Nutzungsbedingungen
1. Geltungsbereich
Diese Nutzungsbedingungen (zugleich Allgemeine Geschäftsbedingungen) gelten für die Nutzung von Semafio und alle Verträge zwischen der LEA Software UG (haftungsbeschränkt), c/o VERDURE GmbH, Hermannstr. 5A, 70178 Stuttgart (im Folgenden „Anbieter“), und den Nutzern von Semafio (im Folgenden „Kunde“).
Der kostenlose Scan steht allen offen. Das kostenpflichtige Paket Scanner richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Mit der Buchung bestätigt der Kunde, in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit zu handeln.
Abweichende oder ergänzende Bedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn der Anbieter ihnen nicht ausdrücklich widerspricht.
2. Leistungen von Semafio
Semafio ist ein Softwareprodukt, das Web-Apps, insbesondere solche, die mit KI-Werkzeugen wie Lovable, Bolt, Replit oder Cursor gebaut wurden, automatisch prüft. Grundlage ist der öffentlich einsehbare Katalog in seiner jeweils angegebenen Version. Der Katalog v1 umfasst 29 Kriterien in den Bereichen Sicherheit, Datenschutz, KI-Verordnung, Betrieb und Recht. Davon prüft Semafio derzeit 15 automatisch; welche das sind und mit welcher Methode, steht im Katalog.
Der Anbieter stellt folgende Leistungen bereit:
- Kostenloser Scan: eine passive Prüfung der Startseite ohne Konto, einmal pro Monat und Domain (siehe Ziffer 5).
- Konto: kostenloses Konto, in dem der Kunde Apps einreichen, den Domain-Nachweis führen und Berichte abrufen kann.
- Paket Scanner: tiefere Prüfungen eingereichter Apps nach Domain-Nachweis und Prüferlaubnis, Bericht mit Befunden und Korrektur-Prompts, PDF-Export und private Prüfseite für 29 € im Monat zuzüglich Umsatzsteuer.
Den genauen Umfang der Leistungen beschreibt die Preisseite zum Zeitpunkt der Buchung. Der Anbieter entwickelt Semafio und den Katalog weiter. Er darf Prüfmethoden ändern oder ersetzen, wenn dadurch die vereinbarte Leistung nicht wesentlich eingeschränkt wird. Jeder Bericht nennt die Version des Katalogs, nach der geprüft wurde.
3. Was die Ergebnisse bedeuten
Die Ergebnisse von Semafio sind automatisierte Messungen nach dem veröffentlichten Katalog. Sie beschreiben den Zustand der App zum Zeitpunkt der Prüfung und nur in Bezug auf die geprüften Kriterien. Im Einzelnen gilt:
- Der Anbieter übernimmt keine Garantie dafür, dass eine App vollständig, fehlerfrei oder frei von Sicherheitslücken ist, auch wenn keine Befunde gemeldet werden. Automatische Prüfungen können Mängel übersehen und in Einzelfällen Befunde melden, die bei genauer Betrachtung keine sind.
- Die Ergebnisse sind keine Zertifizierung im Sinne von Art. 42 DSGVO, kein Gütesiegel einer akkreditierten Stelle und kein Ersatz für einen manuellen Penetrationstest.
- Semafio erbringt keine Rechtsberatung. Befunde in den Bereichen Datenschutz, KI-Verordnung und Recht sind technische Hinweise, keine rechtliche Bewertung des Einzelfalls. Für eine verbindliche Einschätzung wendet sich der Kunde an eine Rechtsanwältin oder einen Rechtsanwalt.
- Korrektur-Prompts sind Vorschläge, die der Kunde in seinem KI-Werkzeug verwenden kann. Der Kunde prüft die daraus entstehenden Änderungen vor dem Einsatz selbst und sichert seine App vorher.
Der Anbieter schuldet die sorgfältige Durchführung der beschriebenen Prüfungen, nicht einen bestimmten Erfolg.
