Allgemeine Geschäftsbedingungen

Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") gelten für alle Geschäftsbeziehungen der SECHOTEC eG, Cunostraße 60, 14193 Berlin, eingetragen im Genossenschaftsregister beim Amtsgericht Charlottenburg unter GnR 1000 B (nachfolgend „Anbieter") mit Unternehmen, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen (nachfolgend „Auftraggeber").

Verbraucher im Sinne des § 13 BGB sind ausdrücklich von den Leistungen ausgenommen. Diese AGB gelten ausschließlich gegenüber Unternehmern im Sinne des § 14 BGB.

Es gelten ausschließlich die AGB des Anbieters. Abweichende, entgegenstehende oder ergänzende Bedingungen des Auftraggebers werden nur dann und insoweit Vertragsbestandteil, als der Anbieter ihrer Geltung ausdrücklich schriftlich zugestimmt hat.

Diese AGB gelten in ihrer jeweils zum Zeitpunkt der Bestellung gültigen Fassung als Rahmenvereinbarung auch für gleichartige künftige Verträge, ohne dass darauf in jedem Einzelfall hingewiesen werden muss.

Angebote des Anbieters sind freibleibend und unverbindlich, sofern sie nicht ausdrücklich als verbindlich gekennzeichnet sind.

Der Vertrag kommt durch Annahme eines Angebots durch den Auftraggeber in Textform (z. B. per E-Mail) oder durch Auftragsbestätigung des Anbieters zustande.

Online-Anfragen über das Kontaktformular der Website stellen kein verbindliches Angebot zum Vertragsschluss dar, sondern eine Anfrage zur Erstellung eines konkreten Angebots.

Gegenstand der Leistung ist die Beratung, der Aufbau und/oder der laufende Betrieb eines Vulnerability-Management-Prozesses sowie ergänzende Sicherheitsdienstleistungen. Der genaue Leistungsumfang ergibt sich aus dem jeweiligen Einzelangebot.

Standardisierte Leistungspakete des Anbieters sind insbesondere:

Der Anbieter schuldet die fachgerechte und sorgfältige Erbringung der vereinbarten Leistung. Ein bestimmter wirtschaftlicher Erfolg, das Erreichen einer bestimmten Sicherheitsstufe oder das Bestehen behördlicher Prüfungen wird nicht geschuldet, sofern nicht ausdrücklich schriftlich zugesichert.

Der Anbieter ist berechtigt, den Leistungsumfang in nicht wesentlichem Umfang anzupassen, wenn dies aus technischen, regulatorischen oder organisatorischen Gründen erforderlich ist und die Anpassung für den Auftraggeber zumutbar ist.

Der Auftraggeber ist verpflichtet, den Anbieter im erforderlichen Umfang bei der Leistungserbringung zu unterstützen. Dies umfasst insbesondere:

Werden Mitwirkungspflichten nicht oder nicht rechtzeitig erfüllt, verschieben sich vereinbarte Termine angemessen. Daraus entstehender Mehraufwand kann nach Maßgabe der vereinbarten Tagessätze separat in Rechnung gestellt werden.

Alle Preise verstehen sich in Euro zuzüglich der jeweils gültigen gesetzlichen Umsatzsteuer.

Festpreise (z. B. Quick-Check, Aufbau-Pakete, NIS2 Readiness, Pen Test) werden nach Vertragsschluss bzw. nach Erreichen vereinbarter Meilensteine in Rechnung gestellt. Bei Vertragslaufzeiten über drei Monate ist eine Zwischenabrechnung in vereinbarten Tranchen üblich.

Managed-Service-Leistungen werden monatlich im Voraus abgerechnet.

Sämtliche Rechnungen sind innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug zur Zahlung fällig. Maßgeblich ist der Eingang der Zahlung beim Anbieter.

Reisekosten: Reiseaufwand innerhalb eines Radius von 300 km ab Berlin ist in den vereinbarten Tages- bzw. Festpreisen enthalten. Erforderliche Einsätze außerhalb dieses Radius werden gesondert nach tatsächlichem Aufwand abgerechnet (Fahrt-, Übernachtungs- und Verpflegungskosten nach den Sätzen des Bundesreisekostengesetzes), wobei der Auftraggeber vorher informiert wird.

