Sondar by Codelance

Rechtliches

Allgemeine Geschäftsbedingungen

Diese Bedingungen regeln die Nutzung von Sondar, dem autorisierten und nicht-destruktiven Web-Security-Testing der Codelance GmbH. Zentral sind zwei Punkte: Sie prüfen ausschliesslich Ziele, für die Sie berechtigt sind, und aktive Tests werden erst nach erbrachtem Besitznachweis freigeschaltet.

Stand: 30. September 2026

1. Geltungsbereich und Vertragsparteien

1.1 Anbieterin der Plattform Sondar ist die Codelance GmbH, Baar, Kirchgasse 3, 6340 Baar, eingetragen im Handelsregister unter CHE-436.119.936 (nachfolgend «Anbieterin»).

1.2 Diese Allgemeinen Geschäftsbedingungen (nachfolgend «AGB») gelten für sämtliche Verträge zwischen der Anbieterin und der Nutzerin oder dem Nutzer der Plattform (nachfolgend einheitlich «Kundin») über die Nutzung von Sondar, einschliesslich der kostenlosen Nutzung im Free-Paket.

1.3 Abweichende oder ergänzende Bedingungen der Kundin gelten nur, wenn die Anbieterin ihnen ausdrücklich und in Textform zugestimmt hat. Die blosse Kenntnisnahme genügt nicht.

1.4 Das Angebot richtet sich an Unternehmen, Behörden und selbstständig Erwerbende. Zwingende Bestimmungen des schweizerischen Konsumentenschutzes bleiben vorbehalten, soweit die Kundin ausnahmsweise als Konsumentin handelt.

1.5 Ergänzend gelten die Datenschutzerklärung sowie allfällige produktspezifische Beschreibungen auf der Website. Bei Widersprüchen gehen diese AGB vor, soweit nicht ausdrücklich etwas anderes vereinbart ist.

2. Vertragsschluss und Konto

2.1 Die Darstellung der Pakete auf der Website ist kein bindendes Angebot. Der Vertrag kommt zustande, wenn die Kundin das Registrierungsformular absendet und die Anbieterin das Konto freischaltet oder die Leistung erbringt.

2.2 Für die Registrierung ist eine gültige E-Mail-Adresse erforderlich. Das Konto wird erst nach Bestätigung der E-Mail-Adresse (E-Mail-Verifizierung) nutzbar.

2.3 Die Kundin macht bei der Registrierung wahrheitsgetreue und vollständige Angaben und hält diese aktuell. Änderungen an Firma, Rechnungsadresse oder Kontaktadresse teilt sie unverzüglich über das Kundenkonto mit.

2.4 Zugangsdaten sind vertraulich zu behandeln, sicher aufzubewahren und nicht an Dritte weiterzugeben. Ein Konto ist einer bestimmten Organisation zugeordnet; die gemeinsame Nutzung eines Zugangs über mehrere Organisationen hinweg ist unzulässig.

2.5 Die Kundin haftet für sämtliche Aktivitäten, die über ihr Konto ausgelöst werden. Bei Verdacht auf missbräuchliche Nutzung oder auf Kenntnisnahme der Zugangsdaten durch Dritte informiert sie die Anbieterin unverzüglich und ändert ihr Passwort.

2.6 Die Anbieterin kann die Registrierung ohne Angabe von Gründen ablehnen, insbesondere wenn Anhaltspunkte für eine missbräuchliche Nutzung bestehen.

3. Leistungsbeschreibung

Sondar ist eine automatisierte Software-as-a-Service-Plattform für autorisiertes, nicht-destruktives Security-Testing von Webanwendungen. Der Leistungsumfang richtet sich nach dem gebuchten Paket.

3.1 Passive Prüfungen

Passive Prüfungen werten ausschliesslich öffentlich abrufbare Informationen aus und verändern am Ziel nichts. Dazu gehören insbesondere:

Weil dabei nur abgerufen wird, was ohnehin öffentlich ausgeliefert wird, lassen sich passive Prüfungen gegen beliebige Domains ausführen.

