Allgemeine Geschäftsbedingungen

Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung verbindlich.

Fassung 2.2 · Stand: 29. Oktober 2026

Das Wichtigste vorab. Fünf Punkte stehen vor dem Kleingedruckten, weil wer sie falsch versteht, alles Weitere falsch versteht:

• Ein Konto gibt es nur für Unternehmer. Den kostenlosen Check auf der Startseite kann jeder nutzen; Konto, Tarife und alle weiteren Funktionen richten sich an Unternehmen, Selbständige und Agenturen (Ziffer 1.3). Zwingender Schutz bestimmter Einzelunternehmer nach polnischem Recht bleibt unberührt (Ziffern 1.3 und 36).
• Geprüft werden nur Websites, über die Sie verfügen dürfen. Ohne Nachweis der Verfügungsbefugnis prüfen wir nur passiv, so wie ein Besucher eine Seite sieht. Test-Einsendungen über Ihre Formulare gibt es erst nach dem Nachweis, und dann ausdrücklich in Ihrem Auftrag (Ziffern 7 und 8).
• Ein Ergebnis ist eine Momentaufnahme, keine Garantie. Die Prüfungen sind automatisiert und beruhen auf Erkennungsregeln. Ein „geschützt“ heißt nicht, dass kein Spam mehr kommt, und es ersetzt keinen Penetrationstest, keine Rechtsberatung und keine Zertifizierung (Ziffer 5).
• Wir erhalten keine Zugänge zu Ihren Servern. Wir verlangen und erhalten keine FTP-, SSH-, Hosting- oder Administratorzugänge. Wer hinter einer Anmeldung prüfen lassen will, legt dafür selbst ein Testkonto auf seiner Website an; das ist der einzige Fall, in dem der Dienst Zugangsdaten verwendet (Ziffern 10 und 12).
• Die polnische Fassung ist maßgeblich, es gilt polnisches Recht. Diese AGB liegen in allen Amtssprachen der Europäischen Union vor (Ziffer 39).

1. Anbieter, Geltungsbereich und Vertragspartner

1.1 Der Anbieter

Der Dienst formexposed wird erbracht von Lukas Wójcik, der unter der Firma LW IT Solutions Company Lukas Wójcik ein im polnischen Zentralregister für Gewerbetätigkeit (CEIDG) eingetragenes Einzelunternehmen betreibt, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, NIP 7252266190, USt-IdNr. PL7252266190 („wir“, „uns“). Kontakt: contact@lukaswojcik.com, das Support-Fenster (Fragezeichen in der Navigation) und die Kontaktseite. Weitere Angaben enthält das Impressum.

1.2 Was dieses Dokument ist

Diese Allgemeinen Geschäftsbedingungen („AGB“) regeln die Bereitstellung und Nutzung von formexposed unter formexposed.com und form.exposed samt dem kostenlosen Check, dem Kundenkonto, dem WordPress-Plugin, der TYPO3-Erweiterung, der MainWP-Erweiterung, der Programmierschnittstelle (API), dem MCP-Server und den Vorlagen für Automatisierungsdienste (zusammen der „Dienst“).

Sie sind zugleich die Ordnung (regulamin) für die elektronisch erbrachten Dienstleistungen im Sinne des Art. 8 des polnischen Gesetzes vom 18. Juli 2002 über die Erbringung von Dienstleistungen auf elektronischem Wege (ustawa o świadczeniu usług drogą elektroniczną, „UŚUDE“). Die dort verlangten Angaben finden sich in diesen AGB an folgenden Stellen: Art und Umfang der Leistungen in den Ziffern 5 bis 16, die technischen Voraussetzungen in Ziffer 27.6, das Verbot rechtswidriger Inhalte in Ziffer 23, Abschluss und Beendigung der Verträge in den Ziffern 4 und 20 und das Reklamationsverfahren in Ziffer 35. Die Informationen nach Art. 6 UŚUDE über besondere Risiken der Nutzung und über Software und Daten, die wir in die Systeme des Kunden einbringen, stehen in den Ziffern 27.7 und 27.8.

Die AGB stehen vor jedem Vertragsschluss unentgeltlich unter dieser Adresse bereit und lassen sich abrufen, wiedergeben, speichern und ausdrucken. Welche Fassung der Kunde angenommen hat, halten wir fest (Ziffer 4.4).

1.3 Wer den Dienst nutzen kann

Kostenloser Check. Den kostenlosen Check ohne Konto (Ziffer 6) und die frei zugänglichen Werkzeuge kann jede Person nutzen, im Rahmen der dort genannten Grenzen.

Konto und Tarife nur für Unternehmer. Ein Kundenkonto und alle Tarife, auch der kostenlose Tarif Free, richten sich ausschließlich an Unternehmer: natürliche Personen, juristische Personen und rechtsfähige Personengesellschaften, die den Dienst für ihre gewerbliche oder selbständige berufliche Tätigkeit nutzen (der „Kunde“). Mit der Registrierung bestätigt die registrierende Person, dass sie den Dienst für ein Unternehmen nutzt. Wir richten den Dienst bewusst nicht an Verbraucher: Er prüft Formulare von Websites, die geschäftlich betrieben werden, und seine Haftungs-, Gewährleistungs- und Änderungsregeln sind auf das Verhältnis zwischen Unternehmern zugeschnitten.

Einzelunternehmer mit Verbraucherschutz. Das polnische Recht gewährt einer natürlichen Person, die einen Vertrag unmittelbar im Zusammenhang mit ihrer Gewerbetätigkeit schließt, für den dieser Vertrag aber nach seinem Inhalt keinen beruflichen Charakter hat, einzelne Verbraucherrechte (przedsiębiorca na prawach konsumenta; Art. 385⁵ und 556⁴ des polnischen Zivilgesetzbuchs, „KC“, und Art. 38a des polnischen Gesetzes über Verbraucherrechte). Die Bestätigung bei der Registrierung schließt diesen Schutz nicht aus. Für diese Gruppe gilt Ziffer 36 und die Seite Widerrufsrecht für Einzelunternehmer. Wer meint, zu diesem Kreis zu gehören, teilt es uns mit; wir prüfen es im Einzelfall. Der Schutz hängt nicht von dieser Mitteilung ab; sie hilft uns nur, ihn zu beachten.

Keine Bestimmung dieser AGB soll ein Recht ausschließen oder einschränken, das nicht wirksam ausgeschlossen oder eingeschränkt werden kann. Gilt eine Bestimmung gegenüber einem bestimmten Kunden aus zwingendem Recht nicht, bleiben die übrigen Bestimmungen und ihre Geltung gegenüber allen anderen Kunden unberührt.

1.4 Handeln für ein Unternehmen

Wer sich für ein Unternehmen registriert oder für es bestellt, sichert zu, dass er voll geschäftsfähig ist und das Unternehmen insoweit vertreten darf. Vertragspartner ist das Unternehmen, für das er handelt; ist kein Unternehmen angegeben, ist es die registrierende Person selbst als Unternehmer. Fehlt die Vertretungsmacht, haftet die handelnde Person nach Art. 103 § 3 KC.

1.5 Räumliche Vorbehalte

Der Dienst wird Personen und Einrichtungen nicht angeboten und darf von ihnen oder zu ihren Gunsten nicht genutzt werden, wenn sie Ziel von Wirtschaftssanktionen oder Ausfuhrbeschränkungen der Europäischen Union oder der Vereinten Nationen sind oder in einem umfassend sanktionierten Gebiet ansässig sind. Der Kunde sichert zu, dass er nicht zu diesem Kreis gehört und eine solche Nutzung nicht zulässt. Erfahren wir von einem Verstoß, können wir sofort sperren oder kündigen.

2. Begriffsbestimmungen

Die folgenden Begriffe haben in diesen AGB die angegebene Bedeutung. In datenschutzrechtlichem Zusammenhang gelten die Begriffe des Auftragsverarbeitungsvertrags und der Datenschutz-Grundverordnung (DSGVO).

Begriff	Bedeutung
Aktive Prüfung	Eine Prüfung, bei der der Dienst über ein erkanntes Kontaktformular einer verifizierten Domain gekennzeichnete Test-Einsendungen abschickt (Ziffer 8.2).
Alarm	Eine Nachricht des Dienstes an ein vom Kunden eingerichtetes Ziel (E-Mail, Webhook, Chat-Dienst), wenn sich ein Prüfergebnis oder ein überwachter Zustand ändert.
Arbeitsbereich	Die Einheit im Konto, der Domains, Mitglieder, Alarmziele, Marke und Kundenportale zugeordnet sind. In der englischen Oberfläche „workspace“.
AVV	Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, den der Kunde bei der Registrierung abschließt.
Domain	Ein Hostname einer Website, den der Kunde in seinem Konto anlegt. Die Domain ist die Einheit, nach der Tarifgrenzen gezählt und Prüfungen geplant werden.
Erweiterung	Das WordPress-Plugin, die TYPO3-Erweiterung und die MainWP-Erweiterung von formexposed, jeweils in der vom Kunden installierten Fassung.
Kostenloser Check	Die passive Prüfung einer Domain ohne Konto über das Eingabefeld der Startseite (Ziffer 6).
Kunde	Der Unternehmer, der mit uns den Vertrag über ein Konto schließt. Besteht ein Arbeitsbereich, ist für ihn Kunde, wer dort die Rolle owner innehat.
Kundendaten	Personenbezogene Daten Dritter, die der Kunde in den Dienst einbringt oder durch seine Konfiguration in den Dienst gelangen lässt, etwa Kopien von Formularmails bei der Zustellungsprüfung, Abonnenten eines Kundenportals oder Zugangsdaten eines Testkontos. Sie verarbeiten wir als Auftragsverarbeiter (Ziffer 24).
Mitglied	Eine natürliche Person, der der Kunde Zugang zu einem Arbeitsbereich in der Rolle owner, admin oder viewer gewährt.
Monitoring	Die wiederkehrende Prüfung einer verifizierten Domain in der Häufigkeit des Tarifs samt den Wächtern der Ziffer 9.
Nachweis	Der Beleg, dass der Kunde über eine Domain verfügen darf, durch DNS-Eintrag, Meta-Tag, Datei, Erweiterung oder Rollout-Code (Ziffer 7.2). Eine Domain mit gültigem Nachweis heißt „verifiziert“.
Passive Prüfung	Eine Prüfung, bei der der Dienst öffentliche Seiten abruft wie ein Besucher und nichts abschickt (Ziffer 8.1).
Preisseite	Die Seite Preise mit den Tarifen, ihren Grenzen und Entgelten in der jeweils geltenden Fassung.
Report	Die Darstellung eines Prüfergebnisses unter einer Adresse mit einem zufälligen Token. Wer die Adresse kennt, kann den Report ohne Anmeldung öffnen.
Tarif	Die vom Kunden gewählte Stufe (derzeit Free, Small, Pro oder Business) mit den auf der Preisseite genannten Funktionen und Grenzen.
Test-Einsendung	Eine vom Dienst über ein Kontaktformular abgeschickte, in Absender, Betreff und Text als automatisierter Test gekennzeichnete Nachricht.
Textform	Eine lesbare Erklärung auf einem Datenträger, die die erklärende Person erkennen lässt, etwa eine E-Mail oder ein Brief. Sie entspricht der Dokumentform (forma dokumentowa) nach Art. 77² KC. Wo diese AGB es sagen, genügt eine Nachricht in einem Chat- oder Support-Fenster nicht.
Website	Die unter einer Domain erreichbaren Seiten samt ihren Formularen.

3. Die Vertragsdokumente und ihre Rangfolge

3.1 Woraus der Vertrag besteht

Der Vertrag zwischen dem Kunden und uns besteht aus folgenden Dokumenten, die jeweils durch Verweis einbezogen sind:

1. eine im Einzelfall in Textform getroffene Vereinbarung, soweit es eine gibt;
2. diese AGB;
3. der Auftragsverarbeitungsvertrag;
4. die Technischen und organisatorischen Maßnahmen;
5. die Liste der Unterauftragsverarbeiter;
6. die Seite Zulässige Nutzung und Missbrauch;
7. die Preisseite in der Fassung zum Zeitpunkt der Bestellung, soweit sie Tarife, Grenzen und Entgelte nennt.

Maßgeblich ist jeweils die Fassung, die bei Vertragsschluss veröffentlicht war. Änderungen dieser Dokumente unterliegen Ziffer 34; für die Technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter gehen die Änderungsregeln des AVV vor, für Funktionen, Grenzen und Entgelte der Preisseite die Ziffern 5.5 und 19.8.

3.2 Rangfolge

Widersprechen sich die Dokumente, geht das in der Liste der Ziffer 3.1 weiter oben stehende vor, und zwar nur im Umfang des Widerspruchs. Abweichend davon geht der AVV in allen Fragen der Verarbeitung personenbezogener Daten im Auftrag des Kunden jeder anderen Bestimmung vor, weil diese Fragen Art. 28 DSGVO unterliegen; ihm geht nur eine Vereinbarung im Einzelfall vor, die der AVV zulässt, weil sie in Textform getroffen ist und ausdrücklich auf ihn Bezug nimmt. Die Seiten EU Data Act und Widerrufsrecht für Einzelunternehmer gehen allen Dokumenten der Liste vor, soweit sie dem Kunden weitergehende Rechte geben (Ziffern 20.3 und 36).

3.3 Seiten, die informieren, aber nicht Vertrag sind

Die Datenschutzerklärung ist eine Information nach Art. 13 und 14 DSGVO über die Verarbeitungen, für die wir selbst verantwortlich sind; ihr wird nicht zugestimmt, sie wird zur Kenntnis genommen. Ebenso informieren die Seiten EU-KI-Verordnung, Reklamationen und Beschwerden, Auskunft, Löschung und Ihre weiteren Rechte, das Verzeichnis von Verarbeitungstätigkeiten, die Datenschutz-Folgenabschätzung, die Textbausteine für Ihre Datenschutzerklärung, die Seite über unseren Crawler (/bot), die Übersicht Rechtsunterlagen im Überblick und die Übersicht Änderungen der Vertragsunterlagen; sie begründen keine Zusicherung. Die Seiten EU Data Act und Widerrufsrecht für Einzelunternehmer informieren ebenfalls, sind aber Teil des Vertrags, soweit sie dem Kunden Rechte einräumen (Ziffer 3.2). Soweit diese AGB auf eine solche Seite verweisen, um eine Pflicht oder ein Recht zu beschreiben, gilt die Pflicht oder das Recht, wie es dort beschrieben ist.

3.4 Beschreibende Angaben sind keine Zusicherung

Die Startseite, die Landingpage auf form.exposed, Blogbeiträge, Funktionsbeschreibungen, Vergleiche, Bildschirmabbildungen und Aussagen im Support beschreiben den Dienst und erleichtern sein Verständnis. Sie sind keine Garantien und keine Beschaffenheitsvereinbarungen und werden nicht Vertragsinhalt, soweit wir eine Eigenschaft nicht ausdrücklich in Textform als zugesichert bezeichnen. Widersprechen sie den Vertragsdokumenten, gelten die Vertragsdokumente. Gegenüber Einzelunternehmern im Sinne der Ziffer 1.3 bleiben die gesetzlichen Anforderungen an die Vertragsmäßigkeit unberührt, soweit sie für sie gelten und öffentliche Äußerungen einbeziehen.

Diese Ziffer ist kein Freibrief zur Irreführung. Ist eine Beschreibung unzutreffend, berichtigen wir sie. Sie steht hier, weil die Beschreibung eines Dienstes, der laufend weiterentwickelt wird, für Leser geschrieben, häufig überarbeitet und notwendig kürzer als die Wirklichkeit ist, und weil sich das Geschuldete auf ein Dokument zurückführen lassen muss, das genau dies sagt.

3.5 Eigene Bedingungen des Kunden gelten nicht

Einkaufsbedingungen, Lieferantenkodizes und sonstige allgemeine Geschäftsbedingungen des Kunden gelten nicht, auch wenn wir ihnen nicht gesondert widersprechen oder den Vertrag in Kenntnis von ihnen erfüllen. Abweichungen bedürfen unserer ausdrücklichen Zustimmung in Textform. Fragebögen zur Lieferantenprüfung beantworten wir auf Anfrage; die Antworten beschreiben den Dienst, ändern aber diese AGB nicht.

4. Vertragsschluss und sein Nachweis

4.1 Der kostenlose Check

Wer eine Domain in das Eingabefeld der Startseite einträgt und die Prüfung startet, nimmt eine unentgeltliche elektronische Dienstleistung in Anspruch. Dafür gelten diese AGB, soweit sie den kostenlosen Check betreffen (insbesondere die Ziffern 5, 6, 8.1, 23 und 29). Ein Konto entsteht dadurch nicht. Die Leistung endet mit der Bereitstellung des Reports; eine Kündigung ist nicht nötig.

4.2 Registrierung

Der Vertrag über ein Konto im Tarif Free kommt zustande, wenn die registrierende Person das Formular unter Registrieren absendet und dabei mit einem Häkchen im Formular diese AGB und den AVV annimmt, bestätigt, dass sie formexposed für ihr Unternehmen nutzt, und die Datenschutzerklärung zur Kenntnis nimmt. Das Konto wird mit der Bestätigung der E-Mail-Adresse nutzbar. Ein Konto, dessen E-Mail-Adresse nie bestätigt wird, löschen wir nach 30 Tagen.

Die Darstellung der Tarife auf der Preisseite ist eine Aufforderung zur Abgabe eines Angebots, kein bindendes Angebot.

4.3 Bezahlte Tarife

Ein Vertrag über einen bezahlten Tarif kommt zustande, wenn der Kunde im Bereich Abrechnung einen Tarif, einen Abrechnungszeitraum und eine Währung wählt und den Bezahlvorgang bei unserem Zahlungsdienstleister abschließt; die Bestätigung des Abonnements durch den Zahlungsdienstleister gilt als unsere Annahme. Bei einer Zahlung auf Rechnung (Ziffer 19.6) kommt er mit der Ausstellung der Rechnung zustande. Ein bezahlter Tarif setzt ein Konto voraus; der Vertrag über das Konto bleibt daneben bestehen. Beginnt der Kunde eine Testphase (Ziffer 19.4), kommt der Vertrag über den Tarif mit dem Abschluss dieses Vorgangs zustande; er ist bis zum Ende der Testphase unentgeltlich und setzt sich danach nach Ziffer 19.4 entgeltlich fort oder endet.

4.4 Der Zustimmungsnachweis

Bei der Registrierung halten wir für jedes angenommene oder zur Kenntnis genommene Dokument (AGB, AVV, Datenschutzerklärung) fest: den vollständigen Wortlaut der angezeigten Fassung samt Sprache und Adresse, eine Prüfsumme dieses Wortlauts (SHA-256), den Zeitpunkt, die IP-Adresse, von der aus zugestimmt wurde, und die Kennung des Browsers. Der Wortlaut wird so gespeichert, wie er angezeigt wurde, also mit den bei der Anzeige eingesetzten Werten wie Fristen.

Daraus folgt zweierlei, und beides ist gewollt. Erstens wird der Nachweis in derselben Datenbanktransaktion geschrieben wie das Konto: Lässt sich der Nachweis nicht schreiben, entsteht kein Konto; fehlt eines der Dokumente, ist die Registrierung geschlossen. Zweitens lässt sich jederzeit feststellen, welcher Fassung ein Kunde zugestimmt hat und ob sich ein Dokument seitdem geändert hat. Der Kunde findet die Angaben zu seinen Zustimmungen in seinem Datenexport.

Der Nachweis bleibt erhalten, solange das Konto besteht. Wird das Konto gelöscht, bleibt er bestehen, bis seit der Zustimmung vier Jahre vergangen sind, weil gerade nach dem Ende eines Vertrags nach seinem Abschluss gefragt wird.

4.5 Richtigkeit der Angaben

Der Kunde macht bei der Registrierung und bei der Bestellung richtige und vollständige Angaben und hält sie aktuell, insbesondere die E-Mail-Adresse, die Firma, die Rechnungsanschrift und, soweit vorhanden, die USt-IdNr. Diese Angaben sind keine Förmlichkeit: An die E-Mail-Adresse gehen alle Mitteilungen nach diesen AGB (Ziffer 38.5), und von den Rechnungsangaben hängt die steuerliche Behandlung ab.

