Allgemeine Geschäftsbedingungen

1. Geltungsbereich

1.1 Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge zwischen der Authenta GmbH, FN 211245 f (Landesgericht Innsbruck), Eduard-Bodem-Gasse 9, 6020 Innsbruck, Österreich (im Folgenden „Authenta“), und ihren Auftraggebern über Beratungs-, Audit-, Schulungs-, Umsetzungs- und technische Betriebsleistungen im Bereich der Informationssicherheit.

1.2 Die AGB gelten ausschließlich gegenüber Unternehmern im Sinne des § 1 UGB sowie juristischen Personen des öffentlichen Rechts. Authenta schließt keine Verträge mit Verbrauchern im Sinne des KSchG.

1.3 Es gilt die zum Zeitpunkt des Vertragsabschlusses gültige Fassung. Im Rahmen einer laufenden Geschäftsbeziehung gilt sie auch für Folge- und Zusatzaufträge, ohne dass bei jedem Einzelauftrag gesondert darauf hingewiesen werden muss.

1.4 Abweichende oder ergänzende Bedingungen des Auftraggebers (insbesondere Einkaufsbedingungen) werden nur Vertragsbestandteil, wenn Authenta ihrer Geltung ausdrücklich und schriftlich zustimmt. Das gilt auch dann, wenn Authenta in Kenntnis solcher Bedingungen des Auftraggebers Leistungen vorbehaltlos erbringt.

1.5 Bei Widersprüchen zwischen den Vertragsgrundlagen gilt folgende Rangfolge: erstens das angenommene Angebot samt individueller Leistungsbeschreibung, zweitens gesonderte Vereinbarungen zur Geheimhaltung und zur Auftragsverarbeitung gemäß Art. 28 DSGVO, drittens diese AGB.

2. Angebot und Vertragsabschluss

2.1 Angebote von Authenta sind 30 Tage ab dem im Angebot genannten Ausstellungsdatum gültig, sofern das Angebot keine abweichende Bindungsfrist nennt.

2.2 Der Vertrag kommt durch die Annahme des Angebots zustande. Die Annahme erfolgt über das Kundenportal von Authenta, durch firmenmäßige Unterfertigung des Angebots oder durch eine schriftliche Auftragsbestätigung. Die Textform per E-Mail genügt.

2.3 Bei mehrstufigen Angeboten kann der Auftraggeber einzelne Stufen gesondert beauftragen, sofern das Angebot dies vorsieht. Preisnachlässe, die an die Beauftragung eines Gesamtpakets geknüpft sind, gelten nur bei Beauftragung des gesamten Pakets, sofern das Angebot keine abweichende Regelung (etwa die Beibehaltung des Nachlasses bei vereinbarter modularer Anpassung nach einem vorangegangenen Audit) vorsieht.

3. Leistungsumfang und Leistungserbringung

3.1 Art und Umfang der geschuldeten Leistungen ergeben sich abschließend aus der Leistungsbeschreibung des angenommenen Angebots. Leistungen, die dort nicht aufgeführt sind, sind nicht geschuldet.

3.2 Authenta erbringt sämtliche Leistungen mit der Sorgfalt eines sachverständigen Fachberaters (§ 1299 ABGB) und nach dem zum Zeitpunkt der Leistungserbringung anerkannten Stand der Technik. Laufende Beratungs-, Betreuungs- und Unterstützungsleistungen (wie CISO as a Service), technische Betriebs- und Wartungsleistungen sowie Schulungen und Workshops werden als Dienstleistung (§ 1151 ABGB) ohne Haftung für einen bestimmten Erfolg erbracht. Ist im Angebot ausdrücklich die Erstellung eines konkret bezeichneten, abgrenzbaren Arbeitsergebnisses (Deliverable wie ein Auditbericht, ein Sicherheitskonzept, eine Richtlinie oder ein Skript) vereinbart, gelten hierfür ergänzend die Bestimmungen zur Abnahme (Abschnitt 9) und Gewährleistung (Abschnitt 13).

3.3 Authenta schuldet insbesondere nicht das Bestehen einer Zertifizierung, die Vergabe eines Gütesiegels, ein bestimmtes Ergebnis einer behördlichen Prüfung, das Bestehen von Prüfungen durch geschulte Teilnehmer oder die vollständige Vermeidung von Sicherheitsvorfällen. Die Entscheidung über Zertifizierungen und Prüfungen liegt bei den zuständigen Zertifizierungsstellen und Behörden und hängt wesentlich von der operativen Umsetzung und Einhaltung durch den Auftraggeber ab.

3.4 Authenta ist in der Wahl des Leistungsorts, der Arbeitszeiten und der eingesetzten Methoden frei, soweit das Angebot keine abweichende Festlegung trifft. Authenta ist bei der fachlichen Durchführung an keine Weisungen des Auftraggebers gebunden.

3.5 Authenta darf zur Leistungserbringung fachkundige Dritte als Subauftragnehmer heranziehen. Authenta steht für deren Auswahl und Leistungen wie für eigene Leistungen ein (§ 1313a ABGB) und verpflichtet sie zur Geheimhaltung im Umfang von Abschnitt 11.

