Allgemeine Geschäftsbedingungen

1. Geltungsbereich

Diese AGB gelten für alle Dienstleistungen der Bastion GmbH in Gründung, Am Wasser 55, 8049 Zürich (nachfolgend «Bastion»), gegenüber ihren Kunden. Abweichende Bedingungen des Kunden gelten nur, wenn Bastion sie schriftlich anerkennt. Individuelle schriftliche Vereinbarungen gehen diesen AGB vor.

2. Leistungen

Bastion erbringt Dienstleistungen in den Bereichen Aufbau und Absicherung von Microsoft-365-Umgebungen, Security Operations, Sicherheitsanalysen und Audits sowie Incident Response und digitale Forensik. Umfang und Inhalt der Leistungen ergeben sich aus der jeweiligen Offerte oder Auftragsbestätigung.

Die Leistungen von Bastion sind Dienstleistungen im Sinne des Auftragsrechts (Art. 394 ff. OR). Bastion verpflichtet sich zu sorgfältigem Handeln nach anerkannten Regeln der Technik. Ein bestimmter Erfolg ist nur geschuldet, wenn er ausdrücklich schriftlich zugesichert wurde. Insbesondere kann absolute Sicherheit vor Cyberangriffen weder hergestellt noch garantiert werden; auch eine sorgfältig geschützte Umgebung kann angegriffen und kompromittiert werden.

3. Offerten und Vertragsabschluss

Offerten von Bastion sind 30 Tage gültig, sofern nichts anderes vermerkt ist. Der Vertrag kommt zustande durch schriftliche Annahme der Offerte (E-Mail genügt), durch Unterzeichnung einer Auftragsbestätigung oder durch Beginn der Leistungserbringung auf Wunsch des Kunden. Bei Notfalleinsätzen (Incident Response) kommt der Vertrag durch die telefonische oder schriftliche Beauftragung zustande; Bastion bestätigt Auftrag und Konditionen so rasch wie möglich schriftlich.

4. Mitwirkung des Kunden

Der Kunde stellt rechtzeitig alles bereit, was Bastion für die Leistungserbringung braucht, insbesondere die nötigen Zugänge und Berechtigungen zu seinen Systemen, eine entscheidungsbefugte Ansprechperson sowie vorhandene Dokumentationen. Der Kunde bestätigt, dass er berechtigt ist, Bastion Zugriff auf die betroffenen Systeme und Daten zu gewähren.

Verzögert sich die Leistungserbringung, weil Mitwirkungsleistungen ausbleiben, gehen daraus entstehender Mehraufwand und Terminverschiebungen zulasten des Kunden.

Der Kunde bleibt für seine Daten und deren Sicherung verantwortlich, soweit die Datensicherung nicht ausdrücklich Teil des Auftrags ist.

5. Vergütung

Die Vergütung richtet sich nach der Offerte. Ohne anderslautende Vereinbarung rechnet Bastion nach Aufwand zu den jeweils gültigen Stundenansätzen ab. Spesen und durchlaufende Kosten (z. B. Lizenzen, die Bastion im Auftrag des Kunden beschafft) werden zusätzlich verrechnet. Alle Preise verstehen sich in Schweizer Franken, zuzüglich einer allfälligen Mehrwertsteuer.

Rechnungen sind innert 10 Tagen ab Rechnungsdatum ohne Abzug zahlbar. Bei Zahlungsverzug kann Bastion nach Mahnung Verzugszinsen von 5 % verlangen und laufende Arbeiten bis zum Zahlungseingang einstellen.

6. Beizug Dritter und Fremdleistungen

Bastion darf für die Leistungserbringung Dritte beiziehen (z. B. spezialisierte Labors oder Rechenkapazität). Lizenzen und Abonnemente von Drittanbietern (insbesondere Microsoft) schliesst der Kunde direkt mit dem jeweiligen Anbieter ab; deren Vertrags- und Nutzungsbedingungen gelten unmittelbar zwischen Kunde und Anbieter.

7. Vertraulichkeit

Beide Parteien behandeln alle Informationen vertraulich, die sie im Rahmen der Zusammenarbeit über die andere Partei erfahren, und verwenden sie nur für die Erfüllung des Vertrags. Diese Pflicht gilt über das Vertragsende hinaus. Gesetzliche Auskunfts- und Meldepflichten bleiben vorbehalten.

Bastion darf den Kunden als Referenz nennen, wenn dieser vorgängig schriftlich zustimmt.