3.2 Aktive Tests

Aktive Tests senden gezielt präparierte Eingaben an das Ziel und prüfen die Reaktion. Sondar führt aktive Tests durch auf:

Aktive Tests werden ausschliesslich nach erbrachtem Besitznachweis gemäss Ziffer 4 freigeschaltet. Dies gilt in jedem Paket.

3.3 Betriebsweise und Protokollierung

Sondar sendet bei sämtlichen Anfragen eine feste, identifizierende User-Agent-Kennung und drosselt die Anfragerate. Alle Läufe werden in einem hash-verketteten Audit-Log protokolliert, das nachträgliche Veränderungen erkennbar macht.

Bewusst nicht gebaute Funktionen: Sondar enthält keine Funktion zur Überlastung oder Dienstverweigerung (DoS), keine Anonymisierung oder Verschleierung der Herkunft der Anfragen und kein unkontrolliertes Fluten von Formularen. Diese Funktionen sind nicht deaktiviert, sondern nicht vorhanden, und werden auch auf Wunsch der Kundin nicht bereitgestellt.

Sondar ist ein automatisiertes Werkzeug. Es ersetzt kein manuelles Penetration-Testing und kein Security-Audit durch Fachpersonen. Die Ergebnisse sind als Hinweise zu verstehen, die eine fachliche Beurteilung erfordern, nicht als abschliessende Sicherheitsbewertung.

3.4 Die Anbieterin entwickelt die Plattform laufend weiter und kann einzelne Prüfmodule ergänzen, anpassen oder ersetzen, solange der vertraglich geschuldete Gesamtnutzen des gebuchten Pakets erhalten bleibt.

3.5 Geplante Prüfungen und E-Mail-Berichte

In den Paketen Basic, Pro und Agency kann die Kundin Prüfungen auf einen Termin oder wiederkehrend planen und sich die Ergebnisse per E-Mail zustellen lassen. Welche Wiederholungen ein Paket erlaubt, ergibt sich aus der Preisübersicht auf der Website. Mit dem Anlegen eines Zeitplans beauftragt die Kundin die Anbieterin, die Prüfungen zu den gewählten Terminen auszuführen; die Zusicherung nach Ziffer 4 gilt für jeden dieser Läufe.

Eine geplante Prüfung startet frühestens zur gewählten Uhrzeit (Schweizer Zeit) und kann je nach Auslastung später beginnen. Kann ein Termin wegen einer Störung nicht zeitnah ausgelöst werden, entfällt er und wird nicht nachgeholt; die Kundin wird darüber informiert. Erlaubt das gebuchte Paket einen Zeitplan nicht mehr, etwa nach einem Wechsel auf ein kleineres Paket oder bei einer Sperre wegen Zahlungsverzugs (Ziffer 7.5), wird der Zeitplan pausiert und nicht gelöscht; er läuft weiter, sobald das Paket ihn wieder erlaubt. Ein einmaliger Termin, der aus einem dieser Gründe entfällt, wird nicht nachgeholt. Zeitpläne und hinterlegte Empfängeradressen kann die Kundin auch ohne passendes Paket pausieren bzw. löschen.

Geplante Prüfungen verbrauchen das Scan-Kontingent des gebuchten Pakets wie manuell gestartete Prüfungen. Ist das Kontingent erschöpft oder ist ein Ziel gesperrt, wird dieses Ziel nicht geprüft; die Kundin wird im Bericht oder mit einem gesonderten Hinweis darüber informiert.

Die E-Mail enthält eine Zusammenfassung ohne Einzelheiten zu den Befunden und je Ziel einen Link zum Bericht im PDF-Format. Der Link ist 14 Tage gültig und ohne Anmeldung nutzbar; wer ihn kennt, kann den Bericht abrufen. Wird der Scan gelöscht, wird auch der Link ungültig.

