Allgemeine Geschäftsbedingungen

Gültig für Kunden mit Wohnsitz / Geschäftssitz in Deutschland — Stand: April 2026

Hinweis zur Jurisdiktion: Diese AGB gelten für Vertragsverhältnisse mit Kunden, die ihren Wohnsitz oder Geschäftssitz in Deutschland haben. Für tschechische Kunden gelten die Tschechischen AGB (VOP). Für internationale Kunden gilt die internationale Fassung.

§ 1 Geltungsbereich und Vertragsparteien

(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“) regeln die Nutzung des automatisierten Datenschutz- und Sicherheitsanalyse-Dienstes unter der Marke Forensic Privacy (nachfolgend „Dienst“), betrieben von der NLTS Global Analytics s.r.o., Malá 43/6, 301 00 Plzeň, Tschechische Republik, IČ 09262024 (nachfolgend „Anbieter“).

(2) Diese AGB gelten für alle Verträge zwischen dem Anbieter und dem Kunden („Unternehmer“ im Sinne des § 14 BGB oder „Verbraucher“ im Sinne des § 13 BGB), die über die Website des Anbieters oder via API abgeschlossen werden.

(3) Entgegenstehende oder abweichende AGB des Kunden finden keine Anwendung, auch wenn der Anbieter ihrer Geltung nicht ausdrücklich widerspricht. Dies gilt selbst dann, wenn der Anbieter in Kenntnis entgegenstehender AGB des Kunden leistet (§ 305 Abs. 1 BGB).

(4) Der Dienst richtet sich hauptsächlich an Unternehmer (Datenschutzbeauftragte, Rechtsanwälte, Behörden, E-Commerce-Betreiber). Für Verbraucher gelten zusätzlich die §§ 312 ff. BGB sowie die unabdingbaren verbraucherschutzrechtlichen Vorschriften, sofern ihr Wohnsitz in der EU liegt.

§ 2 Leistungsbeschreibung

(1) Der Anbieter stellt einen automatisierten Analyse-Dienst bereit, der auf Anfrage technische und datenschutzrechtlich relevante Eigenschaften von Websites untersucht. Die Analyse umfasst je nach gewähltem Produkt:

(2) Die genaue Leistung hängt vom gewählten Produkt-Tier ab. Maßgeblich ist die Produktbeschreibung auf der Website zum Zeitpunkt der Bestellung.

§ 3 Technische Einschränkungen und Prüfungsumfang

Wichtiger Hinweis: Der Dienst analysiert ausschließlich, was zum Zeitpunkt des Scans technisch beobachtbar ist. Folgende Einschränkungen sind dem Kunden ausdrücklich bekannt:

(1) Zeitpunkt-Snapshot: Die Analyse stellt eine Momentaufnahme der Website zum exakten Scan-Zeitpunkt dar. Website-Inhalte, Skripte, Cookie-Banner, Drittanbieter-Einbindungen und Datenschutzerklärungen können sich nach dem Scan-Zeitpunkt ändern. Der Report gilt ausschließlich für den Scan-Zeitpunkt.

(2) Technische Sichtbarkeit: Der Scan erkennt nur technisch beobachtbare Tracking-Mechanismen. Server-seitiges Tracking, Pixel-Tracking ohne JavaScript, verschleierte Ladeprozesse (Obfuscated Loaders) und fingerprinting-basiertes Tracking ohne Netzwerkzugriff können undetektiert bleiben.

(3) A/B-Tests und Geolokalisierung: Websites können unterschiedliche Inhalte, Cookie-Banner oder Tracking-Konfigurationen abhängig von Benutzeragent, IP-Standort oder A/B-Test-Gruppe ausliefern. Der Scan repräsentiert die dem Scan-Server präsentierte Version.

(4) Dynamische Inhalte: Skripte, die erst nach Nutzerinteraktion laden, sowie Consent-Logiken mit komplexen Zustandsautomaten können nicht vollständig abgebildet werden.