3.6 Im Angebot genannte Termine und Zeithorizonte sind Planungsgrößen. Verbindlich sind sie nur, wenn sie im Angebot ausdrücklich als Fixtermin bezeichnet sind. Die Verantwortung für die Einhaltung gesetzlicher und behördlicher Fristen verbleibt beim Auftraggeber.

4. Abgrenzung der Leistung und gesetzliche Pflichten des Auftraggebers

4.1 Keine Rechtsberatung: Die Leistungen von Authenta umfassen fachliche, organisatorische und technische Beratung sowie Umsetzung. Sie stellen keine Rechtsberatung im Sinne der Rechtsanwaltsordnung dar und ersetzen eine solche nicht. Die verbindliche rechtliche Beurteilung im Einzelfall ist den dazu befugten rechtsberatenden Berufen vorbehalten.

4.2 Unternehmerische Letztverantwortung und Organstellung: Unternehmerische Risikoentscheidungen, die formale Freigabe und Inkraftsetzung von Richtlinien, die finale Selbstdeklaration und Einstufung nach gesetzlichen Vorgaben sowie sämtliche Einreichungen bei Behörden trifft und verantwortet ausschließlich das zuständige Vertretungsorgan des Auftraggebers. Authenta bereitet diese Entscheidungen fachlich vor. Auch bei der Bereitstellung eines externen Informationssicherheitsbeauftragten (CISO as a Service) übernimmt Authenta keine organschaftliche Vertretungsbefugnis und keine verwaltungsstrafrechtliche Verantwortlichkeit gemäß § 9 VStG für den Auftraggeber.

4.3 Stichprobencharakter von Audits und Überprüfungen: Audits, GAP-Analysen und technische Überprüfungen beruhen auf zeitlich begrenzten Stichproben sowie auf den vom Auftraggeber bereitgestellten Auskünften und Unterlagen. Sie bilden den Sicherheitszustand zum jeweiligen Prüfzeitpunkt ab. Eine Garantie für die vollständige Aufdeckung sämtlicher Schwachstellen, Konfigurationsfehler oder Regelverstöße kann daraus nicht abgeleitet werden.

4.4 Operative Umsetzung: Die technische und organisatorische Umsetzung empfohlener Maßnahmen in den Systemen und Prozessen des Auftraggebers erfolgt durch den Auftraggeber oder dessen IT-Dienstleister, sofern das angenommene Angebot keine ausdrückliche Umsetzungs- oder Betriebsleistung durch Authenta vorsieht.

4.5 Behördliche Meldepflichten bei Sicherheitsvorfällen: Die Erfüllung gesetzlicher Melde-, Unterrichtungs- und Registrierungspflichten gegenüber Behörden, Aufsichtsstellen und Computer-Notfallteams (insbesondere Frühwarnungen und Vorfallsmeldungen nach dem NISG 2026 an das Bundes-CSIRT oder Meldungen von Datenschutzverletzungen nach Art. 33 DSGVO an die Datenschutzbehörde) obliegt ausschließlich dem Auftraggeber. Authenta gibt ohne gesonderte schriftliche Vollmacht keine behördlichen Meldungen im Namen des Auftraggebers ab, unterstützt diesen jedoch auf gesonderte Beauftragung bei der fachlichen und technischen Aufbereitung.

5. Technische Überprüfungen

5.1 Technische Überprüfungen und Sicherheitsanalysen an IT-Systemen erfolgen ausschließlich nach vorheriger schriftlicher Freigabe durch den Auftraggeber (Untersuchungsgenehmigung, „Letter of Authority“). Die Freigabe benennt verbindlich die freigegebenen Zielsysteme, IP-Bereiche oder Domains, den Prüfzeitraum und die zulässigen Prüfmethoden.

5.2 Der Auftraggeber sichert zu, dass er über die freigegebenen Systeme rechtlich und tatsächlich verfügen darf. Werden betroffene Systeme von einem Dritten betrieben oder gehostet (beispielsweise durch einen Hosting-, Cloud- oder Plattform-Anbieter), holt der Auftraggeber vor Prüfbeginn alle erforderlichen Zustimmungen dieses Dritten auf eigene Verantwortung ein. Der Auftraggeber hält Authenta von sämtlichen Ansprüchen Dritter, die aus einer fehlenden Berechtigung oder Zustimmung resultieren, vollkommen schad- und klaglos.

5.3 Sofern das Angebot nichts Abweichendes vorsieht, erfolgen technische Überprüfungen passiv und nicht-invasiv. Aktive Penetrationstests, Ausnutzungsversuche von Schwachstellen oder Lasttests werden ausschließlich auf Grundlage einer gesonderten schriftlichen Vereinbarung durchgeführt.

5.4 Der Auftraggeber sorgt vor Beginn technischer Überprüfungen eigenverantwortlich für eine vollständige, aktuelle und auf Wiederherstellbarkeit geprüfte Datensicherung der betroffenen Systeme.

