Allgemeine Geschäftsbedingungen (AGB)

Diese Bedingungen gelten für alle Leistungen von NIS2Have: für die Dokumentenpakete („Kits“), für die Webanwendung unter nis2have.eu/app und für unentgeltliche Angebote wie den Betroffenheitscheck.

Sie bilden den allgemeinen Rahmen. Soweit NIS2Have in der Anwendung personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt zusätzlich die Anlage Auftragsverarbeitung am Ende dieser Bedingungen. Die technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und Ihre Bestellung finden Sie angemeldet im Bereich Vertrag & Sicherheit Ihrer Organisation. Die Rangfolge regelt § 1 Abs. 4.

§ 1 Geltungsbereich, Vertragspartner, Vertragsdokumente

(1) Diese Bedingungen gelten für alle Verträge zwischen David Steng, Silberpappelstraße 11, 71364 Winnenden („NIS2Have“) und dem Kunden über (a) die Überlassung von Dokumentenpaketen in Word-, Excel- und PDF-Format („Kits“), (b) die Bereitstellung der Webanwendung zur Nutzung über das Internet („Anwendung“) und (c) unentgeltliche Leistungen wie den Betroffenheitscheck und kostenlose Leitfäden.

(2) Nur gegenüber Unternehmern. Verträge kommen ausschließlich mit Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen zustande. Der Kunde sichert zu, bei Vertragsschluss in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit zu handeln. Mit Verbrauchern kommt kein Vertrag zustande.

(3) Abweichende oder ergänzende Bedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn NIS2Have ihnen nicht ausdrücklich widerspricht.

(4) Vertragsdokumente und Rangfolge. Es gelten in dieser Reihenfolge: (i) die individuelle Bestellung oder das individuelle Angebot, (ii) die Anlage Auftragsverarbeitung, soweit es um die Verarbeitung personenbezogener Daten im Auftrag des Kunden geht, (iii) diese Bedingungen im Übrigen. Die im Bereich Vertrag & Sicherheit der Anwendung beschriebenen technischen und organisatorischen Maßnahmen und die dort geführte Liste der Unterauftragsverarbeiter sind Bestandteil der Anlage Auftragsverarbeitung.

(5) Maßgeblich ist die Fassung, der der Kunde bei Vertragsschluss zugestimmt hat (§ 13). Die aktuelle Fassung ist unter dieser Adresse abrufbar und kann gespeichert und ausgedruckt werden; jede veröffentlichte Fassung bleibt mit ihrem Datum unverändert unter nis2have.eu/agb abrufbar.

(6) Sprachfassungen. Diese Bedingungen werden in deutscher, englischer und französischer Sprache bereitgestellt. Maßgeblich ist die deutsche Fassung; die übrigen sind unverbindliche Übersetzungen. Wo in einer Übersetzung einem Begriff ein deutscher Rechtsbegriff in Klammern nachgestellt ist, ist der deutsche Rechtsbegriff maßgeblich.

§ 2 Vertragsschluss, Preise, Zahlung

(1) Die Darstellung der Leistungen auf der Website ist kein bindendes Angebot. Mit der Bestellung gibt der Kunde ein Angebot ab; der Vertrag kommt mit der Bestätigung durch NIS2Have oder mit der Bereitstellung der Leistung zustande.

(2) Alle Preise sind Nettopreise. Solange NIS2Have die Kleinunternehmerregelung nach § 19 UStG anwendet, wird keine Umsatzsteuer berechnet und ausgewiesen. Endet diese Regelung, wird auf Entgelte für danach beginnende Abrechnungsperioden die gesetzliche Umsatzsteuer zusätzlich berechnet.

(3) Die Zahlung erfolgt über Stripe. Abonnements sind für die jeweilige Abrechnungsperiode im Voraus zu zahlen. Kits werden nach Zahlungseingang unverzüglich, spätestens innerhalb von 24 Stunden, als Download oder per E-Mail bereitgestellt.

(4) Preisanpassung bei Abonnements. NIS2Have kann die Entgelte höchstens einmal je Vertragsjahr mit einer Ankündigungsfrist von sechs Wochen zum Beginn der nächsten Abrechnungsperiode anpassen. Der Kunde kann in diesem Fall bis zum Wirksamkeitszeitpunkt außerordentlich kündigen; darauf wird in der Ankündigung hingewiesen.

(5) Kein Widerrufsrecht. Ein Widerrufsrecht besteht nicht, da Verträge ausschließlich mit Unternehmern geschlossen werden.

