Allgemeine Geschäftsbedingungen: BitHive Reporting Desk

BitHive UG (haftungsbeschränkt), Heisenbergstraße 3, 10587 Berlin, eingetragen im Handelsregister des Amtsgerichts Charlottenburg unter HRB 255394 B, vertreten durch den Geschäftsführer Alireza Khalili („BitHive“, „wir“).

Version 1.6 · Oktober 2026 · Ersetzt Version 1.5. Wesentliche Änderungen: Module und ihre Beschreibungen (§ 3 Abs. 2, Abs. 3a, Abs. 9, Anlage: Modulbeschreibungen, Version 1.0); „Modul“ statt „Regime-Modul“; Umsatzsteuer-Identifikationsnummer von Kunden in anderen EU-Staaten (§ 7 Abs. 1); keine erneute Lastschrift nach einer nicht eingelösten, zurückgegebenen oder zurückgebuchten Lastschrift (§ 7 Abs. 3 lit. a).

§ 1 Geltungsbereich

(1) Diese Allgemeinen Geschäftsbedingungen („AGB“) gelten für alle Verträge, mit denen BitHive einem Kunden („Kunde“) den BitHive Reporting Desk und damit verbundene Leistungen („Dienst“) bereitstellt.

(2) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbrauchern wird er nicht angeboten. Der Kunde bestätigt im Bestellablauf durch eine gesonderte Erklärung, dass er für seine gewerbliche oder selbständige berufliche Tätigkeit bestellt. Der Kunde stellt sicher, dass seine Angaben im Bestellablauf richtig und vollständig sind, insbesondere zu den Voraussetzungen nach Satz 1, zu seiner Firma, Anschrift und Umsatzsteuer-Identifikationsnummer sowie seine Antworten auf Eignungsfragen zu Modulen, und teilt BitHive Änderungen unverzüglich mit. Liegen die Voraussetzungen nach Satz 1 nicht vor oder darf dem Kunden ein gebuchtes Modul nach den Voraussetzungen seiner Modulbeschreibung nicht angeboten werden (§ 3 Abs. 9), kann BitHive den Vertrag aus wichtigem Grund kündigen.

(3) Allgemeine Geschäftsbedingungen des Kunden gelten nicht, auch wenn BitHive ihnen nicht ausdrücklich widerspricht oder Leistungen vorbehaltlos erbringt. Sie gelten nur, wenn BitHive ihnen ausdrücklich in Textform zustimmt.

(4) Individuelle Vereinbarungen, insbesondere Bestellformulare und Angebote, haben Vorrang vor diesen AGB.

(5) Verkäufer und Zahlungsdienstleister. BitHive ist Verkäufer und stellt dem Kunden die Rechnungen selbst aus. Zahlungen wickelt der im Bestellablauf genannte Zahlungsdienstleister ab. Der Kunde gibt seine Zahlungsdaten unmittelbar beim Zahlungsdienstleister ein; BitHive erhält keine vollständigen Zahlungskartendaten. BitHive kann den Zahlungsdienstleister wechseln; muss der Kunde seine Zahlungsdaten dann neu eingeben, informiert BitHive ihn rechtzeitig.

§ 2 Vertragsschluss

(1) Darstellungen und Preise auf der Website sind eine Aufforderung zur Abgabe einer Bestellung, kein verbindliches Angebot.

(2) Online-Bestellung. Der Kunde gibt eine verbindliche Bestellung ab, indem er die Registrierung abschließt und die Bestellung im Zahlungsschritt bestätigt. Vor der Bestätigung sieht der Kunde eine Zusammenfassung aller Angaben, Preise und Termine und kann jede Angabe berichtigen. Der Vertrag kommt zustande, wenn BitHive die Bestellung per E-Mail bestätigt oder das Konto des Kunden freischaltet, je nachdem, was zuerst eintritt. Vertragssprache ist Deutsch oder Englisch, je nach Wahl bei der Registrierung; nutzt der Kunde die Website oder den Dienst in einer anderen Sprache, wählt er bei der Registrierung zwischen Deutsch und Englisch. BitHive speichert den Vertragstext; diese AGB und der Auftragsverarbeitungsvertrag können während der Bestellung heruntergeladen werden und werden dem Kunden mit der Bestellbestätigung übermittelt.

(3) Angebot. Unterbreitet BitHive ein schriftliches Angebot, kommt der Vertrag zustande, wenn der Kunde es in Textform annimmt. Enterprise-Tarife sowie Module, die in der Preisliste als nur auf Angebot erhältlich gekennzeichnet sind, können nicht online bestellt werden; sie werden nur durch ein Bestellformular oder ein Angebot vereinbart. Enterprise-Tarife laufen mindestens zwölf Monate und werden jährlich im Voraus in Rechnung gestellt (§ 7 Abs. 2); die Mindestvergütung ergibt sich aus der Preisliste.

(4) Kostenlose Testphase.

a) Ein Unternehmen, das den Dienst noch nicht getestet hat, erhält eine kostenlose Testphase von 14 Tagen. Bei Online-Bestellungen ist zu Beginn der Testphase ein Zahlungsmittel anzugeben. Während der Testphase wird nichts berechnet.

b) Kündigt der Kunde nicht vor Ablauf der Testphase, geht diese ohne weiteres Zutun des Kunden in den bei der Registrierung gewählten kostenpflichtigen Tarif mit den gewählten Modulen und Optionen über, in der vom Kunden während der Testphase zuletzt geänderten Fassung, und die erste Vergütung wird zum Ende der Testphase belastet. Der Kunde wird spätestens sieben Tage vor der ersten Belastung per E-Mail daran erinnert. Verlangt der Kunde, die Testphase vorzeitig zu beenden, beginnt der kostenpflichtige Tarif zu diesem Zeitpunkt, und die erste Vergütung wird dann belastet.

c) Der Kunde kann während der Testphase jederzeit online in seinem Konto kündigen. Der Dienst bleibt dann bis zum Ende der Testphase verfügbar; es wird nichts berechnet. Der Vertrag endet mit der Testphase; § 8 Abs. 5 gilt.

d) Je Unternehmen steht eine Testphase zur Verfügung. BitHive darf ein Unternehmen anhand seiner Umsatzsteuer-Identifikationsnummer oder seiner E-Mail-Domain erkennen und eine weitere Testphase ablehnen, auch wenn ein früheres Konto des Unternehmens gelöscht wurde; die Bestellung beginnt dann ohne Testphase, worauf vor der Bestätigung der Bestellung hingewiesen wird.

e) Während der Testphase haftet BitHive nicht für leichte Fahrlässigkeit; § 10 Abs. 2 bleibt unberührt.

f) Auf Anfrage kann BitHive eine Testphase auch ohne Zahlungsmittel eröffnen. Der Vertrag kommt zustande, wenn der Kunde bei der Aktivierung des Kontos diese AGB und den Auftragsverarbeitungsvertrag annimmt. Eine solche Testphase endet nach 14 Tagen ohne Belastung und geht nicht in einen kostenpflichtigen Tarif über; lit. b und c gelten für sie nicht. Der Kunde setzt die Nutzung fort, indem er den Dienst online bestellt (Abs. 2) oder ein Bestellformular oder Angebot vereinbart (§ 2 Abs. 3). Geschieht dies nicht bis zum Ende der Testphase, endet der Vertrag mit der Testphase; § 8 Abs. 5 gilt.

§ 3 Leistungen

(1) Der Dienst ist eine über das Internet bereitgestellte Software („Software as a Service“). Seine Funktionen ergeben sich aus der Leistungsbeschreibung auf der Website und der zum Zeitpunkt der Bestellung aktuellen Dokumentation. Zusammengefasst ermöglicht der Dienst dem Kunden,

• Software-Stücklisten („SBOMs“) für seine Produkte über die Weboberfläche oder die Programmierschnittstelle (API) hochzuladen;
• die in den SBOMs aufgeführten Komponenten automatisch mit Schwachstelleninformationen aus den in der Dokumentation genannten Quellen abzugleichen, einschließlich Informationen über eine aktive Ausnutzung;
• bei Treffern benachrichtigt zu werden;
• die Fristen von Meldepflichten zu verfolgen, Meldungstexte in geführten Formularen zur Abgabe durch den Kunden vorzubereiten und festzuhalten, wann der Kunde sie abgegeben hat;
• Maßnahmen und Entscheidungen in einem Protokoll zu dokumentieren.

