Vertragsbedingungen_KI-Nutzung_GH_4.0.pdf

[Seite 1]

Vertragsbedingungen – KI-Nutzung

§ 1 Zweck, Geltungsbereich, Abgrenzung zur AVV

(1) Diese Anlage regelt die Bedingungen, unter denen der Auftragnehmer im Rahmen der Leistungserbringung KI-Systeme bzw. KI-gestützte Funktionen einsetzen darf.

(2) Soweit der Auftragnehmer personenbezogene Daten als Auftragsverarbeiter verarbeitet, gelten hierfür die Regelungen der Auftragsverarbeitungsvereinbarung (AVV) vorrangig. Diese Anlage begründet keine Erweiterung von Verarbeitungsgegenstand, Zweck, Kategorien, Empfängern oder internationalen Übermittlungen.

(3) Bei Zweifeln, ob Inhalte tatsächlich anonymisiert sind, gilt die Verarbeitung als nicht anonym; eine KI-Nutzung ist dann nur zulässig, wenn sie datenschutzkonform geregelt ist und die Auftraggeberin der konkreten KI-Nutzung nicht ausdrücklich widersprochen hat.

§ 2 Begriffe und Beschreibung der KI-Nutzung

(1) KI-System bzw. KI-gestützte Funktion ist jede Software, jedes Tool oder jede Funktion (z. B. Assistenz-, Copilot-, Analyse-, Generierungsfunktionen), die Eingaben automatisiert auswertet oder Ausgaben erzeugt (z. B. Texte, Code, Analysen, Empfehlungen).

(2) KI-Nutzung ist insbesondere das Eingeben und Übermitteln von Inhalten durch Prompting, Upload, Anhänge, Copy/Past) oder die Verarbeitung durch integrierte KI-Funktionen.

(3) Der Auftragnehmer dokumentiert intern für die jeweils eingesetzten KI-Tools mindestens: Tool, Anbieter, Zweck, Betriebsart (Cloud/On-Prem), sowie die getroffenen Schutzmaßnahmen insbesondere. Anonymisierung und Konfiguration, und legt diese Informationen der Auftraggeberin auf Verlangen vor.

§ 3 Grundsatz der Zulässigkeit, Erforderlichkeit und Widerspruchsrecht der Auftraggeberin

(1) Der Auftragnehmer darf Inhalte der Auftraggeberin nur dann in KI-Systemen verarbeiten, wenn die Inhalte zuvor irreversibel anonymisiert wurden, die KI-Nutzung für die Vertragserfüllung zwingend erforderlich ist und keine vertraglichen oder gesetzlichen Vorgaben entgegenstehen.

(2) Die Auftraggeberin behält sich ein Widerspruchsrecht gegen die konkrete KI-Nutzung jederzeit vor.

(3) Übt die Auftraggeberin den Widerspruch aus, hat der Auftragnehmer die KI-Nutzung unverzüglich, spätestens jedoch innerhalb von 24 Stunden, zu unterbinden und sicherzustellen, dass eine weitere Verarbeitung über KI-Systeme nicht erfolgt.

[Seite 2]

(4) Die Auftraggeberin kann einen Widerspruch zurücknehmen, wenn der Auftragnehmer nachweist, dass die Verarbeitung datenschutzkonform erfolgt und die von der Auftraggeberin geäußerten Bedenken ausgeräumt sind. Dies umfasst ausdrücklich datenschutzrechtliche, sicherheitsbezogene sowie ethische Bedenken (z. B. fehlende Nachvollziehbarkeit, Bias und Benachteiligungsrisiken, Intransparenz, Zweckverschiebung, unklare Datenflüsse).

(5) Bis zur Rücknahme des Widerspruchs bleibt die KI-Nutzung untersagt. Sonstige vertragliche Pflichten zur Leistungserbringung bleiben unberührt; der Auftragnehmer hat ggf. auf nicht-KI- gestützte Verfahren auszuweichen, soweit dies zur Vertragserfüllung möglich und zumutbar ist.

§ 4 Irreversible Anonymisierung (keine Rückverfolgbarkeit)

(1) Irreversible Anonymisierung bedeutet, dass weder der Auftragnehmer noch Dritte die Inhalte mit vertretbarem Aufwand und unter Nutzung realistischer Zusatzinformationen auf Personen, Akten, Vorgänge, Beschäftigte, Standorte oder sonstige spezifische Sachverhalte der Auftraggeberin zurückführen können.

