Nutzungsbedingungen der GEFIM NIS2-Schulungsplattform

Teil 1: Geltung, Vertragsschluss und Leistungen

§ 1 Geltungsbereich, Anbieter, Begriffe

(1) Diese Nutzungsbedingungen gelten für alle Verträge über die Nutzung der NIS2-Schulungsplattform in den Paketen Bronze, Silber und Gold und für den Testzugang. Anbieter ist die GEFIM UG (haftungsbeschränkt), Neckarstraße 7, 38120 Braunschweig, eingetragen im Handelsregister des Amtsgerichts Braunschweig unter HRB 211852, vertreten durch die Geschäftsführer Marcel Hofmann und Martin Solarczek (im Folgenden „GEFIM“).

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB (im Folgenden „Kunde“). Verträge mit Verbrauchern schließt GEFIM nicht. Der Kunde bestätigt bei Vertragsschluss, dass er in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit handelt.

(3) In diesen Bedingungen bedeuten:

1. „Plattform“: das Online-Angebot der GEFIM mit dem Kurs und den Arbeitsmitteln;
2. „Lernplattform“: die Software eines Dienstleisters, auf der GEFIM die Plattform betreibt; der Dienstleister heißt im Folgenden „Betreiberin der Lernplattform“;
3. „Berechtigte“: die Personen, für die nach § 4 ein Zugang eingerichtet ist;
4. „Lerneinheiten“: die einzelnen Abschnitte des Kurses innerhalb der Module; der Wissenstest nach § 3 Absatz 4 ist keine Lerneinheit;
5. „Arbeitsmittel“: die Vorlagen, der Fragenkatalog und das Umsetzungs-Toolkit nach § 5;
6. „Vertragsjahr“: die ersten zwölf Monate ab Beginn der Laufzeit und jeder Verlängerungszeitraum von zwölf Monaten;
7. „Textform“: eine lesbare Erklärung auf einem dauerhaften Datenträger nach § 126b BGB, zum Beispiel eine E-Mail;
8. „Werktage“: Montag bis Freitag mit Ausnahme der gesetzlichen Feiertage am Sitz der GEFIM.

(4) Allgemeine Geschäftsbedingungen des Kunden gelten nicht. Das gilt auch dann, wenn GEFIM ihnen nicht ausdrücklich widerspricht oder Leistungen in Kenntnis solcher Bedingungen erbringt. Die Allgemeinen Geschäftsbedingungen der GEFIM für Beratungsleistungen gelten für Verträge nach diesen Nutzungsbedingungen nicht.

§ 2 Vertragsschluss und Freischaltung

(1) Die Darstellung der Pakete auf der Website ist kein bindendes Angebot. Der Kunde fragt ein Paket über die Website, per E-Mail oder telefonisch an.

(2) GEFIM übermittelt dem Kunden ein Angebot in Textform. Das Angebot nennt das Paket, den Monatspreis, die Mindestlaufzeit und die Leistungsbeschreibung (Anlage 1). Es verweist auf diese Nutzungsbedingungen, auf den Vertrag zur Auftragsverarbeitung (Anlage 2) und auf die Nutzungsregeln für die Berechtigten (Anlage 3). GEFIM fügt diese Unterlagen dem Angebot als Datei bei. GEFIM ist an das Angebot für die darin genannte Frist gebunden. Nennt das Angebot keine Frist, beträgt sie 30 Tage.

(3) Der Vertrag kommt zustande, wenn die Auftragsbestätigung des Kunden (Bestellung) innerhalb der Bindefrist in Textform bei GEFIM eingeht. Die Auftragsbestätigung ist die Annahme des Angebots durch den Kunden. Weicht sie vom Angebot ab oder verweist sie auf eigene Bedingungen des Kunden, kommt der Vertrag erst zustande, wenn GEFIM die Abweichung in Textform annimmt. Die Freischaltung allein ist keine solche Annahme. GEFIM bestätigt den Eingang der Auftragsbestätigung in Textform. Auch diese Eingangsbestätigung ist keine Annahme einer Abweichung und keine Bestätigung nach § 19 Absatz 5. Weicht die Auftragsbestätigung ab, schaltet GEFIM erst frei, wenn GEFIM die Abweichung in Textform angenommen hat oder der Kunde das Angebot ohne Abweichung angenommen hat. Einen Vertragsschluss über einen Online-Bestellvorgang gibt es nicht.

(4) Freischaltung ist die Einrichtung der Zugänge für die Berechtigten, die der Kunde nach § 4 Absatz 7 gemeldet hat. GEFIM schaltet die Zugänge in der Regel innerhalb von höchstens drei Werktagen frei, nachdem die Auftragsbestätigung und die E-Mail-Adressen aller Berechtigten bei GEFIM eingegangen sind. Liegen 14 Tage nach Vertragsschluss noch nicht alle E-Mail-Adressen vor, schaltet GEFIM die bis dahin gemeldeten Berechtigten frei. GEFIM teilt die Freischaltung in Textform mit.

§ 3 Leistungen der Plattform: Selbstlernangebot

(1) GEFIM stellt dem Kunden für die Laufzeit über das Internet den Online-Kurs „NIS2-Schulung für Geschäftsführer“ auf der Plattform zur Verfügung. Der Kurs besteht aus Modulen mit Lerneinheiten. Jede Lerneinheit liegt als Video und als Audiofassung vor. Die Audiofassung ist mit einer KI-Stimme vertont. Zum Kurs gehören ein freiwilliger Wissenstest zur Selbstkontrolle (im Folgenden „Wissenstest“) und die Anzeige des Bearbeitungsstands je Person. Die Inhalte orientieren sich an der Handreichung „Schulung für Geschäftsleitungen“ des Bundesamts für Sicherheit in der Informationstechnik (BSI) in ihrer jeweils aktuellen Fassung, derzeit Version 1.0 vom 17.04.2026. Den Bezug der Lerninhalte zum eigenen Unternehmen stellen die Berechtigten im Selbststudium her. Die Leistungen nach § 6 sind dafür nicht vorgesehen; sie sind nicht Teil des Kurses. Den Stand bei Vertragsschluss beschreibt die Leistungsbeschreibung (Anlage 1); Änderungen nach § 10 Absatz 5 bleiben unberührt.

(2) Der Kurs ist ein reines Selbstlernangebot. Die Berechtigten bearbeiten die Lerneinheiten selbständig, zu selbst gewählten Zeiten und im eigenen Tempo. Feste Unterrichtstermine gibt es nicht.

(3) GEFIM überwacht den Lernerfolg nicht. GEFIM schuldet im Rahmen dieses Vertrags keine Überwachung, Bewertung oder Bestätigung des Lernerfolgs. GEFIM schuldet insbesondere

1. keine Korrektur oder Bewertung von Aufgaben oder Arbeitsergebnissen,
2. keine individuelle Anleitung oder Betreuung beim Lernen und
3. keine Beantwortung von Fragen zu den Lerninhalten, auch nicht zu der Frage, ob eine Person die Lerninhalte richtig verstanden hat oder richtig anwendet.

Das gilt für alle Wege der Kommunikation, also auch für E-Mail, Telefon, den Umsetzungs-Workshop, die Umsetzungsberatung und Funktionen der Plattform. Solche Leistungen sind auch nicht stillschweigend vereinbart.

(4) Die Teilnahme am Wissenstest ist freiwillig. Der Wissenstest wird automatisch ausgewertet. Die Erläuterungen zu den Antworten sind vorformuliert und für alle Berechtigten gleich. Eine individuelle Rückmeldung gibt es nicht. Der Wissenstest dient ausschließlich der Selbstkontrolle der jeweiligen Person. Er ist keine Voraussetzung für weitere Lerneinheiten, für den Abschluss einer Lerneinheit oder für die Teilnahmebescheinigung. GEFIM richtet die Plattform so ein, dass die Ergebnisse nur der jeweiligen Person angezeigt werden. Der Wissenstest hat keine Bestehensgrenze; die Plattform zeigt weder ein Bestehen noch eine Note an. GEFIM sieht die Ergebnisse nicht ein und wertet sie nicht aus. Weder der Kunde noch die Berechtigten haben Anspruch darauf, dass GEFIM Ergebnisse einsieht, erläutert, kommentiert oder bespricht. Die Ergebnisse sind nicht Gegenstand des Supports, des Umsetzungs-Workshops oder der Umsetzungsberatung.

(5) Der Kunde kann einsehen, welche Lerneinheiten jede berechtigte Person bearbeitet hat (Bearbeitungsstand). Die Einsicht erfolgt über eine Verwaltungsfunktion der Plattform. Steht diese nicht zur Verfügung, übermittelt GEFIM dem Kunden auf Anfrage einen Export des Bearbeitungsstands aus der Plattform. Ergebnisse des Wissenstests sind nicht Teil des Bearbeitungsstands. GEFIM verwendet die Angaben zum Bearbeitungsstand nur für den Betrieb der Plattform, für die Anzeige an den Kunden und für die Ausstellung der Teilnahmebescheinigung. Eine individuelle Lernbegleitung findet nicht statt.

(6) GEFIM leistet Support zu Zugang und Technik. Er umfasst Fragen zu Zugang und Anmeldung, zur technischen Nutzung der Plattform, zur Einrichtung und Änderung von Zugängen, zur Teilnahmebescheinigung und zur Rechnung. Der Support ist im Paket Bronze per E-Mail erreichbar, in den Paketen Silber und Gold per E-Mail und Telefon, jeweils über die Kontaktwege, die Anlage 1 dafür nennt. Fragen zu den Lerninhalten beantwortet GEFIM weder im Support noch auf einem anderen Weg (Absatz 3). GEFIM verweist solche Fragen auch nicht an den Umsetzungs-Workshop oder die Umsetzungsberatung. Bestimmte Reaktionszeiten gelten nur, wenn das Angebot sie nennt.

(7) Kommentar-, Chat-, Community- und KI-Assistenzfunktionen sowie Funktionen, mit denen Berechtigte Aufgaben einreichen oder Trainer oder Coaches kontaktieren, gehören nicht zu den Leistungen. GEFIM schaltet sie auf der Plattform nicht frei. Regeln der Lernplattform zu solchen Funktionen in Anlage 3 begründen keinen Anspruch auf sie.

§ 4 Unternehmenslizenz und Zugänge

(1) Jedes Paket umfasst eine Unternehmenslizenz. Sie gilt für das Unternehmen (die Gesellschaft), das Vertragspartner ist. Verbundene Unternehmen und weitere Gesellschaften einer Unternehmensgruppe sind nicht umfasst. Für verbundene Unternehmen und für mehr als drei weitere Personen nach Absatz 2 Nr. 2 erstellt GEFIM auf Anfrage ein gesondertes Angebot.

(2) Einen Zugang erhalten

1. alle Mitglieder der Geschäftsleitung des Kunden, unabhängig von ihrer Zahl. Mitglieder der Geschäftsleitung sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung des Kunden berufen sind, insbesondere Geschäftsführer und Vorstände;
2. bis zu drei weitere Personen, die für den Kunden tätig sind, etwa Informationssicherheitsbeauftragte, IT-Leitung oder Prokura.

(3) Wird während der Laufzeit eine Person neu in die Geschäftsleitung berufen, erhält sie ohne Aufpreis einen Zugang. Der Kunde teilt dies GEFIM in Textform mit. In begründeten Zweifelsfällen kann GEFIM einen Nachweis der Organstellung verlangen, etwa einen Handelsregisterauszug.

(4) Jeder Zugang ist personengebunden und nicht übertragbar. Er darf nur von der Person genutzt werden, für die er eingerichtet ist. Geteilte Zugänge, Sammelzugänge und die Weitergabe von Zugangsdaten sind nicht zulässig.

(5) Scheidet eine weitere Person nach Absatz 2 Nr. 2 aus dem Unternehmen aus oder wechselt sie die Aufgabe, kann der Kunde an ihrer Stelle eine andere Person benennen. Darüber hinaus kann der Kunde eine weitere Person einmal je Vertragsjahr austauschen. Der bisherige Zugang wird deaktiviert. Der Bearbeitungsstand wird nicht übertragen.

(6) Scheidet ein Mitglied der Geschäftsleitung oder eine weitere Person aus, teilt der Kunde dies GEFIM unverzüglich in Textform mit. GEFIM deaktiviert den Zugang. Bereits ausgestellte Teilnahmebescheinigungen bleiben unberührt.

(7) Der Kunde benennt eine Ansprechperson für die Verwaltung der Zugänge. Er teilt GEFIM für jede berechtigte Person den Namen, die E-Mail-Adresse und die Rolle in Textform mit und hält diese Angaben aktuell. Die E-Mail-Adresse soll eine dienstliche Adresse sein. Zugänge für Personen, die der Kunde nach der Freischaltung meldet, richtet GEFIM in der Regel innerhalb von höchstens drei Werktagen nach Eingang der E-Mail-Adresse ein.