„Produkt“ ist ein Produkt mit digitalen Elementen, das der Kunde auf dem Markt bereitstellt und im Dienst unter eigenem Namen anlegt. Für jedes Produkt überwacht der Dienst die Versionen, die der Kunde im Dienst als auf dem Markt befindlich kennzeichnet, bis zu der in der Dokumentation genannten Zahl je Produkt. Versionen werden auf die Produktgrenze des Tarifs (Abs. 6) nicht angerechnet.

(2) Art des Dienstes. Der Dienst ist ein technisches Werkzeug. Er erbringt keine Rechtsberatung und prüft nicht den Einzelfall des Kunden. Jedes Modul wendet die in seiner Modulbeschreibung (Abs. 9 lit. f) genannten Rechtsvorschriften mit allgemeinen Entscheidungshilfen, Fristberechnungen und Formularvorlagen auf die vom Kunden erfassten Tatsachen an. Insbesondere entscheidet BitHive nicht, ob der Kunde oder seine Produkte einem von einem Modul erfassten Gesetz unterliegen, ob ein Ereignis ein Vorfall, ein erheblicher Sicherheitsvorfall, eine Verletzung des Schutzes personenbezogener Daten oder eine Schwachstelle im Sinne dieses Gesetzes ist und ob, wann, an wen und mit welchem Inhalt eine Meldung oder Mitteilung zu erfolgen hat. Diese Entscheidungen, die Richtigkeit der erfassten Tatsachen sowie die Übermittlung von Meldungen und Mitteilungen an Behörden, andere Empfänger und betroffene Personen liegen allein in der Verantwortung des Kunden. BitHive übermittelt keine Meldungen im Namen des Kunden. Der Dienst erkennt keine Vorfälle in den Systemen des Kunden; eine Frist wird nur anhand der vom Kunden erfassten Zeitpunkte berechnet.

(3) Datenquellen. Die Ergebnisse des Dienstes hängen von der Vollständigkeit und Richtigkeit der vom Kunden bereitgestellten SBOMs und von den Informationen ab, die die in der Dokumentation genannten Quellen Dritter veröffentlichen. BitHive verarbeitet diese Informationen mit verkehrsüblicher Sorgfalt in dem in der Dokumentation genannten Intervall (Abs. 8), hat jedoch keinen Einfluss auf deren Inhalt, Vollständigkeit oder Zeitpunkt.

(3a) Rechtsvorschriften. Jede Modulbeschreibung nennt die Gesetze, Vorschriften und gegebenenfalls Mitgliedstaaten, die ihre Regeln abdecken, sowie das Datum des zugrunde gelegten Rechtsstands. BitHive beobachtet diese Vorschriften und passt die Regeln innerhalb angemessener Frist nach Veröffentlichung einer Änderung an; bis dahin wendet das Modul den angegebenen Rechtsstand an und zeigt ihn an. Kann eine Änderung nicht vor ihrem Inkrafttreten umgesetzt werden, informiert BitHive die betroffenen Kunden im Konto und per E-Mail. Regeln für andere Mitgliedstaaten oder andere Gesetze sind nur geschuldet, soweit die Modulbeschreibung sie nennt.

(4) BitHive darf den Dienst weiterentwickeln, insbesondere an den technischen Fortschritt, neue Datenquellen und rechtliche Anforderungen anpassen, sofern die vertraglich vereinbarten Funktionen nicht wesentlich eingeschränkt werden und die Änderung für den Kunden zumutbar ist. Änderungen, die die Nutzung des Dienstes wesentlich beeinflussen, kündigt BitHive mindestens vier Wochen vorher in Textform an.

(5) BitHive darf Unterauftragnehmer einsetzen. BitHive bleibt gegenüber dem Kunden für die Leistung verantwortlich.

(6) Tarife, Zugänge und Grenzen. Für jedes Modul bestimmt die gebuchte Größe (Starter, Team oder Business) die in seiner Modulbeschreibung genannten Einheiten (Abs. 6a). Jede Person, die sich im Konto des Kunden anmelden kann, belegt einen Zugang, unabhängig von ihrer Rolle; Rollen (etwa Inhaber, Administrator, Bearbeiter und Nur-Lesen) bestimmen nur Berechtigungen, nicht den Preis. Die Größen Starter, Team und Business enthalten 5, 15 und 30 Zugänge, Enterprise-Tarife 50, soweit das Angebot nichts anderes bestimmt; maßgeblich ist die größte im Konto gebuchte Größe. Jeder weitere Zugang wird zum Preis der Preisliste berechnet; mehr als 500 weitere Zugänge sind nur auf Angebot erhältlich (§ 2 Abs. 3). Ausstehende Einladungen belegen einen Zugang, deaktivierte Zugänge nicht. Ein Zugang darf nur von einer Person genutzt werden. Für Benachrichtigungen an vom Kunden eingerichtete Kanäle wie Slack, Microsoft Teams oder Webhooks ist kein Zugang erforderlich. Technische Grenzen zum Schutz des Dienstes (zum Beispiel Dateigrößen und Upload-Raten) ergeben sich aus der Dokumentation. Zum Schutz des Dienstes für alle Kunden darf BitHive Anzahl und Häufigkeit von Anfragen je Konto, je API-Token und je IP-Adresse begrenzen, sofern die Grenzen die Nutzung des gebuchten Tarifs in dem in der Dokumentation beschriebenen Umfang zulassen. Anfragen über diesen Grenzen werden mit dem Hinweis abgelehnt, sie später zu wiederholen; dies ist kein Mangel. Die jeweils geltenden Grenzen ergeben sich aus der Dokumentation.

(6a) Einheiten und Nachberechnung.

a) Die Modulbeschreibung jedes Moduls nennt die Einheit, in der seine Größe bemessen wird (etwa Produkte oder Rechtsträger), und wie Einheiten gezählt werden; Zusatzoptionen erhöhen die Einheiten in den in der Preisliste genannten Grenzen. Archivierte Einheiten zählen nicht.

b) CRA-Modul: Ein Produkt ist jedes Produkt mit digitalen Elementen, das der Kunde oder der Hersteller, für den er den Dienst nutzt, unter eigener Produktbezeichnung oder eigener Modell- oder Typenbezeichnung auf dem Markt bereitstellt. Versionen und Releases desselben Produkts zählen als ein Produkt. Verschiedene Produkte zählen einzeln, auch wenn sie Komponenten teilen oder im Dienst unter einem Eintrag erfasst sind.

c) Der Dienst lässt die Nutzung von mehr Einheiten als gebucht nicht zu. Für mehr Einheiten bucht der Kunde Zusatzoptionen oder eine höhere Größe, die sofort wirksam werden (§ 7 Abs. 6 lit. a).

d) Übersteigen die tatsächlich genutzten Einheiten, gezählt nach der Modulbeschreibung, die gebuchten Einheiten, insbesondere weil mehrere Produkte unter einem Eintrag erfasst sind, oder nutzt mehr als eine Person einen Zugang, teilt BitHive dies dem Kunden in Textform mit. Der Kunde kann innerhalb von 30 Tagen die Einheiten zutreffend erfassen und auf die gebuchte Zahl verringern oder die erforderlichen Zusatzoptionen, die Größe oder Zugänge buchen. Andernfalls berechnet BitHive die erforderlichen Zusatzoptionen, die Größe oder Zugänge zu den Preisen der Preisliste ab der ersten Verlängerung nach Ablauf dieser 30 Tage. Der Kunde kann nachweisen, dass weniger Einheiten oder Zugänge genutzt werden.

(7) Optionen. Der Kunde kann die in der Preisliste veröffentlichten Optionen buchen, insbesondere weitere Zugänge, Zusatzoptionen und eine verlängerte Aufbewahrung des Protokolls und der Meldungsunterlagen. Der Umfang jeder Option ergibt sich aus der Preisliste. Eine gebuchte Aufbewahrungsdauer gilt während der Vertragslaufzeit. Sie endet mit dem Vertrag (§ 8 Abs. 5) und mit der Löschung des Kontos (§ 8 Abs. 6). Unterlagen, die der Kunde darüber hinaus benötigt, sind vorher zu exportieren (§ 6 Abs. 3).

