Allgemeine Geschäftsbedingungen

§ 1 Geltungsbereich und Vertragspartner

(1) Diese Allgemeinen Geschäftsbedingungen gelten für Verträge über die B2B-Software-as-a-Service-Plattform Ihmora einschließlich gebuchter Module, Portale, Schnittstellen und Zusatzleistungen.

(2) Anbieter ist die Ihmora GmbH, Schierholzstraße 27, 30655 Hannover, eingetragen im Handelsregister des Amtsgerichts Hannover unter HRB 230734. Ihmora ist die Produktmarke des Anbieters. Die frühere Produktbezeichnung und der frühere Handelsregistername berühren Vertragspartner, Leistungsumfang und bestehende Verträge nicht.

(3) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertrag mit Verbrauchern wird nicht geschlossen.

(4) Abweichende Geschäftsbedingungen des Kunden gelten nur, wenn der Anbieter ihrer Einbeziehung ausdrücklich in Textform zugestimmt hat.

§ 2 Vertragsunterlagen, Rangfolge und Vertragsschluss

(1) Vor Abgabe der Vertragserklärung erhält der Kunde das individuelle Angebot sowie die darin als mitgeltend bezeichneten Vertragsunterlagen in speicherbarer Form. Grundlage des Vertrags sind das individuelle Angebot und diese AGB; hinzu kommen regelmäßig der Auftragsverarbeitungsvertrag (AVV), die technischen und organisatorischen Maßnahmen (TOMs) und die Datenschutzhinweise. Es gilt jeweils nur der Teil dieser AGB, der zu einer im Angebot bezeichneten Position gehört. Die §§ 18 bis 21 gelten nur, soweit das Angebot die dort bezeichnete Leistung ausweist. Eine zweite, produktspezifische AGB wird nicht geschlossen. Die gesonderte NDA wird im Vertriebsprozess vor dem Austausch vertraulicher Informationen abgeschlossen.

(2) Der Vertrag kommt durch Annahme des individuellen Angebots im bereitgestellten Annahmeprozess oder spätestens durch einvernehmlichen Go-Live zustande. Ein gesonderter Lizenz-, Compliance- oder DSB-Vertrag wird nicht geschlossen; die Bedingungen ergeben sich aus dem individuellen Angebot und diesen AGB. Mehrere Positionen können in einem Angebot stehen. Die beim Vertragsschluss bereitgestellten Fassungen, Versionsstände und Versandnachweise werden dokumentiert.

(3) Bei Widersprüchen gilt folgende Rangfolge: individuell ausgehandelte Regelungen und Angebot, AVV für die datenschutzrechtliche Auftragsverarbeitung, TOMs, diese AGB, Leistungsbeschreibung. Soweit eine Leistung nach den §§ 18 bis 21 gebucht ist, gehen deren Bestimmungen den allgemeinen Software-Bestimmungen vor, soweit sie dieselbe Frage regeln. Zwingendes Recht bleibt unberührt.

§ 3 Leistungsgegenstand und Änderungen der Software

(1) Der Anbieter stellt die im Angebot bezeichneten Funktionen als SaaS über das Internet bereit. Gebuchte Module, Nutzer, Mengengerüste, Wohneinheiten, Schnittstellen, Service Levels und Zusatzleistungen ergeben sich aus dem individuellen Angebot.

(2) Die Plattform unterstützt Verwaltungs-, Kommunikations-, Buchhaltungs-, Compliance- und Dokumentenprozesse. Sie erbringt ohne gesonderte Beauftragung keine Rechts-, Steuer-, Datenschutz- oder Betreiberberatung und ersetzt keine gesetzlich vorgeschriebene fachliche Prüfung.

(3) Der Anbieter darf die Software aktualisieren, Sicherheitsmaßnahmen anpassen und Funktionen technisch weiterentwickeln, soweit der vereinbarte Gesamtleistungsumfang und wesentliche Nutzungsmöglichkeiten nicht dauerhaft beeinträchtigt werden. Wesentliche nachteilige Änderungen richten sich nach § 15.

