Allgemeine Geschäftsbedingungen

1. Geltungsbereich und Vertragsbestandteile

Unsere Leistungen richten sich ausschließlich an Unternehmer (§ 14 BGB), nicht an Verbraucher.
Vertragspartner sämtlicher Aufträge ist die RiveDrive UG (haftungsbeschränkt).
Der Vertrag besteht aus den folgenden Dokumenten. Bei Widersprüchen gelten sie in folgender Rangfolge: das unterzeichnete Angebot, die schriftliche Autorisierung, die Einsatzregeln (Rules of Engagement), der Auftragsverarbeitungsvertrag und diese AGB.
Allgemeine Geschäftsbedingungen des Kunden finden keine Anwendung, auch wenn in einer Bestellung auf sie Bezug genommen wird oder wir ihnen nicht widersprechen.
Individuell vereinbarte Regelungen haben Vorrang vor diesen AGB (§ 305b BGB).
Änderungen und Ergänzungen dieser AGB bedürfen mindestens der Textform. E-Mail genügt.

2. Art der Leistung

Unsere Leistungen werden als Dienstvertrag (§ 611 BGB) erbracht. Wir schulden die Durchführung von Tests mit fachlicher Sorgfalt im vereinbarten Umfang und Zeitrahmen. Wir schulden keinen bestimmten Erfolg, etwa das Auffinden sämtlicher Schwachstellen. Eine Abnahme findet nicht statt.
Die Leistungen werden von bei RiveDrive angestellten Testern erbracht. RiveDrive bleibt gegenüber dem Kunden für deren Arbeit verantwortlich.

3. Autorisierung

Die Tests beginnen niemals ohne eine schriftliche Autorisierung, die vom Geschäftsführer des Kunden oder von einer schriftlich bevollmächtigten Person unterzeichnet ist.
Der Kunde bestätigt, dass er Eigentümer sämtlicher Systeme im Testumfang ist oder die Kontrolle über sie innehat.
Bei Systemen, die von Dritten betrieben werden (Cloud-, SaaS- und Hosting-Anbieter), bestätigt der Kunde, dass die Tests mit den Richtlinien dieser Anbieter vereinbar sind, und holt etwa erforderliche Zustimmungen dieser Anbieter ein.
RiveDrive darf vor Beginn der Tests die Inhaberschaft an Domains und Systemen überprüfen.
Systeme außerhalb des vereinbarten Testumfangs werden niemals getestet. Stellt sich heraus, dass ein Ziel einem Dritten gehört, werden die Tests daran sofort eingestellt.
Bestehen begründete Zweifel an der Autorisierung, darf RiveDrive die Tests bis zu deren Klärung unterbrechen. Eine durch eine solche Unterbrechung verursachte Verzögerung stellt keine Pflichtverletzung von RiveDrive dar.

4. Kenntnisnahme der Risiken

Der Kunde nimmt zur Kenntnis, dass bei einem Penetrationstest reale Angriffstechniken gegen im Betrieb befindliche Systeme eingesetzt werden. Trotz aller Vorsichtsmaßnahmen können die Tests unerwartete Auswirkungen haben, etwa Verlangsamungen, Fehler, gesperrte Konten oder Unterbrechungen. Der Kunde akzeptiert diese Risiken, vorbehaltlich der Haftung von RiveDrive nach Ziffer 8.

5. Mitwirkungspflichten des Kunden

Der Kunde stellt rechtzeitig bereit: Testkonten für jede Benutzerrolle im Testumfang, relevante Dokumentation, einen technischen Ansprechpartner sowie einen Notfallkontakt, der während sämtlicher Testzeitfenster erreichbar ist.
Vor Beginn der Tests erstellt der Kunde eine vollständige Datensicherung aller Systeme und Daten im Testumfang. Während der Tests wiederholt er die Datensicherung mindestens alle 3 Arbeitstage. Die Datensicherungen müssen eine vollständige Wiederherstellung der betroffenen Daten und Systeme ermöglichen. Der Kunde bestätigt seine Datensicherungen auf Anforderung schriftlich.
Der Kunde informiert von den Tests betroffene Dritte, etwa Hosting- oder Cloud-Anbieter, soweit erforderlich.
Verzögerungen oder Mehraufwand infolge fehlender Mitwirkung werden zu dem im Angebot genannten Tagessatz berechnet.

