Allgemeine
Geschäftsbedingungen

Stand: 8. Oktober 2026 · Version 2.3

Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") regeln die Vertragsbeziehung zwischen der frag.hugo Informationssicherheit GmbH, Spaldingstraße 64-68, 20097 Hamburg (HRB 187076 Hamburg, vertreten durch den Geschäftsführer Nils Oehmichen, nachfolgend „frag.hugo" oder „Anbieterin") und ihren gewerblichen Kunden (nachfolgend „Kunde") über die Bereitstellung von Software-as-a-Service-Anwendungen, Beratungs- und Bestellungsleistungen im Bereich Datenschutz, Informationssicherheit und Compliance.

§ 1 Geltungsbereich, Vertragspartner

(1) Diese AGB gelten ausschließlich gegenüber Unternehmern im Sinne von § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Die Plattform und die Beratungsleistungen richten sich nicht an Verbraucher.

(2) Diese AGB gelten in der jeweils zum Zeitpunkt des Vertragsschlusses gültigen Fassung für sämtliche Lieferungen und Leistungen der frag.hugo. Entgegenstehende oder von diesen AGB abweichende Bedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, frag.hugo stimmt ihrer Geltung ausdrücklich schriftlich zu.

(3) Individuelle, schriftlich getroffene Vereinbarungen mit dem Kunden haben in jedem Fall Vorrang vor diesen AGB.

§ 2 Vertragsgegenstand, Leistungen

(1) frag.hugo bietet eine konsolidierte Compliance-Plattform unter app.fraghugo.de mit folgenden Produkten an:

2.1 Hugo Check (Website-Sicherheit)

DSGVO-Scanner als Self-Service-SaaS. Automatisierte Prüfung von Cookies, Tracking-Scripts, SSL-Konfiguration, Security-Headern und Datenschutzerklärung. Zusätzlich umfasst die Prüfung die Gruppe „Shop & Werbung": das Vorhandensein der Gewährleistungs- und Garantie-Kennzeichnung nach Art. 246a § 1 Abs. 1 S. 1 Nr. 11 EGBGB in Verbindung mit der Durchführungsverordnung (EU) 2025/1960, Werbeaussagen mit Umwelt- und Nachhaltigkeitsbezug im Sinne des Anhangs zu § 3 Abs. 3 UWG, die Produktsicherheits-Angaben nach Art. 19 Buchst. a bis d der Verordnung (EU) 2023/988 sowie die Kennzeichnung von KI-Chatbots nach Art. 50 Abs. 1 der Verordnung (EU) 2024/1689. Gegenstand der Leistung ist jeweils die automatische Prüfung öffentlich zugänglicher Merkmale, keine Rechtsberatung. Verfügbar in den Tarifen Kostenlos, Pro und Agentur.

2.2 Hugo DSB (Datenschutz-Suite)

Software-Plattform für die Datenschutz-Dokumentation gemäß Art. 30, 28, 32, 33-34 und 15-22 DSGVO. Beinhaltet Verarbeitungsverzeichnis (VVT), Auftragsverarbeitungs-Management (AVV), Datenpannen-Register, Betroffenenanfragen-Portal (DSAR), Datenschutz-Folgenabschätzungen (DSFA), Hinweisgeberschutz und Mitarbeiterschulungen. Optional zubuchbar: externer Datenschutzbeauftragter (Bestellungsleistung im Sinne von Art. 37 DSGVO durch Nils Oehmichen). Tarife: Starter, Professional, Enterprise.

2.3 Hugo Shield (Lieferketten-Compliance)

NIS2-Lieferanten-Assessment als Self-Service-SaaS. 50-Fragen-Selbstbewertung mit Score und Maßnahmenplan. Tarife: Basis (kostenlos), Premium, Team, Enterprise.

2.4 Hugo ISMS (Informationssicherheits-Management)

Add-on auf Hugo DSB für Informationssicherheits-Management nach BSI 200-2 Grundschutz und ISO/IEC 27001:2022. Asset-Register, Schutzbedarfs-Analyse, Risikoinventar, Maßnahmen- tracking, ISO-Annex-A-Mapping (93 Controls) und NIS2-Vorfallmeldung. Tarife: ISMS Starter, ISMS Professional, ISMS Enterprise.

2.5 Compliance-Suite-Bundles

Kombiniertes Lizenzpaket aus Hugo DSB + Hugo ISMS + Hugo Shield zu Bundle-Konditionen. Tarife: Compliance-Suite, Compliance-Suite Pro, Compliance-Suite Enterprise.

2.6 Hugo Safe (Arbeitsschutz-Unterweisungen)

Software-Plattform für die Durchführung und Dokumentation der jährlichen Pflicht-Unterweisungen im Arbeits- und Brandschutz (§ 12 ArbSchG, § 4 DGUV Vorschrift 1) als computergestützte Unterweisung / Blended Learning im Sinne der DGUV Regel 100-001. Beinhaltet Online-Unterweisungen mit Abschlusstest, Zertifikat, betriebsspezifischer Ergänzung und revisionssicherem Nachweis-Dossier. Abrechnung pro Mitarbeiter und Jahr. Tarife: Free, Basis, Komplett. Hugo Safe ergänzt den betrieblichen Arbeitsschutz; die Gefährdungsbeurteilung (§ 5 ArbSchG), die gesetzlich vorgeschriebenen Präsenz-/Praxisanteile sowie die mündliche Gefahrstoff-Unterweisung (§ 14 GefStoffV) verbleiben in der Verantwortung des Arbeitgebers (§ 13 ArbSchG) und werden durch Hugo Safe nicht ersetzt.

