Service Level Agreement -
Frontline Identity by Flip

1. Regelungsgegenstand

1. Die nachfolgenden Bestimmungen dieses Service-Level-Agreements (nachfolgend „SLA Frontline Identity“) konkretisieren die Servicequalität und ‑verfügbarkeit, die der Anbieter nach dem mit dem Kunden vereinbarten Vertrag über die Bereitstellung von Software-as-a-Service sowie Anpassung und Implementierung (nachfolgend „Hauptvertrag“) schuldet für das Produkt Frontline Identity. Dieses SLA ist Bestandteil des Hauptvertrages. Bei Widersprüchen zwischen den Vertragsbestandteilen gilt die im Hauptvertrag vereinbarte Rangfolge (Ziff. 18.1 der AGB).

2. Frontline Identity umfasst die Authentifizierungs- und Identitätsdienste, die den Login, die Token-Ausstellung, die Token-Erneuerung sowie die Sitzungsverwaltung für den Zugriff auf die Flip-Plattform und an Frontline Identity angebundene Anwendungen bereitstellen. Dieses SLA ist eine eigenständige Vereinbarung; es tritt neben das SLA der Flip-Plattform und ersetzt dieses nicht. Beeinträchtigungen des Softwaredienstes, die nicht die Frontline-Identity-Dienste betreffen, lösen keine Ansprüche nach diesem SLA aus; insoweit gilt ausschließlich das SLA der Flip-Plattform. Zeiten, in denen die Frontline-Identity-Dienste allein wegen einer Störung der Flip-Plattform nicht nutzbar sind, gelten als Ausgeschlossene Ausfallzeit im Sinne von Ziff. 3.5. Eine doppelte Gewährung von Service Credits nach beiden SLA findet nicht statt.

3. Begriffsbestimmungen. Großgeschriebene Begriffe, die in diesem SLA nicht ausdrücklich definiert sind, haben die ihnen im Hauptvertrag zugewiesene Bedeutung. 

Ergänzend gelten folgende Begriffsbestimmungen: 

„Anbieter“ und „Kunde“ sind die im Hauptvertrag so bezeichneten Vertragsparteien; 

„Frontline Identity“ bezeichnet die in Ziff. 1.2 beschriebenen Authentifizierungs- und Identitätsdienste; 

„Störung“ bezeichnet die Nichteinhaltung der vereinbarten Systemverfügbarkeit oder eine sonstige Beeinträchtigung der Frontline-Identity-Dienste, die der Kunde nach Ziff. 5 meldet; 

„Servicezeiten“ bezeichnet die in Ziff. 5.4 festgelegten Zeiten, zu denen der Anbieter Störungsmeldungen bearbeitet; 

„Reaktionszeit“ bezeichnet die in Ziff. 5.7 je Priorität festgelegte Frist, innerhalb derer der Anbieter mit der Bearbeitung einer Störung beginnt; 

„Wartungsfenster“ bezeichnet die in Ziff. 3.5 lit. a) und der Tabelle „Wartungsfenster nach Region“ bestimmten Zeiträume planmäßiger Wartung; 

„Service Credits“ bezeichnet den pauschalierten Schadenersatz nach Ziff. 7. 

Die Begriffe „Systemverfügbarkeit“, „Ausfallzeit“ und „Ausgeschlossene Ausfallzeiten“ sind in Ziff. 3 definiert.

Änderungen dieses SLA. Die jeweils aktuelle Fassung dieses SLA ist unter https://www.getflip.com/de/legal/sla-identity/ abrufbar. Für die Laufzeit des Hauptvertrages gilt diejenige Fassung dieses SLA, die bei Vertragsschluss Vertragsbestandteil geworden ist. Der Anbieter ist berechtigt, dieses SLA fortzuentwickeln und anzupassen. Änderungen, die sich auf die vereinbarten Service Levels, den Leistungsumfang oder die Pflichten des Kunden auswirken, erfolgen nicht einseitig während der laufenden Vertragsperiode; sie werden dem Kunden nach Maßgabe von Ziff. 17 der AGB, mindestens jedoch mit einer Vorlauffrist von sechs Wochen, in Textform angekündigt und werden für den bestehenden Vertrag frühestens zum jeweils nächsten Verlängerungstermin wirksam. Rein redaktionelle Änderungen sowie Änderungen, die den Kunden nicht benachteiligen (insbesondere Erweiterungen des Leistungsumfangs oder Verbesserungen der Service Levels), kann der Anbieter nach vorheriger Ankündigung mit Wirkung auch für die laufende Vertragsperiode vornehmen.

