AGB und Nutzungsbedingungen für Beyond Phishing

Version 1.0

Stand: 26.05.2026

Anbieter: MÜNSMEDIA GmbH, Schönebecker Str. 54, 39104 Magdeburg, Deutschland

Vertreten durch: Nino Müns und Malte Müns

1.1 Diese Allgemeinen Geschäftsbedingungen und Nutzungsbedingungen („AGB“) gelten für alle Verträge über die Nutzung der SaaS-Plattform Beyond Phishing („Plattform“) zwischen der MÜNSMEDIA GmbH, Schönebecker Str. 54, 39104 Magdeburg („Anbieter“, „wir“, „uns“) und dem jeweiligen Vertragspartner („Kunde“).

1.2 Beyond Phishing richtet sich ausschließlich an Unternehmer, juristische Personen des öffentlichen Rechts, öffentlich-rechtliche Sondervermögen, Behörden, Körperschaften, Verbände, Vereine, Organisationen und sonstige beruflich oder dienstlich handelnde Einrichtungen. Verbraucher im Sinne von § 13 BGB sind von der Nutzung ausgeschlossen. Der Kunde bestätigt bei Vertragsschluss, nicht als Verbraucher zu handeln.

1.3 Diese AGB gelten zugleich als Nutzungsbedingungen für Administratoren, vom Kunden angelegte Nutzerinnen und Nutzer sowie sonstige durch den Kunden autorisierte Personen („Nutzer“). Der Kunde ist verpflichtet, seine Nutzer zur Einhaltung dieser AGB anzuhalten.

1.4 Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen und Einkaufsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, wir stimmen ihrer Geltung ausdrücklich in Textform zu. Dieses Zustimmungserfordernis gilt auch dann, wenn wir in Kenntnis entgegenstehender Bedingungen Leistungen vorbehaltlos erbringen.

1.5 Individuelle Vereinbarungen, Angebote, Leistungsbeschreibungen, Auftragsverarbeitungsverträge, Service Level Agreements oder sonstige schriftliche Vereinbarungen gehen diesen AGB vor, soweit sie ausdrücklich abweichende Regelungen enthalten.

2.1 Plattform bezeichnet die unter den Domains und Subdomains von Beyond Phishing bereitgestellte SaaS-Anwendung einschließlich Administrationsbereich, Phishing-Simulationsmodulen, Lernwelt, Dashboards, Importfunktionen, Vorlagen, Auswertungen und begleitender technischer Funktionen.

2.2 Phishing-Simulation bezeichnet eine kontrollierte, vom Kunden beauftragte und innerhalb der Organisation des Kunden eingesetzte Awareness-Maßnahme, bei der simulierte Phishing-E-Mails, Landingpages oder vergleichbare Szenarien verwendet werden, um Sicherheitsbewusstsein zu trainieren und aggregierte Schulungsbedarfe zu erkennen.

2.3 Lernwelt bezeichnet die in der Plattform bereitgestellten Inhalte zur Sensibilisierung und Schulung von Mitarbeitenden im Bereich Informationssicherheit, insbesondere zu Phishing, Social Engineering, E-Mail-Sicherheit und sicherem Verhalten im digitalen Arbeitsalltag.

2.4 Mitarbeitende sind Beschäftigte, Organmitglieder, freie Mitarbeitende, Auszubildende, Beamtinnen und Beamte, Dienstkräfte oder sonstige Personen, die der Kunde im Rahmen seiner Organisation zur Nutzung oder Einbeziehung in Simulationen berechtigt.

2.5 Nutzerplatz bezeichnet eine vom Kunden gebuchte Berechtigung, eine natürliche Person in der Plattform anzulegen oder in Phishing-Simulationen beziehungsweise Lernangebote einzubeziehen.

2.6 Kundendaten sind alle Daten, Inhalte, Kontaktinformationen, Importdateien, Rollen, Organisationsdaten, Auswertungen, Konfigurationen und sonstigen Informationen, die der Kunde oder seine Nutzer in die Plattform eingeben, hochladen oder dort erzeugen.

2.7 Vertragsdaten sind Daten des Kunden, die für Vertragsabschluss, Abrechnung, Support und Verwaltung der Geschäftsbeziehung erforderlich sind.

2.8 Anonyme oder aggregierte Auswertungen sind Auswertungen, die nicht darauf gerichtet sind, einzelne Mitarbeitende individuell zu überwachen, zu bewerten oder arbeitsrechtlich zu sanktionieren.

3.1 Der Anbieter stellt dem Kunden Beyond Phishing als cloudbasierte SaaS-Plattform zur Verfügung. Die Plattform dient dazu, Phishing-Simulationen in der Organisation des Kunden zu planen, zu konfigurieren, durchzuführen und auszuwerten sowie Mitarbeitenden eine Lernwelt zur Sensibilisierung im Bereich IT-Sicherheit bereitzustellen.