4.6 Ablehnung

Wir dürfen eine Registrierung oder Bestellung ablehnen, insbesondere wenn Anhaltspunkte bestehen, dass der Dienst entgegen Ziffer 23 genutzt werden soll, wenn ein früheres Konto derselben Person wegen eines Verstoßes gesperrt oder gekündigt wurde oder wenn die Angaben offensichtlich unzutreffend sind.

4.7 Angaben zum elektronischen Vertragsschluss

Die technischen Schritte bis zum Vertragsschluss sind die der Ziffern 4.2 und 4.3. Eingabefehler erkennt und berichtigt der Kunde vor dem Absenden im Registrierungsformular und vor dem Abschluss des Bezahlvorgangs auf dessen Seite, die Tarif, Zeitraum und Betrag anzeigt; Angaben im Konto kann er danach in den Einstellungen ändern. Die Bestätigung des Abonnements durch den Zahlungsdienstleister ist zugleich unsere Annahme (Ziffer 4.3). Den Vertragstext halten wir im Zustimmungsnachweis fest (Ziffer 4.4); auf Anfrage senden wir dem Kunden den Wortlaut der von ihm angenommenen Fassung in Textform. Der Vertrag kann in jeder Amtssprache der Europäischen Union geschlossen werden (Ziffer 39.3). Einem Verhaltenskodex haben wir uns nicht unterworfen. Im Verhältnis zwischen Unternehmern schließen die Parteien Art. 66¹ § 1 bis 3 KC im Übrigen aus (Art. 66¹ § 4 KC); die Angaben dieser Ziffer machen wir trotzdem.

5. Was der Dienst ist – und was er nicht ist

5.1 Was der Dienst leistet

formexposed prüft von außen, ob die Kontaktformulare einer Website gegen automatisierten Missbrauch geschützt sind, überwacht diesen Schutz und meldet Veränderungen. Je nach Tarif und Konfiguration umfasst der Dienst insbesondere:

• Prüfungen: passive Prüfungen jeder Domain und aktive Prüfungen mit Test-Einsendungen für verifizierte Domains (Ziffer 8);
• Monitoring und Alarme: wiederkehrende Prüfungen, Formular-Puls, Wächter für Mail-DNS, Zertifikat, Domain-Ablauf, Blocklisten, bekannte Sicherheitslücken in Formular-Plugins und Störungen von CAPTCHA- und Mail-Anbietern, mit Alarmen über die vom Kunden gewählten Kanäle (Ziffer 9);
• Browserwege und Scan hinter dem Login (Ziffer 10);
• Zustellungsprüfung und Prüfung der Echtheit der Formularmail (Ziffer 11);
• Hilfen zur Behebung: Anleitungen, Schutzbausteine für eigenen Formular-Code und „Fix it for me“ mit einem Sprachmodell (Ziffer 12);
• Erweiterungen für WordPress, TYPO3 und MainWP, für WordPress mit einer Schutzschicht für Formulare (Ziffer 13);
• Nachweise und Berichte: Siegel, Nachweis-Protokoll mit Zeitstempel, Monatsbericht, Hinweise zu Datenschutz, Barrierefreiheit und Skripten (Ziffer 14);
• Funktionen für Agenturen: Portfolio, Import, White-Label-Reports, Kundenportale, Rollout-Codes und Interessenten-Prüfung (Ziffer 15);
• Schnittstellen: REST-API, MCP-Server und Vorlagen für Zapier, Make, n8n und Deploy-Pipelines (Ziffer 16).

Welche Funktionen ein Tarif enthält, sagt die Preisseite. Diese Ziffer beschreibt die Art des Dienstes, keine abschließende und keine feste Funktionsliste.

5.2 Bereitstellung als Software as a Service

Der Dienst wird für die Vertragsdauer über das Internet bereitgestellt. Eine Kopie der Serversoftware wird weder verkauft noch überlassen; der Kunde erwirbt keine Rechte an ihrem Quelltext oder an unserer Infrastruktur. Für die Erweiterungen gilt deren eigene Lizenz (Ziffer 26.3). Der Dienst läuft auf eigenen Servern in Polen: einem Webserver mit Datenbank und einem Scan-Server mit einem lokal betriebenen Sprachmodell im selben internen Netz. Welche Dritten wir für einzelne Teile einsetzen, nennt die Liste der Unterauftragsverarbeiter.

5.3 Ein Ergebnis ist eine Momentaufnahme

Jede Prüfung ist automatisiert und beruht auf Erkennungsregeln, die ein Formular, seine Felder und die erkennbaren Schutzmaßnahmen (etwa CAPTCHA, Fallenfelder, Token, Zeitprüfungen, Drosselung) aus dem lesen, was ein Browser von außen sieht. Daraus folgt:

• Ein Ergebnis beschreibt den Zustand im Zeitpunkt der Prüfung. Was sich danach ändert, zeigt erst die nächste Prüfung.
• Erkennungsregeln können eine Schutzmaßnahme übersehen, falsch einordnen oder als „nicht messbar“ ausweisen, etwa wenn sie nur auf dem Server wirkt, wenn ein Formular über einen Baukasten-Dienst abgewickelt wird oder wenn sie erst nach einer Interaktion lädt, die der Prüfbrowser nicht ausführt.
• Die Stufen „exposed“, „partially protected“ und „protected“ und der Punktwert sind eine gewichtete Zusammenfassung einzelner Befunde. Sie sind eine Einschätzung, kein Messwert für Spam und keine Note für die Website insgesamt.
• Wird eine Website für unseren Crawler gesperrt, etwa durch ihre robots.txt, eine Firewall oder einen Bot-Schutz, bleibt eine Prüfung unvollständig oder entfällt. Das ist kein Mangel des Dienstes.

5.4 Was der Dienst nicht ist

Das Folgende wird ausdrücklich gesagt, weil ein Missverständnis Folgen hat, die sich nachträglich nicht beheben lassen. Der Dienst ist nicht:

• eine Garantie gegen Spam oder Missbrauch. Auch ein gut geschütztes Formular kann Spam erhalten, und Angreifer passen sich an. Ein Ergebnis „protected“ sagt, dass die geprüften Maßnahmen vorhanden waren und gewirkt haben, nicht, dass nichts mehr durchkommt.
• ein Penetrationstest oder eine Sicherheitsprüfung durch Fachleute. Der Dienst greift keine Website an, sucht nicht allgemein nach Schwachstellen und testet keine Angriffe auf Server, Datenbanken oder Anmeldungen. Die Probe auf eingeschleuste Kopfzeilen beschränkt sich auf das Erkennen mit einem harmlosen Testwert (Ziffer 8.2).
• Rechtsberatung. Hinweise zu Datenschutz, Einwilligung, Barrierefreiheit, NIS2, PCI DSS oder anderen Rechtsfragen sind technische Hinweise aus dem Gemessenen. Ob eine Website rechtmäßig betrieben wird, beurteilen sie nicht.
• eine Zertifizierung. Weder das Siegel noch das Nachweis-Protokoll, der Barrierefreiheits-Entwurf, die DSGVO-Prüfung oder das Skript-Inventar sind eine Zertifizierung, ein Prüfzeichen einer Konformitätsbewertungsstelle, eine Erklärung zur Barrierefreiheit im Rechtssinn oder ein Nachweis der Einhaltung der DSGVO, der Barrierefreiheitsanforderungen, der PCI DSS oder einer Norm.
• eine Messung aller Besucher. Messungen aus unseren Prüf-Browsern zeigen, was diese Browser sahen. Sie sind keine Messung dessen, was echte Besucher erleben, und belegen weder Abschlussquoten noch verlorene Anfragen.
• eine Datensicherung oder ein Archiv. Prüfergebnisse werden nach Fristen gelöscht (Ziffer 21). Wer Ergebnisse als Beleg braucht, lädt sie herunter.
• ein Zugang zu Systemen des Kunden. Wir spielen nichts auf Server des Kunden ein und erhalten keine Server-, FTP-, SSH- oder Administratorzugänge (Ziffer 12.3).

5.5 Weiterentwicklung

Der Dienst wird fortlaufend weiterentwickelt. Wir dürfen Funktionen ergänzen, ändern, ersetzen und entfernen, Erkennungsregeln und Gewichte anpassen und Prüfungen hinzufügen oder streichen, und zwar aus einem der folgenden Gründe: Verbesserung der Erkennung oder der Bedienung, Änderung der Rechtslage oder behördlicher Vorgaben, Sicherheit, Abwehr von Missbrauch, Wegfall oder Änderung einer Leistung oder Schnittstelle eines Dritten, auf die die Funktion angewiesen ist, geringe Nutzung einer Funktion oder Ersatz durch eine gleichwertige Funktion. Ändert sich dadurch ein Ergebnis, ist das kein Mangel: Ein Ergebnis ist immer das der Regeln, die im Zeitpunkt der Prüfung galten.

Vermindert eine Änderung den Funktionsumfang eines bezahlten Tarifs in seiner Gesamtheit wesentlich, kündigen wir sie mindestens 30 Tage vorher in Textform an. Wesentlich ist eine Verminderung stets, wenn eine auf der Preisseite für den gebuchten Tarif genannte Funktion ersatzlos entfällt oder eine dort genannte Grenze zulasten des Kunden sinkt. Der Kunde kann den Tarif dann zum Wirksamwerden der Änderung kündigen und erhält im Voraus gezahlte Entgelte für die Zeit danach anteilig zurück. Änderungen, die gesetzlich geboten oder zur Abwehr eines Sicherheitsrisikos nötig sind, dürfen sofort wirksam werden; das Kündigungsrecht bleibt dem Kunden auch dann. Kostenlose Leistungen (kostenloser Check, Tarif Free, kostenlose Werkzeuge) dürfen wir jederzeit ändern, einschränken oder einstellen; wollen wir den Tarif Free insgesamt einstellen, kündigen wir die betroffenen Konten nach Ziffer 20.1. Für Einzelunternehmer im Sinne der Ziffer 1.3 gelten zusätzlich die gesetzlichen Vorschriften über Änderungen digitaler Dienstleistungen, soweit sie auf sie anwendbar sind.

5.6 Funktionen, die erst eingerichtet sein müssen

Einige Funktionen setzen Infrastruktur voraus, die nicht in jedem Fall bereitsteht oder ab Werk ausgeschaltet ist, etwa die Bestätigung durch einen zweiten, unabhängigen Prüfstandort (Ziffer 10.2), eigene Domains für Kundenportale (Ziffer 15.2), die Zahlung auf Rechnung (Ziffer 19.6) oder das Partnerprogramm (Ziffer 37). Solche Funktionen schulden wir nur, soweit sie im Konto angeboten werden; nennt die Preisseite eine solche Funktion für den gebuchten Tarif ohne diesen Vorbehalt, ist sie geschuldet. Funktionen, die als Beta, Vorschau oder Erprobung gekennzeichnet sind, werden ohne Gewähr bereitgestellt und können ohne Ankündigung entfallen; Ziffer 29.1 bleibt unberührt.

5.7 Formularschutz (formconfirmed)

Der Formularschutz unter dem Namen formconfirmed ist eine zusätzliche, freiwillige Funktion. Er schützt Formulare auf Websites des Kunden ohne Bilderrätsel vor automatisierten Einsendungen: mit einem Rechennachweis im Browser des Besuchers, weiteren Signalen und auf Wunsch einer Prüfung des Nachrichtentextes durch ein Sprachmodell. Diese Ziffer gilt nur für Kunden, die den Formularschutz in ihrem Konto einschalten oder über das Plugin verbinden; für alle anderen ändert sich nichts.

(a) Leistung. Wir stellen das Skript für das Formular, die Ausgabe der Aufgaben und eine Prüfschnittstelle bereit. Jede Einsendung, die der Server des Kunden uns vorlegt, bewerten wir mit einer Punktzahl, einer empfohlenen Aktion (zulassen, markieren oder sperren) und den Gründen. Ziel ist, automatisierte Einsendungen aufwendig und unwirtschaftlich zu machen. Wir schulden nicht, dass jede unerwünschte Einsendung erkannt und jede erwünschte zugelassen wird; Ziffern 5.3 und 5.4 gelten entsprechend.

(b) Pflichten des Kunden. Der Kunde baut das Skript ein und lässt jede Einsendung von seinem Server prüfen; ohne diese Prüfung schützt das Skript nicht. Er hält den geheimen Schlüssel geheim, setzt den Formularschutz nur auf eigenen oder ihm zur Nutzung überlassenen Websites ein, informiert seine Besucher in seiner Datenschutzerklärung (ein Vorschlag steht im Textbaustein für die Datenschutzerklärung) und entscheidet selbst, was mit markierten oder gesperrten Einsendungen geschieht.

(c) Kontingente und Kennzeichen. Je Tarif gilt ein monatliches Kontingent an Prüfungen und an Inhaltsprüfungen, wie es die Preisseite nennt. Ist es erschöpft, schalten wir den Schutz nicht ab: Die Prüfungen laufen ohne Inhaltsprüfung weiter, und wir benachrichtigen den Kontoinhaber per E-Mail. Im kostenlosen Tarif zeigt das Formular ein kleines Kennzeichen „Bestätigt durch formconfirmed“, das der Kunde nicht verdecken oder entfernen darf; in bezahlten Tarifen ist es abschaltbar.

(d) Ausfälle. Ist unser Dienst nicht erreichbar, verhält sich die Prüfung so, wie der Kunde es für die Site eingestellt hat: Einsendungen zulassen und markieren (Voreinstellung) oder sperren. Die Wahl und ihre Folgen liegen beim Kunden; im Übrigen gelten für die Verfügbarkeit die allgemeinen Regeln dieser AGB.

(e) Daten der Besucher. Für die Daten der Besucher seiner Websites ist der Kunde verantwortlich; wir verarbeiten sie als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag (Anlage 1 Nr. 10). Den Text einer Nachricht prüfen wir nur, wenn der Kunde die Inhaltsprüfung einschaltet, und speichern ihn nicht.

(f) Ende. Der Kunde kann den Formularschutz jederzeit pausieren oder die Site löschen. Danach gibt unsere Schnittstelle für ihre Schlüssel keine Aufgaben mehr aus und beantwortet Prüfungen mit einem Fehler; ein eingebautes Skript entfernt der Kunde selbst.

6. Der kostenlose Check ohne Konto

6.1 Umfang

Auf der Startseite kann jede Person eine Domain prüfen lassen. Der kostenlose Check ist immer passiv: Der Dienst ruft einige öffentliche Seiten ab, wie es ein Besucher täte, sucht die Kontaktformulare und wertet die erkennbaren Schutzmaßnahmen aus. Er schickt nichts ab und meldet sich nirgends an. Der Report zeigt die Kernprüfungen mit Anleitungen zur Behebung und nennt von den übrigen Prüfungen nur Namen und Zahl, ohne Ergebnis.

6.2 Grenzen und Schutz vor Missbrauch

Ein Eingabefeld, das Abrufe beliebiger fremder Websites auslöst, lässt sich missbrauchen. Deshalb gelten Grenzen, insbesondere je Domain eine Prüfung in einem bestimmten Zeitraum, eine Höchstzahl von Prüfungen je IP-Adresse und je Sitzung, eine tägliche Gesamtgrenze, ein Mindestalter neu registrierter Domains und eine Prüfung des Ziels gegen interne Netze. Das Formular ist durch Google reCAPTCHA geschützt (Einzelheiten in der Datenschutzerklärung). Auffällige Muster halten wir fest und können die betroffenen Adressen bis zur Klärung sperren. Die Grenzen können wir jederzeit ändern; sie werden nicht einzeln angekündigt.

Untersagt sind automatisierte Abfragen des Eingabefelds, das Umgehen der Grenzen, etwa durch wechselnde Adressen, und jede Verwendung der Ergebnisse, um Websites anzugreifen oder ihren Betreibern zu schaden.

6.3 Der Report

Der Report ist unter einer Adresse mit einem zufälligen Token erreichbar und wird von Suchmaschinen nicht erfasst. Wer die Adresse kennt, kann ihn ohne Anmeldung öffnen; wer sie teilt, macht den Report jedem zugänglich, der sie erhält. Reports aus dem kostenlosen Check werden nach 30 Tagen gelöscht.

6.4 Prüfung fremder Websites

Der kostenlose Check prüft auch Websites, über die die anfragende Person nicht verfügt. Wir halten das für vertretbar, weil er nur abruft, was ohnehin öffentlich ist, sich als Crawler zu erkennen gibt (/bot), ein Verbot in der robots.txt beachtet, das die Startseite erfasst, und nichts abschickt. Jeder Betreiber kann seine Domain unter /opt-out dauerhaft ausschließen; ein Ausschluss gilt für die Domain und ihre www-Variante, nicht für andere Subdomains, und für alle Prüfungen des Dienstes.

6.5 Weitere kostenlose Werkzeuge

Für frei zugängliche Werkzeuge wie die Bewertung der Sicherheits-Kopfzeilen einer Website gelten diese Ziffer und Ziffer 23 entsprechend.

6.6 Kein Anspruch

Einen Anspruch auf den kostenlosen Check oder ein kostenloses Werkzeug gibt es nicht. Wir dürfen sie einschränken, vorübergehend abschalten oder einzelne Nutzer ausschließen, insbesondere bei Anhaltspunkten für Missbrauch.

7. Domains, Nachweis der Verfügungsbefugnis und Vertrauensstufen

7.1 Nur eigene oder befugte Domains

Der Kunde legt in seinem Konto nur Domains an, deren Website er selbst betreibt oder für die ihn der Betreiber mit der Prüfung beauftragt hat („befugt“). Agenturen und andere Dienstleister weisen den Auftrag des Betreibers auf Verlangen nach. Für Domains ohne Nachweis gilt bis zum Nachweis dasselbe wie für den kostenlosen Check: Sie werden nur passiv geprüft.

7.2 Der Nachweis

Aktive Prüfungen, Monitoring und alle Funktionen, die in eine Website hineinwirken oder sie regelmäßig abrufen, setzen voraus, dass der Kunde seine Befugnis für die Domain nachweist. Der Dienst bietet dafür an:

• einen TXT-Eintrag im DNS der Domain mit einem Wert, den wir vorgeben;
• ein Meta-Tag im Kopf der Startseite;
• eine Datei mit vorgegebenem Inhalt im Wurzelverzeichnis der Website;
• die Verbindung über das WordPress-Plugin oder die TYPO3-Erweiterung, die das Meta-Tag selbst ausgeben und mit einem nur der Website bekannten Geheimnis gebunden sind;
• einen Rollout-Code einer Agentur (Ziffer 15.4), der eine Erweiterung ohne Anmeldung im Browser mit einem Konto verbindet.

Wer einen solchen Nachweis führen kann, kann über die Website verfügen. Deshalb verlangen wir ihn, statt einen Haken setzen zu lassen: Eine Zusicherung kann jeder geben, einen Eintrag im DNS oder eine Datei auf dem Server nur, wer Zugriff hat.

7.3 Was der Nachweis bewirkt

Mit dem Nachweis erklärt der Kunde, über die Domain verfügen zu dürfen, und beauftragt uns, die Website in dem Umfang zu prüfen, den sein Tarif und seine Einstellungen vorsehen, einschließlich der aktiven Prüfungen der Ziffer 8.2 und der weiteren Prüfungen der Ziffer 8.3 in der Häufigkeit seines Tarifs. Diesen Auftrag kann er jederzeit beschränken, indem er das Monitoring der Domain abschaltet, oder beenden, indem er die Domain entfernt.

Eine Nachprüfung des Nachweises nach der Verifizierung findet derzeit nicht statt. Den Hostnamen einer verifizierten Domain kann der Kunde nicht ändern; eine andere Domain legt er neu an und weist sie nach. Fällt seine Grundlage weg, etwa weil der DNS-Eintrag entfernt oder die Erweiterung deinstalliert wurde, bleibt die Domain verifiziert; der Kunde entfernt sie dann nach Ziffer 7.4, wenn seine Befugnis geendet hat.