(8) Umfang der Überwachung. BitHive schuldet, den Abgleich nach Abs. 1 mit verkehrsüblicher Sorgfalt in dem in der Dokumentation genannten Intervall (derzeit für die Quellen zur aktiven Ausnutzung mindestens stündlich) mit den dort genannten Quellen durchzuführen und Benachrichtigungen an die vom Kunden hinterlegten Empfänger und Kanäle zu übergeben. Benachrichtigungen werden für jedes Produkt versandt, für das sie im Konto eingeschaltet sind. Ein Produkt, das hinzugefügt wird, solange das Konto weniger als zwei aktive Benachrichtigungskontakte hat, startet mit ausgeschalteten Benachrichtigungen; das Konto zeigt dies an. Der Kunde entscheidet über die Benachrichtigungseinstellung jedes Produkts. Das Intervall und die in der Dokumentation genannten Quellen ändert BitHive nur unter den Voraussetzungen des Abs. 4; das Intervall für die Quellen zur aktiven Ausnutzung beträgt höchstens eine Stunde. Der Abgleich erkennt nur Schwachstellen, die in diesen Quellen veröffentlicht, dort einer abgleichbaren Komponente zugeordnet sind und eine Komponente betreffen, die in der SBOM einer vom Kunden als auf dem Markt befindlich gekennzeichneten Version zutreffend bezeichnet ist. BitHive schuldet und garantiert nicht, dass jede Schwachstelle oder Ausnutzungsmeldung erkannt wird oder eine Benachrichtigung innerhalb einer bestimmten Zeit eingeht, soweit die Service-Level-Vereinbarung eine Zeit nicht ausdrücklich als garantiert bezeichnet. Der Dienst unterstützt die eigene Schwachstellenbehandlung des Kunden und seine Meldepflichten nach der Verordnung (EU) 2024/2847, ersetzt sie aber nicht.

(9) Module.

a) Der Dienst wird in Modulen angeboten. Ein Modul umfasst ein Melderegime, etwa die Meldepflichten nach der Verordnung (EU) 2024/2847 („CRA-Modul“). Eine regimeübergreifende Funktion, die zusätzlich zu Modulen gebucht werden kann (Zusatzfunktion), ist kein Modul; für sie gilt ihre Beschreibung in der Anlage zu diesen AGB. Jedes Modul hat eine eigene Modulbeschreibung auf der Website und in der Dokumentation, die seine Funktionen, seine Einheiten und etwaige Voraussetzungen für seine Buchung regelt.

b) Für jedes Modul bucht der Kunde eine Größe (Starter, Team oder Business). Die Größe bestimmt die in der Modulbeschreibung genannten Einheiten. Die für alle Module gebuchten Größen und die gebuchten Optionen bilden zusammen den „Tarif“ des Kunden. Enterprise-Tarife werden nur auf Angebot vereinbart (§ 2 Abs. 3).

c) Der Kunde kann ein Modul jederzeit mit Wirkung ab der Buchung hinzufügen; die Vergütung wird für den Rest des laufenden Abrechnungszeitraums anteilig berechnet (§ 7 Abs. 6 lit. a). Der Kunde kann ein Modul zum Ende des laufenden Abrechnungszeitraums entfernen (§ 7 Abs. 6 lit. b). Für die Unterlagen eines entfernten Moduls gilt § 7 Abs. 6 lit. c.

d) BitHive schuldet nur die vom Kunden gebuchten Module in dem bei der Buchung beschriebenen Umfang; Abs. 4 bleibt unberührt. BitHive ist nicht verpflichtet, weitere Module zu entwickeln oder anzubieten; Aussagen über noch nicht verfügbare Module sind nicht Vertragsinhalt.

e) BitHive kann mit dem Kunden einen kostenlosen Test eines weiteren Moduls vereinbaren; die Bedingungen werden mit dem Angebot des Tests genannt.

f) Jedes Modul und die Zusatzfunktion Vertragsfristen sind in einer Modulbeschreibung beschrieben, die mit diesen AGB veröffentlicht wird. Die bei Buchung des Moduls geltende Modulbeschreibung ist Vertragsbestandteil; für spätere Änderungen gilt Abs. 4. Die Modulbeschreibung nennt insbesondere die abgedeckten Rechtsvorschriften und den Rechtsstand (Abs. 3a), die erfassten Ereignisse, Stufen, Fristen und Empfänger, die erstellten Entwürfe und Unterlagen, die Mitwirkung des Kunden sowie die Grenzen des Moduls.

g) Enthält eine Modulbeschreibung von diesen AGB abweichende Regelungen, gehen diese für das jeweilige Modul vor. Der Vorrang individueller Vereinbarungen (§ 1 Abs. 4) und des Auftragsverarbeitungsvertrags in Fragen des Datenschutzes bleibt unberührt. Eine Modulbeschreibung wird mit der Buchung des Moduls Vertragsbestandteil.

§ 4 Verfügbarkeit und Support

(1) BitHive stellt den Dienst mit der in der Service-Level-Vereinbarung beschriebenen Verfügbarkeit und dem dort beschriebenen Support bereit. Die Service-Level-Vereinbarung ist Vertragsbestandteil.

(2) Die Leistungspflicht von BitHive endet am Übergabepunkt des Rechenzentrums zum öffentlichen Internet. Für die Internetanbindung des Kunden und Störungen des öffentlichen Internets ist BitHive nicht verantwortlich.

(3) Eine Benachrichtigung gilt als von BitHive zugestellt, sobald der E-Mail-Dienstleister von BitHive oder der Endpunkt des vom Kunden eingerichteten Kanals sie zur Zustellung angenommen hat.

§ 5 Pflichten des Kunden

(1) Der Kunde wird

• Zugangsdaten und API-Tokens geheim halten, vor Missbrauch schützen und BitHive unverzüglich informieren, wenn er einen Missbrauch vermutet;
• Nutzer, die keinen Zugang mehr benötigen, unverzüglich entfernen;
• SBOMs hochladen, die seine Produkte und unterstützten Versionen abbilden, und diese aktuell halten;
• mindestens zwei erreichbare Empfänger für Benachrichtigungen hinterlegen und deren Kontaktdaten aktuell halten;
• Benachrichtigungen des Dienstes unverzüglich prüfen;
• eigene Kopien der hochgeladenen SBOMs aufbewahren;
• den Dienst nur vertragsgemäß und im Einklang mit geltendem Recht nutzen, insbesondere keinen Schadcode hochladen, keine Sicherheitsmaßnahmen umgehen und den Dienst nicht über die in der Dokumentation festgelegten Grenzen hinaus belasten.

(2) Der Kunde ist für alle Handlungen verantwortlich, die mit seinen Konten und API-Tokens vorgenommen werden, es sei denn, er weist nach, dass er sie nicht zu vertreten hat.

§ 6 Nutzungsrechte und Kundendaten

(1) BitHive räumt dem Kunden für die Vertragslaufzeit das einfache, nicht übertragbare und nicht unterlizenzierbare Recht ein, den Dienst im Rahmen des gebuchten Tarifs und der gebuchten Optionen für eigene geschäftliche Zwecke zu nutzen. Der Kunde darf seinen Mitarbeitern und für ihn tätigen Beauftragten die Nutzung im Rahmen der gebuchten Zugänge gestatten. Der Kunde legt die Rollen und Berechtigungen seiner Nutzer im Dienst fest. Erklärungen zum Vertrag, die der Inhaber (§ 8 Abs. 6) oder ein Administrator im Rahmen der Funktionen seiner Rolle im Konto abgibt, insbesondere Bestellungen, Änderungen von Tarif, Modulen und Optionen, Kündigungen und die Löschung des Kontos, gibt er für den Kunden ab.

(1a) Ist der Inhaber nicht mehr verfügbar, kann der Kunde in Textform verlangen, dass BitHive die Rolle des Inhabers auf einen anderen Nutzer überträgt. BitHive überträgt die Rolle, nachdem es – insbesondere anhand eines öffentlichen Registers und einer Bestätigung über vom Kunden veröffentlichte Kontaktdaten – geprüft hat, dass das Verlangen von einer zur Vertretung des Kunden berechtigten Person stammt, den bisherigen Inhaber und die Administratoren informiert hat und innerhalb von 7 Tagen kein Widerspruch einer zur Vertretung des Kunden berechtigten Person eingegangen ist. BitHive kann das Verlangen ablehnen, wenn die Prüfung scheitert.

