Allgemeine Geschäftsbedingungen für Unternehmen

0. Annahme der Vereinbarung

Indem du (i) auf „Registrieren“, „Ich stimme zu“ oder einen ähnlichen Button in der Business Console oder auf der Didit-Website klickst, (ii) ein Bestellformular unterzeichnest, das auf diese Bedingungen verweist, oder (iii) die Services anderweitig nutzt oder darauf zugreifst, akzeptierst du (der „Kunde“) diese Vereinbarung im Namen der von dir vertretenen juristischen Person oder Organisation und erklärst dich damit einverstanden, an sie gebunden zu sein.

Mit der Annahme dieser Vereinbarung sichert der Kunde zu und gewährleistet, dass er die volle rechtliche Befugnis besitzt, die betreffende juristische Person oder Organisation an diese Bedingungen und alle zugehörigen Anhänge oder Bestellformulare zu binden. Wenn du diese Befugnis nicht hast oder diesen Bedingungen nicht zustimmst, darfst du die Services nicht nutzen oder darauf zugreifen.

DIE FORTGESETZTE NUTZUNG DER DIDIT-PLATTFORM STELLT EINE UNEINGESCHRÄNKTE UND VERBINDLICHE ANNAHME DIESER VEREINBARUNG IN IHRER GESAMTHEIT DAR.

1. Vertragsparteien

Die folgenden Parteien sind an dieser Vereinbarung beteiligt:

• Dienstleister („Didit“, „wir“, „uns“, „unser“): die Didit-Einheit, die mit dem Kunden einen Vertrag abschließt. Die anwendbare Vertragseinheit wird durch Abschnitt 16.6 (Anwendbares Recht und Gerichtsstand) bestimmt:
  • Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, Spanien. Verträge mit Kunden mit Sitz in der Europäischen Union, dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich, der Schweiz und Lateinamerika.
  • Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Vereinigte Staaten. Verträge mit Kunden mit Sitz in den Vereinigten Staaten, Kanada, Asien-Pazifik, dem Nahen Osten und allen anderen Gerichtsbarkeiten, die nicht Didit Identity Spain, S.L. zugeordnet sind.
• Kunde („du“, „dein“):

Die juristische Person oder natürliche Person, die ein Konto auf der Didit-Plattform registriert oder die Services nutzt. Der Kunde ist Didits Vertragspartner.

• Mitteilungen:

Alle formellen Mitteilungen und Kommunikationen im Zusammenhang mit dieser Vereinbarung sind an legal@didit.me oder an die physische Adresse der oben genannten anwendbaren Vertragseinheit zu richten.

2. Struktur und Rangfolge

Diese Vereinbarung besteht aus den folgenden Dokumenten, die gemeinsam auszulegen sind. Im Falle eines Konflikts zwischen den Bestimmungen dieser Dokumente haben sie in der folgenden absteigenden Reihenfolge Vorrang:

1. Bestellformulare (kundenspezifische kommerzielle Dokumente, die den Erwerb von Services, Volumina und Preise detaillieren).
2. Anhang 2, Datenverarbeitungsvereinbarung (DPA) (regelt die Verarbeitung personenbezogener Daten).
3. Diese Allgemeinen Geschäftsbedingungen für Services.
4. Anhang 1, Service Level Agreement (SLA) (legt die Verfügbarkeitszusagen für die Services fest).

3. Inhaltsverzeichnis

1. Annahme der Vereinbarung
2. Vertragsparteien
3. Struktur und Rangfolge
4. Inhaltsverzeichnis
5. Definitionen und Auslegungen
6. Laufzeit der Vereinbarung
7. Zugang und Nutzung der Services
8. Rechte an geistigem Eigentum
9. Gebühren und Zahlungsbedingungen
10. Vertraulichkeit
11. Datenschutz und Sicherheit
12. Haftungsausschluss für Gewährleistungen
13. Haftungsbeschränkung
14. Freistellung
15. Zusicherungen und Gewährleistungen
16. Aussetzung und Kündigung
17. Allgemeine Bestimmungen

Anhang 1, Service Level Agreement (SLA) Anhang 2, Datenverarbeitungsvereinbarung (DPA)

4. Definitionen und Auslegungen

Für die Zwecke dieser Vereinbarung haben die folgenden Begriffe die ihnen unten zugeschriebene Bedeutung:

• Vereinbarung: Bezieht sich auf diese Allgemeinen Geschäftsbedingungen für Services, zusammen mit jedem Bestellformular, Anhang 1 (SLA) und Anhang 2 (DPA) sowie allen anderen darin genannten Richtlinien oder Anhängen.
• API: Bezeichnet die von Didit bereitgestellten Anwendungsprogrammierschnittstellen zur Integration mit den Services.
• Business Console: Bezieht sich auf Didits Web-Administrationsportal, zugänglich über https://business.didit.me oder jede andere von Didit festgelegte URL, das dem Kunden die Verwaltung seines Kontos und der Services ermöglicht.
• Credits: Sind die in USD denominierten Prepaid-Einheiten, die der Kunde zur Bezahlung der Nutzung der Services gemäß den von Didit festgelegten Preisen und Bedingungen erwirbt.
• Zugangsdaten: Umfassen, sind aber nicht beschränkt auf, Passwörter, API-Schlüssel, Authentifizierungs-Tokens oder andere Sicherheitsinformationen, die von Didit dem Kunden zum Zugriff auf die Services bereitgestellt werden.
• Kundendaten: Alle Daten, einschließlich vertraulicher Informationen und personenbezogener Daten von Endnutzern, die der Kunde oder autorisierte Nutzer über die Services übermitteln, hochladen oder verarbeiten.
• Personenbezogene Daten: Haben die Bedeutung, die ihnen in der EU-Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) und/oder anderen anwendbaren Datenschutzgesetzen zugeschrieben wird.
• Dokumentation: Bezieht sich auf alle Benutzerhandbücher, technischen Spezifikationen, Implementierungsleitfäden, API-Leitfäden, Richtlinien oder Supportmaterialien im Zusammenhang mit den Services, die Didit dem Kunden zur Verfügung stellt.
• Datum des Inkrafttretens: Das Datum, an dem der Kunde diese Vereinbarung erstmals gemäß Abschnitt 0 akzeptiert.
• Bestellformular: Jedes physische Dokument oder Online-Formular, das den Kauf von Credits oder spezifischen Services durch den Kunden formalisiert, das auf diese Bedingungen verweist und Teil dieser Vereinbarung ist.
• Höhere Gewalt: Jedes Ereignis oder jeder Umstand, der außerhalb der zumutbaren Kontrolle einer Partei liegt und die Erfüllung ihrer Verpflichtungen aus dieser Vereinbarung verhindert oder verzögert, wie z. B. höhere Gewalt, Krieg, Terrorismus, Aufstand, Pandemie, Naturkatastrophe, globale Internetausfälle, Energieknappheit, Streiks, Sabotage oder Regierungsentscheidungen.
• Vertrauliche Informationen: Alle nicht-öffentlichen Informationen, die von einer Partei der anderen Partei offengelegt werden, sei es mündlich, schriftlich oder auf elektronischem Wege, die als vertraulich gekennzeichnet sind oder die aufgrund der Art der Informationen oder der Umstände der Offenlegung vernünftigerweise als vertraulich zu verstehen sind. Dies umfasst, ist aber nicht beschränkt auf, technische, finanzielle, geschäftliche, kundenbezogene, preisbezogene Informationen, Marketingpläne, Software, Quellcode und Kundendaten.
• Geistiges Eigentum: Umfasst Patente, Urheberrechte, Datenbankrechte, Designrechte, Marken, Handelsnamen, Know-how, Geschäftsgeheimnisse und alle anderen geistigen Eigentumsrechte, ob registriert oder nicht registriert, und deren Anmeldungen, in jedem Teil der Welt.
• SDK: Bezeichnet die von Didit bereitgestellten Software Development Kits zur Erleichterung der Integration und Nutzung der Services.
• Services: Bezieht sich auf die Didit-Plattform für Identitäts- und Betrugsinfrastruktur, einschließlich der Business Console, APIs, SDKs, Dokumentation und jeder Produktlinie, die Didit dem Kunden zur Verfügung stellt, einschließlich Benutzerverifizierung (KYC), Geschäftsverifizierung (KYB), Transaktionsüberwachung, Wallet-Screening (KYT), des Workflow Orchestrators, des Model Context Protocol (MCP) Servers und aller anderen Services, die Didit im Rahmen dieser Vereinbarung freigeben kann.
• Autorisierter Nutzer: Jede Person, wie z. B. ein Mitarbeiter oder Auftragnehmer des Kunden, die der Kunde zum Zugriff und zur Nutzung der Services im Namen des Kunden autorisiert hat, vorbehaltlich der Bestimmungen dieser Vereinbarung.
• Endnutzer: Die natürliche Person, deren Identität der Kunde mithilfe der Didit-Services verifizieren möchte.
• Verifizierung: Der von Didit durchgeführte Prozess zur Verifizierung der Identität eines Endnutzers, der in einem Genehmigt- oder Abgelehnt-Ergebnis oder einem anderen von Didit oder in einem Bestellformular definierten Status gipfelt.
• Verifizierungsfunktion: Eine einzelne Komponente des Verifizierungsablaufs, wie z. B. ID-Dokumentenverifizierung, Liveness Detection, Face Match, Face Search, AML Screening, Adressnachweis, NFC-Lesen, Datenbankvalidierung, benutzerdefinierte Fragebögen, Telefonverifizierung, E-Mail-Verifizierung, Geräte- und IP-Analyse, Handelsregisterabfragen, UBO-Extraktion, Offiziersdaten, Entitäts-AML, verknüpftes KYC, Transaktionsüberwachungsregelbewertung, Wallet-Screening-Abfragen oder jeder andere von Didit über die Produktlinien hinweg angebotene diskrete Schritt.

