Datenschutzerklärung

Verantwortlicher für die Datenverarbeitung auf dieser Website und in der Plattform Kollegia ist:

Datenschutz-Kontakt: Shahab Houshangi, legal@kollegia.ai

Wir verarbeiten personenbezogene Daten in zwei Rollen:

Als Verantwortlicher

Für die Website, die Registrierung, das Vertragsverhältnis mit unseren Kunden, die Abrechnung und den technischen Betrieb. Darauf bezieht sich diese Erklärung.

Als Auftragsverarbeiter

Für die Inhalte, die unsere Kunden (Unternehmen) und deren Beschäftigte in ihren Mandanten einbringen (z. B. Mitarbeiter-, Kompetenz-, Prozess- und Dokumentendaten). Insoweit ist das jeweilige Kundenunternehmen datenschutzrechtlich verantwortlich; Grundlage ist unser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO einschließlich der dort gelisteten Unterauftragsverarbeiter. Beschäftigte unserer Kunden wenden sich mit Betroffenenanfragen zu Mandanteninhalten bitte an ihren Arbeitgeber; wir unterstützen diesen bei der Beantwortung.

Website und Plattform werden bei der Hetzner Online GmbH (Gunzenhausen, Deutschland) in Rechenzentren in Deutschland betrieben; mit Hetzner besteht ein AVV. Datenbank und hochgeladene Dateien liegen auf unseren dort betriebenen Servern — es werden keine externen Cloud-Datenbank- oder Objektspeicher-Dienste eingesetzt.

Beim Aufruf werden technisch notwendige Server-Logs verarbeitet (IP-Adresse, Zeitstempel, aufgerufene Ressource, User-Agent, Referrer).

Die verwendeten Schriftarten sind lokal auf unseren Servern eingebunden. Beim Seitenaufruf wird keine Verbindung zu Servern Dritter aufgebaut.

Bei der Registrierung verarbeiten wir Name, geschäftliche E-Mail-Adresse, Unternehmen, Passwort (gehasht) sowie Verifikationscodes. Optional ist die Anmeldung über Microsoft Entra ID (Single Sign-on) möglich; dabei erhalten wir die von Microsoft übermittelten Profilangaben (Name, E-Mail, Tenant-Kennung).

6.1 Transaktionale E-Mails

Transaktionale E-Mails (Verifikation, Benachrichtigungen, Systemmeldungen) versenden wir über Microsoft 365 (Microsoft Ireland Operations Ltd.); mit Microsoft bestehen ein AVV sowie Standardvertragsklauseln und eine Zertifizierung unter dem EU-U.S. Data Privacy Framework für etwaige Übermittlungen in die USA.

6.2 Marketing-Kommunikation

Für Marketing-Kommunikation (z. B. Newsletter, Produkt-Updates) nutzen wir die CRM-Plattform ALL ONE (all-one.io); mit dem Anbieter besteht ein AVV. Marketing-E-Mails erhalten Sie nur mit Ihrer Einwilligung bzw. im Rahmen von § 7 Abs. 3 UWG an Bestandskunden; Sie können sich jederzeit über den Abmelde-Link oder per E-Mail an legal@kollegia.ai abmelden.

6.3 Postfächer digitaler Kollegen

Die Plattform kann für Kundenorganisationen eigene Postfächer für digitale Kollegen (name@<kunde>.labskills.ai) betreiben; deren Inhalte verarbeiten wir als Auftragsverarbeiter (Ziffer 2).

Kern der Plattform sind KI-gestützte digitale Kollegen. Zur Erbringung dieser Funktionen setzen wir KI-Modellanbieter als Unterauftragsverarbeiter ein. Standardmäßig erfolgt die KI-Verarbeitung auf Endpunkten in der EU:

Innerhalb dieses EU-Anbieterkreises können wir aus technischen Gründen (z. B. Performance, Verfügbarkeit) jederzeit wechseln; die Verarbeitung bleibt dabei stets in der EU/dem EWR.

