MB Marcus Brandt

Allgemeine Geschäftsbedingungen – Nyx Pentest

Stand: September 2026. Diese Bedingungen gelten für kostenpflichtige Sicherheitstests und Monitoring-Leistungen der Plattform Nyx (nyx.iso-it-sec.de).

§ 1 Geltungsbereich und Anbieter

  1. Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über kostenpflichtige Sicherheitstests (Pentests) und Monitoring-Leistungen, die über die Plattform Nyx (nyx.iso-it-sec.de) angeboten werden.
  2. Anbieter ist Marcus Brandt, Tuchschererstr. 34, 46325 Borken, E-Mail: E-Mail (nachfolgend „Anbieter“).
  3. Die Leistungen richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern (§ 13 BGB) ist ausgeschlossen. Mit der Bestellung bestätigt der Kunde, als Unternehmer zu handeln.
  4. Es gelten ausschließlich diese AGB. Abweichende oder entgegenstehende Bedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn der Anbieter ihnen nicht ausdrücklich widerspricht.
  5. Maßgeblich ist die bei Vertragsschluss gültige Fassung dieser AGB.

§ 2 Leistungsbeschreibung

  1. Der Anbieter führt einen automatisierten, nicht-invasiven Sicherheitstest gegen ein vom Kunden angegebenes Ziel (Domain oder IP-Adresse) durch. Geprüft werden je nach Umfang u. a. offene Ports, TLS-Konfiguration, HTTP-Sicherheitsheader, DNS-Sicherheit, bekannte Schwachstellen (CVE) und typische Fehlkonfigurationen. Beim Umfang „Full Scope“ werden zusätzlich öffentlich auffindbare Subdomains einbezogen.
  2. Angeboten werden ein einmaliger Test sowie ein Monitoring mit wiederkehrenden Tests über einen festen Zeitraum (§ 6). Der Leistungsinhalt ergibt sich aus der jeweiligen Produktbeschreibung bei Bestellung.
  3. Der Test ist eine automatisierte Momentaufnahme und ersetzt keine manuelle Sicherheitsprüfung durch eine zertifizierte Person. Der Anbieter schuldet die sorgfältige Durchführung des automatisierten Tests, nicht das Auffinden aller vorhandenen Schwachstellen und keinen bestimmten Sicherheitszustand des geprüften Systems. Es wird kein Erfolg im Sinne der Beseitigung von Schwachstellen geschuldet.
  4. Die Ergebnisse werden als Bericht (HTML/PDF) in der Plattform bereitgestellt. Bewertungen der Ausnutzbarkeit (z. B. EPSS, CISA-KEV) beruhen auf öffentlichen Drittquellen und werden ohne Gewähr wiedergegeben.
  5. Der Anbieter kann sich zur Leistungserbringung technischer Dienste Dritter (z. B. Hosting, Open-Source-Werkzeuge) bedienen.

§ 3 Vertragsschluss

  1. Die Darstellung der Leistungen in Nyx stellt kein bindendes Angebot des Anbieters dar, sondern eine Aufforderung zur Abgabe einer Bestellanfrage.
  2. Mit dem Absenden der Bestellung („Kostenpflichtig anfragen“) gibt der Kunde eine verbindliche Anfrage ab. Ein Vertrag kommt erst zustande, wenn der Anbieter die Bestellung freischaltet und dem Kunden dies bestätigt (in der Regel zusammen mit der Rechnung). Der Anbieter ist nicht verpflichtet, eine Bestellung anzunehmen.
  3. Der Anbieter kann die Annahme insbesondere ablehnen, wenn Zweifel an der Berechtigung des Kunden am Zielsystem (§ 4) bestehen.
  4. Der Vertragstext (Bestelldaten, diese AGB) wird beim Anbieter gespeichert. Die AGB können jederzeit unter iso-it-sec.de/agb-nyx.html abgerufen werden.