Auslegung:

• Abschnittsüberschriften dienen nur der Übersichtlichkeit und beeinflussen die Auslegung dieser Vereinbarung nicht.
• Wörter im Singular umfassen den Plural und umgekehrt.
• Das Wort „einschließlich“ oder „umfasst“ bedeutet „einschließlich, aber nicht beschränkt auf“.
• Jeder Verweis auf ein Gesetz oder eine Vorschrift bezieht sich auf dieses Gesetz oder diese Vorschrift in ihrer jeweils gültigen Fassung, einschließlich ihrer Änderungen oder Ersetzungen.

5. Laufzeit der Vereinbarung

5.1 Laufzeit der Vereinbarung: Diese Vereinbarung beginnt am Datum des Inkrafttretens und bleibt in vollem Umfang in Kraft, bis sie von einer der Parteien gemäß Abschnitt 16 gekündigt wird.

5.2 Keine Mindestverpflichtung (sofern nicht im Bestellformular angegeben): Sofern in einem vom Kunden unterzeichneten Bestellformular (z. B. für Enterprise-Pläne mit Volumenverpflichtungen) nichts anderes angegeben ist, kann der Kunde die Nutzung der Services jederzeit einstellen. Unbenutzte Credits sind jedoch unter keinen Umständen erstattungsfähig, wie in Abschnitt 9.4 festgelegt. Bestellformulare, die eine Mindestverbrauchszusage vorsehen, haben Vorrang vor dieser Klausel.

6. Zugang und Nutzung der Services

6.1 Kontoerstellung und Sicherheit: Um auf die Services zugreifen und diese nutzen zu können, muss der Kunde ein Konto in der Business Console erstellen. Der Kunde ist allein verantwortlich für die Wahrung der Vertraulichkeit und Sicherheit seiner Zugangsdaten (einschließlich Passwörter und API-Schlüssel) und für alle Aktivitäten, die unter seinem Konto stattfinden, ob autorisiert oder nicht. Der Kunde muss Didit unverzüglich über jede unbefugte Nutzung oder vermutete unbefugte Nutzung seiner Zugangsdaten oder seines Kontos informieren. Didit haftet nicht für Verluste oder Schäden, die aus der Nichteinhaltung dieser Verpflichtung durch den Kunden entstehen.

6.2 Lizenz: Vorbehaltlich der kontinuierlichen Einhaltung dieser Vereinbarung und der rechtzeitigen Zahlung aller anfallenden Gebühren durch den Kunden gewährt Didit dem Kunden eine nicht-exklusive, weltweite Lizenz für die Dauer der Vereinbarung, auf die Services und die Dokumentation für seine Geschäftszwecke zuzugreifen und diese zu nutzen, insbesondere um: (i) die Identität seiner Endnutzer zu verifizieren. (ii) bei der Prävention und Erkennung von Betrug zu unterstützen. (iii) anwendbare rechtliche und regulatorische Verpflichtungen (z. B. KYC/AML) einzuhalten.

6.3 Weiterverkaufs- und Unterlizenzierungsrechte: Der Kunde darf die Services an Dritte weiterverkaufen, unterlizenzieren oder anderweitig zur Verfügung stellen, vorausgesetzt, dass: (i) der Kunde sicherstellt, dass diese Dritten alle anwendbaren Bestimmungen dieser Vereinbarung einhalten. (ii) der Kunde Didit gegenüber für alle Handlungen oder Unterlassungen dieser Dritten voll verantwortlich und haftbar bleibt. (iii) der Kunde schriftliche Vereinbarungen mit diesen Dritten abschließt, die Bestimmungen enthalten, die Didit nicht weniger Schutz bieten als die in dieser Vereinbarung enthaltenen. (iv) der Kunde Didit auf Anfrage über wesentliche Unterlizenzierungsvereinbarungen informiert.

6.4 Nutzungsbeschränkungen: Der Kunde verpflichtet sich, und wird Dritten nicht gestatten, eine der folgenden Handlungen vorzunehmen:

• Die Services oder Teile davon zu kopieren, zu modifizieren, anzupassen, zu übersetzen, zurückzuentwickeln, zu dekompilieren, zu disassemblieren oder zu versuchen, den Quellcode oder die Algorithmen zu entdecken, es sei denn, eine solche Aktivität ist durch anwendbares und nicht abdingbares Recht ausdrücklich gestattet.
• Einen konkurrierenden Identitätsverifizierungsdienst unter Verwendung der Services oder daraus gewonnener Informationen aufzubauen oder zu versuchen, einen solchen aufzubauen.
• Die Services für ungesetzliche, diskriminierende, betrügerische, irreführende, verleumderische, obszöne, missbräuchliche, schädliche Zwecke oder in einer Weise zu nutzen, die die Rechte Dritter oder anwendbare Gesetze verletzt.
• Die Verifizierungsergebnisse oder über die Services erhaltene Kundendaten zum Training, zur Entwicklung oder Verbesserung von Machine Learning (ML)- oder Künstliche Intelligenz (KI)-Modellen oder anderen ähnlichen Algorithmen oder Technologien ohne vorherige schriftliche Zustimmung von Didit zu verwenden.
• Den ordnungsgemäßen Betrieb der Services zu stören oder zu versuchen, ihn zu stören, einschließlich, aber nicht beschränkt auf, das Einschleusen von Viren, Trojanern, Würmern, Logikbomben oder anderem bösartigen oder technologisch schädlichen Material.
• Zu versuchen, unbefugten Zugriff auf die Services, Computersysteme oder Netzwerke zu erlangen, die mit den Services verbunden sind.
• Hinweise auf geistige Eigentumsrechte oder Marken von Didit oder Dritten, die in den Services oder der Dokumentation enthalten sind, zu entfernen, zu ändern oder zu verdecken.
• Die Services in einer Weise zu nutzen, die die gekauften Nutzungslimits oder Credit-Volumina überschreitet oder die eine unangemessene oder unverhältnismäßig große Last auf Didits Infrastruktur legt.
• Die Beschränkungen eines kostenlosen oder Testplans durch die Erstellung mehrerer Organisationen oder Konten in der Business Console (https://business.didit.me) zu missbrauchen oder zu umgehen, sei es direkt oder indirekt, unter Verwendung derselben oder unterschiedlicher Identitäten, um zusätzliche Vorteile des kostenlosen Tarifs über das hinaus zu erhalten, was für einen einzelnen Kunden vorgesehen ist. Wenn Didit vernünftige Anhaltspunkte dafür hat, dass eine Person oder Entität mehrere Organisationen erstellt oder betreibt, um den kostenlosen Plan auszunutzen, kann Didit die betroffenen Organisationen und Konten aussetzen oder kündigen, gegebenenfalls mit vorheriger Benachrichtigung.