5.5 Akute Sicherheitsfunde und Prüfungsunterbrechung: Stößt Authenta im Zuge einer Überprüfung auf Hinweise einer bereits bestehenden aktiven Kompromittierung, eines laufenden Cyberangriffs oder einer kritischen Schwachstelle mit unmittelbarer Schadensgefahr, informiert Authenta unverzüglich die benannte Ansprechperson des Auftraggebers. Droht durch die Fortsetzung technischer Prüfhandlungen eine Beeinträchtigung der Systemverfügbarkeit oder eine Verschärfung eines Sicherheitsvorfalls, ist Authenta berechtigt, die technische Prüfung sofort zu unterbrechen und das weitere Vorgehen mit dem Auftraggeber abzustimmen.

6. Mitwirkungspflichten des Auftraggebers

6.1 Der Auftraggeber benennt vor Leistungsbeginn eine fachkundige Ansprechperson (Single Point of Contact), die befugt ist, verbindliche Auskünfte zu erteilen, Termine zu koordinieren und erforderliche Entscheidungen zeitnah herbeizuführen.

6.2 Der Auftraggeber stellt alle für die Leistungserbringung erforderlichen Unterlagen, Architektur- und Systeminformationen, Netzwerk- und Fernzugriffe (beispielsweise VPN-Zugänge und technische Berechtigungen) sowie fachlichen Ansprechpartner rechtzeitig, vollständig und unentgeltlich bereit. Authenta darf auf die Richtigkeit und Vollständigkeit der bereitgestellten Angaben vertrauen und ist nicht verpflichtet, diese auf ihre inhaltliche Richtigkeit zu überprüfen, sofern genau diese Überprüfung nicht ausdrücklich Gegenstand des Auftrags ist.

6.3 Der Auftraggeber stellt sicher, dass seine Mitarbeiter und beigezogenen IT-Dienstleister zu vereinbarten Workshops, Interviews und Abnahmeterminen zur Verfügung stehen und dass bei Vor-Ort-Terminen der ungehinderte Zutritt zu den relevanten Räumlichkeiten und technischen Anlagen gewährleistet ist.

6.4 Kommt der Auftraggeber seinen Mitwirkungspflichten nicht, nicht rechtzeitig oder unvollständig nach, verschieben sich vereinbarte Termine und Ausführungsfristen entsprechend. Dadurch verursachte Stehzeiten und Mehraufwände werden nach tatsächlichem Zeitaufwand zum im Angebot vereinbarten Stundensatz oder, falls im Angebot kein Stundensatz ausgewiesen ist, zum jeweils gültigen Listenstundensatz von Authenta verrechnet. Dies gilt auch bei vereinbarten Festpreisen oder Pauschalen. Authenta weist den Auftraggeber auf die Verzögerung und den drohenden Mehraufwand hin. Weitergehende gesetzliche Rechte von Authenta gemäß § 1168 ABGB bleiben unberührt.

7. Honorar und Nebenkosten

7.1 Es gelten die im angenommenen Angebot ausgewiesenen Preise. Sämtliche Preisangaben verstehen sich in Euro zuzüglich der gesetzlichen Umsatzsteuer.

7.2 Festpreis und Pauschalen: Ist im Angebot ein Festpreis oder eine Pauschale vereinbart, deckt dieses Entgelt ausschließlich den im Angebot konkret beschriebenen Leistungsumfang und Leistungszeitraum ab.

7.3 Abrechnung nach Aufwand: Leistungen nach Zeitaufwand werden zum vereinbarten Stundensatz in Einheiten von 15 Minuten (0,25 Stunden) nach erbrachter Leistung abgerechnet. Authenta legt jeder Aufwandsabrechnung einen detaillierten Stundennachweis bei.

7.4 Stundenpool und Obergrenze: Nennt das Angebot bei Abrechnung nach Aufwand einen veranschlagten Stundenpool oder eine Obergrenze, erbringt und verrechnet Authenta darüber hinaus keine weiteren Stunden ohne vorherige schriftliche Freigabe des Auftraggebers. Zeichnet sich ab, dass das Kontingent vor vollständigem Abschluss der Aufgaben ausgeschöpft wird, informiert Authenta den Auftraggeber rechtzeitig und legt bei Bedarf ein Folge- oder Zusatzangebot vor. Ohne schriftliche Freigabe ist Authenta nicht verpflichtet, Leistungen über das vereinbarte Kontingent hinaus zu erbringen.

7.5 Nebenkosten: Reisekosten, Fahrtzeiten und Spesen für Termine sind mit der im Angebot ausgewiesenen Nebenkostenpauschale (standardmäßig 5 % des Nettohonorars) abgegolten, sofern das Angebot keine abweichende Regelung trifft. Kosten Dritter (beispielsweise Gebühren von Zertifizierungsstellen, Softwarelizenzen, Cloud-Abonnements oder Hardware) sind im Honorar nicht enthalten und werden vom Auftraggeber direkt getragen.

7.6 Wertsicherung: Bei Verträgen mit einer Laufzeit von mehr als zwölf Monaten werden die vereinbarten Stundensätze und laufenden Monatspauschalen einmal jährlich zum 1. Jänner nach Maßgabe der Veränderung des von Statistik Austria verlautbarten Verbraucherpreisindex 2020 (VPI 2020) angepasst. Ausgangsbasis für die erste Anpassung ist die für den Monat des Vertragsabschlusses verlautbarte Indexzahl, für jede weitere Anpassung die Indexzahl des letzten Anpassungsmonats. Die Anpassung erfolgt im gleichen Verhältnis nach oben wie nach unten. Wird der VPI 2020 nicht mehr veröffentlicht, tritt der amtliche Nachfolgeindex an seine Stelle. Im Angebot ausdrücklich als Festpreis vereinbarte Projektpauschalen bleiben für den vereinbarten Projektumfang unverändert.

