Vertrag für vertrauende Dritte

Transkript

1 Vertrag für vertrauende Dritte SIE NACHFOLGEND AUCH VERTRAUENDER DRITTER GENANNT MÜSSEN DIESEN VERTRAG FÜR VERTRAUENDE DRITTE NACHFOLGEND VERTRAG GENANNT LESEN UND SICH MIT DEN BEDINGUNGEN EINVERSTANDEN ERKLÄREN, BEVOR SIE EIN VERISIGN TRUST NETWORKSM ( VTN ) ZERTIFIKAT UNTER VERWENDUNG DES S-TRUST ONLINE CERTIFICATE STATUS PROTOCOL ( OCSP ) DIENSTES VERIFIZIEREN; ODER DIE S-TRUST DATENBANK ÜBER ZERTIFIKATSSPERRUNGEN UND ANDERE INFORMATIONEN ( REPOSITORY ) ODER EINE VON S-TRUST HERAUSGEGEBENE ZERTIFIKATSSPERRLISTE (S-TRUST- CRL ) NUTZEN. SOLLTEN SIE MIT DEN BEDINGUNGEN DIESES VERTRAGES NICHT EINVERSTANDEN SEIN, DÜRFEN SIE KEINE SUCHANFRAGE AN ODER EINEN DOWNLOAD VON ODER EINE SONSTIGE NUTZUNG EINER S-TRUST-DATENBANK ODER -CRL VORNEHMEN; SIE SIND DANN NICHT BERECHTIGT, DIE S-TRUST DATENBANK ( REPOSITORY ) ODER EINE S-TRUST-CRL ZU NUTZEN. 1. Inkrafttreten des Vertrags Dieser Vertrag tritt in Kraft, wenn Sie eine Anfrage übermitteln, um nach einem Zertifikat zu suchen oder eine elektronische Signatur zu verifizieren, die mit einen privaten Schlüssel erstellt wurde, der einem in einem Zertifikat enthaltenen öffentlichen Schlüssel entspricht, oder bei downloaden einer S-TRUST-CRL, oder wenn Sie die von der S-TRUST Datenbank ( Repository ) oder der S-TRUST- Webseite oder einer S-TRUST-CRL bereitgestellten Informationen bzw. Dienste oder die S-TRUST-OCSP-Dienste nutzen. Verträge für vertrauende Dritte, die innerhalb der S-TRUST-Subdomäne des VTN gültig sind, können unter abgerufen werden. 2. Definitionen Die in diesem Vertrag verwendeten Begriffe haben folgende Bedeutung, soweit nichts abweichenderes geregelt wird: Datenbank ( Repository ) ist ein Teilbereich der S-TRUST-Webseite, von der vertrauende Dritte, Endteilnehmer und die Öffentlichkeit S-TRUST-Schrifttum, insbesondere das S-TRUST CPS, Vertragsmuster und Sperrlisten abrufen können. Endteilnehmer bedeutet eine Person, die Subjekt eines Zertifikates ist und für welche ein Zertifikat ausgestellt wurde. Endteilnehmer-Vertrag bedeutet ein von einer CA oder RA verwendeter Vertrag, der die Bedingungen festlegt, unter denen eine natürliche Person oder Organisation als Endteilnehmer handeln muss. Deutscher Sparkassen Verlag GmbH, Version 3.0, Stand Änderungen vorbehalten. S-TRUST ist ein Unternehmenskennzeichen der Deutscher Sparkassen Verlag GmbH. VeriSign ist eine eingetragene Marke von VeriSign, Inc.

