Allgemeine Geschäftsbedingungen (AGB)

1. Geltungsbereich

Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Leistungen der Cyberopex GmbH, Baarermattstrasse 8b, 6340 Baar (nachfolgend «Cyberopex»), gegenüber ihren Kundinnen und Kunden (nachfolgend «Kunde»): Beratung, Swiss GRC Hosting, GRC as a Service, Managed ISMS, AI-Agents, AI Engineering und Trainings.

Unsere Leistungen richten sich ausschliesslich an Unternehmen, öffentliche Verwaltungen und Organisationen, nicht an Konsumentinnen und Konsumenten.

Es gilt folgende Rangfolge: (1) individueller Vertrag oder angenommene Offerte, (2) Leistungsbeschreibung, (3) Auftragsbearbeitungsvertrag (AVV) für Fragen des Datenschutzes, (4) diese AGB. Allgemeine Geschäftsbedingungen des Kunden gelten nur, wenn Cyberopex ihnen schriftlich zustimmt.

2. Vertragsschluss

Eine Bestellung über die Website oder das Kundenportal ist ein verbindliches Angebot des Kunden. Der Vertrag kommt zustande, wenn Cyberopex die Bestellung per E-Mail bestätigt oder die Leistung freischaltet. Bei Leistungen nach Offerte kommt der Vertrag mit der Annahme der Offerte zustande, auch digital im Kundenportal.

Wer im Namen des Kunden bestellt, bestätigt, dazu berechtigt zu sein.

3. Leistungen

3.1 Beratung, Trainings und Projekte

Cyberopex erbringt Beratungsleistungen sorgfältig und nach anerkannten Standards (zum Beispiel ISO/IEC 27001, NIS2, revDSG). Soweit nicht ausdrücklich ein Werk vereinbart ist, gelten die Bestimmungen über den einfachen Auftrag (Art. 394 ff. OR). Cyberopex schuldet keinen bestimmten Erfolg, insbesondere keine bestandene Zertifizierung oder Prüfung.

3.2 Swiss GRC Hosting und GRC as a Service

Cyberopex stellt dem Kunden eine eigene Instanz der GRC-Plattform (eramba) in einem ISO-27001-zertifizierten Rechenzentrum in der Schweiz bereit und übernimmt Betrieb, Updates, Härtung und Backups. Bei GRC as a Service richtet Cyberopex die Plattform zusätzlich ein und betreut sie gemäss Leistungsbeschreibung.

3.3 AI-Agents

Die AI-Agents werten Objekte aus der GRC-Plattform aus (zum Beispiel Nachweise, Kontrollen, Risiken, Richtlinien, Lieferanten) und erstellen Vorschläge. Kein Agent schreibt ohne Freigabe durch einen Menschen in die GRC-Plattform (Human in the Loop). Je nach Vereinbarung geben Cyberopex-Consultants oder berechtigte Personen des Kunden frei.

Ergebnisse von Sprachmodellen können unvollständig oder fehlerhaft sein. Die Agents ersetzen weder eine Rechtsberatung noch ein Audit. Entscheide über Massnahmen, Risiken und Freigaben trifft der Kunde. Der Agent «Pentest-Governance» führt keine Sicherheitstests durch, sondern wertet Berichte von Prüffirmen aus.

3.4 Weiterentwicklung

Cyberopex darf Leistungen weiterentwickeln und anpassen, sofern der vereinbarte Leistungsumfang nicht wesentlich eingeschränkt wird.

4. Preise und Zahlung

Alle Preise verstehen sich in Schweizer Franken (CHF), zuzüglich Mehrwertsteuer. Es gelten die Preise gemäss Offerte, Bestellung oder aktueller Preisangabe auf cyberopex.com, insbesondere:

Swiss GRC Hosting: jährlich im Voraus
Support & SLA-Paket: CHF 3'900.– für 20 Stunden, im Voraus
AI-Agents: pro Agent und Monat, monatlich
AI-Nutzung: pro Kunde 50 Agent-Läufe pro Monat inklusive; jeder weitere Lauf wird mit CHF 0.70 monatlich nachträglich verrechnet. Ein Lauf ist ein ausgewertetes Objekt. Der Kunde kann ein Monatslimit festlegen; ist es erreicht, pausieren die Agents bis zur Freigabe weiterer Läufe.
Einmalige Anbindung an eine bestehende Umgebung: zum vereinbarten Fixpreis
Beratung, Projekte und Trainings: gemäss Offerte

