AGB

1Geltungsbereich und Vertragspartner

Diese Allgemeinen Geschäftsbedingungen (AGB) gelten für alle Verträge über die Nutzung von Vallit, einem Dienst zur Prüfung und Überwachung von Web-Apps unter app.vallit.net. Anbieter und Vertragspartner ist Theo Reichert, Einzelunternehmer, handelnd unter Vallit, Parkstraße 1, 76131 Karlsruhe, Deutschland („wir“). Diese Fassung trägt die Version 2026-10-08.

Die bezahlten Pläne und Einzelkorrekturen richten sich ausschließlich an Unternehmer im Sinne von § 14 BGB, also an natürliche oder juristische Personen und rechtsfähige Personengesellschaften, die bei Vertragsschluss in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln, sowie an juristische Personen des öffentlichen Rechts. Das gilt für Kunden in Deutschland und im Ausland. Mit der Bestellung bestätigen Sie, dass Sie für ein Unternehmen handeln und berechtigt sind, es zu verpflichten. Verbraucher können keine bezahlten Leistungen bestellen.

Den kostenlosen Check darf jeder nutzen; für ihn gelten diese AGB mit den Besonderheiten in Abschnitt 2 und Abschnitt 11 Absatz 6.

Abweichende oder ergänzende Bedingungen des Kunden gelten nur, wenn wir ihnen ausdrücklich in Textform zustimmen. Individuelle Vereinbarungen haben Vorrang vor diesen AGB.

2Leistungsbeschreibung je Plan

Vallit ruft eine Web-App so auf, wie es ein Browser tut, und prüft automatisch, was sie jedem Besucher zeigt: unter anderem Erreichbarkeit, Zertifikat, Sicherheits-Header, offen liegende Schlüssel und Dateien. Verbinden Sie ein Repository, lesen die Code-Prüfungen auch dessen Inhalt. Welche Prüfungen ein Bericht umfasst, nennt der Bericht selbst unter „What we checked“. Das Ergebnis ist ein Bericht mit Befunden, ihrer Bedeutung und einer Anleitung zur Behebung („Fix-Kit“), soweit wir eine haben.

Jede App in einem Workspace steht auf einem dieser Pläne:

• Kostenloser Check und Free: eine tägliche Prüfung der Website der App, der vollständige Bericht mit Fix-Kits und die Trust-Page. Code-Prüfungen und die Überwachung im Fünf-Minuten-Takt sind nicht enthalten. Einzelkorrekturen können Sie für den auf der Preisseite genannten Preis bestellen (Abschnitt 7).
• Watch: alle Prüfungen der Website und, bei verbundenem Repository, des Codes; nach bestätigter Domain eine Erreichbarkeitsprüfung alle fünf Minuten mit einer Benachrichtigung je Störung; Trust-Page und Badge. Korrekturen sind nicht enthalten und können einzeln bestellt werden.
• Care: alles aus Watch und zusätzlich unsere Arbeit an jedem bestätigten Befund der App, ohne monatliche Obergrenze, nach Abschnitt 7; auf kritische Befunde antworten wir nach Abschnitt 8.

Preise, die Zahl der selbst gestarteten Prüfungen und die übrigen Grenzen jedes Plans stehen auf der Preisseite und in der App auf der Seite „Billing“; maßgeblich ist der Stand bei Ihrer Bestellung. Der Fünf-Minuten-Takt betrifft die Erreichbarkeit; die übrigen Prüfungen laufen täglich oder wenn Sie sie starten. Wir entwickeln die Prüfungen weiter und dürfen sie ändern, solange der vereinbarte Umfang eines Plans im Wesentlichen erhalten bleibt und die Änderung für Sie zumutbar ist.

3Was eine Prüfung leistet und was nicht

Wir prüfen und melden; wir garantieren nicht, dass Ihre App fehlerfrei oder sicher ist. Ein Bericht beschreibt, was unsere automatischen Prüfungen zu einem bestimmten Zeitpunkt mit den Zugängen beobachtet haben, die Sie uns gegeben haben. Er ist kein Penetrationstest, keine vollständige Sicherheitsprüfung, keine Zertifizierung und keine Rechts- oder Compliance-Beratung.

Automatische Prüfungen erkennen bestimmte Muster. Sie können Fehler und Schwachstellen übersehen und gelegentlich etwas melden, das keine ist; neue Schwachstellen können jederzeit entstehen. Ein Bericht ohne Befunde bedeutet nur, dass die abgeschlossenen Prüfungen nichts gefunden haben. Prüfungen, die nicht laufen konnten, nennt der Bericht als solche; sie gelten nicht als bestanden.

