Der „GDPRLocal Master Service Agreement“ und die darin enthaltenen zusätzlichen Bedingungen regeln unsere Produkte, Dienstleistungen und Kundenbeziehungen.
Es bestehen keine Verpflichtungen zum Kauf von Dienstleistungen. Für die Anmeldung ist keine Kreditkarte erforderlich, und nach der Registrierung können Dienstleistungen jederzeit erworben und aktiviert werden.
Dieser Anhang ist Bestandteil des Rahmenvertrags über Dienstleistungen („Vertrag“) zwischen dem Kunden und GDPRLocal Ltd („GDPRLocal“). Er legt den Umfang der von GDPRLocal erbrachten KI-Governance-Dienstleistungen fest, die den Kunden bei der Konzeption, Steuerung, Wartung und kontinuierlichen Verbesserung seines KI-Managementsystems („AIMS“) unterstützen, wie in der Leistungsbeschreibung beschrieben, die diesem Anhang als Anlage beigefügt ist. Die in diesem Anhang verwendeten Begriffe haben dieselbe Bedeutung wie im Rahmenvertrag über Dienstleistungen.
In diesem Anhang bezeichnet „AIMS“ das KI-Managementsystem des Kunden, d. h. das vom Kunden festgelegte Rahmenwerk aus Richtlinien, Verfahren, Rollen, Kontrollmaßnahmen, Registern und Überwachungsmaßnahmen für die verantwortungsvolle Gestaltung, Steuerung und den Betrieb seiner KI-Systeme; „AI Tracker“ bezeichnet die auf dem Portal von GDPRLocal geführte Aufzeichnung, in der die KI-Systeme des Kunden, die damit verbundenen Risiken, Kontrollmaßnahmen und Ereignisse im Lebenszyklus erfasst werden.
1.1 Überblick. GDPRLocal stellt dem Kunden fortlaufende Beratung und Rahmenleitlinien bei der Konzeption, Steuerung, Pflege und kontinuierlichen Verbesserung seiner AIMS zur Verfügung, wie in Ziffer 1.2 und in der Leistungsbeschreibung beschrieben.
1.2 Kernsäulen. GDPRLocal bietet beratende Unterstützung in den folgenden vier Kernsäulen des AIMS:
(a) KI-Governance und Rechenschaftspflicht
(b) KI-Risikomanagement
(c) Ethik und Transparenz
(d) Kontinuierliche Überwachung und Verbesserung
1.3 Zugriff auf die Ressourcen von GDPRLocal. Zusätzlich zu den monatlich erbrachten Leistungen hat der Kunde im Rahmen dieser Vereinbarung fortlaufenden Zugriff auf das Portal von GDPRLocal sowie auf die von GDPRLocal für den Kunden erstellte Dokumentation.
2.1 Erbringung der Dienstleistungen. GDPRLocal erbringt die in der Leistungsbeschreibung (SOW) beschriebenen Dienstleistungen gemäß dem in diesem Anhang festgelegten Umfang und in den zwischen dem benannten Vertreter des Kunden und dem Compliance-Beauftragten von GDPRLocal vereinbarten Abständen, wobei die Art, der Umfang, der Kontext und das Risikoprofil der KI-Governance-Strategie des Kunden berücksichtigt werden.
2.2 Beratung und Berichterstattung. GDPRLocal erbringt Beratung, gibt Empfehlungen ab und erstellt Berichte innerhalb der zwischen den Parteien im Leistungsumfang (SOW) vereinbarten Fristen, wobei die Komplexität und Dringlichkeit der Angelegenheit berücksichtigt werden. Form, Häufigkeit und Zeitpunkt von Berichten, Besprechungen oder sonstigen Leistungen richten sich nach den Bestimmungen des jeweiligen Leistungsumfangs (SOW).
