Allgemeine Geschäftsbedingungen (AGB)

Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über die Nutzung der Plattform ComplianceScan (nachfolgend "Plattform") zwischen Manuel Strasser, Hörhag 27, 4121 Altenfelden (nachfolgend "Anbieter") und den Nutzern der Plattform (nachfolgend "Kunde" oder "Nutzer").

Die Plattform bietet Software-as-a-Service (SaaS) zur Überprüfung von Websites auf DSGVO-, NIS2- und AI-Act-Compliance sowie verwandte Funktionen (nachfolgend "Dienste").

Entgegenstehende oder abweichende AGB des Kunden werden nicht anerkannt, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich schriftlich zu.

2.1 Registrierung: Der Vertrag kommt durch die Registrierung des Nutzers auf der Plattform zustande. Mit der Registrierung gibt der Nutzer ein verbindliches Angebot zum Abschluss eines Nutzungsvertrags ab.

2.2 Annahme: Der Anbieter nimmt das Angebot durch Freischaltung des Nutzerkontos an. Die Freischaltung erfolgt automatisiert per E-Mail-Bestätigung.

2.3 Vertragssprache: Die Vertragssprache ist Deutsch.

2.4 Account-Sicherheit: Der Nutzer ist verpflichtet, seine Zugangsdaten vertraulich zu behandeln und den Anbieter unverzüglich zu informieren, wenn Anhaltspunkte für einen Missbrauch bestehen.

3.1 Dienste: Der Anbieter stellt über die Plattform folgende Dienste bereit:

• Quick-Scan: Kostenlose Analyse der Website (Startseite + einige Unterseiten; ohne Registrierung 5 Scans pro Tag, registrierte Nutzer unbegrenzt)
• Full-Scan: Umfassende Analyse von bis zu 50 Unterseiten pro Scan (abhängig vom Plan, 1 Credit = 1 Scan)
• Freemium-Preview: Free-Nutzer erhalten 5 Full-Scan-Previews pro Monat mit eingeschränkten Detaildaten (Upgrade für vollständige Berichte)
• DSGVO-Compliance: Verzeichnis von Verarbeitungstätigkeiten (VVT) mit einer unverbindlichen Ersteinschätzung je Verarbeitungstätigkeit, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein kann (eine DSFA selbst erstellt die Plattform nicht), Cookie-Analyse
• NIS2-Compliance: Risikoanalyse, Asset-Management, Meldepflichten
• AI-Act-Compliance: KI-Risikoklassifizierung nach EU AI Act, Selbsteinschätzung
• Monitoring: Automatische Überwachung registrierter Websites (abhängig vom Tarif)
• Draft-System: Automatisches Speichern unfertiger VVTs und AI-Act-Analysen alle 30 Sekunden

3.2 Verfügbarkeit: Der Anbieter strebt eine Verfügbarkeit von 95% im Jahresmittel an. Bei wesentlichen Unterschreitungen (unter 90% in einem Kalendermonat) hat der Nutzer ein Sonderkündigungsrecht. Für Schadensersatz gilt Abschnitt 6. Wartungsarbeiten werden nach Möglichkeit außerhalb der Geschäftszeiten (Mo-Fr, 09:00-18:00 CET) durchgeführt.

3.3 Funktionsänderungen: Der Anbieter entwickelt die Plattform laufend weiter. Für Änderungen der Leistung gilt ausschließlich Abschnitt 14, insbesondere 14.4.

3.4 Keine Rechtsberatung: Die Plattform dient ausschließlich informativen Zwecken und stellt keine Rechtsberatung dar. Alle Analysen und Reports dienen als Arbeitsgrundlage und Richtwert. Für rechtsverbindliche Auskünfte konsultieren Sie bitte einen Rechtsanwalt oder Datenschutzbeauftragten.

4.1 Abonnement-Tarife: Der Anbieter bietet folgende monatliche Tarife an (Endpreise):

• Free: €0/Monat – Full-Scans: 5 Previews (unscharf), VVTs: 1, Domains: 0, AI-Systeme: 0, NIS2-Assets: 0
• Starter: €24,99/Monat – Full-Scans: 15, VVTs: 3, Domains: 3, AI-Systeme: 5, NIS2-Assets: 5
• Business: €149,00/Monat – Full-Scans: 150, VVTs: 20, Domains: 20, AI-Systeme: 50, NIS2-Assets: 25
• Enterprise: €349,00/Monat – Full-Scans: 500, VVTs: 50, Domains: 50, AI-Systeme: 200, NIS2-Assets: 100, Multi-User: bis zu 5 Benutzer pro Organisation, bis zu 10 Organisationen

4.2 Credit-Pakete: Zusätzlich zu Abonnements können Credits einzeln gekauft werden (1 Credit = 1 Full-Scan):

• 1 Credit: €4,99
• 5 Credits: €19,99 (€4,00/Credit, -20%)
• 10 Credits: €34,99 (€3,50/Credit, -30%)
• 25 Credits: €74,99 (€3,00/Credit, -40%)
• 50 Credits: €124,99 (€2,50/Credit, -50%)

4.3 Credit-Verbrauch: Bei jedem Full-Scan wird 1 Credit verbraucht. Abo-Scans (monatliches Kontingent) werden vorrangig genutzt; erst wenn diese aufgebraucht sind, werden gekaufte Credits abgezogen.