Gerät der Auftraggeber in Zahlungsverzug, ist der Anbieter berechtigt, Verzugszinsen in gesetzlicher Höhe (§ 288 Abs. 2 BGB) sowie eine Verzugspauschale gemäß § 288 Abs. 5 BGB zu verlangen.

Aufrechnungs- oder Zurückbehaltungsrechte stehen dem Auftraggeber nur insoweit zu, als seine Gegenforderungen rechtskräftig festgestellt, unbestritten oder vom Anbieter anerkannt sind.

Einzelaufträge mit Festpreis (z. B. Quick-Check, Aufbau-Pakete, NIS2 Readiness, Pen Test) enden automatisch mit der vereinbarten Leistungserbringung und Abnahme.

Verträge über laufende Leistungen (Managed Service / Betrieb) werden auf unbestimmte Zeit ohne Mindestlaufzeit geschlossen. Sie können von beiden Vertragsparteien mit einer Frist von drei Monaten zum Monatsende in Textform gekündigt werden.

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere dann vor, wenn der Auftraggeber mit fälligen Zahlungen für mehr als 30 Tage in Verzug ist oder wenn der Auftraggeber wesentliche Mitwirkungspflichten trotz schriftlicher Mahnung nicht erfüllt.

Bei Beendigung eines Managed-Service-Vertrags überträgt der Anbieter die zur Fortführung des VM-Prozesses erforderlichen Dokumente, Konfigurationen und Reports in einem angemessenen Zeitraum nach Vertragsende. Hierfür kann ein gesonderter Aufwand vereinbart werden.

Die Vertragsparteien verpflichten sich, alle ihnen im Rahmen der Geschäftsbeziehung bekannt gewordenen vertraulichen Informationen der jeweils anderen Partei zeitlich unbefristet vertraulich zu behandeln und nur für die Zwecke der Vertragserfüllung zu verwenden.

Vertrauliche Informationen sind insbesondere technische Konfigurationen, Schwachstellen-Befunde, Geschäftsstrategien, Finanzdaten, personenbezogene Daten sowie sämtliche als vertraulich gekennzeichnete oder ihrer Natur nach erkennbar vertrauliche Informationen.

Die Vertraulichkeitsverpflichtung gilt nicht für Informationen, die nachweislich allgemein bekannt sind, ohne dass dies auf einer Vertragsverletzung beruht, oder die einer Partei rechtmäßig von Dritten ohne Vertraulichkeitsverpflichtung mitgeteilt wurden.

Der Anbieter verpflichtet sich, alle bei der Leistungserbringung gewonnenen Erkenntnisse zur Sicherheitsstruktur des Auftraggebers nicht ohne dessen ausdrückliche Zustimmung an Dritte weiterzugeben. Eine Nutzung in anonymisierter Form für Marketingzwecke (z. B. Referenznennung) erfordert die vorherige schriftliche Freigabe des Auftraggebers.

Beide Parteien beachten die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

Soweit der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet (Art. 28 DSGVO), schließen die Parteien gesondert einen Vertrag zur Auftragsverarbeitung (AVV) ab. Der Anbieter stellt auf Anfrage einen entsprechenden Vertragsentwurf bereit.

Die Datenschutzerklärung des Anbieters für die Website schwachstellen-service.de ist unter datenschutz.html abrufbar.

Der Anbieter ist berechtigt, zur Erfüllung seiner Leistungen qualifizierte Subunternehmer oder freie Mitarbeiter einzusetzen.

Der Anbieter haftet für die Leistungen seiner Subunternehmer wie für eigenes Handeln. Subunternehmer werden auf die einschlägigen Vertraulichkeits- und Datenschutzpflichten verpflichtet.

Werden Subunternehmer mit Zugriff auf personenbezogene Daten des Auftraggebers eingesetzt, gilt für deren Einsatz die im AVV festgelegte Regelung zur Hinzuziehung weiterer Auftragsverarbeiter.

Für die Durchführung von Penetrationstests gelten ergänzend zu diesen AGB die folgenden Sonderregelungen:

Der Auftraggeber bestätigt vor Testbeginn schriftlich, dass er verfügungsberechtigt über die zu testenden Systeme ist und alle erforderlichen Zustimmungen Dritter (insbesondere von Cloud-Providern, Hosting-Partnern und Inhabern verknüpfter Systeme) eingeholt hat. Eine entsprechende Test-Autorisierung („Letter of Authorization") ist Voraussetzung der Leistungserbringung.

