Anlage zu den AGB: Modulbeschreibungen

Version 1.1 · Oktober 2026 · Ersetzt Version 1.0 für Buchungen nach ihrer Veröffentlichung. Änderung: Abschnitt 5 (Zusatzfunktion Vertragsfristen) ist neu gefasst. Die Abschnitte 1 bis 4 sind unverändert. Für zuvor gebuchte Module und Zusatzfunktionen gilt die bei Buchung geltende Fassung weiter; für spätere Änderungen gilt § 3 Abs. 4 der AGB.

Diese Anlage enthält die Modulbeschreibungen nach § 3 Abs. 9 der AGB für das CRA-Modul, das Modul NIS2 (Deutschland) und das DSGVO-Modul sowie die Beschreibung der Zusatzfunktion Vertragsfristen. Die Zusatzfunktion ist kein Modul im Sinne von § 3 Abs. 9 der AGB; sie ergänzt gebuchte Module. Die bei Buchung eines Moduls oder der Zusatzfunktion geltende Beschreibung wird Vertragsbestandteil; für spätere Änderungen gilt § 3 Abs. 4 der AGB.

1. Gemeinsamer Teil (gilt für jedes Modul)

Rechtsstand. Der Dienst zeigt in jedem Modul das Datum des Rechtsstands an, den seine Regeln anwenden (§ 3 Abs. 3a der AGB). Für das Modul NIS2 (Deutschland) und das DSGVO-Modul in dieser Fassung ist es der 6. Oktober 2026.

Fristberechnung. Fristen werden ab der vom Kunden erfassten Uhrzeit minutengenau berechnet: Stunden und Tage als volle 24-Stunden-Spannen, Monate bis zum gleichen Kalendertag und zur gleichen Uhrzeit. Fristen verlängern sich nicht über Wochenenden oder Feiertage. Wo eine Rechtsvorschrift den Tag oder die Stunde des Ereignisses nicht mitzählt oder ein Fristende am Wochenende oder Feiertag verschiebt, kann die gesetzliche Frist später enden als die angezeigte; der Dienst zeigt den früheren Zeitpunkt an. Wo ein Gesetz ein Handeln „unverzüglich" verlangt, ist die angezeigte Frist der späteste zulässige Zeitpunkt; ein früheres Handeln kann erforderlich sein.

Anknüpfungszeitpunkte. Jede Frist läuft ab einem Zeitpunkt, den der Kunde erfasst, etwa dem Zeitpunkt der Kenntniserlangung, der Übermittlung einer früheren Stufe oder dem Datum einer behördlichen Anforderung. Für Fälle, die das CRA-Modul selbst eröffnet, gilt Abschnitt 2. Der Kunde erfasst diese Zeitpunkte wahrheitsgemäß und unverzüglich. Bevor der Anknüpfungszeitpunkt erfasst ist, kann eine Frist nicht berechnet werden.

Rechtsgrundlagen und Erinnerungen. Jede Stufe nennt ihre Rechtsgrundlage, damit der Kunde sie prüfen kann. Erinnerungen und Zielwerte, die keine gesetzliche Frist abbilden, sind im Dienst als solche gekennzeichnet.

Entwürfe. Entwürfe folgen dem Aufbau des für die jeweilige Stufe genannten amtlichen Formulars oder Meldewegs. Der Kunde prüft und ergänzt sie und übermittelt sie selbst über diesen Weg. Der Dienst ist nicht mit Systemen von Behörden verbunden.

Alarme. Der Dienst alarmiert die vom Kunden eingerichteten Personen und Kanäle vor jeder Frist und bei ihrem Ablauf und eskaliert an eine Vertretung, soweit eingerichtet (§ 4 Abs. 3 der AGB).

Unterlagen. Der Dienst führt für den gebuchten Aufbewahrungszeitraum (§ 3 Abs. 7 der AGB) ein mit Zeitstempeln versehenes Protokoll jedes Falls, seiner Stufen, Entwürfe, erfassten Übermittlungen und Entscheidungen.