(4) Die Plattform ist ein technisches Hilfsmittel. Der Anbieter schuldet nicht die Erfüllung der gesetzlichen Pflichten, die dem Kunden als Hausverwalter, Vermieter, Arbeitgeber, Betreiber kritischer Anlagen oder Verantwortlichem obliegen. Eine darüber hinausgehende Beratung erfolgt nur auf gesonderter Grundlage im Angebot.

(5) Gebuchte Module, Portale und Schnittstellen ergeben sich aus dem Angebot. Für Drittsysteme, insbesondere Bank, DATEV, Messdienst oder ERP, schuldet der Anbieter nicht deren Verfügbarkeit, Funktionsumfang oder Änderung.

§ 4 Nutzungsrechte, Konten und Partnerweitergabe

(1) Der Kunde erhält für die Vertragslaufzeit ein einfaches, nicht ausschließliches und nicht übertragbares Recht zur bestimmungsgemäßen Nutzung für den eigenen Geschäftsbetrieb. Vorgesehene Portalzugänge für Mieter, Eigentümer und Dienstleister bleiben zulässig. Eine darüber hinausgehende Unterlizenzierung, Vermietung oder Weitergabe der Nutzung an Dritte bedarf der vorherigen Zustimmung des Anbieters in Textform oder einer ausdrücklichen Regelung im individuellen Angebot.

(2) Jeder interne Nutzer verwendet ein persönliches Konto. Zugangsdaten dürfen nicht geteilt werden. Der Kunde verwaltet Rollen und Berechtigungen nach dem Need-to-know-Prinzip und meldet vermuteten Missbrauch unverzüglich.

(3) Reverse Engineering, Dekompilierung, unbefugte automatisierte Massenzugriffe und die Umgehung technischer Schutz- oder Kontingentgrenzen sind untersagt, soweit sie nicht zwingend gesetzlich erlaubt sind (insbesondere § 69e UrhG).

(4) Gibt der Kunde die Plattform nach ausdrücklicher Regelung im individuellen Angebot als Partner unter eigener Marke an eigene Mandate weiter, räumt der Anbieter ihm für die Laufzeit ein einfaches, nicht ausschließliches und nicht übertragbares Weitergabe- und Unterlizenzrecht ein. Umfang, Partnerstufe, Rabatt, inklusive Sitze, White-Label-Tiefe und Mandatsrahmen ergeben sich ausschließlich aus dem Angebot.

(5) Der Partner schließt mit seinen Mandaten eigene Nutzungsverträge und verwendet dafür eigene Allgemeine Geschäftsbedingungen, eigenes Impressum nach § 5 DDG und eigene Datenschutzhinweise nach Art. 13 und 14 DSGVO. Nur der White-Label-Partner benötigt gegenüber seinen Mandaten eine eigene AGB; der Anbieter stellt ihm dafür keine Fassung. Die Mandatsbedingungen dürfen die Rechte des Mandats nicht weiter gehen lassen als das Angebot und diese AGB. Der Mandatsvertrag enthält mindestens Nutzungsumfang und -beschränkungen, einen AVV nach Art. 28 DSGVO mit Zulassung weiterer Auftragsverarbeiter, die Benennung des Anbieters als weiteren Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO mit Name, Anschrift, Gegenstand und Ort der Verarbeitung, menschliche Aufsicht über KI-Ausgaben, eine Verfügbarkeit nicht über der dem Partner geschuldeten, First-Level-Support durch den Partner, Haftung ohne überschießende Zusagen, Laufzeit sowie Datenexport und Fortführung nach Absatz 7. Die White-Label-Darstellung schränkt die Offenlegung des Anbieters nicht ein. Der Partner bleibt für die Einhaltung durch seine Mandate verantwortlich. Der Anbieter erbringt Second-Level-Support gegenüber dem Partner.

(6) Rechte an Software, Marke Ihmora, Modellen und Dokumentation verbleiben beim Anbieter. Die White-Label-Nutzung begründet keine Rechte des Partners daran. Endet das Partnerverhältnis, endet die White-Label-Darstellung; der Anbieter entfernt die Partnermarke, sobald Mandate überführt oder abgeschaltet sind.