4.4 Zahlungsweise: Die Zahlung erfolgt über den Zahlungsdienstleister Stripe per Kredit- oder Debitkarte oder – soweit Gerät und Browser es unterstützen – per Apple Pay oder Google Pay. Der Anbieter speichert selbst keine Zahlungsdaten.

4.5 Fälligkeit: Bei monatlicher Abrechnung wird der Betrag jeweils am Beginn des Abrechnungszeitraums fällig. Der Abrechnungszeitraum beträgt einen Monat ab dem Kaufdatum: Er endet am gleichen Kalendertag des Folgemonats oder, wenn es diesen Tag im Folgemonat nicht gibt, am letzten Tag dieses Monats.

4.6 Zahlungsverzug: Bei fehlgeschlagener Zahlung wird der Nutzer über das Dashboard sowie per E-Mail (über den Zahlungsdienstleister Stripe) über das Problem informiert. Der Zugang bleibt während einer angemessenen Nachfrist bestehen, in der die Zahlung automatisch erneut versucht wird. Der Nutzer kann seine Zahlungsmethode jederzeit über das Dashboard aktualisieren. Erfolgt keine erfolgreiche Zahlung nach Ablauf der Nachfrist, wird das Abonnement auf den Free-Tarif zurückgestuft. Nicht genutzte Scans werden dabei nicht in Credits umgewandelt (5.3). Verzugszinsen: Für Unternehmer (B2B): 9,2 Prozentpunkte p.a. über dem Basiszinssatz (§ 456 UGB); für Verbraucher (B2C): 4% p.a. (§ 1333 ABGB iVm § 1000 ABGB).

4.7 Preisanpassungen: Für Änderungen der Entgelte gilt ausschließlich Abschnitt 14: Erhöhungen bedürfen der ausdrücklichen Zustimmung des Kunden nach 14.2, Senkungen werden nach 14.1 wirksam.

4.8 Preise und Steuern: Alle Preise sind Endpreise. Der Anbieter ist Kleinunternehmer (§ 6 Abs. 1 Z 27 UStG) und weist keine Umsatzsteuer aus. Für Unternehmer mit Sitz in einem anderen EU-Mitgliedstaat kann die Leistung dort steuerbar sein (Übergang der Steuerschuld); eine solche Steuer ist im Preis nicht enthalten.

4.9 Aktion „Die ersten 100“: Jedes Nutzerkonto, das zu den ersten 100 registrierten Nutzerkonten der Plattform zählt, erhält einmalig einen Gratis-Credit zur Freischaltung eines vollständigen Scan-Berichts. Der Credit wird automatisch gutgeschrieben (bestehende Konten eingeschlossen), ist an das Konto gebunden, nicht übertragbar und hat keinen Barwert; eine Auszahlung ist ausgeschlossen. Maßgeblich ist der Zeitpunkt der Kontoerstellung; die Aktion endet automatisch, sobald 100 Nutzerkonten bestehen. Ein Anspruch auf Teilnahme besteht nicht; Mehrfachkonten derselben Person können von der Aktion ausgeschlossen werden.

5.1 Laufzeit: Der Vertrag läuft auf unbestimmte Zeit.

5.2 Ordentliche Kündigung: Der Kunde kann das Abonnement jederzeit ordentlich kündigen – über das Stripe Customer Portal (Schaltfläche „Abo verwalten“ unter Abrechnung oder Einstellungen) oder unter compliancescan.eu/kuendigung; die Kündigung wird zum Ende des laufenden Abrechnungszeitraums (4.5) wirksam. Eine außerordentliche Kündigung (5.5) wirkt sofort. Der Anbieter kann mit einer Frist von 30 Tagen zum Ende des Abrechnungszeitraums kündigen.

5.3 Scan-to-Credit-Konversion: Kündigt der Kunde sein Abonnement – ordentlich oder außerordentlich –, werden die im laufenden Abrechnungszeitraum nicht genutzten Full-Scans des monatlichen Kontingents mit dem Ende des Abonnements automatisch in Credits umgewandelt (1 Scan = 1 Credit). Endet das Abonnement durch Widerruf (Abschnitt 8) oder weil eine Zahlung auch nach Ablauf der Nachfrist ausgeblieben ist (4.6), werden nicht genutzte Scans nicht umgewandelt. Umgewandelte Credits behalten ihre Gültigkeit und können auch nach Vertragsende für Full-Scans verwendet werden.

5.4 Credit-Gültigkeit: Gekaufte Credits verfallen nicht und können unbegrenzt verwendet werden, auch nach Kündigung des Abonnements.

5.5 Außerordentliche Kündigung: Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Wichtige Gründe für den Anbieter sind insbesondere:

• Zahlungsverzug nach Ablauf der Nachfrist gemäß § 4.6
• Verstoß gegen diese AGB oder geltendes Recht
• Missbrauch der Plattform (z.B. Scraping, DoS-Angriffe, automatisierte Massenabfragen)

5.6 Kündigungsschaltfläche: Verbrauchern steht unter compliancescan.eu/kuendigung eine ohne vorherige Anmeldung erreichbare Kündigungsschaltfläche gemäß § 312k BGB zur Verfügung. Alternativ kann die Kündigung in Textform erfolgen (E-Mail an: kontakt@compliancescan.eu).

