Zusatzvereinbarung KI-Dienste

Übersicht

Diese Zusatzvereinbarung KI-Dienste ist ein eigenständiger Vertrag, der bei der Registrierung gesondert akzeptiert wird. Sie ergänzt die Allgemeinen Geschäftsbedingungen (AGB) der AI-Com Innovations GmbH hinsichtlich aller Aspekte des Einsatzes von Systemen der Künstlichen Intelligenz und geht diesen für den Bereich des KI-Einsatzes vor, soweit sie speziellere Regelungen enthält.

Verhältnis zu den übrigen Vertragsdokumenten. Die datenschutzrechtliche Ausgestaltung der Verarbeitung (Verarbeitungsort, Unterauftragsverarbeiter, Übermittlungsgrundlagen, Löschfristen) ist abschließend in der Auftragsverarbeitungsvereinbarung (AVV) und ihren Anlagen geregelt. Diese Zusatzvereinbarung verweist hierauf und wiederholt die dortigen Festlegungen nicht, um Widersprüche auszuschließen. Im Verhältnis zur AGB gilt die in § 1 Abs. 3 AGB festgelegte Rangfolge.

Präambel

Diese Zusatzvereinbarung KI-Dienste (nachfolgend „Zusatzvereinbarung") ist ein eigenständiger Vertrag zwischen der AI-Com Innovations GmbH (nachfolgend „AI-Com") und dem Kunden, der bei der Registrierung gesondert akzeptiert wird. Sie ergänzt die AGB von AI-Com hinsichtlich aller Aspekte des Einsatzes von Systemen der Künstlichen Intelligenz im Rahmen der SaaS-Plattform ZYBR.

ZYBR setzt KI-Technologien ein, um Anfragen der Endkunden des Kunden automatisiert oder teilautomatisiert zu bearbeiten, insbesondere zu analysieren, zu klassifizieren, zu übersetzen und zu beantworten. Im Verhältnis zur AGB geht diese Zusatzvereinbarung für den Bereich des KI-Einsatzes vor, soweit sie speziellere Regelungen enthält.

Diese Zusatzvereinbarung ist anbieterneutral formuliert. Die konkret eingesetzten KI-Modelle, Sprachmodell-Anbieter und Infrastruktur-Dienstleister sowie die jeweils anwendbaren datenschutzrechtlichen Garantien ergeben sich aus der AVV und ihren Anlagen. Sie genügt nach dem zum Zeitpunkt ihrer Erstellung geltenden Rechtsstand den Anforderungen der Verordnung (EU) 2024/1689 (EU AI Act), der Datenschutz-Grundverordnung (DSGVO) sowie sonstiger einschlägiger Rechtsnormen.

§ A1 Begriffsbestimmungen

Im Sinne dieser Zusatzvereinbarung bezeichnen:

„KI-System" das in die ZYBR-Plattform integrierte System zur automatisierten Sprachverarbeitung und Antwortgenerierung auf Basis von KI-Technologie, insbesondere unter Einsatz großer Sprachmodelle (Large Language Models) sowie ergänzender Verfahren (Klassifikation, Übersetzung, Audio-Transkription, Vektorsuche).

„KI-Output" jede durch das KI-System erzeugte Antwort, Zusammenfassung, Klassifikation, Übersetzung, Transkription oder sonstige maschinell erzeugte Ausgabe.

„HitL-Modus" (Human-in-the-Loop) den Betriebsmodus, in dem KI-Outputs vor dem Versand an Endkunden von einem Mitarbeiter des Kunden geprüft und freigegeben werden müssen.

„Vollautomatik-Modus" den Betriebsmodus, in dem KI-Outputs ohne vorherige menschliche Prüfung automatisch an Endkunden versendet werden.

„Eskalationsparameter" die vom Kunden konfigurierten Schwellenwerte und Regeln, anhand derer das KI-System entscheidet, ob eine Anfrage automatisch beantwortet oder an einen Mitarbeiter des Kunden weitergeleitet wird.

