Allgemeine Geschäftsbedingungen (AGB)
Präambel
Diese Allgemeinen Geschäftsbedingungen (kurz AGB) bilden einen integrierenden Bestandteil des Vertrages, der die Erbringung eines Beratungsauftrages durch Lukas Michael Kulmitzer, MSc — auftretend unter der Geschäftsbezeichnung NextSecure Advisory, im Folgenden „Auftragnehmer“ — im Rahmen allgemein anerkannter Berufsgrundsätze zum Gegenstand hat. Der Vertragspartner wird nachfolgend als „Auftraggeber“ bezeichnet. Auftragnehmer und Auftraggeber werden gemeinsam als „Vertragsparteien“ bezeichnet.
Die Leistungen des Auftragnehmers richten sich ausschließlich an Unternehmer im Sinne des § 1 KSchG. Ein Vertragsabschluss mit Verbrauchern erfolgt nicht.
1. Allgemeine Grundlagen und Geltungsbereich
1.1 Für sämtliche Rechtsgeschäfte und sonstigen Geschäftsbeziehungen zwischen dem Auftraggeber und dem Auftragnehmer gelten diese Allgemeinen Geschäftsbedingungen. Maßgeblich ist jeweils die zum Zeitpunkt des Vertragsabschlusses gültige Fassung. Änderungen dieser AGB gelten nur für künftige Verträge; für bestehende Verträge nur mit Zustimmung des Auftraggebers.
1.2 Diese AGB gelten auch für alle künftigen Vertragsbeziehungen, selbst wenn bei Zusatzverträgen nicht ausdrücklich darauf hingewiesen wird.
1.3 Abweichende oder ergänzende Bedingungen des Auftraggebers gelten nur, soweit der Auftragnehmer ihnen ausdrücklich in Textform zustimmt. Individuelle Vereinbarungen im Angebot oder in der Auftragsbestätigung gehen diesen AGB vor.
1.4 Textform im Sinne dieser AGB ist jede lesbare Erklärung, die die Person des Erklärenden erkennen lässt und auf einem dauerhaften Datenträger abgegeben wird, insbesondere per E-Mail. Einer Unterschrift bedarf es nicht.
2. Umfang der Dienstleistungsbeauftragung
2.1 Der Auftragnehmer erbringt Beratungsleistungen im Bereich der Informationssicherheit. Diese umfassen insbesondere die Analyse und Bewertung (Reifegradanalysen, interne Audits und Auditvorbereitung), den Aufbau und die Umsetzung von Managementsystemen und regulatorischen Anforderungen sowie die laufende Betreuung im Rahmen eines Abonnements.
2.2 Art und Umfang der konkreten Leistungen werden vor Beginn im Angebot beziehungsweise in der Auftragsbestätigung festgelegt. Diese AGB regeln den Rahmen.
2.3 Der Auftragnehmer kann Aufgaben ganz oder teilweise an qualifizierte Dritte übertragen. Dafür ist die vorherige Zustimmung des Auftraggebers in Textform erforderlich; der Auftragnehmer nennt dabei vorab den Dritten und den Umfang der Übertragung. Der Auftraggeber wird seine Zustimmung nicht ohne sachlichen Grund verweigern. Ein Vertragsverhältnis entsteht ausschließlich zwischen dem Auftragnehmer und dem Dritten. Der Auftragnehmer verpflichtet den Dritten zu Vertraulichkeit und Informationssicherheit im selben Umfang, in dem er selbst verpflichtet ist, und haftet für ihn wie für sich selbst.
2.4 Leistungen über den vereinbarten Umfang hinaus erbringt der Auftragnehmer nur nach vorheriger Abstimmung. Er weist den Auftraggeber vorab in Textform auf den Mehraufwand und die voraussichtlichen Kosten hin; verrechnet werden sie erst nach Freigabe durch den Auftraggeber in Textform.
