Service Level Agreement

TurboStack-Plattform und Managed Services

Standard- und Platinum-SLA-Stufen

1. Zweck und rechtlicher Status

Diese Vereinbarung über Servicelevel ("SLA") definiert die Servicelevel, den Umfang des Supports, Verantwortlichkeiten, Einschränkungen und den Rahmen für Servicegutschriften für von Hosted Power verwaltete TurboStack-Umgebungen und damit verbundene Managed Services.

Diese SLA gilt nur, wenn in einem Bestellformular, einem Master Services Agreement, einer Leistungsbeschreibung oder einer anderen schriftlichen Vereinbarung zwischen Hosted Power BV ("Hosted Power") und dem Kunden oder Partner ("Kunde") auf sie verwiesen wird.

Grundsatz der klaren Sprache

Hosted Power verwaltet die Infrastruktur- und Plattformeebene. Der Kunde, Wiederverkäufer, die Agentur oder der Entwicklungspartner bleibt für den Anwendungscode, das Anwendungsverhalten, Inhalte von Endnutzern, vom Kunden verwaltete Drittanbieterdienste und geschäftliche Entscheidungen verantwortlich. Sicherheit, Performance und Verfügbarkeit liegen in der gemeinsamen Verantwortung.

Vertraglicher Vorrang: Im Falle eines Widerspruchs zwischen dieser SLA und einem unterzeichneten Bestellformular, Master Services Agreement oder spezifischen Nachtrag hat das spezifischere unterzeichnete Dokument Vorrang.

Alle Ziele in dieser SLA sind Serviceziele und stellen keine Garantie dafür dar, dass Vorfälle, Sicherheitsereignisse, Bot-Traffic, Ausfälle von Drittanbietern oder Anwendungsprobleme niemals auftreten.

2. Definitionen

3. Umfang des TurboStack-Service

TurboStackTurboStack ist die Managed-Plattformebene von Hosted Power für performancekritische digitale Plattformen. Sie wurde für Entwickler, Agenturen, E-Commerce-Teams, SaaS-Plattformen und geschäftskritische Anwendungen entwickelt, die Geschwindigkeit, Stabilität, Skalierbarkeit und Transparenz erfordern.

TurboStack kombiniert automatisiertes Plattformmanagement mit direktem Zugang zu erfahrenen Engineers. Je nach ausgewähltem Paket und SLA-Tier kann die Plattform Managed cloud infrastructure, unterstützte Betriebssysteme, Webserver- und Datenbankkomponenten, Caching, Deployment-Tools, Monitoring, Backups, Sicherheitskontrollen und TurboShield umfassen.

4. Modell der geteilten Verantwortung

TurboStack ist bewusst transparent und wird gemeinsam verwaltet. Hosted Power übernimmt die Verantwortung für die Managed-Plattformebene. Der Kunde oder Partner behält die Kontrolle über die Anwendung, Inhalte, Daten, Benutzer und die kommerzielle Nutzung der Umgebung.

5. SLA-Stufen: Standard und Platinum

Hosted Power verwendet zwei SLA-Stufen, um das Angebot übersichtlich zu halten. Standard ist das standardmäßige Managed-SLA für professionelle Produktionsumgebungen. Platinum ist für geschäftskritische, kampagnenabhängige oder umsatzkritische Plattformen vorgesehen, bei denen eine schnellere Triage, umfassenderes Monitoring, bessere Wiederherstellungsoptionen und eine proaktivere Nachverfolgung erforderlich sind.

Die SLA-Stufe ändert nichts an der Verantwortung für Kundencode, Daten oder Services von Drittanbietern. Platinum verbessert Priorität, Transparenz, Kommunikation, Wiederherstellungsoptionen und die operative Nachverfolgung. Anwendungsprobleme, Bot-Traffic oder Ausfälle bei Drittanbietern werden dadurch nicht zu Infrastruktur-Ausfallzeiten von Hosted Power.

6. Prioritäten von Störungen und Reaktionsziele

Störungen werden nach ihren geschäftlichen Auswirkungen sowie danach kategorisiert, ob sie die abgedeckte Infrastruktur oder Managed Services betreffen. Reaktion bedeutet, dass Hosted Power die Störung bestätigt, mit der Analyse begonnen und das zuständige Team oder den entsprechenden Prozess eingebunden hat. Reaktion ist nicht gleichbedeutend mit der vollständigen Behebung.

