Allgemeine Geschäftsbedingungen (AGB)
Stand: Juli 2026 • Version 1.0 • MadeByLui (Lukas Kiermeyer)
Stand
Juli 2026
Version
1.0
Geltungsbereich
SecScanner SaaS (Web-Interface, API, Dashboard), BFSG Microservice API, MadeByLui Agenturleistungen (soweit nicht individuell abweichend vereinbart)
§ 1 Geltungsbereich & Vertragsparteien
(1) Diese AGB gelten für alle Verträge über die Nutzung des SecScanner SaaS (nachfolgend "Dienst"), der BFSG Microservice API sowie für Agenturleistungen der MadeByLui (Lukas Kiermeyer, Seidlweg 10a, 93333 Neustadt an der Donau), soweit nicht schriftlich abweichende Vereinbarungen getroffen werden.
(2) Vertragspartner sind MadeByLui (Anbieter) und der Kunde (Unternehmer im Sinne von § 14 BGB, kein Verbraucher i. S. d. § 13 BGB). Die AGB gelten ausschließlich; entgegenstehende AGB des Kunden werden nicht Vertragsbestandteil, es sei denn, ihrer Geltung wird ausdrücklich schriftlich zugestimmt.
(3) "SecScanner" umfasst: Web-Dashboard, REST-API (/scan, /health, /metrics), Dashboard-UI, PDF-Reports, Scan-History, API-Key-Management, BFSG Microservice Integration.
§ 2 Leistungsbeschreibung & Tiers
(1) Der Dienst wird in drei Stufen (Tiers) angeboten:
| Tier | Zielgruppe | Scope | Volumen |
|---|---|---|---|
| Free | Entwickler, KMU | Passive Only: DNS, TLS, Headers, robots, axe-core (statisch), Fingerprint | 10 / Monat |
| Pro | Agenturen, Firmen | Full Active: Free + Playwright, Auth-Scans, PDF-Reports, Custom Rules | 100 / Monat |
| Enterprise | KRITIS, Konzerne | Continuous: Pro + SIEM-Webhooks, Custom Rule Engine, Evidence Packs | Unbegrenzt |
(2) Free Tier = Passive Only. Keine Browser-Automation, keine Auth-Scans, keine Screenshots/PDFs, keine WAF-Bypass-Header, keine Exploitation. Nur passive OSINT-Analyse öffentlich zugänglicher Daten.
(3) Active Scanning (Pro/Enterprise) erfordert: Schriftlichen Pentest-Vertrag (Scope, Zeitfenster, IPs), KYC (HRB/HR-Nummer, USt-IdNr., Geschäftsführer), IP-Whitelist, AVV (Art. 28 DSGVO), Digitale Signatur. Ohne diese Dokumente: Automatischer Fallback auf Free Tier.
(4) Der Kunde ist verpflichtet, nur URLs zu scannen, für die er berechtigt ist (Eigentum, Einwilligung, Bug-Bounty). Missbrauch führt zur sofortigen Sperrung.
§ 3 Preise & Zahlung
(1) Preise (netto, zzgl. USt. falls nicht § 19 UStG):
| Tier | Monatlich | Jährlich (20 % Rabatt) | Setup-Fee |
|---|---|---|---|
| Free | 0 € | — | — |
| Pro | 299 € | 2.870 € | 0 € |
| Enterprise | 1.999 € | 19.190 € | Nach Aufwand |
(2) Zahlungsweise: SEPA-Lastschrift via Stripe (Mandat über Stripe Payment Link) oder Überweisung. Stripe-Gebühren werden nicht auf den Kunden umgelegt.
(3) Rechnungsstellung: Monatlich im Voraus (Pro/Enterprise) oder nach Scan-Volumen (Enterprise Custom). Free Tier: Keine Rechnung.
(4) Zahlungsverzug: 8 € Bearbeitungsgebühr pro Rücklastschrift + gesetzliche Verzugszinsen (§ 288 BGB). Bei Zahlungsverzug > 14 Tage: Dienst-Sperrung bis Ausgleich.
§ 4 Vertragslaufzeit & Kündigung
(1) Free Tier: Jederzeit kündbar (API-Key löschen). Keine Mindestlaufzeit.
(2) Pro Tier: Mindestlaufzeit 12 Monate, danach monatlich kündbar mit 1 Monat Frist (§ 309 Nr. 9 BGB).
(3) Enterprise Tier: Mindestlaufzeit 12 Monate, Kündigungsfrist 3 Monate. Auto-Verlängerung bei nicht fristgerechter Kündigung.
(4) Wichtiger Grund: Jede Partei kann fristlos kündigen bei schwerwiegender Vertragsverletzung (Zahlungsverzug, Missbrauch, Datenschutzverstoß).