2 Nicht verifizierte Endteilnehmerinformationen ( NSI ) bedeutet eine von einem Zertifikatsantragsteller an eine CA oder RA übermittelte und in einem Zertifikat enthaltene Information, die nicht von der CA oder RA bestätigt wurde, und für die die zuständige CA und RA keinerlei Zusicherungen machen, mit Ausnahme, dass sie von dem Zertifikatsantragsteller übermittelt wurde. Registrierungsstelle ( RA ) bedeutet eine von einer CA anerkannte Stelle, die Zertifikatsantragstellern bei der Beantragung von Zertifikaten behilflich ist und Zertifikatsanträge annimmt, genehmigt oder verweigert, Zertifikate sperrt oder Zertifikate erneuert. Repository (Datenbank) ist ein Teilbereich der S-TRUST-Webseite, von der vertrauende Dritte, Endteilnehmer und die Öffentlichkeit S-TRUST-Schrifttum, insbesondere das S-TRUST CPS, Vertragsmuster und Sperrlisten abrufen können. S-TRUST-CPS bedeutet, dass S-TRUST Certification Practice Statement - Zertifizierungsrichtlinien für das VeriSign Trust Network SM in der jeweils gültigen Fassung, das unter abgerufen werden kann. VeriSign Trust Network SM ( VTN ) bedeutet eine weltweite Public-Key-Infrastruktur, die Zertifikate für verschiedene Anwendungen unterstützt. S-TRUST ist einer der Serviceprovider innerhalb des VTN, zusammen mit VeriSign, Inc. und seinen Affiliates und Partnern weltweit. Vertrauender Dritter bedeutet eine natürliche Person oder eine Organisation, die im Vertrauen auf ein Zertifikat und/oder eine elektronische Signatur handelt. Zertifikat bedeutet eine elektronisch signierte Nachricht, die den öffentlichen Schlüssel des Endteilnehmers enthält und diesen mit Informationen, die durch S-TRUST oder eine von S-TRUST ermächtigte Stelle authentifiziert wurden, verknüpft. Zertifikatsantragsteller bedeutet eine natürliche Person oder Organisation, die die Ausgabe eines Zertifikats durch eine Zertifizierungsstelle ( CA ) beantragt. Zertifikatskette bedeutet eine geordnete Zertifikatsliste, die ein Endteilnehmerzertifikat und CA-Zertifikate enthält und in einem Root-Zertifikat endet. Zertifizierungsstelle (Certification Authority, CA ) bedeutet eine Stelle, die zur Ausstellung, Verwaltung, Sperrung und Erneuerung von Zertifikaten im VTN berechtigt ist. 3. Zusicherung ausreichender Informiertheit Sie bestätigen und sichern zu, dass Sie für die Entscheidung, ob Sie sich auf die Angaben in einem Zertifikat verlassen, über ausreichende Informationen verfügen. Sie bestätigen ferner und sichern zu, dass Ihre Nutzung der Datenbank ( Repository ), einer S-TRUST-CRL und der S-TRUST-OCSP-Dienste sich nach den Bestimmungen dieses Vertrages und des S-TRUST-CPS richten. Es obliegt allein Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 2 von 10

3 Ihnen zu entscheiden, ob Sie sich auf die Informationen in einem Zertifikat verlassen. Sie bestätigen und sichern zu, dass Sie allein die rechtlichen Konsequenzen einer etwaigen Verletzung Ihrer Pflichten als vertrauender Dritter gemäß diesem Vertrag tragen. 4. VTN-Zertifikate Die Zertifikate, auf die man sich gemäß diesem Vertrag verlassen darf, werden innerhalb es VTN ausgestellt. Das VTN ist eine weltweite Public-Key-Infrastruktur, das Zertifikate für verschiedene Anwendungen unterstützt. S-TRUST ist einer der Serviceprovider innerhalb des VTN, zusammen mit VeriSign und seinen Affiliates und Partnern weltweit. Das VTN und S-TRUST bieten unter diesem Vertrag drei verschiedene Klassen von Zertifizierungsdiensten, Zertifikatsklassen 1 bis 3, für das Internet und andere Netzwerke an. Jede Zertifikatsklasse bietet spezifische Funktionalitäten und Sicherheitsmerkmale und korrespondiert mit einem spezifischen