Der „GDPRLocal Master Service Agreement“ und die darin enthaltenen zusätzlichen Bedingungen regeln unsere Produkte, Dienstleistungen und Kundenbeziehungen.
Es bestehen keine Verpflichtungen zum Kauf von Dienstleistungen. Für die Anmeldung ist keine Kreditkarte erforderlich, und nach der Registrierung können Dienstleistungen jederzeit erworben und aktiviert werden.
Dieser Anhang ist Bestandteil des Rahmen-Dienstleistungsvertrags („Vertrag“) zwischen dem Kunden und GDPRLocal Ltd („GDPRLocal“). Er legt den Umfang der von GDPRLocal über sein verbundenes Unternehmen Instant EU GDPR Representative Ltd (der „Beauftragte Vertreter“) erbrachten Dienstleistung gemäß Artikel 22 des EU-KI-Gesetzes fest; dabei handelt es sich um ein in der Europäischen Union ansässiges Unternehmen, das von GDPRLocal mit der Wahrnehmung der Funktion des Beauftragten Vertreters gemäß diesem Anhang beauftragt wurde. Verweise auf GDPRLocal in diesem Anhang beziehen sich auch auf den Beauftragten, der in seiner gesetzlichen Funktion handelt, sofern der Kontext nichts anderes erfordert. Die in diesem Anhang verwendeten Begriffe haben dieselbe Bedeutung wie im Rahmenvertrag oder in den geltenden Vorschriften.
In diesem Anhang bezeichnet der Begriff „KI-Gesetz“ die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz; der Begriff „KI-System mit hohem Risiko“ bezeichnet ein KI-System, das gemäß Artikel 6 und den Anhängen I und III des KI-Gesetzes als System mit hohem Risiko eingestuft ist; der Begriff „Anbieter“ hat die in Artikel 3 des KI-Gesetzes festgelegte Bedeutung; „Technische Dokumentation“ bezeichnet die gemäß Artikel 11 und Anhang IV des KI-Gesetzes erforderliche technische Dokumentation; „EU-Konformitätserklärung“ bezeichnet die gemäß Artikel 47 erforderliche Erklärung; „Konformitätsbewertung“ bezeichnet das gemäß Artikel 43 anwendbare Konformitätsbewertungsverfahren; und „zuständige Behörden“ umfasst die zuständigen Marktüberwachungsbehörden, die nationalen zuständigen Behörden und das KI-Amt.
Regulatorischer Rahmen. Die Parteien erkennen an, dass die Verpflichtungen aus dem KI-Gesetz, einschließlich der Verpflichtung zur Benennung eines Bevollmächtigten gemäß Artikel 22, schrittweise in Kraft treten und dass die für bestimmte KI-Systeme mit hohem Risiko geltenden Verpflichtungen zum Zeitpunkt dieses Anhangs noch nicht in Kraft sind. Der Kunde hat sich dafür entschieden, den benannten Vertreter auf freiwilliger Basis und entsprechend seiner Bereitschaft bereits vor dem jeweiligen Anwendungszeitpunkt zu benennen. Die Dienstleistungen werden ab dem Datum des Dienstleistungsbeginns erbracht, unabhängig vom Anwendungszeitpunkt der zugrunde liegenden gesetzlichen Verpflichtung.
1.1 Lebenszyklus der Dienstleistung. Die Dienstleistung umfasst drei Phasen:
1.2 Ernennung. Mit Wirkung ab dem Datum des Inkrafttretens der Ernennung ernennt der Kunde als Anbieter des/der in der Leistungsbeschreibung genannten KI-Systeme mit hohem Risiko den benannten Vertreter, damit dieser gemäß Artikel 22 des KI-Gesetzes als sein bevollmächtigter Vertreter in der Union fungiert. Dieser Anhang bildet zusammen mit der Leistungsbeschreibung das gemäß Artikel 22 Absatz 1 des KI-Gesetzes erforderliche schriftliche Mandat. Die Onboarding-Maßnahmen gemäß Ziffer 1.1(a) beginnen mit dem Dienstleistungsbeginn. Die Bestellung als Bevollmächtigter wird nach erfolgreichem Abschluss der Überprüfungsphase vertraglich wirksam; ab diesem Zeitpunkt gelten die Kernverpflichtungen gemäß Ziffer 1.3 fortlaufend. Der benannte Vertreter nimmt diese Ernennung an und verpflichtet sich, die Dienstleistungen in Übereinstimmung mit Artikel 22 des KI-Gesetzes zu erbringen. Das Mandat macht den benannten Vertreter nicht zum Anbieter des KI-Systems mit hohem Risiko, überträgt keine Verpflichtungen des Anbieters auf den benannten Vertreter, verleiht keine Befugnis, wesentliche Entscheidungen im Namen des Kunden zu treffen, und stellt keine rechtliche Vertretung in Rechtsstreitigkeiten oder Vollstreckungsverfahren dar.
