■ veyrisk

Allgemeine Geschäftsbedingungen

Die Bedingungen für den Zugang zu und die Nutzung der Exposure-Management-Plattform veyrisk. Ausschließlich für Unternehmer. Stand: September 2026.

1. Anbieterin und Geltungsbereich

Diese Allgemeinen Geschäftsbedingungen („Bedingungen“) regeln den Zugang zu und die Nutzung der Plattform „veyrisk“ sowie aller damit verbundenen Dienste, Anwendungen und Websites (gemeinsam die „Services“). Anbieterin von veyrisk ist die neonotu GmbH, Edelsbergstraße 8, 80686 München, Deutschland, eingetragen im Handelsregister des Amtsgerichts München unter HRB 313206, gesetzlich vertreten durch den Geschäftsführer Armin Haller (nachfolgend „veyrisk“, „wir“, „uns“).

Die Services richten sich ausschließlich an Unternehmer im Sinne von § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen (der „Kunde“, „Sie“). Verträge mit Verbrauchern im Sinne von § 13 BGB schließen wir nicht.

Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn wir ihnen nicht ausdrücklich widersprechen. Sofern veyrisk und der Kunde eine gesonderte schriftliche Vereinbarung abgeschlossen haben, die ausdrücklich auf diese Bedingungen verweist, gehen die dort getroffenen abweichenden Regelungen im Kollisionsfall vor; im Übrigen gelten diese Bedingungen ergänzend.

2. Definitionen

• „Auftragsverarbeitungsvertrag“ / „AVV“ bezeichnet die Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO nach Abschnitt 11.
• „Befunde“ bezeichnet die von den Services erzeugten Ergebnisse, Bewertungen, Prioritäten, Berichte und Empfehlungen.
• „Kundendaten“ bezeichnet alle elektronischen Daten und Informationen, die der Kunde oder seine Nutzer über die Services eingeben oder bereitstellen, einschließlich der Scan-Ziele und der daraus erzeugten Befunde.
• „Nutzer“ bezeichnet natürliche Personen, die vom Kunden zur Nutzung der Services autorisiert wurden, etwa Mitarbeitende, Auftragnehmer oder Berater des Kunden.
• „Services“ bezeichnet die von veyrisk bereitgestellte cloudbasierte Software-as-a-Service-Plattform zur Erkennung, Überwachung und Priorisierung der extern erreichbaren Angriffsfläche des Kunden, einschließlich zugehöriger Dokumentation und Support.
• „Tarif“ bezeichnet den vom Kunden gebuchten Leistungsumfang (Basis, Business oder Professional).
• „Verifizierte Domain“ bezeichnet eine Domain, deren Inhaberschaft oder Verfügungsbefugnis der Kunde nach Abschnitt 5 durch einen DNS-TXT-Eintrag nachgewiesen hat.

3. Vertragsschluss

Der Vertrag kommt durch die Online-Registrierung und Buchung eines Tarifs zustande. Die Darstellung der Tarife auf der Website ist kein bindendes Angebot. Mit Abschluss der Buchung gibt der Kunde ein verbindliches Angebot ab; der Vertrag kommt mit unserer Bestätigung per E-Mail oder mit der Freischaltung des Tarifs zustande.

Mit der Buchung bestätigt der Kunde, als Unternehmer zu handeln. Handelt eine Person im Namen eines Unternehmens, sichert sie zu, hierzu bevollmächtigt zu sein. Wir können einen Nachweis der Unternehmereigenschaft verlangen, etwa eine Umsatzsteuer-Identifikationsnummer.

4. Leistungsbeschreibung

veyrisk stellt eine mandantenfähige SaaS-Plattform bereit, die die extern erreichbare Angriffsfläche des Kunden erfasst, überwacht und bewertet. Dazu gehören passive Prüfungen öffentlich beobachtbarer Informationen, etwa Subdomains aus Zertifikatsverzeichnissen, DNS-, TLS- und E-Mail-Konfiguration, HTTP-Sicherheitsheader und erreichbare Verwaltungsoberflächen. Passive Prüfungen umgehen keine Sicherheitskontrollen und verschaffen keinen Zugriff auf interne Systeme.

