Einsatzbedingungen der KI-Systeme (Art. 4 und Art. 50 KI-VO)

0. Wozu dieses Dokument

Wer ein KI-System in eigener Verantwortung einsetzt, ist Betreiber im Sinne der
Verordnung (EU) 2024/1689 — KI-VO. Als Betreiber müssen Sie Maßnahmen ergreifen, um die
Entwicklung der KI-Kompetenz Ihres Personals zu unterstützen (Art. 4 i. d. F. der
Verordnung (EU) 2026/1744; die Vorschrift gilt seit dem 02.02.2025 ohne Übergangsfrist und
ohne Ausnahme für kleine Unternehmen, ein bestimmtes Kompetenzniveau müssen Sie nicht
garantieren) und die Transparenzpflichten des Art. 50 erfüllen, soweit sie Sie treffen.
Art. 26 KI-VO gilt hier nicht — er betrifft nur Betreiber von Hochrisiko-KI-Systemen, und
ein solcher Einsatz ist mit unseren Systemen nicht zulässig (Ziff. 1.4).

Beides setzt voraus, dass Sie wissen, wofür ein System gebaut ist und wo seine Grenzen
liegen. Das sagt dieses Dokument je System; es ist die Anlage, auf die § 11 Abs. 6 der
AGB und Absatz 2 der Anlage KI-VO des Rahmenvertrags
verweisen. Es ist keine Zusicherung einer bestimmten Ausgabequalität und keine Freistellung
von Ihrer eigenen Prüfung: Die Ergebnisse aller beschriebenen Systeme sind Vorschläge,
keine Entscheidungen.

---

1. Was für alle Systeme gilt

1.1 Gemeinsame Zweckbestimmung

Die Systeme unterstützen Menschen bei Text-, Sprach- und Bildarbeit im geschäftlichen Alltag.
Sie sind Hilfsmittel; keines ist bestimmt, eine Entscheidung über eine Person selbständig
zu treffen.

1.2 Bekannte Beschränkungen — bei allen Systemen dieselben

• Falsche Aussagen mit richtigem Anschein („Halluzination“). Sprachmodelle erzeugen
  wahrscheinliche, nicht wahre Sätze. Eine Ausgabe kann vollständig erfunden sein und dabei
  überzeugend klingen — samt Namen, Zahlen, Zitaten und Fundstellen.
• Fremdsteuerung durch Inhalte („Prompt Injection“). In einem fremden Text — E-Mail,
  Dokument, Webseite — können Anweisungen versteckt sein, die das System befolgt. Ein System
  mit Werkzeugzugriff kann so zu unerwünschten Handlungen gebracht werden.
• Verzerrungen. Die Modelle bilden die Ungleichgewichte ihrer Trainingsdaten ab.
• Kein aktuelles Wissen. Ohne Web-Suche endet das Wissen beim Stand der Trainingsdaten.
• Keine Reproduzierbarkeit. Dieselbe Eingabe kann verschiedene Ausgaben erzeugen.

1.3 Erforderliche menschliche Aufsicht

Jede Ausgabe ist vor ihrer Verwendung von einem Menschen zu prüfen, der den Sachverhalt
beurteilen kann — besonders, bevor sie an Dritte gelangt, in ein Dokument mit Rechtswirkung
einfließt oder eine Handlung auslöst.

Eignungsgrenze des Sprachkanals. Der Agent führt das Gespräch selbsttätig. Eine
Weiterverbindung an einen Menschen gibt es, sie geschieht aber nicht von selbst: Sie
setzt voraus, dass Sie das Weiterleitungs-Werkzeug einrichten und ihm Ziele geben, und sie
ist nicht voreingestellt. Legen Sie deshalb vor der Inbetriebnahme fest, welche Anliegen
der Agent nicht bearbeitet, richten Sie dafür ein Weiterleitungsziel ein oder hinterlegen
Sie in der Ansage einen Weg zu einer erreichbaren Stelle. Für Anliegen mit erkennbarer
Not- oder Gefahrenlage ist dieser Weg zwingend. Öffentlich erreichbare Rufnummern und
Widgets erreichen auch Minderjährige und Personen in besonderen Lebenslagen; eine
Altersprüfung findet nicht statt.

1.4 Ausgeschlossene Verwendungen

Untersagt ist der Einsatz für die nach Art. 5 KI-VO verbotenen Praktiken (Ziff. 1.6 lit. f)
und für die Hochrisiko-Zwecke des Anhangs III (Ziff. 1.6 lit. g); ein Einsatz im
Hochrisiko-Bereich ist nicht zulässig, die Systeme sind dafür nicht bewertet (Art. 16 ff.
KI-VO), und eine abweichende Vereinbarung ist nicht vorgesehen. Darüber hinaus sind sie
nicht bestimmt für:

• die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) —
  Gesundheit, Herkunft, Religion, Gewerkschaftszugehörigkeit, Sexualleben,
• Rechts-, Steuer- oder Heilberatung ohne Prüfung durch eine berufsberechtigte Person,
• sicherheitskritische Steuerung.

Für eine regelmäßige Verarbeitung besonderer Kategorien gilt das Verfahren nach Ziff. 4
der Präambel des AVV; ohne die dortige Mitteilung und die daraufhin
vereinbarten zusätzlichen Maßnahmen bleibt der Einsatz ausgeschlossen.