(8) Mitarbeitende der GEFIM erhalten keinen Zugang als Berechtigte und keine Verwaltungsrechte des Kunden. Das gilt auch, wenn GEFIM für den Kunden andere Leistungen erbringt, etwa als externer Informationssicherheitsbeauftragter. Leistungen aus anderen Verträgen zwischen GEFIM und dem Kunden sind nicht Teil dieses Vertrags und umfassen keine Erläuterung der Lerninhalte des Kurses.

§ 5 Paketinhalte

(1) Welche Leistungen ein Paket umfasst, ergibt sich aus dem Angebot und der Leistungsbeschreibung (Anlage 1). Alle Pakete enthalten den Kurs nach § 3 Absatz 1 bis 5, den Support nach § 3 Absatz 6 und die Unternehmenslizenz nach § 4.

(2) Die Pakete umfassen im Überblick:

1. Bronze: die Leistungen nach Absatz 1 mit Support zu Zugang und Technik per E-Mail. Teilnahmebescheinigung, Arbeitsmittel, Umsetzungs-Workshop und Umsetzungsberatung sind nicht enthalten.
2. Silber: zusätzlich eine Teilnahmebescheinigung je Person (§ 13), Vorlagen für den Geschäftsleitungsbeschluss und die Roadmap, den Fragenkatalog für IT, ISB und Dienstleister, den Umsetzungs-Workshop zweimal je Vertragsjahr (§ 6) und Support zu Zugang und Technik per E-Mail und Telefon.
3. Gold: zusätzlich das Umsetzungs-Toolkit mit Maßnahmen-Selbstcheck und den weiteren Vorlagen nach Anlage 1, den Umsetzungs-Workshop viermal statt zweimal je Vertragsjahr und die Umsetzungsberatung mit zwei Terminen von je 60 Minuten online je Vertragsjahr (§ 6).

(3) Die Arbeitsmittel sind Arbeitshilfen für das Unternehmen des Kunden. Sie sind nicht Teil des Kurses und enthalten keine Aufgaben zu den Lerninhalten. Der Kurs gibt keine Aufgaben vor, die mit den Arbeitsmitteln zu bearbeiten sind. Unterlagen, die der Kunde mit den Arbeitsmitteln erstellt, prüft, korrigiert und bewertet GEFIM nicht. Der Maßnahmen-Selbstcheck wertet die Angaben des Kunden zum Stand der Maßnahmen in seinem Unternehmen automatisch aus. Er prüft nicht die Kenntnisse einzelner Personen. Der Fragenkatalog enthält Fragen, die der Kunde an seine IT, an seine Informationssicherheitsbeauftragten und an seine Dienstleister richten kann. Er begründet kein Fragerecht gegenüber GEFIM.

(4) GEFIM überarbeitet das Umsetzungs-Toolkit einmal im Kalenderjahr und berücksichtigt dabei Änderungen der maßgeblichen Rechtslage.

(5) Der Kunde kann jederzeit in ein höheres Paket wechseln. Ab dem Wechsel gilt der Monatspreis des höheren Pakets; die Laufzeit bleibt unverändert. In ein niedrigeres Paket kann der Kunde zum Ende eines Vertragsjahres wechseln, wenn er dies mit der Frist und in der Form nach § 9 Absatz 2 erklärt. Die Einzelheiten des Wechsels, etwa zu Leistungen, die je Vertragsjahr gelten, regelt das Angebot für den Wechsel.

§ 6 Umsetzungs-Workshop und Umsetzungsberatung (Silber und Gold)

(1) Der Umsetzungs-Workshop und die Umsetzungsberatung sind Dienstleistungen im Sinne von § 611 BGB. Sie sind Beratung zur Umsetzung konkreter Vorhaben der Informationssicherheit im Unternehmen des Kunden. Gegenstand ist die Lage des Unternehmens, nicht der Kenntnisstand der teilnehmenden Personen. Sie sind ausdrücklich keine Fragestunde zum Kurs. Sie dienen nicht der Vermittlung, Wiederholung, Vertiefung, Erläuterung oder Überprüfung der Lerninhalte. Ein Anspruch, dort Fragen zu den Lerninhalten zu stellen oder prüfen zu lassen, ob eine Person die Lerninhalte richtig verstanden hat oder richtig anwendet, besteht nicht. Ein bestimmter Erfolg ist nicht geschuldet. Die Leistungen erbringen Beraterinnen und Berater der GEFIM. Welche Person einen Termin leitet, bestimmt GEFIM nach dem Thema; ein Anspruch auf eine bestimmte Person besteht nicht. GEFIM kann für diese Leistungen auch fachkundige Dritte einsetzen und bleibt für sie verantwortlich.

(2) Je Termin kann der Kunde bis zu drei Personen benennen, die teilnehmen (im Folgenden „Teilnehmende“). Teilnehmende können auch Personen ohne eigenen Zugang zum Kurs sein. Die Leistungen nach diesem Paragrafen setzen nicht voraus, dass die Teilnehmenden Lerneinheiten bearbeitet haben, und bauen nicht auf der Bearbeitung des Kurses auf. Sie sind keine Auswertung, Korrektur oder Besprechung von Ergebnissen des Kurses oder des Wissenstests. GEFIM prüft, korrigiert und bewertet auch in diesen Terminen keine Unterlagen, die mit den Arbeitsmitteln erstellt wurden (§ 5 Absatz 3). GEFIM berät auf Grundlage der Angaben des Kunden zu seinem Unternehmen und ihrer eigenen Beratungspraxis. GEFIM bezieht sich dabei nicht auf Module oder Lerneinheiten des Kurses. Die Schwerpunkte des Umsetzungs-Workshops folgen nicht der Gliederung des Kurses.

(3) Der Umsetzungs-Workshop findet online als Gruppentermin statt, gemeinsam mit Teilnehmenden anderer Kunden. Er umfasst je Vertragsjahr zwei Termine im Paket Silber und vier Termine im Paket Gold. GEFIM legt die Termine und Schwerpunkte fest und kündigt sie mindestens vier Wochen vorher in Textform an. Im Workshop stellt GEFIM Umsetzungsthemen aus ihrer Beratungspraxis vor, die die Umsetzung von Maßnahmen in Unternehmen betreffen und weder den Lerninhalten noch der Gliederung des Kurses folgen, und bespricht ausgewählte Vorhaben der teilnehmenden Kunden. Gegenstand sind konkrete Vorhaben in den Unternehmen der teilnehmenden Kunden, etwa die Reihenfolge bestimmter Maßnahmen, die Verteilung von Aufgaben auf bestimmte Stellen oder die Vereinbarungen mit einem bestimmten Dienstleister. Die Teilnehmenden können eigene Vorhaben bis spätestens fünf Werktage vor dem Termin in Textform einreichen. Eine Einreichung beschreibt ein Vorhaben im Unternehmen des Kunden. Einreichungen zu Lerninhalten des Kurses nimmt GEFIM nicht auf. GEFIM wählt aus, welche eingereichten Vorhaben im Workshop behandelt werden, und bestimmt die Reihenfolge. Ein Anspruch auf Behandlung eines bestimmten Vorhabens besteht nicht. Eine offene Fragerunde gibt es nicht. Welche Angaben die Teilnehmenden zu ihren Vorhaben machen, bestimmen sie selbst. Vertrauliche Einzelheiten zu Schwachstellen und Vorfällen sollen sie im Workshop nicht nennen. Der Kunde sorgt dafür, dass seine Teilnehmenden Angaben anderer Teilnehmender vertraulich behandeln (Anlage 3).

(4) Im Paket Gold umfasst die Umsetzungsberatung je Vertragsjahr zwei Termine von je 60 Minuten. Sie findet online per Videokonferenz statt, nur mit Teilnehmenden des Kunden. Gegenstand sind konkrete Vorhaben im Unternehmen des Kunden, etwa die Reihenfolge bestimmter Maßnahmen, die Verteilung von Aufgaben auf bestimmte Stellen des Kunden oder die Auswahl eines bestimmten Dienstleisters. Eine rechtliche Prüfung des Einzelfalls ist nicht Gegenstand der Umsetzungsberatung, etwa zur Frage, ob der Kunde nach § 28 BSI-Gesetz betroffen ist, oder zu Haftungsfragen. Die Termine vereinbaren die Parteien in Textform.

(5) Der Kunde kann einen vereinbarten Termin der Umsetzungsberatung bis zwei Werktage vorher verschieben. Sagt er später ab oder nimmt er nicht teil, gilt der Termin als genutzt, es sei denn, der Kunde hat dies nicht zu vertreten. Nimmt der Kunde an einem Termin des Umsetzungs-Workshops nicht teil, besteht kein Anspruch auf einen Ersatztermin. GEFIM weist den Kunden spätestens zwei Monate vor Ablauf des Vertragsjahres in Textform auf nicht genutzte Termine der Umsetzungsberatung hin. Nicht genutzte Termine des Umsetzungs-Workshops und der Umsetzungsberatung verfallen mit Ablauf des Vertragsjahres. Sie werden nicht in das nächste Vertragsjahr übertragen und nicht erstattet. Das gilt nicht, soweit GEFIM einen Termin abgesagt hat, gleich aus welchem Grund, oder im Vertragsjahr nicht die vereinbarte Zahl von Workshop-Terminen oder keinen zumutbaren Termin für die Umsetzungsberatung angeboten hat. In diesen Fällen holt GEFIM den Termin nach, spätestens innerhalb von drei Monaten nach Ablauf des Vertragsjahres, auch nach dem Vertragsende.

(6) Umsetzungs-Workshop und Umsetzungsberatung werden nicht aufgezeichnet. GEFIM stellt keine Mitschnitte bereit. Auch der Kunde und die Teilnehmenden dürfen nicht aufzeichnen.

§ 7 Testzugang

(1) Im Anschluss an eine Live-Demo kann GEFIM dem Kunden auf Wunsch einen kostenlosen Testzugang einrichten. Ein Anspruch auf einen Testzugang besteht nicht.

(2) Der Testzugang endet automatisch 14 Tage nach seiner Einrichtung. Er wandelt sich nicht in einen kostenpflichtigen Vertrag um; einen Vertrag über ein Paket schließen die Parteien nur nach § 2. Zahlungsdaten werden nicht abgefragt.

(3) Den Umfang des Testzugangs bestimmt GEFIM. Er kann auf ausgewählte Lerneinheiten beschränkt sein. GEFIM teilt den Umfang bei der Einrichtung mit. Arbeitsmittel, Umsetzungs-Workshop und Umsetzungsberatung sind nicht enthalten. Im Testzugang wird keine Teilnahmebescheinigung ausgestellt; GEFIM richtet den Testzugang so ein, dass er keine Teilnahmebescheinigung erzeugt. Eine Teilnahmebescheinigung gibt es nur in einem Vertrag über das Paket Silber oder Gold (§ 13 Absatz 1).

(4) § 3 Absatz 2 bis 5 und 7 gilt entsprechend. Support erhält der Kunde nur zu Zugang und Technik per E-Mail. Fragen zu den Lerninhalten beantwortet GEFIM auch im Testzugang nicht.

(5) GEFIM löscht die Daten aus dem Testzugang spätestens 30 Tage nach seinem Ende. Das gilt nicht, wenn der Kunde innerhalb dieser Frist einen Vertrag über ein Paket schließt und die Übernahme des Bearbeitungsstands wünscht.

Teil 2: Vergütung, Laufzeit, Betrieb und Rechte

§ 8 Preise und Zahlung

(1) Es gelten die Preise des Angebots. Nach den Preisangaben auf nis2-berater.de (Stand 06.10.2026) betragen die Monatspreise je Unternehmen: Bronze 149 Euro, Silber 199 Euro und Gold 390 Euro. Bei der Mindestlaufzeit von zwölf Monaten sind das im ersten Vertragsjahr 1.788 Euro, 2.388 Euro und 4.680 Euro. Alle Preise verstehen sich in Euro netto zuzüglich der gesetzlichen Umsatzsteuer.

(2) GEFIM stellt die Vergütung monatlich im Voraus in Rechnung. Die erste Rechnung stellt GEFIM mit Beginn der Laufzeit (§ 9 Absatz 1). Rechnungen sind innerhalb von 14 Tagen nach Zugang ohne Abzug zu zahlen. GEFIM kann Rechnungen elektronisch übermitteln.

(3) Die Vergütung hängt nicht von der Zahl der Mitglieder der Geschäftsleitung ab. Leistungen, die der Kunde nicht in Anspruch nimmt, mindern die Vergütung nicht.

