Allgemeine Geschäftsbedingungen für Unternehmen

0. Annahme der Vereinbarung

Durch (i) Klicken auf „Registrieren“, „Ich akzeptiere“ oder einen ähnlichen Button in der Business Console oder auf der Didit-Website, (ii) Unterzeichnen eines Bestellformulars, das auf diese Bedingungen verweist, oder (iii) anderweitigen Zugriff auf oder Nutzung der Dienste, akzeptierst und stimmst du (der „Kunde“) rechtlich zu, an diese Vereinbarung im Namen der juristischen Person oder Organisation, die du vertrittst, gebunden zu sein.

Mit der Annahme dieser Vereinbarung sichert der Kunde zu und gewährleistet, dass er die volle rechtliche Befugnis besitzt, diese juristische Person oder Organisation an diese Bedingungen und alle zugehörigen Anhänge oder Bestellformulare zu binden. Wenn du diese Befugnis nicht besitzt oder diesen Bedingungen nicht zustimmst, darfst du die Dienste nicht nutzen oder darauf zugreifen.

DIE FORTGESETZTE NUTZUNG DER DIDIT-PLATTFORM STELLT EINE EINDEUTIGE UND VERBINDLICHE ANNAHME DIESER VEREINBARUNG IN IHRER GESAMTHEIT DAR.

1. Vertragsparteien

Die folgenden Parteien sind an dieser Vereinbarung beteiligt:

• Dienstleister („Didit“, „wir“, „uns“, „unser“): die Didit-Einheit, die mit dem Kunden kontrahiert. Die anwendbare Vertragseinheit wird durch Abschnitt 16.6 (Anwendbares Recht und Gerichtsstand) bestimmt:
  • Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelona, Spanien. Verträge mit Kunden mit Sitz in der Europäischen Union, dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz.
  • Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, Vereinigte Staaten. Verträge mit Kunden mit Sitz in den Vereinigten Staaten, Kanada, Lateinamerika, Asien-Pazifik, dem Nahen Osten und allen anderen Gerichtsbarkeiten, die nicht Didit Identity Spain, S.L. zugewiesen sind.
• Kunde („du“, „dein“):

Die juristische Person oder natürliche Person, die sich für ein Konto auf der Didit-Plattform registriert oder die Dienste nutzt. Der Kunde ist die Vertragspartei von Didit.

• Mitteilungen:

Alle formellen Mitteilungen und Kommunikationen im Zusammenhang mit dieser Vereinbarung müssen an legal@didit.me oder an die physische Adresse der oben genannten anwendbaren Vertragseinheit gerichtet werden.

2. Struktur und Rangfolge

Diese Vereinbarung besteht aus den folgenden Dokumenten, die gemeinsam auszulegen sind. Im Falle eines Konflikts zwischen den Bestimmungen dieser Dokumente haben sie in der folgenden absteigenden Reihenfolge Vorrang:

1. Bestellformulare (kundenspezifische kommerzielle Dokumente, die den Erwerb von Diensten, Volumina und Preisen detaillieren).
2. Anhang 2, Datenverarbeitungsvertrag (DPA) (regelt die Verarbeitung personenbezogener Daten).
3. Diese Allgemeinen Geschäftsbedingungen für Dienstleistungen.
4. Anhang 1, Service Level Agreement (SLA) (legt die Verfügbarkeitszusagen für die Dienste fest).

3. Inhaltsverzeichnis

1. Annahme der Vereinbarung
2. Vertragsparteien
3. Struktur und Rangfolge
4. Inhaltsverzeichnis
5. Definitionen und Auslegungen
6. Laufzeit der Vereinbarung
7. Zugang und Nutzung der Dienste
8. Rechte an geistigem Eigentum
9. Gebühren und Zahlungsbedingungen
10. Vertraulichkeit
11. Datenschutz und Sicherheit
12. Haftungsausschluss
13. Haftungsbeschränkung
14. Freistellung
15. Zusicherungen und Gewährleistungen
16. Aussetzung und Kündigung
17. Allgemeine Bestimmungen

Anhang 1, Service Level Agreement (SLA) Anhang 2, Datenverarbeitungsvertrag (DPA)

4. Definitionen und Auslegungen

Für die Zwecke dieser Vereinbarung haben die folgenden Begriffe die ihnen unten zugeschriebene Bedeutung:

• Vereinbarung: Bezieht sich auf diese Allgemeinen Geschäftsbedingungen für Dienstleistungen, zusammen mit jedem Bestellformular, Anhang 1 (SLA) und Anhang 2 (DPA) sowie allen anderen darin genannten Richtlinien oder Anhängen.
• API: Bezeichnet die von Didit bereitgestellten Anwendungsprogrammierschnittstellen zur Integration mit den Diensten.
• Business Console: Bezieht sich auf Didits Web-Administrationsportal, zugänglich über https://business.didit.me oder jede andere von Didit festgelegte URL, das dem Kunden die Verwaltung seines Kontos und der Dienste ermöglicht.
• Guthaben: Sind die im Voraus bezahlten Einheiten, denominiert in USD, die der Kunde erwirbt, um die Nutzung der Dienste gemäß den von Didit festgelegten Preisen und Bedingungen zu bezahlen.
• Zugangsdaten: Umfassen, sind aber nicht beschränkt auf, Passwörter, API-Schlüssel, Authentifizierungstoken oder andere Sicherheitsinformationen, die Didit dem Kunden zum Zugriff auf die Dienste bereitstellt.
• Kundendaten: Alle Daten, einschließlich vertraulicher Informationen und personenbezogener Daten von Endnutzern, die der Kunde oder autorisierte Nutzer über die Dienste übermitteln, hochladen oder verarbeiten.
• Personenbezogene Daten: Haben die Bedeutung, die ihnen in der EU-Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) und/oder anderen anwendbaren Datenschutzgesetzen zugeschrieben wird.
• Dokumentation: Bezieht sich auf alle Benutzerhandbücher, technischen Spezifikationen, Implementierungsleitfäden, API-Leitfäden, Richtlinien oder Supportmaterialien im Zusammenhang mit den Diensten, die Didit dem Kunden zur Verfügung stellt.
• Datum des Inkrafttretens: Das Datum, an dem der Kunde diese Vereinbarung erstmals gemäß Abschnitt 0 akzeptiert.
• Bestellformular: Jedes physische Dokument oder Online-Formular, das den Kauf von Guthaben oder spezifischen Diensten durch den Kunden formalisiert, das auf diese Bedingungen verweist und Teil dieser Vereinbarung ist.
• Höhere Gewalt: Jedes Ereignis oder jeder Umstand außerhalb der zumutbaren Kontrolle einer Partei, das/der die Erfüllung ihrer Verpflichtungen aus dieser Vereinbarung verhindert oder verzögert, wie z. B. höhere Gewalt, Krieg, Terrorismus, Aufstand, Pandemie, Naturkatastrophe, globale Internetausfälle, Energieknappheit, Streiks, Sabotage oder Regierungsentscheidungen.
• Vertrauliche Informationen: Alle nicht öffentlichen Informationen, die von einer Partei der anderen offengelegt werden, sei es mündlich, schriftlich oder auf elektronischem Wege, die als vertraulich gekennzeichnet sind oder die aufgrund der Art der Informationen oder der Umstände der Offenlegung vernünftigerweise als vertraulich anzusehen sind. Dies umfasst, ist aber nicht beschränkt auf, technische, finanzielle, geschäftliche, kundenbezogene, preisbezogene Informationen, Marketingpläne, Software, Quellcode und Kundendaten.
• Geistiges Eigentum: Umfasst Patente, Urheberrechte, Datenbankrechte, Designrechte, Marken, Handelsnamen, Know-how, Geschäftsgeheimnisse und alle anderen Rechte an geistigem Eigentum, ob registriert oder nicht registriert, und Anmeldungen dafür, in jedem Teil der Welt.
• SDK: Bezeichnet die von Didit bereitgestellten Software Development Kits zur Erleichterung der Integration und Nutzung der Dienste.
• Dienste: Bezieht sich auf die Didit-Identitäts- und Betrugsinfrastrukturplattform, einschließlich der Business Console, APIs, SDKs, Dokumentation und jeder Produktlinie, die Didit dem Kunden zur Verfügung stellt, einschließlich Benutzerverifizierung (KYC), Geschäftsverifizierung (KYB), Transaktionsüberwachung, Wallet-Screening (KYT), des Workflow Orchestrators, des Model Context Protocol (MCP)-Servers und aller anderen Dienste, die Didit im Rahmen dieser Vereinbarung freigeben kann.
• Autorisierter Nutzer: Jede Person, wie ein Mitarbeiter oder Auftragnehmer des Kunden, die der Kunde autorisiert hat, die Dienste im Namen des Kunden gemäß den Bestimmungen dieser Vereinbarung zu nutzen und darauf zuzugreifen.
• Endnutzer: Die natürliche Person, deren Identität der Kunde mithilfe der Didit-Dienste überprüfen möchte.
• Verifizierung: Der von Didit durchgeführte Prozess zur Überprüfung der Identität eines Endnutzers, der in einem Genehmigt- oder Abgelehnt-Ergebnis oder einem anderen von Didit oder in einem Bestellformular definierten Status mündet.
• Verifizierungsfunktion: Eine einzelne Komponente des Verifizierungsablaufs, wie z. B. ID-Dokumentenprüfung, Liveness Detection, Face Match, Face Search, AML Screening, Adressnachweis, NFC-Lesen, Datenbankvalidierung, benutzerdefinierte Fragebögen, Telefonverifizierung, E-Mail-Verifizierung, Geräte- & IP-Analyse, Handelsregisterabfragen, UBO-Extraktion, Offiziersdaten, Entitäts-AML, verknüpftes KYC, Transaktionsüberwachungsregelbewertung, Wallet-Screening-Abfragen oder jeder andere diskrete Schritt, der von Didit über die Produktlinien hinweg angeboten wird.

