Erlaubnis zur Sicherheitsprüfung (Prüffreigabe)

Parteien

Diese Erlaubnis erteilt Janeway.io UG (haftungsbeschränkt), August-Bebel-Straße 16, 16816 Neuruppin, eingetragen im Handelsregister beim Amtsgericht Neuruppin unter HRB 15191 NP, vertreten durch den Geschäftsführer Lukas Pritzkow, E-Mail für Mitteilungen: contact@janeway.io (nachfolgend „Janeway“)

dem

Name bzw. Firma: ……………………………

Anschrift: ……………………………

vertreten durch (bei Unternehmen): ……………………………

E-Mail für Mitteilungen: ……………………………

(nachfolgend „Prüfer“; Janeway und Prüfer gemeinsam die „Parteien“).

Diese Angabe dient der Einordnung; maßgeblich sind die tatsächlichen Umstände (§§ 13, 14 BGB).

---

§ 1 Gegenstand und Zweck

(1) Janeway gestattet dem Prüfer, die in § 2 bezeichneten Systeme im dort genannten Umfang und Zeitraum auf Sicherheitslücken zu untersuchen, um deren Sicherheit zu bewerten und Schwachstellen zu beheben (nachfolgend „Prüfung“).

(2) Diese Erlaubnis ist die Freigabe in Textform im Sinne der zwischen den Parteien geschlossenen Vertraulichkeitsvereinbarung (nachfolgend „NDA“). Die NDA regelt den Umgang mit Vertraulichen Informationen und Prüfergebnissen; diese Erlaubnis regelt, was der Prüfer tun darf. Widersprechen sich beide zur Vertraulichkeit, gilt die NDA; zum Umfang der zulässigen Prüfhandlungen gilt diese Erlaubnis.

(3) Wo diese Erlaubnis Textform verlangt, genügt eine lesbare Erklärung auf einem dauerhaften Datenträger, insbesondere eine E-Mail (§ 126b BGB).

(4) Die Erlaubnis begründet keinen Auftrag und keine Vergütungspflicht. Ob der Prüfer eine Vergütung oder Prämie erhält, bestimmt sich allein nach einer gesonderten Abrede.

§ 2 Erlaubte Ziele, Quelladressen und Zeitraum

(1) Erlaubt sind ausschließlich die hier bezeichneten Systeme (nachfolgend „Ziele“). Was hier nicht ausdrücklich steht, ist nicht erlaubt (§ 3).

(2) Erlaubte Domains, Hosts und Dienste:

……………………………

(3) Ausdrücklich ausgenommene Teile der Ziele (z. B. einzelne Pfade, Mandanten oder Konten):

……………………………

(4) Der Prüfer führt die Prüfung ausschließlich von folgenden Quell-IP-Adressen oder Netzbereichen aus; andere Quellen sind nicht erlaubt:

……………………………

(5) Prüfzeitraum: vom …………………………… bis ……………………………. Außerhalb dieses Zeitraums findet keine Prüfung statt. Wird kein Zeitraum eingetragen, endet die Erlaubnis einen Monat nach Unterzeichnung.

(6) Janeway stellt die für die Prüfung erforderlichen Zugänge und Testkonten gesondert in Textform bereit. Produktivdaten echter Kunden werden dabei nicht bereitgestellt.

§ 3 Nicht erfasst

(1) Nicht von dieser Erlaubnis gedeckt und damit untersagt sind insbesondere:

1. Systeme, Netze und Dienste Dritter, auch wenn Janeway sie nutzt, insbesondere Infrastruktur des Rechenzentrums, der Cloud- und Modellanbieter und sonstiger Vorlieferanten,
2. Konten, Arbeitsbereiche und Daten anderer Nutzer oder Kunden sowie personenbezogene Produktivdaten, soweit § 2 sie nicht ausdrücklich einbezieht,
3. Angriffe auf die Verfügbarkeit, insbesondere Denial-of-Service, Last- und Stresstests sowie das Ausschöpfen von Kontingenten,
4. Social Engineering, Phishing und sonstige Täuschung von Mitarbeitern, Kunden oder Dienstleistern, physischer Zutritt sowie Angriffe über die Lieferkette,
5. das Verändern, Löschen oder Verschlüsseln von Daten, das Einrichten dauerhafter Zugänge, Hintertüren oder Persistenz sowie jede Beeinträchtigung des laufenden Betriebs über das zum Nachweis Erforderliche hinaus,
6. das Ausleiten von Daten über den Nachweis einer Schwachstelle hinaus.

(2) Erkennt der Prüfer, dass ein Zugang ihn zu Systemen oder Daten außerhalb der Ziele führt, bricht er diesen Weg ab, nimmt keine weiteren Daten zur Kenntnis und meldet dies nach § 6.

§ 4 Vorgehensweise und Grenzen

(1) Der Prüfer wählt das Vorgehen so, dass Beeinträchtigungen der Ziele und Dritter so gering wie möglich bleiben, und vermeidet jeden dauerhaften Schaden.

(2) Greift der Prüfer zum Nachweis einer Schwachstelle auf Daten zu, beschränkt er sich auf möglichst wenige Datensätze, ruft keine weiteren ab und gibt sie nicht an Dritte weiter.