Mehrere Module. Ein im Modul NIS2 (Deutschland) oder im DSGVO-Modul erfasster Vorfall ist ein Fall; er eröffnet die Stufen jedes gebuchten dieser Module, dessen Voraussetzungen der Kunde bejaht, jede mit eigener Frist, eigenem Empfänger und eigenem Entwurf. Fälle des CRA-Moduls werden je Produkt geführt (Abschnitt 2). Personenbezogene Daten aus Stufen des DSGVO-Moduls werden nicht in Entwürfe anderer Module übernommen.

Nicht enthalten. Das Modul prüft nicht, ob ein Gesetz auf den Kunden anwendbar ist oder ob ein Ereignis eine gesetzliche Schwelle erreicht, und übermittelt nichts. Ereignisse in den Systemen des Kunden erkennt es nicht; Abschnitt 2 beschreibt, wann das CRA-Modul aus ausgewerteten Quellen einen Fall eröffnet.

Haftung. Diese Anlage beschreibt die Leistung. Sie enthält keine Garantie und lässt § 10 der AGB unberührt.

2. CRA-Modul

Rechtsvorschriften. Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), Art. 14 Abs. 1 bis 4.

Fälle. Jede Meldung läuft in einem eigenen Fall je Produkt und Schwachstelle oder Vorfall, in derselben Fallliste wie die übrigen Module:

• a) aktiv ausgenutzte Schwachstelle in einem Produkt des Kunden (Art. 14 Abs. 1 und 2). Führt eine vom Dienst ausgewertete Quelle eine Schwachstelle in einer Komponente aus den SBOMs des Kunden als aktiv ausgenutzt, eröffnet der Dienst sofort einen Fall für das betroffene Produkt. Als Zeitpunkt der Kenntniserlangung setzt der Dienst den Zeitpunkt an, zu dem er den Eintrag erkannt hat; der Kunde kann einen früheren Zeitpunkt erfassen, aber keinen späteren. Ist die Schwachstelle im Produkt nicht enthalten oder nicht aktiv ausgenutzt oder unterliegt das Produkt nicht der Verordnung, kann der Kunde den Fall unter Angabe eines Grundes verwerfen; das Verwerfen kann er rückgängig machen. Der Kunde kann einen solchen Fall auch selbst erfassen, etwa nach einem Hinweis eines Sicherheitsforschers, Kunden oder Lieferanten. Besteht für dasselbe Produkt bereits ein offener Fall zu derselben CVE- oder EUVD-Kennung, wird der Eintrag diesem Fall hinzugefügt.
• b) schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit eines Produkts des Kunden (Art. 14 Abs. 3 und 4); diesen Fall erfasst der Kunde selbst.

Stufen, Fall a) – Empfänger: das als Koordinator benannte CSIRT und die ENISA über die einheitliche Meldeplattform (Art. 16 der Verordnung).

Stufen, Fall b) – Empfänger wie in Fall a).

Grenzen.

• Ob ein Produkt der Verordnung unterliegt, ob eine Schwachstelle aktiv ausgenutzt wird und ob ein Vorfall schwerwiegend ist, entscheidet der Kunde (§ 3 Abs. 2 der AGB).
• Zwischenberichte, die eine Behörde anfordert, und die Unterrichtung der Nutzer des Produkts (Art. 14 Abs. 8) sind keine Stufen des Moduls.
• Meldepflichten aus anderen Rechtsvorschriften, die derselbe Vorfall auslösen kann, deckt das CRA-Modul nicht ab; dafür gibt es das Modul NIS2 (Deutschland) und das DSGVO-Modul.

