Diese Bedingungen gelten, wenn ein Unternehmen ein Konto bei weakestlink anlegt und nutzt — einem Dienst für Sicherheitsschulungen und autorisierte interne Phishing-Simulationen, betrieben von WEAKESTLINK ApS (CVR 46614011), info@weakestlink.io. Der Dienst wird ausschließlich für Geschäftskunden angeboten; verbraucherschutzrechtliche Vorschriften, einschließlich des Widerrufsrechts, finden keine Anwendung. Mit der Erstellung eines Kontos akzeptieren Sie diese Bedingungen im Namen des Unternehmens.

1. Konto und Registrierung

Das Konto wird selbstständig mit einer geschäftlichen E-Mail-Adresse angelegt. Sie sichern zu, dass Sie berechtigt sind, im Namen des Unternehmens zu handeln, und dass die angegebenen Informationen korrekt sind. Sie sind dafür verantwortlich, Ihre Anmeldedaten vertraulich zu behandeln, sowie für sämtliche Aktivitäten auf dem Konto.

2. Testphase

Neue Organisationen erhalten ab der Erstellung eine kostenlose Testphase von einem Monat mit unbegrenzter Nutzerzahl und vollem Zugang. Die Testphase erfordert keine Zahlungskarte und geht nicht automatisch in ein kostenpflichtiges Abonnement über — es wird erst dann etwas berechnet, wenn Sie selbst eine Karte hinterlegt haben.

3. Preise und Zahlung

Nach der Testphase wird der geltende Preis pro aktivem Nutzer pro Monat berechnet, der aus der Preisliste auf weakestlink.io hervorgeht — derzeit 1 € in Dänemark. Die Preise verstehen sich exklusive Mehrwertsteuer; beim Verkauf an Unternehmen in anderen EU-Ländern erfolgt die Abrechnung nach den Regeln zum Reverse-Charge-Verfahren. Preise werden zur Orientierung in lokaler Währung angezeigt, aber in dänischen Kronen (DKK) abgerechnet — der Betrag auf Ihrer Kontoauszug kann aufgrund des Wechselkurses Ihres Kartenausstellers und eventueller Gebühren abweichen.

Die Zahlung erfolgt monatlich im Voraus und wird automatisch von der von Ihnen hinterlegten Zahlungskarte abgebucht. Die Anzahl der aktiven Nutzer wird jeweils am 1. des Monats ermittelt; ein Nutzer gilt als aktiv, wenn er im Konto angelegt und zum Zeitpunkt der Ermittlung nicht deaktiviert (offgeboardet) ist. Nutzer, die im Laufe eines Monats angelegt werden, werden erst ab der nächsten Ermittlung mitgezählt, und für Nutzer, die in einem bereits bezahlten Monat deaktiviert werden, erfolgt keine Rückerstattung. Kann der Betrag nicht abgebucht werden, erinnern wir Sie per E-Mail daran, und das Konto wird in den eingeschränkten Modus (Abschnitt 4) versetzt, bis die Zahlung erfolgt ist.

Der Preis kann je nach Markt variieren. Wir können den Preis ändern — auch für einen einzelnen Markt zu einem bestimmten Zeitpunkt — mit einer Frist von mindestens 30 Tagen per E-Mail; der neue Preis gilt frühestens ab der ersten Zahlungsperiode nach Ablauf der Ankündigungsfrist und niemals für einen bereits bezahlten Zeitraum. Möchten Sie nicht zum neuen Preis fortfahren, können Sie vor Inkrafttreten kündigen und zahlen den bisherigen Preis bis zur Beendigung. Es besteht keine Mindestvertragslaufzeit.

4. Ablauf der Testphase und eingeschränkter Modus

Läuft die Testphase ab, ohne dass eine Zahlungskarte hinterlegt wurde — oder kann eine Zahlung nicht durchgeführt werden —, wird das Konto in den eingeschränkten Modus versetzt: Es können keine neuen Simulationen versendet oder neue Nutzer angelegt werden, Ihre Daten und Berichte bleiben jedoch erhalten und weiterhin zugänglich. Das Konto wird wieder freigeschaltet, sobald die Zahlung eingegangen ist. Bleibt das Konto länger als 90 Tage in Folge im eingeschränkten Modus, betrachten wir das Kundenverhältnis als beendet; wir informieren Sie mindestens 30 Tage im Voraus per E-Mail und löschen anschließend die personenbezogenen Daten gemäß dem Auftragsverarbeitungsvertrag.