5.7 Datenrückgabe und Löschung: Bei Kündigung eines kostenpflichtigen Tarifs wird das Nutzerkonto im kostenlosen Free-Tarif weitergeführt; die gespeicherten Daten bleiben erhalten und können nach 5.9 im JSON-Format exportiert oder angefordert werden. Mit der Löschung des Nutzerkontos werden alle personenbezogenen Daten unverzüglich gelöscht, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen oder 5.9 (Abruf, Vertragsende und Löschung) eine befristete Aufbewahrung nennt. Ein gewünschter Datenexport ist vor der Kontolöschung abzurufen oder anzufordern; ein vorher gestelltes Verlangen nach 5.9 (d) erfüllt der Anbieter noch.

5.8 Keine Rückerstattung: Bereits gezahlte Beträge für den laufenden Abrechnungszeitraum (Monat) werden bei vorzeitiger Kündigung nicht anteilig erstattet, es sei denn, der Anbieter hat den Vertrag aus eigenem Verschulden nicht erfüllt. Credits werden nicht erstattet, bleiben aber gültig. Bei einer Beendigung nach 14.3 oder 14.4 erstattet der Anbieter das Entgelt für den nach der Beendigung nicht mehr erbrachten Zeitraum anteilig. Für Verbraucher (§ 1 KSchG / § 13 BGB) bleiben weitergehende gesetzliche Ansprüche unberührt.

5.9 Anbieterwechsel und Datenübertragung (Data Act): Der Kunde kann nach der Verordnung (EU) 2023/2854 (Data Act) verlangen, zu einem anderen Anbieter eines Datenverarbeitungsdienstes zu wechseln oder seine exportierbaren Daten in eine eigene IT-Umgebung zu übertragen; stattdessen kann er auch ihre Löschung verlangen. Die Ankündigungsfrist endet zu dem Zeitpunkt, den der Kunde in seinem Verlangen bestimmt, spätestens zwei Monate nach dessen Zugang. Das Verlangen ist in Textform (etwa per E-Mail an die unten genannte Kontaktadresse) zu stellen. Zu ihrem Ablauf kann der Kunde mitteilen, ob er zu einem anderen Anbieter (mit den dafür erforderlichen Angaben zu diesem Anbieter) oder in eine eigene IT-Umgebung wechselt oder seine exportierbaren Daten löschen lässt.

