Allgemeine Geschäftsbedingungen

Stand: September 2026. Entwurf – vor dem Livegang rechtlich prüfen lassen, insbesondere die Haftungs- und Verbraucherbestimmungen.

1. Geltungsbereich

Diese Bedingungen gelten für alle Leistungen der DEF.S3C e.U., Villefortgasse 11, 8010 Graz (nachfolgend "Auftragnehmer") gegenüber Unternehmen, Behörden, Bildungseinrichtungen und Verbrauchern (nachfolgend "Auftraggeber").

Abweichende Bedingungen des Auftraggebers werden nur wirksam, wenn sie schriftlich bestätigt wurden. Individuelle Vereinbarungen im Angebot oder in den Rules of Engagement gehen diesen Bedingungen vor.

2. Vertragsabschluss

Angebote sind freibleibend und, sofern nicht anders angegeben, 30 Tage gültig. Der Vertrag kommt mit schriftlicher Beauftragung durch den Auftraggeber und deren Bestätigung durch den Auftragnehmer zustande. Das kostenlose Erstgespräch begründet keinen Vertrag.

3. Leistungsumfang

Der Leistungsumfang ergibt sich ausschließlich aus dem schriftlichen Angebot. Sicherheitsüberprüfungen sind stichprobenartige Untersuchungen zu einem bestimmten Zeitpunkt. Sie können naturgemäß nicht alle bestehenden Schwachstellen aufdecken.

Ein Bericht ohne Befunde bedeutet daher nicht, dass keine Schwachstellen vorhanden sind, und stellt keine Zusicherung von Sicherheit dar. Der Auftragnehmer schuldet eine sorgfältige Untersuchung nach dem Stand der Technik, nicht einen bestimmten Erfolg.

4. Beauftragung und Rules of Engagement

Sicherheitsüberprüfungen setzen zwingend eine schriftliche Beauftragung sowie unterzeichnete Rules of Engagement voraus. Darin werden Ziele, Systeme, Grenzen, Zeitfenster, Ansprechpersonen und Eskalationswege festgelegt.

Ohne diese Unterlagen wird keine Prüfung begonnen. Bei physischen Überprüfungen führt das eingesetzte Personal eine schriftliche Legitimation mit; der Auftraggeber benennt eine während des gesamten Zeitfensters erreichbare Eskalationskontaktperson.

5. Mitwirkungspflichten des Auftraggebers

• Der Auftraggeber sichert zu, über alle zu prüfenden Systeme und Räumlichkeiten verfügungsberechtigt zu sein.
• Liegen Systeme bei Dritten (etwa Hosting- oder Cloud-Anbieter), holt der Auftraggeber erforderliche Zustimmungen vorab ein.
• Der Auftraggeber stellt aktuelle Sicherungen bereit und stellt deren Wiederherstellbarkeit sicher.
• Benannte Ansprechpersonen sind während des vereinbarten Zeitfensters erreichbar.

Verzögerungen, die auf unterbliebene Mitwirkung zurückgehen, gehen nicht zu Lasten des Auftragnehmers.

6. Verschwiegenheit

Beide Seiten behandeln alle im Rahmen der Zusammenarbeit bekannt gewordenen Informationen vertraulich. Diese Pflicht besteht über das Ende des Auftrags hinaus fort.

Der Auftragnehmer nennt den Auftraggeber nur mit dessen ausdrücklicher schriftlicher Zustimmung als Referenz.

7. Entgelt und Zahlung

Die Verrechnung erfolgt nach dem vereinbarten Umfang. Als Kleinunternehmer gemäß § 6 Abs. 1 Z 27 UStG wird keine Umsatzsteuer ausgewiesen. Reise- und Nächtigungskosten außerhalb des Großraums Graz werden nach Aufwand verrechnet, sofern nicht anders vereinbart.

Rechnungen sind binnen 14 Tagen ohne Abzug zur Zahlung fällig. Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen.

