Stand: August 2026
1. Geltungsbereich
Diese Allgemeinen Geschäftsbedingungen gelten für Verträge zwischen der LegacyMind GmbH und Unternehmern, juristischen Personen des öffentlichen Rechts oder öffentlich-rechtlichen Sondervermögen über Firmware-Analysen, die Nutzung der LegacyMind Plattform und damit verbundene Leistungen.
Entgegenstehende oder abweichende Bedingungen des Kunden gelten nur, wenn wir ihnen ausdrücklich schriftlich zugestimmt haben.
2. Leistungen
LegacyMind bietet insbesondere Firmware-Assessments und CRA-Readiness-Checks als einmalige technische Analyseleistungen, Continuous Monitoring als laufende Plattform- und Monitoring-Leistung, Dashboard-Zugriff, Berichte, Alerting sowie gegebenenfalls weitere individuell vereinbarte Leistungen an.
Der konkrete Leistungsumfang ergibt sich aus dem jeweils geschlossenen Vertrag, Angebot, Order Form oder einer sonstigen ausdrücklichen Vereinbarung. Maßgeblich sind die dort beschriebenen Leistungsinhalte, Service-Grenzen, Preise und Laufzeiten.
CRA-Readiness-Checks und vergleichbare Analysen sind technische Bestandsaufnahmen. Sie stellen weder eine Zertifizierung noch eine Konformitätsbewertung oder Rechtsberatung dar.
3. Vertragsschluss
Unsere Website stellt kein verbindliches Vertragsangebot dar. Ein Vertrag kommt erst durch gesonderte Vereinbarung, schriftliche Annahme, Order Form, Angebot, Leistungsbeschreibung oder durch ausdrückliche Freischaltung einer vereinbarten Leistung zustande.
4. Zugang zur Plattform
Soweit dem Kunden ein Zugang zur Plattform eingeräumt wird, erhält der Kunde ein einfaches, nicht ausschließliches, nicht übertragbares und nicht unterlizenzierbares Recht, die Plattform und die bereitgestellten Ergebnisse für eigene interne Geschäftszwecke während der vereinbarten Vertragslaufzeit zu nutzen.
Der Kunde hat Zugangsdaten vertraulich zu behandeln und gegen unbefugten Zugriff zu schützen. Der Kunde ist für die ihm zugeordneten Nutzer, deren Nutzung der Plattform sowie für die Rechtmäßigkeit der eingebrachten Inhalte verantwortlich.
5. Mitwirkungspflichten des Kunden
Der Kunde stellt sicher, dass er zur Übermittlung und Analyse der eingebrachten Firmware-Dateien, Software-Images, Extractor-Ausgaben und sonstigen Daten berechtigt ist. Dies gilt insbesondere auch für Firmware, Software, Komponenten und sonstige Inhalte Dritter.
Der Kunde stellt ferner sicher, dass die übermittelten Inhalte keine Rechte Dritter verletzen und dass erforderliche interne, vertragliche oder regulatorische Freigaben vorliegen.
Der Kunde bleibt für seine Systeme, seine Infrastruktur, seine internen Sicherheitsentscheidungen sowie für die Bewertung, Priorisierung und Umsetzung oder Nichtumsetzung von Handlungsempfehlungen eigenverantwortlich.
6. Firmware-Dateien, Vertraulichkeit und Datenverarbeitung
Übermittelte Firmware-Dateien und vergleichbare Rohdaten werden ausschließlich zur Erbringung der vereinbarten Leistungen verarbeitet. Sie werden nach Abschluss der Verarbeitung und nach Ablauf einer kurzen technisch erforderlichen Qualitätssicherungs- oder Sicherheitsfrist gelöscht, sofern nichts anderes ausdrücklich vereinbart wurde.
Analyseergebnisse, Befunde, Berichte, Monitoring-Daten und daraus abgeleitete Metadaten können für die Dauer der Vertragsbeziehung und für eine begrenzte Nachlaufzeit gespeichert bleiben, soweit dies für Monitoring, Reporting, sichere Löschprozesse, Abrechnung, Rechtsverteidigung oder gesetzliche Pflichten erforderlich ist.
Firmware-Dateien werden nicht an externe KI-Anbieter oder externe Analysedienste weitergegeben, es sei denn, eine solche Weitergabe wurde ausdrücklich schriftlich vereinbart oder ist rechtlich zwingend erforderlich.
Soweit für eine Analyse zusätzliche Vertraulichkeitsanforderungen bestehen, können diese durch eine gesonderte Vertraulichkeitsvereinbarung geregelt werden.
7. EU-Hosting und Datenschutz
Unsere Leistungen sind auf Verarbeitung innerhalb der Europäischen Union ausgerichtet.
Soweit wir personenbezogene Daten im Auftrag des Kunden verarbeiten, schließen die Parteien, soweit erforderlich, eine gesonderte Auftragsverarbeitungsvereinbarung.
Einzelheiten zur Verarbeitung personenbezogener Daten finden sich in unserer Datenschutzerklärung und in den jeweils vereinbarten Vertragsunterlagen.
8. Vergütung
Die Vergütung richtet sich nach der jeweiligen individuellen Vereinbarung.
Firmware-Assessments und CRA-Readiness-Checks können als einmalige Leistungen auf Basis des vereinbarten Scopes abgerechnet werden. Continuous Monitoring wird in der Regel als Subscription auf Basis des vereinbarten Monitoring-Scopes oder Service-Bands abgerechnet.
Soweit eine Leistung ausdrücklich kostenfrei angeboten wird, fällt für den dort beschriebenen Leistungsumfang keine Vergütung an. Daraus entsteht kein Anspruch auf weitere kostenfreie Leistungen.