Was gilt, wenn Sie ein System dennoch für einen Anhang-III-Zweck verwenden. Das Verbot in
diesem Vertrag hebt Art. 25 KI-VO nicht auf: Wer die Zweckbestimmung eines nicht als hochriskant
eingestuften Systems so verändert, dass es zu einem Hochrisiko-KI-System nach Art. 6 KI-VO wird,
gilt nach Art. 25 Abs. 1 lit. c KI-VO kraft Gesetzes selbst als dessen Anbieter und trägt
die Pflichten der Art. 16 ff. KI-VO. Wir gelten dann nicht mehr als Anbieter dieses Systems.
Die Mitwirkungspflicht des ursprünglichen Anbieters nach Art. 25 Abs. 2 KI-VO trifft uns in
diesem Fall nicht: Sie gilt nicht, wenn der Erstanbieter eindeutig festgelegt hat, dass sein
System nicht in ein Hochrisiko-KI-System umgewandelt werden darf — und genau das legt Ziff. 1.4
fest. Wir schulden Ihnen dann weder die technische Dokumentation noch technischen Zugang für die
Konformitätsbewertung. Wollen Sie einen solchen Einsatz, sprechen Sie uns vorher an; eine
abweichende Vereinbarung ist nicht vorgesehen, und ohne sie tragen Sie die Anbieterpflichten
allein.

Öffentliche Stellen achten besonders auf Anhang III Nr. 5 KI-VO (Ziff. 1.6 lit. g): Auskunft
über Leistungen, Sprechzeiten und Verfahren sowie Aufnahme und Weiterleitung eines Anliegens
sind zulässig — die Beurteilung der Anspruchsberechtigung für wesentliche öffentliche
Unterstützungsleistungen und -dienste und deren Gewährung, Einschränkung oder Rücknahme sind es
nicht (Anhang III Nr. 5 lit. a KI-VO). Wer
einen Assistenten im Bürgerkontakt einsetzt, legt vorher fest, wo das Verfahren an einen
Menschen übergeht. Für den Einsatz gegenüber den eigenen Beschäftigten gilt Anhang III Nr. 4
lit. b KI-VO: Ein System, das Leistung und Verhalten von Beschäftigten beobachtet und bewertet,
ist hochriskant; unsere Systeme sind dafür nicht bestimmt (Ziff. 1.6 lit. g, Ziff. 2.8).

1.5 Transparenzpflichten — wer welche erfüllt

1.6 Ihre Pflichten als Betreiber

Diese Ziffer ist die einzige Fundstelle dieser Pflichten; sie ist Bestandteil der
AGB (§ 11 Abs. 6) und des Rahmenvertrags (Anlage KI-VO
Abs. 2), die Rechtsfolgen eines Verstoßes stehen dort. Sie verpflichten sich,

