diff --git a/docs/details/terms-of-use-testing.md b/docs/details/terms-of-use-testing.md new file mode 100644 index 0000000000000000000000000000000000000000..c4718223019c769bc6370d9d9fb5bbbd7a523732 --- /dev/null +++ b/docs/details/terms-of-use-testing.md @@ -0,0 +1,111 @@ +# Nutzungsbedingungen für die Nutzung der Testumgebung +Stand: 01.02.2022 + +## Geltungsbereich der Nutzungsbedingungen +Diese Nutzungsbedingungen regeln Deine und unsere Rechte und Pflichten im Zusammenhang mit der Nutzung der von der FITKO bereitgestellten Testumgebung von FIT-Connect. + +## Begriffsdefinitionen +Für ein besseres und einheitliches Verständnis der Nutzungsbedingungen werden im Folgenden die wichtigsten Begriffe definiert. + +- **Schnittstelle (Application Programming Interface, kurz: API)**: Eine Schnittstelle fungiert als Software-Vermittler, der die Kommunikation zwischen zwei Softwaresystemen mit einem festen Satz von Befehlen, Funktionen, Protokollen und Objekten definiert. +- **API-Client**: Ein technisches System, das mit den FIT-Connect-Schnittstellen interagiert. +- **Nutzer:in**: Eine Nutzer:in ist eine natürliche oder juristische Person, die einen API-Client betreibt (Sie). Nutzer:innen können API-Clients über das FIT-Connect Self-Service-Portal registrieren und konfigurieren. +- **Zustelldienst**: Der FIT-Connect Zustelldienst implementiert die Schnittstelle zur Übermittlung von Einreichungen (Submission API) und fungiert damit als vermittelndes System zwischen dem sendenden System (Sender) und dem empfangenden System (Subscriber). +- **Einreichung (Submission)**: Eine Einreichung bei einer zuständigen Stelle kann ein Antrag (bspw. ein Antrag nach dem Onlinezugangsgesetz), ein Bericht (bspw. Statistikmeldung eines Unternehmens) oder eine sonstige Einreichung für die Initiierung eines Bearbeitungsvorgangs in einem Verwaltungsverfahren sein. Eine Einreichung besteht mindestens aus einem Metadatensatz und einem Fachdatensatz und / oder einem oder mehreren Anlagen. Eine Einreichung besitzt immer eine systemübergreifend eindeutige ID (submissionId). Diese ID wird für jeden Einreichungsvorgang durch den Zustelldienst vergeben. +- **Sendendes System (Sender)**: Das technische System, das eine Einreichung über die Submission API vornimmt. (z.B. ein Online-Antragsservice oder Unternehmenssystem). Dies ist in der Regel ein Online-Antragsservice (spezialisiertes Webportal für eine bestimmte Fachlichkeit), das Endgerät der Antragsteller:in oder auch ein Verwaltungsportal, das typischerweise mehrere Fachlichkeiten / Antragstypen unterstützt. Perspektivisch wären hier auch andere API-Clients denkbar, z.B. spezialisierte Anwendungen zur Antragseinreichung ohne Webinterface oder Fachverfahren der Verwaltung, über die beim Behördengang durch eine:n Sachbearbeiter:in stellvertretend für die Antragsteller:in eine Einreichung eingereicht wird. +- **Empfangendes System (Subscriber)**: Das technische System, das Einreichungen auf Verwaltungsseite über die Submission API entgegennimmt (z.B. eine Fachanwendung / virtuelle Poststelle). +- **Zuständige Fachbehörde**: Die für die Bearbeitung der Einreichung zuständige Stelle. Die zuständige Fachbehörde betreibt zum Empfang von Einreichungen ein empfangendes System. +- **Zustellpunkt (Destination)**: Technisch eindeutig adressierbarer Endpunkt zur Einreichung von