Allgemeine Geschäftsbedingungen

1. Geltungsbereich und Vertragsgrundlagen

(1) Diese Allgemeinen Geschäftsbedingungen gelten für Verträge zwischen Thomas Siegbert (nachfolgend „Dienstleister“) und Auftraggebern über Leistungen in den Bereichen IT-Security, technische Beratung und sicherheitsbezogene Wissensvermittlung.

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verträge mit Verbrauchern werden auf Grundlage dieser Allgemeinen Geschäftsbedingungen nicht geschlossen.

(3) Die Allgemeinen Geschäftsbedingungen werden Vertragsbestandteil, wenn der Dienstleister vor oder bei Vertragsschluss auf sie hinweist und der Auftraggeber ihrer Geltung zustimmt. Abweichende Geschäftsbedingungen des Auftraggebers gelten nur, wenn der Dienstleister ihnen ausdrücklich zugestimmt hat.

(4) Individuelle Vereinbarungen haben Vorrang. Ergänzend gelten das angenommene Angebot, die Leistungsbeschreibung und – bei Sicherheitstests – die vereinbarten Test- und Freigaberegeln. Änderungen und Ergänzungen sollen aus Nachweisgründen in Textform festgehalten werden; der Vorrang individueller Abreden bleibt unberührt.

2. Vertragsschluss, Leistungsumfang und Änderungen

(1) Angebote sind freibleibend, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind. Ein Vertrag kommt durch Annahme eines verbindlichen Angebots, durch Auftragsbestätigung des Dienstleisters oder durch eine andere eindeutige Annahmeerklärung zustande.

(2) Inhalt und Umfang der Leistung, Leistungszeitraum, Arbeitsergebnisse und Vergütung ergeben sich aus der jeweiligen Vereinbarung. Nicht ausdrücklich vereinbarte Leistungen sind nicht geschuldet.

(3) Die rechtliche Einordnung der Leistung richtet sich nach den vereinbarten Pflichten. Soweit eine fachgerechte Tätigkeit, aber kein bestimmter Erfolg geschuldet ist, gelten die Vorschriften über Dienstverträge. Ist ein abnahmefähiger Erfolg geschuldet, gelten hierfür die Vorschriften über Werkverträge, soweit die Parteien nichts Wirksames abweichend vereinbaren. Berichte, Dokumentationen oder Präsentationen, die eine Beratungs- oder Prüfleistung dokumentieren, begründen nicht allein deshalb eine darüber hinausgehende Erfolgspflicht.

(4) Der Dienstleister erbringt die vereinbarten Leistungen fachgerecht und mit der im Verkehr erforderlichen Sorgfalt auf Grundlage der zum Leistungszeitpunkt verfügbaren Informationen. Sicherheitsbewertungen bilden den vereinbarten Prüfzeitraum und Prüfungsumfang ab. Eine vollständige oder dauerhafte Fehler- und Angriffsfreiheit von Systemen wird nicht geschuldet.

(5) Änderungswünsche des Auftraggebers werden auf ihre Auswirkungen auf Aufwand, Vergütung und Termine geprüft. Der Dienstleister setzt sie erst um, wenn die Parteien die Änderung und ihre Folgen vereinbart haben.

(6) Der Dienstleister gestaltet die Durchführung seiner Leistungen eigenverantwortlich. Projektbezogene Abstimmungen sowie Sicherheits-, Zugangs- und Compliance-Vorgaben des Auftraggebers bleiben verbindlich, soweit sie rechtzeitig mitgeteilt wurden und die Leistungserbringung betreffen.

(7) Der Dienstleister darf qualifizierte Unterauftragnehmer einsetzen und bleibt für deren vertragsgemäße Leistung verantwortlich. Gesetzlich oder vertraglich erforderliche Zustimmungen bleiben vorbehalten. Unterauftragnehmer erhalten erst Zugriff auf personenbezogene Daten, wenn die Voraussetzungen des Art. 28 DSGVO erfüllt sind. Bei geheimschutz- oder vergleichbar sicherheitssensitiven Projekten richtet sich ihr Einsatz nach der vorherigen Projektvereinbarung.

3. Sicherheitstests und sicherheitssensitive Projekte

(1) Penetrationstests und vergleichbare Sicherheitsprüfungen werden nur innerhalb eines vorab festgelegten Scopes und auf Grundlage einer ausdrücklichen Freigabe des Auftraggebers in Textform („Permission to Test“) durchgeführt. Scope, Testzeitraum, zulässige Methoden, ausgeschlossene Systeme, Ansprechpersonen und Abbruchkriterien werden projektbezogen festgelegt.