Auslegung:

• Abschnittsüberschriften dienen nur der Übersichtlichkeit und beeinflussen die Auslegung dieser Vereinbarung nicht.
• Wörter im Singular umfassen den Plural und umgekehrt.
• Das Wort „einschließlich“ oder „umfasst“ bedeutet „einschließlich, aber nicht beschränkt auf“.
• Jeder Verweis auf ein Gesetz oder eine Verordnung bezieht sich auf dieses Gesetz oder diese Verordnung in der jeweils gültigen Fassung, einschließlich ihrer Änderungen oder Ersetzungen.

5. Laufzeit der Vereinbarung

5.1 Vertragslaufzeit: Diese Vereinbarung beginnt am Datum des Inkrafttretens und bleibt in vollem Umfang in Kraft, bis sie von einer der Parteien gemäß Abschnitt 15 gekündigt wird.

5.2 Keine Mindestverpflichtung (sofern nicht im Bestellformular angegeben): Sofern in einem vom Kunden unterzeichneten Bestellformular (z. B. für Enterprise-Pläne mit Volumenverpflichtungen) nichts anderes angegeben ist, kann der Kunde die Nutzung der Dienste jederzeit einstellen. Unverbrauchte gekaufte Guthaben sind jedoch nicht erstattungsfähig, außer in den in Abschnitt 15 ausdrücklich genannten Fällen (siehe Abschnitt 8.4); SLA-Service-Guthaben sind niemals erstattungsfähig oder als Geld zahlbar. Bestellformulare, die eine Mindestverbrauchszusage vorsehen, haben Vorrang vor dieser Klausel.

6. Zugang und Nutzung der Dienste

6.1 Kontoerstellung und Sicherheit: Um auf die Dienste zugreifen und diese nutzen zu können, muss der Kunde ein Konto in der Business Console erstellen. Der Kunde ist allein verantwortlich für die Wahrung der Vertraulichkeit und Sicherheit seiner Zugangsdaten (einschließlich Passwörter und API-Schlüssel) und für alle Aktivitäten, die unter seinem Konto stattfinden, ob autorisiert oder nicht. Der Kunde muss Didit unverzüglich über jede unbefugte Nutzung oder vermutete unbefugte Nutzung seiner Zugangsdaten oder seines Kontos informieren. Didit haftet nicht für Verluste oder Schäden, die aus der Nichteinhaltung dieser Verpflichtung durch den Kunden entstehen.

6.2 Lizenz: Vorbehaltlich der kontinuierlichen Einhaltung dieser Vereinbarung und der rechtzeitigen Zahlung aller anfallenden Gebühren durch den Kunden gewährt Didit dem Kunden eine nicht-exklusive, weltweite Lizenz für die Dauer der Vereinbarung, auf die Dienste und die Dokumentation für seine Geschäftszwecke zuzugreifen und diese zu nutzen, insbesondere um: (i) die Identität seiner Endnutzer zu überprüfen. (ii) bei der Prävention und Erkennung von Betrug zu unterstützen. (iii) anwendbare rechtliche und regulatorische Verpflichtungen (z. B. KYC/AML) einzuhalten.

6.3 Weiterverkaufs- und Unterlizenzierungsrechte: Der Kunde darf die Dienste an Dritte weiterverkaufen, unterlizenzieren oder anderweitig zur Verfügung stellen, vorausgesetzt, dass: (i) der Kunde sicherstellt, dass diese Dritten alle anwendbaren Bestimmungen dieser Vereinbarung einhalten. (ii) der Kunde Didit gegenüber für alle Handlungen oder Unterlassungen dieser Dritten voll verantwortlich und haftbar bleibt. (iii) der Kunde schriftliche Vereinbarungen mit diesen Dritten trifft, die Didit nicht weniger schützende Bedingungen enthalten als die in dieser Vereinbarung enthaltenen. (iv) der Kunde Didit auf Anfrage über wesentliche Unterlizenzierungsvereinbarungen informiert.

6.4 Nutzungsbeschränkungen: Der Kunde verpflichtet sich, keine der folgenden Handlungen vorzunehmen und Dritten dies nicht zu gestatten:

• Die Dienste oder Teile davon zu kopieren, zu modifizieren, anzupassen, zu übersetzen, zurückzuentwickeln, zu dekompilieren, zu disassemblieren oder zu versuchen, den Quellcode oder die Algorithmen zu entdecken, es sei denn, eine solche Aktivität ist durch anwendbares und nicht abdingbares Recht ausdrücklich gestattet.
• Einen konkurrierenden Identitätsverifizierungsdienst unter Verwendung der Dienste oder daraus gewonnener Informationen zu erstellen oder zu versuchen, einen solchen zu erstellen.
• Die Dienste für rechtswidrige, diskriminierende, betrügerische, irreführende, diffamierende, obszöne, missbräuchliche, schädliche Zwecke oder in einer Weise zu nutzen, die die Rechte Dritter oder anwendbare Gesetze verletzt.
• Die Verifizierungsergebnisse oder über die Dienste erhaltenen Kundendaten zu verwenden, um Machine Learning (ML)- oder Künstliche Intelligenz (KI)-Modelle oder andere ähnliche Algorithmen oder Technologien zu trainieren, zu entwickeln oder zu verbessern, ohne die vorherige schriftliche Zustimmung von Didit.
• Den ordnungsgemäßen Betrieb der Dienste zu stören oder zu versuchen, ihn zu stören, einschließlich, aber nicht beschränkt auf, das Einschleusen von Viren, Trojanern, Würmern, Logikbomben oder anderem bösartigen oder technologisch schädlichen Material.
• Zu versuchen, unbefugten Zugriff auf die Dienste, Computersysteme oder Netzwerke, die mit den Diensten verbunden sind, zu erlangen.
• Hinweise auf geistige Eigentumsrechte oder Marken von Didit oder Dritten, die in den Diensten oder der Dokumentation enthalten sind, zu entfernen, zu ändern oder zu verdecken.
• Die Dienste in einer Weise zu nutzen, die die gekauften Nutzungslimits oder Guthabenvolumina überschreitet oder die eine unangemessene oder unverhältnismäßig große Last auf Didits Infrastruktur legt.
• Die Einschränkungen eines kostenlosen oder Testplans zu missbrauchen oder zu umgehen, indem mehrere Organisationen oder Konten in der Business Console (https://business.didit.me) erstellt werden, sei es direkt oder indirekt, unter Verwendung derselben oder unterschiedlicher Identitäten, um zusätzliche Vorteile des kostenlosen Tarifs über das hinaus zu erhalten, was für einen einzelnen Kunden vorgesehen ist. Wenn Didit vernünftige Anhaltspunkte dafür hat, dass eine Person oder Entität mehrere Organisationen erstellt oder betreibt, um den kostenlosen Plan auszunutzen, kann Didit die betroffenen Organisationen und Konten aussetzen oder kündigen, mit Benachrichtigung, wo dies praktikabel ist.

6.5 Kundenpflichten: Der Kunde ist allein verantwortlich für:

• Rechtliche Compliance: Sicherzustellen, dass seine Nutzung der Dienste, einschließlich der Erhebung, Verarbeitung und Nutzung von Kundendaten und personenbezogenen Daten von Endnutzern, vollständig allen anwendbaren Gesetzen, Vorschriften und Normen in seiner Gerichtsbarkeit entspricht, einschließlich, aber nicht beschränkt auf, Datenschutzgesetze, Gesetze zur Bekämpfung der Geldwäsche (AML) und der Terrorismusfinanzierung (CFT).
• Endnutzer-Hinweise und Einwilligungen: Einholen und Aufbewahren von Aufzeichnungen über alle erforderlichen Hinweise, ausdrücklichen Einwilligungen und Genehmigungen von Endnutzern für die Erhebung, Verarbeitung und Übermittlung ihrer personenbezogenen Daten (einschließlich biometrischer Daten, falls zutreffend) an Didit und seine Unterauftragsverarbeiter, wie es die anwendbaren Datenschutzgesetze erfordern.
• Kundensicherheit: Implementierung und Aufrechterhaltung angemessener und geeigneter Sicherheitsmaßnahmen zum Schutz von Kundendaten, bevor diese an Didit übermittelt werden, und zur Sicherung seiner Zugangsdaten. Dies umfasst, ohne Einschränkung, die Verwendung sicherer Verbindungen (HTTPS), die Implementierung signierter Webhooks und andere Best Practices der Informationssicherheit.
• Datenrichtigkeit: Sicherstellung der Richtigkeit, Integrität und Rechtmäßigkeit der über die Dienste an Didit übermittelten Kundendaten.

