Regulario Compliance-Cockpit

(1) Diese Bedingungen gelten für alle Verträge über die Nutzung des Online-Dienstes „Regulario Compliance-Cockpit" (nachfolgend „Cockpit") zwischen Regulario und dem Kunden.

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern erfolgt nicht; der Kunde bestätigt bei Vertragsschluss, dass er in Ausübung seiner gewerblichen oder selbstständigen beruflichen Tätigkeit handelt.

(3) Abweichende oder ergänzende Bedingungen des Kunden werden nur Vertragsbestandteil, wenn Regulario ihnen ausdrücklich in Textform zustimmt.

Norm-Anker: § 14 BGB, §§ 305 ff. BGB.

(1) Regulario stellt dem Kunden für die Vertragslaufzeit das Cockpit als Online-Anwendung bereit. Mit dem Cockpit dokumentiert der Kunde seinen betrieblichen KI-Einsatz strukturiert und erstellt daraus Nachweise. Funktionsumfang (Basis): KI-Tool-Inventar · Rollen-Check (Art. 25 EU AI Act) · Verbots-Check (Art. 5) · Transparenz-Check (Art. 50) · Schulungsnachweis (Art. 4) · Risiko-Grobeinstufung · Export einer Nachweis-Mappe als PDF. Branchenspezifische Zusatzinhalte (Overlays) sind nur geschuldet, soweit sie im Angebot ausdrücklich genannt sind.

(2) Das Cockpit ist ein Werkzeug zur Eigendokumentation: Es strukturiert die Angaben des Kunden anhand vorbereiteter Kategorien, Checklisten und Vorlagen und bereitet sie als Nachweis auf. Die Ergebnisse geben wieder, was der Kunde eingegeben hat.

(3) Ergebnis der Nutzung ist eine strukturierte Eigendokumentation des Kunden - kein Zertifikat, kein Konformitäts-Testat und keine behördliche oder normative Bestätigung. Eine Zertifizierung (etwa nach ISO/IEC 42001) erteilen ausschließlich akkreditierte Stellen, nicht Regulario.

(4) Der Videokurs „KI-Kompetenz" von Regulario ist ein eigenständiges, unentgeltliches Angebot. Er ist nicht Bestandteil dieses Vertrags, sein Wert ist nicht in das Entgelt nach § 5 einkalkuliert, und sein Zugang setzt keinen Vertragsschluss nach diesen Bedingungen voraus. Für ihn gelten gesonderte Nutzungsbedingungen.

(5) Der Umfang der Betreuungsleistungen richtet sich nach dem gewählten Paket (§ 5 Abs. 1). Im Monats-Paket erfolgt der Support über den KI-gestützten Produkt-Assistenten. Der Produkt-Assistent ist in beiden Paketen enthalten, Bestandteil des Cockpits und ohne Bindung an Geschäftszeiten nutzbar; für seine Verfügbarkeit gilt § 7 Abs. 2. Persönlicher Support durch das Regulario-Team, der Zugang zu einer Partnerkanzlei zu Sonderkonditionen (ein Mandat kommt ausschließlich unmittelbar zwischen dem Kunden und der Kanzlei zustande; deren Leistungen werden separat abgerechnet; § 3 bleibt unberührt) sowie ein persönlicher jährlicher Durchgang durch die Dokumentation sind dem Jahres-Paket vorbehalten. Rechtsstand-Aktualisierungen nach § 7 Abs. 4 sind in beiden Paketen enthalten.

Norm-Anker: Typengemischter Vertrag mit miet- und dienstvertraglichen Elementen (SaaS); §§ 535 ff. BGB entsprechend.

(1) Regulario bietet Schulung und Vorlagen. Regulario erbringt keine einzelfallbezogene Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) und übernimmt keine Garantie für Rechtssicherheit.

(2) Das Cockpit ersetzt nicht die Prüfung durch einen Rechtsanwalt, Steuerberater oder Datenschutzbeauftragten. Wo das Cockpit auf mögliche Hochrisiko-, Verbots- oder Einzelfall-Konstellationen hinweist, endet die Unterstützung ausdrücklich mit der Empfehlung, die Frage anwaltlich oder durch die zuständige Kammer/Behörde klären zu lassen. Diese Klärung beauftragt der Kunde selbst; sie ist nicht Leistungsgegenstand.

(3) Regulario sichert insbesondere nicht zu, dass der Kunde durch die Nutzung des Cockpits alle ihn treffenden Rechtspflichten (u. a. EU AI Act, DSGVO, Berufs- und Branchenrecht) erfüllt. Ziel der Leistung ist, den Kunden handlungs- und nachweisfähig zu machen - die Bewertung des Einzelfalls und die Gesamtverantwortung bleiben beim Kunden (§ 8).

Norm-Anker: §§ 2, 3 RDG.

