Regulario Compliance-Cockpit

(1) Diese Bedingungen gelten für alle Verträge über die Nutzung des Online-Dienstes „Regulario Compliance-Cockpit" (nachfolgend „Cockpit") zwischen Regulario und dem Kunden.

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern erfolgt nicht; der Kunde bestätigt bei Vertragsschluss, dass er in Ausübung seiner gewerblichen oder selbstständigen beruflichen Tätigkeit handelt.

(3) Abweichende oder ergänzende Bedingungen des Kunden werden nur Vertragsbestandteil, wenn Regulario ihnen ausdrücklich in Textform zustimmt.

Norm-Anker: § 14 BGB, §§ 305 ff. BGB.

(1) Regulario stellt dem Kunden für die Vertragslaufzeit das Cockpit als Online-Anwendung bereit. Mit dem Cockpit dokumentiert der Kunde seinen betrieblichen KI-Einsatz strukturiert und erstellt daraus Nachweise. Funktionsumfang (Basis): KI-Tool-Inventar · Rollen-Check (Art. 25 EU AI Act) · Verbots-Check (Art. 5) · Transparenz-Check (Art. 50) · Schulungsnachweis (Art. 4) · Risiko-Grobeinstufung · Export einer Nachweis-Mappe als PDF. Branchenspezifische Zusatzinhalte (Overlays) sind nur geschuldet, soweit sie im Angebot ausdrücklich genannt sind.

(2) Das Cockpit ist ein Werkzeug zur Eigendokumentation: Es strukturiert die Angaben des Kunden anhand vorbereiteter Kategorien, Checklisten und Vorlagen und bereitet sie als Nachweis auf. Die Ergebnisse geben wieder, was der Kunde eingegeben hat.

(3) Ergebnis der Nutzung ist eine strukturierte Eigendokumentation des Kunden — kein Zertifikat, kein Konformitäts-Testat und keine behördliche oder normative Bestätigung. Eine Zertifizierung (etwa nach ISO/IEC 42001) erteilen ausschließlich akkreditierte Stellen, nicht Regulario.

(4) Der Videokurs „KI-Kompetenz" von Regulario ist ein eigenständiges, unentgeltliches Angebot. Er ist nicht Bestandteil dieses Vertrags, sein Wert ist weder in das Einrichtungsentgelt noch in den Monatsbeitrag nach § 5 einkalkuliert, und sein Zugang setzt keinen Vertragsschluss nach diesen Bedingungen voraus. Für ihn gelten gesonderte Nutzungsbedingungen. Soweit das Cockpit Schulungsnachweise verwaltet, betrifft dies ausschließlich die Dokumentation bereits erworbener Nachweise (Anlage 1 Ziffer 1); ein Anspruch auf Schulungsleistungen wird dadurch nicht begründet. Die Gespräche nach den Absätzen 5 und 6 sind persönliche Gespräche; eine Überwachung des Lernerfolgs findet nicht statt.

(5) Regulario bietet das Cockpit als laufende Begleitung an. Dazu gehören neben der Bereitstellung nach Absatz 1: a) eine geführte Ersteinrichtung, in der Regulario den Firmenzugang einrichtet und das vom Kunden benannte Team in einem gemeinsamen Termin in die Nutzung des Cockpits einführt; die Ersteinrichtung ist mit Durchführung dieses Termins abgeschlossen; b) Rechtsstand- und Baustein-Aktualisierungen nach § 7 Abs. 4; c) sobald verfügbar, ein KI-gestützter Produkt-Assistent für Produkt- und Bedienfragen ohne Bindung an Geschäftszeiten; Regulario informiert den Kunden vor seiner Einführung in Textform und ergänzt die Unterauftragsverarbeiter zuvor im Verfahren nach Anlage 1 Ziffer 7 (für seine Verfügbarkeit gilt § 7 Abs. 2); d) persönlicher Support durch das Regulario-Team zu Produkt- und Bedienfragen; e) die KI-Beratung nach Absatz 6; f) soweit eine Kooperation mit einer Partnerkanzlei besteht, der Zugang zu dieser Kanzlei zu Sonderkonditionen (ein Mandat kommt ausschließlich unmittelbar zwischen dem Kunden und der Kanzlei zustande; deren Leistungen werden separat abgerechnet; Regulario erhält kein Vermittlungsentgelt; § 3 bleibt unberührt); g) ein persönlicher jährlicher Durchgang durch die Dokumentation, in dem Regulario mit dem Kunden die Bedienung und den Pflegestand seiner Dokumentation im Cockpit durchgeht; eine inhaltliche oder rechtliche Prüfung der Kundenangaben ist damit nicht verbunden (§ 8 Abs. 1). Diese Leistungen erbringt Regulario als Dienstleistungen; ein bestimmter rechtlicher oder wirtschaftlicher Erfolg ist nicht geschuldet.