§ 4 Berechtigung am Zielsystem, Freistellung

  1. Sicherheitstests dürfen nur gegen Systeme durchgeführt werden, für die der Kunde die erforderliche Berechtigung besitzt. Der Kunde sichert mit der Bestellung zu, dass er Eigentümer des angegebenen Ziels ist oder über eine ausdrückliche Erlaubnis des Berechtigten verfügt, das Ziel testen zu lassen. Beim Monitoring gilt diese Zusicherung für den gesamten Buchungszeitraum.
  2. Der Kunde ist für das Vorliegen und den Fortbestand dieser Berechtigung allein verantwortlich. Entfällt die Berechtigung, teilt der Kunde dies dem Anbieter unverzüglich mit; der Anbieter stellt die Tests daraufhin ein.
  3. Der Kunde stellt den Anbieter von sämtlichen Ansprüchen Dritter frei, die darauf beruhen, dass der Kunde ein Ziel ohne die erforderliche Berechtigung hat testen lassen, einschließlich angemessener Kosten der Rechtsverteidigung.
  4. Der Anbieter ist berechtigt, eine Bestätigung der Berechtigung zu verlangen und Bestellungen ohne Angabe von Gründen abzulehnen oder laufende Tests auszusetzen, wenn ein Missbrauch nicht auszuschließen ist.

§ 5 Preise, Umsatzsteuer, Zahlung

  1. Es gelten die bei Bestellung angegebenen Preise. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
  2. Beim einmaligen Test ist der Preis einmalig, beim Monitoring je Buchungsmonat zu zahlen.
  3. Die Rechnung wird nach Freischaltung elektronisch (PDF per E-Mail) bereitgestellt. Der Kunde stimmt dem elektronischen Rechnungsversand zu.
  4. Rechnungen sind innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug auf das in der Rechnung genannte Konto zahlbar. Die Zahlung erfolgt auf Rechnung; ein externer Zahlungsdienstleister wird nicht eingebunden.
  5. Bei Zahlungsverzug gelten die gesetzlichen Regelungen. Der Anbieter kann laufende Monitoring-Leistungen bis zum Zahlungseingang aussetzen.

§ 6 Laufzeit des Monitorings

  1. Ein Monitoring wird für einen festen Zeitraum von einem Monat ab Freischaltung gebucht. In diesem Zeitraum führt der Anbieter die Tests nach dem gewählten Rhythmus (wöchentlich, 14-tägig oder monatlich) durch.
  2. Das Monitoring endet automatisch mit Ablauf des Buchungsmonats. Eine automatische Verlängerung findet nicht statt.
  3. Der Anbieter weist den Kunden vor Ablauf (standardmäßig einige Tage vorher) per E-Mail und in der Plattform auf das Vertragsende hin. Eine Fortsetzung erfordert eine neue Bestellung.
  4. Bereits gezahlte Entgelte für den laufenden Buchungsmonat werden bei vorzeitiger Beendigung durch den Kunden nicht anteilig erstattet, soweit gesetzlich zulässig; § 12 bleibt unberührt.

§ 7 Mitwirkungspflichten des Kunden

  1. Der Kunde gibt das Ziel korrekt an und stellt sicher, dass der Test keine Rechte Dritter verletzt (§ 4).
  2. Der Kunde hält seine Zugangsdaten geheim und ist für alle Handlungen unter seinem Konto verantwortlich. Einen Missbrauch teilt er dem Anbieter unverzüglich mit.
  3. Der Kunde stellt sicher, dass ihm zurechenbare Schutzsysteme (z. B. Firewalls, WAF, Intrusion-Detection) den Test nicht als Angriff werten oder unbeabsichtigte Folgen auslösen; er informiert erforderlichenfalls die zuständigen Stellen.
  4. Der Kunde ist für die Sicherung seiner Systeme und Daten selbst verantwortlich.