2.7 Hugo Learn (Security-Awareness- & Datenschutz-Schulungen)

KI-gestützte Online-Schulungsplattform zur Sensibilisierung und Unterweisung von Beschäftigten gemäß Art. 39 Abs. 1 lit. b DSGVO und § 26 BDSG. Beinhaltet einen Modul-Katalog (u. a. DSGVO, Phishing, Passwort-Hygiene, NIS2, AI Act), eine monatliche KI-Lektion, Phishing-Simulation, Abschluss-Quiz, Zertifikat und einen auditfesten Schulungsnachweis (Teilnahmequoten, Quiz-Scores, Reporting für ISO-27001-/ TISAX-Audits). Tarife: Free (bis zu 5 Mitarbeiter, ausgewählte Basis-Module, dauerhaft kostenlos) und Standard (Abrechnung pro Mitarbeiter und Jahr, voller Modul-Katalog, Mengenrabatt ab 25 Mitarbeitern). Darüber hinausgehende Enterprise- Funktionen (z. B. eigene Module, M365-Verzeichnis-Sync) werden individuell vereinbart. Hugo Learn ist eigenständig buchbar und ab dem Hugo-DSB-Tarif Standard (§ 2.2) bereits enthalten. Hugo Learn unterstützt die gesetzliche Schulungs- und Sensibilisierungspflicht; die Auswahl der für den Kunden verpflichtenden Inhalte sowie die Sicherstellung der tatsächlichen Teilnahme seiner Beschäftigten verbleiben in der Verantwortung des Kunden.

Anruf-Drills (Programm-Stufe). Ergänzend werden Übungen zu betrügerischen Anrufen angeboten: verzweigte Szenen im Webbrowser, in denen eine künstlich erzeugte Stimme einen Anruf nachstellt und die/der Beschäftigte zwischen vorgegebenen Reaktionen wählt. Es findet kein Telefonanruf statt, es wird keine Telefonnummer der/des Beschäftigten verarbeitet, es erfolgt kein Zugriff auf das Mikrofon und es wird nichts aufgezeichnet. Die verwendeten Stimmen sind generisch; Stimmen realer Personen werden weder nachgebildet noch verwendet. Auf die künstliche Erzeugung wird vor Beginn der Übung und in der Auflösung hingewiesen (Art. 50 Abs. 5 der Verordnung (EU) 2024/1689). Erfasst werden ausschließlich die getroffenen Wahlentscheidungen mit ihrem Zeitpunkt sowie der daraus errechnete Punktwert; ein Abbruch führt zu keinem Punktwert. Personenbezogene Ergebnisse werden nach zwölf Monaten gelöscht.

Hinweis zur Mitbestimmung. Die Einführung und Anwendung von Anruf-Drills ist ein eigener mitbestimmungspflichtiger Vorgang nach § 87 Abs. 1 Nr. 6 BetrVG. Eine bestehende Betriebsvereinbarung, die ausschließlich simulierte E-Mails regelt, deckt Anruf-Drills nicht ab. Die Anwendung stellt dafür ein Muster bereit; die Herbeiführung der Mitbestimmung obliegt dem Kunden.

2.8 Hugo NIS2 (Registrierung, Meldung, Schulung der Geschäftsleitung)

Software zur Unterstützung bei den Pflichten des BSIG in der Fassung des NIS2-Umsetzungsgesetzes. Der Leistungsumfang besteht aus einem Betroffenheitscheck nach § 28 BSIG, einem Assistenten für die Registrierung nach § 33 BSIG, einer geführten Vorfallmeldung in den Stufen des § 32 BSIG mit Fristenberechnung, einer Gap-Analyse zu den Maßnahmen nach § 30 Abs. 2 BSIG sowie einer Online-Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG für bis zu fünf Personen mit Wissensprüfung, Teilnahmebescheinigung je Person und einem Nachweis-Paket für die Einrichtung. Tarife: Hugo NIS2 Basis (monatlich oder jährlich abgerechnet) sowie die Schulung der Geschäftsleitung als Einmalkauf mit zwölf Monaten Zugang für bis zu fünf Personen. Der Leistungsumfang ist in den Hugo-ISMS-Tarifen, den Compliance-Suite-Bundles und den Hugo-DSB-Tarifen Pro und Premium bereits enthalten.

Abgrenzung. frag.hugo nimmt die Registrierung nach § 33 BSIG nicht für den Kunden vor. Diese erfolgt ausschließlich durch den Kunden selbst über die vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe gemeinsam eingerichtete Registrierungsmöglichkeit und setzt ein auf den Kunden ausgestelltes Organisationszertifikat voraus. Ebenso gibt frag.hugo keine Meldungen nach § 32 BSIG für den Kunden ab. Der Betroffenheitscheck und die Gap-Analyse sind Orientierungshilfen und stellen keine Rechtsberatung dar; die Einordnung der Einrichtung nach § 28 BSIG und die Bewertung der Angemessenheit der Maßnahmen nach § 30 BSIG verbleiben beim Kunden.

Zur Schulungsbescheinigung. Die nach Abschluss ausgestellte Bescheinigung weist die Teilnahme an der Schulung aus. Sie ist kein amtliches Dokument und keine Bestätigung einer Behörde; eine Anerkennung von Schulungsanbietern durch das Bundesamt sieht das BSIG nicht vor, ebenso wenig eine vorgeschriebene Prüfung. Ob die Schulung im Einzelfall den Anforderungen des § 38 Abs. 3 BSIG genügt, beurteilt allein die zuständige Stelle. Der Kunde ist dafür verantwortlich, den von der zuständigen Aufsichtsbehörde erwarteten einrichtungsindividuellen Bezug selbst zu ergänzen; die Anwendung stellt dafür ein Eingabefeld bereit.

