Allgemeine Geschäftsbedingungen

(1) Diese Allgemeinen Geschäftsbedingungen ("AGB") gelten für sämtliche Verträge zwischen der Rondeel RiskCircle GmbH, Alsterchaussee 27, 20149 Hamburg ("Anbieter", "wir") und Unternehmern im Sinne von § 14 BGB ("Kunde") über die Bereitstellung der cloudbasierten ISMS-Management-Plattform "RiskCircle" (die "Plattform") als Software-as-a-Service sowie über damit verbundene Implementierungs- und sonstige Dienstleistungen.

(2) Diese AGB gelten ausschließlich. Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich schriftlich zu.

(3) Diese AGB gelten in ihrer zum Zeitpunkt des Vertragsschlusses gültigen Fassung für die gesamte Dauer der Geschäftsbeziehung, soweit im Einzelfall nichts anderes vereinbart wird.

(4) Diese AGB richten sich ausschließlich an Unternehmer, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliche Sondervermögen im Sinne des § 310 Abs. 1 BGB. Verträge mit Verbrauchern werden nicht geschlossen.

(1) Die Darstellung der Plattform auf der Website oder in Angebotsunterlagen des Anbieters stellt kein bindendes Angebot dar, sondern eine Aufforderung an den Kunden, seinerseits ein Angebot abzugeben.

(2) Der Vertrag kommt durch die beiderseitige Unterzeichnung eines Auftragsformulars zustande, in dem insbesondere der gewählte Tarif (§ 3), die Anzahl der berechtigten Nutzer, die Vertragslaufzeit sowie die Vergütung festgelegt werden. Auf das Auftragsformular finden diese AGB ergänzend Anwendung. Ein vom Anbieter unterbreitetes Angebot, das auf diese AGB verweist und vom Kunden gegengezeichnet wird, gilt zugleich als Auftragsformular im Sinne dieser AGB; ein gesondertes Dokument ist hierfür nicht erforderlich.

(3) Nebenabreden, Änderungen und Ergänzungen dieser AGB oder eines Auftragsformulars bedürfen der Textform (§ 126b BGB).

(1) Der Anbieter stellt dem Kunden die Plattform RiskCircle im vereinbarten Umfang zur Nutzung über das Internet zur Verfügung. RiskCircle ist ein ISMS-Tool zur Steuerung von Risiken, Kontrollen, Audits, Vorfällen, Lieferanten und verwandten Compliance-Prozessen entlang des Rahmenwerks ISO/IEC 27001:2022 sowie weiterer Frameworks und Requirement-Quellen.

(2) Der Anbieter bietet die Plattform in mehreren Tarifen an (u. a. "Starter" und "Enterprise"), deren genauer Funktionsumfang, Nutzerkontingent und Preis sich aus der jeweils aktuellen Preisliste des Anbieters sowie dem Auftragsformular ergeben. Der Funktionsumfang kann sich durch die Weiterentwicklung der Plattform ändern; eine wesentliche Verschlechterung bereits vertraglich geschuldeter Funktionen bedarf der Zustimmung des Kunden.

(3) Der Anbieter richtet dem Kunden eine dedizierte Mandantenumgebung (Single-Tenant-Architektur mit eigener Datenbankinstanz) ein. Regelfrist für die Bereitstellung: zehn (10) Werktage nach Vertragsbeginn, sofern im Auftragsformular nichts anderes vereinbart ist.

(1) Der Anbieter räumt dem Kunden für die Vertragslaufzeit ein einfaches, nicht übertragbares und nicht unterlizenzierbares Recht ein, die Plattform im vereinbarten Umfang für eigene interne Geschäftszwecke zu nutzen.

(2) Der Kunde ist insbesondere nicht berechtigt,

• a) die Plattform Dritten außerhalb des zulässigen Nutzerkreises entgeltlich oder unentgeltlich zur Nutzung zu überlassen (Weitervermietung, Sublizenzierung, White-Labeling);
• b) die Plattform zurückzuentwickeln, zu dekompilieren oder den Quellcode auf sonstige Weise zu extrahieren, soweit dies nicht gesetzlich zwingend erlaubt ist;
• c) Zugriffskontrollen, Protokollierungs- oder Sicherheitsmechanismen der Plattform zu umgehen oder zu manipulieren;
• d) rechtswidrige Inhalte oder Schadsoftware in die Plattform einzustellen.