(6) Bestellvorgang. Kits bestellt der Kunde über die Bestellseite des Zahlungsdienstleisters Stripe und bestätigt dort diese Bedingungen. Kostenpflichtige Leistungen der Anwendung bucht, nachdem die Organisation diesen Bedingungen zugestimmt hat, eine zu ihrer Verwaltung berechtigte Person in der Anwendung; bezahlt wird anschließend über die Bestellseite von Stripe. In beiden Fällen gibt der Kunde Unternehmens- und Rechnungsdaten ein, kann alle Eingaben bis zum Absenden prüfen und berichtigen und gibt die Bestellung über die Zahlungsschaltfläche ab. Der Kunde erhält eine Bestätigung per E-Mail. Vertragssprache ist Deutsch. Einen gesonderten Vertragstext speichert NIS2Have für den Kunden nicht; die zugrunde liegende Fassung dieser Bedingungen bleibt nach § 1 Abs. 5 abrufbar. Verhaltenskodizes hat sich NIS2Have nicht unterworfen.

§ 3 Leistungsgegenstand — und was nicht geschuldet ist

(1) Kits. NIS2Have überlässt personalisierte Vorlagen und Leitfäden zum Download. Der Kunde erhält an der gelieferten Fassung ein zeitlich unbefristetes Nutzungsrecht nach § 4; Aktualisierungen richten sich nach § 8.

(2) Anwendung. NIS2Have stellt die Anwendung für die Dauer des Vertrags zur Nutzung über das Internet bereit, im Umfang der gebuchten Module, Einrichtungen und Zugänge. Der Vertrag über die Anwendung ist ein Mietvertrag (§§ 535 ff. BGB). Übergabepunkt ist der Übergang der Daten vom Rechenzentrum in das Internet; für die Verbindung von dort bis zum Kunden ist NIS2Have nicht verantwortlich.

(3) Unentgeltliche Leistungen können jederzeit geändert oder eingestellt werden. Für sie besteht keine Verfügbarkeitszusage.

(4) Nicht Gegenstand des Vertrags ist insbesondere:

• • Rechtsberatung. NIS2Have erbringt keine Rechtsdienstleistung im Sinne des § 2 RDG. Eine rechtliche Prüfung des Einzelfalls findet nicht statt.
• • Steuerberatung, Wirtschaftsprüfung oder eine Beratungsleistung zur Informationssicherheit im Einzelfall.
• • Zertifizierung, Auditierung oder die Bestätigung eines Compliance-Status.
• • Aktive Sicherheitsprüfungen. Der Betroffenheitscheck wertet ausschließlich öffentlich verfügbare Informationen aus (OSINT). Ein aktives Schwachstellen-Scanning oder ein Penetrationstest der Systeme des Kunden oder Dritter findet nicht statt und ist auch nicht geschuldet.
• • Die Prüfung, Bewertung oder Freigabe der vom Kunden erfassten Inhalte und der von ihm erstellten Dokumentation.
• • Die Zusicherung, dass die Nutzung zur Erfüllung von Pflichten nach BSIG/NIS2UmsuCG, DSGVO oder anderen Vorschriften führt oder eine behördliche Anerkennung bewirkt.

Inhalte, Vorlagen, Checklisten und Auswertungen sind allgemeine Informationen und Arbeitshilfen. Die rechtliche Bewertung, die Anpassung an den Einzelfall und die Umsetzung obliegen dem Kunden; er hat sie erforderlichenfalls durch fachkundige Dritte prüfen zu lassen.

(5) Automatisierte Auswertungen und KI. Teile der Leistung, insbesondere der Betroffenheitscheck und einzelne Auswertungen, werden automatisiert und unter Einsatz von KI-Systemen Dritter erzeugt. Sie können unvollständig oder unzutreffend sein und sind vor jeder Verwendung durch den Kunden zu prüfen. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Der Einsatz wird nach Art. 50 der Verordnung (EU) 2024/1689 offengelegt.

(6) Kein Werkvertrag, kein Erfolg. Gegenstand des Vertrags ist die Überlassung von Vorlagen und die Bereitstellung der Anwendung, nicht die Herstellung eines Werks. Ein bestimmter Erfolg — insbesondere eine vollständige, prüfungsfeste oder behördlich anerkannte Dokumentation — ist nicht geschuldet, und eine Abnahme (§ 640 BGB) findet nicht statt.