6. Freistellung

Soweit der Kunde die Ursache zu vertreten hat (§ 276 BGB), stellt der Kunde die RiveDrive UG, ihren Geschäftsführer und ihre Mitarbeiter einschließlich der Tester frei von Ansprüchen Dritter, von Bußgeldern, soweit eine solche Freistellung rechtlich zulässig ist, sowie von angemessenen Rechtsverfolgungskosten, die aus einer fehlerhaften oder unvollständigen Autorisierung, aus Fehlern in dem vom Kunden angegebenen Testumfang oder aus einem Verstoß des Kunden gegen diese AGB entstehen.

7. Keine Garantie

Eine Sicherheitsbewertung ist eine Momentaufnahme. Sie kann nicht jede Schwachstelle aufdecken, und wir garantieren nicht, dass die Systeme nach den Tests sicher sind.
Ein Sicherheitsvorfall nach Beendigung des Auftrags begründet für sich genommen keine Pflichtverletzung von RiveDrive.
Leistungen zur Vorbereitung auf Compliance-Prüfungen (Compliance Readiness) garantieren kein Auditergebnis. Die Entscheidung über die Zertifizierung liegt allein beim Auditor des Kunden.

8. Haftungsbeschränkung

RiveDrive haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung des Lebens, des Körpers oder der Gesundheit, bei arglistig verschwiegenen Mängeln, im Rahmen einer ausdrücklich übernommenen Garantie sowie nach dem Produkthaftungsgesetz.
Bei leichter Fahrlässigkeit haftet RiveDrive nur bei Verletzung wesentlicher Vertragspflichten. Dies sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf. In diesen Fällen ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt und, sofern das unterzeichnete Angebot einen individuell ausgehandelten Höchstbetrag enthält, auf diesen Betrag.
In allen anderen Fällen leichter Fahrlässigkeit haftet RiveDrive nicht.
Der Kunde ist für aktuelle Datensicherungen aller Systeme im Testumfang verantwortlich. Bei leichter Fahrlässigkeit ist die Haftung für Datenverlust auf den typischen Wiederherstellungsaufwand beschränkt, der bei Vorhandensein dieser Datensicherungen erforderlich gewesen wäre.
Diese Beschränkungen gelten auch für die persönliche Haftung des Geschäftsführers und der Mitarbeiter von RiveDrive einschließlich der Tester.
RiveDrive stellt für Aufträge keine Berufshaftpflicht- oder Cyberversicherung bereit.

9. Verjährung von Ansprüchen

Ansprüche gegen RiveDrive verjähren 12 Monate nach Übergabe des Abschlussberichts oder, falls kein Bericht übergeben wurde, nach Beendigung des Auftrags. Dies gilt nicht in den Fällen unbeschränkter Haftung nach dem ersten Punkt von Ziffer 8.

10. Testregeln

Wir führen niemals Denial-of-Service-, Last- oder Stresstests oder destruktive Tests durch, bei denen Produktivdaten gelöscht oder verändert werden. Solche Tests werden nicht angeboten.
Schwachstellen werden nur so weit ausgenutzt, wie es zum Nachweis ihrer tatsächlichen Auswirkungen erforderlich ist. Wir extrahieren keine Daten über das als Nachweis erforderliche Minimum hinaus und installieren niemals dauerhafte Hintertüren (Backdoors).
Die Tests finden nur innerhalb der vereinbarten Testzeitfenster und nur von den in den Einsatzregeln aufgeführten Quell-IP-Adressen aus statt.
Die Tests werden sofort eingestellt, wenn ein System instabil wird, oder jederzeit auf Verlangen des Kunden.
Nach Abschluss der Tests entfernen wir alle von uns angelegten Testkonten, Dateien und Werkzeuge. Was wir nicht selbst entfernen können, wird im Bericht aufgeführt und ist vom Kunden zu entfernen.
Finden wir Hinweise auf eine bereits bestehende Kompromittierung, auf rechtswidrige Inhalte oder auf eine Schwachstelle im Produkt eines Dritten, stellen wir diesen Teil der Tests ein und informieren den Kunden sofort. Über weitere Maßnahmen oder eine Offenlegung entscheidet der Kunde, soweit gesetzlich nichts anderes vorgeschrieben ist.

