Vergabe- und Nutzungsbedingungen für certified app"

Transkript

1 Vergabe- und Nutzungsbedingungen für certified app" certified app", das Prüf- und Zertifizierungsschema der datenschutz cert GmbH für mobile Anwendungen datenschutz cert GmbH

2 1. Allgemeines, Zielgruppe Das Zertifikat certified app" ist ein Zertifikat für Apps für Smartphones und Tablets. Die nachfolgenden Bestimmungen regeln die Voraussetzungen der Vergabe des Zertifikates certified app" und die zulässigen Nutzungsrechte für App-Anbieter, Nutzer des certified app"-logos und für Prüfstellen und Auditoren. Voraussetzung ist die erfolgreiche Prüfung anhand der aktuellen Kriterien durch eine seitens der datenschutz cert GmbH anerkannte Prüfstelle und die anschließende Zertifizierung durch die datenschutz cert GmbH. Die nachfolgenden Bestimmungen regeln die Voraussetzungen der Vergabe des Zertifikates und die zulässigen Nutzungsrechte für Anbieter von Apps, Nutzer des damit verbundenen Zertifikats-Logos sowie der damit veröffentlichten und herausgegebenen Prüf- und Zertifizierungskonzepte. 2. Ablauf der Zertifizierung Grundlage der Zertifizierung ist der jeweils aktuelle Kriterienkatalog, der unter abrufbar ist oder bei der datenschutz cert GmbH angefragt werden kann. Die Zertifizierung durchläuft in der Regel folgende Phasen: --- Prüfung durch die anerkannte Prüfstelle (Begutachtung der App anhand des aktuellen Kriterienkataloges); --- ggf. festgestellte Mängel werden behoben, durch die Prüfstelle geprüft und die Ergebnisse dokumentiert; --- Vorlage der Prüfergebnisse durch die Prüfstelle bei der Zertifizierungsstelle und Schlüssigkeitsprüfung durch die Zertifizierungsstelle, der datenschutz cert GmbH; --- bei Erfüllung der Kriterien und Nutzungs- und Vergabevoraussetzungen: Erteilung des Zertifikats durch die Zertifizierungsstelle. Der App-Anbieter wendet sich zunächst an die datenschutz cert GmbH als Zertifizierungsstelle. Unter findet er dazu alle benötigten Informationen und kann diese auch bei der datenschutz cert GmbH, Konsul-Smidt-Str. 88a, Bremen, Tel.: , Fax: , erfragen. Zur Einleitung des Verfahrens und der kostenpflichtigen Beauftragung übermittelt der App-Anbieter die folgenden Informationen an die datenschutz cert GmbH: --- Vollständig rechtsverbindlich und rechtsgültig ausgefüllte Selbstauskunft (abrufbar unter als ausgefüllte Excel-Tabelle elektronisch an --- die auf der letzten Seite der Excel-Tabelle abgedruckte Zusammenfassung, ausgedruckt, ausgefüllt und unterzeichnet per Brief oder Fax; --- die zu prüfende finale App in Form der APK-Datei elektronisch an Seite 2

