Software-Lizenzvertrag (Self-Hosting) – evidona

Entwurf – juristische Prüfung ausstehend. Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung.

Lizenzgeberin der Software evidona ist die SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Schweiz (UID CHE-160.031.708), vertreten durch Daniel Baumann (nachfolgend «SimplyConnect», «wir» oder «uns»). Allgemeiner Kontakt: office@simplyconnect.ch; Datenschutz: datenschutz@simplyconnect.ch.

1. Parteien, Gegenstand und Geltungsbereich

Dieser Software-Lizenzvertrag (nachfolgend «Lizenzvertrag») regelt die Einräumung und Ausübung von Nutzungsrechten an der Software evidona im Self-Hosting-Betrieb, d. h. beim Betrieb der Software im sogenannten ENTERPRISE_MODE auf eigener Infrastruktur des Kunden. SimplyConnect tritt im Rahmen dieses Lizenzvertrags ausschliesslich als Lizenzgeberin der Software auf und erbringt keinen Betriebs- oder Cloud-Dienst.

Dieser Lizenzvertrag gilt ausschliesslich für den Self-Hosting-Betrieb. Er erfasst ausdrücklich nicht das über *.evidona.ch bereitgestellte Cloud-Angebot; jenes richtet sich nach den AGB (evidona Cloud) sowie dem Auftragsverarbeitungsvertrag (AVV) und ist nicht Gegenstand dieses Lizenzvertrags. Im Self-Hosting-Betrieb wird kein AVV abgeschlossen (siehe Ziff. 9). Mit dem Bezug, der Installation oder der Nutzung der Software akzeptiert der Kunde diesen Lizenzvertrag. Entgegenstehende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil.

2. Begriffe

Kunde / Organisation: die juristische oder natürliche Person, die die Software im Self-Hosting auf eigener Infrastruktur betreibt. Der Kunde ist hinsichtlich der von ihm verarbeiteten Dokumente und Personendaten alleiniger Verantwortlicher und alleiniger Betreiber (siehe Ziff. 9).
Berechtigter Nutzer: eine der Organisation des Kunden zugeordnete, namentlich registrierte Person.
Unterzeichner bzw. Gast-Unterzeichner: eine zur Signatur eingeladene Person; ein Gast-Unterzeichner verfügt über kein Konto und greift über einen sicheren Link zu.
Dokument: eine vom Kunden zur Signatur bereitgestellte Datei (i.d.R. PDF).
Beweis-Paket (Evidence Bundle): der je Signaturlauf erzeugte, versiegelte Nachweis mit qualifiziertem Zeitstempel, SHA-256-Integritäts-Hash, Unterzeichner-Metadaten und Signaturprotokoll.
Signaturstufe: die je Signatur erreichte Stufe einer einfachen (SES) oder fortgeschrittenen (AES) elektronischen Signatur (siehe Ziff. 7).
Software: die in maschinenlesbarer Form ausgelieferte Anwendung evidona (insbesondere als Container-Image), einschliesslich mitgelieferter Skripte, Konfigurationsvorlagen und Dokumentation, jedoch ohne Open-Source- bzw. Drittkomponenten, soweit diese eigenen Lizenzbedingungen unterliegen (siehe Ziff. 19).

3. Lizenzeinräumung

SimplyConnect räumt dem Kunden für die Vertragsdauer ein nicht ausschliessliches, nicht übertragbares, nicht unterlizenzierbares, widerrufliches und zeitlich befristetes Recht ein, die Software im Self-Hosting auf eigener Infrastruktur des Kunden zu installieren und für die eigenen internen Geschäftszwecke des Kunden zu nutzen. Die Lizenz ist an die Einhaltung dieses Lizenzvertrags, insbesondere an die fortlaufende Einspielung von Updates und Sicherheitspatches (Ziff. 5) sowie an die Entrichtung der vereinbarten Vergütung (Ziff. 12), gebunden.

Ein Eigentumsübergang an der Software findet nicht statt; eingeräumt wird ausschliesslich das vorstehend beschriebene Nutzungsrecht. Alle nicht ausdrücklich eingeräumten Rechte verbleiben bei SimplyConnect (siehe Ziff. 11).