Aktive Prüfungen, insbesondere Portprüfungen und Schwachstellenscans mit OpenVAS, führen wir ausschließlich für Verifizierte Domains durch (Abschnitt 5).

Der konkrete Funktionsumfang ergibt sich aus dem gebuchten Tarif und der aktuellen Leistungsbeschreibung auf der Website. Eine manuelle Prüfung von Befunden durch Fachpersonal ist nur im Tarif Professional enthalten.

Support erfolgt je Tarif wie folgt:

• Basis: per E-Mail, Reaktion innerhalb von zwei (2) Werktagen;
• Business: per E-Mail, Reaktion innerhalb von einem (1) Werktag;
• Professional: priorisiert, Reaktion innerhalb von vier (4) Stunden bei kritischen Befunden.

Reaktionszeiten bezeichnen die Zeit bis zur ersten qualifizierten Rückmeldung, nicht bis zur Lösung. Werktage sind Montag bis Freitag mit Ausnahme gesetzlicher Feiertage in Bayern.

veyrisk ist berechtigt, die Services im Rahmen der laufenden Weiterentwicklung anzupassen, sofern hierdurch die Kernfunktionalität während einer laufenden Vertragslaufzeit nicht wesentlich eingeschränkt wird. Da es sich um eine gemeinsam genutzte Multi-Tenant-Plattform handelt, gelten Sicherheits-, Datenschutz- und Nutzungsbedingungen einheitlich für alle Kunden; individuelle Abweichungen sind grundsätzlich nicht möglich, es sei denn, dies wurde ausdrücklich schriftlich vereinbart.

5. Besitznachweis, Berechtigung und Scans

Voraussetzung für aktive Prüfungen ist der Nachweis, dass der Kunde über die Domain verfügen darf. Der Nachweis erfolgt durch einen von uns vorgegebenen DNS-TXT-Eintrag. Entfällt der Eintrag, können wir aktive Prüfungen für diese Domain einstellen.

Der Kunde sichert zu, dass er berechtigt ist, sämtliche Systeme, die er als Ziel angibt oder die unter einer Verifizierten Domain erreichbar sind, durch veyrisk prüfen zu lassen, und dass er, soweit erforderlich, die Zustimmung Dritter eingeholt hat, etwa von Hosting-Anbietern, Cloud-Plattformen oder Dienstleistern, die Systeme für ihn betreiben.

Der Kunde stellt die neonotu GmbH von allen Ansprüchen Dritter frei, die auf einer Prüfung beruhen, zu der der Kunde nicht berechtigt war, einschließlich der angemessenen Kosten der Rechtsverteidigung. Dies gilt nicht, soweit der Kunde die Pflichtverletzung nicht zu vertreten hat.

Bei Anhaltspunkten für Missbrauch, insbesondere für Prüfungen fremder Systeme ohne Berechtigung, sind wir berechtigt, Prüfungen sofort auszusetzen und den Zugang des Kunden zu sperren, soweit dies zur Abwehr erforderlich ist. Wir informieren den Kunden hierüber nach Möglichkeit unverzüglich.

Aktive Prüfungen werden schonend durchgeführt. In seltenen Fällen können sie dennoch Systeme beeinträchtigen, etwa durch erhöhte Last, Einträge in Protokollen oder Alarme in Sicherheitssystemen. Der Kunde informiert seine IT, seine Hosting-Anbieter und sonstige betroffene Dienstleister vorab über die Prüfungen und sorgt für aktuelle Datensicherungen.

6. Registrierung, Konten und Kontosicherheit

Zur Nutzung der Services ist die Einrichtung eines Kontos erforderlich. Der Kunde stellt sicher, dass die bei der Registrierung angegebenen Informationen zutreffend, vollständig und aktuell sind.

