Allgemeine Geschäftsbedingungen

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“) gelten für alle Verträge über die Nutzung der Software-as-a-Service-Plattform XICTRAQ (nachfolgend „Dienst“ oder „Plattform“) zwischen XICTRON, Lennart Harmes, Glockruthenallee 16, 31185 Söhlde (nachfolgend „Anbieter“) und dem jeweiligen Vertragspartner (nachfolgend „Kunde“).

(2) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts sowie an öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern im Sinne des § 13 BGB ist ausgeschlossen.

(3) Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nur dann und insoweit Vertragsbestandteil, als der Anbieter ihrer Geltung ausdrücklich schriftlich zugestimmt hat.

§ 2 Registrierung und Vertragsschluss

(1) Die Nutzung der Plattform setzt die Eröffnung eines Nutzerkontos voraus. Der Kunde hat bei der Registrierung wahrheitsgemäße Angaben zu machen und diese aktuell zu halten.

(2) Der Vertrag kommt durch Bestätigung der Registrierung bzw. durch Auswahl eines kostenpflichtigen Tarifs und dessen Bestätigung im Checkout-Prozess zustande. Der Kunde erhält eine Bestätigung per E-Mail.

(3) Der Kunde ist verpflichtet, seine Zugangsdaten vertraulich zu behandeln und vor dem Zugriff Dritter zu schützen. Der Kunde haftet für sämtliche Aktivitäten, die unter seinem Nutzerkonto vorgenommen werden.

§ 3 Leistungsbeschreibung und Natur der Leistung

(1) Der Anbieter stellt dem Kunden über das Internet eine Software-as-a-Service-Plattform zur Verfügung, mit der dieser den technischen und rechtlichen Zustand eigener Websites überwachen kann. Der Funktionsumfang umfasst insbesondere Uptime-Monitoring, SSL- und Security-Header-Prüfung, DSGVO- und BFSG-Checks, Core-Web-Vitals, cookielose Analytics, DNS-/Domain-Monitoring und mehrstufiges Alerting.

(2) Der konkrete Leistungsumfang richtet sich nach dem vom Kunden gewählten Tarif (Free, Starter, Business oder Agency). Die zum Zeitpunkt des Vertragsschlusses gültige Tarifbeschreibung auf www.xictraq.com/de/preise ist maßgeblich.

(3) Der Anbieter ist berechtigt, den Leistungsumfang und einzelne Funktionen weiterzuentwickeln, sofern die Kernfunktionen des vertraglich geschuldeten Tarifs erhalten bleiben. Wesentliche Änderungen werden in angemessener Frist vor Wirksamwerden per E-Mail oder innerhalb der Plattform bekannt gemacht.

(4) Die Plattform stellt ein rein informatorisches Hilfsmittel dar. Es handelt sich um einen Dienstvertrag im Sinne der §§ 611 ff. BGB; ein bestimmter Erfolg — insbesondere das zuverlässige, vollständige oder korrekte Erkennen, Messen oder Melden eines Zustands der überwachten Website — wird ausdrücklich nicht geschuldet. Alle Auswertungen, Scores, Ampelfarben, Reports, Empfehlungen und Benachrichtigungen sind unverbindliche Hinweise auf Grundlage automatisierter Prüfungen und können Fehler, Lücken, Fehlinterpretationen sowie Fehlalarme (false positives) und ausbleibende Meldungen (false negatives) enthalten.

(5) Die Plattform stellt keine Rechts-, Steuer-, Datenschutz-, Sicherheits- oder Barrierefreiheitsberatung dar und ersetzt eine solche Beratung durch qualifizierte Fachpersonen nicht. Insbesondere die Kennzeichnung einer Website als „DSGVO-konform“, „BFSG-konform“, „sicher“, „fehlerfrei“ oder ähnlichen Bewertungen innerhalb der Plattform stellt keine verbindliche rechtliche Beurteilung dar. Der Kunde ist selbst verantwortlich für die rechtliche, sicherheitstechnische und betriebliche Beurteilung seiner Websites und für alle daraus zu ziehenden Konsequenzen.

(6) Die Plattform ist kein Ersatz für eigene Überwachungs-, Backup-, Alarmierungs- und Notfallstrategien des Kunden und nicht für den Einsatz in sicherheitskritischen Umgebungen oder Umgebungen mit Anforderungen an Hochverfügbarkeit (z. B. Medizin, Luft- und Raumfahrt, Energieversorgung, Finanztransaktionen) vorgesehen. Der Kunde ist verpflichtet, unabhängige, redundante Überwachungs- und Alarmierungssysteme für kritische Infrastruktur vorzuhalten.

(7) Der Anbieter erbringt die Leistungen nach dem jeweiligen Stand der Technik und nach besten Kräften („best effort“). Eine ununterbrochene Verfügbarkeit der Plattform, der Überwachungs-Agenten, der API, der Dashboards, der Reportgenerierung oder der Benachrichtigungskanäle wird nicht geschuldet; es gelten die Regelungen zur Verfügbarkeit in § 4 und die Haftungsregelungen in § 12.