(7) Endet das Partnerverhältnis, können bestehende Mandate nach Wahl des jeweiligen Verantwortlichen mit dem Anbieter fortgeführt oder innerhalb von 30 Tagen exportiert werden. Nicht fortgeführte Mandate werden anschließend nach Wahl des Verantwortlichen gelöscht oder zurückgegeben; gesetzliche Aufbewahrungspflichten bleiben unberührt. Partner-Sitze berechtigen nicht automatisch zur Nutzung durch Mandatsnutzer; Mandatszugänge richten sich nach dem Angebot.

§ 5 Mitwirkung und rechtmäßige Nutzung

(1) Der Kunde stellt richtige und vollständige Eingabedaten, geeignete Endgeräte und Internetzugang bereit. Er ist für Rechtsgrundlagen, Informationspflichten, Aufbewahrungsfristen und Freigaben in seinem Verantwortungsbereich zuständig.

(2) Rechtswidrige Inhalte, Schadsoftware, Eingriffe in Sicherheit oder Verfügbarkeit sowie eine Nutzung für nach der KI-Verordnung verbotene Praktiken sind unzulässig.

(3) Der Kunde prüft fachlich oder rechtlich erhebliche Ergebnisse vor Verwendung. Vorgesehene Freigaben und Vier-Augen-Kontrollen dürfen nicht umgangen werden.

(4) Soweit der Kunde Wohn- oder Gewerbebestand verwaltet, bleiben insbesondere Betriebskosten- und Heizkostenabrechnung, Fristen nach § 556 BGB, GoBD, Treuhand- und Kautionsführung sowie berufsrechtliche Pflichten einschließlich WEG-Verwalterpflichten in seiner Verantwortung. Soweit er kritische Infrastruktur, Versorgung oder vergleichbare Anlagen betreibt, bleiben Betreiberpflichten, Meldeketten und Aufsichtsverfahren einschließlich NIS-2 und KRITIS in seiner Verantwortung. Die Plattform bereitet Vorgänge auf; eine Abgabe an Behörden erfolgt nicht automatisch.

§ 6 Vergütung, Abrechnung und Zahlungsverzug

(1) Preise, Abrechnungsintervalle, Setup-Leistungen und Add-ons ergeben sich aus dem individuellen Angebot. Alle Preise verstehen sich netto zuzüglich gesetzlicher Umsatzsteuer.

(2) Rechnungen sind innerhalb von 14 Tagen ohne Abzug fällig, soweit das Angebot nichts Abweichendes regelt. Bei Verzug gelten §§ 286, 288 BGB.

(3) Nach erfolgloser Mahnung und unter Einhaltung einer vorherigen Ankündigungsfrist von mindestens 14 Tagen darf der Anbieter betroffene Leistungen verhältnismäßig sperren. Eine sofortige Sperre ohne Vorankündigung bleibt bei konkreter Sicherheitsgefährdung, rechtswidriger Nutzung oder zwingender behördlicher Anordnung zulässig. Zahlungsverpflichtungen sowie der Zugriff auf gesetzlich erforderliche Exportmöglichkeiten bleiben unberührt.

(4) Preisänderungen gelten frühestens ab der nächsten Verlängerungsperiode und werden mindestens 60 Tage vorher mitgeteilt. Bei einer Erhöhung von mehr als 5 Prozent kann der Kunde zum Änderungszeitpunkt in Textform kündigen.

§ 7 KI-Credits und Zusatzkontingente

(1) Das im individuellen Angebot vereinbarte monatliche KI-Credit-Kontingent gilt gemeinsam für alle Nutzer und KI-Module des Kundenmandanten. Der Angebotswert geht allgemeinen Tarifangaben vor.

(2) Je gestartetem Vorgang werden berechnet: Standard-KI 1 Credit, Dokumentanalyse oder Dokumenterstellung 5 Credits, Recherche mit Webquellen 10 Credits und mehrstufiger KI-Agent 25 Credits. Ein Vorgang kann mehrere technische Modellaufrufe umfassen.

