Allgemeine Geschäftsbedingungen

Diese Bedingungen gelten für die Zusammenarbeit mit Unternehmen und öffentlichen Auftraggebern. Sie regeln Ablauf, Mitwirkung und Verantwortlichkeiten – Vorrang haben immer die Absprachen im jeweiligen Angebot.

Anbieter

Can Yildiz Security Consulting
Inhaber: Can Yildiz
Dietrich-Bonhoeffer-Str. 23
61440 Oberursel (Taunus), Deutschland
E-Mail: kontakt@cyi-consulting.de
USt. ID (VAT): DE439989086

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für sämtliche Verträge über Beratungs-, Trainings-, Audit-, Interim- und Vortragsleistungen zwischen Can Yildiz Security Consulting (nachfolgend „Auftragnehmer“) und dem Auftraggeber.

(2) Die Leistungen richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen. Verträge mit Verbrauchern im Sinne des § 13 BGB kommen nicht zustande.

(3) Abweichende, entgegenstehende oder ergänzende Bedingungen des Auftraggebers werden nicht Vertragsbestandteil, es sei denn, der Auftragnehmer stimmt ihnen in Textform ausdrücklich zu. Das gilt auch dann, wenn der Auftragnehmer die Leistung in Kenntnis solcher Bedingungen vorbehaltlos erbringt.

(4) Diese AGB gelten in ihrer bei Vertragsschluss aktuellen Fassung auch für alle künftigen Verträge derselben Art, ohne dass es eines erneuten Hinweises bedarf.

(5) Individuelle Vereinbarungen, insbesondere Angebot und Auftragsbestätigung, haben Vorrang vor diesen AGB (§ 305b BGB).

§ 2 Angebot und Vertragsschluss

(1) Die Darstellung von Leistungen, Trainings und Vortragsthemen auf der Website ist unverbindlich und stellt kein Angebot dar.

(2) Angebote des Auftragnehmers sind, soweit nicht anders angegeben, 30 Kalendertage ab Angebotsdatum bindend. Nach Ablauf dieser Frist ist der Auftragnehmer an das Angebot nicht mehr gebunden.

(3) Der Vertrag kommt zustande, wenn der Auftragnehmer den Auftrag in Textform bestätigt oder mit der Leistungserbringung beginnt. Textform bedeutet in diesen AGB durchgehend, dass E-Mail genügt.

(4) Aufwands- und Kostenschätzungen sind unverbindlich, sofern sie nicht ausdrücklich als Festpreis bezeichnet sind.

§ 3 Leistungsgegenstand und Leistungserbringung

(1) Gegenstand des Vertrags ist die vereinbarte Dienstleistung (Dienstvertrag, §§ 611 ff. BGB), nicht ein bestimmter wirtschaftlicher, rechtlicher oder technischer Erfolg. Ein Erfolg ist nur geschuldet, wenn er ausdrücklich als Werkleistung vereinbart wurde.

(2) Der Auftragnehmer erbringt seine Leistungen fachgerecht, nach bestem Wissen und nach den anerkannten Regeln der Technik sowie dem jeweils aktuellen Stand der Informationssicherheit. In der Wahl der Methoden und Werkzeuge ist er frei, soweit nichts anderes vereinbart ist.

(3) Der Auftragnehmer darf fachlich qualifizierte Dritte als Subunternehmer einsetzen. Er bleibt Vertragspartner des Auftraggebers und verpflichtet eingesetzte Dritte auf die Vertraulichkeit nach § 12.

(4) Leistungen werden vor Ort oder remote erbracht. Welche Form geeignet ist, stimmen die Parteien vorab ab.

(5) Empfehlungen des Auftragnehmers sind Entscheidungsvorschläge. Die Entscheidung über ihre Umsetzung, der Betrieb der Systeme und die Einhaltung der den Auftraggeber treffenden Rechtspflichten verbleiben beim Auftraggeber.