7.4 Ende der Befugnis

Endet die Befugnis des Kunden für eine Domain, etwa weil ein Agenturauftrag endet oder die Website verkauft wird, entfernt der Kunde die Domain unverzüglich aus seinem Konto. Bis dahin steht er dafür ein, dass Prüfungen dieser Domain von einem Auftrag gedeckt sind.

7.5 Ausschluss und robots.txt gelten auch für Kunden

Ist eine Domain über /opt-out ausgeschlossen, prüft der Dienst sie nicht, auch nicht für einen Kunden mit Nachweis; ein laufendes Monitoring endet mit der nächsten fälligen Prüfung. Weil ein Ausschluss ohne Nachweis eingetragen werden kann, kann ihn auch ein Unbefugter veranlasst haben. Aufheben können ihn nur wir: Der Kunde wendet sich an uns und weist seine Befugnis nach; wir heben den Ausschluss nach Prüfung auf. Ein Verbot in der robots.txt der Website, das die Startseite erfasst, beachtet der Crawler auch bei verifizierten Domains; Verbote für einzelne Unterpfade beachtet er nicht einzeln. Wer prüfen lassen will, lässt den Crawler mit der Kennung FormExposedBot zu.

8. Passive und aktive Prüfungen

8.1 Passive Prüfung

Bei einer passiven Prüfung ruft der Crawler in einem abgeschotteten Browser eine begrenzte Zahl öffentlicher Seiten der Domain nacheinander ab (derzeit höchstens acht, bevorzugt Kontakt-, Impressums- und Supportseiten; dazu bis zu drei Seiten nach einem Klick auf „Ablehnen“ im Cookie-Banner und bis zu drei Seiten in der Ansicht eines Telefons), erkennt die Formulare und ordnet sie nach ihrem Zweck ein. Er wertet Formularaufbau (Feldnamen, -typen, Beschriftungen, Pflicht- und Sichtbarkeitsmerkmal, keine Werte; die Anfänge vorbelegter versteckter Felder und von data-Attributen liest er nur während der Prüfung und speichert sie nicht), Schutzmaßnahmen, eingebundene fremde Skripte, das Verhalten nach „Ablehnen“ im Cookie-Banner und die Darstellung auf einem Telefon aus und fertigt Bildschirmfotos der Startseite und der Formulare an. Diese Bildschirmfotos zeigen die Seite so, wie sie war; sie werden nicht geschwärzt. Der Crawler gibt sich mit seiner Kennung zu erkennen, beachtet ein Verbot in der robots.txt, das die Startseite erfasst, folgt keinen Weiterleitungen in private Netze und schickt nichts ab.

8.2 Aktive Prüfung mit Test-Einsendungen

Bei verifizierten Domains ist jede Prüfung aus dem Konto und jede wiederkehrende Prüfung eine aktive Prüfung. Dabei schickt der Dienst über ein erkanntes Kontaktformular je Prüfung höchstens fünf Test-Einsendungen ab. Sie zeigen, ob das Formular Einsendungen ohne Browser, mit gefülltem Fallenfeld, mit manipuliertem Token, mit erfundenem CAPTCHA-Token, mit einer Adresse unter der nicht existierenden Endung .invalid oder in schneller Folge annimmt und ob es Zeilenumbrüche in Kopfzeilen durchlässt. Für diese letzte Probe verwendet der Dienst nur eine harmlose eigene Kopfzeile und nie einen echten Empfänger.

Jede Test-Einsendung ist in Absender, Betreff und Text als automatisierter Test gekennzeichnet, in der Sprache der Website, mit Verweis auf /bot, /opt-out und eine Prüfkennung. Sie enthält keine personenbezogenen Daten.

Was nie abgeschickt wird. Der Dienst schickt nur ab, wenn er ein Formular mit hoher Sicherheit als allgemeines Kontaktformular erkannt hat. Bestell-, Buchungs-, Reservierungs-, Angebots-, Termin-, Rückruf-, Anmelde-, Registrierungs-, Passwort-, Newsletter-, Support-, Zahlungs- und Upload-Formulare schickt er nie ab, ebenso wenig Formulare mit Pflichtfeldern für echte Personen- oder Firmendaten und Formulare auf Domains von Behörden, Gesundheits- und Bildungseinrichtungen. Ist die Einordnung unsicher, unterbleibt die Einsendung. Formulare, die nicht die Erkennungsregeln, sondern nur das Sprachmodell eingeordnet hat, schickt er nie ab; sie zählen auch nicht für Punktwert und Stufe.

8.3 Weitere Prüfungen bei verifizierten Domains

Für verifizierte Domains umfasst die Prüfung je nach Tarif zusätzlich:

• den Abruf einer festen Liste bekannter Pfade, unter denen versehentlich offen liegende Dateien zu finden sein können (etwa Versionsverwaltungen, Konfigurations- und Sicherungsdateien, Datenbankauszüge, Protokolle); festgehalten wird nur, ob eine solche Datei erreichbar ist, nicht ihr Inhalt;
• das Auslesen öffentlich erkennbarer Versionen von CMS, Plugins und Theme und ihren Abgleich mit einer öffentlichen Datenbank bekannter Sicherheitslücken;
• die Abfrage öffentlicher Blocklisten mit der Versand-IP-Adresse der Formularmail, der IP-Adresse des Webservers und der Domain.

Diese Prüfungen greifen nichts an und ändern nichts. Befunde über offen liegende Dateien und Sicherheitslücken zeigt der Dienst nur im Konto, nie in einem öffentlichen Report, weil sie Angreifern eine Zielliste wären.

8.4 Folgen beim Kunden

Test-Einsendungen sind echte Einsendungen. Sie können beim Kunden E-Mails, automatische Antworten, Einträge in Anfrage- oder CRM-Systemen, Benachrichtigungen, Zählungen in Statistiken und Kosten bei Dritten auslösen, etwa bei einem CAPTCHA- oder Mail-Dienst. Bei täglicher Prüfung geschieht das täglich. Der Kunde

• sorgt dafür, dass die Empfänger der Formularmails wissen, dass solche Tests stattfinden, und dass niemand dadurch beeinträchtigt wird;
• richtet bei Bedarf Filter ein, die gekennzeichnete Test-Einsendungen erkennen;
• senkt die Prüfhäufigkeit oder schaltet das Monitoring einer Domain ab, wenn er für eine Zeit weniger oder keine Test-Einsendungen wünscht; einen eigenen Schalter nur für Test-Einsendungen gibt es nicht; ein Wartungsfenster (Ziffer 9.4) schaltet Alarme stumm und pausiert Puls und Browserwege, hält aber wiederkehrende Prüfungen samt Test-Einsendungen nicht an;
• trägt die Kosten, die Test-Einsendungen in seinen eigenen Systemen und bei seinen Dienstleistern auslösen.

Für die Folgen ordnungsgemäß gekennzeichneter Test-Einsendungen im Rahmen dieser Ziffer haften wir nicht; Ziffer 29.1 bleibt unberührt.

8.5 Grenzen der aktiven Prüfung

Formulare mit einem wirksamen CAPTCHA lassen sich von außen nur eingeschränkt aktiv prüfen, weil der Dienst CAPTCHAs weder löst noch umgeht. Einen Durchlass für unsere Tests am CAPTCHA des Kunden bietet der Dienst derzeit nicht an. Formulare in mehreren Schritten werden zum Auslesen sichtbar gemacht; ob ihre letzte Stufe einsendbar ist, kann offenbleiben. Eine aktive Prüfung zeigt, wie ein Formular auf die Proben geantwortet hat. Sie belegt nicht, dass eine Nachricht beim Empfänger angekommen ist; dafür gibt es die Zustellungsprüfung (Ziffer 11).

9. Monitoring, Alarme und Vorfälle

9.1 Wiederkehrende Prüfungen

Für verifizierte Domains mit eingeschaltetem Monitoring plant der Dienst Prüfungen in der Häufigkeit des Tarifs (maßgeblich ist die Preisseite), mit einer zufälligen Streuung, damit nicht alle Prüfungen gleichzeitig laufen. Daneben kann der Kunde eine Prüfung von Hand starten; dafür gilt eine Wartezeit je Domain. Prüfintervalle sind Zielintervalle: Wartung, Warteschlangen und Sperren der Zielseite können sie verlängern.

9.2 Wächter

Je nach Tarif überwacht der Dienst zusätzlich:

• den Formular-Puls: in kurzen Abständen ein einfacher Abruf ohne Browser und ohne Einsendung, ob die Formularseite antwortet, ob das Formular noch im Quelltext steht und ob das CAPTCHA-Skript erreichbar ist;
• die Mail-Einstellungen im DNS (SPF, DMARC, MX), das TLS-Zertifikat der Formularseite und den Ablauf der Domain, soweit die Registrierungsstelle ihn öffentlich nennt;
• die Statusseiten gängiger CAPTCHA- und Mail-Anbieter, soweit der Kunde sie nach dem Prüfergebnis nutzt;
• die über die Erweiterungen gemeldeten Versionen von Formular-, CAPTCHA- und Mail-Plugins und ihren Abgleich mit bekannten Sicherheitslücken;
• Funkstille, wenn eine Website, die sonst Anfragen erhält, keine mehr erhält, sowie Änderungen an Skripten, am Aussehen des Formulars und an fremden Anbietern auf der Formularseite.

9.3 Alarme

Alarme gehen an die Ziele, die der Kunde einrichtet: E-Mail und, je nach Tarif, Webhook mit Signatur, Slack, Microsoft Teams, Discord, Google Chat und Telegram, sofort oder gesammelt. Ein Alarm geht nur bei einer Veränderung, nicht nach jeder Prüfung. Seine Sprache folgt der Spracheinstellung des Inhabers des Arbeitsbereichs.

Wählt der Kunde einen Chat-Dienst oder einen Webhook, übermitteln wir die Alarmnachricht (Domain, Ereignis, Link; bei Prüfungsalarmen der Link zum Report, über den Ergebnisse und Bildschirmfotos ohne Anmeldung abrufbar sind) auf seine Weisung an diesen Dienst. Für die Wahl des Dienstes, dessen Bedingungen und die Sicherheit der angegebenen Adresse ist dann er verantwortlich. Telegram ist ebenfalls ein vom Kunden gewähltes Ziel; die Nachricht verschicken wir dorthin über unseren eigenen Bot. Auch diese Wahl ist seine Weisung; wie Telegram dabei datenschutzrechtlich einzuordnen ist und dass die Grundlage für die Übermittlung in ein Drittland noch nicht abschließend geklärt ist, regelt der AVV. Einige dieser Dienste verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums. Unsere Leistung ist mit dem Absenden der Nachricht erbracht. Ob und wann ein fremder Dienst sie zustellt, entzieht sich unserem Einfluss.

9.4 Wartungsfenster, Quittieren und Eskalation

Der Kunde kann für eine Domain ein Wartungsfenster setzen; die WordPress-Erweiterung meldet einen eingeschalteten Wartungsmodus selbst. In dieser Zeit bleiben Alarme stumm, und Puls und Browserwege ruhen; geplante Prüfungen einschließlich der Test-Einsendungen laufen weiter. Eine Problem-Meldung wird ein Vorfall, den die Empfänger über einen Link quittieren können; bleibt er unquittiert, kann eine Eskalation an eigens dafür eingerichtete Ziele gehen.

9.5 Kein Alarm ist keine Entwarnung

Ein ausbleibender Alarm bedeutet nicht, dass alles in Ordnung ist. Er kann ausbleiben, weil der Zustand unverändert ist, weil eine Prüfung wegen einer Sperre der Zielseite nicht durchlief, weil ein Ziel nicht erreichbar war, weil ein Wartungsfenster lief oder weil der Dienst selbst gestört war. Den Stand jeder Domain sieht der Kunde auf ihrer Seite im Konto. Der Dienst ergänzt die eigene Aufmerksamkeit des Kunden für seine Website; er ersetzt sie nicht.

10. Browserwege und Scan hinter dem Login

10.1 Browserwege

In bezahlten Tarifen kann der Kunde für verifizierte Domains einzelne Formularwege festlegen: die Adresse eines Formulars, seinen Selektor, vorgeschaltete Klicks und einfache Prüfschritte. Der Dienst durchläuft diese Wege regelmäßig in einem Prüf-Browser (Chromium, auf Wunsch zusätzlich WebKit) und misst, ob das Formular erscheint und bedienbar ist. Ein Browserweg endet vor dem Absenden: Er löst keine Bestellung, keine Zahlung und keine Einsendung aus. Die WordPress-Erweiterung bietet angemeldeten Administratoren einen Recorder, der solche Wege aufzeichnet, ohne Eingaben zu lesen.

Der Kunde legt nur Wege fest, deren Durchlaufen nichts auslöst, was er nicht will. Ein Weg, der auf einer Website mit einem Klick etwas bestellt, bucht oder löscht, gehört nicht in einen Browserweg.

10.2 Unabhängiger zweiter Standort

Der Dienst kann einen gemeldeten Ausfall vor einem Alarm von einem zweiten, unabhängigen Standort aus gegenprüfen lassen. Diese Bestätigung ist ab Werk ausgeschaltet und steht nur zur Verfügung, wenn ein solcher Standort eingerichtet ist; die Domain-Seite zeigt, ob das der Fall ist. Der zweite Standort erhält die Domain, die bereinigte Konfiguration des Weges und eine Auftragskennung, nie Zugangsdaten, Bildschirmfotos oder Eingaben von Besuchern. Ohne eingerichteten Standort gibt es keinen Nachweis durch einen zweiten Standort.

10.3 Scan hinter dem Login

In bezahlten Tarifen kann der Inhaber oder ein Admin eines Arbeitsbereichs für eine verifizierte Domain ein Testkonto hinterlegen, mit dem sich der Crawler auf der Website anmeldet und die Formulare einiger weniger vom Kunden angegebener Seiten hinter der Anmeldung liest. Das Testkonto wird nur in der vollen Prüfung verwendet, nicht in den Browserwegen der Ziffer 10.1. Dafür gilt:

• Nur lesen. Hinter der Anmeldung schickt der Crawler nichts ab, führt keine aktive Prüfung durch, fertigt keine Bildschirmfotos an, ruft keine Adressen zum Abmelden, Löschen oder Kündigen auf und umgeht keine CAPTCHAs.
• Verschlüsselt. Benutzername und Passwort werden über eine verschlüsselte Verbindung übertragen und auf unserem Webserver beim Speichern sofort mit einem öffentlichen Schlüssel des Scan-Servers verschlüsselt. Entschlüsseln kann sie nur der Scan-Server, und zwar für die Dauer eines Prüfauftrags; der Webserver, die Datenbank und die Sicherungen enthalten sie nur verschlüsselt. Sie werden nie angezeigt, nie protokolliert und nie über die API herausgegeben.
• Löschbar. Der Kunde kann das Testkonto jederzeit löschen; mit der Domain wird es ebenfalls gelöscht.

10.4 Pflichten beim Testkonto

Der Kunde hinterlegt ausschließlich ein eigens für diese Prüfung angelegtes Testkonto mit den geringsten Rechten, die zum Erreichen der Formulare nötig sind. Er hinterlegt nie die Zugangsdaten einer echten Person, eines Administrators, eines Kunden seiner Website oder eines anderen Dienstes, und kein Passwort, das er anderswo verwendet. Er bestätigt das bei der Einrichtung ausdrücklich. Er sorgt dafür, dass das Testkonto keine Daten echter Personen einsehen kann, und ändert oder löscht es, sobald er die Funktion nicht mehr nutzt. Diese Funktion ist der einzige Fall, in dem der Dienst Zugangsdaten zu einer Website des Kunden verwendet; sie ändert nichts daran, dass wir keine Zugänge zu den Systemen des Kunden erhalten (Ziffer 12.3).

11. Zustellungsprüfung und Echtheit der Formularmail

11.1 Wie sie funktioniert

In den Tarifen, für die die Preisseite es vorsieht, kann der Kunde für eine verifizierte Domain eine Kontrolladresse von uns als Blindkopie in die Benachrichtigung seines Formulars eintragen. Nach einer angenommenen Test-Einsendung (Ziffer 8.2) muss deren Kopie binnen weniger Stunden in unserem Kontrollpostfach eintreffen; sonst meldet der Dienst, dass die Zustellung ausblieb. Aus den eingehenden Kopien prüft der Dienst außerdem SPF, DKIM und DMARC der Formularmail und meldet, wenn sie scheitern.

11.2 Was dabei bei uns ankommt

Eine Blindkopie geht nicht nur bei unserer Test-Einsendung an uns, sondern bei jeder Einsendung über das Formular, also auch bei echten Anfragen von Besuchern der Website mit ihrem Inhalt. Der automatische Abruf liest nur die Kopfzeilen und höchstens die ersten 8 KB des Textes, um die Mail einer Domain und gegebenenfalls einem Test zuzuordnen und die Echtheitsprüfung durchzuführen. Gespeichert werden nur Zeitpunkt, Zuordnung, gegebenenfalls Testkennung und Ergebnis der Echtheitsprüfung. Dieses Ergebnis enthält die IP-Adresse des sendenden Mailservers und die Domain der Absenderadresse; ein Alarm nennt diese Domain nur, wenn sie nicht zur Website gehört; Inhalte und vollständige Absenderadressen der Besucher speichern wir nicht. Nach erfolgreicher Verarbeitung wird die Mail aus dem Postfach gelöscht. Scheitert ein Abruf oder eine Löschung, kann sie bis zum nächsten erfolgreichen Lauf im Postfach liegen.

Für die Kopien echter Anfragen sind wir Auftragsverarbeiter des Kunden; es gilt der AVV. Der Kunde informiert die Besucher seiner Website über diesen Datenfluss, etwa mit den Textbausteinen für Ihre Datenschutzerklärung, und richtet die Funktion nicht für Formulare ein, über die besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) übermittelt werden.

11.3 Was sie beweist – und was nicht

Ein passender Eingang beweist nur, dass die Kopie unserer Test-Einsendung in unserem Kontrollpostfach angekommen ist. Er beweist nicht, dass die Mail beim eigentlichen Empfänger angekommen ist, dort nicht im Spam-Ordner liegt oder in ein CRM-System übernommen wurde. Eine Bestätigung über die Schnittstelle eines CRM-Anbieters (etwa HubSpot) bietet der Dienst nicht an. Ohne eingetragene Kontrolladresse ist die Zustellungsprüfung nicht verfügbar.

12. Fix it for me, Schutzbausteine und KI

12.1 Anleitungen und Schutzbausteine

Zu den Befunden zeigt der Dienst Anleitungen zur Behebung für gängige Systeme. In bezahlten Tarifen erzeugt er für eigenen Formular-Code Schutzbausteine (derzeit für PHP, Node.js und Python) mit den Feldnamen aus der letzten Prüfung, die dieselben Schutzmaßnahmen umsetzen, die die Prüfung erwartet. Für WordPress-Formulare bringt die Erweiterung eine fertige Schutzschicht mit (Ziffer 13.2).

12.2 Anpassung mit einem Sprachmodell

Auf Wunsch fügt der Kunde seinen Formular-Code ein, und ein Sprachmodell baut den Schutzbaustein ein. Zurück kommen die geänderte Datei, ein Patch, das Ergebnis einer Syntaxprüfung und eine Prüfung, ob die Schutzmaßnahme tatsächlich eingebaut ist. Dabei gilt:

• Das Sprachmodell läuft auf unserem eigenen Scan-Server in Polen. Der eingefügte Code geht an keinen Anbieter eines Sprachmodells und wird nach der Antwort nicht gespeichert.
• Die Zahl der Aufrufe je Arbeitsbereich und Tag ist begrenzt; die Oberfläche nennt die Grenze.
• Ergebnisse eines Sprachmodells können falsch, unvollständig oder unsicher sein, auch wenn die automatische Prüfung sie für gut befindet. Sie sind als erzeugt gekennzeichnet. Wie wir KI einsetzen, beschreibt die Seite EU-KI-Verordnung.

