Cursor · Eingehender Rahmenvertrag über Dienstleistungen

Diese eingehende Rahmen-Dienstleistungsvereinbarung (die „Vereinbarung“) regelt das Verhältnis zwischen Anysphere, Inc., einer Corporation nach dem Recht des US-Bundesstaates Delaware mit Sitz unter der Anschrift 2261 Market Street, STE 86466, San Francisco, CA 94114 („Anysphere“), und jedem Anbieter („Anbieter“), der mit Anysphere eine Leistungsbeschreibung abschließt, die auf diese Vereinbarung Bezug nimmt („SOW“). Durch den Abschluss einer SOW erklären sich die Parteien damit einverstanden, an die Fassung dieser Vereinbarung gebunden zu sein, die an dem Wirksamkeitsdatum der jeweiligen SOW auf dieser Seite veröffentlicht ist.

1. DIENSTLEISTUNGEN & LEISTUNGSERGEBNISSE

1.1. Von Zeit zu Zeit können Anysphere und der Anbieter eine oder mehrere SOWs abschließen, in denen die spezifischen Dienstleistungen („Dienstleistungen“) und Leistungsergebnisse („Leistungsergebnisse“) beschrieben sind, die vom Anbieter gemäß den Bedingungen und dem Lieferplan, die in jeder SOW und dieser Vereinbarung festgelegt sind, zu erbringen sind. Jede SOW kann nur durch schriftliche Vereinbarung der Parteien geändert werden. Im Falle eines Widerspruchs zwischen einer SOW und dieser Vereinbarung ist die SOW maßgeblich.

1.2. Anysphere kann die Leistungsergebnisse inspizieren und die Dienstleistungen während der gesamten Laufzeit überprüfen. Anysphere wird regelmäßige Check-ins oder Fortschrittsüberprüfungen durchführen und kann während der Erbringung der Dienstleistungen und Leistungsergebnisse Feedback geben. Anysphere wird die Leistungsergebnisse innerhalb von dreißig Tagen nach Lieferung auf Grundlage der Übereinstimmung mit der jeweiligen SOW annehmen oder zurückweisen. Die Annahme mindert keine anwendbaren Gewährleistungen aus dieser Vereinbarung. Anysphere wird für alle zurückgewiesenen Dienstleistungen oder Leistungsergebnisse eine schriftliche Begründung liefern. Anysphere kann vom Anbieter verlangen, zurückgewiesene Dienstleistungen und Leistungsergebnisse innerhalb vereinbarter Fristen und vorbehaltlich einer weiteren Prüfung durch Anysphere kostenfrei für Anysphere zu korrigieren und erneut zu liefern. Anderenfalls ist die Zurückweisung durch Anysphere endgültig, und Anysphere ist nicht verpflichtet, für die zurückgewiesenen Dienstleistungen und Leistungsergebnisse zu zahlen.

1.3. Der Anbieter wird Anysphere unverzüglich schriftlich über alles informieren, was voraussichtlich zu einer Verzögerung bei der Lieferung einer Dienstleistung oder eines Leistungsergebnisses führt.

2. ZAHLUNG.

2.1. Gebühren und Auslagen. Als einzige Vergütung des Anbieters für die Erbringung der Dienstleistungen und Lieferung der Leistungsergebnisse zahlt Anysphere dem Anbieter die in jeder SOW angegebenen Gebühren gemäß den dort festgelegten Bedingungen. Ohne die Allgemeingültigkeit des Vorstehenden zu beschränken, erkennt der Anbieter an und stimmt zu, dass, sofern in der SOW angegeben, die Zahlungsverpflichtung von Anysphere ausdrücklich davon abhängig ist, dass der Anbieter bestimmte Meilensteine zur angemessenen Zufriedenheit von Anysphere erreicht oder abschließt. Sofern in der SOW nicht anders vorgesehen, muss der Anbieter vorab die schriftliche Zustimmung von Anysphere einholen, um angemessene, dem Anbieter im Zusammenhang mit der Erbringung der Dienstleistungen entstandene, aus eigener Tasche bezahlte Reise-, Übernachtungs- und damit verbundene Auslagen erstattet zu bekommen. Um eine Erstattung zu erhalten, wird der Anbieter Anysphere Kopien von Belegen und sonstigen branchenüblichen Unterlagen für alle Auslagen zur Verfügung stellen, für die der Anbieter hierunter eine Erstattung beantragt.

2.2. Alle in der SOW aufgeführten Gebühren und sonstigen Beträge, sofern vorhanden, sind in US-Dollar angegeben und in US-Dollar zahlbar, sofern in der jeweiligen SOW nicht anders angegeben. Sofern in einer SOW nicht anders vorgesehen, stellt der Anbieter Anysphere monatlich nachträglich alle dem Anbieter zustehenden Gebühren und Auslagen in Rechnung, und unbestrittene Rechnungen sind innerhalb von 60 Tagen netto nach Eingang einer ordnungsgemäßen Rechnung bei Anysphere zahlbar. Rechnungen sollten das Datum der Leistung, den Umfang der geleisteten Zeit (z. B. Stunden, Tage oder andere relevante Einheiten) und den abrechenbaren Satz enthalten. Wenn angemessene Auslagen aus eigener Tasche gemäß dieser Vereinbarung zur Erstattung genehmigt sind, muss der Anbieter Belege einreichen, um eine Zahlung dafür zu erhalten. Die Parteien werden wirtschaftlich angemessene Anstrengungen unternehmen, um etwaige Zahlungsstreitigkeiten zügig beizulegen. Anysphere ist nicht verpflichtet, eine Rechnung zu zahlen, die mehr als 180 Tage nach Erbringung der endgültigen Leistungsergebnisse eingereicht wurde.

2.3. Zusätzlich zu anderen Rechten und Rechtsbehelfen, die Anysphere zustehen, kann Anysphere alle Zahlungsverpflichtungen gegenüber dem Anbieter, die Anysphere gemäß dieser Vereinbarung entstehen, gegen alle gemäß dieser Vereinbarung an Anysphere geschuldeten und noch nicht bezahlten Gebühren aufrechnen. Anysphere kann Beträge von seinen Zahlungspflichten nach dieser Vereinbarung einbehalten und aufrechnen oder vom Anbieter verlangen, innerhalb von 30 Tagen nach Erhalt einer Rechnung alle Beträge an Anysphere zu zahlen, die Anysphere in früheren Zeiträumen möglicherweise zu viel an den Anbieter gezahlt hat.

2.4. Steuern. Die gemäß einer SOW fälligen Gebühren verstehen sich ausschließlich Steuern. Wenn der Anbieter gesetzlich verpflichtet ist, anfallende Steuern einzuziehen, muss der Anbieter jede anwendbare Steuer als separate Position auf seiner Rechnung ausweisen. Anysphere zahlt Steuern, die auf korrekten, unbestrittenen und fristgerechten Rechnungen für die jeweiligen Dienstleistungen und Leistungsergebnisse separat ausgewiesen sind. Wenn Anysphere verpflichtet ist, von seinen Zahlungen an den Anbieter irgendwelche Steuern einzubehalten, leistet Anysphere die Zahlungen abzüglich der einbehaltenen Beträge.

3. GEISTIGES EIGENTUM.

3.1. Offenlegung von Arbeitsergebnissen. Anbieter wird als integraler Bestandteil der Erbringung der Dienstleistungen Anysphere schriftlich alle urheberrechtlich geschützten Werke, das gesamte Know-how, alle Algorithmen, Spezifikationen und sonstigen Materialien jeglicher Art offenlegen, die Anbieter allein oder gemeinsam mit anderen im Zusammenhang mit der Erbringung der Dienstleistungen schafft, erdenkt oder entwickelt oder die sich aus solchen Dienstleistungen ergeben oder mit ihnen in Zusammenhang stehen, unabhängig davon, ob sie urheber-, geschäftsgeheimnis-, marken- oder anderweitig rechtlich schutzfähig sind (zusammen „Vendor Work Product“). Vendor Work Product umfasst ohne Einschränkung alle Leistungsergebnisse, die Anbieter gemäß Abschnitt 1.2 an Anysphere liefert.

3.2. Eigentum am Vendor Work Product. Anbieter und Anysphere sind sich darüber einig, dass im größtmöglichen, nach geltendem Recht zulässigen Umfang jedes einzelne Vendor Work Product als Auftragswerk gilt, das ausschließlich Anysphere gehört. Anbieter stimmt zu, dass ungeachtet dessen, ob ein Vendor Work Product ein Auftragswerk ist oder nicht, sämtliches Vendor Work Product das alleinige und ausschließliche Eigentum von Anysphere sein wird. Anbieter überträgt und tritt hiermit unwiderruflich an Anysphere ab und stimmt zu, unwiderruflich an Anysphere zu übertragen und abzutreten, sämtliche Rechte, Titel und Rechtsansprüche am und in Bezug auf das Vendor Work Product, einschließlich aller weltweiten Urheberrechte, des gesamten Know-hows sowie aller sonstigen geistigen Eigentums- oder Schutzrechte (zusammen „Intellectual Property Rights“) daran. Auf Antrag und Kosten von Anysphere wird Anbieter während und nach der Laufzeit dieser Vereinbarung Anysphere in jeder Hinsicht unterstützen und mit Anysphere zusammenarbeiten sowie Dokumente unterzeichnen und weitere von Anysphere angemessen verlangte Handlungen vornehmen, um es Anysphere zu ermöglichen, seine Intellectual Property Rights und sonstigen rechtlichen Schutzrechte am Vendor Work Product zu erwerben, zu übertragen, aufrechtzuerhalten, zu vervollkommnen und durchzusetzen.