Vertrauensniveau. In den nachfolgenden Unterabsätzen wird die zulässige Verwendung die Authentifizierungsverfahren für jede Zertifikatsklasse dargestellt. Nähere Informationen über S-TRUST Zertifizierungsdienste entnehmen Sie bitte dem S-TRUST Certifikation Practice Statement Zertifizierungsrichtlinien für das VeriSign Trust Network ( S-TRUST-CPS ), das über abrufbar ist. a) Klasse 1 Zertifikate. Klasse 1 Zertifikate bieten das niedrigste Sicherheitsniveau innerhalb des VTN. Diese Zertifikate werden nur an natürliche Personen als Endteilnehmer ausgegeben. Die Authentifizierungsverfahren basieren auf der Absicherung, dass der eindeutige Name (distinguished name) des Endteilnehmers einmalig und eindeutig innerhalb der Domäne (Zertifikatshierarchie) einer bestimmten Zertifizierungsstelle ( Certification Authority oder CA ), und dass eine bestimmte anschrift mit dem öffentlichen Schlüssel verknüpft ist. Klasse 1 Zertifikate können für elektronische Signaturen, Verschlüsselung und Zugangskontrollen für nicht kommerzielle oder geringwertige Transaktionen benutzt werden, bei denen eine Überprüfung der Identität nicht erforderlich ist. b) Klasse 2 Zertifikate Klasse 2 Zertifikate bieten ein mittleres Sicherheitsniveau im Vergleich zu den anderen zwei Klassen. Auch diese Zertifikate werden nur an natürliche Personen ausgegeben. Zusätzlich zu dem für Klasse 1 Zertifikate verwendeten Identifizierungsverfahren wird für eine Klasse 2 Authentifizierung ein Vergleich zwischen den Informationen im Zertifikatsantrag mit Informationen in Geschäftsunterlagen oder Datenbanken eines von S-TRUST zugelassenen Identitätsprüfungsservice durchgeführt. Klasse 2 Zertifikate können für elektronische Signaturen, Verschlüsselung und Zugangskontrollen einschließlich einer gewissen Überprüfung der Identität für Transaktionen mit mittleren Werten verwendet werden. Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 3 von 10

4 c) Klasse 3 Zertifikate Klasse 3 Zertifikate verfügen über das höchste Sicherheitsniveau innerhalb des VTN. Klasse 3 Zertifikate werden an natürliche und juristische Personen ausgegeben zur Nutzung sowohl für Client- als auch für Server-Software. Klasse 3 Zertifikate für natürliche Personen können für elektronische Signaturen, Verschlüsselung und Zugangskontrollen einschließlich zur Identitätsprüfung auch bei hochwertigen Transaktionen verwendet werden. Klasse 3 Zertifikate für natürliche Personen bieten eine Absicherung der Identität des Endteilnehmers aufgrund einer persönlichen Vorsprache des Endteilnehmers bei einer Person, die die Identität des Endteilnehmers anhand eines anerkannten amtlichen Ausweisdokuments und eines weiteren Ausweispapiers überprüft 1. Klasse 3 Organisationszertifikate werden für Geräte für Authentifizierungsfunktionen, Nachricht-, Software- und Inhalts- Integrität und Signierung (Integrity and Signing), und zur Verschlüsselung ausgegeben. Klasse 3 Organisations-zertifikate bieten eine Absicherung der Identität des Endteilnehmers aufgrund einer Bestätigung, dass die Endteilnehmer- Organisationen tatsächlich existiert, diese den Zertifikatsantrag autorisiert hat, und dass die Person, die den Zertifikatsantrag im Namen der Endteilnehmer- Organisation übermittelt hat, hierzu bevollmächtigt war. Klasse 3 Organisationszertifikate für Server bieten ferner eine Absicherung, dass die Endteilnehmer-Organisation berechtigt ist, den im Zertifikatsantrag genannten Domain-Name zu verwenden. 