(6) Ist ausdrücklich eine Werkleistung vereinbart – etwa ein Bericht oder eine Dokumentation als geschuldetes Ergebnis –, gilt ergänzend: Der Auftraggeber nimmt die Leistung nach Bereitstellung in Textform ab. Die Abnahme gilt als erteilt, wenn der Auftraggeber sie nicht binnen 14 Kalendertagen ab Bereitstellung unter Angabe der Mängel in Textform verweigert; auf diese Wirkung weist der Auftragnehmer bei der Bereitstellung hin. Unwesentliche Mängel berechtigen nicht zur Verweigerung der Abnahme. Bei Mängeln hat der Auftragnehmer zunächst das Recht zur Nacherfüllung; weitergehende Rechte des Auftraggebers bestehen erst nach erfolglosem Ablauf einer angemessenen Nachfrist.

(7) Der Auftragnehmer darf zur Leistungserbringung KI-gestützte Werkzeuge einsetzen. Vertrauliche Informationen und personenbezogene Daten des Auftraggebers werden dabei nur in Werkzeugen verarbeitet, die vertraglich zur Vertraulichkeit verpflichtet sind und die eingegebenen Daten nicht zum Training verwenden; im Übrigen werden solche Daten vor der Nutzung entfernt oder pseudonymisiert. Ergebnisse KI-gestützter Werkzeuge werden vor Verwendung fachlich geprüft; die Verantwortung für die Leistung bleibt beim Auftragnehmer. Auf Verlangen benennt er die eingesetzten Werkzeuge. Abweichende Vorgaben des Auftraggebers gehen vor.

§ 4 Abgrenzung der Leistungen

(1) Der Auftragnehmer erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes (RDG). Einordnungen zu Regelwerken wie NIS-2, Cyber Resilience Act, DORA, ISO/IEC 27001, BSI IT-Grundschutz, DSGVO oder EU AI Act erfolgen aus fachlicher Sicht der Informationssicherheit. Sie ersetzen keine anwaltliche Prüfung; die rechtliche Bewertung des Einzelfalls bleibt einem Rechtsanwalt vorbehalten.

(2) Der Auftragnehmer erbringt keine steuerliche Beratung und keine Wirtschaftsprüfungsleistungen.

(3) Der Auftragnehmer ist keine akkreditierte Zertifizierungs- oder Konformitätsbewertungsstelle. Er stellt keine Zertifikate aus und führt keine Zertifizierungsaudits durch, sondern bereitet darauf vor und begleitet sie. Ein Zertifizierungserfolg oder eine bestimmte Bewertung durch Zertifizierungsstellen, Auditoren, Kunden oder Behörden ist nicht geschuldet.

(4) Gesetzliche Pflichten des Auftraggebers und seiner Geschäftsleitung – insbesondere Leitungs-, Überwachungs- und Meldepflichten aus NIS-2, dem BSI-Gesetz, dem Cyber Resilience Act oder der DSGVO – gehen durch die Beauftragung nicht auf den Auftragnehmer über.

§ 5 Trainings, Workshops und Vorträge

(1) Trainings werden als Inhouse-Veranstaltung vor Ort oder remote durchgeführt. Inhalte, Dauer, Zielgruppe und Teilnehmerzahl werden vorab abgestimmt; veröffentlichte Agenden sind ein Rahmen und kein abschließendes Skript.

(2) Der Auftraggeber stellt bei Präsenzveranstaltungen geeignete Räume und Technik, bei Remote-Formaten eine funktionsfähige Konferenzlösung sowie geeignete Endgeräte der Teilnehmenden.

(3) Die vereinbarte Teilnehmerzahl darf ohne vorherige Zustimmung in Textform nicht überschritten werden. Eine Überschreitung berechtigt den Auftragnehmer, den Mehraufwand nach den vereinbarten Sätzen zu berechnen.