• a) die KI-Systeme nur bestimmungsgemäß und im Rahmen der Beschränkungen dieses Dokuments
  zu verwenden und angemessene menschliche Aufsicht sicherzustellen;
• b) den Hinweis auf den KI-Charakter nach Art. 50 Abs. 1 KI-VO weder zu verfälschen noch
  durch abweichende Angaben zu entwerten, insbesondere nicht durch die Vorspiegelung eines
  menschlichen Ansprechpartners; die voreingestellte Ansage zu Gesprächsbeginn dürfen Sie
  nur dort abschalten, wo der KI-Charakter aus dem Zusammenhang für eine angemessen
  informierte, aufmerksame und verständige Person offensichtlich ist (Art. 50 Abs. 1
  Satz 1 Halbsatz 2 KI-VO); Sie halten diese Beurteilung fest und stellen, soweit sie nicht trägt, die
  Information spätestens zum Zeitpunkt der ersten Interaktion auf anderem Weg sicher. Sind
  Sie eine öffentliche Stelle, gilt vorrangig § 1 Abs. 9 des AVV: Dort
  hält der Anbieter die Ansage aktiv, und die Pflicht aus Art. 50 Abs. 1 KI-VO verbleibt bei
  ihm — Sie müssen sie nicht auf anderem Weg erfüllen;
• c) KI-erzeugte oder KI-veränderte Bild-, Audio- oder Videoinhalte, die existierenden
  Personen ähneln und fälschlicherweise als authentisch erscheinen würden (Deepfakes,
  Art. 3 Nr. 60 KI-VO), gegenüber den Empfängern als künstlich erzeugt oder manipuliert
  offenzulegen (Art. 50 Abs. 4 UAbs. 1 KI-VO); bei offensichtlich künstlerischen,
  kreativen, satirischen, fiktionalen oder analogen Werken genügt die Offenlegung des
  Vorhandenseins in geeigneter, die Darstellung nicht beeinträchtigender Weise
  (Art. 50 Abs. 4 UAbs. 1 Satz 2);
• d) KI-erzeugte Texte, die Sie zur Information der Öffentlichkeit über Angelegenheiten von
  öffentlichem Interesse veröffentlichen, als künstlich erzeugt zu kennzeichnen, es sei
  denn, sie wurden menschlich überprüft oder redaktionell kontrolliert und eine natürliche
  oder juristische Person trägt die redaktionelle Verantwortung (Art. 50 Abs. 4 UAbs. 2
  KI-VO);
• e) Maßnahmen zu ergreifen, um bei Ihren Beschäftigten und den in Ihrem Auftrag mit dem
  Betrieb befassten Personen ein angemessenes Maß an KI-Kompetenz zu unterstützen
  (Art. 4 KI-VO);
• f) die KI-Systeme nicht für nach Art. 5 KI-VO in der jeweils geltenden Fassung verbotene
  Praktiken einzusetzen, insbesondere nicht zur unterschwelligen oder manipulativen
  Beeinflussung, nicht zur Ausnutzung der Schutzbedürftigkeit von Personen, nicht zur
  sozialen Bewertung natürlicher Personen, nicht zur Ableitung von Emotionen einer
  natürlichen Person am Arbeitsplatz oder in Bildungseinrichtungen außer aus medizinischen
  Gründen oder Sicherheitsgründen und nicht zur biometrischen Kategorisierung natürlicher
  Personen zur Ableitung ihrer Rasse, ihrer politischen Einstellung, ihrer
  Gewerkschaftszugehörigkeit, ihrer religiösen oder weltanschaulichen Überzeugung, ihres
  Sexuallebens oder ihrer sexuellen Ausrichtung; ab dem 02.12.2026 ferner nicht zur
  Erzeugung oder Manipulation von Darstellungen intimer Körperteile oder eindeutig sexueller
  Handlungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung und nicht zur
  Erzeugung von Material im Sinne des Art. 2 lit. c und e der Richtlinie 2011/93/EU
  (Art. 5 Abs. 1 UAbs. 1 lit. ba und bb KI-VO i. d. F. der VO (EU) 2026/1744). Die
  Aufzählung gibt die gesetzlichen Verbote wieder und geht nicht über sie hinaus;
  maßgeblich ist Art. 5 in seiner jeweils geltenden Fassung;
• g) die KI-Systeme nicht zu Zwecken einzusetzen, die sie nach Anhang III KI-VO zu einem
  Hochrisiko-KI-System machen, insbesondere nicht zur Bewertung und Einstufung von Notrufen,
  zur Entsendung oder Priorisierung von Not- und Rettungsdiensten, zur Ersteinschätzung von
  Patienten nach Dringlichkeit, zur Beurteilung der Anspruchsberechtigung für wesentliche
  öffentliche Unterstützungsleistungen und -dienste, zur Bewertung der Kreditwürdigkeit, zur
  Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung, zur Auswahl oder
  Bewertung von Bewerbern und Beschäftigten, zu Entscheidungen über Beförderung,
  Aufgabenzuweisung oder Beendigung von Beschäftigungsverhältnissen, nicht im Bereich der
  allgemeinen und beruflichen Bildung, nicht in Migration, Asyl und Grenzkontrolle
  (Anhang III Nr. 7) und nicht in der Rechtspflege und bei demokratischen Prozessen
  (Anhang III Nr. 8). Ein solcher Einsatz ist nicht zulässig; die Systeme sind dafür weder
  ausgelegt noch nach den Art. 16 ff. KI-VO bewertet. Eine abweichende Vereinbarung ist
  nicht vorgesehen.

1.7 Betrieb ohne Übermittlung außerhalb des EWR

Die Suite lässt sich so betreiben, dass Ihre Daten den Europäischen Wirtschaftsraum nicht
verlassen — mit Ausnahmen, die bleiben und die wir hier nennen, statt sie in der Anlage
zu verstecken: Die System- und Betreiberpost (Anmelde-, Einladungs- und
Bestätigungsmails) und die Postfächer, die Sie über uns beziehen, laufen über die Proton AG in
Genf, also über die Schweiz. Für sie
besteht ein Angemessenheitsbeschluss der Kommission; eine Garantie nach Art. 46 DSGVO ist
deshalb nicht erforderlich, ein Drittland ist die Schweiz gleichwohl. Der Kurs-Chart des
AI Chat lädt der Browser des Nutzers unmittelbar bei der TradingView Inc. in den
Vereinigten Staaten; er lässt sich heute nicht je Arbeitsbereich abschalten. Daneben
bleiben die Wege, die an einzelnen Funktionen hängen und mit ihnen entfallen — die
Kartenkacheln und das Geocoding der Immobilien-Anwendung sowie die Ortsauflösung
des Wetterwerkzeugs der Agenten (OpenStreetMap Foundation, Vereinigtes Königreich) und die Push-Benachrichtigungen des Messengers, die der Browser des
Nutzers über den Zustelldienst seines Herstellers empfängt (Teil B der Anlage 3, Absatz
„Was diese Beschränkungen leisten“). Für öffentliche Stellen stellt die Anwendung
Kurs-Chart, Kartenkacheln, Ortsauflösung, Push-Benachrichtigungen, Telegram-Anbindung und die
Microsoft-Schnittstellen nicht bereit; außerhalb der EU und des EWR bleibt dort allein die Proton AG
(§ 1 Abs. 8 AVV). Welche Empfänger
insgesamt bleiben, weist Teil B der Anlage 3 des AVV abschließend aus;
eingerichtet wird die Beschränkung auf Ihr Verlangen in Textform (§ 4 Abs. 6a AVV),
angekreuzt in Anlage 5 des AVV.

