Allgemeine Geschäftsbedingungen

1Wer wir sind und wofür diese Bedingungen gelten

Hullwise wird betrieben von CDTechnology, Einzelunternehmen von Utku Cem Dogan, Markt 36, 60311 Frankfurt am Main, Deutschland. Erreichbar sind wir unter cem@cdcapital-group.com. Alle Pflichtangaben stehen im Impressum.

Diese Bedingungen gelten für die Website, die API, den MCP-Server und alle Leistungen von Hullwise. Die Nutzungsregeln sind Teil dieser Bedingungen. Für Enterprise gilt vorrangig der dort geschlossene Einzelvertrag (Abschnitt Enterprise).

Allgemeine Geschäftsbedingungen unserer Kunden gelten nur, wenn wir ihnen ausdrücklich in Textform zustimmen.

2An wen sich das Angebot richtet

Kostenpflichtige Leistungen von Hullwise (Einzelbericht, Business, Enterprise und Security Audit) bieten wir ausschließlich Unternehmern im Sinne von § 14 BGB an, also Personen und Firmen, die bei der Bestellung in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln. Verträge mit Verbrauchern im Sinne von § 13 BGB schließen wir nicht. Vor jeder Bestellung bestätigen Sie ausdrücklich, dass Sie für ein Unternehmen kaufen. Wir dürfen eine Bestellung ablehnen oder den Vertrag rückabwickeln, wenn sich zeigt, dass die Bestätigung nicht zutrifft.

Den kostenlosen Scan kann jeder nutzen. Soweit in diesen Bedingungen Regeln für Verbraucher stehen, gelten sie nur für den Fall, dass trotz dieser Beschränkung ein Vertrag mit einem Verbraucher zustande kommt. Zwingende Rechte von Verbrauchern schränken diese Bedingungen nicht ein.

3Leistungen im Überblick

• Scan (kostenlos): ein Sicherheits-Check von außen mit gekürztem Bericht.
• Einzelbericht (79 € ohne USt. (§ 19 UStG), einmalig je Scan): der vollständige Bericht eines Scans einer Domain; jeder weitere Bericht für dieselbe Domain zu 39,50 €.
• Business (149 € im Monat oder 1.428 € im Jahr, das sind 119 € im Monat, jeweils ohne USt. (§ 19 UStG)): vollständige Berichte, wöchentliche Überwachung von bis zu 10 Domains und weitere Funktionen.
• Enterprise (ab 490 € im Monat, ohne USt. (§ 19 UStG)): Leistungen und Preis nach einem gesonderten Vertrag.
• Security Audit (ab 1.500 € ohne USt. (§ 19 UStG) je Anwendung): eine Prüfung von Hand, auch hinter der Oberfläche, erst nach Ihrem Besitznachweis.

Wie der Check prüft und bewertet, steht unter So prüfen wir, mit allen technischen Einzelheiten unter Methode. Die Einzelheiten der Leistungen regeln die folgenden Abschnitte.

4Vertragsschluss und Konto

Den Scan können Sie ohne Konto nutzen. Mit der Nutzung akzeptieren Sie diese Bedingungen und die Nutzungsregeln.

Für einen API-Schlüssel, den Verlauf, den Einzelbericht und Business brauchen Sie ein Konto. Ihre Angaben müssen stimmen, und Ihr Zugang gehört nur Ihnen.

Die Darstellung der Pakete auf der Website ist noch kein bindendes Angebot. Sie geben ein verbindliches Angebot ab, wenn Sie die Bestellung in der Kasse unseres Zahlungsdienstleisters Stripe abschicken. Vor dem Absenden sehen Sie dort alle Angaben und den Gesamtpreis und können Eingabefehler korrigieren oder abbrechen. Der Vertrag kommt zustande, wenn wir die Bestellung bestätigen, spätestens mit der Bestätigung per E-Mail oder der Freischaltung der Leistung.

Die Daten Ihrer Bestellung erhalten Sie mit der Bestätigung und der Rechnung per E-Mail. Diese Bedingungen können Sie hier jederzeit abrufen und speichern. Vertragssprache ist Deutsch. Die englische Fassung dient nur der Information.