3 Mit der Antragstellung auf Zertifizierung bei der datenschutz cert GmbH kommt der Vertrag zu Stande und es entstehen die unten genannten Kosten und Gebühren. Der Antrag auf Zertifizierung wird seitens der datenschutz cert GmbH geprüft. Der Antragsteller erhält eine Eingangsbestätigung. Der App-Anbieter gibt in der Selbstauskunft vor, welche anerkannte Prüfstelle er mit der Prüfung seiner App betrauen möchte. Wählt er keine Stelle aus, wird die Prüfstelle der datenschutz cert GmbH tätig. Die Zertifizierungsstelle der datenschutz cert GmbH übergibt anschließend der Prüfstelle die Selbstauskunft sowie die APK-Datei der zu prüfenden App. Die Prüfstelle prüft die App und steht hierzu im direkten Dialog mit dem App- Anbieter und der Zertifizierungsstelle. Die Prüfung erfolgt gemäß der im Kriterienkatalog vorgegebenen Prüf-/Siegelstufe. Für die Prüfung nutzt die Prüfstelle die gemäß dieser Siegelstufe benötigten Tools. Die Prüfstelle sendet anschließend der Zertifizierungsstelle das Ergebnis ihrer Prüfung zu. Sofern die Prüfstelle die Zertifizierung der App empfiehlt, führt die datenschutz cert GmbH die Zertifizierung der App durch; bei Rückfragen kontaktiert sie die Prüfstelle und nutzt ggf. ein Review-Protokoll. Sind alle Fragen geklärt und hält auch die Zertifizierungsstelle die App für zertifizierbar, kann die Zertifizierung durch ein formales Verfahren (Zertifizierungsentscheidung) durchgeführt werden. Ist die Zertifizierungsentscheidung positiv erfolgt, wird das Validierungssystem angesteuert, das die Veröffentlichung des Zertifikates der App durch drei Mechanismen vorsieht: --- Veröffentlichung der App in der Zertifikatsliste im Internet; --- Ausdruck für den App-Anbieter; --- Aktualisierung der CertValidation-App, die als Trust Anchor checkt, ob eine App gemäß certified app" zertifiziert ist. Daneben wird der App-Anbieter für die Erteilung des Zertifikates informiert; er erhält den Link auf die Zertifikatsliste im Internet und einen Ausdruck der Zertifizierungsurkunde als pdf. ein. Außerdem wird der App-Anbieter darauf hingewiesen, wie er mit Veränderungen an seiner App im Hinblick auf das Zertifikat umzugehen hat. Bei Maintanance- oder Re-Zertifizierungsverfahren gelten die Verfahrensschritte entsprechend. Seite 3

4 3. Voraussetzungen für die Vergabe eines Zertifikates Das Zertifikat wird ausschließlich durch die datenschutz cert GmbH als Zertifizierungsstelle vergeben und entzogen. Voraussetzung für die Vergabe ist die erfolgreiche Prüfung der App entsprechend der Kriterien des jeweils aktuellen Regelwerkes durch eine anerkannte Prüfstelle und die Abnahme durch die Zertifizierungsstelle der datenschutz cert GmbH. Die Zertifizierung ist wirksam, sobald die Zertifizierungsstelle die Zertifizierungsentscheidung getroffen hat. Der App-Anbieter stellt der Prüf- und Zertifizierungsstelle alle Informationen zur Verfügung, die für die Prüfung der App erforderlich sind. Werden im Rahmen der Prüfung der App seitens der Prüfstelle Abweichungen vom Kriterienwerk festgestellt, ist folgendes Vorgehen für die Ergebnisfindung und Bewertung durch die Zertifizierungsstelle vorgesehen: --- ein eindeutiger Fehler führt zum Durchfallen des Tests ( fail ); --- eine Warnung führt ggf. zu Empfehlungen oder Verbesserungsvorschlägen ( warning ); --- kein erkennbarer Fehler führt zum Bestehen des Testes ( pass ); --- falls keine Entscheidung getroffen werden kann, wird die Prüfung mit inconclusive bewertet. Die Entscheidung sieht eine hinreichende Dokumentation der Prüfstelle vor, so dass diese nachvollziehbar ist und dem Antragsteller mitgeteilt werden kann. 4. Nutzung der Marke certified app", insbesondere des Logos und des Kriterienkataloges Das Prüf- und Zertifizierungsschema certified app" ist geistiges Eigentum der datenschutz cert GmbH und unterliegen dem Schutz des Urhebergesetzes und weiteren Schutzgesetzen. Die datenschutz cert GmbH hat die nicht ausschließlichen Nutzungsrechte an certified app und kann die hier benannten Rechte geltend machen. Mit der erfolgreichen Zertifizierung erteilt die datenschutz cert GmbH dem App- Anbieter das nicht ausschließliche und nicht übertragbare Recht, die Marke certified app (Wort und Logo) während der Gültigkeitsdauer des Zertifikates in der hier beschriebenen Art und Weise, Form, Größe, Gestaltung und Darstellung zu verwenden. Zur Kenntlichmachung der Zertifizierung verwendet der Anbieter unverändert eines der durch die datenschutz cert GmbH zur Verfügung gestellten certified app -Logos. Darüber hinaus darf der Anbieter auf weiteren Webseiten sowie in Printmedien auf die Marke und/oder die certified app -Zertifizierung hinweisen und das certified app -Logo verwenden, sofern dies mit der Zertifizierungsstelle abgesprochen wurde. Das certified app -Logo darf nur für die Gültigkeitsdauer der Zertifizierung verwandt werden und ist nach Ablauf unverzüglich von allen Webseiten zu entfernen. Ferner darf das certified app -Logo sowie Hinweise auf eine gültige Zertifizierung nach Ablauf der Gültigkeit weder online noch in anderen Medien verwendet werden. Seite 4