2. Bezugssystem

1. Alle Leistungsangaben in diesem SLA beziehen sich auf die vom Anbieter geschuldete Qualität der Frontline-Identity-Authentifizierungsdienste am Übergabepunkt des vom Anbieter betriebenen Datennetzes bzw. Dienstes. Beeinträchtigungen, die sich dem Einflussbereich des Anbieters entziehen, bleiben außer Betracht. Dies betrifft insbesondere die IT-Systeme des Kunden, die allgemeine Internet-Infrastruktur, globale Cloud-Störungen, vom Cloud-Anbieter administrierte Internet-Domains sowie vom Kunden eingesetzte externe Identity-Provider (z. B. Microsoft Entra ID, Okta, Google Workspace), die der Kunde in seine Frontline-Identity-Integration einbindet.

2. Dieses SLA gilt ausschließlich für produktive Frontline-Identity-Umgebungen. Es gilt nicht für Staging-, Sandbox- oder Vorschauumgebungen, für die Administrationskonsole, für die Synchronisation von Nutzerverzeichnissen (z. B. SCIM-Provisioning), für E-Mail-basierte Passwort-Reset-Flows, für die Verwaltung von Organisationen und Nutzerverbänden sowie für Funktionen, die ausdrücklich als Beta oder Early Access gekennzeichnet sind.

3. Systemverfügbarkeit

1. Der Anbieter bietet die Nutzung der Frontline-Identity-Authentifizierungsdienste mit einer Systemverfügbarkeit von 99,9 % pro Kalendermonat an. Die Systemverfügbarkeit wird je Kunde gesondert ermittelt.

2. Die Systemverfügbarkeit wird minutengenau entlang der tatsächlichen Authentifizierungs-Flows an den produktiven Frontline-Identity-Diensten anbieterseitig gemessen. Anfragen im Sinne dieser Ziffer sind Anfragen für Login-/Autorisierungs-, Token-Ausstellungs- und Token-Erneuerungs-Anfragen.

Eine Anfrage gilt als fehlgeschlagen, wenn der Anbieter sie nicht innerhalb von 5 Sekunden mit dem erwarteten Ergebnis (gültiges Token bzw. gültige Antwort) beantwortet. Anfragen, die einer Ausgeschlossenen Ausfallzeit (Ziff. 3.5) zuzuordnen sind, insbesondere Anfragen mit ungültigen Anmeldedaten, missbräuchliche Nutzung sowie durch Kunden-, Integrations- oder Drittsysteme (einschließlich externer Identity-Provider) verursachte Fehler, bleiben unberücksichtigt. 

Der Dienst ist in einer Kalenderminute nicht verfügbar, wenn Anfragen in dieser Minute wiederholt fehlschlagen, sodass eine ordnungsgemäße Authentifizierung nicht möglich ist. Vereinzelte fehlgeschlagene Anfragen sowie Kalenderminuten ohne Anfragen bleiben außer Betracht. Die nachstehend ausgewiesenen Service Level Indicators (SLI) sind unverbindliche Zielwerte. Sie dienen der Beschreibung der angestrebten Leistungsqualität, begründen keine eigenständige Leistungspflicht und keine Beschaffenheitsvereinbarung; ihre Nichteinhaltung stellt für sich genommen keine Störung im Sinne dieses SLA dar. Maßgeblich für die Systemverfügbarkeit und für Service Credits nach Ziff. 7 ist ausschließlich die Ermittlung nach Absatz 1 bis 3 dieser Ziffer.

3. Der Prozentsatz für die Systemverfügbarkeit wird wie folgt berechnet:

4. „Ausfallzeit" bezeichnet die Gesamtzahl der Kalenderminuten im Monat, in denen der Dienst nach Ziff. 3.2 nicht verfügbar war. Ausgenommen hiervon sind Ausgeschlossene Ausfallzeiten.