5. Ihre besonderen Pflichten (besondere Pflichten des vertrauenden Dritten) Als vertrauender Dritter sind Sie verpflichtet, a) selbständig zu beurteilen, ob die Nutzung eines Zertifikats für einen bestimmten Zweck geeignet ist und zu entscheiden, ob das Zertifikat tatsächlich für einen geeigneten Zweck genutzt wurde; b) sich nur dann auf ein Zertifikat zu verlassen, wenn Sie für die Überprüfung elektronischer Signaturen oder bei Ausführen anderer kryptografischer Verfahren geeignete Software und/oder Hardware verwenden. Dazu gehört auch das Erkennen einer Zertifikatskette und die Verifizierung der elektronischen Signaturen aller Zertifikate in der Zertifikatskette. Sie dürfen auf ein Zertifikat nicht vertrauen, es sei denn, diese Verifizierungen waren vollständig erfolgreich; c) den Status eines Zertifikats zu überprüfen, auf das Sie vertrauen wollen, sowie aller weiterer Zertifikate in dessen Zertifikatskette. Ist ein Zertifikat in der Zertifikatskette gesperrt, dürfen Sie nicht auf das Endteilnehmerzertifikat oder irgendein Zertifikat in der Zertifikatskette vertrauen; 1 S-TRUST stellt im Rahmen dieses Vertrages keine qualifizierten Zertifikate nach 2 Nr. 7 Signaturgesetz (SigG) aus. Daher unterscheidet sich das Verfahren zur Identifizierung des Zertifikatsantragstellers von den in 5 SigG, 4 SigV vorgeschriebenen Verfahren zur Identitätsprüfung. Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 4 von 10

5 d) nur dann auf ein Zertifikat zu vertrauen, wenn alle in den vorstehenden Absätzen beschriebenen Überprüfungen erfolgreich waren, und vorausgesetzt ein solches Vertrauen ist unter den tatsächlich gegebenen Umständen und unter Berücksichtigung der Regelungen in Nr. 3 angebracht. Lassen Umstände eine zusätzliche Überprüfung oder Bestätigung erforderlich erscheinen, ist es Ihre Pflicht, sich diese zu besorgen; und e) den maßgebenden Endteilnehmer-Vertrag einzuhalten, wenn Sie zugleich Endteilnehmer sind. Sie werden ausdrücklich darauf hingewiesen, dass Sie vor Nutzung der Leistungen von S-TRUST eine entsprechende Schulung in der Nutzung von Public-Key- Verfahren absolvieren sollten. Sie sind damit einverstanden, dass für die Nutzung der S-TRUST-Dienste Sie allein verantwortlich sind. Dies gilt insbesondere im Hinblick auf die Eignung der S-TRUST-Dienste für einen bestimmten Zweck und die Beurteilung, ob Sie auf eine elektronische Signatur und/oder ein Zertifikat vertrauen dürfen. 6. Nutzungsbeschränkungen Zertifikate, die im Rahmen des VTN ausgestellt werden, sind nicht zur Verwendung oder zum Weitervertrieb als Kontroll- oder Steuerungseinrichtungen in gefährlichen Umgebungen oder für Verwendungszwecke, bei denen ein ausfallsicherer Betrieb erforderlich ist, wie z.b. der Betrieb von nuklearen Einrichtungen, Flugzeugnavigations- oder -kommunikationssystemen, Luftverkehrs- Kontrollsystemen oder Waffenkontrollsystemen, wobei ein Ausfall direkt zum Tode, zu Personenschäden oder zu schweren Umweltschäden führen kann, vorgesehen, darauf ausgelegt oder zugelassen. Ebenso dürfen Klasse 1-Zertifikate nicht als Identitätsnachweis oder zur Unterstützung der Nichtabstreitbarkeit der Identität oder einer Berechtigung verwendet werden. S-TRUST und seine CA s und RA s sind nicht für die Beurteilung verantwortlich, ob die Nutzung eines Zertifikats geeignet oder angemessen ist. Sie sind als vertrauender Dritter damit einverstanden, dass Zertifikate nicht über die in diesem Vertrag geregelte beschränkte Nutzungsmöglichkeiten hinaus verwendet werden und/oder auf darüber hinaus verwendete Zertifikate vertraut wird. 7. Kompromittierung der VTN-Sicherheit Sie sind damit einverstanden, dass Sie weder das VTN noch seine technische Implementierung überwachen, diese beeinträchtigen oder störend beeinflussen oder zurückentwickeln, es sei denn mit vorheriger ausdrücklicher schriftlicher Zustimmung von S-TRUST. Sie verpflichten sich ferner, die Sicherheit des VTN nicht absichtlich zu gefährden oder zu beeinträchtigen. Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 5 von 10