(4) Schulungsunterlagen werden den Teilnehmenden zum persönlichen Gebrauch überlassen. Bild- und Tonaufzeichnungen der Veranstaltung sowie die Weitergabe der Unterlagen an Dritte sind nur mit vorheriger Zustimmung des Auftragnehmers in Textform zulässig.

(5) Ist der Auftragnehmer an der Durchführung verhindert, bietet er einen Ersatztermin an oder stellt – nach Abstimmung – eine gleich qualifizierte Vertretung. Weitergehende Ansprüche richten sich nach § 9 Abs. 5 und § 15.

§ 6 Audits, Sicherheitsanalysen und Simulationen

(1) Dieser Paragraph gilt ergänzend für Gap-Analysen, interne Audits und Lieferantenaudits, technische Prüfungen, Phishing-Simulationen sowie Krisen- und Tabletop-Übungen.

(2) Der Auftraggeber sichert zu, dass er über alle einbezogenen Systeme, Daten, Netze und Räume verfügungsbefugt ist. Sind Dritte betroffen – etwa Rechenzentren, Cloud- oder Managed-Service-Anbieter, Konzerngesellschaften oder Vermieter –, holt der Auftraggeber deren Einwilligung ein und stellt dem Auftragnehmer die erforderlichen Freigaben vor Beginn in Textform zur Verfügung.

(3) Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass eine Berechtigung oder Einwilligung nach Absatz 2 nicht, nicht rechtzeitig oder nicht im erforderlichen Umfang vorlag.

(4) Auch bei sorgfältiger Durchführung lassen sich Rückwirkungen auf den laufenden Betrieb nicht vollständig ausschließen. Der Auftraggeber stellt vor Beginn eine vollständige, wiederherstellbare Datensicherung sicher und benennt einen während der Durchführung erreichbaren Notfallkontakt.

(5) Bei Maßnahmen mit Bezug zu Beschäftigten – insbesondere Phishing-Simulationen und Awareness-Kampagnen – verantwortet der Auftraggeber die Beteiligung der zuständigen Gremien und seiner Datenschutzorganisation. Eine individuelle Leistungs- oder Verhaltenskontrolle ist nicht Gegenstand der Leistung; Auswertungen erfolgen aggregiert und ohne Zuordnung zu einzelnen Personen, sofern nichts anderes ausdrücklich und zulässig vereinbart ist.

(6) Ergebnisse einer Prüfung sind eine Momentaufnahme zum Zeitpunkt der Untersuchung auf Grundlage der zugänglichen Informationen und des vereinbarten Prüfumfangs. Eine Gewähr für Vollständigkeit oder für die Freiheit des geprüften Bereichs von Schwachstellen wird nicht übernommen.

§ 7 Interim-Mandate und Selbstständigkeit

(1) Interim-Leistungen – etwa als externer Informationssicherheitsbeauftragter (ISB) oder Interim-CISO – erbringt der Auftragnehmer als selbstständiger Unternehmer im eigenen Namen und auf eigene Rechnung. Ein Arbeitsverhältnis wird nicht begründet; eine Arbeitnehmerüberlassung im Sinne des AÜG ist nicht Gegenstand des Vertrags.

(2) Der Auftragnehmer unterliegt keinem arbeitsrechtlichen Weisungsrecht und ist in Zeit und Ort seiner Tätigkeit frei, soweit die Aufgabe nicht ihrer Natur nach Anwesenheit oder feste Termine erfordert. Fachliche Abstimmungen, Projektvorgaben und die Einhaltung der Sicherheits- und Zutrittsregeln des Auftraggebers bleiben davon unberührt.

(3) Der Auftragnehmer nutzt eigene Arbeitsmittel, soweit nicht aus Sicherheitsgründen Systeme des Auftraggebers erforderlich sind. Die Nutzung solcher Systeme und die Teilnahme an fachlichen Regelterminen begründen keine Eingliederung in die Arbeitsorganisation des Auftraggebers.

