# Hiscox CyberClear: die Bedingungen im Volltext > Ausgewertet von NAMMERT aus den veröffentlichten Bedingungen. Trotz Sorgfalt kann ein Wert falsch gelesen sein; rechtlich gilt nur das Bedingungswerk Ihres Vertrags in der dort genannten Fassung. Fehler bitte melden, wir korrigieren am selben Tag. - https://www.nammert.com/bedingungen-cyber-hiscox-cyberclear.php - Rechtlicher Träger: Hiscox SA, Niederlassung für Deutschland - Anfrage an den Makler: https://www.nammert.com/bedingungen-cyber-hiscox-cyberclear.php?household=single|couple|family|single_parent&deductible=0|1&over55=0|1&public_service=0|1&summary=…#anfrage - Original beim Versicherer (PDF): [Bedingungen Hiscox CyberClear 06/2022](https://brochureware.hiscox.de/sites/default/files/documents/bedingungen-hiscox-cyberclear-062022-1.pdf), Fassung Bedingungen Hiscox CyberClear 06/2022 ## Auswertung nach Prüfpunkten | Prüfpunkt | Regelung | Im Wortlaut | Fundstelle | | --- | --- | --- | --- | | Versicherungssumme je Versicherungsfall | laut Versicherungsschein | Die Leistung des Versicherers je Versicherungsfall ist auf die vereinbarte Versicherungssumme oder Entschädigungsgrenze beschränkt. | IV.8.1, Seite 18 | | Jahreshöchstleistung (Maximierung aller Versicherungsfälle eines Jahres) | ja, bis zur Versicherungssumme | Die Leistung des Versicherers je Versicherungsjahr ist auf die vereinbarte Jahreshöchstleistung beschränkt. | IV.8.2, Seite 19 | | Selbstbeteiligung Standard | ja, bis zur Versicherungssumme | Ein Versicherter beteiligt sich in jedem Versicherungsfall mit dem im Versicherungsschein vereinbarten Betrag an der Leistung des Versicherers (monetärer Selbstbehalt). | IV.7, Seite 18 | | Umsatzgrenze, bis zu der der Tarif gilt (Zielgruppe kleine und mittlere Betriebe) | nicht geregelt | | | | Geltungsbereich weltweit (auch Server und Tätigkeit im Ausland) | ja | Es besteht weltweiter Versicherungsschutz. | IV.4, Seite 18 | | Anspruchserhebungs- oder Feststellungsprinzip (Versicherungsfall ist die Entdeckung oder Geltendmachung) | nein | Der Versicherungsfall ist der tatsächliche Eintritt eines Ereignisses gemäß Ziffer I. | IV.1, Seite 17 | | Rückwärtsdeckung für bei Vertragsbeginn unbekannte Pflichtverletzungen und Angriffe | ja | Darüber hinaus besteht Versicherungsschutz in der Cyber-Haftpflicht auch für Schadenereignisse, die vor der Vertragslaufzeit eingetreten sind und den Versicherten zum Zeitpunkt des Vertragsschlusses nicht bekannt waren. | IV.3.1, Seite 18 | | Nachmeldefrist nach Vertragsende | ja | Versicherungsschutz besteht nur für Versicherungsfälle, die dem Versicherer nicht später als fünf Jahre nach Beendigung des Versicherungsvertrages gemeldet werden. | IV.3.2, Seite 18 | | Mitversicherung von Tochtergesellschaften, Inhabern und Mitarbeitern | ja | bei Versicherungsbeginn bereits als rechtlich selbstständig existierende Gesellschaften innerhalb des EWR und UK, auf die der Versicherungsnehmer unmittelbar oder mittelbar einen beherrschenden Einfluss ausüben kann | IV.10.2, Seite 19 | | Kündigungsrecht des Versicherers nach einem Schadenfall | nicht geregelt | | | | Hackerangriff und unberechtigter Zugriff auf IT-Systeme | ja | auf das IT-System eines Versicherten, sofern die Angriffe die Veränderung, Beschädigung, Zerstörung, Löschung, Verschlüsselung, Kopie oder das Abhandenkommen von Daten zur Folge haben | I.1, Seite 3 | | Schadsoftware, Viren und Verschlüsselungstrojaner (Ransomware) | ja | Schadprogrammen, wie Viren, Würmern oder Trojanern, die sich im IT-System eines Versicherten ausbreiten; | I.1, Seite 3 | | Denial-of-Service-Angriffe (Überlastung von Servern und Websites) | ja | Denial-of-Service-Angriffen, durch die der Betrieb des IT-Systems eines Versicherten unterbrochen wird | I.1, Seite 3 | | Datendiebstahl und Datenschutzverletzung (Abfluss personenbezogener Daten) | ja | Eine Datenrechtsverletzung ist jeder Verstoß gegen gesetzliche Vorschriften oder vertragliche Vereinbarungen eines Versicherten, die den Schutz personenbezogener, persönlicher oder geschäftlicher Daten bezwecken | I.3, Seite 3 | | Bedienfehler und Fehlbedienung durch Mitarbeiter ohne Angriff | ja | Ein Bedienfehler ist die unsachgemäße Bedienung oder Programmierung des IT-Systems eines Versicherten durch fahrlässiges, auch grob fahrlässiges, Handeln oder Unterlassen | I.2, Seite 3 | | Technisches Versagen und Programmierfehler ohne Angriff | ja | besteht auch Versicherungsschutz für den Ertragsausfallschaden eines Versicherten unmittelbar und ausschließlich aufgrund technischer Probleme. | II.4.1.4, Seite 11 | | Vorsätzliche Handlungen eigener Mitarbeiter (Innentäter) | ja | jede unzulässige Nutzung des IT-Systems eines Versicherten, insbesondere auch durch mitversicherte natürliche Personen. | I.1, Seite 3 | | Verlust oder Diebstahl mobiler Geräte mit Firmendaten | nicht geregelt | | | | Daten und Systeme bei externen Dienstleistern und in der Cloud mitversichert | ja | Darüber hinaus ersetzt der Versicherer auch die o. g. Wiederherstellungskosten für die Daten und das IT-System des Versicherten, die nicht seiner alleinigen Herrschaftsgewalt unterliegen | II.2.5, Seite 6 | | Notfall-Hotline rund um die Uhr mit Einsatz ohne vorherige Deckungszusage | ja | Hinsichtlich der Kosten für die Soforthilfe im Notfall fällt weder ein Selbstbehalt an, noch werden diese Kosten auf die Versicherungssumme angerechnet. | II.1.1, Seite 4 | | IT-Forensik (Ursache und Umfang des Angriffs ermitteln) | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten eines Versicherten für externe IT-Forensik-Analysen zur Ermittlung der Ursache eines versicherten Ereignisses | II.2.2, Seite 5 | | Wiederherstellung von Daten und Software | ja, bis zur Versicherungssumme | die Wiederherstellung oder Reparatur elektronischer Daten, | II.2.5, Seite 6 | | Bereinigung und Wiederinbetriebnahme der IT-Systeme | ja, bis zur Versicherungssumme | die Isolation und Säuberung (insbesondere die Entfernung von Schadprogrammen) der IT-Hardware | II.2.5, Seite 6 | | Ersatz unbrauchbar gewordener Hardware nach einem Angriff | ja, bis zur Versicherungssumme | ersetzt der Versicherer auch die Kosten für die Neubeschaffung des betroffenen Teils der IT-Hardware | II.2.5, Seite 6 | | Kosten für Sicherheitsverbesserungen nach einem Schaden | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Honorare des Krisendienstleisters für eine Sicherheitsanalyse der konkret im Versicherungsfall identifizierten Schwachstelle | II.2.16, Seite 8 | | Krisenkommunikation und PR-Berater (Reputationsschutz) | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten für Public-Relations-Maßnahmen eines Versicherten zur Erhaltung oder Wiederherstellung seiner öffentlichen Reputation. | II.2.4, Seite 5 | | Anwaltliche Beratung zu Melde- und Informationspflichten nach Datenschutzrecht | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten eines Versicherten zur rechtlichen Prüfung eines versicherten Ereignisses | II.2.3, Seite 5 | | Benachrichtigung betroffener Personen und Aufsichtsbehörden | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die nachstehenden Kosten eines Versicherten für die Prüfung und Erfüllung seiner gesetzlichen oder vertraglichen Informationspflichten, die durch eine Datenrechtsverletzung gemäß Ziffer I.3. entstehen | II.2.6, Seite 6 | | Überwachung (Monitoring) für betroffene Personen und Callcenter | ja, bis zur Versicherungssumme | Dabei handelt es sich um die Kosten, die erforderlich sind, um für einen Zeitraum von maximal 12 Monaten Kreditüberwachungsdienstleistungen für alle Betroffenen bereitzustellen | II.2.15, Seite 8 | | Lösegeld bei Cybererpressung, soweit rechtlich zulässig | ja, bis zur Versicherungssumme | Der Versicherer ersetzt das gezahlte Lösegeld | II.2.9, Seite 7 | | Krisenberater und Verhandlungsführung bei Erpressung | ja, bis zur Versicherungssumme | der Betreuung bei der Abwicklung einer Lösegeldforderung. | II.2.1, Seite 5 | | Belohnung für Hinweise zur Ergreifung der Täter | ja, bis zur Versicherungssumme | Der Versicherer ersetzt gezahlte Belohnungen für Hinweise auf kriminelle Aktivitäten | II.2.10, Seite 7 | | Präventionsleistungen (Schwachstellenscan, Schulung, Phishing-Simulation) | ja | Den Versicherten stehen während der Laufzeit dieses Vertrages, unabhängig davon, ob ein versichertes Ereignis gemäß Ziffer | II.1.2, Seite 5 | | Eigene Untergrenzen (Sublimits) für einzelne Kostenarten | ja | Für die Wiederherstellungskosten von IT-Hardware gilt die im Versicherungsschein benannte Entschädigungsgrenze. | II.2.5, Seite 6 | | Ertragsausfall durch Betriebsunterbrechung nach Cyberangriff | ja, bis zur Versicherungssumme | und hierdurch den Versicherten ein Ertragsausfallschaden entsteht. | II.4, Seite 11 | | Zeitlicher Selbstbehalt (Karenzzeit) vor Beginn der Ertragsausfallentschädigung | ja | Die Laufzeit des im Versicherungsschein ausgewiesenen zeitlichen Selbstbehalts beginnt mit Eintritt der versicherten Cyber-Betriebsunterbrechung | II.4.3.3, Seite 13 | | Haftzeit für den Ertragsausfall | ja | unter Berücksichtigung des im Versicherungsschein vereinbarten zeitlichen Selbstbehalts und der Haftzeit | II.4, Seite 11 | | Mehrkosten zur Aufrechterhaltung des Betriebs (Ausweichlösungen, Überstunden) | ja, bis zur Versicherungssumme | Der Versicherer erstattet den Versicherten auch alle angemessenen und notwendigen Mehrkosten | II.4.3.6, Seite 13 | | Betriebsunterbrechung auch durch Bedienfehler oder technisches Versagen | ja | besteht auch Versicherungsschutz für den Ertragsausfallschaden eines Versicherten unmittelbar und ausschließlich aufgrund technischer Probleme. | II.4.1.4, Seite 11 | | Betriebsunterbrechung durch Angriff auf einen IT- oder Cloud-Dienstleister | ja, bis zur Versicherungssumme | setzt zudem voraus, dass der dritte Dienstleister mindestens ISO27001-zertifiziert oder in Tier Level 3 gemäß TIA-942 | II.4.2.1, Seite 12 | | Betriebsunterbrechung durch behördliche Anordnung nach Datenschutzverletzung | ja | aufgrund einer gegenüber einem Versicherten ergehenden Verfügung einer Datenschutzbehörde innerhalb des Europäischen Wirtschaftsraumes (EWR) oder des Vereinigten Königreichs Großbritannien und Nordirland (UK) infolge einer Datenrechtsverletzung | II.4.1.3, Seite 11 | | Ertragseinbußen durch Reputationsschaden nach einem Vorfall | nicht geregelt | | | | Social Engineering und Fake President (Überweisung nach Täuschung) | ja, bis zur Versicherungssumme | Bei Cyber-Betrugsfällen in Form von