Der Auftraggeber stellt den Anbieter im Innenverhältnis von sämtlichen Ansprüchen Dritter frei, die aus einer fehlenden oder unzureichenden Berechtigung des Auftraggebers resultieren.

Penetrationstests können trotz sorgfältiger Planung in seltenen Fällen zu Beeinträchtigungen der Verfügbarkeit oder Funktionalität getesteter Systeme führen. Der Auftraggeber stellt vor Beginn sicher, dass produktive Daten gesichert und ein Wiederherstellungsverfahren etabliert ist. Der Anbieter haftet nicht für Schäden, die ausschließlich aus dieser Test-Natur resultieren, sofern er die Tests sorgfältig und nach üblicher Praxis durchgeführt hat.

Test-Scope, Test-Zeitfenster, ausdrücklich ausgeschlossene Systeme („Out-of-Scope") und Eskalationskontakte werden vor Testbeginn schriftlich vereinbart.

Soweit der Vertrag dienstvertragliche Elemente enthält (z. B. laufende Beratung, Managed Service), schuldet der Anbieter die fach- und sachgerechte Erbringung der Leistung. Ein bestimmter Erfolg wird nicht geschuldet.

Soweit der Vertrag werkvertragliche Elemente enthält (z. B. die Erstellung von Konzepten, Dokumenten oder Konfigurationen), beträgt die Gewährleistungsfrist zwölf Monate ab Abnahme. Wesentliche Mängel sind unverzüglich nach Entdeckung in Textform zu rügen.

Bei werkvertraglich geschuldeten Leistungen ist der Anbieter im Mängelfall zunächst zur Nacherfüllung berechtigt. Erst nach Fehlschlagen oder unzumutbarer Verweigerung der Nacherfüllung kann der Auftraggeber gesetzliche Sekundärrechte (Minderung, Rücktritt, Schadensersatz) geltend machen.

Der Anbieter haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Schäden aufgrund Vorsatzes oder grober Fahrlässigkeit sowie nach den zwingenden Vorschriften des Produkthaftungsgesetzes.

Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Vertragspflichten („Kardinalpflichten"). Kardinalpflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertraut und vertrauen darf. In diesem Fall ist die Haftung der Höhe nach auf den vertragstypischen, vorhersehbaren Schaden begrenzt.

Soweit eine Haftung des Anbieters bei einfacher Fahrlässigkeit besteht, ist die Haftung darüber hinaus auf die Deckungssumme der bestehenden Vermögensschaden-Haftpflichtversicherung des Anbieters begrenzt. Auf Anfrage stellt der Anbieter dem Auftraggeber einen aktuellen Versicherungsnachweis zur Verfügung.

Die Haftung für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Datenverlust und reine Vermögensschäden ist bei einfacher Fahrlässigkeit ausgeschlossen, soweit nicht Kardinalpflichten verletzt sind.

Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der Mitarbeiter, Vertreter und Erfüllungsgehilfen des Anbieters.

Eine verschuldensunabhängige Haftung des Anbieters für anfängliche Mängel nach § 536a Abs. 1 BGB ist ausgeschlossen.

Soweit eine Vertragspartei aufgrund höherer Gewalt an der Erbringung ihrer vertraglichen Pflichten gehindert ist, gilt dies nicht als Vertragsverletzung. Die Pflicht zur Leistung ist für die Dauer des Ereignisses ausgesetzt.

Höhere Gewalt umfasst insbesondere Naturkatastrophen, Krieg, Terrorismus, Pandemien, behördliche Anordnungen, großflächige Störungen kritischer Infrastrukturen, Stromausfälle und Cyberangriffe auf öffentliche Infrastrukturen, soweit deren Folgen mit zumutbarem Aufwand nicht überwunden werden können.

Dauert das Ereignis länger als 60 Tage an, kann jede Partei den Vertrag aus wichtigem Grund kündigen.

Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Berlin, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Textformklausel.

Sollte eine Bestimmung dieser AGB unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Der Anbieter behält sich vor, diese AGB anzupassen, soweit dies für die Anpassung an geänderte rechtliche Rahmenbedingungen, behördliche Vorgaben oder zur Behebung von Unklarheiten erforderlich ist. Bei laufenden Verträgen werden Änderungen dem Auftraggeber mit einer Frist von sechs Wochen vor Inkrafttreten in Textform mitgeteilt. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gelten die Änderungen als angenommen.