(4) GEFIM kann die Monatspreise mit Wirkung zum Beginn eines neuen Vertragsjahres anpassen, soweit sich die Kosten der GEFIM für die Lernplattform, für Softwarelizenzen und für Hosting und Betrieb der Lernplattform durch Dritte erhöht haben. Die Anpassung erfolgt nur in dem Verhältnis, in dem diese Kosten den Monatspreis bestimmen. Sinken andere dieser Kosten, verrechnet GEFIM die Senkung mit der Erhöhung. Die Erhöhung beträgt höchstens 5 Prozent des bisherigen Monatspreises. GEFIM kündigt sie spätestens drei Monate vor dem Ende des Vertragsjahres in Textform an und nennt dabei den Grund. In der Ankündigung weist GEFIM ausdrücklich darauf hin, dass der Kunde kündigen kann, bis wann er kündigen kann und dass der neue Preis gilt, wenn er nicht kündigt. Der Kunde kann den Vertrag abweichend von § 9 Absatz 2 Satz 1 bis zum Wirksamwerden der Erhöhung auf diesen Zeitpunkt kündigen; für die Form gilt § 9 Absatz 2 Satz 2 bis 4. Während eines Vertragsjahres bleiben die Preise unverändert. Ein vereinbarter prozentualer Rabatt bleibt bei einer Anpassung erhalten.

(5) Ist der Kunde mit einem Betrag, der mindestens einem Monatspreis entspricht, mehr als 30 Tage in Verzug, kann GEFIM die Sperre in Textform androhen und eine Frist von mindestens 14 Tagen setzen. Nach fruchtlosem Ablauf der Frist kann GEFIM den Zugang zur Plattform bis zum Zahlungseingang sperren. Die Pflicht zur Zahlung bleibt bestehen. Bereits ausgestellte Teilnahmebescheinigungen bleiben unberührt. Die gesetzlichen Rechte bei Verzug bleiben unberührt.

(6) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Das gilt nicht für Gegenansprüche aus demselben Vertragsverhältnis, insbesondere wegen Mängeln oder teilweiser Nichterfüllung. Ein Zurückbehaltungsrecht kann der Kunde nur wegen Ansprüchen aus diesem Vertrag geltend machen.

(7) Rabattcodes gelten nur, wenn der Kunde seine Berechtigung vor dem Angebot nachweist und das Angebot den Rabatt nennt. Sie lassen sich nicht mit anderen Rabatten kombinieren. Ein Rabatt gilt nur für den Vertrag, der mit ihm geschlossen wird. Auf andere oder bereits bestehende Verträge wird er nicht angewendet. Nennt das Angebot nichts anderes, gilt der Rabatt auch für Verlängerungszeiträume und nach einem Wechsel des Pakets nach § 5 Absatz 5.

§ 9 Laufzeit, Verlängerung, Kündigung

(1) Die Mindestlaufzeit beträgt zwölf Monate ab der Freischaltung (§ 2 Absatz 4). Hat der Kunde 14 Tage nach Vertragsschluss noch keine Berechtigten gemeldet, beginnt die Laufzeit mit Ablauf dieser Frist. Der Vertrag verlängert sich automatisch um jeweils weitere zwölf Monate, wenn er nicht gekündigt wird.

(2) Jede Partei kann den Vertrag mit einer Frist von einem Monat zum Ende der Laufzeit kündigen, also zum Ende der Mindestlaufzeit oder eines Verlängerungszeitraums. Die Kündigung bedarf der Textform (§ 1 Absatz 3 Nr. 7), zum Beispiel per Brief oder per E-Mail. Eine Kündigung per E-Mail richtet der Kunde an backoffice@gefim.de. Eine Kündigung, die GEFIM auf anderem Weg in Textform zugeht, ist ebenfalls wirksam.

(3) Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für GEFIM insbesondere vor, wenn der Kunde Zugänge trotz Abmahnung in Textform weitergibt oder teilt oder wenn er mit zwei aufeinanderfolgenden Monatsbeträgen oder einem nicht unerheblichen Teil davon in Verzug ist. Ein wichtiger Grund liegt für den Kunden insbesondere vor, wenn GEFIM die Leistungen nach § 10 Absatz 5 oder 6 wesentlich einschränkt. Für die Form der außerordentlichen Kündigung gilt Absatz 2 Satz 2 bis 4.

(4) Endet der Vertrag vor dem Ende eines Zeitraums, für den der Kunde die Vergütung im Voraus gezahlt hat, erstattet GEFIM den Teil der Vergütung, der auf die Zeit nach dem Vertragsende entfällt. Schadensersatzansprüche bleiben unberührt.

(5) Mit dem Vertragsende enden alle Zugänge. Für die Übermittlung von Teilnahmebescheinigungen, Bearbeitungsstand und Ergebnissen des Maßnahmen-Selbstchecks gilt § 13 Absatz 5, für die Löschung von Daten § 16 Absatz 5. Nicht genutzte Termine nach § 6 verfallen mit dem Vertragsende, soweit § 6 Absatz 5 keine Nachholung vorsieht.

§ 10 Plattform, Verfügbarkeit, Wartung, Änderungen

(1) GEFIM betreibt die Plattform auf der Lernplattform. GEFIM stellt die Plattform mit der im Verkehr erforderlichen Sorgfalt bereit und behebt Störungen, die in ihrem Verantwortungsbereich liegen, in angemessener Frist. Eine bestimmte Verfügbarkeit im Jahresmittel ist nicht vereinbart. Die gesetzlichen Rechte des Kunden bei Mängeln bleiben unberührt, soweit dieser Vertrag nichts anderes bestimmt.

(2) GEFIM oder die Betreiberin der Lernplattform können die Plattform für geplante Wartungsarbeiten bis zu acht Stunden im Kalendermonat einschränken. GEFIM kündigt geplante Wartungen mindestens eine Woche vorher in Textform oder auf der Plattform an. Geplante Wartungen finden außerhalb der Zeit von Montag bis Freitag zwischen 8 und 18 Uhr statt. Notfallwartungen zur Abwehr akuter Sicherheitsrisiken sind auch ohne Ankündigung zulässig. GEFIM informiert den Kunden darüber unverzüglich. Für Notfallwartungen und für Einschränkungen außerhalb des Rahmens nach Satz 1 bis 3 gelten die gesetzlichen Rechte des Kunden bei Mängeln, soweit dieser Vertrag nichts anderes bestimmt.

(3) Nicht in der Verantwortung von GEFIM liegen Störungen der Internetverbindung, der Endgeräte oder der Software des Kunden und der Berechtigten. Dasselbe gilt für Störungen der Plattform und der Leistungen nach § 6 durch höhere Gewalt, etwa Naturereignisse, behördliche Anordnungen oder großflächige Ausfälle von Netzen, die GEFIM nicht zu vertreten hat. Insoweit haftet GEFIM nicht auf Schadensersatz. Das Recht des Kunden zur Minderung bleibt unberührt.

(4) Der Kunde meldet Mängel unverzüglich in Textform mit einer nachvollziehbaren Beschreibung. GEFIM beseitigt Mängel in angemessener Frist. Die verschuldensunabhängige Haftung für Mängel, die bereits bei Vertragsschluss vorhanden sind (§ 536a Absatz 1 erste Alternative BGB), ist ausgeschlossen. Das Recht des Kunden zur Minderung bleibt unberührt.

(5) GEFIM hält die Lerninhalte auf dem Stand der für die Schulung maßgeblichen Rechtslage. GEFIM darf die Lerninhalte und Module anpassen, insbesondere aktualisieren, umbauen, ergänzen, zusammenlegen oder ersetzen, soweit der Gesamtumfang des Kurses im Wesentlichen gleichwertig bleibt und die Kerninhalte nach der Handreichung des BSI (§ 3 Absatz 1) abgedeckt bleiben. Anlass kann insbesondere eine Änderung der Rechtslage, eine neue Vorgabe oder Veröffentlichung des BSI oder eine didaktische Verbesserung sein. Kerninhalte sind die drei Kompetenzbereiche der Handreichung: Risiken erkennen und bewerten, Risikomanagementpraktiken kennen und Auswirkungen beurteilen. Prüfungen, Kontrollen des Lernerfolgs und Wirksamkeitstests gehören auch dann nicht zum Kurs, wenn eine Fassung der Handreichung oder eine andere Vorgabe sie empfiehlt. Eine bestimmte Zahl oder Gliederung der Module und Lerneinheiten ist nicht vereinbart. Wesentliche Änderungen kündigt GEFIM mindestens vier Wochen vorher in Textform an; ist eine Änderung wegen einer Änderung der Rechtslage früher nötig, kündigt GEFIM sie so bald wie möglich an. Sonstige Änderungen teilt GEFIM in Textform oder auf der Plattform mit. Die Leistungen nach § 6 dienen nicht dazu, neue oder geänderte Lerninhalte vorzustellen oder zu erläutern. Bereits ausgestellte Teilnahmebescheinigungen bleiben gültig.

(6) Andere Leistungen als die Lerninhalte darf GEFIM ändern, wenn dafür ein triftiger Grund besteht und die Änderung für den Kunden zumutbar ist. Triftige Gründe sind insbesondere eine Änderung der Rechtslage, Anforderungen der Informationssicherheit, die technische Weiterentwicklung und ein Wechsel der Lernplattform nach Absatz 7. Zumutbar ist eine Änderung insbesondere, wenn die Paketleistungen nach § 5 gleichwertig erhalten bleiben. Schränkt eine Änderung die Leistungen wesentlich ein, kündigt GEFIM sie mindestens sechs Wochen vorher in Textform an. Der Kunde kann den Vertrag dann bis zum Wirksamwerden der Änderung außerordentlich kündigen. § 9 Absatz 4 gilt.

(7) GEFIM darf die Lernplattform oder deren Betreiberin wechseln, wenn die vereinbarten Leistungen gleichwertig erhalten bleiben. GEFIM informiert den Kunden darüber mindestens vier Wochen vorher in Textform. Für den Datenschutz gilt der Vertrag zur Auftragsverarbeitung (Anlage 2).

§ 11 Pflichten des Kunden

(1) Der Kunde sorgt dafür, dass die Berechtigten

1. ihre Zugangsdaten geheim halten und nicht weitergeben;
2. ihren Zugang nur selbst nutzen;
3. die Plattform nur für die eigene Schulung und nur im Rahmen dieser Bedingungen nutzen;
4. keine automatisierten Zugriffe und keine Massenabrufe vornehmen, nicht in die Sicherheit der Plattform eingreifen und keine Inhalte aufzeichnen oder mitschneiden;
5. keine rechtswidrigen Inhalte einstellen.

(2) Der Kunde verpflichtet die Berechtigten auf diese Nutzungsbedingungen und auf die Nutzungsregeln für die Berechtigten (Anlage 3). Er ist dafür verantwortlich, dass die Berechtigten sie einhalten.

(3) Vermutet der Kunde einen Missbrauch von Zugangsdaten, meldet er dies GEFIM unverzüglich. Besteht ein begründeter Verdacht auf Missbrauch, kann GEFIM den betroffenen Zugang vorübergehend sperren. GEFIM informiert den Kunden unverzüglich darüber und hebt die Sperre auf, sobald der Verdacht ausgeräumt ist.

(4) Der Kunde schafft die technischen Voraussetzungen auf seiner Seite. Dazu gehören ein aktueller Browser, eine Internetverbindung und der Empfang von E-Mails der Plattform. Für die Leistungen nach § 6 gehört dazu die Teilnahme über ein gängiges Videokonferenzsystem, das GEFIM benennt. Für die Umsetzungsberatung nach § 6 Absatz 4 stellt der Kunde die Informationen bereit, die für die Beratung erforderlich sind.

§ 12 Nutzungsrechte

(1) GEFIM räumt dem Kunden für die Laufzeit das einfache, nicht übertragbare und nicht unterlizenzierbare Recht ein, die Plattform und die Lerninhalte für die Schulung der Berechtigten zu internen Zwecken zu nutzen. Die Berechtigten dürfen die Lerninhalte über die Plattform abrufen.

(2) Nicht gestattet ist es,

1. Lerninhalte herunterzuladen, soweit die Plattform dies nicht ausdrücklich vorsieht;
2. Lerninhalte aufzuzeichnen, zu vervielfältigen, öffentlich zugänglich zu machen, an Dritte weiterzugeben oder zu bearbeiten;
3. Lerninhalte für Schulungen Dritter zu verwenden;
4. Urheber- und Markenhinweise zu entfernen.

(3) Der Kunde darf die Arbeitsmittel für interne Zwecke seines Unternehmens nutzen, bearbeiten und an seine Verhältnisse anpassen. Er darf sie an Personen weitergeben, die für ihn tätig sind, etwa an Dienstleister, Berater oder Prüfer, soweit dies für deren Tätigkeit erforderlich ist. Die mit den Arbeitsmitteln erstellten eigenen Dokumente darf der Kunde auch nach dem Vertragsende zeitlich unbeschränkt nutzen. Die Arbeitsmittel selbst darf er nicht an Dritte vertreiben.

