(Stand: 19. September 2026)
Allgemeine Geschäftsbedingungen

1. Geltungsbereich
Für alle Leistungen im Shop gelten diese Allgemeinen Geschäftsbedingungen (AGB).
Die Leistungen richten ausdrücklich NICHT (!) an Verbraucher - sie sind ausdrücklich als B2B Angebote zu verstehen. Verbraucher ist jede natürliche Person, die ein Rechtsgeschäft zu einem Zwecke abschließt, der überwiegend weder ihrer gewerblichen noch ihrer selbstständigen beruflichen Tätigkeit zugerechnet werden kann.
Diese Unterscheidung ist bei Unternehmensgründern und Freiberufler kaum sicher automatisiert zu treffen, daher sind die Regeln pragmatisch so angepasst, dass nach Möglichkeit niemand benachteiligt wird. Die betrifft besonders das für Unternehmen freiwillig gewährte Widerrufsrecht.

2. Vertragspartner
Die Buchung einer Leistung durch Ihr Unternehmen kommt zustande mit Michael Georg Speller, unter seiner Marke GREY-APE.

3. Vertragsschluss
3.1. Die Darstellung der Services im Online-Shop stellt kein rechtlich bindendes Angebot, sondern nur eine Aufforderung zur Bestellung dar.
3.2. Durch Anklicken des Buttons [Kaufen/kostenpflichtig bestellen/Buchen] geben Sie eine verbindliche Bestellung der auf der Bestellseite aufgelisteten Leistungen ab. Ein Vertrag kommt zustande, wenn wir Ihre Buchung nach Zahlungseingang per E-Mail annehmen.

4. Widerrufsrecht & Rückerstattungsrichtlinie
4.1. Da wir aufgrund der Natur der Leistungen nicht automatisiert sicher stellen können, dass Sie nicht als Verbraucher gelten (also eine natürliche Person, die die Buchung / Bestellung zu einem Zweck abgibt, der nicht eindeutig einer gewerblichen oder selbständigen beruflichen Tätigkeit zugerechnet werden kann), steht Ihnen analog zu gesetzlichen Bestimmungen für Verbraucher auch als B2B Kunde ein Widerrufsrecht zu.
4.2. Machen Sie von Ihrem Widerrufsrecht nach Ziffer 4.1 Gebrauch, so haben Sie die regelmäßigen Kosten der Rückabwicklung zu tragen.
4.3. Im Übrigen gelten für das Widerrufsrecht die Regelungen, die im Einzelnen in der im Menü oben verlinkten Rückerstattungsrichtlinie geregelt sind.
4.4. Sofern der Beginn der Leistungen vor Ablauf der Widerrufsfrist starten soll, ist zwingend das Feld "Verzicht auf Widerrufsrecht (JA / NEIN)" mit JA auszufüllen.

5. Preise und Reise-/Versandkosten
5.1. Die auf den Serviceseiten genannten Preise enthalten die gesetzliche Mehrwertsteuer und sonstige Preisbestandteile, soweit einschlägig.
5.2. Die Ankündigung der Berechnung von Versandkosten ist aktuell technisch nicht für einzelne Leistungstypen abschaltbar, erfolgt aber in der Zusammenfassung nur, wo sinnvoll.