1.3 Wesentliche Verpflichtungen (Artikel 22 Absatz 3 des Mandats). Ab dem Zeitpunkt, zu dem GDPRLocal die aktive Rolle gemäß Ziffer 1.1(c) übernimmt, hat GDPRLocal (über den benannten Vertreter) gemäß den Bedingungen des Mandats:
1.4 Verifizierungsbericht und Abhilfemaßnahmen. Stellt GDPRLocal während der Verifizierungsphase wesentliche Konformitätslücken oder Mängel fest, erstellt GDPRLocal einen Verifizierungsbericht für den Kunden, in dem die Ergebnisse und empfohlene Abhilfemaßnahmen detailliert dargelegt werden. Beratungs-, Projekt- oder sonstige Dienstleistungen, die zur Unterstützung der Abhilfemaßnahmen des Kunden erforderlich sind, werden gemäß Ziffer 1.9 (Zusatz- und Folgeleistungen) zu dem in der Preisliste festgelegten ermäßigten Tarif für professionelle Dienstleistungen erbracht.
1.5 Ansprechpartner. Gemäß Artikel 22 Absatz 4 des KI-Gesetzes ermächtigt das Mandat die zuständigen Behörden, sich in allen Fragen, die die Einhaltung des KI-Gesetzes durch das KI-System mit hohem Risiko betreffen, zusätzlich zum oder anstelle des Anbieters an den benannten Vertreter zu wenden.
1.6 Zwangsweise Beendigung und Meldepflicht. Der Kunde erkennt an, dass der benannte Vertreter gemäß Artikel 22 Absatz 4 des KI-Gesetzes verpflichtet ist, das Mandat zu beenden, wenn er der Ansicht ist oder Grund zu der Annahme hat, dass der Anbieter gegen seine Verpflichtungen aus dem KI-Gesetz verstößt, und in diesem Fall die zuständige Marktüberwachungsbehörde sowie gegebenenfalls die zuständige benannte Stelle über die Beendigung und die Gründe dafür zu informieren. Hierbei handelt es sich um eine zwingende gesetzliche Pflicht. Die gutgläubige Ausübung dieser Pflicht durch den benannten Vertreter stellt keinen Verstoß gegen diese Vereinbarung dar, und es gelten die in Ziffer 6.8 genannten Folgen der Kündigung. Der Kunde übernimmt die alleinige Verantwortung für alle regulatorischen Konsequenzen, die sich aus einer solchen Kündigung ergeben, einschließlich etwaiger daraus resultierender Deckungslücken.
1.7 Art der Überprüfung. Die Überprüfung gemäß diesem Anhang bestätigt, dass die EU-Konformitätserklärung, die technische Dokumentation und alle anwendbaren Konformitätsbewertungen auf der Grundlage der vom Kunden bereitgestellten Unterlagen und Informationen erstellt wurden und auf den ersten Blick vollständig sind sowie in einer für behördliche Prüfungen geeigneten Form vorliegen. Die Überprüfung ist keine inhaltliche Neubewertung, kein Audit, keine Zertifizierung und keine Gewährleistung hinsichtlich der Konformität, Sicherheit oder Leistung des KI-Systems mit hohem Risiko und darf auch nicht als solche dargestellt werden; diese Aspekte unterliegen weiterhin der alleinigen Verantwortung des Anbieters.
1.8 Laufende regulatorische Beratung. Im Rahmen des aktiven Abonnements stellt GDPRLocal angemessene, laufende regulatorische Aktualisierungen und Beratung in Bezug auf das KI-Gesetz im Zuge seiner Weiterentwicklung bereit, die der Art, dem Umfang und dem Risikoprofil der KI-Aktivitäten des Kunden angemessen sind. Die laufende regulatorische Beratung hat beratenden Charakter und umfasst keine inhaltliche Projektarbeit, Entwurfserstellung oder Beratung, die gemäß Ziffer 1.9 verfügbar sind.
1.9 Zusätzliche und damit verbundene Dienstleistungen. Alle vom Kunden angeforderten Dienstleistungen, die nicht unter die Kernverpflichtungen gemäß Ziffer 1.3 fallen, einschließlich, aber nicht beschränkt auf die Implementierung von KI-Governance-Rahmenwerken, Risikomanagement-Rahmenwerken, Risikobewertungen, Unterstützung bei der Konformitätsbewertung, KI-Richtlinien und -Verfahren, interne Governance-Dokumentation, Mitarbeiterschulungen, Management-Workshops oder laufende Beratungsleistungen zum KI-Gesetz, die über Ziffer 1.8 hinausgehen, fallen nicht unter diesen Anhang. Solche Dienstleistungen sind als Beratungs- oder Projektdienstleistungen verfügbar und werden gemäß MSA §5.5 als zusätzliche Dienstleistungen und Aufgaben zu dem in der Preisliste festgelegten ermäßigten Tarif für professionelle Dienstleistungen in Rechnung gestellt.
