Rechtliches

Allgemeine Geschäftsbedingungen

Stand: August 2026. Diese Bedingungen gelten für alle entgeltlichen Leistungen der EDSO gegenüber Unternehmen, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen (§ 14 BGB). Es handelt sich ausschließlich um ein B2B-Angebot. Ein Vertragsschluss mit Verbrauchern (§ 13 BGB) findet nicht statt; ein Widerrufsrecht nach §§ 355 ff. BGB besteht daher nicht.

§ 1 Anbieter und Geltungsbereich

Anbieter der nachstehend beschriebenen Leistungen ist die

Mission TOP 5 GmbH
Wittelsbacherplatz 1, 80333 München
Handelsregister: Amtsgericht München, HRB 278253
USt-IdNr.: DE354977109
Geschäftsführer: Oliver Lucas, Dan Bauer

(nachfolgend „EDSO").

Diese AGB gelten für alle Vertragsverhältnisse über die Leistungssegmente L0-Selbsteinschätzung, L2/L3-Zertifizierungsaudit und L4-Audit. Abweichende, entgegenstehende oder ergänzende allgemeine Geschäftsbedingungen des Kunden werden nur Vertragsbestandteil, wenn EDSO ihrer Geltung ausdrücklich schriftlich zustimmt.

§ 2 Leistungssegmente im Überblick

2.1 L0-Selbsteinschätzung (Basisstufe)

L0 ist ausdrücklich keine Zertifizierung. Leistungsgegenstand ist die geführte Selbsteinschätzung des Kunden zur digitalen Souveränität auf Organisationsebene, die automatisierte Auswertung mit L0-Report, die Ausstellung einer schriftlichen Bestätigung („Report of Self-Assessment") sowie die Aufnahme in das öffentliche L0-Segment des EDSO-Registers. Ein Zertifikat oder Badge wird nicht ausgestellt und darf nicht geführt werden.

2.2 L2/L3-Zertifizierungsaudit

L2 und L3 sind keine getrennten Auditprodukte, sondern zwei mögliche Ergebnissedesselben externen Zertifizierungsaudits durch eine akkreditierte Prüfstelle. Voraussetzung für den Zertifizierungsantrag ist ein gültiges, auf denselben Rechtsträger ausgestelltes L0. Bei erfolgreicher Zertifizierungsentscheidung stellt EDSO ein Zertifikat mit einer Geltungsdauer von 12 Monaten ab Ausstellungsdatum aus. Die Geltungsdauer ist auf dem Zertifikat und im EDSO-Register ausgewiesen. Nach Ablauf erlischt das Zertifikat automatisch; Badge- und Zeichennutzung sind ab diesem Zeitpunkt unzulässig. Eine rechtzeitige Re-Zertifizierung (vgl. § 5.2) ist Voraussetzung für die Aufrechterhaltung des Zertifikatsstatus. Badge- und Zeichennutzung richten sich nach der Zeichen- und Badge-Nutzungsordnung.

2.3 L4-Audit

L4 ist ein eigenständiges, individuell beauftragtes Vor-Ort-Audit für kritische Anwendungen. Preis, Umfang und Prüftiefe werden vor Beauftragung schriftlich vereinbart.

2.4 Nicht-Bestehen des Audits

Ergibt das Zertifizierungsaudit (L2/L3) kein positives Ergebnis, teilt EDSO dem Kunden die Gründe schriftlich mit. Die Auditgebühr (§ 4) ist in diesem Fall vollständig fällig; die Jahresgebühr wird nicht erhoben. Der Kunde kann frühestens nach Ablauf von drei Monaten einen erneuten Zertifizierungsantrag stellen. Reisekosten und Aufwände der beauftragten Prüfstelle, die über die Pauschalgebühr hinausgehen, werden vorab schriftlich vereinbart und gesondert ausgewiesen.

§ 3 Vertragsschluss

Der Vertrag über L0 kommt mit Absenden der Bestellung im L0-Checkout und Bestätigung durch EDSO (Rechnungsstellung) zustande. Der Vertrag über L2/L3 kommt mit schriftlicher Annahme des vollständig ausgefüllten Zertifizierungsantrags durch EDSO zustande. Der Vertrag über L4 kommt mit gegengezeichnetem Einzelangebot zustande.

§ 4 Preise, Zahlungsbedingungen

Die jeweils gültigen Preise für alle Leistungssegmente (L0, L2/L3, L4) ergeben sich aus der zum Zeitpunkt des Vertragsschlusses auf der EDSO-Website unter www.edso-standard.eu/de/zertifizierung/gebuehren veröffentlichten Preisübersicht. Diese Preise gelten, sofern im Einzelfall keine abweichende schriftliche Vereinbarung getroffen wurde oder eine zeitlich begrenzte Sonderaktion ausdrücklich Vertragsbestandteil geworden ist. Maßgeblich ist stets der bei Vertragsschluss gültige Preis.