2.5 Der Auftragnehmer erbringt Dienstleistungen nach bestem fachlichem Wissen; er schuldet ein sorgfältiges Tätigwerden, jedoch keinen bestimmten wirtschaftlichen oder rechtlichen Erfolg. Insbesondere werden die Erteilung eines Zertifikats durch eine Zertifizierungsstelle, das Ergebnis behördlicher Prüfungen oder die Feststellung der Gesetzeskonformität durch Dritte nicht geschuldet, da sie außerhalb des Einflussbereichs des Auftragnehmers liegen.
3. Kostenlose Leistungen
3.1 Der Auftragnehmer stellt auf seiner Website einen kostenlosen Online-Schnellcheck zur Verfügung und bietet ein kostenloses Orientierungsgespräch an. Beide Leistungen sind unentgeltlich und unverbindlich; aus ihrer Inanspruchnahme entsteht kein Vertragsverhältnis und kein Anspruch auf weitere Leistungen.
3.2 Das Ergebnis des Schnellchecks beruht ausschließlich auf den Selbstangaben des Nutzers und stellt eine grobe Indikation dar. Es ersetzt weder eine fachliche Prüfung noch eine rechtliche Beurteilung und begründet keine Haftung des Auftragnehmers.
3.3 Auch Aussagen im Rahmen des kostenlosen Orientierungsgesprächs sind unverbindliche erste Einschätzungen ohne Prüfung von Unterlagen und Nachweisen. Eine Haftung für darauf gestützte Entscheidungen des Auftraggebers ist ausgeschlossen.
4. Abgrenzung zur Rechts- und Steuerberatung
4.1 Der Auftragnehmer erbringt technische und organisatorische Beratungsleistungen. Er erbringt keine Rechtsberatung, keine Steuerberatung und keine Wirtschaftsprüfung; entsprechende Tätigkeiten bleiben den dafür berufsrechtlich befugten Personen vorbehalten.
4.2 Einschätzungen zur Anwendbarkeit regulatorischer Vorgaben — insbesondere zur Betroffenheit nach NIS2 beziehungsweise dem NISG 2026, dem Cyber Resilience Act oder vergleichbaren Regelungen — sind fachliche Einordnungen und keine verbindliche rechtliche Feststellung. Die abschließende rechtliche Beurteilung obliegt dem Auftraggeber, erforderlichenfalls unter Beiziehung rechtlicher Beratung.
4.3 Der Auftragnehmer führt keine technischen Sicherheitsüberprüfungen wie Penetrationstests oder Schwachstellenscans durch. Solche Leistungen werden auf Wunsch an qualifizierte Partner vermittelt; ein Vertragsverhältnis entsteht in diesem Fall unmittelbar zwischen dem Auftraggeber und dem Partner.
5. Mitwirkung des Auftraggebers
5.1 Der Auftraggeber stellt sicher, dass am Ort der Leistungserbringung ein ungestörtes, effektives Arbeiten möglich ist.
5.2 Der Auftraggeber informiert den Auftragnehmer über laufende oder zurückliegende Tätigkeiten zum Leistungsgegenstand, auch aus anderen Bereichen, und stellt alle relevanten Unterlagen zur Verfügung.
5.3 Der Auftraggeber übermittelt alle zur Auftragserfüllung erforderlichen Informationen rechtzeitig und ohne besondere Aufforderung.
5.4 Der Auftragnehmer darf von der Richtigkeit und Vollständigkeit der übermittelten Unterlagen und Informationen ausgehen. Erkennbare Unstimmigkeiten oder Lücken teilt er dem Auftraggeber mit.
5.5 Der Auftraggeber informiert die betroffenen Mitarbeitenden über die Beauftragung.
6. Berichterstattung
6.1 Der Auftragnehmer informiert den Auftraggeber auf Wunsch über den Fortschritt der Arbeiten, mindestens jedoch im vertraglich vereinbarten Ausmaß.
6.2 Es erfolgen regelmäßige Abstimmungen, sofern keine andere Vereinbarung getroffen wurde.
6.3 Wesentliche Empfehlungen, Entscheidungen und vereinbarte nächste Schritte hält der Auftragnehmer in Textform fest, etwa im Monatsbericht, in einem Protokoll oder per E-Mail.