Fake-President- bzw. CEO-Fraud- und Lieferantenbetrugs-Fällen ersetzt der Versicherer Vermögensschäden | II.2.8, Seite 7 | | Gefälschte Rechnungen und geänderte Kontodaten von Lieferanten (Payment Diversion) | ja, bis zur Versicherungssumme | Bei Cyber-Betrugsfällen in Form von Fake-President- bzw. CEO-Fraud- und Lieferantenbetrugs-Fällen ersetzt der Versicherer Vermögensschäden | II.2.8, Seite 7 | | Missbrauch von Online-Banking und Zahlungsdaten durch Dritte | ja, bis zur Versicherungssumme | Gelder (auch Kryptowährungen), Waren oder Wertpapiere abhandenkommen | II.2.7, Seite 7 | | Telefonmissbrauch (Gebühren durch gehackte Telefonanlage) | ja, bis zur Versicherungssumme | dass erhöhte Nutzungsentgelte anfallen, da Anwendungen, z. B. Voice-over-IP, in unzulässiger Weise genutzt werden. | II.2.7, Seite 7 | | Mehrkosten durch Missbrauch von Rechenleistung oder Cloud-Ressourcen (Cryptojacking) | ja, bis zur Versicherungssumme | weil das IT-System des Versicherten zur Schürfung von Kryptowährungen (Krypto-Mining) missbraucht wird. | II.2.7, Seite 7 | | Warenbetrug über gefälschte Bestellungen oder Identitäten | nicht geregelt | | | | Nachweis- und Sorgfaltsauflagen für Betrugsschäden (Vier-Augen-Prinzip, Rückruf) | nicht geregelt | | | | Haftpflicht wegen Datenschutzverletzung (Ansprüche Betroffener) | ja, bis zur Versicherungssumme | Der Versicherer gewährt den Versicherten Versicherungsschutz, wenn sie infolge eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. von einem Dritten | II.3, Seite 9 | | Verletzung der Vertraulichkeit fremder Geschäftsgeheimnisse | ja, bis zur Versicherungssumme | vertragliche Geheimhaltungspflichten; | I.3, Seite 4 | | Haftpflicht wegen Weitergabe von Schadsoftware oder Angriffen über eigene Systeme | ja, bis zur Versicherungssumme | jeder Weitergabe von Schadprogrammen an oder Denial-of-Service-Angriffen gegen das IT-System eines Dritten ausgehend vom IT-System eines Versicherten. | I.1, Seite 3 | | Medienhaftpflicht (Urheber-, Marken- und Persönlichkeitsrechte bei Online-Inhalten) | ja, bis zur Versicherungssumme | infolge von Werbung und Marketing für das eigene Unternehmen von einem Dritten aufgrund gesetzlicher Haftpflichtansprüche privatrechtlichen Inhalts für einen Vermögensschaden | II.3, Seite 9 | | Abwehr behördlicher Verfahren der Datenschutzaufsicht | ja, bis zur Versicherungssumme | so ersetzt der Versicherer die notwendigen außergerichtlichen und gerichtlichen Abwehrkosten | II.3.2, Seite 10 | | Bußgelder und Strafen der Datenschutzaufsicht, soweit versicherbar | ja, bis zur Versicherungssumme | Bußgelder, die eine Datenschutzbehörde oder ein Gericht wegen einer Datenrechtsverletzung gemäß Ziffer I.3. gegen einen Versicherten verhängt. | II.2.11, Seite 7 | | Vertragsstrafen der Kartenzahlungsbranche (PCI DSS) | ja, bis zur Versicherungssumme | Der Versicherer erstattet Vertragsstrafen, die ein Versicherter einem E-Payment Service Provider wegen der Verletzung eines PCI-Datensicherheitsstandards oder einer PCI-Datensicherheitsvereinbarung zahlen muss. | II.3.5.1, Seite 10 | | Kriegs- und staatliche Cyberoperationen ausgeschlossen | ja | Eine Cyber-Operation kann insbesondere dann einem Staat zugeschrieben werden, wenn die Regierung oder eine Sicherheitsbehörde (einschließlich Geheimdiensten und Verfassungsschutzbehörden) eines relevanten Staates dies öffentlich kommuniziert. | III.2.3, Seite 14 | | Ausfall von Strom, Internet oder öffentlicher Infrastruktur ausgeschlossen | ja | Kein Versicherungsschutz besteht wegen Schäden aufgrund einer Störung oder eines Ausfalls der öffentlichen oder privaten technischen Infrastruktur, die nicht vom Versicherungsnehmer selbst betrieben wird. | III.3, Seite 15 | | Leistungskürzung bei grober Fahrlässigkeit | keine | durch fahrlässiges, auch grob fahrlässiges, Handeln oder Unterlassen eines Versicherten oder einer mitversicherten natürlichen Person | I.2, Seite 3 | | Feste Pflichtliste zur IT-Sicherheit als Obliegenheit (Updates, Virenschutz, Firewall) | ja | Der Versicherte hat vor Eintritt des Versicherungsfalles die folgenden Obliegenheiten zu beachten und zu erfüllen. | IV.15, Seite 21 | | Pflicht zur regelmäßigen Datensicherung als Leistungsvoraussetzung | ja | Die Versicherten haben mindestens wöchentlich eine vollständige Datensicherung vorzunehmen. | IV.15.1, Seite 21 | | Pflicht zu Mehr-Faktor-Authentifizierung für Fernzugriff und E-Mail | ja | auf die Administratoren nur mit einer Zwei-Faktor-Authentifizierung oder aus einer separaten Domain zugreifen können | IV.15.1, Seite 21 | | Ausschluss bei veralteter, nicht mehr unterstützter Software | ja | hat der Betrieb dieser Altsysteme ausschließlich in einer isolierten Netzwerkumgebung ohne direkten Internetzugang und mit durchgehender Kontrolle des Datenverkehrs zu erfolgen. | IV.15.3, Seite 21 | | Ausschluss für unverschlüsselte mobile Geräte und Datenträger | nicht geregelt | | | | Ausschluss vertraglicher Haftungserweiterungen und Garantien | ja | auf Erfüllung von Verträgen, Garantiezusagen, Nacherfüllung | III.15, Seite 16 | | Ausschluss bei Vertragsbeginn bekannter Sicherheitslücken oder Vorfälle | ja | Der Versicherungsschutz besteht für Versicherungsfälle, die während der Vertragslaufzeit eingetreten sind. | IV.3.1, Seite 17 | ## Volltext der Bedingungen: Bedingungen Hiscox CyberClear 06/2022 ```text [Seite 1] Hiscox CyberClear Bedingungen 06/2022 [Seite 2] Hiscox CyberClear Bedingungen 06/2022 Index Versicherungsbedingungen 3 I. Was ist versichert? 3 1. Netzwerksicherheitsverletzung 3 2. Bedien- und Programmierfehler 3 3. Datenrechtsverletzung 3 4. Cyber-Erpressung 4 II. Was leistet der Versicherer? 4 1. Assistance-Leistungen 4 2. Cyber-Eigenschaden 5 3. Cyber-Haftpflicht 9 4. Cyber-Betriebsunterbrechung 11 III. Was ist nicht versichert? 14 IV. Allgemeine Regelungen 17 1. Versicherungsfall 17 2. Vorrangige Versicherung 17 3. Versicherter Zeitraum 17 4. Räumlicher Geltungsbereich und Non-Admitted-Countries 18 5. Kumulklausel 18 6. Fälligkeit von Entschädigungsleistungen für Cyber-Eigenschäden 18 7. Monetärer Selbstbehalt 18 8. Leistungsobergrenzen 18 9. Zahlung der Versicherungssumme 19 10. Versicherte 19 11. Repräsentanten 20 12. Mitversicherte natürliche Personen 20 13. Regressverzicht bei grober Fahrlässigkeit 20 14. Gefahrerhöhung 20 15. Obliegenheiten vor Eintritt des Versicherungsfalles 21 16. Obliegenheiten nach Eintritt des Versicherungsfalles 22 17. Prämienanpassung bei Umsatzänderung 23 2 [Seite 3] Hiscox CyberClear Bedingungen 06/2022 Versicherungsbedingungen I. Was ist versichert? Der Versicherer gewährt den Versicherten im Rahmen der nachstehenden Bedingungen Ver- sicherungsschutz für Vermögensschäden aufgrund folgender Ereignisse (Cyber-Schäden): • einer Netzwerksicherheitsverletzung; • eines Bedien- und Programmierfehlers; • einer Datenrechtsverletzung; • einer Cyber-Erpressung. Versicherungsschutz besteht für Eigenschäden in Form von Soforthilfe im Notfall gemäß Ziffer II.1.1., für Kosten und Schäden gemäß Ziffer II.2. als auch für Cyber-Betriebsunterbrechungs- schäden gemäß Ziffer II.4. Zudem besteht Versicherungsschutz für Vermögensschäden eines Dritten gemäß Ziffer II.3., aufgrund derer ein Versicherter in Anspruch genommen wird (Cy- ber-Haftpflicht). Vermögensschäden sind Schäden, die weder Personenschäden (Tötung, Verletzung des Körpers oder Schädigung der Gesundheit von Menschen) noch Sachschäden (Beschädigung, Verderben, Vernichtung oder Abhandenkommen von Sachen, insbesondere von Geld und geldwerten Zeichen) sind noch sich aus solchen Schäden herleiten. Schäden infolge des Ver- lusts oder der Einschränkung der Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten werden als Vermögensschäden angesehen. 1. Netzwerksicherheitsverletzung Eine Netzwerksicherheitsverletzung ist jeder unzulässige Zugriff auf das IT-System oder jede unzulässige Nutzung des IT-Systems eines Versicherten, insbesondere auch durch mitversicherte natürliche Personen. Zum IT-System des Versicherten gehören auch private IT-Geräte mitversicherter natürlicher Personen, sofern jene für die Tätigkeit für einen Versicherten eingesetzt werden („Bring your own device“). Eine Netzwerksicherheitsverletzung liegt insbesondere vor bei: • (Hacker-)Angriffen – gezielt und ungezielt – auf das IT-System eines Versicherten, sofern die Angriffe die Veränderung, Beschädigung, Zerstörung, Löschung, Ver- schlüsselung, Kopie oder das Abhandenkommen von Daten zur Folge haben; • Eingriffen in das IT-System des Versicherten zum Beispiel mit durch Täuschung (Phishing) erhaltenen Zugangsdaten von Mitarbeitern; • Schadprogrammen, wie Viren, Würmern oder Trojanern, die sich im IT-System eines Versicherten ausbreiten; • Denial-of-Service-Angriffen, durch die der Betrieb des IT-Systems eines Ver- sicherten unterbrochen wird; • jeder Weitergabe von Schadprogrammen an oder Denial-of-Service-Angriffen gegen das IT-System eines Dritten ausgehend vom IT-System eines Versicherten. 2. Bedien- und Programmierfehler Ein Bedienfehler ist die unsachgemäße Bedienung oder Programmierung des IT- Systems eines Versicherten durch fahrlässiges, auch grob fahrlässiges, Handeln oder Unterlassen eines Versicherten oder einer mitversicherten natürlichen Person, sofern die Bedienung oder Programmierung die Veränderung, Beschädigung, Zerstörung, Löschung, Verschlüsselung, Kopie oder das Abhandenkommen von Daten zur Folge hat. 3. Datenrechtsverletzung Eine Datenrechtsverletzung ist jeder Verstoß gegen gesetzliche Vorschriften oder vertragliche Vereinbarungen eines Versicherten, die den Schutz personenbezogener, persönlicher oder geschäftlicher Daten bezwecken und ein den gesetzlichen Bestim- mungen entsprechendes Schutzniveau vorsehen. Im Zusammenhang mit Datenrechts- verletzungen bezeichnet der Begriff Daten sowohl elektronische als auch physische Daten. 3 [Seite 4] Hiscox CyberClear Bedingungen 06/2022 Eine Datenrechtsverletzung liegt insbesondere vor bei einem Verstoß gegen: • gesetzliche Datenschutzbestimmungen wie das Bundesdatenschutzgesetz, die Datenschutz-Grundverordnung oder vergleichbare ausländische Rechtsnormen zum Datenschutz; • vertragliche Geheimhaltungspflichten; • vertragliche Payment Card Industry (PCI)-Datensicherheitsstandards oder eine PCI-Datensicherheitsvereinbarung mit einem E-Payment Service Provider. 