(6) KI-Beratung: Der Kunde kann je Kalenderquartal ein persönliches Gespräch (per Video oder Telefon) mit Regulario zur Auswahl, Einführung und Nutzung von KI-Werkzeugen sowie zu betrieblichen Abläufen beim KI-Einsatz in Anspruch nehmen. Die KI-Beratung betrifft Werkzeuge, Einsatz und Prozesse; sie ist keine Rechtsberatung und umfasst keine rechtliche Prüfung oder Bewertung des Einzelfalls — insbesondere keine Risikoeinstufung eines KI-Systems nach dem EU AI Act durch Regulario und keine Beurteilung der datenschutz- oder berufsrechtlichen Zulässigkeit eines konkreten Einsatzes; § 3 gilt. Den Termin vereinbaren die Parteien auf Anfrage des Kunden. Ein in einem Kalenderquartal nicht in Anspruch genommenes Gespräch verfällt mit dessen Ablauf; es wird nicht in spätere Quartale übertragen und nicht erstattet. Das gilt nicht, soweit ein vom Kunden innerhalb des Quartals angefragtes Gespräch aus Gründen, die Regulario zu vertreten hat, nicht mehr in diesem Quartal stattfindet; es wird dann im folgenden Quartal nachgeholt.

Norm-Anker: Typengemischter Vertrag mit miet- und dienstvertraglichen Elementen (SaaS); §§ 535 ff. BGB entsprechend.

(1) Regulario bietet Schulung und Vorlagen. Regulario erbringt keine einzelfallbezogene Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) und übernimmt keine Garantie für Rechtssicherheit.

(2) Das Cockpit und die Begleitleistungen nach § 2 Abs. 5 und 6 — einschließlich der KI-Beratung — ersetzen nicht die Prüfung durch einen Rechtsanwalt, Steuerberater oder Datenschutzbeauftragten. Wo das Cockpit oder ein Gespräch mit Regulario auf mögliche Hochrisiko-, Verbots- oder Einzelfall-Konstellationen hinweist, endet die Unterstützung ausdrücklich mit der Empfehlung, die Frage anwaltlich oder durch die zuständige Kammer/Behörde klären zu lassen. Diese Klärung beauftragt der Kunde selbst; sie ist nicht Leistungsgegenstand.

(3) Regulario sichert insbesondere nicht zu, dass der Kunde durch die Nutzung des Cockpits oder der Begleitleistungen alle ihn treffenden Rechtspflichten (u. a. EU AI Act, DSGVO, Berufs- und Branchenrecht) erfüllt. Ziel der Leistung ist, den Kunden handlungs- und nachweisfähig zu machen — die Bewertung des Einzelfalls und die Gesamtverantwortung bleiben beim Kunden (§ 8).

Norm-Anker: §§ 2, 3 RDG.

(1) Der Vertrag kommt zustande, indem der Kunde ein Angebot von Regulario in Textform annimmt oder Regulario eine Bestellung des Kunden in Textform bestätigt bzw. den Zugang freischaltet.

(2) Diese Bedingungen und die Anlage 1 (Auftragsverarbeitung) werden dem Kunden vor Vertragsschluss zugänglich gemacht; mit Vertragsschluss erkennt der Kunde sie an.

Norm-Anker: §§ 145 ff. BGB.

(1) Der Kunde schuldet für die laufende Begleitung (§ 2 Abs. 5) ein einmaliges Einrichtungsentgelt und einen Monatsbeitrag. Das Einrichtungsentgelt richtet sich nach der maßgeblichen Mitarbeitendenzahl gemäß den Absätzen 3 und 4; der Monatsbeitrag ist für alle Preisstufen gleich. Die Preise verstehen sich jeweils zuzüglich der gesetzlichen Umsatzsteuer.

Für Kunden ab 100 Mitarbeitenden kommt ein Vertrag oder eine Vertragsänderung nur auf Grundlage eines individuellen Angebots in Textform zustande.

(2) Der Vertrag ist mit einer Mindestlaufzeit von 12 Monaten verbunden; Laufzeit, Verlängerung und Kündigung richten sich nach § 6. Das Einrichtungsentgelt ist das Entgelt für die geführte Ersteinrichtung (§ 2 Abs. 5 Buchst. a); es ist ein einmaliger Gesamtbetrag und wird weder auf die Monatsbeiträge angerechnet noch in Monatsraten aufgeteilt.

