Nutzung & Datenschutz

Datenschutz
Wir („wir“, „uns“, „unser/e“) nehmen den Schutz der Daten unserer Nutzer („Sie“) sehr ernst. Diese Datenschutzrichtlinie beschreibt, welche Informationen wir über unsere Website erfassen, wie wir diese nutzen und welche Rechte Sie haben. Bitte lesen Sie diese Richtlinie sorgfältig, um unsere Praktiken zu verstehen.

Informationen, die wir sammeln
Wir erfassen die folgenden Datenkategorien:

Nicht personenbezogene Daten
Technische Informationen wie Browsertyp, Betriebssystem oder anonymisierte Nutzungsstatistiken.
Diese Daten erlauben keinen Rückschluss auf eine spezifische Person.

Personenbezogene Daten
Informationen, die Sie uns freiwillig über Kontaktformulare oder unseren Chat bereitstellen (z. B. Name, E-Mail-Adresse, Telefonnummer).
IP-Adressen und andere Daten, die technisch bedingt beim Besuch der Website erfasst werden können.

Automatisch erfasste Daten
IP-Adresse und andere technische Daten, die während der Nutzung unserer Website automatisch erfasst werden.
Informationen, die durch Cookies gesammelt werden, um Ihr Nutzererlebnis zu verbessern (siehe Abschnitt Cookies).

Nutzung von gesammelten Informationen
Die von uns erhobenen Daten werden in erster Linie genutzt, um Ihnen unsere Dienste bereitzustellen und Ihre Anfragen effizient zu bearbeiten. Wenn Sie beispielsweise ein Kontaktformular ausfüllen, einen Termin buchen oder Informationen in unserem Chat teilen, verwenden wir die von Ihnen bereitgestellten Informationen, um mit Ihnen in Kontakt zu treten und den entsprechenden Service zu erfüllen.

Darüber hinaus helfen uns anonymisierte Nutzungsdaten, unsere Website und unsere Services zu verbessern. Diese Informationen nutzen wir, um technische Probleme zu identifizieren, die Benutzerfreundlichkeit zu erhöhen und unsere Angebote gezielt weiterzuentwickeln. Außerdem setzen wir die Daten ein, um sicherzustellen, dass unsere Website sicher bleibt und vor unbefugtem Zugriff geschützt ist.

Wir halten uns dabei streng an die geltenden Datenschutzgesetze und verwenden Ihre Daten ausschließlich für die genannten Zwecke. Eine Nutzung für andere Zwecke erfolgt nur mit Ihrer ausdrücklichen Zustimmung.

Weitergabe von Informationen
Ihre Daten werden ausschließlich in begründeten Fällen an Dritte weitergegeben. Dazu gehören vertrauenswürdige Dienstleister, die uns beim Betrieb und bei der Bereitstellung unserer Website unterstützen.

In Fällen, in denen wir rechtlich dazu verpflichtet sind, können wir Ihre Daten an Behörden oder andere rechtliche Instanzen weitergeben. Eine Weitergabe Ihrer personenbezogenen Daten zu Werbezwecken oder ohne Ihre Zustimmung erfolgt nicht.

Speicherung und Sicherheit
Ihre Daten werden auf sicheren Servern gespeichert, die sich in verschlüsselten Cloud-Umgebungen befinden und durch moderne Sicherheitsmaßnahmen geschützt sind. Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen.

Trotz dieser Maßnahmen kann kein absoluter Schutz garantiert werden. Bitte geben Sie sensible Informationen daher nur mit Bedacht weiter. Sollten Sie den Verdacht haben, dass Ihre Daten gefährdet sind, kontaktieren Sie uns bitte umgehend.

Nutzerrechte
Sie haben das Recht auf Auskunft über die von uns gespeicherten personenbezogenen Daten. Darüber hinaus können Sie die Berichtigung unrichtiger Daten, die Löschung Ihrer Daten, die Einschränkung der Verarbeitung oder einen Widerspruch gegen die Verarbeitung verlangen.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte über die unten angegebenen Kontaktdaten.

Aktualisierung der Datenschutzrichtlinie
Wir behalten uns das Recht vor, diese Datenschutzrichtlinie regelmäßig zu aktualisieren, um sie an neue rechtliche Anforderungen oder technische Entwicklungen anzupassen. Die jeweils aktuelle Version ist auf unserer Website verfügbar.

Dienste von Drittanbietern
Unsere Anwendung nutzt APIs von Google (z. B. Gmail, Google Calendar) und Microsoft (z. B. Outlook Mail, Outlook Calendar) zur Bereitstellung von Kalender-, E-Mail- und weiteren API-Funktionen. Der Zugriff erfolgt ausschließlich auf Grundlage Ihrer Zustimmung über OAuth 2.0.

Wir greifen nur auf Daten zu, die für die jeweilige Funktion erforderlich sind (z. B. Terminübersicht, Terminplanung, E-Mail-Versand). Eine Nutzung zu Werbezwecken, zur Profilbildung oder Weitergabe an Dritte erfolgt nicht.

Unsere Anwendung erfüllt die Vorgaben der Google API Services User Data Policy (inkl. Limited Use) sowie der Microsoft Graph API-Nutzungsbedingungen .

Sie können die Verbindung zu Ihrem Google- oder Microsoft-Konto jederzeit widerrufen.

Kontakt
Bei Fragen zur Verarbeitung Ihrer Daten oder zu dieser Datenschutzrichtlinie kontaktieren Sie uns bitte:

Logicx AI GmbH
E-Mail: office@logicx-ai.com

ALLGEMEINE NUTZUNGSBEDINGUNGEN der Logicx AI GmbH

Logicx AI GmbH
Czerningasse 10/1
1020 Wien, Österreich
E-Mail: office@logicx-ai.com
Geschäftsführer: Julian Lumetsberger
UID-Nr.: ATU81498345
FN: 643624g
Stand: 17.03.2026

1. Geltungsbereich und Grundlagen

1.1 Diese Nutzungsbedingungen regeln die Nutzung der von LOGICX AI (im Folgenden „LOGICX AI“ oder „Anbieter“) bereitgestellten KI-Lösung, insbesondere der „Artificial Experts“, einschließlich der zugrunde liegenden Software, KI-Funktionen, Schnittstellen (APIs), Updates und sonstigen zugehörigen Leistungen (im Folgenden „Lösung“).

1.2 Diese Nutzungsbedingungen gelten für Unternehmen oder Organisationen, die die Lösung nutzen, insbesondere für autorisierte Partner von LOGICX AI sowie für Endkunden, die über einen solchen Partner Zugriff auf die Lösung erhalten (im Folgenden gemeinsam „Kunden“).

Die Nutzung der Lösung durch Mitarbeiter oder sonstige Personen erfolgt ausschließlich im Namen und auf Verantwortung des jeweiligen Kunden.

1.3 Die Nutzung der Lösung setzt voraus, dass der Kunde diese Nutzungsbedingungen akzeptiert.

Die Nutzungsbedingungen gelten als vereinbart, sobald der Kunde oder ein von ihm autorisierter Nutzer auf die Lösung zugreift oder diese nutzt, sofern sie dem Kunden zuvor in geeigneter Weise zur Kenntnis gebracht wurden.

1.4 Diese Nutzungsbedingungen bilden die Grundlage für alle Angebote, Lieferungen und Leistungen von LOGICX AI. Sie richten sich primär an Unternehmer im Sinne des § 1 UGB.

1.5 Abweichende, entgegenstehende oder ergänzende Bedingungen werden nur dann Vertragsbestandteil, wenn LOGICX AI ihrer Geltung ausdrücklich schriftlich zugestimmt hat.

