Allgemeine Geschäftsbedingungen

§ 1 Anbieter, Geltungsbereich und Begriffe

(1) Anbieterin der crAIready-Plattform ist die codAIx GmbH, c/o JULITH GmbH, Erlengasse 3, 8240 Thayngen, Schweiz, UID CHE-249.882.147, Handelsregister des Kantons Schaffhausen (nachfolgend „codAIx“).

(2) Diese AGB gelten für die Nutzung der Webseiten und Dienste unter craiready.com, craiready.ch, accounts.craiready.com, platform.craiready.ch, kundenspezifischen Mandanten-Subdomains und weiteren von codAIx für crAIready bezeichneten Domains.

(3) Das Standardangebot richtet sich ausschliesslich an Unternehmen und juristische Personen des öffentlichen Rechts mit Sitz in Deutschland oder der Schweiz. Unternehmen mit Sitz in anderen Ländern können das Standardangebot derzeit nicht buchen. Die Bereitstellung an verbundene Unternehmen oder Nutzer mit Sitz in den USA oder Kanada sowie die Nutzung der Plattform als Grundlage für die Erfüllung nicht-europäischer regulatorischer Anforderungen bedürfen einer vorherigen ausdrücklichen Individualvereinbarung in Textform. Eine spätere Öffnung weiterer Länder setzt die vorherige Prüfung der vertraglichen, steuerlichen und versicherungsrechtlichen Voraussetzungen voraus.

(4) Individuell ausgehandelte Bestellungen, Leistungsbeschreibungen und Service-Level-Vereinbarungen gehen diesen AGB vor. Allgemeine Geschäfts- oder Einkaufsbedingungen des Kunden gelten nicht, auch wenn codAIx ihnen nicht ausdrücklich widerspricht oder Leistungen in deren Kenntnis erbringt; sie werden nur Vertragsbestandteil, wenn codAIx ihrer Geltung ausdrücklich in Textform zustimmt. Im Übrigen bilden Bestellung, Leistungsbeschreibung, diese AGB und der AVV den Vertrag.

(5) „CRA“ bezeichnet die Verordnung (EU) 2024/2847 in der jeweils geltenden Fassung. „AI Act“ bezeichnet die Verordnung (EU) 2024/1689 in der jeweils geltenden Fassung.

(6) Eine „Produktakte“ ist der in crAIready geführte Compliance-Datensatz für ein Produkt mit digitalen Elementen. Varianten dürfen als eine „Produktfamilie“ in einer Produktakte geführt werden, wenn Hersteller, Verwendungszweck, Kernarchitektur, wesentliche Sicherheitsmerkmale, Support-/Updatekonzept und CRA-Risikobeurteilung im Wesentlichen übereinstimmen. Bei wesentlichen Abweichungen ist eine eigene Produktakte erforderlich. Der Kunde dokumentiert und verantwortet die Zuordnung.

(7) Ein Projekt für einen Open-Source-Software-Steward wird preislich wie eine Produktakte behandelt. Abweichende Leistungsinhalte und besondere Pflichten werden in der Bestellung oder einer Individualvereinbarung festgelegt.

§ 2 Vertragsgegenstand und Leistungsabgrenzung

(1) codAIx stellt crAIready als webbasierte Software-as-a-Service-Plattform zur strukturierten Unterstützung bei CRA-bezogenen Arbeitsabläufen bereit. Der konkrete Funktions- und Nutzungsumfang ergibt sich aus dem gewählten Paket und der Leistungsbeschreibung.

(2) crAIready ist ein technisches Organisations- und Dokumentationswerkzeug. codAIx erbringt keine Rechts-, Steuer-, Zertifizierungs- oder Konformitätsberatung und übernimmt keine Hersteller-, Importeur-, Händler-, Bevollmächtigten-, Steward- oder Behördenfunktion des Kunden. Inhalte, Berechnungen, Klassifizierungen, Fristenhinweise und Dokumententwürfe sind vom Kunden fachlich und rechtlich zu prüfen und freizugeben.

