Allgemeine Geschäftsbedingungen

1. Geltungsbereich

1. Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über die Nutzung der Software-as-a-Service-Plattform „ITSB OS" (nachfolgend „Plattform") zwischen der ITSB Deutschland UG (haftungsbeschränkt), Karlsplatz 3, 80335 München (nachfolgend „ITSB") und ihren Kunden.
2. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verträge mit Verbrauchern werden nicht geschlossen.
3. Abweichende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn ITSB ihnen nicht ausdrücklich widerspricht.
4. Individuelle Vereinbarungen, insbesondere Angebote für die Pakete Business, Managed CISO und die Beraterlizenz, gehen diesen AGB vor.

2. Vertragsgegenstand

1. ITSB stellt dem Kunden die Plattform für die Laufzeit des Vertrags über das Internet unter portal.itsb-os.app zur Nutzung bereit. Die Plattform unterstützt den Kunden beim Management von Informationssicherheit und Datenschutz, insbesondere durch Selbstchecks, Maßnahmenverfolgung, Datenschutz-Managementsystem (DSMS), Informationssicherheits-Managementsystem (ISMS), Notfallhandbuch, Awareness-Inhalte, Berichte sowie externe Schwachstellen-Scans.
2. Der konkrete Leistungsumfang ergibt sich aus dem gewählten Paket (Start, Business, Managed CISO, Beraterlizenz) gemäß der bei Vertragsschluss gültigen Leistungsbeschreibung auf itsb-os.app/pakete. Module, Benutzer, Domains und Mandanten sind je Paket begrenzt.
3. Die Plattform ist ein Werkzeug. Sie ersetzt keine Rechtsberatung, keine Bestellung eines Datenschutz- oder Informationssicherheitsbeauftragten und nimmt dem Kunden nicht die Verantwortung für die Einhaltung gesetzlicher Pflichten ab. Beratungs- und Betreuungsleistungen von ITSB sind nur geschuldet, soweit sie im gewählten Paket oder in einer gesonderten Vereinbarung ausdrücklich enthalten sind.
4. ITSB darf die Plattform weiterentwickeln, Funktionen ändern oder ersetzen, sofern der vertragliche Kernnutzen erhalten bleibt und die Änderung für den Kunden zumutbar ist.

3. Vertragsschluss und Bestellung

1. Die Darstellung der Pakete auf der Website ist kein bindendes Angebot, sondern eine Aufforderung zur Bestellung.
2. Das Paket Start wird über den Zahlungsdienstleister Digistore24 GmbH, St.-Godehard-Straße 32, 31139 Hildesheim, bestellt. Digistore24 tritt dabei als Wiederverkäufer und Vertragspartner des Kunden für den Kaufvorgang auf; für Zahlung, Rechnungsstellung und Widerruf gelten ergänzend die Bedingungen von Digistore24. Der Nutzungsvertrag über die Plattform nach diesen AGB kommt mit Abschluss der Bestellung zwischen dem Kunden und ITSB zustande.
3. Die Pakete Business, Managed CISO und die Beraterlizenz werden auf Anfrage angeboten. Der Vertrag kommt durch Annahme des Angebots von ITSB in Textform zustande.
4. Nach Vertragsschluss erhält der Kunde einen Aktivierungslink an die angegebene E-Mail-Adresse. Der Link ist 72 Stunden gültig. Mit der Aktivierung legt der Kunde das Administratorkonto seines Mandanten an.