3. Modul NIS2 (Deutschland)

Rechtsvorschriften. BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (BGBl. 2025 I Nr. 301), insbesondere §§ 2, 28, 32, 33, 35 BSIG; für die Profile b) bis d) §§ 5c, 5d EnWG, § 168 TKG, Art. 19a und Art. 24 Abs. 2 lit. fb der Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung) in der Fassung der Verordnung (EU) 2024/1183 sowie § 2 VDG; Richtlinie (EU) 2022/2555 Art. 23 zum Vergleich; Durchführungsverordnung (EU) 2024/2690 für die von ihr erfassten Einrichtungsarten (Erheblichkeitskriterien als Hinweis, ohne Bewertung).

Profile. Der Kunde wählt im Modul eines oder mehrere Profile: a) besonders wichtige und wichtige Einrichtungen (§ 32 BSIG); b) Energie (§§ 5c, 5d EnWG); c) öffentliche Telekommunikationsnetze und -dienste (§ 168 TKG); d) Vertrauensdiensteanbieter (Art. 19a und Art. 24 Abs. 2 lit. fb eIDAS-Verordnung, neben § 32 BSIG).

Selbstprüfung des Anwendungsbereichs. Ein allgemeiner Fragebogen zu § 28 BSIG (Sektor nach Anlage 1 oder 2, Größe nach § 28 Abs. 1 bis 4, größenunabhängige Einrichtungsarten, Ausnahmen nach § 28 Abs. 5 bis 7). Ausnahmen nach § 28 Abs. 5 führen zum Profil Energie oder Telekommunikation. Gibt der Kunde an, Finanzunternehmen im Sinne von Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 zu sein (§ 28 Abs. 6 BSIG), zeigt das Modul den Hinweis „Für Sie gelten die Meldepflichten nach DORA (Art. 19); dieses Modul deckt sie nicht ab." und keine Stufen nach §§ 32 und 35 BSIG; die Registrierungserinnerung nach § 33 BSIG bleibt verfügbar. Gibt der Kunde an, die gematik oder Anbieter von Diensten der Telematikinfrastruktur zu sein (§ 28 Abs. 6 Nr. 2 BSIG), zeigt das Modul, dass die Meldepflichten des BSIG nicht gelten und die an ihre Stelle tretenden Meldepflichten nicht abgedeckt sind. Das Ergebnis trägt den Hinweis „Nur zur Orientierung; keine rechtliche Bewertung"; welche Pflichten gelten, entscheidet der Kunde.

Stufen, Profil a) – Empfänger: die gemeinsame Meldestelle von BSI und BBK über das BSI-Portal; vor der Registrierung das Online-Formular im Melde- und Informationsportal (MIP).

Stufen, Profil b) Energie – Empfänger: die Meldestelle nach § 32 BSIG (BSI-Portal).

Stufen, Profil c) Telekommunikation – Empfänger: Bundesnetzagentur und BSI, per E-Mail mit dem PDF-Formular; Verschlüsselung empfohlen.

Stufen, Profil d) Vertrauensdienste – Empfänger: die Aufsichtsstelle (für Zertifikate für die Website-Authentifizierung das BSI, für die übrigen Vertrauensdienste die Bundesnetzagentur; § 2 Abs. 1 VDG), identifizierbare betroffene Personen sowie die Öffentlichkeit (nicht qualifizierte Anbieter: bei öffentlichem Interesse; qualifizierte Anbieter: auf Verlangen der Aufsichtsstelle). Den Meldeweg erfasst der Kunde. Ist der Vorfall zugleich ein erheblicher Sicherheitsvorfall, gelten daneben die Stufen des Profils a), da Vertrauensdiensteanbieter Einrichtungen nach § 28 BSIG sind; betrifft er personenbezogene Daten, gelten daneben Art. 33 und 34 DSGVO, die das DSGVO-Modul abdeckt, soweit es gebucht ist. Diese Meldungen sind gesondert zu erstatten; eine Weiterleitung durch eine Behörde wird nicht angenommen.

Freitextfelder dieses Profils tragen den Hinweis: „Nennen Sie keine einzelne Person."

Grenzen.

