect.

6.3.2 Within the scope of subsequent fulfilment, Nexis shall choose between rectification or new delivery.

6.3.3 After an unsuccessful attempt at subsequent fulfilment, Nexis shall be permitted at least one further attempt at subsequent fulfilment, unless Nexis seriously and definitively refuses subsequent fulfilment.

6.3.4 All notices of defects and requests for subsequent fulfilment shall, if possible, be made in writing with comprehensible descriptions of the symptoms of the defect and with the submission of written records, hard copies or other documents illustrating the defects.

6.3.5 The right to self-remedy in accordance with sections 634 No. 2, 637 BGB is excluded.

6.3.6 A reduction in remuneration totalling more than 50 % is not permitted.

6.3.7 Claims for defects shall not extend to work results and services of Nexis that the customer or a third party modifies on behalf of the customer without the consent of Nexis. This shall not apply if the customer proves that this change is not the cause of the defect in question.

6.4 System Compatibility

6.4.1 If the object of the Professional Services is the creation or provision of a web application or software application by Nexis, Nexis shall only be responsible for its functionality for the expressly agreed operating systems, browser types and versions.

6.4.2 If it is not possible to correctly reproduce a web application to be created and/or provided using one of the agreed browser versions solely due to non-compliance with W3C conventions or a programming error on the part of the browser manufacturer and Nexis is not responsible for this circumstance, this shall not constitute a material defect and Nexis shall not be obliged to modify or adapt the web application in question.

6.4.3 Nexis hereby expressly draws the customer's attention to the fact that the operability or functionality of the web application may be impaired or completely eliminated if the agreed operating systems and browser versions are changed, overhauled or replaced by new releases, updates, upgrades or subsequent versions of these programmes.

6.5 Change Request

6.5.1 The parties shall be entitled at any time to propose to the other party different characteristics or requirements for the object of performance agreed within the scope of the Professional Services ("Change Request").

6.5.2 Upon receipt of a corresponding request from the customer, Nexis estimates the costs for the professional, technical and organisational implementation of the customer's request and at the same time submits an offer to conclude a corresponding Change Request.

6.5.3 Nexis shall notify the customer of the completion of the customisation services in accordance with a Change Request.

6.5.4 During the negotiation of a Change Request, Nexis shall continue to perform in accordance with the applicable agreements. If the customer wishes to temporarily suspend the contractual provision of services until the conclusion of the negotiations, section 10.1.5 shall apply accordingly.

6.5.5 Any additional expenses incurred by Nexis due to the implementation of a Change Request shall be remunerated by the customer additionally and on a time and material basis. Nexis and the customer shall agree on the expected additional costs before implementing the Change Request.

6.6 Property Rights

Insofar as intellectual property rights are created by Nexis within the scope of Professional Services, the granting of rights to any work results shall be governed by section 4.2 unless otherwise agreed in writing. The parties merely clarify that, unless otherwise agreed, modifications to the Nexis Platform developed as part of the Professional Services shall not be deemed to be software components created individually for the customer and Nexis shall be entitled at any time to transfer these customisations to the standard functional scope of the Nexis Platform and also offer them to other Nexis customers.

7. General Principles of Service Provision by Nexis

7.1 Nexis shall provide the contractual services in accordance with the current state of the art.

7.2 Nexis shall provide the customer with user documentation (user guide) in digital form in German for the Nexis Platform and any software developed as part of Professional Services, which is addressed to a specialised IT user. No further documentation is owed.

7.3 Nexis only employs qualified and reliable staff and uses proven processes and tools that Nexis is aware of.

7.4 Nexis shall decide at its due discretion which employees are to be deployed or replaced for the contractual provision of services. The authority to issue instructions regarding the deployed employees lies and remains exclusively with Nexis.

7.5 Nexis shall be entitled to determine the location, working hours and work process itself, but shall take into account the given circumstances and objectively justified requirements to the extent necessary for the proper execution of the contractual relationship.

7.6 Nexis is not obliged to check the compatibility of the content requirements placed by the customer on the services to be provided by Nexis with applicable statutory provisions, in particular competition law, data protection law and consumer protection law provisions, as well as violations of trademark and patent law. The responsibility for this lies and remains with the customer. Nevertheless, Nexis shall notify the customer of breaches of law as soon as Nexis becomes aware of such breaches and the notification itself does not constitute a breach of duty on the part of Nexis.

7.7 Nexis shall only be obliged to provide advice if this has been expressly agreed.

7.8 Services provided by Nexis shall only be deemed guaranteed if and to the extent that the word "guarantee" or "guaranteed service" is expressly used in connection with them. In particular, services agreed in the SLA or as part of Support Services or Professional Services do not constitute guarantees.

7.9 The place of performance and fulfilment is the main place of business of Nexis.

7.10 Relative and/or absolute fixed dates are only those that are expressly designated as "fixed date" or "fixed dates" or with a similar and equivalent designation.

7.11 Unless otherwise agreed, e.g. as part of Premium Support Services, the customer is generally responsible for backing up the customer's data.

7.12 The customer is obliged to comply with all foreign trade regulations applicable to them and not to establish and/or maintain any connections with persons and organisations against which restrictive measures to combat terrorism or other foreign trade sanctions have been or will be imposed.

7.13 The services and deliveries of Nexis are subject to the reservation of self-supply, provided that Nexis is not at least grossly negligent in the temporary or permanent failure of self-supply. Nexis shall inform the customer of such a failure as far as possible in advance, promptly and in writing.