5. Zulässige Nutzung

Phishing-Simulationen dürfen ausschließlich an die eigenen Mitarbeitenden der Organisation (oder an Personen mit einem Konto bei Ihnen) versendet werden, und zwar auf Grundlage einer schriftlichen Ermächtigung durch die Geschäftsleitung der Organisation und einer durchgeführten und genehmigten Interessenabwägung (berechtigtes Interesse, DSGVO Art. 6 Abs. 1 lit. f) — und erst, wenn eine Absender-Domain verifiziert wurde. Es ist nicht zulässig, den Dienst zu nutzen, um Simulationen an Dritte zu senden oder tatsächliche Angriffe durchzuführen. Bei Missbrauch können wir das Konto umgehend sperren und ohne Vorankündigung kündigen.

6. Ihre Verantwortung für Simulationen

Simulationen werden nur nach Ihrer ausdrücklichen Ermächtigung und auf Grundlage der von Ihnen im Produkt genehmigten Interessenabwägung versendet. Sie stehen dafür ein, dass die Ermächtigung von einer Person mit Geschäftsleitungsverantwortung erteilt wurde, und dass Mitarbeitervertretungen, Betriebsräte o. Ä. informiert und einbezogen werden, sofern die Gesetzgebung oder Vereinbarungen in Ihrem Land dies verlangen. Sie tragen die Verantwortung für interne Folgen genehmigter Simulationen — z. B. Reaktionen von Mitarbeitenden, Alarme in Ihren IT-Sicherheitssystemen oder fehlerhafte Eskalationen — es sei denn, der Schaden ist darauf zurückzuführen, dass wir von dem genehmigten Inhalt oder dem genehmigten Empfängerkreis abgewichen sind.

Die Zustellung von Simulationen in Ihre Mailumgebung setzt voraus, dass Sie die empfohlenen Ausnahmen (Allowlisting) in Ihrem Mailfilter einrichten. Wir sind nicht verantwortlich für Simulationen, die durch Ihre eigenen Systeme gestoppt oder verändert werden, und wir empfehlen, Ihre IT-Abteilung zu informieren, bevor die erste Simulation versendet wird.

7. Rollen und personenbezogene Daten

Wenn Sie den Dienst zur Mitarbeiterschulung nutzen, ist Ihr Unternehmen der Verantwortliche für die Mitarbeiterdaten, und weakestlink ist Auftragsverarbeiter. Die Verarbeitung erfolgt gemäß dem Auftragsverarbeitungsvertrag, der bei der Registrierung akzeptiert wird. Siehe zudem die Datenschutzerklärung für die Informationen, für die weakestlink selbst Verantwortlicher ist.

8. Verfügbarkeit und Support

Wir streben eine hohe Verfügbarkeit an, jedoch wird der Dienst so bereitgestellt, wie er ist und vorhanden ist — ohne garantierte Verfügbarkeit (SLA) und ohne garantierte Support-Reaktionszeiten. Support wird per E-Mail unter info@weakestlink.io geleistet, und wir antworten an Werktagen innerhalb angemessener Zeit. Wir können geplante Wartungsarbeiten und Aktualisierungen durchführen.

9. Haftung

Der Dienst ist ein Trainings- und Messwerkzeug. Er stellt keine Sicherheitsberatung dar und ist keine Garantie gegen tatsächliche Angriffe oder für bestimmte Verhaltensänderungen bei den Mitarbeitenden.

Keine der Parteien haftet für indirekte Schäden, einschließlich Betriebsausfall, Datenverlust oder Folgeschäden. Unsere Gesamthaftung im Rahmen der Vereinbarung ist auf den Betrag begrenzt, den Sie in den letzten 12 Monaten für den Dienst gezahlt haben. Die Beschränkungen gelten nicht bei Vorsatz oder grober Fahrlässigkeit oder soweit geltendes Recht eine Beschränkung nicht zulässt.