„Endkunden" die natürlichen oder juristischen Personen, die mit dem Kunden in einem Kunden- oder Interessentenverhältnis stehen und über ZYBR kommunizieren.

„Anbieter" und „Betreiber" die Rollen im Sinne des EU AI Act (Art. 3): „Anbieter" (Provider) ist, wer ein KI-System entwickelt und bereitstellt; „Betreiber" (Deployer) ist, wer ein KI-System in eigener Verantwortung einsetzt. Im Verhältnis der Parteien nimmt AI-Com hinsichtlich des KI-gestützten Antwortsystems regelmäßig eine Anbieterrolle, der Kunde eine Betreiberrolle ein.

„GPAI-Modell" ein KI-Modell mit allgemeinem Verwendungszweck (General-Purpose AI) im Sinne der Art. 51 ff. EU AI Act, das von einem Drittanbieter bereitgestellt und in das KI-System eingebunden wird.

„Technischer Systemfehler" eine reproduzierbare Fehlfunktion der von AI-Com verantworteten Software oder Infrastruktur (insbesondere ein Programmierfehler, der Ausfall einer Systemkomponente oder eine fehlerhafte Datenverarbeitung im Code), die zu einem von der vereinbarten Funktionsbeschreibung abweichenden Verhalten des KI-Systems führt. Kein technischer Systemfehler ist insbesondere die inhaltliche Unrichtigkeit, Unvollständigkeit oder Missverständlichkeit eines KI-Outputs, die auf der statistischen Funktionsweise des zugrunde liegenden Sprachmodells beruht (sogenannte „Halluzinationen"), auf einer unvollständigen, veralteten oder widersprüchlichen Datenbasis des Kunden oder auf einer fehlerhaften Konfiguration durch den Kunden.

§ A2 Funktionsweise des KI-Systems und eingesetzte Anbieter

(1) ZYBR empfängt eingehende Anfragen von Endkunden des Kunden über die im Hauptvertrag bzw. in der AVV genannten Kanäle (insbesondere E-Mail, Facebook Messenger, Instagram Direct, WhatsApp Business, PayPal-Disputes sowie ein Endkunden-Retourenportal), analysiert diese mithilfe großer Sprachmodelle und generiert Antwortvorschläge auf Basis der vom Kunden bereitgestellten Datenbasis (Produktdaten, Richtlinien, Vorlagen) sowie der konfigurierten Eskalationsparameter. Ergänzend können Audio-Diktate von Mitarbeitern des Kunden zur Erstellung von Antwortentwürfen transkribiert werden.

(2) Das System unterscheidet zwei Betriebsmodi: Im HitL-Modus (Standard) werden KI-Outputs vor dem Versand menschlich geprüft. Im Vollautomatik-Modus erfolgt der Versand automatisch. Die Aktivierung des Vollautomatik-Modus liegt allein in der Verantwortung des Kunden.

(3) Das KI-System trifft keine autonomen, rechtlich verbindlichen Entscheidungen im eigenen Namen. Alle KI-Outputs sind als automatisiert generierte Kommunikationshilfen zu verstehen. Rechtlich verbindlich ist ausschließlich das, was der Kunde in seiner Datenbasis als verbindlich definiert hat. Aktiviert der Kunde den Vollautomatik-Modus (§ A2 Abs. 2), können KI-Outputs ohne vorherige menschliche Prüfung versendet werden; für die Einhaltung des Art. 22 DSGVO bei etwaigen automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ist in diesem Fall der Kunde verantwortlich (§ A8 Abs. 6).

(4) Anbieterneutralität. AI-Com ist berechtigt, die zur Leistungserbringung eingesetzten KI-Modelle, Sprachmodell-Anbieter und Infrastruktur-Dienstleister bei sachlichem Grund auszuwählen, zu ergänzen oder auszutauschen, sofern das datenschutzrechtliche Schutzniveau und die funktionale Leistungsfähigkeit des Systems dabei erhalten bleiben. Die KI-Inferenz wird vorrangig über Anbieter mit Serverstandort innerhalb der EU bzw. des EWR erbracht. Einzelne Anbieter mit Sitz oder faktischer Verarbeitung in einem Drittland werden nur unter den Voraussetzungen des § A8 eingesetzt.