Nicht Gegenstand der Prüfungen sind insbesondere:

• Server-Code in anderen Sprachen als JavaScript und TypeScript sowie Code, der im Browser läuft, über das hinaus, was die Website-Prüfungen sehen;
• Code in Paketen, die nicht im Repository liegen, und der Inhalt von Middleware, deren Namen wir nur als Hinweis auf einen Schutz werten;
• Seiten und Schnittstellen hinter einer Anmeldung;
• Geschäftslogik, Wettlaufsituationen und das gewollte Berechtigungsmodell Ihrer App über die genannten Regeln hinaus;
• aktive Angriffe, Ausnutzen von Schwachstellen sowie Last- und Überlastungstests;
• laufende Cloud-Konten und Infrastruktur, soweit sie nicht in Konfigurationsdateien des Repositorys stehen, und ob eine verwundbare Bibliotheksversion tatsächlich genutzt wird;
• ob Code im Repository tatsächlich ausgeliefert ist;
• Mobil- und Desktop-Apps.

Welche Prüfungen es gibt und was sie nicht abdecken, beschreibt die Seite What Vallit checks, and what not.

Wir schulden die sorgfältige Durchführung der vereinbarten Prüfungen und Meldungen, nicht ein bestimmtes Sicherheitsniveau Ihrer App. Für Ihre App, ihre Daten und ihren Betrieb bleiben Sie verantwortlich. Wie wir haften, regelt Abschnitt 11.

4Nur Apps, die Sie prüfen lassen dürfen

Sie dürfen nur Apps prüfen lassen, die Sie selbst betreiben oder deren Betreiber Sie mit der Prüfung beauftragt hat. Das bestätigen Sie vor der Prüfung. Für die Überwachung im Fünf-Minuten-Takt bestätigen Sie außerdem mit einem DNS-Eintrag, dass Sie über die Domain verfügen. Ein Repository verbinden Sie nur, wenn Sie dazu berechtigt sind.

Lassen Sie schuldhaft eine App ohne diese Berechtigung prüfen, stellen Sie uns von Ansprüchen Dritter frei, die daraus entstehen, einschließlich angemessener Kosten der Rechtsverteidigung. Das gilt nicht, soweit wir den Schaden selbst verschuldet haben. Wir informieren Sie unverzüglich über einen solchen Anspruch und stimmen die Verteidigung mit Ihnen ab.

5Bestellung und Vertragsschluss

Für einen Plan brauchen Sie ein Konto und einen Workspace in der App. Nur Administratoren eines Workspace können bestellen, den Plan wechseln oder kündigen.

Sie wählen auf der Seite „Billing“ den Plan je App und das Abrechnungsintervall, bestätigen in einem Kästchen, dass Sie für ein Unternehmen bestellen und diese AGB sowie die Vereinbarung zur Auftragsverarbeitung in der angezeigten Version annehmen, und senden die Bestellung ab. Bei einer Einzelkorrektur geschieht das am Befund. Damit geben Sie ein verbindliches Angebot ab. Der Vertrag kommt zustande, wenn wir die Bestellung annehmen: bei einem neuen Plan oder einer Einzelkorrektur mit der bestätigten Zahlung über unseren Zahlungsdienstleister Stripe, bei einem Planwechsel mit dessen Bestätigung durch Stripe. Die App zeigt den Plan dann an.

Wir speichern zu jeder Bestellung, welche Version dieser AGB und der Auftragsverarbeitungsvereinbarung wer wann angenommen hat. Diese Angaben sehen Sie in der App auf der Seite „Billing“; die jeweils gültige Fassung können Sie hier aufrufen, speichern und ausdrucken. Ältere Fassungen senden wir Ihnen auf Anfrage.

Sie halten Ihre Zugangsdaten geheim und sind für Handlungen verantwortlich, die über Ihr Konto vorgenommen werden, soweit Sie diese zu vertreten haben. Vertragssprache ist Deutsch.

6Preise, Testzeitraum und Zahlung

Es gelten die Preise, die bei der Bestellung in der App angezeigt werden. Wir sind Kleinunternehmer im Sinne von § 19 UStG und berechnen keine Umsatzsteuer; die angegebenen Preise sind Endpreise, und unsere Rechnungen weisen keine Umsatzsteuer aus.

Sie zahlen monatlich oder jährlich im Voraus per Karte über Stripe. Wechseln Sie den Plan, wird der Unterschied für den Rest des laufenden Abrechnungszeitraums anteilig berechnet oder gutgeschrieben; die App zeigt den Betrag vor dem Absenden. Rechnungen stellen wir elektronisch bereit.

Der erste Watch-Plan eines Workspace beginnt mit einem kostenlosen Testzeitraum von 14 Tagen. Stripe nimmt die Karte zu Beginn auf und belastet sie, wenn der Testzeitraum endet, es sei denn, Sie kündigen vorher. Ein Plan mit Care beginnt sofort kostenpflichtig.