Sie hat einen Preis, und er betrifft den Sprachkanal. Für die Echtzeit-Spracherkennung
gibt es derzeit keinen Anbieter, der die Merkmale des Teils B erfüllt: Microsoft Azure AI
Speech verarbeitet zwar in Deutschland, doch die Verfügungsgewalt der US-Muttergesellschaft
(Art. 48 DSGVO) erfüllt Merkmal (iii) des Teils B nicht. Deshalb schließen die Konfiguration und der Sprachkanal —
KI-Telefonie und Web-Sprach-Widget — einander aus (Anlage 5 des AVV). Die schriftlichen
Kanäle sind mit ihr uneingeschränkt nutzbar; wer telefonieren will, wählt sie nicht.

Die zweite Einschränkung betrifft die Reichweite Ihrer eigenen Entscheidung: Die
Drittland-Weisung (Ziff. 1.8) wirkt für den gesamten Arbeitsbereich. Wer den Betrieb nach
Ziff. 1.7 dauerhaft sicherstellen will, sperrt Drittland-Anbieter für den Arbeitsbereich
(§ 4 Abs. 5b AVV) oder erklärt uns die Beschränkung nach § 4 Abs. 5a AVV in Textform. Die
Sperre setzt ein Inhaber oder Administrator in der Anwendung; sie wird serverseitig bei jedem
Aufruf geprüft, der Inhalte übermittelt, und geht einer erteilten Drittland-Weisung vor. Die Beschränkung in Textform
wirkt für alle Ihre Arbeitsbereiche; wir führen eine entgegenstehende Einstellung nicht aus und
teilen sie unverzüglich mit. Auf Verlangen weisen wir die für einen Arbeitsbereich erteilten
Drittland-Weisungen in Textform nach und setzen einen Widerruf um.

1.8 Drittland-Anbieter: wer anweist, entscheidet — und trägt die Wahl

Anbieter mit Verarbeitung außerhalb der Europäischen Union — etwa OpenAI, Anthropic oder Groq —
stehen im Katalog, sind aber in der Voreinstellung aus. Freigeben kann sie in einem
Arbeitsbereich eines Unternehmens nur ein Inhaber oder
Administrator; im persönlichen Arbeitsbereich die Person selbst. Die Freigabe ist eine
dokumentierte Weisung nach Art. 28 Abs. 3 Satz 2 lit. a DSGVO, keine Einwilligung; wir
protokollieren Person, Zeitpunkt und Fassung (§ 1 Abs. 2 und § 4 Abs. 5 AVV).

• Nicht über die Weisung angeboten werden Empfänger, für die Anlage 3 des AVV
  keinen Mechanismus nach Art. 45, 46 oder 47 DSGVO ausweist — etwa die Bildgenerierung über KIE
  und die Web-Suche über Tavily; für sie gibt es keine Grundlage, die eine Weisung ersetzen
  könnte. Erreichbar sind sie nur nach einer gesonderten Freischaltung je Weg durch Inhaber
  oder Administratoren, nach einem Hinweis auf die fehlende Grundlage; nie für Anrufer,
  Gesprächspartner und Widget-Nutzer und nie für öffentliche Stellen. Die Freischaltung macht
  eine Übermittlung personenbezogener Daten nicht zulässig — über einen solchen Weg dürfen keine
  übermittelt werden (Anlage 3, Festlegung c).
• Öffentlichen Stellen bieten wir Anbieter mit Verarbeitung außerhalb der Europäischen Union
  nicht an — gleich, ob sie hoheitlich handeln, und gleich, auf welche Garantie sich der Anbieter
  stützt; unsere Dienste weisen sie für deren Arbeitsbereiche ab (§ 1 Abs. 8 AVV).
• Anrufer, Gesprächspartner und Widget-Nutzer wählen ihren Anbieter nicht. Ihre Daten gehen
  an einen Drittland-Anbieter nur, wenn ein Inhaber oder Administrator das für den jeweiligen
  Agenten gesondert anweist (§ 4 Abs. 5 AVV).

Was Sie mit der Weisung übernehmen, wenn Sie Unternehmer oder öffentliche Stelle sind. Sie
sorgen dafür, dass eine Rechtsgrundlage besteht und die Betroffenen über die Übermittlung
unterrichtet werden; das Prüfergebnis der Anlage 3 zeigen wir Ihnen vor der Weisung an. Sie
stellen uns von Ansprüchen Dritter frei, die auf einer weisungsgemäß ausgeführten Übermittlung
beruhen, und das Risiko des fremden Schutzniveaus liegt bei Ihnen. Gegenüber Verbrauchern gilt
nichts davon. Die Einzelheiten und ihre Grenzen stehen allein in § 9 Abs. 4 des AVV.

Die Grenze, die kein Vertrag verschiebt: Gegenüber den Betroffenen und der Aufsichtsbehörde
bindet diese Vereinbarung niemanden. Wir haften Betroffenen nach Art. 82 Abs. 2 Satz 2 DSGVO,
wenn wir eigene Pflichten verletzen oder außerhalb Ihrer Weisung handeln — dagegen schützt uns
nur, dass Weisung, Sperre und Protokoll so arbeiten, wie sie hier beschrieben sind.