6.5 Verantwortlichkeiten des Kunden: Der Kunde ist allein verantwortlich für:

• Einhaltung gesetzlicher Vorschriften: Sicherstellung, dass seine Nutzung der Services, einschließlich der Erhebung, Verarbeitung und Nutzung von Kundendaten und personenbezogenen Daten von Endnutzern, vollständig mit allen anwendbaren Gesetzen, Vorschriften und Normen in seiner Gerichtsbarkeit übereinstimmt, einschließlich, aber nicht beschränkt auf, Datenschutzgesetze, Gesetze zur Bekämpfung der Geldwäsche (AML) und der Terrorismusfinanzierung (CFT).
• Endnutzer-Hinweise und Einwilligungen: Einholung und Aufbewahrung aller erforderlichen Hinweise, ausdrücklichen Einwilligungen und Genehmigungen von Endnutzern für die Erhebung, Verarbeitung und Übermittlung ihrer personenbezogenen Daten (einschließlich biometrischer Daten, falls zutreffend) an Didit und seine Unterauftragsverarbeiter, wie es die anwendbaren Datenschutzgesetze vorschreiben.
• Kundensicherheit: Implementierung und Aufrechterhaltung angemessener und geeigneter Sicherheitsmaßnahmen zum Schutz von Kundendaten, bevor diese an Didit übermittelt werden, und zur Sicherung seiner Zugangsdaten. Dies umfasst, aber ist nicht beschränkt auf, die Verwendung sicherer Verbindungen (HTTPS), die Implementierung signierter Webhooks und andere Best Practices der Informationssicherheit.
• Datenrichtigkeit: Sicherstellung der Richtigkeit, Integrität und Rechtmäßigkeit der über die Services an Didit übermittelten Kundendaten.

6.6 Datenverwaltung und -löschung: Verifizierungsergebnisse und zugehörige Kundendaten werden dem Kunden über Webhooks oder Didits API bereitgestellt. Der Kunde hat die Möglichkeit, jeden Verifizierungsdatensatz oder Kundendaten jederzeit über die API oder die Business Console dauerhaft zu löschen, vorbehaltlich Didits Aufbewahrungsrichtlinien und rechtlichen Verpflichtungen als Datenverarbeiter, wie in Anhang 2 (DPA) detailliert beschrieben.

7. Rechte an geistigem Eigentum

7.1 Didits Eigentum: Didit (und gegebenenfalls seine Lizenzgeber) behalten alle Rechte, Titel und Interessen an den Services (einschließlich Software, Code, APIs, SDKs, Modellen, Algorithmen, zugrunde liegender Technologie), der Dokumentation, Didits Marken sowie allen Verbesserungen, Modifikationen, Updates, Derivaten oder Entwicklungen davon. Nichts in dieser Vereinbarung ist als Übertragung des Eigentums an geistigem Eigentum von Didit an den Kunden auszulegen. Die dem Kunden gewährten Rechte sind ausschließlich Lizenzen, und es werden keine stillschweigenden Lizenzen im Rahmen dieser Vereinbarung gewährt.

7.2 Kundendaten: Der Kunde ist und bleibt der alleinige Inhaber aller Rechte, Titel und Interessen an den Kundendaten. Der Kunde gewährt Didit eine weltweite, nicht-exklusive, gebührenfreie, unterlizenzierbare und übertragbare Lizenz zur Verarbeitung von Kundendaten ausschließlich zum Zweck der Bereitstellung der Services für den Kunden und zur Verbesserung der Services, in Übereinstimmung mit Anhang 2 (Datenverarbeitungsvereinbarung) und Didits Datenschutzrichtlinie.

7.3 Feedback: Für den Fall, dass der Kunde oder einer seiner autorisierten Nutzer Didit Vorschläge, Ideen, Verbesserungsanfragen, Kommentare, Empfehlungen oder andere Informationen im Zusammenhang mit den Services („Feedback“) zur Verfügung stellt, gewährt der Kunde Didit hiermit eine weltweite, unbefristete, unwiderrufliche, gebührenfreie, vollständig bezahlte, übertragbare, unterlizenzierbare Lizenz zur Nutzung, Verwertung, Vervielfältigung, Änderung, Erstellung abgeleiteter Werke, Verbreitung, öffentlichen Darstellung, öffentlichen Aufführung und anderweitigen Kommerzialisierung dieses Feedbacks für jeden Zweck und auf jede Weise, ohne jegliche Verpflichtung oder Entschädigung an den Kunden.

8. Gebühren und Zahlungsbedingungen

8.1 Prepaid-Credits und Nicht-Verfall: Didits Services basieren auf einem Prepaid-Credits-Modell. Vom Kunden gekaufte Credits verfallen nicht und können genutzt werden, solange die Vereinbarung in Kraft ist.

8.2 Zahlung für abgeschlossene Verifizierungsfunktionen: Dem Kunden wird jede Verifizierungsfunktion in Rechnung gestellt, die vom Endnutzer während des Verifizierungsablaufs erfolgreich abgeschlossen wird, gemäß den anwendbaren Tarifen. Das bedeutet: (i) Wenn ein Endnutzer den Schritt der ID-Dokumentenverifizierung abschließt, wird dem Kunden diese Funktion in Rechnung gestellt. (ii) Wenn ein Endnutzer den Schritt der Liveness Detection abschließt, wird dem Kunden diese Funktion in Rechnung gestellt. (iii) Jede weitere abgeschlossene Verifizierungsfunktion (wie AML Screening, Adressnachweis, NFC-Verifizierung usw.) wird entsprechend berechnet. (iv) Es fallen keine Gebühren für Verifizierungsfunktionen an, die aufgrund eines Systemfehlers seitens Didit nicht abgeschlossen werden können.

Die spezifischen Preise für jede Verifizierungsfunktion sind auf Didits Preisgestaltungsseite oder im entsprechenden Bestellformular aufgeführt.

8.3 Preisgestaltung: Die anwendbaren Preise für die Services sind auf Didits Preisgestaltungsseite oder, für maßgeschneiderte oder Enterprise-Pläne, im entsprechenden Bestellformular veröffentlicht. Didit behält sich das Recht vor, seine Preise jederzeit zu ändern, was gemäß Abschnitt 17.2 im Voraus mitgeteilt wird.

8.4 Zahlungsprozess und Nicht-Erstattungsfähigkeit: Der Kauf von Credits erfolgt über die von Didit benannte Zahlungsplattform (derzeit Stripe oder im Bestellformular vereinbarte Zahlungsmethoden). Alle Zahlungen sind endgültig, und gekaufte Credits sind nicht erstattungsfähig, es sei denn, dies ist in dieser Vereinbarung oder einem Bestellformular ausdrücklich anders angegeben. Die angegebenen Preise enthalten keine Steuern (wie Mehrwertsteuer) oder Bank- oder Bearbeitungsgebühren, die vom Kunden zu tragen sind.

8.5 Fehlgeschlagene Zahlungen / Rückbuchungen und Kontosperrung: Im Falle von drei aufeinanderfolgenden fehlgeschlagenen automatischen Zahlungsversuchen (für die automatische Credit-Auffüllung, falls konfiguriert) oder im Falle der Nichtzahlung von Rechnungen, die für Enterprise-Pläne ausgestellt wurden, kann Didit nach eigenem Ermessen den Zugang des Kunden zu den Services sperren oder diese Vereinbarung gemäß Abschnitt 16 kündigen. Didit behält sich das Recht vor, Verzugszinsen auf überfällige Zahlungen zum maximal zulässigen Satz nach geltendem Recht zu berechnen, täglich ab dem Fälligkeitsdatum bis zum Datum der vollständigen Zahlung.

8.6 Enterprise-Pläne: Für Kunden, die einen Enterprise- oder maßgeschneiderten Plan durch ein unterzeichnetes Bestellformular abgeschlossen haben, haben die in diesem Bestellformular festgelegten spezifischen Preisbedingungen, Zahlungsbedingungen, Mindestverbrauchszusagen und Abrechnungen Vorrang vor oder ergänzen die Bestimmungen dieses Abschnitts 8.

9. Vertraulichkeit

Jede Partei („Empfangende Partei“) verpflichtet sich, die vertraulichen Informationen der anderen Partei („Offenlegende Partei“) mit mindestens dem gleichen Sorgfaltsmaß zu schützen, das sie zum Schutz ihrer eigenen Informationen ähnlicher Art anwendet, jedoch niemals weniger als angemessene Sorgfalt. Die Empfangende Partei wird die vertraulichen Informationen der Offenlegenden Partei nur zur Erfüllung ihrer Verpflichtungen aus dieser Vereinbarung oder wie nach geltendem Recht zulässig verwenden.