(1) Der Vertrag kommt zustande, indem der Kunde ein Angebot von Regulario in Textform annimmt oder Regulario eine Bestellung des Kunden in Textform bestätigt bzw. den Zugang freischaltet.

(2) Diese Bedingungen und die Anlage 1 (Auftragsverarbeitung) werden dem Kunden vor Vertragsschluss zugänglich gemacht; mit Vertragsschluss erkennt der Kunde sie an.

Norm-Anker: §§ 145 ff. BGB.

(1) Der Kunde wählt bei Vertragsschluss eine monatliche Zahlweise oder eine jährliche Zahlweise. Mit der monatlichen Zahlweise wählt der Kunde das Monats-Paket, mit der jährlichen Zahlweise das Jahres-Paket. Das Entgelt richtet sich nach der maßgeblichen Mitarbeitendenzahl gemäß Absatz 3. Die Preise verstehen sich jeweils zuzüglich der gesetzlichen Umsatzsteuer.

Der rechnerische Monatsbetrag der jährlichen Zahlweise dient nur dem Preisvergleich. Geschuldet und abgerechnet wird das Jahresentgelt als ein Gesamtbetrag im Voraus. Für Kunden ab 100 Mitarbeitenden kommt ein Vertrag oder eine Vertragsänderung nur auf Grundlage eines individuellen Angebots in Textform zustande.

(2) Die monatliche Zahlweise begründet keine Mindestlaufzeit; für sie gilt § 6 Absatz 2. Die jährliche Zahlweise ist mit einer Mindestlaufzeit von zwölf Monaten verbunden; für sie gelten § 6 Absätze 3 und 4. Die jährliche Zahlweise ist damit nicht lediglich ein anderer Rechnungsrhythmus.

(3) Als Mitarbeitende gelten für diesen Vertrag alle natürlichen Personen, die am maßgeblichen Stichtag aufgrund eines Arbeits-, Dienst- oder Ausbildungsverhältnisses unmittelbar für den Kunden tätig sind. Vollzeit- und Teilzeitkräfte, geringfügig Beschäftigte, befristet Beschäftigte, Auszubildende sowie im Unternehmen tätige Organmitglieder werden jeweils als eine Person gezählt; der Beschäftigungsumfang wird nicht in Vollzeitäquivalente umgerechnet. Nicht mitgezählt werden Beschäftigte verbundener Unternehmen, Leiharbeitnehmer und freie Auftragnehmer, sofern ihre Einbeziehung nicht im individuellen Angebot vereinbart ist. Die Zahl der Cockpit-Zugänge ist für die Staffelzuordnung nicht maßgeblich. Umfasst ein Angebot mehrere Rechtsträger, muss es die einbezogenen Rechtsträger und die dafür geltende Zählweise ausdrücklich benennen.

(4) Maßgeblicher Stichtag ist bei Vertragsschluss der Tag des Vertragsbeginns. Bei monatlicher Zahlweise ist die Mitarbeitendenzahl außerdem jeweils am ersten Tag eines Abrechnungsmonats maßgeblich. Bei jährlicher Zahlweise ist sie für das laufende Vertragsjahr festgeschrieben und wird erst zu Beginn eines weiteren Vertragsjahres oder beim Wechsel in die monatliche Zahlweise neu bestimmt. Der Kunde teilt Regulario bei Vertragsschluss sowie vor einer erforderlichen Neubestimmung die maßgebliche Mitarbeitendenzahl in Textform mit. Regulario darf bei konkreten Zweifeln eine nachvollziehbare Bestätigung der Anzahl verlangen; personenbezogene Beschäftigtendaten sind hierfür nicht erforderlich.

(5) Bei monatlicher Zahlweise wird ein Wechsel der Preisstufe mit Beginn des Abrechnungsmonats wirksam, für den erstmals eine andere Mitarbeitendenzahl nach Absatz 4 maßgeblich ist. Bei jährlicher Zahlweise führen Änderungen der Mitarbeitendenzahl während des bereits vorausbezahlten Vertragsjahres weder zu einer Nachberechnung noch zu einer anteiligen Gutschrift; die neue Preisstufe gilt erst für ein ausdrücklich vereinbartes weiteres Vertragsjahr oder für die anschließende monatliche Zahlweise. Erreicht der Kunde während eines laufenden Vertragsjahres 100 Mitarbeitende, bleibt das vereinbarte Jahresentgelt bis zu dessen Ende unverändert. Eine individuelle Anschlussvereinbarung bedarf der Textform; ein individuelles Entgelt darf nicht einseitig festgesetzt werden.