(2) Alle Daten, die der Kunde in den Dienst hochlädt oder dort erstellt („Kundendaten“), verbleiben beim Kunden. Der Kunde räumt BitHive die Rechte ein, die erforderlich sind, um Kundendaten ausschließlich zur Erbringung des Dienstes zu speichern und zu verarbeiten. BitHive nutzt Kundendaten für keine anderen Zwecke, insbesondere nicht zum Training von KI-Modellen, und gibt sie nicht an Dritte weiter, ausgenommen an nach § 9 verpflichtete Unterauftragnehmer.

(3) Der Kunde kann seine Kundendaten während der Vertragslaufzeit jederzeit in einem gängigen maschinenlesbaren Format exportieren.

§ 7 Vergütung und Zahlung

(1) Die Vergütung ergibt sich aus der Bestellung oder, soweit dort nichts vereinbart ist, aus der zum Zeitpunkt der Bestellung auf der Website veröffentlichten Preisliste. Alle Preise verstehen sich netto zuzüglich der Umsatzsteuer, die dem Kunden nach den jeweils geltenden Vorschriften berechnet wird. Hat der Kunde seinen Sitz in einem anderen Mitgliedstaat der Europäischen Union und gibt er im Bestellablauf eine gültige Umsatzsteuer-Identifikationsnummer an, wird die Vergütung ohne deutsche Umsatzsteuer abgerechnet, und der Kunde schuldet die Umsatzsteuer (Reverse-Charge-Verfahren).

(1a) Bündelrabatt. Bucht der Kunde mehrere Module, gilt für deren Grundpreise der in der Preisliste für die Zahl der gebuchten Module ausgewiesene Rabatt; er gilt nicht für Zugänge, Zusatzoptionen und einmalige Leistungen. Der Rabatt wird bei jeder Hinzufügung oder Entfernung eines Moduls neu berechnet: Wird ein Modul hinzugefügt, gilt der neue Rabatt ab diesem Zeitpunkt, zusammen mit der anteiligen Berechnung nach Abs. 6 lit. a; wird eines zum Ende eines Abrechnungszeitraums entfernt (Abs. 6 lit. b), gilt der Rabatt für die verbleibenden Module ab dem nächsten Abrechnungszeitraum. Ein Modul zählt erst, wenn es gebucht ist; ein Test zählt nicht. Gilt ein Aktionscode (Abs. 7) und fügt der Kunde ein Modul hinzu, direkt oder als Test, endet die Aktion mit Wirksamwerden der Hinzufügung; vor der Bestätigung wird dem Kunden der entfallende Rabatt angezeigt, und ab dann gilt der Bündelrabatt nach diesem Absatz. Ein geringerer Rabatt infolge der Entfernung eines Moduls ist keine Preiserhöhung im Sinne von Abs. 4. Änderungen der Rabattstufen in der Preisliste gelten für bestehende Verträge nur nach Abs. 4.

(2) Zahlung und Rechnungen. Die Vergütung ist für den jeweiligen Abrechnungszeitraum (monatlich oder jährlich) im Voraus zu zahlen. BitHive stellt die Vergütung in Rechnung. Bietet BitHive das SEPA-Lastschriftverfahren an und wählt der Kunde es, erteilt der Kunde BitHive und dessen Zahlungsdienstleister ein SEPA-Basislastschriftmandat. BitHive kündigt jede Lastschrift mindestens zwei Kalendertage vor Fälligkeit an; die Ankündigung kann mit der Rechnung oder durch den Zahlungsdienstleister erfolgen. Hat der Kunde im Bestellablauf ein Zahlungsmittel angegeben, belastet BitHive jede Rechnung bei ihrer Ausstellung über dieses Zahlungsmittel, erstmals zum Ende der Testphase oder, ohne Testphase, bei der Bestellung. Soweit Zahlung per Überweisung vereinbart ist, insbesondere bei Enterprise-Tarifen, einmaligen Leistungen und Jahrestarifen ab dem in der Preisliste genannten Betrag, sind Rechnungen innerhalb von 14 Tagen nach Zugang ohne Abzug fällig. Bei Verzug kann BitHive Verzugszinsen und die Pauschale nach § 288 Abs. 2 und 5 BGB verlangen. BitHive versendet Rechnungen per E-Mail und stellt sie im Konto bereit. Soweit das Gesetz Rechnungen in einem anderen Format als einer strukturierten elektronischen Rechnung zulässt, ist der Kunde mit dem Empfang von Rechnungen in diesem Format einverstanden, insbesondere als PDF-Datei; soweit das Gesetz eine strukturierte elektronische Rechnung verlangt, stellt BitHive sie in einem Format aus, das der europäischen Norm EN 16931 entspricht.

(3) Zahlungsverzug und fehlgeschlagene Zahlungen.

a) Eine Zahlung ist überfällig, wenn eine Belastung des Zahlungsmittels des Kunden fehlschlägt oder eine Rechnung bis zur Fälligkeit nicht bezahlt ist. Eine Belastung schlägt auch fehl, wenn eine Lastschrift zurückgegeben oder zurückgebucht wird, es sei denn, die Lastschrift war nicht autorisiert oder die berechnete Forderung bestand nicht. Hat der Kunde die Rückgabe oder Rückbuchung zu vertreten, erstattet er die BitHive tatsächlich berechneten Bank- und Zahlungsdienstleisterentgelte. BitHive versucht fehlgeschlagene Kartenbelastungen erneut; eine nicht eingelöste, zurückgegebene oder zurückgebuchte Lastschrift zieht BitHive nicht erneut per Lastschrift ein. BitHive informiert den Kunden per E-Mail und im Konto über eine überfällige Zahlung, mit einem Link zur Aktualisierung des Zahlungsmittels und mit Hinweisen zur Zahlung. Hat der Kunde im Rahmen des Vertrags mindestens einmal gezahlt, wird der Dienst 14 Tage lang ab Eintritt der Überfälligkeit unverändert weiter erbracht.

b) Ab dem 15. Tag nach Eintritt der Überfälligkeit oder, wenn die erste Belastung nach einer Testphase fehlschlägt, sofort steht der Dienst bis zur Zahlung nur lesend zur Verfügung. Die Überwachung bestehender Produkte, Fristen und Benachrichtigungen laufen weiter, und Fälle, die die Überwachung für neue Treffer bei bestehenden Produkten eröffnet, werden weiter eröffnet. Der Kunde kann Meldungen und andere Unterlagen erfassen und exportieren, seine Kundendaten exportieren, sein Zahlungsmittel aktualisieren und zahlen. Er kann selbst keine neuen Fälle eröffnen, keine Produkte, anderen Einheiten oder Nutzer hinzufügen, keine Software-Stücklisten hochladen, keine Integrationen ändern und seinen Tarif nicht ändern (Abs. 6 lit. f).

c) Ist die Zahlung 30 Tage nach Eintritt der Überfälligkeit nicht erfolgt, kann BitHive den Vertrag mit Wirkung zu diesem Tag in Textform kündigen; das Abonnement endet dann. § 8 Abs. 5 gilt.

d) Erfolgt die Zahlung vor Vertragsende, wird der volle Zugang unverzüglich wiederhergestellt.

e) Bei Rechnungen, die per Überweisung zu zahlen sind, gelten lit. b und c nur, wenn BitHive den Kunden nach Fälligkeit in Textform gemahnt hat.

f) Ansprüche von BitHive auf fällig gewordene Vergütung und weitere Rechte, insbesondere nach § 8 Abs. 3, bleiben unberührt.

(3a) Sperre aus Sicherheitsgründen. BitHive darf den Zugang zum Dienst ganz oder teilweise sperren, soweit dies erforderlich ist, wenn konkrete Anhaltspunkte dafür bestehen, dass Konten oder API-Tokens des Kunden missbraucht werden oder die Nutzung durch den Kunden die Sicherheit oder Stabilität des Dienstes gefährdet, oder wenn eine Behörde oder ein Gericht dies anordnet. BitHive informiert den Kunden unverzüglich, nach Möglichkeit vorab, und hebt die Sperre auf, sobald der Grund entfällt. Benachrichtigungen über aktiv ausgenutzte Schwachstellen werden weiter versendet, soweit dies ohne Gefahr für den Dienst möglich ist.