5 Werden das certified app -Logo oder Hinweise auf eine gültige Zertifizierung entgegen dieser Bestimmungen oder rechtswidrig verwendet, wird die datenschutz cert GmbH ihre Marken- und Eigentumsrechte unter Einschaltung eines Rechtsbeistands kostenpflichtig zu Lasten des Nutzers geltend machen. Ferner wird die unten im Abschnitt zur Haftung benannte Strafgebühr sofortfällig. Soweit der certified app Kriterienkatalog über das Internet abgerufen wird, gelten die Vergabe- und Nutzungsbestimmungen. Der Download des certified app - Kriterienkatalogs berechtigt den Nutzer ausschließlich zum Lesen des Inhalts (einfaches Nutzungsrecht). Anerkannte Prüfstellen für certified app werden zusätzlich die im jeweiligen Vertrag genannten Nutzungsrechte eingeräumt. Der Erwerb ist nicht im Wege des Fernabsatzes möglich. Andere, als die hier benannten Nutzungsrechte bestehen nicht. 5. Gültigkeit des Zertifikates, Veröffentlichung zertifizierter Apps Ein certified app -Zertifikat gilt für eine exakt definierte Version der App und ist für diese definierte Version zwei Jahre gültig, es sei denn, die Version wird nicht mehr geführt. Der erste Zertifizierungsprozess einer App wird Erst-Zertifizierung genannt. Erfahrungsgemäß unterliegen Software-Produkte und insbesondere Apps einem regelmäßigen Update- und Patchprozess. certified app sieht entsprechende Verfahren vor, um Updates oder Patches einer zuvor zertifizierten App in einem angemessenen Rahmen erneut zu begutachten und somit das Zertifikat auch auf diese neue Version der App ausweiten zu können. Hierbei sind zwei Verfahrensschritte zu unterscheiden: --- Maintenance: Maintenance liegt vor, wenn die App noch ein gültiges Zertifikat aufweist, allerdings überarbeitet wurde, und das Zertifikat aufrechterhalten bleiben soll. --- Re-Zertifizierung: Eine Re-Zertifizierung wird durchgeführt, wenn nach Ablauf der Gültigkeit das Zertifikat erneuert werden soll. Ist die App noch unverändert, muss dennoch ein Prüfprozess durchgeführt werden, um die App gegen den aktuellen Stand des Kriterienkatalogs zu prüfen. Maintenance- und Re-Zertifizierungsverfahren berücksichtigen die Ergebnisse der vorangegangenen Prüfungen sowie den Umfang etwaiger Änderungen, um eine angemessene Wiederholungsprüfung zu gewährleisten. Die datenschutz cert GmbH führt eine Liste der erteilten Zertifizierungen, die unter verfügbar ist. Aus der Liste sind der Antragsteller (App- Anbieter), die App mit exakter Angabe der Version, die Zertifikats-ID sowie die Gültigkeit der Zertifizierung ersichtlich. Hier wird ein pdf als Zertifikatsurkunde zum Download angeboten. Zusätzlich wird eine CertValidation-App zur Verfügung gestellt. Diese überprüft, ob die installierten Apps in der vorliegenden Version gemäß certified app zertifiziert Seite 5