Bestimmt die Kundin Empfängerinnen ausserhalb ihrer Organisation, versendet die Anbieterin die Berichte auf Weisung der Kundin (Ziffer 12.2); darin liegt keine Offenlegung durch die Anbieterin im Sinne von Ziffer 13. Die Kundin verantwortet die Wahl der Empfängerinnen und stellt sicher, dass sie ihnen die Berichte bekanntgeben darf; Ziffer 12.5 gilt entsprechend. Eine solche Adresse erhält Berichte erst, nachdem sie den Empfang über einen Bestätigungslink freigegeben hat, und kann sich jederzeit abmelden; eine Abmeldung gilt auch, wenn die Kundin die Adresse entfernt und erneut einträgt, auch in einer anderen Schreibweise desselben Postfachs (etwa mit einem Zusatz wie «name+zusatz@»). Zum Schutz vor Missbrauch begrenzt die Anbieterin die Zahl der Bestätigungsmails je Tag und je Adresse. Der Versand an Dritte erweitert die Grenzen von Ziffer 5.1 nicht: Prüfleistungen für Dritte setzen weiterhin das Paket Agency voraus. Die Pflichten nach Ziffer 6, insbesondere die Information der Hosting-Anbieterin nach Ziffer 6.2, gelten auch für geplante und wiederkehrende Prüfungen.

Die Anbieterin versendet die E-Mails mit branchenüblicher Sorgfalt, übernimmt aber keine Gewähr dafür, dass sie zugestellt werden, rechtzeitig eintreffen oder nicht von Spamfiltern zurückgehalten werden. Massgeblich sind die in Sondar gespeicherten Ergebnisse.

4. Autorisierung und Besitznachweis

Die Kundin sichert für jedes von ihr angegebene Ziel zu, dass sie entweder selbst Inhaberin der Domain und der dahinterliegenden Systeme ist oder über eine nachweisbare schriftliche Erlaubnis der Inhaberin verfügt, die Prüfungen im Umfang von Sondar ausdrücklich abdeckt. Diese Zusicherung erneuert sich mit jedem gestarteten Lauf.

4.1 Sicherheitsprüfungen ohne Berechtigung der berechtigten Inhaberin können strafbar sein. Massgeblich ist in der Schweiz insbesondere Art. 143bis StGB (unbefugtes Eindringen in ein Datenverarbeitungssystem); je nach Sachverhalt kommen weitere straf- und zivilrechtliche Bestimmungen im In- und Ausland hinzu. Die Kundin prüft eigenverantwortlich, welche Rechtsordnungen für ihr Ziel gelten.

4.2 Ablauf des Besitznachweises

  1. Sondar erzeugt für das Ziel einen individuellen Token.
  2. Die Kundin hinterlegt die Token-Datei auf der Zieldomain unter dem Pfad /.well-known/attest-authorization.txt, sodass sie öffentlich abrufbar ist.
  3. Sondar ruft die Datei ab und vergleicht den Inhalt mit dem erzeugten Token.
  4. Erst wenn dieser Abruf erfolgreich ist, werden aktive Tests für dieses Ziel freigeschaltet.

Der Besitznachweis ist in jedem Paket zwingend, auch im teuersten. Kein Tarif, kein Zusatzkauf, keine individuelle Vereinbarung und keine Supportanfrage hebelt diese Freischaltungsschwelle aus. Ohne erfolgreichen Besitznachweis führt Sondar ausschliesslich passive Prüfungen durch.

4.3 Die Anbieterin kann den Besitznachweis jederzeit erneut anfordern, insbesondere nach einem Wechsel der Domaininhaberschaft, nach längerer Inaktivität oder bei begründeten Zweifeln an der Berechtigung.

4.4 Der Besitznachweis ist eine technische Kontrolle, keine rechtliche Prüfung. Er belegt die Verfügungsgewalt über die Auslieferung der Domain, nicht das Vorliegen einer rechtsgültigen Erlaubnis. Die Verantwortung für die Berechtigung bleibt vollumfänglich bei der Kundin.

4.5 Die Kundin stellt die Anbieterin von sämtlichen Ansprüchen Dritter frei, die daraus entstehen, dass sie ein Ziel angegeben hat, für das sie nicht berechtigt war. Die Freistellung umfasst Schadenersatzforderungen, Bussen, behördliche Massnahmen sowie angemessene Kosten der Rechtsverteidigung. Die Anbieterin informiert die Kundin über geltend gemachte Ansprüche und stimmt sich mit ihr über das weitere Vorgehen ab.