2.1 Erbringung der Dienstleistung. GDPRLocal handelt auf Anweisung des im Kundenprofil angegebenen Kundenansprechpartners oder einer anderen Person, die vom Kunden ausdrücklich schriftlich bevollmächtigt wurde.
2.2 Zuteilung von Prüfungsstunden. Die einmalige Onboarding- und Prüfungsgebühr umfasst eine anfängliche Zuteilung von sechzig (60) Stunden für professionelle Dienstleistungen zur Dokumentenprüfung, wie in der Preisliste festgelegt. Falls die Prüfung aufgrund des Umfangs, der Komplexität, des rechtlichen Geltungsbereichs oder des Reifegrades der KI-Aktivitäten des Kunden zusätzliche Stunden erfordert, werden diese zusätzlichen Stunden zu dem in der Preisliste festgelegten ermäßigten Tarif für professionelle Dienstleistungen in Rechnung gestellt. Werden wesentliche Lücken festgestellt, stehen gemäß Ziffer 1.9 Maßnahmen zur Behebung dieser Lücken zur Verfügung.
2.3 Begründete Anfragen und Fristen. Erhält GDPRLocal eine begründete Anfrage einer zuständigen Behörde oder eine Mitteilung, die eine Antwort innerhalb einer festgelegten Frist erfordert, wird GDPRLocal den Kundenansprechpartner unverzüglich benachrichtigen und die Antwortfrist angeben. Sollte der Kunde die erforderlichen Informationen, Unterlagen oder Anweisungen nicht rechtzeitig bereitstellen, kann GDPRLocal (a) der Behörde eine Empfangsbestätigung übermitteln oder (b) der Behörde mitteilen, dass die Angelegenheit an den Anbieter weitergeleitet wird. Der Kunde erkennt an, dass GDPRLocal nicht für versäumte Fristen haftbar gemacht werden kann, die darauf zurückzuführen sind, dass der Kunde Informationen oder Anweisungen nicht rechtzeitig bereitgestellt hat.
Zusätzlich zu den in MSA § 6 festgelegten Verpflichtungen hat der Kunde folgende Pflichten:
3.1 GDPRLocal alle Informationen, Unterlagen und die Unterstützung zur Verfügung zu stellen, die für die Erbringung der Dienstleistungen in angemessener Weise erforderlich sind, einschließlich: genauer Angaben zur juristischen Person des Kunden als Anbieter; Identifizierung und Beschreibung der unter den Geltungsbereich fallenden KI-Systeme mit hohem Risiko und ihres Verwendungszwecks; der technischen Dokumentation; die EU-Konformitätserklärung; gegebenenfalls das Zertifikat der benannten Stelle und die Aufzeichnungen zur Konformitätsbewertung; sowie Zugang zu den automatisch generierten Protokollen, soweit diese der Kontrolle des Anbieters unterliegen;
3.2 dem Verifizierungsteam während der Verifizierungsphase angemessenen Zugang zu gewähren, mit ihm zusammenzuarbeiten und zeitnah zu antworten;
3.3 sicherzustellen, dass die technische Dokumentation, die EU-Konformitätserklärung und alle zugehörigen Unterlagen während der gesamten Laufzeit vollständig, korrekt und auf dem neuesten Stand sind und bleiben, und GDPRLocal nach jeder Änderung unverzüglich aktualisierte Fassungen zur Verfügung zu stellen;
3.4 unverzüglich auf alle von GDPRLocal weitergeleiteten Mitteilungen zu reagieren und rechtzeitig die für die Bearbeitung dieser Mitteilungen erforderlichen Anweisungen, Informationen und Entscheidungen bereitzustellen;
3.5 GDPRLocal unverzüglich über Folgendes zu informieren: (a) jeden schwerwiegenden Vorfall oder jede Fehlfunktion des KI-Systems mit hohem Risiko; (b) jede wesentliche Änderung am KI-System mit hohem Risiko oder jede Änderung seines Verwendungszwecks, die sich auf seine Konformität oder den Umfang dieses Auftrags auswirkt; (c) jede Mitteilung, die der Kunde von einer zuständigen Behörde, dem KI-Büro oder einer benannten Stelle erhält; (d) jede Korrekturmaßnahme, jeden Rückzug oder Rückruf in Bezug auf das KI-System mit hohem Risiko; und (e) jeden Rechtsstreit, jede Vollstreckungsmaßnahme oder jedes behördliche Verfahren im Zusammenhang mit dem KI-System mit hohem Risiko;
3.6 als Anbieter die Registrierungspflichten gemäß Artikel 49 des AI-Gesetzes zu erfüllen (mit der in Ziffer 1.3(e) vorgesehenen Unterstützung durch GDPRLocal) und sicherzustellen, dass die in Anhang VIII genannten Angaben korrekt sind und auf dem neuesten Stand gehalten werden;
