Rechtliches

Allgemeine Geschäftsbedingungen

Diese Bedingungen gelten für Beratungsleistungen und für die Überlassung der ISMS-Anwendung. Sie richten sich ausschließlich an Unternehmen.

§ 1Geltungsbereich

  1. Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge zwischen der CheironX UG (haftungsbeschränkt) — nachfolgend „CheironX" — und ihren Kunden über Beratungs- und Unterstützungsleistungen sowie über die Überlassung der ISMS-Anwendung.
  2. CheironX schließt Verträge ausschließlich mit Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Verträge mit Verbrauchern kommen nicht zustande.
  3. Abweichende oder ergänzende Bedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn CheironX ihnen nicht ausdrücklich widerspricht oder in Kenntnis von ihnen die Leistung erbringt. Sie gelten nur, soweit CheironX ihnen in Textform zugestimmt hat.
  4. Individuell getroffene Vereinbarungen gehen diesen Bedingungen vor.

§ 2Vertragsschluss

  1. Darstellungen der Leistungen auf der Website und in Unterlagen von CheironX sind keine bindenden Angebote, sondern eine Aufforderung zur Anfrage.
  2. Ein Vertrag kommt durch ein Angebot von CheironX und dessen Annahme durch den Kunden zustande. Angebote von CheironX sind, sofern nicht anders angegeben, vier Wochen ab Angebotsdatum gültig.
  3. Erklärungen zum Vertragsschluss und zu Änderungen des Vertrags bedürfen der Textform. Textform genügt auch dort, wo diese Bedingungen Schriftform nennen.

§ 3Gegenstand der Beratungsleistungen

  1. CheironX erbringt Beratungs-, Unterstützungs- und Mandatsleistungen im Bereich Informationssicherheit, Regulatorik, KI-Governance, Notfallvorsorge und Dienstleistersteuerung. Inhalt, Umfang und Zeitrahmen ergeben sich aus dem jeweiligen Angebot oder der Leistungsbeschreibung.
  2. Die Leistungen sind Dienstleistungen im Sinne des § 611 BGB. CheironX schuldet die sorgfältige und fachgerechte Erbringung der vereinbarten Tätigkeit, nicht den Eintritt eines bestimmten wirtschaftlichen oder rechtlichen Erfolgs. Ein Werkvertrag kommt nur zustande, wenn die Parteien einen abgrenzbaren Erfolg ausdrücklich in Textform als geschuldet vereinbaren.
  3. CheironX schuldet insbesondere nicht die Erteilung eines Zertifikats, das Bestehen eines Audits oder eine bestimmte Bewertung durch Dritte. Diese Entscheidungen treffen Zertifizierungsstellen, Auditoren, Kunden oder Behörden eigenständig.
  4. CheironX führt keine Zertifizierungsaudits an Managementsystemen durch, an deren Aufbau CheironX mitgewirkt hat. Solche Audits sind durch unabhängige Dritte zu beauftragen.
  5. Die Leistungen umfassen keine Rechtsdienstleistungen im Sinne des § 2 RDG, keine Hilfeleistung in Steuersachen und keine Wirtschaftsprüfung. Rechtliche Bewertungen im Einzelfall bleiben Rechtsanwältinnen und Rechtsanwälten vorbehalten. Hinweise von CheironX auf regulatorische Anforderungen dienen der fachlichen Einordnung und ersetzen keine Rechtsberatung.

§ 4Mitwirkung des Kunden

  1. Der Kunde stellt die Informationen, Unterlagen, Zugänge und Ansprechpartner bereit, die CheironX für die Leistungserbringung benötigt, und benennt eine entscheidungsbefugte Kontaktperson.
  2. Der Kunde ist für die Richtigkeit und Vollständigkeit der von ihm bereitgestellten Angaben verantwortlich. Bewertungen von CheironX beruhen auf diesen Angaben; auf erkennbare Lücken weist CheironX hin.
  3. Kommt der Kunde seinen Mitwirkungspflichten nicht rechtzeitig nach, verschieben sich vereinbarte Termine angemessen. Mehraufwand, der CheironX dadurch nachweislich entsteht, wird nach dem vereinbarten Satz vergütet.
  4. Entscheidungen über die Einführung, Änderung oder Unterlassung von Maßnahmen trifft der Kunde. Die Verantwortung für den Betrieb seiner Organisation und die Einhaltung der für ihn geltenden Vorschriften verbleibt bei ihm.