7.14 If contractual services can be realised in different technical ways and/or with different technical means, Nexis shall decide on the type and means at its reasonable discretion. Such a decision must take into account the interests of the customer and be reasonable.

8. Term and Cancellation

8.1 Access to the Nexis Platform

8.1.1 Unless otherwise agreed in writing, a contract for the use of the Nexis Platform is concluded for a fixed term of thirty-six (36) months.

8.1.2 The right of both parties to terminate the contract without notice for good cause shall remain unaffected, in particular if the other party persistently breaches material contractual obligations and fails to remedy the breach within a reasonable period of time despite a warning, or if the other party suffers a significant deterioration or threat to its assets. In addition, Nexis shall be entitled to terminate the contract without notice if the customer is in default of payment for two (2) consecutive months or for a period of more than two (2) months totalling two (2) months' remuneration.

8.2 Support Services

8.2.1 The term of the Standard Support Services offered in connection with the provision of the Nexis Platform is identical to the term of the contract for the use of the Nexis Platform. Unless otherwise agreed in writing, the term of any Premium Support Services booked by the customer is also identical to the term of the contract for the use of the Nexis Platform.

8.2.2 The right to extraordinary cancellation remains unaffected.

8.2.3 If a contract for Premium Support Services is concluded together with the contract for the use of the Nexis Platform, the provision of services shall begin when the login data for the Nexis Platform is provided to the customer. Unless otherwise agreed in the Offer, the obligation to pay the agreed maintenance and support fee shall commence upon expiry of a period of two (2) months, beginning with the conclusion of the Nexis Platform contract.

8.2.4 If support for third-party software is (also) the subject of Premium Support Services and the manufacturer of this third-party software announces the so-called "end-of-life" of the manufacturer's support for the third-party software in question, Nexis shall be entitled to terminate Premium Support Services in relation to the third-party software in question without observing a notice period and with effect from the date specified by the manufacturer in question as the "end-of-life" (extraordinary special right of termination). If the termination of Premium Support Services relating to the relevant third-party software due to the assertion of this special right of cancellation occurs before the end of the contract term for which the customer has already paid remuneration to Nexis, Nexis shall refund the remuneration for Premium Support Services to the customer on a pro rata temporis basis.

8.2.5 If manufacturer support from a third party expires (so-called end-of-life), which Nexis obtains and requires in order to provide the contractual Premium Support Services, Nexis shall be entitled to:

• terminate the support contract as a whole subject to a notice period of 30 calendar days,
• terminate the contractual Premium Support Services affected by the end-of-life in question on a pro rata basis subject to a notice period of 30 calendar days, or
• request an adjustment of the support contract or the Premium Support Services to the effect that the end-of-life in question does not result in nonperformance and/or poor performance by Nexis.

8.2.6 The right of cancellation in accordance with the above section 8.2.5 arises with the announcement of the end-of-life by the manufacturer.

8.3 Professional Services

8.3.1 If the Professional Services are considered services (Dienstleistungen), the customer shall owe remuneration for all services already rendered.

8.3.2 Insofar as – by way of exception - the services provided within the scope of Professional Services areconsidered work services (Werkleistungen), the provisions set out in this section 8.3.2 shall apply in deviation from the statutory provisions:

a) With regard to section 648 sentence 3 BGB, Nexis shall be entitled to fifteen (15) percent of the agreed remuneration for the part of the work not yet performed. Nexis shall not be entitled to this lump-sum claim if and to the extent that the customer proves that the amount due to Nexis pursuant to section 648 BGB is significantly lower or that Nexis is not entitled to any remuneration.

b) If the customer cancels work services within the framework of a mixed-type contract in accordance with section 648 BGB, the rest of the contract shall remain unaffected by this cancellation. If Nexis cancels work services within the framework of a mixed-type contract in accordance with section 643 BGB, the contract shall otherwise remain unaffected by this cancellation.

9. Remuneration

9.1 Services provided by Nexis shall be remunerated by the customer in accordance with the Offer.

9.2 All daily rates, hourly rates, prices and remuneration stated by Nexis are exclusive of any applicable statutory value added tax and any customs duties and other levies. Taxation is calculated in accordance with the legal requirements for intra-community acquisitions in the EU.

9.3 Nexis shall properly invoice the contractual remuneration claims. Nexis is authorised to invoice by e-mail.

9.3.1 Invoices for the use of the Nexis Platform are issued twelve (12) months in advance. Billing for the subsequent period takes place directly after the end of the previous billing period. This results in one invoice per year of the contract term, which is issued at the beginning of each year. If the contract term is shorter than 12 months, the billing period corresponds to the period from the beginning to the end of the contract term.

9.3.2 Invoices for Premium Support Services are issued annually in advance.

9.3.3 Invoices for Professional Services are issued monthly, at the end of the month following the month in which the service was rendered.

9.4 Remuneration claims due from Nexis must be settled within 14 calendar days, beginning with receipt of the invoice.

9.5 If Nexis provides services within the scope of the customer's statutory and/or contractual liability for defects, these shall be free of charge, in particular also in the event that a contractual relationship (e.g. a contract for Professional Services) exists between Nexis and the customer, according to which the same services would have to be remunerated by the customer.

9.6 The customer shall reimburse Nexis for travel expenses incurred by Nexis employees travelling between the relevant Nexis and the customer's location. The following modalities must be observed when using means of transport:

• Rail travel: Costs for 2nd class are eligible for reimbursement.
• Flights: Reimbursable are costs for economy class.
• Use of own car: 0.40 Euro per kilometre or part thereof will be reimbursed.