3.7 die alleinige Verantwortung für die Konformität, Sicherheit und Leistungsfähigkeit des KI-Systems mit hohem Risiko sowie für die Richtigkeit, Vollständigkeit und Aktualität der technischen Dokumentation, der EU-Konformitätserklärung, der Konformitätsbewertung und der Protokolle zu tragen; und
3.8 keine Maßnahmen zu ergreifen, die (a) GDPRLocal oder den benannten Vertreter einem Vollstreckungsverfahren oder behördlichen Sanktionen aussetzen würden, sofern dies nicht eine unvermeidbare Folge der Rolle als Bevollmächtigter ist; (b) GDPRLocal oder den benannten Vertreter dazu verpflichten würden, gegenüber einer zuständigen Behörde unrichtige Angaben zu machen; oder (c) dazu führen würden, dass GDPRLocal oder der benannte Vertreter gegen geltende Vorschriften verstoßen.
4.1 Sofern nicht ausdrücklich als Zusatzleistung vereinbart, umfassen die Leistungen weder die Erstellung der technischen Dokumentation, der EU-Konformitätserklärung oder der Konformitätsbewertung noch eine inhaltliche Beratung dazu, noch Maßnahmen zur Herstellung der Konformität des KI-Systems mit hohem Risiko, noch die Erbringung von Rechtsberatung oder die rechtliche Vertretung. Sind solche Leistungen erforderlich, können sie gemäß Ziffer 1.9 angefordert werden, oder der Kunde sollte unabhängigen Rechtsbeistand einholen.
4.2 GDPRLocal und der benannte Vertreter übernehmen keine Führungsverantwortung, operative Kontrolle oder Entscheidungsbefugnis in Bezug auf das KI-System mit hohem Risiko; diese verbleiben ausschließlich beim Anbieter.
4.3 Der benannte Vertreter gibt keine Zusicherung, Gewährleistung oder Verantwortung hinsichtlich der Konformität, Sicherheit, Leistung oder der Ergebnisse des KI-Systems mit hohem Risiko ab.
4.4 Alle Leistungen, die über die in § 22 gesetzlich festgelegte Rolle als Bevollmächtigter hinausgehen, können gemäß dem Rahmenvertrag über Dienstleistungen und der Preisliste als abrechnungspflichtige Zusatzleistungen und -aufgaben angefordert werden.
5.1 Rahmenvereinbarung zur Haftungsanerkennung. Die Parteien erkennen Folgendes an:
5.2 Haftungsbeschränkung (dienstleistungsspezifisch).
5.2.1 Vorbehaltlich der Ziffer 5.5 darf die Gesamthaftung einer der Parteien gemäß diesem Anhang den Gesamtbetrag der vom Kunden für die Dienstleistung gezahlten oder zu zahlenden Gebühren (mit Ausnahme der Ausstiegsgebühr für die Aufbewahrung von Unterlagen gemäß Ziffer 6.6 und der Gebühr für den Export von Unterlagen gemäß Ziffer 6.7) in dem zwölf (12) Monate vor dem Ereignis, das den Anspruch begründet, liegenden Zeitraum nicht übersteigen.
5.2.2 Keine der Parteien haftet für indirekte, Folge-, Sonder- oder Strafschäden.
5.2.3 Unbeschadet der Bestimmung in Ziffer 5.2.1 übernehmen GDPRLocal und der benannte Vertreter keine Haftung für Folgendes, und der Kunde trägt hierfür die alleinige Verantwortung: jegliche Schäden, Verletzungen, Todesfälle, Beeinträchtigungen oder Verluste, die durch das risikoreiche KI-System selbst, dessen Ergebnisse, Leistung oder Sicherheit verursacht werden oder daraus entstehen; jegliche Produkthaftungs-, Mängel- oder Sicherheitsansprüche im Zusammenhang mit dem risikoreichen KI-System; alle gegen den Kunden verhängten Bußgelder, Strafen oder Sanktionen; alle Verluste, die sich aus der Nichteinhaltung des KI-Gesetzes durch den Kunden oder aus der Nichtbereitstellung genauer, vollständiger oder fristgerechter technischer Dokumentation, der EU-Konformitätserklärung, von Protokollen oder Anweisungen ergeben; alle Verluste, die darauf zurückzuführen sind, dass der Kunde ein relevantes Ereignis gemäß Ziffer 3 nicht gemeldet hat; sowie alle Verluste, die sich aus der in gutem Glauben erfolgten Weiterleitung von Mitteilungen durch GDPRLocal oder der in gutem Glauben erfolgten Erfüllung der Pflicht gemäß Ziffer 1.6 ergeben, sofern der Kunde nicht angemessen reagiert hat.