(5) Die jeweils aktuell eingesetzten Unterauftragsverarbeiter, ihr Sitz sowie die je Anbieter anwendbare Übermittlungsgrundlage ergeben sich aus Anlage 2 der AVV (Liste der Unterauftragsverarbeiter). Änderungen richten sich nach dem dortigen Verfahren (§ 5 Abs. 2 AVV). Diese Zusatzvereinbarung benennt aus diesem Grund keine einzelnen Anbieter abschließend; ein Anbieterwechsel erfordert keine Neufassung dieser Zusatzvereinbarung.

§ A3 Risikoklassifizierung nach dem EU AI Act

(1) AI-Com hat das KI-System ZYBR im Hinblick auf die Anforderungen des EU AI Act (Verordnung (EU) 2024/1689) geprüft. Nach aktuellem Stand der Nutzung — automatisierte oder teilautomatisierte Beantwortung von Kundenanfragen ohne Entscheidungswirkung über rechtlich erhebliche individuelle Merkmale — ist ZYBR als KI-System mit begrenztem Risiko (Limited Risk) einzustufen, das den Transparenzpflichten des Art. 50 EU AI Act unterliegt (§ A7).

(2) Diese Einstufung gilt unter der Voraussetzung, dass der Kunde ZYBR ausschließlich für die in der Leistungsbeschreibung genannten Zwecke einsetzt. Eine Nutzung für Hochrisiko-Anwendungsfälle im Sinne des Anhangs III EU AI Act ist ausdrücklich untersagt, insbesondere die dort genannten Fälle (z. B. Kreditwürdigkeitsbewertung natürlicher Personen sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen, Anhang III Nr. 5).

(3) Sollte AI-Com im Rahmen einer späteren regulatorischen Bewertung oder aufgrund geänderter Nutzungsszenarien zu dem Ergebnis kommen, dass ZYBR oder spezifische Einsatzkonfigurationen als Hochrisiko-KI-System einzustufen sind, wird AI-Com den Kunden hierüber unverzüglich informieren und die Vereinbarung entsprechend anpassen (§ A12).

§ A4 Konfigurationsverantwortung, Betreiberrolle und KI-Kompetenz des Kunden

(1) Der Kunde ist als Betreiber des KI-Systems im Sinne des EU AI Act allein verantwortlich für die inhaltliche Konfiguration des Systems, insbesondere für:

(a) die Festlegung und laufende Anpassung der Eskalationsparameter;

(b) die Qualität, Vollständigkeit und Rechtmäßigkeit der bereitgestellten Datenbasis (Produktdaten, Richtlinien, Vorlagen);

(c) die Entscheidung über die Aktivierung des Vollautomatik-Modus;

(d) die Einhaltung der anwendbaren Rechtsnormen im Rahmen des KI-Einsatzes auf Betreiberseite (insbesondere DSGVO, UWG, EU AI Act).

(2) Der Kunde bestätigt die Eskalationsparameter nach deren Konfiguration durch einen aktiven Bestätigungsklick im System. Mit dieser Bestätigung übernimmt der Kunde die volle Verantwortung für die gewählte Konfiguration und deren Auswirkungen auf die KI-Outputs. Der Bestätigungsvorgang wird revisionssicher protokolliert.

(3) AI-Com haftet nicht für Schäden, die aus einer fehlerhaften, unvollständigen oder rechtlich problematischen Konfiguration durch den Kunden resultieren, insbesondere nicht für KI-Outputs, die auf einer mangelhaften Datenbasis beruhen.

