AGB

(1) Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge zwischen **shield1** (nachfolgend „Anbieter“) und dem Kunden über die Nutzung der webbasierten Cyber-Risiko-Monitoring-Plattform „shield1″ (nachfolgend „Plattform“).

(2) Maßgeblich ist jeweils die zum Zeitpunkt des Vertragsabschlusses aktuelle Version dieser AGB.

(3) Entgegenstehende oder abweichende Bedingungen des Kunden werden nur anerkannt, wenn der Anbieter ihnen ausdrücklich schriftlich zustimmt.

(4) Diese AGB gelten ausschließlich für Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbraucher im Sinne des § 13 BGB werden nicht beliefert.

(1) Der Kunde registriert sich auf der Plattform unter `portal.shield1.de/register`. Die Registrierung erfordert Firmenname, Name, E-Mail-Adresse und Passwort sowie die Angabe der Rechnungsadresse (Straße, PLZ, Ort, Land) und die Akzeptanz dieser AGB und der Datenschutzerklärung. Weitere Angaben (Telefon, USt-IdNr.) sind freiwillig.

(2) Mit der Registrierung gibt der Kunde ein verbindliches Angebot auf Abschluss eines Nutzungsvertrages ab. Der Vertrag kommt durch Freischaltung des Kundenkontos durch den Anbieter zustande (Zusage des gewählten Tarifs).

(3) Der Anbieter behält sich das Recht vor, Registrierungen ohne Angabe von Gründen abzulehnen.

(4) Der Kunde bestätigt mit der Registrierung, dass die angegebenen Daten korrekt und vollständig sind.

(1) Der Anbieter stellt dem Kunden eine webbasierte Plattform zur Verfügung, die kontinuierlich öffentlich erkennbare Angriffsflächen, Sicherheitshygiene und Compliance des Kunden überwacht. Die genauen Funktionen ergeben sich aus der Leistungsbeschreibung auf der Webseite (`shield1.de/leistungen`).

(2) Die Überwachung erfolgt ausschließlich auf Basis öffentlich verfügbarer Datenquellen. Es werden **keine aktiven Netzwerkscans** durchgeführt und **keine Software oder Agenten** installiert.

(3) Die verfügbaren Funktionen und Limits richten sich nach dem gewählten Tarif (Basis, Pro, Enterprise). Die Tarifdetails sind auf der Webseite (`shield1.de/preise`) veröffentlicht.

(4) Der Anbieter behält sich das Recht vor, Funktionen zu erweitern, anzupassen oder – im Rahmen des Zumutbaren – einzustellen. Wesentliche Verschlechterungen werden dem Kunden mindestens 4 Wochen vorab angekündigt.

(1) Es gelten die zum Zeitpunkt des Vertragsabschlusses auf der Webseite veröffentlichten Preise. Alle Preise verstehen sich zzgl. der gesetzlichen Umsatzsteuer.

(2) Die Abrechnung erfolgt **monatlich** im Voraus. Der erste Abrechnungszeitraum beginnt mit der Freischaltung des Kundenkontos.

(3) Tarif-Upgrades können jederzeit beantragt werden. Der Anbieter bestätigt oder lehnt Upgrade-Anfragen. Bei Upgrade gilt der neue Tarif ab Freischaltung; anteilige Nachzahlung für den Restlaufzeitraum.

(4) Tarif-Downgrades werden zum Ende des aktuellen Abrechnungsmonats wirksam.

(5) **Preisanpassung:** Der Anbieter ist berechtigt, die Preise mit einer Ankündigungsfrist von **6 Wochen** vor Wirksamwerden zu ändern. Die Anpassung ist auf höchstens **5 % pro Jahr** begrenzt. Lehnt der Kunde die Anpassung ab, hat er ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung. Die Anpassung gilt als stillschweigend akzeptiert, wenn der Kunde nicht innerhalb von 4 Wochen nach Ankündigung widerspricht.

(1) Dem Kunden wird ein einfaches, nicht-exklusives, örtlich unbeschränktes, nicht übertragbares Recht zur Nutzung der Plattform für die Dauer des Vertrages für interne Zwecke eingeräumt.

(2) Die Plattform, deren Quellcode, Designs, Marken und Inhalte bleiben Eigentum des Anbieters. Der Kunde erhält keine Rechte an der Software selbst.

(3) Der Kunde ist berechtigt, generierte PDF-Berichte und IT-Dokumentationen intern sowie gegenüber Auditoren, Geschäftsführern und Aufsichtsgremien zu verwenden. Eine Weitergabe an Dritte (z.B. IT-Dienstleister) ist im Rahmen der vertragsgemäßen Nutzung erlaubt.