Optionale Funktionen mit Verarbeitung in den USA

Einzelne, von der Kundenorganisation ausdrücklich aktivierbare Funktionen nutzen Anbieter mit Verarbeitung in den USA (Absicherung über Standardvertragsklauseln bzw. Data Privacy Framework): OpenAI (u. a. Sprachinteraktion/Voice), Anthropic (wählbares Chat-Modell), Google und Microsoft Bing (KI-Websuche), Parallel (KI-Recherche). Diese Funktionen sind standardmäßig deaktiviert; die Aktivierung liegt bei der Kundenorganisation.

Für kostenpflichtige Tarife wickeln wir Zahlungen über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland; Konzernmutter Stripe, Inc., USA) ab. Stripe verarbeitet dabei Name, E-Mail, Rechnungsdaten und Zahlungsinformationen; Kartendaten werden direkt von Stripe erhoben und erreichen unsere Server nicht. Übermittlungen in die USA sichert Stripe über Standardvertragsklauseln und das Data Privacy Framework ab.

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry (Functional Software, Inc.) ein. Bei einem Fehler werden technische Angaben (Fehlermeldung, Stacktrace, Browser-/Systeminformationen) verarbeitet. Die Verarbeitung erfolgt in der EU (Sentry EU-Organisation, Rechenzentrum Frankfurt); IP-Adressen werden nicht dauerhaft gespeichert.

Melden Sie in der App einen Fehler, übermitteln wir Ihre Beschreibung sowie von Ihnen beigefügte Screenshots/Aufnahmen und technischen Kontext an unser Projektmanagement-Tool ClickUp (Mango Technologies, Inc., USA; Absicherung über Standardvertragsklauseln). Bitte fügen Sie Screenshots ohne nicht erforderliche personenbezogene Daten bei.

Kundenorganisationen bzw. einzelne Nutzer können Drittsysteme mit der Plattform verbinden (z. B. Microsoft SharePoint/Teams, Personio, GetMyInvoices, DATEV, Slack, Asana, ClickUp, Google Gmail/Kalender, eigene IMAP-Postfächer, eigene MCP-Server). Diese Verbindungen sind standardmäßig deaktiviert und werden erst durch die Kundenorganisation bzw. den Nutzer eingerichtet. Die Verarbeitung erfolgt dann in deren Auftrag; verantwortlich für die verbundenen Systeme bleibt die Kundenorganisation (Details im AVV, Anlage 2).

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Nach Ende des Nutzungsverhältnisses werden Mandantendaten gemäß AVV gelöscht oder zurückgegeben; Backups werden im regulären Zyklus überschrieben (spätestens nach 35 Tagen). Abrechnungsrelevante Daten unterliegen den gesetzlichen Aufbewahrungsfristen.

Sie haben gegenüber uns — soweit wir Verantwortlicher sind — folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Zur Ausübung genügt eine E-Mail an legal@kollegia.ai. Außerdem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Ausgaben der KI-Funktionen sind Entscheidungsunterstützung für menschliche Entscheider.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten (Ziffer 2), gilt der nachfolgende Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Er wird von der Labskills GmbH als Auftragsverarbeiterin gegenüber Kunden (Tenants) der Plattform Kollegia verwendet und ist Anlage zum jeweiligen Hauptvertrag (SaaS-/Nutzungsvertrag, AGB).

§ 1 Gegenstand und Dauer

(1) Die Auftragnehmerin stellt dem Auftraggeber die Software-as-a-Service-Plattform Kollegia zur Verfügung, einschließlich der darin enthaltenen KI-gestützten digitalen Assistenten („Digitale Kollegen“, im Folgenden „DCWs“), Module (u. a. Organisation, Kompetenz, Wissensbasis, Prozesse, Kaufmännisch), Konnektoren und Automationen gemäß Hauptvertrag. Soweit sie dabei personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, gilt dieser Vertrag.