3.2 Der konkrete Leistungsumfang ergibt sich aus dem jeweils gebuchten Tarif, der Leistungsbeschreibung auf der Website, dem Checkout, einem individuellen Angebot oder einer sonstigen Vereinbarung. Dazu können insbesondere gehören:

• Zugriff auf den Administrationsbereich,
• Anlage oder Import von Mitarbeitenden,
• Auswahl genutzter Tools, Rollen, Branchen oder Szenarien,
• Versand simulierter Phishing-E-Mails,
• Nutzung von Phishing-Vorlagen und Szenarien,
• Nutzung einer Awareness-Lernwelt,
• Live-Dashboard und statistische Auswertungen,
• adaptiv ausgewählte Simulationen auf Grundlage des Simulationsverlaufs,
• Export- oder Berichtsfunktionen,
• Supportleistungen nach Maßgabe dieser AGB oder gesonderter Vereinbarung.

3.3 Beyond Phishing enthält eine Vielzahl realistischer Phishing-Vorlagen. Der Anbieter kann Vorlagen, Lerninhalte, Kategorien und Szenarien im Rahmen der Produktpflege ändern, austauschen, ergänzen oder entfernen, sofern dadurch der vereinbarte Kernnutzen der Plattform nicht wesentlich beeinträchtigt wird.

3.4 Die Plattform ist ein Awareness- und Schulungswerkzeug. Sie ersetzt keine umfassende IT-Sicherheitsberatung, kein Informationssicherheitsmanagementsystem, keine Penetrationstests, keine rechtliche Beratung, keine Datenschutzberatung, keine arbeitsrechtliche Beratung und keine technische Absicherung der Systeme des Kunden.

3.5 Der Anbieter schuldet keinen bestimmten Schulungserfolg, keine bestimmte Klickrate, keine Reduktion bestimmter Risiken, keine Abwehr realer Angriffe und keine Garantie, dass Beschäftigte echte Phishing-Angriffe künftig erkennen oder verhindern.

3.6 Die Plattform darf ausschließlich zur rechtmäßigen internen Sensibilisierung und Schulung innerhalb der Organisation des Kunden genutzt werden. Eine Nutzung zur Durchführung echter Phishing-Angriffe, zur Täuschung unbeteiligter Dritter, zur Erlangung echter Zugangsdaten, zur Ausspähung, zur Schädigung von IT-Systemen oder zu sonstigen rechtswidrigen Zwecken ist verboten.

4.1 Die Darstellung von Tarifen, Funktionen und Preisen auf der Website stellt kein rechtlich bindendes Angebot dar, sondern eine Aufforderung zur Abgabe einer Bestellung, sofern im Einzelfall nicht ausdrücklich etwas anderes angegeben ist.

4.2 Ein Vertrag kommt zustande, wenn

• der Kunde im Online-Checkout einen Tarif auswählt und die Bestellung durch Klick auf die vorgesehene Bestellschaltfläche abschließt und wir die Bestellung durch Bereitstellung des Accounts, Zahlungsbestätigung oder Auftragsbestätigung annehmen, oder
• der Kunde ein individuelles Angebot des Anbieters innerhalb der dort genannten Frist annimmt, oder
• die Parteien eine sonstige Vereinbarung in Textform schließen.

4.3 Der Kunde ist verpflichtet, bei Bestellung und Registrierung vollständige und zutreffende Angaben zu machen. Änderungen der Vertrags-, Rechnungs- und Kontaktdaten sind unverzüglich zu aktualisieren.

4.4 Der Anbieter ist berechtigt, Bestellungen abzulehnen, insbesondere wenn Zweifel an der Unternehmereigenschaft, Zahlungsfähigkeit, rechtmäßigen Nutzung, Identität des Kunden oder der Einhaltung dieser AGB bestehen.

4.5 Der Vertragsschluss erfolgt in deutscher Sprache. Der Anbieter kann dem Kunden Vertragsunterlagen, Bestellbestätigungen und Rechnungen elektronisch übermitteln.

5.1 Es gelten die im Zeitpunkt der Bestellung im Checkout, auf der Preisseite oder im individuellen Angebot ausgewiesenen Preise und Leistungsumfänge.

5.2 Sofern nicht ausdrücklich anders angegeben, verstehen sich Preise gegenüber Unternehmern netto zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.

5.3 Die Standardtarife enthalten nach aktueller Preisdarstellung insbesondere folgende Nutzerplatzkontingente:

5.4 Die Tabelle dient der Wiedergabe des aktuellen Standardpreisvorschlags. Maßgeblich ist stets der Preis im Checkout oder im individuellen Angebot. Alle Preisangaben sind netto zuzügliche jeweils gültigen Umsatzsteuer, sofern nicht anders ausgewiesen.

5.5 Überschreitet der Kunde die im Tarif enthaltene Anzahl von Nutzerplätzen, werden zusätzliche Nutzerplätze nach dem jeweils geltenden Preis des gebuchten Tarifs berechnet, sofern die Plattform oder das Angebot eine Erweiterung vorsieht.

5.6 Zusätzliche Nutzerplätze können anteilig für den laufenden Abrechnungszeitraum oder ab dem nächsten Abrechnungszeitraum berechnet werden. Einzelheiten ergeben sich aus Checkout, Rechnung oder Angebot.

5.7 Individuelle Phishing-Vorlagen, besondere Kampagnen, Beratungsleistungen, technische Integrationen, individuelle Onboardings, Workshops, Migrationen, Sonderauswertungen oder kundenspezifische Anpassungen sind nur enthalten, wenn sie ausdrücklich vereinbart wurden.