4.6 Die Anbieterin ist berechtigt, bei konkreten Anhaltspunkten auf eine unberechtigte Zielangabe Läufe abzubrechen, das Ziel zu sperren und die Audit-Protokolle im gesetzlich zulässigen Rahmen an zuständige Behörden oder an die betroffene Inhaberin herauszugeben.

5. Zulässige Nutzung

5.1 Sondar darf ausschliesslich für autorisierte Sicherheitsprüfungen im Sinne dieser AGB genutzt werden. Untersagt ist insbesondere:

5.2 Bei einem Verstoss gegen diese Nutzungsbedingungen kann die Anbieterin laufende Prüfungen sofort abbrechen und den Zugang ohne Vorankündigung sperren. Die Rechte aus Ziffer 8.4 bleiben vorbehalten.

5.3 Bereits bezahlte Entgelte werden bei einer Sperrung wegen eines von der Kundin zu vertretenden Verstosses nicht zurückerstattet. Weitergehende Ansprüche der Anbieterin bleiben vorbehalten.

6. Pflichten der Kundin

6.1 Vor aktiven Tests erstellt die Kundin aktuelle, wiederherstellbare Sicherungskopien der betroffenen Systeme und Daten und prüft deren Wiederherstellbarkeit.

6.2 Die Kundin informiert ihre Hosting-Anbieterin, ihre Betreiberin von Web Application Firewalls und weitere betroffene Dienstleisterinnen rechtzeitig über geplante Prüfungen, soweit deren Bedingungen dies verlangen.

6.3 Werden Produktivsysteme geprüft, wählt die Kundin Zeitpunkt und Umfang eigenverantwortlich und trägt die Verantwortung für die Auswirkungen auf den laufenden Betrieb. Die Anbieterin empfiehlt, aktive Tests zuerst auf einem Testsystem auszuführen.

6.4 Die Kundin überwacht ihre Zielangaben und meldet der Anbieterin unverzüglich, wenn ein Ziel versehentlich falsch angegeben wurde, eine Domain den Inhaber gewechselt hat oder eine Erlaubnis widerrufen wurde.

6.5 Die Kundin sorgt dafür, dass die Token-Datei für den Besitznachweis nur so lange öffentlich abrufbar bleibt, wie sie benötigt wird, und dass Dritte keinen Schreibzugriff auf diesen Pfad haben.

6.6 Die Kundin beurteilt die Befunde fachlich und entscheidet eigenverantwortlich über Massnahmen. Die Behebung von Schwachstellen ist nicht Teil der Leistung.

7. Pakete, Preise und Zahlung

7.1 Es stehen folgende Pakete zur Verfügung:

7.2 Der jeweils aktuelle Funktions- und Kontingentumfang der Pakete ergibt sich aus der Preisübersicht auf der Website. Auch im Agency-Paket sind aktive Tests nur nach erfolgreichem Besitznachweis je Ziel möglich.

7.3 Alle Preise verstehen sich in Schweizer Franken. Die Anbieterin ist zurzeit nicht mehrwertsteuerpflichtig, weshalb auf die Entgelte keine Mehrwertsteuer erhoben wird; tritt die Steuerpflicht ein, kommt die Mehrwertsteuer ab diesem Zeitpunkt hinzu.

7.4 Die Abrechnung erfolgt monatlich im Voraus über den Zahlungsdienstleister Stripe. Mit der Buchung ermächtigt die Kundin die Anbieterin, die wiederkehrenden Entgelte über das hinterlegte Zahlungsmittel einzuziehen. Es gelten ergänzend die Bedingungen von Stripe für die Zahlungsabwicklung.

7.5 Scheitert eine Zahlung oder befindet sich die Kundin in Verzug, kann die Anbieterin nach erfolgloser Mahnung den Zugang bis zum Zahlungseingang sperren. Verzugszins: 5 % pro Jahr (gesetzlicher Satz nach Art. 104 Abs. 1 OR). Mahnspesen: CHF 20 ab der zweiten Mahnung.

7.6 Die Anbieterin kann die Preise auf den Beginn einer neuen Abrechnungsperiode anpassen. Sie kündigt Preisänderungen vorgängig in Textform an, mit einer Ankündigungsfrist von 30 Tagen. Ist die Kundin nicht einverstanden, kann sie den Vertrag auf den Zeitpunkt des Inkrafttretens der Änderung kündigen.