6 8. Beschränkung der Pflichten von S-TRUST 8.1 S-TRUST verpflichtet sich gegenüber vertrauenden Dritten, die begründeterweise sich auf ein Zertifikat verlassen, dass a) sämtliche in dem Zertifikat enthaltenen oder durch Bezugnahme in das Zertifikat einbezogene Informationen zutreffend sind, mit Ausnahme von nicht verifizierten Endteilnehmer-Informationen ( NSI ); b) die in der Datenbank gespeicherten Zertifikate auf die natürliche Peron oder die Organisation, die in dem Zertifikat als Endteilnehmer genannt wird, ausgestellt wurden, und der Endteilnehmer das Zertifikat durch Download von einer Webseite akzeptiert hat oder das Zertifikat durch eine an den Endteilnehmer übermittelt wurde; und c) die Stellen, die den Zertifikatsantrag angenommen und das Zertifikat ausgestellt haben, bei der Ausstellung des Zertifikats die Anforderungen des S-TRUST-CPS im Wesentlichen erfüllt haben. 8.2 S-TRUST erbringt seine Leistung gemäß den ausdrücklichen Vereinbarungen in diesem Vertrag. S-TRUST macht keine darüber hinausgehenden Angaben, Zusagen, Zusicherungen oder Garantieren irgendwelcher Art. S-TRUST übernimmt insbesondere keine sonstigen Pflichten. S-TRUST schuldet keinen bestimmten Erfolg seiner Tätigkeit und macht keine Zusagen im Hinblick auf die Art und Güte oder die Eignung für einen bestimmten Zweck, soweit nicht ausdrücklich anderweitiges vereinbart ist. 9. Haftungsfreistellung durch Sie, den vertrauenden Dritten Sie verpflichten sich, S-TRUST und jede Nicht-S-TRUST CA oder RA und jeden deren Auftragnehmer, (Handels-)Vertreter, Arbeitnehmer, Führungskräfte, gesetzlichen Vertretungsorgane, Gesellschafter und verbundene Unernehmen und Personen von jeder Haftung, allen Ansprüchen, Schadensersatzansprüchen, Kosten und Auslagen, einschließlich angemessenen Anwaltsgebühren und Auslagen, Dritter zu befreien, freizustellen, dagegen zu verteidigen und schadlos zu halten aufgrund von oder im Zusammenhang mit a) jeder Nicht- oder Schlechterfüllung oder sonstigen Verletzung von Pflichten eines vertrauenden Dritten, b) wenn Ihr Vertrauen auf ein Zertifikat unter den tatsächlich gegebenen Umständen nicht angebracht war oder ist, oder c) Sie es unterlassen haben, den Status eines Zertifikats zu überprüfen, um festzustellen, ob die Gültigkeitsdauer des Zertifikats abgelaufen ist oder dieses gesperrt ist. Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 6 von 10

7 Droht ein Dritter an, S-TRUST zu verklagen, oder wird S-TRUST verklagt, kann S-TRUST von Ihnen die schriftliche Bestätigung Ihrer Zusage verlangen, S-TRUST von diesen Ansprüchen freizustellen. Erteilen Sie diese Bestätigung nicht, stellt dies eine wesentliche Verletzung dieses Vertrages dar. S-TRUST ist berechtigt, an der Abwehr jedes Anspruches eines Dritten durch Sie, der in Bezug zu einer Nutzung einer S-TRUST-Leistung steht, mitzuwirken. Sie sind allein für die Abwehr jeglicher Ansprüche gegenüber S-TRUST verantwortlich und zuständig; vor Abschluss eines Vergleichs oder einer ähnlichen Vereinbarung ist jedoch die ausdrückliche schriftliche Zustimmung von S-TRUST einzuholen. Die Regelungen dieses Abschnittes 9 gelten über eine Beendigung dieses Vertrages hinaus fort. 10. Haftungsbeschränkungen 10.1 Haftet S-TRUST, so gilt Folgendes: Die Haftung bei einfacher Fahrlässigkeit besteht nur bei Verzug, Unmöglichkeit und Verletzung einer wesentlichen Vertragspflicht. In diesen Fällen ist die Haftung ferner auf den voraussehbaren