Allgemeine Geschäftsbedingungen

§ 1 Geltungsbereich

Diese Bedingungen gelten für alle Leistungen von Moez Bouzayani („Mr Cyber“) gegenüber Unternehmern im Sinne von § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Leistungen für Verbraucher werden nicht angeboten. Abweichende Bedingungen des Auftraggebers gelten nur, wenn Mr Cyber ihnen schriftlich zustimmt.

§ 2 Vertragsschluss und Leistungsumfang

Angebote sind freibleibend. Ausgenommen sind ScopeCheck-Festpreise: Sie gelten 30 Tage verbindlich für den maßgeblichen Umfang. Maßgeblich ist der im ScopeCheck angegebene Umfang oder, soweit dieser unklar war (Antwort „Weiß nicht“ oder Umfang nur nach Gespräch), der im kostenlosen Abstimmungsgespräch vereinbarte Umfang. Weicht der tatsächliche Umfang davon ab, erhalten Sie vor Beginn einen neuen Festpreis nach derselben Formel und können kostenfrei zurücktreten. Der Vertrag kommt mit der schriftlichen Beauftragung (Textform genügt) zustande. Umfang, Zeitraum, Testart und Ziele ergeben sich abschließend aus der Beauftragung („Scope“). Mr Cyber erbringt Dienstleistungen; ein bestimmter Erfolg, insbesondere das Auffinden aller Schwachstellen, ist nicht geschuldet.

§ 3 Freigabe und Mitwirkung des Auftraggebers

Jeder Test setzt eine schriftliche Freigabe des Auftraggebers voraus, die Scope, Zeitraum, Methoden und Ansprechpartner festlegt. Diese Freigabe ist branchenüblich und schützt beide Parteien. Der Auftraggeber versichert, über die zu testenden Systeme verfügungsberechtigt zu sein bzw. die Zustimmung berechtigter Dritter (z. B. Hosting- oder Cloud-Anbieter) eingeholt zu haben. Er stellt rechtzeitig Zugänge, Informationen und einen erreichbaren Notfallkontakt bereit und sorgt für aktuelle Datensicherungen der betroffenen Systeme.

§ 4 Durchführung

Tests erfolgen nach den vereinbarten Rules of Engagement. Kritische Befunde werden dem Auftraggeber unverzüglich mitgeteilt. Trotz sorgfältiger Durchführung lassen sich Beeinträchtigungen der getesteten Systeme nicht vollständig ausschließen; Mr Cyber verzichtet auf destruktive Maßnahmen, sofern sie nicht ausdrücklich freigegeben wurden.

§ 5 Bericht und Retest

Der Bericht wird in der Regel innerhalb von 5 Werktagen nach Testende übergeben. Ein Retest der im Bericht dokumentierten Befunde ist innerhalb von 60 Tagen nach Berichtsübergabe im Preis enthalten. Bei einmaligen Leistungen erhält der Auftraggeber mit vollständiger Zahlung ein einfaches, unbefristetes Nutzungsrecht am Bericht für eigene Zwecke, einschließlich der Weitergabe an Prüfer, Kunden und Behörden. Bei monatlichen Leistungen (§ 8) entsteht dieses Recht an jedem Bericht, sobald die Rechnung für den betreffenden Monat bezahlt ist.

§ 6 Vertraulichkeit und Daten

Beide Parteien behandeln vertrauliche Informationen vertraulich, auch über das Vertragsende hinaus. Projektdaten werden verschlüsselt gespeichert und 30 Tage nach Projektabschluss gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Soweit personenbezogene Daten im Auftrag verarbeitet werden, schließen die Parteien einen Vertrag nach Art. 28 DSGVO. Mr Cyber stellt mit dem schriftlichen Angebot eine Vertraulichkeitsvereinbarung (NDA), einen Vertrag zur Auftragsverarbeitung (AVV) und eine Testfreigabe zur Verfügung.

§ 7 Vergütung und Zahlung

Es gelten die im Angebot genannten Festpreise. Einmalige Leistungen werden nach Übergabe des Berichts abgerechnet; die Rechnung ist innerhalb von 14 Tagen ohne Abzug fällig. Anzahlungen werden nicht verlangt. Monatliche Leistungen (§ 8) werden monatlich im Voraus abgerechnet, bei Vorauszahlung für ein Jahr jährlich im Voraus; die Rechnung ist jeweils innerhalb von 14 Tagen fällig.

§ 8 Monatliche Leistungen: monatlicher KI-gestützter Pentest und kontinuierliches Pentesting

Der monatliche KI-gestützte Pentest und das kontinuierliche Pentesting laufen monatlich ohne Mindestlaufzeit. Sie können in Textform zum Ende jedes Kalendermonats gekündigt werden. Bei Vorauszahlung für ein Jahr gewährt Mr Cyber 10 % Rabatt; eine anteilige Erstattung bei vorzeitiger Kündigung erfolgt nicht.

Kontinuierliches Pentesting umfasst 1 manuellen Testtag pro Monat. Nicht genutzte Testtage können innerhalb des Kalenderquartals nachgeholt werden; sie verfallen zum Ende des Kalenderquartals und mit Vertragsende ohne Erstattung.

Beim KI-gestützten Pentest (einmalig und monatlich) bestätigt der Auftraggeber vor dem ersten Durchlauf in Textform, dass er berechtigt ist, Tests jedes Ziels freizugeben, und benennt die Ziele, die erlaubten Testzeiten und einen Notfallkontakt. Diese Freigabe gilt für alle Durchläufe, bis der Auftraggeber sie in Textform ändert oder widerruft; sie ist die Freigabe im Sinne von § 3. Produktivsysteme werden nur im Rahmen dieser Freigabe getestet. Mr Cyber bricht einen Durchlauf sofort ab, wenn er die Verfügbarkeit beeinträchtigt oder der Auftraggeber es verlangt, und teilt kritische Befunde unverzüglich mit.

§ 9 Terminverschiebung

Der Auftraggeber kann einen vereinbarten Testzeitraum bis 5 Werktage vor Beginn kostenfrei verschieben. Bei einer späteren Verschiebung oder wenn der Test wegen fehlender Mitwirkung nicht durchführbar ist, kann Mr Cyber den tatsächlich entstandenen Aufwand berechnen, höchstens jedoch die Vergütung für einen Testtag. Kann ein Termin aus Gründen auf Seiten von Mr Cyber nicht stattfinden, etwa wegen Krankheit, wird kostenfrei ein neuer Termin vereinbart.

§ 10 Haftung

Mr Cyber haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit sowie nach dem Produkthaftungsgesetz. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens auf die Vergütung des betroffenen Auftrags; bei monatlichen Leistungen auf die in den letzten zwölf Monaten gezahlte Vergütung. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.

§ 11 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit zulässig, Hamburg. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.