1.6 Ergänzende oder abweichende Regelungen zum Leistungsumfang, zu Nutzungsrechten, Preisen, Laufzeiten oder sonstigen Konditionen können sich aus individuellen Vereinbarungen ergeben, insbesondere aus Partnerverträgen, Endkundenverträgen, Angeboten, Bestellformularen oder Leistungsbeschreibungen (gemeinsam „Einzelvereinbarungen“).

Im Falle von Widersprüchen zwischen diesen Nutzungsbedingungen und einer solchen Einzelvereinbarung gehen die Regelungen der Einzelvereinbarung vor.

2. Vertragsgegenstand und Leistungserbringung

2.1 Der konkrete Umfang der jeweils verfügbaren Funktionen und Leistungen der Lösung ergibt sich aus den jeweiligen Einzelvereinbarungen, Leistungsbeschreibungen oder Bestellunterlagen.

LOGICX AI erbringt ihre Leistungen gemäß dem aktuellen Stand der Technik und anerkannten Industriestandards. Spezifische Service Level Agreements (SLAs) können in Einzelverträgen vereinbart werden.

2.2 LOGICX AI ist berechtigt, zur Leistungserbringung Subunternehmer einzusetzen. LOGICX AI bleibt für die Leistungen der eingesetzten Subunternehmer wie für eigenes Handeln verantwortlich und wird den Kunden auf Anfrage über wesentliche eingesetzte Subunternehmer informieren, die direkten Zugriff auf Daten des Kunden haben oder kritische Leistungsteile erbringen. Eine Zustimmungspflicht des Kunden zum Einsatz spezifischer Subunternehmer kann im Einzelvertrag vereinbart werden.

2.3 LOGICX AI ist berechtigt, die Lösung und deren Funktionen weiterzuentwickeln, zu ändern oder anzupassen, insbesondere um sie an den Stand der Technik, an geänderte rechtliche oder regulatorische Anforderungen oder an sicherheitsrelevante Entwicklungen anzupassen.

Solche Änderungen dürfen den wesentlichen Zweck der Nutzung der Lösung nicht unangemessen beeinträchtigen. Über wesentliche Änderungen der Lösung wird LOGICX AI die Kunden in angemessener Weise informieren.

2.4 Nutzungslimits: Jedes Paket beinhaltet ein fixes Nutzungskontingent im Sinne einer Fair-Use-Regelung (z. B. Token-Volumen, API-Aufrufe oder Rechenleistung).

Der genaue Umfang dieses Inklusiv-Kontingents ergibt sich aus der zum Zeitpunkt des Vertragsschlusses gültigen Leistungsbeschreibung bzw. Preisblatt. Nach Erreichen dieses Kontingents ist der Anbieter berechtigt, die Leistung vorübergehend zu drosseln oder den darüber hinausgehenden Mehrverbrauch gemäß den aktuell geltenden Tarifen gesondert in Rechnung zu stellen. Ein Übertrag von nicht genutzten Kontingenten auf den Folgemonat ist ausgeschlossen.

2.5 Eine Übertragung oder Unterlizenzierung der dem Kunden eingeräumten Nutzungsrechte ist nur mit ausdrücklicher schriftlicher Zustimmung des Anbieters oder aufgrund entsprechender Bestimmungen in Einzelvereinbarungen zulässig.

3. Rechte und Pflichten des Kunden

3.1 Der Kunde ist verpflichtet, alle für die Leistungserbringung durch LOGICX AI erforderlichen Informationen, Daten und Unterlagen rechtzeitig, vollständig und in der vereinbarten Qualität zur Verfügung zu stellen, kompetente Ansprechpartner zu benennen und sonstige Mitwirkungspflichten gemäß Einzelvertrag zu erfüllen.

3.2 Der Kunde ist verpflichtet, die Lösung ausschließlich im Einklang mit diesen Nutzungsbedingungen, den anwendbaren Gesetzen sowie den vereinbarten Nutzungsrechten zu verwenden. Eine missbräuchliche Nutzung der Lösung ist unzulässig.

3.3 Der Kunde ist für die Einhaltung aller anwendbaren Datenschutzbestimmungen hinsichtlich der Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich, die er im Zusammenhang mit der Nutzung der Lösung verarbeitet oder in die Lösung eingibt, sofern LOGICX AI nicht im Rahmen eines gesonderten Auftragsverarbeitungsvertrags (AVV) als Auftragsverarbeiter tätig wird.

3.4 Beschränkungen: Der Kunde ist nicht berechtigt, die Lösung oder deren Komponenten zu vervielfältigen, zu verändern, weiterzuverkaufen, zu dekompilieren, zurückzuentwickeln oder anderweitig zu analysieren, soweit dies nicht zwingend gesetzlich erlaubt ist.

Eine Weitergabe oder Weitervermarktung der Leistungen des Anbieters ist nur zulässig, soweit dies ausdrücklich im Rahmen einer entsprechenden vertraglichen Vereinbarung mit dem Anbieter, insbesondere im Rahmen eines autorisierten Partnervertrags, gestattet ist.

Insbesondere ist es dem Kunden untersagt:
(i) System-Prompts, Konfigurationslogiken, Trainingsstrukturen oder technische Architektur der Lösung systematisch auszulesen oder zu analysieren;
(ii) die Lösung oder Teile davon zum Aufbau, Training oder zur Entwicklung eigener oder konkurrierender KI-Lösungen zu verwenden;
(iii) Produkte, Komponenten, Architektur, Konfigurationslogiken oder andere funktionale Bestandteile der Lösung nachzubilden oder Lösungen zu entwickeln, die dieser in wesentlichen Merkmalen ähneln oder sie imitieren;
(iv) automatisierte Verfahren einzusetzen, die über die übliche Nutzung der Lösung hinausgehen.

Jegliche Form von Reverse Engineering, Nachahmung oder Modelltraining auf Basis der Lösung des Anbieters ist, soweit gesetzlich zulässig, ausdrücklich untersagt. Im Falle eines Verstoßes behält sich der Anbieter sämtliche rechtlichen Schritte einschließlich Schadenersatzforderungen vor.

4. Geistiges Eigentum und Nutzungsrechte

4.1 Sämtliche Urheberrechte, Patente, Marken und sonstigen geistigen Eigentumsrechte an der von LOGICX AI bereitgestellten Lösung, sowie an den von LOGICX AI erstellten Leistungen, insbesondere an Schulungsunterlagen, verbleiben ausschließlich bei LOGICX AI oder ihren Lizenzgebern.

4.2 Der Kunde erhält an der Lösung sowie den von LOGICX AI bereitgestellten Leistungen ein einfaches, nicht ausschließliches und nicht übertragbares Recht zur Nutzung für die vereinbarte Dauer und ausschließlich im Rahmen der vertraglich vorgesehenen Zwecke.

Eine Übertragung, Weitergabe oder Weitervermarktung von Nutzungsrechten an Dritte ist nur zulässig, soweit dies ausdrücklich im Rahmen einer Einzelvereinbarung mit dem Anbieter, insbesondere eines Partnervertrags oder einer entsprechenden Vertriebsvereinbarung, gestattet ist. Der konkrete Umfang der eingeräumten Nutzungsrechte sowie etwaige weitergehende Berechtigungen können sich aus solchen Einzelvereinbarungen, insbesondere aus Partnerverträgen, Endkundenverträgen oder Leistungsbeschreibungen, ergeben.

4.3 Vom Kunden eingebrachte Daten verbleiben im Eigentum des Kunden. Das geistige Eigentum an der von LOGICX AI bereitgestellten Lösung und der zugrundeliegenden Software verbleibt bei LOGICX AI.