Schlägt eine Zahlung fehl, bleibt der Plan zunächst aktiv. Bleibt die Zahlung auch nach einer Erinnerung mit angemessener Frist aus, dürfen wir die Leistungen des Plans aussetzen, bis die Zahlung eingeht. Ihre Daten halten wir dabei nicht zurück.

7Korrekturen durch Vallit

Einzelkorrektur: Für einen Befund in Ihrem Bericht können Sie auf jedem Plan eine Korrektur zum auf der Preisseite genannten Festpreis bestellen. Care: Für Apps auf Care ist die Arbeit an jedem bestätigten Befund enthalten, ohne monatliche Obergrenze. Bestätigt ist ein Befund, wenn unsere Prüfung ihn gemeldet hat und er sich bei unserer Untersuchung nicht als Fehlmeldung erweist.

Ein Mensch bei Vallit untersucht den Befund und bereitet die Änderung vor, wenn sie in Ihrem Code liegt, als Pull Request auf einem eigenen Branch Ihres Repositorys, sonst als genaue Anleitung. Wir ändern Ihren Hauptbranch, Ihr Hosting oder Dienste Dritter nicht selbst; ob Sie eine Änderung übernehmen und veröffentlichen, entscheiden Sie. Die nächste Prüfung zeigt, ob der Befund danach noch besteht. Den Stand jeder Anfrage sehen Sie in der App.

Eine Arbeit, die voraussichtlich länger als zwei Stunden dauert, stimmen wir vor Beginn mit Ihnen ab: Umfang, Vorgehen und Termin. Liegt die Behebung allein bei Ihrem Hosting-Anbieter oder einem anderen Dritten, fehlt ein nötiger Zugang oder lässt sich ein Befund nicht mit vertretbarem Aufwand in Ihrem Code beheben, sagen wir Ihnen das mit dem konkreten Grund und dem nächsten möglichen Schritt.

Eine bezahlte Einzelkorrektur liefern wir innerhalb von zwei Geschäftstagen (Abschnitt 8) nach Ihrer Bestellung, als Pull Request oder als genaue Anleitung. Solange wir auf etwas von Ihnen warten, etwa einen Zugang oder eine Antwort, steht diese Frist still; die App zeigt, wann das der Fall ist. Haben wir für eine längere Arbeit einen anderen Termin vereinbart, gilt dieser.

Wir führen Korrekturen sorgfältig und nach dem Stand der Technik aus. Sie prüfen eine vorgeschlagene Änderung vor der Übernahme und sichern Ihre Daten und Ihren Code in angemessener Weise. Liefern wir eine bezahlte Einzelkorrektur nicht, auch nicht nach einer angemessenen Nachfrist, oder lehnen wir sie ab, erstatten wir ihren Preis vollständig. Weitergehende gesetzliche Rechte, insbesondere bei Mängeln, bleiben unberührt.

8Support und Antwortzeiten

Unsere Supportzeiten sind Montag bis Freitag, 9 bis 18 Uhr (Zeitzone Europe/Berlin), ausgenommen gesetzliche Feiertage in Baden-Württemberg („Geschäftstage“). Sie erreichen uns unter info@vallit.net.

Care: Auf einen kritischen Befund einer App auf Care antworten wir bis 18 Uhr des nächsten Geschäftstags nach Eingang Ihrer Anfrage oder nach dem Zeitpunkt, zu dem unsere Prüfung den Befund meldet, je nachdem, was früher liegt. Die Antwort nennt, wie wir den Befund einschätzen, die Priorität und den nächsten Schritt; sie ist noch nicht die Korrektur. Für andere Anfragen und andere Pläne sagen wir keine bestimmte Antwortzeit zu.

Wir bemühen uns um einen störungsfreien Betrieb, sagen aber keine bestimmte Verfügbarkeit der App zu. Wartungen, Störungen bei unseren Dienstleistern und Ereignisse außerhalb unseres Einflusses können den Dienst zeitweise einschränken. Den aktuellen Zustand zeigt status.vallit.net.

9Laufzeit und Kündigung

Ein Plan läuft für das gewählte Abrechnungsintervall, einen Monat oder ein Jahr, und verlängert sich jeweils um dasselbe Intervall, wenn er nicht vorher gekündigt wird. Sie können jederzeit zum Ende des laufenden Abrechnungszeitraums kündigen, in der App unter „Billing“ über „Manage billing“ oder per E-Mail an info@vallit.net. Wir können mit einer Frist von einem Monat zum Ende eines Abrechnungszeitraums kündigen.