12.3 Keine Zugänge zu Systemen des Kunden

„Fix it for me“ arbeitet ohne Zugangsdaten. Wir verlangen und verwenden keine FTP-, SSH-, Hosting- oder Administratorzugänge, spielen nichts auf Server des Kunden ein und ändern nichts an seiner Website. Einbauen, testen und veröffentlichen tut der Kunde selbst.

12.4 Prüfung durch den Kunden

Der Kunde fügt in das Eingabefeld keine Zugangsdaten, Schlüssel, Passwörter und keine personenbezogenen Daten ein. Er sichert vor dem Einbau seine Website und Daten, prüft erzeugten oder geänderten Code, testet ihn in einer Testumgebung und setzt ihn erst danach ein. Für den Betrieb geänderten Codes auf seiner Website ist er verantwortlich.

13. WordPress-Plugin, TYPO3- und MainWP-Erweiterung

13.1 Lizenz

Das WordPress-Plugin, die MainWP-Erweiterung und die TYPO3-Erweiterung sind freie Software unter der GNU General Public License, Version 2 oder (nach Wahl) jeder späteren Version. Was der Kunde mit ihrem Code tun darf, bestimmt allein diese Lizenz; diese AGB schränken sie nicht ein. Die AGB gelten für die Verbindung der Erweiterungen mit dem Dienst und für alles, was der Dienst auf ihre Anfragen hin leistet.

13.2 Was die Erweiterungen tun

WordPress-Plugin. Es startet eine passive Prüfung der eigenen Website, zeigt das Ergebnis im WordPress-Backend und bringt eine Schutzschicht für gängige Formular-Plugins, Kommentare und Registrierungen mit (Fallenfeld, signierte Mindest-Ausfüllzeit, Nachweis einer Interaktion, unsichtbares Rechenrätsel statt CAPTCHA, Drosselung, Prüfung von Kopfzeilen und Mail-Domain, Filter). Die Schutzschicht läuft ausschließlich auf dem Server des Kunden, ist für alle frei, ohne Konto und ohne Tarif; ist das Plugin mit einem Konto verbunden, sendet es Tageszahlen, das Plugin-Inventar und für den Schwarmschutz die Domains von Links aus abgewehrten Nachrichten an uns (Ziffern 13.3 und 13.5). Wer sie eingeschaltet hat, behält sie auch dann, wenn ein Tarif endet.

TYPO3-Erweiterung. Sie startet eine passive Prüfung aus dem TYPO3-Backend, gibt das Meta-Tag für den Nachweis aus und zählt, wenn sie verbunden ist, angenommene und von Powermail gestoppte Einsendungen, Mailfehler und Updates. Eine eigene Schutzschicht bringt sie nicht mit; sie ändert das Verhalten von Powermail nicht.

MainWP-Erweiterung. Sie zeigt in einem MainWP-Dashboard die Ergebnisse aller Websites aus dem Konto des Kunden. Sie setzt einen API-Schlüssel (Ziffer 16.1) voraus, speichert ihn im Dashboard des Kunden und sendet ihn nur an formexposed.

Alle drei Erweiterungen sind kostenlos. Funktionen, die erst mit einem Konto oder einem bezahlten Tarif zur Verfügung stehen, nennt die Preisseite.

13.3 Verbindung mit einem Konto

Verbindet der Kunde eine Erweiterung mit seinem Konto, übermittelt sie dem Dienst Zahlen und Merkmale, außer den Link-Domains des Schwarmschutzes (Ziffer 13.5) aber nie Formularinhalte, E-Mail-Adressen, Namen oder IP-Adressen von Besuchern: täglich die Zahl abgewehrter und angenommener Einsendungen je Grund, den Mailversand und die Art seiner Fehler, Zahlen zu reCAPTCHA-Antworten, Merkmale der Formular-Einstellungen, Zahlen zu gespeicherten Anfragen und Speicherfristen, die Versionen einer festen Liste von Formular-, CAPTCHA- und Mail-Plugins und, zeitnah, Updates und Aktivierungen von Plugins, Themes und WordPress. Welche Daten genau übermittelt werden, beschreiben die Datenschutzerklärung und die Beschreibung der jeweiligen Erweiterung. Optionale Zählungen von Formularereignissen und Feldfehlern sind ab Werk ausgeschaltet.

13.4 Was auf der Website des Kunden geschieht

Installation, Updates, Sicherungen und Einstellungen der Erweiterungen liegen beim Kunden. Das gilt besonders für Funktionen, die auf seiner Website Daten von Besuchern verarbeiten oder löschen:

• Die Quarantäne hält gestoppte Einsendungen 14 Tage auf dem Server des Kunden; das Rettungsnetz hält Formularmails, die nicht versandt werden konnten, 30 Tage. Beides bleibt auf der Website des Kunden und geht nicht an uns.
• Die Speicherfristen löschen, wenn der Kunde sie einschaltet, gespeicherte Anfragen in Formular-Plugins nach der gewählten Frist endgültig. Der Kunde prüft vor dem Einschalten, ob er diese Anfragen aus anderen Gründen aufbewahren muss.
• Der Umzug von reCAPTCHA auf das Rechenrätsel und andere Ein-Klick-Änderungen an Formular-Plugins ändern deren Einstellungen; die Erweiterung legt dafür eine Sicherung an und bietet einen Rückweg.
• Filter (etwa für Wegwerfadressen, Schriftsysteme, Sperrwörter, Länder) können echte Anfragen stoppen. Gestoppte Anfragen landen in der Quarantäne.

Über diese Verarbeitungen informiert der Kunde die Besucher seiner Website selbst; die WordPress-Erweiterung schlägt dafür Textabsätze vor. Für die Daten, die auf der Website des Kunden bleiben, ist allein er verantwortlich.

13.5 Schwarmschutz

Ist der Schwarmschutz eingeschaltet (ab Werk an, jederzeit abschaltbar), meldet die Erweiterung die Domains von Links aus gestoppten Nachrichten, nie Nachrichten, Absender oder Besucher-IP-Adressen. Taucht eine Domain auf mehreren Websites gehäuft auf, verteilt der Dienst sie als Sperrliste an alle verbundenen Websites mit eingeschaltetem Schwarmschutz. Große Dienste und Domains unserer Kunden werden nie gelistet. Der Kunde gestattet uns, die von seiner Website gemeldeten Link-Domains in dieser Weise zu verwenden; IP-Adressen werden dafür nicht übermittelt.

13.6 Updates und Mindestversionen

Wir entwickeln die Erweiterungen weiter und beheben Fehler und Sicherheitslücken in neuen Versionen. Ältere Versionen können wir von der Verbindung mit dem Dienst ausschließen, wenn sie ein Sicherheitsrisiko sind; das ist im Jahr 2026 bereits einmal geschehen, als eine Lücke beim Verbinden geschlossen wurde. Der Kunde hält die Erweiterungen aktuell.

14. Siegel, Nachweis-Protokoll und Berichte

14.1 Das Siegel

Für verifizierte Domains kann der Kunde ein Siegel auf seiner Website einbinden, das mit einer öffentlichen Bestätigungsseite verknüpft ist. Das Siegel zeigt „geschützt“ nur, solange die Domain verifiziert ist, das Monitoring läuft und die letzte fertige Prüfung höchstens 45 Tage alt ist und „protected“ oder „partially protected“ ergab; sonst zeigt es einen neutralen Zustand. Es nennt keine Befunde.

Der Kunde bindet das Siegel unverändert und nur auf der Website der Domain ein, für die es ausgegeben ist. Er erweckt mit ihm keinen Eindruck, der über seine Aussage hinausgeht, insbesondere nicht den einer Zertifizierung oder einer Garantie gegen Spam (Ziffer 5.4). Beim Laden des Siegels übermittelt der Browser des Besuchers seine IP-Adresse, die Adresse der Seite und Browserangaben an unseren Server; wir setzen dabei kein Cookie. Der Kunde informiert seine Besucher darüber.

14.2 Nachweis-Protokoll und Zeitstempel

In den Tarifen, für die die Preisseite es vorsieht, erstellt der Dienst je Domain und Monat ein Nachweis-Protokoll mit Prüfnummer: was geprüft wurde, mit welchem Ergebnis, was gemeldet wurde und was sich geändert hat. Unter der Prüfnummer bestätigt eine öffentliche Seite Domain, Zeitraum und Kennzahlen, ohne Details. Für jede Fassung lässt der Dienst, soweit diese Funktion eingeschaltet ist, eine Prüfsumme des Protokolls von einer Zeitstempelstelle nach RFC 3161 signieren; an die Zeitstempelstelle geht dabei nur die Prüfsumme. Dieser Zeitstempel ist kein qualifizierter elektronischer Zeitstempel im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS). Die Zuordnung zu NIS2, DIN SPEC 27076, ISO/IEC 27001, DSGVO oder PCI DSS ist eine Orientierungshilfe; sie bescheinigt keine Einhaltung.

14.3 Hinweise zu Datenschutz, Barrierefreiheit und Skripten

Der Dienst zeigt in eigenen Blöcken technische Hinweise, die nicht in den Schutz-Punktwert eingehen: ob ein CAPTCHA vor einer Einwilligung lädt, ob am Formular ein Datenschutzlink steht, welche fremden Skripte und Werbe-Pixel auf der Formularseite laufen, ob Eingaben an Aufzeichnungsdienste gehen, ob das Formular automatisch prüfbare Anforderungen an die Barrierefreiheit erfüllt, und, für verifizierte Domains, ein Inventar der Skripte mit Prüfsummen. Aus dem letzten Prüfergebnis kann er einen Entwurf von Informationen zur Barrierefreiheit erzeugen, der nur Gemessenes behauptet. Der Kunde prüft, ergänzt und verantwortet jeden solchen Text, bevor er ihn veröffentlicht. Diese Hinweise und Entwürfe sind keine Rechtsberatung (Ziffer 5.4).

14.4 Monatsbericht und Wertangaben

Der Dienst kann dem Kunden einen Monatsbericht schicken; er ist in den Einstellungen abschaltbar. Angaben wie „gestoppter Spam entspricht so viel Arbeitszeit“ oder „besser geschützt als ein bestimmter Anteil der geprüften Seiten“ sind Schätzungen unter genannten Annahmen und aus Summen vieler Prüfungen; sie sind keine Zusage eines Nutzens.

15. Funktionen für Agenturen

15.1 Einsatz für Websites Dritter

Eine Agentur, ein Freelancer oder ein Hoster darf den Dienst für Websites seiner Kunden nutzen, wenn er dazu beauftragt ist (Ziffer 7.1). Er bleibt unser alleiniger Vertragspartner und steht für die Einhaltung dieser AGB auch im Verhältnis zu seinen Kunden ein. Er sorgt dafür, dass seine Kunden über aktive Prüfungen, die Zustellungsprüfung und die Übermittlungen der Erweiterungen Bescheid wissen und, soweit nötig, eine Vereinbarung zur Auftragsverarbeitung zwischen ihm und ihnen besteht, die ihn berechtigt, uns entsprechende Weisungen zu erteilen.

15.2 White-Label-Reports und eigene Domain

Im Tarif Business kann der Kunde Reports unter seiner Marke ausgeben (Firmenname, Logo, Farbe, Kontaktzeile, Hinweis an den Kunden). Solche Reports nennen uns nur, wenn der Kunde den Hinweis auf uns einschaltet. Für alle Aussagen, die er in ihnen, im Kundenportal oder sonst gegenüber seinen Kunden macht, ist der Kunde selbst verantwortlich; sie sind seine Aussagen, nicht unsere. Er verwendet nur Marken und Logos, die er verwenden darf. Endet der Tarif Business, sind White-Label-Reports nicht mehr erreichbar. Eine eigene Domain für Portal und Reports steht nur zur Verfügung, soweit der Dienst sie anbietet; der Kunde richtet die nötigen DNS-Einträge selbst ein.

15.3 Kundenportal

Im Tarif Business kann der Kunde für seine Kunden ein Portal unter seiner Marke anlegen, auf Wunsch mit Passwort. Dort können seine Kunden einen Monatsbericht per E-Mail bestellen; die Bestellung wird erst nach Bestätigung über einen Link in einer E-Mail wirksam (Double-Opt-in) und lässt sich mit einem Klick abbestellen. Für die Daten der Abonnenten ist der Kunde Verantwortlicher und wir sind sein Auftragsverarbeiter (AVV). Wir schicken nur an Abonnenten, die sich selbst eingetragen und bestätigt haben. Der Kunde trägt niemanden ohne dessen Wissen ein.

15.4 Rollout-Codes und Import

Mit einem Rollout-Code verbindet der Kunde viele Websites mit Erweiterung auf einmal mit seinem Konto; der Code wirkt als Nachweis (Ziffer 7.2). Er setzt ihn nur auf Websites ein, für die er befugt ist, hält ihn geheim und widerruft ihn, wenn er nicht mehr gebraucht wird. Beim Import vieler Domains gilt Ziffer 7.1 für jede einzelne.

15.5 Interessenten-Prüfung

Im Tarif Business kann der Kunde die Website eines Interessenten passiv prüfen lassen, in einem monatlichen Kontingent, das die Oberfläche nennt. Heraus kommt ein Kurzbefund unter seiner Marke unter einer Adresse mit zufälligem Token. Ein Ausschluss über /opt-out gilt auch hier. Wir schreiben den Interessenten nicht an und schicken ihm nichts; den Link gibt allein der Kunde weiter.

Dabei gilt, und darauf weisen wir ausdrücklich hin: Wer einem Unternehmen, das nicht eingewilligt hat, ungefragt eine E-Mail, eine Nachricht oder einen Anruf mit einem Kurzbefund und einem Angebot schickt, betreibt Direktwerbung. In Polen verlangt Art. 398 des Gesetzes über elektronische Kommunikation (Prawo komunikacji elektronicznej, „PKE“) dafür die vorherige Einwilligung des Empfängers, auch zwischen Unternehmen; in Deutschland gilt § 7 Abs. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG) entsprechend. Der Kunde verwendet die Interessenten-Prüfung nur im Rahmen dieser und aller anderen anwendbaren Vorschriften über Werbung und Ansprache, etwa im Gespräch mit einem Interessenten, der sich selbst an ihn gewandt hat. Er stellt den Befund sachlich dar, ohne zu übertreiben oder zu drohen, und trägt allein die Verantwortung für seine Ansprache. Verstößt er dagegen, gilt Ziffer 30.

16. API, MCP und Automatisierungen

16.1 REST-API

Im Tarif Business stellt der Dienst eine REST-API bereit, mit der der Kunde Domains anlegen und abfragen, Prüfungen starten und Ergebnisse, Vorfälle und Prüfungen abrufen kann. Zugriff erhält er mit API-Schlüsseln, die er im Konto erzeugt; ihre Zahl und die Zahl der Aufrufe je Minute sind begrenzt. Ein Schlüssel wird nur einmal angezeigt und von uns nur als Prüfsumme gespeichert; verloren gegangene Schlüssel lassen sich ersetzen, nicht wiederherstellen. Die Rechte eines Schlüssels entsprechen denen seines Inhabers in der Oberfläche.

16.2 MCP-Server

Über einen MCP-Server (Model Context Protocol) kann der Kunde mit demselben Schlüssel einen KI-Assistenten seiner Wahl auf seine Daten zugreifen lassen: Domains, Prüfungen, Vorfälle lesen, eine Prüfung erklären lassen und eine Prüfung starten. Was der Assistent mit den abgerufenen Daten tut, bei welchem Anbieter er läuft und wohin er sie überträgt, bestimmt der Kunde; dieser Anbieter ist weder unser Unterauftragsverarbeiter noch unser Erfüllungsgehilfe. Entscheidungen, die ein solcher Assistent auf Grundlage der Daten trifft oder vorschlägt, trifft der Kunde.

16.3 Zapier, Make, n8n und Deploy-Pipelines

Für Automatisierungsdienste stellt der Dienst Anbindungen und Vorlagen bereit, soweit sie veröffentlicht sind: Vorlagen für Zapier und Make, Vorlagen für n8n und Vorlagen für GitHub Actions und GitLab CI, die nach einem Deployment eine passive Neuprüfung anstoßen. Ein solcher Dienst ist nicht Bestandteil des Dienstes. Der Kunde schaltet ihn ein, schließt mit seinem Anbieter einen eigenen Vertrag und verantwortet die Übermittlung dorthin. Ändert ein Anbieter seine Schnittstelle oder Bedingungen, kann eine Anbindung ausfallen; einen Anspruch auf ihren Fortbestand gibt es nicht.

16.4 Grenzen der Nutzung

Die Schnittstellen dürfen nur mit eigenen Schlüsseln, im Rahmen der dokumentierten Grenzen und nicht zur Umgehung von Tarifgrenzen, Wartezeiten oder Prüfungen der Ziffer 7 genutzt werden. Schlüssel sind geheim zu halten; wer den Verdacht hat, dass ein Schlüssel bekannt geworden ist, widerruft ihn im Konto.

17. Konto, Arbeitsbereiche, Rollen und Team

17.1 Arbeitsbereiche und Rollen

Domains gehören einem Arbeitsbereich, nicht einer Person. Ein Konto kann, je nach Tarif, mehrere Arbeitsbereiche haben; Agenturen legen etwa je Kunde einen an. Der Dienst kennt drei Rollen: Der owner hält den Arbeitsbereich und ist für ihn unser Vertragspartner; Tarif und Grenzen des Arbeitsbereichs richten sich nach seinem Konto. Ein admin darf Domains, Alarmziele und Einstellungen verwalten und Mitglieder einladen; Rollen ändern und Mitglieder entfernen kann nur der owner. Ein viewer darf lesen. Die Rollen werden auf unseren Servern durchgesetzt, nicht nur in der Oberfläche.

17.2 Team

Weitere Personen lädt der Kunde per E-Mail in einen Arbeitsbereich ein; sie werden Mitglied, wenn sie die Einladung annehmen. Jede Person nutzt ihren eigenen Zugang. Durch die Annahme einer Einladung entsteht zwischen der eingeladenen Person und uns kein weiterer Vertrag über diesen Arbeitsbereich; für ihn gilt der Vertrag des owner. Die Mitglieder eines Arbeitsbereichs sehen Name, E-Mail-Adresse und Rolle der anderen Mitglieder. Ein Mitglied kann vom owner entfernt werden; sein eigenes Konto bleibt davon unberührt.

17.3 Der Kunde steht für seine Mitglieder ein

Der Kunde hat das Handeln und Unterlassen seiner Mitglieder und jeder Person, die mit unter seinem Konto ausgegebenen Zugangsdaten, API-Schlüsseln, Rollout-Codes oder Erweiterungs-Geheimnissen handelt, wie eigenes zu vertreten. Das gilt auch für Personen, deren Zugang nicht rechtzeitig entzogen wurde.

17.4 Zugangsdaten und Sicherheit des Kontos

Der Kunde hält Passwörter, API-Schlüssel, Rollout-Codes und die Geheimnisse der Erweiterungen geheim, teilt sie nicht und entzieht Zugänge, wenn eine Person ausscheidet. Wir empfehlen die Zwei-Faktor-Anmeldung, die der Dienst anbietet. Den Verdacht eines unbefugten Zugriffs teilt der Kunde uns unverzüglich mit. Wir fragen nie per E-Mail nach Passwörtern.

17.5 Ansicht durch den Support

Um eine Supportanfrage zu bearbeiten, können wir ein Konto so ansehen, wie der Kunde es sieht. Jeder solche Zugriff wird protokolliert und ist im Datenexport des Kunden sichtbar. Er endet spätestens nach einer Stunde. Während der Ansicht ist gesperrt, was das Konto selbst verändert, etwa Passwort, E-Mail-Adresse, zweiter Faktor, Abonnement, Export, Löschung und Übergabe.

