Allgemeine Geschäftsbedingungen

Diese Bedingungen gelten für alle Verträge zwischen dem Anbieter und dem Kunden über die Nutzung von Redcheck, einschließlich der Website red-check.de, der Anwendung unter app.red-check.de, der Programmierschnittstelle unter api.red-check.de und des MCP-Servers.

Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich in Textform zu. Das gilt auch dann, wenn der Anbieter in Kenntnis solcher Bedingungen die Leistung vorbehaltlos erbringt.

Redcheck richtet sich an Unternehmer im Sinne des § 14 BGB. Schließt ausnahmsweise ein Verbraucher einen Vertrag, gelten die zwingenden verbraucherschützenden Vorschriften vorrangig; die Widerrufsbelehrung ist dann Bestandteil dieses Vertrags.

Die Darstellung der Pläne auf der Preisseite ist kein bindendes Angebot, sondern eine Aufforderung zur Abgabe eines Angebots.

Der Kunde legt ein Konto an, indem er im Registrierungsformular eine geschäftliche E-Mail-Adresse, ein Passwort und den Namen seiner Organisation angibt und diese Bedingungen bestätigt. Mit dem Absenden gibt er ein Angebot auf Abschluss eines Nutzungsvertrags im Plan Free ab. Der Vertrag kommt zustande, sobald der Anbieter das Konto freischaltet und die E-Mail-Adresse bestätigt ist.

Einen kostenpflichtigen Plan bucht der Kunde in der Anwendung unter „Abo“. Der Bezahlvorgang läuft über den Zahlungsdienstleister Stripe. Der Vertrag über den kostenpflichtigen Plan kommt mit der Bestätigung der Zahlung durch Stripe und der Freischaltung des Plans zustande.

Der Vertragstext wird vom Anbieter gespeichert. Der Kunde kann die jeweils geltende Fassung dieser Bedingungen jederzeit auf dieser Seite abrufen und speichern. Vertragssprache ist Deutsch.

Der Plan Agentur wird individuell vereinbart. Hier kommt der Vertrag durch beiderseitige Erklärung in Textform zustande.

Redcheck prüft Websites automatisiert auf Sicherheits-, Datenschutz- und Barrierefreiheitsmängel und stellt die Ergebnisse als Bericht bereit. Die Sicherheitsprüfung hat zwei Stufen:

• Passiv: Zugriffe von außen ohne Anmeldung, ohne Absenden von Formularen und ohne Ausprobieren von Zugangsdaten. Dazu gehören neben gewöhnlichen Seitenaufrufen eine Anfrage, welche HTTP-Methoden der Server erlaubt (OPTIONS), Anfragen nach bekannten Konfigurations- und Sicherungsdateien, von denen höchstens die ersten 512 Byte gelesen werden, eine Anfrage mit fremdem Origin-Kopf und Verbindungsversuche mit veralteten TLS-Fassungen. Inhalte werden dabei weder angelegt noch geändert. Geprüft werden unter anderem DNS-Einträge (SPF, DMARC, CAA), eingesetzte Software und deren Versionen, Sicherheits-Header, die HTTPS-Weiterleitung, die TLS-Konfiguration, CORS und zugelassene HTTP-Methoden, offen erreichbare Pfade sowie der Abgleich erkannter Produkte mit Schwachstellen- und Produktlebenszyklusdaten. Dazu kommt eine Datenschutzprüfung, bei der die Startseite und eine Stichprobe von Unterseiten (zusammen höchstens 30 Seiten, bei einer Vollprüfung jede gefundene Seite) in einem echten Browser geladen werden und ausgewertet wird, welche Cookies und Drittanbieter vor einer Einwilligung geladen werden.
• Aktiv: gezielte Tests gegen die Infrastruktur des Kunden, etwa Portscan, TLS-Tiefenprüfung, schwachstellenbezogene Prüfvorlagen, Erkennung von Web Application Firewalls, Prüfung der Anmeldedrosselung sowie Tests auf reflektierte Cross-Site-Scripting- und SQL-Injection-Schwachstellen. Aktive Prüfungen setzen eine verifizierte Domain voraus (Abschnitt „Pflichten des Kunden bei Prüfungen“).

