Allgemeine Geschäftsbedingungen (AGB)

Anbieter: DX World – Daniel Acar, Einzelunternehmer · Schlehenweg 10, 74321 Bietigheim-Bissingen, Deutschland · E-Mail: kontakt@dxworld.de

§ 1 Geltungsbereich und Anbieter

1.1 Anbieter

Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") gelten für alle Verträge über die Nutzung der Software-as-a-Service-Lösung TenantSecure (nachfolgend „Dienst") zwischen DX World – Daniel Acar (nachfolgend „Anbieter") und dem Kunden (nachfolgend „Kunde").

1.2 Ausschließlich B2B

Der Dienst richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB. Verbrauchern im Sinne von § 13 BGB ist die Nutzung nicht gestattet. Durch Registrierung bestätigt der Kunde, Unternehmer im vorgenannten Sinne zu sein.

1.3 Vorrang dieser AGB

Diese AGB gelten ausschließlich. Entgegenstehende oder abweichende Bedingungen des Kunden erkennt der Anbieter nur an, wenn er diesen ausdrücklich schriftlich zugestimmt hat.

1.4 Kleinunternehmerregelung

Der Anbieter ist Kleinunternehmer im Sinne von § 19 Abs. 1 UStG. Alle genannten Preise sind Endpreise; eine Umsatzsteuer wird nicht ausgewiesen und nicht berechnet.

§ 2 Vertragsschluss und Testphase

2.1 Vertragsschluss

Der Vertrag kommt durch die Registrierung des Kunden und die ausdrückliche Annahme dieser AGB (Checkbox im Registrierungsprozess) zustande.

2.2 Testphase (Trial)

Neukunden erhalten nach Registrierung eine kostenlose Testphase von 14 Kalendertagen. Während der Testphase ist der Dienst funktionsgleich mit dem kostenpflichtigen Tarif. Es erfolgt kein automatischer Übergang in ein kostenpflichtiges Abonnement: Nach Ablauf erlischt der Zugang, sofern der Kunde nicht aktiv den kostenpflichtigen Tarif aktiviert.

2.3 Kein Anspruch auf Testphase

Ein Anspruch auf eine Testphase besteht nicht. Der Anbieter kann sie aus wichtigem Grund verkürzen oder beenden, insbesondere bei Verdacht auf Missbrauch.

§ 3 Leistungsbeschreibung

3.1 Kernfunktionen

TenantSecure ist eine cloudbasierte Sicherheitslösung für Microsoft-365-Tenants. Der Dienst umfasst:

• Modul A – Permission Auditor: Erkennung und Risikobewertung von Drittanbieter-Apps mit Zugriff auf den M365-Tenant (Scan alle 24 h; manuell auf Abruf).
• Modul B – Threat Detection: Near-Realtime-Erkennung (ca. 5 Min) verdächtiger Anmeldeereignisse und neuer E-Mail-Weiterleitungsregeln anhand von Metadaten.
• Remediation auf Nutzer-Klick: Abhilfemaßnahmen (App-Zugriff entziehen, Sitzungen widerrufen, Weiterleitungsregeln deaktivieren) ausschließlich auf explizite Interaktion eines berechtigten Administrators – nicht automatisch.
• Sicherheits-Durchsetzung (Enforcement): Auf explizite Auslösung durch einen berechtigten Administrator kann der Dienst schreibende Konfigurationsänderungen vornehmen, insbesondere die Aktivierung der Microsoft Security Defaults – auch über mehrere betreute Mandanten hinweg, geführt über Vorschau, Bestätigung, Audit-Protokoll und Rückgängig-Funktion. Zusätzlich read-only Empfehlungen zum Bedingten Zugriff.
• Compliance & Reporting: Compliance-Berichte (PDF), DSGVO-Datenexport (JSON), Audit-Log.
• MSP-Mandantenmodell: Verwaltung mehrerer Kundenmandanten (Einladungen, Rollen Owner/Admin/Readonly, konsolidierte Abrechnung). Im MSP-Modell löst ein berechtigter Administrator des Kunden Aktionen – auch schreibende – auf den betreuten Endkunden-Mandanten aus.

3.2 Technische Zugangsvoraussetzungen

Die Nutzung setzt einen aktiven Microsoft-365-Tenant und die Erteilung der erforderlichen Microsoft-Graph-Berechtigungen über den Microsoft-Entra-Admin-Consent-Prozess voraus – lesende Berechtigungen für Analyse/Erkennung und – für Remediation und Enforcement – zusätzlich schreibende Berechtigungen. Ohne die jeweils erforderliche Zustimmung ist die betreffende Funktion nicht nutzbar.