6. Leistungen
6.1. Art und Weise der Leistungserbringung:
Leistungen erfolgen in der für den jeweiligen Service beschriebene Art und Weise.
Für abweichende oder Sondervereinbarungen nutzen Sie bitte einen Change-Request.
6.2 Durchführung & Zusammenarbeit
- Weisungsfreiheit: Der Auftragnehmer bestimmt die Art und Weise, den Ort und die Zeit der Leistungserbringung selbstständig. Der Auftraggeber hat kein fachliches oder organisatorisches Direktionsrecht. Meetings zwischen den Parteien dienen ausschliesslich der Abstimmung von Projektständen und dem Austausch von Arbeitsergebnissen.
- Keine disziplinarische Führungsverantwortung: Der Auftragnehmer führt kein internes Personal des Auftraggebers, übernimmt keine Linienvorgesetztenfunktionen und trifft keine hoheitlichen Personalentscheidungen.
- Ergebnis- und Beratungsfokus: Die Leistungen umfassen methodische Konzeption, unabhängige Review- und Challenge-Tätigkeiten (2nd Line of Defense Sparring), gutachterliche Beurteilungen sowie prüfungsfähige Dokumentationserstellung. Die finale Umsetzungs- und Freigabeentscheidung verbleibt stets bei den Organen/Führungskräften des Auftraggebers.
- Keine arbeitsteilige Eingliederung: Die Zusammenarbeit erfolgt über definierte Schnittstellen (z. B. Jour Fixe, Delivery-Meilensteine, definierte Abnahmepunkte) und nicht im Rahmen des täglichen operativen Linienbetriebs (z. B. keine festen Schichtpläne, kein Einbinden in agile Linien-Sprints ohne abgegrenztes Arbeitspaket).
- Nutzung eigener Betriebsmittel: Der Auftragnehmer nutzt für die Leistungserbringung eigene Hard- und Software. Sollte aus zwingenden Gründen der IT-Sicherheit oder des Datenschutzes (z. B. Zugriff auf regulierte Produktivsysteme) die Nutzung von Auftraggeber-Infrastruktur oder Auftraggeber-Lizenzen erforderlich sein, gilt dies als rein technische Beistellung des Auftraggebers zur Vertragserfüllung und begründet keine arbeitsrechtliche Eingliederung.
- Einsatz von Mitarbeitern: Der Auftragnehmer schuldet keine persönliche Leistung. Er ist berechtigt, nach vorheriger Information des Auftraggeber, qualifizierte Angestellte oder Subunternehmer zur Erfüllung der Leistungs-Module einzusetzen.
6.3. Standard-Leistungsmodule
Folgende Leistungs-Module lassen sich individuell nach Auftraggeber-Bedarf kombinieren:
- Regulatorische Risiko-Governance & Berichterstattung
Erstellung von regulatorischen Risiko-Berichten und Bedrohungsanalysen nach gesetzlichen Gesamtanforderungen (DORA, NIS2, CRA, AI Act). Aufbau und Restrukturierung prüfungsrelevanter IT-Governance-Strukturen sowie Konzeption des gesetzlichen Berichts- und Reportwesens. Durchführung von Audit-Readiness-Self-Assessments und Vorbereitung von Argumentationsketten für Aufsichtsprüfungen.
- Richtlinienwesen & Internes Compliance-Framework
Ausarbeitung, Überprüfung und Aktualisierung interner IT-/OT-Richtlinien und Betreiber-/Anwenderdokumentationen. Erstellung von Compliance-Nachweisen, Konformitätserklärungen (z. B. CE-Konformität nach CRA) und Umsetzungs-Massnahmenplänen (Remediation).
- Third-Party Risk Management (TPRM) & DORA/CRA Compliance
Aufbau und operative Umsetzung eines regulatorisch konformen Third-Party Risk Management (TPRM) Frameworks. Durchführung von regulatorischen Due-Diligence-Prüfungen und Lieferketten-Audits bei kritischen Dienstleistern und IKT-Drittanbietern des Kunden.
- Vertragsdesign & Verhandlungsbegleitung (Sourcing)
Entwurf und rechtliche Absicherung von Vertragsanhängen, Service-Level-Agreements (SLA), Operating-Level-Agreements (OLA) und anwenderspezifischen SoWs. Erstellung und Verhandlungsführung von Cybersecurity Supplier Agreements (CSSA) und Supply-Chain-Klauseln für IT-Outsourcing, Provider-Wechsel oder M&A-Transaktionen.
- Training & Know-how-Transfer
Konzeption und Durchführung von praxisnahen Trainings, Fach-Workshops und Schulungen zur Operationalisierung der neuen EU-Regulatorik für Fach- und IT-Funktionen.

7. Retainer-Kontingente, Monatsbindung & Verfallregelung
- Bereitstellung und Monatsbezug:
Die im Rahmen von periodischen Retainer-Vereinbarungen vereinbarten Tages- oder Leistungskontingente beziehen sich jeweils strikt auf den vereinbarten Kalendermonat. Der Auftragnehmer reserviert für den Auftraggeber im jeweiligen Abrechnungsmonat die vereinbarten Senior-Kapazitäten exklusiv im Rahmen seiner unternehmerischen Ressourcenplanung.
- Verfall nicht abgerufener Kontingente:
Ruft der AG vereinbarte Retainer-Tage innerhalb des laufenden Abrechnungsmonats nicht oder nur teilweise ab, verfallen die nicht in Anspruch genommenen Kontingente mit Ablauf des letzten Kalendertages des jeweiligen Monats ersatzlos. Eine Übertragung nicht genutzter Tage oder Stunden in Folgemonate, eine Aufkumulierung von Kontingenten sowie ein Anspruch auf Rückvergütung oder Verrechnung sind ausdrücklich ausgeschlossen, es sei denn, die Nichtinanspruchnahme beruht auf einem vom AN nachweislich allein zu vertretenden Umstand.
- Vorzeitige Ausschöpfung:
Wird das vereinbarte Monatspaket vor Ablauf des Kalendermonats durch vom AG freigegebene Leistungen vollständig ausgeschöpft, ruht die Leistungserbringung des AN bis zum Beginn des Folgemonats, sofern die Parteien keine gesonderte Beauftragung von Zusatzkontingenten auf Basis der vereinbarten Tagessätze in Textform vereinbaren.