5.8 Der Anbieter kann kostenlose Testzugänge, Early-Access-Zugänge, Beta-Funktionen oder freiwillige Zusatzleistungen bereitstellen. Diese können jederzeit geändert, eingeschränkt oder eingestellt werden, soweit sie nicht ausdrücklich Bestandteil eines entgeltlichen Vertrags sind.

6.1 Die Vergütung ist, soweit nicht abweichend vereinbart, im Voraus für den jeweiligen Abrechnungszeitraum fällig.

6.2 Die verfügbaren Zahlungsarten werden im Checkout oder im Angebot angezeigt. Der Anbieter kann einzelne Zahlungsarten ausschließen oder von einer Bonitätsprüfung abhängig machen, soweit dies sachlich gerechtfertigt ist.

6.3 Rechnungen können elektronisch bereitgestellt oder per E-Mail übersandt werden. Der Kunde stimmt der elektronischen Rechnungsstellung zu.

6.4 Gerät der Kunde mit einer Zahlung in Verzug, ist der Anbieter berechtigt, nach vorheriger Mahnung und angemessener Fristsetzung den Zugang zur Plattform ganz oder teilweise zu sperren. Die Zahlungspflicht des Kunden bleibt während einer berechtigten Sperrung bestehen.

6.5 Der Kunde darf nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Zurückbehaltungsrechte bestehen nur, soweit sie auf demselben Vertragsverhältnis beruhen.

7.1 Die Laufzeit ergibt sich aus dem gebuchten Tarif, dem Checkout oder dem individuellen Angebot.

7.2 Bei monatlichen Abonnements beginnt die Vertragslaufzeit mit Vertragsschluss oder Bereitstellung des Zugangs und läuft zunächst für einen Monat. Das Abonnement verlängert sich jeweils um einen weiteren Monat, sofern es nicht mit einer Frist von sieben Kalendertagen zum Ende des laufenden Abrechnungszeitraums gekündigt wird, soweit im Checkout oder Angebot keine andere Frist vereinbart wurde.

7.3 Bei jährlichen oder individuell vereinbarten Vertragslaufzeiten gelten die im jeweiligen Angebot vereinbarten Laufzeiten und Kündigungsfristen.

7.4 Ein Upgrade in einen höherwertigen Tarif oder die Buchung zusätzlicher Nutzerplätze ist nach Maßgabe der technischen Möglichkeiten jederzeit möglich. Ein Downgrade wird, sofern nicht anders vereinbart, zum Beginn des nächsten Abrechnungszeitraums wirksam.

7.5 Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere vor, wenn der Kunde oder Nutzer

• die Plattform rechtswidrig nutzt,
• echte Phishing-Angriffe, Ausspähung, Täuschung Dritter oder sonstige missbräuchliche Handlungen vorbereitet oder durchführt,
• fällige Zahlungen trotz Mahnung nicht leistet,
• wesentliche Pflichten aus diesen AGB verletzt,
• gegen Datenschutz-, Arbeits-, Straf-, Marken-, Urheber- oder Telekommunikationsrecht verstößt,
• die Sicherheit oder Integrität der Plattform gefährdet.

7.6 Kündigungen bedürfen mindestens der Textform, also insbesondere E-Mail, sofern im Kundenkonto keine Kündigungsfunktion bereitgestellt wird oder gesetzlich eine andere Form erforderlich ist.

7.7 Mit Vertragsende endet das Recht des Kunden und seiner Nutzer, die Plattform zu nutzen. Der Anbieter kann den Zugang sperren. Export- und Löschungsrechte nach diesen AGB, dem AVV und zwingendem Recht bleiben unberührt.

8.1 Der Anbieter gewährt Kunden für die erstmalige Buchung eines kostenpflichtigen Standardtarifs von Beyond Phishing eine freiwillige 14-Tage-Geld-zurück-Garantie.

8.2 Die Garantiefrist beginnt mit dem Tag des Vertragsschlusses oder, falls der Zugang erst später bereitgestellt wird, mit dem Tag der erstmaligen Bereitstellung des Plattformzugangs.

8.3 Der Kunde kann die Geld-zurück-Garantie innerhalb der Garantiefrist ohne Angabe von Gründen in Textform geltend machen per E-Mail an support(at)beyond-phishing.de.

8.4 Macht der Kunde die Geld-zurück-Garantie fristgerecht geltend, endet der Vertrag über den betroffenen Standardtarif mit Zugang der Erklärung, sofern der Kunde nicht ausdrücklich eine Fortsetzung wünscht und die Parteien dies vereinbaren.

8.5 Der Anbieter erstattet dem Kunden die für den ersten Abrechnungszeitraum des betroffenen Standardtarifs tatsächlich gezahlten laufenden Nutzungsentgelte einschließlich gesetzlicher Umsatzsteuer, soweit diese berechnet wurde. Die Erstattung erfolgt grundsätzlich über das ursprünglich verwendete Zahlungsmittel, sofern technisch möglich, spätestens innerhalb von 14 Kalendertagen nach Zugang der fristgerechten Garantieerklärung.

8.6 Die Geld-zurück-Garantie gilt einmalig pro Kunde, Unternehmensgruppe, Behörde oder wirtschaftlich verbundener Organisation. Mehrfachregistrierungen, Umgehungsgestaltungen oder wiederholte Buchungen unter abweichenden Kontaktdaten begründen keinen erneuten Garantieanspruch.