Zusätzlich zu den in MSA § 6 festgelegten Verpflichtungen hat der Kunde folgende Pflichten:
3.1 einen Hauptansprechpartner zu benennen, der für die Abstimmung mit GDPRLocal in Bezug auf die Dienste zuständig ist;
3.2 den rechtzeitigen Zugang zu den relevanten Beteiligten sicherzustellen, darunter Vertreter aus den Bereichen Daten & Technik, IT, Rechtsabteilung, Risikomanagement, Personalwesen und allen anderen relevanten Abteilungen, soweit dies für die Erbringung der Dienstleistungen in angemessener Weise erforderlich ist;
3.3 monatlich die Prioritäten und Schwerpunkte für die Dienstleistungen festzulegen oder zu bestätigen;
3.4 rechtzeitig alle Beiträge, Informationen, Anweisungen, Genehmigungen, Zugangsrechte und sonstige Unterstützung bereitzustellen, die von GDPRLocal zur Erbringung der Dienstleistungen vernünftigerweise benötigt werden; und
3.5 die alleinige Verantwortung für die Ermittlung, Bewertung, Akzeptanz, Minderung und Meldung von KI-bezogenen Risiken und Vorfällen sowie für die Einführung, Umsetzung und den laufenden Betrieb aller von GDPRLocal bereitgestellten Richtlinien, Verfahren oder Dokumentationen zu übernehmen.
4.1 GDPRLocal erbringt ausschließlich Dienstleistungen in den Bereichen Aufsicht, Rahmenkonzeption und Beratung und übernimmt keine operativen, leitenden oder entscheidungsrelevanten Aufgaben innerhalb der Organisation des Kunden.
4.2 GDPRLocal fungiert nicht als Verantwortlicher für KI-Risiken oder als Verantwortlicher für KI-Vorfälle. Die letztendliche Verantwortung für die Identifizierung, Bewertung, Akzeptanz, Minderung und Meldung von KI-bezogenen Risiken und Vorfällen liegt ausschließlich beim Kunden.
4.3 Die Dienstleistungen stellen eine Beratung in den Bereichen Unternehmensführung und Compliance dar und sind keine formelle Rechtsberatung oder Rechtsgutachten. Der Kunde ist dafür verantwortlich, vor der Einführung oder Umsetzung aller Richtlinien, Verfahren und Unterlagen eine unabhängige rechtliche Prüfung vornehmen zu lassen.
4.4 Die Dienstleistungen umfassen keine Beratung oder Anleitung im Zusammenhang mit der technischen Umsetzung oder Produktentwicklungsaktivitäten, einschließlich, aber nicht beschränkt auf das Schreiben von Code, die Durchführung von Software- oder Sicherheitstests, die Erstellung oder das Training von Modellen, die Entwicklung von Systemarchitekturen oder die Ausübung der Tätigkeit als Entwickler, Ingenieure oder Datenwissenschaftler.
4.5 Eine gezielte Recherche zu regulatorischen Entwicklungen im Bereich der KI und zu geltenden Gesetzen sowie die Beratung des Kunden hinsichtlich der erforderlichen Aktualisierungen der AIMS, um die Übereinstimmung mit sich ändernden Anforderungen aufrechtzuerhalten, fallen nicht in den Umfang der Dienstleistungen und gelten als Zusatzleistung gemäß Ziffer 5.
4.6 Alle Leistungen, die nicht unter die Bestimmungen der Ziffern 1 und 2 fallen, können gemäß Ziffer 5 als abrechnungspflichtige Zusatzleistungen angefordert werden.
5.1 Geltungsbereich. Die Dienstleistungen beschränken sich auf die im jeweiligen Leistungsumfang (SOW) festgelegten Leistungen und Tätigkeiten.
5.2 Zusatzleistungen. Stellt GDPRLocal fest, dass eine Anfrage oder Anforderung außerhalb des Geltungsbereichs der Leistungsbeschreibung liegt (einschließlich der in Ziffer 4.5 aufgeführten Punkte), so hat GDPRLocal den Kunden schriftlich (per E-Mail) darüber zu informieren und dabei eine nach bestem Wissen und Gewissen vorgenommene Schätzung des zusätzlichen Zeit- oder Kostenaufwands beizufügen. Mit der Erbringung von Zusatzleistungen darf erst begonnen werden, nachdem der Kunde diese schriftlich (per E-Mail) genehmigt hat.