---

2. Die Systeme im Einzelnen

2.1 AI Chat (Text)

Zweckbestimmung: Entwurf, Zusammenfassung, Übersetzung und Überarbeitung von Texten,
Beantwortung von Fragen, Recherche über eine angebundene Web-Suche.
Vorgesehene Nutzer: Beschäftigte des Auftraggebers im geschäftlichen Alltag.
Zusätzliche Beschränkung: Voreinstellung ist der EU-Standardbetrieb Sentinel oder Cortex;
darüber hinaus wählbar ist, was im Katalog steht. Welche Anbieter dort stehen, wer die Auswahl
trifft und was sie bewirkt, regeln § 11 Abs. 3a und 4a der AGB — kurz: Wir entscheiden
über den Katalog und setzen diese Entscheidung technisch durch, unter den Anbietern des
Katalogs entzieht Ihnen aber kein Prüfergebnis die Wahl. Sitz, Verarbeitungsort und
Prüfergebnis je Empfänger führt Anlage 3 des AVV.
Für KIE (Bildgenerierung) und OpenRouter (Sprachmodelle) ist die Empfängerkette nicht
abschließend dokumentierbar — beides sind Aggregatoren mit einseitig wechselnden
Unteranbietern, und Anlage 3 weist für sie keinen Mechanismus nach Kapitel V DSGVO aus. Über
die Drittland-Weisung werden sie deshalb nicht angeboten (Ziff. 1.8). Zu jedem anderen
Anbieter mit Verarbeitung außerhalb der Europäischen Union verlangen wir vorher Ihre
Drittland-Weisung und übermitteln bis dahin nicht dorthin (Ziff. 1.8, § 11 Abs. 4a der
AGB). Für unsere eigenen und die managed betriebenen Agenten setzen wir Aggregatoren
nicht ein.
Aufsicht: Ergebnisse vor Verwendung prüfen; bei Recherche die genannten Quellen öffnen —
Modelle erfinden Fundstellen.

2.2 KI-Bildgenerierung (im AI Chat)

Zweckbestimmung: Erzeugung und Bearbeitung von Bildern aus einer Texteingabe für
eigene geschäftliche Zwecke.
Beschränkungen: Eine maschinenlesbare Kennzeichnung erzeugter Bilder (Art. 50 Abs. 2
KI-VO) ist derzeit nicht eingerichtet; Frist und Rechtsgrundlage stehen in Ziff. 1.5.
Rechte Dritter an erzeugten Inhalten sind nicht geprüft — die Prüfung obliegt Ihnen.
Ausgeschlossen: Abbildungen realer Personen ohne deren Einwilligung; ab dem
02.12.2026 zusätzlich intime Darstellungen bestimmbarer Personen ohne ausdrückliche
Zustimmung und Material im Sinne des Art. 2 lit. c und e der Richtlinie 2011/93/EU
(Ziff. 1.6 lit. f). Die daneben bestehende Anbieterpflicht nach Art. 5 Abs. 1a und 1b
KI-VO i. d. F. der VO (EU) 2026/1744 trifft uns selbst — sie betrifft die technischen
Schutzvorkehrungen und das Verfahren für gemeldete missbräuchliche Nutzung und lässt sich
nicht auf Sie verlagern.
Aufsicht: Veröffentlichen Sie ein erzeugtes Bild, das eine reale Person oder ein reales
Ereignis zeigt, müssen Sie es als KI-erzeugt kennzeichnen (Ziff. 1.6 lit. c).

2.3 Chat- und Sprach-Widget auf Ihrer Website

Zweckbestimmung: Erstauskunft an Websitebesucher und Aufnahme von Anliegen.
Vorgesehene Nutzer: Ihre Websitebesucher — ohne Vertragsbeziehung zu uns und ohne
Einweisung.
Beschränkung, die daraus folgt: Das Widget beantwortet Fragen zu Ihrem Angebot aus den von
Ihnen hinterlegten Inhalten. Es ist nicht bestimmt, verbindliche Auskünfte zu erteilen —
weder Preise noch Zusagen noch Rechtsauskünfte. Weisen Sie in Impressum oder
Nutzungsbedingungen darauf hin.
Aufsicht: Hinterlegte Inhalte regelmäßig prüfen, Gesprächsverläufe stichprobenhaft
durchsehen.

2.4 Voice-Agent (Telefonie)

Zweckbestimmung: Annahme eingehender Anrufe, Auskunft und Aufnahme von Anliegen.
Vorgesehene Nutzer: Ihre Anrufer — ohne Vertragsbeziehung und ohne Einweisung.
Beschränkungen: Spracherkennung ist fehleranfällig bei Dialekt, Nebengeräuschen und
Eigennamen; der Agent kann ein Anliegen falsch verstehen, ohne dass es auffällt.
Ausgeschlossen: ärztliche Notfall- und Bereitschaftsdienste, Bewertung und Einstufung von
Notrufen, Entsendung oder Priorisierung von Not- und Rettungsdiensten einschließlich jeder
Ersteinschätzung von Patienten nach Dringlichkeit (Anhang III Nr. 5 lit. d KI-VO),
medizinische Auskunft, verbindliche Terminzusagen ohne menschliche Rückbestätigung. Nicht
erfasst ist ein gewerblicher Ruf- oder Bereitschaftsdienst außerhalb der Geschäftszeiten,
der Anliegen entgegennimmt und weitergibt; für Angaben zur Gesundheit — etwa zu
Pflegebedürftigkeit oder medizinischen Geräten im Haushalt — gilt auch dort Ziff. 1.4: Ihre
Aufnahme bleibt ausgeschlossen, solange das Verfahren nach Ziff. 4 der Präambel des
AVV nicht durchlaufen ist.