(4) Preisänderungen. BitHive kann die Vergütung für bestehende Verträge mit Wirkung zu einem Verlängerungstermin ändern, insbesondere wenn sich die Kosten für die Erbringung des Dienstes ändern (etwa für Hosting, Datenquellen, Leistungen Dritter, Personal oder Zahlungsabwicklung) oder BitHive den Dienst erweitert. Neue Vergütung ist die in der Preisliste zum Zeitpunkt der Mitteilung ausgewiesene. BitHive ändert die Vergütung eines Vertrags höchstens einmal innerhalb von zwölf Monaten. BitHive erhöht die Vergütung eines Vertrags nicht, bevor zwölf Monate seit dem Ende der Testphase oder, wenn es keine Testphase gab, seit Vertragsbeginn vergangen sind; die Vergütung für vom Kunden gebuchte Upgrades (Abs. 6 lit. a) ist keine Erhöhung. BitHive teilt dem Kunden die neue Vergütung und den Verlängerungstermin, ab dem sie gilt, mindestens 30 Tage (monatliche Abrechnung) bzw. 60 Tage (jährliche Abrechnung) vorher in Textform mit; bis dahin gilt die bisherige Vergütung. Steigt die Vergütung, kann der Kunde den Vertrag ohne Einhaltung einer Frist zu diesem Verlängerungstermin online in seinem Konto oder in Textform kündigen; auf dieses Recht weist BitHive in der Mitteilung hin.

(5) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Dies gilt nicht für Gegenforderungen aus demselben Vertragsverhältnis.

(6) Änderungen von Tarif und Optionen. a) Ein Upgrade (ein größerer Tarif, mehr Produkte, weitere Zugänge, eine zusätzliche Option oder eine längere Aufbewahrung) wird sofort wirksam. Der Unterschiedsbetrag für den Rest des laufenden Abrechnungszeitraums wird anteilig berechnet. b) Ein Downgrade (eine kleinere Größe, die Entfernung eines Moduls, weniger Zugänge oder Zusatzoptionen oder eine kürzere Aufbewahrung) wird zum Ende des laufenden Abrechnungszeitraums wirksam. Personen mit Zugang über die in der kleineren Größe enthaltenen Zugänge hinaus werden dann als weitere Zugänge berechnet, sofern der Kunde ihre Zugänge nicht vor Wirksamwerden der Änderung deaktiviert; die Seite „Tarif und Abrechnung“ zeigt den Betrag, bevor der Kunde die Änderung bestätigt. Ein Downgrade ist nur möglich, wenn die genutzten Einheiten (§ 3 Abs. 6a) mit den dafür gebuchten Zusatzoptionen in die kleinere Größe passen; überzählige Einheiten archiviert der Kunde zuvor. c) Ein Downgrade oder die Entfernung eines Moduls löscht keine Unterlagen. Offene Pflichten eines entfernten Moduls behalten ihre Fristen und Benachrichtigungen, bis der Kunde sie abschließt, und seine Unterlagen bleiben innerhalb der gebuchten Aufbewahrungsdauer exportierbar. Nur wenn der Kunde die gebuchte Aufbewahrungsdauer verkürzt, werden Unterlagen, die älter als die neue Aufbewahrungsdauer sind, frühestens 30 Tage nach Wirksamwerden der Änderung gelöscht; BitHive informiert den Kunden vorher und gibt ihm Gelegenheit, sie zu exportieren. d) Ein Wechsel von monatlicher zu jährlicher Abrechnung wird sofort wirksam: Der nicht genutzte Teil des laufenden Monatszeitraums wird gutgeschrieben, die Jahresvergütung sofort berechnet, und mit diesem Tag beginnt eine neue Jahreslaufzeit. Ein Wechsel von jährlicher zu monatlicher Abrechnung wird zum Ende der laufenden Jahreslaufzeit wirksam. e) Änderungen nimmt der Kunde auf der Seite „Tarif und Abrechnung“ in seinem Konto vor; sie zeigt die Auswirkung auf den Preis, bevor der Kunde bestätigt. Änderungen, die zum Ende eines Abrechnungszeitraums wirksam werden, werden mit der Bestätigung vorgemerkt und kurz vor der Verlängerung umgesetzt; bis dahin läuft der bisherige Tarif unverändert weiter. Änderungen, die weniger als drei Stunden vor der Verlängerung bestätigt werden, werden zur darauffolgenden Verlängerung wirksam. Wird eine rechtzeitig bestätigte Änderung zur Verlängerung nicht umgesetzt, zahlt der Kunde nicht mehr als nach dem geänderten Tarif; BitHive schreibt einen Unterschiedsbetrag gut. f) Solange eine Zahlung überfällig ist (Abs. 3), kann der Tarif nicht geändert werden; der Kunde kann weiterhin sein Zahlungsmittel aktualisieren und kündigen.

(7) Aktionscodes. Ein Aktionscode gewährt den mit dem Code genannten Rabatt für die dort genannte Dauer und zu den dort genannten Bedingungen, insbesondere bis zu seinem Ablaufdatum. Soweit nicht anders angegeben, kann ein Aktionscode einmal je Konto und nur für die Bestellung eines einzelnen Moduls mit monatlicher Abrechnung eingelöst werden; er gilt nur für den Preis dieses Moduls, beginnt nach einer etwaigen Testphase, ist nicht mit einem Bündelrabatt (Abs. 1a), anderen Aktionscodes oder jährlicher Abrechnung kombinierbar, endet mit dem Wechsel zur jährlichen Abrechnung und hat keinen Barwert. Fügt der Kunde während einer laufenden Aktion ein Modul hinzu, endet die Aktion nach Abs. 1a. BitHive kann einen missbräuchlich erlangten Rabatt verweigern oder entziehen, insbesondere bei Eröffnung mehrerer Konten für dasselbe Unternehmen.

(8) Einmalige Leistungen. Leistungen außerhalb des Abonnements erbringt BitHive nur aufgrund eines Bestellformulars oder Angebots (§ 2 Abs. 3); über die Online-Bestellung sind sie nicht erhältlich. Umfang, Vergütung und Termine ergeben sich aus dieser Vereinbarung; BitHive stellt sie selbst in Rechnung (Abs. 2). Die Vergütung für eine erbrachte einmalige Leistung wird nicht erstattet, soweit das Bestellformular oder Angebot nichts anderes bestimmt; gesetzliche Rechte, insbesondere bei Mängeln, bleiben unberührt.

(9) Ergänzend gilt die auf der Website veröffentlichte Erstattungsrichtlinie.

§ 8 Laufzeit und Kündigung

(1) Monatstarife laufen einen Monat und verlängern sich automatisch um jeweils einen Monat, wenn sie nicht von einer Partei zum Ende des laufenden Monats gekündigt werden.

(2) Jahrestarife laufen zwölf Monate und verlängern sich automatisch um jeweils zwölf Monate, wenn sie nicht von einer Partei mit einer Frist von einem Monat zum Ende der laufenden Laufzeit gekündigt werden. BitHive erinnert den Kunden spätestens 45 Tage vor dem Ende jeder Jahreslaufzeit per E-Mail an das Verlängerungsdatum, die Vergütung und den letzten Tag der Kündigungsfrist.

(3) Das Recht beider Parteien zur Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für BitHive liegt insbesondere vor, wenn der Kunde mit der Zahlung von mehr als zwei Monatsbeträgen in Verzug ist oder trotz Abmahnung schwerwiegend gegen § 5 Abs. 1 verstößt.

(4) Kündigungen bedürfen der Textform (zum Beispiel per E-Mail an contact@bithive-it.com) oder erfolgen in den Kontoeinstellungen.

(5) Nach Vertragsende kann der Kunde seine Kundendaten 30 Tage lang exportieren. Danach löscht BitHive die Kundendaten, soweit keine gesetzliche Aufbewahrungspflicht besteht; auf Weisung des Kunden in Textform löscht BitHive sie früher. Sicherungskopien werden im regulären Sicherungszyklus überschrieben, spätestens 35 Tage nach der Löschung. BitHive bestätigt die Löschung auf Verlangen in Textform.