4. Cyber-Erpressung Eine Cyber-Erpressung liegt vor, wenn einem Versicherten rechtswidrig • mit einer Netzwerksicherheitsverletzung gemäß Ziffer I.1. oder • mit einer Datenrechtsverletzung gemäß Ziffer I.3. gedroht wird und für die Nicht-Verwirklichung der Drohung ein Lösegeld verlangt wird. Als Lösegeld ist dabei jede Form einer Gegenleistung anzusehen, zum Beispiel in Form von Geld, Waren, Dienstleistungen, Handlungen oder Unterlassungen, die der Erpress- er von einem Versicherten oder einer mitversicherten natürlichen Person verlangt. II. Was leistet der Der Versicherer gewährt den Versicherten Versicherungsschutz in Form der nachstehenden Versicherer? Leistungen. Leistungen nach den Ziffern II.2.7. (Cyber-Diebstahl), II.2.8. (Cyber-Betrug), II.2.13. (E-Discovery), II.4.1. (Cyber-Betriebsunterbrechung On-Premises), II.4.1.4. (Cyber- Betriebsunterbrechung On-Premises bei technischen Problemen) und II.4.2. (Cyber-Betriebs- unterbrechung bei Cloud-Ausfall) werden nur gewährt, wenn und soweit dies im Versiche- rungsschein durch Aufnahme einer diesbezüglichen Entschädigungsgrenze vereinbart wird. Soweit der Versicherungsschein keine diesbezügliche Entschädigungsgrenze enthält, sind diese Leistungsarten nicht vom Versicherungsschutz umfasst. 1. Assistance-Leistungen 1.1. Soforthilfe im Notfall Bei Bestehen einer konkreten Risikolage für einen Versicherten übernimmt der Versicherer bei entsprechender Verfügbarkeit die Bereitstellung und Kosten des Krisendienstleisters für eine erste Notfall- und Krisenunterstützung in Form von: • einer Experteneinschätzung zur Risikolage, • Empfehlungen für Sofortmaßnahmen zur Schadenbegrenzung, • Empfehlungen für Sofortmaßnahmen zur Ursachenermittlung, • einer ersten Bewertung der bisherigen Maßnahmen und • soweit erforderlich einer Ermittlung, ob eine Netzwerksicherheitsverletzung vorliegt. Eine konkrete Risikolage liegt vor, wenn aus Sicht eines Versicherten oder einer mitversicherten natürlichen Person der tatsächliche oder der künftige Eintritt eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. aufgrund der objektiven Um- stände zu vermuten ist. Darüber hinaus ersetzt der Versicherer im Rahmen der Soforthilfe im Notfall auch die notwendigen anfallenden Kosten, die zur Bestimmung der geltenden Melde- und Anzeigepflichten infolge einer Datenrechtsverletzung gemäß Ziffer I.3. und zur Erstellung entsprechender Anzeigen und Meldungen entstehen. Hinsichtlich der Kosten für die Soforthilfe im Notfall fällt weder ein Selbstbehalt an, noch werden diese Kosten auf die Versicherungssumme angerechnet. 4 [Seite 5] Hiscox CyberClear Bedingungen 06/2022 1.2. Präventionsleistungen Den Versicherten stehen während der Laufzeit dieses Vertrages, unabhängig davon, ob ein versichertes Ereignis gemäß Ziffer I.1. bis I.4. eingetreten ist, die im Versicherungsschein-Beiblatt und unter www.hiscox.de/cybercleargo näher beschriebenen Präventionsleistungen zur Verfügung. Hierzu gehört insbesondere der Zugriff auf • einen Cyber-Krisenplan, • ein Cyber-Training für Mitarbeiter und • die Hiscox Business Academy. 2. Cyber-Eigenschaden Der Versicherer gewährt im Rahmen der nachstehenden Bedingungen Versicherungs- schutz für Eigenschäden, wenn diese aufgrund eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. entstehen. Sämtliche der nachfolgend aufgeführten Schaden- und Kostenpositionen stellen Eigen- schäden im Sinne dieser Bedingungen dar. Der Versicherer ersetzt die nachstehenden Schadenpositionen sowie alle angemessen- en und notwendigen Kosten. Kosten, die nicht auf Weisung oder Veranlassung des Ver- sicherers entstehen, insbesondere Kosten eines ohne Zustimmung des Versicherers beauftragten Dienstleisters, werden nicht erstattet. 2.1. Kosten für Krisenmanagement Der Versicherer ersetzt die Kosten eines Versicherten für Krisenmanagement und Coaching. Hiervon umfasst sind insbesondere auch die Kosten • zur Unterstützung beim Aufbau eines Krisenstabs und der Befähigung zur Stabsarbeit, • für Materialien zur Befähigung des Krisenstabs und der generellen Stabs- arbeit, • der Koordination zwischen der forensischen Analyse und der Unter- nehmensleitung und • der Betreuung bei der Abwicklung einer Lösegeldforderung. 2.2. Kosten für IT-Forensik Der Versicherer ersetzt die Kosten eines Versicherten für externe IT-Forensik- Analysen zur Ermittlung der Ursache eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. und für die Identifizierung der Betroffenen, sowie die Kosten für die Erstellung eines abschließenden Berichts zur forensischen Analyse. 2.3. Kosten für Rechtsberatung Der Versicherer ersetzt die Kosten eines Versicherten zur rechtlichen Prüfung eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. und für Empfehlungen zur weiteren rechtlichen Vorgehensweise. 2.4. Kosten für Public-Relations-Maßnahmen Der Versicherer ersetzt die Kosten für Public-Relations-Maßnahmen eines Ver- sicherten zur Erhaltung oder Wiederherstellung seiner öffentlichen Reputation. Hiervon umfasst sind auch die Kosten für die Gestaltung und das Versenden von Goodwill-Coupons (Preisnachlässe, Gutscheine, Rabatte o. Ä.) inklusive der Frankierung, nicht jedoch die gewährten Vorteile selbst. 2.5. Wiederherstellungskosten Der Versicherer ersetzt die Wiederherstellungskosten (insbesondere für den Krisendienstleister, weitere externe Dienstleister und interne Mehrkosten des 5 [Seite 6] Hiscox CyberClear Bedingungen 06/2022 Versicherten), die einem Versicherten durch • die Wiederherstellung der ursprünglichen Funktionsfähigkeit des IT-Systems, • die Wiederherstellung oder Reparatur elektronischer Daten, • den Aufbau provisorischer Zwischenlösungen, um den Betrieb eines Ver- sicherten aufrechtzuerhalten oder zeitnah wieder aufzunehmen, oder • die Isolation und Säuberung (insbesondere die Entfernung von Schad- programmen) der IT-Hardware entstehen, wenn die Daten und das IT-System seiner alleinigen Herrschaftsgewalt unterliegen bzw. der Versicherte die vollständige Kontrolle darüber hat oder es sich um private IT-Geräte im Sinne von Ziffer I.1. handelt. Darüber hinaus ersetzt der Versicherer auch die o. g. Wiederherstellungskosten für die Daten und das IT-System des Versicherten, die nicht seiner alleinigen Herrschaftsgewalt unterliegen und über die er nicht die vollständige Kontrolle hat, wenn das versicherte Ereignis von dem Teil des IT-Systems des Versicherten ausgeht, der seiner alleinigen Herrschaftsgewalt unterliegt und über den er die vollständige Kontrolle hat. Soweit die Isolation und Säuberung der IT-Hardware technisch nicht möglich oder erheblich teurer als eine Neubeschaffung sind, ersetzt der Versicherer auch die Kosten für die Neubeschaffung des betroffenen Teils der IT-Hardware, welche dem technischen Stand der IT-Hardware, wie sie vor dem versicherten Ereignis gemäß Ziffern I.1. bis I.4. bestand, entspricht. Ist dies nicht möglich oder wirt- schaftlich unangemessen, ersetzt der Versicherer die Kosten für neue IT-Hard- ware, welche dem technischen Stand der ursprünglichen IT-Hardware am nächsten kommt. Über die vorgenannten Kosten hinaus ersetzt der Versicherer auch Kosten wegen Sachsubstanzschäden an der IT-Hardware eines Versicherten, wenn die IT-Hard- ware unmittelbar und ausschließlich durch eine Netzwerksicherheitsverletzung gemäß Ziffer I.1. beschädigt oder zerstört wird (Wiederherstellungskosten von IT-Hardware). Ersetzt werden insoweit die erforderlichen Kosten für eine Repara- tur oder – falls eine Reparatur nicht möglich ist – eine Neubeschaffung gleicher Art und Güte. Als IT-Hardware in diesem Sinne gelten diejenigen Sachen, die für die Steuerung des IT-Systems unverzichtbar sind (z. B. Computer, Router und Switches). Nicht vom Versicherungsschutz umfasst sind jedoch Sachen, die zwar Bestandteil des IT-Systems eines Versicherten sind, deren Beschädigung oder Zerstörung die Steuerung des IT-Systems aber unberührt lässt (z. B. Produktions- mittel). Für die Wiederherstellungskosten von IT-Hardware gilt die im Versicherungs- schein benannte Entschädigungsgrenze. 2.6. Benachrichtigungskosten Der Versicherer ersetzt die nachstehenden Kosten eines Versicherten für die Prü- fung und Erfüllung seiner gesetzlichen oder vertraglichen Informationspflichten, die durch eine Datenrechtsverletzung gemäß Ziffer I.3. entstehen: 2.6.1. Benachrichtigungskosten gegenüber Dateninhabern Im Rahmen der gesetzlichen oder vertraglichen Informationspflichten ent- stehende Kosten zur Benachrichtigung der Betroffenen. 2.6.2. Kosten für behördliche Meldeverfahren Kosten, die bei der Anzeige und Meldung der Datenrechtsverletzung gemäß Ziffer I.3. entsprechend den gesetzlichen Vorgaben entstehen. 2.6.3. Nachgelagerte Kosten einer Benachrichtigung von Dateninhabern Kosten, um nach der Benachrichtigung der Betroffenen deren Anfragen zu beantworten. Hiervon umfasst sind insbesondere die Kosten durch die Beauftragung eines externen Callcenters oder die Kosten zur Erstellung einer Webseite. 6 [Seite 7] Hiscox CyberClear Bedingungen 06/2022 2.7. Cyber-Diebstahl (sofern im Versicherungsschein hierfür eine Entschädigungs- grenze ausgewiesen ist) Der Versicherer ersetzt Vermögensschäden, die einem Versicherten dadurch entstehen, dass unmittelbar infolge einer Netzwerksicherheitsverletzung gemäß Ziffer I.1. Gelder (auch Kryptowährungen), Waren oder Wertpapiere abhanden- kommen oder dass erhöhte Nutzungsentgelte anfallen, da Anwendungen, z. B. Voice-over-IP, in unzulässiger Weise genutzt werden. Im Rahmen des Cyber-Diebstahls besteht Versicherungsschutz auch für Vermö- gensschäden, die einem Versicherten dadurch entstehen, dass unmittelbar infolge einer Netzwerksicherheitsverletzung gemäß Ziffer I.1. erhöhte Nutzungsentgelte oder Versorgungsrechnungen (Strom, Gas oder Wasser) anfallen, weil das IT- System des Versicherten zur Schürfung von Kryptowährungen (Krypto-Mining) missbraucht wird. Nicht vom Versicherungsschutz umfasst sind somit lediglich mittelbar entstandene Schäden, insbesondere Schäden, die als Folge einer Täuschung hervorgerufen werden, wie beispielsweise bei Fake-President-Fällen. Für Cyber-Diebstahl gilt die im Versicherungsschein ausgewiesene Entschädi- gungsgrenze. 