(6) Bei monatlicher Zahlweise wird das Monatsentgelt monatlich im Voraus fällig. Bei jährlicher Zahlweise wird das gesamte Jahresentgelt mit Beginn der jeweiligen zwölfmonatigen Mindestlaufzeit im Voraus fällig. Soweit im Angebot oder in der Rechnung nichts Abweichendes vereinbart ist, beträgt das Zahlungsziel 14 Tage ab Rechnungszugang.

(7) Bei Zahlungsverzug gelten die gesetzlichen Regelungen. Gegenüber Unternehmern gelten insbesondere die gesetzlichen Verzugszinsen und, soweit die gesetzlichen Voraussetzungen vorliegen, die Verzugspauschale.

(8) Gerät der Kunde mit einem nicht unerheblichen Teil des fälligen Entgelts in Verzug, darf Regulario den Zugang nach vorheriger Ankündigung in Textform und erfolglosem Ablauf einer angemessenen Nachfrist vorübergehend sperren. Die gespeicherten Daten bleiben während der Sperre erhalten; die Zahlungspflicht besteht fort. Weitergehende Rechte, insbesondere nach § 6 Absatz 5, bleiben unberührt.

(9) Der Kunde kann nur mit unbestrittenen, rechtskräftig festgestellten oder entscheidungsreifen Forderungen aufrechnen; Gegenansprüche aus demselben Vertragsverhältnis bleiben unberührt. Ein Zurückbehaltungsrecht besteht nur wegen Ansprüchen aus demselben Vertragsverhältnis.

Norm-Anker: §§ 286, 288 BGB; § 387 ff. BGB.

(1) Der Vertrag beginnt mit der Freischaltung des Zugangs, sofern im individuellen Angebot kein anderer Vertragsbeginn vereinbart ist.

(2) Monatliche Zahlweise: Der Vertrag läuft auf unbestimmte Zeit. Beide Parteien können ihn in Textform mit Wirkung zum Ende des laufenden Abrechnungsmonats ordentlich kündigen. Eine anteilige Erstattung für einen bereits begonnenen Abrechnungsmonat erfolgt bei einer ordentlichen Kündigung nicht; der Zugang bleibt bis zum Vertragsende bestehen.

(3) Jährliche Zahlweise: Die Mindestlaufzeit beträgt zwölf Monate. Während der Mindestlaufzeit ist die ordentliche Kündigung ausgeschlossen. Beide Parteien können jederzeit in Textform zum Ende der Mindestlaufzeit kündigen. Eine solche Kündigung beendet den Vertrag erst zum Ablauf der bezahlten Mindestlaufzeit und begründet deshalb keine anteilige Erstattung des Jahresentgelts.

(4) Ein weiteres Vertragsjahr mit jährlicher Zahlweise und einer neuen zwölfmonatigen Mindestlaufzeit beginnt nur, wenn die Parteien dies vor Ablauf der laufenden Mindestlaufzeit in Textform vereinbaren. Ohne eine solche Vereinbarung läuft der Vertrag nach Ablauf der Mindestlaufzeit auf unbestimmte Zeit mit monatlicher Zahlweise weiter und kann nach Absatz 2 gekündigt werden. Mit dem Übergang in die monatliche Zahlweise gilt das Monats-Paket; die dem Jahres-Paket vorbehaltenen Leistungen (§ 2 Abs. 5) enden zu diesem Zeitpunkt. Das ab diesem Zeitpunkt geschuldete Monatsentgelt richtet sich nach der dann maßgeblichen Mitarbeitendenzahl und der monatlichen Preisstufe gemäß § 5 Absatz 1. Liegt die maßgebliche Mitarbeitendenzahl bei mindestens 100 und ist noch kein individuelles Anschlussangebot vereinbart, gelten die bisherigen Entgeltbedingungen vorläufig fort; beide Parteien können den Vertrag nach Absatz 2 beenden. Ein individuelles Entgelt setzt eine Vereinbarung in Textform voraus.

(5) Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für Regulario kann insbesondere vorliegen bei einem trotz Abmahnung fortgesetzten Verstoß gegen die Datengrenze (§ 8 Absatz 3) oder die Nutzungsrechte (§ 9) sowie bei einem Zahlungsverzug, der nach den Umständen des Einzelfalls die Fortsetzung des Vertrags unzumutbar macht. Soweit eine Abmahnung oder Fristsetzung gesetzlich erforderlich und im Einzelfall zumutbar ist, erfolgt die Kündigung erst nach deren erfolglosem Ablauf.

(6) Für Datenexport und Löschung nach Vertragsende gilt § 10.

(7) Endet ein Vertrag mit jährlicher Zahlweise aufgrund einer wirksamen außerordentlichen Kündigung oder einer einvernehmlichen vorzeitigen Beendigung vor Ablauf des vorausbezahlten Zeitraums, erstattet Regulario den Anteil des Jahresentgelts, der rechnerisch auf die Zeit nach Vertragsende entfällt. Die Berechnung erfolgt taggenau. Gesetzliche Gegenansprüche, insbesondere ein Anspruch auf Ersatz eines durch eine vom Kunden zu vertretende vorzeitige Beendigung entstandenen Schadens, bleiben unberührt und können nach den gesetzlichen Voraussetzungen mit dem Erstattungsanspruch verrechnet werden. Absatz 3 Satz 3 bleibt unberührt.

