Allgemeine Geschäftsbedingungen (AGB) advact Services

Diese Allgemeinen Geschäftsbedingungen («AGB») regeln den Bezug der advact Services zwischen der advact AG, Aarbergergasse 20, 3011 Bern, UID CHE-341.216.036 («advact»), und ihren Kundinnen und Kunden («Kunde»). advact und der Kunde werden einzeln «Partei» und gemeinsam «Parteien» genannt.

Die advact Services richten sich ausschliesslich an Unternehmen, Behörden und andere Organisationen. Sie werden nicht direkt an Konsumentinnen und Konsumenten angeboten.

Der Vertrag zwischen den Parteien («Vertrag») besteht aus den folgenden Bestandteilen:

1. a)dem Angebot der advact, das vom Kunden angenommen wurde, inklusive allfälliger Zusatzangebote («Angebot»);
2. b)diesen AGB einschliesslich der Bestimmungen zur Auftragsbearbeitung (Ziff. 12 bis 20). Die AGB gelten mit dem Vertragsschluss, ohne dass es einer Unterzeichnung bedarf;
3. c)der «Leistungsbeschreibung advact Services» in der Fassung, die dem Angebot beiliegt («Leistungsbeschreibung»).

Bei Widersprüchen gilt folgende Rangfolge:

1. a)Vereinbarungen, die von beiden Parteien unterzeichnet sind und ausdrücklich auf die advact Services Bezug nehmen, einschliesslich vom Kunden gestellter Verträge, die advact unterzeichnet hat;
2. b)die Bestimmungen zur Auftragsbearbeitung (Ziff. 12 bis 20) in allen Fragen des Datenschutzes und der Datensicherheit;
3. c)das Angebot;
4. d)diese AGB;
5. e)die Leistungsbeschreibung.

Allgemeine Geschäfts- oder Einkaufsbedingungen des Kunden, auch solche, die in Bestellungen oder Bestellsystemen enthalten sind, gelten nicht, selbst wenn advact ihnen nicht ausdrücklich widerspricht. Sie gelten nur, soweit advact sie gemäss Ziff. 1.4 Bst. a ausdrücklich akzeptiert hat.

Massgebend ist die bei Vertragsschluss gültige Fassung dieser AGB. Die jeweils aktuelle Fassung ist unter www.advact.ch/agb abrufbar. Änderungen richten sich nach Ziff. 24.

In diesen AGB bedeuten:

• advact Services: das modulare Service-Portfolio der advact zur Erhöhung der E-Mail- und Nachrichtensicherheit, bestehend aus den Modulen Simulate (inkl. Seasons-Strategie), Triage, Extract, Learn und Insights sowie den Portalen Cockpit, Board und Insights.
• Modul: ein im Angebot einzeln aufgeführter Baustein der advact Services. Geschuldet sind nur die im Angebot gebuchten Module.
• Cockpit: Portal für die Mitarbeitenden des Kunden mit ihren eigenen Resultaten und Lerninhalten (cockpit.advact.swiss).
• Board: Portal für die vom Kunden bezeichneten Verantwortlichen mit Auswertungen und Kennzahlen (board.advact.swiss).
• Insights: Portal für Kunden mit erweitertem Zugriff auf die gemeldeten verdächtigen E-Mails (Triage) und alle analysierten E-Mails aus Extract. Zusätzlich Zugriff auf Indikatorlisten der advact AG.
• advact Adminportale: die von advact in der Schweiz entwickelte und betriebene Plattform, auf der gemeldete und als verdächtig erkannte («flagged») E-Mails (aus Triage und Extract) analysiert werden.
• Phishing-Reporter: das Add-in für Microsoft Outlook, mit dem User verdächtige E-Mails und Kalendereinträge an advact melden.
• User: die Mitarbeitenden und weiteren Personen des Kunden, für welche die advact Services gemäss Angebot bezogen werden.
• Kundendaten: alle Daten, die der Kunde oder seine User advact zur Verfügung stellen oder die bei der Nutzung der advact Services im Auftrag des Kunden entstehen, insbesondere Personendaten.
• Go-Live: der Abschluss des Onboardings, mit dem die gebuchten Module produktiv genutzt werden können. advact teilt dem Kunden das Datum des Go-Live in Textform mit.
• Vertragsjahr: jeweils zwölf Monate ab Beginn der Laufzeit (Ziff. 8.2), sofern das Angebot nichts anderes vorsieht.
• Vertragsende: das Ende der Laufzeit oder die vorzeitige Beendigung des Vertrags gemäss Ziff. 8.
• Servicezeit: Montag bis Freitag, 08:00 bis 17:00 Uhr, ausgenommen allgemeine Feiertage am Sitz der advact in Bern.
• Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Eine betroffene Person ist eine Person, über die Personendaten bearbeitet werden.
• Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, beispielsweise das Abfragen, Abgleichen, Anpassen, Archivieren, Aufbewahren, Auslesen, Bekanntgeben, Beschaffen, Erfassen, Erheben, Löschen, Offenlegen, Ordnen, Organisieren, Speichern, Verändern, Verbreiten, Verknüpfen, Vernichten und Verwenden von Personendaten.
• Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
• Subunternehmer: Dritte, die advact zur Leistungserbringung beizieht; soweit sie Personendaten des Kunden bearbeiten, sind sie Unterauftragsbearbeiter im Sinne von Art. 9 Abs. 3 DSG.
• Schriftlich: Schriftform oder Textform, die den Nachweis durch Text ermöglicht, insbesondere E-Mail.

Angebote der advact sind während der im Angebot genannten Gültigkeitsdauer verbindlich.

Der Vertrag kommt zustande, sobald der Kunde das Angebot annimmt. Als Annahme gilt, was zuerst eintritt:

1. a)die Unterzeichnung des Angebots, auch elektronisch;
2. b)eine schriftliche Annahmeerklärung, wobei eine E-Mail genügt;
3. c)eine Bestellung, die auf das Angebot Bezug nimmt;
4. d)die Inanspruchnahme der advact Services, namentlich die Mitwirkung am Onboarding (z. B. Allow-Listing, Lieferung von Userlisten, Installation des Phishing-Reporters, Erteilung von Berechtigungen für Microsoft 365), die Nutzung der Portale oder die vorbehaltlose Bezahlung der ersten Rechnung.