5Scan (kostenlos)

Beim Scan rufen wir eine Seite einmal auf wie ein Browser, laden die JavaScript-Dateien, die die Seite selbst einbindet, machen einen TLS-Handschlag und lesen SPF und DMARC aus dem öffentlichen DNS. Daraus entsteht eine Note von A bis F.

Sie erhalten einen gekürzten Bericht: die Note, die Anzahl der Befunde je Bereich und die zwei dringendsten Befunde vollständig. Die übrigen Befunde und die Versionen erkannter Software zeigen wir erst mit dem Einzelbericht oder mit Business. Das gilt auch für API und MCP.

Der Scan ist unentgeltlich und ein unverbindlicher Hinweis. Er ist keine Beratung und keine Zusage, dass ein bestimmtes Ergebnis zutrifft. Es besteht kein Anspruch darauf, dass er jederzeit verfügbar ist. Wir können ihn ändern, einschränken oder einstellen.

6Einzelbericht

Der Einzelbericht kostet 79 € ohne USt. (§ 19 UStG) einmalig. Er umfasst den vollständigen Bericht genau eines Scans einer Domain. Er ist kein Abo und endet von selbst.

Was enthalten ist

• Der vollständige Bericht des Scans, den wir unmittelbar nach Ihrer Zahlung für die gekaufte Domain durchführen, mit allen Befunden und der Anleitung zur Behebung.
• Dieser Bericht bleibt unter einem privaten Link abrufbar und lässt sich als PDF herunterladen. Er zeigt den Stand zum Zeitpunkt des Scans und ändert sich danach nicht mehr.
• Eine Rechnung per E-Mail.
• Ein neuer Scan derselben Domain, etwa nach einer Behebung, ist nicht enthalten. Er ist ein weiterer Kauf zum reduzierten Preis (siehe unten).

Für welche Domain er gilt

Der Einzelbericht gilt für genau die Domain, die nach allen Weiterleitungen tatsächlich gescannt wird. Leitet die eingegebene Adresse auf eine andere Domain weiter, gilt er für diese Zieldomain. Welche Domain das ist, zeigt Ihnen der kostenlose Scan vor dem Kauf an.

Groß- und Kleinschreibung, ein vorangestelltes „www.“, Pfade und Ports spielen keine Rolle. Andere Domains und andere Subdomains sind nicht enthalten, zum Beispiel ist app.beispiel.de eine andere Domain als beispiel.de. Eine nachträgliche Übertragung auf eine andere Domain ist nicht möglich.

Bereitstellung und Laufzeit

Nach der Zahlung leiten wir Sie direkt zu Ihrem Bericht unter einem privaten Link. Ein Konto brauchen Sie für den Kauf nicht. Wer diesen Link kennt, kann den Bericht öffnen; geben Sie ihn deshalb nur an Personen weiter, die ihn sehen sollen. In dem Browser, in dem Sie gekauft haben, verlinken wir den Bericht zusätzlich bei späteren Scans dieser Domain, und melden Sie sich mit der E-Mail-Adresse aus der Kasse an, finden Sie ihn auch in Ihrem Konto. Vollständige Berichte über API und MCP gehören zu Business.

Nachprüfung zum reduzierten Preis

Haben Sie für eine Domain bereits einen Einzelbericht gekauft, kostet jeder weitere Einzelbericht für dieselbe Domain 50 % weniger, derzeit 39,50 € ohne USt. (§ 19 UStG). Das gilt ab dem zweiten Bericht ohne Wartezeit. Wir erkennen das an Ihrem Konto oder, bei einem Kauf ohne Konto, an einem Hinweis in dem Browser, in dem Sie gekauft haben (bis zu ein Jahr). Der reduzierte Preis steht vor der Zahlung in der Kasse.

Keine Erstattung nach Bereitstellung

Haben wir den vollständigen Bericht freigeschaltet, erstatten wir den Preis nicht. Unberührt bleiben das gesetzliche Widerrufsrecht für Verbraucher, solange es nicht erloschen ist (Abschnitt Widerrufsrecht), und Ihre gesetzlichen Rechte bei Mängeln.

7Business

Business kostet 149 € im Monat oder 1.428 € im Jahr, jeweils ohne USt. (§ 19 UStG). Sie zahlen im Voraus für den gewählten Zeitraum.