6.6 Datenverwaltung und -löschung: Verifizierungsergebnisse und zugehörige Kundendaten werden dem Kunden über Webhooks oder Didits API zugestellt. Der Kunde hat die Möglichkeit, jeden Verifizierungsdatensatz oder Kundendaten jederzeit über die API oder die Business Console dauerhaft zu löschen, vorbehaltlich Didits Aufbewahrungsrichtlinien und rechtlicher Verpflichtungen als Datenverarbeiter, wie in Anhang 2 (DPA) detailliert beschrieben.

7. Rechte an geistigem Eigentum

7.1 Didits Eigentum: Didit (und gegebenenfalls seine Lizenzgeber) behalten alle Rechte, Titel und Interessen an den Diensten (einschließlich Software, Code, APIs, SDKs, Modellen, Algorithmen, zugrunde liegender Technologie), der Dokumentation, Didits Marken sowie allen Verbesserungen, Modifikationen, Updates, Derivaten oder Entwicklungen davon. Nichts in dieser Vereinbarung ist als Übertragung des Eigentums an geistigem Eigentum von Didit an den Kunden auszulegen. Die dem Kunden gewährten Rechte sind ausschließlich Lizenzen, und es werden keine stillschweigenden Lizenzen im Rahmen dieser Vereinbarung gewährt.

7.2 Kundendaten: Der Kunde ist und bleibt der alleinige Eigentümer aller Rechte, Titel und Interessen an den Kundendaten. Der Kunde gewährt Didit eine weltweite, nicht-exklusive, gebührenfreie, unterlizenzierbare und übertragbare Lizenz zur Verarbeitung von Kundendaten ausschließlich zum Zweck der Bereitstellung der Dienste für den Kunden und zur Verbesserung der Dienste, in Übereinstimmung mit Anhang 2 (Datenverarbeitungsvertrag) und Didits Datenschutzrichtlinie.

7.3 Feedback: Für den Fall, dass der Kunde oder einer seiner autorisierten Nutzer Didit Vorschläge, Ideen, Verbesserungsanfragen, Kommentare, Empfehlungen oder andere Informationen im Zusammenhang mit den Diensten („Feedback“) zur Verfügung stellt, gewährt der Kunde Didit hiermit eine weltweite, unbefristete, unwiderrufliche, gebührenfreie, vollständig bezahlte, übertragbare, unterlizenzierbare Lizenz zur Nutzung, Verwertung, Vervielfältigung, Änderung, Erstellung abgeleiteter Werke, Verbreitung, öffentlichen Darstellung, öffentlichen Aufführung und anderweitigen Kommerzialisierung dieses Feedbacks für jeden Zweck und auf jede Weise, ohne jegliche Verpflichtung oder Entschädigung an den Kunden.

8. Gebühren und Zahlungsbedingungen

8.1 Prepaid-Guthaben und Nicht-Verfall: Didits Dienste basieren auf einem Prepaid-Guthabenmodell. Vom Kunden gekaufte Guthaben verfallen nicht und können genutzt werden, solange die Vereinbarung in Kraft ist.

8.2 Zahlung für abgeschlossene Verifizierungsfunktionen: Dem Kunden wird jede Verifizierungsfunktion in Rechnung gestellt, die vom Endnutzer während des Verifizierungsablaufs erfolgreich abgeschlossen wird, gemäß den anwendbaren Tarifen. Das bedeutet: (i) Wenn ein Endnutzer den Schritt der ID-Dokumentenprüfung abschließt, wird dem Kunden diese Funktion in Rechnung gestellt. (ii) Wenn ein Endnutzer den Schritt der Liveness Detection abschließt, wird dem Kunden diese Funktion in Rechnung gestellt. (iii) Jede weitere abgeschlossene Verifizierungsfunktion (wie AML Screening, Adressnachweis, NFC-Verifizierung usw.) wird entsprechend berechnet. (iv) Es fallen keine Gebühren für Verifizierungsfunktionen an, die aufgrund eines Systemfehlers seitens Didit nicht abgeschlossen werden können.

Die spezifischen Preise für jede Verifizierungsfunktion sind auf Didits Preisgestaltungsseite oder im entsprechenden Bestellformular aufgeführt.

8.3 Preisgestaltung: Die anwendbaren Preise für die Dienste sind auf Didits Preisgestaltungsseite oder, für angepasste oder Enterprise-Pläne, im entsprechenden Bestellformular veröffentlicht. Didit behält sich das Recht vor, seine Preise jederzeit zu ändern, was im Voraus gemäß Abschnitt 16.2 mitgeteilt wird.

8.4 Zahlungsprozess und Nicht-Erstattungsfähigkeit: Der Kauf von Guthaben erfolgt über die von Didit benannte Zahlungsplattform (derzeit Stripe oder im Bestellformular vereinbarte Zahlungsmethoden). Alle Zahlungen sind endgültig, und gekaufte Guthaben sind nicht erstattungsfähig, es sei denn, dies ist in dieser Vereinbarung oder einem Bestellformular ausdrücklich anders angegeben. Die angegebenen Preise enthalten keine Steuern (wie Mehrwertsteuer) oder Bank- oder Bearbeitungsgebühren, die vom Kunden zu tragen sind.

8.5 Fehlgeschlagene Zahlungen / Rückbuchungen und Kontosperrung: Im Falle von drei aufeinanderfolgenden fehlgeschlagenen automatischen Zahlungsversuchen (für die automatische Guthabenaufladung, falls konfiguriert) oder im Falle der Nichtzahlung von Rechnungen für Enterprise-Pläne kann Didit nach eigenem Ermessen den Zugang des Kunden zu den Diensten sperren oder diese Vereinbarung gemäß Abschnitt 15 kündigen. Didit behält sich das Recht vor, Verzugszinsen auf überfällige Zahlungen zum maximal zulässigen Satz nach geltendem Recht zu berechnen, täglich ab dem Fälligkeitsdatum bis zum Datum der vollständigen Zahlung.

8.6 Enterprise-Pläne: Für Kunden, die einen Enterprise- oder angepassten Plan über ein unterzeichnetes Bestellformular abgeschlossen haben, haben die in diesem Bestellformular festgelegten spezifischen Preisbedingungen, Zahlungsbedingungen, Mindestverbrauchszusagen und Abrechnungen Vorrang vor oder ergänzen die Bestimmungen dieses Abschnitts 8.

9. Vertraulichkeit

Jede Partei („Empfangende Partei“) verpflichtet sich, die vertraulichen Informationen der anderen Partei („Offenlegende Partei“) mit mindestens dem gleichen Sorgfaltsgrad zu schützen, den sie zum Schutz ihrer eigenen Informationen ähnlicher Art anwendet, jedoch niemals weniger als angemessene Sorgfalt. Die Empfangende Partei wird die vertraulichen Informationen der Offenlegenden Partei nur zur Erfüllung ihrer Verpflichtungen aus dieser Vereinbarung oder wie nach geltendem Recht zulässig verwenden.

9.1 Ausnahmen von vertraulichen Informationen: Vertrauliche Informationen umfassen keine Informationen, die: (a) ohne Verschulden der Empfangenden Partei öffentlich bekannt sind oder werden; (b) sich rechtmäßig im Besitz der Empfangenden Partei befanden, bevor sie von der Offenlegenden Partei offengelegt wurden, ohne eine Vertraulichkeitsverpflichtung; (c) der Empfangenden Partei von einem Dritten ohne Einschränkung oder Verletzung einer Vertraulichkeitsverpflichtung offengelegt werden; (d) von der Empfangenden Partei unabhängig entwickelt werden, ohne Bezugnahme auf die vertraulichen Informationen der Offenlegenden Partei; oder (e) Kundendaten sind, die von Didit in aggregierter oder pseudonymisierter Form zur Verbesserung ihrer Algorithmen verarbeitet werden, wie in Anhang 2 (DPA) dargelegt.

9.2 Erzwingbare Offenlegung: Die Empfangende Partei darf vertrauliche Informationen offenlegen, wenn dies gesetzlich, durch Gerichtsbeschluss oder eine zuständige Regierungsbehörde vorgeschrieben ist, vorausgesetzt, dass die Empfangende Partei, soweit rechtlich zulässig, der Offenlegenden Partei eine ausreichende vorherige Mitteilung macht, um der Offenlegenden Partei die Möglichkeit zu geben, einen Schutzbefehl oder einen Verzicht zu beantragen.

9.3 Personalverpflichtung: Jede Partei stellt sicher, dass ihre Mitarbeiter, Vertreter und Auftragnehmer, die Zugang zu den vertraulichen Informationen der anderen Partei haben, Vertraulichkeitsverpflichtungen unterliegen, die mindestens so restriktiv sind wie die in diesem Abschnitt 9 festgelegten.