(3) Als Mitarbeitende gelten für diesen Vertrag alle natürlichen Personen, die am maßgeblichen Stichtag aufgrund eines Arbeits-, Dienst- oder Ausbildungsverhältnisses unmittelbar für den Kunden tätig sind. Vollzeit- und Teilzeitkräfte, geringfügig Beschäftigte, befristet Beschäftigte, Auszubildende sowie im Unternehmen tätige Organmitglieder werden jeweils als eine Person gezählt; der Beschäftigungsumfang wird nicht in Vollzeitäquivalente umgerechnet. Nicht mitgezählt werden Beschäftigte verbundener Unternehmen, Leiharbeitnehmer und freie Auftragnehmer, sofern ihre Einbeziehung nicht im individuellen Angebot vereinbart ist. Die Zahl der Cockpit-Zugänge ist für die Staffelzuordnung nicht maßgeblich. Umfasst ein Angebot mehrere Rechtsträger, muss es die einbezogenen Rechtsträger und die dafür geltende Zählweise ausdrücklich benennen.

(4) Maßgeblicher Stichtag ist der Tag des Vertragsbeginns (§ 6 Abs. 1). Der Kunde teilt Regulario bei Vertragsschluss die maßgebliche Mitarbeitendenzahl in Textform mit (Selbstauskunft). Regulario darf bei konkreten Zweifeln eine nachvollziehbare Bestätigung der Anzahl verlangen; personenbezogene Beschäftigtendaten sind hierfür nicht erforderlich.

(5) Änderungen der Mitarbeitendenzahl nach dem Stichtag wirken sich weder auf das Einrichtungsentgelt noch auf den Monatsbeitrag aus; eine Nachberechnung oder Gutschrift findet insoweit nicht statt. Das gilt auch, wenn der Kunde während der Vertragslaufzeit 100 Mitarbeitende erreicht. Ein individuelles Entgelt bedarf einer Vereinbarung in Textform und darf nicht einseitig festgesetzt werden.

(6) Das Einrichtungsentgelt wird mit Vertragsschluss fällig; Regulario stellt es mit Vertragsschluss in Rechnung. Der Monatsbeitrag wird monatlich im Voraus fällig; Regulario stellt ihn jeweils zu Beginn eines Abrechnungsmonats in Rechnung. Abrechnungsmonate rechnen ab dem Vertragsbeginn. Soweit im Angebot oder in der Rechnung nichts Abweichendes vereinbart ist, beträgt das Zahlungsziel 14 Tage ab Rechnungszugang.

(7) Bei Zahlungsverzug gelten die gesetzlichen Regelungen. Gegenüber Unternehmern gelten insbesondere die gesetzlichen Verzugszinsen und, soweit die gesetzlichen Voraussetzungen vorliegen, die Verzugspauschale.

(8) Gerät der Kunde mit einem nicht unerheblichen Teil des fälligen Entgelts in Verzug, darf Regulario den Zugang nach vorheriger Ankündigung in Textform und erfolglosem Ablauf einer angemessenen Nachfrist vorübergehend sperren. Die gespeicherten Daten bleiben während der Sperre erhalten; die Zahlungspflicht besteht fort. Weitergehende Rechte, insbesondere nach § 6 Absatz 5, bleiben unberührt.

(9) Der Kunde kann nur mit unbestrittenen, rechtskräftig festgestellten oder entscheidungsreifen Forderungen aufrechnen; Gegenansprüche aus demselben Vertragsverhältnis bleiben unberührt. Ein Zurückbehaltungsrecht besteht nur wegen Ansprüchen aus demselben Vertragsverhältnis.

Norm-Anker: §§ 286, 288 BGB; § 387 ff. BGB.

(1) Der Vertrag beginnt mit der Freischaltung des Zugangs, sofern im individuellen Angebot kein anderer Vertragsbeginn vereinbart ist.

(2) Mindestlaufzeit: Die Mindestlaufzeit beträgt 12 Monate ab Vertragsbeginn. Während der Mindestlaufzeit ist die ordentliche Kündigung ausgeschlossen; eine ordentliche Kündigung ist frühestens zum Ende der Mindestlaufzeit möglich (Absatz 3).

(3) Verlängerung und ordentliche Kündigung: Nach Ablauf der Mindestlaufzeit läuft der Vertrag zu den bisherigen Bedingungen auf unbestimmte Zeit weiter; ein weiteres Einrichtungsentgelt fällt nicht an. Beide Parteien können den Vertrag in Textform mit einer Frist von einem Monat zum Ende eines Abrechnungsmonats kündigen, erstmals zum Ende der Mindestlaufzeit. Eine anteilige Erstattung des Monatsbeitrags für einen bereits begonnenen Abrechnungsmonat erfolgt bei einer ordentlichen Kündigung nicht; der Zugang bleibt bis zum Vertragsende bestehen.