(3) Das Kontingent wird je Kalendermonat bereitgestellt. Nicht verbrauchte Credits werden nicht übertragen oder ausgezahlt. Bei Ausschöpfung wird nur die weitere KI-Nutzung bis zum Folgemonat oder bis zur Aktivierung eines ausdrücklich bestellten Zusatzkontingents gesperrt.

(4) Eine automatische Freischaltung oder nachträgliche Mehrverbrauchsabrechnung findet nicht statt. Das Zusatzpaket mit 1.000 Credits pro Monat kostet, sofern nicht individuell abweichend angeboten, 49 Euro netto monatlich. Es wird erst nach ausdrücklicher Bestellung und Bestätigung des Abrechnungsbeginns aktiviert.

(5) Zusatzkontingente sind wiederkehrende Add-ons. Soweit das Zusatzangebot nichts Abweichendes bestimmt, können sie mit 30 Tagen zum Monatsende in Textform beendet werden.

(6) Die vereinbarten Credit-Gewichte für bestehende Module bleiben während der laufenden Mindestvertragszeit unverändert. Neue Vorgangsarten werden vom Anbieter nach billigem Ermessen (§ 315 BGB) vor ihrer Nutzung transparent einer Kategorie zugeordnet, die dem technischen Aufwand entspricht. Änderungen bestehender Gewichte erfordern eine ausdrückliche Vereinbarung oder gelten erst ab einer Verlängerungsperiode nach § 6 Abs. 4.

§ 8 Laufzeit und Kündigung

(1) Vertragsbeginn, Mindestlaufzeit und Zahlungsweise ergeben sich aus dem individuellen Angebot. Nach Ablauf der vereinbarten Mindestlaufzeit verlängert sich der Vertrag jeweils um zwölf Monate, sofern er nicht mit einer Frist von 30 Tagen zum Laufzeitende in Textform gekündigt wird; individuell ausgehandelte Regelungen gehen vor.

(2) Die Kündigung kann über die im Kundenkonto angebotene Funktion, per E-Mail oder in sonstiger Textform erklärt werden.

(3) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Vor einer verhaltensbedingten Kündigung ist grundsätzlich eine angemessene Abhilfefrist zu setzen, soweit diese nicht entbehrlich ist.

(4) Aufwandleistungen nach § 20 enden mit Erbringung, soweit das Angebot keinen Rahmen fortführt. Ein DSB-Mandat nach § 21 folgt Vergütung, Stufe und Laufzeit des Angebots.

§ 9 Verfügbarkeit, Wartung und Support

(1) Es gilt die im Angebot vereinbarte Verfügbarkeit; ohne abweichende Vereinbarung 99,0 Prozent im Jahresmittel am Übergabepunkt des Rechenzentrums, ausgenommen angekündigte Wartung, höhere Gewalt und vom Kunden oder Dritten außerhalb des Verantwortungsbereichs des Anbieters verursachte Ausfälle.

(2) Planbare Wartung wird mit angemessener Frist angekündigt und möglichst außerhalb üblicher Geschäftszeiten durchgeführt. Reaktionszeiten bezeichnen die qualifizierte Erstreaktion, nicht zwingend die Behebung.

(3) Eine Zertifizierung, Registrierung oder Freigabe nach NIS-2, KRITIS-Dachgesetz oder branchenspezifischen Aufsichtsregimen schuldet der Anbieter nur, soweit das Angebot sie ausdrücklich zusagt. Der Kunde bleibt Betreiber und Meldepflichtiger.

(4) Support erfolgt werktags montags bis freitags von 9:00 bis 17:00 Uhr am Sitz des Anbieters, soweit das Angebot nichts Abweichendes regelt.

§ 10 Datenschutz, Informationssicherheit und Unterauftragnehmer

(1) Für Verarbeitungen des Anbieters als Auftragsverarbeiter oder Unterauftragsverarbeiter gilt der AVV nach Art. 28 DSGVO einschließlich TOMs. Für eigene Verarbeitungszwecke des Anbieters gelten die beim Vertragsschluss bereitgestellten Datenschutzhinweise.

(2) Der Anbieter setzt angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Verarbeitungsorte und Unterauftragnehmer ergeben sich aus dem AVV und der jeweils angekündigten Unterauftragnehmerliste.