17.6 Konto löschen

Der Kunde kann sein Konto jederzeit in den Einstellungen löschen. Dabei gilt, und darauf weist die Oberfläche vor dem Löschen hin:

• Ein laufendes bezahltes Abonnement endet sofort. Für den Rest eines bereits bezahlten Zeitraums erstatten wir nichts. Wer den bezahlten Zeitraum ausnutzen will, kündigt zuerst (Ziffer 20.2) und löscht das Konto danach. Ausnahmen: Einzelunternehmern im Sinne der Ziffer 1.3 erstatten wir auf Anfrage den Teil des Entgelts, der auf die Zeit nach der Löschung entfällt; hat der Kunde vor der Löschung einen Wechsel oder die Löschung seiner Daten nach Ziffer 20.3 erklärt, erstatten wir anteilig für die Zeit nach dem Tag, an dem das Abonnement nach Ziffer 20.3 geendet hätte; das Widerrufsrecht (Ziffer 36) bleibt unberührt.
• Arbeitsbereiche, deren owner der Kunde ist und in denen andere Mitglieder arbeiten, gehen an eines dieser Mitglieder über, Admins zuerst. Die Arbeit eines Teams soll nicht verschwinden, weil die Person geht, die den Arbeitsbereich zufällig angelegt hat. Für den übergegangenen Arbeitsbereich gelten danach Tarif und Grenzen des neuen owner. Das Mitglied, das owner wird, hat diese AGB mit seinem eigenen Konto angenommen; der Arbeitsbereich fällt unter seinen Vertrag mit uns, ohne dass ihm dadurch eine Zahlungspflicht entsteht. Wer das nicht will, entfernt vor dem Löschen die Mitglieder oder die Domains.
• Arbeitsbereiche ohne weitere Mitglieder werden mit ihren Domains und den Daten dieser Domains gelöscht.
• Die Löschung ist endgültig und lässt sich nicht rückgängig machen. Was danach noch erhalten bleibt, nennt Ziffer 21.3.

18. Tarife, Grenzen und angemessene Nutzung

18.1 Der Tarif bestimmt das Geschuldete

Jeder Tarif hat Grenzen, etwa für die Zahl der Domains, der Arbeitsbereiche und der Mitglieder, die Häufigkeit der wiederkehrenden Prüfungen und des Formular-Pulses, die verfügbaren Alarmkanäle und Funktionen. Maßgeblich sind die Grenzen und Funktionen, die die Preisseite im Zeitpunkt der Bestellung nennt. Wir schreiben sie bewusst nicht in diese AGB, weil sie sich häufiger ändern als die Regeln dieses Vertrags; eine Änderung zulasten eines laufenden bezahlten Tarifs behandelt Ziffer 5.5. Domains und Mitglieder zählen je Konto über alle Arbeitsbereiche, deren owner es ist.

18.2 Was an einer Grenze geschieht

Ist eine Grenze erreicht, lässt der Dienst nichts Weiteres hinzufügen; Bestehendes bleibt. Liegt ein Konto nach einer Herabstufung oder einer Übergabe über einer Grenze, behält es seine Domains und Mitglieder, kann aber keine weiteren hinzufügen, bis es wieder unter der Grenze liegt; Häufigkeiten und Funktionen richten sich nach dem neuen Tarif. Die Auslastung zu beobachten ist Sache des Kunden.

18.3 Der Tarif Free

Der Tarif Free ist unentgeltlich. Sein Report zeigt die Kernprüfungen; welche weiteren Prüfungen es gibt, nennt er nur mit Namen und Zahl. Für unentgeltliche Leistungen gilt eine eingeschränkte Haftung (Ziffer 29.3).

18.4 Angemessene Nutzung

Der Dienst läuft auf geteilter Infrastruktur. Der Kunde belastet sie nicht in einem Maß, das außer Verhältnis zu seinem Tarif steht, insbesondere nicht durch Abfragen der Schnittstellen über die dokumentierten Grenzen hinaus, durch das wiederholte Anlegen und Entfernen von Domains, um Grenzen oder Wartezeiten zu umgehen, oder durch die Anlage mehrerer Konten zu diesem Zweck. Beeinträchtigt die Nutzung eines Kunden den Dienst für andere wesentlich, dürfen wir sie drosseln und teilen ihm Grund und Abhilfe mit. Gesperrt wird erst, wenn Drosseln nicht genügt; dann gilt Ziffer 31.

18.5 Missbrauchsabwehr

Der Dienst weist Anfragen mit Missbrauchsmustern selbsttätig ab und kann Adressen vorübergehend sperren. Diese Maßnahmen schützen den Dienst und Dritte und wirken vor jeder vertraglichen Bewertung. Trifft eine Maßnahme die berechtigte Nutzung des Kunden, heben wir sie nach Mitteilung unverzüglich auf. Ihr Wirken ist kein Mangel des Dienstes.

19. Entgelte, Steuern und Zahlung

19.1 Entgelte

Es gelten die Entgelte, die die Preisseite für Tarif, Abrechnungszeitraum und Währung im Zeitpunkt der Bestellung nennt. Der Dienst bietet die Währungen Euro und Złoty an; maßgeblich ist die bei der Bestellung gewählte, eine Umrechnung schulden wir nicht. Entgelte sind für den gesamten Abrechnungszeitraum im Voraus fällig.

19.2 Zahlungsdienstleister

Die Zahlung wickelt Stripe ab. Zahlungsdaten gibt der Kunde auf den Seiten von Stripe ein; wir erhalten und speichern sie nicht. Im Verhältnis zwischen dem Kunden und Stripe gelten daneben dessen Bedingungen. Zahlungsmittel, Rechnungsangaben und Rechnungen verwaltet der Kunde im Bereich Abrechnung über das Kundenportal von Stripe. Ist der Zahlungsdienstleister nicht verfügbar, dürfen wir neue Bestellungen vorübergehend nicht annehmen.

19.3 Steuern und Reverse Charge

Entgelte verstehen sich zuzüglich der gesetzlichen Umsatzsteuer, soweit diese anfällt. Hat der Kunde seinen Sitz in einem anderen Mitgliedstaat der Europäischen Union und gibt er eine im Zeitpunkt des Umsatzes gültige USt-IdNr. an, schuldet er die Steuer im Reverse-Charge-Verfahren, wenn die gesetzlichen Voraussetzungen dafür tatsächlich vorliegen. Für die Richtigkeit und Gültigkeit seiner USt-IdNr. steht der Kunde ein. Erweist sie sich als ungültig, erstattet er uns die Steuer samt Zinsen, die uns deshalb auferlegt werden.

19.4 Testphase

Bietet die Preisseite eine Testphase an (derzeit 14 Tage), gilt sie je Konto einmal und nur für die erste Bestellung eines bezahlten Tarifs. Sie kann ohne Angabe eines Zahlungsmittels begonnen werden. Drei Tage vor ihrem Ende erinnern wir den Kunden per E-Mail. Hat der Kunde bis zum Ende ein Zahlungsmittel hinterlegt, setzt sich das Abonnement kostenpflichtig fort; hat er keines hinterlegt, endet es von selbst, ohne dass eine Rechnung entsteht, und das Konto läuft im Tarif Free weiter. Einen Anspruch auf eine Testphase gibt es nicht.

19.5 Monats- und Jahresabonnement, Verlängerung

Bezahlte Tarife gibt es mit monatlicher und mit jährlicher Abrechnung. Ein Jahresabonnement wird für zwölf Monate im Voraus als Gesamtbetrag bezahlt; ein auf der Preisseite angezeigter Monatsvergleich ist keine monatliche Abbuchung. Abonnements verlängern sich jeweils um einen Zeitraum gleicher Länge, wenn sie nicht vor dessen Ende gekündigt werden (Ziffer 20.2).

19.6 Zahlung auf Rechnung

Wird die Zahlung eines Jahresabonnements auf Rechnung angeboten, gibt der Kunde dafür Firma, Anschrift und gegebenenfalls USt-IdNr. an; Stripe stellt die Rechnung aus, und der Kunde überweist den Betrag innerhalb der auf der Rechnung genannten Frist. Ein Anspruch auf Zahlung auf Rechnung besteht nicht.

19.7 Freischaltcodes und Rabatte

Ein Hoster, Partner oder wir selbst können Codes ausgeben, die einen Tarif für eine bestimmte Zahl von Monaten ohne Zahlung freischalten. Jedes Konto kann einen Code einer Kampagne einmal einlösen. Eine Woche vor dem Ende einer Freischaltung erinnern wir den Kunden; danach gilt wieder der Tarif, den er selbst gebucht hat, sonst der Tarif Free. Rabatte und Gutscheine gelten nur in dem Umfang, in dem sie beim Bezahlvorgang angezeigt werden.

19.8 Preisänderungen

Wir dürfen die Entgelte für künftige Abrechnungszeiträume ändern. Eine Erhöhung für ein laufendes Abonnement kündigen wir mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail an. Sie gilt frühestens ab dem ersten Abrechnungszeitraum, der nach Ablauf dieser Frist beginnt; für einen bereits bezahlten Zeitraum gilt sie nie. Der Kunde kann das Abonnement bis zum Wirksamwerden zum Ende des laufenden Zeitraums kündigen. Die Ankündigung nennt das neue Entgelt, den Zeitpunkt seines Wirksamwerdens und dieses Kündigungsrecht. Preissenkungen und Änderungen für neue Bestellungen gelten ohne Ankündigung. Ändert sich der gesetzliche Umsatzsteuersatz, ändert sich der Steuerbetrag entsprechend; das ist keine Preisänderung im Sinne dieser Ziffer.

19.9 Fehlgeschlagene Zahlung und Verzug

Schlägt eine Zahlung fehl, unternimmt Stripe weitere Versuche, und wir benachrichtigen den Kunden beim ersten und beim letzten Versuch per E-Mail. Bleibt die Zahlung auch danach aus, dürfen wir das Abonnement beenden; in der Regel geschieht das selbsttätig mit dem letzten erfolglosen Versuch. Das Konto läuft dann im Tarif Free weiter; Ziffer 18.2 gilt. Für die Zeit, in der der bezahlte Tarif trotz ausstehender Zahlung nutzbar war, bleibt das anteilige Entgelt geschuldet.

Gilt für den Kunden das polnische Gesetz vom 8. März 2013 über die Bekämpfung übermäßiger Verzögerungen bei Handelsgeschäften (ustawa o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych), können wir ab dem Tag nach Fälligkeit die gesetzlichen Zinsen für Verzug bei Handelsgeschäften (Art. 7 dieses Gesetzes) verlangen und, ohne dass es einer Mahnung bedarf, eine Entschädigung für die Kosten der Beitreibung nach Art. 10 dieses Gesetzes: 40 Euro bei einer Forderung bis 5.000 Złoty, 70 Euro bei einer Forderung über 5.000 und unter 50.000 Złoty und 100 Euro bei einer Forderung ab 50.000 Złoty, umgerechnet in Złoty zum durchschnittlichen Euro-Kurs der Narodowy Bank Polski vom letzten Arbeitstag des Monats vor dem Monat, in dem die Forderung fällig wurde. Darüber hinausgehende angemessene Kosten der Beitreibung bleiben vorbehalten (Art. 10 Abs. 2 dieses Gesetzes). Gilt dieses Gesetz für den Kunden nicht, schuldet er die gesetzlichen Verzugszinsen nach Art. 481 KC.

19.10 Rechnungen und Einwendungen

Rechnungen stellen wir elektronisch aus, in der Form, die das Steuerrecht vorschreibt, gegenüber Unternehmern in Polen, soweit vorgeschrieben, über das Nationale System für elektronische Rechnungen (KSeF); im Übrigen stimmt der Kunde der elektronischen Übermittlung zu. Sie stehen im Bereich Abrechnung bereit. Einwendungen gegen eine Rechnung erhebt der Kunde möglichst binnen 30 Tagen nach ihrem Datum in Textform unter Angabe des Grundes, damit sich der Vorgang noch aufklären lässt. Gesetzliche Fristen bleiben unberührt.

19.11 Erstattung und Aufrechnung

Gezahlte Entgelte erstatten wir nur, soweit diese AGB es vorsehen (insbesondere Ziffern 5.5, 17.6, 20.3, 20.5, 24.2, 32, 34, 36 und 38.1) oder zwingendes Recht es verlangt. Für Zeiten, in denen der Kunde den Dienst nicht genutzt hat, und für ungenutzte Kapazität innerhalb eines Tarifs gibt es keine Erstattung. Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen; für Einzelunternehmer im Sinne der Ziffer 1.3 gilt diese Beschränkung nicht.

20. Laufzeit, Kündigung und Tarifwechsel

20.1 Konto und Tarif Free

Der Vertrag über das Konto läuft auf unbestimmte Zeit. Der Kunde kann ihn jederzeit beenden, indem er sein Konto löscht (Ziffer 17.6). Wir können ihn mit einer Frist von 30 Tagen in Textform kündigen; läuft ein bezahltes Abonnement, wirkt unsere Kündigung frühestens zum Ende des bezahlten Zeitraums. Gegenüber Einzelunternehmern im Sinne der Ziffer 1.3 kündigen wir nach dieser Ziffer und nach Ziffer 20.2 nur aus einem der folgenden Gründe, den wir in der Kündigung nennen: Einstellung des Dienstes oder des betroffenen Tarifs insgesamt, Änderung der Rechtslage oder behördliche Vorgaben, die die weitere Erbringung unzumutbar machen, Wegfall einer für die Erbringung notwendigen Leistung eines Dritten oder fehlende Nutzung des Kontos seit mindestens zwölf Monaten.

20.2 Bezahlte Tarife

Bezahlte Tarife laufen für den gewählten Abrechnungszeitraum und verlängern sich nach Ziffer 19.5. Der Kunde kann jederzeit im Bereich Abrechnung zum Ende des laufenden Zeitraums kündigen; bis dahin bleibt der Tarif nutzbar, und bis dahin kann er die Kündigung auch zurücknehmen. Danach läuft das Konto im Tarif Free weiter. Wir können ein bezahltes Abonnement mit einer Frist von 30 Tagen zum Ende eines Abrechnungszeitraums kündigen.

20.3 Anbieterwechsel und Ausleitung der Daten (Data Act)

Die Verordnung (EU) 2023/2854 (Data Act) gibt Kunden von Datenverarbeitungsdiensten das Recht, zu einem anderen Anbieter oder in eigene Systeme zu wechseln oder ihre Daten auszuleiten und löschen zu lassen (Art. 23 ff.). Wir wenden die folgenden Regeln an, ohne dass es darauf ankommt, ob formexposed ein Datenverarbeitungsdienst im Sinne des Art. 2 Nr. 8 ist. Sie enthalten die Vertragsbestimmungen nach Art. 25 Abs. 2 und gehen bei einem Wechsel den übrigen Bestimmungen dieser AGB vor.

1. Wechselverlangen und Kündigungsfrist (Art. 25 Abs. 2 Buchst. d). Der Kunde erklärt in Textform oder über das Support-Fenster, dass er zu einem anderen Anbieter oder in eigene Systeme wechseln oder seine Daten ausleiten und löschen lassen will. Einen Grund muss er nicht nennen. Ein bezahltes Abonnement endet zu dem Zeitpunkt, den der Kunde nennt, spätestens zwei Monate nach Zugang der Erklärung, auch wenn der bezahlte Zeitraum länger läuft; für die Zeit danach im Voraus gezahlte Entgelte erstatten wir anteilig. Bis zum Ende des Abonnements bleibt der Tarif mit allen Funktionen nutzbar. Das Ende des Abonnements bestätigen wir in Textform.
2. Übergangszeitraum (Buchst. a). Bei einem Wechsel schließt sich an das Ende der Kündigungsfrist ein Übergangszeitraum von höchstens 30 Kalendertagen an, in dem der Wechsel abgeschlossen wird; er endet früher, sobald der Kunde uns den Abschluss des Wechsels mitteilt. In dieser Zeit gilt der Vertrag fort, und der bisherige Tarif bleibt mit allen Funktionen und Exportwegen nutzbar; ein Entgelt berechnen wir dafür nicht. Wir unterstützen den Kunden und die von ihm benannten Dritten beim Wechsel im zumutbaren Umfang, erbringen die Leistungen mit der gebotenen Sorgfalt weiter, damit die Geschäftstätigkeit des Kunden möglichst ohne Unterbrechung weiterläuft, informieren klar über uns bekannte Risiken für die Kontinuität der Leistung und halten das Sicherheitsniveau der Technischen und organisatorischen Maßnahmen aufrecht, auch für die Daten während der Übertragung.
3. Abweichender Übergangszeitraum (Art. 25 Abs. 4 und 5). Ist der Übergangszeitraum von 30 Kalendertagen technisch nicht einzuhalten, teilen wir das dem Kunden binnen 14 Arbeitstagen nach seinem Wechselverlangen mit Begründung mit und nennen einen anderen Übergangszeitraum von höchstens sieben Monaten; die Leistungen nach Nr. 2 erbringen wir bis zu dessen Ende, ebenfalls ohne Entgelt. Der Kunde kann den Übergangszeitraum einmal um einen Zeitraum verlängern, den er für angemessener hält; für die Zeit der Verlängerung zahlt er das gewöhnliche Entgelt seines Tarifs anteilig für die tatsächliche Dauer.
4. Ausstiegsstrategie (Buchst. b). Wir stellen dem Kunden die Informationen bereit, die er für seine Ausstiegsstrategie braucht, insbesondere zu den Exportwegen, Formaten und Schnittstellen und ihren bekannten Einschränkungen. Sie stehen auf der Seite EU Data Act: Anbieterwechsel und Datenexport.
5. Exportierbare Daten (Buchst. e). Exportierbar sind alle Daten, die der Kunde und seine Mitglieder in den Dienst eingegeben haben oder die durch ihre Nutzung des Dienstes für ihre Arbeitsbereiche und Domains entstanden sind, mit Ausnahme der in Nr. 6 genannten, nämlich: Konto- und Profildaten; Arbeitsbereiche und Mitgliedschaften; Domains mit ihren Einstellungen; überwachte Formulare und Formularwege mit ihren Prüfschritten; Alarmziele; Marke; Kundenportale samt Abonnenten; Interessenten-Prüfungen; API-Schlüssel ohne Geheimnis; Geräte, Anmeldungen, Aktivitäten und Seitenaufrufe; Supportanfragen; versandte E-Mails; Zustimmungsnachweise; Prüfergebnisse mit Befunden und Bildschirmfotos; Vorfälle und Alarmprotokoll; Tageszahlen der Formulare und Antwortzeiten; Zustellversuche von Eskalationen; Skript-Inventar mit Änderungsprotokoll; Nachweis-Protokolle mit Zeitstempeln; die Portfolio-Übersicht. Wir liefern sie in offenen, maschinenlesbaren Formaten (JSON, CSV in UTF-8, HTML-Report, Zeitstempel-Antwort nach RFC 3161). Welche Daten auf welchem Weg und in welchem Format abrufbar sind, nennt die Seite EU Data Act; was dort nur auf Anfrage geliefert wird, liefern wir innerhalb von 30 Tagen; auf Weisung des Kunden übermitteln wir es auch unmittelbar an den Anbieter, zu dem er wechselt. Rechnungen stellt Stripe als PDF bereit.
6. Ausgenommene Daten (Buchst. f). Nicht exportierbar sind abschließend die Daten, die nur dem inneren Betrieb des Dienstes dienen und deren Herausgabe unsere Geschäftsgeheimnisse oder die Sicherheit des Dienstes gefährden würde: Passwort-Hashes, Geheimnisse der Zwei-Faktor-Anmeldung, Token und Signaturschlüssel, die verschlüsselten Zugangsdaten von Testkonten, die Gewichtung des Punktwerts, unsere Erkennungsregeln und die Vermerke unserer Missbrauchsabwehr. Das Auskunftsrecht nach Art. 15 DSGVO bleibt unberührt.
7. Abrufzeitraum (Buchst. g). Nach dem Ende des Übergangszeitraums kann der Kunde seine Daten mindestens 30 Kalendertage lang abrufen; hat er statt eines Wechsels die Löschung gewählt, gilt Nr. 8. Solange er nicht nach Nr. 8 die Beendigung des Kontos verlangt, bleibt das Konto mit dem Datenexport im Tarif Free darüber hinaus bestehen, bis er es löscht.
8. Abschluss und Löschung (Buchst. c und h). Ist der Wechsel abgeschlossen, bestätigen wir das dem Kunden in Textform; der Vertrag über den bezahlten Tarif gilt damit als beendet, soweit er nicht schon nach Nr. 1 geendet hat. Hat der Kunde verlangt, dass auch das Konto endet, endet der Vertrag über das Konto mit Ablauf des Abrufzeitraums oder früher mit der Bestätigung des Kunden, dass der Wechsel abgeschlossen ist, und wir löschen unmittelbar danach alle exportierbaren Daten und digitalen Vermögenswerte, die der Kunde unmittelbar erzeugt hat oder die ihn unmittelbar betreffen. Hat der Kunde in seiner Erklärung statt eines Wechsels die Löschung gewählt (Art. 25 Abs. 3), endet der Vertrag über das Konto mit dem Ende der Kündigungsfrist, und wir löschen diese Daten unmittelbar danach. Ausgenommen ist nur, was Ziffer 21.3 als nach der Löschung verbleibend nennt, für die dort genannten Fristen.
9. Wechselentgelte (Buchst. i). Für den Wechsel, die Ausleitung der Daten und die Unterstützung dabei berechnen wir nichts (Art. 29). Das Entgelt für eine vom Kunden verlangte Verlängerung nach Nr. 3 ist das gewöhnliche Entgelt für den weiter genutzten Tarif, kein Wechselentgelt.