5.3 Abrechnung. Gemäß Ziffer 5.2 genehmigte Zusatzleistungen werden zu den in der Preisliste angegebenen Sätzen abgerechnet, es sei denn, die Parteien vereinbaren vor Beginn der Arbeiten ausdrücklich schriftlich ein anderes Entgelt.
5.4 Änderung der Leistungsbeschreibung. Stellen zusätzliche Leistungen eine wesentliche Erweiterung des Auftrags dar, vereinbaren die Parteien eine schriftliche Änderung der Leistungsbeschreibung, in der der geänderte Umfang, der Zeitplan und die Honorare festgehalten werden.
5.5 Aufzeichnungen. GDPRLocal führt Aufzeichnungen über die im Rahmen der Leistungsbeschreibung aufgewendete Zeit und die durchgeführten Tätigkeiten und stellt diese dem Kunden auf begründete Anfrage zur Verfügung.
6.1 Beratender Charakter. Die Parteien erkennen an, dass die Dienstleistungen beratenden Charakter haben. GDPRLocal übernimmt keine Gewähr für das Ergebnis einer KI-Risikobewertung, einer KI-Folgenabschätzung, einer Überprüfung oder einer Governance-Maßnahme und übernimmt keine Verantwortung für Entscheidungen oder Maßnahmen, die der Kunde auf der Grundlage der Beratung oder der Leistungen von GDPRLocal trifft bzw. durchführt. Der Kunde bleibt allein verantwortlich für die Einführung, Umsetzung und den Betrieb aller von GDPRLocal bereitgestellten Richtlinien, Verfahren oder Empfehlungen.
6.2 Haftungsbeschränkung. Vorbehaltlich der Ziffer 6.4 übersteigt die Gesamthaftung einer der Parteien gemäß diesem Anhang nicht die Gesamtsumme der vom Kunden für die Dienstleistungen gezahlten oder zu zahlenden Gebühren in dem Zwölfmonatszeitraum (12), der dem Ereignis, das den Anspruch begründet, unmittelbar vorausging. Keine der Parteien haftet für indirekte, Folge-, Sonder- oder Strafschäden.
6.3 Verantwortung des Kunden. Unbeschadet der Bestimmungen in Ziffer 6.2 übernimmt GDPRLocal keine Haftung für Folgendes, und der Kunde trägt hierfür die alleinige Verantwortung: jegliche Schäden, Beeinträchtigungen oder Verluste, die durch die KI-Systeme des Kunden selbst, deren Ergebnisse, Leistung oder Sicherheit verursacht werden oder daraus entstehen; jegliche behördlichen Bußgelder, Strafen oder Sanktionen, die gegen den Kunden verhängt werden; alle Verluste, die sich aus dem Versäumnis des Kunden ergeben, die von GDPRLocal empfohlenen Richtlinien, Verfahren oder Kontrollmaßnahmen umzusetzen, zu übernehmen oder aufrechtzuerhalten; sowie alle Verluste, die auf Untätigkeit, Verzögerungen oder mangelnde Zusammenarbeit des Kunden gemäß Ziffer 6.5 oder gemäß § 5.9 des MSA zurückzuführen sind.
6.4 Ausnahmen von der Haftungsbeschränkung. Die in Ziffer 6.2 festgelegte Haftungshöchstgrenze gilt nicht für: die Haftung für Tod oder Körperverletzung aufgrund von Fahrlässigkeit; Betrug oder arglistige Täuschung; oder jede andere Haftung, die nach geltendem Recht nicht beschränkt werden kann.
6.5 Mangelnde Zusammenarbeit (dienstspezifisch). Sollte der Kunde nicht mehr reagieren oder die erforderlichen monatlichen Prioritäten bzw. rechtzeitigen Angaben nicht vorlegen, gilt MSA § 5.9 (Mangelnde Zusammenarbeit). Für diesen Dienst ist der relevante Dienstzeitraum gemäß MSA § 5.9 der monatliche Dienstzeitraum.
7.1 Laufzeit. Dieser Anhang tritt am Datum des Dienstbeginns in Kraft und gilt für eine anfängliche Laufzeit von zwölf (12) Monaten (die „anfängliche Laufzeit“), sofern er nicht gemäß dieser Klausel 7 oder § 12 des Rahmenvertrags vorzeitig gekündigt wird. Er verlängert sich automatisch um jeweils zwölf (12) Monate, sofern nicht eine der Parteien gemäß Klausel 7.2 schriftlich mitteilt, dass sie eine Verlängerung ablehnt.