6 sind oder nicht. Diese CertValidation-App stellt damit als Trust Anchor für den späteren Anwender der App eine Art Vertrauensanker dar. Die CertValidation-App ist so gestaltet, dass eine Abfrage der aktuellen Zertifikatsliste mit anschließender Validierung der installierten Apps über eine Schaltfläche manuelle gestartet werden kann. Darüber hinaus ist das Auslesen der Zertifikatsliste aus dem certified app - Zertifizierungssystem möglich; hierzu wird eine öffentlich (d.h. ohne vorangestellte Authentisierung) erreichbare REST-API zur Verfügung gestellt. Zum Schutz der Vertraulichkeit sowie der Integrität der übermittelten Daten wird die Abfrage per SSL/TLS abgesichert. Der Anbieter erklärt sich mit der Verarbeitung und Veröffentlichung seiner Daten einverstanden. 6. Entzug und Ablauf eines Zertifikates Ein certified app -Zertifikat wird entzogen, wenn der Antragsteller nachhaltig gegen die Zertifizierungsvoraussetzungen verstößt. Ein solcher Verstoß liegt insbesondere vor, wenn --- der zertifizierte Untersuchungsgegenstand (App) in der beschriebenen Weise verändert wurde und der Anbieter keine Prüfung ermöglicht, --- im Rahmen der Prüfung nicht die für die Vergabe des Zertifikats erforderlichen Voraussetzungen erfüllt werden, --- der Antragsteller aufgrund drohender oder eingetretener Insolvenz einen zuverlässigen Geschäftsbetrieb nicht mehr aufrechterhalten kann, --- die Zertifizierungskosten nicht spätestens innerhalb von 4 Wochen nach Abschluss der Zertifizierung gegenüber der datenschutz cert GmbH als Zertifizierungsstelle beglichen werden. Die Zertifizierungsstelle teilt dem Antragsteller die Gründe des Zertifikatsentzugs mit. Im Falle des Entzuges wird das über die Zertifikatsliste der Zertifizierungsstelle online veröffentlichte Zertifikat auf den Status als entzogen gesetzt und spätestens nach 4 Wochen aus der Liste entfernt. Der Entzug des Zertifikates kann auch anderweitig veröffentlicht werden. Soweit das Zertifikat nach Ablauf der Gültigkeit entfällt, hat der App-Anbieter dafür zu sorgen, dass das Logo und sämtliche Hinweise auf eine gültige Zertifizierung aus den genutzten Medien unverzüglich entfernt werden. Seite 6