(4) Einrichtungsentgelt bei Vertragsende: Das Einrichtungsentgelt wird bei einer Beendigung des Vertrags nicht anteilig erstattet, auch nicht bei einer Beendigung vor Ablauf der Mindestlaufzeit. Abweichend davon erstattet Regulario das Einrichtungsentgelt, soweit die Ersteinrichtung (§ 2 Abs. 5 Buchst. a) noch nicht erbracht ist, wenn der Kunde den Vertrag vor deren Abschluss aus einem wichtigen Grund außerordentlich kündigt, den Regulario zu vertreten hat. Weitergehende gesetzliche Ansprüche des Kunden bleiben unberührt.

(5) Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für Regulario kann insbesondere vorliegen bei einem trotz Abmahnung fortgesetzten Verstoß gegen die Datengrenze (§ 8 Absatz 3) oder die Nutzungsrechte (§ 9) sowie bei einem Zahlungsverzug, der nach den Umständen des Einzelfalls die Fortsetzung des Vertrags unzumutbar macht. Soweit eine Abmahnung oder Fristsetzung gesetzlich erforderlich und im Einzelfall zumutbar ist, erfolgt die Kündigung erst nach deren erfolglosem Ablauf.

(6) Für Datenexport und Löschung nach Vertragsende gilt § 10.

(7) Endet der Vertrag aufgrund einer wirksamen außerordentlichen Kündigung oder einer einvernehmlichen vorzeitigen Beendigung vor Ablauf eines bereits bezahlten Abrechnungsmonats, erstattet Regulario den Anteil des Monatsbeitrags, der rechnerisch auf die Zeit nach Vertragsende entfällt. Die Berechnung erfolgt taggenau. Für das Einrichtungsentgelt gilt Absatz 4. Gesetzliche Gegenansprüche, insbesondere ein Anspruch auf Ersatz eines durch eine vom Kunden zu vertretende vorzeitige Beendigung entstandenen Schadens, bleiben unberührt und können nach den gesetzlichen Voraussetzungen mit dem Erstattungsanspruch verrechnet werden.

Norm-Anker: § 314 BGB.

(1) Das Cockpit wird über das Internet bereitgestellt (Software as a Service). Übergabepunkt ist der Ausgang des Rechenzentrums. Der Kunde benötigt einen aktuellen Browser und einen Internet-Zugang; beides liegt in seiner Verantwortung.

(2) Regulario stellt das Cockpit mit einer Verfügbarkeit von 98 % je Kalendermonat bereit. Verfügbarkeit ist die Nutzbarkeit der Kernfunktionen des Cockpits am Übergabepunkt (Abs. 1); sie wird auf Grundlage des Monitorings von Regulario gemessen, dem Kunden bleibt der Nachweis abweichender Werte unbenommen. Bei der Berechnung bleiben außer Betracht: geplante, angekündigte Wartungsfenster (bis zu insgesamt acht Stunden je Kalendermonat) sowie Ausfälle, die der Kunde zu vertreten hat oder die auf höherer Gewalt beruhen. Wartungsarbeiten kündigt Regulario an, soweit möglich außerhalb üblicher Geschäftszeiten. Bei Unterschreitung stehen dem Kunden die gesetzlichen Mängelrechte zu (insbesondere Minderung); Bemessungsgrundlage ist dabei der Monatsbeitrag des betroffenen Abrechnungsmonats. Eine darüber hinausgehende Verfügbarkeits-Zusage besteht nur, soweit gesondert vereinbart.

(3) Regulario darf das Cockpit weiterentwickeln und Funktionen ändern, soweit hierfür ein triftiger Grund besteht — insbesondere eine Änderung der Rechtslage, Erfordernisse der Datensicherheit oder die technische Weiterentwicklung —, der Vertragszweck (§ 2) gewahrt bleibt und die Änderung dem Kunden zumutbar ist. Führt eine Änderung zu einer wesentlichen Verschlechterung der vertraglichen Leistungen für den Kunden, teilt Regulario sie rechtzeitig vor Wirksamwerden in Textform mit; der Kunde kann den Vertrag in diesem Fall innerhalb von vier Wochen nach Zugang der Mitteilung zum Zeitpunkt des Wirksamwerdens der Änderung oder, wenn dieser bereits verstrichen ist, mit sofortiger Wirkung in Textform kündigen (§ 6 Abs. 7 gilt entsprechend).