(4) Teilnahmebescheinigungen darf der Kunde zeitlich unbeschränkt aufbewahren. Er darf sie Behörden, Prüfern, Aufsichtsgremien und anderen Stellen als Nachweis der Teilnahme vorlegen.

(5) Alle übrigen Rechte an der Plattform, den Lerninhalten und den Arbeitsmitteln bleiben bei GEFIM oder deren Lizenzgebern.

Teil 3: Nachweis, Haftung, Datenschutz und Schlussbestimmungen

§ 13 Teilnahmebescheinigung und Dokumentation

(1) In den Paketen Silber und Gold erhält jede berechtigte Person eine Teilnahmebescheinigung, sobald sie alle Lerneinheiten des Kurses bearbeitet hat. Eine Lerneinheit gilt als bearbeitet, wenn die Person sie aufgerufen und auf der Plattform als erledigt markiert hat. Eine Antwort auf Fragen, ein Test oder eine Mindestpunktzahl ist dafür nicht erforderlich. Lerneinheiten, die GEFIM nach § 10 Absatz 5 hinzufügt oder ersetzt, nachdem eine Person mit der Bearbeitung des Kurses begonnen hat, muss diese Person für die Teilnahmebescheinigung nicht bearbeiten. Ob und mit welchem Ergebnis die Person den Wissenstest bearbeitet hat, spielt dafür keine Rolle. Im Paket Bronze und im Testzugang (§ 7 Absatz 3) wird keine Teilnahmebescheinigung ausgestellt.

(2) Den Inhalt der Teilnahmebescheinigung beschreibt die Leistungsbeschreibung (Anlage 1).

(3) Die Teilnahmebescheinigung bestätigt die Teilnahme, also die Bearbeitung der Lerneinheiten. Sie bestätigt keine Kenntnisse oder Fähigkeiten und trägt einen Hinweis darauf. Sie enthält keine Note und keine Bewertung. Sie ist kein Zertifikat und kein Zeugnis.

(4) GEFIM steht in keiner Verbindung zum BSI. Eine Zertifizierung oder Anerkennung von Geschäftsleitungsschulungen durch das BSI ist weder im BSI-Gesetz noch in der Handreichung des BSI vorgesehen.

(5) Auf Anfrage in Textform übermittelt GEFIM dem Kunden bis 30 Tage nach dem Vertragsende die ausgestellten Teilnahmebescheinigungen, eine Übersicht des Bearbeitungsstands je Person und, soweit vorhanden, die Ergebnisse des Maßnahmen-Selbstchecks in einem gängigen Dateiformat. Während der Laufzeit kann der Kunde Teilnahmebescheinigungen jederzeit über die Plattform abrufen.

§ 14 Keine Rechtsberatung, keine Erfolgsgarantie

(1) Die Lerninhalte dienen der Schulung der Berechtigten. Die Arbeitsmittel und die Leistungen nach § 6 dienen der Umsetzung im Unternehmen des Kunden. Keine dieser Leistungen ersetzt eine Rechtsberatung im Einzelfall. GEFIM ist ein Beratungsunternehmen für Informationssicherheit und prüft keine Rechtsfragen des Einzelfalls.

(2) GEFIM schuldet keinen bestimmten Lernerfolg und keinen wirtschaftlichen Erfolg. GEFIM übernimmt keine Gewähr dafür, dass der Kunde oder seine Geschäftsleitung mit der Nutzung der Plattform die Schulungspflicht nach § 38 Absatz 3 BSI-Gesetz oder andere gesetzliche Pflichten erfüllt. GEFIM übernimmt ferner keine Gewähr dafür, dass die Nutzung eine persönliche Haftung der Geschäftsleitung ausschließt. Ob die Dokumentation des Kunden den Anforderungen einer Behörde oder eines Prüfers genügt, hängt unter anderem von der Regelmäßigkeit der Schulung, ihrem Bezug zur eigenen Organisation und der Dokumentation ab. Das beurteilt der Kunde selbst. Den Bezug zur eigenen Organisation stellt er selbst her.

(3) Ob der Kunde zu den Einrichtungen gehört, für die die Pflichten nach § 38 BSI-Gesetz gelten, prüft der Kunde selbst.

(4) Eine Schulung ersetzt keine Sicherheitsmaßnahmen. Die Entscheidung über Maßnahmen und ihre Umsetzung liegen beim Kunden.

(5) Beschreibungen auf der Website und in Werbeunterlagen beschreiben die Leistungen. Sie sind keine Garantien. Eine Garantie übernimmt GEFIM nur, wenn sie in Textform ausdrücklich als Garantie bezeichnet ist.

§ 15 Haftung

(1) GEFIM haftet unbeschränkt

1. bei Vorsatz und grober Fahrlässigkeit,
2. bei arglistigem Verschweigen eines Mangels,
3. bei Verletzung des Lebens, des Körpers oder der Gesundheit,
4. nach dem Produkthaftungsgesetz und
5. im Umfang einer übernommenen Garantie.

(2) Bei einfacher Fahrlässigkeit haftet GEFIM nur, wenn GEFIM eine wesentliche Vertragspflicht verletzt. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den vertragstypischen Schaden begrenzt, der bei Vertragsschluss vorhersehbar war.

(3) Die Haftungsbeschränkungen nach den Absätzen 2, 4 und 5 gelten auch für die persönliche Haftung der Organe, Mitarbeitenden und Erfüllungsgehilfen der GEFIM.

(4) Für den unentgeltlichen Testzugang haftet GEFIM nur in den Fällen des Absatzes 1.

(5) Im Übrigen ist die Haftung der GEFIM ausgeschlossen. Das Recht zur Minderung nach § 10 Absatz 4 Satz 4 bleibt unberührt.

§ 16 Datenschutz, Auftragsverarbeitung, Vertraulichkeit

(1) Soweit GEFIM personenbezogene Daten der Berechtigten im Auftrag des Kunden verarbeitet, gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Anlage 2). In Fragen des Datenschutzes geht er diesen Bedingungen vor. Für die Haftung zwischen den Parteien gilt auch insoweit § 15, soweit Anlage 2 nicht ausdrücklich etwas anderes bestimmt.

(2) GEFIM setzt Unterauftragsverarbeiter ein. Dazu gehört die Betreiberin der Lernplattform mit den von ihr eingesetzten weiteren Unterauftragsverarbeitern; Firma und Sitz nennt Anlage 2. Dabei werden personenbezogene Daten auch in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt, derzeit in die USA. Die Garantien nach Art. 44 ff. DSGVO nennt Anlage 2. Die aktuelle Liste ist Teil der Anlage 2. Über beabsichtigte Änderungen informiert GEFIM den Kunden vorher. Der Kunde kann nach Maßgabe der Anlage 2 Einspruch erheben.

(3) Der Kunde ist dafür verantwortlich, dass die Verarbeitung der Daten der Berechtigten in seinem Verhältnis zu ihnen zulässig ist. Insbesondere informiert er die Berechtigten darüber, dass er ihren Bearbeitungsstand einsehen kann.

(4) Für personenbezogene Daten, die GEFIM als eigene Verantwortliche verarbeitet, gilt die Datenschutzerklärung der GEFIM. Das betrifft insbesondere die Vertragsabwicklung, die Rechnungsstellung und den Testzugang.

(5) Nach Ablauf der Frist nach § 13 Absatz 5 löscht GEFIM die Daten der Berechtigten oder veranlasst ihre Löschung, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Dasselbe gilt für die übrigen Daten, die der Kunde oder die Berechtigten auf der Plattform eingegeben haben, etwa im Maßnahmen-Selbstcheck. Die Einzelheiten regelt Anlage 2, auch zu den Löschfristen der Betreiberin der Lernplattform.

(6) Beide Parteien behandeln vertrauliche Informationen der anderen Partei, die ihnen im Rahmen des Vertrags bekannt werden, vertraulich. Dazu gehören insbesondere Angaben zur Informationssicherheit, zu Schwachstellen, Vorfällen und Maßnahmen des Kunden. Die Parteien nutzen solche Informationen nur für die Durchführung des Vertrags. Die Pflicht gilt während der Laufzeit und drei Jahre darüber hinaus. Sie gilt nicht für Informationen, die öffentlich bekannt sind, die eine Partei ohne Verstoß gegen diese Pflicht erhalten hat oder die sie aufgrund gesetzlicher oder behördlicher Pflichten offenlegen muss.

§ 17 Nennung als Referenz (Firmenname und Logo)

(1) Der Kunde ist damit einverstanden, dass GEFIM seinen Firmennamen und sein Firmenlogo für die Dauer des Vertrags auf der Website nis2-berater.de als Referenz zu Werbezwecken zeigt. Er räumt GEFIM dafür das einfache, unentgeltliche und nicht übertragbare Recht ein, Firmennamen und Logo in der vom Kunden verwendeten Form zu nutzen, soweit er über diese Rechte verfügen kann. Kann er über die Rechte am Logo nicht verfügen, teilt er dies GEFIM mit; GEFIM zeigt das Logo dann nicht. § 16 Absatz 6 steht der Nennung nach diesem Paragrafen nicht entgegen.

(2) Das Angebot weist gesondert auf diese Regelung hin.

(3) Der Kunde kann sein Einverständnis jederzeit ohne Angabe von Gründen in Textform widerrufen, etwa per E-Mail an backoffice@gefim.de. Der Widerruf berührt den übrigen Vertrag nicht. GEFIM entfernt Firmennamen und Logo unverzüglich nach Zugang des Widerrufs. Nach dem Vertragsende entfernt GEFIM sie ebenfalls unverzüglich.

(4) Zitate, Bewertungen und Fallbeschreibungen veröffentlicht GEFIM nur mit einer gesonderten Zustimmung des Kunden in Textform. Dasselbe gilt für eine Nutzung von Firmenname und Logo außerhalb von nis2-berater.de.

§ 18 Änderungen dieser Nutzungsbedingungen

(1) GEFIM kann diese Nutzungsbedingungen mit Wirkung für die Zukunft ändern, soweit die Änderung Abläufe der Vertragsdurchführung, die Nutzungsregeln nach Anlage 3 oder organisatorische Angaben zum Datenschutz betrifft und dafür ein sachlicher Grund besteht. Sachliche Gründe sind eine Änderung der Rechtslage oder der Rechtsprechung und eine Änderung der Lernplattform. Ausgenommen sind die Preise, die §§ 3 bis 6, 8 bis 10, 12 bis 15, 17 und 18, § 16 Absatz 6 sowie § 19 Absatz 1, 2, 4 und 7. Für Preise gilt § 8 Absatz 4, für Änderungen der Lerninhalte und Leistungen § 10 Absatz 5 bis 7.

(2) GEFIM teilt die Änderungen mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mit. Die Mitteilung stellt die bisherige und die neue Fassung gegenüber.

(3) Der Kunde kann den Änderungen innerhalb von vier Wochen nach Zugang der Mitteilung in Textform widersprechen. Widerspricht er nicht, gelten die Änderungen als angenommen. Auf diese Folge weist GEFIM in der Mitteilung ausdrücklich hin.

(4) Widerspricht der Kunde, gilt der Vertrag zu den bisherigen Bedingungen fort. GEFIM kann ihn dann nach § 9 Absatz 2 ordentlich kündigen.

§ 19 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ist der Kunde Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Braunschweig. GEFIM kann den Kunden auch an seinem allgemeinen Gerichtsstand verklagen.

(3) Bei Widersprüchen gelten die Vertragsbestandteile in dieser Reihenfolge:

1. individuelle Vereinbarungen im Angebot und in der Auftragsbestätigung,
2. die Leistungsbeschreibung (Anlage 1),
3. in Fragen des Datenschutzes der Vertrag zur Auftragsverarbeitung (Anlage 2),
4. diese Nutzungsbedingungen,
5. die Nutzungsregeln für die Berechtigten (Anlage 3).

(4) Abweichend von Absatz 3 gelten § 3 Absatz 1 Satz 7 bis 9 und Absatz 2 bis 7, § 4 Absatz 8, § 5 Absatz 3, § 6 Absatz 1 bis 4 und 6, § 7 Absatz 1 bis 4, § 10 Absatz 5, § 13 Absatz 1 und 3 und § 14 Absatz 1 für alle Leistungen, auch wenn Angebot oder Leistungsbeschreibung sie nicht wiederholen. Sie gehen abweichenden Beschreibungen im Angebot, in der Leistungsbeschreibung, auf der Website und in Werbeunterlagen vor. Das gilt nicht, soweit eine Individualabrede ausdrücklich und unter Bezug auf diese Bestimmungen von ihnen abweicht.