Mit der Annahme anerkennt der Kunde diese AGB sowie die Leistungsbeschreibung, die dem Angebot beiliegen oder auf die das Angebot verweist.

Nimmt der Kunde das Angebot nach Ablauf der Gültigkeitsdauer oder mit Änderungen an, gilt dies als neues Angebot des Kunden. Der Vertrag kommt in diesem Fall mit der schriftlichen Bestätigung der advact oder mit dem Beginn der Leistungserbringung zustande.

Erweiterungen, insbesondere zusätzliche Module oder User, werden mit einem Zusatzangebot vereinbart und unterstehen ebenfalls diesen AGB. Sofern das Zusatzangebot nichts anderes vorsieht, enden sie zusammen mit dem bestehenden Vertrag und werden anteilmässig verrechnet.

advact erbringt die im Angebot gebuchten Module gemäss Angebot und Leistungsbeschreibung. Weitere Leistungen, etwa individuelle Inhalte, Schulungen vor Ort oder Sonderauswertungen, erbringt advact nur aufgrund einer separaten Vereinbarung und gegen Vergütung.

advact stellt die advact Services als Software as a Service (SaaS) bereit und betreibt die dafür nötige Infrastruktur. Die Vergütung deckt insbesondere das Hosting, den Betrieb, die Wartung sowie die Verteilung von Anpassungen zur Fehlerbehebung (Updates).

advact entwickelt die advact Services laufend weiter und darf sie anpassen, sofern die vereinbarten wesentlichen Funktionen eines gebuchten Moduls während der Laufzeit nicht wesentlich eingeschränkt werden. Releases mit wesentlicher Funktionserweiterung sind nicht in der bisherigen Vergütung enthalten. advact unterbreitet dem Kunden dafür ein Angebot, bevor sie für ihn aktiviert werden. Über wesentliche Änderungen informiert advact den Kunden vorgängig.

Die Infrastruktur der advact Services befindet sich in ISO-27001-zertifizierten Rechenzentren in der Schweiz. Personendaten des Kunden werden ausschliesslich in der Schweiz gespeichert und bearbeitet (Ziff. 19).

Während der Servicezeit nimmt advact Störungsmeldungen entgegen und erbringt ihre Leistungen für Wartung und Pflege; sie reagiert auf Anfragen in der Regel innerhalb eines Arbeitstages. Gemeldete und als verdächtig erkannte E-Mails bearbeitet advact während der Servicezeit in der Regel innert zwei Arbeitsstunden nach Erhalt (Bearbeitungsziel); Meldungen ausserhalb der Servicezeit werden am nächsten Arbeitstag bearbeitet.

Als Wartungsfenster ist jeweils der letzte Samstag eines Monats zwischen 10:00 und 12:00 Uhr vorgesehen; währenddessen können die advact Services eingeschränkt sein. Dringende Sicherheitsupdates darf advact jederzeit einspielen. Eine bestimmte Verfügbarkeit ist nur geschuldet, wenn sie im Angebot ausdrücklich vereinbart ist.

Jede Partei kann schriftlich Änderungen der vereinbarten Leistungen beantragen. Sind Auswirkungen auf die Kosten zu erwarten, offeriert advact die Änderung. Die Änderung gilt erst, wenn die Parteien sie schriftlich vereinbart haben.

Teile der advact Services hängen von Produkten und Schnittstellen Dritter ab, insbesondere von Microsoft Exchange, Microsoft Outlook, Microsoft 365 und der Microsoft-Graph-API. Änderungen dieser Produkte können den Funktionsumfang beeinflussen, namentlich des Phishing-Reporters (Triage) und von Extract. advact passt die advact Services in angemessener Frist an, soweit ihr dies zumutbar ist. Für die Verfügbarkeit und Funktionsweise der Produkte Dritter übernimmt advact keine Gewähr.

Keine Erfolgsgarantie: Die advact Services verringern das Risiko erfolgreicher Angriffe per E-Mail, können es aber nicht ausschliessen. advact garantiert weder ein bestimmtes Verhalten der User noch, dass Triage und Extract sämtliche schädlichen E-Mails erkennen oder ausschliesslich schädliche E-Mails entfernen. Verdicts sind fachliche Einschätzungen nach dem Stand der Technik und dem Kenntnisstand zum Zeitpunkt der Prüfung. Die advact Services ersetzen keine eigenen Sicherheitsmassnahmen des Kunden wie Virenschutz, Datensicherung oder Notfallorganisation.

advact darf zur Leistungserbringung Subunternehmer beiziehen und bleibt gegenüber dem Kunden für deren Leistungen verantwortlich. Für Subunternehmer, die Personendaten des Kunden bearbeiten, gilt Ziff. 18.

Weder advact als Gesellschaft noch ihre Mitarbeitenden als Privatpersonen sind offen oder verdeckt wirtschaftlich an Lieferanten oder Hersteller von Hard- und Software gebunden, etwa durch Provisionen oder Beteiligungen.

Der Kunde erbringt die für die Leistungserbringung nötigen Mitwirkungen rechtzeitig und unentgeltlich gemäss den Anleitungen der advact. Dazu gehören insbesondere:

1. a)die Bezeichnung einer Ansprechperson sowie einer Kontaktperson für sicherheitsrelevante Eskalationen (SOC-Kontakt);
2. b)die Lieferung aktueller Userlisten, in der Regel monatlich;
3. c)das Allow-Listing auf der eigenen E-Mail- und Proxy-Infrastruktur, damit Simulationen zugestellt werden können;
4. d)die Installation des Phishing-Reporters und seine Freigabe für die User;
5. e)die Erteilung und Aufrechterhaltung der für Extract nötigen Berechtigungen im Microsoft-365-Tenant;
6. f)die Bezeichnung der Personen, die Zugriff auf das Board erhalten.

Erbringt der Kunde Mitwirkungen nicht oder verspätet, verschieben sich die betroffenen Termine angemessen. advact haftet nicht für die Folgen fehlender Mitwirkung. Verzögert sich der Go-Live aus Gründen, die der Kunde zu vertreten hat, um mehr als 30 Tage, darf advact die Vergütung ab diesem Zeitpunkt in Rechnung stellen.