Was enthalten ist

• Vollständige Berichte mit allen Befunden und Anleitungen, auch über API und MCP.
• Bis zu 10 Domains in der Überwachung, jede Woche automatisch gescannt.
• Ein Alarm per E-Mail, sobald sich die Note einer überwachten Domain verschlechtert.
• Der Verlauf je Domain.
• „Apps finden“: Für eine Domain Ihres Unternehmens suchen wir in öffentlichen Zertifikats-Logs (Certificate Transparency) nach weiteren Subdomains und prüfen, ob sie erreichbar sind und wo sie liegen. Sie dürfen diese Suche nur für Domains starten, die Ihrem Unternehmen gehören, und bestätigen das vor jeder Suche.
• Höhere Limits für Scans (Abschnitt Limits).

Laufzeit und Kündigung

Das Abo verlängert sich jeweils um den gewählten Zeitraum, bis Sie oder wir kündigen. Sie können jederzeit zum Ende des laufenden Zeitraums kündigen: in Ihrem Konto unter „Abrechnung“ über „Rechnungen und Kündigung“ oder per E-Mail an cem@cdcapital-group.com. Business läuft dann bis zum Ende des bezahlten Zeitraums. Bereits bezahlte Zeiträume erstatten wir nicht anteilig, außer wir kündigen selbst ordentlich.

Für Verbraucher gilt zusätzlich: Ein Jahresabo verlängert sich nach Ablauf des ersten Jahres auf unbestimmte Zeit. Sie können es dann jederzeit mit einer Frist von einem Monat kündigen. Den im Voraus gezahlten Betrag für die Zeit nach dem Vertragsende erstatten wir anteilig.

8Enterprise

Enterprise vereinbaren wir mit Ihnen in einem gesonderten Vertrag in Textform, etwa zu Anzahl der Domains, Scan-Takt, Preis, Laufzeit und einem Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Der Einzelvertrag geht diesen Bedingungen vor. Diese Bedingungen gelten ergänzend, soweit der Einzelvertrag nichts anderes regelt. Bis zum Abschluss des Einzelvertrags ist ein Gespräch oder Angebot unverbindlich.

9Security Audit

Das Security Audit kostet ab 1.500 € ohne USt. (§ 19 UStG) je Anwendung. Diesen Betrag zahlen Sie bei der Bestellung. Hängt der Preis vom Umfang ab und liegt er über dem gezahlten Betrag, nennen wir Ihnen den Endpreis vor Beginn der Prüfung in Textform. Einen Mehrbetrag schulden Sie nur, wenn Sie ihm zustimmen.

Ablauf

• Besitznachweis. Sie weisen nach, dass Ihnen die Domain gehört oder dass Sie sie prüfen lassen dürfen. Ohne Nachweis prüfen wir nicht. Brauchen Dritte wie Ihr Hoster oder Plattformanbieter eine Erlaubnis für die Prüfung, holen Sie diese ein.
• Abstimmung. Umfang, Zeitraum, Zugänge und Ansprechpartner stimmen wir vor dem Start mit Ihnen in Textform ab.
• Beginn. Die Prüfung beginnt, wenn wir mit der eigentlichen Prüfung Ihrer Anwendung starten. Den Termin teilen wir Ihnen vorher mit.
• Bericht. Sie erhalten einen Bericht mit jedem bestätigten Befund und einem Lösungsweg. Eine Nachprüfung nach Ihrer Behebung ist im Preis enthalten, den Zeitpunkt stimmen wir ab.

Rücktritt und Erstattung vor Beginn

Bis zum Beginn der Prüfung können Sie die Bestellung jederzeit ohne Angabe von Gründen per E-Mail an cem@cdcapital-group.com stornieren. Wir erstatten Ihnen dann den vollen Betrag innerhalb von 14 Tagen über das Zahlungsmittel, das Sie benutzt haben.

Liegt der Besitznachweis 30 Tage nach der Bestellung trotz Erinnerung nicht vor, oder einigen wir uns nicht über Umfang oder Endpreis, können Sie und wir vom Vertrag zurücktreten. Auch dann erstatten wir den vollen Betrag.

Kündigung nach Beginn

Nach Beginn können Sie das Audit jederzeit kündigen. Wir berechnen dann nur den Anteil, der den bis dahin erbrachten Leistungen im Verhältnis zum vereinbarten Gesamtumfang entspricht, und erstatten den Rest. Für Verbraucher gelten außerdem die Regeln zum Widerrufsrecht.