Wird nur angeboten, nachdem der Kunde schriftlich bestätigt hat, dass sein Betriebsrat, soweit erforderlich, beteiligt wurde und die Anforderungen des Beschäftigtendatenschutzes erfüllt sind.
Der Kunde genehmigt die Liste der Zielpersonen unter seinen Beschäftigten vorab. Ziel sind ausschließlich die auf dieser Liste aufgeführten eigenen Mitarbeiter und externen Auftragnehmer des Kunden, niemals private Konten oder private Geräte.
Ausschließlich für die vereinbarten Tests ermächtigt der Kunde RiveDrive, seine Mitarbeiter und externen Auftragnehmer unter einer falschen Identität zu kontaktieren sowie den Namen, die Logos und die Marken des Kunden zu verwenden.
Anrufe werden niemals aufgezeichnet.

12. Datenschutz

RiveDrive verarbeitet personenbezogene Daten im Auftrag des Kunden. Vor Beginn der Tests wird ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen.
Die Tests und die Speicherung der Testdaten erfolgen in Deutschland. Sämtliche Tester befinden sich in Deutschland und arbeiten von Deutschland aus. Für Korrespondenz und Vertragsverwaltung wird Google Workspace genutzt; dabei können Daten unter den im Auftragsverarbeitungsvertrag festgelegten Garantien auch außerhalb der EU verarbeitet werden.
Die Tester sind Mitarbeiter von RiveDrive. Sie verarbeiten personenbezogene Daten ausschließlich auf Weisung von RiveDrive (Art. 29 DSGVO) und sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
Etwaige weitere Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag benannt. RiveDrive informiert den Kunden, bevor ein Unterauftragsverarbeiter hinzugezogen oder ersetzt wird, und der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen.
Kundendaten werden ausschließlich auf verschlüsselten Geräten und Speichermedien gespeichert und sind nur den dem Auftrag zugewiesenen Testern zugänglich.

13. Vertraulichkeit und Berichte

Sämtliche Feststellungen und Informationen des Kunden sind streng vertraulich und werden nur den benannten Ansprechpartnern des Kunden zugänglich gemacht, sofern nicht eine gesetzliche Pflicht zur Offenlegung besteht. Diese Verpflichtung gilt für 5 Jahre nach Beendigung des Auftrags fort.
Die Projektkommunikation erfolgt auf Englisch oder Deutsch, wie im Angebot vereinbart. Berichte werden, wie im Angebot vereinbart, auf Englisch oder Deutsch verfasst und über einen verschlüsselten Kanal übermittelt.
Berichte sind für die interne Verwendung durch den Kunden bestimmt. Der Kunde darf sie unter Vertraulichkeitsverpflichtung an seine Auditoren, Investoren oder Kunden weitergeben; Dritte dürfen sich jedoch nicht auf einen Bericht verlassen oder auf dessen Grundlage Ansprüche gegen RiveDrive geltend machen.
Das Bestätigungsschreiben enthält keine Einzelheiten zu Schwachstellen und darf frei weitergegeben werden. Es bestätigt lediglich den Testumfang und den Testzeitraum und stellt keine Garantie für die Sicherheit der getesteten Systeme dar.
Der Kunde darf einen Bericht nur mit unserer schriftlichen Zustimmung veröffentlichen oder RiveDrive als seinen Tester benennen. RiveDrive nennt den Kunden nicht ohne dessen schriftliche Zustimmung öffentlich.
Die Identität der Tester wird vertraulich behandelt, sofern nicht eine gesetzliche Pflicht zur Offenlegung besteht.

14. Nachtest

Jedes Assessment-Paket umfasst einen Nachtest der im Abschlussbericht aufgeführten Feststellungen.
Der Nachtest muss innerhalb von 90 Tagen nach Übergabe des Abschlussberichts angefordert werden. Wird er nicht rechtzeitig angefordert, verfällt er ohne Erstattung.
Der Nachtest umfasst ausschließlich die ursprünglichen Feststellungen. Neue Systeme oder Funktionen gelten als Änderung des Testumfangs.

15. Änderungen des Testumfangs

Änderungen des vereinbarten Testumfangs bedürfen eines schriftlichen Änderungsantrags, der von beiden Parteien angenommen wird. Mehraufwand wird zu dem im Angebot genannten Tagessatz berechnet.