Der Kunde meldet oder bestätigt advact auf Anfrage die korrekte Anzahl User. Übersteigt die tatsächliche Anzahl die vereinbarte, verrechnet advact die zusätzlichen User anteilmässig ab der Überschreitung zu den Konditionen des Angebots. Eine Reduktion ist auf das Ende eines Vertragsjahres möglich, frühestens auf das Ende der Mindestlaufzeit.

Der Kunde ist für die Bearbeitung der Personendaten seiner User in den advact Services datenschutzrechtlich verantwortlich. Er informiert seine Mitarbeitenden vorgängig über den Einsatz der advact Services, insbesondere über Simulationen, die Analyse gemeldeter und eingehender E-Mails, die Seasons-Strategie und personenbezogene Auswertungen. Er wahrt allfällige Mitwirkungsrechte der Personalvertretung und beachtet die arbeitsrechtlichen Vorgaben, namentlich Art. 328b OR und Art. 26 der Verordnung 3 zum Arbeitsgesetz (ArGV 3). Soweit erforderlich, führt er eine Datenschutz-Folgenabschätzung durch.

Benutzerkonten sind persönlich. Der Kunde hält Zugangsdaten geheim, nutzt die angebotene Mehr-Faktor-Authentifizierung (MFA) und meldet advact unverzüglich jeden Verdacht auf Missbrauch. Er ist für Handlungen verantwortlich, die über seine Zugänge erfolgen.

Stellt der Kunde Inhalte oder Kennzeichen zur Verfügung, etwa Logos, Weisungen, Beispiele, eigene Lerninhalte oder Vorgaben für Simulationen, sichert er zu, dass er dazu berechtigt ist und die Inhalte rechtmässig sind. Er räumt advact das unentgeltliche, nicht ausschliessliche Recht ein, diese Inhalte während der Laufzeit für die Leistungserbringung zu verwenden.

Simulationen ahmen realistische Absender und Kennzeichen Dritter nach, beispielsweise von Logistik-, Finanz- oder Softwareunternehmen. Sie dienen ausschliesslich der Sensibilisierung innerhalb der Organisation des Kunden. Der Kunde kann bestimmte Absender, Marken oder Themen ausschliessen. Er informiert seine IT-Dienstleister, die von Simulationen betroffen sein könnten, vorgängig, insbesondere externe Betreiber eines Security Operations Centers (SOC).

Dem Kunden ist insbesondere untersagt:

1. a)den Phishing-Reporter einschliesslich aller Bestandteile an Dritte weiterzugeben, zu kopieren oder für zusätzliche, nicht vereinbarte User zu nutzen;
2. b)Dritten Zugang zu den advact Services zu verschaffen, ausgenommen vom Kunden beauftragte Dritte wie ein externes SOC, für die der Kunde einsteht;
3. c)die Software zu dekompilieren, zurückzuentwickeln oder zu verändern, soweit dies nicht zwingend gesetzlich erlaubt ist;
4. d)Sicherheits- oder Lasttests an den advact Services ohne vorgängige schriftliche Zustimmung der advact durchzuführen, vorbehältlich des Bug-Bounty-Programms der advact (www.advact.ch/advact/bug-bounty-program-policy);
5. e)die advact Services für rechtswidrige Zwecke oder für Simulationen gegenüber Personen ausserhalb der eigenen Organisation zu verwenden;
6. f)Regeln, Listen und Indikatoren der advact zu vermarkten, an Dritte weiterzugeben oder damit ein Konkurrenzprodukt zu entwickeln.

Der Kunde ist selbst dafür verantwortlich, die Lizenzvorschriften aller Software, Software-Werkzeuge und Betriebssysteme einzuhalten, die er direkt einsetzt.

advact räumt dem Kunden für die Laufzeit das nicht ausschliessliche, nicht übertragbare und nicht unterlizenzierbare Recht ein, die gebuchten Module für interne Zwecke und für die vereinbarte Anzahl User zu nutzen. Das Nutzungsrecht setzt die fristgerechte Bezahlung der Vergütung voraus.

Für den Phishing-Reporter umfasst das Nutzungsrecht die Installation in der Umgebung des Kunden für die vereinbarten User. Nach Vertragsende entfernt der Kunde den Phishing-Reporter.

Mit Insights darf der Kunde die Regeln, Listen und Indikatoren der advact während der Laufzeit in seinen eigenen Sicherheitssystemen für interne Schutzzwecke verwenden. Indikatoren, die bis zum Vertragsende in seine Systeme übernommen wurden, darf er danach weiter für interne Schutzzwecke verwenden.

Alle Rechte an der Software, den Portalen, den Simulationsvorlagen, den Lernmodulen, den Regeln und Listen sowie an der Dokumentation bleiben bei advact oder ihren Lizenzgebern. Schutzrechte, die bei der Vertragserfüllung entstehen, namentlich Urheber-, Patent-, Design- oder Markenrechte, stehen ausschliesslich advact zu, soweit nichts anderes vereinbart ist. Alle Rechte, die dem Kunden nicht ausdrücklich eingeräumt werden, bleiben vorbehalten.

Die Kundendaten verbleiben beim Kunden. advact bearbeitet sie ausschliesslich zur Vertragserfüllung gemäss Ziff. 12 bis 20, vorbehältlich Ziff. 6.6.

Threat Intelligence und anonymisierte Daten: Der Kunde nimmt zur Kenntnis und ist einverstanden, dass advact die Randdaten gemeldeter und als verdächtig erkannter E-Mails sowie die daraus gewonnenen technischen Indikatoren (z. B. Domains, URLs, Hashes, Muster) in eigener Verantwortung zur Erkennung und Abwehr von Cyberangriffen verwendet, auch zum Schutz anderer Kunden. Inhalte von E-Mails und Angaben, die Rückschlüsse auf den Kunden zulassen, gibt advact nicht an andere Kunden weiter. advact darf zudem anonymisierte und aggregierte Statistiken erstellen und verwenden, etwa Klick- und Meldequoten nach Branche. Einzelheiten regelt Ziff. 14.

Anregungen und Rückmeldungen des Kunden zu den advact Services darf advact unentgeltlich für deren Weiterentwicklung verwenden.

Für die advact Services schuldet der Kunde die im Angebot festgelegte, volumenabhängige Vergütung zu einem Fixpreis pro User. Alle Preise verstehen sich in Schweizer Franken und zuzüglich der gesetzlichen Mehrwertsteuer.

