Allgemeine Geschäftsbedingungen (AGB)

Anbieter: imatics by Mario Carlotti, Inhaber Mario Carlotti, Wiesentalweg 4, CH-8542 Wiesendangen, Schweiz
UID / Handelsregister: CHE-216.851.542 (nicht mehrwertsteuerpflichtig)
Vertrags- und Rechtsfragen: hello@imatics.ch
Support: kontakt@security-framework.ch
Web: security-framework.ch

1. Geltungsbereich und Vertragsparteien

1.1 Diese Allgemeinen Geschäftsbedingungen (nachfolgend «AGB») regeln die Nutzung der webbasierten Anwendung Security-Framework unter app.security-framework.ch sowie damit verbundener Inhalte, Zusatzpakete, Exporte und Supportleistungen.

1.2 Vertragspartnerin auf Anbieterseite ist das Einzelunternehmen imatics by Mario Carlotti, Inhaber Mario Carlotti, UID CHE-216.851.542 (nachfolgend «imatics»). Vertragspartner auf Kundenseite ist die bei der Registrierung bezeichnete Organisation (nachfolgend «Kunde»).

1.3 Security-Framework ist für Unternehmen, Einzelunternehmen, Vereine, Stiftungen, Gemeinden, öffentlich-rechtliche Stellen und andere Organisationen mit Sitz in der Schweiz oder in einem Mitgliedstaat der Europäischen Union bestimmt. Die bestellende Person bestätigt, zur Bestellung und zur Annahme dieser AGB für den Kunden berechtigt zu sein.

1.4 Das Angebot ist nicht für die private Nutzung durch Konsumentinnen und Konsumenten ausgelegt. Minderjährige dürfen die Anwendung ausschliesslich als autorisierte Benutzer einer Organisation und im Rahmen ihrer beruflichen oder betrieblichen Aufgaben nutzen. Zwingende gesetzliche Rechte, die im Einzelfall dennoch anwendbar sind, bleiben vorbehalten.

1.5 Für andere Leistungen von imatics gelten separate Verträge oder AGB. Bei Widersprüchen gehen eine individuelle Vereinbarung, eine produktspezifische Leistungsbeschreibung und anschliessend diese AGB vor.

2. Registrierung und Vertragsschluss

2.1 Für die Erstellung eines Mandanten sind eine gültige geschäftliche E-Mail-Adresse, der Name und die Anschrift der Organisation, das Sitzland sowie die weiteren im Registrierungsprozess als erforderlich bezeichneten Angaben notwendig. Bei EU-Kunden können insbesondere eine gültige Umsatzsteuer-Identifikationsnummer und weitere Rechnungsangaben verlangt werden.

2.2 Der Vertrag kommt zustande, sobald die berechtigte Person die obligatorische Zustimmung zu diesen AGB, zur App-Datenschutzerklärung und zur Auftragsbearbeitungsvereinbarung erteilt und imatics den Mandanten freischaltet oder eine Bestellung bestätigt. Bei kostenpflichtigen Plänen kann der Vertragsschluss zusätzlich vom erfolgreichen Abschluss des Stripe-Checkouts oder einer Auftragsbestätigung von imatics abhängen.

2.3 Die bei Vertragsschluss geltenden Dokumentversionen, der Zeitpunkt der Zustimmung, der zustimmende Benutzer und der betroffene Mandant werden elektronisch protokolliert. Der Kunde kann die jeweils aktuelle Fassung über die Anwendung abrufen.

2.4 Der Kunde macht vollständige und richtige Angaben und hält sie aktuell. imatics darf Angaben zur Organisation, Bestellberechtigung und Rechnungsstellung in angemessenem Umfang prüfen und Nachweise verlangen.

2.5 Eine Person kann mehreren Mandanten angehören. Ein Mandant kann mehrere Administratoren haben. Der Kunde ist dafür verantwortlich, jederzeit mindestens zwei geeignete Administratoren zu bestimmen, soweit dies organisatorisch möglich ist.