(3) Soweit der Anbieter Open-Source- oder sonstige Drittkomponenten einsetzt, geschieht dies in Übereinstimmung mit den jeweiligen Lizenzbedingungen; eine aktuelle Software-Stückliste (SBOM) wird dem Kunden auf Anfrage zur Verfügung gestellt.

(4) Optionale KI-gestützte Funktionen (z. B. Formulierungsvorschläge, Fragebogen-Mapping) unterstützen den Kunden, treffen jedoch keine autonomen Risikoentscheidungen; jede Risikobewertung und -freigabe erfordert eine ausdrückliche Handlung eines berechtigten Nutzers. Kundendaten werden nicht zum Training von Drittanbieter-KI-Modellen verwendet.

(1) Der Kunde ist für die Rechtmäßigkeit der von ihm in die Plattform eingestellten Daten ("Kundendaten") verantwortlich und stellt sicher, dass hierdurch keine Rechte Dritter verletzt werden.

(2) Der Kunde trägt dafür Sorge, dass seine berechtigten Nutzer die Zugangsdaten vertraulich behandeln und über ihre Pflichten aus diesem Vertrag informiert sind.

(3) Der Kunde benennt einen CISO/Administrator, der die Vergabe und Verwaltung von Nutzerrollen innerhalb der Plattform verantwortet.

(1) Der Anbieter gewährleistet eine Verfügbarkeit der Plattform von 99,0 % im Kalendermonat, gemessen als Verhältnis der tatsächlichen Erreichbarkeit des Login-Endpunkts zur Gesamtzeit des jeweiligen Kalendermonats abzüglich vereinbarter Wartungsfenster (Abs. 2). Nicht angerechnet werden Ausfallzeiten, die auf höherer Gewalt (§ 15), Störungen der Infrastruktur oder Netzanbindung außerhalb des Einflussbereichs des Anbieters, rechtswidrigen Handlungen Dritter oder auf Umständen beruhen, die der Kunde zu vertreten hat.

(2) Regelmäßige Wartungsfenster umfassen bis zu vier (4) Stunden je Kalendermonat, in der Regel dienstags zwischen 02:00 und 04:00 Uhr (MEZ/MESZ), und werden dem Kunden mindestens 48 Stunden vorab angekündigt. Sicherheitskritische Notfall-Patches (CVSS ≥ 9,0) können mit einer Vorlaufzeit von 2 Stunden eingespielt werden und werden auf das monatliche Wartungsfensterkontingent nicht angerechnet.

(3) Unterschreitet die im Kalendermonat erreichte Verfügbarkeit den in Abs. 1 genannten Wert, kann der Kunde die in der SLA-Anlage (Anlage 1) geregelten Service Credits geltend machen. Die Geltendmachung von Service Credits ist der ausschließliche Rechtsbehelf des Kunden wegen einer Unterschreitung der Verfügbarkeit; weitergehende Ansprüche bleiben im Rahmen von § 14 unberührt.

(4) Die Einzelheiten zu Verfügbarkeitsmessung, Service Credits sowie den Support-Reaktions- und Zielbearbeitungszeiten ergeben sich aus der als Anlage 1 beigefügten SLA-Anlage, die dem Kunden bei Vertragsschluss ausgehändigt wird und Bestandteil dieses Vertrags ist.

(1) Der Anbieter bietet Support in deutscher und englischer Sprache per E-Mail (support@rondeel.io) an. Die Reaktions- und Zielbearbeitungszeiten richten sich nach der Priorität der Anfrage gemäß der als Anlage 1 beigefügten SLA-Anlage (§ 6 Abs. 4).

(1) Soweit der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen die Parteien eine gesonderte Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO ("AVV") ab, die Bestandteil dieses Vertrags wird und im Konfliktfall vorrangig gilt, soweit es die Verarbeitung personenbezogener Daten betrifft.

(2) Kundendaten werden ausschließlich innerhalb der Europäischen Union auf Infrastruktur eines deutschen Cloud-Anbieters (STACKIT) gespeichert und verarbeitet. Eine Datenübermittlung in Drittstaaten außerhalb des EWR erfolgt nicht, mit Ausnahme optionaler, in der AVV benannter Unterauftragsverarbeiter, für die geeignete Garantien (insb. EU-Standardvertragsklauseln) vereinbart sind.