(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Eine gesonderte Kündigung ist ausgeschlossen; er endet mit dem Hauptvertrag.

(3) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und allein für die Rechtmäßigkeit der Verarbeitung verantwortlich. Die Auftragnehmerin verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und der Weisungen des Auftraggebers.

(4) Rollenklarstellung KI-Verordnung: Im Sinne der Verordnung (EU) 2024/1689 (KI-VO) ist die Auftragnehmerin Anbieter der in der Plattform enthaltenen KI-Systeme; der Auftraggeber ist Betreiber. Die sich daraus ergebenden Pflichten der Parteien bleiben von diesem Vertrag unberührt; Einzelheiten regelt der Betreiber-Leitfaden der Auftragnehmerin in seiner jeweils gültigen Fassung.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Zweck: Bereitstellung und Betrieb der Plattform Kollegia für den Auftraggeber, einschließlich der Verarbeitung durch DCWs (Chat-, E-Mail-, Sprach- und Kanal-Interaktionen, geplante Auswertungen und Berichte), der Kompetenz- und Wissensverwaltung, der kaufmännischen Module sowie der vom Auftraggeber konfigurierten Konnektoren.

(2) Art der Verarbeitung — entsprechend den aktivierten Modulen und Konnektoren:

• Betrieb der Plattform inkl. Speicherung, Strukturierung und Bereitstellung von Daten des Auftraggebers
• KI-gestützte Verarbeitung durch DCWs: Beantwortung von Anfragen, Erstellung von Auswertungen, Berichten und Dokumentenentwürfen, Ausführung freigegebener Playbooks
• Verarbeitung ein- und ausgehender E-Mails der DCW-Postfächer (name@<tenant>.labskills.ai)
• Sprachinteraktion mit DCWs (Voice) — nur bei aktiviertem Opt-in nach Anlage 3 Ziff. 4
• KI-gestützte Belegverarbeitung/OCR (Rechnungen, Scans)
• Kompetenz- und Qualifikationsverwaltung (Rollen, Skills, Soll/Ist, Schulungen, Nachweise, Einarbeitung)
• Prozess- und Wissensverwaltung (Dokumentenlenkung, Normen, QM-/ISO-17025-Modul)
• Kaufmännische Module (Controlling, Angebote/Rechnungen, Verträge, Lieferanten, Beschaffung)
• Websuche durch DCWs (Suchanfragen können Mandanten-Kontext enthalten) — Anlage 3 Ziff. 4
• Datenimport/-synchronisation über Konnektoren: Microsoft Entra, SharePoint, Teams, Personio, DATEV, GetMyInvoices, E-Mail (IMAP), Slack, Asana, ClickUp, Google (Gmail/Kalender), Custom MCP

(3) Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers (einschließlich Bewerber, Auszubildende, Leiharbeitnehmer, Praktikanten)
• Kunden und Interessenten des Auftraggebers
• Lieferanten und Geschäftspartner des Auftraggebers (inkl. deren Ansprechpartner)
• Sonstige Kommunikationspartner (Absender/Empfänger von E-Mails an DCW-Postfächer, Teams-/Chat-Gesprächspartner)

(4) Kategorien personenbezogener Daten:

• Stammdaten (Name, Anrede, Funktion, Organisationszugehörigkeit, Team, Rolle)
• Kontaktdaten (Adresse, Telefon, E-Mail)
• Kompetenz- und Qualifikationsdaten (Skills, Soll/Ist-Profile, Schulungs- und Prüfungsnachweise, Einarbeitungsstatus, Zertifikate)
• Beschäftigtendaten aus angebundenen Systemen (Personio, Entra) im konfigurierten Feldumfang
• Kommunikationsinhalte (Chat-Verläufe mit DCWs, E-Mail-Inhalte inkl. Anhänge, Sprachinteraktionen, Teams-Nachrichten, Kommentare)
• Vertrags- und Abrechnungsdaten, kaufmännische Vorgangsdaten (Angebote, Rechnungen, Belege, Verträge, Lieferantendaten)
• Hochgeladene Dateien und deren Inhalte (Dokumente, Belege, Bilder)
• Nutzungs- und Protokolldaten (Logins, Aktivitätsprotokolle, Audit-Logs)

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet, sofern nicht ausdrücklich abweichend vereinbart. Der Auftraggeber stellt durch Konfiguration der Konnektoren (Feld-Mapping) und durch organisatorische Vorgaben zu Uploads sicher, dass solche Daten nicht übermittelt werden.