2.9 Hugo Hersteller (Cyber Resilience Act)

Software zur Unterstützung bei den Pflichten der Verordnung (EU) 2024/2847 (Cyber Resilience Act). Der Leistungsumfang besteht aus einer Ersteinschätzung zu Rolle und Produktklasse, einem Produktregister mit Erfassung des Unterstützungszeitraums, dem Einlesen von Softwarestücklisten in den Formaten CycloneDX und SPDX, einer geführten Meldung in den Stufen des Artikels 14 mit Fristenberechnung und Erinnerungen, einem nachträglich unveränderbaren Ereignisprotokoll, Textvorlagen für die nach Anhang I Teil II geforderten Richtlinien, einer öffentlich abrufbaren Seite zur koordinierten Offenlegung von Schwachstellen sowie einem Prozessnachweis als PDF-Dokument. Tarif: Hugo Hersteller (monatlich oder jährlich abgerechnet). Der Leistungsumfang ist im Tarif Hugo ISMS Enterprise bereits enthalten; in den Hugo-DSB-Tarifen ist er nicht enthalten.

Abgrenzung. frag.hugo gibt keine Meldungen nach Artikel 14 der Verordnung (EU) 2024/2847 für den Kunden ab. Die Meldung erfolgt ausschließlich durch den Kunden selbst gegenüber dem zuständigen CSIRT und der ENISA über die dafür vorgesehene Meldeplattform; deren Zugang setzt eine vom Kunden benannte Ansprechperson mit eigenem Zugang voraus. Die Anwendung bereitet die Angaben auf und stellt sie zum Übertragen bereit. Eine automatisierte Übermittlung findet nicht statt. Die Ersteinschätzung zu Rolle, Produktklasse und Pflichten ist eine Orientierungshilfe und stellt keine Rechtsberatung dar; die Einordnung nach den Anhängen III und IV steht zudem unter dem Vorbehalt der von der Kommission noch zu erlassenden Durchführungsrechtsakte nach Artikel 7 Absatz 4. Die Bestimmung des Unterstützungszeitraums nach Artikel 13 Absatz 8, die Konformitätsbewertung und die CE-Kennzeichnung verbleiben beim Kunden.

Zur Überwachung von Komponenten. Auf gesonderte Freischaltung gleicht die Anwendung die in einer Softwarestückliste erfassten Komponenten täglich gegen die öffentliche Schwachstellendatenbank OSV ab. Übermittelt werden dabei ausschließlich Bezeichner und Versionsnummern öffentlich verfügbarer Softwarekomponenten. Ein Treffer bezeichnet eine bekannte, nicht notwendigerweise eine ausgenutzte Schwachstelle; eine Meldepflicht nach Artikel 14 entsteht daraus nicht. Ob die betroffene Komponente im Produkt des Kunden erreichbar ist, beurteilt der Kunde. Vollständigkeit der Erkennung wird nicht geschuldet: Komponenten ohne Paketbezeichner oder ohne Versionsangabe können nicht abgeglichen werden; die Anwendung weist sie als solche aus.

2.10 Hugo KI (KI-Compliance nach der KI-Verordnung)

Software zur Unterstützung bei den Pflichten der Verordnung (EU) 2024/1689 (KI-Verordnung). Der Leistungsumfang besteht aus einem Register der eingesetzten KI-Systeme, einer geführten Einordnung nach Risikoklassen, Textvorlagen für die KI-Dokumentation und eine KI-Nutzungsrichtlinie, einer geführten Grundrechte-Folgenabschätzung nach Artikel 27, einer Schulung zur KI-Kompetenz nach Artikel 4 sowie dem Schatten-KI-Radar (§ 2.11). Tarif: Hugo KI (monatlich oder jährlich abgerechnet, monatlich kündbar). Der Leistungsumfang ist in den Hugo-DSB-Tarifen Pro und Premium sowie in den Compliance-Suite-Bundles bereits enthalten.

Abgrenzung. Die Einordnung eines KI-Systems in eine Risikoklasse ist eine Orientierungshilfe und stellt keine Rechtsberatung dar. Die Verantwortung für die Einstufung, für die Erfüllung der Pflichten aus der KI-Verordnung und für die Richtigkeit der eingegebenen Angaben verbleibt beim Kunden. frag.hugo nimmt keine Registrierung in der EU-Datenbank nach Artikel 71 vor und gibt keine Konformitätserklärung ab.

2.11 Schatten-KI-Radar (Teil von Hugo KI)

Auf gesonderte Aktivierung durch den Kunden liest die Anwendung aus dem Microsoft-365-Mandanten des Kunden aus, welche Anwendungen künstlicher Intelligenz mit Konten des Kunden verbunden sind, welche Berechtigungen ihnen erteilt wurden und — bei entsprechender Lizenzierung des Kunden — in welchem Umfang sie genutzt werden. Grundlage ist ausschließlich das Verzeichnis des Kunden (Microsoft Entra ID); die Anwendung greift dafür auf ein vom Kunden erteiltes, jederzeit widerrufliches Zugriffsrecht zu.