Juristische Prüfung: Umfang der Lizenz (Anzahl Instanzen, berechtigte Nutzer, Mandanten) sowie die Voraussetzungen für einen Widerruf bzw. eine ordentliche Beendigung verbindlich festlegen und mit Ziff. 12 abstimmen.

4. Zulässige Nutzung und Beschränkungen

Der Kunde nutzt die Software nur im Rahmen der eingeräumten Lizenz. Untersagt sind insbesondere:

die Dekompilierung, das Disassemblieren oder das sonstige Reverse Engineering der Software sowie jede Rückführung in den Quellcode, mit Ausnahme der Massnahmen, die nach zwingendem Recht zur Herstellung der Interoperabilität mit anderen Programmen zulässig sind (Art. 21 URG bzw. Art. 6 der Richtlinie 2009/24/EG; in diesem Umfang gilt die Beschränkung nicht);
der Weiterverkauf, die Vermietung, das Leasing, die Verleihung, das Hosting für Dritte oder die sonstige entgeltliche oder unentgeltliche Überlassung der Software an Dritte;
die Unterlizenzierung oder Übertragung der Lizenz ohne vorherige schriftliche Zustimmung von SimplyConnect;
die Umgehung, Deaktivierung oder Manipulation von Lizenz-, Aktivierungs- oder Funktionskontrollen sowie von Integritäts- oder Sicherheitsmechanismen der Software;
die Entfernung oder Veränderung von Urheber-, Marken- oder sonstigen Schutzrechtshinweisen.

Der Kunde nutzt die Software nicht für rechtswidrige, betrügerische oder rechtsverletzende Zwecke. Es gilt ergänzend die Nutzungsrichtlinie.

Juristische Prüfung: Reichweite und Formulierung der zwingenden Interoperabilitäts-Ausnahme (Art. 21 URG / Art. 6 RL 2009/24/EG) sowie die Zulässigkeit eines vertraglichen Reverse-Engineering-Verbots im Self-Hosting prüfen.

5. Lieferung und Updates

Die Auslieferung der Software erfolgt in maschinenlesbarer Form über die Container-Registry docker.simplyconnect.ch; eine Übergabe des Quellcodes ist nicht geschuldet. Der Kunde erhält die zum Bezug erforderlichen Zugangsdaten.

Der Kunde ist verpflichtet, von SimplyConnect bereitgestellte Updates und Sicherheitspatches unverzüglich, längstens jedoch innerhalb der folgenden Fristen, einzuspielen:

ordentliche Updates: innerhalb von 30 Tagen ab Bereitstellung;
sicherheitskritische Updates (Sicherheitspatches): innerhalb von 7 Tagen ab Bereitstellung.

Diese Aktualisierungspflicht ist eine wesentliche Vertragspflicht des Kunden. SimplyConnect ist berechtigt, Support, Gewährleistung sowie jegliche Aussagen zur Eignung, Sicherheit oder Gültigkeit für veraltete Versionen (Versionen, für die die vorstehenden Einspielfristen abgelaufen sind) auszuschliessen bzw. einzustellen.

Juristische Prüfung: Einspielfristen (30 Tage ordentlich / 7 Tage sicherheitskritisch) und die Rechtsfolgen ihrer Nichteinhaltung (Support-/Gewährleistungsausschluss, Widerruf der Lizenz) verbindlich festlegen.

6. Alleinige Betriebsverantwortung des Kunden

Im Self-Hosting-Betrieb liegt der gesamte Betrieb der Software allein beim Kunden. Der Kunde ist insbesondere allein verantwortlich für:

das Hosting und die Bereitstellung der erforderlichen Infrastruktur;
die korrekte und vertrauenswürdige Systemuhr bzw. Zeitquelle (massgeblich für Zeitstempel und Beweis-Paket);
Backup, Restore und die gesamte Datenhaltung;
die Aufbewahrung, Archivierung und fristgerechte Löschung von Dokumenten und Daten;
Sicherheit, Härtung und Patching (siehe Ziff. 5) der Software und der umgebenden Systeme;
Monitoring, Betrieb und Verfügbarkeit (siehe Ziff. 10).

Mitgelieferte Skripte, Konfigurationsvorlagen und Hilfsmittel werden «wie besehen» («as is») und ohne Gewähr bereitgestellt; der Kunde prüft deren Eignung für seine Umgebung in eigener Verantwortung. SimplyConnect betreibt die Instanz des Kunden nicht und greift im Self-Hosting-Betrieb zu keinem Zeitpunkt auf die Dokumente, Personendaten oder sonstigen Daten des Kunden zu.