3.3. Vorherige Erfindungen. Anbieter behält das Eigentum an allen Erfindungen, urheberrechtlich geschützten Werken, Entwicklungen, Verbesserungen, Geschäftsgeheimnissen und sonstigem geistigem Eigentum, das Anbieter gehört oder an dem Anbieter vor der Erbringung der Dienstleistungen im Rahmen dieser Vereinbarung oder unabhängig davon ein Recht innehat („Prior Invention(s)“). Anbieter wird ohne vorherige schriftliche Zustimmung von Anysphere keine geschützten Informationen oder Produkte, die einem Dritten gehören, oder Open-Source-Software in ein Leistungsergebnis einbinden. Alle genehmigten Drittmaterialien, die in Leistungsergebnissen enthalten sind, werden (a) ohne zusätzliche Kosten für Anysphere bereitgestellt und (b) mit einer schriftlichen Zustimmung, die mit dem jeweils geltenden SOW sowie mit den Anysphere nach diesem Abschnitt eingeräumten Rechten im Einklang steht. Soweit eine Prior Invention in ein Vendor Work Product eingebunden ist oder für dessen Nutzung, Betrieb oder Verwertung erforderlich ist, gewährt Anbieter Anysphere hiermit eine nicht-exklusive, gebührenfreie, unbefristete, unwiderrufliche, übertragbare, weltweite Lizenz (mit dem Recht zur Erteilung und Genehmigung von Unterlizenzen), solche Prior Invention im Zusammenhang mit dem jeweiligen Vendor Work Product herzustellen, herstellen zu lassen, zu nutzen, zu importieren, zum Verkauf anzubieten, zu verkaufen, zu vervielfältigen, zu verbreiten, zu ändern, anzupassen, Bearbeitungen davon zu erstellen, darzustellen, vorzuführen und anderweitig zu verwerten.

3.4. Urheberpersönlichkeitsrechte. Im größtmöglichen, nach geltendem Recht zulässigen Umfang überträgt und tritt Anbieter hiermit unwiderruflich an Anysphere ab und stimmt zu, unwiderruflich an Anysphere zu übertragen und abzutreten sowie verzichtet und verpflichtet sich, niemals geltend zu machen, sämtliche Urheberpersönlichkeitsrechte (wie nachstehend definiert), die Anbieter während und nach der Laufzeit dieser Vereinbarung an oder in Bezug auf irgendein Vendor Work Product haben könnte. „Moral Rights“ bezeichnet alle Rechte, die Urheberschaft an einem Werk zu beanspruchen, der Änderung oder Zerstörung eines Werkes zu widersprechen oder diese zu verhindern, ein Werk aus dem Verkehr zu ziehen oder die Veröffentlichung oder Verbreitung eines Werkes zu kontrollieren, sowie alle ähnlichen Rechte, die sich aus der Rechtsprechung oder aus Gesetzen irgendeines Landes der Welt ergeben, unabhängig davon, ob ein solches Recht als „Urheberpersönlichkeitsrecht“ bezeichnet wird oder allgemein als solches bekannt ist.

3.5. Verwandte Rechte. Soweit Anbieter gegenwärtig oder zukünftig Inhaber oder Berechtigter von Patentrechten, Urheberrechten, Maskenwerksrechten, Geschäftsgeheimnisrechten oder sonstigen geistigen Eigentums- oder Schutzrechten ist, die die Ausübung der Anysphere im Rahmen dieser Vereinbarung eingeräumten Rechte durch Anysphere behindern oder beeinträchtigen könnten oder andernfalls für die Ausübung dieser Rechte erforderlich sein könnten (zusammen „Related Rights“), gewährt Anbieter Anysphere hiermit bzw. veranlasst, dass Anysphere gewährt wird, eine nicht-exklusive, gebührenfreie, unwiderrufliche, unbefristete, übertragbare, weltweite Lizenz (mit dem Recht zur Unterlizenzierung), alle Produkte, Software, Hardware, Verfahren oder Materialien jeglicher Art, die durch solche Related Rights geschützt sind, in dem Umfang herzustellen, herstellen zu lassen, zu nutzen, zum Verkauf anzubieten, zu verkaufen, zu importieren, zu kopieren, zu modifizieren, Bearbeitungen davon zu erstellen, zu verbreiten, unterzulizenzieren, darzustellen, vorzuführen und zu übertragen, wie dies erforderlich ist, um Anysphere die Ausübung sämtlicher Anysphere im Rahmen dieser Vereinbarung übertragenen Rechte zu ermöglichen.

4. VERTRAULICHKEITS- UND DATENVERARBEITUNGSVEREINBARUNG.

4.1. Vertraulichkeit. Für die Zwecke dieser Vereinbarung bedeutet „Vertrauliche Informationen“ und umfasst: (i) alle Informationen, Materialien oder Kenntnisse über eine der Parteien und deren Geschäftstätigkeit, finanzielle Lage, Produkte, Programmiertechniken, Kunden, Lieferanten, Technologie oder Forschung und Entwicklung, die der anderen Partei offengelegt werden oder auf die die andere Partei im Zusammenhang mit der Erbringung der Dienstleistungen Zugriff hat, einschließlich im Fall von Anysphere der Anysphere-Daten; (ii) das Vendor Work Product; und (iii) die Bedingungen dieser Vereinbarung. „Anysphere-Daten“ bezeichnet alle Daten, Inhalte, Informationen, Prompts, Eingaben, Outputs, Protokolle, Metadaten, Telemetrie, Embeddings, abgeleiteten Daten, personenbezogenen Daten oder Kundendaten, die von oder im Namen von Anysphere bereitgestellt oder verfügbar gemacht werden oder auf die Anbieter im Zusammenhang mit den Dienstleistungen zugreift oder die Anbieter generiert, verarbeitet, speichert oder überträgt. Anbieter darf Anysphere-Daten ausschließlich zur Erbringung der Dienstleistungen im Rahmen dieser Vereinbarung und des anwendbaren SOW nutzen. Vertrauliche Informationen umfassen keine Informationen, die: (a) ohne Verschulden der empfangenden Partei allgemein bekannt sind oder werden; (b) sich zum Zeitpunkt der Offenlegung rechtmäßig im Besitz der empfangenden Partei befanden, ohne Beschränkung in Bezug auf Nutzung oder Offenlegung; oder (c) die die empfangende Partei rechtmäßig von einem Dritten erhält, der zur Offenlegung berechtigt ist und diese ohne Beschränkung in Bezug auf Nutzung oder Offenlegung vornimmt. Jede Partei verpflichtet sich, alle Vertraulichen Informationen der anderen Partei streng vertraulich zu behandeln, sie in keiner Weise, weder kommerziell noch anderweitig, zu verwenden, außer zur Erbringung der Dienstleistungen, und sie nicht gegenüber Dritten offenzulegen. Jede Partei verpflichtet sich ferner, alle vernünftigerweise notwendigen Maßnahmen zu ergreifen, um die Vertraulichkeit aller Vertraulichen Informationen zu schützen, einschließlich, aber nicht beschränkt auf die Implementierung und Durchsetzung von Verfahren zur Minimierung der Möglichkeit einer unbefugten Nutzung oder Offenlegung von Vertraulichen Informationen und die Einhaltung der Verpflichtungen aus Anlage A. Ungeachtet des Vorstehenden haftet eine Partei (sofern es sich um eine natürliche Person handelt) nach dem Defend Trade Secrets Act von 2016 nicht für die Offenlegung eines Geschäftsgeheimnisses, wenn die Offenlegung: (A) vertraulich gegenüber einem Regierungsbeamten oder einem Rechtsanwalt erfolgt, um einen Gesetzesverstoß zu melden oder zu untersuchen, oder (B) in einer Klage oder einem Verfahren erfolgt, das unter Siegel eingereicht wird. Eine Partei kann das Geschäftsgeheimnis außerdem ihrem Rechtsanwalt mitteilen und es in einer Klage wegen Vergeltungsmaßnahmen verwenden, sofern jede gerichtliche Einreichung unter Siegel erfolgt und das Geschäftsgeheimnis nur aufgrund einer gerichtlichen Anordnung offengelegt wird. Mit Ausnahme der beschränkten Nutzungsrechte im Rahmen dieser Vereinbarung erwirbt keine der Parteien Rechte, Eigentum oder sonstige Ansprüche an den Vertraulichen Informationen der jeweils anderen Partei.

4.2. Sicherheit. Anbieter wird die in Anlage A festgelegten Verpflichtungen einhalten. Darüber hinaus wird Anbieter Anysphere innerhalb von 24 Stunden nach Bekanntwerden eines tatsächlichen oder begründet vermuteten Sicherheitsverstoßes, unbefugten Zugriffs oder Datensicherheitsvorfalls, der die Vertraulichen Informationen oder Daten von Anysphere betrifft, schriftlich benachrichtigen. Eine solche Benachrichtigung enthält Einzelheiten zu dem Vorfall, den betroffenen Daten, ergriffenen Abhilfemaßnahmen sowie den Plan von Anbieter zur Vermeidung ähnlicher Vorfälle. Anbieter wird Anysphere auf eigene Kosten alle zumutbare Unterstützung bei der Untersuchung und Behebung eines solchen Vorfalls leisten.