(4) Rechtsstand-Aktualisierungen: Bei für den Funktionsumfang relevanten Rechtsänderungen aktualisiert Regulario die zentralen Inhaltsbausteine des Cockpits. Bereits exportierte Nachweis-Mappen bleiben unverändert; der beim Export geltende Rechtsstand ist in der Mappe vermerkt. Ein Anspruch darauf, dass die Inhalte zu jedem Zeitpunkt jede Rechtsänderung abbilden, besteht nicht; die eigene Prüf- und Aktualisierungspflicht des Kunden (§ 8 Abs. 2) bleibt unberührt.

(1) Der Kunde gibt seine Angaben richtig und vollständig ein und hält sie aktuell. Qualität und Aussagekraft der erzeugten Nachweise hängen von diesen Angaben ab; eine inhaltliche Prüfung der Kundenangaben durch Regulario findet nicht statt.

(2) Der Kunde bleibt für die Erfüllung seiner rechtlichen Pflichten selbst verantwortlich. Das Cockpit dokumentiert und strukturiert; es nimmt dem Kunden keine Entscheidung und keine Verantwortung ab.

(3) Datengrenze: In das Cockpit gehören ausschließlich Angaben zur eigenen Organisation des Kunden (KI-Werkzeuge, Rollen, Richtlinien, Schulungs- und Mitarbeiterdaten). Der Kunde trägt keine Daten seiner eigenen Kunden oder Mandanten, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine einem Berufsgeheimnis unterliegenden Inhalte (z. B. § 203 StGB, § 57 StBerG) ein — auch nicht in Freitextfelder. Vorgänge mit solchem Bezug werden nur abstrakt referenziert; das Detail bleibt in den eigenen Systemen des Kunden.

(4) Der Kunde hält Zugangsdaten geheim und gewährt den Zugriff nur eigenen Leitungs- und Verwaltungspersonen. Für die Auswahl und Berechtigung seiner Nutzer ist der Kunde verantwortlich.

(5) Bei einem Verstoß gegen Absatz 3 darf Regulario den Kunden zur unverzüglichen Entfernung der betroffenen Inhalte auffordern; § 6 Abs. 5 bleibt unberührt.

Norm-Anker: Art. 5, 9 DSGVO; § 203 StGB; § 57 StBerG.

(1) Der Kunde erhält für die Vertragslaufzeit das einfache, nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht, das Cockpit für eigene betriebliche Zwecke zu nutzen. Die Zahl der Nutzer-Zugänge ergibt sich aus dem Angebot; fehlt eine Angabe, umfasst der Zugang die Leitungs- und Verwaltungspersonen des Kunden (§ 8 Abs. 4).

(2) An exportierten Nachweis-Mappen und sonstigen aus seinen Angaben erzeugten Dokumenten erhält der Kunde ein zeitlich unbeschränktes Recht, sie für die eigene Compliance-Dokumentation zu verwenden und gegenüber Behörden, Prüfern, Kammern und Vertragspartnern vorzulegen — auch nach Vertragsende.

(3) Nicht gestattet ist, die Inhaltsbausteine, Checklisten und Vorlagen des Cockpits Dritten zu überlassen, weiterzuvertreiben, öffentlich zugänglich zu machen oder sie zum Aufbau eines konkurrierenden Angebots zu verwenden.

Norm-Anker: §§ 31 ff. UrhG.

(1) Die im Cockpit gespeicherten Firmendaten werden auf Servern in der Europäischen Union gespeichert und strikt getrennt je Kundenfirma gehalten (technische Zugriffskontrolle; kein Zugriff anderer Kunden). Einzelheiten, auch zu möglichen Zugriffen aus Drittländern und den dafür geltenden Garantien, regelt Anlage 1 (Ziffern 7 und 8).

(2) Der Kunde kann seine Nachweis-Mappe mit den darin aufbereiteten Angaben jederzeit selbst als PDF exportieren (Daten-Hoheit des Kunden).

(3) Nach Vertragsende hält Regulario den Zugang für einen Export-Zeitraum von 30 Tagen offen; der Zugang dient in dieser Zeit allein dem Export. Danach werden die Firmendaten nach dem Löschkonzept (Anlage 1) gelöscht. Protokollreste bei eingesetzten Auftragsverarbeitern laufen nach deren Fristen ab; eine darüber hinausgehende Zusage einer restlosen Löschung bei Dritten wird nicht abgegeben.

Norm-Anker: Art. 17, 20, 28 DSGVO.