9.1 Ausnahmen von vertraulichen Informationen: Vertrauliche Informationen umfassen keine Informationen, die: (a) ohne Verschulden der Empfangenden Partei öffentlich bekannt sind oder werden; (b) sich rechtmäßig im Besitz der Empfangenden Partei befanden, bevor sie von der Offenlegenden Partei ohne Vertraulichkeitsverpflichtung offengelegt wurden; (c) der Empfangenden Partei von einem Dritten ohne Einschränkung oder Verletzung einer Vertraulichkeitsverpflichtung offengelegt werden; (d) von der Empfangenden Partei unabhängig entwickelt werden, ohne Bezugnahme auf die vertraulichen Informationen der Offenlegenden Partei; oder (e) Kundendaten sind, die von Didit in aggregierter oder pseudonymisierter Form zur Verbesserung ihrer Algorithmen verarbeitet werden, wie in Anhang 2 (DPA) festgelegt.

9.2 Erzwingbare Offenlegung: Die Empfangende Partei darf vertrauliche Informationen offenlegen, wenn dies gesetzlich, durch Gerichtsbeschluss oder eine zuständige Regierungsbehörde vorgeschrieben ist, vorausgesetzt, dass die Empfangende Partei, soweit rechtlich zulässig, der Offenlegenden Partei eine ausreichende vorherige Mitteilung macht, um der Offenlegenden Partei die Möglichkeit zu geben, einen Schutzbefehl oder einen Verzicht zu beantragen.

9.3 Personalverpflichtung: Jede Partei stellt sicher, dass ihre Mitarbeiter, Vertreter und Auftragnehmer, die Zugang zu den vertraulichen Informationen der anderen Partei haben, Vertraulichkeitsverpflichtungen unterliegen, die mindestens so restriktiv sind wie die in diesem Abschnitt 9 festgelegten.

9.4 Fortbestehen: Die in diesem Abschnitt 9 festgelegten Vertraulichkeitsverpflichtungen bleiben während der Laufzeit dieser Vereinbarung und für einen Zeitraum von fünf (5) Jahren ab dem Datum ihrer Beendigung in Kraft, außer in Bezug auf Geschäftsgeheimnisse, für die die Vertraulichkeitsverpflichtung unbegrenzt ist, solange diese Informationen ihren Status als Geschäftsgeheimnis behalten.

10. Datenschutz und Sicherheit

Die Verarbeitung personenbezogener Daten durch Didit im Auftrag des Kunden unterliegt dem Anhang 2, Datenverarbeitungsvereinbarung (DPA), der einen integralen Bestandteil dieser Vereinbarung bildet. Die DPA detailliert die Verpflichtungen jeder Partei bezüglich der Einhaltung von Datenschutzgesetzen, Sicherheitsmaßnahmen und der Verantwortlichkeiten des Datenverarbeiters und des Datenverantwortlichen.

11. Haftungsausschluss für Gewährleistungen

DIDITS SERVICES, EINSCHLIESSLICH DER PLATTFORM, APIS, SDKS UND DOKUMENTATION, WERDEN „WIE BESEHEN“ UND „WIE VERFÜGBAR“ OHNE JEGLICHE GEWÄHRLEISTUNGEN BEREITGESTELLT. SOWEIT NACH GELTENDEM RECHT ZULÄSSIG, LEHNT DIDIT AUSDRÜCKLICH ALLE GEWÄHRLEISTUNGEN, OB AUSDRÜCKLICH ODER STILLSCHWEIGEND, AB, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF, DIE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK, DER NICHTVERLETZUNG VON RECHTEN DRITTER, DER DATENRICHTIGKEIT, DER UNUNTERBROCHENEN ODER FEHLERFREIEN VERFÜGBARKEIT.

DIDIT GEWÄHRLEISTET NICHT, DASS DIE SERVICES UNUNTERBROCHEN, SICHER ODER FEHLERFREI FUNKTIONIEREN, DASS MÄNGEL BEHOBEN WERDEN ODER DASS DIE SERVICES ODER DIE SERVER, DIE SIE ZUR VERFÜGUNG STELLEN, FREI VON VIREN ODER ANDEREN SCHÄDLICHEN KOMPONENTEN SIND. DIDIT ÜBERNIMMT KEINE GEWÄHRLEISTUNGEN HINSICHTLICH DER ERGEBNISSE, DIE AUS DER NUTZUNG DER SERVICES ERZIELT WERDEN KÖNNEN, ODER DER RICHTIGKEIT, ZUVERLÄSSIGKEIT ODER VOLLSTÄNDIGKEIT VON INFORMATIONEN, DIE ÜBER DIE SERVICES ERHALTEN WERDEN. DER KUNDE ÜBERNIMMT ALLE RISIKEN IM ZUSAMMENHANG MIT DER NUTZUNG DER SERVICES.

INSBESONDERE ERKENNT DER KUNDE AN, DASS IDENTITÄTSVERIFIZIERUNGEN KOMPLEXE PROZESSE SIND, DIE AUF VERSCHIEDENEN DATENQUELLEN UND ALGORITHMEN BASIEREN. DIDIT GEWÄHRLEISTET NICHT DIE IDENTITÄT EINES ENDNUTZERS, DIE WAHRHEIT ODER AUTHENTIZITÄT EINES IDENTITÄTSDOKUMENTS ODER DIE ABWESENHEIT VON BETRUG. DIE VON DIDITS SERVICES BEREITGESTELLTEN ERGEBNISSE DIENEN NUR ZU INFORMATIONSZWECKEN UND UNTERSTÜTZEN DEN ENTSCHEIDUNGSPROZESS DES KUNDEN. DER KUNDE IST ALLEIN VERANTWORTLICH FÜR SEINE ENDGÜLTIGEN ENTSCHEIDUNGEN, DIE AUF DIDITS ERGEBNISSEN BASIEREN ODER NICHT BASIEREN, UND DIDIT ÜBERNIMMT KEINE HAFTUNG FÜR SOLCHE ENTSCHEIDUNGEN ODER DEREN FOLGEN.

12. Haftungsbeschränkung

SOWEIT NACH GELTENDEM RECHT ZULÄSSIG, HAFTEN DIDIT, SEINE VERBUNDENEN UNTERNEHMEN, DIREKTOREN, MITARBEITER, VERTRETER, LIEFERANTEN ODER LIZENZGEBER IN KEINEM FALL FÜR INDIREKTE, ZUFÄLLIGE, BESONDERE, FOLGE-, STRAF-, EXEMPLARISCHE ODER SCHÄDEN FÜR ENTGANGENEN GEWINN, UMSATZ, DATEN, NUTZUNG ODER FIRMENWERT, DIE DEM KUNDEN ODER DRITTEN ENTSTEHEN, SEI ES AUS VERTRAG, UNERLAUBTER HANDLUNG (EINSCHLIESSLICH FAHRLÄSSIGKEIT) ODER ANDERWEITIG, SELBST WENN DIDIT AUF DIE MÖGLICHKEIT SOLCHER SCHÄDEN HINGEWIESEN WURDE.

DIDITS GESAMTE UND KUMULATIVE HAFTUNG IM RAHMEN DIESER VEREINBARUNG FÜR JEGLICHE URSACHE UND UNTER JEGLICHER HAFTUNGSTHEORIE IST AUF DEN BETRAG DER CREDITS ODER SERVICEGEBÜHREN BESCHRÄNKT, DIE DER KUNDE TATSÄCHLICH AN DIDIT IN DEN ZWÖLF (12) MONATEN VOR DEM EREIGNIS, DAS ZUM ANSPRUCH FÜHRTE, GEZAHLT HAT.

DIE IN DIESEM ABSCHNITT FESTGELEGTEN BESCHRÄNKUNGEN GELTEN NICHT FÜR DIE HAFTUNG, DIE AUS GROBER FAHRLÄSSIGKEIT ODER VORSÄTZLICHEM FEHLVERHALTEN VON DIDIT, GEGENSEITIGEN FREISTELLUNGSVERPFLICHTUNGEN GEMÄSS ABSCHNITT 14 ODER IN FÄLLEN ENTSTEHT, IN DENEN ANWENDBARES RECHT DEN AUSSCHLUSS ODER DIE BESCHRÄNKUNG BESTIMMTER SCHÄDEN NICHT ZULÄSST.