(7) Vorschau- und Testfunktionen — als „Beta“, „Pilot“ oder „in Vorbereitung“ gekennzeichnete Funktionen — gehören nicht zur vertraglich geschuldeten Leistung. NIS2Have stellt sie zusätzlich und unentgeltlich bereit; sie können jederzeit geändert oder eingestellt werden, und für sie gelten die Regelungen über unentgeltliche Leistungen (Absatz 3 und § 11 Abs. 3).

§ 4 Nutzungsrechte

(1) Kits. Der Kunde erhält ein einfaches, nicht ausschließliches, nicht übertragbares und nicht unterlizenzierbares Recht, die Vorlagen zeitlich unbefristet für interne Zwecke im benannten Unternehmen zu nutzen. Gestattet sind insbesondere: Bearbeiten und Ausfüllen, Übermittlung an das BSI oder andere Behörden, interne Kopien für Beschäftigte und die Anpassung an die eigenen Verhältnisse.

(2) Anwendung. Der Kunde erhält ein einfaches, nicht übertragbares, auf die Vertragslaufzeit und die gebuchten Zugänge beschränktes Nutzungsrecht. Ein Zugang ist einer natürlichen Person zugeordnet und darf nicht von mehreren Personen gemeinsam genutzt werden; der Zugang darf einer anderen Person übertragen werden, wenn die erste ausscheidet.

(3) Untersagt ist: Weitergabe, Verkauf, Vermietung oder Überlassung an Dritte; Veröffentlichung im Internet oder in fremden Intranets; die Nutzung durch andere Unternehmen einschließlich verbundener Unternehmen und Konzerntöchter (jeweils eigene Lizenz erforderlich); das Entfernen oder Verändern von Lizenz-IDs, Wasserzeichen oder Urheberrechtsvermerken; die Verwendung als Grundlage eigener kommerzieller Vorlagen- oder Softwareprodukte; die Zurückentwicklung über § 69e UrhG hinaus; automatisierte Massenabrufe; sowie Sicherheitsuntersuchungen ohne vorherige Zustimmung von NIS2Have in Textform. Schwachstellen, die bei bestimmungsgemäßer Nutzung auffallen, an info@nis2have.eu zu melden, ist ausdrücklich erwünscht und kein Verstoß.

(4) Personalisierung. Kits enthalten eine Lizenz-ID und den Firmennamen des Kunden in Dokumenteigenschaften, Kopf- und Fußzeilen sowie Metadaten; eine unberechtigte Weitergabe ist über die Lizenz-ID nachvollziehbar. Bei einem erheblichen Verstoß gegen Absatz 3 kann NIS2Have das Nutzungsrecht nach erfolgloser Abmahnung mit Wirkung für die Zukunft widerrufen; einer Abmahnung bedarf es nicht, wenn sie keinen Erfolg verspricht oder der Verstoß so schwer wiegt, dass ein Festhalten am Nutzungsrecht nicht zumutbar ist. Ansprüche auf Unterlassung und Schadensersatz bleiben unberührt.

§ 5 Verfügbarkeit, Wartung, Support

(1) Geschuldet ist eine Verfügbarkeit der Anwendung von 95 % im Monatsmittel, gemessen am Übergabepunkt nach § 3 Abs. 2 (vereinbarte Beschaffenheit).

(2) Nicht als Ausfall gelten: angekündigte Wartungsfenster von insgesamt höchstens acht Stunden im Kalendermonat (in der Regel außerhalb der Zeit von 8 bis 18 Uhr an Werktagen, Ankündigung mindestens 24 Stunden vorher), dringende Sicherheitsmaßnahmen, höhere Gewalt nach § 12 sowie Störungen im Verantwortungsbereich des Kunden oder seines Zugangsproviders.

(3) Der aktuelle Betriebszustand und zurückliegende Störungen werden ohne Anmeldung unter nis2have.eu/status veröffentlicht.

(4) Support wird an Werktagen per E-Mail und über das Kontaktformular geleistet. Eine Reaktions- oder Wiederherstellungszeit wird nicht zugesagt, soweit nicht individuell vereinbart.

(5) Eine Minderung nach § 536 BGB setzt der Kunde nicht durch Abzug von laufenden Entgelten durch, sondern macht sie gegenüber NIS2Have in Textform geltend. Sein Anspruch auf Rückzahlung zu viel gezahlter Entgelte (§ 812 BGB) bleibt unberührt, ebenso § 14 Abs. 3.