The customer shall pay 50% of the daily or hourly rates agreed in the Offer for travelling time incurred by Nexis employees.

When Nexis employees travel, Nexis shall be entitled to claim from the customer any hotel costs incurred as well as an additional overnight accommodation allowance of EUR 150 per necessary overnight stay; an overnight stay is necessary if the contracting parties agree on the necessity, if it is necessary in order to comply with the requirements of the Working Hours Act (Arbeitszeitgesetz) or if the distance between the Nexis site and the customer's site is more than 200 km direct travel distance (on major European roads).

10. Secondary Obligations of the Customer

10.1 General Secondary Obligations

10.1.1 The customer is obliged to co-operate to the necessary extent free of charge. Nexis shall inform the customer in advance of any necessary co-operation.

10.1.2 The customer shall ensure that the data and information provided by it is correct, complete and appropriate; Nexis shall not be subject to any active verification obligations in this respect.

10.1.3 The customer is obliged to inform Nexis immediately of any defects or gaps in the provision of services, if and as soon as they become aware of them or can become aware of them in the normal course of business.

10.1.4 The customer shall name an employee of their company who shall be available to Nexis as a contact person authorised to make decisions. The customer shall also nominate a deputy in the event that the primary contact person is unavailable.

10.1.5 If the customer is in default with the performance or provision of an act of co-operation or if the contractual provision of services by Nexis is delayed due to another circumstance for which the customer is responsible ("Delay"), all agreed deadlines that cannot be met due to the Delay by Nexis for operational reasons shall be postponed to a reasonable later date to be determined by Nexis at its reasonable discretion. Furthermore, Nexis shall be entitled to demand compensation from the customer for damages resulting from the Delay, including necessary additional expenses, if and to the extent that such expenses are incurred.

10.1.6 The customer shall support Nexis in determining the amount of variable, in particular usage-dependent remuneration claims to the extent necessary and reasonable and free of charge for Nexis.

10.1.7 If Nexis performs work within the scope of Professional Services, sections 642, 643 BGB shall remain unaffected by the above provisions.

10.2 Supplementary Ancillary Obligations Regarding the Use of the Nexis Platform

10.2.1 The customer shall support Nexis in checking whether the Nexis Platform is used exclusively to the extent that Nexis has granted the customer rights to it. Upon request by Nexis, the customer shall provide corresponding self-disclosures with comprehensible evidence of the scope of use within a reasonable period of time.

10.2.2 The customer is obliged:

• to protect the login data assigned to them or their users for the Nexis Platform, in particular usage and access authorisations as well as identification and authentication safeguards, from access by unauthorised third parties and shall not pass them on to unauthorised users and/or unauthorised third parties,
• to prevent unauthorised access by third parties to the Nexis Platform and/or the system and to the documentation by taking suitable precautions,
• to take reasonable precautions in the event that the Nexis Platform does not work properly in whole or in part. Such reasonable precautions include, in particular, appropriate and regular data backups (unless otherwise agreed as part of Premium Support Services) and regular checks of the data processing results,
• before using the Nexis Platform for the first time, to only provide access data for the Nexis Platform to persons who have been sufficiently trained and informed about the consequences of misuse or incorrect use of the functions provided via the Nexis Platform,
• to store and retain the information and documents (invoices, credit notes, etc.) on the Nexis Platform that are relevant under tax and/or commercial law and must be retained in accordance with the law,
• to grant Nexis access to the web front-end of the Nexis Platform and the corresponding APIs, if necessary for the performance of maintenance work on the Nexis Platform, and
• to issue such authorisations without undue delay for the installation of patches, updates or upgrades on all of the customer's systems that require approval.

10.2.3 The customer undertakes to refrain from doing the following:

• to modify, edit or decompile the source and/or object code of the Nexis Platform without the consent of Nexis, unless and insofar as they are authorised to do so on the basis of section 69e of the German Copyright Act (UrhG) or with the express consent of Nexis,
• to use or allow the use of functions or processes of the Nexis Platform and the underlying system contrary to the contract or the intended purpose, or to support or enable such use,
• to gain access to data and information not intended for themselves or third parties,
• to misuse the Nexis Platform, in particular to post illegal or immoral content or to refer to such content by hyperlink that violates the rights of third parties or is illegal (e.g. violations of personal rights, copyright, trademark or competition law),
• to penetrate or use the data networks, servers, programs and program components or other system components of Nexis without authorisation,
• to remove and/or change copyright notices, serial numbers and other features serving to identify software and/or hardware,
• not to carry out any load, penetration, vulnerability or other testing procedures (including but not limited to automated vulnerability scans, fuzzing, code injection tests and simulations of DDoS or other overload attacks) that could affect the stability, security or availability of the Nexis Platform without the prior consent of Nexis, or
• to use Nexis software and systems for the unsolicited sending of electronic messages or information to third parties for advertising purposes (so-called spamming).

10.2.4 The customer shall provide Nexis with the following if required and upon request by Nexis:

• Parameters for system configuration,
• information on interfaces and data formats,
• the provision of test data, and
• the definition of test cases.

10.2.5 If the Nexis Platform is connected to third-party systems via an interface, the customer shall provide Nexis with a test system and/or test access to the relevant third-party systems promptly and in good time in advance.

10.2.6 If the customer breaches an obligation pursuant to sections 10.2.1 to 10.2.3, Nexis shall be entitled to request the customer to comply and to set a reasonable deadline for compliance. If this deadline expires without result, Nexis shall be entitled to block or restrict the contractual provision of services or access to the Nexis Platform and the system in whole or in part until the customer fulfils the obligation to cooperate or ancillary obligation. Such blocking or restriction shall not entitle the customer to withhold or reduce the monthly fee.