13. Freistellung

13.1 Freistellung durch den Kunden: Der Kunde verteidigt, entschädigt und hält Didit, seine verbundenen Unternehmen, Direktoren, Mitarbeiter, Vertreter und Lieferanten („Didit-freigestellte Parteien“) schadlos von und gegen alle Ansprüche, Forderungen, Schäden, Verbindlichkeiten, Verluste, Kosten und Ausgaben (einschließlich angemessener Anwaltsgebühren), die sich aus oder im Zusammenhang mit: (i) der Verletzung einer seiner Verpflichtungen, Zusicherungen oder Gewährleistungen durch den Kunden im Rahmen dieser Vereinbarung, einschließlich, aber nicht beschränkt auf, solche in Bezug auf Sicherheit, Datenschutz oder Nutzungsbeschränkungen. (ii) einem Anspruch eines Endnutzers oder eines Dritten im Zusammenhang mit der Erhebung oder Verarbeitung personenbezogener Daten durch den Kunden (einschließlich der Nichterlangung erforderlicher Einwilligungen) oder den Entscheidungen des Kunden, die auf Verifizierungsergebnissen basieren. (iii) der Nutzung der Services durch den Kunden in einer Weise, die nicht mit anwendbaren Gesetzen oder Vorschriften übereinstimmt. (iv) der Verletzung von Rechten an geistigem Eigentum oder Datenschutzrechten Dritter durch den Kunden oder seine Kundendaten.

13.2 Freistellung durch Didit: Didit verteidigt, entschädigt und hält den Kunden, seine verbundenen Unternehmen, Direktoren, Mitarbeiter und Vertreter schadlos von und gegen alle Ansprüche, Forderungen, Schäden, Verbindlichkeiten, Verluste, Kosten und Ausgaben (einschließlich angemessener Anwaltsgebühren), die sich aus oder im Zusammenhang mit einem Anspruch Dritter ergeben, dass die Services, wie von Didit dem Kunden bereitgestellt und in Übereinstimmung mit dieser Vereinbarung genutzt, direkt ein Patent, Urheberrecht oder eine Marke dieses Dritten verletzen.

Ausschlüsse: Didits Freistellungsverpflichtung gilt nicht für Ansprüche, die sich aus: (a) der Nutzung der Services durch den Kunden in Kombination mit Software, Hardware oder Daten, die nicht von Didit bereitgestellt wurden; (b) der Änderung der Services durch eine andere Partei als Didit; oder (c) der Nutzung veralteter Versionen der Services ergeben, wenn eine neuere, nicht verletzende Version von Didit bereitgestellt wurde.

13.3 Freistellungsverfahren: Die Partei, die eine Freistellung beantragt („Freigestellte Partei“), muss: (i) die freistellende Partei („Freistellende Partei“) unverzüglich schriftlich über jeden Anspruch informieren; (ii) der Freistellenden Partei die ausschließliche Kontrolle über die Verteidigung und Beilegung des Anspruchs überlassen (vorausgesetzt, die Beilegung auferlegt der Freigestellten Partei keine nicht-monetäre Verpflichtung oder gesteht eine Haftung der Freigestellten Partei ohne deren vorherige schriftliche Zustimmung ein); und (iii) der Freistellenden Partei alle angemessene Unterstützung und Zusammenarbeit auf Kosten der Freistellenden Partei zukommen lassen.

14. Zusicherungen und Gewährleistungen

14.1 Zusicherungen und Gewährleistungen des Kunden: Der Kunde sichert Didit zu und gewährleistet, dass: (i) er die volle Rechtsfähigkeit und Befugnis besitzt, diese Vereinbarung abzuschließen und zu erfüllen. (ii) er alle anwendbaren Gesetze, Vorschriften und Normen bei der Nutzung der Services sowie bei der Erhebung, Verarbeitung und Übermittlung von Kundendaten und personenbezogenen Daten einhalten wird. (iii) er alle erforderlichen Einwilligungen, Genehmigungen und Autorisierungen von Endnutzern und jeder anderen natürlichen Person eingeholt hat und aufrechterhalten wird, damit Didit ihre personenbezogenen Daten gemäß dieser Vereinbarung und der DPA verarbeiten kann. (iv) alle an Didit übermittelten Kundendaten richtig, vollständig und rechtmäßig sind und der Kunde das Recht hat, diese Daten Didit zur Verarbeitung zur Verfügung zu stellen.

14.2 Zusicherungen und Gewährleistungen von Didit: Didit sichert dem Kunden zu und gewährleistet, dass: (i) es die volle Rechtsfähigkeit und Befugnis besitzt, diese Vereinbarung abzuschließen und zu erfüllen. (ii) die Services professionell und gemäß den Industriestandards erbracht werden. (iii) die Services im Wesentlichen den Beschreibungen in der Dokumentation entsprechen.

15. Aussetzung und Kündigung

15.1 Kündigung aus wichtigem Grund:

• Durch den Kunden: Der Kunde kann sein Konto jederzeit schließen und diese Vereinbarung kündigen, was zum Verfall ungenutzter Credits führt.
• Durch Didit: Didit kann diese Vereinbarung und den Zugang des Kunden zu den Services aus wichtigem Grund, ohne Angabe von Gründen, mit einer Frist von dreißig (30) Tagen schriftlich kündigen. In diesem Fall erstattet Didit dem Kunden den Wert aller ungenutzten Credits.

15.2 Kündigung aus wichtigem Grund: Jede Partei kann diese Vereinbarung sofort durch schriftliche Mitteilung an die andere Partei kündigen, wenn: (i) die andere Partei eine ihrer Verpflichtungen aus dieser Vereinbarung wesentlich verletzt und es versäumt, diesen Verstoß innerhalb von dreißig (30) Tagen nach Erhalt einer schriftlichen Mitteilung, die den Verstoß spezifiziert, zu beheben. (ii) die andere Partei bankrott, insolvent wird, liquidiert, aufgelöst wird, eine freiwillige Vereinbarung mit Gläubigern eingeht oder ein ähnliches Verfahren einleitet.

Didit kann den Zugang des Kunden zu den Services in den folgenden Fällen sofort und ohne vorherige Ankündigung oder Heilungsfrist aussetzen oder kündigen: (a) Schwerwiegender oder wiederholter Verstoß gegen Abschnitt 6.4 (Nutzungsbeschränkungen) oder 6.5 (Verantwortlichkeiten des Kunden). (b) Ungesetzliche, betrügerische oder missbräuchliche Nutzung der Services. (c) Nichtzahlung oder wiederholter Verstoß gegen Zahlungsbedingungen. (d) Wenn Didit nach eigenem Ermessen feststellt, dass die Sicherheit oder Integrität der Services oder Kundendaten gefährdet sein könnte. (e) In Übereinstimmung mit einem Gerichtsbeschluss oder einer gesetzlichen Anforderung. (f) Missbrauch des kostenlosen oder Testplans durch die Erstellung mehrerer Organisationen oder Konten, wie in Abschnitt 6.4 beschrieben, wobei die betroffenen Organisationen und Konten ausgesetzt oder gekündigt werden können.

15.3 Auswirkungen der Kündigung: Bei Beendigung dieser Vereinbarung aus irgendeinem Grund: (i) erlöschen alle dem Kunden im Rahmen dieser Vereinbarung gewährten Lizenzen und Rechte sofort. (ii) stellt der Kunde die Nutzung der Services und der Dokumentation ein. (iii) werden alle am Kündigungsdatum vom Kunden an Didit geschuldeten Beträge sofort fällig und zahlbar. (iv) erfolgt die Kündigung aus einem dem Kunden zuzurechnenden Grund, verfallen ungenutzte Credits und sind nicht erstattungsfähig. (v) die Aufbewahrungs- und Löschpflichten für Kundendaten richten sich nach Anhang 2 (DPA). (vi) die Abschnitte dieser Vereinbarung, die ihrer Natur nach die Beendigung überdauern sollten, einschließlich, aber nicht beschränkt auf, die Abschnitte über geistiges Eigentum, Vertraulichkeit, Haftungsausschluss für Gewährleistungen, Haftungsbeschränkung, Freistellung, anwendbares Recht und Gerichtsstand sowie allgemeine Bestimmungen, bleiben in vollem Umfang in Kraft und wirksam.