(4) KI-Kompetenz (AI Literacy, Art. 4 EU AI Act). Beide Parteien stellen im jeweils eigenen Verantwortungsbereich ein angemessenes Maß an KI-Kompetenz der mit dem KI-System befassten Personen sicher. Der Kunde stellt als Betreiber insbesondere sicher, dass die das System bedienenden Mitarbeiter über die Funktionsweise, die Grenzen und die Risiken von KI-Outputs (insbesondere das Risiko von Halluzinationen) sowie über die Pflicht zur Prüfung und zur transparenten Kennzeichnung gegenüber Endkunden hinreichend informiert sind. AI-Com stellt hierfür auf Anfrage geeignete Hinweismaterialien zur Verfügung.

§ A5 Überwachungspflichten im Vollautomatik-Modus

(1) Aktiviert der Kunde den Vollautomatik-Modus, ist er verpflichtet, die automatisch versendeten KI-Outputs regelmäßig zu überwachen und auf Qualität, Korrektheit und Rechtskonformität zu prüfen.

(2) Die Überwachung umfasst mindestens:

(a) eine wöchentliche Stichprobenkontrolle der versendeten Antworten, deren Umfang sich am Antwortvolumen orientiert und mindestens fünf Prozent (5 %) der in der jeweiligen Woche automatisch versendeten Antworten umfasst, mindestens jedoch zehn (10) Vorgänge pro Woche, sofern ein entsprechendes Volumen anfällt;

(b) die unverzügliche Deaktivierung des Vollautomatik-Modus bei festgestellten Qualitäts- oder Rechtskonformitätsproblemen;

(c) die unverzügliche Meldung technischer Fehlfunktionen des Systems an AI-Com;

(d) eine angemessene Dokumentation der durchgeführten Kontrollen.

(3) Diese Überwachungspflicht folgt aus der Betreiberverantwortung des Kunden und seiner Pflicht, eine rechtskonforme Kommunikation gegenüber seinen Endkunden sicherzustellen. Sie ist vertraglich nicht abdingbar. Eine darüber hinausgehende Pflicht aus Art. 26 EU AI Act (Pflichten der Betreiber von Hochrisiko-KI-Systemen) besteht für das als Limited-Risk eingestufte System (§ A3) nicht; die vorstehende Pflicht ist eine eigenständige vertragliche Pflicht.

(4) Der Kunde stellt AI-Com von sämtlichen Ansprüchen Dritter frei, die aus einer Verletzung der vorstehenden Überwachungspflicht resultieren.

§ A6 Qualität und Grenzen von KI-Outputs

(1) AI-Com ist bestrebt, ein qualitativ hochwertiges KI-System bereitzustellen. Verbindliche Garantien für die inhaltliche Richtigkeit, Vollständigkeit oder rechtliche Unbedenklichkeit von KI-Outputs übernimmt AI-Com nicht.

(2) Der Kunde nimmt zur Kenntnis, dass KI-Outputs auf statistischen Modellen beruhen und grundsätzlich fehlerhaft, unvollständig oder missverständlich sein können (Halluzinationen), insbesondere wenn:

(a) die Datenbasis des Kunden unvollständig, veraltet oder widersprüchlich ist;

(b) Anfragen von Endkunden außerhalb des definierten Themenbereichs liegen;

(c) die eingesetzten KI-Modelle des jeweiligen Drittanbieters Änderungen unterliegen, die das Antwortverhalten beeinflussen.

(3) Ansprüche des Kunden wegen inhaltlicher Unrichtigkeit von KI-Outputs richten sich ausschließlich nach § A11 (KI-spezifische Haftungsregelung) und § 12 der AGB.

§ A7 Transparenzpflichten (Art. 50 EU AI Act) — Anbieter und Betreiber

(1) Pflichtenverteilung. Die Transparenzpflichten aus Art. 50 EU AI Act treffen sowohl Anbieter als auch Betreiber eines KI-Systems. Im Verhältnis der Parteien nimmt AI-Com hinsichtlich des KI-gestützten Antwortsystems eine Anbieterrolle, der Kunde eine Betreiberrolle ein. Die nachfolgende Verteilung ordnet die jeweiligen Pflichten zu; sie befreit den Kunden nicht von seinen eigenen Betreiberpflichten.