3. Benutzerkonten, Rollen und Administration

3.1 Benutzerkonten sind persönlich. Zugangsdaten, Einmalcodes, Passkeys, MFA-Geheimnisse und Sitzungen dürfen nicht geteilt oder an Dritte übertragen werden.

3.2 Der Kunde verwaltet Benutzer, Rollen und Berechtigungen innerhalb seines Mandanten. Er entzieht nicht mehr benötigte Zugriffe unverzüglich und kontrolliert die Berechtigungen regelmässig.

3.3 Verlässt die einzige Administratorin oder der einzige Administrator die Organisation, kann imatics nach angemessener Prüfung der Organisation und der anfragenden Person einen neuen Administrator einsetzen. imatics darf dafür Identitäts-, Vertretungs- und Organisationsnachweise verlangen. Ein Anspruch auf Wiederherstellung besteht nicht, wenn die Berechtigung nicht ausreichend nachgewiesen werden kann.

3.4 Kann die Administration nicht wiederhergestellt werden und bleibt der Mandant ohne berechtigte Kontaktperson, darf imatics den Zugang sperren. Eine Löschung erfolgt frühestens 180 Tage nach der Sperrung und nach vorgängiger Warnung an die bekannten Kontaktadressen, sofern keine gesetzlichen Pflichten oder berechtigten Gründe entgegenstehen.

4. Leistungsumfang, Pläne und Zusatzpakete

4.1 Security-Framework unterstützt kleine und mittlere Organisationen bei der strukturierten Erfassung, Planung und Dokumentation von Sicherheitsmassnahmen. Der jeweils aktuelle Funktionsumfang ergibt sich aus der Produktbeschreibung, dem Bestellprozess und der Anwendung.

4.2 Es bestehen die Pläne Free, Basic und Pro. Die Pläne unterscheiden sich im freigeschalteten Funktions- und Inhaltsumfang. Für die Pläne bestehen grundsätzlich keine festen Benutzer- oder Speicherlimiten, solange im Bestellprozess oder in einer Leistungsbeschreibung nichts anderes ausgewiesen wird. imatics darf angemessene technische Fair-Use-Grenzen gegen missbräuchliche oder die Plattform beeinträchtigende Nutzung anwenden.

4.3 Zusatzpakete schalten zusätzliche, themenspezifische Inhalte frei, beispielsweise weitere Controls, Massnahmen, Aufgaben oder Vorlagen für ein bestimmtes Framework oder Themengebiet. Zusatzpakete werden grundsätzlich jährlich angeboten und können vom zugrunde liegenden Plan abhängen.

4.4 Im Free-Plan dauerhaft kostenlos angebotene Funktionen können weiterentwickelt, ersetzt oder eingestellt werden. imatics informiert betroffene Kunden über wesentliche Einschränkungen nach Möglichkeit 30 Tage im Voraus. Bereits gespeicherte Daten werden nach Massgabe von Ziffer 13 behandelt.

4.5 Es besteht keine kostenlose Testphase. Der Free-Plan ist kein Testabonnement und läuft bis zur Kündigung, Löschung oder Inaktivitätslöschung weiter.

4.6 imatics darf die Anwendung, Inhalte und Benutzeroberfläche weiterentwickeln, solange die vertragswesentliche Nutzbarkeit eines bezahlten Plans nicht ohne sachlichen Grund erheblich vermindert wird. Individuelle Anpassungen, Beratung, Audits oder Zertifizierungen sind nicht Bestandteil des Abonnements.

5. Zulässige Nutzung und Kundendaten

5.1 Der Kunde darf in der Anwendung insbesondere organisatorische und technische Sicherheitsinformationen, Rollen, Verantwortlichkeiten, geschäftliche Kontaktdaten, Assets, Risiken, Schwachstellen, Sicherheitsvorfälle, Massnahmen, Aufgaben, Kommentare und Nachweise erfassen, soweit dies für den vorgesehenen Zweck erforderlich ist.