• Übergangszeitraum: An die Ankündigungsfrist schließt ein Übergangszeitraum von höchstens 30 Kalendertagen an, in dem der Vertrag fortgilt und der Anbieter die exportierbaren Daten unverzüglich überträgt oder bereitstellt. In dieser Zeit unterstützt der Anbieter den Kunden und von ihm autorisierte Dritte angemessen, erbringt die vertraglichen Funktionen und Dienste mit der gebotenen Sorgfalt weiter, unterrichtet eindeutig über ihm bekannte Risiken für deren unterbrechungsfreie Erbringung und sorgt für ein hohes Maß an Sicherheit, insbesondere der Daten bei der Übertragung und während des Abrufzeitraums. Er unterstützt die Ausstiegsstrategie des Kunden, unter anderem durch Bereitstellung aller einschlägigen Informationen. Ist der Übergangszeitraum von 30 Kalendertagen technisch nicht durchführbar, teilt der Anbieter dies innerhalb von 14 Arbeitstagen nach dem Verlangen mit, begründet es und nennt einen alternativen Übergangszeitraum von höchstens sieben Monaten, in dem der Dienst weiter erbracht wird. Der Kunde kann den Übergangszeitraum einmal um einen Zeitraum verlängern, den er für seine Zwecke für angemessener hält.
• Exportierbare Daten (abschließend): (1) Konto- und Organisationsdaten einschließlich Rechnungsangaben, Mitgliedern, Rollen, Einladungen und eingerichteter Passkeys; (2) Verzeichnisse von Verarbeitungstätigkeiten mit allen Verarbeitungstätigkeiten, Entwürfen und Änderungsprotokollen; (3) NIS2-Selbsteinschätzungen einschließlich Vorfällen, Fristen und Änderungsprotokollen sowie NIS2-Assets; (4) erfasste KI-Systeme einschließlich Entwürfen mit ihrer AI-Act-Einstufung; (5) Scan-Ergebnisse einschließlich Befunden, gescannter Seiten, Cookies, Tracker, Drittanbieter-Anfragen, Screenshots, Datenfluss-Ansichten, Freischaltungen, Fehlermeldungen und fehlgeschlagener Scans; (6) Domains der Organisation, überwachte Domains, Monitoring-Einstellungen und -Verlauf; (7) Einstellungen und Nutzungsdaten von Widget, Badges und API-Schlüsseln; (8) Credit-Buchungen sowie Nachweise zu Einwilligungen in den vorzeitigen Leistungsbeginn, AGB-Zustimmungen und -Mitteilungen, Kündigungen und Widerrufen; (9) das Protokoll der Organisation (Audit-Log). Digitale Vermögenswerte des Kunden (etwa eigene Anwendungen) werden auf der Plattform nicht betrieben.
• Ausgenommen: die dem internen Betrieb der Plattform dienenden Daten des Anbieters, an denen Geschäftsgeheimnisse oder Rechte des geistigen Eigentums des Anbieters bestehen – die Erkennungs- und Klassifizierungsdatenbanken (Cookie-, Tracker-, Anbieter- und Musterdaten) sowie die Bewertungsregeln –, und Daten zur Integrität und Sicherheit des Dienstes, deren Export Sicherheitslücken eröffnen würde: Passkey-Schlüssel, Hashwerte von Passwörtern, API- und Widget-Schlüsseln sowie Token und Codes für Anmeldung, Bestätigung und Zurücksetzung. Was die Datenbanken und Regeln für den Kunden ermittelt haben, ist als Scan-Ergebnis exportierbar.
• Wege und Format: Der Anbieter stellt die Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON) bereit: (a) über die Exportfunktion, die Administratoren einer Organisation im angemeldeten Zustand unter compliancescan.eu/api/export jederzeit abrufen können; sie enthält mindestens E-Mail-Adresse, Tarif und Anlagedatum des abrufenden Kontos und dessen eingerichtete Passkeys, Namen und Anlagedatum der aktiven Organisation, deren Verzeichnisse von Verarbeitungstätigkeiten einschließlich Entwürfen (ohne die einzelnen Tätigkeiten und ohne Änderungsprotokolle), NIS2-Selbsteinschätzungen einschließlich Vorfällen und Fristen (ohne Änderungsprotokolle), NIS2-Assets, die erfassten KI-Systeme einschließlich Entwürfen und das Protokoll der Organisation sowie die Credit-Buchungen samt der mit Erstattungen verrechneten Credits und die Nachweise zu Einwilligungen in den vorzeitigen Leistungsbeginn, AGB-Zustimmungen, Kündigungen und Widerrufen des abrufenden Kontos, bei umfangreichen Kategorien die jüngsten Einträge bis zu einer festen Höchstzahl (100 bis 1.000 je Kategorie); (b) im VVT-Modul, in dem sich jedes Verzeichnis mit allen Verarbeitungstätigkeiten als JSON-Datei herunterladen lässt; (c) in Tarifen mit API-Zugang (Business und Enterprise) über die API, die Scan-Listen und Scan-Ergebnisse in der unter compliancescan.eu/entwickler beschriebenen, gegenüber der gespeicherten Fassung gekürzten Form liefert; (d) auf Verlangen in Textform (etwa per E-Mail an die unten genannte Kontaktadresse) sämtliche exportierbaren Daten, auch soweit (a) bis (c) sie nicht oder nur gekürzt enthalten – insbesondere vollständige Scan-Ergebnisse, überwachte Domains und den Monitoring-Verlauf –, unverzüglich, spätestens binnen eines Monats ab Zugang des Verlangens, im Rahmen eines Wechsels spätestens bis zum Ende des Übergangszeitraums.
• Abruf, Vertragsende und Löschung: Nach Ablauf des Übergangszeitraums bleiben die exportierbaren Daten mindestens 30 Kalendertage abrufbar (Abrufzeitraum). Der Vertrag gilt als beendet, sobald der Wechsel erfolgreich vollzogen ist, oder – wenn der Kunde nicht wechseln, sondern seine Daten löschen lassen will – mit Ablauf der Ankündigungsfrist; der Anbieter teilt dem Kunden die Beendigung mit. Nach einem erfolgreichen Wechsel löscht der Anbieter nach Ablauf des Abrufzeitraums oder eines vereinbarten späteren Zeitpunkts alle exportierbaren Daten, die der Kunde unmittelbar erzeugt hat oder die sich unmittelbar auf ihn beziehen, vollständig; wählt der Kunde die Löschung, werden die Daten mit der Beendigung nach 5.7 gelöscht; Aufzeichnungen und Belege, die der Anbieter aufgrund gesetzlicher Aufbewahrungspflichten (insbesondere § 132 BAO) aufbewahren muss – etwa Rechnungs- und Zahlungsbelege –, sperrt er bis zum Ablauf dieser Pflicht und löscht sie danach. Darüber hinaus bleiben nur erhalten: Beobachtungen über gescannte Websites ohne Bezug zum Kunden in den Erkennungsdatenbanken des Anbieters; jeweils ab ihrer Entstehung anonymisierte Protokolleinträge (bis zu einem Jahr), Zugriffsprotokolle des Webservers (30 bis 90 Tage), Protokolle des Mailservers mit Absender- und Empfängeradresse (bis zu sechs Monate), Protokolle fehlgeschlagener Scans mit gescannter Adresse und Fehlermeldung sowie anonymisierte Fehlerberichte aus dem Browser (bis zu 90 Tage), Bestätigungslinks zu Kündigungen und Widerrufen mit E-Mail-Adresse, Formularangaben und gekürzter IP-Adresse (bis zu 15 Tage) sowie Kündigungs- und Widerrufserklärungen, die keinem Kundenkonto zugeordnet sind (bis zu einem Jahr); die E-Mail-Korrespondenz mit dem Kunden und die Benachrichtigungen des Anbieters über eingegangene Kündigungen und Widerrufe (bis zu drei Jahre nach Abschluss der Bearbeitung); ferner Datensicherungen bis zu ihrer Löschung (die täglichen Datenbanksicherungen auf dem Server nach 14 Tagen, die Sicherungen des Postfachs auf dem Server nach 30 Tagen).
• Register und Transparenz: Datenstrukturen und Datenformate aller exportierbaren Daten samt verwendeter Normen und offener Spezifikationen beschreibt der Anbieter laufend aktuell unter compliancescan.eu/entwickler#datenformate (Art. 26 lit. b Data Act). Unter compliancescan.eu/entwickler#datenstandort veröffentlicht er, welcher Gerichtsbarkeit die genutzte IKT-Infrastruktur unterliegt und welche Maßnahmen er gegen unrechtmäßigen staatlichen Zugriff aus Drittländern auf nicht-personenbezogene Daten getroffen hat (Art. 28 Data Act). Eine Funktion zum Import von Daten aus einem anderen Dienst bietet der Anbieter derzeit nicht an (Art. 26 lit. a Data Act).
• Entgelte: Für den Wechsel, die Datenübertragung und den Datenabruf erhebt der Anbieter keine Entgelte.