Anträgen oder Berichten an die Verwaltung über die FIT-Connect Übermittlungsinfrastruktur. Ein Zustellpunkt repräsentiert typischerweise ein konkretes empfangendes System (Fachverfahren oder virtuelle Poststelle). Für ein empfangendes System können jedoch multiple Zustellpunkte angelegt werden. In der Konfiguration eines Zustellpunkts sind interne und öffentliche Teile hinterlegt. Interne Angaben sind solche, die zu Administrationszwecken dienen. Öffentliche Angaben legen z.B. fest, in welcher Form das empfangende System Einreichungen akzeptiert. +- **Fachschemareferenz (Submission Schema)**: Das referenzierte Fachschema aus FIM oder XÖV. Eine Liste der möglichen Fachschemata wird im Zustellpunkt angegeben. Das für eine konkrete Einreichung verwendete Fachschema ist im Metadatensatz hinterlegt. +- **Ereignis (Event)**: Ein aufgezeichnetes Ereignis zu einer Einreichung oder einem Einreichungsvorgang. Dies kann z.B. das Absenden einer Einreichung sein. +- **Ereignisprotokoll (Event Log)**: Der Zustelldienst bündelt alle einer Einreichung oder einem Einreichungsvorgang zugeordneten Ereignisse in einem Ereignisprotokoll. + +## Systembeschreibung +Die FIT-Connect-Schnittstellen (im Folgenden: APIs) sind als ein universelles Eingangstor für digitale Einreichungen von Dokumenten an die Verwaltung ausgelegt. + +Empfangende Systeme (bspw. Fachverfahren) können einen digitalen Zugang (Zustellpunkt) eröffnen und hierüber beliebige Einreichungen (Anträge, Berichtsmeldungen, etc.) erhalten. +Was empfangen wird, kann über eindeutige Fachschemareferenzen auf Fachstandards festgelegt werden. + +Sendende Systeme (bspw. Antragsdienste) können Einreichungen über die Submission API an alle existierenden Zustellpunkte senden. +Um die richtigen Zustellpunkte für den jeweiligen Leistungskontext und die jeweilige Zuständigkeit zu finden, wird sendenden Systemen eine Routing API bereitgestellt. +Mit der Routing API können sendende Systeme auf Basis des Leistungs- und Ortsbezugs der Einreichung den fachlich zuständigen Zustellpunkt ermitteln und alle technischen Verbindungsparameter ermitteln. + +Die Vertraulichkeit der Übermittlung ist jederzeit gewährleistet, da eine Ende-zu-Ende Verschlüsselung standardmäßig für alle übermittelten Daten vorgesehen ist und bis in den Browser oder das Endgerät der Antragssteller:in oder Berichtsersteller:in möglich ist. + +Die Nutzung der APIs ist unter https://docs.fitko.de/fit-connect/ ausführlich beschrieben und dokumentiert. + +## Beschreibung der Umgebung +Bei der Testumgebung handelt es sich um eine öffentlich nutzbare Testumgebung zur Evaluierung und Erprobung einer technischen Anbindung an die FIT-Connect Antragsdatenübermittlungsinfrastruktur. + +## Zugang zu FIT-Connect +Die FITKO stellt die FIT-Connect Testinfrastruktur entgeltfrei für die o.g. Zwecke zur Verfügung. +Ein Anspruch auf Zugang zur Testinfrastruktur besteht nicht. + +## Verfügbarkeit +Für die Testumgebung besteht keine Garantie für die Verfügbarkeit der Infrastruktur und der Integrität der übermittelten Daten. +Die FITKO behält sich vor, den Betrieb der Testinfrastruktur jederzeit und ohne Vorankündigung temporär oder dauerhaft einzustellen, vorgenommene Konfigurationen zurückzusetzen und/oder übermittelte Daten zu löschen. + +## Feedback +Wir freuen uns immer sehr über Feedback zur Dokumentation, zur API