§ 4 Verfügbarkeit, Wartung und Abhängigkeit von Dritten

(1) Der Anbieter ist bestrebt, die Plattform nach Möglichkeit mit einer Verfügbarkeit von 99,5 % im Jahresmittel, gemessen am Übergabepunkt zum Internet des Rechenzentrums, bereitzustellen. Es handelt sich hierbei um einen unverbindlichen Zielwert, nicht um eine zugesicherte Eigenschaft, eine Garantie oder ein vertraglich geschuldetes Service Level Agreement (SLA). Aus dem Unterschreiten des Zielwerts können keine Ansprüche hergeleitet werden, soweit § 12 nichts anderes bestimmt.

(2) Zeiten geplanter Wartung, Zeiten höherer Gewalt, Ausfälle von Vorleistern (Rechenzentrum, Netzbetreiber, DNS-Anbieter, Upstream-APIs wie Google Safe Browsing, RDAP-Register, DNSBL-Listen, TLS-Bibliotheken u. ä.), Ausfälle der Benachrichtigungskanäle (E-Mail-Provider, Slack, Microsoft Teams, Discord, Telegram, Webhooks, On-Call-Dienste u. ä.) sowie Störungen im öffentlichen Internet bleiben bei der Berechnung der Verfügbarkeit unberücksichtigt.

(3) Wartungsarbeiten werden nach Möglichkeit in Zeiten geringer Nutzung durchgeführt und, soweit vorhersehbar, angekündigt. Ein Anspruch auf Vorankündigung besteht nicht; sicherheitskritische Wartungen dürfen auch ohne Vorankündigung erfolgen.

(4) Die Plattform ist technisch und betrieblich abhängig von einer Vielzahl von Drittanbietern, Open-Source-Komponenten und öffentlich zugänglichen Datenquellen. Der Anbieter übernimmt keinerlei Verantwortung oder Haftung für Fehler, Unterbrechungen, Änderungen, Einstellungen oder fehlerhafte Rückgaben dieser Drittleistungen.

§ 4a Ausdrücklicher Ausschluss für Monitoring-Ergebnisse, Alerts und Auswertungen

(1) Der Anbieter übernimmt ausdrücklich keine Verantwortung und keine Haftung für die Richtigkeit, Vollständigkeit, Aktualität, Verfügbarkeit oder Zustellbarkeit der Monitoring-Ergebnisse, Auswertungen, Reports, Scores, Bewertungen, Empfehlungen, Prognosen und Benachrichtigungen (im Folgenden insgesamt „Ergebnisse“). Alle Ergebnisse werden dem Kunden „wie besehen“ und „wie verfügbar“ ohne jegliche Zusicherung zur Verfügung gestellt.

(2) Insbesondere — jedoch nicht abschließend — übernimmt der Anbieter keine Verantwortung und keine Haftung für:

• unerkannte oder verspätet erkannte Ausfälle, Störungen, Downtimes oder Performance-Einbrüche der überwachten Website;
• fälschlich gemeldete Ausfälle (Fehlalarme / false positives), insbesondere infolge von Netzwerkstörungen, Geoblocking, Rate-Limiting, Firewall- oder Bot-Schutzmaßnahmen auf Seiten der überwachten Website;
• Nicht-Zustellung, verzögerte Zustellung, doppelte Zustellung oder fehlerhafte Darstellung von Alerts über E-Mail, Slack, Teams, Discord, Telegram, Webhooks, Push-Benachrichtigungen, On-Call-Systeme oder sonstige Benachrichtigungskanäle;
• die Einstufung eines SSL-Zertifikats als gültig, abgelaufen, widerrufen oder nicht vertrauenswürdig sowie die Bewertung der verwendeten TLS-Version, Cipher Suites, Kette oder Hostname-Übereinstimmung;
• die Bewertung von HTTP-Security-Headern, Content Security Policies, Mixed-Content-Erkennung, Cookie-Flags oder Third-Party-Scripts;
• die Einstufung einer Website oder Domain als DSGVO-konform, BFSG-/WCAG-konform, barrierefrei, abmahnsicher, impressumskonform oder tracker-/cookie-frei;
• Auslegungen oder automatisierte Prüfungen zu Pre-Consent-Tracking, Cookie-Scans, Google-Fonts-Erkennung, Impressums- und Datenschutzerklärungs-Abgleichen;
• die Messung, Berechnung oder Darstellung von Core Web Vitals, Lighthouse-Werten, Ladezeiten, TTFB, DNS-, TCP-, TLS- oder Download-Zeiten, Uptime-Prozentsätzen, SLA-Berichten oder Verfügbarkeitsstatistiken;
• die Erkennung von Defacements, Inhaltsänderungen, Broken Links, Sitemap-/robots.txt-Änderungen, Keyword-Präsenz, Keyword-Rankings oder Structured-Data-Validierung;
• DNS-Record-Monitoring, WHOIS-/RDAP-Abfragen, Domain-Ablauf-Warnungen, SPF/DKIM/DMARC-Prüfungen, Blacklist-/DNSBL-Monitoring, Google-Safe-Browsing-Abfragen sowie Port-/TCP-Checks;
• Ergebnisse der cookielosen Analytics, insbesondere Besucherzahlen, Seitenaufrufe, Verweildauer, Scroll-Depth, Bounce-Erkennung, Geo-/Device-Attribution, Bot-Erkennung, Event- oder Conversion-Tracking;
• die Richtigkeit, Vollständigkeit, Auslieferung oder Archivierung generierter Reports (HTML, PDF, CSV, JSON, E-Mail), einschließlich SLA- oder Compliance-Reports, sowie Abweichungen zwischen verschiedenen Anzeige- und Exportformaten;
• Heartbeats, Cron-/Dead-Man's-Switch-Monitoring, Wartungsfenster-Berechnungen und Eskalationslogiken;
• die Richtigkeit der Einstufung durch das einheitliche Scoring-System („A+“ bis „F“), der Ampelfarben oder sonstiger visueller Bewertungen;
• White-Label-Funktionen, Branded Reports, Client-Portale, Audit-Widgets und Embed-Codes, die der Kunde an seine eigenen Endkunden weitergibt;
• Schlussfolgerungen, Geschäftsentscheidungen, Marketing-, SEO- oder Rechtsmaßnahmen, die der Kunde oder Dritte auf Grundlage von Ergebnissen des Dienstes treffen;
• Schäden infolge Verlust von Reputation, Kundschaft, Rankings, Umsatz, Gewinn, entgangenen Aufträgen, Bußgeldern, Abmahnungen, Vertragsstrafen oder SLA-Gutschriften bei Dritten.