4. Vertragsschluss
Die Darstellung der Leistungen auf der Website ist kein verbindliches Angebot. Ein Nutzungsvertrag über den kostenlosen Scan kommt zustande, wenn der Kunde den Scan startet. Ein Vertrag über das kostenlose Konto kommt mit der Registrierung und der Bestätigung der E-Mail-Adresse zustande.
Das Paket Scanner bucht der Kunde im Konto. Mit dem Absenden der Bestellung im Bezahlvorgang von Stripe gibt er ein verbindliches Angebot ab. Der Vertrag kommt zustande, wenn die Zahlung erfolgreich autorisiert ist und der Anbieter das Paket freischaltet. Die Vertragssprache ist Deutsch. Den Vertragstext speichert der Anbieter nicht gesondert; diese Nutzungsbedingungen sind auf dieser Seite jederzeit abrufbar.
5. Kostenloser Scan
Der kostenlose Scan ist passiv. Semafio ruft die Startseite der angegebenen Adresse ab, wie es ein normaler Besucher tut, und wertet nur öffentlich ausgelieferte Inhalte aus, etwa HTML, Skripte derselben Herkunft, HTTP-Header, das TLS-Zertifikat, die Datei security.txt sowie Impressum und Datenschutzerklärung. Er ist auf einen Scan pro Monat und Domain begrenzt.
Der kostenlose Scan ist eine freiwillige Leistung. Ein Anspruch darauf besteht nicht. Der Anbieter darf ihn einschränken, ändern oder einstellen und einzelne Anfragen ablehnen, etwa bei Verdacht auf Missbrauch.
6. Konto
Der Kunde macht bei der Registrierung wahre Angaben und hält seine Zugangsdaten geheim. Der Anbieter empfiehlt, die Zwei-Faktor-Anmeldung einzuschalten. Vermutet der Kunde, dass Dritte Zugriff auf sein Konto haben, ändert er sein Passwort und informiert den Anbieter unverzüglich. Der Kunde kann sein Konto jederzeit im Konto unter Einstellungen löschen. Ein laufendes Paket Scanner kündigt er vorher nach Ziffer 10.
7. Einreichen und Prüfen von Apps
Tiefere Prüfungen führt Semafio nur für Apps durch, die der Kunde eingereicht hat und für die beide folgenden Voraussetzungen erfüllt sind:
- Domain-Nachweis: Der Kunde weist nach, dass er über die Domain verfügt, durch einen DNS-TXT-Eintrag oder eine Datei unter /.well-known/semafio.txt.
- Prüferlaubnis: Der Kunde erteilt im Konto ausdrücklich die Erlaubnis zur Prüfung. Der Anbieter protokolliert Zeitpunkt, Konto, E-Mail-Adresse, Wortlaut und Version der Erlaubnis. Der Kunde kann die Erlaubnis jederzeit widerrufen; danach finden keine weiteren tieferen Prüfungen statt.
Die tieferen Prüfungen sind darauf ausgelegt, die App nicht zu verändern und nicht zu belasten. Dazu gehören unter anderem die Prüfung, ob Tabellen einer Supabase-Datenbank mit dem öffentlichen Anon-Key der App lesbar sind, der Abruf einer festen Liste bekannter Pfade und eine Browser-Prüfung der Startseite. Die Prüfungen gehen von einer festen IP-Adresse aus, die der Anbieter auf Anfrage nennt. Der Kunde stellt sicher, dass die Prüfungen nicht gegen Bedingungen seines Hosters oder anderer Dienstleister verstoßen, und informiert diese, soweit erforderlich.