(5) Änderungen und Ergänzungen des Vertrags bedürfen der Textform. Zusagen, die über das Angebot und die Leistungsbeschreibung hinausgehen, etwa in einer Live-Demo oder in einem Gespräch, werden nur Vertragsinhalt, wenn GEFIM sie in Textform bestätigt. In der Live-Demo stellt GEFIM die Plattform und die Pakete vor. Fragen zum Verständnis oder zur Anwendung der Lerninhalte beantwortet GEFIM dort nicht. Der Vorrang individueller Vertragsabreden nach § 305b BGB bleibt unberührt.

(6) Der Kunde kann Rechte und Pflichten aus diesem Vertrag nur mit Zustimmung der GEFIM in Textform auf Dritte übertragen. § 354a des Handelsgesetzbuchs bleibt unberührt.

(7) Ist eine Bestimmung dieses Vertrags unwirksam oder wird sie unwirksam, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(8) Anlagen dieses Vertrags sind:

1. Anlage 1: Leistungsbeschreibung der Pakete Bronze, Silber und Gold,
2. Anlage 2: Vertrag zur Auftragsverarbeitung mit der Liste der Unterauftragsverarbeiter,
3. Anlage 3: Nutzungsregeln für die Berechtigten, mit den Nutzungsregeln der Lernplattform.

Anlage 1: Leistungsbeschreibung der Pakete Bronze, Silber und Gold

Anlage 1 zu den Nutzungsbedingungen der GEFIM NIS2-Schulungsplattform · Stand: 07.10.2026 · Preisangaben Stand: 06.10.2026

1. Allgemeines

(1) Diese Leistungsbeschreibung beschreibt die Leistungen der Pakete Bronze, Silber und Gold und den Testzugang zum Stand bei Vertragsschluss (§ 3 Absatz 1 der Nutzungsbedingungen). Welches Paket der Kunde gebucht hat, ergibt sich aus dem Angebot (§ 5 Absatz 1).

(2) Begriffe haben die Bedeutung aus den Nutzungsbedingungen, insbesondere „Kunde“, „Berechtigte“, „Plattform“, „Lernplattform“, „Lerneinheiten“, „Arbeitsmittel“, „Vertragsjahr“, „Textform“ und „Werktage“ (§ 1 Absatz 3) sowie „Teilnehmende“ (§ 6 Absatz 2).

(3) GEFIM darf die Lerninhalte und Module nach § 10 Absatz 5 anpassen. Eine bestimmte Zahl oder Gliederung der Module und Lerneinheiten ist nicht vereinbart. Die Bestimmungen, die § 19 Absatz 4 nennt, gelten für alle Leistungen und gehen dieser Leistungsbeschreibung vor.

2. Leistungen in allen Paketen

2.1 Kurs „NIS2-Schulung für Geschäftsführer“ (§ 3)

(1) Der Kurs ist ein reines Selbstlernangebot. Die Berechtigten bearbeiten ihn im eigenen Tempo, zu selbst gewählten Zeiten und ohne feste Termine. Es gibt keine Prüfung und keine Betreuung beim Lernen.

(2) Der Kurs besteht derzeit aus sechs Modulen:

1. NIS2 kompakt verstehen
2. Verantwortung der Geschäftsleitung
3. Cyberrisiken unternehmerisch bewerten
4. Maßnahmen verstehen und hinterfragen
5. Sicherheitsvorfälle und Meldepflichten
6. Nachweise, Dokumentation und Governance

(3) Jede Lerneinheit liegt als Video mit Präsentation und als Audiofassung vor. Beide Formate stehen in derselben Lerneinheit bereit. Die Audiofassung ist mit einer KI-Stimme vertont.

(4) Die Inhalte orientieren sich an der Handreichung „Schulung für Geschäftsleitungen“ des Bundesamts für Sicherheit in der Informationstechnik (BSI), derzeit Version 1.0 vom 17.04.2026. Die Handreichung ist eine rechtlich unverbindliche Empfehlung. GEFIM steht in keiner Verbindung zum BSI (§ 13 Absatz 4).

(5) Zum Kurs gehört ein freiwilliger Wissenstest zur Selbstkontrolle. Die Plattform wertet ihn automatisch aus. Die Erläuterungen zu den Antworten sind vorformuliert und für alle Berechtigten gleich. Die Ergebnisse sieht nur die jeweilige Person. Es gibt keine Bestehensgrenze und keine Note. Der Wissenstest ist keine Voraussetzung für weitere Lerneinheiten oder für die Teilnahmebescheinigung (§ 3 Absatz 4).

(6) Der Kunde kann über eine Verwaltungsfunktion der Plattform einsehen, welche Lerneinheiten jede berechtigte Person bearbeitet hat (Bearbeitungsstand; auf der Website „Lernfortschritt je Person“). Ergebnisse des Wissenstests gehören nicht dazu. Steht die Verwaltungsfunktion nicht zur Verfügung, übermittelt GEFIM auf Anfrage einen Export (§ 3 Absatz 5).

(7) Die Plattform wird über das Internet mit einem aktuellen Browser genutzt, auf Desktop, Tablet und Smartphone. Die Anmeldung erfolgt derzeit unter https://gefim.learningsuite.io. Die technischen Voraussetzungen auf Seiten des Kunden regelt § 11 Absatz 4.

2.2 Unternehmenslizenz (§ 4)

(1) Jedes Paket umfasst eine Unternehmenslizenz. Der Preis gilt je Unternehmen (Gesellschaft), das Vertragspartner ist.

(2) Einen Zugang erhalten:

1. alle Mitglieder der Geschäftsleitung (Geschäftsführer und Vorstände), unabhängig von ihrer Zahl;
2. bis zu drei weitere Personen, die für den Kunden tätig sind, etwa Informationssicherheitsbeauftragte, IT-Leitung oder Prokura.

(3) Neue Mitglieder der Geschäftsleitung erhalten während der Laufzeit ohne Aufpreis einen Zugang.

(4) Zugänge sind personengebunden und nicht übertragbar. Geteilte Zugänge und Sammelzugänge gibt es nicht. Den Austausch weiterer Personen regelt § 4 Absatz 5.

(5) Für verbundene Unternehmen und für mehr als drei weitere Personen erstellt GEFIM auf Anfrage ein gesondertes Angebot.

(6) GEFIM schaltet die Zugänge in der Regel innerhalb von höchstens drei Werktagen frei, nachdem die Auftragsbestätigung und die E-Mail-Adressen aller Berechtigten eingegangen sind (§ 2 Absatz 4).

2.3 Support zu Zugang und Technik (§ 3 Absatz 6)

(1) Der Support umfasst Fragen zu Zugang und Anmeldung, zur technischen Nutzung der Plattform, zur Einrichtung und Änderung von Zugängen, zur Teilnahmebescheinigung und zur Rechnung.

(2) Kontaktwege:

1. E-Mail (alle Pakete): info@gefim.de
2. Telefon (Silber und Gold): +49 531 18054080

(3) GEFIM kann für den Support andere Kontaktwege in Textform mitteilen. Sie gelten ab Zugang der Mitteilung.

(4) Bestimmte Reaktionszeiten gelten nur, wenn das Angebot sie nennt.

(5) GEFIM beantwortet keine Fragen zu den Lerninhalten, weder im Support noch auf einem anderen Weg (§ 3 Absatz 3).

3. Paket Bronze

(1) Leistungen:

1. der Kurs nach Ziffer 2.1,
2. die Unternehmenslizenz nach Ziffer 2.2,
3. Support zu Zugang und Technik per E-Mail nach Ziffer 2.3.

(2) Nicht enthalten sind: Teilnahmebescheinigung, Vorlagen und andere Arbeitsmittel, Umsetzungs-Workshop und Umsetzungsberatung.

4. Paket Silber

(1) Leistungen: alle Leistungen des Pakets Bronze und zusätzlich

1. eine Teilnahmebescheinigung je berechtigter Person (Ziffer 7, § 13),
2. die Arbeitsmittel:
   • Vorlage für den Geschäftsleitungsbeschluss,
   • Fragenkatalog für IT, ISB und Dienstleister,
   • Roadmap-Vorlage für die nächsten Schritte,
3. den Umsetzungs-Workshop mit zwei Terminen je Vertragsjahr (Ziffer 6.1),
4. Support zu Zugang und Technik per E-Mail und Telefon nach Ziffer 2.3.

(2) GEFIM stellt die Arbeitsmittel auf der Plattform bereit. Sie sind Arbeitshilfen für das Unternehmen des Kunden und nicht Teil des Kurses. Unterlagen, die der Kunde damit erstellt, prüft, korrigiert und bewertet GEFIM nicht. Der Fragenkatalog enthält Fragen, die der Kunde an seine IT, seine Informationssicherheitsbeauftragten und seine Dienstleister richten kann; er begründet kein Fragerecht gegenüber GEFIM (§ 5 Absatz 3). Die Nutzungsrechte regelt § 12 Absatz 3.

5. Paket Gold

(1) Leistungen: alle Leistungen des Pakets Silber und zusätzlich

1. das Umsetzungs-Toolkit:
   • Maßnahmen-Selbstcheck mit Auswertung; die Plattform wertet die Angaben des Kunden zum Stand der Maßnahmen in seinem Unternehmen automatisch aus und prüft nicht die Kenntnisse einzelner Personen (§ 5 Absatz 3),
   • Vorlagen für Informationssicherheitsleitlinie, Meldeplan und Managementbericht,
   • Anforderungskatalog für Dienstleister,
   • jährliches Update bei Rechtsänderungen: GEFIM überarbeitet das Umsetzungs-Toolkit einmal im Kalenderjahr und berücksichtigt dabei Änderungen der maßgeblichen Rechtslage (§ 5 Absatz 4),
2. den Umsetzungs-Workshop mit vier statt zwei Terminen je Vertragsjahr (Ziffer 6.1),
3. die Umsetzungsberatung mit zwei Terminen von je 60 Minuten je Vertragsjahr, online (Ziffer 6.2).

(2) Für das Umsetzungs-Toolkit gilt Ziffer 4 Absatz 2 entsprechend.

6. Umsetzungs-Workshop und Umsetzungsberatung (Silber und Gold, § 6)

6.1 Umsetzungs-Workshop

(1) Format: online als Gruppentermin, gemeinsam mit Teilnehmenden anderer Kunden. Silber: zwei Termine je Vertragsjahr. Gold: vier Termine je Vertragsjahr.

(2) Gegenstand: konkrete Vorhaben zur Umsetzung in den Unternehmen der teilnehmenden Kunden, etwa die Reihenfolge bestimmter Maßnahmen (Priorisierung), die Verteilung von Aufgaben auf bestimmte Stellen (Organisation der Informationssicherheit) oder die Vereinbarungen mit einem bestimmten Dienstleister (Steuerung von Dienstleistern). Der Lernstoff des Kurses ist nicht Gegenstand. Der Workshop setzt nicht voraus, dass die Teilnehmenden Lerneinheiten bearbeitet haben.

(3) Ablauf:

1. GEFIM legt die Termine und Schwerpunkte fest und kündigt sie mindestens vier Wochen vorher in Textform an.
2. Im Workshop stellt GEFIM Umsetzungsthemen aus ihrer Beratungspraxis vor und bespricht ausgewählte Vorhaben der teilnehmenden Kunden.
3. Die Teilnehmenden können eigene Vorhaben bis spätestens fünf Werktage vor dem Termin in Textform einreichen, an die Adresse, die GEFIM in der Ankündigung nennt. Eine Einreichung beschreibt ein Vorhaben im Unternehmen des Kunden. Einreichungen zu Lerninhalten des Kurses nimmt GEFIM nicht auf.
4. GEFIM wählt aus, welche eingereichten Vorhaben behandelt werden, und bestimmt die Reihenfolge. Ein Anspruch auf Behandlung eines bestimmten Vorhabens besteht nicht.
5. Es gibt keine offene Fragerunde.

(4) Teilnehmende: je Termin bis zu drei vom Kunden benannte Personen, auch ohne eigenen Zugang zum Kurs.

6.2 Umsetzungsberatung (nur Gold)

(1) Format: zwei Termine von je 60 Minuten je Vertragsjahr, online per Videokonferenz, nur mit Teilnehmenden des Kunden. Die Termine vereinbaren die Parteien in Textform. Der Kunde kann einen vereinbarten Termin bis zwei Werktage vorher verschieben.

(2) Gegenstand: konkrete Vorhaben im Unternehmen des Kunden, etwa die Reihenfolge bestimmter Maßnahmen, die Verteilung von Aufgaben auf bestimmte Stellen des Kunden oder die Auswahl eines bestimmten Dienstleisters. Eine rechtliche Prüfung des Einzelfalls gehört nicht dazu, etwa zur Frage, ob der Kunde nach § 28 BSI-Gesetz betroffen ist, oder zu Haftungsfragen.

(3) Teilnehmende: je Termin bis zu drei vom Kunden benannte Personen, auch ohne eigenen Zugang zum Kurs.