§ 3 Weisungsrecht des Auftraggebers

(1) Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung in Drittländer — es sei denn, sie ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt sie dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erfolgen grundsätzlich in Textform. Weisungen können auch durch Konfiguration innerhalb der Plattform erteilt werden — insbesondere durch das Aktivieren/Deaktivieren von Modulen, Konnektoren, DCWs, Feature-Schaltern (z. B. HR-Funktionen, Voice, Websuche) und Feld-Mappings. Die Plattform protokolliert solche Konfigurations-Weisungen mit Nutzer und Zeitpunkt.

(3) Weisungsberechtigt auf Seiten des Auftraggebers sind die im Admin-Bereich als Administratoren hinterlegten Personen sowie die im Vertrag benannten Ansprechpartner.

(4) Weisungsempfänger auf Seiten der Auftragnehmerin ist: Shahab Houshangi, Geschäftsführer, legal@kollegia.ai

(5) Ist die Auftragnehmerin der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt sie dies dem Auftraggeber unverzüglich mit. Sie ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(6) Weisungen, die über den Hauptvertrag hinausgehen und zusätzlichen Aufwand verursachen, werden nach Aufwand vergütet.

§ 4 Pflichten der Auftragnehmerin

Die Auftragnehmerin verpflichtet sich:

• (1) Die Verarbeitung grundsätzlich im Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums durchzuführen. Für die KI-Inferenz gilt: Die Standard-Verarbeitung erfolgt auf EU-Endpunkten (Anlage 2 Teil A). Funktionen, die Unterauftragsverarbeiter mit Drittlandbezug einsetzen, sind in Anlage 2 Teil B ausgewiesen und werden nur unter den Voraussetzungen des Kapitels V DSGVO (geeignete Garantien, insbesondere SCC bzw. EU-U.S. Data Privacy Framework) genutzt; soweit sie als Opt-in ausgestaltet sind, erst nach Aktivierung durch den Auftraggeber (Anlage 3 Ziff. 4).
• (2) Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus fort.
• (3) Die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu ergreifen und aufrechtzuerhalten (Anlage 1). Die Auftragnehmerin darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.
• (4) Kundendaten nicht für das Training, Fine-Tuning oder die sonstige Verbesserung von KI-Modellen zu verwenden — weder eigener noch fremder Modelle — und ihre Unterauftragsverarbeiter entsprechend zu verpflichten (Anlage 3 Ziff. 2).
• (5) Den Auftraggeber unverzüglich zu informieren, wenn sie eine Verletzung des Schutzes personenbezogener Daten feststellt, die die verarbeiteten Daten betrifft (§ 8).
• (6) Den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen — insbesondere bei Datenschutz-Folgenabschätzungen zum Einsatz der DCWs auf Beschäftigtendaten. Hierzu stellt die Auftragnehmerin eine DSFA-Arbeitshilfe, Datenflussbeschreibungen und diese Vertragsanlagen bereit.
• (7) Den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) durch geeignete technische und organisatorische Maßnahmen zu unterstützen — insbesondere durch die Export- und Löschfunktionen nach Anlage 3 Ziff. 6 und 7. Wendet sich eine betroffene Person unmittelbar an die Auftragnehmerin, leitet diese den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.
• (8) Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen.
• (9) Einen Ansprechpartner für Datenschutzfragen zu benennen: Shahab Houshangi, legal@kollegia.ai.
• (10) Ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass für die von ihm veranlassten Verarbeitungen eine tragfähige Rechtsgrundlage besteht und die erforderlichen Informationspflichten (Art. 13, 14 DSGVO) erfüllt sind.