5. SELBSTSTÄNDIGER AUFTRAGNEHMER.

Anbieter ist ein selbstständiger Auftragnehmer; Anbieter und das Anbieterpersonal sind keine Mitarbeiter von Anysphere. Anbieter und das Anbieterpersonal haben keinen Anspruch auf Vergütung, Aktien, Optionen oder andere Rechte oder Leistungen, die Anysphere-Mitarbeitern gewährt werden, verzichten auf jegliche diesbezüglichen Rechte und verpflichten sich, solche Ansprüche niemals geltend zu machen. Anbieter wird das Anbieterpersonal über das Vorstehende informieren und von diesem einen entsprechenden Verzicht einholen. Anbieter ist für alle Lohn- bzw. Einkommensteuerabzüge verantwortlich, die in Bezug auf das Anbieterpersonal anfallen.

6. ZUSICHERUNGEN UND GEWÄHRLEISTUNGEN

6.1. Gegenseitig. Jede Partei sichert zu und gewährleistet, dass sie über die volle Befugnis und Autorität verfügt, diese Vereinbarung einzugehen und ihre Verpflichtungen daraus zu erfüllen.

6.2. Anbieter. Der Anbieter sichert zu und gewährleistet, dass: (a) der Anbieter die Dienstleistungen durch Mitarbeiter des Anbieters, deren Qualifikationsniveau den Anforderungen dieser Vereinbarung entspricht, professionell und fachgerecht erbringen wird; (b) sämtliche Arbeiten im Rahmen dieser Vereinbarung Originalarbeiten des Anbieters sind und weder die Dienstleistungen noch die Leistungsergebnisse noch deren Entwicklung, Nutzung, Herstellung, Verteilung oder Verwertung Rechte am geistigen Eigentum oder sonstige Rechte von Personen oder Rechtsträgern verletzen, unrechtmäßig verwenden oder anderweitig beeinträchtigen werden; (c) der Anbieter uneingeschränkt berechtigt ist, Anysphere die hierin vorgesehenen Abtretungen und Rechte zu gewähren (und mit allen hierfür erforderlichen Personen schriftliche durchsetzbare Vereinbarungen geschlossen hat, die ihm die hierfür erforderlichen Rechte verschaffen und ihm im Übrigen die vollständige Erfüllung dieser Vereinbarung ermöglichen); (d) der Anbieter bei der Erbringung der Dienstleistungen alle anwendbaren Gesetze und Vorschriften sowie, falls zur Verfügung gestellt, die Sicherheitsregeln von Anysphere einhalten wird; (e) keine tatsächlichen oder potenziellen Interessenkonflikte in Bezug auf die Dienstleistungen bestehen; (f) die Leistungsergebnisse frei von Viren oder anderem bösartigen Code sein werden; und (g) der Anbieter die Chancengleichheit als Arbeitgeber wahrt und nicht aufgrund von Alter, ethnischer Zugehörigkeit, Glaubensbekenntnis, Hautfarbe, Religion, Geschlecht, sexueller Orientierung, nationaler Herkunft, Behinderung, Familienstand oder Veteranenstatus oder auf einer anderen gesetzlich verbotenen Grundlage diskriminiert und bei der Erbringung der Dienstleistungen auch nicht in dieser Weise diskriminieren wird.

7. INDEMNIFIZIERUNG.

7.1. Freistellung durch den Anbieter. Der Anbieter wird Anysphere, dessen Führungskräfte, Direktoren, Mitarbeiter, Unterlizenznehmer, Nutzer und Beauftragte (die „Anysphere Parties“) gegen alle Ansprüche, Klagen, Haftungen oder Klagegründe jeglicher Art („Claims“) verteidigen und schadlos halten, die sich aus Folgendem ergeben oder damit in Zusammenhang stehen: (a) jedem Claim eines Dritten, dass die Dienstleistungen oder Leistungsergebnisse Rechte am geistigen Eigentum Dritter verletzen oder unrechtmäßig verwenden; (b) einer Verletzung einer Gewährleistung, Fahrlässigkeit oder einem Gesetzesverstoß durch den Anbieter; (c) jeder Verletzung von Abschnitt 4 (Vertraulichkeits- und Datenverarbeitungsvereinbarung) durch den Anbieter oder eine in seinem Auftrag handelnde Person; und (d) Sachschäden, Personenschäden oder Todesfällen im Zusammenhang mit der Erbringung der Dienstleistungen.

7.2. Freistellungsverfahren. Anysphere ist berechtigt, jeden Rechtsbeistand zu genehmigen, der zur Verteidigung gegen Claims gegen eine Anysphere Party beauftragt wird, und wird eine solche Genehmigung nicht unangemessen verweigern. Anysphere ist berechtigt, die Verteidigung eines solchen Claims hinsichtlich Angelegenheiten zu kontrollieren und daran teilzunehmen, die Anysphere betreffen, und der Anbieter darf einen solchen Claim nicht ohne die schriftliche Zustimmung von Anysphere beilegen oder darüber einen Vergleich schließen. Wenn nach vernünftiger Einschätzung von Anysphere ein Interessenkonflikt zwischen den Interessen von Anysphere und dem Anbieter in einem solchen Claim besteht, kann Anysphere einen eigenen Rechtsbeistand beauftragen, dessen angemessene Gebühren vom Anbieter zu tragen sind.

8. HAFTUNGSBESCHRÄNKUNG.

MIT AUSNAHME VON VERLETZUNGEN ODER UNRECHTMÄSSIGER NUTZUNG VON RECHTEN AM GEISTIGEN EIGENTUM, VERLETZUNGEN VON PFLICHTEN AUS Abschnitt 4 (Vertraulichkeits- und Datenverarbeitungsvereinbarung) ODER PFLICHTEN AUS Abschnitt 7 (INDEMNIFICATION): (A) HAFTET KEINE DER PARTEIEN FÜR INDIREKTE, BESONDERE, ZUFÄLLIGE ODER FOLGESCHÄDEN SOWIE FÜR STRAF- ODER EXEMPLARISCHE SCHÄDEN; UND (B) ÜBERSTEIGT DIE HAFTUNG KEINER PARTEI AUS ODER IM ZUSAMMENHANG MIT DIESER VEREINBARUNG DEN BETRAG, DER TATSÄCHLICH GEMÄSS DEM ANWENDBAREN SOW, AUS DEM DIE HAFTUNG ENTSTANDEN IST, GEZAHLT WURDE ODER ZU ZAHLEN IST.

9. LAUFZEIT UND KÜNDIGUNG.

9.1. Laufzeit. Diese Vereinbarung beginnt am Wirksamkeitsdatum und bleibt in Kraft, bis sie gemäß dieser Vereinbarung gekündigt wird.

9.2. Kündigung. Jede Partei kann diese Vereinbarung oder ein SOW mit sofortiger Wirkung durch schriftliche Mitteilung kündigen, wenn die andere Partei diese Vereinbarung wesentlich verletzt und diese Verletzung nicht innerhalb von 30 Tagen nach Erhalt einer schriftlichen Mitteilung der ersten Partei, in der die Verletzung benannt wird, behebt. Außerdem kann jede Partei die Leistungserbringung unverzüglich aussetzen oder diese Vereinbarung kündigen, wenn ein anwendbares Gesetz oder eine anwendbare behördliche oder gerichtliche Anordnung die Erfüllung eines Teils der Vereinbarung untersagt. Anysphere kann diese Vereinbarung oder ein SOW mit einer Frist von fünfzehn (15) Tagen durch schriftliche Mitteilung an den Anbieter kündigen, vorbehaltlich Abschnitt 9.3.

9.3. Wirkungen der Kündigung. Soweit in der Kündigungsmitteilung nichts anderes angegeben ist, wird die Kündigung mit sofortiger Wirkung wirksam, und der Anbieter stellt die Arbeiten an allen einschlägigen SOWs unverzüglich nach Erhalt der Kündigungsmitteilung ein. Die Kündigung dieser Vereinbarung beendet alle offenen SOWs und alle Lizenzen, die Anysphere im Rahmen dieser Vereinbarung erteilt hat. Zur Klarstellung: Die Kündigung eines SOW beendet nur dieses SOW und nicht diese Vereinbarung. Anysphere bezahlt für Dienstleistungen und Leistungsergebnisse, die vor dem Kündigungsdatum erbracht wurden. Nach der Beendigung wird der Anbieter alle vertraulichen Informationen und personenbezogenen Daten löschen, es sei denn, er ist nach geltendem Recht verpflichtet, einen Teil der vertraulichen Informationen oder personenbezogenen Daten aufzubewahren. Auf schriftliche Anfrage wird der Anbieter bestätigen, dass vertrauliche Informationen und/oder personenbezogene Daten gemäß dieser Vereinbarung gelöscht wurden.

9.4. Fortbestand. Abschnitte 3 (Geistiges Eigentum), 4 (Vertraulichkeits- und Datenverarbeitungsvereinbarung), 7 (Indemnification), 8 (Haftungsbeschränkung), 9.4 (Survival) und 12.3 (KI-Verstoß) sowie 13 (General Terms) bleiben auch nach Beendigung dieser Vereinbarung in Kraft.