5.3 Freistellung durch den Kunden. Der Kunde verpflichtet sich, GDPRLocal, den benannten Vertreter sowie deren jeweilige verbundene Unternehmen, Führungskräfte, Mitarbeiter und Beauftragte (jeweils eine „freigestellte Person“) von allen Verlusten (einschließlich angemessener Rechtskosten auf der Grundlage einer vollständigen Freistellung) freizustellen, zu verteidigen und schadlos zu halten, die sich ergeben aus: Vollstreckungs- oder Aufsichtsverfahren im Zusammenhang mit dem KI-System mit hohem Risiko; Ansprüchen Dritter, Produkthaftungsansprüchen, Ansprüchen wegen Personenschäden oder Sicherheitsansprüchen, die sich aus dem KI-System mit hohem Risiko ergeben oder damit in Zusammenhang stehen; jeglicher Haftung nach nationalem Recht, die dem benannten Vertreter aufgrund der Nichteinhaltung der Vorschriften durch den Anbieter auferlegt wird; der Nichterfüllung der Verpflichtungen des Kunden gemäß Ziffer 3; der Unrichtigkeit oder Unvollständigkeit der technischen Dokumentation, der EU-Konformitätserklärung oder der Protokolle; sowie den Kosten für die Beantwortung begründeter Anfragen oder die Durchführung von Verfahren im Namen des Kunden.
5.4 Verteidigungsverfahren. Bei Mitteilung eines potenziell entschädigungsfähigen Anspruchs: GDPRLocal benachrichtigt den Kunden unverzüglich; der Kunde übernimmt die Führung der Verteidigung auf eigene Kosten (die entschädigungsberechtigte Person kann auf Kosten des Kunden daran mitwirken, und ohne deren Zustimmung darf kein für die entschädigungsberechtigte Person nachteiliger Vergleich geschlossen werden); die entschädigungsberechtigte Person leistet in angemessener Weise Mitwirkung; und wird die Verteidigung nicht innerhalb von 15 Werktagen übernommen, kann GDPRLocal die Führung der Verteidigung auf Kosten des Kunden übernehmen.
5.5 Ausnahmen von der Haftungsbeschränkung. Die in Ziffer 5.2 festgelegte Haftungsobergrenze gilt nicht für: die Entschädigungsverpflichtungen des Kunden gemäß Ziffer 5.3; die Haftung für Tod oder Körperverletzung aufgrund von Fahrlässigkeit; Betrug oder arglistige Täuschung; oder jede andere Haftung, die nach den geltenden Vorschriften nicht beschränkt werden kann.
5.6 Berufshaftpflichtversicherung. GDPRLocal unterhält während der gesamten Laufzeit eine Berufshaftpflichtversicherung mit einer Deckungssumme von mindestens 1.000.000 £ pro Schadensfall und insgesamt pro Versicherungsjahr. Ein entsprechender Nachweis wird auf begründete schriftliche Anfrage hin vorgelegt.
6.1 Laufzeit. Dieser Anhang tritt am Datum des Dienstbeginns in Kraft und gilt für eine anfängliche Laufzeit von zwölf (12) Monaten (die „anfängliche Laufzeit“), gerechnet ab dem Datum, an dem GDPRLocal die aktive Rolle gemäß Ziffer 1.1(c) übernimmt, sofern er nicht gemäß dieser Ziffer 6 oder § 12 des Rahmenvertrags (MSA) vorzeitig gekündigt wird. Er verlängert sich automatisch um aufeinanderfolgende zwölfmonatige Verlängerungszeiträume, sofern nicht mindestens neunzig (90) Tage vor Ablauf der jeweils laufenden Laufzeit eine Kündigung ausgesprochen wird.
6.2 Gebühren. Die Gebühren für den Dienst sind in der Preisliste aufgeführt und umfassen:
Alle Gebühren verstehen sich zuzüglich Mehrwertsteuer und etwaiger anfallender Steuern.