4. Leistungsumfang und Verfügbarkeit

1. ITSB betreibt die Plattform in einem Rechenzentrum in Deutschland. Die Übergabestelle ist der Router-Ausgang des Rechenzentrums. Für die Internetverbindung des Kunden und dessen Endgeräte ist ITSB nicht verantwortlich.
2. ITSB gewährleistet eine Verfügbarkeit der Plattform von 99 % im Monatsmittel. Nicht als Ausfall gelten geplante Wartungsfenster, die ITSB mindestens 48 Stunden vorher im Portal oder per E-Mail ankündigt und nach Möglichkeit außerhalb der Geschäftszeiten (Montag bis Freitag, 8 bis 18 Uhr) durchführt, sowie Störungen, die ITSB nicht zu vertreten hat, insbesondere höhere Gewalt, Angriffe Dritter trotz angemessener Schutzmaßnahmen oder Ausfälle von Vorleistern außerhalb des Einflussbereichs von ITSB.
3. ITSB sichert die Daten des Kunden täglich. Sicherungen werden mindestens 30 Tage vorgehalten. Die Wiederherstellung einzelner vom Kunden gelöschter Daten ist eine gesondert zu vergütende Leistung, soweit der Verlust nicht von ITSB zu vertreten ist.
4. Der Zugang zur Plattform ist durch Benutzername, Passwort und Zwei-Faktor-Authentisierung geschützt. ITSB darf weitere Sicherheitsmaßnahmen einführen, wenn dies dem Schutz der Plattform dient.
5. Für die Plattform nutzt ITSB Vorleister, insbesondere für Schwachstellen-Scans und den E-Mail-Versand. Die Vorleister sind in der Datenschutzerklärung und der Anlage Auftragsverarbeitung benannt. Der Kunde benötigt keine eigenen Verträge mit diesen Vorleistern.

5. Schwachstellen-Scans

1. Die Plattform führt externe Schwachstellen-Scans auf den vom Kunden angelegten Domains und den dahinter erreichbaren Systemen durch. Scans werden ausschließlich nach Freigabe des Kunden gestartet.
2. Voraussetzung für die Freigabe ist, dass der Kunde (a) für jede Domain den Besitz nachweist, in der Regel durch einen von der Plattform vorgegebenen DNS-Eintrag, und (b) eine schriftliche Erlaubnis zur Prüfung („Permission to Attack") für die zu scannenden Systeme erteilt. Der Kunde sichert zu, dass er Inhaber der Systeme ist oder über eine ausdrückliche Erlaubnis des Inhabers verfügt, und stellt ITSB von Ansprüchen Dritter frei, die aus einer Verletzung dieser Zusicherung entstehen.
3. Im Rahmen der Beraterlizenz kann der Partner den Besitznachweis durch die Bestätigung ersetzen, dass ihm die schriftliche Erlaubnis des Inhabers vorliegt; die Erlaubnis ist in der Plattform zu hinterlegen. Der Partner haftet gegenüber ITSB für die Richtigkeit dieser Bestätigung.
4. Schwachstellen-Scans sind automatisierte Prüfungen von außen. Sie erkennen nicht jede Schwachstelle und ersetzen keinen manuellen Penetrationstest. Scan-Ergebnisse sind Hinweise, deren Bewertung und Behebung dem Kunden obliegt. ITSB übernimmt keine Gewähr dafür, dass ein System nach einem Scan ohne Befund frei von Schwachstellen ist.
5. Scans können auf den geprüften Systemen Last erzeugen. Der Kunde ist verantwortlich, produktive Systeme entsprechend vorzubereiten und Scan-Zeitpunkte mit seinem Betrieb abzustimmen.
6. Die Anzahl der Scanziele ist je Paket begrenzt. ITSB darf Scans aussetzen, wenn der begründete Verdacht besteht, dass Freigabe oder Besitznachweis unzutreffend sind.

6. Pflichten des Kunden

1. Der Kunde benennt einen Administrator seines Mandanten, verwaltet Benutzerkonten und Bereichsfreigaben eigenverantwortlich und stellt sicher, dass Zugangsdaten nicht an Unbefugte gelangen. Zugangsdaten sind persönlich und dürfen nicht geteilt werden.
2. Der Kunde ist für die Inhalte verantwortlich, die er in der Plattform speichert, insbesondere für die Richtigkeit von Angaben im Verzeichnis der Verarbeitungstätigkeiten, in Richtlinien, Maßnahmen und Notfallplänen.
3. Der Kunde darf die Plattform nicht missbräuchlich nutzen, insbesondere keine rechtswidrigen Inhalte speichern, keine Schadsoftware einbringen, keine Sicherheitsmechanismen umgehen und keine Scans auf Systeme Dritter ohne deren Erlaubnis veranlassen.
4. Der Kunde hält seine Kontaktdaten aktuell, insbesondere die E-Mail-Adresse des Administrators, da ITSB rechtserhebliche Erklärungen an diese Adresse richtet.
5. Der Kunde informiert ITSB unverzüglich über Störungen, Sicherheitsvorfälle im Zusammenhang mit der Plattform und den Verdacht des Missbrauchs seiner Zugangsdaten.
6. Der Kunde exportiert die für ihn wesentlichen Daten regelmäßig selbst, insbesondere vor Vertragsende. Die Plattform stellt hierfür Exportfunktionen (unter anderem PDF) bereit.