8.7 Die Geld-zurück-Garantie gilt nur für laufende Nutzungsentgelte eines erstmals gebuchten Standardtarifs. Nicht umfasst sind, sofern nicht ausdrücklich anders vereinbart:

• individuell beauftragte Beratungs-, Einrichtungs-, Onboarding-, Workshop- oder Integrationsleistungen,
• kundenspezifische Programmierungen oder individuelle Phishing-Vorlagen,
• bereits beauftragte individuelle Kampagnen außerhalb der Standardtarife,
• Drittanbieter- oder Transaktionskosten, die ausdrücklich als nicht erstattungsfähig ausgewiesen wurden,
• Leistungen, die aufgrund eines individuellen Enterprise- oder Rahmenvertrags erbracht werden.

8.8 Die Garantie ist ausgeschlossen, wenn der Kunde die Plattform missbräuchlich, rechtswidrig oder erheblich vertragswidrig genutzt hat, insbesondere zur Täuschung unbeteiligter Dritter, zur Erlangung echter Zugangsdaten, zum Versand rechtswidriger Inhalte oder zur Umgehung technischer Schutzmaßnahmen.

8.9 Die Geld-zurück-Garantie ist eine freiwillige vertragliche Zusatzleistung. Zwingende gesetzliche Rechte des Kunden, insbesondere Mängelrechte, bleiben unberührt.

8.10 Nach Geltendmachung der Garantie wird der Zugang zur Plattform gesperrt. Es gelten die Löschregelungen dieser AGB und des AVV.

9.1 Für die Nutzung der Plattform ist ein Kundenkonto erforderlich. Der Kunde benennt mindestens eine administrative Kontaktperson („Administrator“).

9.2 Der Kunde stellt sicher, dass Administratoren und Nutzer nur mit zutreffenden beruflichen Kontaktdaten angelegt werden. Private E-Mail-Adressen sollen nur verwendet werden, wenn dies organisatorisch erforderlich und rechtlich zulässig ist.

9.3 Zugangsdaten sind vertraulich zu behandeln und dürfen nicht an unberechtigte Dritte weitergegeben werden. Der Kunde hat angemessene Maßnahmen zu treffen, um unbefugten Zugriff zu verhindern.

9.4 Jeder Nutzeraccount darf nur von der jeweils berechtigten natürlichen Person genutzt werden. Sammelaccounts, geteilte Accounts oder Weitergabe von Zugangsdaten sind unzulässig, sofern nicht ausdrücklich durch die Plattformfunktion vorgesehen.

9.5 Der Kunde hat den Anbieter unverzüglich zu informieren, wenn Anhaltspunkte für einen Missbrauch, eine Kompromittierung von Zugangsdaten, einen unbefugten Zugriff oder eine Sicherheitsverletzung bestehen.

9.6 Der Anbieter ist berechtigt, Accounts vorübergehend zu sperren, Passwörter zurückzusetzen oder sonstige Sicherheitsmaßnahmen zu ergreifen, wenn ein begründeter Verdacht auf Missbrauch, unbefugten Zugriff oder Gefährdung der Plattform besteht. Der Anbieter informiert den Kunden hierüber unverzüglich, soweit dies rechtlich und sicherheitstechnisch möglich ist.

10.1 Der Kunde ist allein dafür verantwortlich, dass die Durchführung von Phishing-Simulationen in seiner Organisation rechtlich zulässig ist.

10.2 Der Kunde stellt insbesondere sicher, dass vor Einsatz der Plattform alle erforderlichen datenschutzrechtlichen, arbeitsrechtlichen, mitbestimmungsrechtlichen, dienstrechtlichen, tarifvertraglichen und internen Voraussetzungen erfüllt sind. Dazu können insbesondere gehören:

• Prüfung und Dokumentation der datenschutzrechtlichen Rechtsgrundlage,
• Information der betroffenen Mitarbeitenden im erforderlichen Umfang,
• Einbindung von Datenschutzbeauftragten, IT-Sicherheitsbeauftragten, Betriebsrat, Personalrat oder Mitarbeitervertretung,
• Abschluss erforderlicher Betriebs- oder Dienstvereinbarungen,
• Festlegung zulässiger Auswertungszwecke,
• Ausschluss unzulässiger Leistungs- und Verhaltenskontrolle,
• Beachtung von Lösch- und Zugriffskonzepten.

10.3 Der Kunde darf die Plattform nicht einsetzen, um einzelne Mitarbeitende zu sanktionieren, bloßzustellen, unzulässig zu überwachen oder arbeitsrechtlich zu bewerten. Die Plattform dient der Sensibilisierung, Schulung und Erkennung allgemeiner Schulungsbedarfe.

10.4 Der Kunde gewährleistet, dass nur Personen in Phishing-Simulationen einbezogen werden, bei denen der Kunde hierzu berechtigt ist. Der Versand an private Adressen, Dritte, Kunden, Lieferanten oder sonstige externe Empfänger ist nur zulässig, wenn dies ausdrücklich vereinbart und rechtlich zulässig ist.