(2) Red-Team-Maßnahmen setzen gesonderte Rules of Engagement in Textform voraus. Social Engineering, Phishing, physische Zutrittsversuche und personenbezogene Tests sind nur zulässig, wenn sie einzeln freigegeben wurden. Zielgruppen, ausgeschlossene Personen und Handlungen, Grenzen zulässiger Täuschung, Datenschutz, Kommunikation und Eskalation werden vorab festgelegt.

(3) Der Auftraggeber sichert zu, zu den beauftragten Tests berechtigt zu sein. Er beschafft rechtzeitig alle erforderlichen Zustimmungen für Systeme, Anwendungen, Cloud-Umgebungen und Infrastrukturen Dritter und stellt die notwendigen internen Freigaben sicher. Soweit kein verdecktes Testszenario vereinbart ist, informiert er die betroffenen internen Stellen. Der Dienstleister darf geeignete Nachweise verlangen.

(4) Der Auftraggeber hält vor Testbeginn aktuelle Datensicherungen und funktionsfähige Wiederherstellungsverfahren vor. Er benennt eine während der vereinbarten Testzeiten erreichbare Ansprechperson für Sicherheits- und Betriebsfragen.

(5) Sicherheitstests können trotz sorgfältiger Planung die Verfügbarkeit, Leistung oder Funktion der geprüften Systeme beeinträchtigen. Erkennt eine Partei eine erhebliche, nicht vorgesehene Gefahr für Systeme, Daten oder Geschäftsbetrieb, informiert sie die andere Partei unverzüglich. Der Dienstleister darf betroffene Maßnahmen bis zur gemeinsamen Klärung unterbrechen.

(6) Festgestellte Schwachstellen werden nach dem vereinbarten Verfahren dokumentiert und übermittelt. Der Auftraggeber entscheidet über Risikobehandlung und Umsetzung der Empfehlungen, soweit keine Umsetzungsleistung vereinbart ist. Ein späterer Retest oder eine fortlaufende Überwachung ist nur geschuldet, wenn dies ausdrücklich beauftragt wurde.

(7) Setzt ein Auftrag besondere Sicherheits- oder Geheimschutzanforderungen voraus, vereinbaren die Parteien die erforderlichen Nachweise, Freigaben, Zugriffsrechte und Schutzmaßnahmen projektbezogen. Diese Allgemeinen Geschäftsbedingungen begründen weder eine Zugangsberechtigung noch eine Befugnis zum Umgang mit Verschlusssachen.

4. Beratung und Trainings

(1) Bei Beratungs-, Review- und Unterstützungsleistungen verbleiben Priorisierung, Umsetzung, Freigabe und Betrieb der Systeme beim Auftraggeber, soweit keine weitergehende Leistung ausdrücklich vereinbart ist. Empfehlungen beruhen auf dem mitgeteilten Sachstand und ersetzen keine Prüfung außerhalb des vereinbarten Scopes.

(2) Bei Trainings und Workshops werden die vereinbarten Inhalte und Formate geschuldet, nicht jedoch ein bestimmter Lern-, Prüfungs- oder Umsetzungserfolg. Praktische Sicherheitsübungen finden nur in dafür freigegebenen oder isolierten Umgebungen statt.

(3) Aufzeichnungen von Workshops oder Trainings sowie die Vervielfältigung der dafür bereitgestellten Materialien sind nur im vereinbarten Umfang zulässig.

5. Mitwirkung des Auftraggebers

(1) Der Auftraggeber stellt rechtzeitig die Informationen, Unterlagen, Zugänge, Testdaten, technischen Voraussetzungen und fachkundigen Ansprechpersonen bereit, die für die Leistung erforderlich sind. Er weist auf besondere Betriebsrisiken, Schutzbedarfe und regulatorische Vorgaben hin.

(2) Der Auftraggeber prüft bereitgestellte Zwischenergebnisse und Rückfragen innerhalb angemessener Frist. Er teilt Änderungen an Systemen, Scope oder Rahmenbedingungen mit, soweit sie für die Leistung relevant sind.

(3) Verzögert sich die Leistung aufgrund einer fehlenden oder nicht ordnungsgemäßen Mitwirkung, verschieben sich betroffene Termine angemessen. Nach vorherigem Hinweis darf der Dienstleister hierdurch verursachten, nachgewiesenen Mehraufwand zu den vereinbarten Sätzen abrechnen.

6. Termine und Leistungshindernisse

(1) Termine und Fristen sind verbindlich, wenn sie ausdrücklich als verbindlich vereinbart wurden. Im Übrigen handelt es sich um Planungsangaben.