8. Rechnungslegung und Zahlung

8.1 Authenta legt Rechnung gemäß dem im Angebot festgelegten Zahlungsplan nach Abschluss der jeweiligen Leistungsstufe oder des jeweiligen Meilensteins. Leistungen nach Aufwand sowie laufende Monatspauschalen werden monatlich im Nachhinein verrechnet, sofern im Angebot nichts Abweichendes vereinbart ist.

8.2 Rechnungen sind binnen 14 Tagen ab Rechnungsdatum ohne jeden Abzug zur Zahlung fällig. Der Auftraggeber stimmt der elektronischen Übermittlung von Rechnungen (beispielsweise per E-Mail im PDF-Format) ausdrücklich zu.

8.3 Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen für Unternehmergeschäfte gemäß § 456 UGB. Authenta ist berechtigt, die pauschale Entschädigung für Betreibungskosten gemäß § 458 UGB sowie den Ersatz darüber hinausgehender notwendiger und zweckentsprechender Rechtsverfolgungskosten zu verlangen.

8.4 Befindet sich der Auftraggeber mit einer fälligen Zahlung trotz Mahnung und Setzung einer Nachfrist von 14 Tagen in Verzug, ist Authenta berechtigt, die Erbringung weiterer Leistungen sowie die Übergabe von Arbeitsergebnissen bis zur vollständigen Zahlung zurückzubehalten (§ 1052 ABGB). Daraus resultierende Terminverschiebungen gehen zu Lasten des Auftraggebers.

8.5 Der Auftraggeber ist zur Aufrechnung mit Gegenforderungen nur berechtigt, wenn diese von Authenta ausdrücklich schriftlich anerkannt oder gerichtlich rechtskräftig festgestellt sind.

8.6 Meilensteinfiktion bei unterbliebener Mitwirkung: Hängt das Erreichen eines abrechnungsrelevanten Meilensteins von einer Handlung des Auftraggebers ab (beispielsweise von einer formalen Freigabe, einer internen Bereitstellung oder einer elektronischen behördlichen Einreichung) und nimmt der Auftraggeber diese Handlung trotz Fertigstellung und Bereitstellung der Leistung durch Authenta nicht binnen 30 Tagen nach schriftlicher Aufforderung vor, gilt der Meilenstein für Zwecke der Rechnungslegung als erreicht. Dies gilt nicht, wenn die Handlung aufgrund eines vom Auftraggeber fristgerecht gerügten, wesentlichen Mangels der Leistung von Authenta unterbleibt.

9. Terminverschiebung, Leistungsänderungen und Abnahme

9.1 Terminverschiebung und Absage: Vereinbarte Termine vor Ort, Workshops, Auditsitzungen und Schulungen (vor Ort oder online) können vom Auftraggeber bis zehn Werktage (Montag bis Freitag, ausgenommen gesetzliche Feiertage in Österreich) vor dem vereinbarten Termin kostenfrei verschoben werden. Bei einer späteren Absage oder Verschiebung durch den Auftraggeber verrechnet Authenta 50 % des auf den Termin entfallenden Honorars, bei einer Absage oder Verschiebung weniger als drei Werktage vor dem Termin 100 %. Nicht angefallene Reisekosten und Spesen werden nicht in Rechnung gestellt. Kann Authenta die freigewordenen Kapazitäten anderweitig für andere Aufträge verwerten, wird der dadurch erzielte Erwerb angerechnet (§ 1168 Abs. 1 ABGB). Dem Auftraggeber bleibt der Nachweis vorbehalten, dass Authenta kein oder ein wesentlich geringerer Ausfall entstanden ist.

9.2 Leistungsänderungen (Change Request): Wünscht der Auftraggeber nach Vertragsabschluss eine Änderung oder Erweiterung des vereinbarten Leistungsumfangs, prüft Authenta das Änderungsbegehren und teilt dem Auftraggeber die Auswirkungen auf Aufwand, Honorar und Zeitplan mit. Eine Leistungsänderung wird erst mit schriftlicher Bestätigung (Textform genügt) durch beide Vertragspartner wirksam. Bis dahin führt Authenta die Arbeiten auf Basis des ursprünglich vereinbarten Umfangs fort.

9.3 Abnahme von Arbeitsergebnissen: Soweit ein abnahmefähiges Arbeitsergebnis (Werkleistung) vereinbart ist, prüft der Auftraggeber das übergebene Arbeitsergebnis binnen 14 Werktagen ab Bereitstellung und teilt allfällige wesentliche Abweichungen von der vereinbarten Leistungsbeschreibung schriftlich und nachvollziehbar mit. Authenta weist den Auftraggeber bei der Bereitstellung ausdrücklich auf diese Prüffrist und die Rechtsfolgen des Fristablaufs hin. Erfolgt binnen dieser Frist keine begründete schriftliche Beanstandung wesentlicher Mängel oder setzt der Auftraggeber das Arbeitsergebnis im produktiven Betrieb ein, gilt das Arbeitsergebnis mit Ablauf der Frist bzw. mit Inbetriebnahme als abgenommen. Unwesentliche Mängel, welche die Gebrauchstauglichkeit nicht maßgeblich beeinträchtigen, berechtigen nicht zur Verweigerung der Abnahme, werden jedoch von Authenta im Rahmen der Gewährleistung behoben.