(3) Sicherheits- und Datenschutzvorfälle werden nach den gesetzlichen und vertraglichen Meldeketten behandelt.

(4) Der Kunde darf die Einhaltung der TOMs prüfen, vorrangig durch Nachweise, Zertifikate und Auditberichte. Eine Vor-Ort-Kontrolle ist mit angemessener Vorankündigung und ohne Störung anderer Kunden zulässig.

§ 11 KI-Funktionen, menschliche Aufsicht und Transparenz

(1) KI-Ausgaben sind maschinell erzeugte Vorschläge und können fehlerhaft, unvollständig oder veraltet sein. Sie sind vor fachlich oder rechtlich erheblicher Verwendung durch eine hinreichend qualifizierte Person zu prüfen.

(2) Die Plattform ist nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über natürliche Personen bestimmt. Eine solche Nutzung, insbesondere in Beschäftigung, Bonität, Zugang zu wesentlichen Diensten oder biometrischer Bewertung, bedarf einer gesonderten schriftlichen Freigabe und einer vorherigen Prüfung der anwendbaren DSGVO- und KI-Verordnungs-Pflichten.

(3) Die Parteien beachten die Vorgaben der Verordnung (EU) 2024/1689. Der Anbieter stellt als Bereitsteller des KI-Systems die gesetzlich geforderte technische Transparenz, die Systemdokumentation sowie die erforderlichen Logging-Funktionen zur Verfügung, um eine sachgerechte Nutzung zu ermöglichen.

(4) Der Kunde stellt als Betreiber im Sinne der Verordnung sicher, dass die eingesetzten Personen über eine ausreichende KI-Kompetenz verfügen, und gewährleistet die menschliche Aufsicht über den KI-Einsatz. Er prüft die Ergebnisse vor einer fachlich oder rechtlich bindenden Übernahme in seine Hausverwaltungs- oder Geschäftsprozesse. Bereitgestellte Kennzeichnungen KI-generierter Inhalte dürfen vom Kunden nicht entfernt oder umgangen werden.

§ 12 Kundendaten, Arbeitsergebnisse und Rechte Dritter

(1) Der Kunde behält seine Rechte und Verfügungsbefugnisse an Kundendaten. Er räumt dem Anbieter die zur Vertragserfüllung erforderlichen, zeitlich auf die Verarbeitung beschränkten Rechte ein.

(2) Soweit an individuell erzeugten Ausgaben übertragbare Rechte entstehen, darf der Kunde diese für seine Geschäftszwecke nutzen. Ausschließlichkeit oder Schutzfähigkeit KI-generierter Inhalte wird nicht zugesagt. Der Kunde prüft vor Veröffentlichung mögliche Rechte Dritter und personenbezogene Angaben.

(3) Rechte an Software, Modellen, Vorlagen, allgemeinem Know-how und Dokumentation verbleiben beim Anbieter oder seinen Lizenzgebern.

§ 13 Datenzugang, Export und Anbieterwechsel

(1) Der Kunde kann seine Daten während der Laufzeit in einem strukturierten, gängigen und maschinenlesbaren Format abrufen. Der Anbieter unterstützt einen Wechsel zu anderen Datenverarbeitungsdiensten gemäß den Vorgaben der Verordnung (EU) 2023/2854 (Data Act).

(2) Nach Vertragsende bleiben exportierbare Kundendaten grundsätzlich 30 Tage abrufbar, sofern gesetzliche Pflichten, Sicherheitsgründe oder eine abweichende Vereinbarung nicht entgegenstehen. Anschließend werden sie nach Wahl des Kunden gelöscht oder zurückgegeben; gesetzliche Aufbewahrungspflichten bleiben unberührt.

(3) Der standardisierte Datenexport nach Absatz 1 erfolgt unentgeltlich. Zusätzliche, individuell beauftragte Migrationsleistungen oder komplexe Datenaufbereitungen, die über den gesetzlich geschuldeten und unentgeltlichen Umfang hinausgehen, können nach vorheriger Vereinbarung gesondert vergütet werden.