6.3 Gemeinsame Regeln

(1) Beide Leistungen sind Beratung zur Umsetzung im Unternehmen und keine Termine für Fragen zum Kurs. Sie dienen nicht der Vermittlung, Wiederholung, Vertiefung, Erläuterung oder Überprüfung der Lerninhalte (§ 6 Absatz 1 und 2).

(2) Die Termine leiten Beraterinnen und Berater der GEFIM. Wer einen Termin leitet, bestimmt GEFIM nach dem Thema.

(3) Die Teilnahme erfolgt über ein gängiges Videokonferenzsystem, das GEFIM benennt (§ 11 Absatz 4). Die Termine werden nicht aufgezeichnet; auch der Kunde und die Teilnehmenden zeichnen nicht auf (§ 6 Absatz 6).

(4) Nicht genutzte Termine verfallen mit Ablauf des Vertragsjahres. Absage, Nachholung und Hinweis auf offene Termine regelt § 6 Absatz 5.

7. Teilnahmebescheinigung (Silber und Gold, § 13)

(1) Jede berechtigte Person erhält eine Teilnahmebescheinigung, sobald sie alle Lerneinheiten des Kurses bearbeitet hat. Eine Lerneinheit gilt als bearbeitet, wenn die Person sie aufgerufen und auf der Plattform als erledigt markiert hat. Ein Test oder eine Mindestpunktzahl ist nicht erforderlich. Das Ergebnis des Wissenstests spielt keine Rolle (§ 13 Absatz 1).

(2) Die Teilnahmebescheinigung enthält:

1. die GEFIM UG (haftungsbeschränkt) als Anbieterin der Schulungsplattform,
2. den Namen der Person,
3. die Bezeichnung des Kurses und seine Module,
4. das Datum der Ausstellung,
5. den Hinweis, dass sie die Teilnahme bestätigt, also die Bearbeitung der Lerneinheiten, und keine Kenntnisse oder Fähigkeiten.

(3) Sie enthält keine Note und keine Bewertung. Sie ist kein Zertifikat und kein Zeugnis (§ 13 Absatz 3).

(4) Während der Laufzeit kann der Kunde die Teilnahmebescheinigungen jederzeit über die Plattform abrufen. Nach dem Vertragsende gilt § 13 Absatz 5.

8. Testzugang (§ 7)

(1) Im Anschluss an eine Live-Demo kann GEFIM dem Kunden auf Wunsch einen kostenlosen Testzugang einrichten. Ein Anspruch darauf besteht nicht.

(2) Der Testzugang endet automatisch 14 Tage nach seiner Einrichtung. Er wandelt sich nicht in einen kostenpflichtigen Vertrag um. Zahlungsdaten werden nicht abgefragt.

(3) Den Umfang bestimmt GEFIM und teilt ihn bei der Einrichtung mit; er kann auf ausgewählte Lerneinheiten beschränkt sein. Arbeitsmittel, Umsetzungs-Workshop und Umsetzungsberatung sind nicht enthalten. Im Testzugang wird keine Teilnahmebescheinigung ausgestellt.

(4) Support gibt es nur zu Zugang und Technik per E-Mail.

9. Abgrenzung

Die Pakete und der Testzugang enthalten

1. keine Prüfungen, keine Kontrollen des Lernerfolgs und keine Wirksamkeitstests (§ 10 Absatz 5);
2. keine Korrektur oder Bewertung von Aufgaben, Arbeitsergebnissen oder Unterlagen und keine individuelle Anleitung oder Betreuung beim Lernen (§ 3 Absatz 3, § 5 Absatz 3);
3. keine Antworten auf Fragen zu den Lerninhalten (§ 3 Absatz 3);
4. keine Kommentar- und Chatfunktionen, keinen Bereich für den Austausch der Nutzer untereinander, keine KI-Assistenzfunktionen, keine Funktion zum Einreichen von Aufgaben und keine Kontaktfunktion zu Trainern oder Coaches (§ 3 Absatz 7);
5. keine Rechtsberatung im Einzelfall (§ 14 Absatz 1);
6. keine Zertifizierung oder Anerkennung durch das BSI oder andere Stellen (§ 13 Absatz 4);
7. keine Aufzeichnungen der Termine nach Ziffer 6 (§ 6 Absatz 6);
8. keine Leistungen aus anderen Verträgen zwischen GEFIM und dem Kunden (§ 4 Absatz 8).

10. Preise

(1) Maßgeblich sind die Preise des Angebots (§ 8 Absatz 1). Nach den Preisangaben auf nis2-berater.de (Stand 06.10.2026) gelten folgende Monatspreise je Unternehmen:

(2) Alle Preise verstehen sich in Euro netto zuzüglich der gesetzlichen Umsatzsteuer. GEFIM stellt die Vergütung monatlich im Voraus in Rechnung (§ 8 Absatz 2). Die Mindestlaufzeit beträgt zwölf Monate; der Vertrag verlängert sich automatisch um jeweils zwölf Monate, wenn er nicht mit einer Frist von einem Monat zum Ende der Laufzeit gekündigt wird (§ 9).

Anlage 2: Vertrag zur Auftragsverarbeitung (AVV) mit Liste der Unterauftragsverarbeiter

Anlage 2 zu den Nutzungsbedingungen der GEFIM NIS2-Schulungsplattform · Vertrag nach Art. 28 Abs. 3 DSGVO · Stand: 07.10.2026

zwischen dem Kunden als Verantwortlichem (Art. 4 Nr. 7 DSGVO)

und der GEFIM UG (haftungsbeschränkt), Neckarstraße 7, 38120 Braunschweig, als Auftragsverarbeiterin (Art. 4 Nr. 8 DSGVO), im Folgenden „GEFIM“.

Begriffe haben die Bedeutung aus den Nutzungsbedingungen (§ 1 Absatz 3) und aus Art. 4 DSGVO. „Hauptvertrag“ ist der Vertrag über die Nutzung der Plattform nach den Nutzungsbedingungen. Paragrafen (§) verweisen auf die Nutzungsbedingungen, Ziffern auf diesen Vertrag.

Ziffer 1 Gegenstand, Anwendungsbereich, Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die GEFIM im Auftrag des Kunden vornimmt, wenn sie die Plattform nach dem Hauptvertrag bereitstellt (§ 16 Absatz 1 der Nutzungsbedingungen). Art und Zweck, Art der Daten und Kategorien betroffener Personen regelt Ziffer 2.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die GEFIM selbst Verantwortliche ist (§ 16 Absatz 4 der Nutzungsbedingungen). Dazu gehören insbesondere:

1. die Vertragsabwicklung, also Angebot, Vertragsschluss und die Kommunikation mit dem Kunden und seiner Ansprechperson über den Vertrag;
2. die Rechnungsstellung und die Buchhaltung;
3. der Testzugang (§ 7 der Nutzungsbedingungen);
4. die Durchführung des Umsetzungs-Workshops und der Umsetzungsberatung (§ 6 der Nutzungsbedingungen), einschließlich der Namen und Kontaktdaten der Teilnehmenden, der Videokonferenz und der Einreichungen.

Für diese Verarbeitungen gilt die Datenschutzerklärung der GEFIM.

(3) Übernimmt GEFIM nach § 7 Absatz 5 der Nutzungsbedingungen den Bearbeitungsstand aus einem Testzugang, gilt dieser Vertrag für diese Daten ab dem Abschluss des Hauptvertrags.

(4) Dieser Vertrag beginnt mit dem Abschluss des Hauptvertrags und endet mit ihm. Die Pflichten nach Ziffer 10 und die Pflichten zur Vertraulichkeit bestehen fort, bis GEFIM die Daten gelöscht oder zurückgegeben hat. Eine ordentliche Kündigung dieses Vertrags allein ist ausgeschlossen.

(5) Dieser Vertrag wird zusammen mit dem Hauptvertrag geschlossen. Das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). In Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor (§ 16 Absatz 1, § 19 Absatz 3 der Nutzungsbedingungen).

Ziffer 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Abfragen, Verwenden, Übermitteln an den Kunden, Einschränken und Löschen personenbezogener Daten.

(2) Zwecke der Verarbeitung:

1. Einrichtung, Änderung, Deaktivierung und Löschung der Zugänge der Berechtigten (§ 2 Absatz 4, § 4 der Nutzungsbedingungen);
2. Bereitstellung des Kurses und der Arbeitsmittel auf der Plattform;
3. automatische Auswertung des Wissenstests zur Selbstkontrolle, deren Ergebnis nur die jeweilige Person sieht (§ 3 Absatz 4);
4. Anzeige des Bearbeitungsstands an den Kunden und Export des Bearbeitungsstands auf Anfrage (§ 3 Absatz 5);
5. Ausstellung und Bereitstellung der Teilnahmebescheinigungen in den Paketen Silber und Gold (§ 13);
6. Bereitstellung und automatische Auswertung des Maßnahmen-Selbstchecks im Paket Gold (§ 5 Absatz 3);
7. Support zu Zugang und Technik (§ 3 Absatz 6);
8. Übermittlung von Teilnahmebescheinigungen, Bearbeitungsstand und Ergebnissen des Maßnahmen-Selbstchecks nach dem Vertragsende (§ 13 Absatz 5);
9. Betrieb, Sicherheit und Störungsbeseitigung der Plattform.

GEFIM verwendet die Angaben zum Bearbeitungsstand nur für den Betrieb der Plattform, für die Anzeige an den Kunden und für die Ausstellung der Teilnahmebescheinigung (§ 3 Absatz 5). GEFIM sieht die Ergebnisse des Wissenstests nicht ein und wertet sie nicht aus (§ 3 Absatz 4).

(3) Art der Daten:

1. Stammdaten der Berechtigten: Name, E-Mail-Adresse (in der Regel dienstlich), Rolle im Unternehmen (§ 4 Absatz 7);
2. Zugangsdaten zur Lernplattform;
3. Bearbeitungsdaten: aufgerufene und als erledigt markierte Lerneinheiten, Bearbeitungsstand und, soweit die Lernplattform sie erfasst, Zeitpunkte der Bearbeitung;
4. Ergebnisse des Wissenstests;
5. Teilnahmebescheinigungen (Paket Silber und Gold);
6. Angaben im Maßnahmen-Selbstcheck (Paket Gold), soweit sie sich auf Personen beziehen lassen;
7. Angaben, die Berechtigte in ihrem Profil auf der Lernplattform hinterlegen, soweit die Lernplattform das vorsieht;
8. Inhalte von Supportanfragen zu Zugang und Technik;
9. technische Verbindungsdaten, die beim Aufruf der Lernplattform anfallen, etwa IP-Adresse, Zeitpunkt des Zugriffs und Browserangaben.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde und die Berechtigten geben sie nicht ein (Anlage 3).

(4) Kategorien betroffener Personen:

1. Berechtigte nach § 4 Absatz 2 der Nutzungsbedingungen (Mitglieder der Geschäftsleitung und weitere Personen);
2. Personen, denen der Kunde die Verwaltungsfunktion der Plattform einräumt (§ 3 Absatz 5).

(5) GEFIM verarbeitet die Daten in der Europäischen Union oder im Europäischen Wirtschaftsraum. Übermittlungen in andere Länder finden nur nach Ziffer 7 statt.

Ziffer 3 Weisungen

(1) GEFIM verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Das gilt nicht, wenn GEFIM nach dem Recht der Union oder eines Mitgliedstaats, dem GEFIM unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt GEFIM dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Buchst. a DSGVO).

(2) Die Weisungen des Kunden ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Liste der Unterauftragsverarbeiter (Anhang 2), einschließlich der dort genannten Übermittlungen. Der Kunde kann einzelne Weisungen in Textform erteilen. Mündliche Weisungen in dringenden Fällen bestätigt der Kunde unverzüglich in Textform. GEFIM dokumentiert die Weisungen.

(3) Weisungsberechtigt sind beim Kunden die Mitglieder der Geschäftsleitung und die Ansprechperson nach § 4 Absatz 7 der Nutzungsbedingungen. Weisungen richtet der Kunde in Textform an GEFIM, per E-Mail an info@gefim.de.

(4) Ist GEFIM der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert GEFIM den Kunden unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). GEFIM kann die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(5) Weisungen, die über die vereinbarten Leistungen hinausgehen, etwa Funktionen, die die Lernplattform nicht bietet, behandeln die Parteien als Wunsch nach einer Leistungsänderung. GEFIM teilt dem Kunden mit, ob und zu welchen Bedingungen sie umsetzbar ist.

Ziffer 4 Pflichten der GEFIM und Vertraulichkeit

(1) GEFIM verarbeitet die Daten nur für die Zwecke nach Ziffer 2 Absatz 2 und nicht für eigene Zwecke. Kopien erstellt GEFIM nur, soweit sie für die Leistungen, für Datensicherungen oder zur Erfüllung gesetzlicher Aufbewahrungspflichten nötig sind.