Norm-Anker: § 314 BGB.

(1) Das Cockpit wird über das Internet bereitgestellt (Software as a Service). Übergabepunkt ist der Ausgang des Rechenzentrums. Der Kunde benötigt einen aktuellen Browser und einen Internet-Zugang; beides liegt in seiner Verantwortung.

(2) Regulario stellt das Cockpit mit einer Verfügbarkeit von 98 % je Kalendermonat bereit. Verfügbarkeit ist die Nutzbarkeit der Kernfunktionen des Cockpits am Übergabepunkt (Abs. 1); sie wird auf Grundlage des Monitorings von Regulario gemessen, dem Kunden bleibt der Nachweis abweichender Werte unbenommen. Bei der Berechnung bleiben außer Betracht: geplante, angekündigte Wartungsfenster (bis zu insgesamt acht Stunden je Kalendermonat) sowie Ausfälle, die der Kunde zu vertreten hat oder die auf höherer Gewalt beruhen. Wartungsarbeiten kündigt Regulario an, soweit möglich außerhalb üblicher Geschäftszeiten. Bei Unterschreitung stehen dem Kunden die gesetzlichen Mängelrechte zu (insbesondere Minderung); bei jährlicher Zahlweise gilt dabei ein Zwölftel des Jahresentgelts als Monatsentgelt. Eine darüber hinausgehende Verfügbarkeits-Zusage besteht nur, soweit gesondert vereinbart.

(3) Regulario darf das Cockpit weiterentwickeln und Funktionen ändern, soweit der Vertragszweck (§ 2) gewahrt bleibt und die Änderung dem Kunden zumutbar ist.

(4) Rechtsstand-Aktualisierungen: Bei für den Funktionsumfang relevanten Rechtsänderungen aktualisiert Regulario die zentralen Inhaltsbausteine des Cockpits. Bereits exportierte Nachweis-Mappen bleiben unverändert; der beim Export geltende Rechtsstand ist in der Mappe vermerkt. Ein Anspruch darauf, dass die Inhalte zu jedem Zeitpunkt jede Rechtsänderung abbilden, besteht nicht; die eigene Prüf- und Aktualisierungspflicht des Kunden (§ 8 Abs. 2) bleibt unberührt.

(1) Der Kunde gibt seine Angaben richtig und vollständig ein und hält sie aktuell. Qualität und Aussagekraft der erzeugten Nachweise hängen von diesen Angaben ab; eine inhaltliche Prüfung der Kundenangaben durch Regulario findet nicht statt.

(2) Der Kunde bleibt für die Erfüllung seiner rechtlichen Pflichten selbst verantwortlich. Das Cockpit dokumentiert und strukturiert; es nimmt dem Kunden keine Entscheidung und keine Verantwortung ab.

(3) Datengrenze: In das Cockpit gehören ausschließlich Angaben zur eigenen Organisation des Kunden (KI-Werkzeuge, Rollen, Richtlinien, Schulungs- und Mitarbeiterdaten). Der Kunde trägt keine Daten seiner eigenen Kunden oder Mandanten, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine einem Berufsgeheimnis unterliegenden Inhalte (z. B. § 203 StGB, § 57 StBerG) ein - auch nicht in Freitextfelder. Vorgänge mit solchem Bezug werden nur abstrakt referenziert; das Detail bleibt in den eigenen Systemen des Kunden.

(4) Der Kunde hält Zugangsdaten geheim und gewährt den Zugriff nur eigenen Leitungs- und Verwaltungspersonen. Für die Auswahl und Berechtigung seiner Nutzer ist der Kunde verantwortlich.

(5) Bei einem Verstoß gegen Absatz 3 darf Regulario den Kunden zur unverzüglichen Entfernung der betroffenen Inhalte auffordern; § 6 Abs. 5 bleibt unberührt.

Norm-Anker: Art. 5, 9 DSGVO; § 203 StGB; § 57 StBerG.

(1) Der Kunde erhält für die Vertragslaufzeit das einfache, nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht, das Cockpit für eigene betriebliche Zwecke zu nutzen. Die Zahl der Nutzer-Zugänge ergibt sich aus dem Angebot; fehlt eine Angabe, umfasst der Zugang die Leitungs- und Verwaltungspersonen des Kunden (§ 8 Abs. 4).