6.3 Kündigung aus Beliebigkeit. Ungeachtet § 12.3 des Rahmenvertrags kann jede Partei diesen Anhang mit einer Frist von mindestens neunzig (90) Tagen schriftlich kündigen, wobei dieses Recht erst nach Ablauf der anfänglichen Laufzeit ausgeübt werden kann. Die 90-tägige Kündigungsfrist trägt dem berechtigten Interesse von GDPRLocal an Kontinuität sowie der Notwendigkeit des Kunden Rechnung, einen Ersatz für den bevollmächtigten Vertreter zu benennen, um einen Verstoß gegen Artikel 22 des KI-Gesetzes zu vermeiden.
6.4 Gesetzlich vorgeschriebene Kündigung. GDPRLocal kann diesen Anhang mit sofortiger Wirkung kündigen, sofern dies gemäß Artikel 22 Absatz 4 des KI-Gesetzes erforderlich ist, wie in Ziffer 1.6 beschrieben.
6.5 Zusätzliches Kündigungsrecht. GDPRLocal kann den Vertrag zusätzlich mit sofortiger Wirkung kündigen, wenn (a) der Kunde wesentlich unrichtige Unterlagen vorlegt, sodass die Erfüllung des Vertrags eine Falschdarstellung gegenüber einer zuständigen Behörde zur Folge hätte; oder (b) die Anweisungen des Kunden rechtswidrige Handlungen erfordern würden oder GDPRLocal oder den benannten Vertreter einer unverhältnismäßigen Haftung aussetzen würden.
6.6 Aufbewahrung von Unterlagen (gesetzliche Aufbewahrungspflicht von 10 Jahren) und obligatorische Ausstiegsgebühr. Der Kunde erkennt an, dass die Verpflichtung des benannten Vertreters gemäß Ziffer 1.3(b), die technische Dokumentation, die EU-Konformitätserklärung, die Bescheinigung der benannten Stelle (sofern zutreffend) sowie die Kontaktdaten des Anbieters den zuständigen Behörden zehn (10) Jahre lang nach dem Inverkehrbringen oder der Inbetriebnahme des KI-Systems mit hohem Risiko zur Verfügung zu stellen, eine zwingende gesetzliche Verpflichtung ist, die über die Kündigung oder den Ablauf dieses Anhangs hinausbesteht und für die gesamte gesetzliche Aufbewahrungsfrist fortbesteht, unabhängig davon, ob das Abonnement weiterhin aktiv ist. Da diese Verpflichtung zwingend ist und auch bei Nichtzahlung des Abonnements fortbesteht, ist bei Kündigung oder Ablauf eine Ausstiegsgebühr gemäß der Preisliste zu entrichten. Die Ausstiegsgebühr ist obligatorisch (nicht optional), nicht erstattungsfähig und wird bei Kündigung oder Ablauf als einmalige, im Voraus zu zahlende Pauschale in Rechnung gestellt. Sie dient der Finanzierung der sicheren, vorschriftsmäßigen Aufbewahrung der aufbewahrten Unterlagen sowie des Zugriffs auf Abruf für die zuständigen Behörden und den Kunden während der Aufbewahrungsfrist. GDPRLocal stellt die aufbewahrten Unterlagen den zuständigen Behörden gemäß den Anforderungen des KI-Gesetzes sowie dem Kunden auf Anfrage zur Verfügung.
6.7 Optionaler Export von Unterlagen. Bis zum Ablauf der zehnjährigen Aufbewahrungsfrist kann der Kunde jederzeit verlangen, dass GDPRLocal die gesamte aufbewahrte technische Dokumentation, die EU-Konformitätserklärung, das Zertifikat der benannten Stelle (sofern zutreffend), Serviceaufzeichnungen, behördliche Korrespondenz und zugehörige Compliance-Unterlagen gegen die in der Preisliste festgelegte einmalige Gebühr an einen neu benannten Bevollmächtigten oder an den Kunden zusammenstellt und übermittelt (der „Export der vollständigen Compliance-Bibliothek“). Die Ausübung dieser Option entbindet den Kunden nicht von seiner Verpflichtung, einen Ersatzbevollmächtigten zu benennen, sofern dies nach dem KI-Gesetz erforderlich ist, und entbindet GDPRLocal nicht von seiner eigenen gesetzlichen Aufbewahrungspflicht für den verbleibenden Teil der Aufbewahrungsfrist, es sei denn, die Unterlagen wurden rechtmäßig an den neuen Bevollmächtigten übertragen.