§ 5Überlassung der ISMS-Anwendung

  1. Soweit vereinbart, stellt CheironX dem Kunden die ISMS-Anwendung über das Internet zur Nutzung bereit. Die Anwendung ist unter https://isms.cheironx.de erreichbar und wird auf Servern in der Europäischen Union betrieben.
  2. Der Kunde erhält für die Dauer des Vertrags ein einfaches, nicht ausschließliches, nicht übertragbares Recht, die Anwendung für eigene betriebliche Zwecke zu nutzen. Eine Überlassung an Dritte, eine Unterlizenzierung und der Betrieb als Rechenzentrum für Dritte sind ausgeschlossen. Konzernunternehmen des Kunden gelten nur als berechtigt, wenn dies vereinbart ist.
  3. Alle Rechte an der Anwendung, ihrer Struktur, ihren Fragenkatalogen und Auswertungslogiken verbleiben bei CheironX. Der Kunde erwirbt kein Eigentum an der Software.
  4. CheironX stellt eine Verfügbarkeit von 99 % im Jahresmittel bereit. Ausgenommen sind angekündigte Wartungsfenster sowie Zeiten, in denen die Anwendung aus Gründen nicht erreichbar ist, die CheironX nicht zu vertreten hat. Wartungsarbeiten kündigt CheironX in Textform an und legt sie nach Möglichkeit außerhalb der üblichen Geschäftszeiten.
  5. Die vom Kunden in der Anwendung erfassten Inhalte bleiben seine Daten. CheironX verwendet sie ausschließlich zur Erbringung der vereinbarten Leistung und nicht für eigene Zwecke, insbesondere nicht zum Training von Modellen und nicht zur Erstellung von Auswertungen über mehrere Kunden hinweg.
  6. Die Anwendung erzeugt Berichte, Gap-Analysen und Textvorschläge mit Unterstützung von KI-Diensten. Dazu übermittelt CheironX die dafür erforderlichen Inhalte des Kunden an die eingesetzten Anbieter, insbesondere Angaben aus Scoping, Fragelisten, Registern und Notizen einschließlich des Unternehmensnamens. Die Anbieter haben ihren Sitz in den Vereinigten Staaten; die Übermittlung erfolgt auf Grundlage eines Vertrags nach Art. 28 DSGVO und der Standardvertragsklauseln der Europäischen Kommission. Die übermittelten Inhalte werden nicht zum Training von Modellen verwendet. Die eingesetzten Anbieter sind in der Anlage zum Vertrag über die Auftragsverarbeitung namentlich benannt; Änderungen teilt CheironX nach § 8 Abs. 2 vorab mit.
  7. CheironX sichert die Daten der Anwendung regelmäßig; das Nähere regeln die technischen und organisatorischen Maßnahmen zum Vertrag über die Auftragsverarbeitung. Die Sicherung ersetzt keine eigene Datensicherung des Kunden für Inhalte, die er außerhalb der Anwendung weiterverwenden möchte.
  8. Nach Vertragsende stellt CheironX dem Kunden seine Daten für dreißig Tage zum Abruf bereit. Die Anwendung exportiert Register, Bewertungen und erzeugte Dokumente in gängigen Formaten; darüber hinaus stellt CheironX auf Verlangen einen vollständigen Auszug der zum Kunden gespeicherten Daten bereit. Nach Ablauf der Frist löscht CheironX die Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine darüber hinausgehende Aufbewahrung ist gesondert zu vereinbaren.
  9. Der Kunde wird die Anwendung nicht mit automatisierten Mitteln abfragen oder auslesen, insbesondere nicht durch Scraping, Crawler oder Bots; ausgenommen sind die in der Anwendung vorgesehenen Exportfunktionen. Er wird die Anwendung nicht zurückentwickeln, dekompilieren oder disassemblieren, soweit dies nicht nach § 69e UrhG zwingend zulässig ist. Die Anwendung, ihre Fragenkataloge und Auswertungslogiken dürfen nicht dazu genutzt werden, ein Produkt oder eine Leistung zu entwickeln, die mit der Anwendung im Wettbewerb steht. Bei einem Verstoß kann CheironX den Zugang vorübergehend sperren, soweit dies erforderlich ist, um den Verstoß zu unterbinden; das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