8. Termine, Verschiebung und Absage

Vereinbarte Termine sind verbindlich. Bei Absage oder Verschiebung durch den Auftraggeber später als 14 Tage vor dem Termin können 50 Prozent des vereinbarten Entgelts verrechnet werden, später als 5 Werktage vor dem Termin 100 Prozent. Ersatztermine werden nach Möglichkeit angeboten.

9. Haftung

Der Auftragnehmer haftet für Vorsatz und grobe Fahrlässigkeit. Die Haftung für leichte Fahrlässigkeit ist ausgeschlossen, soweit gesetzlich zulässig. Gegenüber Verbrauchern gilt dieser Ausschluss nicht für Personenschäden.

Sicherheitsüberprüfungen können trotz sorgfältiger Durchführung Auswirkungen auf laufende Systeme haben. Das Vorgehen wird deshalb vorab abgestimmt; Tests mit erhöhtem Ausfallrisiko werden ausdrücklich freigegeben.

Die Haftung ist der Höhe nach mit dem Auftragswert begrenzt. Für entgangenen Gewinn, Datenverlust und Folgeschäden wird im gesetzlich zulässigen Rahmen nicht gehaftet.

10. Gewährleistung

Es gelten die gesetzlichen Gewährleistungsbestimmungen. Mängel sind unverzüglich nach Erkennen schriftlich anzuzeigen. Der Auftragnehmer erhält Gelegenheit zur Verbesserung innerhalb angemessener Frist.

11. Nutzungsrechte am Bericht

Der Auftraggeber erhält ein zeitlich unbefristetes, nicht ausschließliches Nutzungsrecht am Bericht für eigene Zwecke, einschließlich der Vorlage bei Auditoren, Versicherungen und Behörden.

Eine Veröffentlichung des Berichts oder von Auszügen daraus bedarf der schriftlichen Zustimmung des Auftragnehmers. Verwendete Methoden, Werkzeuge und Vorlagen verbleiben beim Auftragnehmer.

12. Datenschutz und Datenlöschung

Werden im Rahmen des Auftrags personenbezogene Daten verarbeitet, wird ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

Projektdaten und Nachweise werden spätestens 14 Tage nach Abschluss der Mission gelöscht, sofern nicht ausdrücklich anders vereinbart. Auf Wunsch wird vorab ein verschlüsseltes Archiv übergeben.

13. Einsatz Dritter

Der Auftragnehmer erbringt die Leistungen grundsätzlich selbst. Der Einsatz von Unterauftragnehmern erfolgt nur nach vorheriger Bekanntgabe und Zustimmung des Auftraggebers.

14. Abwerbeverbot

Beide Seiten verpflichten sich, während der Zusammenarbeit und für zwölf Monate danach keine Mitarbeitenden der jeweils anderen Seite gezielt abzuwerben.

15. Höhere Gewalt

Ereignisse, die außerhalb des Einflussbereichs einer Partei liegen und die Leistungserbringung erheblich erschweren, befreien für ihre Dauer von der Leistungspflicht. Beide Seiten informieren einander unverzüglich.

16. Rücktrittsrecht für Verbraucher

Verbraucher können bei im Fernabsatz geschlossenen Verträgen binnen 14 Tagen ohne Angabe von Gründen zurücktreten. Die Frist beginnt mit Vertragsabschluss.

Wird auf ausdrücklichen Wunsch bereits vor Ablauf der Frist mit der Leistung begonnen, ist bei Rücktritt ein dem geleisteten Umfang entsprechender Betrag zu ersetzen. Nach vollständiger Erbringung erlischt das Rücktrittsrecht.

17. Schlussbestimmungen

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen und des UN-Kaufrechts. Gerichtsstand ist Graz, soweit gesetzlich zulässig; gegenüber Verbrauchern gelten die gesetzlichen Zuständigkeiten.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Schriftform.