8. Mitwirkungspflichten des AG, Terminschutz & Annahmeverzug
8.1. Wesentliche Mitwirkungshandlungen:
Die fristgerechte und ordnungsgemäße Erbringung der geschuldeten Deliverables setzt voraus, dass der AG seine Mitwirkungspflichten vollständig, unverzüglich und unaufgefordert erfüllt. Hierzu zählen insbesondere:
- die rechtzeitige Bereitstellung aller für die Bearbeitung erforderlichen Unterlagen, Richtlinien, Architekturbeschreibungen, Audit-Berichte und Verträge in vollständiger und lesbarer Form,
- die Benennung fachlich zuständiger Ansprechpartner sowie die Sicherstellung deren terminlicher Verfügbarkeit für Interviews, Scoping-Gespräche und Validierungsrunden,
- die fristgerechte Erteilung notwendiger Systemsichten oder Leseberechtigungen auf GRC-Systeme und Datenräume.
8.2. Stornierungs- und Verlegungsfristen für Arbeitsphasen (Sprints & Workshops):
Terminierte Sprint-Blöcke, Prüfungsbegleitungen, Mock-Audits oder Moderationstermine können vom AG bis spätestens zehn (10) Werktage vor dem geplanten Durchführungstermin in Textform kostenfrei verschoben werden. Erfolgt eine Absage oder Terminverschiebung durch den AG zu einem späteren Zeitpunkt, bleibt der Vergütungsanspruch des AN für das hierfür reservierte Zeitkontingent vollumfänglich bestehen, da kurzfristig freigewordene Senior-Kapazitäten nicht anderweitig disponiert werden können.
8.3. Annahmeverzug (§§ 615, 293 ff. BGB) & Entschädigung (§ 642 BGB):
Gerät der AG mit der Beibringung erforderlicher Informationen, Dokumente oder Freigaben in Verzug oder sagt er vereinbarte Termine kurzfristig ab, gerät er ohne gesonderte Mahnung in Annahmeverzug.
- Der AN behält in diesem Fall seinen vollen Anspruch auf die vereinbarte Vergütung (§ 615 Satz 1 BGB) bzw. hat Anspruch auf eine angemessene Entschädigung (§ 642 BGB) für den Zeitraum der unverschuldeten Bereithaltung.
- Der AN ist nicht verpflichtet, die infolge des Annahmeverzugs nicht erbrachten Leistungen zu einem späteren Zeitpunkt ohne gesonderte Vergütung nachzuholen.
- Vereinbarte Fertigstellungstermine für Deliverables verschieben sich mindestens um die Dauer der vom AG verursachten Verzögerung zuzüglich einer angemessenen Wiederanlauffrist von fünf (5) Werktagen.