7. Nutzungsrechte

1. ITSB räumt dem Kunden für die Vertragslaufzeit das nicht ausschließliche, nicht übertragbare Recht ein, die Plattform im vertraglich vereinbarten Umfang für eigene Geschäftszwecke zu nutzen. Eine Nutzung für Dritte ist nur im Rahmen der Beraterlizenz (Abschnitt 8) gestattet.
2. Der Kunde darf die Plattform nicht vervielfältigen, dekompilieren, bearbeiten oder Dritten zugänglich machen, soweit dies nicht gesetzlich zwingend erlaubt ist.
3. Von ITSB bereitgestellte Vorlagen, Checklisten, Awareness-Inhalte und Berichte darf der Kunde für eigene Zwecke nutzen und innerhalb seines Unternehmens weitergeben. Eine Weitergabe an Dritte oder eine kommerzielle Verwertung außerhalb der Beraterlizenz ist nicht gestattet.
4. An den vom Kunden eingebrachten Inhalten erwirbt ITSB keine Rechte, ausgenommen das Recht, sie zur Vertragserfüllung zu verarbeiten und zu sichern.

8. Beraterlizenz und Partner

1. Die Beraterlizenz berechtigt IT-Dienstleister, externe Datenschutz- und Informationssicherheitsbeauftragte und vergleichbare Berater („Partner"), innerhalb der Plattform bis zur vereinbarten Anzahl eigene Untermandanten für ihre Kunden anzulegen und diese zu betreuen.
2. Vertragspartner von ITSB ist ausschließlich der Partner. Der Partner verpflichtet seine Kunden zur Einhaltung dieser AGB, soweit sie die Nutzung der Plattform betreffen, und ist ITSB gegenüber für Handlungen seiner Kunden innerhalb der Untermandanten verantwortlich. Die Daten der Untermandanten sind technisch voneinander getrennt; der Partner erhält nur Zugriff auf Untermandanten, die er selbst angelegt hat oder zu denen er eingeladen wurde.
3. In der Beraterlizenz sind 25 Schwachstellen-Scans je Kalendermonat über Partner- und Untermandanten hinweg enthalten. Jeder weitere Scan wird mit 5,50 € netto berechnet. Die Abrechnung erfolgt monatlich nachträglich auf Basis der in der Plattform protokollierten Scans; der Partner kann die Zählung jederzeit im Partnerbereich einsehen.
4. Der Partner darf für seine Kunden Einrichtungs- und Schulungsleistungen im eigenen Namen und auf eigene Rechnung erbringen. Sonderkonditionen für Partner ergeben sich aus der jeweiligen Partnervereinbarung und dem Partnerportal von ITSB.
5. Endet die Beraterlizenz, enden auch die Zugänge der Untermandanten, es sei denn, der jeweilige Kunde schließt einen eigenen Vertrag mit ITSB. ITSB weist die Untermandanten auf diese Möglichkeit hin; Abschnitt 12 Absatz 3 gilt entsprechend.