§ 8 Haftung

  1. Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei arglistig verschwiegenen Mängeln, nach dem Produkthaftungsgesetz sowie bei Verletzung von Leben, Körper oder Gesundheit.
  2. Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt.
  3. Im Übrigen ist die Haftung ausgeschlossen. Insbesondere haftet der Anbieter nicht dafür, dass der automatisierte Test alle Schwachstellen erkennt, und nicht für Schäden, die durch nicht erkannte oder nicht behobene Schwachstellen oder durch Handlungen Dritter entstehen.
  4. Die Haftung für mittelbare Schäden, Folgeschäden und entgangenen Gewinn ist im Rahmen der Absätze 2 und 3 ausgeschlossen.
  5. Soweit die Haftung des Anbieters ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung seiner Erfüllungsgehilfen.

§ 9 Verfügbarkeit

  1. Der Anbieter bemüht sich um eine hohe Verfügbarkeit der Plattform, schuldet jedoch keine bestimmte Verfügbarkeit und kein Service-Level.
  2. Wartungsarbeiten, Störungen bei Vorleistern, Ausfälle abgefragter Drittquellen sowie Ereignisse höherer Gewalt können die Verfügbarkeit vorübergehend einschränken. Ein geplanter Monitoring-Lauf, der aus solchen Gründen ausfällt, wird nach Möglichkeit nachgeholt; ein Anspruch hierauf besteht nicht.
  3. Zeiten, in denen ein Test aus vom Kunden oder von Dritten zu vertretenden Gründen nicht durchführbar ist (z. B. nicht erreichbares Ziel), gelten als erbracht.

§ 10 Vertraulichkeit

  1. Der Anbieter behandelt die Testergebnisse und die dabei erlangten Erkenntnisse über die Systeme des Kunden vertraulich und macht sie ausschließlich dem Kunden zugänglich.
  2. Der Anbieter darf die Ergebnisse in anonymisierter, nicht auf den Kunden rückführbarer Form zu statistischen Zwecken und zur Verbesserung der Leistung verwenden.
  3. Der Kunde behandelt die über die Plattform zugänglich gemachten Berichte und Methoden vertraulich, soweit sie nicht offenkundig sind.
  4. Die Pflichten bestehen über das Vertragsende hinaus fort.

§ 11 Datenschutz

  1. Der Anbieter verarbeitet personenbezogene Daten nach den geltenden Datenschutzvorschriften. Einzelheiten ergeben sich aus der Datenschutzerklärung.
  2. Fragt der Test personenbezogene Daten Dritter ab oder deckt er solche auf, ist der Kunde für eine etwaige eigene datenschutzrechtliche Verantwortlichkeit gegenüber diesen Personen selbst zuständig. Er testet nur Ziele, für die er berechtigt ist (§ 4).
  3. Soweit der Anbieter im Auftrag des Kunden personenbezogene Daten verarbeitet, schließen die Parteien auf Wunsch einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

§ 12 Kündigung und Sperrung

  1. Der einmalige Test ist eine einmalige Leistung; eine laufende Kündigung ist nicht erforderlich. Das Monitoring endet mit Ablauf des Buchungsmonats (§ 6).
  2. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Ein wichtiger Grund für den Anbieter liegt insbesondere vor, wenn der Kunde gegen § 4 (Berechtigung) verstößt oder mit einer Zahlung erheblich in Verzug ist.
  3. Der Anbieter kann den Zugang bei begründetem Verdacht auf Missbrauch oder rechtswidrige Nutzung vorläufig sperren.
  4. Der Kunde kann sein Konto jederzeit selbst löschen. Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungen) bleiben hiervon unberührt.

§ 13 Schlussbestimmungen

  1. Änderungen und Ergänzungen des Vertrags bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
  2. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
  3. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist – soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist – der Sitz des Anbieters (Borken). Der Anbieter ist auch berechtigt, am Sitz des Kunden zu klagen.
  4. Der Anbieter ist nicht bereit und nicht verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.
  5. Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.