(2) Pflichten von AI-Com (Anbieter). AI-Com stellt die technischen Mittel zur Erfüllung der Transparenzpflichten bereit und richtet die Kennzeichnung kanalgerecht ein. Bei E-Mail-Antworten kann automatisch ein Transparenzhinweis in die ausgehende Nachricht eingefügt werden (sinngemäß: „Diese Antwort wurde mit Unterstützung eines KI-gestützten Systems erstellt."). Bei fortlaufenden Nachrichtenkanälen (insbesondere Facebook Messenger, Instagram Direct und WhatsApp Business) erfolgt die Kennzeichnung kanalangemessen einmalig zu Beginn der jeweiligen Konversation; ergänzend kann der Kunde als Betreiber die Kennzeichnung nach Absatz 3 vornehmen. Der Kunde kann die technische Kennzeichnung je Kanal im System konfigurieren; seine eigene Pflicht zur rechtskonformen Information der Endkunden nach Absatz 3 bleibt hiervon unberührt. Soweit für maschinengenerierte Inhalte eine maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 EU AI Act erforderlich ist, setzt AI-Com diese nach Maßgabe der einschlägigen Vorgaben und Fristen sowie soweit technisch möglich um.

(3) Pflichten des Kunden (Betreiber). Der Kunde stellt als Betreiber sicher, dass die von AI-Com bereitgestellte Kennzeichnung der KI-Interaktion aktiviert bleibt, und informiert seine Endkunden über den KI-Einsatz im Rahmen seiner Informationspflichten nach Art. 13, 14 DSGVO. Die Transparenzpflicht aus Art. 50 Abs. 1 EU AI Act (technische Erkennbarkeit der KI-Interaktion) verbleibt demgegenüber als Anbieterpflicht bei AI-Com nach Absatz 2. Geeignete Platzierungen für die Information der Endkunden sind insbesondere der Footer ausgehender Antworten, eine einmalige Kennzeichnung zu Beginn der Konversation in Nachrichtenkanälen, die Datenschutzerklärung, die Kontakt- oder Support-Seite sowie gegebenenfalls die AGB des Kunden. AI-Com stellt hierfür die nachstehenden Musterformulierungen zur Verfügung.

(4) Zeitliche Geltung. Die allgemeinen Transparenzpflichten aus Art. 50 EU AI Act gelten ab dem 2. August 2026. Für die maschinenlesbare Kennzeichnung generierter Inhalte nach Art. 50 Abs. 2 EU AI Act besteht für vor diesem Stichtag am Markt befindliche generative Systeme nach derzeitigem Stand der Rechtsetzung eine Übergangsfrist, voraussichtlich bis zum 2. Dezember 2026. AI-Com passt die technische Umsetzung dem jeweils geltenden Rechtsstand an (§ A12).

(5) Musterformulierungen. AI-Com empfiehlt dem Kunden folgende Musterformulierungen:

(a) Für den E-Mail-Footer: „Diese Nachricht wurde mithilfe eines KI-gestützten Assistenzsystems erstellt und übermittelt."

(b) Für die Datenschutzerklärung des Kunden: „Wir setzen zur Bearbeitung von Kundenanfragen KI-gestützte Systeme ein. Automatisiert erstellte Antworten werden [ggf.: von unserem Team geprüft und freigegeben /] automatisch versendet. Die eingesetzte KI-Technologie wird von der AI-Com Innovations GmbH bereitgestellt."

(6) Bußgelder, Abmahnungen, Schadensersatzforderungen oder sonstige Rechtsfolgen, die aus der Nicht-Einhaltung der den Kunden treffenden Betreiberpflichten resultieren, gehen vollständig zu Lasten des Kunden.

§ A8 Datenschutz, Drittlandübermittlung und KI-spezifische Datenverarbeitung

(1) Die Verarbeitung personenbezogener Daten im Rahmen des KI-Systems richtet sich nach der gesonderten AVV sowie den Vorgaben der DSGVO. Diese Zusatzvereinbarung trifft hierzu keine von der AVV abweichenden Festlegungen; im Datenschutzbereich geht die AVV vor (§ A13 Abs. 2).