Sofern das Angebot nichts anderes vorsieht, stellt advact die Vergütung jährlich im Voraus in Rechnung. Die Verrechnung beginnt mit dem im Angebot genannten Leistungsbeginn, ohne solche Angabe mit dem Go-Live.

Zusätzliche User und Module stellt advact direkt nach deren Vereinbarung anteilmässig in Rechnung.

advact kann die Preise auf den Beginn eines neuen Vertragsjahres nach Ablauf der Mindestlaufzeit anpassen. Sie teilt Preisanpassungen mindestens zwei Monate vor Ablauf des laufenden Vertragsjahres schriftlich mit. Der Kunde kann den Vertrag in diesem Fall auf das Inkrafttreten der neuen Preise gemäss kündigen.

Rabatte, die an eine Laufzeit oder an eine Anzahl Module geknüpft sind, gelten nur, solange ihre Voraussetzungen erfüllt sind.

Rechnungen sind innerhalb von 30 Tagen nach Rechnungsdatum ohne Abzug zur Zahlung fällig. Mit unbenutztem Ablauf der Zahlungsfrist kommt der Kunde automatisch in Verzug, ohne dass es einer Mahnung bedarf. Ab Verzug schuldet der Kunde einen Verzugszins von acht Prozent (8 %) pro Jahr.

Einwände gegen Rechnungen müssen innerhalb von 15 Tagen nach Rechnungsdatum schriftlich und begründet bei advact eingehen. Andernfalls gilt die Rechnung als genehmigt. Unbestrittene Teile einer Rechnung sind fristgerecht zu bezahlen.

Der Kunde darf nur mit Forderungen verrechnen, die advact anerkannt hat oder die rechtskräftig festgestellt sind.

Ist der Kunde trotz Mahnung mit einer Nachfrist von zehn Tagen weiterhin in Verzug, darf advact den Zugang zu den advact Services nach vorgängiger Ankündigung sperren. Die Pflicht zur Zahlung der Vergütung bleibt bestehen. Solange der Kunde mit fälligen Zahlungen im Verzug ist, darf advact zudem die Mängelbehebung verweigern.

Der Vertrag tritt mit dem Vertragsschluss gemäss Ziff. 3 in Kraft.

Die Laufzeit beginnt mit dem im Angebot genannten Leistungsbeginn, ohne solche Angabe mit dem Go-Live. Die Mindestlaufzeit richtet sich nach dem Angebot und beträgt mindestens ein Jahr (365 Tage).

Nach Ablauf der Mindestlaufzeit verlängert sich der Vertrag jeweils um ein Jahr, sofern ihn keine Partei unter Einhaltung einer Kündigungsfrist von drei Monaten auf das Ende der Mindestlaufzeit oder eines Vertragsjahres schriftlich kündigt. Die Kündigung kann sich auf einzelne Module beschränken.

Jede Partei kann den Vertrag oder einzelne Module aus wichtigem Grund jederzeit schriftlich mit sofortiger Wirkung kündigen. Ein wichtiger Grund liegt insbesondere vor:

1. a)bei einer wesentlichen Vertragsverletzung der anderen Partei, die trotz schriftlicher Abmahnung nicht innerhalb von 30 Tagen behoben wird;
2. b)wenn über die andere Partei der Konkurs eröffnet oder ihr eine Nachlassstundung gewährt wird;
3. c)in den Fällen gemäss Ziff. 9.4 (Mängel), Ziff. 24.3 (Änderung der AGB) und Ziff. 18.2 (Widerspruch gegen Subunternehmer).

Mit der Beendigung enden die Nutzungsrechte und advact sperrt die Zugänge. Der Kunde entfernt den Phishing-Reporter und entzieht die für Extract erteilten Berechtigungen. Bis zum Vertragsende kann der Kunde Auswertungen aus dem Board exportieren. Die Rückgabe und Löschung von Personendaten richten sich nach Ziff. 15.7 bis 15.9.

Im Voraus bezahlte Vergütungen werden nicht zurückerstattet. Kündigt der Kunde aus einem wichtigen Grund, den advact zu vertreten hat, oder gemäss Ziff. 24.3 oder Ziff. 18.2, erstattet advact die bereits bezahlte Vergütung für die Zeit nach der Beendigung anteilmässig zurück.

advact gewährleistet, dass die advact Services bei vertragsgemässem Einsatz die ausdrücklich zugesicherten Eigenschaften aufweisen und nicht mit Mängeln behaftet sind, die ihre Tauglichkeit aufheben oder erheblich einschränken. Als zugesichert gelten nur Eigenschaften, die im Angebot ausdrücklich als zugesichert bezeichnet sind.

advact gewährleistet, dass der Kunde Zugriff auf das Board (board.advact.swiss) erhält, auf dem Auswertungen zu den advact Services angeboten werden.

advact gewährleistet, dass der Phishing-Reporter in den von Microsoft unterstützten Versionen von Microsoft Exchange und Microsoft 365 hinzugefügt werden kann und in Standardinstallationen der von Microsoft unterstützten Versionen von Microsoft Outlook (Windows, Mac, neues Outlook sowie Outlook im Web in unterstützten Browsern) funktioniert, solange Microsoft diese Versionen unterstützt. Die aktuelle Liste der getesteten Versionen stellt advact auf Anfrage zur Verfügung.

Der Kunde meldet Mängel unverzüglich und nachvollziehbar dokumentiert. advact behebt Mängel innert angemessener Frist durch Nachbesserung oder eine zumutbare Umgehungslösung. Schlagen zwei Nachbesserungsversuche wegen desselben Mangels fehl, kann der Kunde nach seiner Wahl eine Minderung verlangen oder das betroffene Modul aus wichtigem Grund kündigen. Die Minderung ist auf 25 % der Vergütung des betroffenen Moduls für die Dauer des Mangels begrenzt.

advact haftet nicht für Mängel, die auf Produkten oder Diensten von Microsoft oder anderer Dritter, auf der Infrastruktur des Kunden, auf unsachgemässer Nutzung oder auf fehlender Mitwirkung des Kunden beruhen.

Jede weitere Gewährleistung, namentlich für bestimmte Erkennungs-, Klick- oder Meldequoten, ist ausgeschlossen, soweit gesetzlich zulässig.

advact haftet unbeschränkt für absichtlich oder grobfahrlässig verursachte Schäden, für Personenschäden sowie nach zwingenden gesetzlichen Bestimmungen, etwa dem Produktehaftpflichtgesetz (Art. 100 Abs. 1 OR).