9. Einrichtung, Schulung, Support

1. In jedem Paket enthalten sind der Einrichtungsassistent, die Selbstchecks, Kurzanleitungen und ein E-Mail-Support für Fragen zur Bedienung der Plattform und für Störungen an Werktagen (Montag bis Freitag, außer bundeseinheitliche Feiertage) mit einer Reaktionszeit von zwei Werktagen. Support in weitergehendem Umfang, insbesondere Beratung zu Datenschutz- und Informationssicherheitsfragen, ist nicht geschuldet.
2. Einrichtungspakete (Basis, Plus), Support Plus und Fachberatung nach Stundenkontingent sind optionale Leistungen, die gesondert beauftragt und vergütet werden. Inhalt, Preise und Reaktionszeiten ergeben sich aus der Leistungsbeschreibung auf itsb-os.app/pakete. Bei Managed CISO und der Beraterlizenz sind die dort genannten Leistungen enthalten.
3. Termine werden remote durchgeführt. Vom Kunden weniger als zwei Werktage vor dem Termin abgesagte oder nicht wahrgenommene Termine dürfen berechnet werden, wenn ITSB die Zeit nicht anderweitig nutzen kann.
4. Stundenkontingente sind zwölf Monate ab Kauf gültig; nicht genutzte Stunden verfallen danach ohne Erstattung. Die Abrechnung erfolgt in Einheiten von 15 Minuten.

10. Preise und Zahlung

1. Es gelten die bei Vertragsschluss auf itsb-os.app/pakete genannten Preise. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
2. Die Paketvergütung wird monatlich im Voraus fällig, nutzungsabhängige Vergütungen (zusätzliche Scans, Stundenkontingente) monatlich nachträglich. Beim Paket Start erfolgen Zahlung und Rechnungsstellung über Digistore24.
3. Bei Zahlungsverzug ist ITSB berechtigt, den Zugang nach Mahnung mit angemessener Frist zu sperren (Abschnitt 12). Die Vergütungspflicht bleibt während der Sperrung bestehen.
4. ITSB darf die Preise mit einer Ankündigungsfrist von sechs Wochen zum Beginn eines Abrechnungsmonats anpassen. Der Kunde kann in diesem Fall bis zum Wirksamwerden der Änderung kündigen; auf dieses Recht weist ITSB in der Ankündigung hin.
5. Der Kunde darf nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen.

11. Laufzeit und Kündigung

1. Der Vertrag läuft auf unbestimmte Zeit und kann von beiden Seiten mit einer Frist von 14 Tagen zum Ende eines Abrechnungsmonats gekündigt werden, soweit nicht im Angebot eine Mindestlaufzeit vereinbart ist. Bei jährlicher Zahlung beträgt die Kündigungsfrist ein Monat zum Ende des Vertragsjahres.
2. Die Kündigung bedarf der Textform (E-Mail genügt). Beim Paket Start kann die Kündigung auch über die von Digistore24 bereitgestellte Funktion erklärt werden.
3. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für ITSB liegt insbesondere vor, wenn der Kunde trotz Abmahnung gegen Abschnitt 5 Absatz 2 oder Abschnitt 6 Absatz 3 verstößt oder mit zwei Monatsvergütungen in Verzug ist.
4. Ein Paketwechsel ist zum Beginn eines Abrechnungsmonats möglich. Bei einem Wechsel in ein kleineres Paket sorgt der Kunde dafür, dass Benutzer, Domains und Mandanten die Grenzen des neuen Pakets einhalten.

12. Sperrung und Datenherausgabe

1. ITSB darf den Zugang des Kunden vorübergehend sperren, wenn dies zum Schutz der Plattform, anderer Kunden oder Dritter erforderlich ist, insbesondere bei Zahlungsverzug nach Mahnung, bei Missbrauch oder bei Kompromittierung von Zugangsdaten. ITSB informiert den Kunden vorab, wenn die Umstände dies zulassen, andernfalls unverzüglich danach.
2. Nach Vertragsende hält ITSB die Daten des Kunden 30 Tage in gesperrtem Zustand vor. In dieser Zeit kann der Kunde die Reaktivierung oder einen Export verlangen. Danach löscht ITSB die Daten einschließlich der Sicherungen innerhalb der regulären Sicherungszyklen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
3. Auf Wunsch stellt ITSB dem Kunden vor der Löschung die Inhalte seines Mandanten in einem gängigen Format bereit. Über die Exportfunktionen der Plattform hinausgehende Aufbereitungen werden nach Aufwand vergütet.