Barrierefreiheit: eine automatisierte Prüfung nach WCAG 2.2 auf den Stufen A und AA, im echten Browser über dieselben Seiten wie die Datenschutzprüfung. Der Bericht führt alle Erfolgskriterien mit ihrem Stand auf und benennt, welche nur von Hand beurteilt werden können. Die Prüfung ersetzt kein Gutachten zur Barrierefreiheit, etwa nach BITV 2.0, und keine Konformitätsbewertung nach dem BFSG.

KI-Scan (Beta): Im Plan Agentur kann der Kunde für eine verifizierte Domain einen KI-Scan anfragen. Ein Prüfer von Redcheck führt ihn durch und erstellt den Bericht als PDF; Daten des Kunden werden dabei an kein System künstlicher Intelligenz übermittelt. Der Anbieter kann eine Anfrage ablehnen. Berechnet wird ein KI-Scan erst, wenn der Bericht bereitsteht, zum vereinbarten Preis. Als Beta-Leistung kann sich der Umfang ändern; ein Anspruch auf Durchführung besteht nicht.

Der Umfang der ausgelieferten Artefakte richtet sich nach dem Plan: Der Bericht als PDF ist in jedem Plan enthalten, die maschinenlesbare Datei findings.json ab dem Plan Pro. Ebenfalls ab Pro stehen der Verlauf und Vergleich früherer Läufe, die Programmierschnittstelle und zeitgesteuerte Läufe zur Verfügung. Den MCP-Server gibt es nur im Plan Agentur.

Schreibende Prüfungen und Prüfungen, die über die aktive Stufe hinausgehen, sind nicht Bestandteil der buchbaren Pläne. Sie werden ausschließlich aufgrund einer gesonderten Vereinbarung in Textform durchgeführt, die Zeitfenster, Ansprechpartner und eine Freigabereferenz benennt, und sie werden vom Anbieter ausgelöst, nicht vom Kunden gebucht.

Was Redcheck nicht ist

Redcheck ist ein automatisiertes Prüfwerkzeug. Es ersetzt keinen manuellen Penetrationstest, keine Code-Prüfung, keine Zertifizierung und keine Rechtsberatung. Ein Bericht beschreibt den Zustand der geprüften Website zum Zeitpunkt des Laufs mit den Mitteln der eingesetzten Werkzeuge.

Der Anbieter schuldet die sorgfältige Durchführung der Prüfung, nicht die Auffindung aller vorhandenen Schwachstellen. Eine Zusicherung, dass eine geprüfte Website frei von Schwachstellen ist, ist mit einem Bericht nicht verbunden. Fällt ein einzelnes Prüfwerkzeug aus, bricht der Lauf nicht ab; die Lücke wird im Bericht als Einschränkung des Prüfumfangs ausgewiesen.

Bewertungen im Bericht sind nach ihrer Konfidenz gekennzeichnet. „Bestätigt“ steht nur dort, wo die genaue Version erkannt wurde und der Abgleich eindeutig ist; „möglich“ bedeutet, dass die Schwachstelle zur erkannten Produktfamilie passt, die Version aber nicht sicher ist.

Der Anbieter räumt dem Kunden für die Vertragslaufzeit das nicht ausschließliche, nicht übertragbare Recht ein, Redcheck über das Internet für eigene Zwecke und für Zwecke seiner Auftraggeber zu nutzen. Ein Anspruch auf Überlassung der Software besteht nicht.

An den erzeugten Berichten und Befunddaten räumt der Anbieter dem Kunden ein zeitlich und räumlich unbeschränktes, übertragbares Nutzungsrecht ein. Der Kunde darf Berichte an seine Auftraggeber weitergeben. Im Plan Agentur darf er sie mit eigenem Namen und Logo versehen.

Der Kunde ist verpflichtet, Zugangsdaten, Wiederherstellungscodes und API-Schlüssel geheim zu halten und vor dem Zugriff Dritter zu schützen. Die Weitergabe eines Zugangs an Personen außerhalb der Organisation des Kunden ist unzulässig; für weitere Personen sind Mitgliedschaften in der Organisation anzulegen.

Besteht der Verdacht, dass ein Zugang kompromittiert ist, teilt der Kunde dies dem Anbieter unverzüglich mit und widerruft betroffene API-Schlüssel selbst in den Einstellungen.