5.2 Der Kunde darf nur Daten erfassen, für deren Bearbeitung er eine ausreichende Rechtsgrundlage besitzt. Er informiert betroffene Personen, erfüllt deren Rechte und beschränkt die erfassten Daten auf das erforderliche Mass.

5.3 Es ist untersagt, folgende Inhalte in der Anwendung zu speichern oder hochzuladen:

• Passwörter, Einmalcodes, API-Schlüssel, private Schlüssel, Zugriffstokens, Seed-Phrases oder andere Authentisierungsgeheimnisse;
• vollständige HR-, Patienten-, Gesundheits-, Sozialhilfe- oder Strafdossiers;
• genetische oder biometrische Daten zur eindeutigen Identifikation;
• Angaben zu Religion, Weltanschauung, politischen Ansichten, Gewerkschaftszugehörigkeit, Intimsphäre oder sexueller Orientierung;
• Inhalte, deren Bearbeitung oder Besitz rechtswidrig ist; sowie
• Daten, die für die Nutzung des Security-Frameworks nicht erforderlich sind.

5.4 Normale geschäftliche Kontaktdaten, Funktionen, Zuständigkeiten und dienstliche Telefonnummern gelten nicht allein aufgrund ihres Personenbezugs als verbotene Daten. Beschreibungen von Vorfällen oder Schwachstellen sind so zu verfassen, dass unnötige Personendaten vermieden werden.

5.5 Die Anwendung verhindert sensible Eingaben nicht in jedem Freitextfeld technisch. Der Kunde bleibt für die Klassifikation und Zulässigkeit seiner Inhalte verantwortlich.

5.6 Erlaubte Upload-Formate sind gegenwärtig PDF, DOC, DOCX, XLS, XLSX, PNG, JPG und JPEG bis maximal 10 MB pro Datei. imatics darf Formate und Grössenlimiten aus Sicherheits- oder Betriebsgründen anpassen.

6. Pflichten des Kunden

6.1 Der Kunde ist insbesondere verpflichtet:

• die Anwendung nur rechtmässig und gemäss Dokumentation zu nutzen;
• Benutzer und Berechtigungen aktuell zu halten;
• angemessene eigene Sicherheitsmassnahmen, Endgeräteschutz und Backups seiner Exporte einzusetzen;
• Hinweise, Scores, Aufgaben und Empfehlungen fachlich zu prüfen;
• Sicherheitsprobleme oder mutmasslichen Missbrauch unverzüglich an security@imatics.ch zu melden; und
• Handlungen zu unterlassen, die Verfügbarkeit, Integrität oder Sicherheit der Plattform beeinträchtigen.

6.2 Untersagt sind insbesondere automatisiertes Auslesen ausserhalb bereitgestellter Schnittstellen, Umgehung von Zugriffsbeschränkungen, Sicherheitsprüfungen ohne schriftliche Zustimmung, Einschleusen von Schadcode, übermässige Last, Zugriff auf fremde Mandanten sowie Weiterverkauf oder öffentliche Bereitstellung des vollständigen Massnahmenkatalogs.

7. Verfügbarkeit, Wartung und Support

7.1 Security-Framework wird «as is» und nach dem jeweils verfügbaren Stand bereitgestellt. Es besteht keine garantierte Verfügbarkeit, Wiederherstellungszeit, Fehlerbehebungsfrist oder Servicegutschrift, sofern nicht ausdrücklich schriftlich etwas anderes vereinbart wurde.

7.2 Support wird nach bestem Bemühen per E-Mail oder über ein von imatics bezeichnetes Ticketsystem erbracht. Reguläre Supportzeiten sind Montag bis Freitag von 08:00 bis 12:00 Uhr und von 13:00 bis 17:00 Uhr Schweizer Zeit, ausgenommen gesetzliche Feiertage am Sitz von imatics. Es gelten keine garantierten Reaktions- oder Lösungszeiten.