3.3 Leistungsgrenzen (ausdrücklich nicht zugesagt)

• Keine Garantie der Bedrohungsfreiheit: Der Dienst ergänzt bestehende Microsoft-Sicherheitslösungen und ersetzt sie nicht. Falsch-Positive und Falsch-Negative sind systemimmanent möglich.
• Ausschließlich Metadaten: verarbeitet werden nur Metadaten – E-Mail-, Kalender-, Datei- und SharePoint-Inhalte werden nicht verarbeitet und nicht gespeichert.
• Kein Sicherheitszertifikat: Der Anbieter ist kein akkreditierter Sicherheitsprüfer und stellt keine behördlich anerkannten Bescheinigungen (z. B. NIS2) aus.
• Microsoft-Infrastruktur außerhalb der Verantwortung: Ausfälle/Änderungen der M365-Plattform bzw. Graph API liegen außerhalb der Verantwortung des Anbieters.

§ 4 Preise, Abrechnung und Zahlung

4.1 Tarif

Es gibt einen einzigen Tarif (Partner / MSP – Per-Seat):

4.2 Seat-Zählung

Die abzurechnende Seat-Anzahl entspricht der Gesamtzahl der M365-Nutzer über alle verwalteten Mandanten. Die Zählung erfolgt automatisch über die Microsoft Graph API und wird täglich sowie bei jedem Scan aktualisiert. Bis zur ersten vollständigen Zählung gilt das Plattform-Minimum.

4.3 Abrechnung und Zahlungsabwicklung

Die Abrechnung erfolgt monatlich im Voraus. Zahlungsdienstleister ist Stripe Payments Europe Ltd. Mit Aktivierung des kostenpflichtigen Tarifs stimmt der Kunde der Verarbeitung seiner Zahlungsdaten durch Stripe gemäß dessen Nutzungsbedingungen zu.

4.4 Fälligkeit und Verzug

Zahlungen sind sofort fällig. Bei Zahlungsverzug ist der Anbieter berechtigt, den Zugang nach schriftlicher Ankündigung mit einer Frist von sieben Kalendertagen vorübergehend zu sperren und gesetzliche Verzugszinsen gemäß § 288 Abs. 2 BGB zu berechnen.

4.5 Preisanpassungen

Preisanpassungen werden mit einer Frist von mindestens 30 Tagen vor Wirksamwerden per E-Mail mitgeteilt. Widerspricht der Kunde nicht, gilt der neue Preis als akzeptiert (Hinweis auf diese Rechtsfolge in der Mitteilung). Bei Widerspruch besteht ein Kündigungsrecht gemäß § 5.3.

§ 5 Laufzeit und Kündigung

5.1 Laufzeit

Auf unbestimmte Zeit; keine Mindestlaufzeit.

5.2 Ordentliche Kündigung

Beide Parteien können jederzeit zum Ende des laufenden Kalendermonats kündigen – per E-Mail an kontakt@dxworld.de oder über die Self-Service-Kündigungsfunktion.

5.3 Kündigung bei Preisanpassung

Bei Widerspruch gegen eine Preisanpassung gemäß § 4.5 besteht ein außerordentliches Kündigungsrecht zum Zeitpunkt des Inkrafttretens.

5.4 Außerordentliche Kündigung

Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt (u. a. Zahlungsverzug > 30 Tage trotz Mahnung; schwerwiegender/wiederholter Verstoß gegen § 6; Insolvenz).

5.5 Folgen der Kündigung

Nach Vertragsende werden sämtliche Daten des Kunden innerhalb von 30 Tagen unwiderruflich gelöscht. Auf rechtzeitige Anfrage stellt der Anbieter zuvor einen strukturierten Datenexport (JSON, DSGVO Art. 20) bereit. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 6 Pflichten des Kunden

• Zugangssicherheit: Der Kunde ist für die Sicherheit seines Microsoft-Kontos verantwortlich und meldet unbefugten Zugriff unverzüglich.
• Microsoft-Admin-Consent: Der Kunde erteilt den erforderlichen Consent rechtmäßig und kann ihn jederzeit im Microsoft Entra Admin Center widerrufen.
• Datenschutzrechtliche Verantwortung: Der Kunde bleibt Verantwortlicher (Art. 4 Nr. 7 DSGVO) und schließt den AVV gemäß § 9 ab. Im MSP-Modell stellt er sicher, dass er zur Beauftragung und zur Auslösung von Enforcement-/Remediation-Maßnahmen für seine betreuten Endkunden-Mandanten berechtigt ist.
• Rechtmäßige Nutzung: keine rechtswidrige Nutzung, keine unverhältnismäßige Belastung, kein unbefugter Zugriff auf andere Mandanten, kein Reverse-Engineering (soweit nicht zwingend erlaubt).
• Mitarbeiter/Endkunden: Der Kunde haftet für die Einhaltung dieser AGB durch Mitarbeiter, Subunternehmer und betreute Endkunden.