10. VERSICHERUNG, HINTERGRUNDÜBERPRÜFUNGEN.

10.1. Versicherung. Der Anbieter wird während der gesamten Laufzeit dieser Vereinbarung Versicherungen in den für Anbieter, die ähnliche Dienstleistungen erbringen, üblichen Arten und Höhen unterhalten und vorhalten, die ausreichend sind, um die Verpflichtungen des Anbieters aus dieser Vereinbarung zu erfüllen. Der Anbieter wird Anysphere auf schriftliche Anfrage Versicherungsscheine vorlegen, die einen Nachweis über einen solchen Versicherungsschutz erbringen, und Anysphere unverzüglich über eine Kündigung oder wesentliche Änderung solcher Policen informieren.

10.2. Hintergrundüberprüfungen. Der Anbieter wird, soweit nach geltendem Recht und etwaigen von Anysphere zur Verfügung gestellten Richtlinien zulässig, Standard-Hintergrundüberprüfungen für sämtliches Anbieterpersonal durchführen, Aufzeichnungen über diese Überprüfungen führen und Anysphere auf Anfrage unverzüglich einen Nachweis über die Einhaltung dieses Abschnitts vorlegen.

11. EXPORTLIZENZEN

Der Anbieter sichert zu, gewährleistet und verpflichtet sich, dass er und sämtliches Anbieterpersonal alle anwendbaren Exportkontrollgesetze, -vorschriften und -anordnungen der Vereinigten Staaten und aller anderen relevanten Rechtsordnungen einhalten werden, einschließlich, aber nicht beschränkt auf, die Export Administration Regulations („EAR“) und die vom Office of Foreign Assets Control („OFAC“) verwalteten Vorschriften (zusammen die „Exportkontrollgesetze“). Der Anbieter wird vertrauliche Informationen, Technologien, Software oder technische Daten, die er von Anysphere erhalten hat, weder direkt noch indirekt in ein nach den Exportkontrollgesetzen verbotenes Land, an eine verbotene Organisation oder an eine verbotene Person exportieren, re-exportieren, übertragen oder verfügbar machen. Der Anbieter sichert zu und gewährleistet, dass weder der Anbieter noch Anbieterpersonal auf einer Sanktions- oder Sperrliste stehen, die von der US-Regierung oder anderen anwendbaren Regierungsbehörden geführt wird, einschließlich, aber nicht beschränkt auf, die Denied Persons List, Entity List, Specially Designated Nationals List oder Unverified List. Der Anbieter wird sämtliches Anbieterpersonal angemessen überprüfen und Anysphere unverzüglich benachrichtigen, falls Anbieterpersonal Exportkontrollbeschränkungen unterliegt.

12. KI-ANFORDERUNGEN

12.1. Nutzung von KI-Technologie. Der Anbieter darf bei der Erbringung der Dienstleistungen oder der Erstellung von Leistungsergebnissen keine künstliche Intelligenz, Machine-Learning- oder generative Technologie („KI-Technologie“) nutzen, einbinden oder sich darauf stützen, es sei denn, dies wurde im anwendbaren SOW ausdrücklich offengelegt und genehmigt („Genehmigte KI“). Jedes SOW, das KI-Technologie erlaubt, muss den Zweck angeben.

12.2. Trainingsverbot. Der Anbieter wird (a) keine vertraulichen Informationen von Anysphere, einschließlich Anysphere-Daten, nutzen, um KI-Technologie oder ein Modell zu trainieren, feinabzustimmen, zu verbessern oder zu evaluieren, und dies auch keinem Dritten erlauben, und (b) Verfahren zur keine Datenspeicherung implementieren und sicherstellen, dass keine vertraulichen Informationen von Anysphere, einschließlich Anysphere-Daten, nach Abschluss der Verarbeitung durch den Anbieter oder Drittanbieter von KI-Technologie aufbewahrt, gespeichert oder zwischengespeichert werden, es sei denn, dies ist im SOW ausdrücklich genehmigt.

12.3. KI-Verstoß. Jeder Verstoß gegen diesen Abschnitt 12 stellt eine wesentliche Verletzung dieser Vereinbarung dar und berechtigt Anysphere zusätzlich zu allen anderen gesetzlich oder nach Billigkeitsrecht verfügbaren Rechtsbehelfen zu Unterlassungsansprüchen und anderen billigen Rechtsbehelfen.

13. ALLGEMEINE BESTIMMUNGEN

13.1. Keine öffentliche Bekanntmachung. Keine der Parteien darf ohne die vorherige schriftliche Genehmigung der anderen Partei eine öffentliche Erklärung zu dieser Vereinbarung abgeben.

13.2. Aufzeichnungen und Prüfungsrechte. Anysphere kann die Leistungsergebnisse und laufenden Arbeiten jederzeit prüfen. Der Anbieter wird vollständige und genaue Aufzeichnungen im Zusammenhang mit dieser Vereinbarung führen. Innerhalb von 30 Tagen nach einer angemessenen Anfrage von Anysphere, während der Laufzeit und für 12 Monate danach sowie vorbehaltlich angemessener Vertraulichkeits- und Sicherheitsanforderungen, wird der Anbieter Zugriff auf diejenigen Bücher und Aufzeichnungen gewähren, die für Anysphere vernünftigerweise erforderlich sind, um die Einhaltung dieser Vereinbarung zu bestätigen.

13.3. Abtretung. Der Anbieter darf diese Vereinbarung weder ganz noch teilweise ohne die ausdrückliche vorherige schriftliche Zustimmung von Anysphere abtreten oder übertragen. Jeder Versuch, diese Vereinbarung ohne eine solche Zustimmung abzutreten, ist nichtig. Vorbehaltlich des Vorstehenden ist diese Vereinbarung für die Parteien sowie ihre jeweiligen Rechtsnachfolger und Abtretungsempfänger bindend und kommt ihnen zugute.

13.4. Untervergabe. Der Anbieter darf im Zusammenhang mit den Dienstleistungen Subunternehmer und Unterauftragsverarbeiter einsetzen, vorausgesetzt, dass der Anbieter für deren Handlungen und Unterlassungen verantwortlich bleibt und sicherstellt, dass sie durch schriftliche Verpflichtungen gebunden sind, die Anysphere mindestens ebenso gut schützen wie diese Vereinbarung. Auf Anfrage von Anysphere stellt der Anbieter eine Liste der Subunternehmer und Unterauftragsverarbeiter zur Verfügung, die auf Anysphere-Daten zugreifen oder diese verarbeiten können. Der Anbieter wird jede neue Beauftragung eines Subunternehmers oder Unterauftragsverarbeiters, der auf Anysphere-Daten zugreifen oder diese verarbeiten kann, sowie jede andere wesentliche Änderung in Bezug auf solche Subunternehmer oder Unterauftragsverarbeiter im Voraus mitteilen und wird keinen Subunternehmer oder Unterauftragsverarbeiter einsetzen, gegen den Anysphere vernünftigerweise Einwände erhebt.

13.5. Höhere Gewalt. Keine der Parteien haftet für eine Nichterfüllung oder Verzögerung bei der Erfüllung, soweit diese durch Umstände verursacht wird, die sich ihrer zumutbaren Kontrolle entziehen.

13.6. Keine Wahl von Rechtsbehelfen. Sofern in dieser Vereinbarung nicht ausdrücklich etwas anderes festgelegt ist, gilt die Ausübung eines Rechtsbehelfs aus dieser Vereinbarung durch Anysphere nicht als Wahl eines Rechtsbehelfs und erfolgt unbeschadet anderer Rechtsbehelfe aus dieser Vereinbarung oder solcher, die nach Gesetz oder Billigkeitsrecht verfügbar sind.

13.7. Billigkeitsrechtliche Rechtsbehelfe. Da die Dienstleistungen persönlich und einzigartig sind und da der Anbieter Zugriff auf Vertrauliche Informationen von Anysphere haben wird, ist Anysphere berechtigt, diese Vereinbarung und jede ihrer Bestimmungen durch einstweilige Verfügung, Naturalerfüllung oder andere billigkeitsrechtliche Rechtsbehelfe durchzusetzen, ohne eine Sicherheit oder sonstige Gegenleistung leisten zu müssen, zusätzlich zu allen anderen gesetzlich verfügbaren Rechtsbehelfen.

13.8. Anwendbares Recht. Diese Vereinbarung unterliegt dem Recht des Staates Kalifornien und ist nach diesem auszulegen, unter Ausschluss seines Kollisionsrechts. Jede rechtliche Klage oder jedes Verfahren aus oder im Zusammenhang mit dieser Vereinbarung wird ausschließlich vor den Bundes- oder Staatsgerichten in San Francisco, Kalifornien, erhoben, und die Parteien unterwerfen sich unwiderruflich deren persönlicher Zuständigkeit und dem dortigen Gerichtsstand.

13.9. Salvatorische Klausel. Sollte eine Bestimmung dieser Vereinbarung von einem zuständigen Gericht für ungültig oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen dieser Vereinbarung in vollem Umfang in Kraft und wirksam, und die betroffene Bestimmung wird so ausgelegt, dass sie im größtmöglichen, nach geltendem Recht zulässigen Umfang durchsetzbar ist.

13.10. Verzicht. Das Versäumnis einer Partei, eine Bestimmung dieser Vereinbarung durchzusetzen, stellt keinen Verzicht auf die künftige Durchsetzung dieser oder einer anderen Bestimmung dar.