§ 6Termine und Verzögerungen

  1. Termine und Zeitpläne sind verbindlich, wenn sie in Textform als verbindlich vereinbart wurden. Im Übrigen sind sie geplante Zeitpunkte.
  2. Verzögert sich die Leistung aus Gründen, die CheironX nicht zu vertreten hat — insbesondere durch fehlende Mitwirkung des Kunden oder durch Ereignisse höherer Gewalt —, verlängern sich die Fristen um die Dauer der Behinderung zuzüglich einer angemessenen Anlaufzeit.

§ 7Vergütung und Zahlung

  1. Die Vergütung ergibt sich aus dem Angebot. Beratungsleistungen werden nach tatsächlichem Aufwand auf Grundlage der vereinbarten Tages- oder Stundensätze abgerechnet, soweit kein Festpreis vereinbart ist. Die Überlassung der Anwendung wird als wiederkehrendes Entgelt abgerechnet.
  2. Reisezeiten werden zu fünfzig Prozent des vereinbarten Satzes berechnet. Reise- und Übernachtungskosten werden nach tatsächlichem Aufwand gegen Nachweis erstattet, soweit sie vorher abgestimmt wurden.
  3. Alle Preise verstehen sich zuzüglich der jeweils geltenden gesetzlichen Umsatzsteuer.
  4. Rechnungen sind ohne Abzug innerhalb von vierzehn Tagen ab Rechnungsdatum zur Zahlung fällig. Bei laufenden Leistungen rechnet CheironX monatlich ab.
  5. Bei Zahlungsverzug gelten die gesetzlichen Regelungen, insbesondere § 288 Abs. 2 BGB. Bleibt eine fällige Zahlung trotz Mahnung und angemessener Nachfrist aus, kann CheironX die Leistung bis zum Zahlungseingang zurückstellen; hierauf weist CheironX vorher in Textform hin.
  6. Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur zu, soweit es auf demselben Vertragsverhältnis beruht.

§ 8Einsatz Dritter

  1. CheironX darf zur Erfüllung des Vertrags Partner und Unterauftragnehmer einsetzen. Für deren Leistungen bleibt CheironX gegenüber dem Kunden verantwortlich.
  2. Werden dabei personenbezogene Daten des Kunden verarbeitet, geschieht dies nur auf Grundlage eines Vertrags nach Art. 28 DSGVO. Der Kunde wird über den Einsatz weiterer Auftragsverarbeiter vorab in Textform unterrichtet und kann widersprechen.
  3. Leistungen, die CheironX nach eigener Aussage nicht selbst erbringt — insbesondere technische Sicherheitsprüfungen, Zertifizierungsaudits, Rechtsberatung und Forensik —, vermittelt CheironX auf Wunsch. Verträge über diese Leistungen kommen unmittelbar zwischen dem Kunden und dem Dritten zustande, sofern nichts anderes vereinbart ist.

§ 9Vertraulichkeit

  1. Beide Parteien behandeln alle Informationen der jeweils anderen Partei, die als vertraulich gekennzeichnet oder ihrer Natur nach vertraulich sind, vertraulich und verwenden sie nur für Zwecke des Vertrags. Für CheironX gilt das insbesondere für Erkenntnisse über Schwachstellen, Risiken und Sicherheitsmaßnahmen des Kunden.
  2. Die Pflicht gilt nicht für Informationen, die öffentlich bekannt sind, ohne Verletzung dieser Pflicht bekannt werden, der empfangenden Partei bereits bekannt waren oder von ihr unabhängig erarbeitet wurden. Gesetzliche Offenlegungspflichten bleiben unberührt; die betroffene Partei unterrichtet die andere darüber, soweit zulässig.
  3. Die Vertraulichkeitspflicht besteht über das Vertragsende hinaus fort, solange die Informationen nicht offenkundig geworden sind.
  4. Beide Parteien verpflichten die von ihnen eingesetzten Personen entsprechend.