(4) Disziplinarische Personalverantwortung für Beschäftigte des Auftraggebers übernimmt der Auftragnehmer nicht; die fachliche Steuerung im Rahmen des Mandats bleibt möglich.

(5) Die Benennung des Auftragnehmers gegenüber Behörden, Zertifizierungsstellen oder Kunden erfolgt nur nach vorheriger Abstimmung. Die gesetzliche Verantwortung der Geschäftsleitung des Auftraggebers bleibt in jedem Fall unberührt und kann durch das Mandat nicht übertragen werden.

§ 8 Mitwirkungspflichten des Auftraggebers

(1) Der Auftraggeber stellt rechtzeitig, vollständig und unentgeltlich alles bereit, was für die Leistungserbringung erforderlich ist, insbesondere:

• Informationen, Unterlagen, Richtlinien und Vorprüfungen zum Gegenstand des Auftrags
• die notwendigen Zugänge zu Systemen, Räumen und Ansprechpersonen
• eine benannte Ansprechperson mit ausreichender Entscheidungsbefugnis sowie eine Vertretung
• die Einbindung der fachlich betroffenen Bereiche, insbesondere IT-Betrieb, Datenschutz und Personalvertretung

(2) Der Auftraggeber verantwortet Richtigkeit und Vollständigkeit der überlassenen Informationen. Der Auftragnehmer darf ohne besonderen Anlass auf ihre Richtigkeit vertrauen und ist nicht verpflichtet, sie eigenständig zu überprüfen, soweit die Prüfung nicht Gegenstand des Auftrags ist.

(3) Erforderliche Freigaben und Entscheidungen trifft der Auftraggeber ohne unangemessene Verzögerung.

(4) Die Sicherung seiner Daten nach dem Stand der Technik verantwortet der Auftraggeber selbst, insbesondere vor technischen Prüfungen und Eingriffen.

(5) Kommt der Auftraggeber seinen Mitwirkungspflichten nicht nach, verlängern sich Fristen und Termine angemessen. Nachweislicher Mehraufwand und Wartezeiten, die der Auftraggeber zu vertreten hat, können nach den vereinbarten Sätzen berechnet werden.

§ 9 Termine, Verschiebung und Absage

(1) Termine für Workshops, Trainings, Vorträge, Audits und Vor-Ort-Einsätze sind verbindlich, sobald sie in Textform bestätigt sind.

(2) Sagt der Auftraggeber einen bestätigten Termin ab oder verschiebt er ihn, kann der Auftragnehmer folgendes Ausfallhonorar berechnen:

• mehr als 14 Kalendertage vor dem Termin: kostenfrei
• 14 bis 8 Kalendertage vor dem Termin: 50 % des vereinbarten Honorars
• 7 Kalendertage oder weniger vor dem Termin: 100 % des vereinbarten Honorars

(3) Zusätzlich erstattet der Auftraggeber bereits angefallene, nicht mehr stornierbare Reise- und Nebenkosten gegen Nachweis.

(4) Auf das Ausfallhonorar rechnet sich der Auftragnehmer ersparte Aufwendungen sowie das an, was er durch anderweitige Verwendung der freigewordenen Zeit erwirbt oder zu erwerben böswillig unterlässt. Dem Auftraggeber bleibt der Nachweis vorbehalten, dass kein oder ein wesentlich geringerer Schaden entstanden ist.

(5) Ist der Auftragnehmer aus Gründen, die er nicht zu vertreten hat – insbesondere Krankheit oder höhere Gewalt –, an der Durchführung gehindert, informiert er den Auftraggeber unverzüglich und bietet einen Ersatztermin an. Findet die Leistung nicht statt, entfällt die Vergütung; bereits gezahlte Beträge werden erstattet. Weitergehende Ansprüche bestehen nur nach Maßgabe von § 15.