6.1 Haftungsbeschränkung: Der Anbieter haftet unbeschränkt nur bei Vorsatz und grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit.

6.2 Leichte Fahrlässigkeit: Bei leichter Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten). Die Haftung ist in diesem Fall auf den vorhersehbaren, vertragstypischen Schaden begrenzt (maximal die Höhe der in den letzten 6 Monaten gezahlten Gebühren).

6.2a Verbraucher: Für Verbraucher im Sinne des § 1 KSchG (Österreich) bzw. § 13 BGB (Deutschland) gelten die gesetzlichen Haftungsregelungen ohne Einschränkung. Die vorstehenden Haftungsbeschränkungen (6.2) finden auf Verbraucher keine Anwendung.

6.3 Datenverlust: Der Anbieter sichert die auf der Plattform gespeicherten Daten regelmäßig nach dem Stand der Technik. Für Datenverluste haftet er nach 6.1, 6.2 und 6.2a. Gegenüber Unternehmern ist ein Mitverschulden zu berücksichtigen, soweit der Kunde Daten, die er nach 5.9 (a) bis (c) selbst abrufen kann, nicht gesichert hat.

6.4 Keine Rechtsberatung / Haftungsausschluss Analysen: Die Plattform stellt keine Rechtsberatung dar. Alle Compliance-Analysen dienen als Arbeitsgrundlage und Richtwert. Gegenüber Unternehmern (B2B) übernimmt der Anbieter keine Gewähr für die Richtigkeit, Vollständigkeit oder Aktualität der Analysen und haftet nicht für Bußgelder oder rechtliche Konsequenzen. Gegenüber Verbrauchern (B2C) bleiben die gesetzlichen Gewährleistungs- und Haftungsrechte (§ 6 Abs. 1 Z 9, § 9 KSchG) unberührt.

6.5 Drittanbieter-Services: Der Anbieter nutzt Dienste Dritter (z.B. Stripe für Zahlungen). Für deren Verfügbarkeit und Funktionsfähigkeit übernimmt der Anbieter keine Gewähr. Gegenüber Verbrauchern bleiben die gesetzlichen Gewährleistungsrechte (7.1a) unberührt.

6.6 Höhere Gewalt: Der Anbieter haftet nicht auf Schadensersatz für Leistungsstörungen, die auf höherer Gewalt beruhen (z. B. Naturkatastrophen, Streiks, Pandemien oder Angriffe, die trotz Schutzmaßnahmen nach dem Stand der Technik nicht abzuwenden waren). Gegenüber Verbrauchern bleiben die gesetzlichen Gewährleistungsrechte (7.1a) unberührt.

7.1 Mängel: Der Anbieter gewährleistet, dass die Plattform die vertraglich vereinbarten Funktionen erfüllt. Bei Mängeln wird der Anbieter nachbessern (Bugfix, Update) oder Ersatz liefern (z.B. alternative Funktion).

7.1a Verbraucher (B2C): Die Plattform ist eine fortlaufend bereitgestellte digitale Dienstleistung. Für Verbraucher (§ 1 KSchG / § 13 BGB) gelten deshalb die gesetzlichen Gewährleistungsrechte für digitale Leistungen: in Österreich nach dem Verbrauchergewährleistungsgesetz (insbesondere § 4 und §§ 18 bis 24 VGG), in Deutschland nach den Vorschriften über Verträge über digitale Produkte (insbesondere §§ 327e, 327i und 327l bis 327n BGB). Der Anbieter leistet Gewähr für jeden Mangel, der während der Dauer der Bereitstellung auftritt oder hervorkommt. Für einzeln bereitgestellte Leistungen, etwa einen mit Credits freigeschalteten Scan-Bericht, leistet er Gewähr für jeden Mangel, der bei der Bereitstellung vorliegt: in Österreich, wenn er innerhalb von zwei Jahren danach hervorkommt (§ 18 Abs. 1 VGG); in Deutschland verjähren die Ansprüche in zwei Jahren ab der Bereitstellung, frühestens aber vier Monate, nachdem sich der Mangel erstmals gezeigt hat (§ 327e Abs. 1, § 327j Abs. 1 und 4 BGB). Aktualisierungen, die zur Erhaltung der Vertragsmäßigkeit erforderlich sind, stellt der Anbieter während der gesamten Dauer der Bereitstellung bereit (§ 7 VGG, § 327f BGB). Der Verbraucher kann zunächst die Herstellung des mangelfreien Zustands verlangen; unter den gesetzlichen Voraussetzungen kann er stattdessen den Preis mindern oder den Vertrag auflösen (beenden). Diese Rechte können nicht im Voraus ausgeschlossen oder eingeschränkt werden (§ 9 KSchG, § 3 VGG / § 327s Abs. 1 BGB); auch die Mängelanzeige nach 7.2 schränkt sie nicht ein.