16. Allgemeine Bestimmungen

16.1 Höhere Gewalt: Keine Partei haftet für Verzögerungen oder Nichterfüllung ihrer Verpflichtungen aus dieser Vereinbarung, wenn diese Verzögerung oder Nichterfüllung durch höhere Gewalt verursacht wird. Die betroffene Partei benachrichtigt die andere Partei so bald wie möglich über das Ereignis höherer Gewalt und unternimmt angemessene Anstrengungen, um deren Auswirkungen zu mindern.

16.2 Änderungen der Vereinbarung: Didit behält sich das Recht vor, diese Allgemeinen Geschäftsbedingungen, Anhänge oder Service-Richtlinien jederzeit zu ändern oder zu aktualisieren. Didit wird den Kunden mindestens dreißig (30) Tage im Voraus über solche Änderungen informieren, indem es die überarbeiteten Bedingungen auf seiner Website oder in der Business Console veröffentlicht oder eine direkte Benachrichtigung an den Kunden sendet. Wenn der Kunde mit den Änderungen nicht einverstanden ist, kann er die Vereinbarung durch schriftliche Mitteilung vor dem Inkrafttreten der neuen Bedingungen kündigen. Die fortgesetzte Nutzung der Services durch den Kunden nach dem Inkrafttreten der Änderungen stellt eine verbindliche Annahme der überarbeiteten Bedingungen dar.

16.3 Abtretung: Der Kunde darf seine Rechte oder Pflichten aus dieser Vereinbarung, ganz oder teilweise, ohne die vorherige schriftliche Zustimmung von Didit nicht abtreten oder übertragen. Jeder versuchte Abtretung oder Übertragung, die dieser Bestimmung nicht entspricht, ist null und nichtig. Didit kann diese Vereinbarung, ganz oder teilweise, an ein verbundenes Unternehmen oder im Zusammenhang mit einer Fusion, Übernahme, Unternehmensumstrukturierung oder dem Verkauf aller oder im Wesentlichen aller seiner Vermögenswerte frei abtreten oder übertragen.

16.4 Salvatorische Klausel: Sollte eine Bestimmung dieser Vereinbarung von einem zuständigen Gericht für ungültig oder undurchsetzbar befunden werden, so wird diese Bestimmung auf das geringstmögliche Maß beschränkt oder eliminiert, und die übrigen Bestimmungen dieser Vereinbarung bleiben in vollem Umfang in Kraft und wirksam.

16.5 Kein Verzicht: Das Versäumnis einer Partei, ein Recht oder Rechtsmittel aus dieser Vereinbarung auszuüben oder die Verzögerung bei der Ausübung eines solchen Rechts oder Rechtsmittels, stellt keinen Verzicht auf dieses Recht oder Rechtsmittel dar und schließt eine spätere Ausübung dieses Rechts oder Rechtsmittels nicht aus. Ein ausdrücklicher Verzicht auf eine Verletzung stellt keinen Verzicht auf eine spätere Verletzung dar.

16.6 Anwendbares Recht und Gerichtsstand: Das anwendbare Recht und der ausschließliche Gerichtsstand hängen vom Niederlassungsort des Kunden ab, der auch die vertragsschließende Didit-Einheit bestimmt (siehe Abschnitt 1):

• Kunden mit Sitz in der Europäischen Union, dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich, der Schweiz oder Lateinamerika schließen Verträge mit Didit Identity Spain, S.L. Diese Vereinbarung unterliegt den Gesetzen Spaniens (ohne Bezugnahme auf dessen Kollisionsnormen), und die Parteien unterwerfen sich unwiderruflich der ausschließlichen Gerichtsbarkeit der Gerichte der Stadt Barcelona, Spanien für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben.
• Kunden mit Sitz in den Vereinigten Staaten, Kanada, Asien-Pazifik, dem Nahen Osten und allen anderen Gerichtsbarkeiten schließen Verträge mit Didit Identity, Inc. Diese Vereinbarung unterliegt den Gesetzen des Bundesstaates Delaware, Vereinigte Staaten von Amerika (ohne Bezugnahme auf dessen Kollisionsnormen), und die Parteien unterwerfen sich unwiderruflich der ausschließlichen Gerichtsbarkeit der staatlichen und bundesstaatlichen Gerichte in New Castle County, Delaware für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben.

Dieser Abschnitt 16.6 entzieht einem Verbraucher nicht den zwingenden Schutz des Rechts des Landes seines gewöhnlichen Aufenthalts. Das Übereinkommen der Vereinten Nationen über Verträge über den internationalen Warenkauf findet keine Anwendung.

16.7 Gesamte Vereinbarung: Diese Vereinbarung, einschließlich aller Bestellformulare und Anhänge, stellt die gesamte und ausschließliche Vereinbarung zwischen dem Kunden und Didit in Bezug auf ihren Gegenstand dar und ersetzt alle früheren oder gleichzeitigen Mitteilungen, Vorschläge und Vereinbarungen, ob mündlich oder schriftlich, zwischen den Parteien.

16.8 Beziehung der Parteien: Die Parteien sind unabhängige Auftragnehmer. Diese Vereinbarung begründet keine Partnerschaft, kein Joint Venture, kein Arbeitsverhältnis, kein Franchise oder keine Agenturbeziehung zwischen dem Kunden und Didit. Keine Partei hat die Befugnis, die andere zu binden oder Verpflichtungen im Namen der anderen einzugehen.

16.9 Mitteilungen: Alle gemäß dieser Vereinbarung erforderlichen oder zulässigen Mitteilungen müssen schriftlich erfolgen und gelten als zugestellt, wenn: (a) persönlich zugestellt; (b) per Einschreiben mit Rückschein versandt; (c) per E-Mail an die in Abschnitt 1 oder im Bestellformular angegebenen Mitteilungsadressen (mit Empfangsbestätigung) versandt; oder (d) im Falle allgemeiner Mitteilungen von Didit an den Kunden, in der Business Console oder auf der Website veröffentlicht.

16.10 Exportkontrollgesetze: Der Kunde sichert zu und gewährleistet, dass weder er noch seine autorisierten Nutzer Wirtschaftssanktionen oder Embargos unterliegen, die von der Europäischen Union, den Vereinigten Staaten oder anderen zuständigen Behörden verhängt wurden, und dass er die Services nicht für Zwecke nutzen wird, die durch solche Exportkontrollgesetze verboten sind.

16.11 Öffentlichkeitsarbeit: Der Kunde stimmt zu, dass Didit den Namen und das Logo des Kunden in Didits Marketingmaterialien und Kundenliste verwenden darf, es sei denn, der Kunde widerspricht einer solchen Nutzung schriftlich gegenüber Didit.

16.12 Fortbestehen: Die Abschnitte 7 (Rechte an geistigem Eigentum), 8 (Gebühren und Zahlungsbedingungen, in Bezug auf geschuldete Beträge), 9 (Vertraulichkeit), 11 (Haftungsausschluss für Gewährleistungen), 12 (Haftungsbeschränkung), 13 (Freistellung), 15.3 (Auswirkungen der Kündigung) und 16 (Allgemeine Bestimmungen) bleiben auch nach Beendigung oder Ablauf dieser Vereinbarung in vollem Umfang in Kraft.

Anhang 1, Service Level Agreement (SLA)

Für Enterprise-Pläne haben die in deinem Bestellformular unterzeichneten Betriebsbedingungen und Service-Metriken Vorrang vor diesem Anhang.

1. Geltungsbereich: Dieses Service Level Agreement („SLA“) gilt für die operative Verfügbarkeit von Didits Kern-Verifizierungs-API, dem Business Console Dashboard und den direkt von Didit verwalteten SDK-Endpunkten.

2. Verfügbarkeitszusage: Didit verpflichtet sich, eine monatliche Betriebszeit für die Kern-Services gemäß der folgenden Metrik aufrechtzuerhalten:

3. Messung der Betriebszeit: Die Betriebszeit wird minütlich mithilfe von Didits internen Überwachungstools gemessen. Als Ausfallzeit gilt jede Minute, in der die Kern-API oder das Dashboard nicht erfolgreich auf eine HTTPS-Anfrage (2XX/3XX-Statuscodes) reagiert, wie von Didits Überwachungssystem erkannt oder vom Kunden durch eine Support-Meldung gemeldet und validiert.