9.4 Fortbestand: Die in diesem Abschnitt 9 festgelegten Vertraulichkeitsverpflichtungen bleiben während der Laufzeit dieser Vereinbarung und für einen Zeitraum von fünf (5) Jahren ab dem Datum ihrer Beendigung in Kraft, außer in Bezug auf Geschäftsgeheimnisse, für die die Vertraulichkeitsverpflichtung unbegrenzt ist, solange diese Informationen ihren Status als Geschäftsgeheimnis behalten.

10. Datenschutz und Sicherheit

Die Verarbeitung personenbezogener Daten durch Didit im Auftrag des Kunden unterliegt Anhang 2, Datenverarbeitungsvertrag (DPA), der einen integralen Bestandteil dieser Vereinbarung bildet. Der DPA detailliert die Verpflichtungen jeder Partei hinsichtlich der Einhaltung von Datenschutzgesetzen, Sicherheitsmaßnahmen und der Verantwortlichkeiten des Datenverarbeiters und des Datenverantwortlichen.

11. Haftungsausschluss

DIDITS DIENSTE, EINSCHLIESSLICH DER PLATTFORM, APIS, SDKS UND DOKUMENTATION, WERDEN „WIE BESEHEN“ UND „WIE VERFÜGBAR“ OHNE JEGLICHE GEWÄHRLEISTUNG BEREITGESTELLT. SOWEIT NACH GELTENDEM RECHT ZULÄSSIG, LEHNT DIDIT AUSDRÜCKLICH ALLE GEWÄHRLEISTUNGEN, OB AUSDRÜCKLICH ODER STILLSCHWEIGEND, AB, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF, DIE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK, DER NICHTVERLETZUNG VON RECHTEN DRITTER, DER DATENRICHTIGKEIT, DER UNUNTERBROCHENEN ODER FEHLERFREIEN VERFÜGBARKEIT.

DIDIT GEWÄHRLEISTET NICHT, DASS DIE DIENSTE UNUNTERBROCHEN, SICHER ODER FEHLERFREI FUNKTIONIEREN, DASS MÄNGEL BEHOBEN WERDEN ODER DASS DIE DIENSTE ODER DIE SIE ZUR VERFÜGUNG STELLENDEN SERVER FREI VON VIREN ODER ANDEREN SCHÄDLICHEN KOMPONENTEN SIND. DIDIT ÜBERNIMMT KEINE GEWÄHRLEISTUNG HINSICHTLICH DER ERGEBNISSE, DIE DURCH DIE NUTZUNG DER DIENSTE ERZIELT WERDEN KÖNNEN, ODER DER RICHTIGKEIT, ZUVERLÄSSIGKEIT ODER VOLLSTÄNDIGKEIT VON INFORMATIONEN, DIE ÜBER DIE DIENSTE ERHALTEN WERDEN. DER KUNDE ÜBERNIMMT ALLE RISIKEN IM ZUSAMMENHANG MIT DER NUTZUNG DER DIENSTE.

INSBESONDERE ERKENNT DER KUNDE AN, DASS IDENTITÄTSVERIFIZIERUNGEN KOMPLEXE PROZESSE SIND, DIE AUF VERSCHIEDENEN DATENQUELLEN UND ALGORITHMEN BASIEREN. DIDIT GEWÄHRLEISTET NICHT DIE IDENTITÄT EINES ENDNUTZERS, DIE WAHRHEIT ODER AUTHENTIZITÄT EINES IDENTITÄTSDOKUMENTS ODER DAS FEHLEN VON BETRUG. DIE VON DIDITS DIENSTEN BEREITGESTELLTEN ERGEBNISSE DIENEN NUR ZU INFORMATIONSZWECKEN UND UNTERSTÜTZEN DEN ENTSCHEIDUNGSPROZESS DES KUNDEN. DER KUNDE IST ALLEIN VERANTWORTLICH FÜR SEINE ENDGÜLTIGEN ENTSCHEIDUNGEN, DIE AUF DIDITS ERGEBNISSEN BASIEREN ODER NICHT BASIEREN, UND DIDIT ÜBERNIMMT KEINERLEI HAFTUNG FÜR SOLCHE ENTSCHEIDUNGEN ODER DEREN FOLGEN.

12. Haftungsbeschränkung

SOWEIT NACH GELTENDEM RECHT ZULÄSSIG, HAFTEN DIDIT, SEINE VERBUNDENEN UNTERNEHMEN, DIREKTOREN, MITARBEITER, VERTRETER, LIEFERANTEN ODER LIZENZGEBER IN KEINEM FALL FÜR INDIREKTE, ZUFÄLLIGE, BESONDERE, FOLGE-, STRAF- ODER EXEMPLARISCHE SCHÄDEN ODER SCHÄDEN FÜR ENTGANGENEN GEWINN, UMSATZ, DATEN, NUTZUNG ODER FIRMENWERT, DIE DEM KUNDEN ODER DRITTEN ENTSTEHEN, SEI ES AUS VERTRAG, UNERLAUBTER HANDLUNG (EINSCHLIESSLICH FAHRLÄSSIGKEIT) ODER ANDERWEITIG, SELBST WENN DIDIT AUF DIE MÖGLICHKEIT SOLCHER SCHÄDEN HINGEWIESEN WURDE.

DIDITS GESAMTE UND KUMULATIVE HAFTUNG IM RAHMEN DIESER VEREINBARUNG FÜR JEGLICHE URSACHE UND UNTER JEGLICHER HAFTUNGSTHEORIE IST AUF DEN BETRAG DER GUTHABEN ODER SERVICEGEBÜHREN BESCHRÄNKT, DIE DER KUNDE TATSÄCHLICH AN DIDIT IN DEN ZWÖLF (12) MONATEN VOR DEM EREIGNIS, DAS ZUM ANSPRUCH FÜHRTE, GEZAHLT HAT.

DIE HAFTUNG, DIE SICH AUS DER VERLETZUNG VON ABSCHNITT 9 (VERTRAULICHKEIT) ODER ANHANG 2 (DPA) DURCH EINE PARTEI ERGIBT, EINSCHLIESSLICH ANSPRÜCHEN IM ZUSAMMENHANG MIT VERLETZUNGEN PERSONENBEZOGENER DATEN, IST AUF DAS ZWEIFACHE DER OBEN GENANNTEN OBERGRENZE BESCHRÄNKT. DIE EINSCHRÄNKUNGEN IN DIESEM ABSCHNITT GELTEN NICHT FÜR DIE HAFTUNG, DIE SICH AUS BETRUG, GROBER FAHRLÄSSIGKEIT ODER VORSÄTZLICHEM FEHLVERHALTEN EINER PARTEI ERGIBT, FÜR DIE ZAHLUNGSVERPFLICHTUNGEN DES KUNDEN, FÜR DIE FREISTELLUNGSVERPFLICHTUNGEN DES KUNDEN GEMÄSS ABSCHNITT 13.1 ODER IN FÄLLEN, IN DENEN GELTENDES RECHT DEN AUSSCHLUSS ODER DIE BESCHRÄNKUNG BESTIMMTER SCHÄDEN NICHT ZULÄSST. SERVICEGUTHABEN, DIE GEMÄSS ANHANG 1 AUSGESTELLT WERDEN, SIND TEIL DER GESAMTHAFTUNG VON DIDIT IM RAHMEN DER OBERGRENZE UND ERHÖHEN DIESE NICHT.

13. Freistellung

13.1 Freistellung durch den Kunden: Der Kunde verteidigt, entschädigt und hält Didit, seine verbundenen Unternehmen, Direktoren, Mitarbeiter, Vertreter und Lieferanten („Didit-freigestellte Parteien“) schadlos von und gegen alle Ansprüche, Forderungen, Schäden, Verbindlichkeiten, Verluste, Kosten und Ausgaben (einschließlich angemessener Anwaltsgebühren), die sich aus oder im Zusammenhang mit: (i) der Verletzung einer seiner Verpflichtungen, Zusicherungen oder Gewährleistungen durch den Kunden im Rahmen dieser Vereinbarung, einschließlich, aber nicht beschränkt auf solche, die sich auf Sicherheit, Datenschutz oder Nutzungsbeschränkungen beziehen. (ii) einem Anspruch eines Endnutzers oder eines Dritten im Zusammenhang mit der Erhebung oder Verarbeitung personenbezogener Daten durch den Kunden (einschließlich der Nichterlangung erforderlicher Einwilligungen) oder den Entscheidungen des Kunden, die auf Verifizierungsergebnissen basieren. (iii) der Nutzung der Dienste durch den Kunden in einer Weise, die nicht den anwendbaren Gesetzen oder Vorschriften entspricht. (iv) der Verletzung von Rechten an geistigem Eigentum oder Datenschutzrechten Dritter durch den Kunden oder seine Kundendaten.