selbst, zu technischen oder fachlichen Abläufen bei der Nutzung und über eure Erfahrungsberichte! +Anregungen und Ideen zur Dokumentation und Submission API können über die [im Dokumentationsportal genannten Kommunikationskanäle](https://docs.fitko.de/fit-connect/contact) an uns zurückgespielt werden. + +Wenn Du uns Feedback oder Vorschläge zu den APIs oder der Dokumentation übermittelst, werden wir diese möglicherweise verwenden, weshalb Du uns eine unbegrenzte, unwiderrufliche, unbefristete, unterlizenzierbare, übertragbare und gebührenfreie Lizenz gewährst, dieses Feedback oder diese Vorschläge für jegliche Zwecke zu verwenden, ohne dass Pflichten Dir gegenüber oder Entschädigungsansprüche Deinerseits entstehen. +Falls wir uns dafür entscheiden, einen Deiner Vorschläge nicht umzusetzen, nimm uns das bitte nicht persönlich. +Wir wissen Dein Feedback sehr zu schätzen. + +## Support +Für die Nutzung der FIT-Connect Testinfrastruktur wird von Seiten der FITKO kein Support angeboten. + +Es besteht kein Anspruch auf eine Bearbeitung von schriftlichen Anfragen. +Probleme oder Anmerkungen können gerne über die [im Dokumentationsportal genannten Kanäle](https://docs.fitko.de/fit-connect/contact) eingereicht werden. + +## Nutzung der FIT-Connect-Schnittstellen +Für die Nutzung der APIs gelten folgende Regeln: +- (1) Zugriffe dürfen nicht in einer Art und Weise erfolgen, bei der unsere technischen Prozesse oder Sicherheitsmaßnahmen im Zusammenhang mit den Services so beeinträchtigt, unterbrochen oder umgangen werden, dass es dabei für andere Nutzer:innen zu Nachteilen oder Einschränkungen kommt. +- (2) Du darfst unsere APIs nicht in einer Weise nutzen, welche die zulässigen Grenzwerte überschreitet oder eine übermäßige oder missbräuchliche Nutzung darstellt. Das impliziert Last- und Performancetests ohne expliziten Auftrag der FITKO. +- (3) Bei der Anbindung an die APIs sind die in der Dokumentation beschriebenen Vorgaben einzuhalten. Bei Unklarheiten zur Interpretation der Dokumentation können die [im Dokumentationsportal genannten Kommunikationskanäle](https://docs.fitko.de/fit-connect/contact) genutzt werden. +- (4) Jegliche im Zusammenhang mit FIT-Connect bestehende Zugangsdaten (z.B. OAuth Credentials oder Login-Daten für das Self-Service-Portal) dürfen nicht an Dritte weitergegeben werden. +- (5) Da es sich um eine Testinfrastruktur handelt, kann es im Rahmen der Entwicklung oder Fehlerbehebung nicht ausgeschlossen werden, dass Einsicht in Einreichungen oder Transportdaten genommen wird. Im Vergleich zur Produktivinfrastruktur besteht in der Testinfrastruktur aus diesem Grund ein absolutes Verbot zur Übermittlung von personenbezogenen Daten. + +Die FITKO behält sich bei missbräuchlicher Nutzung der APIs und den darüber abgerufenen Daten vor, den Zugriff auf die APIs temporär oder dauerhaft zu sperren. +Eine missbräuchliche Nutzung liegt insbesondere bei einem Verstoß gegen diese Nutzungsbedingungen vor. + +Die FITKO behält sich das Recht vor, die Zahl der Zugriffe auf die APIs zu begrenzen (Rate-Limiting) oder einzelne Nutzer:innen temporär oder dauerhaft von der Nutzung der APIs auszuschließen, wenn dies für die Aufrechterhaltung des reibungslosen Betriebs der APIs notwendig erscheint oder um die gleiche Leistung der APIs für alle Nutzer:innen zu gewährleisten. + +## Umgang mit Änderungen der