13. Datenschutz und Vertraulichkeit

1. Soweit ITSB im Auftrag des Kunden personenbezogene Daten verarbeitet, schließen die Parteien einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. ITSB stellt hierfür eine Vorlage bereit, die Bestandteil dieses Vertrags wird. Der Kunde bleibt Verantwortlicher für die in seinem Mandanten verarbeiteten Daten.
2. Die Daten eines Mandanten sind logisch von denen anderer Mandanten getrennt. Mitarbeitende von ITSB greifen auf Inhalte eines Mandanten nur zu, wenn der Kunde dies zur Fehlerbehebung oder Unterstützung verlangt oder wenn eine gesetzliche Pflicht besteht; jeder Zugriff wird protokolliert.
3. Beide Parteien behandeln alle im Rahmen des Vertrags erlangten Informationen der anderen Partei, die als vertraulich gekennzeichnet oder erkennbar vertraulich sind, vertraulich und verwenden sie nur zur Vertragserfüllung. Dies gilt insbesondere für Scan-Ergebnisse, Risikoanalysen und Notfallpläne. Die Pflicht besteht drei Jahre über das Vertragsende hinaus fort.
4. Einzelheiten zur Verarbeitung personenbezogener Daten durch ITSB ergeben sich aus der Datenschutzerklärung unter itsb-os.app/datenschutz.

14. Gewährleistung

1. ITSB stellt die Plattform in dem Zustand bereit, der der Leistungsbeschreibung entspricht. Mängel behebt ITSB innerhalb angemessener Frist. Der Kunde unterstützt bei der Fehleranalyse und meldet Mängel mit nachvollziehbarer Beschreibung, nach Möglichkeit unter Angabe der auf der Fehlerseite gezeigten Kennung.
2. Unerhebliche Minderungen der Tauglichkeit begründen keine Gewährleistungsansprüche. Die verschuldensunabhängige Haftung für anfängliche Mängel nach § 536a Absatz 1 BGB ist ausgeschlossen.
3. Für kostenlos bereitgestellte Inhalte wie Vorlagen und Awareness-Materialien übernimmt ITSB keine Gewähr für Vollständigkeit oder Eignung für den konkreten Anwendungsfall des Kunden.

15. Haftung

1. ITSB haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und im Umfang einer übernommenen Garantie.
2. Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf, ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens jedoch auf die vom Kunden in den zwölf Monaten vor dem schädigenden Ereignis gezahlte Vergütung.
3. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Dies gilt insbesondere für Schäden, die daraus entstehen, dass ein Schwachstellen-Scan eine Schwachstelle nicht erkannt hat, dass der Kunde Hinweise der Plattform nicht umgesetzt hat oder dass Angaben des Kunden in der Plattform unrichtig waren.
4. Für Datenverlust haftet ITSB nur bis zu dem Betrag, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden zur Wiederherstellung erforderlich gewesen wäre.
5. Die vorstehenden Beschränkungen gelten auch für die persönliche Haftung von Organen, Mitarbeitenden und Erfüllungsgehilfen von ITSB.

16. Änderungen dieser AGB

1. ITSB darf diese AGB ändern, soweit dies aus sachlichen Gründen erforderlich ist, insbesondere wegen geänderter Rechtslage, Rechtsprechung, technischer Weiterentwicklung oder Änderung des Leistungsangebots, und die Änderung den Kunden nicht unangemessen benachteiligt.
2. Änderungen werden dem Kunden mindestens sechs Wochen vor Wirksamwerden in Textform mitgeteilt. Widerspricht der Kunde nicht bis zum Wirksamwerden, gelten die Änderungen als angenommen. Auf die Bedeutung des Schweigens weist ITSB in der Mitteilung hin. Widerspricht der Kunde, kann ITSB den Vertrag zum Wirksamwerden der Änderung kündigen.

17. Schlussbestimmungen

1. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
2. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist München, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
3. Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.
4. Vertragssprache ist Deutsch. Eine englische Fassung dient nur der Information; im Zweifel gilt die deutsche Fassung.

ITSB Deutschland UG (haftungsbeschränkt) · Karlsplatz 3 · 80335 München · info@itsb-deutschland.de · Amtsgericht München, HRB 3037777 · USt-IdNr. DE459521949