(3) Der Kunde ist verpflichtet, sämtliche Ergebnisse vor einer Verwendung selbst zu validieren, mit unabhängigen Quellen abzugleichen und — soweit rechtliche Konsequenzen in Betracht kommen — durch qualifizierte Fachpersonen (Rechtsanwältinnen/Rechtsanwälte, Datenschutzbeauftragte, Sicherheitsauditoren, Steuerberatung) prüfen zu lassen. Eine Weitergabe der Ergebnisse an Dritte (z. B. Endkunden, Aufsichtsbehörden, Versicherer, Prozessgegner) erfolgt ausschließlich auf eigene Verantwortung des Kunden.

(4) Der Kunde stellt den Anbieter von allen Ansprüchen Dritter — einschließlich eigener Endkunden des Kunden im Agency-Tarif — frei, die daraus entstehen, dass der Kunde Ergebnisse des Dienstes ungeprüft, unvollständig oder zweckfremd verwendet oder weitergegeben hat.

§ 5 Kostenloser Tarif und Testphase

(1) Der Anbieter stellt einen dauerhaft kostenlosen Tarif (Free) mit eingeschränktem Funktionsumfang zur Verfügung. Der kostenlose Tarif kann jederzeit ohne Angabe von Gründen eingestellt oder in seinem Funktionsumfang verändert werden.

(2) Der Anbieter kann für kostenpflichtige Tarife eine Testphase von bis zu 14 Tagen gewähren, während der der gewählte Tarif ohne Zahlungsverpflichtung getestet werden kann. Nach Ablauf der Testphase wird der gewählte Tarif automatisch kostenpflichtig, sofern der Kunde den Vertrag nicht vor Ablauf der Testphase kündigt.

§ 6 Vergütung und Zahlungsbedingungen

(1) Es gelten die zum Zeitpunkt des Vertragsschlusses auf der Website des Anbieters ausgewiesenen Preise. Die ausgewiesenen Preise sind Bruttopreise und enthalten die gesetzliche Umsatzsteuer (derzeit 19 %). Schuldet der Anbieter für die Leistung keine deutsche Umsatzsteuer — insbesondere bei Nachweis einer gültigen Umsatzsteuer-Identifikationsnummer aus einem anderen Mitgliedstaat der Europäischen Union (Übergang der Steuerschuld auf den Kunden) oder bei Kunden aus Drittstaaten —, erfolgt die Abrechnung ohne deutsche Umsatzsteuer. Der Abonnementpreis vermindert sich in diesem Fall um die enthaltene Umsatzsteuer; Zusatzpakete werden mit dem ausgewiesenen Betrag ohne Umsatzsteuer berechnet.

(2) Die Vergütung wird bei monatlicher Zahlung monatlich und bei jährlicher Zahlung jährlich im Voraus fällig. Der Abrechnungszeitraum beginnt mit dem Tag des Vertragsschlusses bzw. nach Ablauf einer etwaigen Testphase.

(3) Online-Zahlungen werden über den Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd., Dublin) abgewickelt. Der Kunde akzeptiert die Stripe-Nutzungsbedingungen. Zahlungsdaten werden ausschließlich bei Stripe verarbeitet und nicht auf Servern des Anbieters gespeichert. Ist Zahlung per Überweisung vereinbart, überweist der Kunde den Rechnungsbetrag auf das in der Rechnung genannte Konto; Stripe ist daran nicht beteiligt.

(4) Gerät der Kunde mit einer Zahlung in Verzug, ist der Anbieter berechtigt, das Nutzerkonto nach vorheriger Mahnung zu sperren. Ein Anspruch auf Rückerstattung bereits geleisteter Zahlungen besteht bei Sperrung wegen Zahlungsverzugs nicht.

(5) Der Anbieter ist berechtigt, die Preise vor Beginn eines neuen Abrechnungszeitraums in angemessener Frist anzupassen. Der Kunde hat im Falle einer Preiserhöhung ein Sonderkündigungsrecht mit Wirkung zum Ende des laufenden Abrechnungszeitraums; eine Erstattung bereits gezahlter Vergütung sowie weitergehende Ansprüche sind ausgeschlossen. Erfolgt keine Kündigung bis zum Wirksamwerden der neuen Preise, gelten diese als angenommen.