7.2 Kündigung aus freien Stücken. Ungeachtet MSA § 12.3 kann jede Partei diesen Anhang aus freien Stücken kündigen, indem sie der anderen Partei mindestens dreißig (30) Tage im Voraus eine schriftliche Kündigung per E-Mail zukommen lässt; eine solche Kündigung wird vor Beginn des nächsten monatlichen Abrechnungszeitraums wirksam.
7.3 Export nach Vertragsbeendigung. Nach Vertragsbeendigung und vorbehaltlich der Begleichung aller ausstehenden Gebühren stellt GDPRLocal dem Kunden einen abschließenden Export des AI Trackers zur Verfügung.
7.4 Fortbestand. Die Bestimmungen 4, 6 und diese Bestimmung 7 bleiben auch nach Beendigung des Vertrags bestehen.
Diese Leistungsbeschreibung („SOW“) ist Anhang zu Anhang 5 (KI-Governance-Dienstleistungen) und bildet einen Bestandteil desselben; dieser wiederum ist Bestandteil des Rahmenvertrags über Dienstleistungen zwischen dem Kunden und GDPRLocal Ltd. Großgeschriebene Begriffe haben dieselbe Bedeutung wie im Anhang oder im Vertrag.
Die Leistungsbeschreibung wird von GDPRLocal zum Zeitpunkt der Serviceaktivierung erstellt und erfasst. Die in eckigen Klammern angezeigten Platzhalterfelder werden aus dem Kundenkonto und dem Serviceaktivierungsdatensatz ausgefüllt.
| Firmenname | [Firmenname] |
| Eingetragener Firmensitz | [Eingetragener Firmensitz] |
| Hauptansprechpartner | [Ansprechpartner] |
| Rolle | [Kontaktfunktion] |
| [E-Mail-Adresse] | |
| Telefon | [Kontaktnummer] |
| AIMS-Berichterstattung | [Liste der Geschäftsbereiche, Funktionen oder KI-Systeme, die in den Anwendungsbereich von AIMS fallen] |
| Vorrangige Schwerpunkte bei der Aktivierung | [bei der Einarbeitung vereinbarte vorrangige Aufgaben] |
| Häufigkeit der monatlichen Treffen | [z. B. am ersten Donnerstag jedes Monats um 14:00 Uhr (britische Zeit)] |
| Berichtsrhythmus | [z. B. monatlicher schriftlicher Statusbericht; vierteljährliche Zusammenfassung] |
| Einsatzgebiet | [Rechtsordnungen, in denen die KI-Systeme des Kunden eingesetzt werden oder zugänglich sind] |
Alle Gebühren für diesen Service sind in der MSA-Gebührenordnung aufgeführt. Der Service umfasst die folgenden Gebührenkategorien:
| Abonnement für AI Governance | Wie in der Preisliste angegeben. Zahlbar monatlich ab dem Datum des Leistungsbeginns. |
| Zusatzleistungen (Recherchen zu regulatorischen Fragen, Projekt- oder Beratungsleistungen, die über den Umfang des Abonnements hinausgehen, oder Leistungen, die in Anhang § 4.5 ausdrücklich als Zusatzleistungen bezeichnet sind) | Zum jeweils geltenden Tarif gemäß Preisliste, vorbehaltlich einer vorherigen schriftlichen Genehmigung gemäß Anhang § 5. |
| Abrechnungsrhythmus | [monatlich / jährlich] |
| Währung | GBP, ohne Mehrwertsteuer und etwaige sonstige Steuern. |
| Leiter für lokale KI-Governance im Bereich DSGVO | [Name wird bei Aktivierung mitgeteilt] |
| DSGVO – Lokale Niederlassung | GDPRLocal GmbH |
| Eingetragener Firmensitz | Suite im 1. Stock auf der Vorderseite, 27–29 North Street, Brighton, England, BN1 1EB |
| [email protected] | |
| Tel. | +44 1772 217 800 |
Jede Partei hat die andere Partei innerhalb von dreißig (30) Werktagen nach Eintritt einer dauerhaften Änderung ihres benannten Personals darüber zu unterrichten.