(2) Das KI-System verarbeitet zur Generierung von KI-Outputs typischerweise: Freitextinhalte aus eingehenden Anfragen der Endkunden, Bestell-, Kunden- und Versanddaten aus dem Shopify-System des Kunden (soweit für die Anfragebeantwortung erforderlich), vom Kunden konfigurierte Anweisungen und Systemparameter, Audio-Diktate von Mitarbeitern des Kunden (transient, zur Transkription) sowie technische Metadaten. Die maßgeblichen Datenkategorien sind in § 2 der AVV näher beschrieben.

(3) Kein Training mit Kundendaten. AI-Com setzt die eingesetzten KI-Modelle so ein, dass personenbezogene Daten des Kunden und seiner Endkunden nicht zum Training von KI-Modellen verwendet werden. Dieses Trainingsverbot beruht auf den Vertragsbedingungen mit den eingesetzten KI-Anbietern, die eine Nutzung von Kundeninhalten zur Modellentwicklung ohne ausdrückliche Zustimmung ausschließen (für OpenAI: OpenAI Services Agreement § 4.2). Ergänzend deaktiviert AI-Com in allen produktiven Aufrufen die Speicherung der Anfrageinhalte im Anwendungszustand des Anbieters. Diese Konfiguration bewirkt keine vollständige Zero-Data-Retention: Ohne gesonderte Freigabe einer Zero-Data-Retention durch den jeweiligen Anbieter können Protokolldaten zur Missbrauchskontrolle beim Anbieter für einen begrenzten Zeitraum von bis zu dreißig (30) Tagen bestehen bleiben. Die je Anbieter konkret anwendbaren Maßnahmen und Aufbewahrungsfristen ergeben sich aus den vertraglichen Vereinbarungen mit dem jeweiligen Anbieter sowie aus Anlage 2 der AVV und der zugehörigen Transferfolgenabschätzung; maßgeblich für die datenschutzrechtliche Ausgestaltung im Auftragsverhältnis ist § 6 Abs. 2 AVV.

(4) Verarbeitungsort und Drittlandübermittlung. Die Verarbeitung erfolgt vorrangig innerhalb der EU bzw. des EWR; die KI-Inferenz wird vorrangig über Anbieter mit Serverstandort innerhalb der EU erbracht. Soweit für einzelne Verarbeitungsschritte — insbesondere die Inferenz über bestimmte Sprachmodell-Anbieter — eine Übermittlung in ein Drittland (insbesondere die USA) erfolgt, wird diese auf geeignete Garantien im Sinne des Kapitels V der DSGVO gestützt und durch eine Transferfolgenabschätzung (Transfer Impact Assessment) abgesichert. Die je Anbieter anwendbare Übermittlungsgrundlage ergibt sich abschließend aus Anlage 2 der AVV; diese AGB-ergänzende Vereinbarung trifft hierzu keine eigenständige Festlegung. Ergänzende technische Maßnahmen (insbesondere Transport- und Ruheverschlüsselung sowie Datenminimierung) reduzieren das verbleibende Risiko. Ergänzend maskiert AI-Com strukturell gültige Bankverbindungen (IBAN) in den Konversationsinhalten, bevor diese an den KI-Anbieter übermittelt oder in die interne Wissensbasis übernommen werden. Sonstige Freitextinhalte bleiben in der Übermittlung an den KI-Anbieter unverändert; bei Audiodiktaten wirkt die Maskierung nicht, weil die Transkription beim KI-Anbieter erfolgt.

(5) Der Kunde ist als datenschutzrechtlich Verantwortlicher verpflichtet, den Einsatz des KI-Systems sowie des Auftragsverarbeiters und der Unterauftragsverarbeiter in seiner Datenschutzerklärung gegenüber seinen Endkunden offenzulegen (Art. 13, 14 DSGVO).

(6) Soweit KI-Outputs zu automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen könnten, hat der Kunde eigenständig sicherzustellen, dass die Anforderungen des Art. 22 DSGVO eingehalten werden.