(1) Soweit Regulario im Cockpit personenbezogene Daten im Auftrag des Kunden verarbeitet (insbesondere Mitarbeiter- und Schulungsdaten), handelt Regulario als Auftragsverarbeiter; es gilt die Vereinbarung zur Auftragsverarbeitung in Anlage 1, die Bestandteil dieses Vertrags ist.

(2) Für die eigene Vertrags- und Kundenverwaltung (Stammdaten, Abrechnung, Support) ist Regulario selbst Verantwortlicher; es gilt die Datenschutzerklärung von Regulario.

(3) Beschäftigtendaten: Der Kunde ist Verantwortlicher für die Daten seiner Beschäftigten, die er in das Cockpit einträgt oder eintragen lässt. Er stellt die erforderliche Rechtsgrundlage sicher, erfüllt die Informationspflichten (Art. 13/14 DSGVO) und beteiligt — soweit vorhanden — seinen Betriebsrat (§ 87 Abs. 1 Nr. 6 BetrVG). Zweck der Verarbeitung im Cockpit ist allein der Schulungs- und Kompetenz-Nachweis (Art. 4 EU AI Act); eine Leistungs- oder Verhaltensbewertung der Beschäftigten findet nicht statt und ist nicht Vertragszweck.

Norm-Anker: Art. 28 DSGVO; § 26 BDSG; § 87 Abs. 1 Nr. 6 BetrVG; Art. 4 EU AI Act.

(1) Regulario haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für die Verletzung von Leben, Körper oder Gesundheit, bei Arglist, nach dem Produkthaftungsgesetz sowie im Umfang einer ausdrücklich übernommenen Garantie.

(2) Bei einfacher Fahrlässigkeit haftet Regulario nur für die Verletzung wesentlicher Vertragspflichten (Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf) — begrenzt auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden.

(3) Im Übrigen ist die Haftung ausgeschlossen. Die verschuldensunabhängige Haftung für anfängliche Mängel (§ 536a Abs. 1 Alt. 1 BGB) ist ausgeschlossen.

(4) Für den Verlust oder die Beschädigung von Daten haftet Regulario bei einfacher Fahrlässigkeit nur unter den Voraussetzungen des Absatzes 2 und der Höhe nach begrenzt auf den typischen Aufwand für ihre Wiederherstellung. Die Absätze 1 bis 3 bleiben unberührt; die Begrenzung nach Satz 1 gilt insbesondere nicht bei Vorsatz oder grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit und für Ansprüche nach dem Produkthaftungsgesetz.

(5) Klarstellung: Die Verantwortung des Kunden für seine eigene Compliance (§ 3, § 8) ist keine Pflicht von Regulario; für Entscheidungen, die der Kunde auf Grundlage seiner eigenen dokumentierten Angaben trifft, haftet Regulario nicht.

Norm-Anker: § 276 Abs. 3, § 309 Nr. 7, § 536a BGB.

Beide Parteien behandeln als vertraulich gekennzeichnete oder erkennbar vertrauliche Informationen der jeweils anderen Partei vertraulich und nutzen sie nur zur Durchführung dieses Vertrags. Die Pflicht gilt auch nach Vertragsende fort. Gesetzliche Offenlegungspflichten bleiben unberührt.

Norm-Anker: Vertragliche Vertraulichkeitsabrede; ergänzend GeschGehG.

(1) Regulario darf diese Bedingungen mit Wirkung für die Zukunft ändern, soweit die Änderung unter Berücksichtigung der Interessen beider Parteien zumutbar ist und wesentliche Leistungspflichten nicht zulasten des Kunden verändert werden.

(2) Änderungen werden dem Kunden mindestens sechs Wochen vor Wirksamwerden in Textform mitgeteilt. Widerspricht der Kunde nicht innerhalb dieser Frist in Textform, gelten die geänderten Bedingungen; auf diese Folge weist Regulario in der Mitteilung ausdrücklich hin. Widerspricht der Kunde, läuft der Vertrag zu den bisherigen Bedingungen weiter; der Kunde kann ihn in diesem Fall zum Wirksamwerdens-Termin der Änderung in Textform kündigen (§ 6 Abs. 7 gilt entsprechend). Regulario steht wegen des Widerspruchs kein Sonderkündigungsrecht zu; Regulario kann den Vertrag nur nach § 6 Abs. 3 ordentlich kündigen, frühestens zum Ende der Mindestlaufzeit.

(1) Änderungen und Ergänzungen des Vertrags bedürfen der Textform; das gilt auch für die Abbedingung dieses Textform-Erfordernisses. Der Vorrang individueller Vereinbarungen (§ 305b BGB) bleibt unberührt.