Alle Preise verstehen sich zzgl. der gesetzlichen Umsatzsteuer. Rechnungen sind ohne Abzug innerhalb von 7 Kalendertagen ab Rechnungsdatum zur Zahlung fällig. Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen (§ 288 BGB) sowie ein angemessener Verzugsschaden. EDSO ist berechtigt, Leistungen bis zum Zahlungseingang zurückzuhalten und Zugänge zum Mitgliederbereich auszusetzen.

§ 5 Laufzeit und Kündigung

5.1 L0-Abonnement

L0 wird in drei Varianten angeboten (Preise nach § 4):

Einmalzahlung: kein Dauerschuldverhältnis und keine automatische Verlängerung. Leistungsumfang und Registereintrag ruhen 12 Monate nach Ausstellung.
Jahresabonnement: Laufzeit 12 Monate ab Vertragsschluss mit automatischer Verlängerung um jeweils weitere 12 Monate.
Monatsabonnement: Mindestlaufzeit 12 Monate ab Vertragsschluss bei monatlicher Abrechnung; danach Verlängerung um jeweils weitere 12 Monate.

Beide Abonnementvarianten verlängern sich nicht, wenn eine Vertragspartei mit einer Frist von einem Monat zum Ende der jeweils laufenden Vertragsperiode in Textform (§ 126b BGB) kündigt.

5.2 L2/L3-Vertrag

Der L2/L3-Vertrag läuft bis zum Ablauf der 12-monatigen Zertifikatsgeltung oder bis zur früheren Aussetzung bzw. dem Entzug des Zertifikats gemäß § 8. Eine Re-Zertifizierung setzt einen neuen Vertragsschluss voraus; EDSO bietet hierzu einen vereinfachten Verlängerungsprozess zu reduzierten Konditionen an. Der Kunde ist berechtigt, den Vertrag aus wichtigem Grund außerordentlich zu kündigen; in diesem Fall ist die anteilige Jahresgebühr für den verbleibenden Zeitraum zu erstatten, sofern der wichtige Grund nicht vom Kunden zu vertreten ist. Das Recht zur außerordentlichen Kündigung durch EDSO bleibt unberührt. Kündigt EDSO wegen dauerhafter Nichtmitwirkung des Kunden nach § 6, gilt vorrangig die dortige Erstattungsregelung; eine anteilige Erstattung findet in diesem Fall nicht statt.

5.3 L4-Vertrag

Laufzeit und Kündigung richten sich nach dem Einzelvertrag.

§ 6 Mitwirkungspflichten des Kunden

Der Kunde ist verpflichtet, wahrheitsgemäße, vollständige und aktuelle Angaben zu machen. Er hat EDSO und der beauftragten Prüfstelle die für die Leistungserbringung erforderlichen Unterlagen, Auskünfte, Räumlichkeiten und Ansprechpersonen zeitgerecht bereitzustellen. Wesentliche Änderungen am Prüfgegenstand (Rechtsträger, Betriebsmodell, Standorte, Unterauftragnehmer, wesentliche Lieferantenwechsel) sind EDSO unverzüglich in Textform mitzuteilen.

Kommt der Kunde seinen Mitwirkungspflichten trotz schriftlicher Mahnung mit Fristsetzung von 14 Kalendertagen nicht nach, ist EDSO berechtigt, den Prüftermin kostenpflichtig zu verschieben. Für die Neuterminierung wird eine Aufwandspauschale von 250 € netto berechnet. Bei dauerhafter Nichtmitwirkung (mehr als 60 Tage nach Fristablauf) ist EDSO berechtigt, den Vertrag aus wichtigem Grund zu kündigen; bereits geleistete Zahlungen werden nicht erstattet.

§ 7 Nutzungsrechte an Bestätigung, Zertifikat und Zeichen

Bestätigung (L0), Zertifikat (L2/L3/L4) und die zugehörigen Zeichen/Badges dürfen ausschließlich verwendet werden, wenn sämtliche der folgenden Bedingungen erfüllt sind:

Rechtsträger: Nutzung nur durch das im Zertifikat ausgewiesene Unternehmen. Eine Nutzung durch Konzerngesellschaften, Tochterunternehmen oder Dritte ist ohne gesonderte schriftliche Freigabe durch EDSO unzulässig.
Gegenstand: Nutzung nur für den geprüften Leistungsgegenstand, nicht für andere Produkte, Dienstleistungen oder Unternehmensbereiche.
Darstellung: Nur in der von EDSO freigegebenen Darstellung gemäß der jeweils gültigen Zeichen- und Badge-Nutzungsordnung. Die Nutzungsordnung wird bei wesentlichen Änderungen mit einer Frist von vier Wochen angekündigt.
Gültigkeitszeitraum: Die Nutzung endet automatisch mit Ablauf, Aussetzung oder Entzug des Zertifikats. Eine Übergangsfrist von 14 Kalendertagen gilt ausschließlich für bereits gedruckte Materialien.