(6) Löschung des Kontos.

a) Der Nutzer, der im Konto des Kunden die Rolle des Inhabers innehat („Inhaber“), kann das Konto in den Kontoeinstellungen oder durch Mitteilung in Textform an BitHive löschen. Vor der Bestätigung der Löschung teilt BitHive mit, was gelöscht und was aufbewahrt wird, und bietet den Export aller Kundendaten an. Die Löschung wird in einem gesonderten zweiten Schritt bestätigt.

b) Die Löschung wird 14 Tage nach dieser Bestätigung wirksam. Bis dahin ist das Konto gesperrt: Überwachung und Benachrichtigungen werden eingestellt, alle Sitzungen enden, API-Tokens werden nicht mehr angenommen, und nur der Inhaber kann sich anmelden, um Kundendaten zu exportieren oder die Löschung zu widerrufen. BitHive informiert den Inhaber und alle Administratoren des Kontos per E-Mail, wenn die Löschung eingeplant wird, und drei Tage bevor sie wirksam wird.

c) Die Bestätigung der Löschung ist zugleich die Kündigung des Kunden. Nach der Bestätigung wird keine Vergütung mehr berechnet. Der Vertrag endet, wenn die Löschung wirksam wird. Widerruft der Inhaber die Löschung, bevor sie wirksam wird, gilt die Kündigung als zurückgenommen und der Vertrag wird fortgesetzt. Ist zwischenzeitlich ein Abrechnungszeitraum abgelaufen, muss der Kunde erneut einen Tarif buchen, um die Überwachung fortzusetzen.

d) Mit Wirksamwerden der Löschung löscht BitHive alle Kundendaten, einschließlich des Protokolls und der aufgrund einer gebuchten Aufbewahrungsoption aufbewahrten Unterlagen. § 8 Abs. 5 gilt entsprechend, wobei an die Stelle der Exportfrist von 30 Tagen die 14 Tage nach lit. b treten. Bereits gezahlte Vergütungen werden nur nach der Erstattungsrichtlinie erstattet.

e) BitHive bewahrt eigene Geschäftsunterlagen zum Vertrag, etwa Bestell-, Tarifänderungs- und Kündigungsbestätigungen sowie die Annahme dieser AGB, für die handels- und steuerrechtlich vorgeschriebenen Fristen auf. Sie enthalten keine Kundendaten.

§ 9 Datenschutz und Vertraulichkeit

(1) Soweit BitHive personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen die Parteien den von BitHive bereitgestellten Auftragsverarbeitungsvertrag, der Vertragsbestandteil ist.

(2) Abgesehen von der Zustellung von E-Mails (nächster Satz) und von Nachrichten an vom Kunden eingerichtete Alarmkanäle werden Kundendaten ausschließlich in Rechenzentren in Deutschland gespeichert und verarbeitet. E-Mails des Dienstes werden über einen E-Mail-Dienstleister in der Europäischen Union zugestellt; Einzelheiten, einschließlich einer etwaigen Verarbeitung durch dessen Unterauftragsverarbeiter in Drittländern und der dafür geltenden Garantien, regelt der Auftragsverarbeitungsvertrag. E-Mails an die Support-Adresse von BitHive werden in einem in Deutschland gehosteten Postfach verarbeitet. Über eine Änderung des Speicherorts informiert BitHive den Kunden mindestens vier Wochen vorher.

(3) Jede Partei behandelt alle nicht öffentlichen Informationen der anderen Partei, die sie im Zusammenhang mit dem Vertrag erhält, insbesondere Kundendaten und Informationen über Schwachstellen in Produkten des Kunden, vertraulich und nutzt sie nur für Zwecke des Vertrags. Diese Pflicht gilt drei Jahre über das Vertragsende hinaus und für Informationen über nicht öffentlich bekannte Schwachstellen zeitlich unbegrenzt. Sie gilt nicht für Informationen, die ohne Verstoß gegen diese Pflicht öffentlich bekannt sind oder werden, die der empfangenden Partei bereits bekannt waren oder die aufgrund Gesetzes oder behördlicher oder gerichtlicher Anordnung offengelegt werden müssen.

(4) Zahlungsdaten gibt der Kunde unmittelbar beim Zahlungsdienstleister von BitHive ein (§ 1 Abs. 5). Der Zahlungsdienstleister verarbeitet sie im Auftrag von BitHive zur Ausführung von Zahlungen und, zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten, als eigenständig Verantwortlicher nach seinen eigenen Datenschutzhinweisen. BitHive erhält keine vollständigen Zahlungskartendaten.

§ 10 Gewährleistung und Haftung

(1) Mängel. BitHive gewährleistet, dass der Dienst während der Vertragslaufzeit im Wesentlichen die vereinbarten Funktionen hat. Der Kunde meldet Mängel unverzüglich in Textform mit einer Beschreibung, die ihre Nachvollziehbarkeit ermöglicht. BitHive beseitigt Mängel innerhalb angemessener Frist. Die verschuldensunabhängige Haftung für bereits bei Vertragsschluss vorhandene Mängel (§ 536a Abs. 1 Alt. 1 BGB) ist ausgeschlossen.

(2) Haftung. BitHive haftet unbeschränkt für Schäden, die vorsätzlich oder grob fahrlässig verursacht wurden, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz, bei arglistig verschwiegenen Mängeln sowie im Umfang einer ausdrücklich übernommenen Garantie.

(3) Bei leichter Fahrlässigkeit haftet BitHive nur bei Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf (Kardinalpflicht). In diesem Fall ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt.

(4) Bei leichter Fahrlässigkeit ist die Haftung für den Verlust von Daten auf den Aufwand beschränkt, der zur Wiederherstellung aus Kopien erforderlich ist, die der Kunde zumutbarerweise hätte anfertigen können, insbesondere mit der Exportfunktion (§ 6 Abs. 3). Dies gilt nicht für Unterlagen, die BitHive aufgrund einer gebuchten Aufbewahrungsoption aufzubewahren hat.

(5) Die Beschränkungen dieses § 10 gelten auch zugunsten der Mitarbeiter, Vertreter und Unterauftragnehmer von BitHive.

(6) In den Fällen des Abs. 3 ist die Haftung von BitHive zusätzlich auf 500.000 Euro je Schadensereignis und auf 1.000.000 Euro für alle Schadensereignisse eines Vertragsjahres begrenzt. Abs. 2 bleibt unberührt.

§ 11 Änderungen dieser AGB

(1) BitHive darf diese AGB mit Wirkung für die Zukunft ändern, wenn hierfür ein triftiger Grund besteht, insbesondere eine Änderung der Rechtslage oder Rechtsprechung oder neue Funktionen des Dienstes. BitHive übermittelt die geänderten AGB mindestens sechs Wochen vor ihrem Inkrafttreten in Textform.

(2) Änderungen, die die Hauptleistungspflichten keiner Partei betreffen und das Verhältnis von Leistung und Vergütung nicht zulasten des Kunden verschieben, gelten als angenommen, wenn der Kunde nicht vor ihrem Inkrafttreten in Textform widerspricht; BitHive weist in der Mitteilung auf diese Folge hin. Andere Änderungen bedürfen der Zustimmung des Kunden. Widerspricht der Kunde, kann jede Partei den Vertrag zu dem Zeitpunkt kündigen, zu dem die Änderungen wirksam geworden wären.

(2a) Bei Jahrestarifen werden Änderungen frühestens zum Beginn der nächsten Jahreslaufzeit wirksam, sofern sie nicht durch eine Änderung der Rechtslage erforderlich sind.

(3) Änderungen des Leistungsumfangs und der Vergütung richten sich ausschließlich nach § 3 Abs. 4 und § 7 Abs. 4.

§ 12 Schlussbestimmungen

(1) Der Kunde kann Rechte aus diesem Vertrag nur mit Zustimmung von BitHive auf Dritte übertragen. § 354a HGB bleibt unberührt.

(2) BitHive darf den Kunden nur mit dessen vorheriger Zustimmung in Textform als Referenz nennen.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(4) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen oder hat er keinen allgemeinen Gerichtsstand in Deutschland, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Berlin. BitHive darf den Kunden auch an seinem allgemeinen Gerichtsstand verklagen.

(5) Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

(6) Diese AGB liegen in einer deutschen und einer englischen Fassung vor. Maßgeblich ist die Fassung in der Vertragssprache. Vertragssprache ist Deutsch oder Englisch: die bei der Registrierung gewählte Sprache (§ 2 Abs. 2) oder, bei Verträgen nach § 2 Abs. 3 und bei von BitHive eröffneten Testphasen (§ 2 Abs. 4 lit. f), die Sprache des Bestellformulars, hilfsweise die des Angebots, sofern diese Deutsch oder Englisch ist; in allen anderen Fällen Englisch. Fassungen dieser AGB und der übrigen Vertragsdokumente in anderen Sprachen dienen nur der Information; sie sind nicht Vertragsbestandteil, und bei Abweichungen geht die Fassung in der Vertragssprache vor.