Die Anmeldung erfordert für alle Nutzer eine Zwei-Faktor-Authentifizierung. Der Kunde vergibt Rollen (Inhaber, Administrator, Mitglied) und ist dafür verantwortlich, Zugänge nur an berechtigte Personen zu vergeben und nicht mehr benötigte Zugänge zu entfernen.

Der Kunde ist für sämtliche Aktivitäten verantwortlich, die über sein Konto oder die Konten seiner Nutzer erfolgen, sowie für die Vertraulichkeit der Zugangsdaten und zweiten Faktoren. Unbefugte Zugriffe sind veyrisk unverzüglich zu melden.

Der Kunde stellt sicher, dass seine Nutzer diese Bedingungen einhalten, und haftet für Verstöße seiner Nutzer wie für eigene Verstöße.

7. Beta-Funktionen

Als „Beta“ gekennzeichnete Funktionen werden ohne Mängelgewähr („wie besehen“) bereitgestellt. veyrisk übernimmt hierfür, soweit gesetzlich zulässig, keine Haftung; Abschnitt 15 Absatz 1 bleibt unberührt.

8. Preise und Zahlung

Die Services werden im Abonnement mit monatlicher oder jährlicher Abrechnung erworben. Es gelten die bei Buchung angegebenen Preise des jeweiligen Tarifs. Alle Preise sind Nettopreise und verstehen sich zzgl. der jeweils gültigen gesetzlichen Umsatzsteuer.

Die Gebühren sind für den jeweiligen Abrechnungszeitraum (Monat oder Jahr) im Voraus fällig. Die Zahlung erfolgt über den Zahlungsdienstleister Mollie per Kreditkarte, SEPA-Lastschrift oder PayPal. Rechnungen stellen wir elektronisch als PDF (ZUGFeRD) per E-Mail und im Kundenbereich bereit; der Kunde ist mit der elektronischen Rechnungsstellung einverstanden. Jede Abbuchung kündigen wir vorab per E-Mail an, bei monatlicher Abrechnung spätestens fünf Tage, bei jährlicher spätestens vierzehn Tage vor Fälligkeit; die Frist für die Vorabankündigung (Pre-Notification) von SEPA-Lastschriften wird entsprechend verkürzt.

Ein Wechsel in einen höheren Tarif oder von monatlicher auf jährliche Abrechnung wird sofort wirksam; der Unterschiedsbetrag für die verbleibende Laufzeit wird anteilig sofort abgebucht. Ein Wechsel in einen niedrigeren Tarif oder von jährlicher auf monatliche Abrechnung wird zum Ende des bezahlten Abrechnungszeitraums wirksam; bis dahin bleibt der bisherige Tarif bestehen. Eine Erstattung für den laufenden Abrechnungszeitraum erfolgt nicht. Für Zusatzleistungen gilt dasselbe.

Schlägt eine Zahlung fehl, etwa durch Rücklastschrift oder abgelehnte Karte, fordern wir den Kunden zur Zahlung auf. Erfolgt die Zahlung nicht innerhalb der in der Zahlungserinnerung gesetzten Frist, können wir unbeschadet sonstiger Rechte den Zugang zu den Services einschränken oder aussetzen, bis der offene Betrag beglichen ist. Durch den Kunden verursachte Kosten einer Rücklastschrift trägt der Kunde.

Bereits gezahlte Gebühren werden nicht erstattet, außer in den in Abschnitt 9 genannten Fällen.

9. Laufzeit und Kündigung

Monatliche Abonnements verlängern sich jeweils um einen Monat, jährliche Abonnements jeweils um ein Jahr, sofern sie nicht gekündigt werden. Der Kunde kann monatliche Abonnements zum Ende des laufenden Abrechnungsmonats und jährliche Abonnements zum Ende des laufenden Abrechnungsjahres kündigen. Die Kündigung erfolgt im Kundenbereich; eine Kündigung in Textform ist ebenfalls möglich. veyrisk kann mit einer Frist von dreißig (30) Tagen zum Ende eines Abrechnungszeitraums kündigen.