(2) Beschäftigtendaten: Vor der Verarbeitung von Beschäftigtendaten in der Plattform — insbesondere Kompetenz-, Qualifikations- und Einarbeitungsdaten sowie vor Aktivierung der HR-bezogenen Funktionen nach Anlage 3 Ziff. 5 — prüft der Auftraggeber die Rechtsgrundlage (§ 26 BDSG, Art. 88 DSGVO) und die Erforderlichkeit einer Beteiligung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG). Die Aktivierung der betreffenden Funktionen in der Plattform gilt als dokumentierte Weisung und als Bestätigung, dass diese Prüfung erfolgt ist.

(3) Konnektoren: Der Auftraggeber konfiguriert die angebundenen Systeme (Personio, Entra, SharePoint, Teams, DATEV, GetMyInvoices, Slack, Asana, ClickUp, Google, IMAP-Postfächer, Custom-MCP-Server) und das Feld-Mapping eigenverantwortlich und beschränkt die Übermittlung auf die erforderlichen Datenfelder.

(4) E-Mail-Kanal: Der Auftraggeber informiert seine Beschäftigten und — soweit erforderlich — externe Kommunikationspartner darüber, dass E-Mails an DCW-Postfächer durch ein KI-System verarbeitet werden.

(5) Der Auftraggeber informiert die Auftragnehmerin unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse feststellt.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt hiermit die allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern nach Art. 28 Abs. 2 S. 2 DSGVO.

(2) Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Der Auftraggeber genehmigt deren Einsatz mit Abschluss dieses Vertrages. Optionale Unterauftragsverarbeiter (Anlage 2 Teil B) werden erst mit Aktivierung der jeweiligen Funktion durch den Auftraggeber eingesetzt.

(3) Die Auftragnehmerin informiert den Auftraggeber über beabsichtigte Änderungen mindestens 30 Tage im Voraus in Textform (auch per In-App-Mitteilung an die Administratoren). Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(4) Widerspricht der Auftraggeber und kann die betreffende Leistung ohne den Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbracht werden, sind beide Parteien berechtigt, den betroffenen Leistungsteil mit einer Frist von einem Monat zu kündigen.

(5) Die Auftragnehmerin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen — einschließlich des Trainingsverbots nach § 4 Abs. 4. Sie haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Verarbeitung personenbezogener Daten (etwa Telekommunikations- oder Wartungsleistungen) sowie Systeme des Auftraggebers, auf die die Plattform über vom Auftraggeber konfigurierte Konnektoren zugreift (Anlage 2 Teil C — z. B. der eigene Microsoft-365-Tenant, das eigene Personio-Konto, kundenkonfigurierte IMAP-Postfächer, DATEV-Mandant, Custom-MCP-Server des Auftraggebers).

§ 7 Technische und organisatorische Maßnahmen

(1) Die Auftragnehmerin trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen gewährleisten ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.

(3) Die Auftragnehmerin überprüft die Wirksamkeit der Maßnahmen mindestens jährlich.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Die Auftragnehmerin meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 24 Stunden.

(2) Die Meldung enthält, soweit verfügbar: Art der Verletzung (Kategorien, ungefähre Zahl betroffener Personen und Datensätze), Ansprechpartner, wahrscheinliche Folgen, ergriffene/vorgeschlagene Maßnahmen.

(3) Können nicht alle Informationen gleichzeitig bereitgestellt werden, erfolgt die Meldung schrittweise ohne unangemessene weitere Verzögerung.

(4) Die Auftragnehmerin unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(5) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt die Auftragnehmerin nicht eigenständig vor, soweit sie nicht selbst gesetzlich dazu verpflichtet ist.

§ 9 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu überprüfen.