10.2.7 If the customer generates data on the Nexis Platform or holds data on the system that constitutes a breach of an obligation pursuant to sections 10.2.1 to 10.2.3 or whose possession and/or processing violates applicable law, Nexis shall be entitled to delete the data in question immediately and without replacement.

11. Third-Party Works and Services, Open Source

11.1 If Nexis provides the customer with third-party software, third-party hardware, third-party data centre services and/or other third-party services, the provisions of the licence conditions of the third parties concerned shall take precedence for their use and their support and maintenance, if and to the extent that Nexis is obliged to include the licence conditions of the third party in the contractual relationship between the contracting parties when using the contractual third-party services. At the customer's request, Nexis shall inform the customer in text form which licence conditions are involved, to which third-party services these relate and shall provide or send the customer the corresponding licence conditions. Licence conditions in this sense are in particular enduser licence agreements, SLAs, support and maintenance contracts and terms of use.

11.2 The integration, connection or combination of third-party works (e.g. third-party software, open source software, freeware, third-party graphics, third-party images) in, on or with the Nexis Platform and/or work results created by Nexis as part of Professional Services shall not require the customer's consent.

11.3 In the event of the integration, connection or combination of third-party works within the meaning of section 11.1 in which copyrighted rights of use, ancillary copyrights or industrial property rights sui generis exist in favour of third parties, Nexis shall only grant the customer rights to the relevant third-party works to the extent that Nexis itself receives rights from the respective rights holders and the legal relationship that exists between Nexis and the respective rights holders permits this.

11.4 Unless otherwise agreed, Nexis shall grant the customer rights to third-party works at least to the extent necessary for their contractual and intended use.

12. Claims of the Customer for Defects of Title

12.1 If services provided by Nexis are legally defective, Nexis may, at its discretion and expense:

12.1.1 modify or replace the relevant services in such a way that the defect of title is remedied, but still essentially correspond to the agreed functional and performance characteristics in a manner that is reasonable for the customer, or

12.1.2 acquire rights from third parties that are necessary for the customer to be able to use the contractual services free of defects in title and in accordance with the contract and its intended purpose, and to grant these rights to the customer, or 12.1.3 withdraw the affected services against reimbursement of the remuneration paid, whereby Nexis is obliged to grant the customer a reasonable cancellation period, unless this is only possible under unreasonable legal or other conditions.

12.2 Furthermore, Nexis shall indemnify the customer against justified and enforceable claims for damages due to the legal defectiveness of the services of Nexis vis-à-vis the owner of the property rights. The customer shall inform Nexis immediately of any claims asserted by a third party due to an asserted infringement of property rights based on services provided by Nexis. The customer shall refrain from declaring or concluding acknowledgements and/or settlements regarding such claims asserted by third parties without the consent or authorisation of Nexis. Furthermore, the customer shall leave the legal defence against such claims and the choice and assertion of defence measures to Nexis, unless the customer must reserve the defence measures and/or the legal defence for legal reasons. In the event of legal defence by Nexis, the customer shall support Nexis in this, insofar as this is reasonable and the costs involved are not disproportionate. Indemnification claims with immediate effect and retroactively.

12.3 If the contractual relationship for the provision of the Nexis Platform is regarded as a rental agreement, the right of cancellation in accordance with the above section 12.1.3 shall be replaced by the right of extraordinary termination without notice, with the proviso that rental payments paid in advance shall be refunded pro rata temporis.

13. Limitation of Claims

The limitation period for claims arising from material defects and/or defects of title is twelve (12) months, unless the application of the regular statutory limitation period (sections 195, 199 BGB) would lead to a shorter limitation period in individual cases. The limitation regulations in accordance with the Product Liability Act and in accordance with the statutory limitation regulations for claims for damages by the customer against Nexis in the event of grossly negligent or wilful breach of duty shall remain unaffected. The customer's commercial obligations to give notice of defects shall remain unaffected.

14. Liability, Damages

14.1 Nexis shall be liable without limitation in the event of intent, gross negligence, injury to life, body or health, in accordance with the provisions of the Product Liability Act and to the extent of a guarantee assumed by Nexis.

14.2 If Nexis negligently breaches a material obligation, Nexis' liability shall be limited to compensation for damages that are typical for the contract and foreseeable for Nexis at the time the contract is concluded. Material obligations are those whose fulfilment is essential for the proper execution of the contract, whose breach jeopardises the achievement of the purpose of the contract and on whose compliance the customer regularly relies.

14.3 The strict liability of Nexis for material defects that already exist at the time the contract is concluded (section 536a BGB) is excluded. This exclusion does not apply to defects of title.

14.4 In the event of loss and/or damage to data, Nexis shall only be liable to the extent that this loss or damage and its recovery could not have been avoided by the customer taking reasonable precautions, in particular the daily creation of backup copies.

14.5 Otherwise, any liability for damages on the part of Nexis, regardless of the legal grounds, is excluded.

14.6 The above limitation of liability also applies to the personal liability of employees, vicarious agents, organs and representatives of Nexis.

15. Data protection, Telemetry

15.1 Both Nexis and the customer undertake to process personal data in accordance with the requirements of the applicable data protection laws, in particular the EU GDPR.

15.2 Insofar as Nexis processes personal data of the customer, its employees, end customers or other third parties as part of the services offered under these NEXIS QSECPlatform GTC, Nexis shall only do so on the instructions of the customer or in order to comply with legal requirements. For this purpose, the parties shall conclude a separate order data processing agreement in accordance with Annex 1.