4. Ausschlüsse von der Betriebszeit: Die monatliche Betriebszeit umfasst keine Ausfallzeiten oder Serviceunterbrechungen, die sich aus:

• Höherer Gewalt: Ereignisse außerhalb der zumutbaren Kontrolle von Didit, wie in Abschnitt 16.1 der Hauptvereinbarung definiert.
• Geplanter Wartung: Zeiträume geplanter Wartungsarbeiten für die Services. Didit wird sich bemühen, geplante Wartungsarbeiten auf maximal fünf (5) Stunden pro Monat zu beschränken, mit einer Vorankündigung von mindestens achtundvierzig (48) Stunden über die Business Console oder per E-Mail.
• Dringender Wartung: Ungeplante Wartungsarbeiten, die zur Behebung kritischer Sicherheits- oder Leistungsprobleme erforderlich sind. Didit wird versuchen, eine angemessene Vorankündigung zu geben, dies ist jedoch nicht in allen Fällen möglich.
• Faktoren außerhalb der zumutbaren Kontrolle von Didit: Einschließlich, aber nicht beschränkt auf, clientseitige Hardware- oder Softwareprobleme, Internetausfälle, die Didit nicht zuzuschreiben sind, Denial-of-Service-Angriffe, die die Standard-Minderungsschwellen überschreiten, oder Ausfälle von Drittanbietern (wie Cloud-Anbieter, es sei denn, es wird grobe Fahrlässigkeit von Didit bei deren Auswahl oder Verwaltung nachgewiesen).
• Handlungen oder Unterlassungen des Kunden oder seiner autorisierten Nutzer: Einschließlich jeder Verletzung der Vereinbarung.

5. Service-Credits (SLA-Credits): Wenn Didit die in Abschnitt 2 festgelegte monatliche Betriebszeit nicht einhält, kann der Kunde einen Credit auf sein Didit-Konto (in Form von nicht erstattungsfähigen Didit-Credits) gemäß der folgenden Tabelle beantragen:

5.1 Credit-Antragsverfahren: Um einen Credit zu beantragen, muss der Kunde innerhalb von dreißig (30) Kalendertagen nach Ende des Monats, in dem die SLA-Verletzung aufgetreten ist, einen schriftlichen Antrag an billing@didit.me senden. Der Antrag muss das Datum und die Uhrzeit der Serviceunterbrechung sowie eine kurze Beschreibung der Unterbrechung enthalten. Der Service-Credit ist das einzige und ausschließliche Rechtsmittel des Kunden für jede Verletzung der Betriebszeitverpflichtung gemäß diesem SLA. Der Credit-Wert wird automatisch im nächsten Abrechnungszyklus oder bei der nächsten Credit-Auffüllung auf das Konto des Kunden angewendet.

Anhang 2, Datenverarbeitungsvereinbarung (DPA)

Diese Datenverarbeitungsvereinbarung („DPA“) ist integraler Bestandteil der Hauptvereinbarung und gilt immer dann, wenn Didit personenbezogene Daten im Auftrag des Kunden verarbeitet, in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO) und anderen anwendbaren Datenschutzgesetzen.

1. Kontext und Geltungsbereich: Diese DPA legt die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung personenbezogener Daten durch Didit als Datenverarbeiter fest, der im Auftrag des Kunden als Datenverantwortlicher handelt.

2. Rollen und Art der Verarbeitung:

2.1 Details der Verarbeitung:

• Zweck der Verarbeitung: Didits Verarbeitung personenbezogener Daten dient ausschließlich der Bereitstellung von Identitätsverifizierungs-Services für den Kunden, einschließlich, aber nicht beschränkt auf, die KYC/AML-Compliance-Verpflichtungen des Kunden, Altersverifizierung und Betrugsprävention.
• Kategorien von betroffenen Personen: Die verarbeiteten personenbezogenen Daten betreffen Endnutzer, deren Identitäten vom Kunden über die Services verifiziert werden.
• Kategorien personenbezogener Daten: Verarbeitete Daten können umfassen: Informationen aus Ausweisdokumenten (Name, Geburtsdatum, Nationalität, Dokumentennummer), Selfie-/Videobilder (einschließlich biometrischer Daten, wie Gesichtsdaten), Kontaktdaten (E-Mail, Telefon), Geräte- und Verbindungsdaten (IP-Adresse, Gerätetyp, Standort) und AML-/Sanktions-Screening-Daten.
• Dauer der Verarbeitung und Speicherung: Die standardmäßige Aufbewahrungsfrist für personenbezogene Daten, die in Verifizierungsabläufen verarbeitet werden, ist unbegrenzt („unlimited“), es sei denn, der Kunde konfiguriert eine kürzere Frist. Der Kunde kann die Aufbewahrung pro Anwendung in der Business Console zwischen 30 Tagen und 10 Jahren konfigurieren und kann jede einzelne Sitzung oder jeden Verifizierungsdatensatz jederzeit über den API-Endpunkt `POST /v3/sessions/:session_id/delete/` oder die Business Console löschen. Didit wird personenbezogene Daten auf Anweisung des Kunden oder bei Beendigung der Vereinbarung löschen oder zurückgeben, es sei denn, anwendbares Recht erfordert die Aufbewahrung. Die Aufbewahrung biometrischer Daten unterliegt in jedem Fall den anwendbaren Gesetzen und Vorschriften zum Schutz biometrischer Daten und wird durch diese begrenzt, einschließlich Artikel 9 der EU-Datenschutz-Grundverordnung (DSGVO), des Illinois Biometric Information Privacy Act (BIPA), des Texas Capture or Use of Biometric Identifier Act (CUBI), Washington H.B. 1493 und jedes anderen anwendbaren Gesetzes zum Schutz biometrischer Daten; wo ein solches Gesetz eine kürzere Aufbewahrungsfrist oder eine frühere Vernichtungspflicht vorschreibt, hat diese kürzere oder strengere Regel Vorrang vor jeder Standard- oder vom Kunden konfigurierten Aufbewahrungsfrist.

2.2 Rechtmäßige Grundlage für die Verarbeitung: Der Kunde ist allein verantwortlich für die Bestimmung der gültigen rechtmäßigen Grundlage für die Erhebung und Verarbeitung der personenbezogenen Daten von Endnutzern sowie für die Übermittlung dieser Daten an Didit. Dies kann beispielsweise die ausdrückliche Einwilligung der betroffenen Person (insbesondere für biometrische Daten), die Erfüllung eines Vertrags, die Einhaltung einer rechtlichen Verpflichtung oder ein berechtigtes Interesse umfassen. Der Kunde verpflichtet sich, die erforderlichen Datenschutzhinweise bereitzustellen und die erforderlichen Einwilligungen von Endnutzern gemäß anwendbarem Recht einzuholen, bevor er personenbezogene Daten an Didit sendet.

2.3 Anonymisiertes / Pseudonymisiertes Modelltraining und Betrugserkennung (Didit als unabhängiger Verantwortlicher): Der Kunde erkennt an und stimmt zu, dass Didit anonymisierte oder pseudonymisierte Daten, die aus Kundendaten abgeleitet wurden, für die folgenden Zwecke als unabhängiger Verantwortlicher verwenden darf:

(i) Training und Verbesserung von Verifizierungs-, Biometrie- und Betrugserkennungsmodellen, einschließlich Dokumentenklassifikatoren, Liveness, Face Match, Deepfake-Erkennung, Injection-Attack-Erkennung und Risikobewertungsmodellen, um die Sicherheit zu erhöhen, Betrug zu reduzieren und die Genauigkeit der Services für alle Kunden zu verbessern.

(ii) Kundenübergreifende Betrugspräventionsmaßnahmen, Identifizierung und Kennzeichnung bekannter betrügerischer Akteure, Angriffsmuster und versuchter wiederholter Betrug über verschiedene Kundenanwendungen hinweg, die Didits Services nutzen.

Didit verarbeitet diese Daten auf der Grundlage seines berechtigten Interesses am Betrieb einer sicheren und genauen Identitäts- und Betrugsinfrastruktur und wendet Anonymisierungs-, Pseudonymisierungs-, Aggregations- und Zugriffskontrollen an, sodass die für diese Zwecke verwendeten Daten außerhalb des zugrunde liegenden Verifizierungsdatensatzes nicht vernünftigerweise einer identifizierbaren Person zugeordnet werden können.

