Vertragsbedingungen CRA-Startaktion
Fassung vom 12.09.2026. Diese Bedingungen gelten für Bestellungen der CRA-Startaktion über /de/aktion/cra bis zum 30. November 2026.
1. Vertragsparteien und Vertragsschluss
Vertragspartner ist die OTTRIA GmbH, Lindenallee 39, 47608 Geldern.
Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern ist ausgeschlossen.
Mit dem Absenden des Bestellformulars geben Sie ein verbindliches Angebot auf Abschluss eines Vertrags ab. Der Vertrag kommt mit dem Zugang unserer Auftragsbestätigung zustande, die Sie unmittelbar nach der Bestellung per E-Mail erhalten. Die Auftragsbestätigung enthält die Auftragsnummer, alle Vertragsdaten und die Widerrufsbelehrung.
2. Vertragsgegenstand
OTTRIA überwacht die Open-Source-Komponenten, die in der vom Kunden bereitgestellten Software-Stückliste (SBOM) benannt sind. Der Leistungsumfang umfasst:
- Laufende Überwachung auf CVEs, Security Advisories sowie auf Code, Commits und weitere Hinweise auf mögliche Schwachstellen
- Beobachtung der Projekt- und Maintainer-Situation, insbesondere auf Archivierung, Einstellung der Entwicklung, Löschung und Lizenzwechsel
- Vollständige Sicherung der relevanten Open-Source-Projekte einschließlich Submodules und benötigter Bestandteile
- Dokumentation der laufenden Überwachung: Prüfzyklen, gefundene Probleme, Bewertungen, relevante Veränderungen und ergriffene Maßnahmen
- Entwicklung eigener Fixes, sofern kein geeigneter Fix verfügbar ist. Die Priorisierung erfolgt nach Dringlichkeit, Nutzen für den Kundenpool und Entscheidung durch OTTRIA
Liegt bei Vertragsschluss keine SBOM vor, führt OTTRIA im Rahmen der Aktion bis zu zwei Interviews mit dem Kunden durch und erstellt daraus ein vorläufiges OSS-Inventar. Dieses Inventar ersetzt keine vollständige SBOM. OTTRIA übernimmt keine Verantwortung für dessen Vollständigkeit oder für die Erstellung einer vollständigen SBOM.
OTTRIA schuldet die beschriebene Tätigkeit, keinen bestimmten Erfolg. Die Leistung besteht in der laufenden Beobachtung, Bewertung und Dokumentation sowie in der Übergabe der daraus gewonnenen Hinweise. OTTRIA garantiert weder die vollständige Erkennung aller Schwachstellen, noch dass ein Fix in einem Open-Source-Projekt entsteht, angenommen oder veröffentlicht wird, noch die Sicherheit der Software oder der Systeme des Kunden.
3. Nicht geschuldete Leistungen
Ausdrücklich nicht Vertragsgegenstand sind:
- Leistungen an proprietärer Software, Eigenentwicklungen des Kunden und nicht öffentlich zugänglichem Quellcode
- Zugriffe auf Systeme, Netzwerke oder Daten des Kunden. OTTRIA arbeitet ausschließlich in öffentlich zugänglichen Open-Source-Projekten
- Die Übernahme gesetzlicher Pflichten oder der Haftung des Kunden aus CRA, DORA, NIS2, Produkthaftungsrichtlinie oder DSGVO
- Zugesicherte Lösungszeiten. OTTRIA reagiert schnellstmöglich und dokumentiert jeden Schritt. Wie lange die Behebung eines Problems in einem Open-Source-Projekt dauert, hängt von Dritten ab und ist nicht zusagbar
- Rechtsberatung sowie die Erstellung von Konformitätserklärungen
4. Mitwirkung des Kunden
Der Kunde stellt die SBOM bereit und hält sie aktuell; empfohlen wird eine Anbindung per Schnittstelle. Er benennt mindestens einen Ansprechpartner für sicherheitsrelevante Meldungen. Entscheidungen über Maßnahmen sowie deren Umsetzung in den Systemen des Kunden verbleiben beim Kunden.
5. Preise und Zahlung
Es gelten die zum Zeitpunkt der Bestellung angegebenen Aktionspreise:
| Laufzeit | Vergütung |
|---|---|
| 12 Monate | 499,00 Euro je Monat |
| 6 Monate | 599,00 Euro je Monat |
| 1 Monat | 999,00 Euro einmalig |
Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
Die Vergütung wird monatlich im Voraus in Rechnung gestellt und ist innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug zur Zahlung fällig. Die Leistung beginnt nach Eingang der ersten Zahlung. Der Kunde verlangt mit der Bestellung ausdrücklich, dass die Leistung auch dann beginnt, wenn die Widerrufsfrist nach Ziffer 7 noch läuft.
Empfiehlt der Kunde OTTRIA aktiv weiter und kommt daraus ein neuer OTTRIA-Kundenvertrag zustande, reduziert sich die Vergütung des Kunden um 10 Prozent je geworbenem Kunden, höchstens jedoch um 50 Prozent. Die Reduzierung gilt ab dem auf den Vertragsschluss des geworbenen Kunden folgenden Abrechnungsmonat.