Ein Verstoß gegen diese Bedingungen berechtigt EDSO zur sofortigen Aussetzung oder zum Entzug des Zertifikats sowie zur Löschung aus dem Register. Weitergehende Schadensersatzansprüche bleiben vorbehalten.

§ 8 Aussetzung, Entzug, Register

Bei begründeten Zweifeln an der Fortführung der Konformität, bei Zahlungsverzug oder bei Verstößen gegen die Zeichen-/Badge-Nutzungsordnung kann EDSO Zertifikate aussetzen oder entziehen. Die Veröffentlichung, Aktualisierung und Löschung von Registereinträgen richtet sich nach der Registerordnung.

8.1 Meldepflicht bei wesentlichen Änderungen

Der Kunde ist verpflichtet, EDSO unverzüglich, spätestens jedoch innerhalb von 14 Kalendertagen, in Textform über folgende Änderungen zu informieren, sofern diese nach Vertragsschluss eintreten:

Wechsel des juristischen Sitzes oder der Rechtsform des Unternehmens
Veränderungen in der Eigentümerstruktur oder bei den wirtschaftlich Berechtigten (insbesondere Anteilsübertragungen ab 25 %, Gesellschafterwechsel, Fusionen, Unternehmensverkäufe)
Neu entstehende oder veränderte Zugriffsrechte von Behörden aus Drittstaaten (z. B. durch Änderung der Konzernstruktur oder eine neue Muttergesellschaft außerhalb EU/EWR)
Verlagerung von Hosting-Standorten, Rechenzentren oder wesentlichen Infrastrukturkomponenten aus dem EU/EWR-Raum
Wechsel oder Hinzunahme wesentlicher Subunternehmer oder Drittanbieter, die Prüfdomänen D1–D5 betreffen
Wegfall oder wesentliche Einschränkung dokumentierter Exit-Strategien (Domäne D5)
Einleitung von Insolvenzverfahren oder vergleichbaren Restrukturierungsmaßnahmen

8.2 Prüfung und vorläufige Aussetzung

Erhält EDSO Kenntnis von einer meldepflichtigen Änderung — durch Meldung des Kunden, durch Dritte oder durch eigene Recherche — leitet EDSO eine Konformitätsprüfung ein. Für die Dauer der Prüfung, längstens jedoch 30 Kalendertage, kann EDSO das Zertifikat vorläufig aussetzen. Die Aussetzung wird im EDSO-Register als „Unter Prüfung" (Registerstatus „ausgesetzt") gekennzeichnet. Dem Kunden wird die Einleitung der Prüfung unverzüglich in Textform mitgeteilt.

8.3 Anhörung

Vor einer endgültigen Entzugsentscheidung erhält der Kunde die Möglichkeit zur Stellungnahme innerhalb von 14 Kalendertagen ab Zugang der Anhörungsaufforderung. EDSO berücksichtigt die Stellungnahme bei seiner Entscheidung. Auf die Anhörung kann verzichtet werden, wenn der Entzugsgrund offensichtlich und unbestreitbar ist (z. B. rechtskräftige Verurteilung wegen Urkundenfälschung im Zertifizierungsverfahren).

8.4 Entzugsgründe

EDSO ist berechtigt, ein Zertifikat zu entziehen, wenn:

a) der Kunde eine meldepflichtige Änderung nach § 8.1 nicht fristgerecht gemeldet hat und die Änderung die Zertifizierungsvoraussetzungen berührt;
b) der juristische Sitz des Unternehmens oder der wirtschaftlich Berechtigten in einen Drittstaat außerhalb EU/EWR verlagert wurde und damit das KO-Kriterium D1 nicht mehr erfüllt ist;
c) Drittstaaten-Zugriffsrechte (z. B. US CLOUD Act, chinesisches Datensicherheitsgesetz) auf das Unternehmen oder seine Infrastruktur entstanden sind, die bei der Zertifizierung nicht bestanden;
d) der Kunde im Zertifizierungsverfahren falsche oder unvollständige Angaben gemacht hat;
e) der Kunde gegen die Zeichen- und Badge-Nutzungsordnung verstößt und den Verstoß trotz Abmahnung nicht innerhalb von 7 Kalendertagen abstellt;
f) Zahlungsverzug von mehr als 30 Kalendertagen nach schriftlicher Mahnung besteht;
g) der Kunde seine Mitwirkungspflichten nach § 6 dauerhaft verweigert.