9.4 Berechtigte und fristgerecht mitgeteilte Abweichungen von der Leistungsbeschreibung behebt Authenta binnen angemessener Frist ohne zusätzliches Honorar.

10. Urheberrecht und Nutzungsrechte

10.1 Sämtliche Urheberrechte und sonstigen Schutzrechte an den von Authenta erstellten oder bereitgestellten Berichten, Konzepten, Richtlinien, Vorlagen, Checklisten, Schulungsunterlagen, Präsentationen, Skripten, Quellcodes, Schnittstellen, Datenmodellen und sonstigen Arbeitsergebnissen verbleiben bei Authenta bzw. den jeweiligen Rechteinhabern.

10.2 Mit vollständiger Bezahlung des vereinbarten Entgelts erhält der Auftraggeber das nicht ausschließliche, zeitlich und räumlich unbeschränkte, nicht übertragbare Recht (Werknutzungsbewilligung gemäß § 24 Abs. 1 Satz 1 UrhG), die im Rahmen des Auftrags für ihn erstellten Arbeitsergebnisse für eigene interne Betriebszwecke zu nutzen, zu bearbeiten und weiterzuentwickeln. Dieses Nutzungsrecht umfasst auch die Vorlage von Berichten und Nachweisen bei zuständigen Behörden, Zertifizierungsstellen, Wirtschaftsprüfern, Versicherern sowie mehrheitlich verbundenen Konzernunternehmen des Auftraggebers. Überlassene Schulungsunterlagen dürfen ausschließlich für die interne Aus- und Weiterbildung der geschulten Mitarbeiter des Auftraggebers verwendet werden.

10.3 Eine über Ziffer 10.2 hinausgehende Weitergabe an Dritte, eine öffentliche Zugänglichmachung oder eine eigenständige kommerzielle Verwertung (beispielsweise der Weiterverkauf von Vorlagen, Richtlinien oder Skripten) bedarf der vorherigen schriftlichen Zustimmung von Authenta.

10.4 Vorbestehende Werke, Standardvorlagen, Methoden, Prüfkataloge, Frameworks und Werkzeuge von Authenta bleiben uneingeschränktes geistiges Eigentum von Authenta. Authenta ist berechtigt, diese Grundlagen sowie das im Zuge der Auftragsdurchführung gewonnene allgemeine methodische und technische Erfahrungswissen (Know-how) in anonymisierter Form ohne jeden Rückschluss auf den Auftraggeber für andere Projekte weiterzuverwenden.

10.5 Open-Source-Software: Werden im Rahmen von technischen Umsetzungs-, Skripting- oder Integrationsleistungen Open-Source-Komponenten oder freie Programmbibliotheken Dritter eingesetzt oder bereitgestellt, gelten für diese Komponenten vorrangig die jeweiligen Open-Source-Lizenzbedingungen. Authenta überträgt daran keine über die jeweilige Lizenz hinausgehenden Rechte.

11. Vertraulichkeit, Informationsklassifizierung und Einsatz künstlicher Intelligenz

11.1 Beide Vertragspartner verpflichten sich, alle nicht öffentlich bekannten geschäftlichen, betrieblichen und technischen Informationen des jeweils anderen Vertragspartners, die ihnen im Zusammenhang mit der Anbahnung und Durchführung des Auftrags zugänglich werden, streng vertraulich zu behandeln, durch angemessene technische und organisatorische Geheimhaltungsmaßnahmen im Sinne des § 26b UWG zu schützen und ausschließlich zur Vertragserfüllung zu verwenden. Dies gilt insbesondere für Kundenprofile, Netzwerkpläne, Systemarchitekturen, Quellcode, Zugangsdaten, identifizierte Schwachstellen, Auditergebnisse, Sicherheitsvorfälle und Geschäftsgeheimnisse.

11.2 Traffic Light Protocol (TLP): Soweit Dokumente, Berichte oder Nachrichten nach dem Standard des Forum of Incident Response and Security Teams (FIRST Traffic Light Protocol, TLP 2.0) mit den Einstufungen TLP:RED, TLP:AMBER, TLP:AMBER+STRICT, TLP:GREEN oder TLP:CLEAR gekennzeichnet sind, beachten beide Vertragspartner verbindlich die mit der jeweiligen Schutzstufe verbundenen Weitergabe- und Verarbeitungsbeschränkungen. Ohne ausdrückliche Kennzeichnung gelten übergebene Sicherheitsberichte und Angebotsunterlagen im Zweifel als TLP:AMBER (Weitergabe nur innerhalb der eigenen Organisation nach dem Need-to-know-Prinzip).