Sind Sie eine öffentliche Stelle mit Bürgertelefon, ist das keine Sperre, sondern ein
Verfahren, das Sie einmal durchlaufen. An einem Bürgertelefon nennt ein Anrufer solche Angaben
regelmäßig, weil er sein Anliegen beschreibt — nicht ausnahmsweise. Sie teilen uns die
Verarbeitung vor Beginn in Textform mit und benennen zwei Grundlagen: Ihre Grundlage nach
Art. 6 — bei einer öffentlichen Stelle regelmäßig lit. e — und gesondert davon Ihre Grundlage
nach Art. 9 Abs. 2 lit. b, g oder h DSGVO. Beides ist zweierlei, und die eine ersetzt die
andere nicht. Daraufhin richten wir
nicht die Abschaltung der Transkriptspeicherung ein, sondern einen dafür gemachten Satz
Maßnahmen: Aufbewahrung höchstens 30 Tage für den Gesprächstext und 90 Tage für Verbindungsdaten und anruferbezogenes Gedächtnis, keine automatisierte Gesprächsnachbereitung, ausschließlich
Empfänger des Teils B der Anlage 3 des AVV — und die Unterrichtung zu Gesprächsbeginn, die ohnehin
bleibt. Einzelheiten in Ziff. 4 der Präambel des AVV. Welche Rechtsgrundlage trägt, beurteilen
Sie — wir prüfen sie nicht und schreiben Ihnen keine vor.

Zwei Dinge, die dabei Ihre Sache bleiben. Stützen Sie sich auf Art. 9 Abs. 2 lit. h,
verlangt Art. 9 Abs. 3 DSGVO zusätzlich, dass die Verarbeitung unter einer
Geheimhaltungspflicht steht — teilen Sie uns das nach § 2 Abs. 5 des AVV mit, damit wir die
befassten Personen entsprechend verpflichten; ohne die Mitteilung tun wir es nicht. Und bei
einer umfangreichen Verarbeitung besonderer Kategorien ist eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 lit. b DSGVO regelmäßig erforderlich; bei einem
Bürgertelefon gehen wir davon aus. Wir unterstützen Sie dabei nach § 6 Abs. 4 des AVV.
Sprachdienste und Telefoniepfad — Spracherkennung, Sprachsynthese, SIP-Anbindung — regelt
§ 11 Abs. 4 der AGB; die Empfänger führt Anlage 3 des AVV. Ob der
Sprachkanal Gegenstand Ihres Vertrags ist, bestimmt Anlage 5 des AVV; er ist mit der
Konfiguration „Verarbeitung im EWR“ nicht vereinbar (Ziff. 1.7). Für Ihre
eigenen Agenten wählen Sie die Spracherkennung selbst, auch einen Anbieter mit Verarbeitung
außerhalb der EU — dann mit der gesonderten Weisung für diesen Agenten (Ziff. 1.8).
Aufsicht: Den Weg zu einem Menschen nach Ziff. 1.3 festlegen, aufgenommene Anliegen vor der Bearbeitung
sichten. Aktivieren Sie die Transkriptspeicherung, aktivieren Sie auch den
Einwilligungsschritt zu Gesprächsbeginn — ohne ihn speichert die Anwendung kein Transkript
(Anlage 1 des AVV).
Sind Sie eine öffentliche Stelle, gilt das nicht: Eine Einwilligung Ihres Anrufers liefert
Ihnen nach Erwägungsgrund 43 DSGVO regelmäßig keine gültige Rechtsgrundlage — zwischen Ihnen
und ihm besteht ein klares Ungleichgewicht —, und Art. 6 Abs. 1 lit. f DSGVO steht Ihnen nach
Art. 6 Abs. 1 Unterabs. 2 DSGVO nicht offen. Benennen Sie uns stattdessen Ihre Rechtsgrundlage
in Textform — regelmäßig Art. 6 Abs. 1 lit. e DSGVO mit Ihrem Fachrecht, bei einer Sie
treffenden Aufbewahrungs- oder Dokumentationspflicht lit. c —, dann richten wir die
Transkriptspeicherung ohne Einwilligungsschritt ein und halten an seiner Stelle eine
Unterrichtung zu Gesprächsbeginn aktiv; Anlage 1 des AVV regelt das.
Welche Grundlage trägt, beurteilen Sie — wir prüfen sie nicht und schreiben Ihnen keine
vor. Stützen Sie die Speicherung auf lit. e, weisen Sie Ihre Anrufer nach Art. 21 Abs. 4 DSGVO
ausdrücklich auf ihr Widerspruchsrecht hin. Die Ansage zum KI-Charakter bleibt in beiden
Fällen an (§ 1 Abs. 9 AVV, Ziff. 1.6 lit. b).