Im Übrigen ist die Haftung der advact für Schäden aus oder im Zusammenhang mit dem Vertrag insgesamt auf den Betrag der Vergütung begrenzt, die der Kunde für das Vertragsjahr bezahlt hat, in dem das schädigende Ereignis eingetreten ist.

Soweit gesetzlich zulässig, ist die Haftung für indirekte Schäden und Folgeschäden ausgeschlossen, insbesondere für entgangenen Gewinn, nicht realisierte Einsparungen, Datenverlust, Reputationsschäden und Ansprüche Dritter.

Soweit gesetzlich zulässig, haftet advact insbesondere nicht für:

1. a)Viren oder andere Schadsoftware in der IT-Umgebung des Kunden, namentlich solche, die mit dem Phishing-Reporter weitergeleitet wurden;
2. b)Schäden, die entstehen, während der Phishing-Reporter oder Triage nicht funktioniert oder ausgeschaltet ist;
3. c)Schäden aus Verdicts, aus nicht erkannten schädlichen E-Mails oder aus der Entfernung legitimer E-Mails durch Extract;
4. d)Ausfälle, Störungen und Änderungen von Produkten und Diensten von Microsoft oder anderer Dritter;
5. e)Massnahmen, die der Kunde gestützt auf Auswertungen gegenüber seinen Mitarbeitenden trifft;
6. f)die gesetzeskonforme Meldung von Funden gemäss Ziff. 21.

Für beigezogene Dritte, namentlich Subunternehmer, haftet advact im gleichen Umfang wie für eigenes Verhalten. Die Haftungsbeschränkungen dieser Ziff. 10 gelten auch zugunsten der Mitarbeitenden und der beigezogenen Dritten.

Im Verhältnis zwischen den Parteien ist der Kunde als Verantwortlicher für die Rechtmässigkeit der Bearbeitung von Personendaten verantwortlich; advact haftet für die Einhaltung ihrer Pflichten als Auftragsbearbeiterin. Die Haftungsbeschränkungen dieser Ziff. 10 gelten auch für Ansprüche aus den Ziffern 12 bis 20. Vorbehalten bleiben zwingende gesetzliche Ansprüche betroffener Personen.

Der Kunde haftet für die Verletzung seiner Pflichten gemäss Ziff. 5. Er stellt advact von Ansprüchen Dritter, einschliesslich seiner Mitarbeitenden und Behörden, frei, die auf von ihm gelieferten Inhalten, auf einer fehlenden Information seiner Mitarbeitenden oder auf einer fehlenden Rechtsgrundlage für die Bearbeitung beruhen.

Die Parteien behandeln alle nicht allgemein bekannten Informationen der anderen Partei vertraulich, von denen sie im Zusammenhang mit dem Vertrag Kenntnis erhalten, insbesondere Geschäftsgeheimnisse, sicherheitsrelevante Informationen, Kundendaten, Prüfberichte und die Vertragskonditionen. Sie verwenden diese Informationen nur zur Vertragserfüllung und schützen sie mindestens mit der Sorgfalt, die sie für eigene vertrauliche Informationen anwenden.

Die Pflicht gilt nicht für Informationen, die allgemein bekannt sind oder werden, ohne dass die empfangende Partei dies zu vertreten hat, die ihr bereits rechtmässig bekannt waren, die sie unabhängig entwickelt hat oder die sie aufgrund einer gesetzlichen oder behördlichen Pflicht offenlegen muss. Im letzten Fall informiert sie die andere Partei vorgängig, soweit dies zulässig ist.

advact verpflichtet ihre Mitarbeitenden sowie allfällig beigezogene Dritte, sämtliche Informationen, die sie über den Kunden und dessen bearbeitete Daten erhalten, vertraulich zu behandeln. Diese Pflicht gilt auch nach dem Ende ihrer Tätigkeit für advact.

Untersteht der Kunde einem Berufs-, Amts- oder Bankgeheimnis, etwa nach Art. 320 oder Art. 321 StGB oder nach Art. 47 des Bankengesetzes, wahrt advact dieses Geheimnis als vom Kunden beigezogene Dritte. advact weist ihre Mitarbeitenden auf die strafrechtlichen Folgen einer Verletzung hin, einschliesslich Art. 62 DSG. Bearbeitet der Kunde klassifizierte Informationen oder hat er besondere Geheimhaltungsanforderungen, teilt er dies advact vor Vertragsschluss mit; die Parteien regeln dies gesondert.

advact unterzeichnet auf Wunsch des Kunden zusätzlich eine Geheimhaltungsvereinbarung. advact empfiehlt dem Kunden, die Vertraulichkeit auch mit seinen eigenen Mitarbeitenden schriftlich zu regeln.

Die Vertraulichkeitspflicht gilt während der Laufzeit und während fünf Jahren nach dem Vertragsende. Für Kundendaten und Geschäftsgeheimnisse gilt sie zeitlich unbeschränkt.

advact nennt den Kunden nur mit dessen vorgängiger schriftlicher Zustimmung als Referenz.

Bei der Bearbeitung von Personendaten in den advact Services ist der Kunde der Verantwortliche und advact die Auftragsbearbeiterin. Die Ziffern 12 bis 20 bilden die Auftragsbearbeitungsvereinbarung der Parteien. Sie gelten mit dem Vertragsschluss ohne Unterzeichnung, nur für die gebuchten Module und für die Laufzeit des Vertrags sowie darüber hinaus, bis advact alle Personendaten des Kunden gelöscht oder zurückgegeben hat. Sie erfüllen die Anforderungen von Art. 9 DSG sowie – soweit anwendbar – von Art. 28 DSGVO.

Die Parteien bearbeiten Personendaten im Einklang mit dem schweizerischen Datenschutzrecht, insbesondere dem Bundesgesetz über den Datenschutz (DSG) und der Datenschutzverordnung (DSV). Untersteht der Kunde für die Bearbeitung einem kantonalen Datenschutzgesetz oder der Datenschutz-Grundverordnung der EU (DSGVO), gelten deren Anforderungen an die Auftragsbearbeitung ergänzend. Für Kunden, die der DSGVO unterstehen, gelten die Ziffern 12 bis 20 zugleich als Vertrag nach Art. 28 DSGVO; die Begriffe sind entsprechend auszulegen (z. B. «Bearbeitung» als «Verarbeitung», «Auftragsbearbeiterin» als «Auftragsverarbeiter»).