Jede Partei kann den Vertrag aus wichtigem Grund fristlos kündigen, insbesondere wenn die andere Partei eine wesentliche Vertragspflicht verletzt und diese Verletzung nicht innerhalb von dreißig (30) Tagen nach Aufforderung in Textform behebt, oder wenn über das Vermögen der anderen Partei ein Insolvenzverfahren eröffnet oder mangels Masse abgelehnt wird. Ein wichtiger Grund für veyrisk liegt auch bei Prüfungen ohne Berechtigung nach Abschnitt 5 vor.

Kündigt der Kunde wirksam aus wichtigem Grund wegen einer nicht behobenen wesentlichen Vertragsverletzung durch veyrisk, erstattet veyrisk anteilig bereits gezahlte, aber noch nicht verbrauchte Gebühren für den verbleibenden Abrechnungszeitraum. In allen anderen Fällen erfolgt keine Erstattung bereits gezahlter Gebühren.

Nach Vertragsende ist veyrisk berechtigt, Kundendaten nach einer angemessenen Übergangsfrist von bis zu dreißig (30) Tagen zu löschen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann seine Befunde und Berichte vor Vertragsende exportieren.

10. Nutzungsrechte und Nutzungsbeschränkungen

veyrisk räumt dem Kunden für die Dauer der Vertragslaufzeit ein nicht ausschließliches, nicht übertragbares Recht ein, die Services im Rahmen des gebuchten Tarifs für interne Geschäftszwecke zu nutzen.

Der Kunde verpflichtet sich, die Services nicht:

• Dritten außerhalb seiner autorisierten Nutzer zugänglich zu machen oder zu deren Gunsten zu nutzen;
• weiterzuverkaufen, unterzulizenzieren, zu vermieten oder im Rahmen eines Service-Bureau-Angebots einzusetzen;
• zur Prüfung von Systemen zu nutzen, zu deren Prüfung er nicht berechtigt ist;
• zur Speicherung oder Übermittlung rechtswidriger, verleumderischer oder Rechte Dritter verletzender Inhalte oder von Schadsoftware zu nutzen;
• zum Aufbau eines Konkurrenzprodukts oder zu Wettbewerbszwecken zu nutzen, insbesondere nicht zur Überwachung der Verfügbarkeit, Leistung oder Funktionalität der Services durch einen unmittelbaren Wettbewerber von veyrisk;
• in einer Weise zu nutzen, die vertragliche Nutzungsbeschränkungen umgeht, die Integrität der Services beeinträchtigt oder unbefugten Zugriff auf die Services oder verbundene Systeme zu erlangen versucht;
• durch Reverse Engineering, Dekompilierung oder ähnliche Verfahren nachzubilden, außer soweit zwingendes Recht dies ausdrücklich gestattet.

veyrisk ist berechtigt, den Zugang eines Nutzers vorübergehend auszusetzen, wenn ein hinreichender Verdacht eines Verstoßes gegen diesen Abschnitt oder eine Gefährdung der Services oder anderer Kunden besteht. Die Aussetzung erfolgt auf das zur Gefahrenabwehr erforderliche Mindestmaß und wird dem Kunden nach Möglichkeit vorab angekündigt.

11. Kundendaten und Datenschutz

Zwischen den Parteien verbleiben alle Rechte an Kundendaten beim Kunden. veyrisk nutzt Kundendaten ausschließlich zur Erbringung der Services, zur Behebung technischer Störungen sowie in anonymisierter, aggregierter Form zu internen Analyse- und Produktverbesserungszwecken, sofern hierdurch keine Rückschlüsse auf den Kunden möglich sind.