13.2 Freistellung durch Didit: Didit verteidigt, entschädigt und hält den Kunden, seine verbundenen Unternehmen, Direktoren, Mitarbeiter und Vertreter schadlos von und gegen alle Ansprüche, Forderungen, Schäden, Verbindlichkeiten, Verluste, Kosten und Ausgaben (einschließlich angemessener Anwaltsgebühren), die sich aus oder im Zusammenhang mit einem Anspruch Dritter ergeben, dass die Dienste, wie sie von Didit dem Kunden bereitgestellt und gemäß dieser Vereinbarung genutzt werden, direkt ein Patent, Urheberrecht oder eine Marke dieses Dritten verletzen.

Ausschlüsse: Didits Freistellungsverpflichtung gilt nicht für Ansprüche, die sich ergeben aus: (a) der Nutzung der Dienste durch den Kunden in Kombination mit Software, Hardware oder Daten, die nicht von Didit bereitgestellt wurden; (b) der Änderung der Dienste durch eine andere Partei als Didit; oder (c) der Nutzung veralteter Versionen der Dienste, wenn eine neuere, nicht verletzende Version von Didit bereitgestellt wurde.

13.3 Freistellungsverfahren: Die Partei, die eine Freistellung beantragt („Freigestellte Partei“), muss: (i) die freistellende Partei („Freistellende Partei“) unverzüglich schriftlich über jeden Anspruch informieren; (ii) der Freistellenden Partei die ausschließliche Kontrolle über die Verteidigung und Beilegung des Anspruchs überlassen (vorausgesetzt, die Beilegung auferlegt der Freigestellten Partei keine nicht-monetäre Verpflichtung oder gesteht eine Haftung seitens der Freigestellten Partei ohne deren vorherige schriftliche Zustimmung ein); und (iii) der Freistellenden Partei alle angemessene Unterstützung und Zusammenarbeit auf Kosten der Freistellenden Partei zukommen lassen.

14. Zusicherungen und Gewährleistungen

14.1 Zusicherungen und Gewährleistungen des Kunden: Der Kunde sichert Didit zu und gewährleistet, dass: (i) er die volle Rechtsfähigkeit und Befugnis besitzt, diese Vereinbarung abzuschließen und zu erfüllen. (ii) er alle anwendbaren Gesetze, Vorschriften und Normen bei der Nutzung der Dienste sowie bei der Erhebung, Verarbeitung und Übermittlung von Kundendaten und personenbezogenen Daten einhalten wird. (iii) er alle erforderlichen Einwilligungen, Genehmigungen und Ermächtigungen von Endnutzern und jeder anderen natürlichen Person für die Verarbeitung ihrer personenbezogenen Daten durch Didit gemäß dieser Vereinbarung und dem DPA eingeholt hat und aufrechterhalten wird. (iv) alle an Didit übermittelten Kundendaten richtig, vollständig und rechtmäßig sind und der Kunde das Recht hat, solche Daten zur Verarbeitung an Didit zu übermitteln.

14.2 Zusicherungen und Gewährleistungen von Didit: Didit sichert dem Kunden zu und gewährleistet, dass: (i) es die volle Rechtsfähigkeit und Befugnis besitzt, diese Vereinbarung abzuschließen und zu erfüllen. (ii) die Dienste professionell und gemäß den Industriestandards erbracht werden. (iii) die Dienste im Wesentlichen den Beschreibungen in der Dokumentation entsprechen.

15. Aussetzung und Kündigung

15.1 Kündigung aus wichtigem Grund:

• Durch den Kunden: Der Kunde kann sein Konto jederzeit schließen und diese Vereinbarung kündigen, was zum Verfall ungenutzter Guthaben führt – es sei denn, der Kunde kündigt (i) wegen eines von Didit nicht behobenen wesentlichen Verstoßes oder Insolvenz gemäß Abschnitt 15.2, (ii) wegen chronischer SLA-Verletzung (monatliche Verfügbarkeit unter 99,0 % in zwei von drei aufeinanderfolgenden Kalendermonaten oder unter 95,0 % in einem einzelnen Kalendermonat, gemäß Anhang 1), oder (iii) nach einem Ereignis höherer Gewalt, das Didit betrifft und länger als dreißig (30) aufeinanderfolgende Tage andauert – in diesen Fällen erstattet Didit die ungenutzten gekauften Guthaben.
• Durch Didit: Didit kann diese Vereinbarung und den Zugang des Kunden zu den Diensten aus wichtigem Grund, ohne Angabe von Gründen, mit einer Frist von dreißig (30) Tagen schriftlich kündigen. In einem solchen Fall erstattet Didit dem Kunden den Wert der ungenutzten gekauften Guthaben.

Zusammen mit jeder von Didit gemäß Abschnitt 13.2 gewählten Kündigung wegen IP-Rechtsverletzung sind dies die abschließenden Erstattungsereignisse. Jede Erstattung entspricht nur den Beträgen, die Didit tatsächlich für ungenutzte gekaufte Guthaben gezahlt und einbehalten hat, übersteigt niemals das tatsächlich von Didit dafür erhaltene Bargeld, schließt SLA-Service-Guthaben und Werbe-, Bonus- oder andere kostenlose Guthaben aus, wird innerhalb von dreißig (30) Tagen per Banküberweisung gezahlt und ist eine Rückzahlung von Vorauszahlungen, keine Schadensersatzleistung.

15.2 Kündigung aus wichtigem Grund: Jede Partei kann diese Vereinbarung sofort durch schriftliche Mitteilung an die andere Partei kündigen, wenn: (i) die andere Partei eine ihrer Verpflichtungen aus dieser Vereinbarung wesentlich verletzt und es versäumt, diesen Verstoß innerhalb von dreißig (30) Tagen nach Erhalt einer schriftlichen Mitteilung, die den Verstoß spezifiziert, zu beheben. (ii) die andere Partei bankrott, insolvent wird, liquidiert, aufgelöst wird, in ein freiwilliges Vergleichsverfahren mit Gläubigern eintritt oder ein ähnliches Verfahren durchläuft.

Didit kann den Zugang des Kunden zu den Diensten in den folgenden Fällen sofort und ohne vorherige Ankündigung oder Heilungsfrist aussetzen oder kündigen: (a) Schwerwiegender oder wiederholter Verstoß gegen Abschnitt 6.4 (Nutzungsbeschränkungen) oder 6.5 (Kundenpflichten). (b) Rechtswidrige, betrügerische oder missbräuchliche Nutzung der Dienste. (c) Nichtzahlung oder wiederholter Verstoß gegen Zahlungsbedingungen. (d) Wenn Didit nach eigenem Ermessen feststellt, dass die Sicherheit oder Integrität der Dienste oder Kundendaten gefährdet sein könnte. (e) In Übereinstimmung mit einem Gerichtsbeschluss oder einer gesetzlichen Anforderung. (f) Missbrauch des kostenlosen oder Testplans durch die Erstellung mehrerer Organisationen oder Konten, wie in Abschnitt 6.4 beschrieben, wobei die betroffenen Organisationen und Konten ausgesetzt oder gekündigt werden können.

15.3 Auswirkungen der Kündigung: Bei Beendigung dieser Vereinbarung aus irgendeinem Grund: (i) erlöschen alle dem Kunden im Rahmen dieser Vereinbarung gewährten Lizenzen und Rechte sofort. (ii) stellt der Kunde die Nutzung der Dienste und der Dokumentation vollständig ein. (iii) werden alle vom Kunden an Didit am Kündigungsdatum geschuldeten ausstehenden Beträge sofort fällig und zahlbar. (iv) erfolgt die Kündigung aus einem dem Kunden zuzurechnenden Grund, verfallen ungenutzte Guthaben und sind nicht erstattungsfähig. (v) die Aufbewahrungs- und Löschpflichten für Kundendaten richten sich nach Anhang 2 (DPA). (vi) die Abschnitte dieser Vereinbarung, die ihrer Natur nach die Beendigung überdauern sollten, einschließlich, aber nicht beschränkt auf diejenigen, die sich auf geistiges Eigentum, Vertraulichkeit, Haftungsausschluss, Haftungsbeschränkung, Freistellung, anwendbares Recht und Gerichtsstand sowie allgemeine Bestimmungen beziehen, bleiben in vollem Umfang in Kraft und wirksam.

16. Allgemeine Bestimmungen

16.1 Höhere Gewalt: Keine Partei haftet für Verzögerungen oder Nichterfüllung ihrer Verpflichtungen aus dieser Vereinbarung, wenn diese Verzögerung oder Nichterfüllung durch höhere Gewalt verursacht wird. Die betroffene Partei benachrichtigt die andere Partei so schnell wie möglich über das Ereignis höherer Gewalt und unternimmt angemessene Anstrengungen, um dessen Auswirkungen zu mindern.

16.2 Änderungen der Vereinbarung: Didit behält sich das Recht vor, diese Allgemeinen Geschäftsbedingungen, Anhänge oder Service-Richtlinien jederzeit zu ändern oder zu aktualisieren. Didit wird den Kunden mindestens dreißig (30) Tage im Voraus über solche Änderungen informieren, indem es die überarbeiteten Bedingungen auf seiner Website oder in der Business Console veröffentlicht oder eine direkte Benachrichtigung an den Kunden sendet. Wenn der Kunde mit den Änderungen nicht einverstanden ist, kann er die Vereinbarung durch schriftliche Mitteilung vor dem Inkrafttreten der neuen Bedingungen kündigen. Die fortgesetzte Nutzung der Dienste durch den Kunden nach dem Inkrafttreten der Änderungen stellt eine verbindliche Annahme der überarbeiteten Bedingungen dar.