Vertraulichkeit und Ihre Mitwirkung

Alles, was wir bei der Prüfung sehen, behandeln wir vertraulich. Der Bericht geht nur an Sie. Zugangsdaten, die Sie uns für die Prüfung geben, nutzen wir nur dafür und löschen sie nach Abschluss. Wir prüfen schonend. Einen Ausfall oder eine Störung Ihrer Anwendung können wir trotzdem nicht völlig ausschließen. Sichern Sie Ihre Daten vor Beginn und nennen Sie uns Teile, die nicht geprüft werden dürfen.

10Nutzung von Website, API und MCP

Sie dürfen nur Seiten prüfen, die Ihnen gehören oder für die Sie die Erlaubnis haben. Das gilt auch, wenn ein KI-Agent in Ihrem Auftrag prüft. Die Einzelheiten stehen in den Nutzungsregeln.

Halten Sie Ihren API-Schlüssel geheim. Wird er bekannt, widerrufen Sie ihn in Ihrem Konto und erstellen Sie einen neuen. Was mit Ihrem Schlüssel passiert, geht auf Ihr Konto, außer Sie haben den Missbrauch nicht zu vertreten.

11Limits

Ohne Schlüssel sind 20 Scans pro Stunde möglich, mit kostenlosem Schlüssel 100, mit Business 2.000. Auch „Apps finden“ ist je Stunde begrenzt. Wir können Limits ändern, wenn das für einen stabilen Betrieb nötig ist. Bezahlte Leistungen schränken wir dabei nicht unter das zugesagte Maß ein.

12Preise und Zahlung

Endpreise ohne Umsatzsteuer. CDTechnology ist Kleinunternehmer im Sinne von § 19 UStG. Wir berechnen deshalb keine Umsatzsteuer und weisen sie auf der Rechnung nicht aus. Alle Preise auf unserer Website sind Endpreise. Auf der Rechnung steht der Hinweis „Gemäß § 19 UStG wird keine Umsatzsteuer berechnet.“

Gesamtpreis vor der Bestellung. In der Kasse zeigen wir Ihnen vor dem Absenden der Bestellung den Gesamtpreis. Maßgeblich ist dieser Gesamtpreis. Entfällt die Kleinunternehmerregelung, teilen wir Ihnen das mit. Für bereits gezahlte Zeiträume ändert sich der Preis nicht.

Zahlung. Wir rechnen über Stripe ab. Ihre Zahlungsdaten geben Sie direkt bei Stripe ein, wir sehen sie nicht. Der Preis ist mit der Bestellung fällig, bei Business jeweils zu Beginn eines Zeitraums. Die Rechnung erhalten Sie per E-Mail.

Zahlungsverzug. Schlägt eine Zahlung für Business fehl, können wir die Leistungen nach einer Erinnerung bis zum Ausgleich aussetzen.

13Widerrufsrecht für Verbraucher

Sind Sie Verbraucher, haben Sie bei Verträgen über diese Website ein gesetzliches Widerrufsrecht. Für Unternehmer gilt es nicht.

Wann das Widerrufsrecht vorzeitig erlischt

• Einzelbericht (digitale Inhalte): Das Widerrufsrecht erlischt, sobald wir den vollständigen Bericht freischalten, wenn Sie vorher ausdrücklich zugestimmt haben, dass wir vor Ablauf der Widerrufsfrist beginnen, Sie Ihre Kenntnis bestätigt haben, dass Sie mit dieser Zustimmung Ihr Widerrufsrecht mit Beginn der Vertragserfüllung verlieren, und wir Ihnen die Bestätigung des Vertrags zur Verfügung gestellt haben (§ 356 Abs. 6 Nr. 2 BGB, § 312f BGB).
• Business und Security Audit (Dienstleistungen): Das Widerrufsrecht erlischt, wenn wir die Leistung vollständig erbracht haben und Sie vor Beginn ausdrücklich zugestimmt haben, dass wir vor Ablauf der Widerrufsfrist beginnen, und Ihre Kenntnis bestätigt haben, dass Ihr Widerrufsrecht mit vollständiger Vertragserfüllung erlischt (§ 356 Abs. 5 Nr. 2 BGB). Widerrufen Sie vorher, zahlen Sie für die bis zum Widerruf erbrachten Leistungen einen anteiligen Betrag, wenn Sie den Beginn während der Frist verlangt haben (§ 357a Abs. 2 BGB).

