Allgemeine Geschäftsbedingungen

Stand: 28. September 2026

§ 1 Geltungsbereich

(1) Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über die Nutzung des Software-as-a-Service-Dienstes SecretExpiry (Dienst) zwischen der SSIG-IT GmbH, Zum weißen Jura 3, 89143 Blaubeuren (Anbieter), und dem Kunden.

(2) Der Dienst richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbraucher im Sinne des § 13 BGB können den Dienst nicht nutzen.

(3) Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nur Vertragsbestandteil, wenn der Anbieter ihrer Geltung ausdrücklich in Textform zugestimmt hat. Dies gilt auch dann, wenn der Anbieter in Kenntnis solcher Bedingungen Leistungen vorbehaltlos erbringt.

(4) Maßgeblich ist die deutsche Fassung dieser AGB. Übersetzungen dienen nur der Information.

§ 2 Leistungsgegenstand

(1) Der Anbieter stellt dem Kunden einen webbasierten Dienst zur Verfügung, der Microsoft-Entra-App-Registrierungen verbundener Microsoft-Tenants überwacht und den Kunden über bevorstehende Abläufe von Client Secrets und Zertifikaten informiert.

(2) Der Leistungsumfang umfasst nach Maßgabe der jeweils aktuellen Leistungsbeschreibung auf der Website:

• regelmäßige, rein lesende Synchronisierung der Metadaten von App-Registrierungen sowie des Apple-MDM-Push-Zertifikats, der Apple-VPP-Tokens und der Apple-ADE-Tokens aus Intune über die Microsoft Graph API (Berechtigungen Application.Read.All, DeviceManagementServiceConfig.Read.All und Organization.Read.All für den Anzeigenamen des Tenants);
• Benachrichtigungen per E-Mail, wahlweise je Ereignis oder als wöchentliche Zusammenfassung, mit frei konfigurierbaren Vorlaufzeiten (Standard: 90, 30, 14, 7 und 1 Tag vor Ablauf);
• optionale Zustellung an einen vom Kunden eingerichteten Webhook von Microsoft Teams oder Slack sowie ein Kalender-Abonnement (ICS) mit den Ablaufdaten;
• ein Dashboard mit Übersicht aller verbundenen Tenants und Credentials, Dringlichkeitsliste, Stummschalten einzelner Credentials bis zu einem Datum, abweichender Empfängeradresse je Tenant und CSV-Export;
• Verwaltung mehrerer Tenants in einem Konto, insbesondere für Managed Service Provider.

(3) Der Dienst fordert ausschließlich Metadaten an (Anzeigenamen, Kennungen, Beginn- und Ablaufdaten, Fingerabdrücke) und speichert keine Secret-Werte, Passwörter, privaten Schlüssel oder Tokenwerte. Werte von Client-Secrets, Passwörter und private Schlüssel gibt Microsoft über die genutzten Berechtigungen nicht heraus; sendet Microsoft den Wert eines VPP-Tokens in einer Antwort mit, wird er beim Einlesen verworfen. Der Dienst nimmt keine Änderungen an den Tenants des Kunden vor; die Erneuerung und Rotation von Credentials bleibt Aufgabe des Kunden.

(4) Der Anbieter darf den Dienst weiterentwickeln und an den Stand der Technik anpassen, soweit die wesentlichen Funktionen nach Abs. 1 erhalten bleiben und die Änderung für den Kunden zumutbar ist. Über wesentliche Änderungen informiert der Anbieter in Textform.

(5) Der Anbieter gewährleistet eine Verfügbarkeit des Dienstes von 99,5 % im Jahresmittel am Übergabepunkt, dem Ausgang des vom Anbieter genutzten Rechenzentrums. Nicht als Ausfallzeit gelten angekündigte Wartungsfenster, Störungen der Microsoft Graph API oder anderer Dienste Dritter, die der Anbieter nicht zu vertreten hat, sowie Fälle höherer Gewalt.

(6) Support leistet der Anbieter per E-Mail an Werktagen (Montag bis Freitag, ausgenommen bundeseinheitliche Feiertage). Reaktions- oder Lösungszeiten werden nicht zugesichert.

§ 3 Vertragsschluss

(1) Mit der Registrierung über eine geschäftliche E-Mail-Adresse und der Bestätigung des Anmeldelinks gibt der Kunde ein Angebot auf Abschluss eines Nutzungsvertrags ab. Der Vertrag über die Testphase nach § 4 kommt mit der Freischaltung des Kontos zustande.

(2) Der Vertrag über die entgeltliche Nutzung kommt zustande, wenn der Kunde im Dashboard eine Lizenzanzahl und ein Abrechnungsintervall wählt und den Bestellvorgang beim Zahlungsdienstleister abschließt oder, bei Zahlung per Überweisung, die Bestellung bestätigt.