7.2 Mängelanzeige: Der Nutzer ist verpflichtet, Mängel unverzüglich anzuzeigen (E-Mail an: kontakt@compliancescan.eu).

7.3 Ausschluss: Die Gewährleistung ist ausgeschlossen bei:

• Unsachgemäßer Nutzung durch den Kunden
• Veränderungen der Plattform durch den Kunden oder Dritte
• Nutzung nicht unterstützter Browser (Chrome/Edge/Firefox/Safari in aktuellen Versionen erforderlich)
• Netzwerkproblemen auf Seiten des Kunden

Für Verbraucher (§ 1 KSchG / § 13 BGB) gelten die gesetzlichen Gewährleistungsrechte uneingeschränkt.

7.4 Beta-Features: Funktionen, die als "Beta", "Experimental" oder "Preview" gekennzeichnet sind, unterliegen nicht der Gewährleistung. Dieser Gewährleistungsausschluss gilt nur gegenüber Unternehmern (B2B). Für Verbraucher (§ 1 KSchG / § 13 BGB) gelten die gesetzlichen Gewährleistungsrechte uneingeschränkt. Für ihre Änderung oder Entfernung gilt Abschnitt 14, insbesondere 14.4.

8.1 Widerrufsbelehrung: Verbraucher (natürliche Personen, die den Vertrag zu einem Zweck abschließen, der überwiegend weder ihrer gewerblichen noch ihrer selbständigen beruflichen Tätigkeit zugerechnet werden kann) haben ein 14-tägiges Widerrufsrecht.

8.2 Widerrufsfrist: Das Widerrufsrecht beträgt 14 Tage ab Vertragsschluss (Abschluss des kostenpflichtigen Abonnements bzw. Kaufdatum bei Credit-Paketen).

8.3 Widerrufsfolgen: Bei Widerruf werden bereits gezahlte Beträge innerhalb von 14 Tagen zurückerstattet.

8.3a Wertersatz bei vorzeitiger Nutzung: Haben Sie verlangt, dass die Dienstleistungen während der Widerrufsfrist beginnen soll, so haben Sie uns einen angemessenen Betrag zu zahlen, der dem Anteil der bis zu dem Zeitpunkt, zu dem Sie uns von der Ausübung des Widerrufsrechts hinsichtlich dieses Vertrags unterrichten, bereits erbrachten Dienstleistungen im Vergleich zum Gesamtumfang der im Vertrag vorgesehenen Dienstleistungen entspricht. Rechtsgrundlage: § 357a Abs. 2 BGB / § 16 Abs. 1 FAGG.

8.4 Vorzeitiges Erlöschen:

• Abonnements (Dienstleistungen): Das Widerrufsrecht erlischt erst mit vollständiger Erbringung der Dienstleistung und nur, wenn der Kunde vorher ausdrücklich zugestimmt hat, dass vor Ablauf der Widerrufsfrist begonnen wird, und bestätigt hat, dass er sein Widerrufsrecht mit vollständiger Vertragserfüllung verliert (§ 18 Abs. 1 Z 1 FAGG / § 356 Abs. 5 Nr. 2 BGB). Bei einem laufenden Abonnement ist das innerhalb der Widerrufsfrist regelmäßig nicht der Fall; es gilt 8.3a.
• Credit-Pakete (digitale Inhalte): Das Widerrufsrecht erlischt vorzeitig, wenn der Kunde ausdrücklich zugestimmt hat, dass mit der Bereitstellung der digitalen Inhalte vor Ablauf der Widerrufsfrist begonnen wird, und gleichzeitig bestätigt hat, dass er durch diese Zustimmung sein Widerrufsrecht mit Beginn der Ausführung verliert, und der Anbieter ihm die Vertragsbestätigung auf einem dauerhaften Datenträger zur Verfügung gestellt hat (§ 18 Abs. 1 Z 11 FAGG / § 356 Abs. 6 Nr. 2 BGB).

8.5 Widerrufsfunktion: Verbraucher können den Widerruf auch online über die Schaltfläche „Vertrag widerrufen“ unter compliancescan.eu/kuendigung?action=widerruf erklären (§ 13a FAGG / § 356a BGB). Die Frist ist gewahrt, wenn die Erklärung vor ihrem Ablauf über diese Funktion abgesendet wird; der Anbieter bestätigt den Eingang unverzüglich per E-Mail mit Inhalt, Datum und Uhrzeit.

Muster-Widerrufsformular: Sie können das Muster-Widerrufsformular verwenden, das jedoch nicht vorgeschrieben ist:

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich gemäß der unter compliancescan.eu/datenschutz abrufbaren Datenschutzerklärung, die Bestandteil dieses Vertrages ist. Sie erfüllt zugleich die Informationspflichten nach Art. 13 und 14 DSGVO und muss deshalb die jeweils aktuelle Verarbeitung beschreiben; für ihre Anpassung gilt Abschnitt 14 nicht. Über wesentliche Änderungen informiert der Anbieter den Kunden per E-Mail.

Der Anbieter nutzt Drittanbieter zur Vertragserfüllung und Absicherung des Dienstes (Stripe für Zahlungen, Contabo für Hosting, Google Gemini API für KI-gestützte Klassifizierung und – soweit dort aktiviert – Cloudflare Turnstile für den Bot-Schutz im einbettbaren Scan-Widget). Dabei können Daten in die USA übermittelt oder von dort abgerufen werden; Einzelheiten zu Empfängern, Rechtsgrundlagen und Garantien enthält die Datenschutzerklärung.