13.11. Mitteilungen. Sämtliche Mitteilungen müssen schriftlich erfolgen und werden mit Zugang wirksam, wenn sie per Kurier, Overnight-Service oder E-Mail zugestellt werden. Für Mitteilungen per E-Mail lautet die von Anysphere benannte Adresse legal@cursor.com, und die vom Anbieter benannte Adresse ist in dem jeweils geltenden SOW aufgeführt.

13.12. Gesamte Vereinbarung. Diese Vereinbarung bildet zusammen mit jedem SOW die vollständige und ausschließliche Übereinkunft und Vereinbarung der Parteien in Bezug auf ihren Gegenstand und ersetzt sämtliche vorherigen Übereinkünfte und Vereinbarungen, gleich ob schriftlich oder mündlich. Anysphere kann die Bedingungen dieser Vereinbarung von Zeit zu Zeit aktualisieren, indem eine aktualisierte Fassung auf dieser Seite veröffentlicht wird. Solche Aktualisierungen werden für neue SOWs wirksam, die nach Veröffentlichung der aktualisierten Fassung abgeschlossen werden. Der Anbieter ist dafür verantwortlich, die jeweils aktuelle Fassung dieser Vereinbarung zu prüfen, bevor ein neues SOW abgeschlossen wird.

Anlage A — Anlage zur Datensicherheit

Programm. Der Vendor implementiert und unterhält ein umfassendes schriftliches Informationssicherheitsprogramm („Informationssicherheitsprogramm“), das geeignete administrative, technische und organisatorische Schutzmaßnahmen vorsieht, die mit diesem Anhang A im Einklang stehen und die Sicherheit, Integrität, Verfügbarkeit, Widerstandsfähigkeit und Vertraulichkeit der vertraulichen Informationen von Anysphere sicherstellen und die allgemein anerkannten Branchenstandards erfüllen oder übertreffen.
Zugriffskontrollen. Der Vendor wird: (a) das „Prinzip der geringsten Rechte“ („least privilege“) befolgen, wonach der Vendor seinen Mitarbeitenden Zugriff auf vertrauliche Informationen von Anysphere ausschließlich auf Basis der Erforderlichkeit („Need-to-know“) gewährt; (b) den Zugriff seiner Mitarbeitenden auf vertrauliche Informationen von Anysphere unverzüglich beenden, wenn ein solcher Zugriff für die Erfüllung des Vertrags nicht mehr erforderlich ist; (c) die Details sämtlicher Zugriffe auf vertrauliche Informationen von Anysphere protokollieren und solche Aufzeichnungen mindestens 90 Tage lang aufbewahren; und (d) für jede Verarbeitung vertraulicher Informationen von Anysphere durch seine Mitarbeitenden verantwortlich sein.
Verwaltung von Konten. Der Vendor ergreift angemessene Maßnahmen, um die Erstellung, Verwendung und Löschung aller Zugangsdaten für Konten zu verwalten, die für den Zugriff auf die Vendor Systems genutzt werden, unter anderem durch: (a) die Einrichtung eines separaten Kontos mit eindeutigen Zugangsdaten für jeden Benutzer; (b) eine strikte Verwaltung administrativer Konten; (c) Best Practices für Passwörter, einschließlich der Verwendung starker Passwörter und sicherer Passwortspeicherung; und (d) regelmäßige Überprüfungen von Konten und Zugangsdaten. „Vendor Systems“ bezeichnet die Einrichtungen, Systeme, Geräte, Hardware und Software, die im Zusammenhang mit der Verarbeitung vertraulicher Informationen von Anysphere durch den Vendor eingesetzt werden.
Schwachstellenmanagement. Der Anbieter wird: (a) automatisierte Tools zum Schwachstellenscanning verwenden, um die Systeme des Anbieters zu scannen; (b) Berichte aus Schwachstellenscans protokollieren; (c) in regelmäßigen Abständen Überprüfungen der Schwachstellenscanberichte durchführen; (d) Patch-Management- und Software-Update-Tools für die Systeme des Anbieters verwenden; (e) Schwachstellen nach ihrem Schweregrad priorisieren und beheben; und (f) kompensierende Kontrollmaßnahmen einsetzen, falls kein Patch oder keine Behebung unmittelbar verfügbar ist.
Reaktion auf Sicherheitsvorfälle. Der Anbieter wird Anysphere über jede versehentliche oder rechtswidrige Vernichtung, jeden Verlust oder jede Veränderung vertraulicher Informationen von Anysphere oder jeden unbefugten Zugriff auf vertrauliche Informationen von Anysphere bzw. deren unbefugte Nutzung oder Offenlegung („Sicherheitsvorfall“) ohne unangemessene Verzögerung (und in jedem Fall innerhalb von 24 Stunden), nachdem er von einem tatsächlichen oder begründet vermuteten Sicherheitsvorfall Kenntnis erlangt hat, benachrichtigen. In jeder solchen Mitteilung wird der Anbieter Folgendes angeben: (a) eine Beschreibung des Sicherheitsvorfalls, einschließlich der Anzahl und Kategorien der betroffenen Personen, (b) Kategorien und Anzahl der betroffenen Datensätze, (c) Arten der betroffenen Informationen, (d) Datum und Uhrzeit des Sicherheitsvorfalls, (e) eine Zusammenfassung der Umstände, die den Sicherheitsvorfall verursacht haben, sowie etwaige anhaltende Risiken, die sich aus dem Sicherheitsvorfall ergeben, (f) eine Beschreibung der Maßnahmen, die der Anbieter vorgeschlagen oder ergriffen hat, um den Sicherheitsvorfall zu beheben, und (g) alle weiteren Informationen, die von Anysphere in angemessenem Umfang im Zusammenhang mit dem Sicherheitsvorfall angefordert werden. Soweit und nur insoweit es nicht möglich ist, die vorstehenden Informationen gleichzeitig bereitzustellen, können die Informationen gestaffelt und ohne unangemessene Verzögerung übermittelt werden. Der Anbieter wird Anysphere in angemessenem Umfang bei der Untersuchung, Behebung oder Durchführung aller sonstigen Maßnahmen unterstützen, die Anysphere im Hinblick auf den Sicherheitsvorfall für angemessen erforderlich hält, einschließlich im Zusammenhang mit Streitigkeiten, Anfragen, Untersuchungen oder Ansprüchen im Zusammenhang mit dem Sicherheitsvorfall.
Sicherheitssegmentierung. Der Anbieter setzt angemessene Maßnahmen ein, um den Informationsfluss innerhalb der Anbietersysteme auf mehreren Ebenen mithilfe von Tools wie Firewalls, Proxys und netzwerkbasierten Intrusion-Detection-Systemen (IDS) zu überwachen, zu erkennen und einzuschränken.
Data Loss Prevention. Der Anbieter wird angemessene Maßnahmen zur Verhinderung von Datenverlust einsetzen, um vertrauliche Informationen von Anysphere während der Nutzung, der Übertragung und im Ruhezustand zu identifizieren, zu überwachen und zu schützen. Solche Prozesse und Tools zur Verhinderung von Datenverlust umfassen insbesondere: (a) automatisierte Tools zur Erkennung von Versuchen der Datenexfiltration; (b) das Verbot bzw. die sichere, verwaltete Nutzung tragbarer Geräte; (c) die Verwendung zertifikatsbasierter Sicherheitsmechanismen; und (d) Richtlinien und Verfahren für ein sicheres Schlüsselmanagement.
Verschlüsselung. Der Vendor wird unter Verwendung branchenüblicher Verschlüsselungswerkzeuge vertrauliche Informationen von Anysphere verschlüsseln, die der Vendor (i) drahtlos oder über öffentliche Netzwerke oder innerhalb der Vendor Systems überträgt oder sendet, (ii) auf Laptops oder Speichermedien speichert und (iii) auf tragbaren Geräten oder innerhalb des Vendor System speichert. Der Vendor wird die Sicherheit und Vertraulichkeit aller mit verschlüsselten Informationen verbundenen Verschlüsselungsschlüssel gewährleisten.
Pseudonymisierung. Der Anbieter wird, soweit möglich und mit den Services vereinbar, branchenübliche und angemessene Techniken der Pseudonymisierung einsetzen, um die Vertraulichen Informationen von Anysphere zu schützen.
Sichere Softwareentwicklung. Der Anbieter sichert zu und gewährleistet, dass jede Software, die im Rahmen der Verarbeitung vertraulicher Informationen von Anysphere verwendet wird, unter Anwendung sicherer Softwareentwicklungspraktiken entwickelt wurde oder wird, einschließlich folgender Maßnahmen: (a) Trennung von Entwicklungs- und Produktionsumgebungen; (b) Herausfiltern potenziell schädlicher Zeichenfolgen in Benutzereingaben; (c) Verwendung sicherer Kommunikationstechniken, einschließlich Verschlüsselung; (d) Verwendung solider Speicherverwaltungspraktiken; (e) Einsatz von Web Application Firewalls zur Abwehr gängiger Webanwendungsangriffe wie Cross-Site-Scripting, SQL-Injection und Command Injection; (f) Umsetzung der OWASP-Top-Ten-Empfehlungen, soweit anwendbar; (g) Einspielen von Patches für Software; (h) Testen von Objektcode und Quellcode auf häufige Programmierfehler und Schwachstellen mithilfe von Code-Analyse-Tools; (i) Testen von Webanwendungen auf Schwachstellen mithilfe von Web Application Scannern; und (j) Testen von Software auf Leistungsfähigkeit unter Denial-of-Service- und anderen Angriffen zur Ressourcenerschöpfung.
PCI-Compliance. Soweit vertrauliche Informationen von Anysphere „Karteninhaberdaten“ enthalten, wie dieser Begriff im Payment Card Industry Data Security Standard („PCI DSS“) definiert ist, verpflichtet sich der Anbieter, (a) den PCI DSS sowie andere anwendbare PCI- und Zahlungskartenherausgeber-, Marken- oder Verbandsregeln und -anforderungen einzuhalten; (b) uneingeschränkt mit jeder Sicherheitsprüfung oder Untersuchung zu kooperieren, die von Anysphere, einem Zahlungskartenherausgeber, einer Marke oder einem Verband oder einer Strafverfolgungsbehörde verlangt werden kann, einschließlich durch Bereitstellung von Datensicherheitsberichten; (c) alle Geldbußen und Strafen zu zahlen, falls der Anbieter oder einer seiner Unterauftragnehmer diese Regeln oder Anforderungen nicht einhält; und (d) mindestens einmal jährlich auf eigene Kosten ein PCI-DSS-Compliance-Audit oder eine entsprechende Selbstbewertung durchzuführen und Anysphere die Ergebnisse eines solchen Audits oder einer solchen Selbstbewertung zusammen mit Nachweisen der Compliance (in Form einer Attestation of Compliance oder eines ROC) zur Verfügung zu stellen.
Physische Schutzmaßnahmen. Der Anbieter hält physische Zugangskontrollen aufrecht, die relevante Anbietersysteme sichern, die zur Verarbeitung vertraulicher Informationen von Anysphere verwendet werden, einschließlich eines Zugangskontrollsystems, das es dem Anbieter ermöglicht, den physischen Zugang zu jeder Betriebsstätte des Anbieters zu überwachen und zu kontrollieren und das eine 24/7-Überwachung der physischen Sicherheit sowie den Einsatz geschulter und erfahrener Sicherheitskräfte umfasst.
Administrative Safeguards. Bevor der Vendor einem seiner Mitarbeitenden Zugang zu vertraulichen Informationen von Anysphere gewährt, wird der Vendor: (a) die Zuverlässigkeit dieser Personen sicherstellen, unter anderem durch Durchführung von Hintergrundüberprüfungen (soweit nach dem Datenschutzrecht zulässig); und (b) diesen Personen eine angemessene Sicherheitsschulung anbieten, um sicherzustellen, dass sie die Verpflichtungen aus dieser Anlage A einhalten können. Der Vendor wird seinem Personal in regelmäßigen Abständen zusätzliche Schulungen anbieten, soweit dies angemessen ist, um sicherzustellen, dass das Informationssicherheitsprogramm des Vendors den jeweils geltenden Branchenstandards entspricht oder diese übertrifft.