Das Recht beider Seiten zur Kündigung aus wichtigem Grund bleibt unberührt. Erbringen wir eine wesentliche Leistung eines Plans dauerhaft nicht, auch nicht nach einer angemessenen Frist, können Sie den Plan sofort beenden und erhalten den im Voraus gezahlten Betrag für die verbleibende Zeit anteilig zurück.

Endet ein Plan, bleiben Ihre Apps im Workspace auf Free: Sie werden weiter täglich geprüft, und Ihre Berichte bleiben lesbar, bis Sie den Workspace löschen. Auf Anfrage erhalten Sie Ihre Berichte und Befunde in einem gängigen maschinenlesbaren Format. Was wir wann löschen, steht in der Datenschutzerklärung.

10Ihre Pflichten

Sie nutzen Vallit nicht, um

• Apps ohne Berechtigung zu prüfen (Abschnitt 4),
• fremde Systeme zu überlasten oder unsere Begrenzungen zu umgehen,
• die Ergebnisse gegen Dritte einzusetzen, etwa um Schwachstellen auszunutzen, oder
• den Dienst automatisiert in einem Umfang abzufragen, den die App nicht vorsieht.

Verstoßen Sie erheblich gegen diese Pflichten, dürfen wir die betroffene Nutzung vorläufig sperren, Ihnen den Grund nennen und, wenn der Verstoß nicht abgestellt wird, den Vertrag aus wichtigem Grund kündigen.

11Haftung

1. Wir haften unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei arglistigem Verschweigen eines Mangels, im Umfang einer ausdrücklich übernommenen Garantie, nach dem Produkthaftungsgesetz und in allen anderen Fällen, in denen das Gesetz die Haftung nicht beschränken lässt.
2. Bei leichter Fahrlässigkeit haften wir nur, wenn wir eine wesentliche Vertragspflicht verletzen, also eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung Sie regelmäßig vertrauen dürfen. Die Haftung ist dann auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt.
3. Dass eine sorgfältig durchgeführte Prüfung einen Fehler oder eine Schwachstelle nicht erkennt, ist für sich keine Pflichtverletzung (Abschnitt 3). Für Schäden aus einem nicht erkannten Fehler oder aus Angriffen Dritter haften wir nur, soweit wir eine Pflicht schuldhaft verletzt haben, und dann im Rahmen der Absätze 1 und 2.
4. Ein Mitverschulden, insbesondere eine fehlende angemessene Sicherung von Daten und Code oder die Übernahme einer Änderung ohne Prüfung, wird nach § 254 BGB berücksichtigt.
5. Diese Regeln gelten auch für die persönliche Haftung unserer Erfüllungsgehilfen. Im Übrigen ist die Haftung ausgeschlossen, soweit das Gesetz es erlaubt.
6. Für den kostenlosen Check, der unentgeltlich ist, haften wir nur für Vorsatz und grobe Fahrlässigkeit sowie in den Fällen des Absatzes 1.

12Datenschutz, Auftragsverarbeitung und Vertraulichkeit

Wie wir personenbezogene Daten verarbeiten, steht in der Datenschutzerklärung. Soweit wir bei Prüfung, Überwachung oder Korrektur personenbezogene Daten in Ihrem Auftrag verarbeiten, gilt die Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO, die Sie mit der Bestellung annehmen. Die eingesetzten Unterauftragsverarbeiter stehen auf der Seite Unterauftragsverarbeiter.

Sie behalten alle Rechte an Ihrem Code und Ihren Daten. Wir nutzen sie nur, um die vereinbarten Leistungen zu erbringen, und trainieren keine KI-Modelle damit. Wir behandeln Ihre Berichte und Befunde vertraulich und geben sie nur an die Dienstleister weiter, die wir für den Betrieb brauchen. Einen Bericht oder eine Trust-Page, die Sie über einen Link teilen oder veröffentlichen, kann jeder mit diesem Link lesen.

13Änderungen dieser AGB und der Preise

Neue Fassungen dieser AGB veröffentlichen wir hier mit neuer Version. Für einen laufenden Vertrag gilt eine neue Fassung oder ein neuer Preis erst, wenn Sie zustimmen, etwa mit der nächsten Bestellung in der App. Schweigen gilt nicht als Zustimmung. Stimmen Sie nicht zu, läuft Ihr Vertrag zu den bisherigen Bedingungen weiter; wir können ihn dann nach Abschnitt 9 ordentlich kündigen.

14Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

Sind Sie Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen oder haben Sie keinen allgemeinen Gerichtsstand in Deutschland, ist Gerichtsstand für alle Streitigkeiten aus dem Vertrag Karlsruhe, soweit das Gesetz es zulässt. Wir dürfen Sie auch an Ihrem allgemeinen Gerichtsstand verklagen.

Ist eine Bestimmung dieser AGB unwirksam, bleiben die übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.