5. „Ausgeschlossene Ausfallzeiten“ bezeichnet die Gesamtzahl der Minuten im Monat, die auf Folgendes zurückzuführen sind:

a) Mit dem Kunden abgestimmte Wartungs- oder sonstige Leistungen, durch die ein Zugriff auf Frontline Identity nicht möglich ist. Der Anbieter wird wirtschaftlich angemessene Anstrengungen unternehmen, regelmäßige geplante Wartungsarbeiten außerhalb der üblichen Betriebszeiten in der jeweiligen Hosting-Region des Kunden durchzuführen. Die anwendbaren Wartungsfenster sind in der untenstehenden Tabelle „Wartungsfenster nach Region“ spezifiziert. Die maximal zulässige Unterbrechung des Dienstes beträgt 2 Stunden pro Wartungsfenster, und die Gesamtdauer der geplanten Wartungsarbeiten darf 4 Stunden pro Kalendermonat nicht überschreiten. 

b) Unvorhergesehen dringend erforderliche, ungeplante Wartungsarbeiten, wenn sich diese Arbeiten selbst unter Anwendung angemessener Sorgfalt und Planung nicht hätten verhindern lassen können.

c) Zeiten der Nichtverfügbarkeit aufgrund von Faktoren, die sich der Kontrolle des Anbieters entziehen (z. B. höhere Gewalt, unvorhersehbare Ereignisse, durch Dritte zu vertretende Ausfallzeiten, Ausfälle externer Identity-Provider des Kunden wie Microsoft Entra ID, Okta oder Google Workspace);

d) Ausfallzeiten aufgrund von Denial-of-Service-, Malware- oder Hacker-Angriffen, soweit der Anbieter angemessene Schutzmaßnahmen getroffen hat und die Angriffe sich auch unter Anwendung angemessener Sorgfalt nicht hätten verhindern lassen können;

e) Ausfallzeiten aufgrund von Vorgaben oder Weisungen des Kunden, aufgrund von Nichtverfügbarkeiten der Ausstattung des Kunden oder aufgrund anderer durch den Kunden verursachter Unterbrechungen (z. B. unterbleibende Mitwirkungsleistungen);

f) Ausfallzeiten für das Einspielen dringend notwendiger Security-Patches;

g) Ausfallzeiten aufgrund von Software-Fehlern in Kunden- oder Integrationsanwendungen oder aufgrund von Fehlern, die durch Kundenanwendungen oder ‑daten ausgelöst werden;

h) Anfragen mit ungültigen Anmeldedaten, missbräuchliche Nutzung des Dienstes sowie Verstöße gegen die zulässigen Nutzungsbedingungen;

i) Ausfallzeiten durch Ausfälle der allgemeinen Internet-Infrastruktur (z. B. DNS-Probleme, Internet-BGP-Routing) oder globale Cloud-Störungen.

Wartungsfenster nach Region

Die folgenden Wartungsfenster gelten für Kunden, die in den jeweiligen Regionen gehostet werden. Alle Zeitangaben beziehen sich auf die jeweils geltende lokale Sommer- bzw. Winterzeit.

6. Der Kunde übernimmt es als Obliegenheit, dem Anbieter Beeinträchtigungen der Authentifizierungsdienste zu melden. Der Anbieter wird sich bemühen, die Beeinträchtigungen unverzüglich zu beseitigen. Ein Anspruch auf Wiederherstellung der Nutzbarkeit der Frontline-Identity-Dienste besteht nicht, soweit die vereinbarte Systemverfügbarkeit gewährleistet ist.

7. Stellt der Anbieter Frontline Identity nicht im Rahmen der vereinbarten Systemverfügbarkeit vertragsgemäß zur Verfügung, hat der Kunde Anspruch auf Wiederherstellung der Verfügbarkeit nach Maßgabe dieses SLA sowie auf Service Credits gemäß Ziff. 7. 

4. Prioritäten

Entsprechen die Leistungen des Anbieters nicht den nach diesem SLA festgelegten Werten, so soll der Anbieter im Falle der Beeinträchtigung sowohl der Systemverfügbarkeit als auch der Leistungsqualität zunächst die Datensicherheit der Authentifizierungsdienste, sodann die Login- und Token-Funktionalität und nachfolgend das Antwortzeitverhalten wiederherstellen. 

5. Störungsmeldung, Wiederherstellung der Leistungen

1. Der Kunde kann die Nichteinhaltung der Systemverfügbarkeit oder eine Beeinträchtigung der Frontline-Identity-Dienste als Störung melden.