Was nicht ausgelesen wird. Inhalte werden nicht verarbeitet. Weder Eingaben an ein KI-System noch dessen Antworten, noch E-Mails, Dateien, Chat-Nachrichten oder Kalendereinträge. Nutzung von KI-Diensten mit privaten Konten ist für die Anwendung nicht erkennbar; Vollständigkeit der Erkennung wird nicht geschuldet. Die Auswertung erfolgt in der Voreinstellung zusammengefasst; Abteilungswerte werden erst ab fünf Personen ausgewiesen.

Mitbestimmung und Beschäftigtendatenschutz. Die Auswertung ist eine technische Einrichtung, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet ist. Der Kunde stellt sicher, dass ein bei ihm bestehender Betriebs- oder Personalrat vor der Aktivierung beteiligt wird und dass die Beschäftigten nach Artikel 13 und 14 DSGVO informiert werden; entsprechende Muster-Vorlagen stellt die Anwendung bereit. Der Kunde ist für die Auswertung datenschutzrechtlich Verantwortlicher im Sinne des Artikels 4 Nummer 7 DSGVO; frag.hugo verarbeitet die Daten als Auftragsverarbeiter nach Artikel 28 DSGVO.

(2) frag.hugo erbringt im Rahmen der SaaS-Tarife Dienstleistungen im Sinne der §§ 611 ff. BGB. Das Bewirken eines bestimmten Erfolgs, etwa eines bestimmten Compliance-Status, einer Behörden-Genehmigung oder einer Bußgeldfreiheit, wird ausdrücklich nicht geschuldet. Die Verantwortung für die rechtskonforme Datenverarbeitung und die Richtigkeit der eingegebenen Inhalte verbleibt beim Kunden.

(3) Soweit Hugo DSB die Bestellung eines externen Datenschutzbeauftragten umfasst, handelt es sich ergänzend um einen Geschäftsbesorgungsvertrag nach §§ 675 ff. BGB. Der bestellte Datenschutzbeauftragte ist weisungsfrei in der Aufgabenwahrnehmung gemäß Art. 38 Abs. 3 DSGVO. Die rechtlich ausgewählte Person der frag.hugo wird dem Kunden schriftlich mitgeteilt.

(4) frag.hugo ist berechtigt, die Plattform fortlaufend weiterzuentwickeln, Funktionen zu ergänzen, zu ändern oder einzustellen, soweit der vereinbarte Vertragszweck nicht wesentlich beeinträchtigt wird. Bei wesentlichen Funktions-Einstellungen kommt § 6 Abs. 6 dieser AGB (Sonderkündigungsrecht) zur Anwendung.

§ 3 Vertragsschluss

(1) Die Darstellung der Tarife auf der Website und in der Plattform stellt kein rechtsverbindliches Angebot dar, sondern eine Aufforderung zur Abgabe eines Angebots (invitatio ad offerendum).

(2) Der Kunde gibt mit dem Abschluss des Online-Bestellprozesses (Klick auf „Zahlungspflichtig bestellen" o.ä.) ein verbindliches Angebot zum Vertragsschluss ab.

(3) Der Vertrag kommt mit der schriftlichen oder elektronischen Bestätigung durch frag.hugo, spätestens jedoch mit der Bereitstellung der Plattform-Zugangsdaten oder der Belastung der hinterlegten Zahlungsmethode, zustande.

(4) Vertragssprache ist Deutsch.

§ 4 Pflichten und Mitwirkung des Kunden

(1) Der Kunde wird die zur Vertragserfüllung erforderlichen Informationen vollständig und wahrheitsgemäß zur Verfügung stellen sowie an der Erbringung der Leistungen im erforderlichen Umfang mitwirken. Hierzu gehören insbesondere:

die Bestimmung und Erreichbarkeit eines verantwortlichen Ansprechpartners,
die zeitnahe Bereitstellung von angefragten Unterlagen, Verzeichnissen und Auskünften,
die Pflege der eingegebenen Daten in der Plattform,
die Wahrung der Vertraulichkeit der Zugangsdaten gegenüber Dritten.

(2) Der Kunde trägt die ausschließliche Verantwortung für die Richtigkeit, Vollständigkeit und Rechtskonformität seiner über die Plattform eingegebenen Inhalte und ist allein für mögliche Rechtsverletzungen haftbar.

(3) Der Kunde wird die Plattform nicht missbräuchlich nutzen, insbesondere keine Schwachstellen-Tests ohne vorherige schriftliche Zustimmung durchführen, keine Inhalte einstellen, die rechts- oder sittenwidrig sind, und keine Maßnahmen ergreifen, die die Verfügbarkeit der Plattform für andere Kunden beeinträchtigen.

(4) Mitwirkungsverzug des Kunden befreit frag.hugo insoweit von der Leistungspflicht und entbindet von Mängelansprüchen, soweit die Mitwirkung Voraussetzung für die ordnungsgemäße Leistungserbringung war.

§ 5 Vergütung, Zahlungsbedingungen

5.1 Preise

(1) Es gelten die Preise gemäß der zum Zeitpunkt des Vertragsschlusses gültigen Preis- liste auf www.fraghugo.de/preise bzw. der individuellen Bestellbestätigung.

(2) Sämtliche genannten Preise sind Nettopreise; die jeweils geltende gesetzliche Umsatzsteuer (in Deutschland derzeit 19 %) wird gesondert ausgewiesen und zusätzlich in Rechnung gestellt.

5.2 Abrechnung

(1) Die Abrechnung erfolgt im Voraus monatlich bzw. jährlich, je nach gewähltem Abrechnungsintervall.