Empfänger und Dienstleister: Stripe Payments Europe Ltd. (Zahlungsabwicklung), Contabo GmbH (Hosting in Deutschland), Google Cloud EMEA Limited (KI-Klassifizierung) und – soweit aktiviert – Cloudflare, Inc. (Bot-Schutz, USA). Soweit ein Dienstleister als Auftragsverarbeiter tätig wird, erfolgt die Verarbeitung auf Grundlage eines Vertrages gemäß Art. 28 DSGVO.

10.1 Plattform-Inhalte: Alle Inhalte der Plattform (Software, Texte, Grafiken, Logos, Dokumentation) sind urheberrechtlich geschützt und Eigentum des Anbieters oder lizenziert.

10.2 Nutzungsrecht: Der Nutzer erhält ein einfaches, nicht ausschließliches, nicht übertragbares Recht zur Nutzung der Plattform für die Vertragslaufzeit.

10.3 Verbotene Nutzung: Untersagt sind insbesondere:

• Weiterverkauf oder Vermietung der Dienste an Dritte
• Reverse Engineering, Dekompilierung oder Disassemblierung der Software
• Entfernung von Urhebervermerken oder Markenzeichen
• Scraping, automatisierte Massenabfragen außerhalb der vorgesehenen Funktionen
• Umgehung technischer Schutzmaßnahmen (z.B. Rate-Limiting)

10.4 Scan-Berichte: Der Nutzer erhält das Recht, die von ihm generierten Scan-Berichte und VVTs intern zu nutzen und an Dritte weiterzugeben (z.B. Kunden, Aufsichtsbehörden, Auditoren). Eine kommerzielle Verwertung als eigenständiges Produkt (z.B. Weiterverkauf von Reports) ist untersagt.

10.5 Open-Source-Komponenten: Die Plattform nutzt Open-Source-Software. Die entsprechenden Lizenzbedingungen werden eingehalten.

12.1 Anwendbares Recht: Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts (CISG).

12.2 Gerichtsstand: Für Streitigkeiten mit Unternehmern ist ausschließlicher Gerichtsstand das für 4121 Altenfelden sachlich und örtlich zuständige Gericht (Österreich). Für Verbraucher gelten die gesetzlichen Gerichtsstände: bei Wohnsitz in Österreich § 14 KSchG, bei Wohnsitz in einem anderen Mitgliedstaat der EU Art. 18 der Verordnung (EU) Nr. 1215/2012 (Brüssel-Ia-VO), bei Wohnsitz in der Schweiz oder einem anderen durch das Lugano-Übereinkommen gebundenen Staat Art. 16 LugÜ.

12.3 Grenzüberschreitende Verträge: Verbraucher mit gewöhnlichem Aufenthalt in einem anderen Staat behalten zusätzlich den Schutz der zwingenden Bestimmungen des Rechts dieses Staates, die ohne die Rechtswahl in 12.1 anzuwenden wären (Art. 6 Abs. 2 Rom-I-VO).

13.1 Verbraucherschlichtung (Österreich): Der Anbieter ist nicht verpflichtet, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen. Die Teilnahme ist jedoch freiwillig möglich.

Zuständige Schlichtungsstelle:
Internet Ombudsstelle (im Alternative-Streitbeilegung-Gesetz noch als „Internet Ombudsmann“ bezeichnet)
Österreichisches Institut für angewandte Telekommunikation (ÖIAT)
Beschwerden über das Online-Formular auf www.ombudsstelle.at

13.2 Deutschland und übriger EWR: Die Internet Ombudsstelle ist auch für Verbraucher mit Wohnsitz in Deutschland oder einem anderen Vertragsstaat des Europäischen Wirtschaftsraums zuständig, wenn der Vertrag über das Internet geschlossen wurde.

13.3 Schweiz: In der Schweiz existiert derzeit keine allgemeine Verbraucherschlichtungsstelle für SaaS-Dienstleistungen. Bei Streitigkeiten können Sie sich an die kantonalen Schlichtungsbehörden oder direkt an uns wenden.

14.1 Änderungen ohne Ankündigung: Ohne vorherige Ankündigung wirksam werden ausschließlich Änderungen, die den Kunden nicht belasten, nämlich (a) rein begünstigende Änderungen wie zusätzliche oder erweiterte Leistungen, höhere Kontingente, Preissenkungen sowie der Wegfall oder die Abschwächung von Kundenpflichten, (b) rein redaktionelle Änderungen ohne inhaltliche Auswirkung wie Rechtschreibung, Gliederung, Nummerierung, aktualisierte Kontaktdaten, Bezeichnungen und Verweise, sowie (c) Änderungen, die Rechte und Pflichten des Kunden nicht berühren. Sie werden mit der Veröffentlichung der neuen Fassung unter compliancescan.eu/agb wirksam; das Stand-Datum wird dabei aktualisiert. Betrifft eine Änderung nach (a) die Dienstleistung selbst, informiert der Anbieter den Kunden über sie klar und verständlich. Wirkt sich eine Änderung entgegen dieser Einordnung im Einzelfall doch nachteilig auf den Kunden aus, gilt für sie 14.2.