15.3 Nexis is entitled to anonymise or aggregate data about the customer's use of the Nexis Platform so that it is no longer possible to identify individual data subjects and use it in this form to optimise the Nexis Platform, among other things. The parties agree that anonymised data or data aggregated in accordance with the above shall no longer be considered customer data.

16. Confidentiality

16.1 The parties undertake to treat all confidential information that becomes known to them in the context of the contractual relationship as confidential and to use it only for contractually agreed purposes. Confidential information within the meaning of this provision is information, documents, details and data that are designated as such or are to be regarded as confidential by their nature, in particular also information about the functioning of the Nexis Platform including the underlying structure.

16.2 An exception to section 16.1 exists in the following cases:

16.2.1 If the information is already generally known at the time the contract is concluded,

16.2.2 the party receiving the information was already aware of the information prior to such disclosure of the information by the other party, 16.2.3 the information has become generally known after the conclusion of the contract without the party obliged to maintain confidentiality being at fault, or

16.2.4 one party is required by applicable law, governmental regulation or lawful court or governmental order to disclose Confidential Information and, to the extent permitted by law, notifies the other party of such disclosure and takes reasonable steps to avoid and/or minimise the extent of such disclosure.

16.3 The provisions of the law on the protection of business secrets shall remain unaffected by the provisions set out in this section 16.

16.4 The rights and obligations under section 16 of these NEXIS QSECPlatform GTC shall survive the term of the contractual relationship. Both parties are obliged to return or destroy confidential information of the other party upon termination of the contractual relationship at their discretion, unless it has been properly used or separate agreements have been made for the deletion of data after use of the Nexis Platform in accordance with section 4.4.

17. Minimum Wage Act

17.1 Nexis commits itself and its subcontractors to comply with the provisions of the Minimum Wage Act (Mindestlohngesetz).

17.2 Nexis shall indemnify the customer against all claims of third parties to which they are entitled against the customer due to a breach by Nexis of the provisions of the Minimum Wage Act. The provisions on indemnification of the customer in section 12.2 shall apply accordingly.

18. Change of Control

18.1 The customer is obliged to inform Nexis of a change in its majority shareholder in advance and in writing if possible.

18.2 Upon receipt of information within the meaning of section 18.1, Nexis shall be entitled to terminate the contractual relationship without observing a notice period and with immediate effect (extraordinary special right of termination).

19. Final Provisions

19.1 The transfer of the contract or individual rights or obligations arising from it by the customer to third parties requires the prior written consent of Nexis. Section 354a German Commercial Code (HGB) remains unaffected.

19.2 Offsetting against counterclaims of the customer is only permitted if these claims are undisputed or have been legally established. The customer's right of set-off is unrestricted insofar as an offset claim is synallagmatically linked to the principal claim.

19.3 The performance and legal relationship between the parties shall be governed exclusively by German law to the exclusion of the United Nations Convention on contracts for the International Sale of Goods (CISG).

19.4 The exclusive place of jurisdiction for all disputes arising from or in connection with the contractual relationship is the main place of business of Nexis. Nexis also has the right to sue the customer at its registered office.

19.5 The contractual language is German. In the event of parallel use of other languages and inconsistencies between different language versions, the German wording of the relevant provisions shall be decisive.

19.6 Should individual provisions of the NEXIS QSEC Platform GTC be or become invalid or unenforceable, this shall not affect the validity of the remaining provisions of the NEXIS QSEC Platform GTC. The parties shall endeavour to replace the invalid or unenforceable provision with a valid and enforceable provision that comes as close as possible to the economic intent of the invalid or unenforceable provision. The same applies in the event of a loophole in these NEXIS QSEC Platform GTC.

***

Service Level Agreement

("SLA")

1. Einleitung

1.1 Hinsichtlich der im Rahmen der Allgemeinen Geschäftsbedingungen für Nexis QSEC - Software as a Service Solution ("Nexis QSEC Plattform AGB") durch Nexis erbrachten Leistungen, insbesondere der Bereitstellung der Nexis Plattform, gelten die im Rahmen dieser SLA vereinbarten Verfügbarkeiten und Service Level zur Messung und Kontrolle der Qualität der Leistungen.

1.2 Sofern im Rahmen dieses SLAs nicht abweichend definiert, gelten die in den Nexis QSEC Plattform AGB festgelegten Definitionen gleichermaßen fort.

1.3 Bei einem Konflikt zwischen den Regelungen in den Nexis QSEC Plattform AGB und dem SLA gehen die Regelungen dieses SLAs vor. Im Angebot individuell vereinbarte Regelungen gehen sowohl dem SLA als auch den Nexis QSEC Plattform AGB vor.

2. Verfügbarkeit

2.1 Nexis stellt dem Kunden den Zugang zur produktiven Nexis Plattform über eine Internetverbindung zu 98% pro Kalendermonat zur Verfügung (die "Verfügbarkeit"). Sofern der Kunde Premium Support Services in Anspruch nimmt, beträgt die Verfügbarkeit 99% pro Kalenderjahr.

2.2 Der Prozentsatz der tatsächlichen Uptime wird nach folgender Formel berechnet:

Tatsächliche Uptime = (Vereinbarte Uptime − Ungeplante Ausfallzeit) / Vereinbarte Uptime ∗ 100

2.3 Die vereinbarte Uptime ist die Gesamtzeit eines Kalenderjahres, gemessen in Minuten. Die ungeplante Ausfallzeit wird ebenfalls in Minuten angegeben.