(2) Wird die Leistung durch ein Ereignis verhindert oder wesentlich erschwert, das die betroffene Partei nicht zu vertreten hat, informiert sie die andere Partei unverzüglich. Hierzu zählen insbesondere höhere Gewalt, behördliche Maßnahmen, erhebliche Ausfälle notwendiger Infrastruktur und nicht vorhersehbare sicherheitsrelevante Störungen. Termine und Fristen verlängern sich um die Dauer der Behinderung zuzüglich einer angemessenen Wiederanlaufzeit.

(3) Vereinbarte Termine für Workshops, Trainings oder Vor-Ort-Leistungen können nach den im Angebot festgelegten Bedingungen verschoben oder abgesagt werden. Fehlt eine solche Regelung, gelten die gesetzlichen Vorschriften. Bereits freigegebene und nicht mehr stornierbare Reise- oder Fremdkosten trägt der Auftraggeber, wenn er die Absage zu vertreten hat; ersparte Aufwendungen werden angerechnet.

7. Vergütung und Zahlungsbedingungen

(1) Vergütung, Abrechnungsmodell und gegebenenfalls vereinbarte Abschlagszahlungen ergeben sich aus dem Angebot. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer, soweit diese anfällt.

(2) Leistungen außerhalb des vereinbarten Umfangs werden nur nach entsprechender Beauftragung vergütet. Fehlt für eine beauftragte Zusatzleistung eine Preisvereinbarung, gilt die übliche Vergütung.

(3) Reise-, Übernachtungs- und sonstige Nebenkosten werden nur berechnet, wenn dies vereinbart oder vom Auftraggeber vorab freigegeben wurde.

(4) Rechnungen für Dienstleistungen sind innerhalb von 14 Kalendertagen nach Zugang ohne Abzug fällig, sofern die Rechnung oder die individuelle Vereinbarung kein anderes Zahlungsziel vorsieht. Bei Werkleistungen richtet sich die Fälligkeit nach dem vereinbarten Zahlungsplan oder, wenn ein solcher fehlt, nach Abnahme und Rechnungszugang. Für Zahlungsverzug gelten die gesetzlichen Vorschriften.

8. Arbeitsergebnisse und Nutzungsrechte

(1) Rechte des Auftraggebers an seinen Daten, Unterlagen, Systemen und sonstigen bereitgestellten Inhalten bleiben unberührt. Dasselbe gilt für sachliche Informationen und Erkenntnisse über die Systeme des Auftraggebers.

(2) An individuell erstellten Berichten, Dokumentationen, Konzepten, Präsentationen, Schulungsunterlagen und vergleichbaren Arbeitsergebnissen erhält der Auftraggeber nach vollständiger Zahlung ein zeitlich und räumlich unbeschränktes, einfaches Nutzungsrecht für den vertraglich vorausgesetzten Zweck. Dieses umfasst die hierfür erforderliche interne Vervielfältigung, Bearbeitung und Einbindung in Prüfungs- und Abstellprozesse. Eine weitergehende Nutzung kann im Angebot vereinbart werden.

(3) Der Auftraggeber darf Arbeitsergebnisse im erforderlichen Umfang verbundenen Unternehmen sowie eingebundenen Beschäftigten, Beratern, Rechtsanwälten, Wirtschaftsprüfern, Versicherern, Dienstleistern und Behörden zugänglich machen, wenn diese sie für den Vertragszweck benötigen und angemessen zur Vertraulichkeit verpflichtet oder gesetzlich zur Verschwiegenheit verpflichtet sind. Eine Veröffentlichung oder werbliche Nutzung bedarf der vorherigen Zustimmung des Dienstleisters.

(4) Vorbestehende Methoden, Werkzeuge, Vorlagen, Bibliotheken und allgemeines Fachwissen des Dienstleisters verbleiben bei diesem. Soweit solche Bestandteile in einem Arbeitsergebnis enthalten und für dessen vertragsgemäße Nutzung erforderlich sind, umfasst das Nutzungsrecht auch deren Nutzung in diesem Umfang.

(5) Der Dienstleister darf allgemeine Methoden, Fähigkeiten und Erfahrungen weiterverwenden, sofern dabei keine vertraulichen Informationen, personenbezogenen Daten oder Rückschlüsse auf den Auftraggeber offengelegt werden.

9. Vertraulichkeit und Datenschutz

(1) Beide Parteien behandeln vertrauliche Informationen der jeweils anderen Partei vertraulich und verwenden sie ausschließlich zur Vertragsdurchführung. Als vertraulich gelten insbesondere nicht öffentliche technische, organisatorische, wirtschaftliche und sicherheitsbezogene Informationen, Zugangsdaten, Berichte und Schwachstellen.

(2) Die Geheimhaltungspflicht gilt nicht für Informationen, die der empfangenden Partei nachweislich bereits rechtmäßig bekannt waren, ohne Vertragsverletzung öffentlich bekannt sind, rechtmäßig von einem Dritten erlangt oder unabhängig entwickelt wurden.