7 7. Kosten und Gebühren Für die Zertifizierung der App samt vorheriger Prüfung durch die Prüfstelle der datenschutz cert GmbH werden Kosten und Gebühren fällig. Diese Kosten und Gebühren variieren je nach Prüfumfang einer App. Aufgrund der im certified app -Verfahren vorgesehenen Siegelstufe wird folgendes Kostenmodell angeboten, das Zertifizierungsgebühren und Kosten für die Prüfung beinhaltet. Erst-Zertifizierungsverfahren bei Laufzeit 24 Monate Maintenance Re-Zertifizierungsverfahren bei Laufzeit 24 Monate monatl. Kosten innerhalb Laufzeit weiteres Verfahren Einmalkosten Einmalkosten monatl. Kosten Bronze x inkl Silber x inkl Gold x inkl Platin x inkl Die Kosten verstehen sich zzgl. der jeweils geltenden Umsatzsteuer. Das obige Kostenmodell sieht vor, dass alle Prüfschritte gemäß Siegelstufe einmalig durchgeführt werden, d.h, dass die App die Kriterien erfüllt. Falls die Prüfung ergibt, dass Ihre App nicht die Anforderungen des Regelwerkes certified app entspricht und daher nicht zertifiziert werden kann, kann der Anbieter nachbessern und wieder in die Prüfung einsteigen. In diesem Fall erhöht sich der Aufwand für die Prüfung. Mehraufwand wird dann zusätzlich zum obigen Kostenmodell nach tatsächlichem Aufwand zum aktuellen Tagessatz der datenschutz cert GmbH in Rechnung gestellt. Falls die Prüfung oder Zertifizierung auf Wunsch des App-Anbieters abgebrochen wird, werden Kosten anteilig fällig, mindestens aber bei den Siegelstufen Bronze und Silber jeweils i.h.v ,-, im Übrigen in Höhe der oben genannten Einmalkosten. Die Kosten fallen an, sobald ein Antrag auf Zertifizierung bei der Zertifizierungsstelle eingegangen ist. Sie wird von der Zertifizierungsstelle nach Abschluss der Zertifizierung in Rechnung gestellt und ist spätestens zwei Wochen nach Rechnungserhalt ohne Abzug zu zahlen. 1 Die Einmalkosten bei Siegelstufe Platin decken vor allem die Kosten für die Begutachtung der Entwicklungs- und Produktionsumgebung (Site Visit) ab. Die genannten Kosten gehen dabei von folgenden Eckdaten ab: 1 Standort in Deutschland; nur max. eine Nachbesserung erforderlich; nur ein Audit innerhalb der 2-Jahres-Laufzeit. Sonstige Audits auf Anfrage. Seite 7

8 8. Haftung Nutzt der Anbieter die Marke certified app, ohne dass die hier beschriebenen Voraussetzungen erfüllt sind, kann die datenschutz cert GmbH den Anbieter abmahnen und auffordern, innerhalb einer angemessenen Frist die Einhaltung der Vergabe- und Nutzungsbedingungen bzw. des certified app -Kriterienwerkes sicherzustellen oder die Wiedergabe der Marken und sämtliche Hinweise darauf von den genutzten Medien zu entfernen. Nutzt der Anbieter die Marke certified app, insbesondere das Logo trotz Abmahnung nach Fristablauf weiter, ohne eine gültige Zertifizierung, wird eine Strafgebühr in Höhe von EUR fällig. Weitere Ansprüche bleiben unberührt. Auditierung und Zertifizierung erfolgen ausschließlich anhand der certified app - Kriterien bzw. dieser Vergabe- und Nutzungsbedingungen. Eine Zertifizierung gemäß certified app beinhaltet nicht die Garantie, dass die App allen einschlägigen Gesetzen, insbesondere Vorschriften gegen den unlauteren Wettbewerb oder gegen missbräuchliche Vertragsklauseln, entspricht oder technisch einwandfrei ist. Eine Haftung der datenschutz cert GmbH für leicht fahrlässige Pflichtverletzungen wird ausgeschlossen, sofern diese keine vertragswesentlichen Pflichten betreffen, Leben, Gesundheit oder Körper betroffen oder Ansprüche nach dem Produkthaftungsgesetz berührt sind. 9. Schlussbestimmungen Ergänzend gelten die Allgemeinen Geschäftsbedingungen (AGB) der datenschutz cert GmbH, die z.b. unter abgerufen werden können. Sollten sich Regelungen der AGB mit den Vergabe- und Nutzungsbestimmungenwidersprechen, sind letztere Regelungen vorrangig zu beachten. Nebenabreden bedürfen der Schriftform. Es gilt deutsches Recht. Gerichtsstand ist soweit zulässig Bremen. Seite 8