6.4 Der Auftragnehmer handelt eigenverantwortlich, ist weisungsfrei und nicht an bestimmte Arbeitszeiten oder -orte gebunden.
7. Eigentum und Nutzungsrechte
7.1 Alle Dokumente und Unterlagen, die der Auftragnehmer im Rahmen des Auftrags für den Auftraggeber erstellt — etwa Richtlinien, Konzepte, Risikoregister, Notfallpläne, Berichte und Analysen —, gehen mit der Übergabe und der Bezahlung des darauf entfallenden Entgelts in das Eigentum des Auftraggebers über.
7.2 Der Auftraggeber erhält daran das ausschließliche, zeitlich und räumlich unbeschränkte und übertragbare Recht, sie in jeder Form zu nutzen, zu bearbeiten, zu vervielfältigen und an Dritte weiterzugeben, insbesondere an verbundene Unternehmen, Dienstleister, Zertifizierungsstellen, Behörden, Wirtschaftsprüfer sowie an Kunden und Auditoren des Auftraggebers.
7.3 Ausgenommen sind Methoden, Vorlagen, Checklisten und Werkzeuge, die der Auftragnehmer unabhängig vom konkreten Auftrag entwickelt hat und auftragsübergreifend einsetzt. Soweit sie in die übergebenen Unterlagen eingeflossen sind, erhält der Auftraggeber daran ein nicht ausschließliches, zeitlich unbeschränktes Recht zur Nutzung und Bearbeitung im Rahmen dieser Unterlagen. Das Recht des Auftragnehmers, sein allgemeines Fachwissen und seine Erfahrung weiter zu verwenden, bleibt unberührt.
8. Gewährleistung
8.1 Der Auftragnehmer leistet Gewähr dafür, dass seine Leistungen dem vereinbarten Umfang entsprechen und fachgerecht erbracht werden.
8.2 Mängel sind dem Auftragnehmer innerhalb von vier Wochen ab Kenntnis in Textform mitzuteilen und möglichst konkret zu beschreiben.
8.3 Der Auftragnehmer behebt Mängel zunächst durch Verbesserung innerhalb angemessener Frist. Gelingt die Verbesserung nicht, lehnt der Auftragnehmer sie ab oder erfolgt sie nicht innerhalb angemessener Frist, kann der Auftraggeber eine angemessene Minderung des Entgelts oder — bei einem nicht bloß geringfügigen Mangel — die Auflösung des Vertrags verlangen.
8.4 Gewährleistungsansprüche verjähren zwölf Monate nach Erbringung der jeweiligen Leistung.
8.5 Behebt der Auftraggeber einen Mangel selbst oder durch Dritte, ohne dem Auftragnehmer zuvor Gelegenheit zur Verbesserung gegeben zu haben, besteht kein Anspruch auf Ersatz der dafür aufgewendeten Kosten.
9. Haftung und Schadenersatz
9.1 Der Auftragnehmer haftet für Schäden, die er vorsätzlich oder grob fahrlässig verursacht. Die Haftung für leichte Fahrlässigkeit ist ausgeschlossen; dies gilt nicht für Personenschäden.
9.2 Bei grober Fahrlässigkeit ist die Haftung je Schadensfall mit dem Auftragswert, bei Abonnementleistungen mit dem Entgelt für zwölf Monate, begrenzt. Für entgangenen Gewinn und mittelbare Schäden haftet der Auftragnehmer bei grober Fahrlässigkeit nicht. Die Beschränkungen dieses Punktes gelten nicht bei Vorsatz und nicht für Personenschäden.
9.3 Der Auftragnehmer erbringt keine Leistungen im IT-Betrieb; die Sicherung der Daten obliegt dem Auftraggeber. Bei Datenverlust haftet der Auftragnehmer im Rahmen der Punkte 9.1 und 9.2 nur für den Aufwand, der zur Wiederherstellung bei ordnungsgemäßer Datensicherung erforderlich gewesen wäre.