typischen Schaden (vertragstypischer Durchschnittsschaden) begrenzt. Dieser überschreitet bezogen auf die jeweilige Zertifikatsklasse die folgenden Haftungshöchstsummen nicht. Zertifikatsklassen Klasse 1 Euro 100,-- Haftungshöchstsummen Klasse 2 Euro 5.000,-- Klasse 3 Euro ,-- Dem Geschädigten bleibt der Nachweis eines typischerweise vorhersehbaren höheren Schadens (höherer vertragstypischer Durchschnittsschaden) unbenommen. Gegenüber Unternehmen ist darüber hinaus die Haftung für (Mangel-)Folgeschäden und sonstige Vermögensschäden ausgeschlossen (Mangel-)Folgeschäden sind insbesondere entgangener Gewinn und Datenverluste. Die Haftungsbeschränkung gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit. Im Übrigen bleibt die gesetzliche Haftung von S-TRUST unberührt, insbesondere die Haftung für Vorsatz, grobe Fahrlässigkeit, arglistiges Verschweigen eines Mangels, eine etwa übernommene Garantie sowie nach dem Produkthaftungsgesetz und dem Allgemeinen Gleichbehandlungsgesetz. Jede darüber hinausgehende Haftung ist ausgeschlossen. Im Umfang der vorstehenden Haftungsbeschränkung verzichten Sie auf Ansprüche aus Verschulden bei Vertragsverhandlungen (culpa in contrahendo). Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 7 von 10

8 10.2 Die Haftungsbeschränkung gilt auch gegenüber Dritten, die in den Schutzbereich der Vertragsbeziehung einbezogen werden, sowie zugunsten der gesetzlichen Vertreter, Arbeitnehmer, Mitarbeiter und sonstigen Verrichtungs- und Erfüllungsgehilfen von S-TRUST Die oben stehende Haftungsbeschränkung stellt eine Höchstsummenbeschränkung hinsichtlich der Haftung von S-TRUST für ein bestimmtes Zertifikat dar, gleichgültig wie viele elektronische Signaturen erstellt oder Transaktionen durchgeführt wurden oder wieviele Ansprüche geltend gemacht werden. 11. Verjährung 11.1 Verkürzung der regelmäßigen Verjährungsfrist Für vertragliche Ansprüche, bei denen der Beginn der Verjährungsfrist von der Kenntnis der den Anspruch begründenden Umstände und der Person des Schuldners abhängt oder davon, dass diese Kenntnis ohne grobe Fahrlässigkeit hätte erlangt werden müssen, gilt anstelle der regelmäßigen Verjährungsfrist von 3 Jahren ( 195 BGB) eine Verjährungsfrist von 2 Jahren Verkürzung der 10-jährigen Verjährungsfrist Für vertragliche Schadensersatzansprüche, die gemäß 199 Abs. 3 Nr. 1 BGB ohne Rücksicht auf die Kenntnis oder grob fahrlässiger Unkenntnis in 10 Jahren von ihrer Entstehung an verjähren, gilt anstelle der 10-jährigen Verjährungsfrist eine Verjährungsfrist von 8 Jahren Geltung gesetzlicher Regelungen Bei einer von S-TRUST zu vertretenden Verletzung von Leben, Körper oder Gesundheit sowie bei einem sonstigen Schaden, der auf einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung beruht, gelten die gesetzlichen Verjährungsfristen. Die gesetzlichen Verjährungsfristen gelten ferner bei arglistigem Verschweigen eines Mangels und bei Rückgriffsansprüchen nach 478 f. BGB. Im Übrigen gelten die gesetzlichen Regelungen. 12. Schutz bzw. Missbrauch eines privaten Schlüssels. Sie werden ausdrücklich auf die Möglichkeit eines Diebstahls oder einer anderen Form einer Kompromittierung des privaten Schlüssels, der dem in einem Zertifikat enthaltenen öffentlichen Schlüssel entspricht, hingewiesen, und auf den Umstand, dass ein solcher Diebstahl, Verlust oder eine Kompromittierung möglicherweise nicht entdeckt wird. Sie werden ferner ausdrücklich auf die Möglichkeit hingewiesen, dass ein gestohlener oder in Verlust geratener oder kompromittierter Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 8 von 10