§ 7 Verfügbarkeit und Support

7.1 Verfügbarkeitsziel

Angestrebte monatliche Verfügbarkeit der Dienst-API: 99,0 % (exkl. angekündigter Wartung und Drittanbieter-Ausfällen). Zielwert; in der aktuellen Phase kein vertraglicher SLA mit Gutschriftmechanismus.

7.2 Geplante Wartungsfenster

Ankündigung mindestens 24 Stunden im Voraus per E-Mail. Kurze Unterbrechungen (typisch unter 2 Minuten) möglich; Sicherheits-Hotfixes ohne Vorankündigung, mit zeitnaher Information.

7.3 Support-Kanal

Support per E-Mail unter kontakt@dxworld.de. Angestrebte Reaktionszeiten (Zielwerte, keine vertragliche Garantie in dieser Phase):

Telefon-Support wird in dieser Phase nicht angeboten.

§ 8 Haftung und Haftungsbeschränkung

8.1 Unbeschränkte Haftung

Unbeschränkte Haftung für Vorsatz und grobe Fahrlässigkeit, für die Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und sonstige zwingende gesetzliche Haftungstatbestände.

8.2 Haftung bei einfacher Fahrlässigkeit

Bei einfacher Fahrlässigkeit nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), begrenzt auf den typischerweise vorhersehbaren Schaden. Die Haftung ist der Höhe nach begrenzt auf die Summe der in den zwölf (12) Monaten vor dem Schadensereignis vom Kunden tatsächlich entrichteten Entgelte.

8.3 Ausschlüsse

Keine Haftung für: Ausfälle/Fehler der Microsoft Graph API, der M365-Infrastruktur oder sonstiger Drittanbieterdienste (Fly.io, Stripe, Resend, Vercel, Sentry); Schäden durch fehlerhafte Weisungen/Konfigurationen/Berechtigungen des Kunden; entgangenen Gewinn und Folgeschäden (soweit § 8.2 greift); vom Kunden/Dritten verursachte Datenverluste; nicht erkannte Sicherheitsbedrohungen (vgl. § 3.3).

§ 9 Datenschutz und Auftragsverarbeitung

9.1 Rollen

Der Kunde ist Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Anbieter Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) und verarbeitet die M365-Metadaten ausschließlich im Auftrag und nach Weisung des Kunden.

9.2 Auftragsverarbeitungsvertrag (AVV)

Die Parteien schließen einen AVV gemäß Art. 28 DSGVO, der Bestandteil dieser Vertragsbeziehung ist. Der AVV wird im Trust Center bereitgestellt und ist auf Anfrage erhältlich.

9.3 Datenschutzerklärung des Anbieters

Für Konto- und Abrechnungsdaten gilt die Datenschutzerklärung des Anbieters.

§ 10 Nutzungsrecht und geistiges Eigentum

Der Anbieter räumt dem Kunden für die Vertragsdauer ein einfaches, nicht übertragbares, nicht unterlizenzierbares Nutzungsrecht ein. Alle Rechte an Software, Quellcode, Oberfläche, Dokumentation und Algorithmen verbleiben beim Anbieter. Der Kunde bleibt Eigentümer seiner Scan-Ergebnisse, Threat-Events und Konfigurationsdaten; der Anbieter verarbeitet diese nur zur Vertragserfüllung und gemäß AVV.

§ 11 Änderungen dieser AGB

Änderungen werden mit einer Frist von mindestens 30 Tagen per E-Mail mitgeteilt. Widerspricht der Kunde nicht innerhalb von 30 Tagen nach Zugang, gelten die geänderten AGB als akzeptiert (Hinweis auf diese Rechtsfolge in der Mitteilung). Bei Widerspruch kann der Anbieter zum Zeitpunkt des Wirksamwerdens ordentlich kündigen.

§ 12 Schlussbestimmungen

Anwendbares Recht: Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

Gerichtsstand: soweit gesetzlich zulässig (§ 38 ZPO, B2B) der Sitz des Anbieters (Bietigheim-Bissingen); sachlich zuständig je nach Streitwert das Amtsgericht Bietigheim-Bissingen bzw. das Landgericht Stuttgart.

Salvatorische Klausel: Die Unwirksamkeit einer Bestimmung berührt die Wirksamkeit der übrigen nicht.

Textform: Nebenabreden, Änderungen und Ergänzungen bedürfen der Textform (E-Mail genügt).

Verbraucherschlichtung: Da der Dienst ausschließlich an Unternehmer (§ 14 BGB) gerichtet ist, nimmt der Anbieter nicht an Verbraucherschlichtungsverfahren teil.