Allgemeine Geschäftsbedingungen

§1 Geltungsbereich und Vertragspartner

(1) Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über den Microsoft-365-Sicherheitsprüfungsdienst Auditspiegel zwischen Gläser IT-Solutions, Inhaber Daniel Gläser, Georgstraße 46, 09111 Chemnitz (nachfolgend „Anbieter"), und dem Kunden.

(2) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbrauchern im Sinne von § 13 BGB steht der Dienst nicht zur Verfügung.

(3) Bei jeder Bestellung bestätigt der Kunde ausdrücklich, als Unternehmer im Sinne von § 14 BGB zu handeln, und gibt Firmenname und Geschäftsanschrift an. Der Anbieter ist berechtigt, einen Nachweis der Unternehmereigenschaft (z. B. USt-IdNr, Gewerbe- oder Registerauszug) zu verlangen und Bestellungen abzulehnen, bei denen die Unternehmereigenschaft nicht nachgewiesen ist.

(4) Abweichende Bedingungen des Kunden gelten nicht, auch wenn der Anbieter ihnen nicht ausdrücklich widerspricht.

§2 Vertragsschluss

(1) Die Darstellung der Leistungen und Preise auf der Website ist kein verbindliches Angebot. Mit der Registrierung kommt ein unentgeltlicher Nutzungsvertrag über das Auditspiegel-Konto zustande; Prüfleistungen sind darin nicht enthalten.

(2) Der Kunde wählt im Konto ein Einmal-Audit oder ein Tenant-Flat-Abo, gibt seine Rechnungsangaben ein, bestätigt seine Unternehmereigenschaft, akzeptiert diese AGB und wird auf die Bezahlseite des Zahlungsdienstleisters Stripe weitergeleitet. Mit dem Abschluss der Bezahlung dort gibt der Kunde ein verbindliches Angebot ab. Der Vertrag kommt zustande, wenn der Anbieter die Bestellung per E-Mail bestätigt oder die Leistung freischaltet, je nachdem, was zuerst geschieht. Vorher kann der Kunde seine Eingaben jederzeit korrigieren oder den Vorgang abbrechen.

(3) Die Bezahlung erfolgt per Kredit- oder Debitkarte über Stripe. Die gebuchte Leistung wird freigeschaltet, sobald die Zahlung bestätigt ist. Schlägt eine Abbuchung fehl oder wird sie zurückgebucht, wird die Leistung nicht freigeschaltet bzw. bis zum Zahlungseingang gesperrt; der Kunde wird hierüber per E-Mail informiert.

(4) Vertragssprache ist Deutsch. Der Anbieter speichert den Vertragstext nicht gesondert für den Kunden; die jeweils gültigen AGB sind unter /agb abrufbar und können als PDF gespeichert werden. Die Bestelldaten erhält der Kunde mit der Bestätigung und der Rechnung.

§3 Leistungsbeschreibung

(1) Auditspiegel liest die Sicherheitskonfiguration des vom Kunden verbundenen Microsoft-365-Tenants über die Microsoft-Graph-Schnittstelle ausschließlich lesend aus und bewertet sie automatisiert anhand eines vom Anbieter zusammengestellten Prüfkatalogs. Ergänzend zeigt der Bericht Werte des Microsoft Secure Score sowie vom Anbieter erstellte Zuordnungen zu den Microsoft-365-Sicherheitsbaselines der US-Behörde CISA (SCuBA, Secure Configuration Baselines) in der jeweils im Bericht genannten Fassung, zu Anforderungen des BSI IT-Grundschutz-Kompendiums und zu Art. 32 DSGVO. Auditspiegel nimmt keine Änderungen im Tenant vor.