1. DIENSTLEISTUNGEN & LEISTUNGSERGEBNISSE

2. ZAHLUNG.

3. GEISTIGES EIGENTUM.

4. VERTRAULICHKEITS- UND DATENVERARBEITUNGSVEREINBARUNG.

5. SELBSTSTÄNDIGER AUFTRAGNEHMER.

6. ZUSICHERUNGEN UND GEWÄHRLEISTUNGEN

6.1. Gegenseitig. Jede Partei sichert zu und gewährleistet, dass sie über die volle Befugnis und Autorität verfügt, diese Vereinbarung einzugehen und ihre Verpflichtungen daraus zu erfüllen.

7. INDEMNIFIZIERUNG.

8. HAFTUNGSBESCHRÄNKUNG.

9. LAUFZEIT UND KÜNDIGUNG.

9.1. Laufzeit. Diese Vereinbarung beginnt am Wirksamkeitsdatum und bleibt in Kraft, bis sie gemäß dieser Vereinbarung gekündigt wird.

10. VERSICHERUNG, HINTERGRUNDÜBERPRÜFUNGEN.

11. EXPORTLIZENZEN

12. KI-ANFORDERUNGEN

13. ALLGEMEINE BESTIMMUNGEN

13.1. Keine öffentliche Bekanntmachung. Keine der Parteien darf ohne die vorherige schriftliche Genehmigung der anderen Partei eine öffentliche Erklärung zu dieser Vereinbarung abgeben.

13.10. Verzicht. Das Versäumnis einer Partei, eine Bestimmung dieser Vereinbarung durchzusetzen, stellt keinen Verzicht auf die künftige Durchsetzung dieser oder einer anderen Bestimmung dar.