§ 10 Vergütung, Reisekosten und Zahlung

(1) Die Vergütung erfolgt nach Stundensatz, nach Tagessatz oder nach vereinbartem Festpreis. Ein Tagessatz umfasst acht Stunden Leistungszeit; darüber hinausgehender Aufwand wird nach Abstimmung anteilig oder nach dem vereinbarten Stundensatz berechnet. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.

(2) Reisezeiten und Reisekosten werden gesondert nach Aufwand und gegen Nachweis berechnet, sofern nichts anderes vereinbart ist.

(3) Abgerechnet wird bei Aufwandsvergütung monatlich nachträglich, bei einzelnen oder kurzen Leistungen auch unmittelbar nach Leistungserbringung, bei Festpreisen nach Abschluss der vereinbarten Leistung oder nach Meilensteinen. Bei Projekten mit einer Dauer von mehr als vier Wochen sind Abschlagsrechnungen entsprechend dem Leistungsfortschritt zulässig.

(4) Rechnungen sind innerhalb von 14 Kalendertagen ab Rechnungsdatum ohne Abzug zahlbar, sofern die Rechnung kein abweichendes Zahlungsziel ausweist.

(5) Bei Zahlungsverzug gelten die gesetzlichen Regelungen, insbesondere die Verzugszinsen nach § 288 Abs. 2 BGB und die Pauschale nach § 288 Abs. 5 BGB. Die Geltendmachung eines weitergehenden Schadens bleibt vorbehalten.

(6) Befindet sich der Auftraggeber mit einer fälligen Zahlung länger als 21 Kalendertage in Verzug, darf der Auftragnehmer nach vorheriger Ankündigung in Textform und erfolglosem Ablauf einer angemessenen Nachfrist die weitere Leistungserbringung bis zum Ausgleich zurückstellen. Dadurch verursachte Terminverschiebungen hat der Auftraggeber zu vertreten.

(7) Gegen Forderungen des Auftragnehmers kann der Auftraggeber nur mit unbestrittenen, entscheidungsreifen oder rechtskräftig festgestellten Gegenforderungen aufrechnen. Mit Gegenansprüchen aus demselben Vertragsverhältnis kann er unbeschränkt aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur wegen Gegenansprüchen aus demselben Vertragsverhältnis zu.

(8) Bei Verträgen mit einer Laufzeit von mehr als zwölf Monaten kann der Auftragnehmer nach Ablauf von zwölf Monaten eine Anpassung der Sätze anbieten. Die Anpassung wird nur wirksam, wenn der Auftraggeber ihr in Textform zustimmt; andernfalls gelten die bisherigen Sätze bis zum Ende der vereinbarten Laufzeit fort.

§ 11 Leistungsänderungen

(1) Änderungen von Inhalt oder Umfang der Leistung bedürfen einer Vereinbarung in Textform.

(2) Der daraus entstehende Mehraufwand wird nach den vereinbarten Sätzen vergütet; vereinbarte Termine verschieben sich angemessen.

(3) Der Auftragnehmer darf Änderungswünsche ablehnen, soweit sie ihm fachlich oder kapazitär nicht zumutbar sind. Er teilt dies unverzüglich und begründet mit.

§ 12 Vertraulichkeit und Geheimnisschutz

(1) Beide Parteien behandeln alle im Rahmen der Zusammenarbeit bekannt gewordenen vertraulichen Informationen der jeweils anderen Partei vertraulich, nutzen sie ausschließlich für Zwecke des Vertrags und geben sie nur an Personen weiter, die sie zur Vertragsdurchführung kennen müssen und entsprechend verpflichtet sind. Beide Parteien treffen angemessene Geheimhaltungsmaßnahmen im Sinne des Geschäftsgeheimnisgesetzes (GeschGehG).

(2) Nicht vertraulich sind Informationen, die allgemein bekannt sind oder ohne Verstoß gegen diese Vereinbarung werden, die der empfangenden Partei bereits vorher rechtmäßig bekannt waren, die sie rechtmäßig von einem Dritten erhalten oder unabhängig selbst entwickelt hat.