(2) Daten des Kunden macht GEFIM anderen Kunden nicht zugänglich. GEFIM richtet die Plattform so ein, dass der Kunde nur Daten seiner eigenen Berechtigten sieht.

(3) GEFIM gewährleistet, dass sich die Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Buchst. b DSGVO). Die Mitarbeitenden der GEFIM sind in ihren Arbeitsverträgen zur Vertraulichkeit verpflichtet. Andere Personen, etwa fachkundige Dritte nach § 6 Absatz 1 der Nutzungsbedingungen, erhalten Zugang zu den Daten nur, wenn sie zur Vertraulichkeit verpflichtet sind.

(4) Personen, die GEFIM unterstellt sind und Zugang zu den Daten haben, verarbeiten sie nur auf Weisung des Kunden, es sei denn, sie sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 29, Art. 32 Abs. 4 DSGVO).

(5) GEFIM hat keinen Datenschutzbeauftragten benannt. Ansprechpartnerin für den Datenschutz ist die Geschäftsführung der GEFIM, erreichbar unter info@gefim.de.

(6) Werden die Daten bei GEFIM durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Maßnahmen Dritter gefährdet, informiert GEFIM den Kunden unverzüglich. GEFIM weist die Dritten darauf hin, dass die Daten dem Kunden als Verantwortlichem zustehen.

Ziffer 5 Sicherheit der Verarbeitung

(1) GEFIM trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 Buchst. c DSGVO). Die Maßnahmen der GEFIM beschreibt Anhang 1.

(2) Die Unterauftragsverarbeiter treffen eigene Maßnahmen nach ihren Verträgen zur Auftragsverarbeitung. Für die Lernplattform beschreibt sie der Vertrag zur Auftragsverarbeitung der Betreiberin der Lernplattform (Anhang 1 Nr. 6).

(3) GEFIM darf die Maßnahmen an den technischen Fortschritt anpassen, wenn das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt GEFIM dem Kunden in Textform mit.

Ziffer 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt GEFIM die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die Unterauftragsverarbeiter in Anhang 2 gelten mit Abschluss dieses Vertrags als genehmigt. Das gilt auch für die weiteren Unterauftragsverarbeiter, die die Betreiberin der Lernplattform einsetzt (§ 16 Absatz 2 der Nutzungsbedingungen).

(2) GEFIM setzt Unterauftragsverarbeiter nur auf Grundlage eines Vertrags nach Art. 28 Abs. 4 DSGVO ein, der ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet GEFIM gegenüber dem Kunden für die Einhaltung seiner Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO); Ziffer 13 gilt.

(3) GEFIM informiert den Kunden in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, bevor sie wirksam wird:

1. bei Änderungen, die GEFIM selbst vornimmt, mindestens vier Wochen vorher; das gilt auch für einen Wechsel der Lernplattform oder ihrer Betreiberin (§ 10 Absatz 7 der Nutzungsbedingungen);
2. bei Änderungen, die die Betreiberin der Lernplattform ankündigt, unverzüglich, spätestens drei Werktage, nachdem GEFIM die Ankündigung erhalten hat. Die Betreiberin der Lernplattform kündigt solche Änderungen nach ihrem Vertrag zur Auftragsverarbeitung mindestens zwei Wochen vorher an.

(4) Der Kunde kann gegen eine Änderung innerhalb von sieben Tagen nach Zugang der Information in Textform Einspruch erheben, wenn er dafür einen sachlichen datenschutzrechtlichen Grund hat. Er nennt den Grund. Erhebt der Kunde innerhalb der Frist keinen Einspruch, gilt die Änderung als genehmigt.

(5) Erhebt der Kunde Einspruch, prüft GEFIM, ob sie die Daten des Kunden ohne den betroffenen Unterauftragsverarbeiter verarbeiten kann, und teilt dem Kunden das Ergebnis mit. Ist das nicht möglich, insbesondere weil die Betreiberin der Lernplattform die Änderung für alle ihre Kunden vornimmt, kann der Kunde den Hauptvertrag und diesen Vertrag außerordentlich kündigen, frühestens auf den Zeitpunkt der Änderung. Für die Form gilt § 9 Absatz 2 Satz 2 bis 4, für die Erstattung im Voraus gezahlter Vergütung § 9 Absatz 4 der Nutzungsbedingungen.

(6) Keine Unterauftragsverarbeitung sind Leistungen Dritter, die GEFIM als reine Nebenleistung in Anspruch nimmt und bei denen der Dritte nicht auf die Daten des Kunden zugreift, etwa Telekommunikations-, Post- und Transportdienste.

Ziffer 7 Übermittlung in Drittländer

(1) Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums oder an eine internationale Organisation findet nur statt, wenn der Kunde sie angewiesen hat und die Voraussetzungen von Kapitel V der DSGVO (Art. 44 ff. DSGVO) erfüllt sind. Die in Anhang 2 genannten Übermittlungen weist der Kunde mit diesem Vertrag an.

(2) Derzeit werden Daten in die USA übermittelt, und zwar durch die Functional Software, Inc. (San Francisco), die die Betreiberin der Lernplattform als Unterauftragsverarbeiterin einsetzt. Garantien:

1. Die Betreiberin der Lernplattform ist nach ihrem Vertrag zur Auftragsverarbeitung verpflichtet, Übermittlungen in ein Drittland nur im Einklang mit Kapitel V der DSGVO vorzunehmen.
2. Die Functional Software, Inc. gibt an, die Anforderungen des EU-U.S. Data Privacy Framework einzuhalten. Für Unternehmen, die danach zertifiziert sind, gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10.07.2023 (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO).
3. Soweit das Data Privacy Framework nicht gilt oder unwirksam wird, gelten nach dem Auftragsverarbeitungsvertrag der Functional Software, Inc. die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO).

(3) Microsoft verarbeitet die Daten aus dem Postfach und der Ablage der GEFIM in Microsoft 365 im Rahmen der EU-Datengrenze (EU Data Boundary) innerhalb der Europäischen Union; der Mandant der GEFIM liegt in Europa. Für die vom Anbieter dokumentierten Ausnahmen, insbesondere den technischen Support von außerhalb der Europäischen Union, stützt sich Microsoft auf die Standardvertragsklauseln nach Art. 46 Abs. 2 Buchst. c DSGVO.

(4) Eine Kopie der Garantien stellt GEFIM dem Kunden auf Anfrage zur Verfügung.

Ziffer 8 Unterstützung des Kunden

(1) GEFIM unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 22 DSGVO) zu beantworten (Art. 28 Abs. 3 Buchst. e DSGVO). Auf Weisung des Kunden berichtigt, löscht, exportiert oder sperrt GEFIM Daten in der Plattform. Ergebnisse des Wissenstests sehen die Berechtigten selbst auf der Plattform.

(2) Wendet sich eine betroffene Person mit einem solchen Antrag an GEFIM, leitet GEFIM ihn unverzüglich an den Kunden weiter. GEFIM beantwortet den Antrag nicht selbst, es sei denn, der Kunde weist dies an.

(3) GEFIM unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Buchst. f DSGVO): Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

(4) GEFIM stellt dem Kunden die Angaben zur Plattform zur Verfügung, die er benötigt, um die Berechtigten nach Art. 13 DSGVO zu informieren.

Ziffer 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) GEFIM meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten aus diesem Vertrag betrifft, unverzüglich, nachdem sie GEFIM bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Das gilt auch für Verletzungen bei Unterauftragsverarbeitern. Die Meldung geht in Textform an die Ansprechperson nach § 4 Absatz 7 der Nutzungsbedingungen und an die Geschäftsleitung des Kunden.

(2) Die Meldung enthält, soweit GEFIM bekannt:

1. eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
2. Name und Kontaktdaten einer Ansprechperson bei GEFIM;
3. eine Beschreibung der wahrscheinlichen Folgen;
4. eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Folgen.

Was noch nicht bekannt ist, meldet GEFIM unverzüglich nach, sobald es vorliegt.

(3) GEFIM ergreift unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Abmilderung möglicher nachteiliger Folgen nötig sind, und stimmt sich dazu mit dem Kunden ab.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen nimmt der Kunde vor. GEFIM übernimmt sie nur auf Weisung des Kunden.

Ziffer 10 Löschung und Rückgabe nach Vertragsende

(1) Rückgabe: Auf Anfrage in Textform übermittelt GEFIM dem Kunden bis 30 Tage nach dem Vertragsende die ausgestellten Teilnahmebescheinigungen, eine Übersicht des Bearbeitungsstands je Person und, soweit vorhanden, die Ergebnisse des Maßnahmen-Selbstchecks in einem gängigen Dateiformat (§ 13 Absatz 5 der Nutzungsbedingungen).

(2) Löschung: Nach Ablauf dieser Frist löscht GEFIM unverzüglich die Daten der Berechtigten und die übrigen Daten, die der Kunde oder die Berechtigten auf der Plattform eingegeben haben, oder veranlasst ihre Löschung (§ 16 Absatz 5 der Nutzungsbedingungen). Das betrifft die Zugänge und Daten in der Lernplattform und die Kopien in Microsoft 365 und auf den Endgeräten der GEFIM. Das gilt nicht, soweit eine gesetzliche Pflicht zur Aufbewahrung besteht; diese Daten verarbeitet GEFIM nur noch zur Aufbewahrung und löscht sie nach Ablauf der Frist. Auf Anfrage bestätigt GEFIM dem Kunden die Löschung in Textform.

(3) Löschfristen der Betreiberin der Lernplattform:

1. Gelöschte Inhalte liegen nach Angaben der Betreiberin noch 60 Tage in einem Papierkorb der Lernplattform, bevor sie endgültig gelöscht werden.
2. Datensicherungen löscht die Betreiberin nach ihrem Vertrag zur Auftragsverarbeitung durch regelmäßiges Überschreiben innerhalb angemessener Frist.
3. Endet der Vertrag zwischen GEFIM und der Betreiberin der Lernplattform, speichert die Betreiberin die Daten nach ihren Allgemeinen Geschäftsbedingungen (Ziffer 9.5, Stand Juni 2026) noch sechs Monate und löscht sie dann unwiderruflich, es sei denn, GEFIM verlangt die sofortige Löschung.

GEFIM stellt Daten aus Papierkorb oder Datensicherungen nach der Löschung nicht wieder her und verwendet sie nicht, es sei denn, der Kunde weist dies an.

(4) Während der Laufzeit löscht GEFIM die Daten einzelner Berechtigter auf Weisung des Kunden. Zugänge, die GEFIM nach § 4 Absatz 5 oder 6 der Nutzungsbedingungen deaktiviert, bleiben mit Bearbeitungsstand und Teilnahmebescheinigung bis zum Vertragsende gespeichert, damit der Kunde die Teilnahme nachweisen kann, es sei denn, der Kunde weist eine frühere Löschung an.

Ziffer 11 Nachweise und Kontrollen

(1) GEFIM stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere die Beschreibung der Maßnahmen nach Anhang 1 und die Verträge zur Auftragsverarbeitung mit den Unterauftragsverarbeitern (Art. 28 Abs. 3 Buchst. h DSGVO).

(2) GEFIM ermöglicht Überprüfungen, einschließlich Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer durchführt, und trägt dazu bei. Für Kontrollen vor Ort gilt:

1. Der Kunde kündigt sie mindestens zwei Wochen vorher in Textform an, außer bei einem konkreten Anlass, etwa einer Verletzung nach Ziffer 9.
2. Sie finden während der üblichen Geschäftszeiten statt und stören den Betrieb nicht mehr als nötig.
3. Ohne konkreten Anlass finden sie höchstens einmal im Kalenderjahr statt.
4. Ein beauftragter Prüfer ist zur Vertraulichkeit verpflichtet und steht nicht im Wettbewerb mit GEFIM.
5. Jede Partei trägt ihre eigenen Kosten.

(3) Kontrollen bei der Betreiberin der Lernplattform richten sich nach deren Vertrag zur Auftragsverarbeitung (Prüfung einmal jährlich oder bei Anzeichen für eine Nichteinhaltung). Auf Verlangen des Kunden nimmt GEFIM diese Rechte wahr und teilt ihm das Ergebnis mit.

(4) GEFIM informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde und über Anfragen von Behörden, soweit sie Daten aus diesem Vertrag betreffen und GEFIM die Information erlaubt ist.

Ziffer 12 Rechte und Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung im Verhältnis zu den Berechtigten verantwortlich. Insbesondere informiert er sie darüber, dass er ihren Bearbeitungsstand einsehen kann (§ 16 Absatz 3 der Nutzungsbedingungen).

(2) Der Kunde übermittelt GEFIM nur die Daten, die für die Leistungen nötig sind, also für jede berechtigte Person Name, E-Mail-Adresse und Rolle. Die E-Mail-Adresse soll eine dienstliche Adresse sein (§ 4 Absatz 7 der Nutzungsbedingungen).