(2) Ausgewertet werden nur Einstellungen, die über die Schnittstelle lesbar sind und für die der Tenant die erforderlichen Lizenzen besitzt. Der jeweils aktuelle Umfang (Zahl der automatisch ausgewerteten Prüfpunkte und des Katalogs) wird auf der Website und in jedem Bericht genannt; die nicht automatisch ausgewerteten Prüfpunkte führt der Bericht im Abschnitt „Was wir nicht geprüft haben" mit Begründung auf. Der Anbieter kann den Prüfkatalog weiterentwickeln, Prüfpunkte ergänzen, anpassen oder entfernen, wenn neue Fassungen der Grundlagen oder Änderungen bei Microsoft dies erfordern; der Leistungskern (die automatisierte, lesende Prüfung der Tenant-Konfiguration mit Bericht) bleibt erhalten.

(3) Der Bericht ist eine Momentaufnahme zum Zeitpunkt des Scans. Er ist eine technische Konfigurationsprüfung und kein vollständiges Sicherheitsaudit, keine Zertifizierung (z. B. nach ISO/IEC 27001 oder BSI) und keine Rechts- oder Datenschutzberatung. Der Anbieter schuldet nicht, dass der Tenant nach Umsetzung der Empfehlungen sicher oder rechtskonform ist oder dass jede Schwachstelle erkannt wird. Die Verantwortung für die Konfiguration und Sicherheit des Tenants verbleibt beim Kunden.

(4) Die Leistung hängt von der Verfügbarkeit und dem Verhalten der Microsoft-Dienste ab. Liefert die Schnittstelle keine oder unvollständige Daten, weist der Bericht den betroffenen Prüfpunkt als nicht geprüft aus; ein Abo-Scan wird beim nächsten Termin wiederholt.

(5) Leistungsumfang der Produkte:

• Einmal-Audit: ein Scan eines Tenants mit Bericht im Konto und als PDF; Zugang zu Bericht und Konto für mindestens 30 Tage.

• Tenant-Flat-Abo: wiederkehrende Scans genau eines verbundenen Microsoft-365-Tenants im gewählten Rhythmus (wöchentlich oder monatlich), Verlauf und Berichte im Konto und per E-Mail, solange das Abo besteht. Für jeden weiteren Tenant ist ein eigenes Abo erforderlich.

• KI-Funktionen (in Einmal-Audit und Tenant-Flat-Abo enthalten): nach Aktivierung durch den Kunden (§3a) eine KI-gestützte Zusammenfassung für die Geschäftsführung und ein Maßnahmenplan für 90 Tage je Bericht. Neu erstellt werden sie, wenn sich die Prüfergebnisse gegenüber dem vorigen Scan geändert haben; auf Wunsch des Kunden höchstens zweimal je Bericht. Kunden des Einmal-Audits können zusätzlich innerhalb von 30 Tagen nach Fertigstellung ihres ersten Berichts insgesamt 10 Fragen zum Bericht stellen.

• Zusatzabo KI-Assistent: nur zusammen mit einem laufenden Tenant-Flat-Abo buchbar (je Abo höchstens ein Zusatzabo); enthält je Kalendermonat bis zu 300 Fragen zum Bericht und bis zu 5 Auswertungen von Fragebögen (z. B. von Cyberversicherungen oder Auditoren). Nicht genutzte Kontingente verfallen am Monatsende. Ist ein Kontingent aufgebraucht, stehen die betroffenen Funktionen bis zum Beginn des nächsten Kalendermonats nicht zur Verfügung; der Anbieter weist im Konto darauf hin. Mehrkosten entstehen dadurch nicht. Zum Schutz vor Missbrauch kann der Anbieter die Zahl der Fragen je Person in kurzen Zeitabständen begrenzen.

Die Preise ergeben sich aus der Preisseite zum Zeitpunkt der Bestellung; die Anrechnung des Einmal-Audits beim Wechsel ins Abo regelt §5 Abs. 7.

(6) Der Anbieter schuldet keine bestimmte Verfügbarkeit des Dienstes. Er bemüht sich um einen störungsfreien Betrieb; Wartungsarbeiten führt er möglichst außerhalb der üblichen Geschäftszeiten durch.

(7) Microsoft, Microsoft 365, Microsoft Graph und Secure Score sind Marken der Microsoft-Unternehmensgruppe. Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Auditspiegel ist ein unabhängiges Angebot und wird weder von Microsoft noch von der CISA oder vom BSI geprüft, zertifiziert oder empfohlen.