10. Kundeninhalte und unsere Rechte

Sie behalten die Rechte an den Daten, die Sie eingeben (z. B. Mitarbeiterlisten). Sie gewähren uns ausschließlich den Zugang, der zur Erbringung des Dienstes erforderlich ist. Unsere Kursinhalte und unsere Simulationsbibliothek gehören weakestlink und dürfen nicht weiterverkauft oder außerhalb Ihrer Organisation veröffentlicht werden. Wir dürfen Statistiken in anonymisierter und aggregierter Form erstellen und nutzen, die nicht auf Ihre Organisation oder einzelne Personen zurückgeführt werden können, um den Dienst zu verbessern und dienstübergreifende Bedrohungserkenntnisse zu gewinnen.

Simulationsvorlagen können bekannte Absender nachahmen und Namen und Logos Dritter wiedergeben. Diese gehören ihren jeweiligen Eigentümern, werden ausschließlich für autorisiertes, internes Training in einem geschlossenen Empfängerkreis verwendet und begründen keinerlei Verbindung zu oder Billigung durch die Eigentümer. Erhebt ein Rechteinhaber Einspruch gegen eine Vorlage, entfernen wir diese.

11. Vertraulichkeit

Die Parteien behandeln die nicht-öffentlichen Informationen der jeweils anderen Partei vertraulich — einschließlich Berichten über die Trainings- und Simulationsergebnisse Ihrer Organisation — und verwenden sie nur zu den Zwecken der Vereinbarung. Diese Verpflichtung gilt auch nach Beendigung fort. Wir verwenden Ihren Namen oder Ihr Logo ohne Ihre Zustimmung nicht in der Werbung.

12. Kündigung und Vertragsbeendigung

Sie können jederzeit im Verwaltungsbereich oder per Schreiben an uns kündigen; die Kündigung wird zum Ende des bereits bezahlten Zeitraums wirksam. Wir können mit einer Frist von 30 Tagen zum Monatsende kündigen; eine etwaige Vorauszahlung für die Zeit nach Vertragsende wird erstattet. Bei wesentlicher Vertragsverletzung — einschließlich Missbrauch (Abschnitt 5) oder Zahlungsverzug trotz Mahnung — können wir das Konto sofort sperren und fristlos kündigen. Bei Vertragsbeendigung löschen oder übergeben wir personenbezogene Daten nach Ihrer Wahl gemäß dem Auftragsverarbeitungsvertrag (spätestens 90 Tage nach Vertragsende).

13. Höhere Gewalt

Keine der Parteien haftet für Umstände außerhalb ihrer zumutbaren Kontrolle, einschließlich Ausfällen bei Unterauftragnehmern, Stromausfällen, Cyberangriffen, Krieg oder behördlichen Anordnungen, solange der Umstand fortbesteht.

14. Übertragung

Wir können den Vertrag im Rahmen eines vollständigen oder teilweisen Unternehmensübergangs oder einer Umstrukturierung übertragen. Sie können den Vertrag nicht ohne unsere schriftliche Zustimmung übertragen, die nicht ohne triftigen Grund verweigert wird.

15. Änderungen der Bedingungen

Wir können diese Bedingungen ändern. Wesentliche Änderungen werden mindestens 30 Tage im Voraus per E-Mail angekündigt. Möchten Sie nicht zu den geänderten Bedingungen fortfahren, können Sie vor Inkrafttreten kündigen; die fortgesetzte Nutzung danach gilt als Zustimmung.

16. Anwendbares Recht und Gerichtsstand

Für diese Bedingungen gilt dänisches Recht. Streitigkeiten werden ausschließlich vor den dänischen Gerichten entschieden, wobei das Amtsgericht (byret) des Gerichtsbezirks, in dem WEAKESTLINK ApS seinen Sitz hat, als erste Instanz zuständig ist.

Fragen? Schreiben Sie an info@weakestlink.io.