(2) Zahlungsmittel ist der Bankeinzug (SEPA-Lastschrift) oder die Kreditkartenzahlung über den Zahlungsdienstleister Stripe. Mit dem Abschluss des Bestellvorgangs erteilt der Kunde frag.hugo bzw. dem von frag.hugo eingesetzten Zahlungsdienstleister ein entsprechendes Einzugs- bzw. Belastungsmandat.

(3) Die Vergütung ist innerhalb von 10 Kalendertagen nach Rechnungsstellung ohne Abzug zur Zahlung fällig. Bei wiederkehrender Zahlung per SEPA / Kreditkarte wird die Belastung am Tag der Rechnungsstellung ausgelöst.

5.3 Zahlungsverzug

(1) Bei Zahlungsverzug ist frag.hugo berechtigt, Verzugszinsen in Höhe von 9 Prozentpunkten über dem Basiszinssatz sowie eine pauschale Mahngebühr von 40,00 EUR nach § 288 Abs. 5 BGB zu verlangen.

(2) Bei einem Zahlungsverzug von mehr als 14 Tagen ist frag.hugo berechtigt, den Zugang zur Plattform vorübergehend bis zum vollständigen Ausgleich des Rückstands zu sperren. Das Recht zur Geltendmachung darüberhinausgehender Schadensersatzansprüche bleibt unberührt.

5.4 Aufrechnung, Zurückbehaltungsrecht

Der Kunde ist zur Aufrechnung nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen berechtigt. Ein Zurückbehaltungsrecht steht dem Kunden nur zu, soweit es auf demselben Vertragsverhältnis beruht.

5.5 Preisanpassung

(1) frag.hugo ist berechtigt, die Vergütung einmal pro Kalenderjahr mit einer Ankündigungsfrist von 6 Wochen zum Beginn des nächsten Abrechnungszeitraums anzupassen, sofern sich die Kosten für die Bereitstellung der Leistungen erhöhen (z.B. durch gestiegene Hosting-, Lizenz-, Personal- oder Steuer-Kosten).

(2) Eine Preiserhöhung von mehr als 10 % gegenüber dem aktuellen Preis berechtigt den Kunden zum Sonderkündigungsrecht zum Zeitpunkt des Inkrafttretens der Preiserhöhung. Die Sonderkündigung ist innerhalb von 4 Wochen nach Mitteilung der Preiserhöhung in Textform zu erklären.

§ 6 Vertragslaufzeit, Kündigung

6.1 Hugo Check, Hugo Shield, Hugo NIS2 Basis und Hugo Hersteller (Self-Service-Tarife)

(1) Verträge über Hugo Check (Pro, Agentur), Hugo Shield (Premium, Team, Enterprise), Hugo NIS2 Basis und Hugo Hersteller haben eine Mindestlaufzeit, die der gewählten Abrechnungsperiode entspricht (1 Monat bei monatlicher, 12 Monate bei jährlicher Abrechnung). Eine darüber hinausgehende Mindestlaufzeit besteht bei diesen Tarifen nicht.

(2) Der Vertrag kann mit einer Frist von 14 Tagen zum Ende der jeweils aktuellen Abrechnungsperiode in Textform (z.B. E-Mail an abo@fraghugo.de oder über das Kunden-Portal) gekündigt werden.

(3) Erfolgt keine fristgerechte Kündigung, verlängert sich der Vertrag automatisch um eine weitere Abrechnungsperiode.

(4) Einmalkauf Schulung der Geschäftsleitung. Die einzeln buchbare Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG ist kein Dauerschuldverhältnis und daher nicht kündbar. Mit der Zahlung erhält der Kunde für die Dauer von zwölf Monaten ab Freischaltung Zugang für bis zu fünf von ihm benannte Personen; nach Ablauf dieser Frist endet der Zugang, ohne dass es einer Kündigung bedarf. Bereits ausgestellte Teilnahmebescheinigungen und erzeugte Nachweis-Pakete bleiben davon unberührt und können weiterhin heruntergeladen werden. Eine Erstattung nach Freischaltung ist ausgeschlossen. Diese AGB gelten nach § 1 ausschließlich gegenüber Unternehmern im Sinne von § 14 BGB; ein Widerrufsrecht für Verbraucher kommt daher nicht in Betracht.

6.2 Hugo DSB, Hugo ISMS und Compliance-Suite (Compliance-Tarife)

(1) Verträge über Hugo DSB (Lite, Standard – vormals Starter, Pro – vormals Professional, Premium – vormals Enterprise), Hugo ISMS sowie die Compliance-Suite-Bundles haben eine Mindestlaufzeit von 24 Monaten ab dem Tag der Vertragsbestätigung.

(2) Die Mindestlaufzeit von 24 Monaten dient der beidseitigen Planungssicherheit: frag.hugo investiert zu Vertragsbeginn signifikant in das Onboarding (z.B. VVT-Aufbau, AVV-Migration, Mitarbeiter-Stammdaten-Pflege, Schulungskonfiguration) — Leistungen, die im Tarifpreis enthalten sind und sich erst über die Vertragslaufzeit amortisieren.

(3) Eine ordentliche Kündigung ist erstmals zum Ende der Mindestvertragslaufzeit unter Einhaltung einer Kündigungsfrist von 3 Monaten zum Vertragsende möglich. Erfolgt keine fristgerechte Kündigung, verlängert sich der Vertrag um jeweils 12 weitere Monate und kann sodann mit einer Frist von 3 Monaten zum Ende der jeweils verlängerten Laufzeit in Textform gekündigt werden.