11.3 Einsatz von Systemen künstlicher Intelligenz: Authenta verpflichtet sich, vertrauliche Informationen, Systemdaten, Quellcodes und personenbezogene Daten des Auftraggebers nicht in öffentliche Dienste künstlicher Intelligenz (insbesondere öffentliche Sprachmodelle) einzuspeisen, bei denen die eingegebenen Daten zum Training von Modellen verwendet, dauerhaft gespeichert oder unbefugten Dritten zugänglich gemacht werden. Sofern Authenta zur Effizienzsteigerung oder Analyse Werkzeuge künstlicher Intelligenz einsetzt, erfolgt dies ausschließlich in technisch abgesicherten, datenschutzkonformen Umgebungen unter Wahrung der vollen Vertraulichkeit.

11.4 Die Vertraulichkeitspflicht gilt nicht für Informationen, die dem empfangenden Vertragspartner nachweislich bereits vor der Offenlegung rechtmäßig bekannt waren, ohne Verstoß gegen diese Bestimmung öffentlich bekannt sind oder werden, rechtmäßig ohne Geheimhaltungsauflage von einem Dritten erlangt wurden oder aufgrund einer zwingenden gesetzlichen Vorschrift, einer gerichtlichen Anordnung oder einer behördlichen Verfügung offenzulegen sind. Soweit rechtlich zulässig, informiert der zur Offenlegung verpflichtete Vertragspartner den anderen unverzüglich vorab.

11.5 Die Vertraulichkeitsverpflichtung bleibt für einen Zeitraum von fünf Jahren über die Beendigung des Vertragsverhältnisses hinaus aufrecht. Für Geschäftsgeheimnisse im Sinne des § 26b UWG sowie für nicht behobene technische Schwachstellen und Sicherheitsarchitekturen des Auftraggebers gilt die Geheimhaltungspflicht zeitlich unbefristet, solange diese Informationen nicht öffentlich bekannt sind.

11.6 Besteht zwischen den Vertragspartnern eine gesonderte schriftliche Geheimhaltungsvereinbarung (Non-Disclosure Agreement, NDA), gehen deren Bestimmungen im Fall von Widersprüchen diesem Abschnitt vor.

11.7 Authenta ist nur nach vorheriger schriftlicher Zustimmung des Auftraggebers berechtigt, den Auftraggeber als Referenzkunden zu nennen oder das Unternehmenslogo des Auftraggebers zu Marketingzwecken zu verwenden.

12. Datenschutz

12.1 Beide Vertragspartner halten bei der Vertragserfüllung die Bestimmungen der Europäischen Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG) in der jeweils geltenden Fassung ein.

12.2 Verarbeitet Authenta im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Auftraggebers als Auftragsverarbeiter, schließen die Vertragspartner vor Beginn der Verarbeitung eine schriftliche Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO ab.

12.3 Der Auftraggeber achtet nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) darauf, Authenta personenbezogene Daten nur in jenem Umfang zugänglich zu machen, der für die Erbringung der vereinbarten Leistung zwingend erforderlich ist, und stellt sicher, dass er zur Übermittlung bzw. Offenlegung dieser Daten berechtigt ist.

13. Gewährleistung und Haftung

13.1 Gewährleistung bei Werkleistungen: Soweit Authenta ein konkret vereinbartes, abnahmefähiges Arbeitsergebnis (Werkleistung) schuldet, leistet Authenta dafür Gewähr, dass das Arbeitsergebnis im Zeitpunkt der Abnahme die im Angebot vereinbarten Eigenschaften aufweist. Die Gewährleistungsfrist beträgt sechs Monate ab Abnahme. Der Auftraggeber hat auftretende Mängel unverzüglich, spätestens jedoch binnen 14 Tagen nach Erkennbarkeit, schriftlich und detailliert unter Beschreibung des Fehlers zu rügen (§ 377 UGB), andernfalls sind Gewährleistungs- und Schadenersatzansprüche sowie das Recht auf Irrtumsanfechtung aufgrund dieses Mangels ausgeschlossen. Bei berechtigten Mängeln ist Authenta vorrangig zur Verbesserung oder zum Nachtrag des Fehlenden binnen angemessener Frist berechtigt (§ 932 ABGB). Für Funktionsstörungen an entwickelten Skripten, Eingabemasken, Konfigurationen oder Schnittstellen, die durch nachträgliche Änderungen der Systemumgebung des Auftraggebers, durch Eingriffe Dritter, durch fehlerhafte Quelldaten oder durch nachträgliche Updates und Schnittstellenänderungen von Drittsystemen verursacht werden, besteht keine Gewährleistung.

13.2 Haftungsmaßstab: Authenta haftet für Schäden aus sämtlichen vertraglichen und außervertraglichen Rechtsgründen nur, sofern Authenta diese vorsätzlich oder grob fahrlässig verursacht hat. Die Haftung für leichte Fahrlässigkeit ist, außer bei Personenschäden, gänzlich ausgeschlossen.

13.3 Summenmäßige Haftungsbegrenzung: Bei schlichter grober Fahrlässigkeit ist die Ersatzpflicht von Authenta für Sach- und Vermögensschäden je Schadensfall und insgesamt je Auftrag der Höhe nach begrenzt mit 50 % des einfachen Nettoauftragswerts des betroffenen Auftrags (bei laufenden Verträgen ohne festes Gesamtvolumen mit 50 % des vereinbarten Jahresnettoentgelts). Diese summenmäßige Begrenzung gilt nicht bei Vorsatz, krass grober Fahrlässigkeit sowie bei Personenschäden.