Die nachstehende Tabelle gibt einen Überblick über die Bandbreite der Leistungen im Bereich KI-Governance, die im Rahmen dieser Leistungsbeschreibung erbracht werden können, basierend auf den Prioritäten, die bei den monatlichen Besprechungen vereinbart und in den Monatsplänen bestätigt wurden.
| AIMS-Einzugsgebiet | Ergebnisse |
|---|---|
| KI-Governance und Rechenschaftspflicht | KI-Richtlinie, KI-Governance-Richtlinie, AIMS-Geltungsbereichsrichtlinie, Matrix zu Rollen und Verantwortlichkeiten, Richtlinie zu KI-Unterstützung und -Betrieb, Prozess für KI-Ressourcen, Datenschutzrichtlinie im Einklang mit AIMS, Allgemeine Geschäftsbedingungen im Einklang mit AIMS, Geschäftskontinuitätsplan im Einklang mit AIMS, Verzeichnis der rechtlichen und regulatorischen Anforderungen im Einklang mit AIMS |
| Risikomanagement im Bereich KI | KI-Risikoregister, KI-Risikomanagementrichtlinie, Verfahren zur KI-Folgenabschätzung, Methodik zur KI-Risikobewertung, Vorlage für die KI-Risikobewertung (NIST), KI-Risikobehandlung, Plan zur KI-Risikobehandlung, Methodik zur KI-Folgenabschätzung, Vorlage für die KI-Folgenabschätzung (Microsoft), Bericht zur KI-Folgenabschätzung, Genehmigungsverfahren für KI-Tools, Risikobewertung von KI-Tools, KI-Tool-Register, Plan zur Reaktion auf KI-Vorfälle, Checkliste zur Reaktion auf KI-Vorfälle, Register für KI-Vorfälle, Klassifizierungsschema für KI-Vorfälle |
| Ethik und Transparenz | KI-Modellkarte (extern)Richtlinie zur operativen Nutzung von KI-Modellen (intern)Richtlinie zur Nutzung von KI (extern)Richtlinie zur zulässigen Nutzung von KI (intern)Prozess zur KI-Kompetenz mit zugehörigen FormularenKI-SchulungsplanMitarbeiterhandbuch zur KI-Kompetenz |
| Kontinuierliche Überwachung und Verbesserung | Richtlinie zur Verbesserung von KI-Systemen, KI-Tracker, Bewertung der KI-Leistung, Formular für Korrekturmaßnahmen bei KI-Systemen, Plan zur Überwachung von KI-Systemen nach dem Inverkehrbringen, interner Auditprozess mit zugehörigen Formularen (internes Auditprogramm, interner Auditbericht, interne Audit-Checkliste) |
Hinweis: Gezielte Recherchen zu regulatorischen Entwicklungen im Bereich der KI und zu geltenden Gesetzen sowie die Beratung des Kunden hinsichtlich der erforderlichen Aktualisierungen der AIMS, um die Übereinstimmung mit sich ändernden Anforderungen aufrechtzuerhalten, fallen nicht in den Umfang des Abonnements und gelten als Zusatzleistung gemäß Anhang § 5 (siehe auch Anhang § 4.5).
Diese Leistungsbeschreibung kann durch schriftliche Vereinbarung zwischen den Parteien überprüft und aktualisiert werden, sofern dies erforderlich ist, um wesentliche Änderungen der AIMS des Kunden, seiner Dienstleistungsanforderungen oder seiner Compliance-Prioritäten zu berücksichtigen. Jede derartige Aktualisierung wird als überarbeitete Leistungsbeschreibung im Zusammenhang mit dem Kundenkonto erfasst.
Diese Leistungsbeschreibung gilt ab dem Zeitpunkt der Aktivierung der Dienstleistung als vom Kunden angenommen (unabhängig davon, ob die Aktivierung über das Portal erfolgt oder durch eine von GDPRLocal akzeptierte schriftliche Bestätigung).