(7) Sanktionen. Der Kunde bestätigt, dass weder er noch die Personen, denen er gehört oder die ihn beherrschen, auf Sanktionslisten der Europäischen Union, des Vereinigten Königreichs oder der Vereinigten Staaten geführt werden, und dass er den Dienst nicht unter Verstoß gegen für ihn geltendes Sanktions- oder Exportkontrollrecht Personen oder in Ländern zugänglich macht. Diese Bestätigung wird nicht abgegeben und gilt nicht, soweit ihre Abgabe oder Einhaltung gegen die Verordnung (EG) Nr. 2271/96 des Rates oder § 7 der Außenwirtschaftsverordnung verstoßen würde. Ist oder wird die Bestätigung unzutreffend, kann BitHive, soweit die Verordnung (EG) Nr. 2271/96 des Rates dies zulässt, den Zugang sperren und den Vertrag aus wichtigem Grund kündigen.

Anlage zu den AGB: Modulbeschreibungen

Version 1.0 · Oktober 2026 · Erste Fassung.

Diese Anlage enthält die Modulbeschreibungen nach § 3 Abs. 9 der AGB für das CRA-Modul, das Modul NIS2 (Deutschland) und das DSGVO-Modul sowie die Beschreibung der Zusatzfunktion Vertragsfristen. Die Zusatzfunktion ist kein Modul im Sinne von § 3 Abs. 9 der AGB; sie ergänzt gebuchte Module. Die bei Buchung eines Moduls oder der Zusatzfunktion geltende Beschreibung wird Vertragsbestandteil; für spätere Änderungen gilt § 3 Abs. 4 der AGB.

1. Gemeinsamer Teil (gilt für jedes Modul)

Rechtsstand. Der Dienst zeigt in jedem Modul das Datum des Rechtsstands an, den seine Regeln anwenden (§ 3 Abs. 3a der AGB). Für das Modul NIS2 (Deutschland) und das DSGVO-Modul in dieser Fassung ist es der 6. Oktober 2026.

Fristberechnung. Fristen werden ab der vom Kunden erfassten Uhrzeit minutengenau berechnet: Stunden und Tage als volle 24-Stunden-Spannen, Monate bis zum gleichen Kalendertag und zur gleichen Uhrzeit. Fristen verlängern sich nicht über Wochenenden oder Feiertage. Wo eine Rechtsvorschrift den Tag oder die Stunde des Ereignisses nicht mitzählt oder ein Fristende am Wochenende oder Feiertag verschiebt, kann die gesetzliche Frist später enden als die angezeigte; der Dienst zeigt den früheren Zeitpunkt an. Wo ein Gesetz ein Handeln „unverzüglich" verlangt, ist die angezeigte Frist der späteste zulässige Zeitpunkt; ein früheres Handeln kann erforderlich sein.

Anknüpfungszeitpunkte. Jede Frist läuft ab einem Zeitpunkt, den der Kunde erfasst, etwa dem Zeitpunkt der Kenntniserlangung, der Übermittlung einer früheren Stufe oder dem Datum einer behördlichen Anforderung. Für Fälle, die das CRA-Modul selbst eröffnet, gilt Abschnitt 2. Der Kunde erfasst diese Zeitpunkte wahrheitsgemäß und unverzüglich. Bevor der Anknüpfungszeitpunkt erfasst ist, kann eine Frist nicht berechnet werden.

Rechtsgrundlagen und Erinnerungen. Jede Stufe nennt ihre Rechtsgrundlage, damit der Kunde sie prüfen kann. Erinnerungen und Zielwerte, die keine gesetzliche Frist abbilden, sind im Dienst als solche gekennzeichnet.

Entwürfe. Entwürfe folgen dem Aufbau des für die jeweilige Stufe genannten amtlichen Formulars oder Meldewegs. Der Kunde prüft und ergänzt sie und übermittelt sie selbst über diesen Weg. Der Dienst ist nicht mit Systemen von Behörden verbunden.

Alarme. Der Dienst alarmiert die vom Kunden eingerichteten Personen und Kanäle vor jeder Frist und bei ihrem Ablauf und eskaliert an eine Vertretung, soweit eingerichtet (§ 4 Abs. 3 der AGB).

Unterlagen. Der Dienst führt für den gebuchten Aufbewahrungszeitraum (§ 3 Abs. 7 der AGB) ein mit Zeitstempeln versehenes Protokoll jedes Falls, seiner Stufen, Entwürfe, erfassten Übermittlungen und Entscheidungen.

Mehrere Module. Ein im Modul NIS2 (Deutschland) oder im DSGVO-Modul erfasster Vorfall ist ein Fall; er eröffnet die Stufen jedes gebuchten dieser Module, dessen Voraussetzungen der Kunde bejaht, jede mit eigener Frist, eigenem Empfänger und eigenem Entwurf. Fälle des CRA-Moduls werden je Produkt geführt (Abschnitt 2). Personenbezogene Daten aus Stufen des DSGVO-Moduls werden nicht in Entwürfe anderer Module übernommen.

Nicht enthalten. Das Modul prüft nicht, ob ein Gesetz auf den Kunden anwendbar ist oder ob ein Ereignis eine gesetzliche Schwelle erreicht, und übermittelt nichts. Ereignisse in den Systemen des Kunden erkennt es nicht; Abschnitt 2 beschreibt, wann das CRA-Modul aus ausgewerteten Quellen einen Fall eröffnet.

Haftung. Diese Anlage beschreibt die Leistung. Sie enthält keine Garantie und lässt § 10 der AGB unberührt.

2. CRA-Modul

Rechtsvorschriften. Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), Art. 14 Abs. 1 bis 4.

Fälle. Jede Meldung läuft in einem eigenen Fall je Produkt und Schwachstelle oder Vorfall, in derselben Fallliste wie die übrigen Module:

• a) aktiv ausgenutzte Schwachstelle in einem Produkt des Kunden (Art. 14 Abs. 1 und 2). Führt eine vom Dienst ausgewertete Quelle eine Schwachstelle in einer Komponente aus den SBOMs des Kunden als aktiv ausgenutzt, eröffnet der Dienst sofort einen Fall für das betroffene Produkt. Als Zeitpunkt der Kenntniserlangung setzt der Dienst den Zeitpunkt an, zu dem er den Eintrag erkannt hat; der Kunde kann einen früheren Zeitpunkt erfassen, aber keinen späteren. Ist die Schwachstelle im Produkt nicht enthalten oder nicht aktiv ausgenutzt oder unterliegt das Produkt nicht der Verordnung, kann der Kunde den Fall unter Angabe eines Grundes verwerfen; das Verwerfen kann er rückgängig machen. Der Kunde kann einen solchen Fall auch selbst erfassen, etwa nach einem Hinweis eines Sicherheitsforschers, Kunden oder Lieferanten. Besteht für dasselbe Produkt bereits ein offener Fall zu derselben CVE- oder EUVD-Kennung, wird der Eintrag diesem Fall hinzugefügt.
• b) schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit eines Produkts des Kunden (Art. 14 Abs. 3 und 4); diesen Fall erfasst der Kunde selbst.

Stufen, Fall a) – Empfänger: das als Koordinator benannte CSIRT und die ENISA über die einheitliche Meldeplattform (Art. 16 der Verordnung).

Stufen, Fall b) – Empfänger wie in Fall a).

Grenzen.

• Ob ein Produkt der Verordnung unterliegt, ob eine Schwachstelle aktiv ausgenutzt wird und ob ein Vorfall schwerwiegend ist, entscheidet der Kunde (§ 3 Abs. 2 der AGB).
• Zwischenberichte, die eine Behörde anfordert, und die Unterrichtung der Nutzer des Produkts (Art. 14 Abs. 8) sind keine Stufen des Moduls.
• Meldepflichten aus anderen Rechtsvorschriften, die derselbe Vorfall auslösen kann, deckt das CRA-Modul nicht ab; dafür gibt es das Modul NIS2 (Deutschland) und das DSGVO-Modul.

3. Modul NIS2 (Deutschland)

Rechtsvorschriften. BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (BGBl. 2025 I Nr. 301), insbesondere §§ 2, 28, 32, 33, 35 BSIG; für die Profile b) bis d) §§ 5c, 5d EnWG, § 168 TKG, Art. 19a und Art. 24 Abs. 2 lit. fb der Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung) in der Fassung der Verordnung (EU) 2024/1183 sowie § 2 VDG; Richtlinie (EU) 2022/2555 Art. 23 zum Vergleich; Durchführungsverordnung (EU) 2024/2690 für die von ihr erfassten Einrichtungsarten (Erheblichkeitskriterien als Hinweis, ohne Bewertung).