2.8. Cyber-Betrug (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze ausgewiesen ist) Bei Cyber-Betrugsfällen in Form von Fake-President- bzw. CEO-Fraud- und Lieferantenbetrugs-Fällen ersetzt der Versicherer Vermögensschäden, die einem Versicherten dadurch entstehen, dass unmittelbar infolge einer Netzwerksicher- heitsverletzung gemäß Ziffer I.1. einem Dritten eine Täuschung einer mitver- sicherten natürlichen Person (nicht jedoch eines Repräsentanten) möglich wird und jene zu einem Abfluss von Geldern, Waren oder Wertpapieren führt. Die Obliegenheiten nach Eintritt des Versicherungsfalles gemäß Ziffer IV.16.1. werden um die folgende Anzeige bestimmter Umstände ergänzt: • im Falle von Cyber-Betrug - alle angemessenen Schritte zu unternehmen, um abhandengekommene Gelder, Waren oder Wertpapiere zurückzuerlangen oder einzufrieren; - unverzüglich Strafanzeige zu erstatten. Für Cyber-Betrug gilt die im Versicherungsschein ausgewiesene Entschädigungs- grenze. 2.9. Lösegeld Der Versicherer ersetzt das gezahlte Lösegeld bzw. bei Bezahlung eines Löse- geldes in Form von Kryptowährungen, Waren oder Dienstleistungen deren Markt- wert zum Zeitpunkt der Beschaffung. 2.10. Belohnungsgelder Der Versicherer ersetzt gezahlte Belohnungen für Hinweise auf kriminelle Aktivitä- ten, wenn jene zur erfolgreichen strafrechtlichen Verfolgung von Beteiligten einer versicherten Cyber-Erpressung gemäß Ziffer I.4., eines Cyber-Diebstahls gemäß Ziffer II.2.7. oder eines Cyber-Betrugs gemäß Ziffer II.2.8. führen. 2.11. Bußgelder und Entschädigungen mit Strafcharakter im Ausland Der Versicherer ersetzt – soweit dies in der ausländischen Rechtsordnung, nach der das Bußgeld verhängt wird, rechtlich zulässig sein sollte – Bußgelder, die eine Datenschutzbehörde oder ein Gericht wegen einer Datenrechtsverletzung gemäß Ziffer I.3. gegen einen Versicherten verhängt. Außerdem ersetzt der Versicherer – soweit dies in der ausländischen Rechtsord- nung, nach der Entschädigungen mit Strafcharakter (insbesondere punitive oder exemplary damages) zugesprochen werden, rechtlich zulässig sein sollte – Ent- 7 [Seite 8] Hiscox CyberClear Bedingungen 06/2022 schädigungen mit Strafcharakter (insbesondere punitive oder exemplary damag- es), die direkt oder indirekt gegen einen Versicherten verhängt werden und durch eine Datenrechtsverletzung gemäß Ziffer I.3. ausgelöst wurden. Für die Bußgelder und Entschädigungen mit Strafcharakter gilt die im Versiche- rungsschein benannte Entschädigungsgrenze. 2.12. Strafrechtsschutz Der Versicherer ersetzt die Kosten für die Wahrnehmung der rechtlichen Inter- essen eines Versicherten oder einer mitversicherten natürlichen Person, wenn wegen eines versicherten Ereignisses aus Ziffern I.1. bis I.4. ein Straf- oder Ordnungswidrigkeitsverfahren oder ein sonstiges behördliches Verfahren gegen einen Versicherten oder eine mitversicherte natürliche Person eingeleitet wird. Hierunter werden sämtliche Verfahren gefasst, die in Verbindung mit der Vorberei- tung, Durchführung oder Abwicklung eines Strafverfahrens stehen oder sich als Konsequenz aus einem Strafverfahren ergeben können. Versichert ist auch die Vertretung eines Versicherten gegenüber Strafgerichten, Behörden, Beliehenen, vergleichbaren Stellen und parlamentarischen Unter- suchungsausschüssen, die berechtigt sind, wegen Straftatbeständen oder Ord- nungswidrigkeiten zu ermitteln, auch ohne dass bestimmte Versicherte oder mit- versicherte natürliche Personen beschuldigt sein müssen (Firmenstellungnahme). 2.13. E-Discovery (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze ausgewiesen ist) Der Versicherer ersetzt die angemessenen Kosten eines externen Spezialisten, den ein Versicherter nach vorheriger schriftlicher Zustimmung des Versicherers beauftragt, um einer Aufforderung zur Herausgabe elektronisch gespeicherter Informationen gemäß US-Regel 26 (b) (1) der Federal Rules of Civil Procedure oder vergleichbarer ausländischer Bestimmungen nach einer Netzwerksicherheits- verletzung gemäß Ziffer I.1. zu entsprechen. Für E-Discovery gilt die im Versicherungsschein ausgewiesene Entschädigungs- grenze. 2.14. Consumer Redress Fund (Konsumentenschutzfonds) Der Versicherer bietet Versicherungsschutz für die von einem Versicherten zu hinterlegenden Geldbeträge in einen Konsumentenschutzfonds, zu denen der Versicherte per Gesetz verpflichtet ist, weil er aufgrund eines versicherten Ereignisses gemäß Ziffer I.1. bis I.4. gesetzlich haftpflichtig ist. 2.15. Kosten für Kreditüberwachungsdienstleistungen Der Versicherer ersetzt die im Folgenden beschriebenen Kosten eines Versicher- ten für die laufende Beobachtung, Beurteilung und Auswertung der Konten der unmittelbar von einer Datenrechtsverletzung gemäß Ziffer I.3. Betroffenen (Kreditüberwachungsdienstleistungen). Dabei handelt es sich um die Kosten, die erforderlich sind, um für einen Zeitraum von maximal 12 Monaten Kreditüberwachungsdienstleistungen für alle Betroffenen bereitzustellen, soweit diese Kreditüberwachungsdienstleistungen innerhalb von 12 Monaten ab Kenntnis der Datenrechtsverletzung gemäß Ziffer I.3. von einem Versicherten angeboten und vom Betroffenen genutzt werden. Versicherungsschutz besteht jedoch nur für Datenrechtsverletzungen gemäß Ziffer I.3., die die Sozialversicherungsnummer, die Führerscheinnummer oder an- dere Ausweis-/Kennnummern zum Gegenstand haben und die (in Kombination mit anderen Informationen) zur Eröffnung eines neuen Bankkontos oder eines neuen Versicherungskontos verwendet werden können, sowie für Kreditüberwachungs- dienstleistungen, die gesetzlich vorgeschrieben sind. 2.16. Sicherheitsanalyse und Sicherheitsverbesserungen Der Versicherer ersetzt die Honorare des Krisendienstleisters für eine Sicherheits- analyse der konkret im Versicherungsfall identifizierten Schwachstelle und für 8 [Seite 9] Hiscox CyberClear Bedingungen 06/2022 konkrete Empfehlungen zu Sicherheitsverbesserungen im unmittelbaren Zusam- menhang mit dem Versicherungsfall nach dessen Abschluss. 2.17. Schadenminderungskosten Der Versicherer ersetzt die Kosten eines Versicherten zur – auch erfolglosen – Abwendung oder Minderung eines Versicherungsfalles, soweit der Versicherte sie den Umständen nach für geboten halten durfte. 3. Cyber-Haftpflicht Der Versicherer gewährt den Versicherten Versicherungsschutz, wenn sie infolge eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. von einem Dritten aufgrund gesetz- liche Haftpflichtansprüche privatrechtlichen Inhalts für einen Vermögensschaden in Anspruch genommen werden. Versicherungsschutz in der Cyber-Haftpflicht besteht auch für immaterielle Schäden, die sich aus versicherten Vermögensschäden herleiten. Hierzu zählen immaterielle Schäden aufgrund einer Persönlichkeitsrechtsverletzung sowie psychischer Beeinträch- tigungen (mental anguish oder emotional distress). Insofern gewährt der Versicherer den Versicherten auch Versicherungsschutz, wenn sie im Zusammenhang mit einem versicherten Ereignis gemäß Ziffern I.1. bis I.4. infolge von Werbung und Marketing für das eigene Unternehmen von einem Dritten aufgrund gesetzlicher Haftpflichtansprüche privatrechtlichen Inhalts für einen Vermögensschaden in Anspruch genommen werden. 3.1. Versicherungsschutz Cyber-Haftpflicht Der Versicherungsschutz der Cyber-Haftpflicht umfasst die Prüfung der Haft- pflichtfrage, die Erfüllung begründeter und die Abwehr unbegründeter Haftpflicht- ansprüche. Begründet ist ein Haftpflichtanspruch dann, wenn ein Versicherter aufgrund Ge- setzes, rechtskräftigen Urteils, Anerkenntnisses oder Vergleiches zur Entschädi- gung verpflichtet und der Versicherer hierdurch gebunden ist. Anerkenntnisse und Vergleiche, die ohne Zustimmung des Versicherers abgegeben wurden, binden den Versicherer nur, soweit der Anspruch auch ohne Anerkenntnis oder Vergleich bestanden hätte. 3.1.1. Erfüllung eines Haftpflichtanspruchs Ist die Begründetheit des Haftpflichtanspruchs mit bindender Wirkung für den Versicherer festgestellt, so weist dieser den zu zahlenden Betrag spätestens innerhalb einer Woche nach Fälligkeit zur Auszahlung an. 3.1.2. Abwehr eines Haftpflichtanspruchs Bei der Abwehr eines Haftpflichtanspruchs ersetzt der Versicherer die not- wendigen außergerichtlichen und gerichtlichen, auch schiedsgerichtlichen Kosten. Die Kosten eines Schiedsverfahrens werden jedoch nur insoweit er- setzt, als dem Versicherer die Verfahrensführung, insbesondere die Auswahl des Schiedsrichters und der Schiedsverfahrensordnung, überlassen wird. Abwehrkosten sind nur gedeckt, soweit der Haftpflichtanspruch den verein- barten Selbstbehalt übersteigt. Ist dies der Fall, wird der Selbstbehalt von der Leistung abgezogen. Von den Abwehrkosten umfasst sind auch die Kosten einer mit Zustimmung des Versicherers von einem Versicherten betriebenen negativen Feststel- lungsklage oder Nebenintervention. Der Versicherer ersetzt ferner notwendige Kosten eines Verfahrens, in dem der Erlass einer einstweiligen Verfügung gegen einen Versicherten begehrt wird, selbst wenn die einstweilige Verfügung eine Unterlassung oder einen Widerruf zum Gegenstand hat. Außerdem ersetzt der Versicherer notwendige Kosten der Abwehr einer gegen einen Versicherten erhobenen Unterlassungs- oder Widerrufsklage 9 [Seite 10] Hiscox CyberClear Bedingungen 06/2022 sowie notwendige außergerichtliche Kosten, die dem Versicherten entste- hen, wenn ein Widerrufsverlangen oder ein Anspruch auf Unterlassung geltend gemacht wird. 3.2. Abwehrkosten in Bezug auf behördliche Verfahren Wird gegen einen Versicherten im Zusammenhang mit einem versicherten Ereig- nis gemäß Ziffern I.1. bis I.4. ein Straf-, Ordnungswidrigkeits- oder ein sonstiges behördliches Verfahren eingeleitet, so ersetzt der Versicherer die notwendigen außergerichtlichen und gerichtlichen Abwehrkosten, einschließlich der Kosten eines Verfahrens, mit dem gegen eine gerichtliche Vorladung vorgegangen wird. Wird rechtskräftig festgestellt, dass ein Versicherter vorsätzlich eine Straftat oder eine Ordnungswidrigkeit begangen hat, ist er bzw. sie verpflichtet, dem Versiche- rer die Kosten zu erstatten, die dieser für die Verteidigung gegen den Vorwurf getragen hat. 3.3. Kosten Als Kosten gelten Anwalts-, Sachverständigen-, Zeugen-, Gerichts-, Reisekosten, Aufwendungen zur Abwendung oder Minderung des Schadens bei oder nach Eintritt des Versicherungsfalles sowie Schadenermittlungskosten. Kosten, die nicht auf Weisung oder Veranlassung des Versicherers entstehen, insbesondere Kosten eines ohne Zustimmung des Versicherers beauftragten Rechtsanwalts, werden nicht erstattet. Ebenfalls nicht erstattet werden Kosten einer Streitverkündung gegen den Versicherer und Kosten, die einem Versicher- ten für den aus Anlass eines Versicherungsfalles erforderlichen Schriftwechsel entstehen. 