(6) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht dem Kunden nur insoweit zu, als es auf demselben Vertragsverhältnis beruht.

§ 7 Mitwirkungspflichten des Kunden

(1) Der Kunde darf nur eigene Websites oder solche überwachen, für die er eine ausdrückliche Genehmigung des Betreibers besitzt. Der Kunde versichert, dass die Überwachung der von ihm angegebenen Websites keine Rechte Dritter verletzt.

(2) Der Kunde verpflichtet sich, den Dienst nicht missbräuchlich zu nutzen, insbesondere nicht zur Überlastung fremder Infrastruktur (Denial-of-Service), zur Umgehung technischer Schutzmaßnahmen oder zu sonstigen rechtswidrigen Zwecken.

(3) Der Kunde ist verpflichtet, die in seinem Tarif enthaltenen Kontingente (z. B. Anzahl der Websites, Anzahl der Checks, API-Aufrufe) einzuhalten. Eine Überschreitung berechtigt den Anbieter, zusätzliche Leistungen in Rechnung zu stellen oder den Dienst entsprechend zu drosseln.

§ 8 Nutzungsrechte

(1) Der Anbieter räumt dem Kunden für die Dauer des Vertrages ein einfaches, nicht übertragbares, nicht unterlizenzierbares Recht zur Nutzung der Plattform im vertraglich vereinbarten Umfang ein.

(2) Der Kunde darf die Plattform ausschließlich für eigene geschäftliche Zwecke nutzen. Im Agency-Tarif darf der Kunde die Plattform zudem im Rahmen des vereinbarten White-Label-Funktionsumfangs auch für die Überwachung von Websites seiner eigenen Endkunden einsetzen.

(3) Sämtliche Urheberrechte, Markenrechte und sonstigen Schutzrechte an der Plattform und an den dazu gehörenden Dokumentationen verbleiben beim Anbieter bzw. bei dessen Lizenzgebern.

§ 9 Datenschutz

(1) Die Verarbeitung personenbezogener Daten durch den Anbieter erfolgt nach Maßgabe der Datenschutzerklärung und unter Einhaltung der Vorgaben der DSGVO.

(2) Hauptverarbeitung der Plattform und Datenbanken erfolgt auf von uns kontrollierten Servern in Rechenzentren innerhalb der EU; der Hosting-Auftragsverarbeiter ist namentlich in der Datenschutzerklärung benannt. Einzelne, namentlich in der Datenschutzerklärung benannte Auftragsverarbeiter (insb. Anthropic, PBC für den optionalen KI-Chat-Assistenten) verarbeiten Daten in Drittländern; die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO mit ergänzenden technisch-organisatorischen Maßnahmen.

(3) Soweit der Anbieter im Rahmen der Plattform personenbezogene Daten im Auftrag des Kunden verarbeitet — insbesondere im Zusammenhang mit der cookielosen Analytics, Heatmaps, optionalem Session-Recording, Status-Page-Abonnements oder Form-Analytics auf vom Kunden angegebenen Websites oder mit dem optionalen Bestellimport aus einem vom Kunden angebundenen Shop — sind die Regelungen des nachfolgenden § 9a verbindlicher Bestandteil dieser AGB. Diese Regelungen erfüllen die Anforderungen des Art. 28 Abs. 3 DSGVO; ein gesonderter Vertrag oder zusätzliche Unterschriften sind nicht erforderlich.

§ 9a Datenverarbeitung im Auftrag des Kunden

1. Gegenstand, Dauer, Art und Zweck

(1) Gegenstand der Verarbeitung sind alle personenbezogenen Daten, die der Anbieter im Rahmen der Erbringung der in dieser AGB beschriebenen Leistungen für den Kunden verarbeitet. Im Sinne der DSGVO ist der Kunde Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Anbieter Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

(2) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages zuzüglich des in § 10 Abs. 4 geregelten Lösch-Nachlaufs (30 Tage), längstens bis zur Erfüllung der Lösch- oder Rückgabepflichten nach Ziffer 9 dieses Anhangs.

(3) Art und Zweck der Verarbeitung: Bereitstellung einer Software-as-a-Service-Plattform zur Überwachung von Websites des Kunden; Erhebung, Speicherung, Auswertung und Anzeige technischer Mess- und Diagnosedaten; cookielose Besuchsstatistik, Heatmaps, optionales Session-Recording und Form-Analytics auf vom Kunden ausgewählten Websites; Zustellung von Alerts und Reports; Hosting öffentlicher Status-Pages und Verwaltung deren Abonnements; Bereitstellung eines API-Zugangs; auf Wunsch des Kunden Abruf des Bestellstatus und, bei eingeschaltetem Bestellimport, der Bestelldaten aus einem vom Kunden angebundenen Shop über dessen Schnittstelle sowie deren Auswertung in den E-Commerce-Berichten des Kunden.