Haben die Parteien eine eigene, von beiden unterzeichnete Auftragsbearbeitungsvereinbarung abgeschlossen, geht diese den Ziffern 12 bis 20 vor.

advact bearbeitet die Personendaten ausschliesslich im Auftrag und nach den dokumentierten Weisungen des Kunden. Als Weisungen gelten der Vertrag, die Einstellungen des Kunden in den Portalen sowie schriftliche Einzelweisungen des Kunden.

Ist advact der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, informiert sie den Kunden unverzüglich. Sie darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Einzelweisungen, die über den vereinbarten Leistungsumfang hinausgehen, führt advact gegen Vergütung des Aufwands aus.

Ansprechstelle für den Datenschutz bei advact: advact AG, Aarbergergasse 20, 3011 Bern, compliance@advact.ch.

Für eigene Bearbeitungen ist advact selbst verantwortlich, namentlich für die Vertragsabwicklung, die Kontaktdaten der Ansprechpersonen des Kunden, den Betrieb und die Sicherheit ihrer Systeme sowie die Threat Intelligence gemäss Ziff. 6.6 und 14. Darüber informiert die «Datenschutzerklärung (DSE) advact Services», die advact dem Kunden mit dem Angebot abgibt und auf Anfrage zur Verfügung stellt.

advact bearbeitet nur jene Personendaten und nur zu jenen Zwecken, die zur Erbringung der gebuchten Module erforderlich sind: Sensibilisierung der User, Analyse und Abwehr von Bedrohungen per E-Mail sowie Auswertungen für den Kunden.

Betroffene Personen sind die Mitarbeitenden und weiteren User des Kunden sowie Dritte, deren Personendaten in gemeldeten oder analysierten E-Mails enthalten sind, insbesondere Absender und Empfänger.

Je Modul bearbeitet advact die folgenden Personendaten:

Der Kunde legt fest, wer Zugriff auf das Board erhält. Auswertungen im Board sind standardmässig mit Personenbezug voreingestellt; auf Wunsch des Kunden richtet advact sie ohne Personenbezug möglich. Für exportierte Daten ist der Kunde verantwortlich.

Der Kunde liefert nur jene Angaben über seine Mitarbeitenden, die er für die gewünschten Auswertungen benötigt.

Die Messung des Verhaltens in Simulationen kann ein Profiling im Sinne von Art. 5 lit. f DSG darstellen. Ob und wie der Kunde Ergebnisse einzelnen Mitarbeitenden zuordnet und verwendet, entscheidet er als Verantwortlicher. advact empfiehlt, die Ergebnisse ausschliesslich zur Sensibilisierung zu verwenden.

Gemeldete und analysierte E-Mails können besonders schützenswerte Personendaten enthalten. advact sucht nicht gezielt danach und behandelt erkennbar vertrauliche E-Mails gemäss Ziff. 15.4. Der Kunde weist seine Mitarbeitenden darauf hin, keine privaten oder offensichtlich vertraulichen E-Mails zu melden.

Die Randdaten aller als verdächtig gemeldeten und aller flagged E-Mails, die nach Ziff. 15.2 länger aufbewahrten E-Mails sowie die daraus gewonnenen Indikatoren (z. B. Domains, URLs, Hashes, Muster) nutzt advact zur Erkennung und Abwehr von Cyberangriffen, auch zum Schutz anderer Kunden. Als Randdaten gelten Absender, Empfänger, meldende Person (Reporter), Betreff, Datum und Verdict.

Für diese Bearbeitung ist advact selbst verantwortlich. Sie stützt sich auf ihr überwiegendes berechtigtes Interesse an der Informationssicherheit ihrer Kunden (Art. 31 Abs. 1 DSG; Art. 6 Abs. 1 lit. f DSGVO). Die Randdaten werden bis zu 10 Jahre aufbewahrt.

Der Kunde ist mit dieser Bekanntgabe einverstanden und informiert seine Mitarbeitenden darüber, advact stellt ihm dafür die «Datenschutzerklärung (DSE) advact Services» zur Verfügung. Inhalte von E-Mails und Angaben, die Rückschlüsse auf den Kunden zulassen, gibt advact nicht an andere Kunden weiter.

Betroffene Personen können ihre Rechte insoweit direkt bei advact geltend machen (compliance@advact.ch).

Die Inhalte der als verdächtig gemeldeten und der flagged E-Mails werden grundsätzlich maximal 30 Tage im advact Adminportal und im Board aufbewahrt und danach automatisch gelöscht.

Einzelne klar als «gefährlich» erkennbare E-Mails können Analysten zur vertieften Analyse von Mustern und Angriffsarten für längstens 90 Tage zur Aufbewahrung kennzeichnen.

Gemeldete und flagged E-Mails werden während der Servicezeit in der Regel innert zwei Arbeitsstunden nach Erhalt bearbeitet (Bearbeitungsziel gemäss Ziff. 4.5).

Erhält advact E-Mails mit offensichtlich vertraulichem Inhalt oder mit offensichtlich echten Personendaten, beantworten die Analysten sie mit dem Verdict «confidential». Die meldende Person erhält die Rückmeldung, dass die E-Mail harmlos war. Der Inhalt der E-Mail wird nach der Bearbeitung sofort automatisch gelöscht; aufbewahrt werden nur die Randdaten ohne Inhalt und Anhänge. Auf Wunsch des Kunden wird zusätzlich automatisch eine Stelle beim Kunden, etwa die Datenschutzstelle, informiert.

Hat advact eine E-Mail mit vertraulichem Inhalt über Insights bereits an Systeme des Kunden übermittelt, bevor sie gelöscht wurde, ist der Kunde für die Löschung in seinen Systemen verantwortlich.

In verschlüsselten, unveränderbaren Sicherungskopien in der Schweiz können Daten bis zu ihrer ordentlichen Überschreibung, längstens 12 Monate, vorhanden sein. Auf Sicherungskopien wird nur zur Wiederherstellung zugegriffen; wiederhergestellte Daten werden erneut nach dieser Ziffer gelöscht.