(3) Die vom Anbieter getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 3 der AVV beschrieben.

(4) Der Anbieter meldet dem Kunden einen Sicherheitsvorfall, der Kundendaten betrifft oder betreffen kann, unverzüglich, spätestens jedoch 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, Art und Umfang des Vorfalls, die betroffenen Datenkategorien sowie die bereits eingeleiteten Maßnahmen; weitergehende Informationen werden unverzüglich nachgereicht, sobald sie vorliegen. Die Meldepflichten aus der AVV bleiben hiervon unberührt und gehen im Konfliktfall vor.

(1) Die Vergütung richtet sich nach dem im Auftragsformular vereinbarten Tarif. Alle Preise verstehen sich zzgl. der jeweils gültigen gesetzlichen Umsatzsteuer.

(2) Die Vergütung für Abonnements wird jährlich im Voraus zu Beginn des jeweiligen Vertragsjahres in Rechnung gestellt. Etwaige einmalige Implementierungsleistungen werden nach schriftlicher Abnahme der eingerichteten Umgebung vollständig fällig.

(3) Rechnungen sind innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug zur Zahlung fällig. Bei Zahlungsverzug gelten die gesetzlichen Regelungen (§§ 286, 288 BGB).

(4) Der Anbieter ist berechtigt, die Vergütung mit Wirkung zum Beginn eines Verlängerungsjahres (§ 10 Abs. 1) anzupassen. Die Anpassung wird dem Kunden mindestens 90 Tage vor Beginn des betreffenden Verlängerungsjahres in Textform angekündigt und orientiert sich an der Entwicklung des vom Statistischen Bundesamt veröffentlichten Erzeugerpreisindex für IT-Dienstleistungen im vorangegangenen Kalenderjahr. Erhöht sich die Vergütung hierdurch um mehr als 5 % gegenüber der zuletzt geltenden Vergütung, steht dem Kunden ein Sonderkündigungsrecht zum Ende des laufenden Vertragsjahres zu, das er innerhalb von 30 Tagen nach Zugang der Ankündigung in Textform ausüben kann.

(5) Befindet sich der Kunde mit einem fälligen Rechnungsbetrag länger als 14 Tage in Verzug, kann der Anbieter den Zugang zur Plattform nach vorheriger Ankündigung in Textform und Setzung einer angemessenen Nachfrist von mindestens 10 Tagen sperren, bis die offene Forderung beglichen ist. Die Zahlungspflicht des Kunden bleibt während der Sperre bestehen; Kundendaten werden während der Sperre nicht gelöscht.

(6) Der Kunde kann gegen Forderungen des Anbieters nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht dem Kunden nur wegen Gegenansprüchen aus demselben Vertragsverhältnis zu.

(1) Der Vertrag wird für die im Auftragsformular genannte Erstlaufzeit geschlossen und verlängert sich automatisch um jeweils 12 Monate, sofern er nicht von einer der Parteien mit einer Frist von mindestens 90 Tagen zum Ende des jeweiligen Vertragsjahres in Textform gekündigt wird.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Partei eine wesentliche Vertragspflicht verletzt und diese Verletzung nicht innerhalb von 30 Tagen nach schriftlicher Aufforderung behebt, oder wenn über das Vermögen einer Partei ein Insolvenzverfahren beantragt oder eröffnet wird.

(3) Nach Beendigung des Vertrags gewährt der Anbieter dem Kunden für 30 Tage lesenden Zugriff auf seine Umgebung zum Zweck des Datenexports und stellt die Kundendaten in maschinenlesbarer Form (JSON/CSV) zur Verfügung. Nach Ablauf dieser Frist löscht der Anbieter sämtliche Kundendaten unwiderruflich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und bestätigt dies dem Kunden schriftlich.

(1) Sämtliche Rechte an der Plattform, ihrer Architektur, den Kontrollbibliotheken, Risikomodellen sowie der zugehörigen Dokumentation verbleiben beim Anbieter. Dieser Vertrag begründet außer den in § 4 geregelten Nutzungsrechten keine weiteren Rechte des Kunden.

(2) Sämtliche Kundendaten bleiben Eigentum des Kunden. Der Anbieter erhält lediglich das zur Vertragserfüllung erforderliche, einfache Nutzungsrecht an den Kundendaten.