7. Verfügbarkeit, Betriebszeit und Servicegutschriften

Die Verfügbarkeit wird monatlich für die abgedeckte Produktionsinfrastruktur und Managed-Plattformservices unter der Kontrolle von Hosted Power gemessen. Als Messquelle dient das Monitoring von Hosted Power, sofern in der Vereinbarung nicht ausdrücklich eine andere Messquelle festgelegt ist.

Ausfallzeiten werden bei der Berechnung der Verfügbarkeit nicht berücksichtigt, wenn sie durch geplante Wartungsarbeiten, Notfallwartungen, Handlungen des Kunden oder Partners, Probleme auf Anwendungsebene, Dienste Dritter, externe Netzwerkprobleme, Sicherheitsereignisse, die nicht durch einen Ausfall der von Hosted Power verwalteten Infrastruktur verursacht wurden, höhere Gewalt oder die fehlende erforderliche Mitwirkung des Kunden verursacht wurden.

Servicegutschriften können beantragt werden, wenn das geltende monatliche Verfügbarkeitsziel aus Gründen verfehlt wird, die im Einflussbereich von Hosted Power liegen. Die Gutschriften müssen innerhalb von 30 Kalendertagen nach Ende des betroffenen Monats schriftlich beantragt werden und angemessene Belege enthalten.

Die maximale Entschädigung im Rahmen dieses SLA ist auf die monatlich wiederkehrende Gebühr für den betroffenen Service begrenzt. Gutschriften sind keine Barauszahlungen und gelten nicht für einmalige Projekte, Migrationen, Audits, Entwicklungsarbeiten, Expert Services, durchlaufende Kosten oder Gebühren Dritter.

8. TurboShield und Traffic-Schutz

TurboShield ist eine von Hosted Power verwaltete Traffic-Schutzebene, die dazu dient, die Auswirkungen von bösartigem Traffic, missbräuchlichen Bots, verdächtigen Anfragemustern, Scraping-Versuchen, Brute-Force-Verhalten, Schwachstellen-Scans, Spam und Belastungen auf Anwendungsebene zu reduzieren.

TurboShield kann Ratenbegrenzungen, Firewall-Regeln, Anfragefilterung, Regeln zur Bot-Abwehr, IP-Reputationsprüfungen, Allow- und Blocklisten, benutzerdefinierte Regeln, WAF-Integrationen, Monitoring, Benachrichtigungen und manuelle Anpassungen durch die Ingenieure von Hosted Power umfassen. Die genauen Funktionen hängen von der Umgebung, der ausgewählten SLA-Stufe, der verfügbaren Traffic-Transparenz und der kommerziellen Vereinbarung ab.

Sicherheitsrealität

TurboShield reduziert Risiken und Auswirkungen erheblich, aber kein Service zur Bot-Abwehr, WAF- oder DDoS-Schutz kann die vollständige Verhinderung sämtlichen bösartigen, automatisierten oder unerwünschten Traffics garantieren. Die Bot-Abwehr ist ein fortlaufender Prozess, der kontinuierliche Anpassungen, Monitoring und die Zusammenarbeit zwischen Hosted Power, dem Kunden und jeder beteiligten Agentur oder jedem Entwicklungspartner erfordert.

8.1 Sicherheitsereignisse und SLA-Gutschriften

Traffic, der durch böswillige Akteure, missbräuchliche Bots, Scraping, Credential Stuffing, Denial-of-Service-Versuche, Schwachstellen-Scans, Spam, missbräuchliche Nutzung von Anwendungen oder anderen schädlichen Traffic verursacht wird, gilt nicht als SLA-Ausfallzeit, es sei denn, die Nichtverfügbarkeit wird direkt durch einen Ausfall der von Hosted Power verwalteten Infrastruktur innerhalb des vereinbarten SLA-Umfangs verursacht.

Die Reaktionsziele gelten für die Bearbeitung von Vorfällen, die Triage und die Maßnahmen zur Eindämmung. Sie garantieren nicht die vollständige Entfernung aller Bots, Angreifer, Scraper, Scans oder sonstigen unerwünschten Traffics innerhalb eines festgelegten Zeitraums.

8.2 Verantwortlichkeiten von Kunden, Resellern und Agenturen für TurboShield

• Sichere Anwendungscodes, Plugins, Module, Abhängigkeiten, Authentifizierungsabläufe, Formulare, APIs und öffentlich zugängliche Endpunkte aufrechterhalten.

• Bei der Untersuchung von Sicherheitsereignissen rechtzeitig Zugriff auf relevante Anwendungsprotokolle, Webserver-Protokolle, Cloudflare-Protokolle, die Deployment-Historie, Informationen zu kürzlich vorgenommenen Änderungen und technische Ansprechpartner bereitstellen.