(3) Überlassene oder aufgefundene Zugangsdaten, Schlüssel und Tokens nutzt der Prüfer nur im Umfang dieser Erlaubnis, gibt sie nicht weiter und verwendet aufgefundene Zugangsdaten nicht über den Nachweis ihrer Gültigkeit hinaus.

(4) Der Prüfer beauftragt Dritte mit der Prüfung nur mit vorheriger Zustimmung von Janeway in Textform; für ihr Verhalten haftet er wie für eigenes.

§ 5 Personenbezogene Daten

(1) Für personenbezogene Daten, auf die der Prüfer bei der Prüfung Zugriff erlangt, gilt § 5 der NDA. Er beschränkt den Zugriff auf den Nachweis der Schwachstelle mit möglichst wenigen Datensätzen und unterrichtet Janeway unverzüglich, spätestens binnen 24 Stunden, in Textform über Art, Umfang und Zeitpunkt des Zugriffs.

(2) Diese Erlaubnis allein begründet keine Auftragsverarbeitung. Soll der Prüfer personenbezogene Daten im Auftrag von Janeway verarbeiten, schließen die Parteien vorher einen Vertrag nach Art. 28 DSGVO.

§ 6 Meldung von Funden und Veröffentlichung

(1) Schwachstellen und Prüfergebnisse meldet der Prüfer unverzüglich an contact@janeway.io. Eine Schwachstelle, die eine unmittelbare Gefahr für Daten oder den Betrieb begründet, meldet er zusätzlich sofort telefonisch unter +49 3391 3423 000.

(2) Die Meldung beschreibt die Schwachstelle so, dass Janeway sie nachvollziehen und beheben kann, und nennt die betroffenen Ziele.

(3) Die Veröffentlichung von Schwachstellen und Prüfergebnissen oder ihre Nennung als Referenz richtet sich nach § 2 Abs. 3 der NDA: Sie ist erst nach Behebung und nur mit vorheriger Zustimmung von Janeway in Textform zulässig. Janeway hält die Zustimmung nicht ohne sachlichen Grund zurück.

§ 7 Abbruch, Störung und Notfall

(1) Janeway kann diese Erlaubnis jederzeit ohne Angabe von Gründen in Textform für die Zukunft widerrufen, aussetzen oder einschränken. Mit Zugang des Widerrufs oder der Aussetzung stellt der Prüfer die Prüfung unverzüglich ein.

(2) Bemerkt der Prüfer eine Störung, einen Ausfall oder eine unbeabsichtigte Wirkung seiner Prüfung, stellt er die auslösende Handlung sofort ein und meldet dies unverzüglich.

(3) Notfallkontakt für Störungen während der Prüfung: +49 3391 3423 000, außerhalb der Geschäftszeiten +49 176 41 41 61 21.

§ 8 Rechtsfolgen und Haftung

(1) Diese Erlaubnis ist die Einwilligung des Berechtigten in die beschriebenen Prüfhandlungen. Handlungen im Umfang dieser Erlaubnis sind gestattet. Handlungen außerhalb dieses Umfangs sind nicht gestattet und können straf- und zivilrechtliche Folgen haben, insbesondere nach den §§ 202a bis 202d und 303a, 303b StGB.

(2) Hält der Prüfer sich an diese Erlaubnis und an § 4, haftet er nicht für Beeinträchtigungen der Ziele, die sich trotz sorgfältigen Vorgehens aus der erlaubten Prüfung ergeben. Im Übrigen haftet er nach den gesetzlichen Vorschriften, insbesondere für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus Handlungen außerhalb des erlaubten Umfangs.

(3) Janeway übernimmt keine Gewähr für die Beschaffenheit der Ziele. Für den Produktivbetrieb trägt Janeway das Risiko der von ihr freigegebenen Prüfung selbst; die Haftung des Prüfers nach Absatz 2 bleibt unberührt.

§ 9 Laufzeit

(1) Diese Erlaubnis tritt mit Zugang der letzten Unterzeichnung in Kraft und endet mit Ablauf des Prüfzeitraums nach § 2 Abs. 5 oder mit Widerruf nach § 7, ohne dass es einer Kündigung bedarf.

(2) Die Pflichten zur Vertraulichkeit und zum Umgang mit Prüfergebnissen richten sich auch nach Ende dieser Erlaubnis nach der NDA und gelten nach deren Maßgabe fort.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Erlaubnis, auch des Umfangs nach § 2, bedürfen der Textform. Individuelle Abreden haben Vorrang (§ 305b BGB).

(2) Diese Erlaubnis kann auch durch Austausch unterzeichneter Scans oder elektronisch geschlossen werden. Jede Partei erhält eine Ausfertigung.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gegenüber Verbrauchern bleiben die zwingenden Schutzvorschriften des Staates ihres gewöhnlichen Aufenthalts unberührt.

(4) Ist der Prüfer Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus dieser Erlaubnis der Sitz von Janeway.

(5) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt. An ihre Stelle tritt die gesetzliche Regelung.

---

Unterschrift