7.7 Kontingente sind an die Abrechnungsperiode gebunden und verfallen am Periodenende, soweit nicht ausdrücklich anders ausgewiesen. Nicht genutzte Kontingente werden nicht vergütet.

8. Laufzeit und Kündigung

8.1 Der Vertrag wird auf unbestimmte Zeit geschlossen und verlängert sich monatlich, solange er nicht gekündigt wird.

8.2 Die Kundin kann jederzeit über ihr Kundenkonto auf das Ende der laufenden Abrechnungsperiode kündigen. Bis dahin bleibt der gebuchte Umfang nutzbar; bereits bezahlte Entgelte für die laufende Periode werden nicht anteilig erstattet.

8.3 Die Anbieterin kann den Vertrag mit einer Frist von drei Monaten auf das Ende einer Abrechnungsperiode kündigen. Das Free-Paket kann die Anbieterin jederzeit einstellen.

8.4 Bei einem Verstoss gegen Ziffer 4 oder Ziffer 5 kann die Anbieterin den Zugang sofort sperren und den Vertrag ausserordentlich und fristlos kündigen. Dasselbe gilt bei erheblichem Zahlungsverzug nach erfolgloser Mahnung.

8.5 Nach Vertragsende löscht die Anbieterin Konto-, Ziel- und Befunddaten sowie Berichte. Die Kundin kann die Löschung auch während des Vertragsverhältnisses jederzeit verlangen; das Verfahren steht in der Datenschutzerklärung. Die Kundin ist dafür verantwortlich, benötigte Berichte vorher zu exportieren — die Löschung ist endgültig. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten sowie die Aufbewahrung von Audit-Protokollen und Rechnungsdaten im gesetzlich vorgeschriebenen Umfang.

9. Verfügbarkeit

9.1 Die Anbieterin betreibt die Plattform mit branchenüblicher Sorgfalt, schuldet aber keine bestimmte Verfügbarkeit, soweit nicht ausdrücklich und schriftlich eine Service-Level-Vereinbarung abgeschlossen wurde.

9.2 Im Free-Paket wird keinerlei Verfügbarkeit zugesichert. Kontingente, Warteschlangen und Prüfdauer können jederzeit angepasst werden.

9.3 Die Anbieterin kann die Plattform für Wartung, Aktualisierungen und Sicherheitsmassnahmen vorübergehend unterbrechen. Planbare Wartungsfenster werden nach Möglichkeit vorgängig angekündigt und in Zeiten geringer Nutzung gelegt. Dringende Sicherheitsmassnahmen können ohne Vorankündigung erfolgen.

9.4 Die Anbieterin haftet nicht für Unterbrüche aufgrund höherer Gewalt oder anderer Umstände ausserhalb ihres Einflussbereichs, namentlich Netzausfälle, Störungen bei Vorlieferanten oder Hosting-Anbieterinnen, Stromausfälle, behördliche Anordnungen, Streiks oder grossflächige Angriffe auf die Internet-Infrastruktur.

9.5 Läuft eine Prüfung wegen einer Störung nicht oder nicht vollständig, wird das betroffene Kontingent gutgeschrieben. Weitergehende Ansprüche bestehen nicht.

10. Gewährleistung

Die Anbieterin sichert ausdrücklich nicht zu, dass Sondar alle vorhandenen Schwachstellen findet. Ein Scan ohne Befund ist kein Sicherheitsnachweis und keine Bestätigung, dass das geprüfte System sicher ist. Er dokumentiert lediglich, dass die durchgeführten Prüfungen zum Prüfzeitpunkt keine Auffälligkeiten ergeben haben.

10.1 Automatisierte Prüfungen unterliegen naturgemäss Einschränkungen. Es können sowohl Befunde ausbleiben, die tatsächlich vorliegen (falsch negativ), als auch Befunde gemeldet werden, die sich bei fachlicher Prüfung als unkritisch erweisen (falsch positiv). Die Kundin verifiziert Befunde vor der Umsetzung von Massnahmen.