(4) Die Kündigung bedarf der Textform (z.B. E-Mail an abo@fraghugo.de). Eine Kündigung über das Stripe- Kunden-Portal ist während der Mindestlaufzeit aus technischen Gründen nicht möglich; maßgeblich ist die fristgerechte Erklärung in Textform an die o.g. E-Mail-Adresse.

6.3 Hugo Safe (Arbeitsschutz-Unterweisungen)

(1) Verträge über die kostenpflichtigen Hugo-Safe-Tarife (Basis, Komplett) haben eine Mindestlaufzeit von 12 Monaten ab dem Tag der Vertragsbestätigung. Sie tragen dem jährlichen Unterweisungszyklus (mindestens jährliche Unterweisungspflicht nach § 12 ArbSchG, § 4 DGUV Vorschrift 1) und der jährlichen Abrechnung pro Mitarbeiter Rechnung.

(2) Eine ordentliche Kündigung ist erstmals zum Ende der Mindestvertragslaufzeit unter Einhaltung einer Kündigungsfrist von 3 Monaten möglich. Erfolgt keine fristgerechte Kündigung, verlängert sich der Vertrag um jeweils 12 weitere Monate. Der Free-Tarif ist unentgeltlich und jederzeit ohne Frist kündbar.

6.4 Hugo Learn (Security-Awareness-Schulungen)

(1) Verträge über die kostenpflichtigen Hugo-Learn-Tarife Standard und Programm haben eine Mindestlaufzeit von 12 Monaten ab dem Tag der Vertragsbestätigung und werden jährlich pro Mitarbeiter abgerechnet. Sie tragen dem jährlichen Schulungs- und Auffrischungszyklus (Zertifikatsgültigkeit 12 Monate) Rechnung. Der Tarif Programm ist ab 26 Mitarbeitern buchbar und umfasst zusätzlich das Jahresprogramm der Phishing-Simulation.

6.5 Außerordentliche Kündigung

(1) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Vertragsparteien unberührt. Ein wichtiger Grund liegt für frag.hugo insbesondere vor:

bei Zahlungsverzug von mehr als zwei aufeinanderfolgenden Monatsbeiträgen,
bei Eröffnung des Insolvenzverfahrens über das Vermögen des Kunden oder Ablehnung der Eröffnung mangels Masse,
bei wiederholtem schwerwiegendem Verstoß gegen wesentliche Pflichten dieser AGB trotz schriftlicher Abmahnung.

(2) Ein wichtiger Grund liegt für den Kunden insbesondere vor bei einer Nichtverfügbarkeit der Plattform von mehr als 10 Werktagen am Stück, sofern frag.hugo die Nicht- Verfügbarkeit zu vertreten hat.

6.6 Sonderkündigungsrecht bei Funktions-Einstellung

Stellt frag.hugo eine Funktion ein, die Vertragswesentlich ist (z.B. das vereinbarte Modul wird abgeschaltet), hat der Kunde ein Sonderkündigungsrecht zum Zeitpunkt der Einstellung. Die Erklärung ist binnen 4 Wochen nach Mitteilung der Einstellung in Textform abzugeben.

6.7 Datenexport bei Vertragsende

(1) Der Kunde kann während der gesamten Vertragslaufzeit und bis zu 30 Tage nach Vertragsende seine Daten in maschinenlesbarer Form (CSV, JSON, PDF) selbst exportieren. Anleitungen finden sich unter docs.fraghugo.de.

(2) Nach Ablauf von 30 Tagen nach Vertragsende ist frag.hugo berechtigt, sämtliche Kundendaten endgültig zu löschen, soweit nicht gesetzliche Aufbewahrungsfristen (z.B. § 257 HGB) entgegenstehen.

§ 7 Verfügbarkeit, Wartung, Service-Level

(1) frag.hugo gewährleistet eine Verfügbarkeit der Plattform von 99,0 % im Monatsmittel. Die Verfügbarkeit bezieht sich auf die HTTP-Erreichbarkeit von app.fraghugo.de und der zugehörigen API-Endpunkte.

(2) Geplante Wartungsfenster werden mindestens 24 Stunden im Voraus per Plattform-Notification oder E-Mail angekündigt und in nutzungsschwache Zeiten (vorzugsweise sonntags 02:00–06:00 Uhr) gelegt. Während der Wartungsfenster gilt die Plattform als verfügbar im Sinne der SLA.

(3) Nicht in die Verfügbarkeitsberechnung einbezogen werden Ausfälle aufgrund höherer Gewalt, Ausfall der Internet-Konnektivität auf Kundenseite, Wartungsfenster gemäß Abs. 2 sowie Ausfälle bei Drittanbietern (Hosting-Provider, Zahlungsdienstleister, KI-Provider).

(4) Bei Unterschreiten der Verfügbarkeitszusage in einem Kalendermonat erstattet frag.hugo dem Kunden auf schriftliche Geltendmachung anteilige Tarifgebühren in Höhe von 5 % je 1 % unterschrittener Verfügbarkeit, maximal jedoch 50 % der Monatsgebühr. Die Geltendmachung muss innerhalb von 30 Tagen nach Monatsende erfolgen.

§ 8 Datenschutz, Auftragsverarbeitung

(1) Soweit frag.hugo personenbezogene Daten des Kunden im Auftrag verarbeitet, schließen die Parteien einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Der AVV-Mustertext ist abrufbar unter fraghugo.de/downloads/avv-frag-hugo-draft.pdf und ist Vertragsbestandteil.