(3) Rückmeldungen und Verbesserungsvorschläge des Kunden zur Plattform darf der Anbieter unentgeltlich zur Weiterentwicklung nutzen; hierfür wird keine Vergütung geschuldet.

(1) Die Parteien verpflichten sich, alle im Rahmen der Vertragsdurchführung erlangten vertraulichen Informationen der jeweils anderen Partei streng vertraulich zu behandeln, nur zur Vertragserfüllung zu verwenden und nicht ohne vorherige Zustimmung an Dritte weiterzugeben, es sei denn, eine gesetzliche Offenlegungspflicht besteht.

(2) Diese Verpflichtung gilt für die Dauer des Vertrags und für fünf (5) Jahre nach dessen Beendigung fort. Die vom Kunden in die Plattform eingestellten ISMS-Daten (Risiken, Bewertungen, Vorfälle, Lieferantenbewertungen) gelten als vertrauliche Informationen des Kunden.

(3) Der Anbieter darf den Namen und das Logo des Kunden sowie eine kurze, sachliche Beschreibung der Zusammenarbeit als Referenz in Vertriebs- und Marketingunterlagen nennen, sofern der Kunde dem nicht in Textform widerspricht. Vertrauliche Informationen im Sinne von Abs. 1 werden hierdurch nicht offengelegt.

(1) Der Anbieter gewährleistet, dass die Plattform im Wesentlichen der jeweils aktuellen Dokumentation und den Angaben im Auftragsformular entspricht. Eine vollständige Fehlerfreiheit der Software wird nicht geschuldet; Mängel werden im Rahmen der Support-Regelungen (§ 7) behoben.

(2) Die Nutzung der Plattform ersetzt nicht die eigenverantwortliche Beurteilung des Kunden hinsichtlich der Erfüllung regulatorischer Anforderungen; eine Zertifizierung oder ein bestimmter Compliance-Status wird durch die Plattform nicht garantiert.

(1) Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf, ist die Haftung des Anbieters der Höhe nach auf den vertragstypisch vorhersehbaren Schaden begrenzt.

(2) Im Übrigen ist die Haftung des Anbieters, gleich aus welchem Rechtsgrund, der Höhe nach begrenzt auf die vom Kunden in den zwölf (12) Monaten vor dem schadensauslösenden Ereignis gezahlte Vergütung.

(3) Die Haftungsbegrenzungen nach Abs. 1 und Abs. 2 sowie der Haftungsausschluss nach Abs. 5 gelten nicht bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, bei Ansprüchen nach dem Produkthaftungsgesetz, bei arglistig verschwiegenen Mängeln sowie im Umfang einer vom Anbieter ausdrücklich übernommenen Garantie. In diesen Fällen haftet der Anbieter nach den gesetzlichen Vorschriften.

(4) Die verschuldensunabhängige Haftung nach § 536a Abs. 1 Alt. 1 BGB für bei Vertragsschluss bereits vorhandene Mängel der Plattform ist ausgeschlossen.

(5) Eine Haftung für mittelbare Schäden und entgangenen Gewinn ist, soweit gesetzlich zulässig, ausgeschlossen. Für den Verlust von Kundendaten haftet der Anbieter nur in dem Umfang, in dem dieser Schaden auch bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden eingetreten wäre. Hiervon unberührt bleibt die eigene Backup-Zusage des Anbieters (tägliche Sicherung der Kundendaten, Aufbewahrung der Sicherungen für 30 Tage, angestrebtes Recovery Point Objective von 24 Stunden); eine Verletzung dieser Zusage ist nach den vorstehenden Absätzen zu beurteilen.

(6) Schadensersatzansprüche des Kunden verjähren, vorbehaltlich der gesetzlichen Regelungen bei Vorsatz, in zwölf (12) Monaten ab dem gesetzlichen Verjährungsbeginn. Für Ansprüche, die von den Ausnahmen nach Abs. 3 erfasst sind, gilt die gesetzliche Verjährungsfrist.

(7) Die vorstehenden Haftungsbeschränkungen gelten entsprechend zugunsten der gesetzlichen Vertreter, Mitarbeitenden und sonstigen Erfüllungsgehilfen des Anbieters.