3.4. Freistellung externer Datenverarbeiter Sofern ein Versicherter einen externen Datenverarbeiter nutzt und dieser von einem Dritten in Anspruch genommen wird und der Versicherte für derartige Inanspruchnahmen eine Haftungsfreistellung unterzeichnet hat, besteht Ver- sicherungsschutz, soweit für den Sachverhalt, aufgrund dessen der externe Datenverarbeiter in Anspruch genommen wird, auch gemäß den vorliegenden Bedingungen Versicherungsschutz bestünde. 3.5. Vertragsstrafen Der Versicherer gewährt den Versicherten im Rahmen der nachstehenden Bedin- gungen über die Cyber-Haftpflicht hinaus auch Versicherungsschutz, wenn sie in- folge eines versicherten Ereignisses gemäß Ziffern I.1. bis I.4. für Vertragsstrafen in Anspruch genommen werden. 3.5.1. Vertragsstrafen an E-Payment Service Provider Der Versicherer erstattet Vertragsstrafen, die ein Versicherter einem E-Pay- ment Service Provider wegen der Verletzung eines PCI-Datensicherheits- standards oder einer PCI-Datensicherheitsvereinbarung zahlen muss. Der Versicherer erstattet auch alle weiteren im Zusammenhang mit dieser Ver- letzung an den Vertragspartner zu zahlenden Gebühren (insbesondere zur Fallbehandlung, Kartenneuausstellung und zum Ausgleich des eigentlichen Betrugs) sowie die Kosten etwaiger verpflichtender Prüfungen (Nachweis der PCI-Compliance). 3.5.2. Vertragsstrafen wegen der Verletzung von Geheimhaltungspflichten Der Versicherer erstattet Vertragsstrafen, die ein Versicherter wegen der Verletzung von Geheimhaltungspflichten und Datenschutzvereinbarungen zahlen muss. Für Vertragsstrafen wegen der Verletzung von Geheimhaltungspflichten gilt die im Versicherungsschein ausgewiesene Entschädigungsgrenze. 10 [Seite 11] Hiscox CyberClear Bedingungen 06/2022 4. Cyber-Betriebsunterbrechung (sofern im Versicherungsschein hierfür eine oder mehrere Entschädigungsgrenzen ausgewiesen sind) Der Versicherer gewährt den Versicherten unter Berücksichtigung des im Versiche- rungsschein vereinbarten zeitlichen Selbstbehalts und der Haftzeit Versicherungs- schutz, wenn unmittelbar und ausschließlich durch ein versichertes Ereignis im Sinne der Ziffern I.1. bis I.4. eine Cyber-Betriebsunterbrechung On-Premises (Ziffer II.4.1) oder eine Cyber-Betriebsunterbrechung bei Cloud-Ausfall (Ziffer II.4.2) verursacht wird und hierdurch den Versicherten ein Ertragsausfallschaden entsteht. 4.1. Cyber-Betriebsunterbrechung On-Premises (sofern im Versicherungsschein hier- für eine Entschädigungsgrenze ausgewiesen ist) 4.1.1. Inhalt der Cyber-Betriebsunterbrechung On-Premises Versicherungsschutz im Rahmen der Cyber-Betriebsunterbrechung On- Premises besteht nur, wenn die Daten und der Teil des IT-Systems, die von dem versicherten Ereignis betroffen sind, der alleinigen Herrschaftsgewalt des Versicherten unterliegen oder er die vollständige Kontrolle darüber hat. Darüber hinaus besteht Versicherungsschutz im Rahmen der Cyber- Betriebsunterbrechung On-Premises, soweit die Daten und das IT-System, die von dem versicherten Ereignis betroffen sind, nicht der alleinigen Herr- schaftsgewalt des Versicherten unterliegen und er nicht die vollständige Kontrolle darüber hat, sofern das versicherte Ereignis von dem Teil des IT- Systems des Versicherten ausgeht, der seiner alleinigen Herrschaftsgewalt unterliegt oder über den er die vollständige Kontrolle hat. 4.1.2. Begriff der Cyber-Betriebsunterbrechung On-Premises Eine versicherte Cyber-Betriebsunterbrechung On-Premises liegt vor, wenn die Produktion eines Versicherten oder die Erbringung von Dienstleistungen durch einen Versicherten vollständig oder teilweise unterbrochen ist und wenn diese Unterbrechung unmittelbar und ausschließlich durch ein versi- chertes Ereignis gemäß Ziffern I.1. bis I.4. verursacht wird. Eine versicherte Cyber-Betriebsunterbrechung On-Premises liegt auch vor, wenn die Be- triebsunterbrechung durch eine Reparatur im Rahmen einer gemäß Ziffer II.2.5. versicherten Wiederherstellung oder durch eine geplante Abschaltung verursacht wird, um die Entstehung weiterer Schäden am IT-System oder den weiteren Verlust von Daten des Versicherten zu verhindern. 4.1.3. Cyber-Betriebsunterbrechung On-Premises durch Verfügung einer Daten- schutzbehörde Über die Cyber-Betriebsunterbrechung On-Premises gemäß den vorstehen- den Regelungen unter Ziffer II.4.1.1. und II.4.1.2. hinaus besteht auch Versicherungsschutz für den einem Versicherten entstandenen Ertrags- ausfallschaden, der sich unmittelbar und ausschließlich aufgrund einer gegenüber einem Versicherten ergehenden Verfügung einer Datenschutz- behörde innerhalb des Europäischen Wirtschaftsraumes (EWR) oder des Vereinigten Königreichs Großbritannien und Nordirland (UK) infolge einer Datenrechtsverletzung gemäß Ziffer I.3. ergibt. Datenschutzbehörde in diesem Sinne ist jede Behörde, die nach dem Recht des jeweiligen Staates mit dem Vollzug datenschutzrechtlicher Normen beauftragt ist. 4.1.4. Cyber-Betriebsunterbrechung On-Premises bei technischen Problemen (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze aus- gewiesen ist) Über die Cyber-Betriebsunterbrechung On-Premises gemäß den vorste- henden Regelungen unter Ziffer II.4.1.1. und II.4.1.2. hinaus besteht auch Versicherungsschutz für den Ertragsausfallschaden eines Versicherten unmittelbar und ausschließlich aufgrund technischer Probleme. 11 [Seite 12] Hiscox CyberClear Bedingungen 06/2022 Technische Probleme sind Fehlfunktionen des IT-Systems eines Versicher- ten, die nicht von einem versicherten Ereignis gemäß Ziffern I.1. bis I.4. verursacht werden, sondern unmittelbar und ausschließlich auf • einen Ausfall der Stromversorgung, • eine Über- und Unterspannung, • eine elektrostatische Aufladung und statische Elektrizität, • eine Überhitzung, • einen Softwarefehler, • einen internen Netzwerkfehler oder • einen IT-Hardwarefehler zurückzuführen sind. Die Fehlfunktion muss dabei unvorhergesehen und unbeabsichtigt gewesen sein. Darüber hinaus muss die Fehlfunktion von dem Teil des IT-Systems und der Stromversorgung ausgehen, welcher der alleinigen Herrschaftsgewalt eines Versicherten unterliegt oder über den der Versicherte die vollständige Kontrolle hat. Fehlfunktionen aufgrund allmählicher oder altersbedingter Reduzierung der Leistungsfähigkeit oder aufgrund von Überlastungen durch die fehlerhafte Planung der Auslastung des IT-Systems im gewöhnlichen Betrieb bzw. der erhöhten Beanspruchung sind keine technischen Probleme im Sinne dieser Bedingungen. 4.2. Cyber-Betriebsunterbrechung bei Cloud-Ausfall (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze ausgewiesen ist) 4.2.1. Inhalt der Cyber-Betriebsunterbrechung bei Cloud-Ausfall Versicherungsschutz im Rahmen der Cyber-Betriebsunterbrechung bei Cloud-Ausfall besteht nur, wenn die Daten und das IT-System, die von dem versicherten Ereignis betroffen sind, nicht der alleinigen Herrschaftsgewalt oder Kontrolle des Versicherten, sondern auch der Herrschaftsgewalt oder Kontrolle eines dritten Dienstleisters (z. B. externes Rechenzentrum, Cloud- Anbieter) unterliegen, den ein Versicherter entgeltlich in Anspruch nimmt. Darüber hinaus besteht Versicherungsschutz im Rahmen der Cyber-Be- triebsunterbrechung bei Cloud-Ausfall, soweit die Daten und der Teil des IT-Systems, die von dem versicherten Ereignis betroffen sind, der alleinigen Herrschaftsgewalt oder Kontrolle des Versicherten unterliegen, sofern das versicherte Ereignis von dem Teil des IT-Systems des Versicherten aus- geht, der auch der Herrschaftsgewalt oder Kontrolle eines dritten Dienst- leisters (z. B. externes Rechenzentrum, Cloud-Anbieter) unterliegt, den ein Versicherter entgeltlich in Anspruch nimmt. Eine versicherte Cyber-Betriebsunterbrechung bei Cloud-Ausfall im Sinne dieser Bedingungen setzt zudem voraus, dass der dritte Dienstleister min- destens ISO27001-zertifiziert oder in Tier Level 3 gemäß TIA-942 (Tele- communications Infrastructure Standard für Data Centers) eingestuft ist. 4.2.2. Begriff der Cyber-Betriebsunterbrechung bei Cloud-Ausfall Eine versicherte Cyber-Betriebsunterbrechung bei Cloud-Ausfall liegt vor, wenn die Produktion eines Versicherten oder die Erbringung von Dienstleis- tungen durch einen Versicherten vollständig oder teilweise unterbrochen ist und wenn diese Unterbrechung unmittelbar und ausschließlich durch ein versichertes Ereignis gemäß Ziffern I.1. bis I.4. verursacht wird. 12 [Seite 13] Hiscox CyberClear Bedingungen 06/2022 4.3. Allgemeine Bestimmungen für die Cyber-Betriebsunterbrechung On-Premises oder bei Cloud-Ausfall 4.3.1. Begriff des Ertragsausfallschadens Der Ertragsausfallschaden besteht aus den fortlaufenden Kosten und dem Betriebsgewinn, soweit ein Versicherter diese fortlaufenden Kosten und den Betriebsgewinn unmittelbar und ausschließlich infolge der durch die voll- ständige oder teilweise Nichtverfügbarkeit des IT-Systems bedingten und nach den Absätzen II.4.1. und II.4.2. versicherten Betriebsunterbrechung nicht – auch nicht zukünftig – erwirtschaften kann. 4.3.2. Versicherter Zeitraum Der versicherte Zeitraum und die Haftzeit beginnen mit Eintritt der versicher- ten Cyber-Betriebsunterbrechung. Der versicherte Zeitraum endet zu dem Zeitpunkt, zu dem ein Ertragsausfallschaden nicht mehr entsteht, spätes- tens jedoch mit Ablauf der Haftzeit. 4.3.3. Zeitlicher Selbstbehalt Die Laufzeit des im Versicherungsschein ausgewiesenen zeitlichen Selbst- behalts beginnt mit Eintritt der versicherten Cyber-Betriebsunterbrechung und endet mit Ablauf der im Versicherungsschein bestimmten Zeit. Der zeitliche Selbstbehalt gilt als überschritten, wenn auch nach Ablauf des im Versicherungsschein vereinbarten zeitlichen Selbstbehalts das IT-System des Versicherten noch nicht wiederhergestellt ist und weiterhin ein Ertrags- ausfallschaden entsteht. Die Regelung zum monetären Selbstbehalt gemäß Ziffer IV.7. bleibt un- berührt. 4.3.4. Wechselwirkungsschäden bei Cyber-Betriebsunterbrechung Eine versicherte Betriebsunterbrechung liegt auch vor, wenn bei einem Versicherten ein Ertragsausfallschaden eintritt, der unmittelbar und aus- schließlich aufgrund einer gemäß Ziffer II.4.1. oder Ziffer II.4.2. versicherten Cyber-Betriebsunterbrechung bei einem anderen Versicherten entsteht, sofern die Cyber-Betriebsunterbrechung bei diesem anderen Versicherten den zeitlichen Selbstbehalt gemäß Ziffer II.4.3.3. überschreitet. 4.3.5. Schadenunabhängige Umstände Bei der Berechnung des Ertragsausfallschadens sind alle Umstände zu berücksichtigen, die das Geschäftsergebnis des Versicherten günstig oder ungünstig beeinflusst hätten, wenn die Cyber-Betriebsunterbrechung nicht eingetreten wäre. Die Entschädigung darf nicht zu einer Bereicherung eines Versicherten führen. 