(3) Der Kunde versichert, dass er Unternehmer ist, den Vertrag für sein Unternehmen abschließt und zum Vertragsschluss berechtigt ist.

§ 4 Testphase

(1) Neukunden können den Dienst einmalig 14 Tage kostenlos und unverbindlich testen. Während der Testphase steht der volle Funktionsumfang zur Verfügung.

(2) Schließt der Kunde bis zum Ende der Testphase keinen entgeltlichen Vertrag nach § 3 Abs. 2, endet die Testphase automatisch; eine Kündigung ist nicht erforderlich, Kosten entstehen nicht. Schließt der Kunde vor Ablauf der Testphase einen entgeltlichen Vertrag, beginnt die Abrechnung mit dem Ende der Testphase.

§ 5 Vergütung und Abrechnung

(1) Die Vergütung richtet sich nach der Anzahl der gebuchten Lizenzen und dem gewählten Abrechnungsintervall. Je Lizenz kann ein Microsoft-Tenant verbunden werden. Es gilt die folgende Staffel je Lizenz und Monat:

(2) Bei jährlicher Abrechnung gewährt der Anbieter einen Nachlass von 20 % auf die monatlichen Preise. Alle Preise verstehen sich zuzüglich der gesetzlichen Umsatzsteuer.

(3) Die Vergütung wird zu Beginn des jeweiligen Abrechnungszeitraums fällig. Die Zahlung erfolgt über den Zahlungsdienstleister Stripe per Kreditkarte oder SEPA-Lastschrift, bei jährlicher Abrechnung auch per Überweisung auf Rechnung mit einem Zahlungsziel von 14 Tagen. Der Kunde hält gültige Zahlungsinformationen bereit und aktualisiert sie unverzüglich.

(4) Rechnungen werden elektronisch bereitgestellt. Der Kunde erhält sie per E-Mail und über die Abrechnungsseite im Dashboard.

(5) Übersteigt die Zahl der verbundenen Tenants die gebuchten Lizenzen, weist der Anbieter den Kunden darauf hin. Überzählige Tenants werden nicht überwacht, bis der Kunde die Lizenzanzahl erhöht oder Tenants trennt. Änderungen der Lizenzanzahl vereinbaren die Parteien über die Abrechnungsseite im Dashboard oder in Textform.

(6) Der Anbieter kann die Preise mit einer Ankündigungsfrist von sechs Wochen zum Beginn des nächsten Abrechnungszeitraums anpassen, um gestiegene Kosten für Infrastruktur, Drittanbieter oder Personal auszugleichen. Bei jährlicher Abrechnung wirkt die Anpassung frühestens zum Beginn der nächsten Vertragslaufzeit. Der Kunde kann den Vertrag in diesem Fall zum Wirksamwerden der Anpassung kündigen; der Anbieter weist ihn in der Ankündigung darauf hin.

§ 6 Zahlungsverzug

(1) Schlägt eine Zahlung fehl, bleibt der Dienst für sieben Tage uneingeschränkt verfügbar (Kulanzfrist). Der Anbieter informiert den Kunden per E-Mail.

(2) Nach Ablauf der Kulanzfrist kann der Anbieter den Zugang zum Dienst bis zum Ausgleich der offenen Forderung einschränken. Die Daten des Kunden bleiben erhalten.

(3) Bei Zahlungsverzug von mehr als 30 Tagen kann der Anbieter den Vertrag außerordentlich kündigen. Die Geltendmachung von Verzugszinsen in gesetzlicher Höhe (§ 288 Abs. 2 BGB) und weiterer Verzugsschäden bleibt vorbehalten.

§ 7 Laufzeit und Kündigung

(1) Bei monatlicher Abrechnung läuft der Vertrag auf unbestimmte Zeit und kann von beiden Parteien jederzeit zum Ende des laufenden Abrechnungsmonats gekündigt werden.

(2) Bei jährlicher Abrechnung beträgt die Vertragslaufzeit zwölf Monate. Der Vertrag verlängert sich jeweils um weitere zwölf Monate, wenn er nicht spätestens 14 Tage vor Ablauf der Laufzeit gekündigt wird.

(3) Die Kündigung erfolgt über die Abrechnungsseite im Dashboard oder in Textform an info@secretexpiry.com.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(5) Mit Vertragsende wird die Überwachung eingestellt. Der Kunde kann seine Daten bis 30 Tage nach Vertragsende im Dashboard exportieren. Danach werden das Konto und alle Daten automatisch und unwiderruflich gelöscht; gesetzliche Aufbewahrungspflichten für Abrechnungsdaten bleiben unberührt.