(2) An exportierten Nachweis-Mappen und sonstigen aus seinen Angaben erzeugten Dokumenten erhält der Kunde ein zeitlich unbeschränktes Recht, sie für die eigene Compliance-Dokumentation zu verwenden und gegenüber Behörden, Prüfern, Kammern und Vertragspartnern vorzulegen - auch nach Vertragsende.

(3) Nicht gestattet ist, die Inhaltsbausteine, Checklisten und Vorlagen des Cockpits Dritten zu überlassen, weiterzuvertreiben, öffentlich zugänglich zu machen oder sie zum Aufbau eines konkurrierenden Angebots zu verwenden.

Norm-Anker: §§ 31 ff. UrhG.

(1) Die im Cockpit gespeicherten Firmendaten werden auf Servern in der Europäischen Union gespeichert und strikt getrennt je Kundenfirma gehalten (technische Zugriffskontrolle; kein Zugriff anderer Kunden). Einzelheiten regelt Anlage 1.

(2) Der Kunde kann seine Nachweis-Mappe mit den darin aufbereiteten Angaben jederzeit selbst als PDF exportieren (Daten-Hoheit des Kunden).

(3) Nach Vertragsende hält Regulario den Zugang für einen Export-Zeitraum von 30 Tagen offen; der Zugang dient in dieser Zeit allein dem Export. Danach werden die Firmendaten nach dem Löschkonzept (Anlage 1) gelöscht. Protokollreste bei eingesetzten Auftragsverarbeitern laufen nach deren Fristen ab; eine darüber hinausgehende Zusage einer restlosen Löschung bei Dritten wird nicht abgegeben.

Norm-Anker: Art. 17, 20, 28 DSGVO.

(1) Soweit Regulario im Cockpit personenbezogene Daten im Auftrag des Kunden verarbeitet (insbesondere Mitarbeiter- und Schulungsdaten), handelt Regulario als Auftragsverarbeiter; es gilt die Vereinbarung zur Auftragsverarbeitung in Anlage 1, die Bestandteil dieses Vertrags ist.

(2) Für die eigene Vertrags- und Kundenverwaltung (Stammdaten, Abrechnung, Support) ist Regulario selbst Verantwortlicher; es gilt die Datenschutzerklärung von Regulario.

(3) Beschäftigtendaten: Der Kunde ist Verantwortlicher für die Daten seiner Beschäftigten, die er in das Cockpit einträgt oder eintragen lässt. Er stellt die erforderliche Rechtsgrundlage sicher, erfüllt die Informationspflichten (Art. 13/14 DSGVO) und beteiligt - soweit vorhanden - seinen Betriebsrat (§ 87 Abs. 1 Nr. 6 BetrVG). Zweck der Verarbeitung im Cockpit ist allein der Schulungs- und Kompetenz-Nachweis (Art. 4 EU AI Act); eine Leistungs- oder Verhaltensbewertung der Beschäftigten findet nicht statt und ist nicht Vertragszweck.

Norm-Anker: Art. 28 DSGVO; § 26 BDSG; § 87 Abs. 1 Nr. 6 BetrVG; Art. 4 EU AI Act.

(1) Regulario haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für die Verletzung von Leben, Körper oder Gesundheit, bei Arglist, nach dem Produkthaftungsgesetz sowie im Umfang einer ausdrücklich übernommenen Garantie.

(2) Bei einfacher Fahrlässigkeit haftet Regulario nur für die Verletzung wesentlicher Vertragspflichten (Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf) - begrenzt auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden.

(3) Im Übrigen ist die Haftung ausgeschlossen. Die verschuldensunabhängige Haftung für anfängliche Mängel (§ 536a Abs. 1 Alt. 1 BGB) ist ausgeschlossen.

(4) Der Kunde sichert seine exportierten Dokumente in zumutbarem Umfang selbst (§ 10 Abs. 2). Bei Datenverlust haftet Regulario im Rahmen der Absätze 1 bis 3 nur für den Aufwand, der bei ordnungsgemäßer eigener Sicherung der exportierten Dokumente durch den Kunden zur Wiederherstellung erforderlich wäre.

(5) Klarstellung: Die Verantwortung des Kunden für seine eigene Compliance (§ 3, § 8) ist keine Pflicht von Regulario; für Entscheidungen, die der Kunde auf Grundlage seiner eigenen dokumentierten Angaben trifft, haftet Regulario nicht.

Norm-Anker: § 276 Abs. 3, § 309 Nr. 7, § 536a BGB.

Beide Parteien behandeln als vertraulich gekennzeichnete oder erkennbar vertrauliche Informationen der jeweils anderen Partei vertraulich und nutzen sie nur zur Durchführung dieses Vertrags. Die Pflicht gilt auch nach Vertragsende fort. Gesetzliche Offenlegungspflichten bleiben unberührt.

Norm-Anker: Vertragliche Vertraulichkeitsabrede; ergänzend GeschGehG.