8. Pflichten des Kunden und unzulässige Nutzung
Der Kunde lässt nur Apps prüfen, die ihm gehören oder für deren Prüfung er die Berechtigung des Inhabers hat. Agenturen und Entwickler, die Apps ihrer Auftraggeber einreichen, holen deren Zustimmung vorher ein und weisen sie auf Verlangen des Anbieters nach. Unzulässig ist insbesondere:
- Apps oder Domains Dritter ohne deren Erlaubnis prüfen zu lassen oder dies zu versuchen,
- einen Domain-Nachweis zu täuschen oder eine Prüferlaubnis für eine App zu erteilen, für die der Kunde nicht berechtigt ist,
- Nutzungsgrenzen zu umgehen, etwa durch mehrere Konten, wechselnde IP-Adressen oder abgewandelte Adressen,
- automatisierte Massenabfragen, Scraping oder die Nutzung außerhalb der bereitgestellten Oberflächen,
- Ergebnisse zu nutzen, um Schwachstellen fremder Apps auszunutzen oder Dritte zu schädigen,
- die Sicherheit oder den Betrieb von Semafio zu beeinträchtigen.
Bei einem Verstoß kann der Anbieter Prüfungen abbrechen, Ergebnisse löschen und den Zugang sperren. Ist es nach den Umständen zumutbar, informiert er den Kunden vorher. Das Recht zur außerordentlichen Kündigung bleibt unberührt.
Ist der Kunde Unternehmer, stellt er den Anbieter von Ansprüchen Dritter frei, die darauf beruhen, dass der Kunde eine Prüfung ohne Berechtigung veranlasst hat, einschließlich angemessener Kosten der Rechtsverteidigung. Das gilt nicht, soweit der Kunde die Pflichtverletzung nicht zu vertreten hat.
9. Preise und Zahlung
Das Paket Scanner kostet 29 € im Monat. Alle Preise sind Nettopreise zuzüglich der gesetzlichen Umsatzsteuer. Bei Kunden in einem anderen Mitgliedstaat der EU mit gültiger USt-IdNr. schuldet der Kunde die Umsatzsteuer, soweit die Voraussetzungen des Reverse-Charge-Verfahrens vorliegen.
Die Zahlung erfolgt über den Zahlungsdienstleister Stripe mit den dort angebotenen Zahlungsarten. Das Entgelt ist jeweils zu Beginn eines Abrechnungszeitraums im Voraus fällig. Rechnungen erhält der Kunde per E-Mail über Stripe.
Gerät der Kunde mit der Zahlung in Verzug, darf der Anbieter das Paket nach erfolgloser Mahnung bis zum Ausgleich sperren. Der Anbieter kann die Preise mit einer Frist von sechs Wochen zum Beginn eines Abrechnungszeitraums ändern. Er teilt dies in Textform mit; der Kunde kann bis zum Wirksamwerden der Änderung kündigen.
10. Laufzeit und Kündigung
Das Paket Scanner läuft auf unbestimmte Zeit und ist monatlich zum Ende des laufenden Abrechnungszeitraums kündbar. Die Kündigung erfolgt im Konto unter Einstellungen oder in Textform, etwa per E-Mail an hallo@semafio.com. Bis zum Ende des Abrechnungszeitraums bleibt das Paket nutzbar. Bereits gezahlte Entgelte für den laufenden Zeitraum werden nicht anteilig erstattet.
Der Anbieter kann das Paket mit einer Frist von vier Wochen zum Ende eines Abrechnungszeitraums kündigen. Das kostenlose Konto können beide Seiten jederzeit beenden; der Anbieter kündigt es mit einer Frist von vier Wochen, es sei denn, es liegt ein wichtiger Grund vor. Das Recht beider Seiten zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
Nach dem Ende des Pakets bleiben das Konto und die bis dahin erstellten Berichte bestehen, bis der Kunde Apps oder Konto löscht. Tiefere Prüfungen finden dann nicht mehr statt.
11. Berichte, private Prüfseite und Nutzungsrechte
Der Kunde erhält an den für ihn erstellten Berichten, Korrektur-Prompts und PDF-Exporten ein einfaches, zeitlich unbegrenztes Recht zur Nutzung für eigene Zwecke. Er darf sie an Personen weitergeben, die an der App arbeiten oder über sie entscheiden. Software, Prüfmethoden und Gestaltung der Berichte bleiben beim Anbieter.