4.3.6. Mehrkosten Der Versicherer erstattet den Versicherten auch alle angemessenen und notwendigen Mehrkosten, die unmittelbar und ausschließlich infolge der durch die vollständige oder teilweise Nichtverfügbarkeit des IT-Systems bedingten und gemäß Ziffer II.4.1. oder Ziffer II.4.2. versicherten Cyber- Betriebsunterbrechung verursacht werden. Mehrkosten sind Kosten, die einem Versicherten unter normalen Umständen nicht entstehen und nach einer versicherten Cyber-Betriebsunterbrechung von einem Versicherten zur Fortführung des Betriebs aufgewendet werden müssen. Mehrkosten sind insbesondere Kosten für die Benutzung anderer Anlagen, die Anwendung anderer Arbeits- oder Fertigungsverfahren, die Inanspruch- nahme von Lohndienstleistungen oder Lohn-Fertigungsleistungen oder den Bezug von Halb- oder Fertigfabrikaten, einmalige Umprogrammierungskos- ten sowie Kosten, die durch die Ermittlung und Feststellung einer versicher- ten Cyber-Betriebsunterbrechung entstehen, soweit der Versicherte sie den Umständen nach für geboten halten durfte. 13 [Seite 14] Hiscox CyberClear Bedingungen 06/2022 4.3.7. Anwendbarkeit der Entschädigungsgrenzen Für sämtliche Leistungen wegen einer Cyber-Betriebsunterbrechung gelten die im Versicherungsschein ausgewiesenen Entschädigungsgrenzen. III. Was ist nicht Wenn einer der nachfolgend aufgeführten Risikoausschlüsse vorliegt, besteht kein versichert? Versicherungsschutz. Dies gilt für alle unter Ziffer II. aufgeführten Leistungen des Versicherers. 1. Vorsätzliche Schadenverursachung oder wissentliche Pflichtverletzung Kein Versicherungsschutz besteht wegen vorsätzlicher Schadenverursachung oder wissentlichen Abweichens von Gesetz, Vorschrift oder Anweisung des Auftraggebers durch einen Versicherten. Vom Versicherungsschutz umfasst bleiben Fälle einer vor- sätzlichen Schadenverursachung oder eines wissentlichen Abweichens von Gesetz, Vorschrift oder Anweisung des Auftraggebers durch den Leiter der Rechtsabteilung, der IT-Abteilung oder des Risikomanagements eines Versicherten. Der Versicherer übernimmt jedoch die Abwehr von Haftpflichtansprüchen bis zur Fest- stellung der vorsätzlichen Schadenverursachung oder wissentlichen Pflichtverletzung durch Urteil oder sonstige Tatsachenfeststellung eines Gerichts, Entscheidung eines Mediators oder Anerkenntnis der Versicherten. In diesem Fall ist der Versicherte zur Rückzahlung sämtlicher vom Versicherer auf diesen Versicherungsfall erbrachten Leistungen verpflichtet. 2. Gewaltsame Auseinandersetzungen und Cyber-Operationen Kein Versicherungsschutz besteht wegen Schäden, die sich direkt oder indirekt im Zusammenhang mit einem der folgenden Ereignisse ergeben: 2.1. dem Einsatz physischer Gewalt eines Staates gegenüber einem anderen Staat (Krieg), unabhängig davon, ob Krieg erklärt wurde oder nicht, 2.2. Invasion, Bürgerkrieg, Aufstand, Streik, Revolution, Aufruhr sowie militärischer oder anderer Formen der gewaltsamen Machtergreifung oder 2.3. dem unzulässigen Zugriff auf ein IT-System durch oder im Namen eines Staates im Territorium eines anderen Staates oder die unzulässige Nutzung eines IT- Systems durch oder im Namen eines Staates im Territorium eines anderen Staates (Cyber-Operation), wenn diese Cyber-Operation einem Staat zuge- schrieben werden kann und: • im Zuge eines Krieges ausgeführt wird und/oder • direkt oder indirekt zu einer Störung der Verfügbarkeit, Integrität oder Leistungsfähigkeit der kritischen Infrastruktur oder aber der Sicherheit oder Verteidigung eines anderen Staates führt. Eine Cyber-Operation kann insbesondere dann einem Staat zugeschrieben werden, wenn die Regierung oder eine Sicherheitsbehörde (einschließlich Ge- heimdiensten und Verfassungsschutzbehörden) eines relevanten Staates dies öffentlich kommuniziert. Ein relevanter Staat ist jeder Staat, • dessen Verfügbarkeit, Integrität oder Leistungsfähigkeit der kritischen Infrastruktur oder aber der Sicherheit oder Verteidigung durch die Cyber- Operation gestört wurde (betroffener Staat) oder • der Mitglied der Europäischen Union oder • der Mitglied der NATO ist. Bei widersprüchlichen Zuschreibungen innerhalb eines relevanten Staates ist die von der Regierung des jeweiligen Staates im Rahmen der offiziellen Kommunika- 14 [Seite 15] Hiscox CyberClear Bedingungen 06/2022 tion vorgenommene Zuschreibung maßgeblich. Bei widersprüchlichen Zuschrei- bungen zwischen verschiedenen relevanten Staaten ist die Zuschreibung durch den betroffenen Staat maßgeblich. Hat der betroffene Staat keine Zuschreibung vorgenommen, genügt die Zuschreibung durch einen relevanten Staat, auch wenn ein oder mehrere andere relevante Staaten diese nicht teilen oder ihr widersprechen. Sofern keine Zuschreibung einer Cyber-Operation durch einen relevanten Staat erfolgt, kann eine Cyber-Operation auch dann einem Staat zugeschrieben werden, wenn der Versicherer dies durch geeignete Beweise nachweist. Als kritische Infrastruktur im Sinne des vorliegenden Ausschlusses gelten alle in der jeweiligen Fassung des § 2 Nr. 10 BSIG einschließlich der dazugehörigen Verordnungen oder einer etwaigen Nachfolgeregelung sowie alle in entsprechen- den ausländischen Rechtsnormen als kritische Infrastruktur oder wesentliche Dienste (essential services) definierten Einrichtungen. 3. Technische Infrastruktur Kein Versicherungsschutz besteht wegen Schäden aufgrund einer Störung oder eines Ausfalls der öffentlichen oder privaten technischen Infrastruktur, die nicht vom Ver- sicherungsnehmer selbst betrieben wird. Zur öffentlichen und privaten Infrastruktur gehören: • Strom-, Gas-, Wasser- und Wasserstoffversorgung, • externe Netzstrukturen, die der überregionalen Informationsvermittlung dienen, insbesondere Telefon-, Internet-, Computer-, Daten- oder Funknetze, sowie Leistungen von Internet- und Telekommunikationsanbietern bzw. Providern, Satelliten, • Domain Name Systems (DNS), Internet Service Provider (ISP), Content Delivery Networks (CDN) oder Certificate Authorities (CA) sowie • alle weiteren vergleichbaren privaten Einrichtungen oder Einrichtungen der Gebietskörperschaften. 4. Produktrückruf Kein Versicherungsschutz besteht wegen Schäden im Zusammenhang mit dem Rück- ruf eigener oder fremder Produkte oder Dienstleistungen. 5. Vertragsstrafen Kein Versicherungsschutz besteht wegen Schäden durch Vertragsstrafen, soweit diese nicht ausdrücklich mitversichert sind. 6. Glücksspiel Kein Versicherungsschutz besteht wegen Schäden infolge der Organisation oder des Ausrichtens von Preisausschreiben, Lotterien, Auslobungen oder sonstigen Glücks- spielen. 7. Finanzmarkttransaktionen Kein Versicherungsschutz besteht wegen Schäden infolge jedweder Form des Kaufs oder Verkaufs von Wertpapieren, Rohstoffen, Derivaten, Devisen, Anleihen oder ver- gleichbaren Wertanlagen. 8. Rechtswidriges Erfassen und Nutzen von Daten Kein Versicherungsschutz besteht, wenn ein Versicherter mit Kenntnis oder infolge grob fahrlässiger Unkenntnis eines Repräsentanten personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) oder entsprechender, auch aus- ländischer, Rechtsnormen rechtswidrig erfasst oder nutzt. 9. Patent- und Kartellrechtsverletzungen Kein Versicherungsschutz besteht wegen Ansprüchen aufgrund von Patentrechtsver- 15 [Seite 16] Hiscox CyberClear Bedingungen 06/2022 letzungen oder Schäden aus dem Verlust der Patentierbarkeit sowie Kartellrechtsver- letzungen. 10. Hoheitliche Eingriffe Kein Versicherungsschutz besteht im Zusammenhang mit hoheitlichen Eingriffen, ins- besondere Beschlagnahme, (teilweise) Betriebseinstellung, (teilweise) Betriebsschließung, Ver- staatlichung, Zerstörung oder anderweitigen Maßnahmen einer Behörde oder sonstigen staatlichen Einrichtung. Dies gilt nicht für Datenschutzbehörden im EWR oder UK. 11. Naturkatastrophen Kein Versicherungsschutz besteht wegen Schäden durch Erdbeben, Vulkanausbruch, Flutwelle, Flut, Feuer, Explosion, Wind, Blitzschlag, Frost, Sonneneruption, Asteroide- neinschlag, Magnetfeldverschiebung oder andere Naturereignisse. 12. Sachschäden Kein Versicherungsschutz besteht für Sachschäden. Dies gilt nicht für Wiederher- stellungskosten für IT-Hardware gemäß Ziffer II.2.5. oder sonstige, explizit im Versi- cherungsschein versicherte Sachschäden. 13. Personenschäden Kein Versicherungsschutz besteht für Personenschäden. 14. Kernenergie, Radioaktivität, biologische und chemische Ursachen Kein Versicherungsschutz besteht für Schäden durch Kernenergie oder Radioaktivität und Schäden aufgrund biologischer oder chemischer Ursachen, einschließlich mittel- barer und unmittelbarer Folgeschäden. Zusätzlich zu den vorgenannten Ausschlüssen besteht in der Cyber-Haftpflicht kein Ver- sicherungsschutz für die folgenden Ansprüche: 15. Vertragserfüllung In der Cyber-Haftpflicht besteht kein Versicherungsschutz, wenn es sich um gesetzliche oder vertragliche Ansprüche handelt: • auf Erfüllung von Verträgen, Garantiezusagen, Nacherfüllung, aus Selbstvor- nahme, Rücktritt, Minderung auf Schadenersatz statt der Leistung; • wegen Schäden, die verursacht werden, um die Nacherfüllung durchführen zu können; • wegen des Ausfalls der Nutzung des Vertragsgegenstandes oder wegen des Ausbleibens des mit der Vertragsleistung geschuldeten Erfolges; • auf Ersatz vergeblicher Aufwendungen im Vertrauen auf ordnungsgemäße Vertragserfüllung; • auf Ersatz von Vermögensschäden wegen Verzögerung der Leistung; • wegen anderer an die Stelle der Erfüllung tretender Ersatzleistungen. 16. Produkt- und Dienstleistungshaftpflicht In der Cyber-Haftpflicht besteht kein Versicherungsschutz aus einer Haftung für von Versicherten in den Verkehr gebrachte Produkte oder Dienstleistungen. 17. Ansprüche der Versicherten gegeneinander In der Cyber-Haftpflicht besteht kein Versicherungsschutz für Ansprüche der Versicher- ten gegeneinander. Vom Versicherungsschutz umfasst bleiben Ansprüche von mitversicherten natürlichen Personen gegen einen Versicherten aufgrund einer Datenrechtsverletzung gemäß Ziffer I.3. 