• Hosted Power im Voraus über Kampagnen, Produkteinführungen, Black Friday, umfangreiche Mailings, Importe, Verkaufszeiträume, erwarteten botintensiven Traffic oder andere Traffic-Spitzen informieren.

• Vom Kunden verwaltete Änderungen an Firewall, DNS, CDN, WAF oder Anwendung vermeiden, die ohne vorherige Abstimmung die Transparenz verringern oder vereinbarte Schutzmaßnahmen umgehen.

• Akzeptieren, dass Notfallmaßnahmen, Ratenbegrenzungen, Sperren oder Challenges den legitimen Traffic vorübergehend beeinträchtigen können, wenn dies zum Schutz der Umgebung erforderlich ist.

• Als Reseller oder Agentur die Kommunikation mit dem Endkunden in erster Linie koordinieren und Probleme auf Anwendungsebene, von Drittanbietern oder in der Kundenverwaltung nicht als Ausfälle der Hosted Power-Infrastruktur darstellen, sofern dies nicht von Hosted Power bestätigt wurde.

8.3 Edge-Anbieter von Drittanbietern

Wenn ein CDN-, DNS-, WAF-, Reverse-Proxy-, DDoS-Schutz- oder Sicherheitsdienst eines Drittanbieters wie Cloudflare vor der Hosted Power-Umgebung eingesetzt wird und nicht vollständig von Hosted Power verwaltet wird, kann Hosted Power für diese externe Schicht keine durchgängige öffentliche Verfügbarkeit, Transparenz des Traffics, Genauigkeit der Bot-Erkennung, Cache-Verhalten, SSL/TLS-Verhalten, DNS-Verhalten oder Reaktionszeiten bei Vorfällen garantieren.

In solchen Fällen gelten SLA-Messungen für die von Hosted Power verwaltete Origin-Infrastruktur, sofern Hosted Power über eine zuverlässige Methode verfügt, den Origin direkt oder über einen vereinbarten Überwachungspfad zu überwachen.

Der Kunde muss den erforderlichen Zugriff, die Konfiguration, das Allowlisting, Header, Protokolle, API-Zugriff, Origin-Health-Endpunkte und Überwachungsausnahmen bereitstellen, soweit dies erforderlich ist. Ohne diesen Zugriff oder diese Konfiguration können Überwachung, Vorfallanalyse und die Wirksamkeit von TurboShield eingeschränkt sein.

Wenn Cloudflare oder ein anderer Edge-Anbieter von Drittanbietern Traffic blockiert, Challenges auslöst, Inhalte cached, verändert, die Rate begrenzt, weiterleitet, Fehler ausliefert, TLS fehlerhaft beendet, Origin-Fehler verbirgt, Client-IP-Adressen maskiert oder Traffic nicht an den Origin weiterleitet, gilt dies nicht als Ausfallzeit von Hosted Power, es sei denn, Hosted Power verwaltet diese Komponente und der Fehler liegt im Einflussbereich von Hosted Power.

Wenn Hosted Power Cloudflare oder einen anderen Edge-Dienst eines Drittanbieters separat für den Kunden verwaltet, wird die verwaltete Konfiguration im Rahmen des vereinbarten Umfangs betreut. Ausfälle des Anbieters, plattformweite Ausfälle beim Drittanbieter, Änderungen durch den Kunden und Einschränkungen des Drittanbieterdienstes bleiben ausgeschlossen, sofern nicht ausdrücklich etwas anderes vereinbart wurde.

8.4 Fehlalarme und Notfallmaßnahmen

TurboShield-Regeln können gelegentlich legitimen Traffic einer Challenge unterziehen, verzögern oder blockieren, insbesondere während laufender Angriffe, aggressiven Scrapings oder anomaler Traffic-Muster. Hosted Power behandelt bestätigte Fehlalarme als Supportfall und passt die Regeln gegebenenfalls an.

Fehlalarme, die durch Notfallmaßnahmen, vom Kunden genehmigte Regeln, vom Kunden verwaltete Cloudflare-/CDN-/WAF-Einstellungen, einen unvollständigen Anwendungskontext, fehlende Protokolle oder dringende Schutzmaßnahmen verursacht werden, gelten nicht automatisch als SLA-Ausfallzeit.