6.8 Folgen der Kündigung. Innerhalb von fünf (5) Werktagen nach der Kündigung tritt GDPRLocal nicht mehr als bevollmächtigter Vertreter des Kunden auf und benachrichtigt, sofern erforderlich, die zuständige Behörde. Innerhalb von fünfzehn (15) Werktagen übermittelt GDPRLocal eine Kopie des Kommunikationsprotokolls und bestätigt die gemäß Ziffer 6.6 aufbewahrten Unterlagen. Der Kunde zahlt alle ausstehenden Gebühren und Kosten, einschließlich der gemäß Ziffer 6.6 vorgeschriebenen Ausstiegsgebühr. Die Ziffern 1.3(b), 1.6, 5, 6.6, 6.7 und diese Ziffer 6.8 bleiben auch nach der Kündigung bestehen.
6.9 Rechtlicher Hinweis. Der Kunde übernimmt die alleinige Verantwortung dafür, vor oder unmittelbar nach der Kündigung einen neuen bevollmächtigten Vertreter zu benennen, um einen Verstoß gegen § 22 des KI-Gesetzes zu vermeiden. GDPRLocal wird aus Kulanzgründen mit jedem neuen Vertreter zu den jeweils geltenden Standardtarifen zusammenarbeiten.
Diese Leistungsbeschreibung („SOW“) ist dem Dienstleistungsanhang 10 (Dienstleistung gemäß Artikel 22 des EU-KI-Gesetzes – Bevollmächtigter Vertreter) beigefügt und bildet einen Bestandteil desselben; dieser wiederum ist Bestandteil des Rahmenvertrags über Dienstleistungen zwischen dem Kunden und GDPRLocal Ltd. Großgeschriebene Begriffe haben dieselbe Bedeutung wie im Anhang oder im Vertrag.
Die Leistungsbeschreibung (SOW) wird von GDPRLocal zum Zeitpunkt der Serviceaktivierung erstellt und erfasst. Die Platzhalterfelder (unten hervorgehoben) werden aus dem Kundenkonto und dem Serviceaktivierungsdatensatz ausgefüllt.
| Firmenname | [Firmenname] |
| Ansprechpartner | [Ansprechpartner] |
| E-Mail-Adresse für Kontaktanfragen | [E-Mail-Adresse] |
| Kontaktnummer | [Kontaktnummer] |
| Betroffene KI-Systeme mit hohem Risiko | [Name / Beschreibung der einzelnen Systeme] |
| Verwendungszweck | [Verwendungszweck] |
| Grundlage für die Einstufung als Hochrisiko | [Anwendungsfall gemäß Anhang III / Produkt gemäß Anhang I und Kategorie] |
| Datum der Markteinführung / Inbetriebnahme | [Datum, an dem das KI-System mit hohem Risiko erstmals in der EU in Verkehr gebracht oder in Betrieb genommen wurde; falls noch nicht in Verkehr gebracht, „wird noch mitgeteilt“ eingeben] |
| Gebiet | Europäische Union |
| Ausschlüsse aus dem Geltungsbereich (falls vorhanden) | [ansonsten „keine“] |
Alle Gebühren für diesen Service sind in der MSA-Gebührenordnung aufgeführt.
4. Beauftragtes Personal und Aufbewahrung von Unterlagen
| Beauftragte Vertretung | Instant EU GDPR Representative Ltd |
| Eingetragener Firmensitz | Büro 2, 12A Lower Main Street, Lucan, Grafschaft Dublin, K78 X5P8, Irland |
| [email protected] | |
| Tel. | +44 1772 217 800 |
| Aufbewahrung von Unterlagen | Sichere, vorschriftsmäßige Speicherung durch GDPRLocal; Zugriff auf Anfrage für zuständige Behörden und den Kunden |
Der Name der Person beim benannten Vertreter, die jeweils die Rolle des bevollmächtigten Vertreters ausübt, wird dem Kunden nach der Aktivierung mitgeteilt. GDPRLocal wird den Kunden innerhalb von dreißig (30) Werktagen über jede dauerhafte Änderung des benannten Ansprechpartners informieren.