§ A9 Drittanbieter, GPAI-Kette und Systemabhängigkeiten

(1) AI-Com setzt zur Erbringung des KI-Systems externe Sprachmodelle und Infrastrukturdienstleister ein. Diese Unterauftragsverarbeiter sind in Anlage 2 der AVV geregelt. AI-Com ist berechtigt, sie bei sachlichem Grund auszutauschen oder zu ergänzen, sofern das datenschutzrechtliche Schutzniveau erhalten bleibt; Änderungen werden gemäß § 5 Abs. 2 AVV angekündigt.

(2) GPAI-Kette. Die eingesetzten Sprachmodelle werden von Anbietern allgemeiner KI-Modelle (GPAI) im Sinne der Art. 51 ff. EU AI Act bereitgestellt. AI-Com stützt sich hinsichtlich der modellbezogenen Pflichten dieser Anbieter (insbesondere technische Dokumentation, Transparenz gegenüber nachgelagerten Anbietern sowie urheberrechtsbezogene Vorgaben) auf deren Erfüllung durch die jeweiligen GPAI-Anbieter und hält die ihr hierzu zur Verfügung gestellten Informationen vor. Die Regelung ist anbieterneutral; ein Wechsel des GPAI-Anbieters richtet sich nach § A2 Abs. 4 und § 5 Abs. 2 AVV.

(3) Für Leistungsunterbrechungen oder Qualitätseinbußen, die ausschließlich auf Störungen bei Unterauftragsverarbeitern oder GPAI-Anbietern zurückzuführen sind, haftet AI-Com nur bei vorsätzlicher oder grob fahrlässiger Auswahl oder Überwachung. Die datenschutzrechtliche Verantwortung für Unterauftragsverarbeiter nach § 5 der AVV (Art. 28 Abs. 4 DSGVO) bleibt hiervon unberührt.

§ A10 Rechte an KI-Outputs und geistigem Eigentum

(1) Kundeninhalte — insbesondere Prompts, Vorlagen und Konfigurationen — verbleiben vollumfänglich im Eigentum des Kunden.

(2) AI-Com räumt dem Kunden ein umfassendes, zeitlich und räumlich unbeschränktes Nutzungsrecht zur Verwendung der KI-Outputs im Rahmen seines Geschäftsbetriebs ein.

(3) AI-Com übernimmt keine Gewähr dafür, dass KI-Outputs urheberrechtlich schutzfähig sind, frei von Schutzrechten Dritter sind oder nicht mit anderem bekannten Textmaterial identisch sind.

(4) Der Kunde ist verpflichtet, KI-Outputs vor einer über den operativen Einsatz im Kundenservice hinausgehenden oder öffentlichen Verwendung eigenverantwortlich auf etwaige Schutzrechtsverletzungen zu prüfen.

(5) Erkenntnisse und Systementwicklungen, die auf Basis aggregierter, anonymisierter Nutzungsmuster entstehen, stehen ausschließlich AI-Com zu. AI-Com ist berechtigt, solche Nutzungsmuster darüber hinaus für statistische Auswertungen sowie für Benchmarks und Vergleichsangaben im Vertrieb zu verwenden; es gelten die Maßgaben des § 6 Abs. 6a bis 8 AGB, insbesondere der dort geregelte Maßstab der Aggregation. Eine Nutzung personenbezogener Kundendaten zum Training von KI-Modellen ist hiervon nicht umfasst (§ A8 Abs. 3).

§ A11 KI-spezifische Haftungsregelung und Produkthaftung

(1) Für den Bereich KI-Outputs gilt die allgemeine Haftungsregelung der AGB (§ 12) ergänzend zu den nachfolgenden Sonderregelungen.

(2) AI-Com haftet nicht für Schäden, die daraus resultieren, dass KI-Outputs inhaltlich unrichtig, unvollständig oder missverständlich sind, sofern diese Schäden darauf beruhen, dass der Kunde auf eine menschliche Vorabprüfung (HitL-Modus) verzichtet hat oder die KI-Outputs auf fehlerhaften oder unvollständigen Kundeninhalten basieren.