LOGICX AI ist berechtigt, anonymisierte und aggregierte Erkenntnisse aus der Leistungserbringung zur Verbesserung und Weiterentwicklung der eigenen Lösung und Leistungen zu verwenden, sofern dadurch keine Rückschlüsse auf den Kunden oder dessen Geschäftsgeheimnisse möglich sind und die anwendbaren Datenschutzbestimmungen eingehalten werden.

4.4 Systemseitige Konfigurationen, Optimierungen, Prompt-Strukturen, Trainingslogiken, Prozessmodelle oder vergleichbare technische Implementierungen, die im Rahmen der Nutzung der Lösung entstehen oder weiterentwickelt werden, verbleiben im geistigen Eigentum von LOGICX AI.

4.5 Auch nach Beendigung der Nutzung (z. B. durch Kündigung des Pakets oder Deaktivierung eines virtuellen Mitarbeiters) verbleiben das generierte Prozesswissen, die spezifischen Konfigurationen sowie alle durch die Nutzung entstandenen systemseitigen Optimierungen (sofern nicht-personenbezogen) als geistiges Eigentum bei LOGICX AI. Ein Anspruch des Kunden auf Herausgabe, Export oder Portierung dieser spezifischen Konfigurationslogiken, Prompt-Strukturen oder "KI-Gedächtnisinhalte" besteht nicht.

4.6 Der Anbieter ist berechtigt, durch geeignete technische oder organisatorische Maßnahmen die vertragsgemäße Nutzung der Leistungen durch den Kunden zu überprüfen, sofern berechtigte Gründe (z. B. Überschreitungen, sicherheitskritische Vorgänge) vorliegen. Der Kunde unterstützt diese Prüfungen angemessen und stellt auf Anfrage Nachweise zur Verfügung. Ergänzend kann der Kunde nach angemessener Vorankündigung und unter Wahrung der Vertraulichkeit sowie der Geschäftsgeheimnisse des Anbieters die Einhaltung wesentlicher vertraglicher Verpflichtungen durch LOGICX AI, insbesondere hinsichtlich Datenschutz und Informationssicherheit, in angemessenem Umfang überprüfen oder durch einen zur Verschwiegenheit verpflichteten Dritten überprüfen lassen. Details, insbesondere zur Häufigkeit und Kostenverteilung, werden im Einzelfall oder im Einzelvertrag festgelegt.

4.7 Urheberrechts- und Schutzvermerke dürfen nicht entfernt oder verändert werden.

5. Gewährleistung und Haftung

5.1 Aufgrund der Funktionsweise von KI-Systemen können generierte Inhalte unvollständig, fehlerhaft oder unzutreffend sein. Der Kunde ist daher verpflichtet, KI-generierte Ergebnisse vor deren geschäftlicher Verwendung oder Veröffentlichung angemessen zu überprüfen.

LOGICX AI haftet nicht für Schäden, die daraus entstehen, dass KI-generierte Inhalte ohne eine entsprechende Prüfung übernommen oder verwendet werden.

5.2 Der Kunde ist für die Nutzung der KI-Funktionen der Lösung sowie für die Einhaltung der anwendbaren gesetzlichen Vorgaben, insbesondere der EU-KI-Verordnung (AI Act), selbst verantwortlich. LOGICX AI haftet nicht für Schäden, die daraus entstehen, dass der Kunde KI-Funktionen unsachgemäß nutzt, gesetzliche Anforderungen nicht einhält oder KI-generierte Ergebnisse ohne angemessene Prüfung verwendet.

5.3 Sofern der Kunde durch eigene Anpassungen, Konfigurationen oder Integrationen der Lösung zum Betreiber oder Anbieter eines KI-Systems im Sinne der EU-KI-Verordnung (AI Act) wird, ist er selbst für die Einhaltung der daraus resultierenden gesetzlichen Anforderungen verantwortlich. LOGICX AI haftet nicht für rechtliche oder regulatorische Konsequenzen, die daraus entstehen, dass der Kunde solche Anforderungen nicht einhält.

5.4 LOGICX AI haftet gegenüber Unternehmern für von ihr verursachte Schäden – gleich aus welchem Rechtsgrund – nur bei Vorsatz oder grober Fahrlässigkeit. Die Haftung für leichte Fahrlässigkeit ist, soweit gesetzlich zulässig, ausgeschlossen.

Diese Haftungsbeschränkung gilt nicht für Personenschäden, für Schäden nach dem Produkthaftungsgesetz oder bei Verletzung wesentlicher Vertragspflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

5.5 Die Haftung für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Datenverlust oder Betriebsunterbrechungen ist, soweit gesetzlich zulässig, ausgeschlossen.

5.6 Der Kunde ist für die regelmäßige Sicherung seiner Daten selbst verantwortlich. Dies gilt auch für Daten, die der Kunde in die Systeme von LOGICX AI einbringt oder mit diesen verarbeitet, es sei denn, eine explizite Backup-Leistung durch LOGICX AI für diese spezifischen Daten des Kunden ist im Einzelvertrag vereinbart.

5.7 Der Kunde stellt LOGICX AI von sämtlichen Ansprüchen Dritter – einschließlich etwaiger Bußgelder und Kosten der Rechtsverteidigung – frei, die aus einer Verletzung seiner Pflichten gemäß der KI-Verordnung im Zusammenhang mit den in Ziffer 9.2 und 9.3 genannten Handlungen entstehen.

6. Datenschutz

6.1 LOGICX AI verarbeitet personenbezogene Daten im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz. LOGICX AI trifft angemessene technische und organisatorische Maßnahmen (TOMs) zum Schutz der verarbeiteten Daten gemäß Art. 32 DSGVO.

6.2 Sofern LOGICX AI personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO in seiner jeweils geltenden Fassung mit Abschluss der jeweiligen Einzelvereinbarung als vereinbart und wird Bestandteil des Vertragsverhältnisses.

6.3 Sofern nicht im Einzelvertrag oder AVV abweichend geregelt, werden Kern-Datenverarbeitungssysteme, die LOGICX AI zur Erbringung der vertraglichen Leistungen für den Kunden einsetzt und auf denen personenbezogene Daten des Kunden verarbeitet werden, innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) betrieben.

6.4 LOGICX AI kann zur Erbringung der Leistungen im Zusammenhang mit der Lösung Dienste von Drittanbietern einsetzen.

Soweit dabei eine Verarbeitung oder Speicherung von Daten erfolgt, geschieht dies ausschließlich im Rahmen der geltenden Datenschutzvorschriften und nur soweit dies zur Erfüllung der vertraglich vereinbarten Leistungen erforderlich ist.

7. Vertragsdauer und Kündigung

7.1 Laufzeit und Kündigungsmodalitäten für die Nutzung der Lösung ergeben sich aus den jeweiligen Einzelvereinbarungen, insbesondere aus Partnerverträgen, Endkundenverträgen oder sonstigen individuellen Vereinbarungen.

7.2 Nach Erlöschen der Nutzungsberechtigung an der Lösung kann LOGICX AI auf Anforderung des Kunden dessen spezifische Daten gemäß den Regelungen des Einzelvertrags oder eines AVV herausgeben oder sicher löschen, sofern keine zwingenden gesetzlichen Aufbewahrungspflichten entgegenstehen. Etwaige Modalitäten und Kosten für eine umfangreiche Datenmigration oder -konvertierung werden im Einzelvertrag geregelt.