14.2 Änderungen zum Nachteil des Kunden: Jede Änderung, die bestehende Leistungen einschränkt, Entgelte erhöht, neue Pflichten begründet oder Rechte des Kunden verkürzt, wird nur wirksam, wenn der Kunde ihr ausdrücklich zustimmt. Der Anbieter fordert die Zustimmung mindestens 6 Wochen vor dem geplanten Inkrafttreten per E-Mail an; sie muss über einen Bestätigungslink oder -button aktiv erteilt werden. Eine bloße Weiternutzung des Dienstes oder ein Schweigen des Kunden gilt nicht als Zustimmung. Stimmt der Kunde nicht zu, gilt für ihn die bisherige Fassung unverändert weiter. Unabhängig davon kann der Kunde den Vertrag binnen 14 Tagen ab Zugang der Zustimmungsanfrage kostenlos zum geplanten Inkrafttretenszeitpunkt beenden (Sonderkündigungsrecht). Zwingende Rechte des Kunden, insbesondere aus KSchG, VGG, FAGG und BGB, können auch mit Zustimmung nicht eingeschränkt werden und bleiben unberührt.

14.3 Zwingende Vorgaben: Ist eine Änderung durch zwingende gesetzliche, behördliche oder gerichtliche Vorgaben veranlasst, wird sie zu dem von der Vorgabe bestimmten Zeitpunkt auch ohne Zustimmung nach 14.2 wirksam; sie bleibt dabei auf das beschränkt, was die Vorgabe verlangt. Entgelterhöhungen fallen nicht unter diese Ziffer; für sie gilt auch dann 14.2, wenn ihr Anlass in einer geänderten Rechtslage liegt, etwa im Wegfall einer Steuerbefreiung. Der Anbieter kündigt die Änderung so früh wie möglich in Textform auf einem dauerhaften Datenträger (E-Mail) an. Beeinträchtigt sie den Kunden mehr als geringfügig, kann er den Vertrag binnen 30 Tagen ab dem Zeitpunkt der Änderung kostenlos beenden; erhält er die Ankündigung erst nach der Änderung, binnen 30 Tagen ab deren Zugang.

14.4 Änderungen der Leistung selbst: Der Anbieter darf die Dienstleistung über das zur Aufrechterhaltung der Vertragsmäßigkeit Erforderliche hinaus ändern, wenn dafür ein triftiger Grund vorliegt. Als triftige Gründe werden vereinbart: Anpassung an eine veränderte technische Umgebung, Behebung von Sicherheitsrisiken, Wegfall oder Wechsel eingesetzter Drittanbieter (Hosting, Zahlungsabwicklung, Datenquellen), eine geänderte Rechtslage, die die Prüflogik betrifft, sowie die Einstellung einer ausdrücklich als Beta, Experimental oder Preview gekennzeichneten Erprobungsfunktion, die nicht auf ein vereinbartes Kontingent angerechnet wird. Die Änderung muss dem Kunden zumutbar sein und darf den Kernbestand der vereinbarten Leistung nicht antasten; die Absenkung vereinbarter Kontingente oder der Wegfall einer zugesagten Hauptfunktion ist keine Änderung nach dieser Ziffer, sondern bedarf der Zustimmung nach 14.2. Fällt eine Änderung zugleich unter 14.2, geht 14.2 vor. Mehrkosten entstehen dem Kunden dadurch nicht. Über jede solche Änderung informiert der Anbieter den Kunden klar und verständlich. Beeinträchtigt die Änderung den Zugang zur Dienstleistung oder ihre Nutzbarkeit mehr als geringfügig, informiert er ihn zusätzlich in angemessener Frist vorab in Textform auf einem dauerhaften Datenträger (E-Mail) über die Merkmale und den Zeitpunkt der Änderung, über sein Beendigungsrecht nach dem folgenden Satz sowie über eine etwaige Möglichkeit, die Dienstleistung unverändert weiterzunutzen. Der Kunde kann den Vertrag in diesem Fall binnen 30 Tagen ab dem Zeitpunkt der Änderung kostenlos beenden; erhält er die Information erst nach der Änderung, binnen 30 Tagen ab deren Zugang. Dieses Recht steht Verbrauchern nach § 27 Verbrauchergewährleistungsgesetz (VGG) und § 327r BGB zu; der Anbieter räumt es allen Kunden ein. Das Beendigungsrecht entfällt, wenn der Anbieter dem Kunden die unveränderte Nutzung der Dienstleistung ohne Mehrkosten ermöglicht und die Dienstleistung dabei weiterhin dem Vertrag entspricht.

14.5 Maßgebliche Fassung: Die jeweils geltende Fassung ist unter compliancescan.eu/agb abrufbar und trägt das unten genannte Stand-Datum; die nach Punkt 9 einbezogene Datenschutzerklärung trägt ein eigenes Stand-Datum. Für ein bestehendes Vertragsverhältnis gilt die bei Vertragsschluss vereinbarte Fassung, geändert nur nach 14.1 bis 14.4; welche Fassung das ist, weist der Anbieter dem Kunden auf Anfrage nach und stellt sie ihm auf Wunsch in Textform bereit.

14.6 Wechsel des Vertragspartners: Ein Wechsel in der Person des Anbieters, insbesondere durch Einbringung des Unternehmens in eine Gesellschaft oder durch Rechtsformwechsel, ist keine Änderung nach 14.1 und wird gegenüber dem Kunden nur mit dessen ausdrücklicher Zustimmung nach 14.2 wirksam. Bis dahin bleibt der bisherige Anbieter Vertragspartner.