16 [Seite 17] Hiscox CyberClear Bedingungen 06/2022 IV. Allgemeine 1. Versicherungsfall Regelungen Der Versicherungsfall ist der tatsächliche Eintritt eines Ereignisses gemäß Ziffer I., welches die Schädigung eines Dritten oder den Eigenschaden eines Versicherten unmittelbar herbeiführt. Für die Soforthilfe im Notfall gemäß Ziffer II.1.1., die Cyber-Eigenschäden in Form von Kosten für Krisenmanagement gemäß Ziffer II.2.1., die Kosten für IT-Forensik gemäß Ziffer II.2.2., die Kosten für Rechtsberatung gemäß Ziffer II.2.3. und die Kosten für Pub- lic-Relations-Maßnahmen gemäß Ziffer II.2.4. und die Benachrichtigungskosten gemäß Ziffer II.2.6. besteht unabhängig vom tatsächlichen Eintritt des Versicherungsfalles be- reits dann Versicherungsschutz, wenn der tatsächliche Eintritt eines Versicherungsfalles aufgrund der objektiven Umstände zu vermuten ist. 1.1. Serienschaden Mehrere im versicherten Zeitraum eingetretene oder vermutete Versicherungs- fälle, die auf derselben Ursache oder auf mehreren gleichen Ursachen, die in einem inneren, insbesondere sachlichen und zeitlichen Zusammenhang zueinan- der stehen, beruhen, gelten – auch wenn sie in unterschiedlichen Versicherungs- perioden oder in der Nachmeldefrist eintreten – als ein Versicherungsfall, der in dem Zeitpunkt als eingetreten gilt, in dem der erste der zusammengefassten Ver- sicherungsfälle eingetreten ist. 1.2. Beweiserleichterung bezüglich des Versicherungsfalles Kann der Beweis, dass ein Versicherungsfall eingetreten ist, nicht erbracht werden, so gilt der Eintritt des Versicherungsfalles bereits dann als bewiesen, wenn aufgrund objektiver Umstände keine vernünftigen Zweifel daran bestehen können, dass alternative Ursachen für den Eintritt des versicherten Schadens nicht in Betracht kommen. Voraussetzung für die Anwendung der Beweiserleichterung ist weiterhin, dass der Krisendienstleister durch den Versicherten eingeschaltet wurde und dass kein Verstoß der Versicherten gegen Anzeige- bzw. Mitwirkungsobliegenheiten im Ver- sicherungsfall vorliegt. 2. Vorrangige Versicherung Ist ein Versicherungsfall oder ein Schaden auch unter einem anderen Versicherungs- vertrag versichert, so geht der vorliegende Vertrag vor. Dies gilt nicht, wenn es sich bei dem anderen Versicherungsvertrag um eine Cyber- Versicherung eines Versicherten handelt. In diesem Fall steht die vorliegende Versiche- rung erst im Anschluss an die Versicherungssumme der anderen Versicherung zur Ver- fügung. Versicherungsschutz besteht in Ergänzung zu der Leistung des anderen Ver- sicherers, soweit der Versicherungsschutz unter dem vorliegenden Vertrag weiter ist als unter dem anderen einschlägigen Versicherungsvertrag (Konditionendifferenzdeck- ung) oder der anderweitige Versicherungsschutz durch Zahlung verbraucht ist (Sum- menausschöpfungsdeckung). Erhält der Versicherte aus dem anderweitigen Versicherungsvertrag wegen dauerhafter Zahlungsunfähigkeit des anderen Versicherers keine Leistung, so leistet der Versicherer des vorliegenden Vertrags Zug um Zug gegen Abtretung der Leistungsansprüche des Versicherten. Bestreitet der andere Versicherer seine Leistungspflicht ganz oder teilweise, so leistet der Versicherer des vorliegenden Vertrags unter Eintritt in die Rechte des Versicherten vor. 3. Versicherter Zeitraum 3.1. Versicherungsfälle während der Vertragslaufzeit Der Versicherungsschutz besteht für Versicherungsfälle, die während der Ver- tragslaufzeit eingetreten sind. 17 [Seite 18] Hiscox CyberClear Bedingungen 06/2022 Darüber hinaus besteht Versicherungsschutz in der Cyber-Haftpflicht auch für Schadenereignisse, die vor der Vertragslaufzeit eingetreten sind und den Ver- sicherten zum Zeitpunkt des Vertragsschlusses nicht bekannt waren. 3.2. Nachmeldefrist Versicherungsschutz besteht nur für Versicherungsfälle, die dem Versicherer nicht später als fünf Jahre nach Beendigung des Versicherungsvertrages gemeldet werden. Für den Zeitraum der Nachmeldefrist steht der unverbrauchte Teil der Jahres- höchstleistung der letzten Versicherungsperiode zu den bei Vertragsende gelten- den Bedingungen zur Verfügung. 4. Räumlicher Geltungsbereich und Non-Admitted-Countries Es besteht weltweiter Versicherungsschutz. Soweit es dem Versicherer aus rechtlichen Gründen nicht möglich ist, vertraglich ge- schuldete Leistungen im Ausland zu erbringen, sind diese Leistungen am Sitz des Versicherungsnehmers gegenüber dem Versicherungsnehmer zu erbringen. Einen Anspruch auf Erbringung von Leistungen hat in diesem Fall nur der Versicherungs- nehmer selbst. 5. Kumulklausel Die Leistungspflicht des Versicherers ist auf die höchste der vereinbarten Versiche- rungssummen begrenzt, wenn für einen Versicherungsfall oder Schaden über mehrere Versicherungsverträge derselben Versicherungsart (Vermögensschadenhaftpflicht-, Betriebshaftpflicht-, D&O-, Cyber- oder Sachversicherung bzw. entsprechende Hiscox Versicherungsprodukte im Ausland) der Hiscox-Gruppe (insbesondere der Risikoträger Hiscox SA, Hiscox Insurance Company Ltd., Lloyds Syndicate 33 und 3624) Versiche- rungsschutz besteht (Kumulfall). Eine Kumulierung der Versicherungssummen findet nicht statt. Sind für den Versicherungsfall oder Schaden in den betroffenen Versicherungsverträ- gen unterschiedliche Selbstbehalte vereinbart, so kommt in einem Kumulfall nur der niedrigere der vereinbarten Selbstbehalte zur Anwendung. 6. Fälligkeit von Entschädigungsleistungen für Cyber-Eigenschäden Die Entschädigung wird fällig, wenn die Feststellungen des Versicherers zum Grunde und zur Höhe des Anspruchs abgeschlossen sind. Der Versicherte kann zwei Wochen nach Meldung des Schadens den Betrag als Abschlagszahlung beanspruchen, der nach Lage der Sache mindestens zu zahlen ist, sofern keine Gründe für eine Aufschiebung der Zahlung vorliegen. Der Versicherer kann die Zahlung aufschieben, • wenn Zweifel an der Empfangsberechtigung des Versicherten bestehen; • wenn ein behördliches oder strafgerichtliches Verfahren gegen einen Versicherten oder einen Repräsentanten anhängig ist. 7. Monetärer Selbstbehalt Ein Versicherter beteiligt sich in jedem Versicherungsfall mit dem im Versicherungs- schein vereinbarten Betrag an der Leistung des Versicherers (monetärer Selbstbehalt). Der Versicherungsnehmer kann den im Versicherungsschein vereinbarten monetären Selbstbehalt um 25 % je Schadenfall reduzieren, wenn die im Versicherungsschein- Beiblatt und unter www.hiscox.de/cybercleargo näher beschriebenen Voraussetzungen zu dem Cyber-Training erfüllt werden. 8. Leistungsobergrenzen 8.1. Je Versicherungsfall Die Leistung des Versicherers je Versicherungsfall ist auf die vereinbarte Ver- sicherungssumme oder Entschädigungsgrenze beschränkt. Kosten oder ander- 18 [Seite 19] Hiscox CyberClear Bedingungen 06/2022 weitige Aufwendungen werden hierauf angerechnet. Dies gilt nicht für Abwehr- kosten gemäß Ziffer II.3.1.2., wenn diese ausschließlich oder überwiegend auf Veranlassung des Versicherers entstehen und wenn die Abwehr vollumfänglich erfolglos bleibt. 8.2. Je Versicherungsjahr Die Leistung des Versicherers je Versicherungsjahr ist auf die vereinbarte Jahres- höchstleistung beschränkt. Kosten oder anderweitige Aufwendungen werden hier- auf angerechnet. Dies gilt nicht für Abwehrkosten gemäß Ziffer II.3.1.2., wenn diese ausschließlich oder überwiegend auf Veranlassung des Versicherers ent- stehen und wenn die Abwehr vollumfänglich erfolglos bleibt. Übersteigt ein Haftpflichtanspruch eine der vorgenannten Leistungsobergrenzen, trägt der Versicherer Kosten nur insoweit, als sie bei einem Haftpflichtanspruch in Höhe der Leistungsobergrenze entstanden wären. 9. Zahlung der Versicherungssumme Der Versicherer kann einem Versicherten im Versicherungsfall zu jedem Zeitpunkt die Versicherungssumme bzw. den noch nicht verbrauchten Teil der Versicherungssumme bzw. einer gegebenenfalls vereinbarten Entschädigungsgrenze auszahlen. In diesem Fall hat der Versicherer gegenüber den Versicherten keine weitere Leistungspflicht (inklusive Abwehrkosten) für diesen Versicherungsfall. 10. Versicherte Versicherte sind: • der Versicherungsnehmer und • mitversicherte Unternehmen. 10.1. Versicherungsnehmer Der Versicherungsnehmer ergibt sich aus dem Versicherungsschein. 10.2. Mitversicherte Unternehmen Mitversicherte Unternehmen sind: • bei Versicherungsbeginn bereits als rechtlich selbstständig existierende Gesellschaften innerhalb des EWR und UK, auf die der Versicherungs- nehmer unmittelbar oder mittelbar einen beherrschenden Einfluss ausüben kann, • neue Tochtergesellschaften. Wird eine Gesellschaft durch Gründung oder Erwerb während der Vertragslaufzeit zu einer Tochtergesellschaft, gilt sie ab dem Zeitpunkt der Gründung oder des Erwerbs automatisch als mitversichertes Unternehmen. Entsprechendes gilt für Gesellschaften, die während der Vertragslaufzeit mit dem Versicherungsnehmer oder einer Tochtergesellschaft verschmolzen werden, ab dem Zeitpunkt des Voll- zugs der Verschmelzung. Dies gilt nicht für: • Gesellschaften mit im Vergleich zum Versicherungsnehmer insgesamt niedrigerem IT-Sicherheitsniveau, • Gesellschaften außerhalb des EWR und UK, • Gesellschaften, deren Gesellschaftszweck von dem des Versicherungs- nehmers abweicht, • IT-Unternehmen mit Fernzugriffsrechten auf die IT-Systeme ihrer Kunden oder • Kredit- oder Finanzdienstleistungsunternehmen sowie Pensionskassen. Gesellschaften mit im Vergleich zu dem Versicherungsnehmer insgesamt niedri- gerem IT-Sicherheitsniveau gewährt der Versicherer Versicherungsschutz für die 19 [Seite 20] Hiscox CyberClear Bedingungen 06/2022 Dauer von maximal 60 Tagen ab dem Zeitpunkt der rechtswirksamen Gründung, des Erwerbs, der Umwandlung oder der Verschmelzung, sofern eine Versicherung der Tochtergesellschaft beim Versicherer innerhalb der vorgenannten Frist an- gefragt wird. Die Deckung endet bereits vor Ablauf der 60 Tage, sobald der Ver- sicherer den Versicherungsschutz für die Tochtergesellschaft ablehnt oder der Versicherungsvertrag insgesamt endet. Beläuft sich der Umsatz der neu gegründeten, erworbenen oder verschmolzenen (Tochter-)Gesellschaft zum Zeitpunkt der Wirksamkeit der Gründung, des Er- werbs, der Umwandlung oder der Verschmelzung auf mehr als 20 % der konsoli- dierten Umsatzsumme des Versicherungsnehmers, so gilt sie nur vorbehaltlich einer Einigung über eine Bedingungs- und Prämienanpassung als mitversichertes Unternehmen. Nicht vom Versicherungsschutz umfasst sind Versicherungsfälle, die auf Pflicht- verletzungen neuer Tochtergesellschaften beruhen, für die aus einem anderen Versicherungsvertrag Versicherungsschutz besteht, oder die auf Pflichtverletzun- gen neuer Tochtergesellschaften beruhen, wenn jene einem Versicherten zum Zeitpunkt des Erwerbs oder der Gründung bekannt waren. 