7.3 Planbare und ungeplante Wartungen dürfen ohne feste Vorankündigungsfrist durchgeführt werden. imatics bemüht sich, wesentliche planbare Unterbrüche angemessen anzukündigen, soweit dies praktisch möglich ist.

7.4 Bei Sicherheitsrisiken, rechtswidriger Nutzung, Angriffen oder einer Gefährdung anderer Kunden darf imatics Zugänge, Mandanten oder Funktionen ohne Vorankündigung sperren oder einschränken.

7.5 Fehler werden nach Priorität und verfügbaren Ressourcen bearbeitet. Ein Anspruch auf vollständige Behebung oder eine bestimmte technische Lösung besteht nicht.

8. Bewertungen, Benchmarks und Berichte

8.1 Die Anwendung kann deterministische Scores, Reifegrade, Benchmarks, Ampeln, Häufigkeitshinweise, Berichte und Empfehlungen erstellen. Sie beruhen auf den vom Kunden erfassten Daten, hinterlegten Gewichtungen und aggregierten Vergleichswerten.

8.2 Ergebnisse sind ausschliesslich Orientierungshilfen. Sie stellen weder ein Audit noch eine Zertifizierung, Rechtsberatung, behördliche Bestätigung, Versicherungszusage oder einen Nachweis vollständiger Informationssicherheit dar.

8.3 imatics prüft Kundeneingaben und daraus erzeugte Berichte nicht auf Richtigkeit oder Vollständigkeit. Der Kunde muss Ergebnisse vor einer internen oder externen Verwendung fachlich prüfen.

8.4 Entscheidungen über Mitarbeitende oder andere natürliche Personen dürfen nicht allein auf Scores, Benchmarks, Ampeln oder Empfehlungen der Anwendung gestützt werden.

8.5 Der Kunde darf exportierte Berichte an Versicherungen, Revisionsstellen, Auditoren, Behörden, Kunden und Geschäftspartner weitergeben. Er ist für Kontext, Vertraulichkeit und Rechtmässigkeit der Weitergabe verantwortlich. imatics übernimmt keine Verantwortung für Schlussfolgerungen Dritter.

9. Rechte an Anwendung und Inhalten

9.1 Sämtliche Rechte an der Anwendung, Software, Struktur, Gestaltung, Dokumentation, Methodik, Kontrollkatalogen, Taskvorlagen und von imatics bereitgestellten Inhalten verbleiben bei imatics oder den jeweiligen Rechteinhabern.

9.2 Für die Vertragsdauer erhält der Kunde ein nicht ausschliessliches, nicht übertragbares Recht, die freigeschalteten Inhalte intern für die eigene Organisation zu nutzen. Er darf einzelne Inhalte intern kopieren, bearbeiten und in eigene Richtlinien oder Arbeitsunterlagen übernehmen.

9.3 Untersagt sind insbesondere die Veröffentlichung, entgeltliche oder unentgeltliche Weitergabe des vollständigen Katalogs, der Weiterverkauf, die Bereitstellung als konkurrierendes Produkt, das systematische Extrahieren oder die Entfernung von Schutz- und Herkunftshinweisen.

9.4 Rechte an vom Kunden eingegebenen Daten und hochgeladenen Dateien verbleiben beim Kunden beziehungsweise den bisherigen Rechteinhabern. Der Kunde räumt imatics die für Betrieb, Sicherung, Support, Export und Vertragserfüllung erforderlichen Nutzungsrechte ein.

9.5 imatics darf freiwillige Verbesserungsvorschläge unentgeltlich und ohne Verpflichtung zur Umsetzung verwenden. Vertrauliche Informationen und Personendaten werden dadurch nicht zur freien Nutzung überlassen.

10. Preise, Steuern und Zahlung

10.1 Die Preise ergeben sich aus dem Bestellprozess, der Produktseite, Stripe Checkout oder einer individuellen Auftragsbestätigung. Abgerechnet wird ausschliesslich in Schweizer Franken.