Vereinbarte Rabatte gelten für die vereinbarte Leistung und Laufzeit; der Bundle-Rabatt für AI-Agents wird vor einem individuellen Kundenrabatt berechnet. Rechnungen sind innert 30 Tagen ohne Abzug zahlbar. Bei Zahlungsverzug kann Cyberopex nach erfolgloser Mahnung Leistungen aussetzen. Preisänderungen kündigt Cyberopex mindestens drei Monate im Voraus an; der Kunde kann die betroffene Leistung auf den Zeitpunkt der Änderung kündigen.

5. Laufzeit und Kündigung

Swiss GRC Hosting und GRC as a Service: Mindestlaufzeit 12 Monate, danach stillschweigende Verlängerung um jeweils 12 Monate. Kündigung mit einer Frist von drei Monaten auf das Ende der Laufzeit.
AI-Agents: monatlich kündbar auf das Ende des folgenden Monats. Wird eine feste Laufzeit von 12, 24 oder 36 Monaten vereinbart, gilt diese, danach stillschweigende Verlängerung um jeweils 12 Monate mit einer Kündigungsfrist von drei Monaten.
Managed ISMS: Mindestlaufzeit 12 Monate, sofern in der Offerte nicht anders vereinbart, danach stillschweigende Verlängerung um jeweils 12 Monate. Kündigung mit einer Frist von drei Monaten auf das Ende der Laufzeit.
Support & SLA-Paket: 12 Monate ab Kauf, endet ohne Kündigung.
Projekte: gemäss Offerte. Aufträge können nach Art. 404 OR jederzeit beendet werden; bis dahin erbrachte Leistungen und Aufwände sind zu vergüten.

Abweichende Laufzeiten, Kündigungsfristen und Rabatte gemäss Offerte oder Auftragsbestätigung gehen diesen Regeln vor. Sie sind für den Kunden im Kundenportal unter «Verträge und Laufzeiten» einsehbar. Das Recht zur Kündigung aus wichtigem Grund bleibt vorbehalten. Kündigungen erfolgen schriftlich; E-Mail genügt.

6. Mitwirkung des Kunden

Der Kunde stellt rechtzeitig die nötigen Informationen, Zugänge und Ansprechpersonen bereit, insbesondere für die Anbindung einer eigenen Umgebung (zum Beispiel Service-Account mit minimalen Rechten, Netzwerkfreigabe). Er ist für die Richtigkeit der von ihm gelieferten Daten verantwortlich, schützt seine Zugangsdaten und nutzt die Multi-Faktor-Anmeldung. Verzögerungen aus fehlender Mitwirkung gehen nicht zu Lasten von Cyberopex.

7. Betrieb, Verfügbarkeit und Wartung

Cyberopex betreibt die Plattformen mit der Sorgfalt eines professionellen Anbieters und strebt eine hohe Verfügbarkeit an. Geplante Wartungen werden nach Möglichkeit ausserhalb der Geschäftszeiten durchgeführt und angekündigt. Verbindliche Service Levels gelten nur, wenn sie im Vertrag oder mit dem Support & SLA-Paket (Ziffer 8) vereinbart sind. Sicherheitsrelevante Updates darf Cyberopex jederzeit einspielen.

8. Support und SLA-Paket

Mit dem Support & SLA-Paket erwirbt der Kunde ein Kontingent von 20 Stunden für Support, Fragen und Problemlösung zu GRC-Plattform, AI-Agents und Kundenportal sowie für kurze Beratung. Das Kontingent gilt 12 Monate ab Kauf und wird in Schritten von 15 Minuten belastet. Nicht genutzte Stunden verfallen; bei Erneuerung vor Ablauf können bis zu 5 offene Stunden übernommen werden.