Soweit veyrisk personenbezogene Daten im Auftrag des Kunden verarbeitet, geschieht dies als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Auftragsverarbeitungsvertrag ist Bestandteil des Vertrags und wird dem Kunden gesondert zur Verfügung gestellt. Im Übrigen gilt die jeweils aktuelle Datenschutzerklärung von veyrisk.

Die Services werden auf Servern in Deutschland betrieben.

Der Kunde sichert zu, dass er zur Weitergabe der von ihm bereitgestellten personenbezogenen Daten an veyrisk berechtigt ist und alle anwendbaren Datenschutzgesetze, insbesondere die DSGVO, einhält.

veyrisk trifft angemessene technische und organisatorische Maßnahmen zum Schutz von Kundendaten gegen unbefugten Zugriff, Verlust oder Veränderung und informiert den Kunden unverzüglich über bekannt gewordene Sicherheitsverletzungen, die Kundendaten betreffen.

12. Geistiges Eigentum

veyrisk und seine Lizenzgeber behalten sämtliche Rechte, Titel und Ansprüche an den Services, der zugrunde liegenden Technologie sowie allen daraus abgeleiteten Werken. Diese Bedingungen räumen dem Kunden keine über die in Abschnitt 10 genannten Nutzungsrechte hinausgehenden Rechte ein. Befunde und Berichte darf der Kunde für eigene Zwecke uneingeschränkt nutzen.

Gibt der Kunde veyrisk Rückmeldungen, Verbesserungsvorschläge oder Anregungen zu den Services, räumt er veyrisk hieran ein unentgeltliches, weltweites, übertragbares und zeitlich unbegrenztes Nutzungsrecht ein, ohne den Kunden als Quelle zu benennen.

13. Vertraulichkeit

Jede Partei („empfangende Partei“) verpflichtet sich, vertrauliche Informationen der anderen Partei („offenlegende Partei“), die als vertraulich gekennzeichnet sind oder ihrer Natur nach erkennbar vertraulich sind, mit der Sorgfalt zu behandeln, die sie auf eigene vergleichbare Informationen anwendet, mindestens jedoch mit der im Geschäftsverkehr üblichen Sorgfalt, und diese nur zur Erfüllung ihrer Pflichten aus diesen Bedingungen zu verwenden. Befunde über Schwachstellen des Kunden gelten stets als vertraulich.

Diese Verpflichtung gilt nicht für Informationen, die öffentlich bekannt sind oder werden, der empfangenden Partei bereits bekannt waren, ihr von Dritten rechtmäßig bekannt gegeben wurden oder von ihr unabhängig entwickelt wurden. Eine Offenlegung aufgrund gesetzlicher oder behördlicher Verpflichtung bleibt zulässig, sofern die offenlegende Partei, soweit rechtlich zulässig, vorab informiert wird.

14. Gewährleistung

veyrisk sichert zu, dass die Services im Wesentlichen der Leistungsbeschreibung entsprechen und mit der im Markt üblichen Sorgfalt bereitgestellt werden.

Über die ausdrücklichen Zusicherungen dieses Abschnitts hinaus werden die Services ohne weitere Gewährleistung, gleich ob ausdrücklich oder stillschweigend, bereitgestellt; insbesondere übernimmt veyrisk keine Gewähr für eine bestimmte Eignung zu einem vom Kunden verfolgten Zweck, soweit gesetzlich zulässig.

Die Befunde beruhen auf automatisiert erhobenen, teils von Dritten stammenden Daten und stellen eine Einschätzung dar, keine Garantie der tatsächlichen Sicherheitslage. veyrisk übernimmt keine Gewähr dafür, dass alle Systeme, Schwachstellen oder Fehlkonfigurationen erkannt werden; einzelne Befunde können unzutreffend sein. Die Services ersetzen keinen Penetrationstest. Der Kunde bleibt für eigene Entscheidungen und Maßnahmen, die er auf Grundlage der Services trifft, selbst verantwortlich.

15. Haftungsbeschränkung

Unbeschränkt haften beide Parteien für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie im Rahmen zwingender gesetzlicher Haftung, insbesondere nach dem Produkthaftungsgesetz.