Das vorzeitige Ende des Abonnements, die Erstattung und die Bereitstellung auf Anfrage veranlassen wir derzeit von Hand nach Zugang der Erklärung. Sagt die Seite EU Data Act dem Kunden mehr zu als diese Ziffer, gilt auch diese Zusage als Teil dieses Vertrags.

20.4 Tarifwechsel

Den Tarif wechselt der Kunde im Bereich Abrechnung. Wie ein Wechsel wirkt, ob sofort oder zum Ende des Zeitraums, und wie bereits Gezahltes verrechnet wird, zeigt der Bezahlvorgang vor der Bestätigung an. Nach einer Herabstufung gilt Ziffer 18.2; Funktionen des bisherigen Tarifs, etwa White-Label-Reports, Kundenportale, API-Zugriff, Browserwege oder der Scan hinter dem Login, stehen dann nicht mehr zur Verfügung. Hinterlegte Testkonten (Ziffer 10.3) werden dann nicht mehr verwendet; der Kunde kann sie jederzeit löschen.

20.5 Außerordentliche Kündigung

Beide Seiten können aus wichtigem Grund fristlos kündigen. Ein wichtiger Grund liegt für uns insbesondere vor, wenn der Kunde Domains ohne Befugnis prüfen lässt, den Dienst entgegen Ziffer 23 nutzt, die Interessenten-Prüfung entgegen Ziffer 15.5 einsetzt oder sonst wesentlich gegen diese AGB verstößt und den Verstoß nicht innerhalb einer Frist von mindestens 14 Tagen abstellt, die wir ihm in Textform setzen; einer Frist bedarf es nicht, wenn der Verstoß nicht behebbar ist oder ein Zuwarten uns oder Dritte ernstlich gefährden würde. Ein wichtiger Grund ist auch ein Zahlungsverzug von mehr als 30 Tagen trotz Mahnung in Textform. Ein wichtiger Grund liegt für den Kunden insbesondere vor, wenn wir eine wesentliche Vertragspflicht (Ziffer 29.2) verletzen und die Verletzung nicht innerhalb einer Frist von mindestens 14 Tagen abstellen, die er uns in Textform setzt.

Endet ein bezahltes Abonnement durch eine Kündigung nach dieser Ziffer, erstatten wir im Voraus gezahlte Entgelte für die Zeit danach anteilig. Kündigen wir wegen eines Verstoßes des Kunden, dürfen wir unsere Ansprüche aus diesem Verstoß damit verrechnen.

20.6 Form

Kündigungen erfolgen im Konto oder in Textform an die Adressen der Ziffer 38.5. Eine Nachricht in einem Chat-Fenster genügt nicht; für die Wechselerklärung nach Ziffer 20.3 genügt auch das Support-Fenster.

21. Folgen des Vertragsendes und Datenexport

21.1 Vor dem Ende: der Datenexport

Der Kunde kann seine Daten jederzeit in den Einstellungen als Datei herunterladen. Der Export umfasst insbesondere Konto- und Profildaten, Arbeitsbereiche und Mitgliedschaften, Domains mit ihren Einstellungen, Formularwege, Alarmziele, Marke, Kundenportale und deren Abonnenten, Interessenten-Prüfungen, API-Schlüssel (ohne Geheimnisse), Anmeldegeräte, Aktivitäten, Supportanfragen, versandte E-Mails und die Zustimmungsnachweise. Prüfergebnisse stehen als Reports im Konto; Nachweis-Protokolle, das Skript-Inventar und die Portfolio-Übersicht lassen sich als eigene Dateien herunterladen. Rechnungen und Zahlungsmittel hält Stripe; sie stehen im Bereich Abrechnung bereit. Welche Daten insgesamt exportierbar sind und welche nicht, regelt Ziffer 20.3 Nr. 5 und 6 abschließend; das gilt auch außerhalb eines Anbieterwechsels. Der Kunde sollte vor der Löschung seines Kontos ausleiten, was er behalten möchte; nach der Löschung gibt es kein Archiv, aus dem es sich wiederherstellen ließe.

21.2 Ende eines bezahlten Tarifs

Endet ein bezahlter Tarif, ohne dass das Konto gelöscht wird, bleiben die Daten erhalten, und das Konto läuft im Tarif Free weiter. Es gelten die Grenzen und Funktionen des Tarifs Free (Ziffern 18.2 und 20.4).

21.3 Löschung des Kontos und was bleibt

Mit der Löschung des Kontos löschen wir die Daten nach unserer Datenschutzerklärung. Bewusst erhalten bleiben: der Nachweis der Zustimmung zu diesen AGB und zum AVV (Ziffer 4.4); Einträge im Aktivitätsprotokoll bis zum Ablauf seiner Frist von 365 Tagen; Einträge im Seitenaufruf-Protokoll und versandte E-Mails bis zum Ablauf ihrer Fristen von 60 und 30 Tagen; Supportanfragen für 24 Monate; Reports von Interessenten-Prüfungen bis zum Ablauf ihrer Frist von bis zu 90 Tagen; Rechnungen und Buchungsunterlagen für die steuerrechtlich vorgeschriebene Dauer. Sicherungskopien der Datenbank laufen nach 14 Tagen ab; bis dahin können gelöschte Daten in ihnen enthalten sein. Sie werden nur zur Wiederherstellung nach einem Verlust genutzt.

Endet der Vertrag über das Konto auf andere Weise als durch die Löschung durch den Kunden, etwa durch unsere Kündigung, kann der Kunde seine Daten bis zum Vertragsende exportieren; spätestens 30 Tage nach dem Vertragsende löschen wir das Konto wie bei einer Löschung durch den Kunden. Für eine Beendigung nach Ziffer 20.3 gilt deren Nr. 8.

21.4 Fristen während der Laufzeit

Auch während der Laufzeit werden Daten nach Fristen gelöscht, etwa Prüfergebnisse nach 13 Monaten (die jeweils letzte Prüfung einer Domain bleibt) und die von Erweiterungen übermittelten Zahlen nach 13 Monaten. Wird eine Domain entfernt, löschen wir die Daten der Domain, etwa Prüfungen, Befunde, Bildschirmfotos, Reports, Alarme, Vorfälle, Testkonten und überwachte Formulare. Die Fristen im Einzelnen nennt die Datenschutzerklärung, für Daten im Auftrag der AVV.

21.5 Entfernen von Erweiterungen und Einträgen

Endet die Nutzung, entfernt der Kunde Siegel, Kontrolladressen in Formularbenachrichtigungen, Deploy-Hooks und Nachweis-Einträge von seinen Websites und deinstalliert Erweiterungen, die er nicht mehr nutzen will. Eine eingebundene Siegel-Grafik zeigt nach dem Ende keinen geschützten Zustand mehr an.

21.6 Fortgeltung

Die Ziffern 2, 3, 4.4, 19 (für bereits fällige Beträge), 20.3 (bis zum Abschluss eines Wechsels und der Löschung), 21, 22, 25, 26, 28, 29, 30, 38 und 39 gelten über das Vertragsende hinaus fort, ebenso jede andere Bestimmung, deren Natur dies verlangt.

22. Pflichten und Zusicherungen des Kunden

22.1 Die Rollenverteilung

Wir liefern ein Werkzeug. Welche Websites geprüft, welche Formulare aktiv getestet, wohin Alarme geschickt, welche Kontrolladressen eingetragen, welche Testkonten hinterlegt und welche Funktionen der Erweiterungen eingeschaltet werden, bestimmt der Kunde. Wir sehen seine Website so, wie jeder Besucher sie sieht, nicht seine Verträge mit seinen Kunden und nicht seine Datenschutzerklärung.

22.2 Zusicherungen

Der Kunde sichert für die gesamte Vertragsdauer zu, dass

• er jede Domain in seinem Konto selbst betreibt oder vom Betreiber mit ihrer Prüfung beauftragt ist (Ziffer 7);
• die Empfänger der Formularmails über aktive Prüfungen Bescheid wissen und dadurch niemand beeinträchtigt wird (Ziffer 8.4);
• er die Besucher seiner Websites über die Zustellungsprüfung, das Siegel und die Funktionen der Erweiterungen informiert, soweit er sie nutzt (Ziffern 11, 13 und 14);
• ein hinterlegtes Testkonto den Anforderungen der Ziffer 10.4 entspricht;
• er in Eingabefelder des Dienstes keine Zugangsdaten Dritter, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Zahlungskartendaten einträgt, soweit eine Funktion dies nicht ausdrücklich verlangt;
• er alle für ihn geltenden Vorschriften einhält, insbesondere über Datenschutz, Werbung und Ansprache, Telekommunikation und Wettbewerb.

22.3 Mitwirkung

Der Kunde erbringt die Mitwirkung, die für die Leistung nötig ist: Er führt den Nachweis, lässt den Crawler zu, hält Kontaktdaten und Alarmziele aktuell, beantwortet Rückfragen zu einem vermuteten Missbrauch zügig und meldet Störungen, die er bemerkt. Sind wir durch eine unterbliebene Mitwirkung an der Leistung gehindert, ist das kein Mangel des Dienstes.

22.4 Eigene Sorgfalt

Der Kunde sichert seine Websites und Daten regelmäßig, prüft Änderungen vor dem Einsatz und entscheidet selbst, welche Maßnahmen er aus Befunden ableitet. Entscheidungen, die er auf Grundlage der Ergebnisse trifft, trifft er nach eigener Prüfung.

23. Zulässige Nutzung

Der Kunde und jede Person, die den Dienst nutzt, darf den Dienst nur im Rahmen der Gesetze und dieser AGB nutzen. Untersagt ist insbesondere:

• rechtswidrige Inhalte über den Dienst zu übermitteln, in ihm zu speichern oder über Kundenportale, White-Label-Reports, Logos, Marken, Notizen oder Hinweistexte zu verbreiten;
• Domains prüfen zu lassen, für die keine Befugnis besteht, oder einen Nachweis für eine fremde Domain zu erschleichen;
• den Dienst oder seine Ergebnisse zu nutzen, um fremde Systeme anzugreifen, zu überlasten, auszuspähen oder unbefugt auf sie zuzugreifen, oder Ergebnisse zu diesem Zweck weiterzugeben;
• Grenzen, Wartezeiten, den Bot-Schutz, die Prüfung der Befugnis oder Sicherheitsvorkehrungen zu umgehen oder den Dienst außerhalb der dokumentierten Schnittstellen automatisiert abzufragen;
• die Sicherheit des Dienstes ohne Einhaltung der Regeln unserer Meldestelle für Sicherheitslücken zu testen oder ihn Last- und Penetrationstests zu unterziehen;
• das Siegel zu verändern, außerhalb der Domain zu verwenden, für die es ausgegeben ist, oder mit ihm den Eindruck einer Zertifizierung zu erwecken;
• Personen ohne Einwilligung in ein Kundenportal einzutragen oder die Interessenten-Prüfung entgegen Ziffer 15.5 einzusetzen;
• den Dienst weiterzuverkaufen oder als eigene Leistung anzubieten, außer im Rahmen der Agenturfunktionen nach Ziffer 15;
• den Dienst oder seine Ausgaben zu nutzen, um ein Konkurrenzprodukt zu entwickeln, oder die Serversoftware zurückzuentwickeln, soweit zwingendes Recht dies nicht erlaubt.

Was wir unter Missbrauch verstehen, wie wir ihn erkennen und wie wir darauf reagieren, beschreibt die Seite Zulässige Nutzung und Missbrauch; sie ist Teil dieses Vertrags. Wir überwachen die Nutzung nicht allgemein auf die Einhaltung dieser Ziffer und übernehmen keine solche Pflicht; erfahren wir von einem Verstoß, gelten die Ziffern 31 und 33. Unsere eigenen Prüfungen zur Erkennung von Missbrauch sind ausschließlich passiv; wir greifen keine fremden Websites an.

24. Datenschutz und Rollen

24.1 Wer wofür verantwortlich ist

Für die Daten über den Kunden und seine Mitglieder (Konto, Anmeldung, Abrechnung, Support, Zustimmungsnachweis), für die Nutzung unserer Websites, für den kostenlosen Check, für unsere eigenen Prüfungen öffentlicher Seiten und für Prüfungen von Domains im Konto, deren Verfügungsbefugnis der Kunde noch nicht nachgewiesen hat (Ziffer 7), sind wir Verantwortlicher. Wie wir diese Daten verarbeiten, beschreibt die Datenschutzerklärung.

Für personenbezogene Daten Dritter, die der Kunde in den Dienst einbringt oder durch seine Konfiguration in ihn gelangen lässt, ist der Kunde Verantwortlicher und sind wir sein Auftragsverarbeiter. Dazu gehören insbesondere Kopien echter Formularmails in der Zustellungsprüfung (Ziffer 11), Abonnenten von Kundenportalen (Ziffer 15.3), Zugangsdaten von Testkonten (Ziffer 10.3), Ansprechpartner in White-Label-Angaben und personenbezogene Daten, die zufällig auf geprüften Seiten einer Kundendomain sichtbar sind, sobald der Kunde seine Verfügungsbefugnis für diese Domain nachgewiesen hat. Diese Verarbeitung regelt der Auftragsverarbeitungsvertrag. Er wird bei der Registrierung mit jedem Kunden geschlossen, auch wenn der Kunde zunächst keine solche Funktion nutzt, damit er besteht, bevor die erste solche Verarbeitung beginnt.

Ob die Rollen in einem Einzelfall anders liegen, richtet sich nach der tatsächlichen Verarbeitung; der AVV und die Datenschutzerklärung beschreiben sie im Einzelnen.

24.2 Sicherheit und Unterauftragsverarbeiter

Die Maßnahmen zum Schutz der Daten beschreiben die Technischen und organisatorischen Maßnahmen. Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste mit Zweck, Datenarten und Ort steht unter Unterauftragsverarbeiter. Einen neuen oder ersetzten Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an die Adresse des Kontoinhabers und auf der Seite der Unterauftragsverarbeiter an. Widerspricht der Kunde aus einem sachlichen datenschutzrechtlichen Grund, setzen wir den neuen Unterauftragsverarbeiter für seine Auftragsdaten bis zu einer Lösung nicht ein oder lassen die betroffene Funktion für ihn ruhen; finden wir keine Lösung, kann er den betroffenen Vertrag kündigen, wie es der AVV regelt; im Voraus gezahlte Entgelte für die Zeit danach erstatten wir anteilig. Für unsere Unterauftragsverarbeiter stehen wir dem Kunden gegenüber nach Art. 28 Abs. 4 DSGVO ein.

24.3 Datenschutzverletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten im Auftrag des Kunden betrifft, melden wir sie ihm unverzüglich, möglichst binnen 48 Stunden, mit den Angaben, die er für seine eigene Meldung braucht. Einzelheiten regelt der AVV.

24.4 Anfragen betroffener Personen

Wendet sich eine Person wegen Daten an uns, für die der Kunde verantwortlich ist, verweisen wir sie an den Kunden und unterrichten ihn, soweit das Gesetz nichts anderes verlangt. Für Daten, für die wir verantwortlich sind, gilt die Seite Auskunft, Löschung und Ihre weiteren Rechte.

24.5 Datenschutzkontakt

Fragen zum Datenschutz erreichen uns unter contact@lukaswojcik.com. Ein Datenschutzbeauftragter ist nicht benannt, weil wir nach unserer Prüfung dazu nicht verpflichtet sind (Art. 37 Abs. 1 DSGVO). Zuständige Aufsichtsbehörde ist der Präsident des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych), ul. Moniuszki 1A, 00-014 Warszawa, Polen.

25. Vertraulichkeit

Jede Seite hält die Informationen der anderen geheim, die als vertraulich bezeichnet sind oder deren Vertraulichkeit sich aus den Umständen ergibt, verwendet sie nur zur Durchführung dieses Vertrags und macht sie nur Personen zugänglich, die sie dafür brauchen und zu gleichwertiger Vertraulichkeit verpflichtet sind. Vertraulich sind insbesondere Prüfergebnisse zu Kundendomains, Befunde zu offen liegenden Dateien und Sicherheitslücken, Zugangsdaten und Schlüssel, nicht öffentliche Teile des Dienstes und individuell vereinbarte Preise. Das gilt nicht für Informationen, die ohne Pflichtverletzung öffentlich sind, die bereits rechtmäßig bekannt waren, die unabhängig gewonnen wurden oder deren Offenlegung Gesetz, Gericht oder Behörde verlangt; im letzten Fall unterrichtet die offenlegende Seite die andere vorher, soweit das zulässig ist.

Ein Report, dessen Adresse der Kunde weitergibt, ist ab dann für jeden mit dieser Adresse sichtbar; das ist keine Verletzung dieser Ziffer durch uns. Reports aus dem Konto laufen nicht ab, solange das Prüfergebnis besteht; der Kunde gibt ihre Adressen deshalb mit Bedacht weiter.

Die Pflichten dieser Ziffer gelten drei Jahre über das Vertragsende hinaus, für Geschäftsgeheimnisse und personenbezogene Daten so lange, wie sie geschützt sind.

26. Schutzrechte und Nutzungsrechte

26.1 Unsere Rechte

Der Dienst mit seiner Software, seinen Erkennungsregeln, Texten, Anleitungen, Grafiken, der Name formexposed, die Logos und das Siegel stehen uns oder unseren Lizenzgebern zu. Über die hier ausdrücklich eingeräumten Rechte hinaus werden keine Rechte eingeräumt. Bestandteile Dritter unterliegen ihren eigenen Lizenzen.

26.2 Rechte des Kunden am Dienst

Für die Vertragsdauer erhält der Kunde das nicht ausschließliche, nicht übertragbare Recht, den Dienst im Rahmen seines Tarifs für eigene geschäftliche Zwecke und, als Agentur, für die Websites seiner Kunden zu nutzen. Reports, Nachweis-Protokolle, Anleitungen und Schutzbausteine darf er für diese Zwecke speichern, ausdrucken und an die Betreiber der geprüften Websites weitergeben. Schutzbausteine und von „Fix it for me“ geänderten Code darf er in seine Websites einbauen und dort ohne zeitliche Grenze verwenden, auch nach dem Vertragsende.

26.3 Die Erweiterungen

Für das WordPress-Plugin, die MainWP-Erweiterung und die TYPO3-Erweiterung gilt die GNU General Public License, Version 2 oder später (Ziffer 13.1). Diese Lizenz erlaubt es, den Code zu nutzen, zu verändern und weiterzugeben; diese AGB schränken das nicht ein. Wer eine veränderte Fassung mit dem Dienst verbindet, verantwortet die Folgen seiner Änderung. Der Name formexposed und unsere Logos sind von der Lizenz des Codes nicht erfasst.