10.5 Der Kunde ist für die Richtigkeit, Aktualität und Rechtmäßigkeit importierter Daten verantwortlich, insbesondere für Namen, E-Mail-Adressen, Rollen, Organisationseinheiten und sonstige Mitarbeiterdaten.

10.6 Der Kunde ist für die interne Kommunikation, rechtliche Einordnung und organisatorische Begleitung der Simulationen verantwortlich. Der Anbieter empfiehlt, die konkreten Kampagneninhalte nicht so offenzulegen, dass der Schulungszweck vereitelt wird; rechtlich erforderliche Transparenz- und Informationspflichten bleiben hiervon unberührt.

10.7 Der Kunde verpflichtet sich, die Plattform nicht zur Erhebung echter Passwörter, Zahlungsdaten, Zugangscodes oder vergleichbarer Geheimnisse zu verwenden. Werden Eingabefelder simuliert, hat der Kunde sicherzustellen, dass keine echten Geheimnisse gespeichert oder ausgewertet werden.

10.8 Der Kunde ist dafür verantwortlich, erforderliche technische Voraussetzungen zu schaffen, insbesondere Empfangbarkeit von E-Mails, Whitelisting, DNS- oder Mailservereinstellungen, sofern diese für den gewünschten Einsatz erforderlich sind. Der Anbieter übernimmt keine Garantie für die Zustellung einzelner Simulations-E-Mails, da Spamfilter, Sicherheitsgateways, Clientkonfigurationen und sonstige kundenseitige Systeme die Zustellung beeinflussen können.

11.1 Der Kunde und seine Nutzer dürfen die Plattform nur im Rahmen des Vertrages, der gebuchten Nutzerplätze, der technischen Dokumentation und dieser AGB nutzen.

11.2 Unzulässig sind insbesondere:

• Nutzung zu rechtswidrigen, strafbaren, sittenwidrigen oder missbräuchlichen Zwecken,
• Versand an nicht autorisierte Empfänger oder externe Dritte ohne rechtliche Grundlage,
• Durchführung echter Phishing-, Spear-Phishing-, Scam-, Malware- oder Social-Engineering-Angriffe,
• Versuch, Zugangsdaten, Zahlungsdaten, Geschäftsgeheimnisse oder sonstige sensible Daten tatsächlich zu erlangen,
• Upload oder Versand von Schadsoftware, Skripten, Trackingmechanismen oder Inhalten, die nicht ausdrücklich durch die Plattform vorgesehen sind,
• Umgehung technischer Schutzmaßnahmen,
• automatisiertes Auslesen, Scraping, Reverse Engineering oder Belastungstests ohne Zustimmung,
• Nutzung über gebuchte Nutzerplätze hinaus,
• Verletzung von Rechten Dritter, insbesondere Marken-, Urheber-, Persönlichkeits-, Datenschutz- oder Namensrechten,
• Veröffentlichung beleidigender, diskriminierender, extremistischer, pornografischer, gewaltverherrlichender oder sonst rechtswidriger Inhalte,
• Nutzung der Plattform zur Wettbewerbsanalyse, zum Nachbau, Benchmarking oder zur Entwicklung konkurrierender Produkte ohne Zustimmung.

11.3 Der Anbieter kann rechtswidrige oder vertragswidrige Inhalte sperren, entfernen oder den Zugang zu betroffenen Funktionen einschränken, soweit dies zur Gefahrenabwehr, Rechtsdurchsetzung oder Sicherung der Plattform erforderlich ist.

12.1 Der Anbieter stellt Phishing-Vorlagen, Lerninhalte, Texte, Designs, Landingpages, Grafiken, Auswertungslogiken und sonstige Plattforminhalte bereit. Diese Inhalte sind urheberrechtlich, markenrechtlich oder durch sonstige Rechte geschützt.

12.2 Der Kunde erhält für die Vertragslaufzeit ein einfaches, nicht ausschließliches, nicht übertragbares, nicht unterlizenzierbares Recht, die Plattform und die bereitgestellten Inhalte im vertraglich vereinbarten Umfang für interne Awareness- und Schulungszwecke zu nutzen.

12.3 Eine Vervielfältigung, öffentliche Zugänglichmachung, Weitergabe, Bearbeitung, kommerzielle Verwertung oder Nutzung außerhalb der Plattform ist nur mit vorheriger Zustimmung des Anbieters zulässig, sofern keine zwingenden gesetzlichen Rechte bestehen.

12.4 Soweit Phishing-Szenarien auf realistische Unternehmens-, Tool-, Branchen- oder Markenkontexte Bezug nehmen, dient dies ausschließlich der internen Simulation realitätsnaher Angriffsmuster. Der Kunde ist verantwortlich, bei Auswahl, Anpassung oder Beauftragung solcher Szenarien die rechtlichen Rahmenbedingungen in seiner Organisation und seinem Land zu prüfen.

12.5 Der Kunde versichert, dass von ihm hochgeladene, bereitgestellte oder beauftragte Inhalte keine Rechte Dritter verletzen und rechtmäßig verwendet werden dürfen. Der Kunde stellt den Anbieter von Ansprüchen Dritter frei, die aus rechtswidrigen Kundendaten oder rechtswidrigen Kundeninhalten resultieren, soweit der Kunde die Rechtsverletzung zu vertreten hat.