8. Nutzung von Drittanbieter-Software

8.1 Der Anbieter nutzt für bestimmte Funktionen seiner Lösung Dienste und Schnittstellen (APIs) von Drittanbietern, insbesondere Cloud-, Infrastruktur- oder Plattformdienste sowie KI-Modelle und KI-Systeme externer Anbieter (z. B. Anbieter von Large Language Models), wie etwa Google, Microsoft, OpenAI oder andere vergleichbare Anbieter (im Folgenden „Drittdienste“).

8.2 Der Kunde erkennt an und stimmt zu, dass für die Nutzung dieser Drittdienste die jeweiligen Geschäftsbedingungen dieser Drittanbieter („Third Party Terms“) gelten. Diese Drittbedingungen sind nicht Bestandteil dieser allgemeinen Nutzungsbedingungen zwischen dem Kunden und LOGICX AI, gelten jedoch ergänzend für die Nutzung der entsprechenden Drittdienste. LOGICX AI kann eine aktuelle Liste der wesentlichen für die Erbringung ihrer Kernleistungen genutzten Drittdienste sowie nach Möglichkeit Links zu deren Bedingungen in geeigneter Form zugänglich machen. Der Kunde ist verpflichtet, sich über diese Bedingungen zu informieren und diese bei der Nutzung der Drittdienste einzuhalten.

8.3 LOGICX AI wählt die von ihr eingesetzten Drittdienste mit der gebotenen Sorgfalt aus. Dennoch übernimmt der Anbieter, soweit gesetzlich zulässig, keine Gewährleistung oder Haftung für die Funktionsfähigkeit, ununterbrochene Verfügbarkeit oder für etwaige vom Drittanbieter vorgenommene Änderungen an dessen Diensten (z.B. an APIs). Der Anbieter ist nicht verantwortlich für Datenverluste, Fehlfunktionen oder Leistungseinschränkungen, die direkt und ausschließlich auf Störungen oder Änderungen innerhalb der Sphäre des Drittanbieters zurückzuführen sind und die LOGICX AI trotz Anwendung der gebotenen Sorgfalt nicht abwenden konnte.

LOGICX AI haftet daher nicht für Ausfälle, Verzögerungen oder Einschränkungen der Lösung, soweit diese auf Störungen oder Änderungen bei Drittanbieter-Diensten zurückzuführen sind.

8.4 Der Kunde verpflichtet sich, bei der Nutzung der Leistungen des Anbieters, soweit diese Drittdienste involvieren, alle anwendbaren Third Party Terms einzuhalten, insbesondere in Bezug auf Datenverarbeitung, Sicherheitsvorgaben und Nutzungseinschränkungen.

8.5 Vom Kunden vorgenommene Integrationen und Änderungen:

(a) Sofern der Kunde auf eigene Initiative Integrationen über bereitgestellte Schnittstellen (APIs), eigene Software oder Drittanbieter-Dienste mit den Leistungen des Anbieters verbindet oder innerhalb der vorgesehenen Konfigurationsmöglichkeiten Erweiterungen vornimmt („vom Kunden initiierte Anpassungen“), erfolgt dies auf eigene Verantwortung und eigenes Risiko des Kunden.

(b) Der Kunde erkennt an, dass vom Kunden initiierte Anpassungen die Funktionalität, Stabilität und Sicherheit der Leistungen des Anbieters beeinträchtigen können. Der Anbieter übernimmt keine Gewährleistung oder Haftung für Störungen, Schäden oder Datenverluste, die aus solchen vom Kunden initiierten Anpassungen resultieren.

(c) Der Kunde stellt LOGICX AI von sämtlichen Ansprüchen Dritter frei, einschließlich angemessener Kosten der Rechtsverteidigung, die daraus entstehen, dass vom Kunden vorgenommene Anpassungen, Integrationen oder sonstige Änderungen an der Lösung Rechte Dritter verletzen oder gegen gesetzliche Vorschriften verstoßen.

(d) Der Anbieter ist berechtigt, vom Kunden initiierte Anpassungen zu überprüfen. Stellt der Anbieter fest oder besteht der begründete Verdacht, dass vom Kunden initiierte Anpassungen die Stabilität, Sicherheit oder Integrität der Leistungen des Anbieters, die Rechte Dritter oder gesetzliche Bestimmungen gefährden oder verletzen, kann der Anbieter nach eigenem Ermessen angemessene Maßnahmen ergreifen.

Dazu gehören insbesondere:
(i) den Kunden auffordern, die betreffende Anpassung unverzüglich zu ändern oder zu entfernen;
(ii) den Zugriff auf die betroffenen Teile der Leistungen oder die gesamte Leistung vorübergehend oder dauerhaft einschränken oder unterbinden;
(iii) die betreffende Anpassung selbst zu deaktivieren, zu entfernen oder zu modifizieren, sofern der Kunde einer Aufforderung (i) nicht innerhalb einer angemessenen Frist nachkommt oder Gefahr im Verzug besteht. Der Anbieter wird den Kunden hierüber nach Möglichkeit vorab informieren und ihm Gelegenheit zur Stellungnahme geben, soweit dies unter Berücksichtigung der Umstände möglich und zumutbar ist.

9. Pflichten des Kunden im Hinblick auf die EU-Verordnung über Künstliche Intelligenz (AI Act / Verordnung (EU) 2024/1689)

9.1 LOGICX AI trifft alle erforderlichen Vorkehrungen zur Einhaltung der Verordnung über Künstliche Intelligenz („KI-Verordnung“) für die von LOGICX AI bereitgestellte Lösung im Hinblick auf deren ursprünglichen Verwendungszweck.

9.2 Der Kunde übernimmt die alleinige Verantwortung für die Einhaltung aller ihm gemäß KI-Verordnung obliegenden Pflichten, insbesondere in folgenden Fällen: (a) wenn er ein von LOGICX AI bereitgestelltes KI-System wesentlich modifiziert oder dessen ursprünglichen Verwendungszweck ändert; (b) wenn er das KI-System in eigene Produkte oder Dienstleistungen integriert und dadurch selbst zum Anbieter im Sinne der KI-Verordnung wird; (c) wenn er das KI-System so einsetzt oder betreibt, dass es als Hochrisiko-KI-System im Sinne der KI-Verordnung eingestuft wird oder dessen Risikoklassifizierung wesentlich verändert wird; (d) wenn er ein Hochrisiko-KI-System als Verwender (Deployer) im Sinne der KI-Verordnung einsetzt.

9.3 In den unter Ziffer 9.2 genannten Fällen ist der Kunde verpflichtet, sämtliche ihm aufgrund seiner spezifischen Rolle und der jeweiligen Risikokategorie des KI-Systems obliegenden Pflichten gemäß der KI-Verordnung eigenständig, rechtzeitig und vollständig zu erfüllen. Dies umfasst insbesondere die eigenverantwortliche Prüfung der Anwendbarkeit sowie die Umsetzung aller einschlägigen Governance-, Risiko-, Dokumentations-, Transparenz- und Sorgfaltspflichten gemäß der KI-Verordnung.

9.4 Der Kunde informiert LOGICX AI schriftlich über jede geplante Nutzung, Modifikation oder Integration gemäß Ziffer 9.2, die die regulatorische Einordnung des KI-Systems oder die Verantwortlichkeitsverteilung gemäß der KI-Verordnung wesentlich verändern könnte.

9.5 Kennzeichnungspflicht: Der Kunde verpflichtet sich, generierte Inhalte, die von KI-Diensten stammen, gemäß den gesetzlichen Vorgaben als solche zu kennzeichnen.