(2) Die Auftragnehmerin erbringt den Nachweis vorrangig durch:

• die Vorlage der TOM-Dokumentation (Anlage 1) und deren Aktualisierungen
• Auszüge aus den Plattform-Protokollen (Audit-Log, DCW-Aktionsprotokoll) für den eigenen Mandanten
• Zertifikate, Testate oder Prüfberichte der eingesetzten Unterauftragsverarbeiter (etwa ISO 27001, SOC 2)
• die Beantwortung eines schriftlichen Fragenkatalogs

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber nach Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber der Auftragnehmerin sein.

(4) Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs und höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass.

(5) Für Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen von der Auftragnehmerin zu vertretenden Anlass ausgelöst wurden, kann die Auftragnehmerin eine angemessene Vergütung verlangen.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitungsleistungen löscht die Auftragnehmerin alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Die Löschung umfasst sämtliche Speicherorte einschließlich Datenbanken, Dateiablagen, Chat- und Aktionsprotokollen, DCW-Postfächern sowie abgeleiteten Repräsentationen (Embeddings/Vektorindizes). Backups werden nach dem regulären Backup-Zyklus, spätestens nach 35 Tagen, überschrieben.

(2) Der Auftraggeber teilt seine Wahl (Löschung oder Rückgabe) spätestens 30 Tage nach Vertragsende in Textform mit. Erfolgt keine Mitteilung, werden die Daten nach Ablauf von weiteren 30 Tagen gelöscht.

(3) Die Rückgabe erfolgt in gängigen, maschinenlesbaren Formaten (Mandanten-Export der Plattform, vgl. Anlage 3 Ziff. 6).

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sowie gesetzlich aufbewahrungspflichtige kaufmännische Artefakte (GoBD) dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahrt werden.

(5) Die Löschung wird dem Auftraggeber auf Anforderung in Textform bestätigt.

§ 11 Haftung

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrages.

(2) Der Auftraggeber stellt die Auftragnehmerin von Ansprüchen Dritter frei, die darauf beruhen, dass der Auftraggeber gegen datenschutzrechtliche Bestimmungen verstoßen hat — insbesondere durch eine rechtswidrige Weisung, das Fehlen einer tragfähigen Rechtsgrundlage oder die Aktivierung von Funktionen ohne die nach § 5 Abs. 2 erforderlichen Voraussetzungen. Dies gilt nicht, soweit die Auftragnehmerin die Rechtswidrigkeit erkannt und nicht nach § 3 Abs. 5 angezeigt hat.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie den Datenschutz betreffen.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Kurzfassung der plattformspezifischen Maßnahmen. Wird durch das TOM-Dokument der Auftragnehmerin in seiner jeweils gültigen Fassung konkretisiert.

1. Mandantentrennung

Strikte logische Trennung aller Mandanten (Tenants) auf Datenbank- und Anwendungsebene; kein mandantenübergreifender Datenzugriff. Sandbox-Umgebung je Organisation für gefahrloses Testen.

2. Zugriffskontrolle / Berechtigungskonzept

Rollenbasierte Rechte je Nutzer. Jeder DCW ist ein eigenes, registriertes Systemkonto mit Bearbeitungsrechten ausschließlich in seinem Fachbereich. Zusätzlich „Rechte-Faltung“: Die Antwort eines DCW wird stets auf die Berechtigungen des anfragenden Nutzers beschränkt — Informationen, für die der Nutzer keine Berechtigung hat, werden nicht ausgegeben, unabhängig vom Kanal (App, Teams, E-Mail, Voice).

3. Protokollierung

Lückenloses, nachträglich nicht veränderbares Aktionsprotokoll („Brain-Log“) aller DCW-Werkzeugaufrufe mit Sitzungs-ID, Werkzeug, Zeitpunkt und wirksamen Berechtigungen; Audit-Protokoll für administrative Änderungen (Rechte, Konnektoren, Feature-Aktivierungen).