10.2 Solange imatics nicht mehrwertsteuerpflichtig ist, sind die angezeigten Preise Endpreise ohne Mehrwertsteuer. Nach einer Mehrwertsteuerregistrierung wird die gesetzlich geschuldete Mehrwertsteuer zusätzlich erhoben. Für ausländische Kunden richtet sich die steuerliche Behandlung nach den anwendbaren Vorschriften und den vom Kunden bereitgestellten Rechnungs- und Steuerangaben.

10.3 Self-Service-Abonnemente und Zusatzpakete werden über Stripe abgerechnet. Manuell oder über imatics bezogene Abonnemente können von imatics direkt fakturiert und administriert werden.

10.4 Monatliche und jährliche Abonnemente werden im Voraus belastet. Zusatzpakete werden grundsätzlich jährlich im Voraus belastet. Stripe kann Firmenname, Rechnungsadresse, Land, Steuer-ID und Zahlungsinformationen zur Zahlungsabwicklung bearbeiten; vollständige Kartendaten werden nicht bei imatics gespeichert.

10.5 Rabattcodes, individuell eingerichtete Abonnemente oder Kulanzregelungen begründen keinen Anspruch auf zukünftige Rabatte oder gleiche Konditionen.

11. Laufzeit, Verlängerung und Planwechsel

11.1 Der Free-Plan läuft auf unbestimmte Zeit. Kostenpflichtige Pläne werden monatlich oder jährlich abgeschlossen und verlängern sich automatisch um dieselbe Periode.

11.2 Monatliche Abonnemente können bis unmittelbar vor der nächsten Verlängerung auf deren Ende gekündigt werden. Jährliche Abonnemente müssen spätestens 30 Tage vor Ablauf gekündigt werden. Die im Stripe-Kundenportal oder in der Auftragsbestätigung ausgewiesene Kündigungsmöglichkeit ist massgebend, soweit sie für den Kunden günstiger ist.

11.3 Upgrades können sofort oder zu dem im Bestellprozess ausgewiesenen Zeitpunkt wirksam werden. Downgrades werden grundsätzlich auf das Ende der laufenden Abrechnungsperiode wirksam.

11.4 Bei einem Downgrade bleiben bestehende Daten grundsätzlich gespeichert, können aber ganz oder teilweise gesperrt werden. Bei einem späteren Upgrade werden sie wieder zugänglich, sofern sie zwischenzeitlich nicht aufgrund einer Löschregel gelöscht wurden.

11.5 Soweit im Bestellprozess nichts anderes ausdrücklich ausgewiesen wird, bestehen keine anteiligen Gutschriften oder Rückerstattungen für nicht genutzte Zeit, Planwechsel oder gekündigte Zusatzpakete. Zwingende gesetzliche Ansprüche bleiben vorbehalten.

12. Fehlgeschlagene Zahlungen und Rückerstattungen

12.1 Kann eine fällige Zahlung nicht eingezogen werden, darf imatics den betroffenen Mandanten ohne Mahn- oder Karenzfrist auf den Free-Plan zurückstufen. Der Mandant bleibt bestehen; kostenpflichtige Funktionen und Inhalte können gesperrt werden.

12.2 imatics ist nicht verpflichtet, automatische Zahlungswiederholungen vorzunehmen. Der Kunde kann ein kostenpflichtiges Abonnement nach Aktualisierung der Zahlungsmethode erneut abschliessen.

12.3 Zahlungen werden grundsätzlich nicht zurückerstattet. Ausgenommen sind nachgewiesene Doppelbelastungen, von imatics oder Stripe verursachte Fehlbelastungen sowie zwingende gesetzliche Ansprüche.