26.4 Inhalte des Kunden

Logos, Marken, Firmennamen, Hinweistexte und Notizen, die der Kunde hinterlegt, bleiben seine. Er räumt uns das unentgeltliche, nicht ausschließliche, räumlich unbeschränkte Recht ein, sie zu speichern und in den von ihm gewählten Reports, Portalen und Berichten anzuzeigen, solange er sie dort verwendet, und zwar auf den dafür nötigen Nutzungsfeldern (pola eksploatacji, Art. 50 des polnischen Urheberrechtsgesetzes): Speichern und Vervielfältigen in unseren Systemen und Sicherungen sowie öffentliches Zugänglichmachen in diesen Reports, Portalen und Berichten. Er sichert zu, dass er dazu befugt ist.

26.5 Zusammengefasste Angaben

Wir dürfen Prüfergebnisse in zusammengefasster Form nutzen, die sich keiner Domain, keinem Kunden und keiner natürlichen Person mehr zuordnen lässt, etwa für Vergleichswerte („besser geschützt als ein Anteil der geprüften Seiten“, nur aus Summen von mindestens 20 Websites), für die Verbesserung der Erkennungsregeln und für veröffentlichte Auswertungen, die nur Summen nennen. Domains von Kunden nennen wir in solchen Auswertungen nie. Weichen diese Ziffer und der AVV voneinander ab, geht der AVV vor.

26.6 Rückmeldungen und Referenzen

Vorschläge und Verbesserungswünsche des Kunden dürfen wir ohne Einschränkung und ohne Vergütung nutzen. Soweit ein Vorschlag urheberrechtlich geschützt ist, räumt der Kunde uns daran eine unentgeltliche, nicht ausschließliche, zeitlich und räumlich unbeschränkte, übertragbare und unterlizenzierbare Lizenz auf den Nutzungsfeldern Vervielfältigung, Bearbeitung, Einarbeitung in den Dienst, Verbreitung und öffentliches Zugänglichmachen ein und gestattet die Nutzung von Bearbeitungen. Den Kunden nennen wir als Referenz nur mit seiner vorherigen Zustimmung in Textform, die er jederzeit widerrufen kann.

27. Verfügbarkeit, Wartung, Support und technische Voraussetzungen

27.1 Keine Verfügbarkeitszusage

Wir betreiben den Dienst mit der Sorgfalt eines ordentlichen Anbieters und streben eine hohe Verfügbarkeit an. Eine bestimmte Verfügbarkeit sagen wir in keinem Tarif zu. Eine Dienstgütevereinbarung, ein Verfügbarkeitswert, eine Wiederherstellungszeit oder Gutschriften sind nicht Vertragsinhalt, solange sie nicht im Einzelfall in Textform vereinbart sind. Eine angezeigte Verfügbarkeit auf unserer Statusseite gibt unsere eigene Messung wieder; sie ist weder Zusicherung noch Anerkenntnis.

27.2 Wartung

Wir dürfen den Dienst für Wartung, Aktualisierungen und Sicherheitsmaßnahmen unterbrechen. Geplante Unterbrechungen legen wir nach Möglichkeit in verkehrsarme Zeiten und kündigen längere vorher an. Dringende Maßnahmen zur Abwehr eines Sicherheitsrisikos oder einer schweren Störung dürfen ohne Ankündigung erfolgen. Während einer Wartung können Prüfungen und Alarme verspätet laufen; nachgeholt werden sie mit dem nächsten Lauf.

27.3 Störungen außerhalb unseres Bereichs

Der Dienst hängt vom öffentlichen Internet, von der Erreichbarkeit der geprüften Websites, von deren Firewalls und Bot-Schutz, von DNS und Registrierungsstellen, von Zahlungs-, Mail-, Chat- und CAPTCHA-Diensten und von öffentlichen Datenbanken über Sicherheitslücken und Blocklisten ab. Störungen in diesen Bereichen liegen außerhalb unseres Einflusses und sind kein Mangel des Dienstes.

27.4 Unsere eigene Überwachung

Wir überwachen den Dienst selbst, auch den Scan-Server und die Warteschlange, und werden bei Ausfällen benachrichtigt. Das verkürzt Störungen, verhindert sie aber nicht.

27.5 Support

Support leisten wir auf Deutsch, Englisch und Polnisch über das Support-Fenster, die Kontaktseite und per E-Mail, an Werktagen in Polen (Montag bis Freitag außer an gesetzlichen Feiertagen). Wir bemühen uns um eine zügige Antwort; Angaben zur üblichen Antwortzeit in der Oberfläche sind Erfahrungswerte, keine Zusage. Wo die Preisseite für einen Tarif „bevorzugten Support“ nennt, bearbeiten wir dessen Anfragen vorrangig, ohne eine bestimmte Frist zuzusagen. Support betrifft den Dienst; er umfasst keine Arbeiten an der Website, den Formularen, dem Hosting oder den Mail-Einstellungen des Kunden und ist keine Rechts- oder Sicherheitsberatung.

27.6 Technische Voraussetzungen

Für die Nutzung braucht der Kunde:

• einen Internetzugang, einen aktuellen Browser mit aktiviertem JavaScript und erlaubten Cookies für formexposed.com und eine E-Mail-Adresse, die er abruft;
• für das WordPress-Plugin WordPress ab Version 6.2 und PHP ab Version 7.4;
• für die MainWP-Erweiterung WordPress ab Version 6.0, PHP ab Version 7.4 und einen API-Schlüssel; ein MainWP-Dashboard ist für die Zuordnung der Websites nötig;
• für die TYPO3-Erweiterung TYPO3 12.4, 13.4 oder 14.3 und PHP ab Version 8.2; für die Zählung der Einsendungen Powermail;
• für die Schnittstellen einen HTTPS-fähigen Client und einen API-Schlüssel;
• für Nachweis, Prüfung und Monitoring eine öffentlich erreichbare Website, die den Crawler zulässt.

Für Funktionen wie die Zustellungsprüfung, Webhooks oder Chat-Alarme braucht der Kunde zusätzlich Zugriff auf die jeweiligen Einstellungen seines Formulars oder Dienstes.

27.7 Software und Daten, die wir einbringen

Unsere Website setzt technisch notwendige Cookies: ein Sitzungs-Cookie (für Anmeldung, Schutz vor Formularmissbrauch und Grenzen) und, nur auf Wunsch bei der Anmeldung, ein Cookie, das die Anmeldung 30 Tage lang hält; die Wahl zwischen hellem und dunklem Erscheinungsbild speichert der Browser lokal. Google reCAPTCHA wird erst beim Absenden bestimmter Formulare geladen. Die Erweiterungen geben auf der Website des Kunden ein Meta-Tag für den Nachweis aus und speichern ihre Einstellungen in der Datenbank der Website. Einzelheiten nennt die Datenschutzerklärung. Wir setzen keine Werbe- oder Analyse-Cookies.

27.8 Risiken der Nutzung des Internets

Wie jede Nutzung des Internets birgt auch die Nutzung des Dienstes Risiken, etwa durch Schadsoftware, gefälschte Nachrichten, die sich als unsere ausgeben (Phishing), das Abfangen von Daten oder unbefugte Zugriffe auf ein Konto. Wir verschlüsseln alle Verbindungen zu unseren Servern. Der Kunde schützt seine Geräte und Zugangsdaten, nutzt die Zwei-Faktor-Anmeldung und prüft, ob eine Nachricht, die angeblich von uns stammt, auf formexposed.com verweist.

28. Mängel und Gewährleistung

28.1 Was wir tun

Meldet der Kunde einen Fehler des Dienstes, beheben wir ihn in angemessener Frist, je nach Schwere durch eine Korrektur, eine Umgehung oder eine neue Fassung. Ein Fehler liegt vor, wenn der Dienst von der Beschreibung in diesen AGB und auf der Preisseite in einer Weise abweicht, die seine Nutzung erheblich beeinträchtigt; ob das so ist, bestimmt sich nach diesem Maßstab, nicht nach unserer Einschätzung. Der Kunde beschreibt den Fehler so genau, wie es ihm möglich ist, damit wir ihn nachvollziehen können.

28.2 Was kein Mangel ist

Kein Mangel ist, was in diesen AGB als Eigenschaft des Dienstes beschrieben ist: dass ein Ergebnis eine Momentaufnahme ist und Erkennungsregeln irren können (Ziffer 5.3), dass Prüfungen bei gesperrtem Crawler unvollständig bleiben, dass Formulare mit CAPTCHA nur eingeschränkt aktiv prüfbar sind (Ziffer 8.5), dass Alarme ausbleiben können (Ziffer 9.5), dass Ergebnisse eines Sprachmodells falsch sein können (Ziffer 12.2) und dass Dienste Dritter ausfallen (Ziffer 27.3).

28.3 Gesetzliche Gewährleistung

Soweit auf diesen Vertrag die Vorschriften des polnischen Zivilgesetzbuchs über die Gewährleistung für Mängel (rękojmia) anwendbar sind, wird diese Gewährleistung ausgeschlossen, wie es Art. 558 § 1 KC zwischen Unternehmern zulässt. An ihre Stelle tritt unsere Pflicht nach Ziffer 28.1. Der Ausschluss gilt nicht, wenn wir einen Mangel arglistig verschwiegen haben (Art. 558 § 2 KC). Eine Beschaffenheitsgarantie (gwarancja) übernehmen wir nicht. Gegenüber Einzelunternehmern im Sinne der Ziffer 1.3 gilt der Ausschluss nicht; für sie gelten die gesetzlichen Vorschriften, einschließlich der Vorschriften des Gesetzes über Verbraucherrechte über die Vertragsmäßigkeit digitaler Dienstleistungen, soweit sie auf sie anwendbar sind.

28.4 Keine Erfolgszusage

Wir sagen nicht zu, dass die Nutzung des Dienstes Spam verhindert, die Zahl der Anfragen erhöht, ein bestimmtes Problem aufdeckt, eine Prüfung durch Dritte (etwa eine Aufsichtsbehörde, einen Versicherer oder einen Auftraggeber) bestehen lässt oder dass eine daraus abgeleitete Empfehlung richtig ist.

29. Haftung

Wie diese Ziffer gebaut ist. Sie nennt zuerst, was nicht beschränkt wird, weil sich dieser Teil nicht wirksam beschränken lässt und eine Klausel, die anderes vorgibt, nichts wert wäre. Danach regelt sie, wie weit wir für leichte Fahrlässigkeit einstehen, und zuletzt die unentgeltlichen Leistungen.

29.1 Was nicht beschränkt wird

Wir haften unbeschränkt

• für vorsätzlich verursachte Schäden; ein Ausschluss dieser Haftung im Voraus ist nach Art. 473 § 2 KC unwirksam;
• für grob fahrlässig verursachte Schäden;
• für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit;
• nach zwingenden Vorschriften über die Produkthaftung und aus einer ausdrücklich in Textform übernommenen Garantie;
• in jedem anderen Fall, in dem eine Haftung nicht wirksam ausgeschlossen oder beschränkt werden kann.

Ansprüche aus Art. 82 DSGVO stehen außerhalb jeder Grenze dieser Ziffer. Eine betroffene Person ist nicht Partei dieses Vertrags; ihr Anspruch gegen uns richtet sich allein nach Art. 82 DSGVO, und nichts, was der Kunde und wir vereinbaren, kann ihn deckeln oder nehmen. Was wir untereinander regeln können und regeln, ist der Ausgleich, nachdem ein solcher Anspruch erfüllt ist; er folgt Art. 82 Abs. 4 und 5 DSGVO, dem AVV und Ziffer 30. Auch dieser Rückgriff zwischen dem Kunden und uns ist durch die Grenzen dieser Ziffer nicht beschränkt. Für alle anderen Ansprüche zwischen dem Kunden und uns, auch aus dem AVV, gelten die Ziffern 29.2 bis 29.6.

29.2 Leichte Fahrlässigkeit

Im Übrigen haften wir für leicht fahrlässig verursachte Schäden nur, wenn wir eine wesentliche Vertragspflicht verletzen, also eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Wesentlich sind insbesondere die Pflichten, den Dienst im Wesentlichen wie beschrieben bereitzustellen, nur im beauftragten Umfang zu prüfen, Test-Einsendungen nur nach Ziffer 8.2 abzuschicken und Kundendaten nach dem AVV zu schützen. In diesem Fall ist unsere Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt und insgesamt auf die Entgelte, die der Kunde in den zwölf Monaten vor dem schädigenden Ereignis an uns gezahlt hat. Diese Grenze gilt für alle Schadensereignisse, die innerhalb von zwölf Monaten eintreten, zusammen; maßgeblich sind dann die Entgelte der zwölf Monate vor dem ersten dieser Ereignisse.

Für entgangenen Gewinn (utracone korzyści), entgangene Anfragen, Aufträge oder Umsätze, Kosten einer Betriebsunterbrechung und Ansehensverlust haften wir bei leichter Fahrlässigkeit nicht; insoweit wird der Umfang des Schadensersatzes abweichend von Art. 361 § 2 KC vereinbart, wie es diese Vorschrift zulässt.

29.3 Unentgeltliche Leistungen

Soweit wir eine Leistung unentgeltlich erbringen, also beim kostenlosen Check, bei kostenlosen Werkzeugen, im Tarif Free, während einer Testphase, bei einer Freischaltung ohne Zahlung und bei der Nutzung der Erweiterungen ohne bezahlten Tarif, haften wir nur nach Ziffer 29.1, also für Vorsatz, grobe Fahrlässigkeit und die dort genannten Fälle. Diese Beschränkung wirkt nur im Verhältnis zwischen dem Kunden und uns; Ansprüche aus Art. 82 DSGVO berührt sie nicht.

29.4 Besondere Fälle

Vorbehaltlich der Ziffer 29.1 haften wir nicht

• für die Folgen ordnungsgemäß gekennzeichneter Test-Einsendungen im beauftragten Umfang (Ziffer 8.4);
• für Entscheidungen, die der Kunde oder ein von ihm eingesetzter Assistent oder Automatisierungsdienst auf Grundlage der Ergebnisse trifft;
• für Code, den der Kunde nach Ziffer 12 einbaut, und für Einstellungen, die er in den Erweiterungen wählt, einschließlich der Löschung von Anfragen durch Speicherfristen und des Stoppens echter Anfragen durch Filter;
• für Handlungen, Ausfälle und Bedingungen von Diensten Dritter, die der Kunde einschaltet (Ziffern 9.3 und 16);
• für den Verlust von Daten, soweit er durch eine übliche Sicherung beim Kunden vermeidbar gewesen wäre.

29.5 Anzeige eines Schadens

Der Kunde zeigt uns einen Schaden, für den er uns verantwortlich hält, möglichst binnen 30 Tagen nach Kenntnis in Textform an, mit dem, was wann geschehen ist. Protokolle, aus denen sich ein Vorgang aufklären lässt, löschen wir nach Fristen (60 Tage für das Seitenaufruf-Protokoll, 90 Tage für das Alarmprotokoll); ein später angezeigter Vorgang lässt sich häufig nicht mehr aufklären. Gesetzliche Verjährungsfristen werden dadurch nicht verkürzt.

29.6 Wem diese Regeln zugutekommen

Die Beschränkungen dieser Ziffer gelten auch zugunsten unserer Mitarbeiter, Vertreter, Erfüllungsgehilfen und Unterauftragnehmer und für Ansprüche gleich aus welchem Rechtsgrund. Die Parteien halten diese Verteilung des Risikos zwischen Unternehmern für angemessen; die Entgelte sind auf ihrer Grundlage bemessen. Gegenüber Einzelunternehmern im Sinne der Ziffer 1.3 und gegenüber Verbrauchern, die den kostenlosen Check oder ein kostenloses Werkzeug nutzen, gelten die Ziffern 29.2 bis 29.4 nicht; ihnen gegenüber haften wir nach den gesetzlichen Vorschriften (vgl. Art. 385³ Nr. 2 und Art. 385⁵ KC).

30. Freistellung

Der Kunde stellt uns von Ansprüchen, Verfahren und Kosten Dritter, einschließlich der notwendigen Kosten der Rechtsverteidigung in Höhe der gesetzlichen oder, wo es keine gibt, der marktüblichen Gebühren, frei, die daraus entstehen, dass er

• Domains ohne Befugnis anlegt oder prüfen lässt oder einen Nachweis für eine fremde Domain erschleicht;
• Empfänger von Formularmails, Besucher seiner Websites oder die Abonnenten seiner Kundenportale nicht so informiert, wie es diese AGB und das Gesetz verlangen;
• Zugangsdaten hinterlegt, die er nicht hinterlegen durfte (Ziffer 10.4);
• die Interessenten-Prüfung entgegen Ziffer 15.5 einsetzt oder in White-Label-Reports und Portalen unzulässige Aussagen macht oder fremde Rechte verletzt;
• den Dienst sonst entgegen Ziffer 23 nutzt.

Das gilt nicht, soweit der Kunde die Pflichtverletzung nicht zu vertreten hat. Wir unterrichten den Kunden unverzüglich, spätestens binnen 14 Tagen nach Kenntnis, über einen solchen Anspruch, erkennen ihn nicht ohne seine Zustimmung an und geben ihm Gelegenheit, ihn abzuwehren. Geldbußen sind nur erfasst, soweit ein Rückgriff auf sie rechtlich zulässig ist. Diese Ziffer ändert die Verteilung der Verantwortung nach Art. 82 DSGVO nicht.

31. Sperrung

Wir dürfen den Zugang zum Dienst, zu einem Arbeitsbereich, zu einer Domain, zu einer Funktion oder zu einer Schnittstelle ganz oder teilweise sperren, wenn

• der begründete Verdacht besteht, dass eine Domain ohne Befugnis geprüft wird oder der Dienst entgegen Ziffer 23 genutzt wird;
• die Nutzung die Sicherheit oder Verfügbarkeit des Dienstes, anderer Kunden oder Dritter gefährdet;
• eine fällige Zahlung auch 14 Tage nach einer Mahnung in Textform ausbleibt;
• eine Behörde, ein Gericht oder das Gesetz es verlangt;
• eine glaubhafte Meldung nach Ziffer 33 auf eine schwere Rechtsverletzung hindeutet und sofortiges Handeln geboten ist.

Wir beschränken die Sperre auf das Erforderliche und nennen, was Abhilfe schafft. Außer bei einer Sperre wegen einer ausbleibenden Zahlung, der die Mahnung vorausgeht, hören wir den Kunden vorher an: Wir teilen ihm in Textform mit, welches Verhalten wir beanstanden, worauf wir uns stützen und welche Maßnahme wir erwägen, und er kann sich binnen sieben Tagen äußern oder den Grund beseitigen. Ohne vorherige Anhörung sperren wir nur, wenn ein Zuwarten Dritte oder den Dienst ernstlich gefährden würde oder eine Behörde, ein Gericht oder das Gesetz es verlangt; dann beschränken wir die Sperre zunächst auf die betroffene Domain oder Funktion, teilen sie dem Kunden unverzüglich, spätestens am folgenden Werktag, mit Grund in Textform mit, soweit das den Zweck nicht vereitelt und nicht gesetzlich untersagt ist, und holen die Anhörung nach. Der Kunde kann einer Sperre in Textform widersprechen; wir antworten binnen 14 Tagen mit Begründung. Die Einzelheiten und Beispiele für Eilfälle beschreibt die Seite Zulässige Nutzung und Missbrauch. Fällt der Grund weg, heben wir die Sperre auf. Prüfungen, die während einer Sperre nicht stattfanden, lassen sich nicht nachholen. Die Sperre lässt die Zahlungspflicht unberührt, es sei denn, sie war dem Kunden nicht zuzurechnen.

32. Höhere Gewalt

Keine Seite haftet für eine Nichtleistung, die auf einem Ereignis außerhalb ihres zumutbaren Einflusses beruht, etwa Naturkatastrophen, Krieg, Terror, Seuchen, Streik, einen längeren Ausfall der Stromversorgung oder des öffentlichen Internets, Angriffe auf Infrastruktur, die sie nicht beherrscht, oder hoheitliche Maßnahmen. Die betroffene Seite unterrichtet die andere unverzüglich und nimmt die Leistung wieder auf, sobald sie kann. Dauert das Ereignis länger als 60 Tage, kann jede Seite den betroffenen Vertrag fristlos beenden; im Voraus gezahlte Entgelte für die Zeit danach erstatten wir anteilig. Geldmangel ist nie höhere Gewalt. Die Pflicht, für bereits erbrachte Leistungen zu zahlen, bleibt unberührt.