10. Schlussbestimmungen

10.1 Änderungen und Ergänzungen dieser allgemeinen Nutzungsbedingungen bedürfen zu ihrer Wirksamkeit der Schriftform, sofern nicht gesetzlich eine strengere Form vorgeschrieben ist. Dies gilt auch für das Abgehen von diesem Schriftformerfordernis.

10.2 LOGICX AI ist berechtigt, diese Allgemeinen Nutzungsbedingungen aus sachlich gerechtfertigten Gründen zu ändern, insbesondere bei Änderungen der rechtlichen Rahmenbedingungen, technischer Entwicklungen oder Anpassungen des Leistungsumfangs der Lösung.

LOGICX AI wird den Kunden über Änderungen mindestens 30 Tage vor Inkrafttreten durch Zusendung der geänderten Nutzungsbedingungen an die vom Kunden zuletzt bekanntgegebene E-Mail-Adresse informieren.

Die Änderungen gelten als angenommen, wenn der Kunde diesen nicht innerhalb von 30 Tagen ab Zugang schriftlich per E-Mail widerspricht.

10.3 Es gilt ausschließlich österreichisches Recht unter Ausschluss seiner Kollisionsnormen und des UN-Kaufrechts (CISG).

10.4 Ausschließlicher Gerichtsstand für alle Streitigkeiten ist das sachlich und örtlich zuständige Gericht in Österreich, sofern der Kunde Unternehmer ist.

10.5 Sollten einzelne Bestimmungen dieser Allgemeinen Nutzungsbedingungen oder eines Einzelvertrags ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird dadurch die Gültigkeit der übrigen Bestimmungen nicht berührt.

Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt eine wirksame und durchführbare Bestimmung als vereinbart, die dem Sinn und Zweck der ursprünglichen Bestimmung wirtschaftlich am nächsten kommt.

Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen
dem jeweiligen Kunden, der die Leistungen der Logicx AI GmbH, insbesondere die Lösung „Artificial Experts“, auf Grundlage eines Angebots, Hauptvertrags oder einer Einzelvereinbarung nutzt
(im Folgenden „Verantwortlicher“)
und
Logicx AI GmbH
Czerningasse 10/1
1020 Wien, Österreich
E-Mail: office@logicx-ai.com
Geschäftsführer: Julian Lumetsberger
UID-Nr.: ATU81498345
FN: 643624g
(im Folgenden „Auftragsverarbeiter“)
Verantwortlicher und Auftragsverarbeiter gemeinsam die „Parteien“, einzeln auch die „Partei“.
Stand: 17.03.2026

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.
Dieser AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag über die Nutzung der Leistungen und Lösungen der Logicx AI GmbH, insbesondere der Lösung „Artificial Experts“, einschließlich etwaiger Einzelvereinbarungen, Bestellunterlagen, Leistungsbeschreibungen sowie der jeweils geltenden Allgemeinen Nutzungsbedingungen der Logicx AI GmbH (gemeinsam der „Hauptvertrag“). Der Hauptvertrag sieht bereits vor, dass der AVV mit Abschluss der jeweiligen Einzelvereinbarung als vereinbart gilt.
Soweit Bestimmungen dieses AVV den Schutz personenbezogener Daten betreffen und im Widerspruch zum Hauptvertrag stehen, gehen die Bestimmungen dieses AVV vor.

§ 1 Gegenstand und Laufzeit

1.1 Gegenstand der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung, dem Betrieb, dem Support, der Wartung und der technischen Ermöglichung der im Hauptvertrag beschriebenen Leistungen.
Die Details sind in Anhang 1 zu diesem AVV spezifiziert.

1.2 Art, Zweck, Umfang und Kategorien

Art, Zweck, Umfang der Verarbeitung sowie die Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anhang 1 dieses AVV.

1.3 Laufzeit

Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft und gilt für dessen gesamte Laufzeit, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1.4 Beendigung

Mit Beendigung des Hauptvertrags endet auch dieser AVV, sofern nicht einzelne Verpflichtungen aus diesem AVV ihrer Natur nach über die Beendigung hinaus fortgelten, insbesondere Vertraulichkeits-, Nachweis-, Lösch- und datenschutzrechtliche Pflichten.

§ 2 Weisungsgebundene Verarbeitung

2.1
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht.

2.2
Als dokumentierte Weisungen gelten zunächst die Bestimmungen dieses AVV, des Hauptvertrags sowie die im Rahmen der Nutzung der Lösung durch den Verantwortlichen vorgenommenen Konfigurationen, Einstellungen, Freigaben und Nutzungshandlungen, soweit diese die Verarbeitung personenbezogener Daten betreffen.

2.3
Der Verantwortliche kann Einzelweisungen in dokumentierter Form, insbesondere schriftlich oder per E-Mail, erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

2.4
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder sonstige anwendbare Datenschutzvorschriften verstößt, wird er den Verantwortlichen unverzüglich darauf hinweisen. Der Auftragsverarbeiter ist berechtigt, die Umsetzung einer offensichtlich rechtswidrigen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

3.1 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.2 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zum Schutz der personenbezogenen Daten. Die vereinbarten Maßnahmen ergeben sich aus Anhang 2 dieses AVV.

3.3 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich und angemessen ist, damit der Verantwortliche seinen Pflichten zur Beantwortung von Anträgen betroffener Personen nachkommen kann.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird dieser das Ersuchen unverzüglich an den Verantwortlichen weiterleiten, sofern eine Zuordnung zum Verantwortlichen möglich ist.
Kosten, die dem Auftragsverarbeiter durch diese Unterstützung entstehen, trägt der Verantwortliche, es sei denn, die Unterstützung ist aufgrund eines Fehlverhaltens des Auftragsverarbeiters erforderlich.

3.4 Unterstützung bei gesetzlichen Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere im Zusammenhang mit:
Sicherheit der Verarbeitung,
Meldung von Verletzungen des Schutzes personenbezogener Daten,
Benachrichtigung betroffener Personen,
Datenschutz-Folgenabschätzungen,
vorheriger Konsultation von Aufsichtsbehörden.

3.5 Nachweis und Information

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in diesem AVV und in Art. 28 DSGVO festgelegten Pflichten nachzuweisen.

3.6 Löschung und Rückgabe

Nach Beendigung der vertraglichen Leistungen wird der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen löschen oder zurückgeben, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Näheres ergibt sich aus § 10 dieses AVV.

3.7 Keine Verarbeitung zu eigenen Zwecken

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die dem Verantwortlichen zuzurechnen sind, nicht zu eigenen Zwecken. Eine Verwendung anonymisierter oder aggregierter Informationen zur Verbesserung und Weiterentwicklung der Lösung bleibt nur insoweit zulässig, als daraus kein Rückschluss auf den Verantwortlichen, einzelne betroffene Personen oder vertrauliche Inhalte möglich ist und die anwendbaren Datenschutzvorschriften eingehalten werden.

§ 4 Pflichten des Verantwortlichen

4.1
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, insbesondere für das Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO, sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

4.2
Der Verantwortliche ist verpflichtet, dem Auftragsverarbeiter personenbezogene Daten und Weisungen nur in dem Umfang zur Verfügung zu stellen, wie dies datenschutzrechtlich zulässig ist.

4.3
Der Verantwortliche informiert den Auftragsverarbeiter rechtzeitig, wenn im Rahmen der Nutzung der Leistungen besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder personenbezogene Daten mit erhöhtem Risiko verarbeitet werden sollen, soweit dies für den Auftragsverarbeiter nicht bereits aus der Nutzung ersichtlich ist.

4.4
Der Verantwortliche bleibt dafür verantwortlich, die Lösung in Übereinstimmung mit den anwendbaren Datenschutzvorschriften einzusetzen. Dies entspricht auch der in den Nutzungsbedingungen vorgesehenen Verantwortungsverteilung.