13. Kündigung, Export und Löschung

13.1 Der Kunde kann das Abonnement über das Stripe-Kundenportal, die in der Anwendung vorgesehene Funktion oder in Textform kündigen. Der Zugang zum kostenpflichtigen Funktionsumfang bleibt bis zum Ende der bezahlten Periode bestehen. Danach wird der Mandant auf den Free-Plan herabgestuft, sofern der Kunde nicht die Löschung des Mandanten verlangt.

13.2 Der Kunde ist dafür verantwortlich, vor Vertragsende die benötigten Daten und Nachweise zu exportieren. Die Anwendung kann insbesondere HTML- und PDF-Berichte sowie ein ZIP-Auditpaket mit strukturierten Daten und Nachweisdateien bereitstellen. Ein Export kann technische Metadaten oder interne Systemdaten auslassen.

13.3 Nach Vertragsende oder Mandantenlöschung werden produktive Mandantendaten grundsätzlich spätestens nach 180 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht, kein laufender Rechtsfall und kein dokumentierter Auftrag zur längeren Aufbewahrung entgegensteht. Eine frühere unwiderrufliche Löschung kann durch eine berechtigte Administratorin oder einen berechtigten Administrator verlangt werden.

13.4 Gelöschte produktive Daten werden im Rahmen des ordentlichen Überschreibzyklus spätestens innerhalb weiterer 90 Tage aus Sicherungskopien entfernt oder dauerhaft unzugänglich gemacht, soweit eine gezielte Löschung technisch nicht möglich ist.

13.5 Ein Free-Mandant darf nach 180 Tagen ohne Anmeldung oder relevante Aktivität gelöscht werden. Bei einer Herabstufung aus einem kostenpflichtigen Plan beginnt diese Frist frühestens mit Wirksamwerden der Herabstufung. Eine Anmeldung oder andere relevante Aktivität setzt die Frist neu in Gang. imatics sendet jeweils 30 Tage, 7 Tage und 1 Tag vor der vorgesehenen Löschung eine Warnung an die bekannten Administratoradressen.

13.6 Gesetzlich aufzubewahrende Vertrags-, Buchungs-, Rechnungs- und Nachweisdaten werden für die gesetzliche Dauer separat aufbewahrt. Sicherheits- und Auditnachweise dürfen in verhältnismässigem Umfang länger bestehen bleiben, soweit dies für Missbrauchsabwehr, Rechtsdurchsetzung oder den Nachweis einer Löschung erforderlich ist.

13.7 Die Löschung eines Mandanten ist endgültig. imatics kann einen Vernichtungsnachweis mit minimalen Angaben zur Organisation, zum Zeitpunkt, zur ausführenden Person, zum Umfang und zur Integrität der Löschung aufbewahren.

14. Datenschutz und Auftragsbearbeitung

14.1 Die Bearbeitung von Konto-, Vertrags-, Rechnungs-, Sicherheits- und Nutzungsdaten zu eigenen Zwecken von imatics richtet sich nach der separaten App-Datenschutzerklärung.

14.2 Soweit imatics Kundendaten im Auftrag des Kunden bearbeitet, gilt die Auftragsbearbeitungsvereinbarung für Security-Framework als integrierender Bestandteil des Vertrags. Sie wird gemeinsam mit diesen AGB elektronisch angenommen.

14.3 Der Kunde darf keine Daten in der Anwendung erfassen, deren Bearbeitung nach der Auftragsbearbeitungsvereinbarung oder diesen AGB ausgeschlossen ist.

14.4 imatics darf aggregierte und irreversibel anonymisierte Nutzungs- und Reifegraddaten für Produktverbesserung, Sicherheit, Kapazitätsplanung und Statistiken verwenden. Eine Rückführung auf eine bestimmte Organisation oder Person darf mit vernünftigerweise verfügbaren Mitteln nicht möglich sein.

15. Informationssicherheit und Supportzugriff

15.1 imatics trifft risikogerechte technische und organisatorische Massnahmen. Eine absolute Sicherheit, lückenlose Fehlerfreiheit oder vollständige Verhinderung von Angriffen kann nicht garantiert werden.