(8) Voraussetzung für die Leistungserbringung ist der Abschluss des Auftragsverarbeitungsvertrags (AVV) unter /legal/avv.

§3a KI-Funktionen

(1) Die KI-Funktionen sind ausgeschaltet, bis der Kunde sie in seinem Konto ausdrücklich aktiviert. Mit der Aktivierung werden pseudonymisierte Prüfergebnisse, Fragen des Kunden und von ihm hochgeladene Dokumente an den im Konto genannten KI-Dienst übermittelt; Einzelheiten regeln der AVV (§7a) und die Datenschutzerklärung. Der Kunde kann die Funktionen jederzeit ausschalten.

(2) Die Ergebnisse der KI-Funktionen sind KI-gestützt erstellt. Sie stützen sich auf die Prüfergebnisse des jeweiligen Scans und nennen die Prüf-IDs, auf die sie sich beziehen; sie können dennoch unvollständig oder fehlerhaft sein. Sie sind keine Rechts-, Steuer- oder Versicherungsberatung und keine Aussage über Konformität oder Zertifizierung. Vorgeschlagene Antworten auf Fragebögen prüft und verantwortet der Kunde, bevor er sie weitergibt. §3 Abs. 3 gilt entsprechend.

(3) Der Kunde lädt nur Dokumente hoch, zu deren Weitergabe er berechtigt ist, und gibt keine Zugangsdaten oder Geheimnisse in Fragen ein.

§4 Pflichten des Kunden

Der Kunde

1. erteilt die erforderliche Administratorzustimmung in Microsoft 365 oder lässt sie von einer berechtigten Person erteilen,
2. verbindet ausschließlich Tenants des eigenen Unternehmens oder solche, für deren Prüfung ihm die ausdrückliche Befugnis des Tenant-Inhabers vorliegt, und stellt den Anbieter von Ansprüchen Dritter frei, die auf einer fehlenden Befugnis beruhen,
3. hält seine Zugangsdaten und die Zwei-Faktor-Anmeldung geheim und informiert den Anbieter unverzüglich bei Verdacht auf Missbrauch,
4. prüft Empfehlungen vor der Umsetzung auf ihre Auswirkungen in seiner Umgebung und setzt sie in eigener Verantwortung um; vor Änderungen an der Konfiguration sichert er seine Daten und Einstellungen in angemessener Weise,
5. gibt Berichte nur im Rahmen seines Unternehmens oder an zur Verschwiegenheit verpflichtete Berater, Prüfer und Behörden weiter,
6. erfüllt die ihm als Verantwortlichem obliegenden Datenschutzpflichten, insbesondere gegenüber seinen Beschäftigten.

§5 Preise, Umsatzsteuer und Zahlung

(1) Es gelten die zum Zeitpunkt der Bestellung auf der Preisseite ausgewiesenen Preise. Alle Preise sind Nettopreise.

(2) Bis einschließlich 31.12.2026 wendet der Anbieter die Kleinunternehmerregelung nach § 19 UStG an. Für Leistungen an Kunden in Deutschland wird keine Umsatzsteuer berechnet; der ausgewiesene Preis ist der Endpreis.

(3) Ab dem 01.01.2027 unterliegt der Anbieter der Regelbesteuerung. Ab diesem Datum verstehen sich alle Preise zuzüglich der gesetzlichen Umsatzsteuer:

• Kunden mit Sitz in Deutschland: zuzüglich Umsatzsteuer in gesetzlicher Höhe (derzeit 19 %).
• Kunden mit Sitz in einem anderen EU-Mitgliedstaat, die eine gültige USt-IdNr angeben: Die Leistung ist in Deutschland nicht steuerbar (§ 3a Abs. 2 UStG) und wird ohne deutsche Umsatzsteuer abgerechnet; die Steuer schuldet der Kunde in seinem Mitgliedstaat (Steuerschuldnerschaft des Leistungsempfängers, Art. 196 MwStSystRL). Kunden aus anderen EU-Mitgliedstaaten sind zur Angabe ihrer USt-IdNr verpflichtet.
• Kunden mit Sitz außerhalb der EU: Die Leistung ist in Deutschland nicht steuerbar (§ 3a Abs. 2 UStG).