(4) Art der Daten: insb. pseudonyme Besucher- und Sitzungskennungen, gebildet als Hashwert aus der IP-Adresse und einem täglich neu erzeugten Zufallswert (Salt), der nach Ablauf des Tages gelöscht wird, sodass danach keine Zuordnung zur IP-Adresse mehr möglich ist (die IP-Adresse selbst wird nicht gespeichert); Pageview-Metadaten (Pfad, Referrer, UTM-Parameter, Geräte-/Browsertyp, Sprache); Standortangaben aus IP-Geodaten (Land, Region, Stadt, Postleitzahl, Koordinaten) sowie Internetanbieter und Netzkennung (ASN); Form-Interaktions-Events (ohne Klartext-Eingaben); Klicks als Einzelklicks mit Koordinaten, Elementtyp und sichtbarem Text des angeklickten Elements (E-Mail-Adressen außerhalb der eigenen Domain der Website maskiert) sowie Scroll-Tiefe; JavaScript-Fehlermeldungen der Seite (E-Mail-Adressen sowie Zugangswerte in enthaltenen Adressen, etwa token= oder key=, maskiert); bei der Kundenerkennung des Trackers die Kundennummer sowie, sofern der Shop sie bereitstellt, Name, Firma und Kundengruppe oder -typ (keine E-Mail-Adressen); optional Session-Recordings (mit Eingabemaskierung); E-Mail-Adressen von Status-Page-Abonnenten sowie bei eingeschaltetem Bestellimport Bestelldaten aus dem angebundenen Shop (Bestellnummer, Zeitpunkt, Beträge, Steuer, Versandkosten, Währung, Zahlungs- und Versandart, Status, Bestellpositionen) mit Vor- und Nachname, Firma und Kundennummer des Bestellers; E-Mail-Adresse, Anschrift, Telefonnummer, Kommentar des Bestellers und USt-IdNr werden dabei nicht abgerufen.

(5) Kategorien betroffener Personen: Endbesucher der vom Kunden überwachten Websites, Abonnenten von Status-Pages des Kunden, bei eingeschaltetem Bestellimport die Kunden des angebundenen Shops (einschließlich Personen, deren Bestellung telefonisch oder auf anderem Weg ohne Besuch der Website im Shop erfasst wurde) sowie etwaige im Impressum/Datenschutz-Bereich der überwachten Website öffentlich genannte natürliche Personen.

2. Weisungsbindung und Verantwortlichkeit

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden; dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Anbieter ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet — in diesem Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Als dokumentierte Weisungen gelten insbesondere die Konfigurationen, die der Kunde im Nutzerkonto vornimmt (Hinzufügen/Entfernen von Websites, Aktivieren oder Deaktivieren von Heatmaps, Session-Recording, Form-Analytics, Status-Pages, Alert-Kanälen, Datenexport-/Lösch-Aktionen) sowie diese AGB einschließlich Anhang.

(2) Erteilt der Kunde Einzelweisungen außerhalb des Funktionsumfangs der Plattform, ist der Anbieter berechtigt, hierfür einen Mehraufwand nach seinen üblichen Stundensätzen abzurechnen, sofern gesetzlich zulässig.

(3) Der Anbieter informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt; bis zur Klärung kann er die Ausführung aussetzen.

(4) Der Kunde bleibt allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage (Art. 6, 9 DSGVO), die Information seiner betroffenen Personen (Art. 13/14 DSGVO), die Einholung und Dokumentation etwaiger Einwilligungen, das Cookie- und TDDDG-Compliance-Management auf seinen eigenen Websites sowie für die Beurteilung der Einsetzbarkeit der Plattform für seine Verarbeitungszwecke (Datenschutz-Folgenabschätzung nach Art. 35 DSGVO).

3. Vertraulichkeit

Der Anbieter gewährleistet, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und sicherstellt, dass alle Mitarbeitenden vor Aufnahme der Tätigkeit auf das Datengeheimnis verpflichtet werden (Art. 28 Abs. 3 lit. b, Art. 32 Abs. 4 DSGVO).

4. Technische und organisatorische Maßnahmen (TOM)

(1) Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Die jeweils aktuelle TOM-Beschreibung ist unter www.xictraq.com/de/docs/security#toms abrufbar und Vertragsbestandteil.

(2) Der Anbieter ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das nach dem jeweiligen Stand der Technik dem Risiko angemessene Schutzniveau eingehalten wird.

5. Unterauftragsverarbeiter (Subprocessors)

(1) Der Kunde erteilt dem Anbieter hiermit die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Datenschutzerklärung namentlich aufgeführt.

(2) Der Anbieter informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ablösung eines Unterauftragsverarbeiters mit einer Frist von mindestens 14 Tagen vor Beauftragung in Textform (z. B. per E-Mail an die Konto-E-Mail oder durch Bekanntmachung in der Datenschutzerklärung mit aktivem In-App-Hinweis).

(3) Der Kunde kann der Hinzuziehung innerhalb dieser Frist aus konkretem, durch Tatsachen begründetem datenschutzrechtlichem Grund in Textform widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien verpflichtet, gemeinsam nach einer einvernehmlichen Lösung zu suchen. Kann eine solche Lösung nicht erzielt werden, ist der Kunde berechtigt, den Hauptvertrag mit Wirkung zum Ende des laufenden Abrechnungszeitraums zu kündigen. Eine Erstattung bereits gezahlter Vergütung sowie weitergehende Ansprüche — insbesondere Schadensersatz oder Aufwendungsersatz — sind ausgeschlossen. Ein Widerspruch aus wirtschaftlichen, strategischen oder sonstigen nicht datenschutzbezogenen Gründen ist unbeachtlich.