Nach Vertragsende löscht advact die im Auftrag des Kunden bearbeiteten Personendaten innert der Fristen gemäss Ziff. 13 und 15, spätestens 30 Tage nach Vertragsende, sofern der Kunde nicht vorher schriftlich die Herausgabe der Daten in einem gängigen Format oder eine Verlängerung der Frist verlangt. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten (Ziff. 15.8).

Ausgenommen sind Daten, die advact gemäss Ziff. 14 in eigener Verantwortung bearbeitet, anonymisierte Daten, Sicherungskopien bis zu ihrer ordentlichen Überschreibung (Ziff. 15.6) sowie Daten, die advact aufgrund gesetzlicher Pflichten aufbewahren muss.

Auf Wunsch bestätigt advact dem Kunden die Löschung schriftlich.

advact trifft angemessene technische und organisatorische Massnahmen (TOM), um die Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Kundendaten zu schützen. Sie überprüft sie regelmässig und passt sie dem Risiko und dem Stand der Technik an. advact lässt die Massnahmen jährlich durch eine unabhängige Prüfgesellschaft in einem ISAE-3000-Typ-2-Bericht beurteilen. Eine Beschreibung der TOM und den jeweils aktuellen Bericht erhält der Kunde auf Anfrage und unter Wahrung der Vertraulichkeit.

advact darf die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt advact den Kunden zeitnah mit.

advact verpflichtet alle Personen, die Zugang zu Personendaten des Kunden haben, zur Vertraulichkeit. Diese Pflicht gilt auch nach dem Ende ihrer Tätigkeit.

Soweit advact als Auftragsbearbeiterin handelt, ist der Kunde für die Beantwortung von Anfragen betroffener Personen zuständig. advact leitet solche Anfragen unverzüglich, spätestens innert fünf Arbeitstagen, an den Kunden weiter, beantwortet sie nur auf seine Weisung und unterstützt ihn mit geeigneten technischen und organisatorischen Massnahmen.

advact unterstützt den Kunden bei Datenschutz-Folgenabschätzungen, bei vorgängigen Konsultationen des EDÖB oder der zuständigen Aufsichtsbehörde sowie bei der Erfüllung seiner Melde- und Informationspflichten. Aufwand, der über den üblichen Rahmen hinausgeht, wird angemessen vergütet, sofern die Ursache nicht bei advact liegt.

Verlangt eine Behörde die Herausgabe von Personendaten des Kunden, informiert advact den Kunden vorgängig, soweit dies zulässig ist, und gibt Daten nur heraus, wenn sie rechtlich dazu verpflichtet ist.

advact meldet dem Kunden Verletzungen der Datensicherheit, die Personendaten aus den advact Services betreffen, so rasch als möglich, spätestens innert 24 Stunden nach Kenntnisnahme.

Die Meldung enthält, soweit bekannt, die Art und den Zeitpunkt der Verletzung, die betroffenen Kategorien und die ungefähre Anzahl betroffener Personen und Daten, die möglichen Folgen sowie die ergriffenen oder vorgesehenen Massnahmen. advact ergänzt die Meldung, sobald weitere Informationen vorliegen.

advact unterstützt den Kunden bei der Meldung an den EDÖB bzw. an die zuständige Aufsichtsbehörde und bei der Information der betroffenen Personen.

Der Kunde genehmigt mit dem Vertragsschluss die Subunternehmer, die in der «Datenschutzerklärung (DSE) advact Services» aufgeführt sind, die er mit dem Angebot erhält. Er erteilt advact zudem die allgemeine Genehmigung, weitere Subunternehmer nach Ziff. 18.2 beizuziehen oder bestehende zu ersetzen.

advact informiert den Kunden mindestens 30 Tage im Voraus schriftlich über jeden neuen oder ersetzten Subunternehmer. Der Kunde kann innert dieser Frist aus wichtigen datenschutzrechtlichen Gründen schriftlich widersprechen. Die Parteien suchen in diesem Fall nach einer Lösung. Finden sie keine, kann der Kunde die betroffenen Module auf den Zeitpunkt des Beizugs kündigen. Widerspricht der Kunde nicht, gilt der Subunternehmer als genehmigt.

advact verpflichtet ihre Subunternehmer vertraglich zu einem gleichwertigen Datenschutz und bleibt gegenüber dem Kunden für sie verantwortlich.

Nicht als Subunternehmer im Sinne dieser AGB gelten Dritte, die Nebenleistungen ohne Zugriff auf Personendaten des Kunden erbringen, etwa Telekommunikations-, Post- oder Transportdienste, Hardware-Wartung ohne Datenzugriff oder die Entsorgung von Datenträgern mit Vernichtungsnachweis.

Die Personendaten werden ausschliesslich in der Schweiz gespeichert und bearbeitet. Den Mitarbeitenden der advact ist der Zugriff auf Personendaten von ausserhalb der Schweiz untersagt; er ist technisch unterbunden.

Ausgenommen ist die Übermittlung über Insights an die vom Kunden bestimmten Systeme; für deren Standort ist der Kunde verantwortlich. Zur Prüfung auf Schadhaftigkeit kann advact zudem technische Merkmale wie URLs aus E-Mails externer Absender an APIVoid und Root-Domains an einen WHOIS-Dienst übermitteln, um sie mit Reputationsdaten abzugleichen. Dabei werden keine Personendaten übermittelt. Weitere Inhalte von E-Mails verlassen die Infrastruktur der advact nicht.

Eine Bekanntgabe von Personendaten ins Ausland erfolgt nur, wenn die Voraussetzungen von Art. 16 f. DSG und – soweit anwendbar – von Kapitel V DSGVO erfüllt sind. Die Übermittlung von Personendaten aus der EU in die Schweiz stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz.

advact stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Ziffern 12 bis 20 erforderlich sind.

advact lässt jährlich einen ISAE-3000-Typ-2-Bericht durch eine unabhängige Prüfgesellschaft (derzeit BDO) erstellen. Der Kunde kann den jeweils aktuellen Bericht unter Wahrung der Vertraulichkeit anfordern.

Der Kunde hat das Recht, nach Absprache mit advact Überprüfungen selbst durchzuführen oder durch im Einzelfall zu benennende, zur Verschwiegenheit verpflichtete unabhängige Prüfer durchführen zu lassen, die keine Wettbewerber der advact sind. Er kann sich durch Stichprobenkontrollen, die in der Regel 30 Tage im Voraus anzumelden sind, während der Geschäftszeiten von der Einhaltung der Ziffern 12 bis 20 überzeugen. Ohne besonderen Anlass, etwa eine Verletzung der Datensicherheit, finden Kontrollen höchstens einmal pro Jahr statt.