(3) Besteht eine gesetzliche oder behördliche Offenlegungspflicht, informiert die verpflichtete Partei die andere Partei vorab, soweit dies rechtlich zulässig und zeitlich möglich ist, und beschränkt die Offenlegung auf das erforderliche Maß.

(4) Die Verpflichtung gilt für die Dauer des Vertrags und drei Jahre darüber hinaus. Für Informationen, die Geschäftsgeheimnisse im Sinne des GeschGehG sind, gilt sie, solange der gesetzliche Geheimnisschutz besteht.

(5) Nach Beendigung des Vertrags gibt der Auftragnehmer überlassene Unterlagen auf Verlangen zurück oder löscht sie. Zulässig bleiben die Aufbewahrung im Rahmen gesetzlicher Aufbewahrungspflichten sowie eine Kopie der Arbeitsergebnisse und der zugehörigen Korrespondenz zu Nachweiszwecken, die denselben Vertraulichkeitspflichten unterliegt.

(6) Unterliegt der Auftraggeber einer besonderen Verschwiegenheitspflicht, insbesondere nach § 203 StGB, verpflichtet er den Auftragnehmer vor Beginn der Zusammenarbeit förmlich zur Geheimhaltung (§ 203 Abs. 4 StGB). Der Auftragnehmer wirkt daran mit.

(7) Ergänzende oder abweichende Vertraulichkeitsvereinbarungen (NDA) gehen diesem Paragraphen vor.

§ 13 Datenschutz

(1) Beide Parteien beachten die jeweils für sie geltenden datenschutzrechtlichen Bestimmungen, insbesondere die DSGVO und das BDSG.

(2) Verarbeitet der Auftragnehmer im Rahmen der Leistung personenbezogene Daten im Auftrag des Auftraggebers – etwa durch Zugriff auf Systeme, Protokoll- oder Personaldaten –, schließen die Parteien vor Beginn dieser Verarbeitung eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

(3) Kontaktdaten der Ansprechpersonen des Auftraggebers verarbeitet der Auftragnehmer als eigenständig Verantwortlicher zur Anbahnung und Durchführung des Vertrags. Einzelheiten enthält die Datenschutzerklärung.

(4) Der Auftraggeber stellt sicher, dass er zur Überlassung der bereitgestellten Daten berechtigt ist. Er beschränkt personenbezogene Daten auf das für den Auftrag erforderliche Maß und stellt sie, soweit möglich, pseudonymisiert oder anonymisiert bereit.

§ 14 Nutzungsrechte, Arbeitsergebnisse und Referenznennung

(1) An den für ihn erstellten Arbeitsergebnissen – insbesondere Berichten, Analysen, Konzepten und Dokumentationen – erhält der Auftraggeber ein einfaches, zeitlich und räumlich unbeschränktes, nicht übertragbares Nutzungsrecht für eigene interne Zwecke. Die Nutzung durch mit ihm verbundene Unternehmen im Sinne des § 15 AktG ist eingeschlossen, soweit der Auftraggeber diese entsprechend verpflichtet. Eingeschlossen ist die Vorlage bei Zertifizierungsstellen, Auditoren, Behörden, Versicherungen und Kunden, soweit dies zum Nachweis erforderlich ist.

(2) Die Einräumung der Nutzungsrechte steht unter der aufschiebenden Bedingung der vollständigen Zahlung der vereinbarten Vergütung.

(3) Eine Veröffentlichung der Arbeitsergebnisse oder ihre Weitergabe an Dritte zu deren Erwerbszwecken, insbesondere an Wettbewerber des Auftragnehmers, bedarf der vorherigen Zustimmung in Textform. Gegenüber Dritten, denen Arbeitsergebnisse zugänglich gemacht werden, entstehen keine eigenen Ansprüche gegen den Auftragnehmer.