(5) Robots-Einschränkungen: Blockiert die analysierte Website den Scan-Server (Rate Limiting, IP-Sperren, Captcha-Walls), kann der Scan unvollständig sein. Der Anbieter ist in diesem Fall zur Rückerstattung berechtigt, aber nicht verpflichtet, einen vollständigen Re-Scan durchzuführen.

§ 4 KI-generierte Inhalte (Artificial Intelligence Disclaimer)

Wesentlicher Hinweis zu KI-generierten Analyseteilen:

(1) Teile des Reports — insbesondere narrative Gutachten-Texte, Gesamtbewertungen, Maßnahmenpläne und rechtliche Einordnungen — werden durch ein KI-Sprachmodell (Claude API, Anthropic PBC, San Francisco) automatisch generiert.

(2) KI-generierte Texte sind keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG). Sie stellen sachverständige technische Einschätzungen auf Basis der Scan-Ergebnisse dar, ersetzen jedoch nicht die individuelle juristische Beurteilung durch einen zugelassenen Rechtsanwalt.

(3) KI-Sprachmodelle können sachlich unzutreffende Aussagen (sogenannte „Halluzinationen“) produzieren. Trotz des vorgeschalteten AI-Quality-Gate (automatisierte Prüfung vor Signierung) können Fehler, Fehlklassifikationen oder unvollständige Bewertungen nicht vollständig ausgeschlossen werden.

(4) KI-generierte Gesetzesverweise (DSGVO-Artikel, EuGH-Entscheidungen, nationale Normen) sind automatisch zugeordnet und können fehlerhaft oder veraltet sein. Der Kunde ist verpflichtet, Gesetzesverweise vor Verwendung in Rechtsverfahren zu verifizieren.

(5) Der Anbieter betreibt ein automatisiertes KI-Quality-Gate, das vor jeder Report-Signierung False-Positive-Reduktion und Schwerekalibrierung durchführt. Dieses System reduziert Fehler, garantiert deren vollständige Abwesenheit jedoch nicht.

(6) Der Anbieter verarbeitet zur KI-Analyse die Scan-Ergebnisse (keine personenbezogenen Daten des Kunden, ausschließlich technische Website-Daten) an den US-amerikanischen Dienst Anthropic PBC. Die Datenübertragung erfolgt auf Basis der EU-Standardvertragsklauseln (SCCs) und/oder des EU-US Data Privacy Framework (DPF).

§ 5 Genauigkeit der Scan-Ergebnisse — Keine Vollständigkeitsgarantie

(1) False Positives: Automatisierte Tracker-Erkennung kann legitime technische Dienste (CDN-Anbieter, Consent-Management-Plattformen, eigene Infrastruktur) irrtümlich als datenschutzrelevante Drittanbieter markieren. Jeder Befund im Report ist durch den Kunden auf Plausibilität zu prüfen.

(2) False Negatives: Der Scan kann nicht alle Tracking-Mechanismen erkennen. Ein Report ohne Befunde ist kein Nachweis für vollständige DSGVO-Konformität.

(3) Score und Bewertungsstufen: Der im Report ausgewiesene Compliance-Score ist ein algorithmischer Richtwert. Er stellt keine rechtliche Beurteilung der DSGVO-Konformität dar und ist nicht als offizielle Behörden- oder Gerichtsentscheidung zu verstehen.

(4) DSGVO-Artikel-Zuordnung: Die Zuordnung von Befunden zu DSGVO-Artikeln (Art. 5, 6, 7, 13, 14, 22, 25 etc.) ist automatisiert und kann fehlerhaft, unvollständig oder nicht auf den Einzelfall zugeschnitten sein. Die Aufzählung ist nicht erschöpfend.

(5) Signatur-Reichweite: Die Ed25519-kryptographische Signatur bestätigt ausschließlich die Integrität des Reports — d. h., dass das Dokument seit seiner Erstellung nicht verändert wurde. Sie bestätigt nicht die sachliche Richtigkeit, Vollständigkeit oder rechtliche Gültigkeit der enthaltenen Befunde.