2.4 Nicht als ungeplante Ausfallzeit und damit unbeachtlich für die Berechnung der tatsächlichen Uptime gilt die Durchführung geplanter, angekündigte Unterbrechungen für Wartungsarbeiten, sofern und soweit diese technisch notwendig sind und/oder zur Sicherstellung und/oder Aufrechterhaltung der Sicherheit, Verfügbarkeit und Integrität der Nexis Plattform erfolgen.

2.5 Nexis wird versuchen, diese Wartungsarbeiten außerhalb der regelmäßigen Arbeitszeiten zwischen 18:00 und 09:00 Uhr Mitteleuropäische Zeit (CET/MEZ) durchzuführen.

2.6 Unterschreitet die tatsächliche Uptime die Verfügbarkeit, steht dem Kunden ein zur Unterschreitung der Verfügbarkeit proportionales Minderungsrecht zu.

2.7 Die in Ziffer 14 der Nexis QSEC Plattform AGB sowie etwaige im Angebot dargelegten Haftungsbeschränkungen von Nexis, insbesondere auch die Ausnahmen hierzu, finden gleichermaßen auf dieses SLA Anwendung.

3. Service Level

3.1 Eine Behebung etwaiger Einschränkungen der Funktionsweise der Nexis Plattform ("Fehler") richtet sich nach den in dieser Ziffer 3 beschriebenen Service Level.

3.2 Ob ein Fehler der Nexis Plattform vorliegt, bestimmt sich nach der Beschreibung der Funktionalität der Nexis Plattform gemäß Leistungsschein. Ein Fehler liegt insbesondere vor, wenn die Nexis Plattform nicht die im Leistungsschein angegebenen Funktionen erfüllt, den Lauf unkontrolliert abbricht oder in sonstiger Weise nicht ordnungsgemäß arbeitet, so dass eine Nutzung der Plattform nicht nur unerheblich eingeschränkt oder unmöglich ist.

3.3 Ein Fehler liegt nicht vor, wenn die Funktionsstörung auf unsachgemäße Nutzung der Plattform, insbesondere ein Abweichen von etwaigen Nutzungsanweisungen (Benutzerhandbuch) oder Einsatz in einer nicht dafür vorgesehenen Hard- und Softwareumgebung, beruht.

3.4 Nexis wird unter Einsatz der zur Verfügung stehenden Mittel innerhalb angemessener Frist nach Eingang einer Fehlermeldung des Kunden mit der Fehlerbeseitigung beginnen. Nexis wird sich auch bemühen, dem Kunden eine Umgehungslösung anzubieten.

3.5 Hinsichtlich der von Nexis angebotenen Service Level wird zwischen den nachfolgenden Fehlerklassen unterschieden:

• Klasse 1 (kein Arbeiten möglich): Die Nutzung der Nexis Plattform oder wesentliche Teile der Plattform ist nicht möglich; Die Plattform ist entweder nicht lauffähig oder bricht ihre Funktion willkürlich ab.
• Klasse 2 (Arbeiten kritisch): Die Anwendung wesentlicher Teile der Nexis Plattform ist nur stark eingeschränkt möglich, der Benutzer ist in seiner Arbeit stark eingeschränkt.
• Klasse 3 (kleinere Fehler): Die Nexis Plattform ist ohne wesentliche Einschränkungen nutzbar, die Arbeitsergebnisse brauchbar.

3.6 Einschränkungen in der Nutzung der Plattform können die Kunden über die in den Nexis QSEC Plattform AGB beschriebenen Kanäle melden.

3.7 Die Kategorisierung der gemeldeten Fehler wird grundsätzlich einvernehmlich zwischen Nexis und dem Kunden getroffen. Kann kein Einvernehmen erzielt werden, so entscheidet Nexis über die Kategorisierung.

3.8 Die Reaktionszeit bemisst sich nach den Umständen des Einzelfalls, insbesondere nach der Schwere des Fehlers und ist definiert als die Zeit, die der Lizenzgeber benötigt, um mit der Fehlerbeseitigung zu beginnen. Die Zeitbemessung richtet sich nur innerhalb der vereinbarten Supportzeiten. Soweit nicht besondere Umstände vorliegen, gelten folgende Fehlerklassen und Reaktionszeiten für die Fehlerbehebung:

3.9 Sofern die geschätzte Zeit bis zur Beseitigung des jeweiligen Fehlers nicht eingehalten werden kann, wird Nexis den Kunden hierüber rechtzeitig in Kenntnis setzen, einschließlich der Hintergründe für die Verzögerung und wie lange die gemeldete Störung voraussichtlich noch andauern wird.

3.10 Wird ein Fehler außerhalb der Geschäftszeiten von Nexis (Montag-Freitag, außer an gesetzlichen Feiertagen am Standort Regensburg von Nexis, 09:00 und 17:00 Uhr) gemeldet, gilt er als zu Beginn der nächsten Geschäftszeiten gemeldet. Soweit eine Frist in Tagen berechnet wird, endet die Frist mit dem Ende der jeweiligen Geschäftszeiten dieses Tages.