(3) Benötigt der Kunde technische Unterstützung, kann er codAIx kontaktieren. Bei juristischen Fragestellungen kann codAIx auf Wunsch den Kontakt zu einer unabhängigen Kanzlei herstellen. Ein Mandat, dessen Annahme, Inhalt, Preis oder Ergebnis wird von codAIx nicht zugesagt.

(4) On-Premise-/Self-Hosted-Betrieb und ein entgeltliches Quick Assessment sind nicht Gegenstand des Standardangebots.

(5) crAIready unterstützt CRA-bezogene Arbeitsabläufe für Softwareprodukte, Embedded Software sowie vernetzte und IoT-Produkte. Dazu gehören insbesondere Produktanlage und Produktklassifizierung, SBOM- und Schwachstellenmanagement, Dokumentation, Rollen und Freigaben sowie die Vorbereitung erforderlicher Meldungen und Unterlagen für den anwendbaren Konformitätsbewertungsweg. Die fachliche und rechtliche Prüfung, die Freigaben und gesetzlich erforderliche externe Konformitätsbewertungen verbleiben beim verantwortlichen Unternehmen beziehungsweise den zuständigen externen Stellen. crAIready ist weder eine notifizierte Stelle noch eine Zertifizierungsstelle.

§ 3 Bereitstellung, Registrierung und Quick-Check

(1) crAIready wird auf von codAIx betriebener Infrastruktur bereitgestellt. Voraussetzung der Nutzung sind Internetzugang, aktueller Browser und ein Benutzerkonto.

(2) Der Kunde macht bei Registrierung und Bestellung vollständige und zutreffende Angaben und hält sie aktuell. Zugangsdaten sind personenbezogen, geheim zu halten und gegen unbefugte Nutzung zu schützen.

(3) Der öffentliche Quick-Check ist eine kostenlose, unverbindliche Ersteinschätzung ohne Login. Er ersetzt nicht den produktbezogenen Plattform-Wizard und keine rechtliche Prüfung.

(4) Der öffentliche Quick-Check wird vollständig regelbasiert im Browser ausgeführt. Die eingegebenen Einzelantworten werden nicht an codAIx oder die crAIready-Plattform übertragen und nicht serverseitig gespeichert. Technische Server-Logdaten des Seitenaufrufs bleiben unberührt. Nach dem Kauf erfasst und bestätigt der Kunde die produktbezogenen Angaben im Plattform-Wizard neu. Einzelheiten enthält die Datenschutzerklärung.

(5) Der Vertrag kommt zustande, wenn der Kunde die Produktbestätigung abgibt, die verlinkten AGB akzeptiert, den AVV abschliesst und codAIx die Bestellung annimmt oder den Zugang freischaltet. Dokumentversion und Annahmezeitpunkt dürfen zu Nachweiszwecken protokolliert werden.

§ 4 Protokollierung, Freigaben und Dokumentstatus

(1) crAIready protokolliert zentrale Bearbeitungs- und Freigabevorgänge, damit Entscheidungen und Änderungen nachvollziehbar bleiben. Produktbezogene Bearbeitungs- und Freigabeprotokolle werden während der Vertragslaufzeit gespeichert und nach Vertragsende zusammen mit den übrigen Kundendaten nach Massgabe des AVV exportiert und gelöscht. Eine lückenlose Erfassung sämtlicher technischer Systemereignisse, eine bestimmte technische Unveränderbarkeit oder eine pauschale zehnjährige Aufbewahrung wird nicht geschuldet.

(2) Von crAIready erzeugte Berichte, Meldungen, Erklärungen und sonstige Unterlagen sind bis zu ihrer inhaltlichen Prüfung und Freigabe durch den Kunden Entwürfe. Eine Kennzeichnung als „Entwurf“ darf nur durch einen berechtigten Benutzer nach Prüfung entfernt werden.