13.1 Die Plattform dient der Messung und Verbesserung des allgemeinen Sicherheitsbewusstseins. Auswertungen sollen grundsätzlich auf Ebene des Unternehmens, von Organisationseinheiten oder Gruppen erfolgen und nicht auf eine individuelle Leistungs- oder Verhaltenskontrolle einzelner Mitarbeitender gerichtet sein.

13.2 Der Anbieter kann technische Ereignisse im Rahmen der Simulation erfassen, etwa Versand, Zustellung, Öffnung, Klicks, Interaktion mit Lerninhalten oder Abschluss von Lernmodulen, soweit dies nach Plattformkonfiguration, AVV, Datenschutzhinweisen und gesetzlichen Vorgaben zulässig ist.

13.3 Der Kunde entscheidet im Rahmen der Plattformkonfiguration und seiner rechtlichen Verantwortlichkeit, welche Auswertungen aktiviert werden und welche Personen Zugriff auf Ergebnisse erhalten.

13.4 Der Kunde verpflichtet sich, Ergebnisse nicht missbräuchlich zur Bloßstellung, Sanktionierung oder unzulässigen Kontrolle einzelner Mitarbeitender zu verwenden.

13.5 Soweit der Anbieter anonymisierte oder aggregierte Nutzungs-, Sicherheits- oder Produktdaten zur Verbesserung der Plattform verarbeitet, erfolgt dies nur, sofern kein Rückschluss auf einzelne Kunden, Organisationen oder betroffene Personen möglich ist oder eine entsprechende rechtliche Grundlage besteht.

14.1 Bei Nutzung der Plattform können personenbezogene Daten verarbeitet werden. Der Kunde ist für die Rechtmäßigkeit der Datenverarbeitung im Verhältnis zu seinen Mitarbeitenden und sonstigen betroffenen Personen verantwortlich.

14.2 Soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen die Parteien vor Beginn der Verarbeitung einen Vertrag über Auftragsverarbeitung („AVV“) gemäß Art. 28 DSGVO. Der AVV, seine Anlagen, technische und organisatorische Maßnahmen sowie Unterauftragsverarbeiter sind gesondert zu regeln.

14.3 Der Kunde bleibt Verantwortlicher im datenschutzrechtlichen Sinne für die Auswahl der Zwecke, Rechtsgrundlagen, Empfänger, Löschfristen, Informationspflichten und Zugriffsberechtigungen im Zusammenhang mit seinen Mitarbeitenden.

14.4 Der Anbieter verarbeitet personenbezogene Daten des Kunden nur im Rahmen des Vertrags, des AVV, dokumentierter Weisungen des Kunden und gesetzlicher Pflichten.

14.5 Der Anbieter trifft angemessene technische und organisatorische Maßnahmen zum Schutz der Plattform und der verarbeiteten Daten. Einzelheiten ergeben sich aus dem AVV und den technischen und organisatorischen Maßnahmen.

14.6 Der Kunde ist verpflichtet, seine Zugangsdaten, Rollen- und Berechtigungskonzepte sowie interne Prozesse so zu gestalten, dass nur berechtigte Personen Zugriff auf personenbezogene Daten und Auswertungen erhalten.

14.7 Informationen zur Verarbeitung von Vertrags- und Website-Daten durch den Anbieter ergeben sich aus der Datenschutzerklärung des Anbieters.

14.8 Der Anbieter informiert den Kunden nach Maßgabe des AVV über Datenschutzverletzungen, soweit personenbezogene Daten des Kunden betroffen sind.

15.1 Der Anbieter stellt die Plattform mit angemessener technischer und organisatorischer Sorgfalt bereit. Eine jederzeitige unterbrechungsfreie Verfügbarkeit kann aufgrund der technischen Natur von Internetdiensten nicht garantiert werden.

15.2 Sofern kein gesondertes SLA vereinbart ist, beträgt die angestrebte technische Verfügbarkeit der wesentlichen Plattformfunktionen 98,5 % im Monatsmittel.

15.3 Nicht als Ausfallzeit gelten insbesondere:

• angekündigte Wartungsfenster,
• Notfallwartungen zur Sicherheit oder Stabilität,
• Störungen außerhalb des Verantwortungsbereichs des Anbieters,
• Störungen beim Kunden, bei Internetzugang, Mailservern, Endgeräten oder Drittsoftware,
• Ausfälle von Drittanbietern, soweit der Anbieter diese nicht zu vertreten hat,
• höhere Gewalt,
• Einschränkungen aufgrund rechtswidriger oder vertragswidriger Nutzung durch den Kunden.

15.4 Wartungsarbeiten werden nach Möglichkeit außerhalb üblicher Geschäftszeiten durchgeführt. Der Anbieter wird planbare Wartungen mit angemessener Frist ankündigen, soweit dies zumutbar und sicherheitstechnisch möglich ist.

15.5 Supportanfragen können über die vom Anbieter bereitgestellten Kanäle gestellt werden. Sofern nicht anders vereinbart, besteht Support an Werktagen in Deutschland von Montag bis Freitag, ausgenommen gesetzliche Feiertage in Sachsen-Anhalt, während üblicher Geschäftszeiten.

15.6 Der Kunde hat Störungen nachvollziehbar zu beschreiben und bei der Fehleranalyse angemessen mitzuwirken, insbesondere durch Bereitstellung von Fehlermeldungen, Zeitpunkten, betroffenen Accounts, Browser-/Systeminformationen und sonstigen relevanten Informationen.