§ 14 Mängelrechte

(1) Der Anbieter hält die Software im vereinbarten Zustand und behebt reproduzierbare Mängel innerhalb angemessener Frist. Der Kunde meldet Mängel nachvollziehbar und unterstützt die Diagnose.

(2) Die verschuldensunabhängige Haftung für bei Vertragsschluss vorhandene Mängel nach § 536a Abs. 1 Alt. 1 BGB wird ausgeschlossen. Gesetzliche Ansprüche bei Arglist und Garantie bleiben unberührt.

§ 15 Änderungen von Vertragsbedingungen

(1) Notwendige Anpassungen aufgrund zwingenden Rechts, behördlicher Vorgaben, Sicherheitsanforderungen oder rein technischer Änderungen ohne wesentlichen wirtschaftlichen Nachteil können mit mindestens 30 Tagen Vorankündigung in Textform vorgenommen werden; dringende Sicherheitsmaßnahmen dürfen früher wirksam werden.

(2) Änderungen von Hauptleistung, Vergütung, Haftung, Laufzeit, Kündigung, vereinbartem Kontingent oder bestehenden Credit-Gewichten erfordern die ausdrückliche Zustimmung des Kunden oder gelten erst für eine Verlängerungsperiode nach rechtzeitiger Änderungsmitteilung und Sonderkündigungsmöglichkeit.

(3) Schweigen gilt nicht als Zustimmung zu einer wesentlichen Vertragsänderung.

§ 16 Haftung

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz, bei übernommener Garantie sowie soweit zwingende datenschutzrechtliche Haftung besteht.

(2) Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.

(3) Soweit die Haftung nach Absatz 2 dem Grunde nach beschränkt ist, ist sie je Schadensfall auf die in dem jeweiligen Vertragsjahr gezahlte Netto-Nutzungsvergütung begrenzt, mindestens jedoch auf einen Betrag von 50.000 Euro je Schadensfall und 100.000 Euro für alle Schadensfälle eines Kalenderjahres. Die Begrenzung gilt nicht, soweit sie den Vertragszweck aushöhlen würde oder ein Fall des Absatzes 1 vorliegt.

(4) Der Anbieter führt im Rahmen der ordnungsgemäßen Leistungserbringung serverseitige Datensicherungen durch. Bei einem vom Anbieter verschuldeten Datenverlust haftet er auf den Aufwand, der zur Wiederherstellung der Daten aus den System-Backups des Anbieters erforderlich ist. Darüber hinausgehende Schäden aus Datenverlust werden nur ersetzt, soweit der Schaden auch dann eingetreten wäre, wenn der Kunde seine Obliegenheit zur eigenen, anlassbezogenen Datensicherung (z. B. lokaler Export vor tiefgreifenden Systemänderungen) vertragsgemäß erfüllt hätte.

(5) Haftungsausschlüsse greifen nicht, soweit ein Schaden auf einer vom Anbieter zu vertretenden Pflichtverletzung beruht. Eine pauschale Freizeichnung für KI-Ausgaben findet nicht statt; maßgeblich sind Verantwortungsbeitrag, Prüfpflichten und die vorstehenden Haftungsregeln.

(6) Geldbußen und behördliche Sanktionen, die den Kunden als Verantwortlichen, Verwalter, Vermieter, Arbeitgeber oder Betreiber treffen, trägt der Kunde, soweit sie nicht auf einer vom Anbieter zu vertretenden Pflichtverletzung beruhen.

§ 17 Vertraulichkeit

(1) Beide Parteien schützen vertrauliche Informationen und Geschäftsgeheimnisse mindestens mit der Sorgfalt, die sie für eigene vergleichbare Informationen anwenden. Offenlegung ist nur an verpflichtete Personen im erforderlichen Umfang zulässig.

(2) Einzelheiten und vorvertragliche Offenlegungen regelt die gesonderte NDA. Datenschutzrechtliche Pflichten bleiben unberührt.

§ 18 Ihmora Comply

(1) Soweit das Angebot Ihmora Comply ausweist, stellt der Anbieter die gebuchten Werkzeuge als SaaS bereit, insbesondere Verarbeitungsverzeichnis, Auftragsverarbeitungen, Drittlandtransfers, Schwellwertanalyse, Einwilligungsregister, Betroffenenrechte, Meldeketten, Hinweisgeberkanal und verkettete Nachweisführung.