4. Updates

Sofern Nexis - wie insbesondere in Ziffer 4.1 der Nexis QSEC Plattform AGB beschrieben - die Nexis Plattform im Rahmen von Wartung, Support und regulärer Weiterentwicklung mittels Patches, Updates (entspricht dem Bereitstellen einer neuen Nebenversion), Upgrades (entspricht dem Bereitstellen einer neuen Hauptversion) und neuen Releases ändert und/oder anpasst, erfolgen diese grundsätzlich nach den im Folgenden beschriebenen Intervallen:

5. Weitere Leistungen gemäß Premium Support Services

Im Rahmen der gemäß Angebot gesondert vereinbarten Premium Support Services erhält der Kunde gegenüber dem allgemeinen Support folgende Zusatzleistungen:

5.1 Backup Service Paket: Nexis führt für den Kunden hinsichtlich der auf der Nexis Plattform verarbeiteten Daten des Kunden täglich ein Backup durch und stellt es dem Kunden für eine Dauer von 48h nach Erstellung des Backups zum Download zur Verfügung.

5.2 Für jedes volle Jahr gebuchter Premium Support Services stellt Nexis dem Kunden Professional Services (siehe. Ziffer 6 der Nexis QSEC Plattform AGB) auf dem Level eines Junior Consultants im Umfang von 5 Personentagen zur Verfügung. Das im Rahmen dieser Ziffer 5.2 bereitgestellte Kontingent an Professional Services muss vom Kunden während der Laufzeit der Premium Support Services eingelöst werden. Andernfalls verfällt das Kontingent.

5.3 Einzelne Updates der Nexis Plattform werden auf Anfrage des Kunden und sofern sich hieraus für Nexis oder die Nutzung der Plattform keine unangemessenen Nachteile oder (Sicherheits-)Risiken ergeben, für einen Zeitraum von höchstens 2 Monaten ausgesetzt.

Anlage 1 zu den QSEC Plattform AGB

Auftragsverarbeitungsvertrag

"Vertrag"

Nachfolgend werden der Verantwortliche und Nexis jeweils als Vertragspartei und gemeinsam als Vertragsparteien bezeichnet. Verantwortlicher im Sinne dieser Anlage ist der Lizenznehmer.

Präambel

Dieser Vertrag regelt die datenschutzrechtlichen Verpflichtungen betreffend die Verarbeitung personenbezogener Daten im Zuge der von Nexis unter den QSEC Plattform AGB und im Zusammenhang mit dem dazugehörigen Angebot (der "Hauptvertrag") erbrachten Leistungen.

Sofern im Rahmen dieses Vertrags nicht abweichend definiert, gelten die in den QSEC Plattform AGB festgelegten Definitionen gleichermaßen fort.

1. Gegenstand der Verarbeitung

1.1 Soweit Nexis im Rahmen der Durchführung des Hauptvertrages Zugang zu personenbezogenen Daten erhält, die er im Auftrag des Verantwortlichen verarbeitet ("Gegenstand der Verarbeitung"), gelten die Bestimmungen dieses Vertrages. Einzelheiten der Verarbeitung ergeben sich aus Annex 1 (Beschreibung der Verarbeitung), der Bestandteil dieses Vertrages ist.

1.2 Der Gegenstand der Verarbeitung gilt als Weisung im Sinne des Punkt 2.1.

1.3 Jede Änderung des Gegenstands der Verarbeitung bedarf einer entsprechenden schriftlichen Weisung durch den Verantwortlichen.

2. Verarbeitung nur auf Weisung des Verantwortlichen

2.1 Personenbezogene Daten dürfen nur auf schriftliche Weisung des Verantwortlichen, insbesondere in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, verarbeitet werden. Mündliche Weisungen sind vom Verantwortlichen unverzüglich und ohne Aufforderung in Textform (bspw. E-Mail) zu bestätigen.

2.2 Sollte Nexis auch ohne Vorliegen einer derartigen Weisung durch nationales Recht oder Unionsrecht zur Verarbeitung oder Übermittlung verpflichtet sein, so hat Nexis dies dem Verantwortlichen vor Aufnahme der entsprechenden Verarbeitungstätigkeit in Textform (per E-Mail) mitzuteilen, sofern eine derartige Mitteilung nicht aufgrund eines wichtigen öffentlichen Interesses oder sonstigen gesetzlich zwingenden Gründen untersagt ist.

2.3 Nexis hat den Verantwortlichen unverzüglich zu informieren, falls er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen anwendbare datenschutzrechtliche Vorschriften verstößt.

3. Wahrung der Vertraulichkeit

Nexis hat alle mit der Verarbeitung personenbezogener Daten beauftragten Personen vor Aufnahme der Tätigkeit zur Wahrung der Vertraulichkeit zu verpflichten, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4. Sicherheit der Verarbeitung

4.1 Nexis hat gemäß Artikel 32 der Datenschutz-Grundverordnung (Verordnung (EU) 679/2016, "DSGVO") erforderliche Maßnahmen für ein angemessenes Schutzniveau zu ergreifen. Die von Nexis gemäß Artikel 32 DSGVO getroffenen technischen und organisatorischen Maßnahmen ergeben sich aus Annex 2 (Technisch-organisatorische Maßnahmen), der Bestandteil dieses Vertrages ist.

4.2 Nexis hat unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten zu unterstützen.

4.3 Nexis unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Ausübung der in Kapitel III der DSGVO genannten Rechte betroffener Personen.