16.1 Der Anbieter gewährleistet, dass die Plattform im Wesentlichen dem vereinbarten Leistungsumfang entspricht. Unerhebliche Abweichungen begründen keine Mängelrechte.

16.2 Der Kunde hat Mängel unverzüglich nach Entdeckung in Textform anzuzeigen und so zu beschreiben, dass der Anbieter den Mangel nachvollziehen kann.

16.3 Der Anbieter ist berechtigt, Mängel durch Nachbesserung, Workaround, Update, Patch, Ersatzfunktion oder sonstige geeignete Maßnahme zu beheben.

16.4 Mängelrechte bestehen nicht, soweit ein Mangel auf unsachgemäßer Nutzung, vertragswidriger Nutzung, kundenseitiger Konfiguration, fehlender Mitwirkung, Drittsoftware, Mailservern, Spamfiltern, Sicherheitsgateways, Netzwerkproblemen oder sonstigen Umständen beruht, die der Anbieter nicht zu vertreten hat.

16.5 Die verschuldensunabhängige Haftung für anfängliche Mängel ist ausgeschlossen, soweit gesetzlich zulässig.

17.1 Der Anbieter haftet unbeschränkt

• bei Vorsatz und grober Fahrlässigkeit,
• bei Verletzung von Leben, Körper oder Gesundheit,
• nach zwingenden gesetzlichen Haftungsvorschriften,
• bei Arglist,
• soweit der Anbieter ausdrücklich eine Garantie übernommen hat.

17.2 Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten haftet der Anbieter begrenzt auf den vertragstypischen, vorhersehbaren Schaden. Wesentliche Vertragspflichten sind solche Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

17.3 Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.

17.4 Soweit gesetzlich zulässig, ist die Haftung des Anbieters der Höhe nach auf die vom Kunden in den letzten zwölf Monaten vor dem schadensauslösenden Ereignis gezahlten Nettoentgelte begrenzt. Bei Verträgen mit kürzerer Laufzeit gilt das voraussichtlich für zwölf Monate zu zahlende Nettoentgelt als Obergrenze.

17.5 Der Anbieter haftet nicht für entgangenen Gewinn, ausgebliebene Einsparungen, mittelbare Schäden, Folgeschäden oder Reputationsschäden, soweit gesetzlich zulässig und kein Fall von Ziffer 17.1 vorliegt.

17.6 Für Datenverluste haftet der Anbieter nur, soweit der Schaden auch bei ordnungsgemäßer Datensicherung durch den Kunden entstanden wäre, sofern der Kunde zur Datensicherung verpflichtet oder technisch in der Lage war.

17.7 Die Haftungsbeschränkungen gelten auch zugunsten gesetzlicher Vertreter, Mitarbeitender, Organe, Erfüllungsgehilfen und Unterauftragnehmer des Anbieters.

18.1 Der Kunde stellt den Anbieter von Ansprüchen Dritter frei, die darauf beruhen, dass der Kunde oder seine Nutzer die Plattform rechtswidrig oder vertragswidrig nutzen oder Kundendaten beziehungsweise Kundeninhalte rechtswidrig bereitstellen.

18.2 Die Freistellung umfasst insbesondere Ansprüche wegen Datenschutzverstößen, Persönlichkeitsrechtsverletzungen, arbeitsrechtlichen oder mitbestimmungsrechtlichen Verstößen, Marken- oder Urheberrechtsverletzungen, unzulässiger E-Mail-Kommunikation, rechtswidriger Simulationen oder unberechtigter Einbeziehung von Personen.

18.3 Die Freistellung umfasst angemessene Kosten der Rechtsverteidigung, einschließlich Gerichts- und Rechtsanwaltskosten, soweit der Kunde die Rechtsverletzung zu vertreten hat.

18.4 Der Anbieter wird den Kunden unverzüglich über geltend gemachte Ansprüche informieren und ihm Gelegenheit zur Unterstützung der Rechtsverteidigung geben, soweit dadurch berechtigte Interessen des Anbieters nicht beeinträchtigt werden.

19.1 Die Parteien verpflichten sich, vertrauliche Informationen der jeweils anderen Partei vertraulich zu behandeln und nur zur Durchführung des Vertrags zu verwenden.

19.2 Vertrauliche Informationen sind insbesondere nicht öffentliche technische, wirtschaftliche, rechtliche, organisatorische, sicherheitsbezogene und geschäftliche Informationen, Plattformfunktionen, Vorlagen, Kampagnenlogiken, Sicherheitskonzepte, Preise, Zugangsdaten, Kundendaten und Know-how.

19.3 Keine vertraulichen Informationen sind Informationen, die nachweislich öffentlich bekannt sind, ohne Pflichtverletzung rechtmäßig bekannt wurden, unabhängig entwickelt wurden oder aufgrund gesetzlicher Pflichten offengelegt werden müssen.

19.4 Die Geheimhaltungspflicht gilt auch nach Vertragsende für drei Jahre fort. Geschäftsgeheimnisse sind zeitlich unbegrenzt zu schützen, solange sie Geschäftsgeheimnisse sind.