10.2 Die Ergebnisse beziehen sich ausschliesslich auf den geprüften Stand zum Prüfzeitpunkt. Spätere Änderungen an Anwendung, Konfiguration oder Infrastruktur sind nicht abgedeckt.

10.3 Die Anbieterin sichert keine Eignung für einen bestimmten Zweck zu. Insbesondere stellen Berichte aus Sondar keine Zertifizierung dar und belegen für sich allein keine Konformität mit Normen, Standards oder regulatorischen Anforderungen, namentlich nicht mit ISO 27001, PCI DSS, DSG oder DSGVO.

10.4 Die Anbieterin gewährleistet nicht, dass die Plattform fehlerfrei oder ununterbrochen funktioniert. Gemeldete reproduzierbare Fehler behebt sie innert angemessener Frist im Rahmen der ordentlichen Weiterentwicklung.

11. Haftung

11.1 Die Anbieterin haftet für Schäden, die sie vorsätzlich oder grobfahrlässig verursacht hat.

11.2 Die Haftung für leichte Fahrlässigkeit ist im gesetzlich zulässigen Umfang ausgeschlossen. Ebenfalls ausgeschlossen ist die Haftung für indirekte Schäden und Folgeschäden, insbesondere für entgangenen Gewinn, Betriebsunterbruch, Reputationsschäden, Ansprüche Dritter und Datenverlust.

11.3 Soweit eine Haftung besteht, ist sie insgesamt auf den Betrag der Entgelte begrenzt, welche die Kundin in den letzten zwölf Monaten vor dem schädigenden Ereignis tatsächlich bezahlt hat. Bei kostenloser Nutzung im Free-Paket ist die Haftung im gesetzlich zulässigen Umfang ausgeschlossen.

Die Anbieterin haftet nicht für Auswirkungen aktiver Tests auf Produktivsysteme der Kundin. Aktive Tests werden ausschliesslich auf Ziele ausgeführt, welche die Kundin selbst angegeben, durch Besitznachweis freigeschaltet und damit ausdrücklich beauftragt und autorisiert hat. Die Entscheidung über Zeitpunkt, Umfang und Systemumgebung liegt allein bei der Kundin.

11.4 Ebenfalls nicht in der Verantwortung der Anbieterin liegen Schäden, die daraus entstehen, dass die Kundin die Pflichten nach Ziffer 6 verletzt, insbesondere fehlende oder nicht wiederherstellbare Sicherungskopien.

11.5 Die Anbieterin haftet nicht für Handlungen und Unterlassungen von Hilfspersonen im Rahmen der leichten Fahrlässigkeit sowie nicht für Leistungen Dritter, namentlich Zahlungsdienstleister, Hosting-Anbieterinnen und Netzbetreiberinnen.

11.6 Eine zwingende gesetzliche Haftung, insbesondere für Personenschäden, bleibt in jedem Fall vorbehalten.

12. Datenschutz

12.1 Die Bearbeitung von Personendaten richtet sich nach der Datenschutzerklärung unter /datenschutz, die integrierender Bestandteil dieses Vertrags ist.

12.2 Soweit die Anbieterin im Rahmen der Leistungserbringung Personendaten bearbeitet, für welche die Kundin verantwortlich ist, handelt sie als Auftragsbearbeiterin. Sie bearbeitet diese Daten ausschliesslich nach Weisung der Kundin und zur Erbringung der vertraglichen Leistung. Eine ergänzende Vereinbarung zur Auftragsbearbeitung wird auf Wunsch abgeschlossen.

12.3 Die Anwendung wird bei der hosttech GmbH in Rechenzentren in der Schweiz betrieben. Die Datenbank, die Authentifizierung und der Storage liegen bei Supabase in einer Region innerhalb Europas. E-Mails werden über die Hetzner Online GmbH in Deutschland versandt. Ein Verzeichnis der eingesetzten Unterauftragsbearbeiterinnen stellt die Anbieterin auf Anfrage zur Verfügung.

12.4 Die Anbieterin trifft angemessene technische und organisatorische Massnahmen zum Schutz der bearbeiteten Daten, insbesondere Verschlüsselung der Übertragung, Zugriffsbeschränkungen und die hash-verkettete Protokollierung nach Ziffer 3.3.