(4) Methoden, Werkzeuge, Vorlagen, Checklisten und Schulungsunterlagen des Auftragnehmers bleiben dessen Eigentum. Der Auftraggeber erhält daran nur ein internes Nutzungsrecht; eine Bearbeitung, Vervielfältigung oder Weitergabe außerhalb seiner Organisation ist ohne Zustimmung in Textform nicht gestattet.

(5) Der Auftragnehmer darf das bei der Leistungserbringung erworbene allgemeine Wissen – Ideen, Konzepte, Verfahren und Erfahrungen – auch für andere Auftraggeber verwenden, soweit dabei keine vertraulichen Informationen des Auftraggebers offengelegt werden.

(6) Die Nennung des Auftraggebers als Referenz, die Verwendung seines Namens oder Logos sowie die Beschreibung des Projekts erfolgen ausschließlich nach vorheriger Zustimmung in Textform. Die Zustimmung ist jederzeit mit Wirkung für die Zukunft widerruflich.

§ 15 Haftung und Verjährung

(1) Der Auftragnehmer haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, bei arglistigem Verschweigen eines Mangels, bei Verletzung von Leben, Körper oder Gesundheit, im Umfang einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf.

(3) Die Haftung nach Absatz 2 ist je Schadensfall auf 1.000.000 € und für alle Schadensfälle eines Vertragsjahres zusammen auf 2.000.000 € begrenzt. Übersteigt die für den betroffenen Auftrag vereinbarte Nettovergütung – bei Dauerschuldverhältnissen die in den letzten zwölf Monaten vor dem schädigenden Ereignis gezahlte Nettovergütung – diese Beträge, gilt stattdessen diese Vergütung je Schadensfall und ihr Doppeltes je Vertragsjahr als Höchstgrenze.

(4) Im Übrigen ist die Haftung ausgeschlossen, insbesondere für leicht fahrlässige Verletzungen nicht wesentlicher Vertragspflichten.

(5) Für den Verlust von Daten haftet der Auftragnehmer nur bis zu dem Aufwand, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Auftraggeber für die Wiederherstellung entstanden wäre.

(6) Nicht gehaftet wird für Folgen von Entscheidungen des Auftraggebers, die von den Empfehlungen des Auftragnehmers abweichen oder diese nicht oder nur teilweise umsetzen, für die Richtigkeit und Vollständigkeit der vom Auftraggeber bereitgestellten Informationen sowie für Leistungen Dritter, die der Auftraggeber selbst beauftragt hat.

(7) Die Haftungsbeschränkungen gelten auch für die persönliche Haftung der Erfüllungsgehilfen und Subunternehmer des Auftragnehmers.

(8) Ansprüche gegen den Auftragnehmer verjähren in zwölf Monaten ab dem gesetzlichen Verjährungsbeginn. Das gilt nicht für Ansprüche aus den in Absatz 1 genannten Fällen; für diese gelten die gesetzlichen Verjährungsfristen.

§ 16 Höhere Gewalt

(1) Ereignisse außerhalb des Einflussbereichs einer Partei – insbesondere Naturereignisse, Epidemien und behördliche Maßnahmen, Krieg, Streik, großflächige Ausfälle von Strom- oder Telekommunikationsnetzen sowie schwerwiegende Cyberangriffe auf eine Partei – befreien die betroffene Partei für die Dauer der Störung von ihren Leistungspflichten. Termine und Fristen verschieben sich entsprechend.

(2) Die betroffene Partei informiert die andere unverzüglich über Beginn, voraussichtliche Dauer und Ende des Hindernisses.

(3) Dauert das Hindernis länger als acht Wochen, kann jede Partei den betroffenen Auftrag in Textform kündigen. Bereits erbrachte Leistungen werden anteilig vergütet; weitergehende Ansprüche bestehen nicht.

§ 17 Laufzeit und Kündigung

(1) Einzelaufträge enden mit vollständiger Erbringung der vereinbarten Leistung.