§ 6 Drittanbieter-Datenbanken — Haftungsausschluss für externe Quellen

Der Dienst verwendet zur Analyse folgende externe Datenquellen, auf deren Inhalt und Aktualität der Anbieter keinen Einfluss hat:

(1) EasyPrivacy / Disconnect.me: Community-gepflegte Filterlisten zur Tracker-Identifikation. Diese Listen können veraltete Einträge, fehlerhafte Klassifikationen oder fehlende aktuelle Tracking-Dienste enthalten. Der Anbieter übernimmt keine Haftung für Fehler in diesen Listen.

(2) ICIJ Offshore Leaks Database: Öffentlich verfügbare Datenbank des International Consortium of Investigative Journalists. Treffer in dieser Datenbank sind ausdrücklich nicht als Nachweis von Rechtsverstößen oder kriminellen Handlungen zu interpretieren. Namensähnlichkeit allein begründet keinen Verdacht. Der Anbieter empfiehlt manuellen Abgleich vor jeder Verwendung.

(3) GeoIP-Datenbanken (MaxMind): Drittland-Transfer-Analysen basieren auf statistischen IP-Standortdaten. Die Genauigkeit liegt typischerweise auf Länderebene bei über 99 %, auf Stadt-Ebene bei ca. 80 %. Einzelne IP-Adressen können falsch zugeordnet sein. GeoIP-Daten begründen keinen Rechtsbeleg für Drittland-Transfers.

(4) Handelsregister / Unternehmensdaten: Öffentliche Registerdaten (Firmenname, Geschäftsführer, Adresse) werden zum Zeitpunkt des Scans abgefragt. Änderungen nach dem Scan-Zeitpunkt sind nicht erfasst.

(5) Blacklists / Fakeshop-Datenbanken: Aggregiert aus mehreren Quellen. Falsch-positive Einstufungen sind möglich. Blacklist-Einträge ersetzen keine eigene rechtliche Prüfung.

§ 7 Verwendung des Reports in Rechtsverfahren

(1) Der Report des Anbieters ist als technische Dokumentation konzipiert, die als Grundlage für eigene rechtliche Maßnahmen dienen kann. Er stellt kein Privatgutachten eines nach § 404 ZPO bestellten Sachverständigen dar.

(2) Die Verwendung des Reports als Anlage zu Abmahnungen, einstweiligen Verfügungen, Beschwerden bei Aufsichtsbehörden (insbesondere gemäß Art. 77 DSGVO) oder Strafanzeigen liegt ausschließlich in der Verantwortung des Kunden. Der Anbieter übernimmt keine Gewähr dafür, dass Gerichte, Behörden oder Gegenanwälte den Report als Beweismittel akzeptieren oder ihm eine bestimmte Beweiskraft beimessen.

(3) Der Anbieter wird nicht als Partei oder Zeuge in Rechtsverfahren auftreten, die auf Basis der Reports geführt werden, es sei denn, dies ist gesondert schriftlich vereinbart.

(4) Für professionelle Nutzer (Rechtsanwälte, DSBs): Der Anbieter empfiehlt, KI-generierte Gutachten-Texte vor Einreichung in Rechtsverfahren durch eine qualifizierte Fachperson zu validieren.

§ 8 Dark Pattern Analyse — Subjektivitätshinweis

(1) Die Dark-Pattern-Analyse basiert auf publizierten wissenschaftlichen Kategorisierungen (Mathur et al. 2019, Gray et al. 2018) sowie den EDPB-Leitlinien 05/2022 zu Dark Patterns. Diese Kategorisierungen enthalten Ermessensspielräume und sind nicht abschließend.

(2) Die Bewertung, ob ein UX-Element ein Dark Pattern darstellt, ist teils kontextabhängig und nicht immer objektiv eindeutig bestimmbar. Befunde des Dienstes stellen technische Einschätzungen, keine verbindliche Rechtsauslegung des UWG, der UGP-Richtlinie oder der DSGVO dar.

(3) Der Dark Pattern Check ersetzt keine eigene rechtliche Bewertung durch einen im Wettbewerbsrecht qualifizierten Rechtsanwalt.