2.4a Gesprächsnachbereitung

Zweckbestimmung: Nachgelagerte Auswertung des Gesprächstranskripts eines Sprach-Agenten —
Kategorie des Anliegens, Zusammenfassung, Stimmung, Eskalationsbedürftigkeit und eine
Bewertungskennzahl. Standardmäßig deaktiviert; der Inhaber des Arbeitsbereichs aktiviert sie
je Agent.
Vorgesehene Nutzer: Beschäftigte des Auftraggebers, die die Anliegen bearbeiten.
Beschränkungen: Die Auswertung arbeitet ausschließlich auf dem Transkript, nie auf dem
Audiostrom — keine Einstellung, sondern die Grenze der Funktion: Erhielte das Modell den Ton,
wäre sie ein Emotionserkennungssystem (Art. 3 Nr. 39 KI-VO) mit den daran hängenden Pflichten.
Sie beurteilt außerdem einen fehlerbehafteten Text (Ziff. 2.4) mit einem Modell, das
wahrscheinliche und nicht wahre Sätze bildet (Ziff. 1.2).
Einordnung: Die Auswertung ist Profiling im Sinne des Art. 4 Nr. 4 DSGVO. Solange Sie das
Ergebnis nach dem folgenden Absatz nicht als Entscheidung verwenden, ist sie keine
automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO.
Ausgeschlossen: Die Verwendung eines Ergebnisses als Entscheidung über eine Person — weder
über Anrufer noch über Beschäftigte —, insbesondere zur Leistungs- oder Verhaltenskontrolle.
Aufsicht: Vor der Aktivierung entscheiden, wofür Sie die Auswertung brauchen und worauf
Sie sie stützen, und die Betroffenen informieren. Ergebnisse stichprobenhaft gegen das
Transkript prüfen.

2.5 Automations-Workflows

Zweckbestimmung: Verkettung von Arbeitsschritten, in denen ein KI-Schritt Texte erzeugt,
einordnet oder Entscheidungen vorbereitet.
Beschränkung mit der größten Tragweite: Ein Workflow kann ohne menschlichen
Zwischenschritt handeln — E-Mails versenden, Datensätze ändern, Nachrichten verschicken; ein
Fehler des Modells wird dann unmittelbar wirksam. Verarbeitet er fremde Inhalte, ist er
zusätzlich für Fremdsteuerung anfällig (Ziff. 1.2).
Ausgeschlossen: Vollautomatisierte Entscheidungen mit rechtlicher Wirkung oder ähnlicher
erheblicher Beeinträchtigung gegenüber Personen (Art. 22 DSGVO).
Versionen: Ein Workflow läuft automatisch nur in einer festen, nummerierten Version;
Änderungen wirken erst mit dem Veröffentlichen einer neuen Version. Nutzt eine Version ein
Postfach oder läuft sie im Namen einer Person, geht sie erst mit deren Zustimmung zu genau dieser
Version live, und jede neue Version braucht die Zustimmung erneut. Eine Version geht darüber
hinaus nur durch eine eigens berechtigte Person live: Freigeben dürfen allein Inhaber und
Administratoren; ein Mitglied mit Schreibrecht legt sie nur zur Freigabe vor, und die Datenbank
erzwingt das. In jedem Firmen- und sonstigen Business-Arbeitsbereich ist das ab Werk
eingeschaltet; Inhaber und Administratoren können es dort ausschalten. Für öffentliche Stellen gilt
es zwingend und lässt sich nicht abschalten. Im persönlichen Arbeitsbereich schaltet die Inhaberin
oder der Inhaber selbst live. Dasselbe gilt für Fassungen von KI-Agenten.
Aufsicht: Bei jedem Workflow, der nach außen wirkt oder Daten ändert, einen
Freigabeschritt vorsehen; Ausführungsprotokolle regelmäßig durchsehen. Legen Sie fest, wer
Abläufe veröffentlichen darf, und geben Sie diese Rolle nur Personen, die einen Ablauf vor dem
Veröffentlichen prüfen können.

2.6 KI-Erzeugung von E-Mail-Designkits

Zweckbestimmung: Erzeugung eines wiederverwendbaren HTML-Layouts für E-Mail-Vorlagen aus
einer Texteingabe.
Vorgesehene Nutzer: Beschäftigte des Auftraggebers, die Vorlagen für den eigenen Versand
anlegen.
Beschränkungen: Layout und Platzhalter können erfunden sein (Ziff. 1.2) — eine Vorlage
kann Felder enthalten, die es nicht gibt, oder gebrauchte auslassen. Eingebundene Marken,
Bildzitate und Schriften sind nicht auf Rechte Dritter geprüft.
Aufsicht: Die Vorschau vor der ersten Verwendung sichten und die Vorlage einmal mit echten
Daten testen.