Profile. Der Kunde wählt im Modul eines oder mehrere Profile: a) besonders wichtige und wichtige Einrichtungen (§ 32 BSIG); b) Energie (§§ 5c, 5d EnWG); c) öffentliche Telekommunikationsnetze und -dienste (§ 168 TKG); d) Vertrauensdiensteanbieter (Art. 19a und Art. 24 Abs. 2 lit. fb eIDAS-Verordnung, neben § 32 BSIG).

Selbstprüfung des Anwendungsbereichs. Ein allgemeiner Fragebogen zu § 28 BSIG (Sektor nach Anlage 1 oder 2, Größe nach § 28 Abs. 1 bis 4, größenunabhängige Einrichtungsarten, Ausnahmen nach § 28 Abs. 5 bis 7). Ausnahmen nach § 28 Abs. 5 führen zum Profil Energie oder Telekommunikation. Gibt der Kunde an, Finanzunternehmen im Sinne von Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 zu sein (§ 28 Abs. 6 BSIG), zeigt das Modul den Hinweis „Für Sie gelten die Meldepflichten nach DORA (Art. 19); dieses Modul deckt sie nicht ab." und keine Stufen nach §§ 32 und 35 BSIG; die Registrierungserinnerung nach § 33 BSIG bleibt verfügbar. Gibt der Kunde an, die gematik oder Anbieter von Diensten der Telematikinfrastruktur zu sein (§ 28 Abs. 6 Nr. 2 BSIG), zeigt das Modul, dass die Meldepflichten des BSIG nicht gelten und die an ihre Stelle tretenden Meldepflichten nicht abgedeckt sind. Das Ergebnis trägt den Hinweis „Nur zur Orientierung; keine rechtliche Bewertung"; welche Pflichten gelten, entscheidet der Kunde.

Stufen, Profil a) – Empfänger: die gemeinsame Meldestelle von BSI und BBK über das BSI-Portal; vor der Registrierung das Online-Formular im Melde- und Informationsportal (MIP).

Stufen, Profil b) Energie – Empfänger: die Meldestelle nach § 32 BSIG (BSI-Portal).

Stufen, Profil c) Telekommunikation – Empfänger: Bundesnetzagentur und BSI, per E-Mail mit dem PDF-Formular; Verschlüsselung empfohlen.

Stufen, Profil d) Vertrauensdienste – Empfänger: die Aufsichtsstelle (für Zertifikate für die Website-Authentifizierung das BSI, für die übrigen Vertrauensdienste die Bundesnetzagentur; § 2 Abs. 1 VDG), identifizierbare betroffene Personen sowie die Öffentlichkeit (nicht qualifizierte Anbieter: bei öffentlichem Interesse; qualifizierte Anbieter: auf Verlangen der Aufsichtsstelle). Den Meldeweg erfasst der Kunde. Ist der Vorfall zugleich ein erheblicher Sicherheitsvorfall, gelten daneben die Stufen des Profils a), da Vertrauensdiensteanbieter Einrichtungen nach § 28 BSIG sind; betrifft er personenbezogene Daten, gelten daneben Art. 33 und 34 DSGVO, die das DSGVO-Modul abdeckt, soweit es gebucht ist. Diese Meldungen sind gesondert zu erstatten; eine Weiterleitung durch eine Behörde wird nicht angenommen.

Freitextfelder dieses Profils tragen den Hinweis: „Nennen Sie keine einzelne Person."

Grenzen.

• Dieses Modul deckt nur Deutschland ab; andere Mitgliedstaaten sind nicht erfasst.
• Der Dienst ist nicht mit dem BSI-Portal oder anderen Meldewegen verbunden; das Modul bewahrt eine eigene Kopie der Entwürfe und der erfassten Übermittlungen des Kunden auf.
• Die Registrierung selbst (§ 33 BSIG) nimmt der Kunde im BSI-Portal vor; die Anmeldung erfolgt über „Mein Unternehmenskonto" mit einem ELSTER-Organisationszertifikat.
• Das Modul bewertet nicht, ob ein Sicherheitsvorfall erheblich ist; die Kriterien werden als Hinweis angezeigt.

4. DSGVO-Modul (Verletzungen des Schutzes personenbezogener Daten)

Rechtsvorschriften. Datenschutz-Grundverordnung Art. 4 Nr. 12, Art. 33 und 34; BDSG § 29 Abs. 1 sowie § 42 Abs. 4 und § 43 Abs. 4 (als Hinweise); § 169 TKG mit Verordnung (EU) Nr. 611/2013 (Profil Telekommunikation).

Betriebsarten. Das Modul umfasst in jeder Größe beide Betriebsarten; der Kunde wählt sie je Fall.

Verantwortlicher (der Kunde ist Verantwortlicher):

Das Modul zeigt den Meldeweg der Aufsichtsbehörde an, die der Kunde für die betroffene Gesellschaft als zuständig erfasst hat (die Aufsichtsbehörde des Landes oder der BfDI), soweit der Dienst für diese Behörde einen Meldeweg hinterlegt hat. Ist keiner hinterlegt, entnimmt der Kunde den Meldeweg der Internetseite der Behörde.

Auftragsverarbeiter (der Kunde verarbeitet personenbezogene Daten im Auftrag eigener Kunden):

Das Modul entwirft die Meldung mit den Angaben nach Art. 33 Abs. 3 DSGVO, die der Verantwortliche benötigt, und dokumentiert, wann welcher Verantwortliche informiert wurde. Über die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen entscheiden die Verantwortlichen des Kunden. Kürzere Fristen aus den Verträgen des Kunden mit seinen Verantwortlichen erfasst der Kunde mit der Zusatzfunktion Vertragsfristen (Abschnitt 5).

Profil Telekommunikation (Anbieter öffentlich zugänglicher Telekommunikationsdienste):

Datensparsamkeit. Das Modul erfasst Kategorien und ungefähre Zahlen betroffener Personen und Datensätze, nicht deren Identität. Freitextfelder tragen den Hinweis: „Nennen Sie keine einzelne Person."

Grenzen.

• Das Modul bewertet das Risiko für betroffene Personen nicht; die Risikofragen sind eine Checkliste, die der Kunde beantwortet.
• Welche Aufsichtsbehörde zuständig ist, erfasst der Kunde je Gesellschaft; das Modul bestimmt sie nicht. Grenzüberschreitende Fälle mit federführender Aufsichtsbehörde (Art. 56 DSGVO) werden als Hinweis angezeigt, nicht aufgelöst.
• Meldewege sind nur für deutsche Aufsichtsbehörden hinterlegt. Für andere Mitgliedstaaten gelten die Stufen des Art. 33 DSGVO; den Meldeweg erfasst der Kunde.

5. Zusatzfunktion Vertragsfristen

Inhalt. Der Kunde erfasst Mitteilungspflichten aus eigenen Verträgen, etwa Klauseln in Auftragsverarbeitungsverträgen, Service-Level-Vereinbarungen oder Kundenverträgen, die eine Information über Vorfälle binnen einer bestimmten Zeit verlangen, auch Klauseln, die er mit Kunden aus dem Finanzsektor vereinbart hat. Für jede Pflicht erfasst er:

• den Vertragspartner;
• das auslösende Ereignis, wie in seinem Vertrag bestimmt;
• den Anknüpfungszeitpunkt;
• die Frist in Stunden oder Kalendertagen;
• Empfänger und Kanal.

Der Dienst berechnet die Fristen ab dem erfassten Anknüpfungszeitpunkt, alarmiert und eskaliert, entwirft die Mitteilung aus der Vorlage des Kunden und dokumentiert ihren Versand.

Grenzen.

• BitHive liest, legt aus oder prüft die Verträge des Kunden nicht. Die Regeln gelten genau so, wie der Kunde sie erfasst.
• Fristen werden in Stunden oder Kalendertagen ab dem erfassten Zeitpunkt berechnet, ohne Verlängerung über Wochenenden oder Feiertage. Sieht der Vertrag Werktage vor, erfasst der Kunde eine Frist, die dem frühesten möglichen Fristende entspricht.
• Die Zusatzfunktion macht BitHive weder zur Partei der Verträge des Kunden mit Finanzunternehmen noch zu einem IKT-Drittdienstleister im Rahmen dieser Verträge. Der Vertrag zwischen BitHive und dem Kunden sind ausschließlich die AGB.