Entwurf. Diese Bedingungen sind noch nicht anwaltlich geprüft. Sie beschreiben, was ich tatsächlich anbiete und was nicht — als Grundlage für die Prüfung und für das Gespräch mit den ersten Betrieben. Bis zur Prüfung gilt: Wenn etwas hier und meine Zusage im Gespräch auseinandergehen, zählt das Gespräch.

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Bedingungen gelten für die Überlassung der Software Rebounz durch Timm Ditz, Kryspi – IT & Fitness (nachfolgend „Anbieter") an Unternehmen (nachfolgend „Kunde").

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen. Es richtet sich nicht an Verbraucher (§ 13 BGB). Ein Widerrufsrecht besteht deshalb nicht.

(3) Abweichende Bedingungen des Kunden gelten nur, soweit der Anbieter ihnen schriftlich zugestimmt hat.

§ 2 Gegenstand des Vertrages

(1) Der Anbieter stellt dem Kunden Rebounz als Software zur Nutzung über das Internet bereit (Software as a Service). Der Kunde erhält eine eigene Adresse in der Form name.rebounz.de.

(2) Rebounz erlaubt es dem Kunden, digitale Sammelkarten zu führen: Karten anzulegen, Stempel zu vergeben, Prämien einzulösen und den Stand einzusehen. Der jeweilige Funktionsumfang ergibt sich aus der Anwendung in ihrer aktuellen Fassung.

(3) Der Anbieter schuldet keinen Erfolg im Sinne einer bestimmten Zahl von Gästen, Stempeln oder Wiederkäufen.

(4) Der Anbieter erbringt keine Rechts-, Steuer- oder Datenschutzberatung. Insbesondere ist der Kunde selbst dafür verantwortlich, welche Prämien er verspricht und welche Bedingungen er daran knüpft.

§ 3 Pilotphase

(1) Rebounz befindet sich im Aufbau. Für Kunden, die während der Pilotphase aufgenommen werden, ist die Nutzung unentgeltlich.

(2) Während der Pilotphase gilt:

• Der Anbieter sagt keine bestimmte Verfügbarkeit zu.
• Funktionen können sich ändern, hinzukommen oder entfallen.
• Wartungsfenster können ohne Vorlauf liegen.

(3) Der Anbieter wird eine spätere Entgeltpflicht mindestens drei Monate vorher in Textform ankündigen. Wer nicht zustimmt, kann bis zum Wirksamwerden kündigen; seine Daten kann er nach § 6 mitnehmen.

§ 4 Pflichten des Kunden

(1) Der Kunde ist für die Zugangsdaten seines Personals verantwortlich und sorgt dafür, dass sie nicht an Unbefugte gelangen.

(2) Der Kunde stellt sicher, dass er seine Gäste über die Verarbeitung ihrer Daten informiert, und hält seine eigenen Pflichtseiten (Impressum, Datenschutzerklärung) unter seiner Adresse aktuell.

(3) Der Kunde darf Rebounz nicht für rechtswidrige Zwecke einsetzen und keine Inhalte hinterlegen, die Rechte Dritter verletzen.

§ 5 Verfügbarkeit und Wartung

(1) Außerhalb der Pilotphase strebt der Anbieter eine Verfügbarkeit von 99 % im Monatsmittel an, gemessen am Aufruf der Anwendung. Zeiten angekündigter Wartung und Störungen außerhalb des Einflussbereichs des Anbieters (insbesondere beim Rechenzentrumsbetreiber) zählen nicht mit.

(2) Der Anbieter darf die Anwendung weiterentwickeln. Ändert sich dabei etwas, das der Kunde im Alltag benutzt, kündigt der Anbieter es rechtzeitig an.

§ 6 Daten des Kunden

(1) Die im Rahmen der Nutzung entstehenden Daten — insbesondere Karten, Stempel, Prämien und die Angaben der Gäste — bleiben dem Kunden zugeordnet.

(2) Der Kunde kann seine Daten jederzeit in einem gängigen, maschinenlesbaren Format ausleiten.

(3) Nach Ende des Vertrages löscht der Anbieter die Daten des Kunden innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt er vorher einen Export bereit.

(4) Die Verarbeitung personenbezogener Daten der Gäste erfolgt im Auftrag des Kunden. Es gilt Anlage 1 (Auftragsverarbeitung nach Art. 28 DSGVO).

§ 7 Haftung

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper und Gesundheit sowie nach dem Produkthaftungsgesetz.

(2) Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht — also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde vertrauen darf. In diesem Fall ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt.

(3) Solange die Nutzung unentgeltlich ist (§ 3), haftet der Anbieter nur für Vorsatz und grobe Fahrlässigkeit.