7. Signaturen, Beweis-Paket und Beweiswert

Die Software ermöglicht es, Signatur-Abläufe zu definieren und elektronische Signaturen einzuholen; die Identität des Unterzeichners wird im Signaturvorgang mittels eines per E-Mail oder SMS zugestellten Einmalcodes (OTP) bestätigt, und je Signaturlauf wird ein Beweis-Paket erzeugt. Im Self-Hosting-Betrieb werden Zeitquelle, Signaturprotokoll und Integritätsversiegelung durch die Infrastruktur des Kunden bestimmt.

SimplyConnect sichert nicht zu und gewährleistet nicht, dass auf der Infrastruktur des Kunden erzeugte Signaturen rechtsgültig sind, eine bestimmte Signaturstufe (insbesondere eine fortgeschrittene elektronische Signatur, AES) erreichen oder vor Gericht bzw. gegenüber Dritten verwertbar sind. Der Kunde ist hierfür allein verantwortlich, insbesondere für die korrekte Zeitquelle, die Integrität der Umgebung und die Wahl einer für seinen Anwendungsfall und etwaige Formerfordernisse angemessenen Signaturstufe. evidona bietet keine qualifizierte elektronische Signatur (QES) an und sichert eine solche nicht zu.

Soweit eine Signaturstufe technisch ermittelt wird, gilt dieselbe Logik wie im Cloud-Betrieb (AES bei registriertem, authentifiziertem Nutzer mit Konto und OTP-Bestätigung; SES bei reiner E-Mail-/Telefon-Bestätigung von Gast-Unterzeichnern). Die im Self-Hosting tatsächlich erreichbare und nachweisbare Stufe ist derzeit SES; AES wird nicht zugesichert, da die hierfür massgeblichen Rahmenbedingungen ausserhalb der Kontrolle von SimplyConnect liegen.

Juristische Prüfung: Belastbarkeit der Signaturstufe und des Beweiswerts im Self-Hosting nach ZertES/eIDAS; Bezug auf Art. 59a OR nur als Prüfhinweis, nicht als Zusicherung aufnehmen.

8. Höhere Signaturstufe / Dokumentenprüfung

Eine künftige höhere Stufe (geplante «rechtliche Dokumentenprüfung» bzw. Identitätsprüfung) ist – soweit sie überhaupt bereitgestellt wird – cloud-only bzw. erfordert eine Verbindung zu den von SimplyConnect betriebenen Diensten von evidona. Im reinen Self-Hosting-Betrieb steht diese Funktion möglicherweise nicht zur Verfügung. SimplyConnect sichert ihre Verfügbarkeit im Self-Hosting nicht zu.

Juristische Prüfung: künftigen IDV/KYC-Auftragsbearbeiter für die Dokumentenprüfung als Platzhalter behandeln (noch nicht ausgewählt); Auslösen eines Connected-Service-AVV bei phone-home-Funktionen bewerten (siehe Ziff. 9).

9. Kein AVV; Kunde als alleiniger Verantwortlicher und Betreiber

Solange der Kunde die Software rein im Self-Hosting betreibt und dabei keine Personendaten an SimplyConnect übermittelt werden, ist der Kunde alleiniger Verantwortlicher im datenschutzrechtlichen Sinne und alleiniger Betreiber; ein Auftragsverarbeitungsvertrag (AVV) wird in diesem Fall nicht abgeschlossen und ist nicht erforderlich, da SimplyConnect keine Personendaten des Kunden im Auftrag verarbeitet. Es gelten das schweizerische Datenschutzgesetz (revDSG) sowie, soweit anwendbar, die DSGVO; die Einhaltung obliegt allein dem Kunden.

Sobald jedoch eine Funktion aktiviert wird, bei der Personendaten an SimplyConnect oder an einen von SimplyConnect beigezogenen Dienst übermittelt werden – insbesondere die in Ziff. 8 beschriebene, eine Verbindung zu evidona voraussetzende Dokumentenprüfung («phone-home») –, entsteht insoweit eine Auftragsbearbeitung. In diesem Fall ist vor der Aktivierung ein gesonderter Auftragsverarbeitungsvertrag für den betreffenden verbundenen Dienst (Connected-Service-AVV) abzuschliessen.