(2) Vor KI-Nutzung sind insbesondere zu anonymisieren: Namen, Adressen, Kontaktdaten, Akten- und Kassenzeichen, Grundstücks- und Flurstücksbezüge, Organisationsbezüge mit Identifikationswirkung sowie seltene Einzelfallmerkmale und Kombinationen, die einen Rückschluss ermöglichen.

(3) Eine Anonymisierung ist unzureichend, wenn der eine Re-Identifizierung ermöglicht.

(4) Re-Identifizierungslisten, Mapping-Tabellen, Schlüssel oder Referenzen dürfen nicht im Zusammenhang mit KI-Nutzung verwendet oder bereitgehalten werden.

§ 5 Verbotene Nutzungen

Unzulässig ist:

1. jede Verarbeitung von Inhalten, bei denen eine irreversible Anonymisierung nicht sicher gewährleistet ist,

2. die Nutzung von KI als alleinige Grundlage für nicht nachvollziehbare Entscheidungen, Bewertungen oder Empfehlungen gegenüber der Auftraggeberin ohne fachliche Prüfung,

3. jede sonstige Nutzung, die gegen Freigabevorgaben der Auftraggeberin oder gegen diese Anlage verstößt.

§ 6 Verbot von Training und Modellverbesserung

(1) Der Auftragnehmer darf Inhalte, Informationen, Unterlagen oder Daten der Auftraggeberin zu keinem Zeitpunkt für das Training, Nachtraining, Fine-Tuning, Prompt-Learning, die

[Seite 3]

Modellverbesserung, Qualitätsverbesserung, Produktentwicklung oder Evaluierung von KI- Systemen verwenden oder verwenden lassen.

(2) Das Verbot gilt unabhängig davon, ob die Verarbeitung direkt durch. Upload oder Prompting oder indirekt durch Telemetrie, „Feedback“-Funktionen, Protokoll- bzw. Verlaufspeicherung, Support-Tickets, Herstellerdiagnosen, automatisierte Inhaltsanalyse erfolgt.

(3) Der Auftragnehmer stellt durch technische und organisatorische Maßnahmen sicher, dass eine solche Nutzung durch Anbieter oder Dritte ausgeschlossen ist.

§ 7 Verantwortlichkeit, Nachvollziehbarkeit, Kennzeichnung

(1) Der Auftragnehmer bleibt für die Qualität, Rechtmäßigkeit und Verwendbarkeit seiner Arbeitsergebnisse verantwortlich und kann sich nicht darauf berufen, ein Fehler beruhe auf KI.

(2) KI-unterstützte Inhalte sind gegenüber der Auftraggeberin als solche zu kennzeichnen und in einer Weise aufzubereiten, dass sie fachlich nachvollziehbar und prüfbar sind.

§ 8 Keine Gewährleistung der Auftraggeberin für KI-Fehler

(1) Ergebnisse, Entwürfe, Vorschläge oder sonstige Inhalte, die ganz oder teilweise mit KI erstellt oder beeinflusst wurden, begründen keine Verpflichtung oder Bindung der Auftraggeberin. Verbindlich sind ausschließlich ausdrücklich freigegebene Erklärungen der hierzu befugten Personen der Auftraggeberin.

(2) Die Auftraggeberin übernimmt keinerlei Gewährleistung für Fehler oder Nachteile, die auf einer KI-Nutzung des Auftragnehmers beruhen.

§ 9 Haftung, Schadensfall und Freistellung

(1) Ein Verstoß gegen diese Anlage stellt eine wesentliche Vertragspflichtverletzung dar.

(2) Der Auftragnehmer haftet nach den gesetzlichen Vorschriften für Verstöße gegen diese Anlage sowie für daraus resultierende Schäden, Mehraufwände und Folgekosten, soweit er den Verstoß zu vertreten hat.

(3) Der Auftragnehmer stellt die Auftraggeberin von Ansprüchen Dritter frei, die aus einer nicht konformen KI-Nutzung oder aus Rechteverletzungen insbesondere geistiges Eigentum und Lizenzen resultieren, und trägt die erforderlichen Rechtsverfolgungskosten.

§ 10 Vertragsstrafe und Bezug zum Hauptvertrag

Soweit der Hauptvertrag eine Vertragsstrafe vorsieht, gilt ein schuldhafter Verstoß gegen diese Anlage als auslösender Tatbestand. Die Vertragsstrafenregelung des Hauptvertrags findet entsprechend Anwendung. Weitergehende bleiben unberührt.