§ 8 Pflichten des Kunden

Der Kunde ist verpflichtet,

• ausschließlich geschäftliche und zustellfähige E-Mail-Adressen zu verwenden und die hinterlegten Empfängeradressen aktuell zu halten;
• Anmeldelinks, Webhook-Adressen und Kalender-Links vertraulich zu behandeln, sie nur berechtigten Personen zugänglich zu machen und bei Verdacht auf unbefugten Zugriff unverzüglich neu zu erzeugen und den Anbieter zu informieren;
• den Admin Consent für verbundene Microsoft-Tenants nur zu erteilen, wenn er hierzu berechtigt ist; bei Tenants seiner eigenen Kunden stellt er sicher, dass ihn der jeweilige Kunde dazu ermächtigt hat;
• den Dienst nicht missbräuchlich zu nutzen, insbesondere keine Sicherheitsmechanismen zu umgehen, keine automatisierten Massenabfragen durchzuführen und den Dienst nicht zu dekompilieren oder nachzubauen;
• Benachrichtigungen des Dienstes zeitnah zu prüfen; die rechtzeitige Erneuerung ablaufender Credentials bleibt allein Aufgabe des Kunden;
• sicherzustellen, dass die Nutzung des Dienstes gegenüber seinen eigenen Kunden den datenschutzrechtlichen Anforderungen entspricht, und mit dem Anbieter erforderlichenfalls einen Auftragsverarbeitungsvertrag nach § 13 Abs. 2 abzuschließen.

§ 9 Microsoft-Entra-Anbindung

(1) Die Überwachung eines Tenants setzt voraus, dass ein berechtigter Administrator des Tenants der Microsoft-Anwendung des Anbieters die Berechtigungen Application.Read.All, DeviceManagementServiceConfig.Read.All und Organization.Read.All erteilt (Admin Consent). Der Kunde kann diese Berechtigungen jederzeit im Microsoft-Entra-Admin-Center widerrufen.

(2) Wird die Berechtigung widerrufen oder schlägt die Synchronisierung wiederholt fehl, stellt der Anbieter die Überwachung des betroffenen Tenants ein und informiert den Kunden per E-Mail. Die Vergütungspflicht für die gebuchten Lizenzen bleibt hiervon unberührt.

(3) Der Dienst ist auf die Verfügbarkeit, Richtigkeit und Aktualität der von Microsoft über die Graph API bereitgestellten Daten angewiesen. Für diese Daten sowie für Änderungen, Einschränkungen oder Ausfälle der Microsoft-Dienste ist der Anbieter nicht verantwortlich.

§ 10 Nutzungsrechte, Kundendaten

(1) Der Kunde erhält für die Vertragslaufzeit das einfache, nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht, den Dienst für eigene geschäftliche Zwecke und für die Betreuung seiner eigenen Kunden zu nutzen. Alle weitergehenden Rechte an der Software, den Inhalten und dem Design verbleiben beim Anbieter.

(2) Alle vom Kunden eingebrachten und aus seinen Tenants abgerufenen Daten verbleiben in seiner Verfügungsgewalt. Der Anbieter nutzt sie ausschließlich zur Erbringung des Dienstes. Der Anbieter darf anonymisierte, nicht auf den Kunden oder Personen rückführbare Nutzungsdaten zur Verbesserung des Dienstes auswerten.

§ 11 Sperrung

Der Anbieter kann den Zugang zum Dienst vorübergehend sperren, wenn der Kunde gegen § 8 verstößt, von seinem Konto eine Gefahr für die Sicherheit des Dienstes oder Dritter ausgeht oder die Sperrung gesetzlich oder behördlich angeordnet ist. Der Anbieter informiert den Kunden vorab, soweit dies nach den Umständen möglich ist, andernfalls unverzüglich danach, und hebt die Sperrung auf, sobald ihr Grund entfallen ist.

§ 12 Gewährleistung

(1) Der Anbieter stellt den Dienst in dem in § 2 beschriebenen Umfang bereit. Mängel zeigt der Kunde unverzüglich in Textform an. Der Anbieter behebt Mängel innerhalb angemessener Frist.

(2) Die verschuldensunabhängige Haftung des Anbieters für Mängel, die bereits bei Vertragsschluss vorhanden waren (§ 536a Abs. 1 Alt. 1 BGB), ist ausgeschlossen.

(3) Der Anbieter übernimmt keine Gewähr dafür, dass der Dienst jeden Ablauf erkennt, wenn Microsoft die zugrunde liegenden Daten nicht, verspätet oder unrichtig bereitstellt, oder dass Benachrichtigungen den Kunden erreichen, wenn dessen E-Mail-System, Teams, Slack oder Kalenderprogramm die Zustellung verhindert oder verzögert.