6. Laufzeit und Kündigung
Der Vertrag läuft über die bestellte Laufzeit.
- 12 Monate: verlängert sich um jeweils weitere 12 Monate, sofern er nicht mit einer Frist von einem Monat zum Laufzeitende gekündigt wird.
- 6 Monate: verlängert sich um jeweils weitere 6 Monate, sofern er nicht mit einer Frist von einem Monat zum Laufzeitende gekündigt wird.
- 1 Monat: endet automatisch nach einem Monat, ohne dass es einer Kündigung bedarf.
Kündigungen bedürfen der Textform. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Seiten unberührt.
Nach Vertragsende behält der Kunde alle bis dahin erstellten Dokumentationen und Berichte. Von OTTRIA in Open-Source-Projekte eingebrachte Beiträge bleiben öffentlich verfügbar.
7. Vertraglich eingeräumtes Widerrufsrecht
Ein gesetzliches Widerrufsrecht besteht bei Verträgen zwischen Unternehmern nicht. OTTRIA räumt dem Kunden ein Widerrufsrecht vertraglich ein:
Sie können diesen Vertrag innerhalb von 14 Tagen ohne Angabe von Gründen widerrufen. Die Frist beginnt mit dem Zugang der Auftragsbestätigung. Zur Wahrung der Frist genügt die rechtzeitige Absendung des Widerrufs in Textform an die OTTRIA GmbH, Lindenallee 39, 47608 Geldern, oder an anfrage@ottria.eu.
Im Fall des Widerrufs erstattet OTTRIA bereits gezahlte Beträge unverzüglich zurück. Da der Kunde den Beginn der Leistung vor Ablauf der Widerrufsfrist ausdrücklich verlangt hat, schuldet er anteiligen Wertersatz für die bis zum Zugang des Widerrufs erbrachte Leistung.
Muster-Widerrufsformular
Wenn Sie den Vertrag widerrufen wollen, können Sie dieses Formular verwenden. Erforderlich ist das nicht.
An die OTTRIA GmbH, Lindenallee 39, 47608 Geldern, anfrage@ottria.eu
Hiermit widerrufe ich den von mir abgeschlossenen Vertrag über die OTTRIA CRA-Startaktion.
- Auftragsnummer
- Bestellt am
- Firma
- Name des Ansprechpartners
- Datum
8. Vertraulichkeit
Beide Parteien behandeln die im Rahmen der Zusammenarbeit erhaltenen Informationen der jeweils anderen Partei vertraulich und verwenden sie nur zur Vertragsdurchführung. Ergebnisse der Arbeit in Open-Source-Projekten sind naturgemäß öffentlich; sie lassen keinen Rückschluss auf den Kunden zu, sofern dieser einer Nennung nicht zustimmt.
9. Datenschutz
OTTRIA verarbeitet die im Bestellformular angegebenen Daten zur Durchführung des Vertrags nach Art. 6 Abs. 1 lit. b DSGVO. Verantwortlich ist die OTTRIA GmbH, Lindenallee 39, 47608 Geldern. Eine Weitergabe an Dritte erfolgt nicht. Ein Zugriff auf personenbezogene Daten in den Systemen des Kunden findet nicht statt; eine Auftragsverarbeitung nach Art. 28 DSGVO ist daher nicht Vertragsgegenstand.
10. Verantwortungsbereich und Haftung
OTTRIA arbeitet ausschließlich auf Grundlage der vom Kunden bereitgestellten Angaben, insbesondere der SBOM, und an öffentlich zugänglichen Open-Source-Projekten, die OTTRIA weder entwickelt noch kontrolliert. Schwachstellen, Fehler und Veränderungen in Open-Source-Komponenten, Lücken oder Fehler in der vom Kunden bereitgestellten SBOM, die Entscheidungen des Kunden über Maßnahmen sowie deren Umsetzung in seinen Systemen liegen außerhalb des Verantwortungsbereichs von OTTRIA und sind von OTTRIA nicht zu vertreten.
Im Übrigen haftet OTTRIA unbeschränkt nur bei Vorsatz und grober Fahrlässigkeit sowie bei schuldhafter Verletzung von Leben, Körper oder Gesundheit. Bei leichter Fahrlässigkeit haftet OTTRIA nur bei Verletzung einer wesentlichen Vertragspflicht. Wesentliche Vertragspflicht ist allein die Erbringung der in Ziffer 2 beschriebenen Tätigkeit und die Übergabe der daraus entstehenden Hinweise und Dokumentation. Diese Haftung ist der Höhe nach begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden, höchstens jedoch auf die vom Kunden in den zwölf Monaten vor dem schädigenden Ereignis gezahlte Vergütung. Eine weitergehende Haftung ist ausgeschlossen. Ansprüche nach dem Produkthaftungsgesetz bleiben unberührt.
Die gesetzliche Verantwortung des Kunden für seine Software, seine Systeme und die Einhaltung der ihn treffenden regulatorischen Pflichten bleibt unberührt.
11. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz der OTTRIA GmbH, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.