13.4 Ausschluss mittelbarer Schäden und behördlicher Sanktionen: Außer in Fällen von Vorsatz und krass grober Fahrlässigkeit haftet Authenta nicht für entgangenen Gewinn, ausgebliebene Einsparungen, Produktions- oder Betriebsunterbrechungen, mittelbare Schäden, Mangelfolgeschäden, Schäden aus Ansprüchen Dritter sowie für den Verlust oder die Beschädigung von Daten, soweit der Schaden durch eine ordnungsgemäße und aktuelle Datensicherung des Auftraggebers (Ziffer 5.4) vermeidbar gewesen wäre. Authenta haftet darüber hinaus nicht für behördliche Verwaltungsstrafen, Geldbußen nach der DSGVO oder Sanktionen nach dem NISG 2026, die gegen den Auftraggeber oder dessen Leitungsorgane verhängt werden.

13.5 Mitverantwortung des Auftraggebers: Authenta haftet nicht für Schäden und Nachteile, die darauf beruhen, dass der Auftraggeber unrichtige oder unvollständige Informationen bereitgestellt hat, empfohlene Sicherheitsmaßnahmen nicht, verspätet oder abweichend umgesetzt hat, Sicherheitswarnungen ignoriert hat oder seinen Mitwirkungspflichten gemäß Abschnitt 6 nicht nachgekommen ist.

13.6 Beweislast: Das Vorliegen von grober Fahrlässigkeit oder Vorsatz ist vom Auftraggeber zu beweisen (Abbedingung der Beweislastumkehr des § 1298 ABGB im gesetzlich zulässigen Umfang).

13.7 Verjährung: Schadenersatzansprüche gegen Authenta verjähren, sofern kein Fall von Vorsatz oder krass grober Fahrlässigkeit vorliegt und keine Personenschäden betroffen sind, binnen zwölf Monaten ab Kenntnis des Auftraggebers von Schaden und Schädiger, spätestens jedoch binnen fünf Jahren nach Erbringung der betroffenen Leistung.

13.8 Geltung für Dritte: Sämtliche Haftungsausschlüsse, Haftungsbegrenzungen und Verjährungsregelungen dieses Abschnitts gelten im selben Umfang auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und beigezogenen Erfüllungsgehilfen von Authenta.

14. Unabhängigkeit und Vermeidung von Interessenkonflikten

14.1 Authenta berät unabhängig von Hard- und Softwareherstellern sowie Produktanbietern. Authenta nimmt für die Empfehlung von Produkten oder Drittdienstleistern keine Vermittlungsprovisionen entgegen oder legt allfällige Partnerschaften dem Auftraggeber vorab vollständig offen.

14.2 Hat Authenta den Auftraggeber bei der Konzeption oder Umsetzung von Sicherheitsmaßnahmen beratend begleitet, steht Authenta für eine formale Prüfung derselben Maßnahmen als unabhängige Prüfstelle nur insoweit zur Verfügung, als die jeweils anwendbaren gesetzlichen oder normativen Vorgaben zur Prüferunabhängigkeit (beispielsweise nach dem NISG 2026 oder nach ISO/IEC 17021) dies zulassen. Authenta weist den Auftraggeber auf einen möglichen Unvereinbarkeits- oder Interessenkonflikt vor Auftragsannahme hin.

15. Vertragslaufzeit und Beendigung

15.1 Projektverträge mit definiertem Leistungsumfang enden automatisch mit der vollständigen Erbringung und Abnahme der vereinbarten Leistungen sowie der Begleichung des vereinbarten Entgelts.

15.2 Laufende Verträge ohne feste Endlaufzeit (beispielsweise CISO as a Service oder laufende technische Betriebs-, Betreuungs- und Wartungsleistungen) haben eine Mindestvertragslaufzeit von drei Monaten und können danach von beiden Vertragspartnern unter Einhaltung einer Kündigungsfrist von vier Wochen zum jeweiligen Monatsende schriftlich gekündigt werden, sofern im Angebot oder Einzelvertrag keine abweichende Vereinbarung getroffen wurde.

15.3 Das Recht beider Vertragspartner zur außerordentlichen Vertragsauflösung aus wichtigem Grund mit sofortiger Wirkung bleibt unberührt. Ein wichtiger Grund liegt für Authenta insbesondere vor, wenn der Auftraggeber wesentliche Vertragspflichten oder Mitwirkungspflichten trotz schriftlicher Mahnung und Setzung einer Nachfrist von 14 Tagen verletzt, wenn der Auftraggeber mit einer fälligen Zahlung trotz Mahnung und 14-tägiger Nachfrist in Verzug bleibt oder wenn über das Vermögen des Auftraggebers ein Insolvenzverfahren mangels kostendeckenden Vermögens nicht eröffnet oder aufgehoben wird.