9. Risikobasierte Scope-Kalibrierung & Detaillierungsgrad
9.1. Artefakt-Orientierung statt Zeitarbeit:
Die Parteien stimmen überein, dass die Leistungsverpflichtung des AN in der Erstellung des im jeweiligen Modul definierten fachlichen Ergebnis-Artefakts (Deliverable, z. B. Readiness-Bericht, Vendor-Prüfdossier, KRI-Dashboard-Konzept) besteht und keine zeitlich unbegrenzte oder weisungsgebundene Arbeitsleistung darstellt.
9.2. Abhängigkeit der Prüftiefe vom gebuchten Kontingent:
Der methodische Detaillierungsgrad, die Prüftiefe sowie der Umfang der analysierten Stichproben richten sich verbindlich nach der Höhe des vom AG gebuchten Zeit- und Vergütungskontingents:
- Bei kleineren Paketgrößen (z. B. 2–4 Beratertage) erfolgt die Untersuchung auf Basis einer risikoorientierten Schwerpunktbildung (High-Level-Assessment bzw. Stichprobenprüfung relevanter Kernsysteme).
- Eine flächendeckende Vollerhebung sämtlicher IT-Systeme, Third-Party-Beziehungen oder Kontrollen ist nur geschuldet, wenn das hierfür vereinbarte Kontingent nach pflichtgemäßem Ermessen des AN quantitativ ausreicht.
9.3. Fachliches Priorisierungsermessen des AN:
Um eine unzulässige arbeitsteilige Weisungsbindung (Gefahr verdeckter Arbeitnehmerüberlassung gem. § 1 AÜG) auszuschließen, bestimmt der AN die Methodik, die Auswahl der stichprobenartig untersuchten Bereiche und die Priorisierung der analysierten Risiken nach eigenem fachlichen Ermessen anhand internationaler Best Practices (z. B. Wesentlichkeitsprinzip, Schutzbedarfsanalyse).
9.4. Scope-Erweiterung (Change Request):
Ergibt sich während der Erstellung des Deliverables, dass der AG eine tiefere Detailanalyse, zusätzliche Kontrollprüfungen oder die Einbeziehung weiterer Fachbereiche/Systeme wünscht, die das gebuchte Kontingent überschreiten würden, schuldet der AN die Fertigstellung des Deliverables im ursprünglich vereinbarten, risikobasierten Rahmen. Eine Ausweitung des Detaillierungsgrades bedarf einer gesonderten Nachbuchung von Beratertagen über eine schriftliche Auftragsergänzung.

10. Zahlungen
10.1. Vorschuss / Rolling Deposit
Die Vergütung erfolgt grundsätzlich nach dem „Rolling Deposit“ Modell zu 100 % des Betrages für den ersten Monats-Retainer vor Projektbeginn als B2B-Bank-Überweisung. Anonyme Zahlungen, Zahlungen unter falschen Namen, mit falscher Bestellnummer, etc. werden direkt abgelehnt.
Wir nennen Ihnen unsere Bankverbindung in der Zusammenfassung Ihrer Gesamt-Buchung und starten mit der Leistungserbringung direkt nach Zahlungseingang des Anteils für den ersten Monat, sofern auf ein Widerrufsrecht verzichtet wurde. Ansonsten nach Ablauf der Widerrufsfrist von 14 Tagen. Der Auftragnehmer ist nicht verpflichtet, vor vollständigem Zahlungseingang dieses Vorschusses mit den Arbeiten zu beginnen.
10.2. Folgemonate & Abrechnung
Die Abrechnung erfolgt monatlich nachträglich auf Basis des tatsächlichen Abrufs gegen Vorlage eines qualifizierten Leistungsberichts. Der geleistete Vorschuss verbleibt während der gesamten Projektlaufzeit als Sicherheitseinlage beim Auftragnehmer.
10.3. Projektende & Verrechnung:
Im letzten Monat der Vertragslaufzeit wird keine neue Abschlagszahlung fällig; stattdessen wird der ursprüngliche Vorschuss vollständig mit der finalen Schlussrechnung des Projekts verrechnet.
10.4. Verlängerungs-Mechanismus:
Das SoW verlängert sich nicht automatisch. Sofern der Auftraggeber die Leistungen erneut in Anspruch nehmen möchte, wird er eine erneute Bestellung aufgeben.
10.5. Der Auftraggeber verpflichtet sich, die laufenden Monatsrechnungen innerhalb eines Zahlungsziels von 7 Tagen zu begleichen. Geht eine laufende Monatszahlung nicht pünktlich ein, ist der Auftragnehmer berechtigt, die Leistungen für den Folgemonat sofort einzustellen, bis der Zahlungsrückstand ausgeglichen ist.

11. Eigentumsvorbehalt / Verwertungsrechte
Bis zur vollständigen Zahlung bleiben Ergebnisse aller Leistungen, ebenso Urheber- und Verwertungsrechte unser Eigentum. Eine Verwertung zu anderen Zwecken als zum Deckung von Eigenbedarf ist ausdrücklich untersagt.

12. Mängelgewährleistung
12.1. GREY-APE haftet für Mängel bei der Leistungserbringung nach den hierfür jeweils geltenden gesetzlichen Vorschriften - maximal jedoch bis zur Höhe des Auftragsvolumens.
12.2. Zusätzliche Garantien oder Zusicherungen bestehen nur, wenn diese ausdrücklich zu der jeweiligen Leistung abgegeben wurde.

13. Streitbeilegung
Wir sind zur Beilegung von Streitigkeiten durch Teilnahme an einem Streitbeilegungsverfahren vor einer neutralen Schlichtungsstelle generell bereit.