(2) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(3) Für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist ausschließlicher Gerichtsstand Berlin, soweit der Kunde Unternehmer (§ 14 BGB), juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Regulario darf den Kunden auch an dessen allgemeinem Gerichtsstand verklagen.

(4) Regulario darf die Rechte und Pflichten aus diesem Vertrag im Zuge einer gesellschaftsrechtlichen Umstrukturierung insgesamt auf eine Gesellschaft übertragen, die die Leistungen unverändert fortführt. Die Übertragung wird mindestens vier Wochen vor Wirksamwerden in Textform angezeigt; der Kunde kann den Vertrag für diesen Fall zum Zeitpunkt des Wirksamwerdens in Textform kündigen (§ 6 Abs. 7 gilt entsprechend).

(5) Sollte eine Bestimmung unwirksam oder undurchführbar sein, bleibt der Vertrag im Übrigen wirksam; es gelten insoweit die gesetzlichen Vorschriften (§ 306 Abs. 2 BGB).

Norm-Anker: Art. 25 Brüssel-Ia-VO (VO (EU) Nr. 1215/2012); § 38 ZPO; Art. 3 Rom-I-VO.

zwischen dem Kunden (Verantwortlicher) und Regulario (Auftragsverarbeiter) für die Verarbeitung personenbezogener Daten im Regulario Compliance-Cockpit einschließlich der zugehörigen Firmen- und Schulungsnachweis-Verwaltung.

(1) Gegenstand ist der Betrieb des Compliance-Cockpits für die Firma des Verantwortlichen: Speicherung, Anzeige und Aufbereitung der eingetragenen Angaben, Erzeugung der Nachweis-Mappe (PDF), Verwaltung der Nutzerzugänge sowie die Übernahme anderweitig erworbener Schulungsnachweise der Beschäftigten in die Nachweis-Verwaltung der Firma. Diese Übernahme ist eine reine Dokumentationsfunktion des Cockpits; Zugang zu und Teilnahme an unentgeltlichen Schulungsangeboten bleiben davon unabhängig (§ 2 Abs. 4 des Hauptvertrags).

(2) Dauer: Laufzeit des Hauptvertrags. Nach Vertragsende gilt Ziffer 11 (Löschung/Rückgabe) in Verbindung mit § 10 des Hauptvertrags.

(1) Art: Erheben (über die Eingaben des Verantwortlichen und seiner Nutzer), Speichern, Ordnen, Anzeigen, Aufbereiten (PDF-Erzeugung), Übermitteln von Zugangs- und System-E-Mails (Login-Links, Einladungen sowie Schulungs- und Auffrischungs-Erinnerungen im Rahmen des Zwecks nach Absatz 2), Löschen.

(2) Zweck: Dokumentation der KI-Governance des Verantwortlichen und Nachweis seiner Schulungs- und Kompetenz-Maßnahmen (Art. 4 EU AI Act). Keine Leistungs- oder Verhaltensbewertung der Beschäftigten; keine Verarbeitung für eigene Zwecke des Auftragsverarbeiters.

(1) Betroffene: Inhaber/Leitungspersonen und Beschäftigte des Verantwortlichen.

(2) Nicht Gegenstand der Verarbeitung sind Daten der Kunden/Mandanten des Verantwortlichen, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Berufsgeheimnisse — ihre Eingabe ist nach § 8 Abs. 3 des Hauptvertrags ausgeschlossen.

(3) Klarstellung: Firmen-Stammdaten der Registrierung (Firmenname, Ansprechpartner, Registrierungs-Zeitpunkt, optionale Rückruf-Telefonnummer) verarbeitet Regulario als eigener Verantwortlicher für die Vertrags- und Kundenverwaltung (§ 11 Abs. 2 des Hauptvertrags); sie sind nicht Gegenstand dieser Anlage.

(1) Regulario verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf eine etwaige Übermittlung in ein Drittland —, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung verlangt; in diesem Fall informiert Regulario den Verantwortlichen vor der Verarbeitung, soweit rechtlich zulässig.

(2) Die Nutzung der vertragsgemäßen Funktionen des Cockpits durch den Verantwortlichen gilt als Weisung; ergänzende Weisungen bedürfen der Textform.

(3) Hält Regulario eine Weisung für rechtswidrig, informiert Regulario den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2) und darf die Ausführung bis zur Klärung aussetzen.

Regulario gewährt Zugriff nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit für die Leistungserbringung erforderlich.