Sofern nicht anders vereinbart, sind Rechnungen innerhalb von 30 Tagen nach Rechnungsdatum ohne Abzug zur Zahlung fällig.
9. Laufzeit und Kündigung
Laufzeit, automatische Verlängerung und Kündigung richten sich nach dem individuell vereinbarten Vertrag.
Fehlt eine ausdrückliche Regelung, gilt eine Kündigung nur mit Wirkung zum Ende der vereinbarten Mindestlaufzeit. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
10. Verfügbarkeit, Wartung und Änderungen
Soweit nicht anders vereinbart, schulden wir eine Bereitstellung nach Maßgabe des vertraglich vereinbarten Service-Niveaus.
Geplante Wartungsfenster, Notfallmaßnahmen, Sicherheitsupdates, technische Weiterentwicklungen sowie Störungen außerhalb unseres Einflussbereichs bleiben unberührt.
Wir sind berechtigt, die Plattform weiterzuentwickeln, zu ändern oder zu aktualisieren, soweit hierdurch die wesentlichen vertraglich geschuldeten Funktionen nicht unzumutbar eingeschränkt werden.
11. Analyseergebnisse und Leistungsgrenzen
Wir erbringen unsere Leistungen mit angemessener Sorgfalt entsprechend dem vereinbarten Leistungsumfang.
Analyseergebnisse beruhen auf den technisch aus den bereitgestellten Firmware-Dateien, Software-Images oder sonstigen Analysegegenständen ermittelbaren Informationen sowie den zum Zeitpunkt der Analyse verfügbaren Datenquellen.
Eine vollständige Erkennung sämtlicher Software-Komponenten, Schwachstellen, Zugangsdaten oder sonstiger Sicherheitsrisiken wird nicht geschuldet.
Die Zuordnung einer bekannten Schwachstelle zu einer im Analysegegenstand identifizierten Komponente bedeutet nicht zwingend, dass die Schwachstelle im konkreten Produkt tatsächlich ausnutzbar oder von außen erreichbar ist.
Insbesondere können Rückportierungen von Sicherheitskorrekturen, herstellerspezifische Änderungen, statisch eingebundene Komponenten, Kernelmodule, gestrippte Binärdateien, verschlüsselte, gepackte oder nicht extrahierbare Inhalte und andere technische Besonderheiten die Analyse oder die Aussagekraft einzelner Befunde beeinflussen.
Soweit nicht ausdrücklich anders vereinbart, umfassen unsere Leistungen keine dynamische Sicherheitsanalyse, keinen Penetrationstest, keine Hardware- oder Seitenkanalanalyse und keine Prüfung von Entwicklungsprozessen oder organisatorischen Maßnahmen.
Analyseergebnisse, Berichte und Priorisierungen dienen der technischen Evidenz und Entscheidungsvorbereitung. Sie stellen insbesondere keine Zertifizierung, Konformitätsbewertung oder Rechtsberatung dar.
Die regulatorische Bewertung sowie die Erklärung oder Feststellung einer Konformität verbleiben beim Kunden beziehungsweise den hierfür zuständigen Prüfstellen oder Auditoren.
12. Haftung
Wir haften unbeschränkt bei Vorsatz, grober Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit sowie in den Fällen zwingender gesetzlicher Haftung.
Bei einfach fahrlässiger Verletzung wesentlicher Vertragspflichten ist unsere Haftung auf den vertragstypisch vorhersehbaren Schaden begrenzt. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen.
Soweit gesetzlich zulässig, haften wir nicht für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, ausgebliebene Einsparungen, Datenverluste, Produktionsausfälle oder Schäden, die aus der Umsetzung oder Nichtumsetzung von Empfehlungen, Patches oder sonstigen Maßnahmen durch den Kunden oder Dritte entstehen.
13. Geistiges Eigentum und Nutzungsrechte an Ergebnissen
Alle Rechte an der LegacyMind Plattform, unseren Analyseverfahren, Methoden, Templates, Marken, Dokumentationen und sonstigen standardisierten Inhalten verbleiben bei LegacyMind oder unseren Lizenzgebern.
Der Kunde erhält an den individuell für ihn erstellten Analyseergebnissen und Berichten ein zeitlich unbeschränktes, nicht ausschließliches Recht zur Nutzung für eigene interne Geschäftszwecke.
Der Kunde darf diese Analyseergebnisse und Berichte außerdem an von ihm beauftragte Berater, Wirtschaftsprüfer, Auditoren, Zertifizierungsstellen, Behörden und vergleichbare Stellen weitergeben, soweit dies für Sicherheits-, Compliance-, regulatorische oder vertragliche Zwecke erforderlich ist.
Die zugrunde liegenden Methoden, Analyseverfahren, Software und standardisierten Templates von LegacyMind werden hierdurch nicht übertragen.
14. Vertraulichkeit
Beide Parteien verpflichten sich, vertrauliche Informationen der jeweils anderen Partei vertraulich zu behandeln und ausschließlich für Zwecke der Durchführung der vereinbarten Leistungen zu nutzen.
Als vertraulich gelten insbesondere nicht öffentlich bekannte technische, geschäftliche und organisatorische Informationen sowie übermittelte Firmware, Analysegegenstände, Sicherheitsbefunde und nicht veröffentlichte Analyseergebnisse.
Gesetzliche Offenlegungspflichten sowie weitergehende Regelungen einer gesonderten Vertraulichkeitsvereinbarung bleiben unberührt.
15. Anwendbares Recht und Gerichtsstand
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts.
Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand Ingolstadt.