4.5
Der Verantwortliche wird den Auftragsverarbeiter unverzüglich informieren, wenn ihm Fehler, Unregelmäßigkeiten oder Verstöße im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der Leistungen auffallen.

4.6
Der Verantwortliche ist verpflichtet, die von ihm im Rahmen der Nutzung der Leistungen bereitgestellten personenbezogenen Daten vorab auf ihre datenschutzrechtliche Zulässigkeit zu prüfen und trägt die Verantwortung für die Rechtmäßigkeit der Verarbeitung.

§ 5 Unterauftragsverarbeiter

5.1 Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen.

5.2 Liste der Unterauftragsverarbeiter

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anhang 3 aufgeführt.

5.3 Änderungen

Der Auftragsverarbeiter wird den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in angemessener Form informieren. Der Verantwortliche kann gegen eine solche Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Kalendertagen ab Zugang der Information Einspruch erheben.

5.4 Folgen eines Einspruchs

Erhebt der Verantwortliche berechtigt Einspruch und ist eine zumutbare alternative Leistungserbringung ohne den betroffenen Unterauftragsverarbeiter nicht möglich, sind die Parteien berechtigt, die betroffenen Leistungen oder – falls erforderlich – den Hauptvertrag hinsichtlich der hiervon betroffenen Leistungsteile außerordentlich zu beenden.

5.5 Verpflichtung der Unterauftragsverarbeiter

Der Auftragsverarbeiter wird mit jedem Unterauftragsverarbeiter einen Vertrag oder ein anderes geeignetes Rechtsinstrument im Sinne von Art. 28 Abs. 4 DSGVO schließen, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die in diesem AVV festgelegt sind, insbesondere hinsichtlich Vertraulichkeit, Sicherheit, Unterstützungspflichten und Löschung.

5.6 Haftung

Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten seiner Unterauftragsverarbeiter nach Maßgabe der gesetzlichen Vorschriften und der Regelungen dieses AVV.

§ 6 Drittlandübermittlungen

6.1
Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch einen Unterauftragsverarbeiter in einem Drittland erfolgt nur, sofern die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

6.2
Soweit für einzelne Leistungen Drittlandtransfers erforderlich oder nicht vollständig auszuschließen sind, stellt der Auftragsverarbeiter sicher, dass ein zulässiger Übermittlungsmechanismus besteht. Dies kann insbesondere erfolgen durch einen Angemessenheitsbeschluss, durch Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO oder durch andere gesetzlich anerkannte Garantien.

6.3
Soweit der Auftragsverarbeiter Unterauftragsverarbeiter einsetzt, bei denen Drittlandübermittlungen stattfinden oder nicht vollständig ausgeschlossen werden können, werden die jeweils maßgeblichen Übermittlungsmechanismen in der Liste der Unterauftragsverarbeiter ausgewiesen.

6.4
Der Auftragsverarbeiter informiert den Verantwortlichen auf Anfrage über die hierfür maßgeblichen Garantien, soweit dies rechtlich und vertraglich zulässig ist.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

7.1
Die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen werden als verbindlicher Bestandteil dieses AVV vereinbart.

7.2
Der Auftragsverarbeiter ist berechtigt, die TOMs unter Berücksichtigung des Stands der Technik weiterzuentwickeln und anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7.3
Wesentliche Änderungen, die das Datenschutzniveau erheblich betreffen, wird der Auftragsverarbeiter dem Verantwortlichen in angemessener Form mitteilen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

8.1
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Verantwortlichen betrifft.

8.2
Soweit möglich, enthält diese Mitteilung zumindest:
eine Beschreibung der Art der Verletzung,
die betroffenen Datenkategorien und Personengruppen,
die bekannten oder wahrscheinlichen Folgen,
die bereits ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

8.3
Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten.

§ 9 Kontrollrechte und Audits

9.1
Der Verantwortliche ist berechtigt, die Einhaltung der datenschutzrechtlichen Verpflichtungen des Auftragsverarbeiters im angemessenen Umfang zu überprüfen.

9.2
Der Nachweis der Einhaltung erfolgt vorrangig durch geeignete Unterlagen und Informationen des Auftragsverarbeiters, insbesondere durch:
Beschreibungen der TOMs,
interne Richtlinien und Prozesse,
vertragliche Zusicherungen,
Nachweise zu Unterauftragsverarbeitern,
Zertifikate, Auditberichte oder vergleichbare Nachweise, soweit vorhanden.

9.3
Inspektionen vor Ort sind nur zulässig, wenn:
ein wichtiger Grund vorliegt,
mildere Nachweismittel nicht ausreichen,
die Inspektion zu üblichen Geschäftszeiten erfolgt,
sie mit angemessener Frist schriftlich angekündigt wurde,
und berechtigte Geheimhaltungs- und Sicherheitsinteressen des Auftragsverarbeiters gewahrt bleiben.

9.4
Der Auftragsverarbeiter kann verlangen, dass der prüfende Dritte nicht mit dem Auftragsverarbeiter im Wettbewerb steht und eine angemessene Vertraulichkeitsverpflichtung unterzeichnet.

9.5
Soweit die Prüfung nicht auf ein vom Auftragsverarbeiter zu vertretendes erhebliches Fehlverhalten zurückzuführen ist, trägt der Verantwortliche seine eigenen Kosten sowie eine angemessene Vergütung des Auftragsverarbeiters für außergewöhnlichen Prüfungsaufwand.

§ 10 Löschung und Rückgabe von Daten

10.1
Nach Beendigung der vertraglichen Leistungen wird der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen nach dessen Wahl löschen oder zurückgeben, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

10.2
Sofern keine ausdrückliche Wahl des Verantwortlichen innerhalb angemessener Frist nach Vertragsende mitgeteilt wird, ist der Auftragsverarbeiter berechtigt, die personenbezogenen Daten nach Ablauf einer angemessenen Übergangsfrist sicher zu löschen, soweit keine gesetzlichen oder berechtigten technischen Aufbewahrungserfordernisse entgegenstehen.

10.3
Sicherheitskopien und Backup-Bestände werden im Rahmen üblicher Backup- und Löschzyklen gelöscht, sofern eine sofortige Einzelentfernung nur mit unverhältnismäßigem Aufwand möglich ist und die Daten bis zur Löschung weiterhin angemessen geschützt bleiben.

10.4
Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung oder Rückgabe auf Anfrage in angemessener Form.

§ 11 KI-spezifische Verarbeitung / Systemnutzung

11.1
Soweit der Verantwortliche die Lösung „Artificial Experts“ nutzt, kann die Verarbeitung personenbezogener Daten insbesondere durch Eingaben, Uploads, Schnittstellenanbindungen, Prompts, Arbeitsanweisungen, Systeminteraktionen, Protokollierungen und generierte Ergebnisse ausgelöst oder beeinflusst werden.

11.2
Der Auftragsverarbeiter verarbeitet solche Daten ausschließlich zum Zweck der Erbringung der vertraglich geschuldeten Leistungen, einschließlich Bereitstellung der Funktionen, Ausführung von Systemprozessen, Fehleranalyse, Systemsicherheit, Support und Wartung.

11.3
Eine Nutzung personenbezogener Daten des Verantwortlichen zum Training eigener oder fremder allgemeiner Modelle erfolgt nicht, sofern nicht ausdrücklich gesondert vereinbart.

11.4
Soweit der Verantwortliche über Konfigurationen, Integrationen oder eigene Anwendungsfälle den Einsatzbereich der Lösung selbst bestimmt oder erweitert, bleibt der Verantwortliche für die datenschutzrechtliche Zulässigkeit und die regulatorische Einordnung dieser Nutzung verantwortlich.