• Dieses Modul deckt nur Deutschland ab; andere Mitgliedstaaten sind nicht erfasst.
• Der Dienst ist nicht mit dem BSI-Portal oder anderen Meldewegen verbunden; das Modul bewahrt eine eigene Kopie der Entwürfe und der erfassten Übermittlungen des Kunden auf.
• Die Registrierung selbst (§ 33 BSIG) nimmt der Kunde im BSI-Portal vor; die Anmeldung erfolgt über „Mein Unternehmenskonto" mit einem ELSTER-Organisationszertifikat.
• Das Modul bewertet nicht, ob ein Sicherheitsvorfall erheblich ist; die Kriterien werden als Hinweis angezeigt.

4. DSGVO-Modul (Verletzungen des Schutzes personenbezogener Daten)

Rechtsvorschriften. Datenschutz-Grundverordnung Art. 4 Nr. 12, Art. 33 und 34; BDSG § 29 Abs. 1 sowie § 42 Abs. 4 und § 43 Abs. 4 (als Hinweise); § 169 TKG mit Verordnung (EU) Nr. 611/2013 (Profil Telekommunikation).

Betriebsarten. Das Modul umfasst in jeder Größe beide Betriebsarten; der Kunde wählt sie je Fall.

Verantwortlicher (der Kunde ist Verantwortlicher):

Das Modul zeigt den Meldeweg der Aufsichtsbehörde an, die der Kunde für die betroffene Gesellschaft als zuständig erfasst hat (die Aufsichtsbehörde des Landes oder der BfDI), soweit der Dienst für diese Behörde einen Meldeweg hinterlegt hat. Ist keiner hinterlegt, entnimmt der Kunde den Meldeweg der Internetseite der Behörde.

Auftragsverarbeiter (der Kunde verarbeitet personenbezogene Daten im Auftrag eigener Kunden):

Das Modul entwirft die Meldung mit den Angaben nach Art. 33 Abs. 3 DSGVO, die der Verantwortliche benötigt, und dokumentiert, wann welcher Verantwortliche informiert wurde. Über die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen entscheiden die Verantwortlichen des Kunden. Kürzere Fristen aus den Verträgen des Kunden mit seinen Verantwortlichen erfasst der Kunde mit der Zusatzfunktion Vertragsfristen (Abschnitt 5).

Profil Telekommunikation (Anbieter öffentlich zugänglicher Telekommunikationsdienste):

Datensparsamkeit. Das Modul erfasst Kategorien und ungefähre Zahlen betroffener Personen und Datensätze, nicht deren Identität. Freitextfelder tragen den Hinweis: „Nennen Sie keine einzelne Person."

Grenzen.

• Das Modul bewertet das Risiko für betroffene Personen nicht; die Risikofragen sind eine Checkliste, die der Kunde beantwortet.
• Welche Aufsichtsbehörde zuständig ist, erfasst der Kunde je Gesellschaft; das Modul bestimmt sie nicht. Grenzüberschreitende Fälle mit federführender Aufsichtsbehörde (Art. 56 DSGVO) werden als Hinweis angezeigt, nicht aufgelöst.
• Meldewege sind nur für deutsche Aufsichtsbehörden hinterlegt. Für andere Mitgliedstaaten gelten die Stufen des Art. 33 DSGVO; den Meldeweg erfasst der Kunde.

5. Zusatzfunktion Vertragsfristen

Inhalt. Der Kunde erfasst Mitteilungspflichten aus eigenen Verträgen, etwa Klauseln in Auftragsverarbeitungsverträgen, Service-Level-Vereinbarungen oder Kunden- und Lieferantenverträgen, die eine Information über Vorfälle binnen einer bestimmten Zeit verlangen, auch Klauseln, die er mit Kunden aus dem Finanzsektor vereinbart hat. Ein Vertrag ist im Dienst ein unter „Verträge“ erfasster Eintrag mit genau einer Mitteilungspflicht. Für jeden Vertrag erfasst der Kunde:

• den Vertragspartner;
• den Wortlaut der Klausel einschließlich des Ereignisses, das die Pflicht auslöst, und ihre Fundstelle;
• den Zeitpunkt, ab dem die Frist läuft, ausgewählt aus den Zeitpunkten, die der Dienst anbietet: Kenntnis vom Vorfall, Eintritt des Vorfalls oder das Ereignis, das der Vertrag nennt;
• die Frist, soweit der Vertrag eine bestimmt;
• wahlweise eine geschäftliche Adresse für Mitteilungen.