§ 13 Datenschutz

(1) Die Parteien halten die datenschutzrechtlichen Vorschriften ein. Die Verarbeitung personenbezogener Daten durch den Anbieter beschreibt die Datenschutzerklärung.

(2) Soweit der Anbieter Metadaten aus Tenants des Kunden oder von dessen Kunden verarbeitet, handelt er als Auftragsverarbeiter des Kunden (Art. 28 DSGVO). Die Parteien schließen hierzu einen Auftragsverarbeitungsvertrag nach dem Muster des Anbieters, das dieser auf Anfrage an info@secretexpiry.com bereitstellt.

(3) Der Anbieter trifft angemessene technische und organisatorische Maßnahmen zum Schutz der Daten, insbesondere Transportverschlüsselung, Zugriffsbeschränkung auf Datenbankebene, Rate Limiting und eine rein lesende Microsoft-Berechtigung.

§ 14 Vertraulichkeit

Die Parteien behandeln alle im Rahmen des Vertrags erlangten Informationen über die jeweils andere Partei, die als vertraulich gekennzeichnet oder erkennbar vertraulich sind, vertraulich und verwenden sie nur zur Durchführung des Vertrags. Die Pflicht besteht für drei Jahre nach Vertragsende fort. Sie gilt nicht für Informationen, die öffentlich bekannt sind oder werden, ohne dass dies auf einer Verletzung dieser Pflicht beruht, oder deren Offenlegung gesetzlich oder behördlich angeordnet ist.

§ 15 Haftung

(1) Der Anbieter haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz sowie im Umfang einer übernommenen Garantie.

(2) Bei einfacher Fahrlässigkeit haftet der Anbieter nur für die Verletzung wesentlicher Vertragspflichten, also solcher Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Diese Haftung ist auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt, der Höhe nach auf die Vergütung, die der Kunde in den zwölf Monaten vor dem schädigenden Ereignis für den Dienst gezahlt hat.

(3) Für den Verlust von Daten haftet der Anbieter im Rahmen der Abs. 1 und 2 nur in der Höhe, die bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden zur Wiederherstellung erforderlich wäre.

(4) Im Übrigen ist die Haftung des Anbieters ausgeschlossen. Dies gilt insbesondere für Schäden, die darauf beruhen, dass Credentials bereits vor Beginn der Überwachung abgelaufen waren, dass der Kunde Benachrichtigungen nicht beachtet hat oder dass Dienste Dritter, die der Anbieter nicht zu vertreten hat, ausgefallen sind.

(5) Ansprüche des Kunden nach Abs. 2 verjähren innerhalb von zwölf Monaten ab dem gesetzlichen Verjährungsbeginn. Für Ansprüche nach Abs. 1 gelten die gesetzlichen Verjährungsfristen.

(6) Die vorstehenden Regelungen gelten auch für die persönliche Haftung der Organe, Mitarbeiter und Erfüllungsgehilfen des Anbieters.

§ 16 Änderungen dieser AGB

(1) Der Anbieter kann diese AGB ändern, soweit dies erforderlich ist, um sie an eine geänderte Rechtslage oder Rechtsprechung, an technische Weiterentwicklungen oder an Änderungen des Dienstes nach § 2 Abs. 4 anzupassen, und die Änderung für den Kunden zumutbar ist. Änderungen der Hauptleistungspflichten und der Vergütung sind hiervon ausgenommen; für die Vergütung gilt § 5 Abs. 6.

(2) Der Anbieter kündigt Änderungen mindestens sechs Wochen vor ihrem Wirksamwerden in Textform an. Widerspricht der Kunde nicht bis zum Wirksamwerden in Textform, gelten die geänderten AGB als angenommen. Der Anbieter weist in der Ankündigung gesondert auf das Widerspruchsrecht, die Frist und die Folgen des Schweigens hin.

(3) Widerspricht der Kunde, gilt der Vertrag zu den bisherigen Bedingungen fort. Beide Parteien können den Vertrag in diesem Fall zum Wirksamwerden der Änderung ordentlich kündigen.

§ 17 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz des Anbieters, wenn der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat.

(3) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen oder ein Zurückbehaltungsrecht ausüben.

(4) Der Anbieter darf Rechte und Pflichten aus diesem Vertrag auf ein mit ihm im Sinne der §§ 15 ff. AktG verbundenes Unternehmen übertragen; er zeigt dies dem Kunden in Textform an. Der Kunde kann den Vertrag in diesem Fall außerordentlich kündigen.

(5) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(6) Sollten einzelne Bestimmungen dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.