(2) frag.hugo betreibt die Plattform auf Servern der Hetzner Online GmbH in Deutschland (Server im Rechenzentrum Nürnberg, Sicherungen im Rechenzentrum Falkenstein). Eine Übermittlung personenbezogener Daten in Drittländer findet nur in dem Umfang statt, der über die Subprozessoren-Liste (Anhang zum AVV) transparent gemacht ist.

(3) frag.hugo trifft technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO, insbesondere Verschlüsselung der Datenübertragung (TLS 1.2+), verschlüsselte Sicherungen, Multi-Faktor-Authentisierung für Admin-Zugänge, Audit-Logs, regelmäßige Backups und Mitarbeiter-Verpflichtung auf Datengeheimnis.

(4) Eingesetzte Subprozessoren (Stand 7. Oktober 2026): Hetzner Online GmbH (Hosting, Rechenzentrum, Server- und Storage-Infrastruktur, DE), Resend Inc. (Transaktions-E-Mails, US), Brevo (Sendinblue SAS) (CRM, Online-Terminbuchung, Marketing- und Onboarding-Mails, FR), Stripe Inc. (Zahlungsabwicklung, US), OpenAI, L.L.C. (KI-Features und Sprachsynthese, US), Open Source Vulnerabilities (OSV) — Google LLC (Schwachstellensuche für Softwarestücklisten, US), Cloudflare, Inc. (CDN, DNS, DDoS-Schutz, Web Application Firewall, verschlüsselte Zweitsicherung (R2, EU), US). Rechtsgrundlagen und Einzelheiten stehen unter fraghugo.de/subprozessoren. Die aktuelle Liste ist Bestandteil des AVV und wird bei Änderungen mit 4-Wochen-Vorlauf mitgeteilt.

§ 9 Geheimhaltung

(1) Beide Vertragsparteien verpflichten sich, sämtliche im Rahmen der Vertragsdurchführung erlangten vertraulichen Informationen der jeweils anderen Partei (insbesondere Geschäfts- und Betriebsgeheimnisse, Kundendaten, technische Konzepte, Preisinformationen gegenüber Dritten) streng vertraulich zu behandeln, sie nur für Zwecke der Vertragserfüllung zu verwenden und sie nicht an unbefugte Dritte weiterzugeben.

(2) Die Geheimhaltungspflicht gilt unbefristet über die Vertragsbeendigung hinaus.

(3) Ausgenommen von der Geheimhaltungspflicht sind Informationen, die

zum Zeitpunkt der Mitteilung bereits öffentlich bekannt waren,
der empfangenden Partei vor der Mitteilung bereits bekannt waren,
von der empfangenden Partei eigenständig ohne Nutzung der vertraulichen Informationen erarbeitet wurden,
nach Mitteilung ohne Verschulden der empfangenden Partei öffentlich bekannt wurden,
aufgrund gesetzlicher Verpflichtung oder gerichtlicher Anordnung offenbart werden müssen.

§ 10 Mängel, Gewährleistung

(1) frag.hugo erbringt die Leistungen so, dass die Plattform den vereinbarten Beschaffenheitsmerkmalen entspricht und für den vertraglich vorausgesetzten Zweck geeignet ist.

(2) Mängel der Leistungen sind dem Kunden spätestens mit Eingang der jeweiligen Rechnung bekannt und müssen innerhalb von 30 Tagen in Textform an support@fraghugo.de gerügt werden, andernfalls gilt die Leistung als abgenommen.

(3) frag.hugo wird gerügte Mängel im Rahmen einer Nacherfüllung beheben. frag.hugo stehen mindestens zwei Versuche zur Nacherfüllung zu.

(4) Erst nach erfolgloser Nacherfüllung stehen dem Kunden weitergehende Mängelrechte (Minderung, Rücktritt, Schadensersatz) im gesetzlichen Rahmen zu.

§ 11 Haftungsbeschränkung

(1) frag.hugo haftet unbeschränkt

bei Vorsatz und grober Fahrlässigkeit,
bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit,
nach den Vorschriften des Produkthaftungsgesetzes,
im Umfang einer von frag.hugo abgegebenen Garantie.

(2) Bei einfacher Fahrlässigkeit haftet frag.hugo nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten). Die Haftung ist in diesen Fällen beschränkt auf den vertragstypischen, vorhersehbaren Schaden, jedoch maximal auf die Höhe der Vergütung, die der Kunde innerhalb der letzten 12 Monate vor dem Schadensfall an frag.hugo gezahlt hat.

(3) Die Haftung für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Datenverlust und Aufwendungsersatz ist bei einfacher Fahrlässigkeit ausgeschlossen, sofern keine wesentlichen Vertragspflichten verletzt sind.

(4) frag.hugo unterhält eine Berufshaftpflichtversicherung mit einer Mindest- Deckungssumme von 5 Mio. EUR pro Versicherungsfall. Diese deckt auch die Tätigkeit als externer Datenschutzbeauftragter ab.

(5) Die Haftung für Datenverluste ist beschränkt auf den typischen Wiederherstellungs aufwand, der bei vom Kunden ordnungsgemäß und regelmäßig durchgeführten Sicherungen eingetreten wäre. Der Kunde ist verpflichtet, regelmäßig Datensicherungen über die Export-Funktion der Plattform durchzuführen.