Geschäftsstunden sind Montag bis Freitag, 08:00 bis 17:00 Uhr, ohne Feiertage im Kanton Zug. Jede Meldung erhält eine automatische Eingangsbestätigung mit Ticketnummer; diese gilt nicht als Reaktion. Die Reaktion, verstanden als erste Einschätzung durch eine Fachperson, erfolgt bei kritischen Meldungen innert 4 Geschäftsstunden, bei normalen Meldungen innert 1 Arbeitstag und bei Anfragen innert 3 Arbeitstagen. Reaktionszeiten sind keine Lösungszeiten. Ohne Paket erfolgt Support nach Aufwand und ohne garantierte Reaktionszeit.

9. Datenschutz, Datensicherheit und AI

Soweit Cyberopex Personendaten im Auftrag des Kunden bearbeitet, gilt der Auftragsbearbeitungsvertrag (AVV). Die Daten werden in der Schweiz gespeichert und bearbeitet. Cyberopex setzt für die AI-Agents ausschliesslich Sprachmodelle ein, die in der Schweiz betrieben werden. Daten des Kunden werden nicht für das Training von Modellen verwendet.

Für die Website gilt die Datenschutzerklärung.

10. Rechte an Daten und Ergebnissen

Die Daten des Kunden und die für ihn erstellten Ergebnisse (zum Beispiel Berichte, Richtlinien, Risikoregister) gehören dem Kunden. Cyberopex behält alle Rechte an eigener Software, Methoden, Vorlagen, Prompts und Know-how und räumt dem Kunden daran ein nicht übertragbares Nutzungsrecht für die Vertragsdauer ein, bei Ergebnissen zeitlich unbeschränkt für eigene Zwecke.

11. Vertraulichkeit

Beide Parteien behandeln alle nicht öffentlichen Informationen der anderen Partei vertraulich, auch nach Vertragsende. Cyberopex nennt Kunden nur mit deren ausdrücklicher Zustimmung als Referenz.

12. Gewährleistung und Haftung

Cyberopex haftet für Schäden, die sie vorsätzlich oder grobfahrlässig verursacht, unbeschränkt. Im Übrigen ist die Haftung pro Vertragsjahr auf die Vergütung beschränkt, die der Kunde in den zwölf Monaten vor dem Schadenereignis für die betroffene Leistung bezahlt hat. Die Haftung für indirekte Schäden und Folgeschäden, entgangenen Gewinn und Datenverlust (soweit dieser durch eine angemessene Datensicherung des Kunden vermeidbar gewesen wäre) ist ausgeschlossen, soweit gesetzlich zulässig. Die Haftung für Hilfspersonen ist im gesetzlich zulässigen Umfang ausgeschlossen (Art. 101 Abs. 2 OR).

Zwingende gesetzliche Haftungsbestimmungen bleiben vorbehalten.

13. Höhere Gewalt

Keine Partei haftet für die Nichterfüllung infolge von Ereignissen, die sie nicht beeinflussen kann, zum Beispiel Naturereignisse, behördliche Massnahmen, grossflächige Ausfälle von Strom- oder Kommunikationsnetzen oder Angriffe, die trotz angemessener Schutzmassnahmen erfolgreich sind.

14. Vertragsende und Datenherausgabe

Nach Vertragsende stellt Cyberopex dem Kunden auf Wunsch einen Export seiner Daten in einem gängigen Format bereit, wenn er innert 30 Tagen angefordert wird. Danach werden die Daten gemäss AVV gelöscht.

15. Schlussbestimmungen

Cyberopex kann diese AGB ändern. Änderungen werden dem Kunden mindestens 30 Tage vor Inkrafttreten mitgeteilt; widerspricht der Kunde nicht innert dieser Frist, gelten sie als angenommen. Für laufende Mindestlaufzeiten gelten wesentliche Änderungen nur mit Zustimmung des Kunden.

Sollte eine Bestimmung unwirksam sein, bleibt der Rest des Vertrags gültig. Es gilt ausschliesslich schweizerisches Recht unter Ausschluss des Wiener Kaufrechts (CISG). Gerichtsstand ist Zug.

Stand: 22. Oktober 2026. Cyberopex GmbH, Baarermattstrasse 8b, 6340 Baar, UID CHE-348.844.311.