Berechtigung an der Domain

Der Kunde darf eine Domain nur prüfen lassen, wenn er zu deren Prüfung berechtigt ist, weil sie ihm gehört oder weil der Inhaber ihn beauftragt hat. Er sichert dies mit jeder Beauftragung eines Laufs zu.

Vor jeder aktiven Prüfung weist der Kunde das Eigentum an der Domain technisch nach. Zur Verfügung stehen ein DNS-TXT-Eintrag unter _redcheck.<domain>, eine Datei unter /.well-known/ oder ein Meta-Tag im Quelltext der Startseite. Näheres beschreibt die Anleitung zur Domain-Verifikation. Ohne Nachweis bleibt es bei passiven Prüfungen.

Nach dem Nachweis fixiert der Anbieter die aufgelösten IP-Adressen der Domain. Aktive Anfragen gehen ausschließlich an diese Adressen. Wechselt der Kunde den Hoster oder die IP-Adresse, wiederholt er den Nachweis.

Liegt die Domain erkennbar auf einer fremden Plattform, deren Infrastruktur nicht dem Kunden gehört, unterdrückt der Anbieter aktive Prüfungen auch bei verifizierter Domain.

Zusammenarbeit mit Dritten

Aktive Prüfungen können bei Hostern, Betreibern von Web Application Firewalls und in Abwehrsystemen Alarme auslösen. Der Kunde ist dafür verantwortlich, die von ihm eingesetzten Dienstleister vorab zu informieren und, soweit deren Bedingungen dies verlangen, deren Zustimmung einzuholen.

Missbrauchsverbot

Dem Kunden ist untersagt:

• Domains prüfen zu lassen, an denen er keine Berechtigung hat, oder die Berechtigung wahrheitswidrig zuzusichern;
• die Verifikation oder die Begrenzung des Prüfumfangs zu umgehen oder zu umgehen zu versuchen;
• Redcheck zur Vorbereitung, Durchführung oder Verschleierung von Angriffen auf fremde Systeme zu nutzen;
• die Plattform durch automatisierte Abfragen über das für die eigene Nutzung erforderliche Maß hinaus zu belasten;
• Berichte über fremde Domains ohne Berechtigung des Inhabers zu veröffentlichen.

Der Kunde stellt den Anbieter von allen Ansprüchen Dritter frei, die daraus entstehen, dass er eine Domain hat prüfen lassen, für die ihm die Berechtigung fehlte, oder dass er gegen die Pflichten dieses Abschnitts verstoßen hat. Die Freistellung umfasst die Kosten einer angemessenen Rechtsverteidigung.

Der Anbieter darf Läufe drosseln, abbrechen oder ein Konto sperren, wenn konkrete Anhaltspunkte für einen Verstoß gegen den Abschnitt „Pflichten des Kunden bei Prüfungen“ vorliegen, wenn eine Missbrauchsmeldung eingeht, die auf die Organisation des Kunden zurückführt, oder wenn der Betrieb der Plattform anderweitig gefährdet ist.

Missbrauchsmeldungen nimmt der Anbieter unter abuse@red-check.de entgegen. Jeder Lauf ist über ein hash-verkettetes Audit-Log einer Organisation und einer Berechtigung zuordenbar.

Der Anbieter unterrichtet den Kunden über eine Drosselung oder Sperre und nennt den Grund. Der Hinweis erscheint in der Anwendung; er wird auf Wunsch in Textform wiederholt. Der Kunde kann dazu Stellung nehmen. Ist der Grund ausgeräumt, hebt der Anbieter die Sperre auf.

Bei einer Sperre bleiben bereits erzeugte Berichte für den Kunden abrufbar; neue Läufe sind nicht möglich. Bei einem schwerwiegenden Verstoß darf der Anbieter den Vertrag außerordentlich kündigen.

Droht durch den Verstoß ein Schaden für Dritte oder liegt ein klarer Missbrauch der Freigabe vor, kann der Anbieter das Konto sofort sperren. In allen anderen Fällen spricht er zuvor eine Abmahnung aus und setzt dem Kunden eine Frist von sieben Tagen zur Stellungnahme.

Es gibt drei Pläne:

Free

Ein passiver Scan je Monat, eine Domain, Bericht als PDF. Kostenfrei.