§ 6 Pflichten und Obliegenheiten des Kunden

(1) Der Kunde hält Zugangsdaten geheim, gibt sie nicht weiter und zeigt einen Verdacht auf Missbrauch unverzüglich an. Er ist für Handlungen verantwortlich, die über die ihm zugeordneten Zugänge vorgenommen werden.

(2) Der Kunde stellt nur rechtmäßige Inhalte ein, verletzt keine Rechte Dritter und bringt keine Schadsoftware ein.

(3) Personenbezogene Daten Dritter — etwa von Notfallkontakten, Schulungsteilnehmenden oder Ansprechpartnern von Lieferanten — stellt der Kunde nur ein, soweit er dazu berechtigt ist. Er ist insoweit Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

(4) Datensicherung. Der Kunde exportiert die von ihm erfassten Daten in angemessenen Abständen sowie vor Beendigung des Vertrags und bewahrt sie außerhalb der Anwendung auf; die Exportfunktion findet er im Bereich Vertrag & Sicherheit. Soweit ein Datenbestand, etwa hochgeladene Dateien, darin nicht enthalten ist, stellt NIS2Have ihn auf Anforderung in einem gängigen, maschinenlesbaren Format bereit.

(5) Der Kunde stellt die Systemvoraussetzungen sicher: einen aktuellen Browser und einen geeigneten Internetzugang.

(6) Mängel zeigt der Kunde unverzüglich und nachvollziehbar an. § 377 HGB bleibt unberührt.

(7) Freistellung. Verstößt der Kunde gegen die Absätze 2 oder 3, stellt er NIS2Have auf eigene Kosten von allen hierauf beruhenden Ansprüchen Dritter frei, verteidigt NIS2Have gegen solche Ansprüche und hält NIS2Have schadlos, einschließlich angemessener Kosten der Rechtsverteidigung. Das gilt nicht, soweit der Kunde den Verstoß nicht zu vertreten hat.

(8) Hinweise auf rechtswidrige Inhalte. Rechtswidrige Inhalte in der Anwendung kann jede Person über die im Impressum genannte Kontaktstelle melden (Art. 16 der Verordnung (EU) 2022/2065, Gesetz über digitale Dienste). NIS2Have prüft jede Meldung durch einen Menschen; eine automatisierte Moderation von Inhalten findet nicht statt. Werden Inhalte des Kunden entfernt oder wird sein Zugang nach § 9 Abs. 5 gesperrt, teilt NIS2Have ihm dies unter Angabe der Gründe mit (Art. 17 der Verordnung).

§ 7 Daten des Kunden, Datenschutz

(1) Die vom Kunden erfassten Daten bleiben seine Daten. NIS2Have verarbeitet sie ausschließlich zur Erfüllung des Vertrags.

(2) Soweit NIS2Have bei der Bereitstellung der Anwendung personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt die Anlage Auftragsverarbeitung am Ende dieser Bedingungen (Vertrag nach Art. 28 DSGVO). Die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter, auf die sie verweist, sind im Bereich Vertrag & Sicherheit der Anwendung abrufbar. Wie NIS2Have Daten verarbeitet, für die NIS2Have selbst verantwortlich ist, beschreiben die Datenschutzhinweise.

(3) Kein Training von KI-Modellen. NIS2Have nutzt die Daten des Kunden nicht zum Training eigener oder fremder KI-Modelle. Eine Auswertung zu statistischen Zwecken erfolgt ausschließlich anonymisiert oder aggregiert.

(4) Nach Vertragsende stehen die Daten des Kunden noch 30 Tage zum Abruf bereit; NIS2Have stellt sie auf Anforderung in einem gängigen, maschinenlesbaren Format zur Verfügung. Danach werden sie innerhalb weiterer 30 Tage gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen; für Rechnungs- und Lizenzdaten gelten § 147 AO und § 257 HGB.

(5) Vertraulichkeit. Beide Parteien behandeln als vertraulich gekennzeichnete oder erkennbar vertrauliche Informationen der jeweils anderen Partei vertraulich, verwenden sie nur zur Durchführung des Vertrags und machen sie nur den Personen zugänglich, die sie dafür kennen müssen und ihrerseits entsprechend verpflichtet sind. Das gilt nicht für Informationen, die der empfangenden Partei bereits bekannt waren, die sie später rechtmäßig von einem nicht zur Vertraulichkeit verpflichteten Dritten erhalten hat, die öffentlich bekannt sind oder ohne Verstoß gegen diese Regelung öffentlich bekannt werden, oder die sie unabhängig und ohne Rückgriff auf die vertraulichen Informationen selbst entwickelt hat. Gesetzliche oder behördliche Offenlegungspflichten bleiben unberührt; die betroffene Partei unterrichtet die andere, soweit dies zulässig ist. Die Pflicht gilt für die Vertragsdauer und drei Jahre darüber hinaus, für Geschäftsgeheimnisse im Sinne des GeschGehG so lange, wie sie Geschäftsgeheimnis bleiben.