33. Meldungen über Missbrauch, rechtswidrige Inhalte und Sicherheitslücken

Jede Person kann uns melden, dass der Dienst missbraucht wird, etwa dass eine Domain ohne Befugnis aktiv geprüft wird, dass Test-Einsendungen stören, dass ein Kundenportal oder White-Label-Report rechtswidrige Inhalte enthält oder dass jemand ohne Einwilligung Kurzbefunde verschickt. Meldungen gehen an contact@lukaswojcik.com oder über die Kontaktseite und sollten die Domain oder den Link bezeichnen, den Vorwurf beschreiben und eine Antwortmöglichkeit nennen. Wer seine Domain von allen Prüfungen ausschließen will, nutzt /opt-out; der Ausschluss gilt für die Domain und ihre www-Variante und wirkt ab der nächsten Prüfung.

Hinreichend genaue Meldungen prüfen wir. Ist eine Meldung begründet, handeln wir nach den Ziffern 31 und 20.5, unterrichten den betroffenen Kunden mit Begründung, soweit Gesetz oder Behörde nicht entgegenstehen, und teilen dem Meldenden das Ergebnis mit, soweit das zulässig ist. Sicherheitslücken in formexposed meldet man über unsere Meldestelle für Sicherheitslücken; dort stehen die Regeln, unter denen wir Meldungen entgegennehmen. Eine Meldung ist keine Reklamation; Reklamationen behandelt Ziffer 35.

Soweit wir Inhalte speichern, die der Kunde bereitstellt und Dritten zugänglich macht, insbesondere in Kundenportalen, White-Label-Reports, Logos und Hinweistexten, erbringen wir insoweit einen Hostingdienst im Sinne der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste). Meldungen über rechtswidrige Inhalte nach Art. 16 dieser Verordnung nehmen wir auf den genannten Wegen elektronisch entgegen; sie sollten die genaue Fundstelle, eine Begründung, warum der Inhalt rechtswidrig ist, Name und E-Mail-Adresse des Meldenden und seine Erklärung enthalten, dass seine Angaben nach bestem Wissen richtig und vollständig sind (Art. 16 Abs. 2). Wir bestätigen den Eingang und teilen dem Meldenden unsere Entscheidung mit. Schränken wir deshalb Inhalte oder ein Konto ein, begründen wir das dem Kunden nach Art. 17 dieser Verordnung und nennen ihm die Rechtsbehelfe: den Widerspruch nach Ziffer 31, die Reklamation nach Ziffer 35 und den Weg zu den Gerichten. Über Meldungen und über die Einschränkung von Inhalten entscheidet ein Mensch; die selbsttätige Missbrauchsabwehr der Ziffer 18.5 bewertet Anfragen an den Dienst, keine Inhalte von Kunden. Kontaktstelle für Behörden der Mitgliedstaaten, die Europäische Kommission und das Europäische Gremium für digitale Dienste (Art. 11 dieser Verordnung) und für Nutzer (Art. 12 dieser Verordnung) ist contact@lukaswojcik.com, auf Deutsch, Englisch und Polnisch.

34. Änderungen dieser AGB

34.1 Nur aus sachlichem Grund

Wir ändern diese AGB nur aus einem der folgenden sachlichen Gründe: wegen einer Änderung der Gesetze oder ihrer Auslegung durch Gerichte und Behörden, wegen einer Änderung des Dienstes, seiner Funktionen oder seiner technischen Grundlagen, wegen eines Wechsels eines für die Erbringung notwendigen Dritten, zur Abwehr von Missbrauch oder Sicherheitsrisiken oder zur Berichtigung von Fehlern und Unklarheiten. Preise regelt Ziffer 19.8 gesondert.

34.2 Ankündigung

Wir kündigen jede Änderung mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail an die im Konto hinterlegte Adresse des Kontoinhabers und auf der Seite Änderungen der Vertragsunterlagen an, mit dem geänderten Wortlaut, dem Grund und dem geplanten Zeitpunkt, und erläutern, was die Änderung für den Kunden bedeutet und welche Möglichkeiten er hat. Jede Fassung trägt eine Nummer und ein Datum; die Seite Änderungen der Vertragsunterlagen führt sie auf.

34.3 Kein Schweigen als Zustimmung

Schweigen und bloßes Weiternutzen gelten nicht als Zustimmung. Soweit eine Änderung die Rechte oder Pflichten des Kunden berührt, holen wir seine Zustimmung gesondert und ausdrücklich ein und halten sie nachweisbar fest. Stimmt der Kunde nicht zu und widerspricht er auch nicht (Ziffer 34.4), gelten für ihn die bisherigen AGB weiter; er muss dafür nichts tun. Unser Recht zur ordentlichen Kündigung nach Ziffer 20 bleibt unberührt.

34.4 Widerspruch

Der Kunde kann einer angekündigten Änderung bis zu ihrem Wirksamwerden in Textform widersprechen. Ein Widerspruch beendet den Vertrag über einen bezahlten Tarif zum Ende des laufenden Abrechnungszeitraums und den Vertrag über ein Konto im Tarif Free zum Wirksamwerden der Änderung; bis dahin gelten die bisherigen AGB. Für die Zeit nach dem Vertragsende im Voraus gezahlte Entgelte erstatten wir anteilig. Auf dieses Recht und seine Folgen weisen wir in jeder Ankündigung hin.

34.5 Änderungen ohne Vorlauf

Ohne die Frist der Ziffer 34.2 dürfen wir Änderungen vornehmen, die ausschließlich zum Vorteil des Kunden sind, die rein sprachlicher Natur sind oder offensichtliche Fehler berichtigen, und Änderungen, die ein Gesetz, ein Gericht oder eine Behörde mit kürzerer Frist verlangt oder die zur Abwehr eines unmittelbar drohenden Sicherheitsrisikos nötig sind. Diese teilen wir so bald wie möglich mit und nennen den Grund. Ziffer 34.3 bleibt unberührt.

35. Reklamationen

Beanstandungen der Leistung (Reklamationen) kann der Kunde jederzeit per E-Mail an contact@lukaswojcik.com, über das Support-Fenster oder die Kontaktseite einreichen, außerdem per Post an die Anschrift der Ziffer 1.1. Ob eine Mitteilung eine Reklamation ist, richtet sich nach ihrem Inhalt, nicht nach ihrer Überschrift. Eine Reklamation sollte die E-Mail-Adresse des Kontos, eine Beschreibung des Problems mit Datum und Uhrzeit, gegebenenfalls die Domain oder den Link zum Report und das Begehren des Kunden enthalten. Wir bestätigen den Eingang, prüfen die Reklamation und antworten in Textform innerhalb von 14 Tagen nach Eingang. Die Antwort sagt, ob wir die Reklamation anerkennen oder ganz oder teilweise ablehnen, nennt die Gründe und, wenn wir abhelfen, was wir tun und bis wann. Braucht die Prüfung länger, teilen wir das innerhalb dieser Frist mit Grund und voraussichtlichem Zeitpunkt mit. Fehlt eine Angabe, fragen wir nach; eine solche Rückfrage hält die Frist nicht an. Antworten wir nicht rechtzeitig, kann der Kunde seinen Anspruch so weiterverfolgen, als hätten wir abgelehnt; als Anerkennung gilt das Schweigen nicht, soweit zwingendes Recht nichts anderes bestimmt. Für Verbraucher, die den kostenlosen Check nutzen, gilt nach Art. 7a des polnischen Gesetzes über Verbraucherrechte eine Reklamation als anerkannt, wenn wir nicht binnen 14 Tagen nach Eingang antworten; die Mitteilung über eine längere Prüfung ersetzt ihnen gegenüber die Antwort nicht.

Diese Ziffer regelt das Reklamationsverfahren im Sinne des Art. 8 Abs. 3 Nr. 4 UŚUDE. Die Seite Reklamationen und Beschwerden erläutert den Ablauf und die außergerichtlichen Wege; sagt sie dem Kunden mehr zu als diese Ziffer, gilt auch diese Zusage. Knüpft zwingendes Recht darüber hinaus an eine Reklamation weitergehende Fristen oder Folgen, etwa die Rechte von Einzelunternehmern im Sinne der Ziffer 1.3 bei einer nicht vertragsgemäßen digitalen Dienstleistung, bleiben diese unberührt. Eine Reklamation ist keine Voraussetzung dafür, einen Anspruch vor Gericht geltend zu machen.

36. Widerrufsrecht für Einzelunternehmer

Unternehmern steht kein Widerrufsrecht zu. Eine Ausnahme macht das polnische Recht für natürliche Personen, die einen Vertrag unmittelbar im Zusammenhang mit ihrer Gewerbetätigkeit schließen, für die er aber nach seinem Inhalt keinen beruflichen Charakter hat (Art. 38a des polnischen Gesetzes über Verbraucherrechte, Ziffer 1.3). Ob, wie und mit welchen Folgen dieser Gruppe ein Widerrufsrecht zusteht, beschreibt die Seite Widerrufsrecht für Einzelunternehmer. Sie gilt nur für diese Gruppe und geht diesen AGB insoweit vor.

Weder die Registrierung noch der Bezahlvorgang fragen derzeit ein ausdrückliches Verlangen ab, mit der Leistung vor Ablauf der Widerrufsfrist zu beginnen. Widerruft ein Berechtigter rechtzeitig, erstatten wir deshalb alle Zahlungen aus dem widerrufenen Vertrag ohne Abzug für die Zeit, in der er den Tarif bereits genutzt hat, unverzüglich, spätestens binnen 14 Tagen nach Eingang des Widerrufs, auf dasselbe Zahlungsmittel, und das Widerrufsrecht erlischt nicht vorzeitig. Das Konto läuft danach im Tarif Free weiter. Ziffer 19.11 steht dem nicht entgegen. Vor dem Kauf weisen wir im Bereich Abrechnung und auf der Bezahlseite auf die Widerrufsbelehrung hin; nach dem Kauf bestätigen wir den Vertrag mit der Belehrung per E-Mail.

37. Partnerprogramm

Soweit wir ein Partnerprogramm anbieten, in dem Kunden für die Empfehlung von formexposed eine Provision erhalten, gelten dafür gesondert die Partnerbedingungen. Diese AGB gelten daneben, soweit die Partnerbedingungen nichts anderes bestimmen. Ein Anspruch auf Teilnahme besteht nicht.

38. Allgemeine Bestimmungen

38.1 Übertragung

Der Kunde kann den Vertrag oder Rechte daraus nur mit unserer Zustimmung in Textform übertragen, die wir nicht unbillig verweigern. Wir dürfen den Vertrag im Zusammenhang mit einer Umwandlung, insbesondere der Überführung des Einzelunternehmens in eine Gesellschaft, oder einer Übertragung des Geschäftsbetriebs auf einen Rechtsnachfolger übertragen und teilen das dem Kunden mindestens 30 Tage vorher in Textform mit. Der Kunde kann den Vertrag dann bis zum Ablauf von 30 Tagen nach Zugang der Mitteilung mit sofortiger Wirkung kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstatten wir anteilig. Hat der Erwerber seinen Sitz außerhalb des Europäischen Wirtschaftsraums, kann der Kunde außerdem zum Zeitpunkt der Übertragung kündigen.

38.2 Unterauftragnehmer

Wir dürfen zur Erfüllung unserer Pflichten Unterauftragnehmer einsetzen und haben ihre Leistung wie eigene zu vertreten. Für Unterauftragsverarbeiter gilt der AVV.

38.3 Vollständigkeit

Die Dokumente der Ziffer 3.1 enthalten die vollständige Vereinbarung über ihren Gegenstand. Die Haftung für arglistige Täuschung bleibt unberührt.

38.4 Teilunwirksamkeit

Ist eine Bestimmung unwirksam oder undurchführbar, bleibt der Vertrag im Übrigen wirksam. An ihre Stelle tritt die gesetzliche Regelung. Ist eine Bestimmung nur gegenüber einem bestimmten Kunden oder nur teilweise unwirksam, bleibt sie im Übrigen und gegenüber allen anderen Kunden wirksam. Gegenüber Verbrauchern und Einzelunternehmern im Sinne der Ziffer 1.3 gilt das nicht für eine Bestimmung, die sie nach Art. 385¹ KC nicht bindet: Sie entfällt ihnen gegenüber ganz, ohne auf das gerade noch Zulässige zurückgeführt zu werden, und der Vertrag bindet im Übrigen (Art. 385¹ § 2 KC).

38.5 Mitteilungen

Mitteilungen nach diesen AGB erfolgen in Textform: an den Kunden an die im Konto hinterlegte E-Mail-Adresse oder als Nachricht im Konto, an uns an contact@lukaswojcik.com oder an die Anschrift der Ziffer 1.1. Die E-Mail-Adresse aktuell zu halten ist Sache des Kunden. Eine E-Mail geht zu, sobald sie im Postfach des Empfängers so eingegangen ist, dass er unter gewöhnlichen Umständen von ihr Kenntnis nehmen kann (Art. 61 § 2 KC). Kündigungen und Widersprüche bedürfen der Textform; eine Nachricht in einem Chat-Fenster genügt nicht, außer für die Wechselerklärung nach Ziffer 20.3. Transaktionsmails des Dienstes (etwa Alarme, Rechnungen, Hinweise auf das Ende einer Testphase) sind Teil der Leistung; Werbung schicken wir nur mit Einwilligung.

38.6 Kein Verzicht

Wird ein Recht nicht oder verspätet ausgeübt, liegt darin kein Verzicht. Ein Verzicht wirkt nur, wenn er in Textform erklärt wird, und nur für den genannten Fall.

38.7 Keine Gesellschaft

Die Parteien sind selbständige Unternehmer. Dieser Vertrag begründet weder eine Gesellschaft noch eine Vertretung, ein Arbeitsverhältnis oder eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DSGVO.

38.8 Überschriften und Beispiele

Überschriften dienen der Übersicht und beeinflussen die Auslegung nicht. Eine Aufzählung mit „insbesondere“, „etwa“ oder „zum Beispiel“ ist beispielhaft, nicht abschließend.

38.9 Dritte

Der Vertrag begründet Rechte nur für die Parteien. Betreiber geprüfter Websites, Besucher der Websites des Kunden, Mitglieder und Abonnenten erwerben aus ihm keine eigenen Rechte; ihre gesetzlichen Rechte, insbesondere nach der DSGVO, bleiben unberührt.

38.10 Elektronische Aufzeichnungen

Die Parteien erkennen die elektronischen Aufzeichnungen des Dienstes, insbesondere den Zustimmungsnachweis (Ziffer 4.4), das Aktivitätsprotokoll, Prüf- und Alarmprotokolle und Nachweis-Protokolle, als Beweismittel an; sie sind Dokumente im Sinne des Art. 77³ KC. Ihre freie Würdigung durch das Gericht und der Beweis des Gegenteils bleiben unberührt.

39. Anwendbares Recht, Gerichtsstand und Sprache

39.1 Anwendbares Recht

Der Vertrag unterliegt dem Recht der Republik Polen unter Ausschluss des UN-Kaufrechts; dasselbe gilt für außervertragliche Schuldverhältnisse aus ihm oder im Zusammenhang mit ihm, soweit eine Rechtswahl nach Art. 14 der Verordnung (EG) Nr. 864/2007 (Rom II) zulässig ist. Zwingende Vorschriften, von denen nicht durch Vereinbarung abgewichen werden kann, bleiben unberührt. Für Verbraucher, die den kostenlosen Check oder ein kostenloses Werkzeug nutzen, gilt das insbesondere für den Schutz durch die zwingenden Vorschriften des Staates ihres gewöhnlichen Aufenthalts nach Art. 6 Abs. 2 der Verordnung (EG) Nr. 593/2008 (Rom I).

39.2 Gerichtsstand

Ausschließlich zuständig für alle Streitigkeiten aus oder im Zusammenhang mit dem Vertrag sind die für unseren Sitz zuständigen Gerichte in Łódź, Polen. Diese Vereinbarung wird nach Art. 25 der Verordnung (EU) Nr. 1215/2012 und Art. 46 der polnischen Zivilprozessordnung geschlossen; die nach Ziffer 4.4 festgehaltene elektronische Zustimmung ist ihre dauerhafte Aufzeichnung. Wir dürfen den Kunden auch an seinem allgemeinen Gerichtsstand verklagen, sofern dieser in einem Mitgliedstaat der Europäischen Union oder einem Vertragsstaat des Lugano-Übereinkommens liegt. Die Zuständigkeit für einstweiligen Rechtsschutz und die Befugnisse der Aufsichtsbehörden bleiben unberührt. Gegenüber Verbrauchern, etwa beim kostenlosen Check, und gegenüber Einzelunternehmern im Sinne der Ziffer 1.3 gilt diese Ziffer nicht; für sie bleibt es bei den gesetzlichen Gerichtsständen, für Verbraucher insbesondere bei Art. 18 und 19 der Verordnung (EU) Nr. 1215/2012 (vgl. Art. 385³ Nr. 23 KC).

39.3 Sprache

Diese AGB liegen in allen Amtssprachen der Europäischen Union vor. Bei Abweichungen oder Auslegungsfragen ist die polnische Fassung maßgeblich. Dasselbe gilt für die übrigen Vertragsdokumente der Ziffer 3.1. Die Oberfläche des Dienstes steht in allen Amtssprachen der Europäischen Union zur Verfügung; Support leisten wir auf Deutsch, Englisch und Polnisch, und Mitteilungen können in jeder dieser drei Sprachen erfolgen. Welche Sprachfassung der Kunde bei der Registrierung gesehen hat, hält der Zustimmungsnachweis fest (Ziffer 4.4).

40. Kontakt und Fassung

LW IT Solutions Company Lukas Wójcik · al. Tadeusza Kościuszki 80/82, lok. 301 · 90-437 Łódź · Polen · NIP 7252266190 · USt-IdNr. PL7252266190 · contact@lukaswojcik.com · Kontaktseite

Zugehörige Dokumente: Auftragsverarbeitungsvertrag · Technische und organisatorische Maßnahmen · Unterauftragsverarbeiter · Zulässige Nutzung und Missbrauch · Datenschutzerklärung · EU Data Act · EU-KI-Verordnung · Reklamationen und Beschwerden · Widerrufsrecht für Einzelunternehmer · Impressum · Rechtsunterlagen im Überblick

Fassung 2.2 · Stand: 29. Oktober 2026. Neue Ziffer 5.7 zum Formularschutz formconfirmed; sie gilt nur für Kunden, die ihn einschalten. Sonst ändert sich keine Bestimmung.

Fassung 2.1 · Stand: 22. Oktober 2026. Bei Abweichungen ist jetzt statt der deutschen die polnische Fassung maßgeblich; diese AGB und der Vertrag liegen in allen Amtssprachen der Europäischen Union vor (Zusammenfassung, Ziffern 4 und 39.3). Sonst ändert sich keine Bestimmung.

Fassung 2.0 · Stand: 11. Oktober 2026. Diese Fassung ersetzt die AGB mit Stand vom 9. Oktober 2026 vollständig. Sie ist neu gegliedert und beschreibt den Dienst so, wie er gebaut ist: Neu sind insbesondere die Begriffsbestimmungen und die Rangfolge der Vertragsdokumente, der Zustimmungsnachweis, eine ausdrückliche Liste dessen, was der Dienst nicht ist, die Beschreibung von Browserwegen, Scan hinter dem Login, Zustellungsprüfung, Siegel, Nachweis-Protokoll, Agenturfunktionen, API und MCP-Server, die Regeln zur Interessenten-Prüfung, zur Kontolöschung, zur Testphase und zur Zahlung auf Rechnung, die Höchstfrist bei einem Anbieterwechsel nach dem Data Act, der Mechanismus für Änderungen ohne Zustimmung durch Schweigen und die Verweise auf Reklamations-, Widerrufs- und Partnerseiten.