5. Informationspflichten und Kontrollrechte

5.1 Der Verantwortliche hat das Recht, sich jederzeit persönlich oder durch einen von ihm benannten Vertreter von der Einhaltung der Bedingungen dieses Vertrages zu überzeugen. Nexis hat dem Verantwortlichen bzw. den von ihm benannten Vertreter Zugang zu den im Zusammenhang mit der Verarbeitung stehenden wesentlichen Räumlichkeiten zu verschaffen. Diese Überprüfungen erfolgen ausschließlich während der gewöhnlichen Geschäftszeiten von Nexis und, sofern nicht im Einzelfall zwingend anders erforderlich, mit einer vorherigen Ankündigungsfrist von mindestens 14 Werktagen. Der Verantwortliche wird sicherstellen, dass derartige Überprüfungen in einer Weise durchgeführt werden, die den Geschäftsbetrieb von Nexis so wenig wie möglich beeinträchtigt. Eine solche Überprüfung soll grundsätzlich nicht häufiger als einmal jährlich erfolgen. Die im Rahmen dieser jährlichen Überprüfung anfallenden Kosten trägt jede Partei selbst. Darüberhinausgehende Prüfungen sollen nur erfolgen, wenn konkrete Anhaltspunkte für einen Verstoß gegen die datenschutzrechtlichen Verpflichtungen durch Nexis vorliegen. Zeigt sich im Rahmen einer zusätzlichen Überprüfung, dass Nexis nicht gegen die datenschutzrechtlichen Verpflichtungen verstoßen hat, trägt der Verantwortliche die für Nexis entstehenden, angemessenen Kosten.

5.2 Nexis hat dem Verantwortlichen alle Daten und Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in diesem Vertrag genannten Verpflichtungen erforderlich sind.

6. Unterauftragsverarbeiter

6.1 Nexis besitzt die allgemeine schriftliche Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in Annex 3 aufgeführt sind. Nexis unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in Textform über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Nexis stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

6.2 Nexis stellt sicher, dass Unterauftragsverarbeiter durch einen Vertrag zur Einhaltung der gleichen datenschutzrechtlichen Pflichten verpflichtet werden, die in diesem Vertrag festgelegt sind, insbesondere zur Gewährleistung geeigneter technischer und organisatorischer Maßnahmen gemäß Artikel 28 Abs. 4 DSGVO.

6.3 Eine Liste der zum Zeitpunkt des Vertragsschlusses vom Verantwortlichen genehmigten Unterauftragsverarbeiter ist in Annex 3 (Autorisierte Unterauftragsverarbeiter) enthalten, der Bestandteil dieses Vertrages ist.

7. Beginn, Laufzeit, Kündigung

7.1 Dieser Vertrag tritt mit dem Hauptvertrag und spätestens mit Erbringung der Leistungen durch Nexis gemäß des Hauptvertrags in Kraft.

7.2 Dieser Vertrag wird auf Dauer des Hauptvertrages abgeschlossen und endet, wenn der Hauptvertrag durch Zeitablauf endet oder sonst vorzeitig beendet wird.

7.3 Die ordentliche Kündigung dieses Vertrages ohne Kündigung des Hauptvertrags ist ausgeschlossen.

8. Rechtsfolgen der Beendigung

8.1 Nexis hat nach Beendigung dieses Vertrages oder Beendigung der Verarbeitungsleistungen alle personenbezogenen Daten, Verarbeitungsergebnisse und Unterlagen, die personenbezogene Daten enthalten, nach Wahl des Verantwortlichen zurückzugeben und/oder zu löschen, außer er ist durch nationale Vorschriften oder Unionsrecht zur Weiterspeicherung verpflichtet.

8.2 Trifft der Verantwortliche bei oder vor Beendigung dieses Vertrages oder der Verarbeitungsleistungen keine entsprechende Wahl, so sind alle personenbezogenen Daten, zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

9. Sonstiges

9.1 Die Vertragsparteien verpflichten sich, sämtliche Rechte und Pflichten aus diesem Vertrag einschließlich dieser Überbindungsverpflichtung wechselseitig auf ihre jeweiligen Gesamtrechtsnachfolger zu überbinden.

9.2 Alle Änderungen und Ergänzungen sowie die Aufhebung dieses Vertrages und seiner Anhänge einschließlich des Abgehens von der hier festgelegten Form bedürfen zu ihrer Wirksamkeit der Textform (bspw. E-Mail), soweit keine strengere, insbesondere notarielle Form erforderlich sein sollte.

9.3 Durch die Ungültigkeit, Gesetzwidrigkeit oder Undurchsetzbarkeit einer oder mehrere der in diesem Vertrag enthaltenen Bestimmungen wird die Gültigkeit, Rechtmäßigkeit und Durchsetzbarkeit der übrigen Bestimmungen dieses Vertrages in keiner Weise berührt. Eine unwirksame, nichtige oder undurchsetzbare Bestimmung dieses Vertrages gilt – soweit gesetzlich zulässig – durch eine solche rechtswirksame, gültige und durchsetzbare Bestimmung ersetzt, die ihr nach dem von den Vertragsparteien rechtlich und wirtschaftlich verfolgten Zweck am nächsten kommt.

9.4 Rechtswahl und Gerichtsstand ergibt sich aus den QSEC Plattform AGB.

Für den Verantwortlichen: Für Nexis:

Name: Name:

Funktion: Funktion:

Annex 1

Gegenstand der Verarbeitung

Annex 2

Technische und organisatorische Maßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen hat Nexis die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Artikel 32 DSGVO umgesetzt:

• Datenschutz-Management im Rahmen des Aufbaus des ISMS

Auftragskontrolle

• Dokumentation der Verarbeitungen im Verfahrensverzeichnis
• Verzicht auf den Einsatz von Unterauftragnehmern
• Ausschließliche Verarbeitung personenbezogener Daten auf Basis von schriftlichen Weisungen
• Verpflichtung der Beschäftigten des Auftragsverarbeiters zur Vertraulichkeit

Annex 3

Autorisierte Unterauftragsverarbeiter