§ 8 Aktualisierungen und Änderungen der Leistung

(1) Kits. Der Kunde erhält für 12 Monate ab Kauf kostenfreie Aktualisierungen, wenn sich die Anforderungen nach BSIG/NIS2UmsuCG oder die Vorgaben des BSI ändern. Aktualisierungen werden per E-Mail bereitgestellt. Nach Ablauf besteht kein Anspruch auf weitere kostenfreie Aktualisierungen; eine kostenpflichtige Verlängerung kann gesondert angeboten werden.

(2) Anwendung. Die Anwendung wird laufend weiterentwickelt. NIS2Have darf Funktionen ändern, ergänzen oder ersetzen, soweit der vertragsgemäße Nutzen dadurch nicht wesentlich beeinträchtigt wird. Wesentliche Einschränkungen des Funktionsumfangs kündigt NIS2Have mindestens sechs Wochen vorher in Textform an; der Kunde kann in diesem Fall zum Wirksamkeitszeitpunkt außerordentlich kündigen.

§ 9 Laufzeit, Kündigung, Sperrung

(1) Der Erwerb eines Kits begründet kein Dauerschuldverhältnis; das Nutzungsrecht nach § 4 Abs. 1 ist unbefristet.

(2) Die Laufzeit für die Anwendung richtet sich nach der Bestellung. Sie verlängert sich jeweils um dieselbe Periode, wenn nicht mit einer Frist von 14 Tagen (bei monatlicher Laufzeit) oder einem Monat (bei jährlicher Laufzeit) zum Laufzeitende gekündigt wird.

(3) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Für NIS2Have liegt ein wichtiger Grund insbesondere bei einem erheblichen Verstoß gegen § 4 oder § 6 sowie bei Zahlungsverzug mit mehr als zwei Monatsbeträgen vor.

(4) Kündigung und Zahlungseinzug sind zweierlei. Die Kündigung bedarf der Textform; eine E-Mail genügt und ist wirksam. Sie beendet für sich genommen aber nicht den Einzug durch unseren Zahlungsdienstleister. Das laufende Abonnement kündigt der Kunde deshalb zusätzlich selbst in der Abonnementverwaltung unseres Zahlungsdienstleisters, die in der Anwendung verlinkt ist. Hat der Kunde uns lediglich in Textform gekündigt, veranlassen wir die Beendigung des Abonnements unverzüglich; ein dennoch eingezogener Betrag wird erstattet.

(5) Sperrung. Bei einem erheblichen Verstoß kann NIS2Have den Zugang nach vorheriger Ankündigung unter Angabe der Gründe vorübergehend sperren. Der Vergütungsanspruch bleibt für diesen Zeitraum bestehen. Der lesende Zugriff auf bereits erfasste Daten und deren Export bleiben möglich, soweit dies zumutbar ist und der Sperrgrund dem nicht entgegensteht.

§ 10 Mängelhaftung

(1) Kits. Es gelten die gesetzlichen Vorschriften über Mängel beim Kauf (§§ 434 ff. in Verbindung mit § 453 BGB), soweit diese Bedingungen nichts anderes bestimmen. Die Nacherfüllung erfolgt durch Bereitstellung einer berichtigten Fassung.

(2) Anwendung. Es gelten die §§ 535 ff. BGB. Die verschuldensunabhängige Haftung für Mängel, die bereits bei Vertragsschluss vorhanden waren (§ 536a Abs. 1 Alt. 1 BGB), ist ausgeschlossen.

(3) Unerhebliche Abweichungen sowie Beeinträchtigungen, die auf einer nicht vertragsgemäßen Nutzung, auf Änderungen durch den Kunden oder auf Störungen in seinem Verantwortungsbereich beruhen, sind keine Mängel.

(4) Eine Abnahme findet nicht statt (§ 3 Abs. 6). Die Nutzung der Anwendung, der Abruf von Vorlagen und die Zahlung von Entgelten sind keine Abnahme und kein Anerkenntnis der Vertragsgemäßheit.