16.3 Abtretung: Der Kunde darf seine Rechte oder Pflichten aus dieser Vereinbarung, ganz oder teilweise, ohne die vorherige schriftliche Zustimmung von Didit nicht abtreten oder übertragen. Jeder versuchte Abtretung oder Übertragung, die dieser Bestimmung nicht entspricht, ist null und nichtig. Didit kann diese Vereinbarung, ganz oder teilweise, an ein verbundenes Unternehmen oder im Zusammenhang mit einer Fusion, Übernahme, Unternehmensumstrukturierung oder dem Verkauf aller oder im Wesentlichen aller seiner Vermögenswerte frei abtreten oder übertragen.

16.4 Salvatorische Klausel: Sollte eine Bestimmung dieser Vereinbarung von einem zuständigen Gericht für ungültig oder nicht durchsetzbar befunden werden, so wird diese Bestimmung auf das geringstmögliche Maß beschränkt oder eliminiert, und die übrigen Bestimmungen dieser Vereinbarung bleiben in vollem Umfang in Kraft und wirksam.

16.5 Kein Verzicht: Das Versäumnis einer Partei, ein Recht oder Rechtsmittel aus dieser Vereinbarung auszuüben oder die Verzögerung bei der Ausübung eines solchen Rechts oder Rechtsmittels, stellt keinen Verzicht auf dieses Recht oder Rechtsmittel dar, noch schließt es eine spätere Ausübung dieses Rechts oder Rechtsmittels aus. Ein ausdrücklicher Verzicht auf eine Verletzung stellt keinen Verzicht auf eine spätere Verletzung dar.

16.6 Anwendbares Recht und Gerichtsstand: Das anwendbare Recht und der ausschließliche Gerichtsstand hängen vom Niederlassungsort des Kunden ab, der auch die vertragsschließende Didit-Einheit bestimmt (siehe Abschnitt 1):

• Kunden mit Sitz in der Europäischen Union, dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz schließen Verträge mit Didit Identity Spain, S.L. Diese Vereinbarung unterliegt den Gesetzen Spaniens (ohne Bezugnahme auf dessen Kollisionsnormen), und die Parteien unterwerfen sich unwiderruflich der ausschließlichen Gerichtsbarkeit der Gerichte der Stadt Barcelona, Spanien für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben.
• Kunden mit Sitz in den Vereinigten Staaten, Kanada, Lateinamerika, Asien-Pazifik, dem Nahen Osten und allen anderen Gerichtsbarkeiten schließen Verträge mit Didit Identity, Inc. Diese Vereinbarung unterliegt den Gesetzen des Bundesstaates Delaware, Vereinigte Staaten von Amerika (ohne Bezugnahme auf dessen Kollisionsnormen), und die Parteien unterwerfen sich unwiderruflich der ausschließlichen Gerichtsbarkeit der staatlichen und bundesstaatlichen Gerichte in New Castle County, Delaware für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben.

Dieser Abschnitt 16.6 entzieht einem Verbraucher nicht den zwingenden Schutz des Rechts des Landes seines gewöhnlichen Aufenthalts. Das Übereinkommen der Vereinten Nationen über Verträge über den internationalen Warenkauf findet keine Anwendung.

16.7 Gesamte Vereinbarung: Diese Vereinbarung, einschließlich aller Bestellformulare und Anhänge, stellt die gesamte und ausschließliche Vereinbarung zwischen dem Kunden und Didit in Bezug auf ihren Gegenstand dar und ersetzt alle früheren oder gleichzeitigen Mitteilungen, Vorschläge und Vereinbarungen, ob mündlich oder schriftlich, zwischen den Parteien.

16.8 Beziehung der Parteien: Die Parteien sind unabhängige Vertragspartner. Diese Vereinbarung begründet keine Partnerschaft, kein Joint Venture, kein Arbeitsverhältnis, kein Franchise oder keine Agenturbeziehung zwischen dem Kunden und Didit. Keine Partei hat die Befugnis, die andere zu binden oder Verpflichtungen im Namen der anderen einzugehen.

16.9 Mitteilungen: Alle gemäß dieser Vereinbarung erforderlichen oder zulässigen Mitteilungen müssen schriftlich erfolgen und gelten als zugestellt, wenn: (a) persönlich zugestellt; (b) per Einschreiben mit Rückschein versandt; (c) per E-Mail an die in Abschnitt 1 oder im Bestellformular angegebenen Mitteilungsadressen gesendet (mit Empfangsbestätigung); oder (d) im Falle allgemeiner Mitteilungen von Didit an den Kunden, in der Business Console oder auf der Website veröffentlicht.

16.10 Exportkontrollgesetze: Der Kunde sichert zu und gewährleistet, dass weder er noch seine autorisierten Nutzer Wirtschaftssanktionen oder Embargos unterliegen, die von der Europäischen Union, den Vereinigten Staaten oder anderen zuständigen Behörden verhängt wurden, und dass er die Dienste nicht für Zwecke nutzen wird, die durch solche Exportkontrollgesetze verboten sind.

16.11 Öffentlichkeitsarbeit: Der Kunde stimmt zu, dass Didit den Namen und das Logo des Kunden in Didits Marketingmaterialien und Kundenliste verwenden darf, es sei denn, der Kunde teilt Didit schriftlich seinen Einspruch gegen eine solche Verwendung mit.

16.12 Fortbestand: Die Abschnitte 7 (Rechte an geistigem Eigentum), 8 (Gebühren und Zahlungsbedingungen, in Bezug auf geschuldete Beträge), 9 (Vertraulichkeit), 11 (Haftungsausschluss), 12 (Haftungsbeschränkung), 13 (Freistellung), 15.3 (Auswirkungen der Kündigung) und 16 (Allgemeine Bestimmungen) bleiben auch nach Beendigung oder Ablauf dieser Vereinbarung in vollem Umfang in Kraft.

Anhang 1, Service Level Agreement (SLA)

Für Enterprise-Pläne haben die in deinem Bestellformular unterzeichneten Betriebsbedingungen und Service-Metriken Vorrang vor diesem Anhang.

1. Geltungsbereich: Dieses Service Level Agreement („SLA“) gilt für die operative Verfügbarkeit von Didits Kern-Verifizierungs-API, dem Business Console Dashboard und den direkt von Didit verwalteten SDK-Endpunkten.

2. Verfügbarkeitszusage: Didit verpflichtet sich, eine monatliche Verfügbarkeit für die Kerndienste gemäß der folgenden Metrik aufrechtzuerhalten:

3. Messung der Verfügbarkeit: Die Verfügbarkeit wird minütlich mit Didits internen Überwachungstools gemessen. Als Ausfallzeit gilt jede Minute, in der die Kern-API oder das Dashboard nicht erfolgreich auf eine HTTPS-Anfrage (2XX/3XX Statuscodes) antwortet, wie von Didits Überwachungssystem erkannt oder vom Kunden über eine Support-Benachrichtigung gemeldet und validiert.

4. Ausschlüsse von der Verfügbarkeit: Die monatliche Verfügbarkeit umfasst keine Ausfallzeiten oder Dienstunterbrechungen, die sich ergeben aus:

• Höhere Gewalt: Ereignisse außerhalb der zumutbaren Kontrolle von Didit, wie in Abschnitt 16.1 der Hauptvereinbarung definiert.
• Geplante Wartung: Zeiträume geplanter Wartungsarbeiten für die Dienste. Didit beschränkt die geplante Wartung auf maximal fünf (5) Stunden pro Kalendermonat, mit einer Vorankündigung von mindestens achtundvierzig (48) Stunden über die Business Console oder per E-Mail.
• Dringende Wartung: Ungeplante Wartung, die zur Behebung kritischer Sicherheits- oder Leistungsprobleme erforderlich ist. Didit wird versuchen, eine angemessene Vorankündigung zu geben, dies ist jedoch nicht in allen Fällen möglich.
• Faktoren außerhalb der zumutbaren Kontrolle von Didit: Einschließlich, aber nicht beschränkt auf, Hardware- oder Softwareprobleme auf Kundenseite, Internetausfälle, die Didit nicht zuzurechnen sind, Denial-of-Service-Angriffe, die die Standard-Minderungsschwellen überschreiten, oder Ausfälle von Drittanbietern (wie Cloud-Anbietern, es sei denn, es wird grobe Fahrlässigkeit von Didit bei deren Auswahl oder Verwaltung nachgewiesen).
• Handlungen oder Unterlassungen des Kunden oder seiner autorisierten Nutzer: Einschließlich jeder Verletzung der Vereinbarung.