(2) Verträge über laufende Leistungen – insbesondere Interim-Mandate und die kontinuierliche Betreuung als externer ISB – können mit einer Frist von vier Wochen zum Monatsende gekündigt werden, sofern nichts anderes vereinbart ist.

(3) Für Verträge über laufende Leistungen ist das Recht zur jederzeitigen Kündigung nach § 627 BGB ausgeschlossen; es gilt stattdessen die Kündigungsfrist nach Absatz 2 oder eine abweichend vereinbarte Laufzeit oder Kündigungsfrist. Das Recht zur Kündigung aus wichtigem Grund (§§ 314, 626 BGB) bleibt für beide Parteien unberührt.

(4) Kündigungen bedürfen der Textform.

(5) Bis zur Beendigung erbrachte Leistungen sind zu vergüten. Kündigt der Auftraggeber aus einem Grund, den der Auftragnehmer nicht zu vertreten hat, gilt für bereits fest eingeplante Termine § 9 entsprechend.

(6) Auf Verlangen des Auftraggebers wirkt der Auftragnehmer an einer geordneten Übergabe mit – insbesondere durch Herausgabe der Dokumentation und Rückgabe von Zugängen. Der dafür erforderliche Aufwand wird nach den vereinbarten Sätzen vergütet.

§ 18 Erstgespräch, Selbstcheck und Inhalte dieser Website

(1) Das kostenfreie Erstgespräch dient der gegenseitigen Orientierung. Es begründet kein Vertrags- oder Beratungsverhältnis; Aussagen darin sind unverbindlich. Eine Haftung ist insoweit – vorbehaltlich § 15 Abs. 1 – ausgeschlossen.

(2) Der Selbstcheck auf dieser Website sowie veröffentlichte Beiträge, Checklisten und Vortragsunterlagen beruhen auf vereinfachten Kriterien und dienen der allgemeinen Information. Sie ersetzen weder die Prüfung des Einzelfalls noch eine Rechtsberatung. Für Entscheidungen, die allein auf diese Inhalte gestützt werden, wird keine Haftung übernommen.

(3) Die Nutzung dieser Website begründet für sich genommen kein Vertragsverhältnis.

§ 19 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Erfüllungsort ist der Sitz des Auftragnehmers, soweit die Leistung nicht ihrer Natur nach beim Auftraggeber zu erbringen ist.

(3) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit dem Vertrag ist der Sitz des Auftragnehmers, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Der Auftragnehmer ist berechtigt, auch am allgemeinen Gerichtsstand des Auftraggebers zu klagen.

(4) Änderungen und Ergänzungen des Vertrags bedürfen der Textform; das gilt auch für die Aufhebung dieses Textformerfordernisses. Der Vorrang individueller Vereinbarungen (§ 305b BGB) bleibt unberührt.

(5) Rechte und Pflichten aus dem Vertrag darf der Auftraggeber nur mit vorheriger Zustimmung des Auftragnehmers in Textform auf Dritte übertragen. § 354a HGB bleibt unberührt. Der Auftragnehmer darf den Vertrag auf einen Rechtsnachfolger oder ein mit ihm verbundenes Unternehmen im Sinne des § 15 AktG übertragen; er zeigt dies dem Auftraggeber in Textform an. Die Zustimmung des Auftraggebers gilt als erteilt, wenn er ihr nicht binnen vier Wochen ab Zugang der Anzeige in Textform widerspricht; auf diese Wirkung weist der Auftragnehmer in der Anzeige hin.

(6) Vertragssprache ist Deutsch. Übersetzungen dieser Bedingungen dienen ausschließlich der Information; maßgeblich ist die deutsche Fassung.

(7) Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(8) Maßgeblich ist die bei Vertragsschluss aktuelle Fassung dieser AGB. Spätere Fassungen gelten nur für danach geschlossene Verträge.

Stand: 6. September 2026 · Fassung 3.0

Can Yildiz Security Consulting·https://www.cyi-consulting.de/agb