Für leicht fahrlässig verursachte Schäden haftet veyrisk nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung der Höhe nach begrenzt auf die im Zeitpunkt des schädigenden Ereignisses vertragstypisch vorhersehbaren Schäden und in jedem Fall auf die Höhe der vom Kunden in den zwölf (12) Monaten vor dem schadensauslösenden Ereignis gezahlten Gebühren.

Eine weitergehende Haftung ist ausgeschlossen, insbesondere für entgangenen Gewinn, mittelbare Schäden oder Folgeschäden, soweit diese nicht bereits von den vorstehenden Absätzen erfasst sind.

16. Änderungen dieser Bedingungen

veyrisk kann diese Bedingungen mit Wirkung für die Zukunft anpassen, um geänderten rechtlichen Rahmenbedingungen, dem Funktionsumfang der Services oder sonstigen berechtigten Interessen Rechnung zu tragen. Wesentliche Änderungen werden dem Kunden mit angemessenem zeitlichem Vorlauf, in der Regel mindestens dreißig (30) Tage vor Inkrafttreten, in Textform (z. B. per E-Mail oder über die Services) mitgeteilt.

Widerspricht der Kunde einer wesentlichen Änderung nicht innerhalb von dreißig (30) Tagen nach Zugang der Mitteilung, gilt die Änderung als angenommen. Auf diese Folge wird der Kunde in der Änderungsmitteilung gesondert hingewiesen. Widerspricht der Kunde, bleibt es bei der bisherigen Fassung dieser Bedingungen bis zum Ende des laufenden Abrechnungszeitraums; beide Parteien können in diesem Fall ordentlich zum Ende des Abrechnungszeitraums kündigen.

17. Anwendbares Recht und Gerichtsstand

Diese Bedingungen unterliegen deutschem Recht unter Ausschluss des UN-Kaufrechts (CISG) und der Verweisungsnormen des internationalen Privatrechts.

Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesen Bedingungen der Sitz der neonotu GmbH in München, Deutschland.

18. Sonstige Bestimmungen

Vollständige Vereinbarung. Diese Bedingungen nebst dem gebuchten Tarif, der Datenschutzerklärung und dem Auftragsverarbeitungsvertrag stellen die vollständige Vereinbarung zwischen den Parteien hinsichtlich der Nutzung der Services dar und ersetzen alle vorherigen Abreden zu diesem Gegenstand.

Abtretung. Der Kunde kann Rechte und Pflichten aus diesen Bedingungen nur mit vorheriger schriftlicher Zustimmung von veyrisk übertragen. veyrisk kann diese Bedingungen im Rahmen einer Unternehmensumstrukturierung, eines Verkaufs oder einer Fusion ohne Zustimmung des Kunden übertragen.

Salvatorische Klausel. Sollte eine Bestimmung dieser Bedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

Höhere Gewalt. Keine Partei haftet für Verzögerungen oder Ausfälle, die auf Umstände außerhalb ihrer zumutbaren Kontrolle zurückzuführen sind, einschließlich Naturereignissen, staatlichen Maßnahmen, Internetausfällen oder Pandemien.

Kein Verzicht. Das Unterlassen der Geltendmachung eines Rechts aus diesen Bedingungen gilt nicht als Verzicht auf dieses Recht.

Mitteilungen. Rechtlich relevante Mitteilungen an veyrisk sind zu richten an: neonotu GmbH, Edelsbergstraße 8, 80686 München, mit Kopie an contact@veyrisk.com. Mitteilungen an den Kunden erfolgen an die im Konto hinterlegte E-Mail-Adresse.

19. Kontakt

neonotu GmbH (Anbieterin von veyrisk)
Edelsbergstraße 8
80686 München
Deutschland
Handelsregister: Amtsgericht München, HRB 313206
Geschäftsführer: Armin Haller
E-Mail: contact@veyrisk.com