Anlage A — Anlage zur Datensicherheit

Programm. Der Vendor implementiert und unterhält ein umfassendes schriftliches Informationssicherheitsprogramm („Informationssicherheitsprogramm“), das geeignete administrative, technische und organisatorische Schutzmaßnahmen vorsieht, die mit diesem Anhang A im Einklang stehen und die Sicherheit, Integrität, Verfügbarkeit, Widerstandsfähigkeit und Vertraulichkeit der vertraulichen Informationen von Anysphere sicherstellen und die allgemein anerkannten Branchenstandards erfüllen oder übertreffen.
Zugriffskontrollen. Der Vendor wird: (a) das „Prinzip der geringsten Rechte“ („least privilege“) befolgen, wonach der Vendor seinen Mitarbeitenden Zugriff auf vertrauliche Informationen von Anysphere ausschließlich auf Basis der Erforderlichkeit („Need-to-know“) gewährt; (b) den Zugriff seiner Mitarbeitenden auf vertrauliche Informationen von Anysphere unverzüglich beenden, wenn ein solcher Zugriff für die Erfüllung des Vertrags nicht mehr erforderlich ist; (c) die Details sämtlicher Zugriffe auf vertrauliche Informationen von Anysphere protokollieren und solche Aufzeichnungen mindestens 90 Tage lang aufbewahren; und (d) für jede Verarbeitung vertraulicher Informationen von Anysphere durch seine Mitarbeitenden verantwortlich sein.
Verwaltung von Konten. Der Vendor ergreift angemessene Maßnahmen, um die Erstellung, Verwendung und Löschung aller Zugangsdaten für Konten zu verwalten, die für den Zugriff auf die Vendor Systems genutzt werden, unter anderem durch: (a) die Einrichtung eines separaten Kontos mit eindeutigen Zugangsdaten für jeden Benutzer; (b) eine strikte Verwaltung administrativer Konten; (c) Best Practices für Passwörter, einschließlich der Verwendung starker Passwörter und sicherer Passwortspeicherung; und (d) regelmäßige Überprüfungen von Konten und Zugangsdaten. „Vendor Systems“ bezeichnet die Einrichtungen, Systeme, Geräte, Hardware und Software, die im Zusammenhang mit der Verarbeitung vertraulicher Informationen von Anysphere durch den Vendor eingesetzt werden.
Schwachstellenmanagement. Der Anbieter wird: (a) automatisierte Tools zum Schwachstellenscanning verwenden, um die Systeme des Anbieters zu scannen; (b) Berichte aus Schwachstellenscans protokollieren; (c) in regelmäßigen Abständen Überprüfungen der Schwachstellenscanberichte durchführen; (d) Patch-Management- und Software-Update-Tools für die Systeme des Anbieters verwenden; (e) Schwachstellen nach ihrem Schweregrad priorisieren und beheben; und (f) kompensierende Kontrollmaßnahmen einsetzen, falls kein Patch oder keine Behebung unmittelbar verfügbar ist.
Reaktion auf Sicherheitsvorfälle. Der Anbieter wird Anysphere über jede versehentliche oder rechtswidrige Vernichtung, jeden Verlust oder jede Veränderung vertraulicher Informationen von Anysphere oder jeden unbefugten Zugriff auf vertrauliche Informationen von Anysphere bzw. deren unbefugte Nutzung oder Offenlegung („Sicherheitsvorfall“) ohne unangemessene Verzögerung (und in jedem Fall innerhalb von 24 Stunden), nachdem er von einem tatsächlichen oder begründet vermuteten Sicherheitsvorfall Kenntnis erlangt hat, benachrichtigen. In jeder solchen Mitteilung wird der Anbieter Folgendes angeben: (a) eine Beschreibung des Sicherheitsvorfalls, einschließlich der Anzahl und Kategorien der betroffenen Personen, (b) Kategorien und Anzahl der betroffenen Datensätze, (c) Arten der betroffenen Informationen, (d) Datum und Uhrzeit des Sicherheitsvorfalls, (e) eine Zusammenfassung der Umstände, die den Sicherheitsvorfall verursacht haben, sowie etwaige anhaltende Risiken, die sich aus dem Sicherheitsvorfall ergeben, (f) eine Beschreibung der Maßnahmen, die der Anbieter vorgeschlagen oder ergriffen hat, um den Sicherheitsvorfall zu beheben, und (g) alle weiteren Informationen, die von Anysphere in angemessenem Umfang im Zusammenhang mit dem Sicherheitsvorfall angefordert werden. Soweit und nur insoweit es nicht möglich ist, die vorstehenden Informationen gleichzeitig bereitzustellen, können die Informationen gestaffelt und ohne unangemessene Verzögerung übermittelt werden. Der Anbieter wird Anysphere in angemessenem Umfang bei der Untersuchung, Behebung oder Durchführung aller sonstigen Maßnahmen unterstützen, die Anysphere im Hinblick auf den Sicherheitsvorfall für angemessen erforderlich hält, einschließlich im Zusammenhang mit Streitigkeiten, Anfragen, Untersuchungen oder Ansprüchen im Zusammenhang mit dem Sicherheitsvorfall.
Sicherheitssegmentierung. Der Anbieter setzt angemessene Maßnahmen ein, um den Informationsfluss innerhalb der Anbietersysteme auf mehreren Ebenen mithilfe von Tools wie Firewalls, Proxys und netzwerkbasierten Intrusion-Detection-Systemen (IDS) zu überwachen, zu erkennen und einzuschränken.
Data Loss Prevention. Der Anbieter wird angemessene Maßnahmen zur Verhinderung von Datenverlust einsetzen, um vertrauliche Informationen von Anysphere während der Nutzung, der Übertragung und im Ruhezustand zu identifizieren, zu überwachen und zu schützen. Solche Prozesse und Tools zur Verhinderung von Datenverlust umfassen insbesondere: (a) automatisierte Tools zur Erkennung von Versuchen der Datenexfiltration; (b) das Verbot bzw. die sichere, verwaltete Nutzung tragbarer Geräte; (c) die Verwendung zertifikatsbasierter Sicherheitsmechanismen; und (d) Richtlinien und Verfahren für ein sicheres Schlüsselmanagement.
Verschlüsselung. Der Vendor wird unter Verwendung branchenüblicher Verschlüsselungswerkzeuge vertrauliche Informationen von Anysphere verschlüsseln, die der Vendor (i) drahtlos oder über öffentliche Netzwerke oder innerhalb der Vendor Systems überträgt oder sendet, (ii) auf Laptops oder Speichermedien speichert und (iii) auf tragbaren Geräten oder innerhalb des Vendor System speichert. Der Vendor wird die Sicherheit und Vertraulichkeit aller mit verschlüsselten Informationen verbundenen Verschlüsselungsschlüssel gewährleisten.
Pseudonymisierung. Der Anbieter wird, soweit möglich und mit den Services vereinbar, branchenübliche und angemessene Techniken der Pseudonymisierung einsetzen, um die Vertraulichen Informationen von Anysphere zu schützen.
Sichere Softwareentwicklung. Der Anbieter sichert zu und gewährleistet, dass jede Software, die im Rahmen der Verarbeitung vertraulicher Informationen von Anysphere verwendet wird, unter Anwendung sicherer Softwareentwicklungspraktiken entwickelt wurde oder wird, einschließlich folgender Maßnahmen: (a) Trennung von Entwicklungs- und Produktionsumgebungen; (b) Herausfiltern potenziell schädlicher Zeichenfolgen in Benutzereingaben; (c) Verwendung sicherer Kommunikationstechniken, einschließlich Verschlüsselung; (d) Verwendung solider Speicherverwaltungspraktiken; (e) Einsatz von Web Application Firewalls zur Abwehr gängiger Webanwendungsangriffe wie Cross-Site-Scripting, SQL-Injection und Command Injection; (f) Umsetzung der OWASP-Top-Ten-Empfehlungen, soweit anwendbar; (g) Einspielen von Patches für Software; (h) Testen von Objektcode und Quellcode auf häufige Programmierfehler und Schwachstellen mithilfe von Code-Analyse-Tools; (i) Testen von Webanwendungen auf Schwachstellen mithilfe von Web Application Scannern; und (j) Testen von Software auf Leistungsfähigkeit unter Denial-of-Service- und anderen Angriffen zur Ressourcenerschöpfung.
PCI-Compliance. Soweit vertrauliche Informationen von Anysphere „Karteninhaberdaten“ enthalten, wie dieser Begriff im Payment Card Industry Data Security Standard („PCI DSS“) definiert ist, verpflichtet sich der Anbieter, (a) den PCI DSS sowie andere anwendbare PCI- und Zahlungskartenherausgeber-, Marken- oder Verbandsregeln und -anforderungen einzuhalten; (b) uneingeschränkt mit jeder Sicherheitsprüfung oder Untersuchung zu kooperieren, die von Anysphere, einem Zahlungskartenherausgeber, einer Marke oder einem Verband oder einer Strafverfolgungsbehörde verlangt werden kann, einschließlich durch Bereitstellung von Datensicherheitsberichten; (c) alle Geldbußen und Strafen zu zahlen, falls der Anbieter oder einer seiner Unterauftragnehmer diese Regeln oder Anforderungen nicht einhält; und (d) mindestens einmal jährlich auf eigene Kosten ein PCI-DSS-Compliance-Audit oder eine entsprechende Selbstbewertung durchzuführen und Anysphere die Ergebnisse eines solchen Audits oder einer solchen Selbstbewertung zusammen mit Nachweisen der Compliance (in Form einer Attestation of Compliance oder eines ROC) zur Verfügung zu stellen.
Physische Schutzmaßnahmen. Der Anbieter hält physische Zugangskontrollen aufrecht, die relevante Anbietersysteme sichern, die zur Verarbeitung vertraulicher Informationen von Anysphere verwendet werden, einschließlich eines Zugangskontrollsystems, das es dem Anbieter ermöglicht, den physischen Zugang zu jeder Betriebsstätte des Anbieters zu überwachen und zu kontrollieren und das eine 24/7-Überwachung der physischen Sicherheit sowie den Einsatz geschulter und erfahrener Sicherheitskräfte umfasst.
Administrative Safeguards. Bevor der Vendor einem seiner Mitarbeitenden Zugang zu vertraulichen Informationen von Anysphere gewährt, wird der Vendor: (a) die Zuverlässigkeit dieser Personen sicherstellen, unter anderem durch Durchführung von Hintergrundüberprüfungen (soweit nach dem Datenschutzrecht zulässig); und (b) diesen Personen eine angemessene Sicherheitsschulung anbieten, um sicherzustellen, dass sie die Verpflichtungen aus dieser Anlage A einhalten können. Der Vendor wird seinem Personal in regelmäßigen Abständen zusätzliche Schulungen anbieten, soweit dies angemessen ist, um sicherzustellen, dass das Informationssicherheitsprogramm des Vendors den jeweils geltenden Branchenstandards entspricht oder diese übertrifft.

1. DIENSTLEISTUNGEN & LEISTUNGSERGEBNISSE

2. ZAHLUNG.

3. GEISTIGES EIGENTUM.

4. VERTRAULICHKEITS- UND DATENVERARBEITUNGSVEREINBARUNG.

5. SELBSTSTÄNDIGER AUFTRAGNEHMER.

6. ZUSICHERUNGEN UND GEWÄHRLEISTUNGEN

6.1. Gegenseitig. Jede Partei sichert zu und gewährleistet, dass sie über die volle Befugnis und Autorität verfügt, diese Vereinbarung einzugehen und ihre Verpflichtungen daraus zu erfüllen.

7. INDEMNIFIZIERUNG.

8. HAFTUNGSBESCHRÄNKUNG.

9. LAUFZEIT UND KÜNDIGUNG.

9.1. Laufzeit. Diese Vereinbarung beginnt am Wirksamkeitsdatum und bleibt in Kraft, bis sie gemäß dieser Vereinbarung gekündigt wird.

10. VERSICHERUNG, HINTERGRUNDÜBERPRÜFUNGEN.

11. EXPORTLIZENZEN

12. KI-ANFORDERUNGEN

13. ALLGEMEINE BESTIMMUNGEN

13.1. Keine öffentliche Bekanntmachung. Keine der Parteien darf ohne die vorherige schriftliche Genehmigung der anderen Partei eine öffentliche Erklärung zu dieser Vereinbarung abgeben.

13.10. Verzicht. Das Versäumnis einer Partei, eine Bestimmung dieser Vereinbarung durchzusetzen, stellt keinen Verzicht auf die künftige Durchsetzung dieser oder einer anderen Bestimmung dar.