§ 9 Monitoring — Latenz und Verfügbarkeit

(1) Bei Monitoring-Abonnements erfolgt die Analyse in periodischen Intervallen gemäß dem gewählten Tier (täglich / wöchentlich). Zwischen dem Zeitpunkt einer tatsächlichen Website-Änderung und der Erkennung durch den Dienst kann ein zeitlicher Versatz (Latenz) von bis zu 24 Stunden (Starter) bzw. bis zum nächsten regulären Scan-Intervall bestehen.

(2) KO-Alerts (kritische Verstöße) werden so schnell wie technisch möglich versandt; eine Garantie für Echtzeit-Erkennung wird nicht gegeben.

(3) Die Monitoring-Infrastruktur strebt eine Verfügbarkeit von 99 % an; bei geplanten Wartungsarbeiten erfolgt vorherige Information. Der Anbieter haftet nicht für Schäden, die durch Monitoring-Ausfälle entstehen, es sei denn, die Haftungsvoraussetzungen gemäß § 14 dieser AGB sind erfüllt.

§ 10 Vertragsschluss

(1) Der Vertrag kommt durch Abschluss des Bestellvorgangs (Auswahl des Produkts, Eingabe der E-Mail-Adresse, Durchführung der Zahlung via PayPal oder Auswahl der Rechnungszahlung via Billogram) zustande.

(2) Mit Abschluss des Bestellvorgangs erklärt der Kunde, diese AGB gelesen und akzeptiert zu haben.

(3) Der Anbieter speichert den Vertragstext nicht individuell. Der Kunde sollte diese AGB sowie seine Bestellbestätigung selbst archivieren.

§ 11 Preise und Zahlung

(1) Alle Preise sind Nettopreise und verstehen sich zzgl. der jeweils anzuwendenden gesetzlichen Umsatzsteuer.

(2) Einzel-Reports werden mit Zahlungseingang freigeschaltet. Monitoring-Abonnements werden monatlich im Voraus abgerechnet.

(3) Die Zahlungsabwicklung für Kreditkarte, PayPal und weitere Online-Zahlungsmittel erfolgt über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. B2B- und Behördenkunden können Zahlung auf Rechnung via Billogram (Billogram AB, Schweden) wählen.

(4) Fehlgeschlagene Scans infolge technischer Fehler auf Anbieterseite werden automatisch erstattet oder als Guthaben gutgeschrieben.

(5) Für Behörden und öffentliche Auftraggeber steht auf Anfrage eine Rahmenvereinbarung zur Verfügung.

§ 12 Widerrufsrecht für Verbraucher

Widerrufsbelehrung

Widerrufsrecht: Sie haben das Recht, binnen vierzehn Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen. Die Widerrufsfrist beträgt vierzehn Tage ab dem Tag des Vertragsabschlusses.

Um Ihr Widerrufsrecht auszuüben, müssen Sie uns (NLTS Global Analytics s.r.o., Malá 43/6, 301 00 Plzeň, CZ, E-Mail: [email protected]) mittels einer eindeutigen Erklärung (z. B. Brief oder E-Mail) über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren.

Ausnahme vom Widerrufsrecht (§ 356d i. V. m. § 312g Abs. 2 Nr. 13 BGB): Das Widerrufsrecht erlischt mit der Zustellung des fertigen Reports per E-Mail an die bei der Bestellung angegebene E-Mail-Adresse.

Widerruf einlegen: Haben Sie den Report noch nicht erhalten, können Sie den Auftrag über das Widerrufsformular unter forensicprivacy.io/widerruf oder durch schriftliche Mitteilung an [email protected] widerrufen.

Bestätigung zum Leistungsbeginn: Mit Abschluss des Scan-Auftrags stimmen Sie ausdrücklich zu, dass der Anbieter mit der Ausführung beginnt und Sie damit einverstanden sind, dass Ihr Widerrufsrecht mit der Zustellung des fertigen Reports per E-Mail erlöscht (§ 356d i.V.m. § 312g Abs. 2 Nr. 13 BGB).

§ 13 Nutzungsrechte und -beschränkungen

(1) Der Kunde erhält ein nicht ausschließliches, nicht übertragbares Nutzungsrecht am Dienst für die Dauer des Vertragsverhältnisses.