§ 12 Schutzrechte, Lizenzen

(1) frag.hugo räumt dem Kunden für die Dauer der Vertragslaufzeit ein nicht- ausschließliches, nicht übertragbares Nutzungsrecht an der Plattform und den darin enthaltenen Vorlagen, Mustern und Texten ein, beschränkt auf den vertraglich vereinbarten Nutzungsumfang (z.B. Anzahl Mitarbeiter, Anzahl Mandanten).

(2) Sämtliche Schutzrechte an der Plattform, der Software, den Vorlagen und der Dokumentation verbleiben bei frag.hugo bzw. ihren Lizenzgebern.

(3) Der Kunde darf von frag.hugo erstellte Dokumente (z.B. exportierte VVT-PDFs, Datenschutzerklärungen, AVVs) nach Vertragsende auf eigene Verantwortung weiter verwenden. Eine Pflege oder Aktualisierungsgarantie nach Vertragsende übernimmt frag.hugo nicht.

§ 13 Höhere Gewalt

(1) Erfüllt eine Vertragspartei ihre Verpflichtungen aus diesem Vertrag aufgrund höherer Gewalt nicht oder nicht ordnungsgemäß, so ist sie für die Dauer und im Umfang dieser Leistungshinderung von ihrer Leistungspflicht befreit.

(2) Höhere Gewalt im Sinne dieses Vertrags umfasst insbesondere: Krieg, Terror, Pandemien, behördliche Anordnungen, flächendeckende Cyber-Angriffe (z.B. CDN-Ausfall, BGP-Hijack), Streiks, längerfristige Strom- oder Internet-Ausfälle, sowie Ausfall wesentlicher Vorleistungen Dritter (Hosting, Stripe, OpenAI), die nicht durch frag.hugo zu vertreten sind.

(3) Dauert ein Ereignis höherer Gewalt länger als 30 Kalendertage an, sind beide Vertragsparteien zur außerordentlichen Kündigung berechtigt.

§ 14 Bestellung und Tätigkeit als externer Datenschutzbeauftragter

(1) Sofern der Kunde Hugo DSB mit Bestellung eines externen Datenschutzbeauftragten bucht, erfolgt die Bestellung gegenüber dem Kunden in Textform mit Angabe der bestellten Person. Der bestellte Datenschutzbeauftragte ist Mitarbeiter von frag.hugo bzw. von frag.hugo unterbeauftragt.

(2) Der Datenschutzbeauftragte erfüllt seine Aufgaben gemäß Art. 39 DSGVO weisungsfrei und ist gemäß Art. 38 Abs. 3 DSGVO geschützt. Er wird durch frag.hugo mit den erforderlichen Ressourcen und Schulungen ausgestattet.

(3) Eine Abberufung der bestellten Person durch frag.hugo ist mit angemessenem Vorlauf (mindestens 4 Wochen) möglich. frag.hugo wird in diesem Fall unverzüglich eine gleichwertig qualifizierte Ersatzperson bestellen.

(4) Die Empfehlung der Aufsichtsbehörden, eine Mindestbestellungsdauer von 1-2 Jahren (Erstbestellung) bzw. 4 Jahren (Folgebestellungen) vorzusehen, wird durch die 24-Monats-Mindestvertragslaufzeit (§ 6 Abs. 2 Ziff. 1) berücksichtigt.

§ 15 Schlussbestimmungen

15.1 Anwendbares Recht

Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

15.2 Gerichtsstand

Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Hamburg, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist. frag.hugo ist auch berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen.

15.3 Salvatorische Klausel

Sollten einzelne Bestimmungen dieser AGB ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die unwirksame oder undurchführbare Bestimmung gilt als durch eine wirksame oder durchführbare Bestimmung ersetzt, die dem wirtschaftlichen Zweck der unwirksamen oder undurchführbaren Bestimmung am nächsten kommt.

15.4 Schriftform / Textform

Soweit nicht ausdrücklich anders geregelt, genügt für rechtserhebliche Erklärungen die Textform (§ 126b BGB), insbesondere E-Mail. Der Verzicht auf das Schriftform erfordernis bedarf der Schriftform.

15.5 Änderungen dieser AGB

(1) frag.hugo ist berechtigt, diese AGB unter Wahrung berechtigter Interessen des Kunden anzupassen, soweit die Anpassung erforderlich ist, um neue technische Entwicklungen, geänderte Rechtsprechung oder gesetzliche Vorgaben umzusetzen, oder um aus Sicht der Vertragsparteien angemessene Klarstellungen zu treffen.

(2) Die geänderten AGB werden dem Kunden mindestens 6 Wochen vor dem geplanten Inkrafttreten in Textform mitgeteilt. Widerspricht der Kunde nicht innerhalb von 4 Wochen nach Zugang der Mitteilung in Textform, gelten die geänderten AGB als angenommen. Auf diese Wirkung wird frag.hugo in der Mitteilung ausdrücklich hinweisen.

(3) Im Fall des Widerspruchs ist frag.hugo zur außerordentlichen Kündigung des Vertrags zum Zeitpunkt des geplanten Inkrafttretens der geänderten AGB berechtigt.

15.6 Online-Streitbeilegung

frag.hugo ist nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

Stand: 8. Oktober 2026 · Version 2.3
Diese AGB ersetzen alle vorhergehenden Fassungen. Sie gelten für sämtliche Verträge, die ab dem 8. Mai 2026 abgeschlossen werden.

Frühere Fassungen bleiben für Bestandsverträge in Kraft, soweit nicht beide Parteien einer Umstellung auf die aktuelle Fassung zustimmen.

Allgemeine Geschäfts­bedingungen