15.4 Bei vorzeitiger Beendigung eines Vertragsverhältnisses vergütet der Auftraggeber jedenfalls alle bis zum Beendigungszeitpunkt erbrachten Leistungen sowie angefallenen Nebenkosten. Bei vereinbarten Festpreisen erfolgt die Abrechnung anteilig entsprechend dem dokumentierten Leistungsfortschritt. Beendet oder storniert der Auftraggeber einen Projektvertrag vorzeitig aus einem Grund, den Authenta nicht zu vertreten hat, ohne dass ein wichtiger Grund vorliegt, gebührt Authenta zusätzlich ein pauschaler Ausgleich in Höhe von 25 % des Nettohonorars der noch nicht erbrachten, verbindlich beauftragten Leistungen (§ 1168 ABGB). Dem Auftraggeber bleibt der Nachweis vorbehalten, dass Authenta kein oder ein wesentlich geringerer Ausfall entstanden ist bzw. die Ersparnis höher war.

15.5 Nach Vertragsbeendigung gibt jeder Vertragspartner die vom anderen erhaltenen vertraulichen Unterlagen, Datenträger und Systemzugänge zurück oder löscht diese nach Wahl des anderen Vertragspartners unwiderruflich. Gesetzliche Aufbewahrungspflichten (insbesondere nach UGB und BAO), automatisierte Backups im Rahmen regulärer Löschzyklen sowie die Archivierung einer Belegkopie zur Dokumentation der ordnungsgemäßen Leistungserbringung und zur Rechtsverteidigung bleiben davon unberührt. An Sicherheitsdokumentationen, administrativen Zugangsdaten und kryptografischen Schlüsseln des Auftraggebers steht Authenta kein Zurückbehaltungsrecht zu.

16. Abwerbeverbot

Die Vertragspartner verpflichten sich gegenseitig, während der Dauer des Vertragsverhältnisses und für einen Zeitraum von zwölf Monaten nach dessen Beendigung keine mit der Durchführung des Auftrags unmittelbar befassten Mitarbeiter oder eingesetzten Berater des jeweils anderen Vertragspartners aktiv abzuwerben. Bei einem schuldhaften Verstoß gegen dieses aktive Abwerbeverbot ist der verletzende Vertragspartner zur Zahlung einer Vertragsstrafe (Konventionalstrafe) in Höhe von sechs Bruttomonatsgehältern des abgeworbenen Mitarbeiters (berechnet auf Basis des letzten regulären Bruttomonatsgehalts vor dem Ausscheiden) verpflichtet. Das zwingende richterliche Mäßigungsrecht gemäß § 1336 Abs. 2 ABGB bleibt unberührt.

17. Schlussbestimmungen

17.1 Höhere Gewalt: Ereignisse höherer Gewalt und sonstige unvorhersehbare, unabwendbare und außerhalb des Einflussbereichs eines Vertragspartners liegende Umstände (wie Naturkatastrophen, Krieg, Terror, flächendeckende Ausfälle der Energie- oder Telekommunikationsinfrastruktur, behördliche Anordnungen oder Pandemien), welche die Leistungserbringung vorübergehend unmöglich machen oder unzumutbar erschweren, befreien den betroffenen Vertragspartner für die Dauer und den Umfang der Störung von seinen Leistungspflichten. Die Vertragspartner informieren einander unverzüglich über den Eintritt eines solchen Ereignisses. Dauert die Behinderung länger als drei Monate an, ist jeder Vertragspartner berechtigt, den Vertrag schriftlich aufzulösen.

17.2 Schriftform: Änderungen und Ergänzungen des Vertrags sowie dieser AGB bedürfen zu ihrer Wirksamkeit der Schriftform. Die Textform (beispielsweise per E-Mail) genügt dem Schriftformerfordernis, sofern in diesen AGB oder im Gesetz nicht ausdrücklich eine strengere Form vorgeschrieben ist. Dies gilt auch für das Abgehen von diesem Formerfordernis.

17.3 Salvatorische Klausel: Sollten einzelne Bestimmungen dieses Vertrags oder dieser AGB ganz oder teilweise unwirksam, nichtig oder undurchführbar sein oder werden, berührt dies die Gültigkeit und Wirksamkeit der übrigen Bestimmungen nicht. Die Vertragspartner verpflichten sich, anstelle der unwirksamen oder undurchführbaren Bestimmung unverzüglich eine wirksame Regelung zu vereinbaren, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung im Rahmen des gesetzlich Zulässigen am nächsten kommt.

17.4 Anwendbares Recht: Auf sämtliche Rechtsbeziehungen zwischen Authenta und dem Auftraggeber findet ausschließlich österreichisches materielles Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts (IPRG, Rom-I-VO) sowie unter Ausschluss des UN-Kaufrechts (CISG) Anwendung.

17.5 Gerichtsstand: Für sämtliche Streitigkeiten aus oder im Zusammenhang mit dem Vertragsverhältnis einschließlich der Frage seines gültigen Zustandekommens und seiner Vor- und Nachwirkungen ist das sachlich zuständige Gericht in Innsbruck ausschließlich zuständig.

17.6 Abtretung: Rechte und Pflichten aus dem Vertrag dürfen nur mit vorheriger schriftlicher Zustimmung des jeweils anderen Vertragspartners an Dritte übertragen werden. Davon ausgenommen ist die Abtretung von Geldforderungen durch Authenta (§ 1396a ABGB).