9. Überwachung, Backups und Wiederherstellung

9.1 Überwachung

Hosted Power überwacht kontinuierlich die abgedeckte Infrastruktur und die Komponenten der Managed platform. Die Überwachung dient dazu, technische Ausfälle, Kapazitätsrisiken und abnormales Verhalten auf Plattformebene zu erkennen. Sie ersetzt keine Überwachung von Anwendungen, Geschäftstransaktionen, Analysen, Betrugserkennung oder Endnutzern, sofern dies nicht ausdrücklich vereinbart wurde.

Zu den grundlegenden Prüfungen können Verfügbarkeit, Systemzustand, Speicherplatz, CPU, Arbeitsspeicher, Prozesse verwalteter Dienste, Backup-Status und ausgewählte Plattformmetriken gehören. Platinum kann, sofern vereinbart und technisch umsetzbar, erweiterte Prüfungen wie benutzerdefinierte Schwellenwerte, synthetisches Monitoring oder detailliertere Empfehlungen umfassen.

9.2 Backups und Wiederherstellung

Managed Backups werden für abgedeckte Systeme entsprechend der ausgewählten SLA-Stufe und der technischen Konfiguration bereitgestellt. Sofern vertraglich nichts anderes vereinbart wurde, beträgt die standardmäßige Aufbewahrungsdauer der Backups 20 Tage.

Backups reduzieren Risiken, ersetzen jedoch weder eine disziplinierte Release-Verwaltung auf Kundenseite noch die Validierung von Daten auf Anwendungsebene, Abnahmetests, Exportstrategien oder die Planung der Geschäftskontinuität. Hosted Power garantiert nicht, dass Anwendungsdaten, vom Kunden verwalteter Speicher, Daten von Drittanbieter-SaaS oder externe Systeme enthalten sind, sofern dies nicht ausdrücklich konfiguriert und vereinbart wurde.

10. Sicherheit, Patching und Wartung

10.1 Sicherheitsbasis

• SSL/TLS wird für gehostete Dienste unterstützt, um Daten während der Übertragung zu schützen.

• Unterstützte Betriebssysteme und Managed-Plattformkomponenten erhalten Sicherheits-Patches gemäß dem betrieblichen Risiko, dem Supportstatus und der ausgewählten SLA-Stufe.

• Die DDoS-Abwehr kann Rate Limiting, Load Balancing, Blackhole-Routing, die Koordination mit Providern und TurboShield-Kontrollen umfassen. Erweiterter DDoS-Schutz durch Drittanbieter oder CDN-Dienste können eingesetzt werden, sofern dies separat vereinbart wurde.

• WAF-Funktionen wie ModSecurity, Fortinet FortiWeb oder andere Kontrollen können abhängig von der Umgebung und der Vereinbarung als optionale Dienste oder Add-ons verfügbar sein.

10.2 Geplante Wartung

Routine-Updates, Sicherheits-Patches, Firmware-Updates, Neustarts und Plattformwartungen werden normalerweise außerhalb der Geschäftszeiten geplant, sofern betrieblich möglich typischerweise zwischen 22:00 und 04:00 Uhr CET/CEST. Hosted Power bemüht sich, Kunden mindestens zwei Werktage im Voraus über nicht standardmäßige geplante Wartungsarbeiten zu informieren, die die Verfügbarkeit beeinträchtigen können.

10.3 Notfallwartung

Hosted Power kann bei einem kritischen Sicherheitsrisiko, aktivem Missbrauch, einem unmittelbar drohenden Ausfall, einer Anforderung des Providers oder einem dringenden betrieblichen Bedarf Notfallwartungen ohne die übliche Ankündigungsfrist durchführen. Hosted Power wird so bald wie vernünftigerweise möglich informieren.

10.4 Größere Upgrades und Expert Services

Größere Anwendungs-Upgrades, Framework-Upgrades, Migrationen von Datenbank-Engines, Neugestaltungen der Architektur, individuelles Performance-Tuning, CI/CD-Neuaufbauten und komplexe Migrationen sind nicht Bestandteil der standardmäßigen SLA, sofern sie nicht ausdrücklich eingeschlossen wurden. Hosted Power kann diese Leistungen als Expert Services anbieten.

11. Verantwortlichkeiten des Kunden

Ein starkes SLA funktioniert nur, wenn beide Seiten die Betriebsfähigkeit der Plattform gewährleisten. Der Kunde, Wiederverkäufer, die Agentur und/oder der Entwicklungspartner bleiben für Entscheidungen und Änderungen auf der Anwendungs- und Geschäftsebene verantwortlich.