§ 10Datenschutz

  1. Beide Parteien beachten die für sie geltenden datenschutzrechtlichen Bestimmungen.
  2. Soweit CheironX personenbezogene Daten im Auftrag des Kunden verarbeitet — insbesondere im Rahmen der Anwendungsüberlassung —, schließen die Parteien vor Beginn der Verarbeitung einen Vertrag nach Art. 28 DSGVO. Er geht diesen Bedingungen im Konfliktfall vor.
  3. Wie CheironX mit personenbezogenen Daten umgeht, die beim Besuch der Website oder bei einer Kontaktaufnahme anfallen, steht in der Datenschutzerklärung unter cheironx.de/datenschutz.

§ 11Arbeitsergebnisse und Nutzungsrechte

  1. An den für den Kunden erstellten Arbeitsergebnissen — insbesondere Analysen, Richtlinien, Konzepten und Berichten — erhält der Kunde mit vollständiger Bezahlung ein einfaches, räumlich und zeitlich unbeschränktes Recht zur Nutzung für eigene betriebliche Zwecke einschließlich des Rechts zur Bearbeitung.
  2. Eine Weitergabe an Dritte ist zulässig, soweit sie zur Erfüllung der Zwecke des Vertrags erforderlich ist, insbesondere gegenüber Auditoren, Zertifizierungsstellen, Versicherern und Kunden des Kunden im Rahmen von Nachweispflichten. Eine darüber hinausgehende Weitergabe oder Veröffentlichung bedarf der Zustimmung von CheironX in Textform.
  3. Methoden, Vorgehensmodelle, Vorlagen, Werkzeuge und allgemeines Erfahrungswissen, die CheironX vor oder bei der Leistungserbringung entwickelt hat, verbleiben bei CheironX. CheironX darf sie für andere Kunden weiterverwenden, soweit dabei keine vertraulichen Informationen des Kunden offenbart werden.
  4. CheironX nennt den Kunden nur mit dessen vorheriger Zustimmung in Textform als Referenz.

§ 12Haftung

CheironX haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, bei arglistig verschwiegenen Mängeln, im Umfang einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz.

  1. Bei einfacher Fahrlässigkeit haftet CheironX nur für die Verletzung einer wesentlichen Vertragspflicht. Wesentlich ist eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt, höchstens auf die Höhe der Vergütung, die der Kunde in den zwölf Monaten vor dem schadensauslösenden Ereignis für die betroffene Leistung gezahlt hat.
  2. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen.
  3. Die verschuldensunabhängige Haftung für anfängliche Mängel der überlassenen Anwendung nach § 536a Abs. 1 Alt. 1 BGB ist ausgeschlossen.
  4. Die vorstehenden Beschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeitenden und Erfüllungsgehilfen von CheironX.
  5. Für den Verlust von Daten haftet CheironX nur bis zu dem Aufwand, der bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden für die Wiederherstellung entstanden wäre.

§ 13Laufzeit und Kündigung

  1. Projektbezogene Verträge enden mit der vollständigen Erbringung der vereinbarten Leistung.
  2. Dauerschuldverhältnisse — insbesondere Mandate und die Überlassung der Anwendung — werden auf unbestimmte Zeit geschlossen, soweit im Einzelvertrag nichts anderes vereinbart ist. Sie können von beiden Parteien mit einer Frist von einem Monat zum Monatsende gekündigt werden.
  3. Das Recht beider Parteien zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für CheironX insbesondere vor, wenn der Kunde mit einer nicht unerheblichen Zahlung länger als dreißig Tage in Verzug ist.
  4. Kündigungen bedürfen der Textform.
  5. Nach Beendigung gibt jede Partei die ihr überlassenen Unterlagen und Zugänge zurück oder vernichtet sie. § 5 Abs. 8 bleibt unberührt.

§ 14Schlussbestimmungen

  1. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
  2. Erfüllungsort und ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz von CheironX, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. CheironX bleibt berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen.
  3. Änderungen und Ergänzungen dieser Bedingungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Textformerfordernisses.
  4. Sollte eine Bestimmung dieser Bedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Stand dieser Fassung: 20. Oktober 2026