§ 11 Haftung

(1) Unbeschränkt haftet NIS2Have (a) bei Vorsatz und grober Fahrlässigkeit, (b) für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, (c) nach dem Produkthaftungsgesetz sowie (d) im Umfang einer übernommenen Garantie und bei arglistigem Verschweigen eines Mangels.

(2) Bei einfacher Fahrlässigkeit haftet NIS2Have nur bei der Verletzung einer wesentlichen Vertragspflicht und der Höhe nach begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden. Wesentlich sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

(3) Höhe. Der vertragstypische, vorhersehbare Schaden im Sinne des Absatzes 2 ist begrenzt auf das Entgelt für die betroffene Leistung (Vertragsvolumen): bei Kits auf den gezahlten Kaufpreis, bei der Anwendung auf das Entgelt, das der Kunde in den zwölf Monaten vor dem schadensauslösenden Ereignis gezahlt hat. Für unentgeltlich bereitgestellte Leistungen ist dieses Entgelt null; eine Haftung nach Absatz 2 besteht insoweit nicht.

(4) Datenverlust. Die Haftung für den Verlust von Daten ist auf den Aufwand beschränkt, der zu ihrer Wiederherstellung erforderlich gewesen wäre, wenn der Kunde seine Daten nach § 6 Abs. 4 gesichert hätte.

(5) Mittelbare Schäden, Folgeschäden, entgangener Gewinn. Im Rahmen des Absatzes 2 haftet NIS2Have für entgangenen Gewinn, ausgebliebene Einsparungen und mittelbare Schäden nicht, soweit diese nicht zugleich vertragstypisch und bei Vertragsschluss vorhersehbar waren. Soweit hierfür gehaftet wird, gilt die Begrenzung nach Absatz 3; ein darüber hinausgehender Betrag wird nicht geschuldet.

(6) Keine Haftung besteht für die Richtigkeit, Vollständigkeit und Rechtskonformität der vom Kunden erstellten Dokumentation sowie für Bußgelder, Sanktionen oder sonstige behördliche Maßnahmen gegenüber dem Kunden. Grund hierfür ist § 3 Abs. 4: Die rechtliche Bewertung und die Umsetzung obliegen dem Kunden.

(7) Die Absätze 2 bis 6 gelten nicht in den Fällen des Absatzes 1.

(8) Die vorstehenden Beschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und Erfüllungsgehilfen von NIS2Have.

(9) § 254 BGB bleibt unberührt, insbesondere bei einem Verstoß gegen § 6 Abs. 4 (Datensicherung) und gegen die Prüfobliegenheit nach § 3 Abs. 4.

(10) Verjährung. Ansprüche des Kunden wegen Mängeln sowie auf Schadensersatz und Ersatz vergeblicher Aufwendungen verjähren in einem Jahr ab dem gesetzlichen Verjährungsbeginn. Dies gilt nicht für Ansprüche nach Absatz 1 und nicht bei arglistig verschwiegenen Mängeln; insoweit bleibt es bei den gesetzlichen Fristen (§ 202 Abs. 1 BGB).

§ 12 Höhere Gewalt

Ereignisse außerhalb des Einflussbereichs einer Partei — insbesondere Naturereignisse, Krieg, Arbeitskämpfe, behördliche Maßnahmen, großflächige Ausfälle von Strom-, Telekommunikations- oder Cloud-Infrastruktur sowie Angriffe auf die Informationstechnik, die trotz der vereinbarten technischen und organisatorischen Maßnahmen nicht abgewehrt werden konnten — befreien die betroffene Partei für ihre Dauer und im Umfang ihrer Wirkung von der Leistungspflicht. Die betroffene Partei zeigt dies unverzüglich an. Dauert das Ereignis länger als sechs Wochen, kann jede Partei den betroffenen Vertrag kündigen.

§ 13 Maßgebliche Fassung dieser Bedingungen

(1) Für jeden Vertrag gilt die Fassung dieser Bedingungen, der der Kunde bei Vertragsschluss zugestimmt hat. Spätere Fassungen gelten für diesen Vertrag nicht.

(2) Die zugestimmte Fassung wird mit Versionsbezeichnung und Datum dauerhaft im Bereich Vertrag & Sicherheit der Anwendung bereitgehalten und ist dort jederzeit abrufbar. Zeitpunkt der Zustimmung und zustimmende Person werden dabei festgehalten. Jede veröffentlichte Fassung bleibt außerdem unverändert unter nis2have.eu/agb abrufbar.