2. Der Kunde wird Meldungen zu Störungen, die nach diesem SLA behandelt werden sollen, über folgenden Kontaktpunkt vornehmen:

Formular: https://flipappsupport.zendesk.com/hc/de/requests/new für Ansprechpartner unter Angabe der Anfragepriorität und ausführlicher Beschreibung der Störung.

Eingegangene Störungsmeldungen werden dem Kunden schriftlich (E-Mail bzw. per Ticket) bestätigt. Auf die zur Meldung von Störungen und zur Entscheidung bezüglich des Frontline-Identity-Systems berechtigten Personen wird in Ziff. 6.2 im Detail eingegangen.

3. Beschleunigtes Verfahren für kritische Störungen (P1/P2): Störungsmeldungen, die nach Ziff. 5.7 als P1 (kritisch) oder P2 (hoch) klassifiziert sind, werden vorrangig bearbeitet und unmittelbar an die zuständige technische Bereitschaft des Anbieters weitergeleitet. Die Bearbeitung erfolgt rund um die Uhr und unabhängig von Servicezeiten. Der Eingang einer P1- oder P2-Störungsmeldung wird dem Kunden unverzüglich bestätigt.

4. Der Anbieter bearbeitet Störungen und Störungsmeldungen für Frontline Identity zu folgenden Servicezeiten: 7 Tage/Woche, 24 Stunden/Tag, 365 Tage/Jahr (24/7/365), für sämtliche Prioritätsstufen.

5. Der Kunde wird Meldungen zu Störungen, die nach diesem SLA behandelt werden sollen, nur durch die hierzu geschulten und autorisierten Mitarbeiter abgeben. Meldet der Kunde eine Störung, so wird er dem Anbieter die Beschreibung der Störung gemäß Ziff. 5.7 angeben, soweit möglich (z. B. bei Identity-Provider-Problemen, die nicht durch den Anbieter zu vertreten sind, mit Microsoft Entra ID oder vergleichbaren externen Diensten). Bei der Meldung der Störung hat der Kunde anzugeben, welche Personen dem Anbieter als Ansprechpartner beim Kunden für diese Störung zur Verfügung stehen und wie sie telefonisch zu erreichen sind. Die Ansprechpartner sind so zu benennen, dass der Anbieter sich während der Dauer der Störung stets und unmittelbar an einen der benannten Ansprechpartner wenden kann.

6. Der Kunde kann den jeweiligen aktuellen Stand der Störung und Störungsmeldung unter https://www.getflip.com/status/ einsehen.

7. Störungen, die den Regelungen dieses SLA unterliegen, werden wie folgt klassifiziert:

8. Erreicht die Störung eine höhere Prioritätsstufe, so hat der Kunde dies dem Anbieter unverzüglich mitzuteilen. Die Messung der Reaktionszeit beginnt, sobald die Störungsmeldung des Kunden gemäß Ziff. 5.2 beim Anbieter eingeht. Maßgebend für die Zuordnung einer Störung zu einer Störungsklasse ist das Vorliegen der in der Störungs-Beschreibung angegebenen Merkmale. Die Priorität kann durch den Anbieter nach billigem Ermessen auf der Grundlage der Kriterien in Ziff. 5.7 neu zugewiesen werden. Im Übrigen gelten die Bestimmungen in Ziff. 4.

9. Der Anbieter verpflichtet sich, bei Eingang einer ordnungsgemäßen Störungsmeldung des Kunden spätestens innerhalb der festgelegten Reaktionszeiten mit der Analyse und – soweit möglich – mit der Beseitigung der Störung zu beginnen. Die Arbeiten zur Störungsbeseitigung erfolgen im Rahmen der Möglichkeiten des Anbieters unter Beachtung der vertraglichen Pflichten. Der Anbieter wird alle zumutbaren Anstrengungen unternehmen, um Störungen schnellstmöglich zu beheben. Ein Anspruch auf die Beseitigung der Störung innerhalb einer bestimmten Zeit folgt aus der Vereinbarung der Reaktionszeiten nicht. 