(1) Regulario darf diese Bedingungen mit Wirkung für die Zukunft ändern, soweit die Änderung unter Berücksichtigung der Interessen beider Parteien zumutbar ist und wesentliche Leistungspflichten nicht zulasten des Kunden verändert werden.

(2) Änderungen werden dem Kunden mindestens sechs Wochen vor Wirksamwerden in Textform mitgeteilt. Widerspricht der Kunde nicht innerhalb dieser Frist in Textform, gelten die geänderten Bedingungen; auf diese Folge weist Regulario in der Mitteilung ausdrücklich hin. Widerspricht der Kunde, läuft der Vertrag zu den bisherigen Bedingungen weiter; beide Parteien können ihn in diesem Fall zum Wirksamwerdens-Termin der Änderung in Textform kündigen.

(1) Änderungen und Ergänzungen des Vertrags bedürfen der Textform; das gilt auch für die Abbedingung dieses Textform-Erfordernisses. Der Vorrang individueller Vereinbarungen (§ 305b BGB) bleibt unberührt.

(2) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(3) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand Berlin. Regulario darf den Kunden auch an dessen allgemeinem Gerichtsstand verklagen.

(4) Regulario darf die Rechte und Pflichten aus diesem Vertrag im Zuge einer gesellschaftsrechtlichen Umstrukturierung insgesamt auf eine Gesellschaft übertragen, die die Leistungen unverändert fortführt. Die Übertragung wird mindestens vier Wochen vor Wirksamwerden in Textform angezeigt; der Kunde kann den Vertrag für diesen Fall zum Zeitpunkt des Wirksamwerdens in Textform kündigen (§ 6 Abs. 7 gilt entsprechend).

(5) Sollte eine Bestimmung unwirksam oder undurchführbar sein, bleibt der Vertrag im Übrigen wirksam; es gelten insoweit die gesetzlichen Vorschriften (§ 306 Abs. 2 BGB).

Norm-Anker: § 38 ZPO; Art. 3 Rom-I-VO.

zwischen dem Kunden (Verantwortlicher) und Regulario (Auftragsverarbeiter) für die Verarbeitung personenbezogener Daten im Regulario Compliance-Cockpit einschließlich der zugehörigen Firmen- und Schulungsnachweis-Verwaltung.

(1) Gegenstand ist der Betrieb des Compliance-Cockpits für die Firma des Verantwortlichen: Speicherung, Anzeige und Aufbereitung der eingetragenen Angaben, Erzeugung der Nachweis-Mappe (PDF), Verwaltung der Nutzerzugänge sowie die Übernahme anderweitig erworbener Schulungsnachweise der Beschäftigten in die Nachweis-Verwaltung der Firma. Diese Übernahme ist eine reine Dokumentationsfunktion des Cockpits; Zugang zu und Teilnahme an unentgeltlichen Schulungsangeboten bleiben davon unabhängig (§ 2 Abs. 4 des Hauptvertrags).

(2) Dauer: Laufzeit des Hauptvertrags. Nach Vertragsende gilt Ziffer 11 (Löschung/Rückgabe) in Verbindung mit § 10 des Hauptvertrags.

(1) Art: Erheben (über die Eingaben des Verantwortlichen und seiner Nutzer), Speichern, Ordnen, Anzeigen, Aufbereiten (PDF-Erzeugung), Übermitteln von Zugangs- und System-E-Mails (Login-Links, Einladungen sowie Schulungs- und Auffrischungs-Erinnerungen im Rahmen des Zwecks nach Absatz 2), Löschen.

(2) Zweck: Dokumentation der KI-Governance des Verantwortlichen und Nachweis seiner Schulungs- und Kompetenz-Maßnahmen (Art. 4 EU AI Act). Keine Leistungs- oder Verhaltensbewertung der Beschäftigten; keine Verarbeitung für eigene Zwecke des Auftragsverarbeiters.

(1) Betroffene: Inhaber/Leitungspersonen und Beschäftigte des Verantwortlichen.

(2) Nicht Gegenstand der Verarbeitung sind Daten der Kunden/Mandanten des Verantwortlichen, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Berufsgeheimnisse - ihre Eingabe ist nach § 8 Abs. 3 des Hauptvertrags ausgeschlossen.

(3) Klarstellung: Firmen-Stammdaten der Registrierung (Firmenname, Ansprechpartner, Registrierungs-Zeitpunkt, optionale Rückruf-Telefonnummer) verarbeitet Regulario als eigener Verantwortlicher für die Vertrags- und Kundenverwaltung (§ 11 Abs. 2 des Hauptvertrags); sie sind nicht Gegenstand dieser Anlage.

(1) Regulario verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf eine etwaige Übermittlung in ein Drittland -, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung verlangt; in diesem Fall informiert Regulario den Verantwortlichen vor der Verarbeitung, soweit rechtlich zulässig.