14Was ein Befund aussagt

Ein Scan sieht nur, was Ihre Seite jedem Besucher ausliefert, also die Seite selbst und die JavaScript-Dateien, die sie einbindet. Jeder Befund heißt „möglicherweise betroffen“, nicht bewiesen. Eine gute Note heißt nicht, dass Ihre Seite sicher ist. Ein Scan ersetzt keinen Penetrationstest. Das beschreibt den Umfang der Leistung und ist keine Einschränkung Ihrer Rechte.

Wir prüfen sorgfältig, können aber Fehlalarme und übersehene Probleme nicht ausschließen. Entscheidungen, die Sie auf Grundlage eines Befunds treffen, treffen Sie selbst.

Bei bezahlten Leistungen gelten die gesetzlichen Rechte bei Mängeln, für Verbraucher bei digitalen Produkten die §§ 327 ff. BGB. Für die Haftung gilt der folgende Abschnitt.

15Haftung

Unbeschränkt haften wir bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, bei arglistig verschwiegenen Mängeln, soweit wir eine Garantie übernommen haben, und nach dem Produkthaftungsgesetz.

Bei leichter Fahrlässigkeit haften wir bei bezahlten Leistungen nur, wenn wir eine wesentliche Vertragspflicht verletzen. Wesentlich sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung Sie regelmäßig vertrauen dürfen. Bei Hullwise sind das vor allem: den bezahlten vollständigen Bericht bereitzustellen, die überwachten Domains im vereinbarten Takt zu scannen und Sie bei einer schlechteren Note zu benachrichtigen, das Security Audit wie vereinbart durchzuführen und alles, was wir dabei sehen, vertraulich zu behandeln. In diesen Fällen ist die Haftung auf den Schaden begrenzt, der bei Vertragsschluss typischerweise vorhersehbar war.

Kostenlose Leistungen. Der Scan und die kostenlose Nutzung der API sind unentgeltlich. Dafür haften wir nur in den Fällen, in denen wir nach dem ersten Absatz unbeschränkt haften.

Diese Regeln gelten auch für Personen, die wir zur Erfüllung einsetzen. Haben Sie Daten nicht gesichert oder Zugangsdaten nicht geschützt, berücksichtigen wir das nach den gesetzlichen Regeln zum Mitverschulden.

16Sperren und Kündigung

Verstoßen Sie gegen diese Bedingungen oder die Nutzungsregeln, können wir Schlüssel, Konten oder Zugänge sperren, bei schweren Verstößen auch ohne vorherige Warnung. Das Recht beider Seiten zur Kündigung aus wichtigem Grund bleibt unberührt.

Sie können jederzeit verlangen, dass wir Ihr Konto löschen. Eine E-Mail an cem@cdcapital-group.com genügt. Laufende bezahlte Zeiträume regelt der Abschnitt zu Business.

17Änderungen

Wir können diese Bedingungen für die Zukunft ändern. Für laufende bezahlte Verträge gelten geänderte Bedingungen nur, wenn Sie zustimmen. Wir fragen Sie vorher per E-Mail. Stimmen Sie nicht zu, läuft der Vertrag zu den bisherigen Bedingungen weiter. Wir können ihn dann zum Ende des laufenden Zeitraums kündigen. Das Datum oben zeigt den Stand.

18Anwendbares Recht und Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland. Sind Sie Verbraucher, gilt diese Rechtswahl nur, soweit Ihnen dadurch nicht der Schutz entzogen wird, den Ihnen zwingende Vorschriften des Staates gewähren, in dem Sie Ihren gewöhnlichen Aufenthalt haben (Art. 6 Abs. 2 der Verordnung (EG) Nr. 593/2008, Rom I).

Sind Sie Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Frankfurt am Main, soweit eine solche Vereinbarung nach § 38 ZPO zulässig ist. Wir dürfen Sie auch an Ihrem allgemeinen Gerichtsstand verklagen. In allen anderen Fällen gelten die gesetzlichen Gerichtsstände.