Pro

Je Domain und Monat. Passive Scans unbegrenzt, aktive Scans nach Domain-Verifikation, Datenschutzprüfung, Verlauf und Vergleich, findings.json, Programmierschnittstelle, Team bis fünf Personen.

Agentur

Abrechnung je Lauf und je Paket (Sicherheit passiv, Sicherheit aktiv, Datenschutz, Barrierefreiheit, KI-Scan) zu einem mit dem Kunden vereinbarten Preis je Paket. Für Domains fällt kein Entgelt an. Fehlgeschlagene und abgebrochene Läufe werden nicht berechnet. Zusätzlich Berichte mit eigenem Namen, unbegrenztes Team mit Rollen und der MCP-Server.

Als Scan zählt ein Lauf gegen eine Domain, unabhängig von der Zahl der Befunde. Das erneute Erzeugen eines PDFs zu einem bereits gelaufenen Scan zählt nicht. Subdomains derselben Hauptdomain sind in der Domain enthalten und werden nicht gesondert abgerechnet.

Die Aufbewahrungsfrist für Artefakte hängt vom Plan ab. Maßgeblich und verbindlich ist die Frist, die dem Kunden in der Anwendung unter „Einstellungen“, „Datenschutz und Löschung“ für seine Organisation angezeigt wird. Vorgesehen sind dreißig Tage im Plan Free und zwölf Monate in den Plänen Pro und Agentur.

Alle Preise verstehen sich inklusive der gesetzlichen Umsatzsteuer von derzeit 19 %.

Die Abrechnung erfolgt im Voraus für den gewählten Abrechnungszeitraum, wahlweise monatlich oder jährlich. Bei jährlicher Zahlung gilt der auf der Preisseite ausgewiesene Nachlass. Im Plan Agentur werden die Läufe eines Monats nachträglich abgerechnet, mit einer Rechnungsposition je Paket und Preis; maßgeblich ist der Preis, der beim Abschluss des Laufs galt.

Zahlungen wickelt der Zahlungsdienstleister Stripe Payments Europe, Ltd. ab. Die Zahlungsdaten des Kunden werden ausschließlich dort erhoben und gespeichert; der Anbieter erhält sie nicht. Zahlungsart und Rechnungsanschrift verwaltet der Kunde im Kundenportal von Stripe, erreichbar aus der Anwendung unter „Abo“.

Rechnungen stellt der Anbieter elektronisch bereit; sie sind in der Anwendung unter „Abo“ abrufbar. Der Kunde erklärt sich mit der elektronischen Rechnungsstellung einverstanden.

Bleibt eine Zahlung aus, darf der Anbieter den Zugang zu kostenpflichtigen Funktionen nach vorheriger Ankündigung einschränken, bis der offene Betrag ausgeglichen ist. Bereits erzeugte Berichte bleiben im Rahmen der Aufbewahrungsfrist abrufbar.

Rechnungen sind innerhalb von vierzehn Tagen ab Zugang ohne Abzug fällig. Der laufende Plan wird über den Zahlungsdienstleister automatisch abgebucht; die Fälligkeit betrifft vor allem den Fall einer fehlgeschlagenen Abbuchung. Gerät der Kunde in Verzug, berechnet der Anbieter Verzugszinsen in gesetzlicher Höhe nach § 288 BGB. Bleibt die Zahlung nach einer weiteren Mahnung mit einer Frist von vierzehn Tagen aus, kann der Anbieter den Zugang einschränken.

Der Vertrag über den Plan Free läuft auf unbestimmte Zeit und ist von beiden Seiten jederzeit ohne Frist kündbar.

Kostenpflichtige Pläne laufen über den gewählten Abrechnungszeitraum und verlängern sich um jeweils denselben Zeitraum, wenn sie nicht bis zum Ende des laufenden Zeitraums gekündigt werden. Die Kündigung erklärt der Kunde im Kundenportal unter „Abo“; sie wird zum Ende des laufenden Abrechnungszeitraums wirksam.

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Seiten unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere bei einem schwerwiegenden oder wiederholten Verstoß gegen den Abschnitt „Pflichten des Kunden bei Prüfungen“ vor.

Folgen der Beendigung

Nach Vertragsende fällt das Konto auf den Plan Free zurück oder wird auf Wunsch des Kunden gelöscht. Bereits erzeugte Artefakte bleiben bis zum Ablauf der Aufbewahrungsfrist des zuletzt gültigen Plans abrufbar und werden danach gelöscht.