(1) Keine Partei haftet für die Nichterfüllung oder verspätete Erfüllung ihrer Pflichten aus diesem Vertrag, soweit dies auf Umständen höherer Gewalt beruht, die außerhalb ihres zumutbaren Einflussbereichs liegen und die sie auch durch angemessene Vorsorgemaßnahmen nicht abwenden konnte, insbesondere Naturkatastrophen, Krieg, Terrorismus, Pandemien, behördliche Anordnungen, Streik, Cyberangriffe auf kritische Dritt-Infrastruktur sowie ein länger als 24 Stunden andauernder, nicht vom Anbieter zu vertretender Ausfall der von ihm eingesetzten Cloud-Infrastruktur (§ 8 Abs. 2).

(2) Die betroffene Partei informiert die andere Partei unverzüglich über Eintritt und voraussichtliche Dauer des Ereignisses höherer Gewalt und ist bemüht, dessen Auswirkungen so gering wie möglich zu halten. Dauert das Ereignis länger als 30 Tage an, kann jede Partei den Vertrag außerordentlich kündigen.

(1) Der Kunde darf Sicherheitstests (Penetrationstests, Schwachstellenscans) gegen die Plattform ausschließlich nach vorheriger schriftlicher Freigabe des Anbieters und innerhalb eines mit dem Anbieter abgestimmten Zeitfensters durchführen.

(2) Tests sind auf die dem Kunden zugewiesene Mandantenumgebung zu beschränken; ein Zugriff auf oder eine Beeinträchtigung anderer Mandanten oder der gemeinsam genutzten Infrastruktur ist unzulässig. Last- und Denial-of-Service-Tests sind ausgeschlossen.

(3) Die Ergebnisse der Tests sind vom Kunden vertraulich zu behandeln und dem Anbieter auf Anfrage zur Verfügung zu stellen. Der Anbieter behebt festgestellte, von ihm zu vertretende Schwachstellen im Rahmen der Support-Regelungen (§ 7).

(1) Der Kunde ist berechtigt, die Einhaltung dieses Vertrags, der AVV und der anwendbaren datenschutzrechtlichen Vorschriften durch den Anbieter zu prüfen. Der Anbieter stellt dem Kunden hierzu auf Anfrage binnen 15 Werktagen einen ausgefüllten Sicherheitsfragebogen sowie aktuelle Nachweise zur Verfügung, insbesondere ein gültiges ISO-27001-Zertifikat (sobald vorhanden), eine Zusammenfassung des letzten Penetrationstests und die SBOM (§ 4 Abs. 3).

(2) Reichen diese Nachweise dem Kunden im Einzelfall nachweislich nicht aus, kann er einmal jährlich sowie zusätzlich anlassbezogen bei einem dokumentierten, ihn betreffenden Sicherheitsvorfall eine Vor-Ort-Prüfung verlangen. Diese ist mit einer Frist von mindestens 30 Tagen anzukündigen, auf einen Werktag zu begrenzen, während der üblichen Geschäftszeiten des Anbieters durchzuführen, auf Kosten des Kunden vorzunehmen und darf nicht zu einem Zugriff auf Daten oder Umgebungen anderer Kunden führen. Vor Beginn der Prüfung schließen die Parteien eine gesonderte Vertraulichkeitsvereinbarung, soweit die Vertraulichkeitsregelung des § 12 nicht ausreicht.

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit der Kunde Kaufmann im Sinne des HGB, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist, Hamburg.

(3) Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

(4) Änderungen und Ergänzungen dieser AGB bedürfen der Textform; dies gilt auch für die Änderung dieser Schriftformklausel.

(5) Der Anbieter kann Unterauftragnehmer zur Leistungserbringung einsetzen und bleibt für deren Handeln verantwortlich. Wesentliche Änderungen der Unterauftragsverarbeiter-Liste werden dem Kunden mindestens 30 Tage im Voraus mitgeteilt; dem Kunden steht innerhalb dieser Frist ein Widerspruchsrecht in Textform zu. Widerspricht der Kunde aus berechtigtem Grund, insbesondere weil der neue Unterauftragsverarbeiter kein angemessenes Datenschutzniveau gewährleistet, bietet der Anbieter innerhalb von 30 Tagen eine zumutbare Alternativlösung an. Kommt eine solche Lösung nicht zustande, steht dem Kunden ein Sonderkündigungsrecht zu; bereits gezahlte, auf den Zeitraum nach Wirksamwerden der Kündigung entfallende Vergütung wird anteilig erstattet.