(3) Der Kunde ist für die Richtigkeit, Vollständigkeit, Aktualität und Freigabe seiner Eingaben, Entscheidungen und Dokumente verantwortlich.

§ 5 Rollen und CRA-Verantwortung

(1) Die Plattform unterstützt die Abbildung unterschiedlicher Wirtschaftsakteurs- und Steward-Rollen. Die rechtliche Einordnung des Kunden und seiner Produkte wird nicht von codAIx übernommen.

(2) Der Kunde bleibt insbesondere für Produktklassifizierung, Risikobeurteilung, technische und organisatorische Produktmassnahmen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, Schwachstellenbehandlung, Meldungen und Nutzerinformation verantwortlich.

(3) crAIready kann Fristen, Aufgaben und Meldeentwürfe vorbereiten. Meldungen an Behörden, ENISA oder CSIRTs erfolgen nur nach Prüfung und Freigabe durch den Kunden; eine automatische oder fristwahrende Übermittlung ist nicht geschuldet.

(4) Für Open-Source-Software-Stewards gelten nur die in der individuellen Leistungsbeschreibung vereinbarten Funktionen. Eine vollständige rechtliche Betreuung nach Art. 24 CRA ist nicht Bestandteil des Standardpakets.

§ 6 KI-gestützte Funktionen

(1) crAIready kann lokale und auswählbare externe KI-Funktionen für Vorschläge, Strukturierung, Triage und Dokumententwürfe anbieten. Verfügbare Anbieter und Datenflüsse ergeben sich aus der Plattform und der Datenschutzerklärung.

(2) KI-Ausgaben können fehlerhaft oder unvollständig sein. Sie sind keine verbindlichen Entscheidungen und müssen durch fachkundige Personen geprüft werden. Der Kunde darf keine personenbezogenen Daten, Geschäftsgeheimnisse oder sonstigen vertraulichen Inhalte eingeben, soweit dies für den gewählten Zweck nicht erforderlich und rechtlich zulässig ist.

(3) Soweit der Kunde einen externen KI-Anbieter auswählt, gilt dies als dokumentierte Weisung im Rahmen des AVV, sofern codAIx die Daten im Auftrag verarbeitet.

§ 7 Zulässige Nutzung und Mitwirkung

(1) Der Kunde nutzt crAIready nur rechtmässig, im vereinbarten Umfang und für eigene geschäftliche Zwecke. Unzulässig sind insbesondere Angriffe, Umgehung von Schutzmassnahmen, unbefugte Zugriffe, Weiterverkauf von Zugängen und die Verarbeitung rechtswidriger Inhalte.

(2) Der Kunde benennt berechtigte Benutzer, verwaltet Rollen und entzieht Zugriffe unverzüglich, wenn sie nicht mehr erforderlich sind. Er hält angemessene Endgeräte-, Browser- und Zugangssicherheit ein.

(3) Besondere Kategorien personenbezogener Daten, strafrechtliche Daten, produktive Zugangsdaten oder Secrets dürfen nur nach vorheriger Vereinbarung und bei geeigneter Rechtsgrundlage eingestellt werden.

(4) Der Kunde informiert codAIx unverzüglich über vermutete Sicherheitsvorfälle, missbräuchliche Zugriffe und wesentliche Fehlfunktionen.

(5) crAIready darf nicht als alleinige oder vollautomatische Grundlage für rechtlich oder technisch erhebliche Entscheidungen, als Ersatz für gesetzlich erforderliche Prüfungen oder als Ersatz für eine erforderliche fachkundige oder rechtliche Beurteilung eingesetzt werden.

(6) crAIready ist kein Echtzeit-Steuerungs-, Schutz-, Notfall- oder Sicherheitssystem und darf nicht unmittelbar zur Steuerung sicherheitskritischer Anlagen, Medizinprodukte, Fahrzeuge, Luftfahrtsysteme, Waffen, kerntechnischer Anlagen oder vergleichbarer Systeme eingesetzt werden. Die Nutzung für rechtswidrige offensive Cyberaktivitäten ist untersagt. Diese Einschränkung schliesst die zulässige Dokumentation CRA-relevanter Produkte aus solchen Bereichen nicht aus, soweit die Plattform nicht selbst deren operative Sicherheitsfunktion übernimmt.