Der Kunde kann jederzeit vor Vertragsende in den Einstellungen unter „Datenschutz und Löschung“ ein Archiv mit allen Daten seiner Organisation anfordern. Es enthält Domains, Scans, Befunde, Team, Rechnungen und das Audit-Log.

Das organisationsgebundene Audit-Log und die Metadaten der Läufe bleiben auch nach Löschung der Artefakte erhalten. Sie werden drei Jahre nach ihrer Entstehung beziehungsweise nach Abschluss des Laufs gelöscht, spätestens mit der Organisation; Angaben zu Rechnungen, Preisen und Gutschriften werden für die gesetzlichen Aufbewahrungsfristen von zehn Jahren aufbewahrt. Davon getrennt besteht der nachfolgend beschriebene befristete Scanner-Nachweis. Näheres regelt der Vertrag zur Auftragsverarbeitung.

Unabhängig von Berichten und der Löschung der Organisation bleibt ein minimaler Scanner-Nachweis bis 365 Tage nach dem endgültigen Ende des Scans erhalten. Er enthält Auftraggeber, auslösenden Nutzer oder API-Zugang beziehungsweise Zeitplan, Auftragsfassung, Ziele, Versuche, Zeiten und die bekannte Worker- und Netzwerkzuordnung. Er enthält keine Befunde, Rohantworten oder privaten Zugangsdaten. Zugriff haben ausschließlich berechtigte Plattform-Admins zur Zuordnung und Bearbeitung von Rückfragen zu Scanneranfragen. Die Fristen anderer Protokolle werden dadurch nicht verlängert.

Bei eingeschalteter Scanner-Kennzeichnung kann über die zufällige Referenz ab dem tatsächlichen Scanstart bis 90 Tage nach dem endgültigen Ende ausschließlich der Organisationsname zum Scanstart, das Ziel, der Zeitraum und der Betreiberkontakt abgefragt werden. Dies gilt auch nach einer Organisations- oder Berichtslöschung. Es gibt keine öffentliche Scanliste und keinen Zugriff auf Befunde. Die Auskunft wird nicht öffentlich zwischengespeichert oder für Suchmaschinen freigegeben. Eine vorzeitige Sperrung durch den Betreiber ist möglich; bei abgeschalteter Kennzeichnung gibt es keine öffentliche Auskunft.

Der Anbieter betreibt die Plattform mit der Sorgfalt eines ordentlichen Kaufmanns und ist um eine hohe Verfügbarkeit bemüht. Eine bestimmte Verfügbarkeit wird in den Plänen Free und Pro nicht zugesichert.

Für Wartungsarbeiten darf der Anbieter den Betrieb unterbrechen. Planbare Arbeiten kündigt er, soweit möglich, mindestens 48 Stunden vorher in der Anwendung an und legt sie in Zeiten geringer Nutzung.

Zeiten, in denen die Plattform aus Gründen außerhalb des Einflussbereichs des Anbieters nicht erreichbar ist, insbesondere bei Störungen des Internets, bei Ausfällen von Vorleistern oder bei höherer Gewalt, gelten nicht als Nichtverfügbarkeit.

Für den Plan Agentur können Verfügbarkeit und Reaktionszeiten in der individuellen Vereinbarung gesondert zugesagt werden. Ohne eine solche Vereinbarung gilt die Verfügbarkeit dieses Abschnitts ohne feste Quote.

Art der Leistung

Redcheck erzeugt eine automatisierte, in wiederkehrenden Läufen erneuerte Momentaufnahme der geprüften Systeme und leitet daraus Empfehlungen zur Verbesserung der Sicherheit ab. Ein Bericht ist kein Audit, keine Zertifizierung und kein Penetrationstest nach einer Norm oder Methodik, etwa des Bundesamts für Sicherheit in der Informationstechnik oder der OWASP. Er trifft keine Aussage darüber, ob der Kunde gesetzliche oder vertragliche Pflichten erfüllt.