(4) Der Anbieter bindet jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in dieser Vereinbarung festgelegt sind, einschließlich hinreichender Garantien für geeignete TOMs. Soweit Unterauftragsverarbeiter ihren Sitz in einem Drittland haben, schließt der Anbieter EU-Standardvertragsklauseln ab und trifft erforderlichenfalls ergänzende Maßnahmen.

(5) Reine Telekommunikations-Dienstleistungen (z. B. Internetzugang, Spam- und Virenfilter, ausschließlich der Übertragung dienende Routing-Dienstleistungen) sowie Reinigungs-, Wach- oder Postdienstleistungen gelten nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung.

6. Unterstützung bei Betroffenenrechten

(1) Der Anbieter unterstützt den Kunden, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen (Art. 12 ff. DSGVO). Die Plattform stellt dem Kunden für die meisten Fälle direkt Self-Service-Funktionen zur Verfügung (Datenexport, Lösch-Tools im Konto-Bereich).

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet der Anbieter diese Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern dies nicht ausnahmsweise gesetzlich vorgeschrieben ist.

(3) Über die Self-Service-Funktionen hinausgehende Unterstützung (insb. manuelle Recherche, individuelle Datenexporte, Bearbeitung außerhalb der Plattform) wird nach Aufwand zu den jeweils geltenden Stundensätzen abgerechnet, soweit gesetzlich zulässig.

7. Unterstützung bei Sicherheits- und Meldepflichten

(1) Der Anbieter informiert den Kunden unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 33 DSGVO, die in seinem Verantwortungsbereich aufgetreten ist und Daten des Kunden betrifft. Die Information enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Anbieter bekannt.

(2) Der Anbieter unterstützt den Kunden bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter zur Verfügung stehenden Informationen. Die Verantwortung für die Meldung an die Aufsichtsbehörde und die Information der betroffenen Personen liegt beim Kunden als Verantwortlichen.

8. Kontroll- und Audit-Rechte

(1) Der Anbieter weist die Einhaltung der Pflichten aus dieser Vereinbarung gegenüber dem Kunden vorrangig durch geeignete Nachweise nach: aktuelle TOM-Beschreibung, Berichte über interne oder externe Audits, ISO-/SOC-/BSI-Zertifizierungen oder vergleichbare anerkannte Verhaltensregeln und Zertifizierungen (Art. 28 Abs. 5 DSGVO).

(2) Reichen die unter Abs. 1 genannten Nachweise zur Erfüllung der Audit-Rechte des Kunden nicht aus, kann der Kunde höchstens einmal je Kalenderjahr nach vorheriger Ankündigung mit angemessener Frist (mind. 30 Tage) auf eigene Kosten und unter Wahrung der Geschäfts- und Betriebsgeheimnisse des Anbieters Kontrollen während der üblichen Geschäftszeiten durchführen. Vor-Ort-Kontrollen sind nur subsidiär zulässig, wenn dokumentenbasierte Kontrollen nicht ausreichen, und nur durch zur Verschwiegenheit verpflichtete Auditoren, die nicht in einem Wettbewerbsverhältnis zum Anbieter stehen.

(3) Bei einer durch konkrete, dokumentierte Tatsachen belegten Annahme eines Datenschutzverstoßes durch den Anbieter oder bei einer entsprechenden bestandskräftigen Anordnung der zuständigen Aufsichtsbehörde sind ergänzende Kontrollen zulässig; bloße Vermutungen oder Verweise auf Drittpublikationen begründen keine Kontrollberechtigung.

(4) Der Aufwand des Anbieters für Audits, die über die in Abs. 2 genannte Häufigkeit hinausgehen oder über das Bereitstellen der unter Abs. 1 genannten Nachweise hinausgehen, ist vom Kunden zu den jeweils geltenden Stundensätzen zu vergüten.

9. Rückgabe und Löschung

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Anbieter sämtliche personenbezogenen Daten des Kunden binnen 30 Tagen, sofern der Kunde nicht zuvor in Textform einen Datenexport verlangt. Backup-Kopien werden im Zuge der regulären Backup-Rotation überschrieben.

(2) Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (insb. handels- und steuerrechtlich), bleiben hiervon unberührt und werden für die jeweilige Dauer aufbewahrt und sodann gelöscht.

10. Haftung

Die Haftung des Anbieters für Schäden aus der Verarbeitung personenbezogener Daten richtet sich nach den allgemeinen Haftungsregelungen des § 12 dieser AGB. Art. 82 DSGVO bleibt unberührt; im Innenverhältnis zwischen den Parteien werden Schadensersatzansprüche, die einer Partei zugerechnet werden, im Verhältnis der jeweiligen Verantwortlichkeit getragen (Art. 82 Abs. 5 DSGVO).

11. Vorrang und Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Anhang und sonstigen Bestimmungen dieser AGB gehen die Regelungen dieses Anhangs vor, soweit es um die Auftragsverarbeitung personenbezogener Daten geht.

(2) Sollte eine Bestimmung dieses Anhangs unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlich Gewollten und den datenschutzrechtlichen Vorgaben am nächsten kommt.