Juristische Prüfung: Trennlinie zwischen reinem Self-Hosting (kein AVV) und verbundenen Diensten (Connected-Service-AVV) genau festlegen; Auslöser, Umfang und Auftragsbearbeiter der Übermittlung dokumentieren.

10. Kein SLA / keine Verfügbarkeitsgarantie; Support

SimplyConnect schuldet im Self-Hosting-Betrieb kein Service Level (SLA) und keine Verfügbarkeitsgarantie. Betrieb, Verfügbarkeit und Performance der Instanz liegen allein beim Kunden (Ziff. 6). Support wird, soweit überhaupt, nur optional und kostenpflichtig nach gesonderter Vereinbarung erbracht; ein Anspruch auf Support besteht ohne solche Vereinbarung nicht. Für veraltete Versionen kann Support ausgeschlossen werden (Ziff. 5).

11. Geistiges Eigentum

Alle Rechte an der Software, der Plattform, dem Quellcode, der Dokumentation und der Marke evidona verbleiben bei SimplyConnect bzw. ihren Lizenzgebern. Der Kunde erhält ausschliesslich das in Ziff. 3 beschriebene Nutzungsrecht; ein darüber hinausgehender Rechtsübergang findet nicht statt. Die vom Kunden verarbeiteten Dokumente und deren Inhalte verbleiben im Eigentum des Kunden.

12. Vergütung und Laufzeit

Es gelten die in der Bestellung bzw. im gewählten Lizenzmodell ausgewiesenen Lizenzentgelte (netto, zuzüglich allfälliger Mehrwertsteuer). Die Zahlungsabwicklung erfolgt nach Massgabe der Bestellung. Der Lizenzvertrag beginnt mit der Bereitstellung der Bezugsmöglichkeit bzw. der Bestellung und läuft für die vereinbarte Lizenzdauer; er verlängert sich, sofern vereinbart, um die jeweilige Laufzeit, sofern er nicht vorher gekündigt wird.

Beide Parteien können aus wichtigem Grund kündigen, insbesondere bei wesentlicher Vertragsverletzung (namentlich Verstoss gegen die Nutzungsbeschränkungen nach Ziff. 4 oder gegen die Aktualisierungspflicht nach Ziff. 5), bei Zahlungsverzug oder bei Insolvenz. Mit Beendigung des Lizenzvertrags erlischt das Nutzungsrecht; der Kunde hat die Software ausser Betrieb zu nehmen und sämtliche Kopien zu löschen. Bereits bezahlte Entgelte werden bei ordentlicher Beendigung nicht zurückerstattet; eine Verrechnung mit Gegenforderungen ist ausgeschlossen.

Juristische Prüfung: finales Lizenzmodell, Preise, Laufzeit, Verlängerung und Zahlungsdienstleister (Mollie/Payrexx) sowie die MWST-Behandlung vor Veröffentlichung festlegen.

13. Gewährleistungsausschluss

Die Software wird «wie besehen» und «wie verfügbar» («as is» / «as available») bereitgestellt. Soweit gesetzlich zulässig, schliesst SimplyConnect jegliche ausdrückliche oder stillschweigende Gewährleistung aus, insbesondere für Mängelfreiheit, marktübliche Qualität, Eignung für einen bestimmten Zweck, ununterbrochene oder fehlerfreie Funktion sowie für die Gültigkeit oder den Beweiswert der mit der Software erzeugten Signaturen (Ziff. 7). Der Kunde trägt das Risiko der Eignung und des Betriebs der Software in seiner Umgebung.

14. Haftung

SimplyConnect haftet ausschliesslich für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen. Eine Haftung für leichte Fahrlässigkeit ist ausgeschlossen. Ausgeschlossen ist insbesondere die Haftung für indirekte Schäden und Folgeschäden, Datenverlust, entgangenen Gewinn, Ansprüche Dritter sowie Schäden aus verspäteter Leistung. Die Haftungsbeschränkung gilt auch für Personen und Dritte, derer sich SimplyConnect zur Leistungserbringung bedient. Soweit gehaftet wird, ist die Haftung der Höhe nach auf die in den vorangegangenen zwölf (12) Monaten bezahlten Lizenzentgelte begrenzt. Die Haftung für Personenschäden sowie eine weitergehende zwingende gesetzliche Haftung bleiben unberührt. SimplyConnect haftet insbesondere nicht für den Betrieb der Software durch den Kunden (Ziff. 6), für die Gültigkeit oder den Beweiswert der auf Kundeninfrastruktur erzeugten Signaturen (Ziff. 7) sowie für Datenverlust infolge fehlender oder fehlerhafter Backups des Kunden.