Enthält ein Vertrag mehrere Mitteilungspflichten, etwa eine Erstmitteilung und einen ausführlichen Bericht, erfasst der Kunde jede Pflicht als eigenen Vertrag.

Gibt der Kunde bei einem Vorfall an, dass dieser die Mitteilungspflicht eines Vertrags auslöst, eröffnet der Dienst diese Pflicht, berechnet ihre Frist, soweit eine Frist erfasst ist, alarmiert und erinnert, entwirft die Mitteilung mit den Angaben, die der Dienst dafür vorsieht, und dokumentiert die Mitteilung, sobald der Kunde sie als versandt erfasst, mit Zeitpunkt, Weg, Empfänger und einer Kopie. Der Kunde vervollständigt den Entwurf und versendet die Mitteilung selbst über den in seinem Vertrag bestimmten Weg. Abschnitt 1 (Gemeinsamer Teil) gilt entsprechend, mit diesen Abweichungen: Jede Pflicht nennt statt einer Rechtsgrundlage den Vertrag, aus dem sie folgt; Entwürfe folgen statt eines amtlichen Formulars den oben beschriebenen Angaben; „Rechtsstand“ und „Mehrere Module“ gelten nicht.

Anknüpfungszeitpunkt. Läuft die Frist nach dem Vertrag weder ab der Kenntnis noch ab dem Eintritt des Vorfalls, wählt der Kunde „das Ereignis, das der Vertrag nennt“ und erfasst dessen Zeitpunkt. Solange dieser Zeitpunkt nicht erfasst ist, berechnet der Dienst keine Frist und erinnert nicht.

Fristen. Fristen werden in Stunden, Tagen, Wochen oder Monaten erfasst, höchstens zehn Jahre. Sie werden nach Abschnitt 1 (Fristberechnung) berechnet: ab dem erfassten Zeitpunkt, Stunden genau, ein Tag als 24 Stunden, eine Woche als siebenmal 24 Stunden, ein Monat bis zum gleichen Kalendertag und zur gleichen Uhrzeit des Monats, in dem die Frist endet, oder, wenn dieser Monat keinen solchen Tag hat, bis zu dessen letztem Tag; ohne Verlängerung über Wochenenden oder Feiertage. Zählt ein Vertrag nach Werktagen oder in einer anderen Einheit, erfasst der Kunde die kürzeste Frist in den genannten Einheiten, die die vertragliche Frist ergeben kann.

Verträge ohne Frist. Erfasst der Kunde keine Frist, berechnet der Dienst keine Frist. Er erinnert 24 und 72 Stunden nach dem erfassten Zeitpunkt; diese Erinnerungen sind als solche gekennzeichnet und bilden keine Frist ab (Abschnitt 1, Rechtsgrundlagen und Erinnerungen).

Meldungen an Verantwortliche. Die Meldung eines Auftragsverarbeiters an den Verantwortlichen nach Art. 33 Abs. 2 DSGVO ist eine Stufe des DSGVO-Moduls (Abschnitt 4). Mit gebuchter Zusatzfunktion kann der Kunde für einen Vertrag mit einem Verantwortlichen die Frist und den Anknüpfungszeitpunkt erfassen, die sein Vertrag für diese Meldung bestimmt; die Stufe des DSGVO-Moduls verwendet dann diese Frist (Abschnitt 4). Verträge mit Verantwortlichen zählen nicht zur Größe der Zusatzfunktion, mit oder ohne eine solche Frist.