4. Kontrollierte KI-Ausführung

DCWs führen Aktionen mit Außenwirkung nur über geprüfte, deterministische Playbooks oder nach menschlicher Freigabe aus (Fail-closed-Prinzip). Neue DCWs durchlaufen ein Einarbeitungs- und Freigabeverfahren, bevor sie produktiv arbeiten. Ein Supervisor-Prozess überwacht die DCW-Flotte auf hängende Vorgänge und fehlgeschlagene Aktionen.

5. Verschlüsselung

Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung ruhender Daten; Zugangsdaten zu angebundenen Systemen (Konnektoren) in einem geschützten Secret-Speicher (Vault).

6. Authentifizierung

Anmeldung per E-Mail/Passwort oder Microsoft-Login (Entra ID); administrative Zugänge mit erhöhten Anforderungen.

7. Datenminimierung an den Schnittstellen

Konfigurierbares Feld-Mapping je Konnektor; sensible Feldkategorien werden standardmäßig nicht importiert.

8. Verfügbarkeit

Regelmäßige Backups mit definiertem Zyklus; Wiederherstellungsverfahren; Trennung von Produktiv- (my.labskills.ai), Test- (test.labskills.ai) und Entwicklungsumgebung.

9. Fehlerdiagnose

Fehler-Events werden über ein Error-Tracking-System (Sentry, EU-Organisation — Verarbeitung in der EU) verarbeitet; personenbezogene Angaben in Fehlerberichten werden auf das erforderliche Minimum beschränkt (IP-Anonymisierung/PII-Scrubbing aktiviert).

10. Organisatorisches

Vertraulichkeitsverpflichtung aller Mitarbeitenden; Zugriff auf Produktivdaten nur für benannte Administratoren der Auftragnehmerin nach Need-to-know; jährliche Überprüfung der Maßnahmen.

Teil A — Standardmäßig eingesetzt (mit Vertragsschluss genehmigt)

Teil B — Optional (erst mit Aktivierung der jeweiligen Funktion durch den Auftraggeber)

Die Aktivierung durch den Auftraggeber gilt als dokumentierte Weisung.

Teil C — Kein Unterauftragsverhältnis (Systeme des Auftraggebers)

Die Plattform greift auf folgende Systeme ausschließlich im Auftrag und auf Weisung des Auftraggebers zu; Vertragspartner des jeweiligen Anbieters bleibt der Auftraggeber:

• eigener Microsoft-365-/Entra-/SharePoint-/Teams-Tenant des Auftraggebers
• eigenes Personio-, GetMyInvoices-, Slack-, Asana-, ClickUp- oder Google-Konto des Auftraggebers (Personal-Connectors)
• vom Auftraggeber konfigurierte IMAP-Postfächer (beliebiger Mail-Host des Auftraggebers)
• DATEV Unternehmen online (Belegübergabe an die vom Auftraggeber konfigurierte DATEV-Upload-Adresse; DATEV ist Auftragsverarbeiter des Auftraggebers)
• vom Auftraggeber konfigurierte Custom-MCP-Server (kundeneigene Drittserver; der Auftraggeber verantwortet Auswahl und Rechtsgrundlage)
• KI-Clients, die der Auftraggeber selbst mit der Kollegia-MCP-Schnittstelle verbindet: Der Auftraggeber ist für den von ihm eingesetzten Client verantwortlich

Diese Anlage konkretisiert die Verarbeitung durch die in der Plattform enthaltenen KI-Systeme.

1. Funktionsweise

DCWs sind KI-gestützte Assistenten, die Anfragen von Nutzern des Auftraggebers beantworten, Auswertungen und Berichte erstellen, Dokumentenentwürfe fertigen und vom Auftraggeber freigegebene, wiederkehrende Auswertungen („Playbooks“, geplante Aufgaben) ausführen. Dabei verarbeiten sie die im Mandanten des Auftraggebers gespeicherten Daten sowie Inhalte, die ihnen über die aktivierten Kanäle (App-Chat, E-Mail, Teams, Voice) übermittelt werden.