15.2 imatics darf für Support, Wiederherstellung oder Sicherheitsanalyse befristeten administrativen Zugriff auf einen Mandanten erhalten. Solche Zugriffe werden auf berechtigte Personen beschränkt und protokolliert.

15.3 Der Kunde bleibt für die Sicherheit seiner Endgeräte, E-Mail-Konten, Identitäten, Exporte und internen Prozesse verantwortlich.

16. Drittanbieter und höhere Gewalt

16.1 Die Plattform ist von Drittanbietern und Infrastrukturen abhängig, insbesondere Cloudflare, Brevo, Stripe und optional Microsoft. Deren Bedingungen können ergänzend gelten, soweit der Kunde den betreffenden Dienst nutzt.

16.2 imatics haftet nicht für Verzögerungen oder Ausfälle, die ausserhalb des zumutbaren Einflussbereichs liegen, insbesondere Naturereignisse, Krieg, behördliche Massnahmen, grossflächige Strom-, Telekommunikations- oder Internetausfälle, Ausfälle zentraler Drittanbieter oder nicht durch eine Pflichtverletzung von imatics ermöglichte Cyberangriffe.

17. Beta- und Vorschaufunktionen

17.1 Als Beta, Preview oder experimentell bezeichnete Funktionen können unvollständig, fehlerhaft oder jederzeit veränderbar sein. Sie dürfen nicht als alleinige Grundlage für kritische betriebliche Entscheide verwendet werden.

17.2 imatics darf Beta-Funktionen jederzeit ändern oder einstellen. Besondere Verfügbarkeits-, Support- oder Aufbewahrungszusagen bestehen nicht.

18. Gewährleistung

18.1 imatics gewährleistet keine bestimmte Sicherheitswirkung, Compliance, Zertifizierung, Versicherbarkeit oder behördliche Anerkennung. Der Erfolg hängt wesentlich von der Richtigkeit der Kundendaten, der tatsächlichen Umsetzung von Massnahmen und den Umständen der Organisation ab.

18.2 Gesetzliche Gewährleistungsansprüche werden im zulässigen Umfang ausgeschlossen. Ausdrücklich zugesicherte Eigenschaften und zwingende Rechte bleiben vorbehalten.

19. Haftung

19.1 imatics haftet unbeschränkt für Schäden, die durch rechtswidrige Absicht oder grobe Fahrlässigkeit von imatics verursacht wurden, sowie in weiteren Fällen, in denen eine Beschränkung gesetzlich unzulässig ist.

19.2 Für durch leichte Fahrlässigkeit verursachte direkte Schäden ist die gesamte Haftung von imatics aus dem Security-Framework-Vertragsverhältnis pro Vertragsjahr auf die gesamten Nettoentgelte begrenzt, die der Kunde im betreffenden Vertragsjahr für Security-Framework tatsächlich bezahlt hat. Besteht der Vertrag kürzer, sind die seit Vertragsbeginn tatsächlich bezahlten Nettoentgelte massgebend. Für den Free-Plan beträgt dieser Betrag CHF 0; es gilt kein Mindestbetrag.

19.3 Soweit gesetzlich zulässig, ist die Haftung ausgeschlossen für indirekte Schäden und Folgeschäden, entgangenen Gewinn, nicht realisierte Einsparungen, Betriebsunterbruch, Nutzungsausfall, Reputationsschäden, Ansprüche Dritter, fehlerhafte Compliance- oder Sicherheitsentscheide des Kunden, Schäden aus unvollständigen oder veralteten Kundendaten, Ausfälle von Hosting-, Zahlungs- oder anderen Drittanbietern sowie Datenverlust, soweit eine Wiederherstellung trotz angemessener Sicherungen nicht möglich ist.

19.4 imatics haftet nicht für Schäden, die durch Missachtung von Anweisungen, verbotene Datenspeicherung, fehlende Kundensicherungen, kompromittierte Benutzerkonten, nicht entzogene Berechtigungen, ungeprüfte Berichte oder eine Nutzung ausserhalb des vorgesehenen Zwecks verursacht oder vergrössert wurden.