Größe. Die Zusatzfunktion ist eine Option im Sinne von § 3 Abs. 7 der AGB. Sie wird in einer Größe gebucht, die in Verträgen bemessen ist. Die Preisliste nennt die Größen und ihre Preise, die Modulgrößen, zu denen jede Größe buchbar ist, und die Höchstzahl an Verträgen, über die hinaus die Zusatzfunktion nur auf individuelles Angebot erhältlich ist (§ 2 Abs. 3 der AGB). In einem Enterprise-Tarif bestimmt das Angebot die Größe. Jeder für die Zusatzfunktion erfasste Vertrag zählt einmal; Verträge mit Verantwortlichen (oben) und archivierte Verträge zählen nicht (§ 3 Abs. 6a lit. a der AGB). Ein Vertrag mit offener Mitteilungspflicht kann nicht archiviert werden. Ein archivierter Vertrag kann erst nach seiner Wiederherstellung wieder bei einem Vorfall genannt werden; wiederhergestellt zählt er wieder. § 3 Abs. 6a lit. c und d der AGB gilt. Rabatte auf Module, insbesondere der Bündelrabatt (§ 7 Abs. 1a der AGB) und Aktionscodes (§ 7 Abs. 7 der AGB), gelten für die Zusatzfunktion nicht.

Änderungen. Für Buchung, Vergrößerung, Verkleinerung und Entfernung der Zusatzfunktion gilt § 7 Abs. 6 der AGB mit diesen Regeln:

• Eine kleinere Größe ist nur möglich, wenn die genutzten Verträge in sie passen; überzählige Verträge archiviert der Kunde zuvor. Passen die genutzten Verträge zu dem Zeitpunkt, zu dem die Änderung wirksam werden soll, nicht mehr in die kleinere Größe, wird die Änderung nicht umgesetzt, und die gebuchte Größe läuft weiter; BitHive informiert den Kunden. § 7 Abs. 6 lit. e Satz 4 der AGB gilt in diesem Fall nicht.
• Bliebe nach einer Änderung der Module kein Modul in einer Größe, zu der die gebuchte Größe buchbar ist, ist die Zusatzfunktion mit derselben Änderung auf eine Größe umzustellen, die zu den verbleibenden Modulen buchbar ist, oder zu entfernen.
• Die Entfernung wird zum Ende des Abrechnungszeitraums wirksam, während der kostenlosen Testphase sofort. Ab dann werden aus den Verträgen des Kunden keine neuen Mitteilungspflichten mehr eröffnet. Mitteilungspflichten, die zu diesem Zeitpunkt offen sind, behalten ihre Fristen und Alarme, bis der Kunde sie abschließt, wie § 7 Abs. 6 lit. c der AGB es für Module vorsieht. Die Verträge und ihre Unterlagen bleiben innerhalb der gebuchten Aufbewahrungsdauer exportierbar. Bei Meldungen an Verantwortliche bleiben Fristen bestehen, die bereits aus einer vertraglichen Frist berechnet sind; danach berechnete Fristen richten sich allein nach Art. 33 Abs. 2 DSGVO (Abschnitt 4). Bevor der Kunde die Entfernung bestätigt, weist der Dienst darauf hin.

Grenzen.

• BitHive liest die Verträge des Kunden nicht, legt sie nicht aus und prüft sie nicht. Die Pflichten gelten genau so, wie der Kunde sie erfasst. Ob ein Vorfall eine Pflicht aus einem Vertrag auslöst, entscheidet der Kunde; § 3 Abs. 2 der AGB gilt entsprechend.
• Der Dienst versendet nichts an Vertragspartner des Kunden. Alarme und Erinnerungen gehen nur an die Kontakte und Kanäle, die der Kunde eingerichtet hat.
• Die Zusatzfunktion macht BitHive nicht zur Partei der Verträge des Kunden, auch nicht der Verträge mit Finanzunternehmen; BitHive übernimmt keine Pflicht, die der Kunde seinen Vertragspartnern schuldet.