(7) Gesetzlich erforderliche externe Konformitätsbewertungen, Genehmigungen oder Zertifizierungen dürfen nicht durch die Nutzung von crAIready ersetzt oder umgangen werden. Für wichtige oder kritische Produkte gelten zusätzlich die gesetzlichen Nachweis- und Verfahrensanforderungen des jeweils anwendbaren Konformitätsbewertungswegs.

§ 8 Verfügbarkeit und Support

(1) codAIx strebt eine monatliche Verfügbarkeit von 99,5 % an. Dies ist eine Zielgrösse und kein verbindliches Service Level. Ausgenommen sind insbesondere angekündigte Wartung, höhere Gewalt, Störungen ausserhalb des Verantwortungsbereichs von codAIx sowie vom Kunden verursachte Ausfälle.

(2) Für die Pakete Start, Aufbau und Skalierung wird Support Montag bis Freitag von 09:00 bis 17:00 Uhr am Sitz von codAIx angeboten, ausgenommen lokale Feiertage. Anfragen können jederzeit eingehen; bearbeitet werden sie innerhalb der Geschäftszeiten nach Dringlichkeit.

(3) Im Enterprise-Paket können erweiterte Servicezeiten individuell vereinbart werden. Eine 24/7-Bereitschaft ist nicht automatisch enthalten.

(4) Eine Bereitschaft für CRA-Art.-14-relevante Ereignisse ausserhalb der Geschäftszeiten ist eine gesondert zu beauftragende Zusatzleistung. Reaktionszeiten, Erreichbarkeit, Mitwirkung des Kunden, Leistungsgrenzen und Vergütung werden individuell vereinbart.

(5) Verbindliche Verfügbarkeiten, Reaktionszeiten, Gutschriften oder sonstige Service Levels gelten ausschliesslich, wenn sie in einer Individualvereinbarung ausdrücklich festgelegt sind.

§ 9 Preise, Währungen, Steuern und Zahlung

(1) Es gelten die bei Bestellung ausgewiesenen Preise. Alle Preise sind Nettopreise zuzüglich gesetzlich geschuldeter Steuern und Abgaben.

(2) Für Kunden mit Sitz in Deutschland wird in EUR, für Kunden mit Sitz in der Schweiz in CHF abgerechnet. Soweit im Angebot nicht anders ausgewiesen, ist der Zahlenwert des jeweiligen Paketpreises in beiden Währungen gleich.

(3) Der Kunde stellt vollständige und richtige Angaben zu Sitz, Steuerstatus sowie Unternehmens-, UID- oder Umsatzsteuer-Identifikationsnummer bereit. Die steuerliche Behandlung richtet sich nach den jeweils anwendbaren gesetzlichen Regeln. Soweit der Kunde Steuern einbehalten muss, legt er die Rechtsgrundlage und einen behördlich verwertbaren Nachweis vor.

(4) Zahlungen können über Stripe abgewickelt werden. Stripe verarbeitet Zahlungsdaten nach eigenen und gegebenenfalls auftragsbezogenen Datenschutzregelungen; Einzelheiten enthält die Datenschutzerklärung.

(5) Wiederkehrende Entgelte werden zu Beginn des jeweiligen Abrechnungszeitraums fällig. Preisänderungen gelten frühestens für den nächsten Verlängerungszeitraum und werden mindestens sechs Wochen vorher angekündigt; bei einer wesentlichen Erhöhung kann der Kunde bis zum Wirksamwerden kündigen.

§ 10 Laufzeit und Kündigung

(1) Soweit die Bestellung nichts anderes bestimmt, beträgt die Mindestlaufzeit zwölf Monate und verlängert sich jeweils um zwölf Monate, wenn nicht eine Partei mit einer Frist von drei Monaten zum Laufzeitende kündigt.