§ 12 Vertraulichkeit

12.1
Beide Parteien verpflichten sich, sämtliche im Zusammenhang mit diesem AVV erhaltenen vertraulichen Informationen zeitlich unbegrenzt vertraulich zu behandeln und ausschließlich zur Durchführung des Vertragsverhältnisses zu verwenden.
Diese Verpflichtung bleibt auch nach Beendigung des Hauptvertrags und dieses AVV bestehen.

§ 13 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie ergänzend nach den Haftungsregelungen des Hauptvertrags, soweit diese nicht gegen zwingendes Datenschutzrecht verstoßen.

§ 14 Schlussbestimmungen

14.1 Schriftform

Änderungen und Ergänzungen dieses AVV bedürfen der Schrift- oder Textform, sofern gesetzlich keine strengere Form vorgeschrieben ist.

14.2 Salvatorische Klausel

Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

14.3 Anwendbares Recht

Es gilt ausschließlich österreichisches Recht unter Ausschluss seiner Kollisionsnormen und des UN-Kaufrechts (CISG).

14.4 Gerichtsstand

Ausschließlicher Gerichtsstand für alle Streitigkeiten ist das sachlich und örtlich zuständige Gericht in Österreich, sofern der Vertragspartner Unternehmer ist.

Anhang 1

Beschreibung der Verarbeitungstätigkeiten

1. Gegenstand der Verarbeitung

Bereitstellung, Hosting, Betrieb, Support, Wartung und technische Ermöglichung der Lösung „Artificial Experts“ sowie damit verbundener Funktionen, Schnittstellen, Speicher-, Kommunikations- und Verarbeitungsleistungen gemäß Hauptvertrag.

2. Dauer der Verarbeitung

Für die Dauer des Hauptvertrags sowie darüber hinaus nur insoweit, als gesetzliche Aufbewahrungspflichten, berechtigte Nachweiszwecke oder technisch bedingte Löschzyklen dies erfordern.

3. Art der Verarbeitung

Die Verarbeitung kann – abhängig von der konkret beauftragten und genutzten Leistung – insbesondere umfassen:
Erhebung durch Eingabe, Upload oder Anbindung von Systemen durch den Verantwortlichen
Speicherung auf Systemen des Auftragsverarbeiters (bei Cloud-Nutzung) oder auf Systemen des Verantwortlichen (bei On-Premise-Nutzung, soweit vereinbart)
Organisation, Strukturierung und Verwaltung von Daten
Analyse und Verarbeitung durch softwarebasierte und KI-gestützte Funktionen gemäß den vom Verantwortlichen definierten Zwecken
Nutzung zur Erstellung von Ergebnissen, Berichten oder sonstigen Ausgaben
Bereitstellung, Anzeige und Verarbeitung von Daten und Ergebnissen für den Verantwortlichen
Übermittlung innerhalb der Systemarchitektur sowie an berechtigte Unterauftragsverarbeiter
Löschung oder Sperrung von Daten gemäß Weisung des Verantwortlichen oder nach Vertragsende

4. Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen sowie auf Weisung des Verantwortlichen, insbesondere zur:
Bereitstellung und Betrieb der Lösung,
Automatisierung und Unterstützung von Prozessen des Verantwortlichen,
technischen Administration, Wartung, Support und Fehleranalyse,
Sicherstellung der Funktionsfähigkeit, Sicherheit und Stabilität der Lösung.

5. Kategorien personenbezogener Daten

Je nach Nutzung können insbesondere folgende Datenkategorien verarbeitet werden:
Stammdaten,
Kontaktdaten,
Kommunikationsdaten,
Inhaltsdaten,
Nutzungsdaten,
Protokoll- und Metadaten,
Organisations- und Rollendaten,
vom Verantwortlichen bereitgestellte Dokumenten- und Systemdaten,
Audio-, Bild- oder Videodaten, sofern die Lösung hierfür eingesetzt wird.
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden nur verarbeitet, soweit der Verantwortliche diese zulässigerweise in die Nutzung einbringt und dies vertraglich bzw. organisatorisch abgedeckt ist.

6. Kategorien betroffener Personen

Je nach Nutzung können insbesondere betroffen sein:
Mitarbeitende des Verantwortlichen,
Kunden des Verantwortlichen,
Interessenten,
Lieferanten,
Geschäftspartner,
externe Ansprechpartner,
sonstige Personen, deren Daten der Verantwortliche im Rahmen der Nutzung verarbeitet.

Anhang 2

Technische und organisatorische Maßnahmen (TOMs)

Die nachfolgenden Maßnahmen beschreiben das Schutzniveau gemäß Art. 32 DSGVO. Der Auftragsverarbeiter kann diese Maßnahmen fortlaufend weiterentwickeln, sofern das Schutzniveau insgesamt nicht unterschritten wird.

1. Zutrittskontrolle

Betrieb der Systeme in professionellen Rechenzentrums- und Hostingumgebungen mit physischen Zutrittskontrollen.
Physischer Zugang zu produktionsrelevanten Infrastrukturen nur für autorisierte Personen des jeweiligen Infrastrukturbetreibers oder des Auftragsverarbeiters.
Schutz vor unbefugtem Zutritt durch geeignete organisatorische und technische Maßnahmen des jeweiligen Betreibers.

2. Zugangskontrolle

Zugriff auf produktive Systeme nur für autorisierte Personen.
Personalisierte Benutzerkennungen.
Authentifizierungsmechanismen mit angemessenem Sicherheitsniveau.
Einsatz von Multi-Faktor-Authentifizierung für administrative Zugänge, soweit technisch vorgesehen.
Rollen- und Berechtigungskonzepte.

3. Zugriffskontrolle

Rollenbasierter Zugriff nach dem Need-to-know- und Least-Privilege-Prinzip.
Beschränkung administrativer Rechte auf erforderliche Personenkreise.
Protokollierung sicherheitsrelevanter administrativer Zugriffe, soweit angemessen.
Zugriff auf Systeme und Oberflächen über geschützte Verbindungen.

4. Weitergabekontrolle

Übermittlung personenbezogener Daten nur im Rahmen der Weisungen des Verantwortlichen oder auf vertraglicher bzw. gesetzlicher Grundlage.
Absicherung von Datenübertragungen durch Transportverschlüsselung, insbesondere TLS/HTTPS, soweit technisch üblich.
Einbindung von Unterauftragsverarbeitern nur gemäß diesem AVV.

5. Eingabekontrolle

Nachvollziehbarkeit wesentlicher administrativer Änderungen und Systemzugriffe, soweit systemseitig vorgesehen und angemessen.
Dokumentierte Prozesse für Berechtigungsvergabe und Änderungen.

6. Auftragskontrolle

Abschluss von Verträgen zur Auftragsverarbeitung mit relevanten Unterauftragsverarbeitern.
Dokumentierte Auswahl- und Steuerungsprozesse für Unterauftragsverarbeiter.
Regelmäßige Überprüfung der vertraglichen und organisatorischen Anforderungen.

7. Verfügbarkeitskontrolle

Einsatz geeigneter Maßnahmen zur Sicherstellung von Verfügbarkeit und Belastbarkeit der Systeme.
Backup- und Wiederherstellungsprozesse nach Maßgabe des Betriebsmodells.
Schutz gegen zufällige Zerstörung oder Verlust.
Prozesse zur Behandlung technischer Störungen und Sicherheitsvorfälle.