(3) AI-Com haftet nicht für wirtschaftliche Folgeschäden aus der Aktivierung des Vollautomatik-Modus, es sei denn, der Schaden beruht auf einem technischen Systemfehler im Sinne des § A1, den AI-Com zu vertreten hat. Die inhaltliche Unrichtigkeit eines KI-Outputs aufgrund der statistischen Funktionsweise des Modells (Halluzination) stellt keinen technischen Systemfehler dar.

(4) Werden Dritte mit Ansprüchen gegen AI-Com aufgrund eines KI-Outputs vorstellig, der auf Kundeninhalten oder der Konfiguration des Kunden beruht, stellt der Kunde AI-Com vollumfänglich von diesen Ansprüchen frei (entsprechend § 13 der AGB).

(5) Produkthaftung. Die Parteien nehmen zur Kenntnis, dass die neue EU-Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) Software grundsätzlich als Produkt erfasst und bis zum 9. Dezember 2026 in nationales Recht umzusetzen ist. Soweit sich hieraus eine verschuldensunabhängige Produkthaftung ergibt, ist diese zwingend und durch diese Vereinbarung nicht abdingbar oder beschränkbar. Die Haftungsregelungen dieser Zusatzvereinbarung und der AGB gelten insoweit nur, soweit gesetzlich zulässig.

§ A12 Regulatorische Anpassungspflicht

(1) AI-Com ist berechtigt, diese Zusatzvereinbarung sowie die technische Ausgestaltung des KI-Systems anzupassen, soweit Änderungen des EU AI Act (einschließlich delegierter Rechtsakte, Durchführungsrechtsakte sowie einschlägiger Leitlinien und Codes of Practice), der DSGVO, des UWG, der EU-Produkthaftungsrichtlinie oder sonstiger anwendbarer Rechtsnormen dies erfordern.

(2) AI-Com informiert den Kunden im Rahmen des Support-Verhältnisses über wesentliche regulatorische Entwicklungen, soweit ihr diese bekannt werden. Diese Information stellt keine Rechts- oder Compliance-Beratung dar.

(3) Aufwände, die dem Kunden aus der Umsetzung regulatorischer Anforderungen entstehen (z. B. Schulungen, Anpassung interner Prozesse), sind ausschließlich vom Kunden zu tragen, soweit diese nicht auf einer Pflichtverletzung von AI-Com beruhen.

(4) Das Verfahren für Änderungen dieser Zusatzvereinbarung richtet sich im Übrigen nach § 18 der AGB.

§ A13 Laufzeit, Vorrang und Schlussbestimmungen

(1) Diese Zusatzvereinbarung gilt eigenständig und wird bei der Registrierung gesondert akzeptiert. Sie läuft mit dem Hauptvertrag und endet automatisch mit dessen Beendigung.

(2) Soweit Regelungen dieser Zusatzvereinbarung der AGB widersprechen oder über diese hinausgehen, geht diese Zusatzvereinbarung für den Bereich des KI-Einsatzes vor. In datenschutzrechtlichen Angelegenheiten geht die AVV vor.

(3) Änderungen dieser Zusatzvereinbarung bedürfen der Textform (§ 126b BGB) und richten sich im Übrigen nach § 18 der AGB.

(4) Sollten einzelne Bestimmungen dieser Zusatzvereinbarung ganz oder teilweise unwirksam oder undurchführbar sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(5) Vertragssprache ist Deutsch. Im Übrigen gelten ergänzend die Schluss- und allgemeinen Bestimmungen der AGB (§§ 17–19).

Stand und Geltung. AI-Com Innovations GmbH · Zusatzvereinbarung KI-Dienste · Version 2.0.0 · Stand: August 2026 · abrufbar unter zybr.ai/ai-addendum. Diese Fassung ersetzt die bisherige Fassung. ZYBR® ist ein Produkt der AI-Com Innovations GmbH.