Für Kunden außerhalb Deutschlands gilt die Abrechnung ohne deutsche Umsatzsteuer nach den beiden letzten Spiegelstrichen bereits im Jahr 2026.

(4) Maßgeblich für die steuerliche Behandlung ist der Zeitpunkt, zu dem die Leistung erbracht wird, nicht das Rechnungsdatum. Ein Abrechnungszeitraum des Abos, der nach dem 31.12.2026 endet, unterliegt der Regelbesteuerung. Der Anbieter ist berechtigt, den Abrechnungszeitraum zum Jahreswechsel anteilig abzugrenzen (Abrechnung bis 31.12.2026 und neuer Zeitraum ab 01.01.2027) oder die Umsatzsteuer für einen solchen Zeitraum mit einer berichtigten Rechnung nachzuberechnen; da die Preise von Beginn an Nettopreise sind, liegt darin keine Preiserhöhung.

(5) Für jeden Kauf erhält der Kunde eine Rechnung. Der Kunde ist damit einverstanden, dass Rechnungen ausschließlich elektronisch (per E-Mail und zum Abruf im Auditspiegel-Konto) bereitgestellt werden, bis zum 31.12.2027 auch als PDF ohne strukturierten Datensatz. Ab dem 01.01.2028 erhalten Kunden mit Sitz in Deutschland Rechnungen als E-Rechnung in einem Format nach der Norm EN 16931 (§ 14 Abs. 1 UStG).

(6) Das Entgelt für das Einmal-Audit ist mit der Bestellung fällig, Abo-Entgelte jeweils zu Beginn eines Abrechnungszeitraums im Voraus. Gerät der Kunde in Zahlungsverzug, gelten die gesetzlichen Regelungen (§ 288 Abs. 2 und 5 BGB); der Anbieter kann neue Scans nach vorheriger Ankündigung in Textform bis zum Zahlungseingang aussetzen.

(7) Anrechnung des Einmal-Audits: Schließt der Kunde innerhalb von 30 Tagen nach Zahlung des Einmal-Audits für dasselbe Auditspiegel-Konto ein Tenant-Flat-Abo ab, werden die 149 € netto des Einmal-Audits auf das Abo angerechnet, und zwar als Minderung der ersten beiden Monatsbeiträge um je 74,50 € netto. Die Umsatzsteuer wird auf den geminderten Betrag berechnet. Die Anrechnung gilt einmal je Auditspiegel-Konto, nur für dessen erstes Abo und nur, soweit das Entgelt des Einmal-Audits nicht erstattet oder zurückgebucht wurde. Sie wird nicht ausgezahlt; endet das Abo vor dem zweiten Monatsbeitrag, entfällt der nicht verbrauchte Teil.

§5a Laufzeit und Kündigung

(1) Das Tenant-Flat-Abo hat eine Laufzeit von einem Monat und verlängert sich jeweils um einen weiteren Monat, wenn es nicht gekündigt wird. Der Kunde kann jederzeit zum Ende der laufenden Abrechnungsperiode kündigen: im Auditspiegel-Konto unter „Abo & Rechnungen" über die Schaltfläche „Jetzt kündigen" oder in Textform. Bis zum Ende der Abrechnungsperiode laufen die Scans weiter; eine anteilige Erstattung erfolgt nicht.

(1a) Das Zusatzabo KI-Assistent hat eine Laufzeit von einem Monat und wird mit dem Tenant-Flat-Abo abgerechnet; der Betrag für den Rest der bei Buchung laufenden Abrechnungsperiode wird anteilig berechnet. Der Kunde kann es jederzeit zum Ende der laufenden Abrechnungsperiode kündigen: im Auditspiegel-Konto unter „Abo & Rechnungen" über die Schaltfläche „Jetzt kündigen" oder in Textform; das Tenant-Flat-Abo bleibt davon unberührt. Endet das Tenant-Flat-Abo, endet das Zusatzabo zum selben Zeitpunkt. Abs. 2 und 3 gelten entsprechend.