Kontrollen dürfen die Vertraulichkeit gegenüber anderen Kunden und die Sicherheit der advact Services nicht gefährden. Der Kunde trägt die Kosten der Kontrolle, es sei denn, sie deckt einen wesentlichen Verstoss der advact auf.

Die Prüf- und Einsichtsrechte von Aufsichtsbehörden und Prüfgesellschaften des Kunden, etwa der FINMA oder einer Finanzkontrolle, bleiben vorbehalten.

In Triage und Extract wird aufgezeichnet, welche Mitarbeiterin oder welcher Mitarbeiter der advact eine verdächtige E-Mail analysiert und bearbeitet hat. Im Board ist ersichtlich, wer eine E-Mail mit welchem Verdict abgeschlossen («resolved») hat; lesende Zugriffe von Analysten werden protokolliert.

Im advact Awarenessportal besteht ein unveränderbares Audit Log, das sämtliche Zugriffe von Mitarbeitenden der advact oder des Kunden auf E-Mail-Inhalte aufzeichnet. Wer auf den Inhalt einer E-Mail zugreifen will, muss eine Begründung angeben. Der Kunde hat vollen lesenden Zugriff auf das Audit Log. So ist jederzeit nachvollziehbar, wer zu welchem Zeitpunkt auf welche E-Mail-Inhalte zugegriffen hat.

Zugriffe über die Insights-API werden protokolliert.

Stellt advact bei der Analyse gemeldeter oder als verdächtig erkannter E-Mails Inhalte fest, die auf eine Straftat hindeuten, informiert sie umgehend den vom Kunden bezeichneten SOC-Kontakt. Gemeint sind insbesondere Inhalte nach Art. 197 Abs. 4 und 5 StGB (verbotene Pornografie / CSAM) oder nach Art. 187 ff. StGB (sexuelle Handlungen mit Kindern). Eine Pflicht zur aktiven Suche nach solchen Inhalten besteht nicht.

advact ist berechtigt, den Fund zum eigenen Schutz über das Meldeformular des Bundesamts für Polizei (fedpol) zu melden. Die Vertraulichkeit gemäss Ziff. 11 steht dem nicht entgegen. Diese Meldung ersetzt keine Strafanzeige.

Kosten, die dem Kunden aus dem weiteren Umgang mit dem Fund entstehen, trägt der Kunde selbst, insbesondere Kosten einer Strafanzeige, eines Verfahrens oder einer Rechtsberatung.

Keine Partei haftet für die Nichterfüllung ihrer Pflichten, soweit diese auf Ereignisse zurückgeht, die sie trotz angemessener Vorkehrungen nicht verhindern konnte, etwa Naturereignisse, Pandemien, behördliche Anordnungen, Krieg, Terror, grossflächige Strom- oder Netzausfälle oder Cyberangriffe auf Dritte, die dem Stand der Technik entsprechende Massnahmen überwinden. Die betroffene Partei informiert die andere unverzüglich. Dauert das Ereignis länger als 30 Tage, kann jede Partei den Vertrag kündigen.

advact darf Zugänge oder einzelne Funktionen vorübergehend sperren, soweit dies zur Abwehr einer Gefahr für die Sicherheit der advact Services, des Kunden oder anderer Kunden, bei begründetem Verdacht auf Missbrauch oder aufgrund einer behördlichen Anordnung erforderlich ist. advact beschränkt die Sperrung auf das Nötige und informiert den Kunden unverzüglich.

advact kann diese AGB sowie die Leistungsbeschreibung mit Wirkung für die Zukunft ändern. Sie teilt Änderungen dem Kunden mindestens 30 Tage vor Inkrafttreten schriftlich mit.

Für laufende Verträge gelten Änderungen ab dem Beginn des nächsten Vertragsjahres. Änderungen, die aufgrund zwingender Rechtsänderungen oder zur Behebung von Sicherheitsrisiken nötig sind, oder Änderungen, die den Kunden nicht benachteiligen, können früher gelten, frühestens 30 Tage nach der Mitteilung.

Benachteiligt eine Änderung den Kunden, kann er den Vertrag auf das Inkrafttreten der Änderung kündigen. Kündigt er nicht, gilt die Änderung als genehmigt. advact weist in der Mitteilung auf diese Folge hin.

Vereinbarungen zwischen den Parteien, etwa Angebote, Annahmen, Bestellungen und Einzelverträge sowie deren Änderungen und Ergänzungen, sind nur gültig, wenn sie schriftlich festgehalten werden. E-Mails sind der Schriftform gleichgestellt.

Mitteilungen an advact sind an info@advact.ch zu richten, Mitteilungen zu Datenschutz und Informationssicherheit an compliance@advact.ch. Mitteilungen an den Kunden gehen an die von ihm bezeichnete Ansprechperson.

Der Kunde darf Rechte und Pflichten aus dem Vertrag nur mit vorgängiger schriftlicher Zustimmung der advact übertragen. advact darf den Vertrag auf eine Rechtsnachfolgerin oder eine mit ihr verbundene Gesellschaft übertragen. Sie teilt dies dem Kunden vorgängig mit; der Kunde kann den Vertrag in diesem Fall auf den Zeitpunkt der Übertragung kündigen.

Sollte eine Bestimmung des Vertrags ganz oder teilweise unwirksam sein oder werden, bleibt die Gültigkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung wird durch eine wirksame ersetzt, die ihrem wirtschaftlichen Zweck möglichst nahekommt. Dasselbe gilt für allfällige Vertragslücken.

Bei Abweichungen zwischen der deutschen Fassung und Übersetzungen dieser AGB geht die deutsche Fassung vor.

Für Kunden mit einem bestehenden Lizenzvertrag und / oder laufenden Angebot über die advact Services gelten diese AGB ab der nächsten Verlängerung oder ab der Annahme eines neuen Angebots. Bis dahin gilt der bestehende Vertrag.

Der Vertrag untersteht schweizerischem materiellem Recht unter Ausschluss des Kollisionsrechts und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG).

Ausschliesslicher Gerichtsstand ist Bern.