(4) Für den Verlust von Daten haftet der Anbieter nur in Höhe des Aufwands, der bei ordnungsgemäßer und regelmäßiger Sicherung durch den Kunden für die Wiederherstellung angefallen wäre.

§ 8 Laufzeit und Kündigung

(1) Der Vertrag läuft auf unbestimmte Zeit.

(2) Beide Seiten können ihn mit einer Frist von 30 Tagen zum Monatsende in Textform kündigen. Während der Pilotphase kann der Kunde jederzeit ohne Frist kündigen.

(3) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 9 Änderung dieser Bedingungen

Der Anbieter kann diese Bedingungen ändern und kündigt das mindestens sechs Wochen vorher in Textform an. Widerspricht der Kunde nicht bis zum Wirksamwerden, gelten die geänderten Bedingungen; auf diese Folge weist der Anbieter in der Ankündigung hin. Widerspricht der Kunde, endet der Vertrag zum Wirksamwerden der Änderung.

§ 10 Schlussbestimmungen

(1) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Anbieters.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

---

Anlage 1 — Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Diese Anlage ist Bestandteil des Vertrages. Der Kunde ist Verantwortlicher, der Anbieter ist Auftragsverarbeiter.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist der Betrieb von Rebounz für den Kunden. Die Verarbeitung dient allein diesem Zweck und dauert so lange wie der Vertrag.

2. Art der Daten und Kreis der Betroffenen

Daten der Gäste: E-Mail-Adresse; auf Wunsch des Gastes ein Anzeigename; Zugehörigkeit zu Karten, Stempel-Vorgänge mit Zeitpunkt, eingelöste Prämien und Gutscheine.

Daten des Personals: Anmeldename bzw. E-Mail-Adresse, Rolle, Zeitpunkte von Anmeldungen und ausgeführten Vorgängen.

Betroffene: Gäste des Kunden und Beschäftigte des Kunden.

3. Weisungen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch die Bedienung der Anwendung durch den Kunden. Der Anbieter informiert den Kunden, wenn er eine Weisung für rechtswidrig hält.

4. Vertraulichkeit

Der Anbieter ist die einzige Person mit Zugriff und zur Vertraulichkeit verpflichtet. Setzt er Beschäftigte ein, verpflichtet er sie zuvor entsprechend.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragung ausschließlich verschlüsselt (TLS).
• Passwörter werden nur als Hash gespeichert, nie im Klartext.
• Zugriff auf Daten eines Betriebs nur mit dessen Kontext — durchgesetzt auf zwei Ebenen: in der Anwendung und in der Datenbank selbst (Row Level Security).
• Rollen- und Rechtesystem; Zugriff nur, soweit für die Aufgabe erforderlich.
• Protokollierung sicherheitsrelevanter Vorgänge.
• Server in Deutschland, physisch gesichert durch den Rechenzentrumsbetreiber.
• Container-Protokolle sind in ihrer Größe begrenzt und rollen über.

Offener Punkt — Verfügbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO). Die Daten liegen auf einem dauerhaften Volume, das gegen Neustart und Neubau schützt. Eine automatische Sicherung nach außen und eine erprobte Wiederherstellung gibt es noch nicht. Das steht hier, weil eine Aufzählung von Maßnahmen, die eine fehlende verschweigt, schlimmer ist als eine Lücke, die man benennt. Vor der Aufnahme des ersten Betriebs muss das eingerichtet sein; diese Zeile wird dann ersetzt.

6. Unterauftragnehmer

Der Kunde stimmt folgendem Unterauftragnehmer zu:

Unternehmen	Sitz	Leistung
Hetzner Online GmbH	Gunzenhausen, Deutschland	Server und Rechenzentrum

Weitere Unterauftragnehmer kündigt der Anbieter mindestens vier Wochen vorher in Textform an. Der Kunde kann widersprechen; in diesem Fall kann jede Seite den Vertrag zum geplanten Wechsel kündigen.

Eine Verarbeitung außerhalb der EU findet nicht statt.

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden bei Auskunfts-, Berichtigungs- und Löschersuchen von Betroffenen sowie bei Datenschutz-Folgenabschätzungen. Meldet sich ein Betroffener beim Anbieter, verweist dieser ihn an den Kunden und informiert den Kunden.

8. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und nennt dabei, was bekannt ist und was er unternimmt.

9. Löschung und Rückgabe

Nach Ende des Vertrages löscht der Anbieter die Daten nach § 6 Abs. 3 des Hauptteils. Auf Wunsch stellt er zuvor einen Export bereit.

10. Nachweise

Der Anbieter weist die Einhaltung dieser Anlage auf Anfrage nach. Eine Überprüfung vor Ort ist nach vorheriger Abstimmung möglich.