(2) Die Nutzung der vertragsgemäßen Funktionen des Cockpits durch den Verantwortlichen gilt als Weisung; ergänzende Weisungen bedürfen der Textform.

(3) Hält Regulario eine Weisung für rechtswidrig, informiert Regulario den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2) und darf die Ausführung bis zur Klärung aussetzen.

Regulario gewährt Zugriff nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit für die Leistungserbringung erforderlich.

(1) Regulario trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kernmaßnahmen im Betrieb: Speicherung in EU-Rechenzentren (Ziffer 8); strikte Firmen-Trennung auf Datenbank-Ebene (Zugriffsregeln nach dem Grundsatz „standardmäßig verweigert", Zugriff nur über geprüfte, rollen- und paketgebundene Serverfunktionen); Rollen-Modell (Beschäftigte ohne Leitungsrolle haben keinen Cockpit-Zugriff); Transportverschlüsselung (TLS); Trennung von Betriebs- und Administrations-Schlüsseln; Protokollierung und Versionsstempel gegen gegenseitiges Überschreiben.

(2) Die vollständige TOM-Beschreibung ergibt sich aus dem Anhang „Technische und organisatorische Maßnahmen" zu dieser Anlage (am Ende dieses Dokuments); die interne Langfassung mit Einzelbelegen hält Regulario aktuell und stellt sie im Rahmen der Nachweispflichten (Ziffer 12) bereit.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung für die Einschaltung der in der folgenden Liste genannten Unterauftragsverarbeiter. Regulario verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten wie in dieser Vereinbarung.

(2) Regulario informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen widersprechen; können sich die Parteien nicht einigen, dürfen beide den Hauptvertrag außerordentlich mit angemessener Frist kündigen.

(1) Die im Cockpit gespeicherten Inhalts- und Schulungsdaten werden ausschließlich auf Servern in der Europäischen Union gespeichert (Ziffer 7: Supabase EU-Region Stockholm; IONOS-VPS laut interner Infrastruktur-Karte Spanien, Panel-Beleg offen).

(2) Für die gespeicherten Inhalts- und Schulungsdaten findet keine Übermittlung in ein Drittland statt. Im Übrigen erfolgt eine Drittland-Übermittlung nur, soweit sie in der Liste in Ziffer 7 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt (Angemessenheitsbeschluss oder geeignete Garantien): Der E-Mail-Versand (Resend) läuft über Infrastruktur in den USA (Drittland-Übermittlung der E-Mail-Adressen und Mail-Inhalte); das ausgefertigte DPA mit Resend und der Nachweis liegen vor; Grundlage sind das EU-US Data Privacy Framework und die Standardvertragsklauseln Module 2 (Ziffer 7); die anwaltliche Drittland-Bewertung bleibt offen; bei Aktivierung des Bot-Schutzes am Nutzer-Login gilt die Cloudflare-Zeile in Ziffer 7 (DPF + Standardvertragsklauseln).

(3) Hinweis für Verantwortliche mit Berufsgeheimnis (z. B. Steuerberater): Der Serverstandort für die gespeicherten Inhaltsdaten ist die EU (Ziffern 7 und 8). Die berufsrechtliche Prüfung des konkreten Einsatzes (z. B. nach § 62a StBerG) obliegt dem Verantwortlichen.

Regulario unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO: u. a. Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Anträge, die direkt bei Regulario eingehen, leitet Regulario unverzüglich an den Verantwortlichen weiter.

(1) Regulario unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der Regulario zur Verfügung stehenden Informationen.

(2) Eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, meldet Regulario dem Verantwortlichen unverzüglich nach Bekanntwerden mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(1) Nach Abschluss der Leistungserbringung löscht Regulario alle personenbezogenen Daten des Verantwortlichen nach Maßgabe des § 10 des Hauptvertrags (Export-Zeitraum, danach Löschung nach Löschkonzept) oder gibt sie zurück, nach Wahl des Verantwortlichen - es sei denn, eine gesetzliche Pflicht verlangt die weitere Speicherung.

(2) Der Verantwortliche kann seine Nachweis-Mappe mit den darin aufbereiteten Angaben während der Laufzeit jederzeit selbst exportieren (PDF).

(3) Kernfristen des Löschkonzepts: Die Cockpit- und Schulungsdaten werden für die Vertragslaufzeit gespeichert; nach Vertragsende gilt der Export-Zeitraum von 30 Tagen (§ 10 Abs. 3 des Hauptvertrags), danach werden sie gelöscht, soweit keine gesetzliche Pflicht die weitere Speicherung verlangt. Versand- und Zugriffs-Protokolle bei Unterauftragsverarbeitern laufen nach deren Fristen ab; Ziffer 7 bleibt unberührt. Das vollständige Löschkonzept des Auftragsverarbeiters wird dem Verantwortlichen auf Anfrage bereitgestellt (Ziffer 12).