§ 10 Laufzeit und Kündigung

(1) Der Vertrag über einen kostenpflichtigen Tarif wird auf unbestimmte Zeit geschlossen. Die Mindestvertragslaufzeit entspricht dem gewählten Abrechnungszeitraum (monatlich oder jährlich).

(2) Der Vertrag kann von beiden Parteien ordentlich zum Ende des jeweils laufenden Abrechnungszeitraums gekündigt werden. Die Kündigung durch den Kunden kann direkt im Nutzerkonto unter „Abo & Rechnung“ vorgenommen werden.

(3) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere bei schwerwiegenden Verstößen gegen § 7 dieser AGB oder bei Zahlungsverzug von mehr als 30 Tagen vor.

(4) Nach Beendigung des Vertrages bleiben die Kundendaten noch 30 Tage im bisherigen Umfang gespeichert (Lösch-Nachlauf). Innerhalb dieser Frist kann der Kunde seine Daten selbst exportieren oder den Vertrag fortsetzen; auf Verlangen in Textform stellt der Anbieter innerhalb der Frist einen Export bereit. Nach Ablauf des Lösch-Nachlaufs werden die Kundendaten im Rahmen unseres Lösch-Konzepts unwiderruflich gelöscht oder anonymisiert, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen. Ein Wechsel in den kostenlosen Plan beendet den Vertrag nicht, das Konto bleibt bestehen; für Daten, die über die Aufbewahrungsfristen des kostenlosen Plans hinausgehen, gelten Satz 1 bis 3 entsprechend. Gesetzliche Betroffenenrechte, insbesondere auf Auskunft und Datenübertragbarkeit nach Art. 15 und Art. 20 DSGVO, bleiben unberührt.

§ 10a Widerrufsrecht

(1) Der Dienst richtet sich nach § 1 Abs. 2 ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts sowie an öffentlich-rechtliche Sondervermögen. Das gesetzliche Widerrufsrecht bei Fernabsatzverträgen nach §§ 312g, 355 BGB steht ausschließlich Verbrauchern im Sinne des § 13 BGB zu. Für Verträge nach diesen AGB besteht daher kein Widerrufsrecht.

(2) An dessen Stelle tritt die Möglichkeit, den Dienst ohne Zahlungsverpflichtung zu prüfen: Der kostenlose Tarif nach § 5 verlangt keine Zahlungsdaten, und ein kostenpflichtiger Tarif ist nach § 10 Abs. 2 zum Ende des laufenden Abrechnungszeitraums kündbar — bei monatlicher Abrechnung besteht die Bindung damit höchstens einen Monat.

(3) Kommt entgegen § 1 Abs. 2 im Einzelfall dennoch ein Vertrag mit einem Verbraucher zustande, bleiben dessen gesetzliche Rechte unberührt. Eine Widerrufserklärung ist in diesem Fall in Textform an XICTRON, Lennart Harmes, Glockruthenallee 16, 31185 Söhlde, oder an mail@xictraq.com zu richten; einer Begründung bedarf sie nicht.

§ 11 Gewährleistung

(1) Der Anbieter gewährleistet die vertragsgemäße Bereitstellung der Plattform entsprechend der jeweils gültigen Leistungsbeschreibung. Unerhebliche Beeinträchtigungen der Tauglichkeit zum vertragsgemäßen Gebrauch bleiben außer Betracht.

(2) Der Kunde ist verpflichtet, erkennbare Mängel unverzüglich, spätestens jedoch innerhalb von 14 Tagen nach Entdeckung, in Textform an mail@xictraq.com zu melden. Die Rüge muss den Mangel hinreichend konkret beschreiben (insb. betroffene Funktion, Zeitpunkt, Schritte zur Reproduktion). Versteckte Mängel sind unverzüglich nach ihrer Entdeckung zu rügen. Versäumt der Kunde die rechtzeitige Rüge, gelten die Leistungen als genehmigt; Mängelrechte aus diesem Mangel sind ausgeschlossen.

(3) Die verschuldensunabhängige Haftung für Mängel, die bereits bei Vertragsschluss vorhanden waren, gemäß § 536a Abs. 1 Var. 1 BGB ist ausgeschlossen.

§ 12 Haftung und Haftungsbegrenzung

(1) Der Anbieter haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen, sowie bei arglistig verschwiegenen Mängeln oder bei Übernahme einer Garantie. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf (Kardinalpflicht), ist die Haftung des Anbieters auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Im Übrigen ist die Haftung des Anbieters für leichte Fahrlässigkeit ausgeschlossen.

(3) Haftungshöchstbetrag: Unbeschadet Abs. 1 ist die Haftung des Anbieters für sämtliche Schadensfälle innerhalb eines Vertragsjahres insgesamt begrenzt auf den niedrigeren der folgenden Beträge: (i) die Netto-Vergütung, die der Kunde innerhalb der unmittelbar vorangegangenen zwölf Monate an den Anbieter für die konkret betroffene Leistung tatsächlich gezahlt hat, oder (ii) 1.500,00 EUR. Diese Begrenzung gilt sowohl als Aggregat-Cap pro Vertragsjahr als auch als Per-Schadensfall-Cap. Für den kostenlosen Tarif ist die Haftung — mit Ausnahme der in Abs. 1 genannten Fälle — vollständig ausgeschlossen, weil keine Vergütung erfolgt.