(3) Der Kunde hat die Rechte nach diesem Vertrag, insbesondere das Weisungsrecht (Ziffer 3), das Recht auf Information über Änderungen der Unterauftragsverarbeiter mit Einspruchsrecht (Ziffer 6) und das Kontrollrecht (Ziffer 11).

(4) Stellt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er GEFIM unverzüglich.

Ziffer 13 Haftung

Für die Haftung zwischen den Parteien gilt § 15 der Nutzungsbedingungen (§ 16 Absatz 1 der Nutzungsbedingungen). Dieser Vertrag bestimmt nichts anderes. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

Ziffer 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen der Unterauftragsverarbeiter gilt Ziffer 6, für Änderungen der Maßnahmen Ziffer 5 Absatz 3.

(2) Im Übrigen gelten die Schlussbestimmungen der Nutzungsbedingungen (§ 19).

(3) Anhänge dieses Vertrags sind:

1. Anhang 1: Technische und organisatorische Maßnahmen der GEFIM,
2. Anhang 2: Liste der Unterauftragsverarbeiter.

Anhang 1 zu Anlage 2: Technische und organisatorische Maßnahmen der GEFIM (Art. 32 DSGVO)

Stand: 07.10.2026

1. Ablageorte der Daten aus diesem Vertrag

1. Lernplattform der LearningSuite FlexCo mit deren Unterauftragsverarbeitern (Anhang 2 Nr. 1).
2. Microsoft 365: E-Mail-Postfach und Ablage; Mandant in Europa, Verarbeitung im Rahmen der EU-Datengrenze (Anhang 2 Nr. 2).
3. Teilweise lokal auf den verwalteten Endgeräten (Laptops) der GEFIM.

2. Zugang zu Systemen und Zugriff auf Daten (Vertraulichkeit)

1. Mehr-Faktor-Authentifizierung (MFA) für alle Zugänge.
2. Passwortmanager für die Verwaltung von Zugangsdaten.
3. Personenbezogene Benutzerkonten; jede Person nutzt ihr eigenes Konto.
4. Rechte nur nach Bedarf: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe braucht. Beim Austritt werden die Rechte sofort entzogen.
5. Bildschirmsperre auf den Endgeräten.

3. Endgeräte (Vertraulichkeit, Integrität, Verfügbarkeit)

1. Die Laptops sind mit FileVault verschlüsselt.
2. Die Endgeräte werden zentral verwaltet, über Sophos Central und NinjaOne.
3. Virenschutz und Erkennung von Angriffen (Endpoint Detection and Response) mit Sophos XDR.
4. Automatische Updates; Patch- und Geräteverwaltung über NinjaOne.

4. Verfügbarkeit

1. Datensicherungen (Backups).
2. Zur Lernplattform siehe Nr. 6.

5. Organisation

1. Die Mitarbeitenden sind in ihren Arbeitsverträgen zur Vertraulichkeit verpflichtet.
2. Mit Kunden schließt GEFIM Vertraulichkeitsvereinbarungen (NDA); im Hauptvertrag gilt § 16 Absatz 6 der Nutzungsbedingungen.
3. Die Mitarbeitenden werden regelmäßig geschult.
4. Für Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten gibt es einen festgelegten Ablauf (Incident Response). Incident Response ist ein Kernthema der Beratung der GEFIM. Die Meldung an den Kunden regelt Ziffer 9.
5. Unterauftragsverarbeiter setzt GEFIM nur mit einem Vertrag nach Art. 28 DSGVO ein (Ziffer 6).

6. Maßnahmen der Unterauftragsverarbeiter

1. LearningSuite FlexCo: technische und organisatorische Maßnahmen nach Anhang I ihres Vertrags zur Auftragsverarbeitung (https://learningsuite.io/legal/avv), gegliedert nach Pseudonymisierung und Verschlüsselung, Vertraulichkeit, physischer und elektronischer Zugangskontrolle, Integrität, Kontrolle der Übermittlung, Eingabekontrolle, Verfügbarkeit und Belastbarkeit, Verwertbarkeit (rasche Wiederherstellung nach einem Zwischenfall) sowie regelmäßiger Überprüfung. Nach Angaben der Betreiberin (https://learningsuite.io/features/daten-sicherheit) liegen die Inhalte auf Servern in Frankfurt am Main, es werden täglich Backups erstellt, und alle Inhalte sind dreifach redundant gesichert.
2. Microsoft Ireland Operations Limited: Maßnahmen nach dem Microsoft Data Protection Addendum.

Anhang 2 zu Anlage 2: Liste der Unterauftragsverarbeiter

Stand: 07.10.2026. Die Unterauftragsverarbeiter der Betreiberin der Lernplattform (Nr. 1.1 bis 1.5) stammen aus Anhang II ihres Vertrags zur Auftragsverarbeitung (https://learningsuite.io/legal/avv); die Leistungen sind dort so bezeichnet.

Anlage 3: Nutzungsregeln für die Berechtigten

Anlage 3 zu den Nutzungsbedingungen der GEFIM NIS2-Schulungsplattform · Stand: 07.10.2026

Diese Regeln gelten für alle Personen, für die der Kunde einen Zugang zur Plattform hat einrichten lassen (Berechtigte). Ziffer 6 gilt auch für Personen, die der Kunde für den Umsetzungs-Workshop oder die Umsetzungsberatung benennt (Teilnehmende), auch wenn sie keinen Zugang haben. Der Kunde verpflichtet diese Personen auf die Regeln (§ 11 Absatz 2 der Nutzungsbedingungen). „Sie“ meint im Folgenden die jeweilige Person.

1. Ihr Zugang ist persönlich

(1) Ihr Zugang gilt nur für Sie. Er lautet auf Ihren Namen und ist nicht übertragbar.

(2) Geben Sie Ihre Zugangsdaten nicht weiter, auch nicht an Kolleginnen und Kollegen, an eine Assistenz oder an die IT. Halten Sie Ihr Passwort geheim und schützen Sie es vor dem Zugriff Dritter. Geteilte Zugänge und Sammelzugänge sind nicht zulässig.

(3) Melden Sie unverzüglich der Ansprechperson Ihres Unternehmens oder dem Support der GEFIM (Kontaktwege nach Anlage 1 Ziffer 2.3), wenn

1. Sie Ihre Zugangsdaten verloren haben,
2. Sie vermuten, dass eine andere Person Ihre Zugangsdaten kennt oder Ihren Zugang nutzt, oder
3. Sie einen anderen Missbrauch der Plattform bemerken.

Ändern Sie in diesen Fällen Ihr Passwort. Bei begründetem Verdacht auf Missbrauch kann GEFIM Ihren Zugang vorübergehend sperren (§ 11 Absatz 3 der Nutzungsbedingungen).

(4) Scheiden Sie aus dem Unternehmen aus, meldet Ihr Unternehmen das GEFIM, und GEFIM deaktiviert Ihren Zugang. Benennt Ihr Unternehmen an Ihrer Stelle eine andere Person, wird Ihr Zugang ebenfalls deaktiviert (§ 4 Absatz 5 und 6 der Nutzungsbedingungen).

2. Wofür Sie die Plattform nutzen dürfen

(1) Sie nutzen die Plattform nur für Ihre eigene Schulung und nur für die Zwecke Ihres Unternehmens.

(2) Nicht erlaubt ist es,

1. Lerninhalte herunterzuladen, soweit die Plattform dies nicht ausdrücklich vorsieht;
2. Lerninhalte aufzuzeichnen oder mitzuschneiden, etwa per Bildschirmaufnahme, sie zu vervielfältigen, an andere weiterzugeben, öffentlich zugänglich zu machen oder zu bearbeiten;
3. Lerninhalte für die Schulung anderer Personen zu verwenden;
4. Urheber- und Markenhinweise zu entfernen.

(3) Die Arbeitsmittel (Vorlagen, Fragenkatalog, Umsetzungs-Toolkit) dürfen Sie für Ihr Unternehmen nutzen und anpassen (§ 12 Absatz 3 der Nutzungsbedingungen).

3. Technik und Sicherheit

Nicht erlaubt ist es,

1. automatisiert auf die Plattform zuzugreifen, etwa mit Bots oder Scrapern, oder Inhalte massenhaft abzurufen;
2. in die Sicherheit der Plattform einzugreifen, Schutzmaßnahmen zu umgehen oder Schadsoftware einzubringen;
3. Beschränkungen der Plattform mit Anonymisierungsdiensten zu umgehen.

4. Was Sie eingeben

(1) Stellen Sie keine rechtswidrigen Inhalte ein.

(2) Geben Sie keine personenbezogenen Daten anderer Personen ein und laden Sie keine hoch, etwa in Ihrem Profil, im Maßnahmen-Selbstcheck oder in einer Einreichung. Beschreiben Sie Ihr Unternehmen, nicht einzelne Personen. Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) gehören nicht auf die Plattform.

(3) Machen Sie in Ihrem Profil wahre Angaben.

5. Lernen, Wissenstest und Fragen

(1) Der Kurs ist ein Selbstlernangebot. Sie bearbeiten ihn im eigenen Tempo.

(2) Der Wissenstest ist freiwillig und dient nur Ihrer Selbstkontrolle. Die Ergebnisse sehen nur Sie. Ihr Unternehmen sieht, welche Lerneinheiten Sie bearbeitet haben, aber nicht Ihre Ergebnisse im Wissenstest (§ 3 Absatz 4 und 5 der Nutzungsbedingungen).

(3) Der Support hilft bei Fragen zu Zugang und Technik. GEFIM beantwortet keine Fragen zu den Lerninhalten, weder im Support noch per E-Mail, Telefon, im Umsetzungs-Workshop, in der Umsetzungsberatung oder auf einem anderen Weg (§ 3 Absatz 3 und 6 der Nutzungsbedingungen).

(4) Zu den Leistungen gehören keine Kommentar- und Chatfunktionen, kein Bereich für den Austausch der Nutzer untereinander, keine KI-Assistenzfunktionen und keine Funktion zum Einreichen von Aufgaben. Regeln der Lernplattform zu solchen Funktionen begründen keinen Anspruch auf sie (§ 3 Absatz 7 der Nutzungsbedingungen).

6. Umsetzungs-Workshop und Umsetzungsberatung

(1) Einreichungen für den Umsetzungs-Workshop beschreiben ein Vorhaben in Ihrem Unternehmen. Reichen Sie sie bis spätestens fünf Werktage vor dem Termin in Textform ein, an die Adresse, die GEFIM in der Ankündigung nennt. Einreichungen zu Lerninhalten des Kurses nimmt GEFIM nicht auf. GEFIM wählt aus, welche Vorhaben behandelt werden. Es gibt keine offene Fragerunde (§ 6 Absatz 3 der Nutzungsbedingungen).

(2) Der Umsetzungs-Workshop ist ein Gruppentermin mit Teilnehmenden anderer Unternehmen. Nennen Sie dort keine vertraulichen Einzelheiten zu Schwachstellen und Vorfällen Ihres Unternehmens.

(3) Behandeln Sie alles vertraulich, was andere Teilnehmende im Workshop über sich und ihr Unternehmen sagen. Geben Sie es nicht weiter und nutzen Sie es nicht für andere Zwecke. Das gilt auch nach dem Termin und nach dem Ende des Vertrags.

(4) Workshop und Beratung dürfen nicht aufgezeichnet oder mitgeschnitten werden, auch nicht per Bildschirmaufnahme (§ 6 Absatz 6 der Nutzungsbedingungen).

7. Nutzungsbedingungen der Lernplattform

(1) Die Plattform läuft auf der Lernplattform „LearningSuite“ der LearningSuite FlexCo, Graz. Für die Nutzung der Lernplattform gelten zusätzlich deren Nutzungsbedingungen in der jeweils aktuellen Fassung (https://learningsuite.io/legal/nutzungsbedingungen). Sie regeln unter anderem das persönliche Nutzerkonto mit wahren Angaben, die Geheimhaltung des Passworts und Verhaltensregeln, etwa gegen rechtswidrige, beleidigende oder diskriminierende Inhalte, Spam, Urheberrechtsverletzungen und die unbefugte Nutzung personenbezogener Daten Dritter.

(2) Die Regeln dieser Anlage und die Nutzungsbedingungen der Lernplattform gelten nebeneinander. Aus den Nutzungsbedingungen der Lernplattform ergeben sich keine Leistungspflichten der GEFIM, insbesondere kein Anspruch auf Funktionen nach Ziffer 5 Absatz 4.

8. Datenschutz

GEFIM verarbeitet Ihre Daten auf der Plattform im Auftrag Ihres Unternehmens (Anlage 2). Über die Verarbeitung informiert Sie Ihr Unternehmen.