5. Service-Guthaben (SLA-Guthaben): Wenn Didit die in Abschnitt 2 festgelegte monatliche Verfügbarkeitszusage nicht erfüllt, kann der Kunde ein Service-Guthaben beantragen, das auf den tatsächlich verbrauchten Gebühren (abgezogene Guthaben) während des betroffenen Kalendermonats (der „Betroffene Monatsverbrauch“) berechnet wird, ausschließlich bestimmt durch den Verbrauch und unabhängig davon, wann Guthaben gekauft oder in Rechnung gestellt wurden, gemäß der folgenden Tabelle:

5.1 Antrag auf Guthaben: Um ein Guthaben anzufordern, muss der Kunde innerhalb von dreißig (30) Kalendertagen nach Ende des Monats, in dem die SLA-Verletzung aufgetreten ist, einen schriftlichen Antrag an billing@didit.me senden. Der Antrag muss das Datum und die Uhrzeit der Dienstunterbrechung sowie eine kurze Beschreibung der Unterbrechung enthalten. Das Service-Guthaben ist das einzige und ausschließliche Rechtsmittel des Kunden für jede Verletzung der Verfügbarkeitszusage im Rahmen dieses SLA. Der Guthabenwert wird automatisch im nächsten Abrechnungszyklus oder bei der Guthabenaufladung dem Konto des Kunden gutgeschrieben. Service-Guthaben sind nicht erstattungsfähig, nicht übertragbar, haben keinen Barwert, sind niemals als Geld zahlbar und verfallen bei Beendigung der Vereinbarung. Die gesamten Service-Guthaben für einen Kalendermonat sind auf 50 % der Gebühren begrenzt, die der Kunde während des betroffenen Monats tatsächlich verbraucht hat (abgezogene Guthaben), ausschließlich bestimmt durch den Verbrauch und unabhängig davon, wann Guthaben gekauft wurden. Guthaben sind nur fällig, solange das Konto des Kunden in gutem Zustand ist (keine überfälligen Rechnungen).

6. Support-Reaktionszeiten: „Geschäftszeiten“ bedeutet 09:00–21:00 Uhr MEZ/MESZ, Montag–Freitag, ausgenommen spanische Feiertage. Didit reagiert auf Support-Anfragen innerhalb der folgenden Ziele (Reaktions- – nicht Lösungs- – Zusagen; Didit arbeitet kontinuierlich an P1-Vorfällen, bis sie gelöst sind): P1 (Kritisch: vollständiger Dienstausfall oder kritisches Datenintegritätsproblem) – unter 2 Stunden, 24/7; P2 (Hoch: erhebliche Verschlechterung oder großer Funktionsausfall) – unter 4 Geschäftsstunden; P3 (Normal: kleinere Funktionsprobleme) – unter 8 Geschäftsstunden; P4 (Niedrig: allgemeine Anfragen oder kosmetische Probleme) – unter 24 Geschäftsstunden.

7. Vorfallreaktion und Kommunikation: Jeder Produktionsvorfall wird in Echtzeit unter status.didit.me veröffentlicht; Didit veröffentlicht eine Post-Mortem-Analyse für kritische (P1) Vorfälle innerhalb von fünfzehn (15) Werktagen nach Behebung. Die Benachrichtigung über Verletzungen personenbezogener Daten erfolgt gemäß Anhang 2, Abschnitt 6.

Anhang 2, Datenverarbeitungsvertrag (DPA)

Dieser Datenverarbeitungsvertrag („DPA“) ist integraler Bestandteil der Hauptvereinbarung und gilt immer dann, wenn Didit personenbezogene Daten im Auftrag des Kunden verarbeitet, in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO) und anderen anwendbaren Datenschutzgesetzen.

1. Kontext und Geltungsbereich: Dieser DPA legt die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung personenbezogener Daten durch Didit als Datenverarbeiter fest, der im Auftrag des Kunden als Datenverantwortlicher handelt.

2. Rollen und Art der Verarbeitung:

2.1 Details der Verarbeitung:

• Zweck der Verarbeitung: Didits Verarbeitung personenbezogener Daten dient ausschließlich der Bereitstellung von Identitätsverifizierungsdiensten für den Kunden, einschließlich, aber nicht beschränkt auf, die KYC/AML-Compliance-Verpflichtungen des Kunden, Altersverifizierung und Betrugsprävention.
• Kategorien von betroffenen Personen: Die verarbeiteten personenbezogenen Daten betreffen Endnutzer, deren Identitäten vom Kunden über die Dienste verifiziert werden.
• Kategorien personenbezogener Daten: Verarbeitete Daten können umfassen: Informationen aus Ausweisdokumenten (Name, Geburtsdatum, Nationalität, Dokumentennummer), Selfie-/Videobilder (einschließlich biometrischer Daten, wie Gesichtsdaten), Kontaktdaten (E-Mail, Telefon), Geräte- und Verbindungsdaten (IP-Adresse, Gerätetyp, Standort) und AML-/Sanktions-Screening-Daten.
• Dauer der Verarbeitung und Speicherung: Die Standardaufbewahrungsfrist für personenbezogene Daten, die in Verifizierungsabläufen verarbeitet werden, ist unbegrenzt („unlimited“), es sei denn, der Kunde konfiguriert einen kürzeren Zeitraum. Der Kunde kann die Aufbewahrung pro Anwendung in der Business Console zwischen 30 Tagen und 10 Jahren konfigurieren und kann jede einzelne Sitzung oder jeden Verifizierungsdatensatz jederzeit über den API-Endpunkt `POST /v3/sessions/:session_id/delete/` oder die Business Console löschen. Didit wird personenbezogene Daten auf Anweisung des Kunden oder bei Beendigung der Vereinbarung löschen oder zurückgeben, es sei denn, anwendbares Recht erfordert die Aufbewahrung. Die Aufbewahrung biometrischer Daten unterliegt in jedem Fall den anwendbaren Gesetzen und Vorschriften zum Schutz biometrischer Daten und ist durch diese begrenzt, einschließlich Artikel 9 der EU-Datenschutz-Grundverordnung (DSGVO), des Illinois Biometric Information Privacy Act (BIPA), des Texas Capture or Use of Biometric Identifier Act (CUBI), des Washington H.B. 1493 und aller anderen anwendbaren Gesetze zum Schutz biometrischer Daten; wo ein solches Gesetz eine kürzere Aufbewahrungsfrist oder eine frühere Vernichtungspflicht vorschreibt, hat diese kürzere oder strengere Regel Vorrang vor jeder Standard- oder vom Kunden konfigurierten Aufbewahrungsfrist.

2.2 Rechtmäßige Grundlage für die Verarbeitung: Der Kunde ist allein verantwortlich für die Bestimmung der gültigen rechtmäßigen Grundlage für die Erhebung und Verarbeitung der personenbezogenen Daten von Endnutzern sowie für die Übermittlung dieser Daten an Didit. Dies kann beispielsweise die ausdrückliche Einwilligung der betroffenen Person (insbesondere für biometrische Daten), die Erfüllung eines Vertrags, die Einhaltung einer rechtlichen Verpflichtung oder ein berechtigtes Interesse umfassen. Der Kunde verpflichtet sich, die erforderlichen Datenschutzhinweise bereitzustellen und die erforderlichen Einwilligungen von Endnutzern gemäß anwendbarem Recht einzuholen, bevor er personenbezogene Daten an Didit sendet.

2.3 Anonymisiertes / Pseudonymisiertes Modelltraining und Betrugserkennung (Didit als unabhängiger Verantwortlicher): Der Kunde erkennt an und stimmt zu, dass Didit anonymisierte oder pseudonymisierte Daten, die aus Kundendaten abgeleitet wurden, für die folgenden Zwecke als unabhängiger Verantwortlicher verwenden darf:

(i) Training und Verbesserung von Verifizierungs-, Biometrie- und Betrugserkennungsmodellen, einschließlich Dokumentenklassifikatoren, Liveness, Face Match, Deepfake-Erkennung, Injection-Attack-Erkennung und Risikobewertungsmodellen, um die Sicherheit zu erhöhen, Betrug zu reduzieren und die Genauigkeit der Dienste für alle Kunden zu verbessern.

(ii) Kundenübergreifende Betrugspräventionsmaßnahmen, die bekannte betrügerische Akteure, Angriffsmuster und versuchte wiederholte Betrugsfälle über verschiedene Kundenanwendungen hinweg, die Didits Dienste nutzen, identifizieren und kennzeichnen.

Didit verarbeitet diese Daten auf der Grundlage seines berechtigten Interesses am Betrieb einer sicheren und genauen Identitäts- und Betrugsinfrastruktur und wendet Anonymisierungs-, Pseudonymisierungs-, Aggregations- und Zugriffskontrollen an, sodass die für diese Zwecke verwendeten Daten außerhalb des zugrunde liegenden Verifizierungsdatensatzes nicht vernünftigerweise einer identifizierbaren Person zugeordnet werden können.

Opt-out. Der Kunde (oder ein betroffener Endnutzer) kann der in diesem Abschnitt 2.3 beschriebenen Verarbeitung widersprechen, indem er (a) den zugrunde liegenden Verifizierungsdatensatz über die API oder die Business Console löscht, wodurch der Datensatz beim nächsten Aktualisierungszyklus aus den Trainingspipelines entfernt wird, oder (b) eine E-Mail an privacy@didit.me mit dem relevanten Sitzungsbezeichner oder Konto sendet und einen Opt-out beantragt. Opt-outs gelten prospektiv ab dem Datum der Anfrage; Didit wird auch wirtschaftlich angemessene Anstrengungen unternehmen, um berechtigte Datensätze aus aktiven Trainingsdatensätzen zu löschen.