(2) Erinnerungs-, Fristen- und Eskalationsfunktionen sind Hinweise zur Unterstützung. Sie begründen keine Garantie für die Erfüllung gesetzlicher Pflichten. Die Durchführung bleibt beim Kunden.

(3) Softwaregestützte Prüfungen, etwa von Auftragsverarbeitungsverträgen oder Schwellwertanalysen, sind Vorprüfungen. Sie ersetzen weder die Bewertung durch eine fachkundige Person noch eine Rechtsberatung (RDG).

(4) Meldevorgänge können gegen Löschung gesperrt und mittels SHA-256 verkettet werden. Der Anbieter schuldet die technische Bereitstellung; eine Aussage über die Beweiskraft im Einzelfall ist damit nicht verbunden. Eine Übermittlung an Aufsichtsbehörden erfolgt nicht automatisch.

§ 19 Hinweisgeberschutz

(1) Soweit das Angebot ein Hinweisgeberpostfach oder den Managed-Service-Betrieb nach § 14 HinSchG ausweist, betreibt der Anbieter den technischen Meldekanal und — nur bei ausdrücklicher Ausweisung — die externe Meldestelle.

(2) Eingangsbestätigung und Rückmeldung nach § 17 HinSchG obliegen der benannten Meldestelle. Verantwortlichkeit und Pflicht zur Abstellung festgestellter Verstöße verbleiben beim Kunden.

§ 20 Compliance-Leistungen nach Aufwand

(1) Soweit das Angebot Beratungs-, Umsetzungs-, Audit-, Schulungs- oder Begleitleistungen außerhalb der Softwarelizenz ausweist, werden sie nach Aufwand abgerechnet, soweit das Angebot sie nicht ausdrücklich als Festpreis ausweist. Hierzu zählen insbesondere Erstaufnahme, Inventur, Pflichten-Mapping, Workshops, Datenschutz-Folgenabschätzungen, Vor-Ort-Termine und die Begleitung von Behörden- oder Prüfverfahren.

(2) Abgerechnet wird der im Angebot genannte Stunden- oder Tagessatz anhand des Leistungsnachweises. Reisezeit und Reisekosten werden gesondert erstattet, soweit das Angebot nichts Abweichendes regelt.

(3) Ein bestimmter rechtlicher Erfolg, insbesondere Bußgeldfreiheit oder das Bestehen einer Prüfung, wird nicht geschuldet. Der Anbieter erbringt eine Dienstleistung im Sinne der §§ 611 ff. BGB, keine Rechtsdienstleistung im Sinne des RDG.

(4) Der Kunde stellt zutreffende Informationen bereit, benennt Ansprechpersonen und entscheidet über Freigaben. Der Anbieter wird nicht als gesetzlicher Vertreter bestellt, soweit das Angebot das nicht ausdrücklich vorsieht.

§ 21 Externer Datenschutzbeauftragter

(1) Soweit das Angebot ein DSB-Mandat ausweist, bestellt der Verantwortliche die im Angebot oder Bestellschreiben bezeichnete Person zum externen Datenschutzbeauftragten nach Art. 37 DSGVO, §§ 5, 6, 38 BDSG. Vertragspartnerin für die Dienstleistung ist die Ihmora GmbH. Zur Wahrung der Unabhängigkeit (Art. 38 Abs. 3 und 6 DSGVO) ist das Mandat von der Rolle des Anbieters als Software-Lieferant personell und organisatorisch getrennt und wird gesondert ausgewiesen und vergütet.

(2) Der DSB verfügt über die erforderliche Qualifikation (Art. 37 Abs. 5 DSGVO) und benennt eine geeignete Vertretung. Qualifizierte Mitarbeitende dürfen herangezogen werden; die Verantwortung bleibt beim benannten DSB. Der Verantwortliche veröffentlicht die Kontaktdaten und teilt sie der zuständigen Aufsichtsbehörde mit (Art. 37 Abs. 7 DSGVO); der DSB unterstützt ihn dabei.