(2) Das Recht zur ausserordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere bei erheblichem Zahlungsverzug, schwerer missbräuchlicher Nutzung oder wiederholter wesentlicher Vertragsverletzung nach erfolgloser Abmahnung vor.

(3) Kündigungen bedürfen der Textform.

§ 11 Datenexport und Löschung

(1) Während der Vertragslaufzeit kann der Kunde die von den Standardfunktionen erfassten Daten in verfügbaren Formaten exportieren.

(2) Nach Vertragsende stellt codAIx für 30 Tage einen angemessenen Exportweg bereit, sofern der Zugang nicht aus Sicherheitsgründen gesperrt werden muss. Danach werden Kundendaten nach Massgabe des AVV gelöscht oder zurückgegeben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(3) Die CRA-bezogene Aufbewahrung technischer Dokumentation obliegt dem Kunden. Der Kunde muss erforderliche Exporte rechtzeitig sichern.

§ 12 Rechte an Software und Inhalten

(1) codAIx und ihre Lizenzgeber behalten alle Rechte an Plattform, Software, Design, Dokumentation, Marken und Vorlagen. Der Kunde erhält für die Vertragslaufzeit ein nicht ausschliessliches, nicht übertragbares Nutzungsrecht im vereinbarten Umfang.

(2) Rechte an den vom Kunden eingestellten Inhalten verbleiben beim Kunden. Er räumt codAIx die für Betrieb, Support, Sicherung, Export und vertragsgemässe Verarbeitung erforderlichen Rechte ein.

(3) Der Kunde gewährleistet, dass er die erforderlichen Rechte an eingestellten Inhalten besitzt und dadurch keine Rechte Dritter verletzt.

§ 13 Datenschutz und Auftragsverarbeitung

(1) Die Verarbeitung personenbezogener Daten richtet sich nach der Datenschutzerklärung und, soweit codAIx im Auftrag des Kunden verarbeitet, nach dem AVV in seiner bei Vertragsschluss einbezogenen Fassung.

(2) Für Benutzerkonto, Vertrag, Abrechnung, Missbrauchsprävention und eigene Sicherheitsprotokolle handelt codAIx grundsätzlich als Verantwortliche. Für personenbezogene Inhalte, die der Kunde in seiner Produktakte verarbeitet, handelt codAIx grundsätzlich als Auftragsverarbeiterin.

(3) Der Kunde ist für die Zulässigkeit seiner Datenverarbeitung, Rechtsgrundlagen, Informationen an Betroffene und Weisungen verantwortlich.

§ 14 Gewährleistung

(1) codAIx gewährleistet die vereinbarte Bereitstellung der Plattform. Unerhebliche Abweichungen, technisch notwendige Anpassungen und Änderungen zur Sicherheit oder Rechtskonformität begründen keinen Mangel, sofern der Vertragszweck nicht wesentlich beeinträchtigt wird.

(2) Der Kunde meldet Mängel nachvollziehbar und unterstützt die Fehleranalyse. codAIx kann nach eigener Wahl nachbessern oder eine zumutbare Ersatzlösung bereitstellen.

(3) Eine Garantie für CRA-Konformität, Fehlerfreiheit, Vollständigkeit von Rechtsinformationen, behördliche Anerkennung oder das Ergebnis externer Prüfungen wird nicht übernommen.

§ 15 Haftung

(1) codAIx haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, wegen Verletzung von Leben, Körper oder Gesundheit sowie nach zwingendem Recht.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht ist die Haftung auf den vertragstypisch vorhersehbaren Schaden begrenzt. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen, soweit gesetzlich zulässig.