(4) Der Kunde ist nicht berechtigt, die Plattform zu reverse-engineeren, zu dekompilieren, Massenabfragen durchzuführen oder automatisierte Datenextraktionen über die vorgesehenen Export-Funktionen hinaus vorzunehmen.

(1) Der Vertrag hat eine **Mindestlaufzeit von 1 Monat**.

(2) Der Vertrag verlängert sich jeweils um weitere 1 Monat, wenn er nicht mit einer Frist von **14 Tagen** zum Ende des Abrechnungsmonats gekündigt wird.

(3) Die Kündigung bedarf der Textform (E-Mail an `security@shield1.de`).

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(5) Bei Kündigung werden alle Daten des Kunden spätestens 30 Tage nach Vertragsende gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Kunde kann zuvor einen Datenexport (PDF-Berichte) durchführen.

(1) Der Anbieter bemüht sich um eine Verfügbarkeit der Plattform von **99,0 %** im Jahresmittel.

(2) Von der Verfügbarkeitsmessung ausgenommen sind:

(3) Unterschreitet die Verfügbarkeit in einem Kalendermonat die vereinbarte Quote von 99,0 %, erhält der Kunde auf Antrag ein Serviceguthaben:

(4) Das Serviceguthaben wird mit der nächsten Rechnung verrechnet. Ein Anspruch auf Barauszahlung besteht nicht. Voraussetzung: Der Kunde hat die Störung gemeldet und die Unterversorgung nachgewiesen.

(1) Der Anbieter führt regelmäßig Wartungsarbeiten an der Plattform durch, um Sicherheit, Stabilität und Funktionalität zu gewährleisten.

(2) **Geplantes Wartungsfenster:** Sonntag, **02:00–06:00 Uhr MEZ**. Während dieses Fensters kann die Plattform kurzzeitig nicht erreichbar sein.

(3) Geplante Wartungsarbeiten, die voraussichtlich länger als 30 Minuten dauern oder außerhalb des regulären Wartungsfensters erfolgen, werden dem Kunden mindestens **48 Stunden im Voraus** per E-Mail angekündigt.

(4) **Notfall-Wartungen** (z. B. kritische Sicherheitsupdates) können ohne Vorankündigung durchgeführt werden. Der Anbieter informiert den Kunden nachträglich über Umfang und Dauer.

(5) Automatisierte Hintergrundprozesse (Datenimporte, Schwachstellen-Prüfungen) laufen mehrfach täglich und beeinflussen die Plattform-Verfügbarkeit nicht.

(1) Der Kunde verpflichtet sich, die Zugangsdaten vertraulich zu behandeln und nicht an unbefugte Dritte weiterzugeben.

(2) Der Kunde richtet für jeden Benutzer eine Zwei-Faktor-Authentifizierung (2FA) ein, sobald die Grace-Period abgelaufen ist.

(3) Der Kunde ist für die Richtigkeit der eingegebenen Daten (IT-Inventar, Assets) verantwortlich. Die Qualität der Überwachungsergebnisse hängt maßgeblich von der Datenpflege ab.

(4) Der Kunde darf die Plattform nicht missbräuchlich nutzen, insbesondere keine rechtswidrigen Inhalte eingeben oder die Plattform für Angriffe auf Dritte verwenden.

(5) Der Kunde stellt sicher, dass er berechtigt ist, die überwachten Domains, IP-Adressen und E-Mail-Adressen dem Monitoring zuzuführen.

(6) Der Kunde benennt einen administrativen Ansprechpartner, der bei Störungen, Wartungsarbeiten und Support-Anfragen zur Verfügung steht.

(7) Der Kunde wirkt bei Störungen und Incidents mit, indem er dem Anbieter erforderliche Informationen zugänglich macht und bei der Fehleranalyse unterstützt.

(8) Der Kunde sorgt für eine funktionsfähige IT-Umgebung (aktueller Browser, Internetverbindung) für die Nutzung der Plattform.

(9) Der Kunde führt vor Vertragsende einen Datenexport (PDF-Berichte) durch, sofern er Daten nach Vertragsende benötigt. Nach Ablauf der Löschfrist (30 Tage) ist eine Wiederherstellung nicht mehr möglich.

(10) Der Kunde unterstützt den Anbieter bei Audits gemäß AVV §8, insbesondere durch Bereitstellung erforderlicher Informationen.