19.5 Die Haftungsbegrenzungen gelten auch für Hilfspersonen und Unterauftragsbearbeiter. Zwingende datenschutzrechtliche Ansprüche und Verantwortlichkeiten bleiben vorbehalten.

20. Änderungen von Preisen, Leistungen und Bedingungen

20.1 imatics kann Preise, Leistungsbeschreibungen, diese AGB, die App-Datenschutzerklärung und die Auftragsbearbeitungsvereinbarung mit einer Vorankündigungsfrist von grundsätzlich 30 Tagen ändern.

20.2 Preisänderungen für laufende kostenpflichtige Abonnemente werden frühestens mit der nächsten Verlängerung wirksam. Der Kunde kann den betroffenen Plan vor der Verlängerung kündigen.

20.3 Erfolgt bis zum Inkrafttreten kein Widerspruch und nutzt der Kunde die Anwendung danach weiter, gilt die Änderung als angenommen, soweit dies gesetzlich zulässig ist. Zwingend erforderliche ausdrückliche Zustimmungen bleiben vorbehalten.

20.4 Änderungen aufgrund zwingenden Rechts, behördlicher Anordnung oder dringender Sicherheitsanforderungen dürfen mit kürzerer Frist erfolgen.

20.5 imatics darf die Plattform mit einer Vorankündigungsfrist von drei Monaten vollständig einstellen. Bereits bezahlte, nach dem Einstellungszeitpunkt liegende Perioden werden anteilig zurückerstattet. Der Kunde erhält bis zur Einstellung eine angemessene Exportmöglichkeit.

21. Sperrung und ausserordentliche Beendigung

21.1 imatics darf den Zugang sofort sperren oder den Vertrag ausserordentlich beenden, wenn eine schwerwiegende Vertragsverletzung, rechtswidrige Nutzung, Gefährdung der Plattform oder anderer Kunden, unberechtigter Zugriff, Umgehung technischer Schutzmassnahmen oder eine behördliche Anordnung vorliegt.

21.2 Eine Nachfrist wird nur gewährt, soweit dies gesetzlich erforderlich oder unter Berücksichtigung des Risikos zumutbar ist.

21.3 Die Sperrung entbindet nicht von bereits entstandenen Zahlungspflichten. Daten werden nach Ziffer 13 behandelt.

22. Schlussbestimmungen

22.1 Rechtserhebliche Mitteilungen können an die im Konto hinterlegte E-Mail-Adresse oder innerhalb der Anwendung erfolgen. Der Kunde hält seine Kontaktdaten aktuell.

22.2 Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit Zustimmung von imatics übertragen. imatics darf den Vertrag im Rahmen einer Übertragung des Produkts oder Unternehmens auf einen Rechtsnachfolger übertragen, sofern die Rechte des Kunden nicht wesentlich beeinträchtigt werden.

22.3 Ist eine Bestimmung ganz oder teilweise unwirksam, bleiben die übrigen Bestimmungen wirksam. Anstelle der unwirksamen Bestimmung gilt das dispositive Recht.

22.4 Die Parteien versuchen Streitigkeiten zunächst während 30 Tagen durch direkte Verhandlungen zu lösen. Betreibungen, vorsorgliche Massnahmen sowie dringende Sicherheits- und Schadenminderungsmassnahmen bleiben jederzeit zulässig.

22.5 Es gilt materielles Schweizer Recht unter Ausschluss des UN-Kaufrechts und der kollisionsrechtlichen Bestimmungen, soweit deren Ausschluss zulässig ist.

22.6 Ausschliesslicher Gerichtsstand ist Winterthur, Kanton Zürich. Zwingende gesetzliche Gerichtsstände bleiben vorbehalten.

22.7 Bei Übersetzungen ist die deutsche Fassung massgebend.