9.4 Für den Erfolg empfohlener Maßnahmen sowie für deren Umsetzung durch den Auftraggeber oder dessen Dienstleister haftet der Auftragnehmer nicht. Die Entscheidung über die Umsetzung liegt beim Auftraggeber.
9.5 Eine Haftung besteht nicht, soweit der Schaden auf unrichtige oder unvollständige Angaben des Auftraggebers oder auf eine fehlende Mitwirkung des Auftraggebers zurückzuführen ist.
9.6 Schadenersatzansprüche verjähren ein Jahr ab Kenntnis von Schaden und Schädiger, spätestens jedoch drei Jahre nach Erbringung der schadensbegründenden Leistung.
10. Geheimhaltung, Informationssicherheit und Datenschutz
10.1 Der Auftragnehmer verpflichtet sich zur Verschwiegenheit über alle im Rahmen der Tätigkeit erlangten Informationen.
10.2 Die Verschwiegenheitspflicht gilt auch gegenüber Dritten, insbesondere hinsichtlich personenbezogener Daten und Kundeninformationen.
10.3 Die Verschwiegenheitspflicht gilt zeitlich unbefristet über das Vertragsverhältnis hinaus.
10.4 Der Auftragnehmer schützt die Informationen des Auftraggebers durch angemessene technische und organisatorische Maßnahmen, die ihrem Schutzbedarf entsprechen.
10.5 Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Sicherheitsvorfälle bei sich, die Informationen des Auftraggebers betreffen können.
10.6 Nach Vertragsende gibt der Auftragnehmer die erhaltenen Unterlagen zurück und löscht die bei ihm verbliebenen Informationen des Auftraggebers innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Verlangen bestätigt er die Löschung in Textform.
10.7 Soweit der Auftragnehmer im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, wird eine gesonderte Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.
10.8 Der Auftragnehmer nennt den Auftraggeber nur nach vorheriger Freigabe in Textform als Referenz. Ohne Freigabe erfolgt eine Nennung ausschließlich anonymisiert, etwa durch Angabe von Branche und Unternehmensgröße, und nur so, dass der Auftraggeber nicht erkennbar ist.
11. Honorar und Rechnungslegung
11.1 Das Honorar richtet sich nach dem Angebot beziehungsweise der Auftragsbestätigung und ist ab Rechnungslegung ohne Abzug innerhalb von 14 Tagen fällig. Akontozahlungen können vereinbart werden.
11.2 Alle Preisangaben verstehen sich zuzüglich der gesetzlichen Umsatzsteuer.
11.3 Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen für Unternehmergeschäfte gemäß § 456 UGB. Zweckentsprechende Mahn- und Inkassokosten sind vom Auftraggeber zu ersetzen.
11.4 Reisekosten, Spesen und Barauslagen sind zusätzlich zu ersetzen, soweit im Angebot nichts anderes vereinbart ist. Reisezeiten werden nach gesonderter Vereinbarung verrechnet.
11.5 Zeichnet sich ab, dass der vereinbarte oder geschätzte Aufwand aus Gründen überschritten wird, die im Bereich des Auftraggebers liegen — etwa geänderte Anforderungen oder verspätete Mitwirkung —, informiert der Auftragnehmer den Auftraggeber unverzüglich. Der Mehraufwand wird nach Punkt 2.4 abgestimmt und verrechnet.
11.6 Ist der Auftraggeber in Zahlungsverzug, kann der Auftragnehmer nach Mahnung und Setzung einer Nachfrist von 14 Tagen weitere Leistungen bis zur Zahlung aussetzen.
11.7 Eine Aufrechnung ist nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen zulässig.
11.8 Der Auftragnehmer ist berechtigt, Rechnungen elektronisch zu übermitteln. Der Auftraggeber stimmt dem ausdrücklich zu.