Die private Prüfseite zeigt nur die Ampel je Bereich und das Datum der Prüfung. Der Kunde darf den geheimen Link an seine eigenen Kunden und Geschäftspartner weitergeben. Er darf dabei nicht den Eindruck erwecken, die Prüfseite sei eine Zertifizierung, eine Freigabe der App durch den Anbieter oder eine Bestätigung ihrer Rechtmäßigkeit. Die Prüfseite zeigt den Stand der letzten Prüfung; der Kunde beendet die Freigabe, wenn dieser Stand nicht mehr zutrifft.
12. Verfügbarkeit
Der Anbieter bemüht sich um einen möglichst unterbrechungsfreien Betrieb. Eine bestimmte Verfügbarkeit ist nicht vereinbart. Einschränkungen durch Wartung, Sicherheitsmaßnahmen, Störungen beim Hoster oder Umstände, die der Anbieter nicht zu vertreten hat, sind möglich. Planbare Wartungen legt der Anbieter nach Möglichkeit in nutzungsarme Zeiten. Kann eine Prüfung nicht vollständig laufen, etwa weil die Browser-Prüfung nicht verfügbar ist, weist der Bericht darauf hin.
13. Haftung
Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung des Lebens, des Körpers oder der Gesundheit, bei arglistig verschwiegenen Mängeln, im Rahmen einer ausdrücklich übernommenen Garantie sowie nach dem Produkthaftungsgesetz.
Bei leichter Fahrlässigkeit haftet der Anbieter im Rahmen des Pakets Scanner nur für die Verletzung einer wesentlichen Vertragspflicht, also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf (Kardinalpflicht). In diesem Fall ist die Haftung auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden begrenzt.
Für die unentgeltlichen Leistungen (kostenloser Scan und kostenloses Konto) haftet der Anbieter außerhalb der Fälle des ersten Absatzes nicht für leichte Fahrlässigkeit.
Im Übrigen ist die Haftung ausgeschlossen. Für den Verlust von Daten haftet der Anbieter nur in der Höhe, die bei regelmäßiger Sicherung durch den Kunden zur Wiederherstellung entstanden wäre. Die Beschränkungen gelten auch zugunsten der Mitarbeiter, Vertreter und Erfüllungsgehilfen des Anbieters. Die Haftung nach Art. 82 DSGVO bleibt unberührt.
14. Datenschutz und Auftragsverarbeitung
Wie der Anbieter personenbezogene Daten verarbeitet, beschreibt die Datenschutzerklärung. Soweit der Anbieter bei der Prüfung von Apps im Rahmen des Pakets Scanner personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er wird mit der Buchung des Pakets Bestandteil des Vertrags.
15. Änderungen dieser Bedingungen
Der Anbieter kann diese Nutzungsbedingungen mit Wirkung für die Zukunft ändern, wenn dafür ein sachlicher Grund besteht, etwa eine geänderte Rechtslage, neue Prüfmethoden oder Änderungen bei Dienstleistern. Kunden mit Konto teilt er Änderungen mindestens vier Wochen vor ihrem Inkrafttreten in Textform mit. Widerspricht der Kunde nicht innerhalb dieser Frist, gelten die Änderungen als angenommen; auf diese Folge weist der Anbieter in der Mitteilung gesondert hin. Widerspricht der Kunde, kann jede Seite den Vertrag zum Zeitpunkt des Inkrafttretens der Änderung kündigen. Für den kostenlosen Scan ohne Konto gilt die Fassung, die beim Start des Scans veröffentlicht ist.
16. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gegenüber Verbrauchern gilt diese Rechtswahl nur, soweit ihnen dadurch nicht der Schutz zwingender Vorschriften des Staates entzogen wird, in dem sie ihren gewöhnlichen Aufenthalt haben.
Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Stuttgart. Der Anbieter darf den Kunden auch an seinem allgemeinen Gerichtsstand verklagen.
Sollte eine Bestimmung dieser Nutzungsbedingungen ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.