(2) Der Anbieter kann das Abo mit einer Frist von einem Monat zum Ende einer Abrechnungsperiode in Textform kündigen.

(3) Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere vor, wenn der Kunde Tenants ohne Befugnis verbindet oder sich als Verbraucher herausstellt.

(4) Nach Vertragsende startet Auditspiegel keine neuen Scans mehr. Was mit den gespeicherten Ergebnissen geschieht, regelt §11 AVV; der Kunde kann seine Berichte bis dahin herunterladen und sein Konto jederzeit löschen.

(5) Hat der Kunde nie ein Einmal-Audit oder ein Abo gebucht und hat sich 12 Monate lang niemand in seinem Auditspiegel-Konto angemeldet (ohne Anmeldung gerechnet ab der Registrierung), endet der unentgeltliche Nutzungsvertrag nach §2 Abs. 1 und der Anbieter löscht das Konto. Der Anbieter kündigt dies mindestens 30 Tage vorher per E-Mail an die Adresse des Kontos an und nennt das Datum. Meldet sich vor diesem Datum jemand im Konto an, besteht der Nutzungsvertrag fort.

§6 Kein Widerrufsrecht

Ein Widerrufsrecht steht nur Verbrauchern zu. Da der Dienst nach §1 nicht für Verbraucher angeboten wird, besteht kein Widerrufsrecht.

§7 Haftung

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung des Lebens, des Körpers oder der Gesundheit, bei arglistigem Verschweigen eines Mangels, aus einer übernommenen Garantie und nach dem Produkthaftungsgesetz.

(2) Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt.

(3) Für den Verlust von Daten haftet der Anbieter im Rahmen von Absatz 2 nur in Höhe des Aufwands, der bei regelmäßiger, dem Risiko angemessener Datensicherung durch den Kunden zur Wiederherstellung erforderlich gewesen wäre.

(4) Im Übrigen ist die Haftung ausgeschlossen. Die vorstehenden Regelungen gelten auch für die persönliche Haftung von Erfüllungs- und Verrichtungsgehilfen des Anbieters. Die Haftung nach Art. 82 DSGVO bleibt unberührt.

§8 Änderungen der AGB und der Preise

(1) Der Anbieter teilt Änderungen dieser AGB dem Kunden mindestens sechs Wochen vor ihrem Inkrafttreten in Textform mit und hebt die Änderungen hervor. Änderungen, die den Kunden nicht schlechter stellen oder die durch Gesetzes- oder Rechtsprechungsänderungen notwendig werden, gelten für bestehende Verträge ab dem mitgeteilten Zeitpunkt; der Kunde kann das Abo bis dahin kündigen.

(2) Änderungen der Hauptleistungen und der Preise für ein bestehendes Abo werden nur mit ausdrücklicher Zustimmung des Kunden wirksam, die er im Konto oder in Textform erteilen kann. Stimmt der Kunde nicht zu, bleibt es bei den bisherigen Bedingungen; das Kündigungsrecht des Anbieters nach §5a Abs. 2 bleibt unberührt.

§9 Verbraucherstreitbeilegung

Der Anbieter ist weder bereit noch verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Der Dienst wird nicht an Verbraucher angeboten.

§10 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Chemnitz Gerichtsstand für alle Streitigkeiten aus dem Vertragsverhältnis, sofern der Anbieter zum Zeitpunkt des Vertragsschlusses ebenfalls Kaufmann ist. Dasselbe gilt, wenn der Kunde keinen allgemeinen Gerichtsstand in Deutschland hat. Der Anbieter kann den Kunden auch an dessen allgemeinem Gerichtsstand verklagen.

(3) Sind einzelne Bestimmungen dieser AGB unwirksam, bleibt der Vertrag im Übrigen wirksam (§ 306 BGB).