20.1 Der Anbieter entwickelt die Plattform fort und kann Funktionen ändern, ergänzen oder ersetzen, soweit der vertraglich vereinbarte Kernnutzen nicht wesentlich beeinträchtigt wird.

20.2 Änderungen dieser AGB können erforderlich werden, insbesondere aufgrund gesetzlicher Änderungen, Rechtsprechung, technischer Entwicklungen, Sicherheitsanforderungen, Produktänderungen oder geänderter Geschäftsprozesse.

20.3 Der Anbieter wird dem Kunden wesentliche Änderungen rechtzeitig in Textform mitteilen. Widerspricht der Kunde einer Änderung innerhalb der mitgeteilten Frist, gelten die bisherigen Bedingungen bis zum Ende der laufenden Vertragslaufzeit fort, sofern dies technisch und rechtlich möglich ist. Ist dies dem Anbieter nicht zumutbar, kann der Anbieter den Vertrag zum Ende der laufenden Vertragslaufzeit kündigen.

20.4 Änderungen von Preisen für laufende Verträge erfolgen nur nach Maßgabe des Vertrags, dieser AGB oder gesonderter Vereinbarung. Bei Preiserhöhungen für laufende Abonnements wird der Anbieter den Kunden mit angemessener Frist informieren. Dem Kunden steht in diesem Fall ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Preiserhöhung zu, sofern die Preiserhöhung nicht ausschließlich auf einer Änderung gesetzlicher Steuern oder Abgaben beruht.

21.1 Eine öffentliche Nennung des Kunden als Referenz, insbesondere unter Verwendung von Namen, Logo oder Kennzeichen, erfolgt nur mit vorheriger Zustimmung des Kunden, sofern keine abweichende Vereinbarung besteht.

21.2 Eine erteilte Zustimmung kann mit Wirkung für die Zukunft in Textform widerrufen werden. Bereits produzierte Materialien müssen nur innerhalb angemessener Umstellungsfristen angepasst werden, soweit dies zumutbar ist.

22.1 Der Anbieter darf zur Leistungserbringung verbundene Unternehmen, Hostinganbieter, Zahlungsdienstleister, E-Mail-Dienstleister, Support-Tools, Analyse- und Sicherheitsdienstleister sowie sonstige geeignete Dritte einsetzen

.

22.2 Soweit Unterauftragnehmer personenbezogene Daten im Auftrag verarbeiten, gelten die Regelungen des AVV.

22.3 Der Anbieter haftet für Drittleistungen nach Maßgabe dieser AGB, soweit die Drittleistungen Erfüllungsgehilfenleistungen des Anbieters sind. Für vom Kunden selbst eingebundene Dritttools, Mailserver, Sicherheitsgateways oder Systeme übernimmt der Anbieter keine Verantwortung.

23.1 Keine Partei haftet für Verzögerungen oder Ausfälle aufgrund höherer Gewalt oder sonstiger Ereignisse außerhalb ihres zumutbaren Einflussbereichs.

23.2 Höhere Gewalt umfasst insbesondere Naturereignisse, Krieg, Terror, Pandemien, Arbeitskämpfe, behördliche Maßnahmen, Stromausfälle, Ausfälle von Telekommunikationsnetzen, großflächige Internetstörungen, Cyberangriffe auf Dritte, Ausfälle zentraler Infrastruktur oder sonstige unvorhersehbare Ereignisse.

23.3 Die betroffene Partei informiert die andere Partei nach Möglichkeit unverzüglich und ergreift angemessene Maßnahmen, um Auswirkungen zu reduzieren.

24.1 Sofern der Kunde Zugang zu Early-Access-, Test- oder Beta-Funktionen erhält, können diese unvollständig, fehlerbehaftet oder noch nicht final produktiv nutzbar sein.

24.2 Beta-Funktionen werden, soweit nicht anders vereinbart, ohne bestimmte Verfügbarkeits- oder Beschaffenheitszusage bereitgestellt und können jederzeit geändert oder eingestellt werden.

24.3 Gibt der Kunde Feedback, Ideen oder Verbesserungsvorschläge, darf der Anbieter diese unentgeltlich zur Weiterentwicklung der Plattform nutzen, ohne vertrauliche Informationen des Kunden offenzulegen.

25.1 Der Kunde darf die Plattform nicht in Ländern oder für Personen nutzen, soweit dies gegen anwendbare Exportkontroll-, Sanktions- oder Embargovorschriften verstößt.

25.2 Der Kunde bestätigt, dass er nicht auf einschlägigen Sanktionslisten geführt wird und die Plattform nicht für sanktionierte Personen, Organisationen oder Zwecke nutzt.

26.1 Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

26.2 Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertrag der Sitz des Anbieters, soweit gesetzlich zulässig.

26.3 Erfüllungsort ist der Sitz des Anbieters, soweit nicht abweichend vereinbart.

26.4 Rechte und Pflichten aus dem Vertrag dürfen vom Kunden nur mit vorheriger Zustimmung des Anbieters übertragen werden. Der Anbieter darf den Vertrag auf ein verbundenes Unternehmen oder einen Rechtsnachfolger übertragen, sofern berechtigte Interessen des Kunden dadurch nicht unangemessen beeinträchtigt werden.

26.5 Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gelten die gesetzlichen Vorschriften.