Der Kunde hat sicherzustellen, dass die folgenden Angaben zum Bevollmächtigten den zuständigen Behörden übermittelt und gemäß den Anforderungen des AI-Gesetzes zusammen mit der technischen Dokumentation aufbewahrt werden sowie in jedem Register oder jeder Erklärung enthalten sind, in denen der Bevollmächtigte anzugeben ist:
„Bevollmächtigter gemäß dem EU-KI-Gesetz (Artikel 22 der Verordnung (EU) 2024/1689): Instant EU GDPR Representative Ltd, Büro 2, 12A Lower Main Street, Lucan, Co. Dublin, K78 X5P8, Irland. Kontakt: [email protected], +44 1772 217 800.“
| Service | Im Lieferumfang enthalten | Zeitleiste |
|---|---|---|
| Ernennung und Mandat | Zuweisung eines festen Ansprechpartners und Einarbeitung in die Dienstleistungen. | Einmalig (Onboarding) |
| Szenario-Kartierung | Umfassende Bewertung der Organisation, der KI-Systeme, des regulatorischen Umfelds und der Compliance-Bereitschaft zur Festlegung des Umfangs, des Zeitplans und des Vorgehens für die Verifizierung | Einmalig (Onboarding) |
| Überprüfung der Unterlagen | Stellen Sie sicher, dass die EU-Konformitätserklärung und die entsprechende Konformitätsbewertung erstellt wurden und dass die vorgeschriebenen Unterlagen für behördliche Kontrollen vorliegen und ordnungsgemäß geordnet sind (Artikel 22 Absatz 3 Buchstabe a) | Prüfphase sowie bei gemeldeten wesentlichen Änderungen; bereitgestellt auf der Grundlage der ersten 60 Stunden professioneller Dienstleistungen |
| Prüfbericht | Werden Mängel festgestellt, erstellt GDPRLocal einen Prüfbericht für den Kunden, in dem die Ergebnisse und empfohlene Abhilfemaßnahmen detailliert aufgeführt sind. | Ende der Überprüfungsphase |
| Aktivierung der Ernennung eines bevollmächtigten Vertreters | Die Ernennung zum Bevollmächtigten entfaltet ihre vertragliche Wirkung mit dem erfolgreichen Abschluss der Überprüfungsphase. | Ende der Überprüfungsphase |
| Aufbewahrung von Unterlagen | Die Kontaktdaten des Anbieters, die EU-Konformitätserklärung, die technischen Unterlagen und die Bescheinigung der benannten Stelle sind den Behörden 10 Jahre lang zur Verfügung zu halten (Artikel 22 Absatz 3 Buchstabe b) | Laufend / 10 Jahre |
| Ansprechpartner für regulatorische Fragen | Begründete Anfragen und Mitteilungen von zuständigen Behörden entgegennehmen; an den Kunden weiterleiten; die Antworten koordinieren (Artikel 22 Absatz 3 Buchstabe c und Absatz 4) | Laufend (aktiv). Versand innerhalb von 1–3 Werktagen |
| Auskunft und Einsicht in Protokolle auf Anfrage | Auf begründete Anfrage hin Informationen und Unterlagen zum Nachweis der Konformität bereitstellen, einschließlich des Zugangs zu Protokollen, die der Anbieter kontrolliert (Artikel 22 Absatz 3 Buchstabe c) | Auf begründeten Antrag |
| Zusammenarbeit im Bereich der Regulierung | Zusammenarbeit mit den zuständigen Behörden bei Maßnahmen im Zusammenhang mit dem hochrisikobehafteten KI-System, einschließlich Maßnahmen zur Risikominderung (Artikel 22 Absatz 3 Buchstabe d) | Wie erforderlich |
| Unterstützung bei der Registrierung | Unterstützung des Kunden bei der Einhaltung (bzw., sofern dies von GDPRLocal übernommen wird, Einhaltung) der Registrierungspflichten gemäß Artikel 49 und Anhang VIII (Artikel 22 Absatz 3 Buchstabe e) | Soweit zutreffend |
| Laufende Aktualisierungen und Leitlinien zu regulatorischen Vorschriften | Angemessene, laufende Aktualisierungen der Vorschriften und Leitlinien zum KI-Gesetz im Zuge seiner Weiterentwicklung, die in einem angemessenen Verhältnis zu den Aktivitäten des Kunden stehen | Laufend (aktiv) |
| Unterstützung bei Ausgründungen | KI-Governance, Risikomanagement, Risikobewertungen, Unterstützung bei der Einhaltung von Vorschriften, KI-Richtlinien, Schulungen und Beratungsdienstleistungen | Auf Anfrage. Zum ermäßigten Tarif für professionelle Dienstleistungen (Preisliste) |
Diese Leistungsbeschreibung kann durch schriftliche Vereinbarung zwischen den Parteien überprüft und aktualisiert werden, sofern dies erforderlich ist, um wesentliche Änderungen an den KI-Systemen mit hohem Risiko, den Verpflichtungen des Kunden oder den Compliance-Prioritäten Rechnung zu tragen. Jede derartige Aktualisierung wird als überarbeitete Leistungsbeschreibung im Zusammenhang mit dem Kundenkonto erfasst.
Diese Leistungsbeschreibung gilt ab dem Zeitpunkt der Aktivierung der Dienstleistung als vom Kunden angenommen (unabhängig davon, ob die Aktivierung über das Portal erfolgt oder durch eine von GDPRLocal akzeptierte schriftliche Bestätigung).