• Anwendungscode, Plugins, Module, Themes, Abhängigkeiten, individuelle Integrationen und Deployment-Pipelines warten, testen und absichern.

• Anwendungsinhaber, technische Ansprechpartner und Eskalationskontakte aktuell halten und während Störungen und geplanter Wartungsarbeiten erreichbar machen.

• Hosted Power mindestens einen Geschäftstag im Voraus über große Kampagnen, erwartete Verkehrsspitzen, Importe, umfangreiche Deployments, ungewöhnliche Jobs, Sicherheitsrisiken oder geplante Dienstunterbrechungen informieren. Für Kampagnen mit hohen Auswirkungen wird eine frühere Benachrichtigung dringend empfohlen.

• Unabgestimmte Änderungen an Infrastruktur, DNS, Zugriffskontrollen, Secrets, Firewall-Regeln, Cloudflare, CDN, WAF oder kritischen Konfigurationen vermeiden, wenn solche Änderungen die Verfügbarkeit oder das Monitoring beeinträchtigen können.

• Bei der Eröffnung von Störungen zeitnah Logs, Zeitstempel, URLs, Fehlermeldungen, Screenshots, Informationen zu kürzlich vorgenommenen Änderungen und Angaben zu den geschäftlichen Auswirkungen bereitstellen.

• Wiederhergestellte Daten validieren und nach den Wiederherstellungsmaßnahmen die geschäftliche Abnahme bestätigen.

• Die korrekten Supportkanäle nutzen. Die Notfall-Hotline ist ausschließlich für entsprechende P1-Störungen vorgesehen.

• Sicherstellen, dass weiterverkaufte Services und die Erwartungen der Endkunden dem tatsächlichen Umfang des Hosted Power SLA, den Ausschlüssen und dem Modell der geteilten Verantwortung entsprechen.

12. Ausschlüsse und Einschränkungen

Die folgenden Punkte werden nicht in die Berechnung der SLA-Verfügbarkeit, die Reaktionsgarantien und die Servicegutschriften einbezogen, sofern nicht ausdrücklich etwas anderes vereinbart wurde:

• Fehler auf Anwendungsebene, langsame Abfragen, Speicherlecks, Plugin-Konflikte, Probleme mit Themes, Code-Releases, Cronjobs, Warteschlangen, Datenbeschädigungen oder Performanceprobleme, die außerhalb der Kontrolle von Hosted Power verursacht werden.

• Handlungen des Kunden, der Agentur, des Wiederverkäufers, des Entwicklers oder des Endbenutzers, fehlerhafte Konfiguration, missbräuchliche Nutzung von Zugängen, Verlust von Zugangsdaten, gelöschte Dateien, gelöschte Datenbanken oder fehlgeschlagene Deployments.

• Drittanbieter oder Drittanbieterdienste, einschließlich DNS, Registrare, CDN, Cloudflare, Zahlungsanbieter, externe APIs, SaaS-Tools, E-Mail-Reputation, Probleme bei Public-Cloud-Anbietern außerhalb der Kontrolle von Hosted Power oder Probleme der Internet-Backbone-Infrastruktur.

• Sicherheitsereignisse, Bot-Traffic, Scraping, Credential-Stuffing, Spam, Denial-of-Service-Versuche, Schwachstellen-Scans, Missbrauch der Anwendung oder bösartiger Datenverkehr, außer wenn der Ausfall direkt durch einen Ausfall der von Hosted Power kontrollierten Covered Infrastructure verursacht wird.

• Geplante Wartungen, Notfallwartungen, vom Anbieter vorgeschriebene Wartungen und dringende Schutzmaßnahmen.

• Höhere Gewalt, behördliche oder gerichtliche Anordnungen, Maßnahmen zur Bearbeitung von Missbrauch, Sperrung des Kontos wegen Vertragsverletzung, Nichtzahlung, Sanktionen, rechtswidrige Inhalte oder Notfallmaßnahmen zum Schutz von Hosted Power, anderen Kunden oder der Plattform.

• Dienste, die nicht ausdrücklich im Order Form enthalten sind, einschließlich umfangreicher Migrationen, Audits, individueller DevOps-Projekte, Upgrades von Anwendungen oder Performance-Tuning auf Code-Ebene.

Die Haftung von Hosted Power im Rahmen dieses SLA ist auf die in Abschnitt 7 beschriebenen Servicegutschriften beschränkt, sofern eine unterzeichnete Vereinbarung nichts anderes bestimmt.

13. Eskalation und Kontakte

13.1 Nach Art der Eskalation

13.2 Nach Art der Anfrage