(5) Nach Kündigung: Datenexport (JSON/CSV) auf Anfrage bis 30 Tage möglich. Danach automatische Löschung.
§ 5 Pflichten des Kunden
(1) Sicherstellung der Berechtigung für gescannte URLs (Bug-Bounty, Eigentum).
(2) Geheimhaltung der API-Keys und Nutzung von IP-Whitelisting (Pro/Enterprise).
(3) Keine schädlichen Payloads (Malware, Massen-Requests über Limits hinaus).
(4) Pflege aktueller Kontaktdaten im Dashboard.
(5) Bei Active Scanning stellt der Kunde sicher, dass Ziel-Systeme Lasttests vertragen (Staging empfohlen).
§ 6 Haftung & Gewährleistung
(1) Free Tier: Keine Gewährleistung für Vollständigkeit, Aktualität oder Richtigkeit der Scan-Ergebnisse. Der Dienst wird "as is" bereitgestellt.
(2) Pro/Enterprise: MadeByLui haftet für Vorsatz und grobe Fahrlässigkeit unbeschränkt. Für leichte Fahrlässigkeit nur bei Verletzung wesentlicher Vertragspflichten, begrenzt auf den vorhersehbaren Schaden (max. 12 Monatsentgelte).
Ausdrücklicher Haftungsausschluss für:
- Schäden durch unsachgemäße Nutzung (z. B. Scans gegen Produktion ohne Lasttest)
- Folgeschäden, entgangenen Gewinn, Datenverlust (Kunde muss Backups vorhalten)
- DDoS/DoS durch Scans (Kunde verantwortlich für Rate-Limiting auf Ziel-Seite)
- Rechtliche Konsequenzen unberechtigter Scans
- False Positives oder False Negatives (unerkannt bleibende Sicherheitslücken)
(4) Keine Haftung für Drittanbieter-Ausfälle (Cloudflare, Oracle Cloud, Stripe, Cal.com, Form.taxi), soweit MadeByLui deren Auswahl sorgfältig getroffen hat.
§ 7 Datenschutz & AVV
(1) Verarbeitung gem. DSGVO und BDSG.
(2) Für Pro/Enterprise wird ein AVV (Art. 28 DSGVO) geschlossen.
(3) Sub-Dienstleister: Cloudflare, Oracle, Stripe, Cal.com, Form.taxi.
(4) Umsetzung strenger TOMs: TLS 1.3, HSTS, CSP, Hash-Verschlüsselung, WORM-Logs, MFA.
§ 8 Geistiges Eigentum
(1) Alle Rechte an Code, UI, Algorithmen verbleiben bei MadeByLui.
(2) Der Kunde erhält ein einfaches Nutzungsrecht an den Reports für interne Zwecke.
(3) Verbot von Weitergabe, Reverse Engineering oder Erstellung konkurrierender Dienste.
§ 9 Vertraulichkeit
(1) Beide Parteien behandeln sensible Informationen (API-Keys, Lücken) streng vertraulich.
(2) Diese Verpflichtung besteht über das Vertragsende hinaus für 3 Jahre.
§ 10 & § 11 Schlussbestimmungen
Höhere Gewalt: Keine Haftung für Naturkatastrophen, Internetausfälle, Pandemien.
Gerichtsstand: Neustadt an der Donau. Es gilt deutsches Recht (BGB, DSGVO, DDG).
Schriftform: Änderungen bedürfen der Schriftform. Salvatorische Klausel greift bei Unwirksamkeit einzelner Bestimmungen.
ANLAGE: MADEBYLUI STANDARD-AVV
Gemäß Art. 28 DSGVO zwischen MadeByLui (Auftragsverarbeiter) und Kunde (Verantwortlicher)
- Gegenstand: Verarbeitung von Scan-URLs, API-Keys, Scan-Ergebnissen
- Dauer: Vertragslaufzeit + 30 Tage Nachvertragliche Löschung
- Art der Daten: IP-Adressen, URLs, Scan-Ergebnisse (keine Art. 9 DSGVO)
- Sub-AV: Cloudflare, Oracle, Stripe, Cal.com, Form.taxi
- Vertragsstrafe (TOM-Verletzung): 5.000 € je Verstoß (vereinbart)
- Pseudonymisierung (API-Key Hashing)
- Verschlüsselung (TLS 1.3, AES-256 at rest)
- Zugriffskontrolle (RBAC, MFA, IP-Whitelist)
- Verfügbarkeit (Cloudflare 99.9%, Oracle 99.9%)
- Belastbarkeit (Rate-Limiting, WAF, DDoS-Schutz)
- Verfahren zur Prüfung (PenTests, Vuln-Scans)