(1) Die Rechnungstellung erfolgt monatlich im Voraus. Rechnungen werden per E-Mail zugestellt.

(2) Der Rechnungsbetrag ist innerhalb von **14 Tagen** nach Rechnungsdatum ohne Abzug fällig.

(3) Bei Zahlungsverzug behält sich der Anbieter vor, den Zugang zur Plattform nach Mahnung vorübergehend zu sperren. Die Zahlungsverpflichtung für den Abrechnungszeitraum bleibt bestehen.

(4) Aufrechnungsrechte des Kunden bestehen nur, wenn dessen Gegenansprüche rechtskräftig festgestellt oder unbestritten sind.

(1) Der Anbieter haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, die auf einer vorsätzlichen oder fahrlässigen Pflichtverletzung des Anbieters beruhen.

(2) Der Anbieter haftet nach den Bestimmungen des Produkthaftungsgesetzes.

(3) Der Anbieter haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit.

(4) Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht) und nur in Höhe des typischerweise vorhersehbaren Schadens, maximal jedoch auf die Höhe des Dreifachen des Monatsentgelts des Kunden.

(5) Der Anbieter haftet **nicht** für Schäden, die daraus resultieren, dass der Kunde seine IT-Systeme nicht sachgerecht pflegt oder Hinweise/Empfehlungen des Portals nicht umsetzt. Das Portal ist ein Informations- und Monitoringsystem, kein Ersatz für IT-Sicherheitsmaßnahmen.

(1) Die Plattform wird als Dienstleistung im Sinne des § 611 BGB erbracht. Es handelt sich nicht um einen Werkvertrag oder Kaufvertrag; Sachmängelgewährleistung entsprechend dem Kaufrecht ist ausgeschlossen.

(2) Die Verfügbarkeit der Plattform wird ausschließlich über § 6 (SLA) definiert. Störungen und Defekte werden nach den dortigen Bestimmungen bearbeitet. Minderungsansprüche bestehen ausschließlich über das Serviceguthaben gemäß § 6 Abs. 3.

(3) Der Anbieter gewährleistet, dass die Plattform im Wesentlichen den auf der Webseite beschriebenen Funktionen entspricht. Unerhebliche Abweichungen berechtigen nicht zur Kündigung oder Minderung.

(1) Der Anbieter ist von seiner Leistungspflicht befreit, soweit und solange die Leistungserbringung durch höhere Gewalt unmöglich oder unzumutbar erschwert wird. Höhere Gewalt umfasst insbesondere Naturkatastrophen, Krieg, Terrorismus, Pandemien, behördliche Anordnungen, Ausfall von Telekommunikationsinfrastruktur und Streiks, die den Anbieter nicht zu vertreten hat.

(2) Der Anbieter informiert den Kunden unverzüglich über Beginn und voraussichtliche Dauer der höheren Gewalt.

(3) Dauert die höhere Gewalt länger als 4 Wochen, sind beide Parteien berechtigt, den Vertrag außerordentlich zu kündigen. Bis zur Kündigung ruht die Zahlungspflicht des Kunden für die Dauer der Behinderung.

(1) Der Anbieter verarbeitet personenbezogene Daten des Kunden gemäß der separaten Datenschutzerklärung unter `shield1.de/datenschutz`.

(2) Soweit der Anbieter im Auftrag des Kunden personenbezogene Daten verarbeitet, wird ein separater Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Der AVV ist unter `shield1.de/avv` abrufbar.

(3) Der Anbieter unterstützt den Kunden bei der Wahrnehmung seiner Rechten (Auskunft, Löschung etc.).

(1) Der Anbieter verpflichtet sich, alle im Rahmen der Vertragsdurchführung erhaltenen Kenntnisse über die IT-Infrastruktur, Schwachstellen und Sicherheitszustände des Kunden vertraulich zu behandeln.

(2) Diese Verpflichtung gilt über das Vertragsende hinaus.

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Gerichtsstand ist der Sitz des Anbieters.

(3) Sollten einzelne Bestimmungen dieser AGB unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine solche, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) **Änderungen dieser AGB** werden dem Kunden mindestens 4 Wochen vor Inkrafttreten per E-Mail mitgeteilt:

(5) Die Abtretung von Rechten und Pflichten aus diesem Vertrag durch den Kunden bedarf der vorherigen schriftlichen Zustimmung des Anbieters. Die Zustimmung darf nur aus wichtigem Grund versagt werden.

**shield1** · Cyber-Risiko-Monitoring für KMU E-Mail: security@shield1.de