8. Datenschutz und Datenbearbeitung im Auftrag

Bastion bearbeitet Personendaten nach dem Schweizer Datenschutzgesetz (DSG). Erhält Bastion im Rahmen eines Auftrags Zugriff auf Personendaten des Kunden (z. B. bei forensischen Analysen von Postfächern und Logdaten), handelt Bastion als Auftragsbearbeiterin nach Art. 9 DSG: Bastion bearbeitet diese Daten nur im Rahmen des Auftrags, wahrt die Datensicherheit und zieht weitere Auftragsbearbeiter nur mit Zustimmung des Kunden bei. Auf Wunsch schliessen die Parteien eine separate Vereinbarung zur Auftragsbearbeitung ab.

Der Kunde bleibt Verantwortlicher im Sinne des DSG. Gesetzliche Meldepflichten des Kunden (etwa die Meldung von Verletzungen der Datensicherheit an den EDÖB nach Art. 24 DSG) bleiben bei ihm; Bastion unterstützt ihn auf Wunsch bei der Beurteilung und Dokumentation.

9. Haftung

Bastion haftet für Schäden, die sie vorsätzlich oder grobfahrlässig verursacht. Die Haftung für leichte Fahrlässigkeit sowie für Hilfspersonen ist ausgeschlossen, soweit das Gesetz dies zulässt. Die Haftung ist pro Schadenereignis und insgesamt auf die Vergütung beschränkt, die der Kunde für den betroffenen Auftrag bezahlt hat, höchstens auf CHF 5'000.

Diese Obergrenze trägt der laufenden Gründungsphase der Bastion GmbH Rechnung. Nach der Eintragung der Gesellschaft im Handelsregister und dem Abschluss einer Berufshaftpflichtversicherung wird die Obergrenze in einer aktualisierten Fassung dieser AGB erhöht.

Bastion haftet nicht für indirekte Schäden und Folgeschäden wie entgangenen Gewinn, Betriebsunterbruch, Datenverlust oder Reputationsschäden. Bastion haftet insbesondere nicht für Schäden aus Angriffen, die trotz sorgfältig erbrachter Leistung erfolgen, für Handlungen Dritter oder für Mängel an Produkten und Diensten von Drittanbietern.

Bei Incident-Response-Einsätzen entscheidet Bastion nach pflichtgemässem Ermessen über Sofortmassnahmen (z. B. Sperrung von Konten oder Isolation von Geräten). Für Auswirkungen solcher Massnahmen auf den Betrieb des Kunden haftet Bastion nur bei Vorsatz oder grober Fahrlässigkeit.

10. Arbeitsergebnisse und Immaterialgüterrechte

Berichte, Analysen und Dokumentationen, die Bastion für den Kunden erstellt, darf der Kunde für interne Zwecke sowie zur Vorlage bei Versicherungen und Behörden frei verwenden. Werkzeuge, Skripte, Vorlagen und Know-how, die Bastion einsetzt oder weiterentwickelt, bleiben im Eigentum von Bastion; der Kunde erhält daran ein nicht übertragbares Nutzungsrecht, soweit es für die Nutzung der Arbeitsergebnisse nötig ist.

11. Beendigung

Aufträge können von beiden Parteien jederzeit im Rahmen von Art. 404 OR beendet werden. Bereits erbrachte Leistungen und angefallener Aufwand sind zu vergüten. Erfolgt die Beendigung zur Unzeit, bleibt die Ersatzpflicht nach Art. 404 Abs. 2 OR vorbehalten. Für wiederkehrende Leistungen (z. B. laufende Überwachung) gelten die in der Offerte vereinbarten Laufzeiten und Kündigungsfristen.

12. Gesellschaft in Gründung

Die Bastion GmbH befindet sich in Gründung. Bis zum Eintrag ins Handelsregister handeln die Gründer Luca Seeberger und Devon Waller im Namen der Gesellschaft in Gründung und haften nach den gesetzlichen Bestimmungen persönlich und solidarisch. Mit dem Eintrag und der Übernahme der Verpflichtungen durch die Gesellschaft gehen die Rechte und Pflichten aus bestehenden Verträgen auf die Bastion GmbH über.

13. Schlussbestimmungen

Sollte eine Bestimmung dieser AGB unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

Es gilt Schweizer Recht unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG) und der Kollisionsnormen. Gerichtsstand ist Zürich.