10. Eine vom Anbieter zu behebende Störung liegt nicht vor bei Beeinträchtigungen der Datenübertragung außerhalb des vom Anbieter betriebenen Datennetzes (z. B. durch Leitungsausfall oder ‑störung bei Dritten), bei Ausfall externer Identity-Provider des Kunden (z. B. Microsoft Entra ID, Okta) oder bei einer vertragswidrigen Inanspruchnahme der bereitgestellten Systemkapazitäten (z. B. durch eine überhöhte Zahl von Zugriffen durch den Kunden).

11. Die Behandlung von Störungen, die nicht in Ziff. 5.7 definiert sind, richtet sich nach dem Hauptvertrag.

6. Monitoring, Kontaktpersonen, Geltendmachung von Ansprüchen

1. Der Kunde hat Zugang zur monatlichen Systemverfügbarkeit der Frontline-Identity-Dienste und ist verantwortlich dafür, diese auf folgender Seite zu überprüfen: https://www.getflip.com/status/.

2. Der Kunde stellt dem Anbieter aktuelle Kontaktdaten (Name, E-Mail, Telefon) der zuständigen bzw. zur Störungsmeldung berechtigten Ansprechpartner zur Verfügung, an die jegliche Kommunikation im Zusammenhang mit diesem SLA (z. B. Ankündigung von Wartungsarbeiten, Übermittlung angeforderter SLA-Reports und Kommunikation in Notfallsituationen) zu richten ist. Der Kunde stellt sicher, dass diese Ansprechpartner verlässlich erreichbar und entsprechend den Anforderungen der Frontline-Identity-Integration ausreichend befähigt, informiert und autorisiert sind (beispielsweise das interne und zentrale IT-Bereitschaftsteam des Kunden).

3. Es obliegt dem Kunden, seine Integration mit Frontline Identity stets aktuell zu halten, ausschließlich die dokumentierten APIs und unterstützten Authentifizierungs-Flows zu verwenden, sowie auf Anfrage des Anbieters Diagnoseinformationen bereitzustellen, die zur Analyse und Behebung von Störungen erforderlich sind.

4. Dem Kunden stehen die Rechte nach Ziff. 7 nur dann zu, wenn er ihre Geltendmachung unverzüglich, spätestens jedoch innerhalb von zwei Wochen nach Eintritt der diese Rechte begründenden Störung, dem Anbieter schriftlich anzeigt.

5. Eskalationen außerhalb des Standard-Supportprozesses gemäß Ziff. 5.2 erfolgen über das zuständige Account-Team des Anbieters.

7. Vergütungspflicht im Störungsfall (Service Credits)

1. Die nachfolgenden Regelungen ergänzen die gesetzlichen Bestimmungen zur Gewährleistung, ohne sie zu verdrängen. Der Kunde ist jederzeit berechtigt, die ihm zustehenden Rechte wegen der Nichtverfügbarkeit der Systeme bzw. Nichtgewährung der Softwarenutzung und der Pflichtverletzung bei der Durchführung der Leistungen nach dem Hauptvertrag geltend zu machen. Macht er diese Rechte geltend, kann er die nachfolgenden Rechte nur in einem hierüber hinausgehenden Umfang geltend machen.

2. Wenn Frontline Identity die vertraglich vereinbarte Systemverfügbarkeit (Ziff. 3) und die Reaktionszeiten in einem bestimmten Kalendermonat nicht erreicht und ein solcher Fehler vom Kunden gemeldet und vom Anbieter gemäß diesem SLA verifiziert wird, hat der Kunde (unbeschadet seiner Rechte nach Ziff. 7.1) Anspruch auf einen pauschalierten Schadenersatz in Form von gutgeschriebenen Service Credits nach Maßgabe der folgenden Tabelle. Service Credits werden auf Grundlage der monatlichen Gebühr der betroffenen Frontline-Identity-Lizenzen berechnet.

3. Service Credits können unmittelbar und spätestens innerhalb von zwei Monaten auf die Rechnung angerechnet werden, die auf den Kalendermonat der Nichtverfügbarkeit folgt. Service Credits können nur auf Rechnungen angewendet werden, die gemäß dem Hauptvertrag ausgestellt wurden, und können nicht ausbezahlt oder gegen eine andere Vergütung eingelöst werden. Eine Minderung wegen Nichtverfügbarkeit ist auf Service Credits anzurechnen und umgekehrt (Ziff. 13.2 der AGB). Die Rechte des Kunden nach Ziff. 7.1 sowie die Kündigungsrechte nach dem Hauptvertrag bleiben unberührt.