2.7 Browser-Assistent (im AI Chat)

Zweckbestimmung: Erledigung von Aufgaben auf öffentlich erreichbaren Webseiten auf Ihre
Anweisung — Seiten öffnen und lesen, klicken, Formulare ausfüllen, Optionen wählen. Der Browser
läuft auf unserer Infrastruktur; Sie sehen im Live-Bild zu und können selbst eingreifen, etwa
um sich anzumelden (§ 4 Abs. 14 der AGB).
Vorgesehene Nutzer: Beschäftigte des Auftraggebers, die eine Aufgabe auf einer fremden
Seite übertragen und dabei zusehen.
Wer steuert: Ein Sprachmodell des AI Chat. Für seine Wahl gilt dasselbe wie in Ziff. 2.1 —
Voreinstellung ist der EU-Standardbetrieb, ein Anbieter außerhalb der Europäischen Union nur
auf Ihre Drittland-Weisung (Ziff. 1.8). Das Modell erhält die Inhalte und Bildschirmaufnahmen
der besuchten Seiten.
Beschränkung mit der größten Tragweite: Er handelt auf Seiten Dritter, und eine solche
Handlung kann Sie binden — etwa eine Bestellung oder ein abgeschicktes Formular (§ 5 Abs. 6
der AGB). Er folgt allein Ihrer Anweisung; der Text einer besuchten Seite kann ihn
gleichwohl in die Irre lenken (Fremdsteuerung, Ziff. 1.2). Die besuchte Seite erhält, was
dort eingetragen wird; liegt sie außerhalb der Europäischen Union, gehen diese Angaben
dorthin, ohne dass wir dafür eine Grundlage nach Kapitel V DSGVO bereitstellen (Ziff. 3.31
der Datenschutzerklärung). Der Browser erreicht nur öffentliche Adressen,
nicht die internen Systeme der Suite. Es besteht jeweils nur eine Sitzung gleichzeitig.
Die Sitzung ist flüchtig: Kekse, Anmeldungen und Seitenzustand liegen nur im
Arbeitsspeicher und fallen mit dem Schließen weg, spätestens nach 15 Minuten ohne Zugriff;
Zugangsdaten speichern wir nicht.
Aufsicht: Handelnde Schritte — Klicken, Ausfüllen, Auswählen, Tastatureingaben — zeigt
er in der Voreinstellung vorher an und führt sie erst nach Ihrer Freigabe aus. Jeden solchen
Schritt vor der Freigabe prüfen. Inhaber und Administratoren können sie auf automatisch
stellen; wer das tut, verzichtet auf diese Prüfung (§ 5 Abs. 6 der AGB).

2.8 Jane — Vorschläge zu wiederkehrenden Aufgaben

Stand: Diese Funktion ist vorgesehen und noch nicht eingeschaltet. Eingeschaltet wird sie in
einem Arbeitsbereich erst nach der Beteiligung der Beschäftigtenvertretung, bei öffentlichen Stellen
des Personalrats. Der Vorschlag geht nur an die Person selbst; eine Leistungs- oder
Verhaltenskontrolle findet nicht statt. Diese Ziffer legt fest, wofür die Funktion bestimmt ist und
wofür nicht.
Zweckbestimmung: Jane, die Assistentin der Suite, erkennt Arbeitsschritte, die eine Person
wiederholt gleich ausführt, und schlägt dieser Person vor, sie als Ablauf zu automatisieren.
Grundlage sind die eigenen Einträge der Person im Aktivitätsprotokoll — welche Aktion in welcher
Anwendung, ohne Inhalte (Anlage 2 des AVV); verarbeitet wird über ein Sprachmodell
des Arbeitsbereichs nach dessen Anbieterauswahl. Der Vorschlag erscheint der Person selbst, im
Chat oder als Nachricht.
Vorgesehene Nutzer: die Beschäftigten selbst, für ihre eigene Arbeit.
Freigabe: Aus einem angenommenen Vorschlag entsteht der Entwurf eines Ablaufs. Live geht
er erst, wenn eine vom Verantwortlichen benannte, für diese Aufgabe geschulte Person — etwa aus
der IT oder der Verwaltung des Arbeitsbereichs — ihn geprüft und freigegeben hat; jede spätere
Änderung braucht eine neue Freigabe (Ziff. 2.5). Den Entwurf sieht die freigebende Person erst,
wenn die Person selbst den Vorschlag angenommen hat.
Ausgeschlossen: Die Funktion ist nicht bestimmt zur Beobachtung, Bewertung oder zum
Vergleich von Leistung oder Verhalten von Beschäftigten (Anhang III Nr. 4 lit. b KI-VO, Ziff. 1.6
lit. g), nicht zur Aufgabenzuweisung und nicht zur Vorbereitung arbeits-, dienst- oder
disziplinarrechtlicher Maßnahmen. Vorschläge gehen nicht an Vorgesetzte, und aus ihnen werden
keine Kennzahlen über Personen gebildet. Wer die Funktion anders einsetzt, verlässt ihre
Zweckbestimmung (Ziff. 1.4).
Beschränkung mit der größten Tragweite: Ein Vorschlag kann einen Ablauf entwerfen, der mehr
tut als beabsichtigt oder Daten an Stellen bewegt, an die sie nicht gehören; deshalb die
Freigabe durch eine benannte Person.
Mitbestimmung: Ob und wie die Funktion in Ihrem Haus eingesetzt wird, ist mit der
Beschäftigtenvertretung abzustimmen — beim Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG, bei
öffentlichen Stellen mit dem Personalrat nach dem Personalvertretungsrecht des Bundes oder des
Landes; Erlaubnisnorm ist § 26 BDSG, bei öffentlichen Stellen der Länder das
Landesdatenschutzgesetz, jeweils mit Art. 88 DSGVO. Unterlagen dafür stellen wir bereit.

---

3. Änderungen

Ändert sich die Zweckbestimmung eines Systems oder tritt eine Beschränkung hinzu, schreiben
wir dieses Dokument fort und teilen die Änderung in Textform mit (Anlage KI-VO Abs. 3 des
Rahmenvertrags). Für Kunden des Rahmenvertrags gilt die bei Vertragsschluss vereinbarte
Fassung fort (§ 2 Abs. 5 RV); gegenüber Nutzern der Suite richtet sich eine Änderung der
Ziff. 1.6 nach § 10 der AGB.

Die Änderungsgeschichte dieses Dokuments wird in der Versionsverwaltung geführt und auf Anforderung vorgelegt. Die geltende Fassung steht im Kopf.