9 privater Schlüssel dazu verwendet werden kann, eine elektronische Signatur zu erstellen bzw. zu fälschen und einem Dokument eine solche Signatur beizufügen. 13. Maßgebendes Recht Die Parteien vereinbaren, dass sämtliche Rechtsstreitigkeiten, die in Verbindung mit den im Rahmen dieses Vertrages bereitgestellten Leistungen stehen, in jeglicher Hinsicht deutschem Recht unterliegen und entsprechend ausgelegt werden, mit Ausnahme von dessen Kollisionsnormen. Die Parteien vereinbaren, dass das Übereinkommen der Vereinten Nationen über Verträge über den Internationalen Warenkauf auf diesen Vertrag nicht angewendet wird. 14. Gerichtsstand Gerichtsstand ist Stuttgart, Deutschland, soweit der Kunde Vollkaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Im übrigen gilt Stuttgart als Gerichtsstand für den Fall vereinbart, dass der Kunde im Inland keinen allgemeinen Gerichtsstand hat, dass er seinen Wohnsitz/gewöhnlichen Aufenthalt ins Ausland verlegt oder dieser unbekannt ist. 15. Salvatorische Klausel Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder dieser Vertrag Lücken enthalten, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Anstelle der unwirksamen Bestimmungen gilt diejenige wirksame Bestimmung als vereinbart, welche dem Sinn und Zweck der unwirksamen Bestimmung entspricht. Im Falle von Lücken, gilt dasjenige als vereinbart, was nach Sinn und Zweck dieses Vertrages vernünftigerweise vereinbart worden wäre, hätte man die Angelegenheit von vorn herein bedacht. 16. Höhere Gewalt Mit Ausnahme der Verpflichtung zur Zahlung und Haftungsfreistellung ist keine der Parteien im Rahmen dieses Vertrages eine Pflichtverletzung anzulasten noch kann die andere Partei verantwortlich gemacht werden für einen Abbruch, eine Unterbrechung oder Verzögerung bei der Erfüllung ihrer Verpflichtungen unter diesem Vertrag aufgrund Erdbeben, Überflutungen, Feuer, Stürmen, Naturkatastrophen, sonstige höhere Gewalt, Krieg, bewaffnete Konflikte, Terrorakten, Streik, Aussperrung, Boykott, vorausgesetzt, die Partei, die sich auf die Regelung in diesem Abschnitt 16 beruft, a) informiert die andere Partei umgehend schriftlich, jedenfalls innerhalb von 5 Tagen nach Kenntnis, und b) unternimmt alle angemessenen Schritte, die unter diesen Umständen vernünftiger Weise notwendig sind, die Auswirkungen des Ereignisses höherer Gewalt zu mindern; und ferner Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 9 von 10

10 c) dass die andere Partei diesen Endteilnehmer-Vertrag mit sofortiger Wirkung kündigen kann, wenn das Ereignis höherer Gewalt sich länger als 30 (dreißig) Tage erstreckt. 17. Fortbestehen von Bestimmungen 18. Abtretung Die Bestimmungen dieses Vertrages bleiben gültig und anwendbar, solange Sie auf ein Zertifikat vertrauen, den OSCP-Dienst nutzen, Zugang zu der S-TRUST- Datenbank mit CRL-Informationen haben oder diese nutzen sowie in jeder sonstigen Angelegenheit mit Bezug auf einen Gegenstand dieses Vertrages. Sie sind zur Abtretung ganz oder teilweise nur nach vorheriger schriftlicher Zustimmung durch S-TRUST berechtigt. 19. Mitteilungen Sämtliche Mitteilungen, Aufforderungen oder Anfragen im Zusammenhang mit diesem Endteilnehmer-Vertrag sind schriftlich zu richten an: S-TRUST Deutscher Sparkassen Verlag GmbH Am Wallgraben Stuttgart Tel.: Fax: Gesamter Vertrag Dieser Vertrag stellt die gesamte Vereinbarung zwischen S-TRUST und Ihnen im Hinblick auf die genannten Transaktionen dar und hat Vorrang gegenüber allen vorherigen und gleichzeitigen schriftlichen oder mündlichen Vereinbarungen zwischen S-TRUST und Ihnen im Zusammenhang mit dem Gegenstand dieses Vertrags. Vertrag für vertrauende Dritte, Version 3.0, Stand Seite 10 von 10