Anlage A — Anlage zur Datensicherheit

Programm. Der Vendor implementiert und unterhält ein umfassendes schriftliches Informationssicherheitsprogramm („Informationssicherheitsprogramm“), das geeignete administrative, technische und organisatorische Schutzmaßnahmen vorsieht, die mit diesem Anhang A im Einklang stehen und die Sicherheit, Integrität, Verfügbarkeit, Widerstandsfähigkeit und Vertraulichkeit der vertraulichen Informationen von Anysphere sicherstellen und die allgemein anerkannten Branchenstandards erfüllen oder übertreffen.
Zugriffskontrollen. Der Vendor wird: (a) das „Prinzip der geringsten Rechte“ („least privilege“) befolgen, wonach der Vendor seinen Mitarbeitenden Zugriff auf vertrauliche Informationen von Anysphere ausschließlich auf Basis der Erforderlichkeit („Need-to-know“) gewährt; (b) den Zugriff seiner Mitarbeitenden auf vertrauliche Informationen von Anysphere unverzüglich beenden, wenn ein solcher Zugriff für die Erfüllung des Vertrags nicht mehr erforderlich ist; (c) die Details sämtlicher Zugriffe auf vertrauliche Informationen von Anysphere protokollieren und solche Aufzeichnungen mindestens 90 Tage lang aufbewahren; und (d) für jede Verarbeitung vertraulicher Informationen von Anysphere durch seine Mitarbeitenden verantwortlich sein.
Verwaltung von Konten. Der Vendor ergreift angemessene Maßnahmen, um die Erstellung, Verwendung und Löschung aller Zugangsdaten für Konten zu verwalten, die für den Zugriff auf die Vendor Systems genutzt werden, unter anderem durch: (a) die Einrichtung eines separaten Kontos mit eindeutigen Zugangsdaten für jeden Benutzer; (b) eine strikte Verwaltung administrativer Konten; (c) Best Practices für Passwörter, einschließlich der Verwendung starker Passwörter und sicherer Passwortspeicherung; und (d) regelmäßige Überprüfungen von Konten und Zugangsdaten. „Vendor Systems“ bezeichnet die Einrichtungen, Systeme, Geräte, Hardware und Software, die im Zusammenhang mit der Verarbeitung vertraulicher Informationen von Anysphere durch den Vendor eingesetzt werden.
Schwachstellenmanagement. Der Anbieter wird: (a) automatisierte Tools zum Schwachstellenscanning verwenden, um die Systeme des Anbieters zu scannen; (b) Berichte aus Schwachstellenscans protokollieren; (c) in regelmäßigen Abständen Überprüfungen der Schwachstellenscanberichte durchführen; (d) Patch-Management- und Software-Update-Tools für die Systeme des Anbieters verwenden; (e) Schwachstellen nach ihrem Schweregrad priorisieren und beheben; und (f) kompensierende Kontrollmaßnahmen einsetzen, falls kein Patch oder keine Behebung unmittelbar verfügbar ist.
Reaktion auf Sicherheitsvorfälle. Der Anbieter wird Anysphere über jede versehentliche oder rechtswidrige Vernichtung, jeden Verlust oder jede Veränderung vertraulicher Informationen von Anysphere oder jeden unbefugten Zugriff auf vertrauliche Informationen von Anysphere bzw. deren unbefugte Nutzung oder Offenlegung („Sicherheitsvorfall“) ohne unangemessene Verzögerung (und in jedem Fall innerhalb von 24 Stunden), nachdem er von einem tatsächlichen oder begründet vermuteten Sicherheitsvorfall Kenntnis erlangt hat, benachrichtigen. In jeder solchen Mitteilung wird der Anbieter Folgendes angeben: (a) eine Beschreibung des Sicherheitsvorfalls, einschließlich der Anzahl und Kategorien der betroffenen Personen, (b) Kategorien und Anzahl der betroffenen Datensätze, (c) Arten der betroffenen Informationen, (d) Datum und Uhrzeit des Sicherheitsvorfalls, (e) eine Zusammenfassung der Umstände, die den Sicherheitsvorfall verursacht haben, sowie etwaige anhaltende Risiken, die sich aus dem Sicherheitsvorfall ergeben, (f) eine Beschreibung der Maßnahmen, die der Anbieter vorgeschlagen oder ergriffen hat, um den Sicherheitsvorfall zu beheben, und (g) alle weiteren Informationen, die von Anysphere in angemessenem Umfang im Zusammenhang mit dem Sicherheitsvorfall angefordert werden. Soweit und nur insoweit es nicht möglich ist, die vorstehenden Informationen gleichzeitig bereitzustellen, können die Informationen gestaffelt und ohne unangemessene Verzögerung übermittelt werden. Der Anbieter wird Anysphere in angemessenem Umfang bei der Untersuchung, Behebung oder Durchführung aller sonstigen Maßnahmen unterstützen, die Anysphere im Hinblick auf den Sicherheitsvorfall für angemessen erforderlich hält, einschließlich im Zusammenhang mit Streitigkeiten, Anfragen, Untersuchungen oder Ansprüchen im Zusammenhang mit dem Sicherheitsvorfall.
Sicherheitssegmentierung. Der Anbieter setzt angemessene Maßnahmen ein, um den Informationsfluss innerhalb der Anbietersysteme auf mehreren Ebenen mithilfe von Tools wie Firewalls, Proxys und netzwerkbasierten Intrusion-Detection-Systemen (IDS) zu überwachen, zu erkennen und einzuschränken.
Data Loss Prevention. Der Anbieter wird angemessene Maßnahmen zur Verhinderung von Datenverlust einsetzen, um vertrauliche Informationen von Anysphere während der Nutzung, der Übertragung und im Ruhezustand zu identifizieren, zu überwachen und zu schützen. Solche Prozesse und Tools zur Verhinderung von Datenverlust umfassen insbesondere: (a) automatisierte Tools zur Erkennung von Versuchen der Datenexfiltration; (b) das Verbot bzw. die sichere, verwaltete Nutzung tragbarer Geräte; (c) die Verwendung zertifikatsbasierter Sicherheitsmechanismen; und (d) Richtlinien und Verfahren für ein sicheres Schlüsselmanagement.
Verschlüsselung. Der Vendor wird unter Verwendung branchenüblicher Verschlüsselungswerkzeuge vertrauliche Informationen von Anysphere verschlüsseln, die der Vendor (i) drahtlos oder über öffentliche Netzwerke oder innerhalb der Vendor Systems überträgt oder sendet, (ii) auf Laptops oder Speichermedien speichert und (iii) auf tragbaren Geräten oder innerhalb des Vendor System speichert. Der Vendor wird die Sicherheit und Vertraulichkeit aller mit verschlüsselten Informationen verbundenen Verschlüsselungsschlüssel gewährleisten.
Pseudonymisierung. Der Anbieter wird, soweit möglich und mit den Services vereinbar, branchenübliche und angemessene Techniken der Pseudonymisierung einsetzen, um die Vertraulichen Informationen von Anysphere zu schützen.
Sichere Softwareentwicklung. Der Anbieter sichert zu und gewährleistet, dass jede Software, die im Rahmen der Verarbeitung vertraulicher Informationen von Anysphere verwendet wird, unter Anwendung sicherer Softwareentwicklungspraktiken entwickelt wurde oder wird, einschließlich folgender Maßnahmen: (a) Trennung von Entwicklungs- und Produktionsumgebungen; (b) Herausfiltern potenziell schädlicher Zeichenfolgen in Benutzereingaben; (c) Verwendung sicherer Kommunikationstechniken, einschließlich Verschlüsselung; (d) Verwendung solider Speicherverwaltungspraktiken; (e) Einsatz von Web Application Firewalls zur Abwehr gängiger Webanwendungsangriffe wie Cross-Site-Scripting, SQL-Injection und Command Injection; (f) Umsetzung der OWASP-Top-Ten-Empfehlungen, soweit anwendbar; (g) Einspielen von Patches für Software; (h) Testen von Objektcode und Quellcode auf häufige Programmierfehler und Schwachstellen mithilfe von Code-Analyse-Tools; (i) Testen von Webanwendungen auf Schwachstellen mithilfe von Web Application Scannern; und (j) Testen von Software auf Leistungsfähigkeit unter Denial-of-Service- und anderen Angriffen zur Ressourcenerschöpfung.
PCI-Compliance. Soweit vertrauliche Informationen von Anysphere „Karteninhaberdaten“ enthalten, wie dieser Begriff im Payment Card Industry Data Security Standard („PCI DSS“) definiert ist, verpflichtet sich der Anbieter, (a) den PCI DSS sowie andere anwendbare PCI- und Zahlungskartenherausgeber-, Marken- oder Verbandsregeln und -anforderungen einzuhalten; (b) uneingeschränkt mit jeder Sicherheitsprüfung oder Untersuchung zu kooperieren, die von Anysphere, einem Zahlungskartenherausgeber, einer Marke oder einem Verband oder einer Strafverfolgungsbehörde verlangt werden kann, einschließlich durch Bereitstellung von Datensicherheitsberichten; (c) alle Geldbußen und Strafen zu zahlen, falls der Anbieter oder einer seiner Unterauftragnehmer diese Regeln oder Anforderungen nicht einhält; und (d) mindestens einmal jährlich auf eigene Kosten ein PCI-DSS-Compliance-Audit oder eine entsprechende Selbstbewertung durchzuführen und Anysphere die Ergebnisse eines solchen Audits oder einer solchen Selbstbewertung zusammen mit Nachweisen der Compliance (in Form einer Attestation of Compliance oder eines ROC) zur Verfügung zu stellen.
Physische Schutzmaßnahmen. Der Anbieter hält physische Zugangskontrollen aufrecht, die relevante Anbietersysteme sichern, die zur Verarbeitung vertraulicher Informationen von Anysphere verwendet werden, einschließlich eines Zugangskontrollsystems, das es dem Anbieter ermöglicht, den physischen Zugang zu jeder Betriebsstätte des Anbieters zu überwachen und zu kontrollieren und das eine 24/7-Überwachung der physischen Sicherheit sowie den Einsatz geschulter und erfahrener Sicherheitskräfte umfasst.
Administrative Safeguards. Bevor der Vendor einem seiner Mitarbeitenden Zugang zu vertraulichen Informationen von Anysphere gewährt, wird der Vendor: (a) die Zuverlässigkeit dieser Personen sicherstellen, unter anderem durch Durchführung von Hintergrundüberprüfungen (soweit nach dem Datenschutzrecht zulässig); und (b) diesen Personen eine angemessene Sicherheitsschulung anbieten, um sicherzustellen, dass sie die Verpflichtungen aus dieser Anlage A einhalten können. Der Vendor wird seinem Personal in regelmäßigen Abständen zusätzliche Schulungen anbieten, soweit dies angemessen ist, um sicherzustellen, dass das Informationssicherheitsprogramm des Vendors den jeweils geltenden Branchenstandards entspricht oder diese übertrifft.