11.9 Entgelte für Abonnements und andere Dauerverträge sind wertgesichert nach dem Verbraucherpreisindex 2025 (VPI 2025) der Statistik Austria oder dem an seine Stelle tretenden Index. Ausgangsbasis ist die für den Monat des Vertragsabschlusses verlautbarte Indexzahl. Die Anpassung erfolgt einmal jährlich zum 1. Jänner entsprechend der Indexveränderung seit Vertragsabschluss beziehungsweise seit der letzten Anpassung, erstmals nach einer Vertragslaufzeit von mindestens sechs Monaten. Der Auftragnehmer kündigt die Anpassung mindestens einen Monat vorher in Textform an. Sinkt der Index, ermäßigt sich das Entgelt entsprechend. Unterbleibt eine Anpassung, gilt dies nicht als Verzicht.
12. Absage, Verschiebung und vorzeitige Beendigung
12.1 Vereinbarte Termine — etwa Workshops, Schulungen, Audittage oder Vor-Ort-Termine — kann der Auftraggeber bis zehn Arbeitstage (Montag bis Freitag, ausgenommen gesetzliche Feiertage) vorher kostenfrei absagen. Bei einer Absage zwischen neun und fünf Arbeitstagen vorher werden 50 %, bei einer späteren Absage oder Nichterscheinen 100 % des auf den Termin entfallenden Honorars verrechnet. Eine einmalige Verschiebung bis fünf Arbeitstage vorher ist kostenfrei. Bereits angefallene, nicht stornierbare Reisekosten sind in jedem Fall zu ersetzen.
12.2 Muss der Auftragnehmer einen Termin absagen, etwa wegen Krankheit, vereinbaren die Vertragsparteien einen Ersatztermin; dem Auftraggeber entstehen dadurch keine Kosten.
12.3 Der Auftraggeber kann einen Projektauftrag jederzeit in Textform vorzeitig beenden. In diesem Fall verrechnet der Auftragnehmer die bis dahin erbrachten Leistungen und angefallenen Auslagen sowie 20 % des Honorars für die noch nicht erbrachten Leistungen; für bereits fest vereinbarte Termine gilt anstelle dessen Punkt 12.1. Ein darüber hinausgehender Anspruch auf das Honorar besteht nicht.
13. Abonnementleistungen (CISO Flex)
13.1 Die laufende Betreuung wird als Abonnement mit einem monatlichen Pauschalentgelt erbracht. Leistungsumfang, gewählte Stufe und Entgelt ergeben sich aus dem Angebot beziehungsweise der Auftragsbestätigung.
13.2 Das monatliche Entgelt wird im Nachhinein abgerechnet. Der vereinbarte Leistungsumfang ist ein monatlicher Richtwert; die Verteilung der Leistungen erfolgt nach Abstimmung und Bedarf, kurzfristige Spitzen sind abgedeckt. Das Entgelt ist unabhängig vom tatsächlichen Abruf im jeweiligen Monat geschuldet; nicht abgerufene Leistungen werden nicht in Folgemonate übertragen.
13.3 Auf der Website veröffentlichte Preise gelten für den dort beschriebenen Leistungsumfang. Weicht der Umfang ab, etwa wegen Größe oder Komplexität der Organisation des Auftraggebers, wird das Entgelt vor Vertragsabschluss individuell festgelegt. Maßgeblich ist in jedem Fall das im Angebot vereinbarte Entgelt.
13.4 Ein Wechsel zwischen den Abonnementstufen ist in beide Richtungen jeweils zum Ersten des Folgemonats möglich und bedarf einer Mitteilung in Textform bis spätestens zum 15. des laufenden Monats.
13.5 Das Abonnement wird auf unbestimmte Zeit mit einer Mindestlaufzeit von drei Monaten abgeschlossen. Nach Ablauf der Mindestlaufzeit kann es von beiden Vertragsparteien mit einer Frist von einem Monat zum Ende eines Kalendermonats in Textform gekündigt werden.
13.6 Bei Beendigung übergibt der Auftragnehmer alle im Rahmen der Betreuung erstellten Unterlagen in einem gängigen, bearbeitbaren Format; es gilt Punkt 7. Eine darüber hinausgehende Übergabe- oder Einschulungsleistung, etwa an einen Nachfolger, wird gesondert vereinbart.