(4) Ausgeschlossene Schadensarten: Eine Haftung des Anbieters für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, entgangene Einsparungen, entgangene Nutzung, Betriebsunterbrechung, Imageschäden, Rufschäden, Verlust von Geschäftsmöglichkeiten, Verlust oder Verschlechterung von Suchmaschinen-Rankings, Bußgelder, Abmahnkosten, Vertragsstrafen, Prozesskosten, SLA-Gutschriften, Schadensersatzansprüche Dritter (insbesondere Endkunden des Kunden) sowie sonstige Vermögensschäden ist — außerhalb der in Abs. 1 genannten Fälle — ausgeschlossen.

(5) Ausschluss bei Monitoring, Alerts und Auswertungen: Unbeschadet Abs. 1 haftet der Anbieter nicht für Schäden, die dadurch entstehen, dass

• Ausfälle, Einbrüche oder andere Zustände der überwachten Website nicht, nicht vollständig, nicht rechtzeitig, unrichtig oder mehrfach erkannt oder gemeldet wurden;
• Benachrichtigungen (Alerts) nicht, verspätet, unvollständig, mehrfach, an den falschen Empfänger oder mit unrichtigem Inhalt zugestellt wurden, insbesondere infolge von Ausfällen oder Verzögerungen bei E-Mail-Providern, Slack, Microsoft Teams, Discord, Telegram, Webhooks, Push-Diensten oder sonstigen Benachrichtigungskanälen;
• Ergebnisse der Plattform (Scores, Ampeln, Empfehlungen, Reports, Analytics-Daten) unrichtig, unvollständig, missverständlich oder veraltet waren oder vom Kunden oder Dritten falsch interpretiert wurden;
• der Kunde im Vertrauen auf eine Bewertung als „DSGVO-konform“, „BFSG-konform“, „barrierefrei“, „sicher“ o. ä. Maßnahmen unterlassen oder durchgeführt hat und hierdurch Abmahnungen, Bußgelder, Schadenersatzansprüche oder sonstige Nachteile erleidet;
• überwachte Websites, deren Infrastruktur, Schnittstellen, APIs oder Datenbanken durch die Prüfungen des Anbieters beeinträchtigt wurden, sofern der Kunde die Kontrollmöglichkeiten (Check-Intervalle, Wartungsfenster, Ausschlüsse) nicht ausgeschöpft hat;
• Heartbeats, Cron-/Dead-Man's-Switch-Monitore, Wartungsfenster oder Eskalationsstufen nicht wie erwartet ausgelöst, pausiert, weitergeleitet oder wieder aktiviert wurden;
• Reports, CSV-/JSON-/PDF-Exporte oder API-Antworten abweichende Werte oder andere Darstellungen enthalten, die zu Entscheidungen geführt haben, die sich nachträglich als nachteilig erweisen;
• Analytics-Daten (Besucherzahlen, Events, Conversions) von den Zahlen anderer Messsysteme abweichen oder unvollständig sind;
• Integrationen und Weitergaben an Drittsysteme (z. B. über Webhooks, White-Label-Portale, Client-Exporte, Audit-Widgets) fehlerhaft, verzögert oder gar nicht funktionierten;
• der Dienst auf Grundlage höherer Gewalt, Cyberangriffen auf den Anbieter oder Dritte, Ausfällen im öffentlichen Internet, bei Stromversorgern, Rechenzentren, DNS- oder Cloud-Providern nicht oder nicht vollständig erbracht wurde.

(6) Für den Verlust oder die Beschädigung von Kunden- oder Monitoring-Daten haftet der Anbieter nur bis zu demjenigen Betrag, der bei ordnungsgemäßer, täglicher Datensicherung durch den Kunden zur Wiederherstellung der Daten erforderlich gewesen wäre. Der Kunde ist verpflichtet, für die regelmäßige Sicherung seiner eigenen Daten sowie für den regelmäßigen Export von Reports und Historiendaten zu sorgen.

(7) Ausschlussfrist: Schadensersatzansprüche des Kunden gegen den Anbieter verjähren — mit Ausnahme der in Abs. 1 genannten Fälle — innerhalb von zwölf Monaten ab dem Zeitpunkt, in dem der Kunde von dem Schaden Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.

(8) Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Erfüllungsgehilfen und Subunternehmer des Anbieters sowie entsprechend für deren persönliche Haftung.

§ 13 Geheimhaltung und Referenznennung

(1) Die Parteien verpflichten sich, alle im Rahmen der Vertragsdurchführung bekannt gewordenen vertraulichen Informationen der jeweils anderen Partei geheim zu halten und nur für Zwecke der Vertragsdurchführung zu verwenden.

(2) Der Anbieter ist berechtigt, den Kunden auf eigenen Websites oder in anderen Medien als Referenzkunden zu nennen, sofern der Kunde dem nicht aus berechtigtem Interesse widerspricht.

§ 14 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertragsverhältnis ist, soweit gesetzlich zulässig, der Sitz des Anbieters.

(3) Sollten einzelne Bestimmungen dieser AGB ganz oder teilweise unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlich Gewollten am nächsten kommt.

(4) Änderungen oder Ergänzungen dieses Vertrages sowie Nebenabreden bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Textformerfordernisses.