(1) Regulario stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Regulario ermöglicht und unterstützt Überprüfungen - einschließlich Inspektionen -, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt. Überprüfungen erfolgen nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs; vorrangig durch Vorlage geeigneter aktueller Nachweise (z. B. TOM-Dokumentation, Prüfberichte, Zertifikate der Unterauftragsverarbeiter).

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich - insbesondere für die Rechtsgrundlage der Verarbeitung der Daten seiner Beschäftigten, die Informationspflichten (Art. 13/14 DSGVO) und eine etwaige Betriebsrats-Beteiligung (§ 11 Abs. 3 des Hauptvertrags).

(2) Ihm stehen das Weisungsrecht (Ziffer 4), die Kontroll- und Prüfrechte (Ziffer 12) sowie die Rechte bei Änderungen der Unterauftragsverarbeiter (Ziffer 7) zu. Er benennt Regulario einen Ansprechpartner für datenschutzrechtliche Fragen.

(3) Er hält die Datengrenze des § 8 Abs. 3 des Hauptvertrags ein (keine Mandanten-/Kundendaten, keine Daten nach Art. 9 DSGVO, keine Berufsgeheimnisse).

(1) Diese Anlage geht bei Widersprüchen zum Hauptvertrag für die Verarbeitung personenbezogener Daten im Auftrag vor. Im Übrigen gelten die Regelungen des Hauptvertrags (u. a. Haftung § 12, Recht und Gerichtsstand § 15) auch für diese Anlage. Die Haftungsregelungen gelten nur für den Ausgleich zwischen den Parteien; Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben unberührt.

(2) Zwingende gesetzliche Pflichten aus Art. 28 DSGVO bleiben von abweichenden Regelungen unberührt.

Vertraulichkeit und Zugriffskontrolle. Alle Daten werden in EU-Rechenzentren gespeichert (Datenbank-Region Stockholm, Schweden - Ziffer 7). Der Zugriff ist auf Datenbank-Ebene nach dem Grundsatz „standardmäßig verweigert" geregelt: Jede Firma sieht ausschließlich ihre eigenen Daten; jeder Zugriff läuft über geprüfte Serverfunktionen, die Rolle (Firmenleitung) und gebuchtes Paket bei jedem Aufruf prüfen. Beschäftigte ohne Leitungsrolle haben keinen Zugriff auf das Cockpit. Die Anmeldung erfolgt passwortlos über einen per E-Mail zugestellten Anmelde-Link; Betriebs- und Administrations-Schlüssel sind strikt getrennt, Administrations-Zugänge doppelt geschützt.

Trennung. Die Mandanten-Trennung ist durch ein Angriffs-Audit geprüft (12 von 12 Angriffs-Szenarien abgewehrt, Juli 2026). Test- und Produktionsumgebung sind vollständig getrennte Systeme.

Integrität. Alle Verbindungen sind transportverschlüsselt (TLS); die Datenbank ist zusätzlich im Ruhezustand verschlüsselt (AES-256, einschließlich Sicherungen - vertragliche Zusage des Datenbank-Anbieters). Jede Änderung trägt Nutzer- und Zeitstempel; ein Versionsstempel verhindert, dass sich konkurrierende Änderungen still überschreiben. Einwilligungen werden mit Zeitpunkt und Wortlaut-Version dokumentiert.

Datenminimierung. Es werden nur die für den Schulungsnachweis erforderlichen Angaben verarbeitet; eine Leistungs- oder Verhaltensbewertung findet nicht statt (Ziffer 2 Abs. 2). Mandantendaten und besondere Kategorien (Art. 9 DSGVO) sind von der Verarbeitung ausgeschlossen (Ziffer 3 Abs. 2).

Verfügbarkeit. Der Verantwortliche kann seine Nachweis-Mappe jederzeit selbst als PDF exportieren. Missbrauchs- und Überlastschutz sind mehrstufig (Drosselung, Bot-Schutz). Die Datenbank wird durch den Datenbank-Anbieter täglich gesichert (verschlüsselte Backups, einschließlich der Sicherungen); diese Sicherungen ermöglichen eine Wiederherstellung im Fall eines technischen Ausfalls. Der Export der eigenen Nachweis-Mappe (PDF) bleibt dem Verantwortlichen als jederzeitige Selbsthilfe unbenommen und ersetzt keine eigene Datensicherung.

Überprüfung. Die Maßnahmen werden anlassbezogen (bei jeder Systemänderung) und mindestens jährlich überprüft; Sicherheits-Audits sind dokumentiert und werden im Rahmen der Ziffer 12 als Nachweis bereitgestellt.