11. Repräsentanten Repräsentanten im Sinne dieses Vertrages sind: • die Mitglieder des Vorstandes (bei Aktiengesellschaften), • die Geschäftsführer (bei Gesellschaften mit beschränkter Haftung), • die Komplementäre (bei Kommanditgesellschaften), • die Gesellschafter (bei offenen Handelsgesellschaften), • die Gesellschafter (bei Gesellschaften bürgerlichen Rechts), • die Inhaber von Einzelfirmen, • die nach den gesetzlichen Vorschriften berufenen obersten Vertretungsorgane (bei anderen Unternehmensformen, z. B. Genossenschaften, Verbänden, Ver- einen, Körperschaften des öffentlichen Rechts, Kommunen), • der dem Vorstehenden entsprechende Personenkreis (bei ausländischen Unter- nehmen) oder • der Leiter der Rechtsabteilung, der IT-Abteilung oder des Risikomanagements. 12. Mitversicherte natürliche Personen Mitversicherte natürliche Personen im Sinne dieses Vertrages sind: • die angestellten Mitarbeiter der Versicherten, • die in den Betrieb der Versicherten eingegliederten Mitarbeiter von Zeitarbeits- unternehmen, • die in den Betrieb der Versicherten eingegliederten freien Mitarbeiter, soweit diese im Namen und Auftrag der Versicherten tätig werden. 13. Regressverzicht bei grober Fahrlässigkeit Führt eine mitversicherte natürliche Person einen Versicherungsfall grob fahrlässig her- bei, so verzichtet der Versicherer darauf, gegen diese mitversicherte natürliche Person Regressansprüche geltend zu machen. Dieser Regressverzicht gilt nicht gegenüber einem Repräsentanten eines Versicherten. 14. Gefahrerhöhung Eine Gefahrerhöhung liegt vor, wenn nach Abgabe der Vertragserklärung des Versiche- rungsnehmers die tatsächlich vorhandenen Umstände so verändert werden, dass der Eintritt eines Versicherungsfalles oder die Vergrößerung eines Schadens oder eine un- gerechtfertigte Inanspruchnahme des Versicherers wahrscheinlicher wird. Eine Gefahr- erhöhung liegt insbesondere bei folgenden Umständen vor: 20 [Seite 21] Hiscox CyberClear Bedingungen 06/2022 • Änderung des Geschäftszwecks eines Versicherten; • Aufnahme von Online-Handel; • erhebliche technisch-organisatorische Änderungen in der Informationssicherheits- struktur eines Versicherten wie zum Beispiel nachteilige Veränderungen im Infor- mationssicherheitsmanagementsystem (ISMS), Veränderungen in der Daten- sicherungsstrategie oder Out- bzw. Insourcing von IT-Prozessen. Der Versicherer fragt einmal jährlich typische gefahrerhöhende Umstände ab (Prämien- regulierungsprozess). Unabhängig vom Prämienregulierungsprozess bleibt die gesetzliche Pflicht des Ver- sicherungsnehmers, nach Vertragserklärung ohne die Einwilligung des Versicherers keine Gefahrerhöhungen vorzunehmen oder von einem Dritten vornehmen zu lassen, bestehen. Kommt es trotzdem zu einer Gefahrerhöhung, hat der Versicherungsnehmer sie abweichend von den gesetzlichen Regelungen innerhalb eines Monats nach Kennt- niserlangung anzuzeigen. 15. Obliegenheiten vor Eintritt des Versicherungsfalles Der Versicherte hat vor Eintritt des Versicherungsfalles die folgenden Obliegenheiten zu beachten und zu erfüllen. 15.1. Datensicherung Die Versicherten haben mindestens wöchentlich eine vollständige Datensicherung vorzunehmen. Für die Erstellung dieser Datensicherung ist eine Offline-Daten- sicherung mit dauerhafter physischer Trennung von den zu sichernden IT-Sys- temen oder eine unveränderbare Online-Datensicherung, auf die Administratoren nur mit einer Zwei-Faktor-Authentifizierung oder aus einer separaten Domain zugreifen können, zu nutzen. Diese Datensicherung ist für mindestens 30 Tage aufzubewahren. 15.2. Patchmanagement Die Versicherten haben Sicherheitsupdates auf Servern und Clients (mobilen Ge- räten, Desktops und Terminals) sowie auf Netzwerkgeräten und Sicherheitssys- temen (z. B. Firewalls, Virenschutz) innerhalb von 30 Tagen nach Veröffentlichung des Updates durch den Hersteller einzuspielen. 15.3. Betrieb von Altsystemen Sofern die Versicherten Betriebssysteme nutzen, für die ihnen keine Sicherheits- updates mehr bereitgestellt werden (Altsysteme), hat der Betrieb dieser Altsys- teme ausschließlich in einer isolierten Netzwerkumgebung ohne direkten Internet- zugang und mit durchgehender Kontrolle des Datenverkehrs zu erfolgen. 15.4. Folgen einer Obliegenheitsverletzung vor Eintritt des Versicherungsfalles Verletzt ein Versicherter vorsätzlich oder grob fahrlässig eine Obliegenheit, die er vor Eintritt des Versicherungsfalles gegenüber dem Versicherer zu erfüllen hat, so kann der Versicherer innerhalb eines Monats, nachdem er von der Verletzung Kenntnis erlangt hat, den Vertrag fristlos kündigen. Der Versicherer hat kein Kün- digungsrecht, wenn der Versicherte nachweist, dass er die Obliegenheit weder vorsätzlich noch grob fahrlässig verletzt hat. Verletzt der Versicherte eine Obliegenheit vorsätzlich, so ist der Versicherer von der Verpflichtung zur Leistung frei. Bei grob fahrlässiger Verletzung der Obliegen- heit ist der Versicherer berechtigt, seine Leistung in dem Verhältnis zu kürzen, das der Schwere des Verschuldens des Versicherten entspricht. Der Versicherer bleibt zur Leistung verpflichtet, wenn der Versicherte nachweist, dass er die Obliegenheit nicht grob fahrlässig verletzt hat. Dies gilt auch, wenn der Versicherte nachweist, dass die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der dem Versicherer obliegenden Leistung ursächlich war. Das gilt nicht, wenn der Versicherte die Obliegenheit arglistig verletzt hat. 21 [Seite 22] Hiscox CyberClear Bedingungen 06/2022 16. Obliegenheiten nach Eintritt des Versicherungsfalles 16.1. Anzeige bestimmter Umstände Der Versicherte hat unverzüglich nach Kenntniserlangung: • den (vermuteten) Eintritt eines Versicherungsfalles beim Krisendienstleister und beim Versicherer anzuzeigen; • die Erhebung eines gegen ihn gerichteten Anspruchs beim Versicherer anzuzeigen; • gegen ihn gerichtete Gerichts- oder Ermittlungsverfahren, Mahnbescheide, Arreste, Strafbefehle, Streitverkündungen, einstweilige Verfügungen, selbst- ständige Beweisverfahren und Anträge auf Prozesskostenhilfe durch den Anspruchsteller beim Versicherer anzuzeigen; • im Falle einer Cyber-Betriebsunterbrechung den Krisendienstleister und den Versicherer hierüber zu informieren und alle erforderlichen Informatio- nen zur Verfügung zu stellen; • im Falle einer Cyber-Erpressung - alle angemessenen Schritte zu unternehmen, um sicherzustellen, dass es sich um eine ernst zu nehmende Drohung handelt; - die zuständigen Ermittlungsbehörden hierüber zu informieren oder dem Krisendienstleister die Genehmigung zur Weitergabe dieser Informatio- nen zu geben. 16.2. Einlegung bestimmter Rechtsbehelfe Gegen Mahnbescheide oder Verfügungen von Verwaltungsbehörden auf Scha- denersatz hat der Versicherte, ohne die Weisung des Versicherers abzuwarten, fristgemäß Widerspruch zu erheben oder die sonst erforderlichen Rechtsbehelfe einzulegen. 16.3. Befolgung der Weisungen des Versicherers Der Versicherte ist verpflichtet, unter Befolgung der Weisungen des Versicherers nach Möglichkeit für die Abwendung und Minderung des Schadens zu sorgen und alles zu tun, was zur Klarstellung des Versicherungsfalles dient, sofern ihm dabei nichts Unbilliges zugemutet wird. Er hat den Versicherer bei der Abwehr des Schadens sowie bei der Schadenermittlung und -regulierung zu unterstützen, ausführlich und wahrheitsgemäß Bericht zu erstatten, alle Tatsachen, die den Versicherungsfall und die Schadenfolgen betreffen, mitzuteilen und alle nach Ansicht des Versicherers für die Beurteilung des Versicherungsfalles erheblichen Schriftstücke einzusenden. 16.4. Überlassung der Verfahrensführung an den Versicherer Kommt es zu einem außergerichtlichen oder gerichtlichen Rechtsstreit bzw. Schiedsverfahren über einen Haftpflichtanspruch, hat der Versicherte die Ver- fahrensführung dem Versicherer zu überlassen, dem vom Versicherer bestellten oder bezeichneten Anwalt Vollmacht zu erteilen und jede mögliche Auskunft zu geben. 16.5. Beachtung der Regulierungsvollmacht des Versicherers Der Versicherer gilt als bevollmächtigt, alle zur Beilegung oder Abwehr eines Haft- pflichtanspruchs ihm zweckmäßig erscheinenden außergerichtlichen und gerichtli- chen Erklärungen im Namen des Versicherten abzugeben. 16.6. Folgen einer Obliegenheitsverletzung nach Eintritt des Versicherungsfalles Verletzt der Versicherte eine der vorstehenden Obliegenheiten, ist der Versicherer von der Verpflichtung zur Leistung frei, wenn der Versicherte die Obliegenheit vorsätzlich verletzt hat. Im Falle einer grob fahrlässigen Verletzung der Obliegen- heit ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Ver- 22 [Seite 23] Hiscox CyberClear Bedingungen 06/2022 schuldens des Versicherten entsprechenden Verhältnis zu kürzen. Die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherte. In jedem Fall bleibt der Versicherer zur Leistung verpflichtet, soweit die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungs- falles noch für die Feststellung oder den Umfang der Leistungspflicht des Ver- sicherers ursächlich ist. Dies gilt nicht, wenn der Versicherte die Obliegenheit arglistig verletzt hat. Bei Verletzung der Auskunfts- oder Aufklärungsobliegenheiten des Versicherten ist Voraussetzung für den Eintritt der Rechtsfolge der vollständigen oder teilweisen Leistungsfreiheit, dass der Versicherer den Versicherten auf diese Rechtsfolge in Textform hingewiesen hat. 17. Prämienanpassung bei Umsatzänderung Soweit die Prämie (Beitrag) in Abhängigkeit vom Umsatz der Versicherten berechnet wird, ist der Versicherungsnehmer verpflichtet, nach Aufforderung des Versicherers Änderungen des konsolidierten Jahresumsatzes abzüglich Umsatzsteuer in Textform anzuzeigen (Änderungsanzeige). Hierzu übersendet der Versicherer dem Versiche- rungsnehmer einen Fragebogen, der innerhalb von drei Monaten zu beantworten ist. Auf Verlangen des Versicherers sind die Angaben durch die Geschäftsbücher oder sonstige Belege nachzuweisen. Bei einer Änderung des Jahresumsatzes erfolgt eine Prämienanpassung für die ge- samte laufende Versicherungsperiode. Für frühere Versicherungsperioden wird keine Prämienanpassung vorgenommen. Unterlässt der Versicherungsnehmer die rechtzeitige Änderungsanzeige, kann der Ver- sicherer anstelle der Prämienanpassung die für die gesamte laufende Versicherungs- periode vereinbarte Prämie noch einmal verlangen. Wird die Änderungsanzeige inner- halb eines Monats nach Empfang der Nachzahlungsaufforderung des Versicherers nachgeholt, erlischt die Pflicht des Versicherungsnehmers zur nochmaligen Zahlung der Prämie und der Versicherer nimmt die Prämienanpassung vor. 23 ```