13.7 Übersteigt der Bedarf des Auftraggebers den vereinbarten Richtwert in zwei aufeinanderfolgenden Monaten deutlich, stimmen sich die Vertragsparteien über eine Anpassung der Leistungsstufe oder des Leistungsumfangs ab. Bis zu einer Einigung erbringt der Auftragnehmer die Leistungen im Rahmen des vereinbarten Richtwerts; darüber hinausgehende Leistungen nach Punkt 2.4.
13.8 Geschäftszeiten des Auftragnehmers sind Montag bis Freitag, ausgenommen gesetzliche Feiertage in Kärnten, jeweils von 9 bis 17 Uhr. Bei Sicherheitsvorfällen meldet sich der Auftragnehmer in der Stufe CISO Flex Start zeitnah nach seiner Verfügbarkeit, in der Stufe CISO Flex Plus innerhalb von drei Stunden nach Eingang der Meldung des Auftraggebers über die vereinbarten Kontaktwege. Diese Frist läuft ausschließlich während der Geschäftszeiten; Meldungen außerhalb der Geschäftszeiten gelten als zu Beginn der nächsten Geschäftszeit eingegangen. Die Rückmeldung umfasst eine erste fachliche Einschätzung und die Abstimmung der nächsten Schritte; technische Analyse, Eindämmung und Wiederherstellung sind nicht umfasst. Ein Bereitschaftsdienst außerhalb der Geschäftszeiten ist nicht vereinbart.
13.9 Planbare Abwesenheiten des Auftragnehmers, etwa Urlaub, werden dem Auftraggeber rechtzeitig, in der Regel mindestens zwei Wochen vorher, in Textform angekündigt; unvorhersehbare Verhinderungen, etwa Krankheit, unverzüglich. Während solcher Abwesenheiten gilt die Frist nach Punkt 13.9 nicht; der Auftragnehmer teilt mit, wie dringende Anliegen in dieser Zeit behandelt werden. Eine Vertretung kann im Angebot individuell vereinbart werden.
14. Höhere Gewalt
14.1 Keine Vertragspartei haftet für die Nicht- oder verspätete Erfüllung ihrer Pflichten, soweit diese auf Ereignisse außerhalb ihres Einflussbereichs zurückgeht, etwa Naturereignisse, Epidemien, behördliche Anordnungen oder großflächige Ausfälle von Strom- und Kommunikationsnetzen. Die betroffene Vertragspartei informiert die andere unverzüglich.
14.2 Leistungsfristen verlängern sich um die Dauer des Ereignisses. Dauert es länger als zwei Monate, kann jede Vertragspartei den Vertrag in Textform auflösen; bereits erbrachte Leistungen werden verrechnet.
15. Vertragsdauer und Kündigung
15.1 Projektbezogene Aufträge enden mit vollständiger Erbringung der vereinbarten Leistung oder nach Punkt 12.3.
15.2 Auf unbestimmte Zeit geschlossene Verträge außerhalb des Abonnements können von beiden Vertragsparteien unter Einhaltung einer Frist von drei Monaten zum Ende eines Kalendermonats gekündigt werden. Für Abonnementleistungen gilt vorrangig Punkt 13.5.
15.3 Jeder Vertrag kann aus wichtigem Grund jederzeit und ohne Einhaltung einer Frist aufgelöst werden — etwa bei erheblichen Pflichtverletzungen, die trotz Aufforderung in Textform nicht innerhalb angemessener Frist abgestellt werden, oder bei Zahlungsverzug von mehr als 30 Tagen trotz Mahnung mit Nachfrist.
15.4 Kündigungen bedürfen zu ihrer Wirksamkeit der Textform.
16. Schlussbestimmungen
16.1 Änderungen und Ergänzungen des Vertrages bedürfen der Textform.
16.2 Es gilt ausschließlich österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts.
16.3 Erfüllungsort und ausschließlicher Gerichtsstand ist der Sitz des Auftragnehmers in Klagenfurt am Wörthersee.
16.4 Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
Stand
28. Oktober 2026