Juristische Prüfung: Haftungsobergrenze (12 Monatsentgelte vs. bisheriger «dreifacher Jahresbetrag») konsistent über alle Dokumente festlegen.

15. Freistellung durch den Kunden

Der Kunde stellt SimplyConnect von sämtlichen Ansprüchen Dritter sowie von Bussen, Schäden, Kosten und Aufwendungen (einschliesslich angemessener Rechtsverteidigungskosten) frei, die aus dem Betrieb der Software durch den Kunden oder aus einer Verletzung dieses Lizenzvertrags durch den Kunden entstehen, insbesondere im Zusammenhang mit:

dem Hosting, dem Betrieb, dem Monitoring und der Verfügbarkeit der Instanz;
der Sicherheit, der Härtung und dem fristgerechten Patching (Ziff. 5);
Backup, Restore, Datenhaltung sowie Aufbewahrung und Löschung;
der Gültigkeit und dem Beweiswert der auf Kundeninfrastruktur erzeugten Signaturen (Ziff. 7);
Datenschutzverstössen, für die der Kunde als alleiniger Verantwortlicher einzustehen hat (Ziff. 9).

16. Vertraulichkeit

Die Parteien behandeln nicht öffentliche Informationen der jeweils anderen Partei vertraulich; die Pflicht besteht über das Vertragsende hinaus fort. Die Software, ihr Aufbau und die zugehörigen Zugangsdaten gelten als vertrauliche Informationen von SimplyConnect. Zulässig ist die Offenlegung gegenüber beigezogenen Dritten unter gleichwertiger Vertraulichkeitsbindung sowie soweit gesetzlich erforderlich.

17. Abtretung, keine Gesellschaft, Salvatorische Klausel, Änderungen

Der Kunde darf diesen Lizenzvertrag sowie die eingeräumte Lizenz ohne vorherige schriftliche Zustimmung von SimplyConnect weder abtreten noch übertragen; SimplyConnect darf Dritte beiziehen. Die Parteien begründen keine einfache Gesellschaft (Art. 530 OR). Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt; die unwirksame Bestimmung ist durch eine wirtschaftlich möglichst gleichwertige, wirksame zu ersetzen. SimplyConnect kann diesen Lizenzvertrag mit angemessener Vorankündigung ändern; wesentliche Änderungen werden mitgeteilt. Höhere Gewalt befreit für ihre Dauer von der Leistungspflicht.

18. Anwendbares Recht und Gerichtsstand

Es gilt ausschliesslich schweizerisches Recht unter Ausschluss des Kollisionsrechts und des Wiener Kaufrechts (CISG). Ausschliesslicher Gerichtsstand ist der Sitz von SimplyConnect (Lengnau AG; zuständiges Bezirksgericht Baden/Zurzach AG), soweit nicht zwingendes Recht etwas anderes vorsieht.

Juristische Prüfung: genaue Bezeichnung des zuständigen Gerichts prüfen.

19. Open-Source-/Drittlizenz-Hinweise; Impressum und Stand

Die Software kann Open-Source- und Drittkomponenten enthalten, die eigenen Lizenzbedingungen unterliegen; diese gehen für die betreffenden Komponenten diesem Lizenzvertrag vor. Eine Übersicht der verwendeten Komponenten und ihrer Lizenzen wird mit der Software bzw. auf Anfrage bereitgestellt.

Lizenzgeberin: SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Schweiz (UID CHE-160.031.708), vertreten durch Daniel Baumann. Kontakt: office@simplyconnect.ch; Datenschutz: datenschutz@simplyconnect.ch.

Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung. Französische und italienische Fassungen folgen. Stand: siehe Versionsangabe am Seitenende.

Juristische Prüfung: vollständige Open-Source-/Drittlizenz-Liste (SBOM) und deren Bereitstellungsweg vor Veröffentlichung festlegen.

← Zur Startseite