2. Kein Training

Weder die Auftragnehmerin noch ihre Unterauftragsverarbeiter verwenden Daten des Auftraggebers zum Training, Fine-Tuning oder zur sonstigen Verbesserung von KI-Modellen. Bei den eingesetzten Modell-Anbietern sind die entsprechenden vertraglichen und technischen Einstellungen (Trainings-Opt-out, minimale anbieterseitige Speicherung) aktiviert.

3. EU-Verarbeitung als Standard

Die Standard-KI-Verarbeitung erfolgt auf Modell-Endpunkten in der EU/dem EWR (Anlage 2 Teil A: Mistral, Microsoft Azure EU, Amazon Bedrock EU-Inference-Profile, EUrouter). Die Auftragnehmerin kann innerhalb dieses EU-Pools jederzeit zwischen den Anbietern wechseln (z. B. aus Performance-Gründen); ein Wechsel innerhalb des Pools ist keine mitteilungspflichtige Änderung nach § 6 Abs. 3.

4. Opt-in-Funktionen mit Drittlandbezug

Einzelne Funktionen — derzeit: Sprachinteraktion (Voice), direkte Nutzung von US-Modellanbietern (OpenAI, Anthropic), KI-Websuche (Google, Bing Grounding, Parallel), persönliche Connectors (Slack, Asana, ClickUp, Google) — nutzen Unterauftragsverarbeiter in Drittländern (Anlage 2 Teil B). Diese Funktionen sind standardmäßig deaktiviert. Die Aktivierung erfolgt ausschließlich durch einen Administrator des Auftraggebers im Admin-Bereich (bei Personal-Connectors: durch den jeweiligen Nutzer nach Admin-Freigabe), gilt als dokumentierte Weisung zur Drittlandübermittlung im Sinne von § 3 und wird protokolliert. Der Auftraggeber kann die Funktion jederzeit deaktivieren.

5. Beschäftigtenbezogene Funktionen

Funktionen, die Beschäftigte des Auftraggebers individuell betreffen — insbesondere proaktive Erinnerungen/Eskalationen an einzelne Personen, die Sichtbarkeit individueller Kompetenzlücken für Vorgesetzte sowie automatisierte Hinweise zum Einarbeitungsfortschritt — sind standardmäßig deaktiviert und werden erst durch den Auftraggeber aktiviert (§ 5 Abs. 2). Die Plattform trifft keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber Personen (Art. 22 DSGVO); Ausgaben der DCWs zu Personen (z. B. Kompetenz-Abgleiche) sind Entscheidungsunterstützung für menschliche Entscheider und werden als solche gekennzeichnet.

6. Export

Der Auftraggeber kann über die Plattform (a) einen Gesamtexport seines Mandanten und (b) einen personenbezogenen Export je betroffener Person (gespeicherte Daten, DCW-Interaktionen, Bewertungen) in maschinenlesbaren Formaten erzeugen.

7. Löschung abgeleiteter Daten

Lösch-Vorgänge (§ 10) erfassen auch abgeleitete Repräsentationen der Daten (Embeddings, Vektorindizes, Suchindizes) sowie Chat- und Aktionsprotokolle nach Ablauf der vereinbarten Aufbewahrung.

8. Transparenz

DCWs geben sich in allen Kanälen als KI-Systeme zu erkennen (Kennzeichnung im Chat, Hinweis in E-Mail-Signaturen, Ansage in Sprachinteraktionen). Diese Kennzeichnungen sind systemseitig fest verankert und können vom Auftraggeber nicht entfernt werden.

9. Aufsicht

Der Auftraggeber kann für seinen Mandanten das DCW-Aktionsprotokoll einsehen und erhält damit die Nachvollziehbarkeit, welcher DCW wann welche Werkzeuge mit welchen Berechtigungen verwendet hat.