16. Datenlöschung

Erhaltene Zugangsdaten und Zugänge werden am Ende jeder Testphase entfernt. Für eine neue Testphase, etwa den Nachtest, werden neue Zugangsdaten des Kunden verwendet.
Alle übrigen Kundendaten werden nach dem Nachtest oder nach Ablauf der 90-tägigen Frist für den Nachtest endgültig gelöscht. Der Kunde erhält eine unterzeichnete Löschbestätigung.
Ausnahmen: Verträge, Rechnungen und Geschäftskorrespondenz, die für die nach deutschem Handels- und Steuerrecht vorgeschriebenen Fristen aufbewahrt werden; sowie minimale Testprotokolle (Zeitstempel, Quell-IP-Adressen, Ziele und Aktionen, keine Kundendaten), die 13 Monate nach Übergabe des Abschlussberichts als Nachweis aufbewahrt und anschließend gelöscht werden.

17. Preise, Zahlung und Stornierung

Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer. Für Kunden in anderen EU-Mitgliedstaaten gilt das Reverse-Charge-Verfahren, soweit dessen Voraussetzungen erfüllt sind.
Angebote sind 30 Tage gültig.
50 % des Honorars werden bei Unterzeichnung in Rechnung gestellt. Die Tests beginnen erst nach Eingang dieser Zahlung.
Die restlichen 50 % werden bei Übergabe des Abschlussberichts in Rechnung gestellt.
Rechnungen sind innerhalb von 14 Tagen zur Zahlung fällig.
Sagt der Kunde die Tests ab oder verschiebt er sie oder stellt er die erforderlichen Zugänge oder Mitwirkungsleistungen nicht rechtzeitig bereit, wird folgender Anteil des Honorars fällig, bemessen nach dem vereinbarten Testbeginn: mehr als 3 Wochen vorher nur bereits angefallene Kosten, höchstens 10 %; weniger als 3 Wochen vorher 10 %; weniger als 2 Wochen vorher 20 %; weniger als 1 Woche vorher 30 %. Dieser Betrag übersteigt in keinem Fall 30 % des Honorars. Nach Testbeginn erbrachte Leistungen werden nach Ziffer 18 vergütet.
Dem Kunden bleibt der Nachweis gestattet, dass RiveDrive kein oder ein geringerer Schaden entstanden ist. Von RiveDrive ersparte Aufwendungen werden angerechnet. Bereits geleistete Zahlungen werden verrechnet; ein etwaiger Überschuss wird erstattet.
Bei Zahlungsverzug fallen die gesetzlichen Verzugszinsen an, und RiveDrive darf die Arbeiten unterbrechen und Berichte zurückhalten, bis der überfällige Betrag bezahlt ist.

18. Kündigung

Jede Partei kann den Vertrag aus wichtigem Grund kündigen (§ 626 BGB). Sonstige zwingende gesetzliche Kündigungsrechte, einschließlich § 627 BGB, soweit anwendbar, bleiben unberührt.
Ein wichtiger Grund für RiveDrive liegt insbesondere vor bei Nichtzahlung, bei fehlender Vorlage einer wirksamen Autorisierung oder wenn der Kunde die Durchführung von Tests verlangt, die rechtswidrig sind oder außerhalb der vereinbarten Testregeln liegen.
Im Falle einer Kündigung werden die bis dahin erbrachten Leistungen zu dem im Angebot genannten Tagessatz vergütet, höchstens bis zur Höhe des vereinbarten Honorars. Bereits geleistete Zahlungen werden darauf angerechnet. Im Übrigen gilt § 628 BGB.

19. Höhere Gewalt

Keine Partei haftet für Verzögerungen oder Leistungsausfälle, die durch Ereignisse außerhalb ihres zumutbaren Einflussbereichs verursacht werden, etwa Naturkatastrophen, großflächige Ausfälle der Internet- oder Cloud-Infrastruktur oder behördliche Anordnungen.

20. Schlussbestimmungen

Der Kunde darf Rechte aus dem Vertrag nur mit schriftlicher Zustimmung von RiveDrive an Dritte abtreten. § 354a HGB bleibt unberührt.
Es gilt deutsches Recht unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG). Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand Berlin.
Sollte eine Bestimmung unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam; an die Stelle der unwirksamen Bestimmung tritt das Gesetz (§ 306 BGB).
Diese deutsche Fassung wird zur Information bereitgestellt. Bei Abweichungen zwischen der deutschen und der englischen Fassung ist die englische Fassung maßgeblich; die darin in Klammern genannten deutschen Rechtsbegriffe bestimmen deren Bedeutung.