Opt-out. Der Kunde (oder ein betroffener Endnutzer) kann der in diesem Abschnitt 2.3 beschriebenen Verarbeitung widersprechen, indem er (a) den zugrunde liegenden Verifizierungsdatensatz über die API oder die Business Console löscht, wodurch der Datensatz beim nächsten Aktualisierungszyklus aus den Trainingspipelines entfernt wird, oder (b) eine E-Mail an privacy@didit.me mit dem relevanten Sitzungsbezeichner oder Konto sendet und ein Opt-out beantragt. Opt-outs gelten prospektiv ab dem Datum des Antrags; Didit wird auch wirtschaftlich angemessene Anstrengungen unternehmen, um berechtigte Datensätze aus aktiven Trainingsdatensätzen zu löschen.

3. Didits Pflichten (Datenverarbeiter): Didit verpflichtet sich: (i) Personenbezogene Daten nur auf dokumentierte Anweisungen des Kunden zu verarbeiten, es sei denn, dies ist durch Unionsrecht oder das Recht eines Mitgliedstaats vorgeschrieben, in welchem Fall Didit den Kunden vor der Verarbeitung über diese rechtliche Anforderung informiert, es sei denn, das Gesetz verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses. (ii) Die Vertraulichkeit personenbezogener Daten zu gewährleisten. Didit stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, sich zur Vertraulichkeit verpflichten oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen. (iii) Angemessene und robuste technische und organisatorische Maßnahmen (TOMs) zu implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich Datenverschlüsselung im Ruhezustand (AES-256) und während der Übertragung (TLS 1.3), Schlüsselverwaltung in einem dedizierten Key Management Service (KMS), rollenbasierter Zugriffskontrolle, Umgebungstrennung, Resilienz von Verarbeitungssystemen und -diensten, kontinuierlicher Überwachung und regelmäßiger Sicherheitstests. Didit unterhält SOC 2 Typ 1 (Sicherheit, Verfügbarkeit, Vertraulichkeit; SOC 2 Typ 2 Prüfung im Gange), ISO/IEC 27001:2022, iBeta Level 1 Presentation Attack Detection (PAD) gemäß ISO/IEC 30107-3 und die Tesoro / SEPBLAC / CNMV Sandbox-Bescheinigung, ausgestellt gemäß Spaniens Ley 7/2020 Finanz-Sandbox. (iv) Den Kunden zu unterstützen bei der Erfüllung seiner Pflichten als Datenverantwortlicher, unter Berücksichtigung der Art der Verarbeitung und der Didit zur Verfügung stehenden Informationen, einschließlich:

(v) Den Kunden unverzüglich über jede Verletzung des Schutzes personenbezogener Daten zu informieren, von der Didit Kenntnis erlangt. Didit wird dem Kunden bekannte Informationen über die Verletzung zur Verfügung stellen und mit dem Kunden bei der Minderung ihrer Auswirkungen und der Erfüllung der Benachrichtigungspflichten zusammenarbeiten.

4. Pflichten des Kunden (Datenverantwortlicher): Der Kunde verpflichtet sich: (i) Eine angemessene rechtmäßige Grundlage für die Verarbeitung und Übermittlung personenbezogener Daten an Didit zu schaffen und aufrechtzuerhalten. (ii) Die erforderlichen Datenschutzhinweise bereitzustellen und die erforderlichen Einwilligungen von Endnutzern gemäß den anwendbaren Datenschutzgesetzen einzuholen, bevor Didits Services genutzt werden. (iii) Datenaufbewahrungsfristen über Didits Console oder API gemäß seinen eigenen rechtlichen Verpflichtungen und internen Richtlinien zu konfigurieren. (iv) Auf Anfragen von Aufsichtsbehörden oder betroffenen Personen zu reagieren, die Didit an den Kunden weiterleitet.

5. Unterauftragsverarbeiter: Der Kunde erteilt Didit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für die Verarbeitung personenbezogener Daten. Didit führt eine aktualisierte Liste seiner Unterauftragsverarbeiter, die Kunden und potenziellen Kunden nach Unterzeichnung einer Geheimhaltungsvereinbarung (NDA) per E-Mail mitgeteilt wird. Um die aktuelle Liste anzufordern, sende eine E-Mail an security@didit.me. Didit benachrichtigt abonnierte Kunden per E-Mail über jede Ergänzung oder Änderung der Unterauftragsverarbeiterliste mit ausreichender Vorankündigung, um dem Kunden die Möglichkeit zum Widerspruch zu geben. Didit auferlegt seinen Unterauftragsverarbeitern Datenschutzpflichten, die im Wesentlichen denen dieser DPA ähneln, und bleibt dem Kunden gegenüber für die Einhaltung dieser Pflichten durch seine Unterauftragsverarbeiter voll verantwortlich. Der Kunde kann einem neuen Unterauftragsverarbeiter aus berechtigten Datenschutzgründen widersprechen, in welchem Fall die Parteien in gutem Glauben zusammenarbeiten, um eine Lösung zu finden, einschließlich der Möglichkeit, den betroffenen Service zu kündigen.

6. Sicherheitsverletzungen: Im Falle einer Verletzung des Schutzes personenbezogener Daten: (i) wird Didit den Kunden unverzüglich nach Kenntnisnahme benachrichtigen. (ii) wird Didit dem Kunden Details über die Verletzung zur Verfügung stellen, einschließlich der Art der Verletzung, der Kategorien der betroffenen Daten, der ungefähren Anzahl der betroffenen betroffenen Personen und Datensätze, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Minderung ihrer möglichen nachteiligen Auswirkungen. (iii) wird Didit angemessen mit dem Kunden bei der Untersuchung der Verletzung und bei der Erfüllung seiner Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen zusammenarbeiten, obwohl die endgültige Entscheidung über solche Benachrichtigungen beim Kunden liegt.

7. Internationale Datenübermittlungen: Die von Didit verarbeiteten Primärdaten werden im Europäischen Wirtschaftsraum (EWR) gehostet. Jede Übermittlung personenbezogener Daten außerhalb des EWR durch Didit oder seine Unterauftragsverarbeiter erfolgt nur auf der Grundlage eines rechtlich anerkannten Übermittlungsmechanismus gemäß DSGVO, wie z. B. von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs), ein Angemessenheitsbeschluss oder jeder andere anwendbare rechtliche Mechanismus zur Gewährleistung eines angemessenen Schutzniveaus.

8. Löschung / Rückgabe personenbezogener Daten: Auf schriftliche Anfrage des Kunden oder bei Beendigung dieser Vereinbarung wird Didit nach Wahl des Kunden alle personenbezogenen Daten löschen oder an den Kunden zurückgeben, es sei denn, anwendbares Recht erfordert, dass Didit die personenbezogenen Daten aufbewahrt. Der Kunde kann die Löschung seiner personenbezogenen Daten über Didits API oder Console gemäß seiner eigenen Aufbewahrungsrichtlinie jederzeit verwalten.

9. Audit und Dokumentation: Didit wird dem Kunden auf Anfrage und mit angemessener Vorankündigung (mindestens 30 Tage) alle Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung der in dieser DPA festgelegten Verpflichtungen nachzuweisen. Für den Fall, dass der Kunde ein direktes Audit von Didits Einrichtungen oder Systemen verlangt, ist ein solches Audit begrenzt und nicht-invasiv, vorbehaltlich einer gegenseitigen Vereinbarung über Umfang und Methodik, und der Kunde trägt die damit verbundenen angemessenen Kosten. Auf Anfrage und unter einer unterzeichneten NDA stellt Didit seinen SOC 2 Typ 1 Bericht (SOC 2 Typ 2 in Bearbeitung), ISO/IEC 27001:2022 Zertifikat, iBeta Level 1 PAD Testbericht und die veröffentlichte Tesoro / SEPBLAC / CNMV Sandbox-Schlussfolgerung als Audit-Artefakte zur Verfügung.

10. Laufzeit der DPA: Diese DPA hat die gleiche Laufzeit wie die Hauptvereinbarung. Die Klauseln dieser DPA bezüglich Vertraulichkeit, Löschung, Haftung und Audit bleiben nach Beendigung der Vereinbarung in Kraft, soweit dies zur Einhaltung anwendbarer Gesetze erforderlich ist.