(3) Der DSB ist weisungsfrei (Art. 38 Abs. 3 DSGVO) und berichtet der höchsten Leitungsebene. Der Verantwortliche unterstützt den DSB, stellt Ressourcen und Zugang bereit (Art. 38 Abs. 2 DSGVO) und bindet ihn frühzeitig ein. Besteht ein konkreter Interessenkonflikt zur Beurteilung der Ihmora-Plattform selbst, zieht der DSB eine unabhängige Stelle hinzu oder weist auf eine externe Vergabe hin.

(4) Mit der im Angebot genannten laufenden Vergütung sind die Grundleistungen der gebuchten Stufe abgegolten, soweit das Angebot nichts enger oder weiter fasst. Typischerweise: Unterrichtung und Beratung (Art. 39 Abs. 1 lit. a DSGVO), Überwachung der Einhaltung (lit. b), Plausibilisierung des Verarbeitungsverzeichnisses, Standardprüfung vorgelegter Auftragsverarbeitungsverträge, Erstberatung zu Betroffenenanfragen und Vorfällen, allgemeine Beratung zu TOMs und zur Notwendigkeit einer DSFA, Anlaufstelle zur Aufsicht, jährlicher Tätigkeitsbericht sowie Erreichbarkeit werktags montags bis freitags per E-Mail und Ticketsystem. Bei gemeldeten Verletzungen erfolgt eine Erstrückmeldung in der Regel innerhalb eines Geschäftstages, Standardanfragen innerhalb von zwei Geschäftstagen, soweit das Angebot keine kürzeren Zeiten nennt.

(5) Die Nutzung der in Ihmora Comply enthaltenen Datenschutz-Werkzeuge ist keine Rechtsberatung. Softwaregestützte Vorprüfungen ersetzen nicht die fachliche Prüfung durch den DSB. Der Verantwortliche bleibt für die Einhaltung des Datenschutzrechts verantwortlich (Art. 24 DSGVO). Der DSB berät und überwacht; die Umsetzung obliegt dem Verantwortlichen. Der DSB ist zur Verschwiegenheit verpflichtet (Art. 38 Abs. 5 DSGVO, § 6 Abs. 5 BDSG), auch nach Mandatsende.

(6) Über die Grundleistungen hinausgehende Leistungen werden nach Aufwand abgerechnet, insbesondere umfassende DSFA, Vor-Ort-Audits, Individualschulungen, Vorfallsbehandlung über die Erstbewertung hinaus, Behördenverfahren, Projektberatung und Mehraufwand wegen unvollständiger Mitwirkung. Zusatzleistungen werden vor Erbringung abgestimmt und zu den im Angebot genannten Sätzen berechnet. Reisekosten werden nach Aufwand erstattet.

(7) Soweit das Angebot ein DSB-Mandat ausweist, haftet der Anbieter nicht für eigenständige Entscheidungen des Verantwortlichen oder unterlassene Umsetzung von Empfehlungen. Der DSB unterhält eine angemessene Vermögensschadenhaftpflichtversicherung; ein Nachweis wird auf Verlangen vorgelegt. Eine Abberufung wegen der Aufgabenerfüllung ist unzulässig (Art. 38 Abs. 3 S. 2 DSGVO). Bei Beendigung übergibt der DSB mandatsbezogene Unterlagen; der Verantwortliche meldet die Beendigung der Aufsichtsbehörde.

§ 22 Schlussbestimmungen

(1) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(2) Ausschließlicher Gerichtsstand Hannover wird nur vereinbart, soweit beide Parteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliche Sondervermögen sind oder § 38 ZPO die Vereinbarung sonst zulässt.

(3) Änderungen, Anzeigen und Kündigungen bedürfen der Textform, soweit keine strengere gesetzliche Form vorgeschrieben ist. Individuell ausgehandelte Abreden bleiben vorrangig.

(4) Sind einzelne Bestimmungen nicht einbezogen oder unwirksam, gelten die gesetzlichen Vorschriften; der Vertrag bleibt im Übrigen nach § 306 BGB wirksam.

(5) Vertragssprache ist Deutsch.