3. Didits Pflichten (Datenverarbeiter): Didit verpflichtet sich: (i) Personenbezogene Daten nur auf dokumentierte Anweisungen des Kunden zu verarbeiten, es sei denn, dies ist durch das Recht der Union oder der Mitgliedstaaten vorgeschrieben, in welchem Fall Didit den Kunden vor der Verarbeitung über diese rechtliche Anforderung informiert, es sei denn, dieses Recht verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses. (ii) Die Vertraulichkeit personenbezogener Daten zu gewährleisten. Didit stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, sich zur Vertraulichkeit verpflichten oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen. (iii) Angemessene und starke technische und organisatorische Maßnahmen (TOMs) zu implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich Datenverschlüsselung im Ruhezustand (AES-256) und während der Übertragung (TLS 1.3), Schlüsselverwaltung in einem dedizierten Key Management Service (KMS), rollenbasierter Zugriffskontrolle, Umgebungstrennung, Resilienz von Verarbeitungssystemen und -diensten, kontinuierlicher Überwachung und regelmäßiger Sicherheitstests. Didit unterhält SOC 2 Typ 1 (Sicherheit, Verfügbarkeit, Vertraulichkeit; SOC 2 Typ 2 ausgestellt am 30. Juli 2026), ISO/IEC 27001:2022, iBeta Level 1 Presentation Attack Detection (PAD) gemäß ISO/IEC 30107-3 und die Tesoro / SEPBLAC / CNMV Sandbox-Bestätigung, ausgestellt gemäß Spaniens Ley 7/2020 Finanz-Sandbox. (iv) Den Kunden zu unterstützen bei der Erfüllung seiner Pflichten als Datenverantwortlicher, unter Berücksichtigung der Art der Verarbeitung und der Didit zur Verfügung stehenden Informationen, einschließlich:

(v) Den Kunden unverzüglich über jede Verletzung des Schutzes personenbezogener Daten zu informieren, von der Didit Kenntnis erlangt. Didit wird dem Kunden bekannte Informationen über die Verletzung zur Verfügung stellen und mit dem Kunden zusammenarbeiten, um deren Auswirkungen zu mindern und die Meldepflichten zu erfüllen.

4. Pflichten des Kunden (Datenverantwortlicher): Der Kunde verpflichtet sich: (i) Eine angemessene rechtmäßige Grundlage für die Verarbeitung und Übermittlung personenbezogener Daten an Didit zu schaffen und aufrechtzuerhalten. (ii) Die erforderlichen Datenschutzhinweise bereitzustellen und die erforderlichen Einwilligungen von Endnutzern gemäß den anwendbaren Datenschutzgesetzen einzuholen, bevor Didits Dienste genutzt werden. (iii) Datenaufbewahrungsfristen über Didits Konsole oder API gemäß seinen eigenen rechtlichen Verpflichtungen und internen Richtlinien zu konfigurieren. (iv) Auf Anfragen von Aufsichtsbehörden oder betroffenen Personen zu reagieren, die Didit an den Kunden weiterleitet.

5. Unterauftragsverarbeiter: Der Kunde erteilt Didit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für die Verarbeitung personenbezogener Daten. Didit führt eine aktualisierte Liste seiner Unterauftragsverarbeiter, veröffentlicht unter didit.me/terms/sub-processors, die die kanonische Liste ist, auf die sich dieser DPA bezieht. Detaillierte Informationen zu den vertraglichen Schutzmaßnahmen, die mit jedem Unterauftragsverarbeiter bestehen, sind auf schriftliche Anfrage an legal@didit.me unter einer unterzeichneten Geheimhaltungsvereinbarung erhältlich. Didit gibt mindestens dreißig (30) Tage im Voraus eine Mitteilung über eine beabsichtigte Hinzufügung oder Ersetzung über diese Seite und die Business Console; der Kunde kann aus vernünftigen datenschutzrechtlichen Gründen innerhalb von dreißig (30) Tagen nach der Mitteilung an privacy@didit.me widersprechen, wonach die Parteien in gutem Glauben dreißig (30) Tage lang zusammenarbeiten, um den Widerspruch zu lösen – falls dies fehlschlägt, kann Didit beschließen, den Unterauftragsverarbeiter nicht zu beauftragen, oder der Kunde kann die Nutzung des betroffenen Dienstes einstellen und diesen kündigen; ungenutzte gekaufte Guthaben bleiben für den Verbrauch über die verbleibenden Dienste verfügbar und es ist keine Rückerstattung auf diesem Konto fällig. Didit auferlegt seinen Unterauftragsverarbeitern Datenschutzpflichten, die im Wesentlichen denen ähneln, die in diesem DPA festgelegt sind, und bleibt dem Kunden gegenüber für die Einhaltung dieser Pflichten durch seine Unterauftragsverarbeiter voll haftbar. Der Kunde kann einem neuen Unterauftragsverarbeiter aus vernünftigen datenschutzrechtlichen Gründen widersprechen, in welchem Fall die Parteien in gutem Glauben zusammenarbeiten, um eine Lösung zu finden, einschließlich der Möglichkeit, den betroffenen Dienst zu kündigen.

6. Sicherheitsverletzungen: Im Falle einer Verletzung des Schutzes personenbezogener Daten: (i) Didit wird den Kunden unverzüglich und in jedem Fall innerhalb von achtundvierzig (48) Stunden nach Bestätigung einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, per E-Mail an den vom Kunden benannten Kontakt und über die Business Console benachrichtigen – rechtzeitig, damit der Kunde seine eigene 72-Stunden-Meldepflicht gemäß Artikel 33 DSGVO erfüllen kann. Didit wird mindestens alle achtundvierzig (48) Stunden Statusaktualisierungen bereitstellen, bis die Lösung erfolgt ist, und für kritische (P1) Vorfälle eine Ursachenanalyse innerhalb von fünfzehn (15) Werktagen nach der Lösung. (ii) Didit wird dem Kunden Details über die Verletzung zur Verfügung stellen, einschließlich der Art der Verletzung, der Kategorien der betroffenen Daten, der ungefähren Anzahl der betroffenen betroffenen Personen und Datensätze, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Minderung möglicher nachteiliger Auswirkungen. (iii) Didit wird angemessen mit dem Kunden bei der Untersuchung der Verletzung und bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen zusammenarbeiten, obwohl die endgültige Entscheidung über solche Meldungen beim Kunden liegt.

7. Internationale Datenübermittlungen: Die von Didit verarbeiteten Primärdaten werden im Europäischen Wirtschaftsraum (EWR) gehostet. Jede Übermittlung personenbezogener Daten außerhalb des EWR durch Didit oder seine Unterauftragsverarbeiter erfolgt nur auf der Grundlage eines rechtlich anerkannten Übermittlungsmechanismus gemäß DSGVO, wie z. B. von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs), ein Angemessenheitsbeschluss oder jeder andere anwendbare rechtliche Mechanismus zur Gewährleistung eines angemessenen Schutzniveaus.

8. Löschung / Rückgabe personenbezogener Daten: Auf schriftliche Anfrage des Kunden oder bei Beendigung dieser Vereinbarung wird Didit nach Wahl des Kunden alle personenbezogenen Daten löschen oder an den Kunden zurückgeben, es sei denn, anwendbares Recht verlangt von Didit die Aufbewahrung der personenbezogenen Daten. Der Kunde kann die Löschung seiner personenbezogenen Daten über Didits API oder Konsole gemäß seiner eigenen Aufbewahrungsrichtlinie verwalten.

9. Audit und Dokumentation: Didit wird dem Kunden auf Anfrage und mit angemessener Vorankündigung (mindestens 30 Tage) alle Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung der in diesem DPA festgelegten Verpflichtungen nachzuweisen. Falls der Kunde ein direktes Audit von Didits Einrichtungen oder Systemen verlangt, ist ein solches Audit begrenzt und nicht-invasiv, vorbehaltlich einer gegenseitigen Vereinbarung über Umfang und Methodik, und der Kunde trägt die damit verbundenen angemessenen Kosten. Auf Anfrage und unter einer unterzeichneten NDA stellt Didit seine SOC 2 Typ 1- und SOC 2 Typ 2-Berichte, das ISO/IEC 27001:2022-Zertifikat, den iBeta Level 1 PAD-Testbericht und die veröffentlichte Tesoro / SEPBLAC / CNMV-Sandbox-Schlussfolgerung als Audit-Artefakte zur Verfügung.

10. Laufzeit des DPA: Dieser DPA hat die gleiche Laufzeit wie die Hauptvereinbarung. Die Klauseln dieses DPA, die sich auf Vertraulichkeit, Löschung, Haftung und Audit beziehen, bleiben nach Beendigung der Vereinbarung in Kraft, soweit dies zur Einhaltung der geltenden Gesetze erforderlich ist.