(3) NIS2Have kann für künftige Vertragsschlüsse jederzeit eine neue Fassung veröffentlichen. Neue Kundinnen und Kunden schließen dann zu dieser Fassung ab; am bestehenden Vertrag ändert das nichts.

(4) Eine Änderung der für einen bestehenden Vertrag geltenden Fassung ist nur mit Zustimmung des Kunden möglich. NIS2Have kann eine solche Zustimmung im Bereich Vertrag & Sicherheit einholen; erteilt der Kunde sie nicht, bleibt es bei der bisherigen Fassung.

(5) Bei einer Verlängerung nach § 9 Abs. 2 gilt die bisher zugestimmte Fassung fort.

§ 14 Schlussbestimmungen

(1) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts (CISG).

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten ist Winnenden, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. NIS2Have ist berechtigt, auch am allgemeinen Gerichtsstand des Kunden zu klagen.

(3) Der Kunde kann nur mit unbestrittenen, rechtskräftig festgestellten oder entscheidungsreifen Forderungen aufrechnen sowie mit Forderungen, die zu der Forderung von NIS2Have im Gegenseitigkeitsverhältnis stehen. Ein Zurückbehaltungsrecht steht ihm nur wegen Ansprüchen aus demselben Vertragsverhältnis zu.

(4) Rechte und Pflichten aus dem Vertrag kann der Kunde nur mit Zustimmung von NIS2Have übertragen. § 354a HGB bleibt unberührt.

(5) Mündliche Nebenabreden bestehen nicht. Änderungen und Ergänzungen bedürfen der Textform. Individuelle Vertragsabreden haben Vorrang (§ 305b BGB).

(6) Sind oder werden einzelne Bestimmungen ganz oder teilweise unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften (§ 306 BGB).

(7) NIS2Have nimmt nicht an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teil; die Leistungen richten sich ausschließlich an Unternehmen.

Anlage Auftragsverarbeitung (Vertrag nach Art. 28 DSGVO)

Diese Anlage gilt, soweit NIS2Have bei der Bereitstellung der Anwendung personenbezogene Daten im Auftrag des Kunden verarbeitet. Insoweit ist der Kunde Verantwortlicher und NIS2Have Auftragsverarbeiter (Art. 4 Nr. 7 und 8 DSGVO). Sie gilt nicht für Daten, die NIS2Have als eigener Verantwortlicher verarbeitet, insbesondere zur Anbahnung, Durchführung und Abrechnung des Vertrags und zur Sicherheit der eigenen Systeme; dafür gelten die Datenschutzhinweise.

1. Gegenstand, Art, Zweck und Dauer. NIS2Have speichert und verarbeitet die Daten, die der Kunde und seine Nutzer in der Anwendung erfassen oder hochladen, damit der Kunde seine Pflichten zur Informationssicherheit, insbesondere nach dem BSIG, dokumentieren und umsetzen kann. Die Verarbeitung umfasst das Erfassen, Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln — etwa den Versand von Einladungen, Anmeldecodes und Lieferantenanfragen per E-Mail —, Exportieren und Löschen. Sie dauert so lange wie der Vertrag über die Anwendung und endet mit der Löschung nach Ziffer 9.

2. Betroffene Personen und Arten von Daten. Betroffen sind Beschäftigte, Organmitglieder und Beauftragte des Kunden, Nutzerinnen und Nutzer der Anwendung, Schulungsteilnehmende, Notfall- und Krisenkontakte, Ansprechpersonen bei Lieferanten, Dienstleistern und Behörden sowie weitere Personen, die der Kunde in Registern, Vorfällen, Maßnahmen oder Nachweisen nennt. Verarbeitet werden insbesondere Namen, Funktionen und dienstliche Kontaktdaten, Rollen und Zuständigkeiten, Teilnahme, Fortschritt und Ergebnisse von Schulungen, Angaben in Risiko-, Vorfall-, Maßnahmen- und Lieferantenregistern, Antworten in Lieferantenfragebögen, hochgeladene Nachweise sowie Angaben dazu, wer wann was geändert hat. Die Anwendung ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und nicht für Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) bestimmt; der Kunde erfasst solche Daten nicht.