8. Trennungskontrolle

Mandantentrennung und logische Trennung kundenbezogener Daten, soweit die Lösung mandantenfähig betrieben wird.
Beschränkung gemeinsamer Nutzung von Ressourcen auf technisch kontrollierte Umgebungen.
Trennung von Test-, Entwicklungs- und Produktivumgebungen, soweit angemessen.

9. Verschlüsselung

Transportverschlüsselung bei der Datenübertragung.
Verschlüsselung von Daten im Ruhezustand, soweit im eingesetzten Infrastruktur- oder Speichermodell vorgesehen und technisch verfügbar.
Schlüssel- und Zugriffsmanagement nach anerkannten Sicherheitsgrundsätzen.

10. Belastbarkeit und Wiederherstellbarkeit

Angemessene Maßnahmen zur Sicherstellung der Belastbarkeit der Systeme und Dienste sowie Verfahren zur Wiederherstellung nach Störungen im Rahmen der jeweiligen Betriebsarchitektur.

11. Datenschutzfreundliche Voreinstellungen / Privacy by Design

Berücksichtigung von Datenschutzanforderungen bei Konzeption, Betrieb und Weiterentwicklung der Lösung, insbesondere durch datensparsame, rollenbasierte und mandantenbezogene Nutzungskonzepte.

12. Organisation und Governance

Vertraulichkeitsverpflichtung der befugten Personen sowie interne Prozesse für Datenschutz, Informationssicherheit, Berechtigungen, Supportzugriffe und Incident Handling.

Anhang 3

Genehmigte Unterauftragsverarbeiter und externe Kommunikationskanäle

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung für den Einsatz der nachfolgend genannten Unterauftragsverarbeiter und externer Kommunikationskanäle, soweit diese zur Leistungserbringung erforderlich sind.

1. Microsoft Ireland Operations Ltd., Dublin, Irland

Eingesetzte Dienste: Datenbankdienste (Microsoft Azure), KI-Modelle (z.B. OpenAI)
Verarbeitungsstandort: Rechenzentren innerhalb der EU; die Verarbeitung erfolgt im Rahmen der EU-Datengrenze für die Microsoft Cloud https://www.microsoft.com/de-de/trust-center/privacy/european-data-boundary-eudb
Drittlandbezug und Garantien: Ein Zugriff aus den USA durch die Konzernmutter Microsoft Corporation kann nicht vollständig ausgeschlossen werden. Für diesen Fall bestehen:
(a) eine aktive Zertifizierung nach dem EU-US Data Privacy Framework (abrufbar unter https://www.dataprivacyframework.gov/list)
(b) ergänzend Standardvertragsklauseln (Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter) als Bestandteil des Microsoft-DPA
Vertragsgrundlage: Microsoft Products and Services Data Protection Addendum https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA

2. Google Cloud EMEA Ltd., Dublin, Irland

Eingesetzte Dienste: KI-Modelle (z.B. Anthropic)
Verarbeitungsstandort: Regionale EU-Endpunkte der Google Cloud Platform
Drittlandbezug und Garantien: Ein Zugriff aus den USA durch Google LLC kann nicht vollständig ausgeschlossen werden. Für diesen Fall bestehen:
(a) Zertifizierung nach dem EU-US Data Privacy Framework
(b) ergänzend Standardvertragsklauseln (Modul 3) als Bestandteil des Cloud Data Processing Addendum
Vertragsgrundlage: Google Cloud Data Processing Addendum
https://cloud.google.com/terms/data-processing-addendum
Subprozessorenliste: https://cloud.google.com/terms/subprocessors

3. Amazon Web Services EMEA SARL, Luxemburg

Eingesetzte Dienste: KI-Sprachmodelle (z.B. Anthropic)
Verarbeitungsstandort: EU-Regionen
Drittlandbezug und Garantien: Ein Zugriff aus den USA durch Amazon Web Services, Inc. kann nicht vollständig ausgeschlossen werden. Für diesen Fall bestehen:
(a) Zertifizierung nach dem EU-US Data Privacy Framework
(b) ergänzend Standardvertragsklauseln (Modul 3) als Bestandteil des AWS GDPR DPA
Vertragsgrundlage: AWS GDPR Data Processing Addendum https://d1.awsstatic.com/legal/aws-gdpr/AWS_GDPR_DPA.pdf
Subprozessorenliste: https://aws.amazon.com/compliance/sub-processors/

4. Twilio Ireland Ltd., Dublin, Irland

Eingesetzte Dienste: Telefonie- und Kommunikationsdienste
Verarbeitungsstandort: EU-Regionen
Drittlandbezug und Garantien: Im Rahmen der Diensterbringung erfolgt eine Übermittlung an Twilio Inc. (USA). Hierfür bestehen:
(a) Zertifizierung nach dem EU-US Data Privacy Framework,
(b) genehmigte verbindliche interne Datenschutzvorschriften (Binding Corporate Rules gem. Art. 47 DSGVO)
(c) ergänzend Standardvertragsklauseln (Modul 3) als Bestandteil des Twilio-DPA
Vertragsgrundlage: Twilio Data Protection Addendum
https://www.twilio.com/en-us/legal/data-protection-addendum
Subprozessorenliste: https://www.twilio.com/en-us/legal/sub-processors

5. Anthropic: Vertragspartner für den EWR: Anthropic Ireland Ltd., Dublin, Irland; Verarbeitung durch Anthropic PBC, San Francisco, USA

Eingesetzte Dienste: KI-Modelle
Verarbeitungsstandort: USA. Eine garantierte Verarbeitung ausschließlich in der EU wird für den direkten API-Zugang derzeit nicht angeboten.
Drittlandbezug und Garantien: Es liegt eine Übermittlung in ein Drittland (USA) vor. Als Transfermechanismus gelten die Standardvertragsklauseln der EU-Kommission nach Art. 46 DSGVO, die Bestandteil des Anthropic Data Processing Addendum sind.
Vertragsgrundlage: Anthropic Data Processing Addendum https://www.anthropic.com/legal/data-processing-addendum
https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa
Trust Center: https://trust.anthropic.com

6. Mistral AI SAS, Paris, Frankreich

Eingesetzte Dienste: KI-Modelle
Verarbeitungsstandort: EU-Regionen
Drittlandbezug und Garantien: Keine Übermittlung in ein Drittland; die Verarbeitung erfolgt durch ein EU-Unternehmen auf EU-Infrastruktur.
Vertragsgrundlage: Mistral AI Data Processing Agreement
https://mistral.ai/terms

Externe Kommunikationskanäle

1. Telegram Messenger Inc. / Telegram-Plattform

Einordnung: Externer Kommunikationskanal; kein regulärer Unterauftragsverarbeiter, sofern keine gesonderte Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO mit Telegram besteht.
Leistung: Kommunikation zwischen Nutzern und Agenten über Telegram-Bots; Übermittlung von Nachrichten, Prompts, Anweisungen, Dateien und Antworten.
Hinweis: Telegram kann personenbezogene Daten als eigenständig Verantwortlicher nach eigenen Bedingungen verarbeiten. Nach Eingang der über Telegram übermittelten Inhalte beim Agenten erfolgt die weitere Verarbeitung durch den Auftragsverarbeiter im Rahmen der AVV. Die Nutzung erfolgt nur, soweit dieser Kommunikationskanal vom Verantwortlichen freigegeben, eingerichtet oder veranlasst wurde.

Weitere Unterauftragsverarbeiter und externe Kommunikationskanäle

Weitere Unterauftragsverarbeiter, können nach Maßgabe dieses AVV eingesetzt werden. Der Verantwortliche wird über entsprechende Änderungen gemäß § 5 informiert.