12.5 Prüfberichte können Auszüge aus Antworten des geprüften Systems enthalten und dadurch Personendaten umfassen. Die Kundin berücksichtigt dies bei der Weitergabe von Berichten.

13. Geheimhaltung

13.1 Befunde, Berichte, Zielangaben und technische Details aus Prüfläufen sind vertraulich. Beide Parteien behandeln Informationen der jeweils anderen Partei, die ihrer Natur nach vertraulich sind, während der Vertragsdauer und darüber hinaus vertraulich.

13.2 Die Anbieterin nutzt Ziel- und Befunddaten der Kundin nicht für eigene Zwecke ausserhalb der Leistungserbringung. Sie verwendet sie insbesondere nicht für Werbung, nicht für den Verkauf an Dritte und nicht, um die geprüften Systeme über den beauftragten Umfang hinaus zu untersuchen.

13.3 Ein Zugriff durch Mitarbeitende der Anbieterin erfolgt nur, soweit dies für Betrieb, Support, Fehlerbehebung oder Sicherheit erforderlich ist, und beschränkt sich auf die dafür notwendigen Personen und Daten.

13.4 Für die Weiterentwicklung der Plattform darf die Anbieterin aggregierte und anonymisierte Kennzahlen verwenden, die keinen Rückschluss auf die Kundin, auf einzelne Ziele oder auf konkrete Schwachstellen zulassen.

13.5 Die Anbieterin nennt die Kundin nur mit deren vorgängiger Zustimmung als Referenz.

13.6 Vorbehalten bleibt die Offenlegung, zu der eine Partei gesetzlich oder behördlich verpflichtet ist; die betroffene Partei wird, soweit rechtlich zulässig, vorgängig informiert.

14. Änderungen der AGB

14.1 Die Anbieterin kann diese AGB anpassen, insbesondere bei Änderungen des Leistungsumfangs, der eingesetzten Technik oder der Rechtslage.

14.2 Änderungen werden der Kundin vorgängig in Textform an die im Konto hinterlegte E-Mail-Adresse angekündigt, mit einer Frist von 30 Tagen vor Inkrafttreten.

14.3 Widerspricht die Kundin nicht vor Inkrafttreten in Textform, gelten die geänderten AGB als angenommen. Auf diese Folge wird in der Ankündigung ausdrücklich hingewiesen.

14.4 Widerspricht die Kundin, kann jede Partei den Vertrag auf den Zeitpunkt des Inkrafttretens der Änderung kündigen. Bis dahin gelten die bisherigen AGB weiter.

14.5 Änderungen, die ausschliesslich zugunsten der Kundin wirken oder redaktioneller Natur sind, können ohne Ankündigungsfrist in Kraft gesetzt werden.

15. Schlussbestimmungen

15.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Textform per E-Mail genügt, soweit in diesen AGB ausdrücklich vorgesehen. Dies gilt auch für die Aufhebung dieser Formvorschrift.

15.2 Sollte eine Bestimmung dieser AGB ganz oder teilweise unwirksam oder undurchsetzbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die betroffene Bestimmung durch eine wirksame Regelung, die dem wirtschaftlichen Zweck der ursprünglichen Bestimmung am nächsten kommt. Dasselbe gilt bei Vertragslücken.

15.3 Die Kundin kann Rechte und Pflichten aus diesem Vertrag nur mit vorgängiger schriftlicher Zustimmung der Anbieterin auf Dritte übertragen. Die Anbieterin ist berechtigt, den Vertrag im Rahmen einer Unternehmensübertragung oder Umstrukturierung auf eine Rechtsnachfolgerin zu übertragen; die Kundin wird darüber informiert.

15.4 Die Anbieterin kann zur Leistungserbringung Dritte beiziehen. Sie bleibt für die vertragsgemässe Erbringung verantwortlich.

15.5 Dieser Vertrag untersteht ausschliesslich schweizerischem Recht unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (UN-Kaufrecht, CISG) sowie unter Ausschluss der Kollisionsnormen.

15.6 Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz der Anbieterin in Baar, Kanton Zug. Zwingende gesetzliche Gerichtsstände bleiben vorbehalten.

15.7 Kontakt für rechtliche Anfragen: info@sondar-security.com.