3. Weisungen. NIS2Have verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, NIS2Have ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt NIS2Have dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Weisungen sind in diesen Bedingungen einschließlich dieser Anlage und in der Nutzung der Funktionen der Anwendung durch den Kunden festgelegt; sie umfassen auch die Erstellung anonymisierter oder aggregierter Statistiken nach § 7 Abs. 3. Weitere Weisungen erteilt der Kunde in Textform. Ist NIS2Have der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert NIS2Have den Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4. Vertraulichkeit. NIS2Have gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung. NIS2Have trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind im Bereich Vertrag & Sicherheit der Anwendung beschrieben und Bestandteil dieser Anlage. NIS2Have darf sie dem technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dort dokumentiert.

6. Unterauftragsverarbeiter. Der Kunde erteilt NIS2Have die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen. Die bei Vertragsschluss eingesetzten sind im Bereich Vertrag & Sicherheit mit Sitz, Zweck und der Grundlage einer etwaigen Übermittlung in ein Drittland aufgeführt und gelten als genehmigt. Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert NIS2Have den Kunden mindestens vier Wochen im Voraus in Textform. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; finden die Parteien keine Lösung, kann jede Partei den Vertrag über die Anwendung zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam werden soll. NIS2Have wählt Unterauftragsverarbeiter sorgfältig aus und erlegt ihnen vertraglich Datenschutzpflichten auf, die denen dieser Anlage entsprechen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet NIS2Have gegenüber dem Kunden für die Einhaltung von dessen Pflichten.

7. Übermittlung in Drittländer. Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, einschließlich des Beschlusses zum EU-US Data Privacy Framework, oder von Standardvertragsklauseln der Europäischen Kommission. Die Grundlage ist für jeden Unterauftragsverarbeiter in der Liste nach Ziffer 6 angegeben.

8. Unterstützung des Kunden. NIS2Have unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten; die Anwendung erlaubt dafür das Anzeigen, Berichtigen, Exportieren und Löschen der Daten. Wendet sich eine betroffene Person unmittelbar an NIS2Have, leitet NIS2Have ihr Anliegen unverzüglich an den Kunden weiter. Unter Berücksichtigung der Art der Verarbeitung und der NIS2Have vorliegenden Informationen unterstützt NIS2Have den Kunden außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet NIS2Have dem Kunden unverzüglich, nachdem NIS2Have von ihr Kenntnis erlangt hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben reicht NIS2Have nach, sobald sie vorliegen.

9. Rückgabe und Löschung. Nach Ende der Leistungen gibt NIS2Have die Daten nach Wahl des Kunden zurück oder löscht sie. Die Rückgabe erfolgt über die Exportfunktion oder nach § 7 Abs. 4 innerhalb von 30 Tagen nach Vertragsende; danach, oder auf Verlangen des Kunden früher, löscht NIS2Have die Daten innerhalb weiterer 30 Tage, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Kopien in Datensicherungen werden mit deren turnusmäßigem Ablauf gelöscht. Auf Verlangen bestätigt NIS2Have die Löschung in Textform.

10. Nachweise und Überprüfungen. NIS2Have stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, ermöglicht Überprüfungen einschließlich Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer durchführt, und trägt dazu bei. Nachweise können insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen, Auskünfte in Textform sowie Prüfberichte und Zertifikate der Unterauftragsverarbeiter erbracht werden. Inspektionen vor Ort kündigt der Kunde mit angemessener Frist, in der Regel vier Wochen, an; sie finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und setzen voraus, dass die Prüfer zur Vertraulichkeit verpflichtet sind. Jede Partei trägt ihre eigenen Kosten.

11. Pflichten des Kunden. Der Kunde ist für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für deren Information nach Art. 13 und 14 DSGVO. Er unterrichtet NIS2Have unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

12. Haftung, Vorrang, Dauer. Für die Haftung der Parteien untereinander gilt § 11; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Widerspricht diese Anlage in einer Frage des Datenschutzes den übrigen Bestimmungen dieser Bedingungen, geht sie vor. Sie gilt, solange NIS2Have Daten des Kunden im Auftrag verarbeitet, auch über das Ende des Vertrags hinaus.

Stand und Fassung

Fassung vom 26. September 2026. Frühere Fassungen sind mit dem Zeitraum, in dem sie veröffentlicht waren, unverändert unter nis2have.eu/agb abrufbar. Maßgeblich für Ihren Vertrag ist die Fassung, der Sie bei Vertragsschluss zugestimmt haben (§ 13). Angemeldete Kunden finden sie mit dem Zeitpunkt ihrer Zustimmung im Bereich Vertrag & Sicherheit ihrer Organisation.