(3) Vertrauliche Informationen dürfen Beschäftigten, Unterauftragnehmern und beruflichen Beratern zugänglich gemacht werden, soweit diese sie zur Vertragsdurchführung benötigen und angemessen zur Vertraulichkeit verpflichtet oder gesetzlich zur Verschwiegenheit verpflichtet sind.

(4) Ist eine Offenlegung gesetzlich, gerichtlich oder behördlich vorgeschrieben, darf die betroffene Partei die erforderlichen Informationen offenlegen. Soweit rechtlich zulässig, informiert sie die andere Partei vorab und beschränkt die Offenlegung auf das notwendige Maß.

(5) Die Geheimhaltungspflichten gelten für fünf Jahre nach Vertragsende. Geschäftsgeheimnisse im Sinne des Geschäftsgeheimnisgesetzes sind darüber hinaus so lange vertraulich zu behandeln, wie die gesetzlichen Schutzvoraussetzungen bestehen. Zugangsdaten, nicht behobene Schwachstellen und sicherheitskritische Architekturinformationen bleiben unabhängig davon geschützt, solange sie vertraulich und sicherheitsrelevant sind.

(6) Beide Parteien beachten die für sie geltenden Datenschutzvorschriften. Erfordert die Leistung eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO, schließen die Parteien vor Beginn der betreffenden Verarbeitung eine gesonderte Vereinbarung. Andere datenschutzrechtliche Rollen und Verantwortlichkeiten werden projektbezogen festgelegt.

10. Haftung

(1) Der Dienstleister haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei schuldhafter Verletzung von Leben, Körper oder Gesundheit, bei ausdrücklich übernommener Garantie, bei arglistigem Verschweigen eines Mangels sowie nach dem Produkthaftungsgesetz und anderen zwingenden gesetzlichen Vorschriften.

(2) Bei einfacher Fahrlässigkeit haftet der Dienstleister nur bei Verletzung einer wesentlichen Vertragspflicht. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf. Die Haftung ist in diesem Fall auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt.

(3) Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen. Die vorstehenden Beschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Beschäftigten und Erfüllungsgehilfen des Dienstleisters.

(4) Bei einfach fahrlässig verursachtem Datenverlust ist die Haftung nach Absatz 2 auf den Aufwand begrenzt, der bei ordnungsgemäßer, dem Risiko angemessener Datensicherung für die Wiederherstellung der Daten angefallen wäre.

(5) Soweit ein Schaden auf unzutreffenden Angaben, fehlenden Berechtigungen, nicht freigegebenen Änderungen oder einer sonstigen Pflichtverletzung des Auftraggebers beruht, haftet der Dienstleister nur in dem Umfang, in dem er den Schaden mitverursacht und zu vertreten hat.

11. Laufzeit und Beendigung

(1) Laufzeit und ordentliche Kündigung richten sich nach der individuellen Vereinbarung und den gesetzlichen Vorschriften. Das Recht beider Parteien zur Kündigung aus wichtigem Grund bleibt unberührt.

(2) Bis zum Wirksamwerden der Kündigung vertragsgemäß erbrachte Leistungen sind zu vergüten. Im Übrigen richten sich Vergütungs- und Ersatzansprüche nach der individuellen Vereinbarung und den gesetzlichen Vorschriften.

(3) Nach Vertragsende geben die Parteien nicht mehr benötigte Zugänge und überlassene Unterlagen zurück oder löschen sie. Für Daten aus einer Auftragsverarbeitung gelten die Weisungen des Auftraggebers, die Vereinbarung zur Auftragsverarbeitung und Art. 28 DSGVO. Im Übrigen dürfen nur die Daten aufbewahrt werden, die aufgrund gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Der Zugriff ist auf diesen Zweck zu beschränken; die Daten sind nach Wegfall des Zwecks zu löschen. Gesetzlich zulässige Sicherungskopien bleiben bis zu ihrer routinemäßigen Löschung geschützt.

(4) Regelungen zu Vertraulichkeit, Datenschutz, Nutzungsrechten und Haftung gelten über das Vertragsende hinaus, soweit ihr Zweck dies erfordert.

12. Anwendbares Recht und Gerichtsstand

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Für den Gerichtsstand gelten die gesetzlichen Vorschriften. Eine hiervon abweichende Gerichtsstandsvereinbarung bleibt zulässig, soweit die gesetzlichen Voraussetzungen im Einzelfall erfüllt sind.

13. Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieser Allgemeinen Geschäftsbedingungen ganz oder teilweise unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam.

(2) An die Stelle einer nicht einbezogenen oder unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Stand: 15. Juli 2026