Keine Vollständigkeit

Der Anbieter sichert weder die Vollständigkeit noch die Fehlerfreiheit der Befunde zu. Redcheck erkennt Schwachstellen über Versionsstände, Banner und Signaturen; falsch-positive Befunde und nicht erkannte Schwachstellen sind dieser Arbeitsweise immanent. Ein Bericht ohne Befund ist keine Bescheinigung, dass die geprüfte Website sicher ist.

Verantwortung des Kunden

Die Bewertung, die Priorisierung und die Umsetzung der Empfehlungen liegen beim Kunden, ebenso der sichere Betrieb der geprüften Systeme. Der Kunde bleibt für Sicherungskopien und für die Verkehrssicherheit seiner Systeme verantwortlich, auch während eine Prüfung läuft.

Haftungsbeschränkung

Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung des Lebens, des Körpers oder der Gesundheit, nach den Vorschriften des Produkthaftungsgesetzes sowie im Umfang einer vom Anbieter übernommenen Garantie.

Bei einfacher Fahrlässigkeit haftet der Anbieter nur für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) und der Höhe nach begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen.

Ansprüche daraus, dass eine Schwachstelle nicht oder nicht vollständig erkannt wurde, sind ausgeschlossen, soweit die vorstehenden Ausnahmen nicht greifen. Dasselbe gilt für Schäden daraus, dass der Kunde einen Befund nicht, verspätet oder unzutreffend umsetzt oder aus einem Bericht Schlüsse zieht, die dieser nicht trägt.

Für den Verlust von Daten haftet der Anbieter nur in Höhe des Aufwands, der bei ordnungsgemäßer und regelmäßiger Sicherung der Daten durch den Kunden für ihre Wiederherstellung entstanden wäre.

Die Regelungen dieses Abschnitts gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und Erfüllungsgehilfen des Anbieters.

Soweit der Anbieter im Auftrag des Kunden personenbezogene Daten verarbeitet, gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er wird mit Abschluss dieses Vertrags einbezogen. Die eingesetzten Unterauftragsverarbeiter sind unter Subprozessoren aufgeführt.

Welche Daten der Anbieter in eigener Verantwortung verarbeitet, beschreibt die Datenschutzerklärung.

Beide Seiten behandeln die Berichte und die darin enthaltenen Befunde vertraulich. Der Anbieter verwendet Befunde eines Kunden nicht für Zwecke außerhalb der Leistungserbringung. Eine Auswertung zu statistischen Zwecken erfolgt nur in aggregierter Form ohne Bezug zu einer Domain oder einer Organisation.

Der Anbieter nennt den Kunden nicht als Referenz. Eine Nennung mit Namen oder Logo erfolgt nur, wenn der Kunde dem gesondert zustimmt; die Zustimmung ist jederzeit für die Zukunft widerruflich.

Der Anbieter darf diese Bedingungen ändern, wenn dies wegen einer Änderung der Rechtslage, einer Rechtsprechungsänderung, einer Änderung der Leistung oder aus vergleichbaren sachlichen Gründen erforderlich ist und der Kunde dadurch nicht unangemessen benachteiligt wird.

Änderungen teilt der Anbieter dem Kunden mindestens sechs Wochen vor ihrem Wirksamwerden in Textform an die hinterlegte E-Mail-Adresse mit. Widerspricht der Kunde nicht bis zum Wirksamwerden in Textform, gelten die geänderten Bedingungen als angenommen. Auf diese Wirkung weist der Anbieter in der Mitteilung gesondert hin. Widerspricht der Kunde, kann jede Seite den Vertrag zum Zeitpunkt des Wirksamwerdens kündigen.

Änderungen der Vergütung erfolgen nicht auf diesem Weg. Sie bedürfen einer Vereinbarung; ersatzweise kündigt der Anbieter zum Ende des Abrechnungszeitraums und bietet den geänderten Plan an.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ist der Kunde Verbraucher mit gewöhnlichem Aufenthalt in einem anderen Staat, bleiben die zwingenden Verbraucherschutzvorschriften jenes Staates unberührt.

Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Dresden.

Der Kunde darf Rechte und Pflichten aus diesem Vertrag nur mit vorheriger Zustimmung des Anbieters in Textform auf Dritte übertragen.

Sollte eine Bestimmung dieser Bedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Individuelle Vereinbarungen haben Vorrang vor diesen Bedingungen (§ 305b BGB). Im Übrigen sollen Änderungen und Ergänzungen in Textform erfolgen.