angebotenen Schnittstellen +Die FITKO wird die FIT-Connect-Schnittstellen kontinuierlich weiterentwickeln und aktualisieren, um Funktionen zu verbessern, an aktuelle Bedarfe anzupassen, zu ergänzen oder zu entfernen. +Nutzer:innen der APIs sind dafür verantwortlich, angebundene Anwendungen (API-Clients) bei Bedarf zu pflegen und zu aktualisieren. + +In der Testumgebung wird keine Garantie für die Verfügbarkeit bestimmter Versionen der Schnittstellen gewährt. + +## Umgang mit Schwachstellen +Bei FIT-Connect legen wir sehr viel Wert auf die Sicherheit unserer Systeme. +Zusammen mit unseren Partnern widmen wir der Entwicklung und der Wartung große Aufmerksamkeit. +Niemand ist perfekt und so kann es trotzdem vorkommen, dass eine Schwachstelle entdeckt wird. +Mit der Nutzung von FIT-Connect verpflichtest Du Dich, die FITKO über Dir bekannte Schwachstellen so schnell wie möglich zu informieren, damit wir zeitnah Maßnahmen zum Schutz von FIT-Connect und der Nutzer:innen einleiten können. +In den [Richtlinien zur verantwortungsvollen Offenlegung von Schwachstellen](./responsible-disclosure.mdx) wird im Detail beschrieben, wie Du uns Schwachstellen melden kannst und wie wir mit gemeldeten Schwachstellen umgehen. + +## Haftungsausschluss +Die FITKO übernimmt keine Haftung, wenn es im Rahmen der Anbindung oder Nutzung der Testinfrastruktur zu Problemen kommt. + +## Datenschutz +Über die Testinfrastruktur dürfen keine personenbezogenen oder personenbeziehbaren Daten übermittelt werden. + +## Datenspeicherung +(1) Die FITKO ist berechtigt, die von der Nutzer:in im Rahmen des Registrierungsprozesses zur Nutzung von FIT-Connect angegebenen personenbezogenen Daten sowie die Daten der Ansprechpartner:innen der Nutzer:in zu speichern, zu verarbeiten und zu nutzen, soweit dies nach den geltenden datenschutzrechtlichen Bestimmungen zulässig und für die Bereitstellung der Zugänge und/oder die Dokumentation der Zustimmung zu diesen Nutzungsbedingungen erforderlich ist. + +(2) Die Nutzer:in ist jederzeit berechtigt, über die sie betreffenden gespeicherten personenbezogenen Daten beim fachlichen Ansprechpartner der FITKO Auskunft zu erhalten. + +## Nutzer:innenerklärung +Mit der Nutzung des oben beschriebenen Systems erklärt jede Nutzer:in ihr Einverständnis zu den hier deklarierten Nutzungsbedingungen. +Änderungen der Nutzungsbedingungen behalten wir uns vor. +Nutzer:innen sind verpflichtet, sich regelmäßig über Aktualisierungen der Nutzungsbedingungen auf den bekannt gegebenen Seiten unter https://docs.fitko.de/ zu informieren. + +Nach 30 Tagen ohne Zustimmung zu den aktualisierten Nutzungsbedingungen werden das Konto und damit verknüpfte API-Clients und Zustellpunkte bis zur Zustimmung deaktiviert und können keine neuen Einreichungen stellen bzw. abrufen. + +## Schlussbestimmungen +(1) Sollten eine oder mehrere Bestimmungen dieser Nutzungsbedingungen nichtig oder unwirksam sein oder werden oder sollte sich eine Lücke in diesen Nutzungsbedingungen herausstellen, wird die Wirksamkeit der übrigen Bestimmungen dadurch nicht berührt. +Statt der unwirksamen oder nichtigen Bestimmung gilt eine Bestimmung, welche dem Zweck der ungültigen Bestimmung in rechtswirksamer Weise so nahe wie möglich kommt. +Entsprechendes gilt bei einer Regelungslücke. + +Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Frankfurt am Main.