(2) Generierte Reports dürfen vom Kunden im Rahmen seiner gesetzlichen und vertraglichen Zwecke verwendet werden, einschließlich der Verwendung als Anlage in Behörden- oder Gerichtsverfahren.

(3) Untersagt ist: automatisiertes Massen-Scanning ohne legitimen Prüfzweck, Reverse Engineering des Dienstes, Nutzung zur Schädigung Dritter, Verschüsselung oder Weitergabe von Zugangsdaten an Dritte, Weiterverkauf der Analyse-Kapazitäten ohne schriftliche Genehmigung des Anbieters.

(4) Der Kunde stellt sicher, dass er zur Analyse der eingegebenen URL berechtigt ist. Eine Analyse fremder Websites ist zulässig, sofern dies für legitime Datenschutzprüfung, Wettbewerbsrecht oder Strafverfolgung erfolgt.

§ 14 Haftung

(1) Der Anbieter haftet uneingeschränkt bei Vorsatz und grober Fahrlässigkeit sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit (§§ 276, 278 BGB).

(2) Bei leichter Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten im Sinne der Rechtsprechung des BGH), begrenzt auf den typischerweise vorhersehbaren Schaden.

(3) Besonderer Haftungsausschluss für Scan-Ergebnisse: Der Anbieter haftet nicht für Schäden, die daraus entstehen, dass

(4) Die Haftung nach dem Produkthaftungsgesetz (ProdHaftG) und zwingenden gesetzlichen Vorschriften bleibt unberührt.

(5) Soweit die Haftung des Anbieters ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung der gesetzlichen Vertreter und Erfüllungsgehilfen des Anbieters.

§ 15 Laufzeit und Kündigung

(1) Einzel-Scan-Verträge enden mit der Zustellung des Reports.

(2) Monitoring-Abonnements laufen auf unbestimmte Zeit und können vom Kunden jederzeit zum Ende des laufenden Abrechnungszeitraums gekündigt werden.

(3) Der Anbieter kann Monitoring-Abonnements mit einer Frist von 30 Tagen ordentlich kündigen. Anteiliges Guthaben wird erstattet.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 16 Datenschutz

Die Verarbeitung personenbezogener Daten des Kunden und der analysierten Websites richtet sich nach der Datenschutzerklärung des Anbieters. Diese ist integraler Bestandteil dieser AGB.

§ 17 Schlussbestimmungen

(1) Anwendbares Recht: Es gilt das Recht der Tschechischen Republik unter Ausschluss des UN-Kaufrechts (CISG). Für Verbraucher mit gewöhnlichem Aufenthalt in Deutschland gelten die zwingenden verbraucherschutzrechtlichen Vorschriften des deutschen Rechts, soweit diese ein höheres Schutzniveau bieten (Art. 6 Abs. 2 Rom I-VO).

(2) Gerichtsstand: Für Kaufleute und juristische Personen des öffentlichen Rechts ist Gerichtsstand Plzeň, Tschechische Republik, oder nach Wahl des Anbieters das Gericht am Geschäftssitz des Kunden. Für Verbraucher gilt ausschließlich der gesetzliche Gerichtsstand (Art. 18 Abs. 1 Brüssel-Ia-VO: Gericht am Wohnsitz des Verbrauchers).

(3) EU-Streitschlichtung: Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung bereit: https://ec.europa.eu/consumers/odr. Der Anbieter ist zur Teilnahme an einem Schlichtungsverfahren vor einer Verbraucherschlichtungsstelle nicht verpflichtet und nicht bereit.

(4) Sollten einzelne Bestimmungen dieser AGB unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt (§ 306 BGB analog).

(5) Änderungen dieser AGB werden dem Kunden mit einer Frist von mindestens 30 Tagen per E-Mail angekündigt. Die geänderten AGB gelten als akzeptiert, wenn der Kunde nicht innerhalb der Frist widerspricht. Auf dieses Widerspruchsrecht wird in der Änderungsmitteilung ausdrücklich hingewiesen.