8.5 Folgen des Entzugs

Mit Entzug des Zertifikats erlöschen alle Nutzungsrechte nach § 7 mit sofortiger Wirkung. Der Registereintrag wird auf „Entzogen" gesetzt und bleibt für die Dauer von 24 Monaten öffentlich einsehbar, um die Integrität des Registers zu wahren. Bei Entzug wegen falscher Angaben (§ 8.4 d) ist der Kunde für die Dauer von 24 Monaten von einer erneuten Antragstellung ausgeschlossen. In allen anderen Fällen kann frühestens nach 6 Monaten ein neuer Antrag gestellt werden.

8.6 Einspruchsrecht

Der Kunde kann gegen eine Entzugsentscheidung innerhalb von 30 Kalendertagen nach Zugang schriftlich Einspruch einlegen. Das Einspruchsverfahren richtet sich nach der Beschwerde- und Einspruchsordnung. Bis zur abschließenden Entscheidung im Einspruchsverfahren bleibt der Registereintrag auf „Unter Prüfung" (Registerstatus „ausgesetzt") gesetzt.

§ 9 Haftung

EDSO haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit sowie für die schuldhafte Verletzung von Leben, Körper oder Gesundheit. Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht) ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt; im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.

Die Zertifizierung ersetzt keine eigene Sorgfaltsprüfung des Kunden oder seiner Auftraggeber, insbesondere keine Prüfung nach NIS2, DORA oder branchenspezifischen Regulierungen. Die Verantwortung für die Einhaltung geltenden Rechts verbleibt beim Kunden.

§ 10 Vertraulichkeit

EDSO und beauftragte Prüfstellen behandeln alle nicht offenkundigen Informationen des Kunden vertraulich und verwenden sie nur zur Erbringung der geschuldeten Leistung. Öffentlich werden ausschließlich die in der Registerordnung genannten Datenfelder. Gesetzliche Auskunfts- oder Aufsichtspflichten bleiben unberührt.

Soweit EDSO oder beauftragte Prüfstellen im Rahmen der Leistungserbringung personenbezogene Daten des Kunden oder seiner Mitarbeiter verarbeiten, erfolgt dies auf Grundlage der geltenden datenschutzrechtlichen Bestimmungen (insbesondere DSGVO). EDSO stellt auf Anfrage einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zur Verfügung. Auditunterlagen und erhobene Nachweise werden nach Ablauf der gesetzlichen Aufbewahrungsfristen, spätestens jedoch 5 Jahre nach Vertragsende, gelöscht. Näheres regelt die Datenschutzerklärung.

§ 11 Änderungen der AGB

EDSO kann diese AGB mit einer Ankündigungsfrist von sechs Wochen in Textform ändern. Der Kunde kann den Änderungen innerhalb der Frist widersprechen; im Fall des Widerspruchs ist EDSO berechtigt, das betroffene Dauerschuldverhältnis zum Wirksamkeitszeitpunkt der Änderung ordentlich zu kündigen.

§ 12 Beauftragung von Prüfstellen und Auditoren

EDSO beauftragt für die Durchführung von Zertifizierungsaudits (L2/L3/L4) akkreditierte, unabhängige Prüfstellen und Auditoren aus dem EDSO-Auditor-Pool. Diese unterliegen einem verbindlichen Integritätskodex und dem Rotationsprinzip. EDSO haftet für die ordnungsgemäße Auswahl und Beauftragung der Prüfstellen; für deren inhaltliche Prüfentscheidungen haftet EDSO nur bei Vorsatz oder grober Fahrlässigkeit bei der Auswahl.

Der Kunde kann einen benannten Auditor aus wichtigem Grund (insbesondere nachweislicher Interessenkonflikt oder frühere Beratungsbeziehung) ablehnen. EDSO benennt in diesem Fall einen Ersatzauditor; eine Ablehnung ohne wichtigen Grund ist nicht möglich. Reisekosten und Nebenkosten der Prüfstelle werden, sofern sie nicht in der Pauschalgebühr enthalten sind, vorab schriftlich ausgewiesen und bedürfen der Zustimmung des Kunden.

§ 13 Höhere Gewalt

Kann EDSO Leistungen infolge von Ereignissen höherer Gewalt (insbesondere Naturkatastrophen, Pandemien, Cyberangriffe auf die EDSO-Infrastruktur, behördliche Anordnungen) nicht oder nicht fristgerecht erbringen, ruhen die betroffenen Leistungspflichten für die Dauer des Hindernisses. Zertifikatsgültigkeiten, die während eines solchen Ereignisses ablaufen, werden um den Zeitraum der Beeinträchtigung verlängert, maximal jedoch um 3 Monate. EDSO informiert den Kunden unverzüglich über Eintritt und voraussichtliche Dauer des Hindernisses.

§ 14 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesen AGB ist der Sitz von EDSO, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.