(3) Soweit codAIx nach Absatz 2 für die leicht fahrlässige Verletzung einer wesentlichen Vertragspflicht haftet, ist die Haftung für sämtliche in einem Vertragsjahr verursachten Schäden zusammen auf 100 % der für die betroffene Leistung in den zwölf Monaten vor dem schadensauslösenden Ereignis gezahlten oder geschuldeten Nettoentgelte begrenzt. Besteht der Vertrag zu diesem Zeitpunkt noch keine zwölf Monate, ist das auf zwölf Monate hochgerechnete Nettoentgelt massgeblich. Die Haftungsobergrenze gilt nicht für die in Absatz 1 genannten Fälle und nicht, soweit zwingendes Recht entgegensteht. Abweichende Haftungsgrenzen bedürfen einer Individualvereinbarung.

(4) Das Standardangebot umfasst keine Bereitstellung an verbundene Unternehmen oder Nutzer mit Sitz in den USA oder Kanada und keine Beratung oder Zusage zur Einhaltung US-amerikanischer oder kanadischer Rechtsanforderungen. Abweichungen bedürfen einer vorherigen ausdrücklichen Individualvereinbarung in Textform. Die Beschränkung des Standardangebots auf Kunden mit Sitz in Deutschland und der Schweiz gemäss § 1 Abs. 3 bleibt unberührt.

(5) Die Haftungsbeschränkungen gelten entsprechend zugunsten von Organen, Mitarbeitenden und Erfüllungsgehilfen von codAIx.

§ 16 Vertraulichkeit

(1) Beide Parteien behandeln nicht öffentliche technische, geschäftliche und organisatorische Informationen der anderen Partei vertraulich und verwenden sie nur zur Vertragserfüllung.

(2) Ausgenommen sind Informationen, die allgemein bekannt, rechtmässig von Dritten erlangt, unabhängig entwickelt oder aufgrund Gesetzes bzw. behördlicher Anordnung offenzulegen sind.

(3) Die Pflicht gilt für fünf Jahre nach Vertragsende fort; Geschäftsgeheimnisse werden solange geschützt, wie sie solche sind.

§ 17 Änderungen der Leistung

(1) codAIx darf die Plattform weiterentwickeln, Sicherheitsmassnahmen anpassen und Funktionen ändern, wenn der vereinbarte Hauptzweck erhalten bleibt. Wesentliche nachteilige Änderungen werden rechtzeitig angekündigt.

(2) Erfordert eine Rechts- oder Sicherheitslage kurzfristige Massnahmen, darf codAIx sie ohne Vorlauf umsetzen und informiert den Kunden angemessen.

§ 18 Referenzen und Kommunikation

(1) Eine Nutzung von Name, Logo oder Marken des Kunden als Referenz bedarf seiner vorherigen Zustimmung.

(2) Vertragsbezogene Mitteilungen dürfen an die im Konto hinterlegte E-Mail-Adresse gesendet werden. Ein Newsletter oder freiwillige Werbung ist damit nicht verbunden.

§ 19 Änderungen dieser AGB

(1) codAIx kann diese AGB für zukünftige Verträge ändern. Änderungen laufender Verträge werden mindestens sechs Wochen vorher in Textform angekündigt und gelten nur, soweit eine wirksame vertragliche Grundlage besteht oder der Kunde zustimmt.

(2) Änderungen, die Leistungsumfang, Preis, Haftung oder wesentliche Rechte des Kunden betreffen, werden nicht allein durch Schweigen verbindlich, soweit zwingendes Recht oder die Individualvereinbarung etwas anderes verlangt.

§ 20 Schlussbestimmungen

(1) Es gilt schweizerisches Recht unter Ausschluss des Kollisionsrechts und des UN-Kaufrechts, soweit zwingendes Recht nichts anderes bestimmt.

(2) Ausschliesslicher Gerichtsstand für Kaufleute und juristische Personen des öffentlichen Rechts ist Schaffhausen, Schweiz, soweit zulässig.

(3) Abtretungen durch den Kunden bedürfen der vorherigen Zustimmung von codAIx; § 354a HGB und zwingendes Recht bleiben unberührt.

(4) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung.

Fassung 3.10 · Stand: 07.09.2026 · codAIx GmbH, Thayngen (CH)