(1) Regulario trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kernmaßnahmen im Betrieb: Speicherung der Inhaltsdaten in der EU (Ziffer 8); strikte Firmen-Trennung auf Datenbank-Ebene (Zugriffsregeln nach dem Grundsatz „standardmäßig verweigert", Zugriff nur über geprüfte Serverfunktionen, die an Rolle und Lizenz-/Zugangsstatus gebunden sind); Rollen-Modell (Beschäftigte ohne Leitungsrolle haben keinen Cockpit-Zugriff); Transportverschlüsselung (TLS); Trennung von Betriebs- und Administrations-Schlüsseln; Protokollierung und Versionsstempel gegen gegenseitiges Überschreiben.

(2) Die vollständige TOM-Beschreibung ergibt sich aus dem Anhang „Technische und organisatorische Maßnahmen" zu dieser Anlage (am Ende dieses Dokuments); die interne Langfassung mit Einzelbelegen hält Regulario aktuell und stellt sie im Rahmen der Nachweispflichten (Ziffer 12) bereit.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung für die Einschaltung der in der folgenden Liste genannten Unterauftragsverarbeiter. Regulario verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten wie in dieser Vereinbarung.

(2) Regulario kündigt die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters dem Verantwortlichen mindestens 30 Tage vor dessen Einsatz in Textform an. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen nach Zugang der Ankündigung widersprechen; der neue Unterauftragsverarbeiter wird erst nach Ablauf dieser Widerspruchsfrist eingesetzt. Können sich die Parteien nach einem Widerspruch nicht einigen, dürfen beide den Hauptvertrag außerordentlich mit angemessener Frist kündigen.

(1) Die im Cockpit gespeicherten Inhalts- und Schulungsdaten werden auf Servern in der Europäischen Union gespeichert (Supabase, Projekt-Region Stockholm, Schweden; Ziffer 7).

(2) Eine Übermittlung personenbezogener Daten in ein Drittland — einschließlich eines Zugriffs aus einem Drittland auf in der EU gespeicherte Daten — erfolgt nur, soweit sie in Ziffer 7 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Ausgewiesen sind: a) mögliche Zugriffe der Supabase, Inc. (USA) und der Supabase Pte. Ltd. (Singapur) auf die gespeicherten Daten — Garantien: Standardvertragsklauseln (Module 2 und 3) und Transfer Impact Assessment; b) der E-Mail-Versand über Resend (USA) für E-Mail-Adressen, Mail-Inhalte und Versandprotokolle — Garantien: EU-U.S. Data Privacy Framework und Standardvertragsklauseln Modul 3; c) bei Aktivierung des Bot-Schutzes am Nutzer-Login Cloudflare (USA) — Garantien: EU-U.S. Data Privacy Framework und Standardvertragsklauseln (Module 2 und 3).

(3) Hinweis für Verantwortliche mit Berufsgeheimnis (z. B. Steuerberater): Der Speicherort der Inhaltsdaten ist die EU; Zugriffe aus Drittländern sind nach Absatz 2 möglich. Die berufsrechtliche Prüfung des konkreten Einsatzes (z. B. nach § 62a StBerG) obliegt dem Verantwortlichen.

Regulario unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO: u. a. Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Anträge, die direkt bei Regulario eingehen, leitet Regulario unverzüglich an den Verantwortlichen weiter.

(1) Regulario unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der Regulario zur Verfügung stehenden Informationen.

(2) Eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, meldet Regulario dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(1) Nach Abschluss der Leistungserbringung löscht Regulario alle personenbezogenen Daten des Verantwortlichen nach Maßgabe des § 10 des Hauptvertrags (Export-Zeitraum, danach Löschung nach Löschkonzept) oder gibt sie zurück, nach Wahl des Verantwortlichen — es sei denn, eine gesetzliche Pflicht verlangt die weitere Speicherung. Auf Anforderung des Verantwortlichen innerhalb des Export-Zeitraums erfolgt die Rückgabe zusätzlich als maschinenlesbarer Export (JSON oder CSV). Sicherungskopien beim Datenbank-Anbieter werden im Rotationszyklus des Anbieters gelöscht.

(2) Der Verantwortliche kann seine Nachweis-Mappe mit den darin aufbereiteten Angaben während der Laufzeit jederzeit selbst exportieren (PDF).

(3) Kernfristen des Löschkonzepts: Die Cockpit- und Schulungsdaten werden für die Vertragslaufzeit gespeichert; nach Vertragsende gilt der Export-Zeitraum von 30 Tagen (§ 10 Abs. 3 des Hauptvertrags), danach werden sie gelöscht, soweit keine gesetzliche Pflicht die weitere Speicherung verlangt. Versand- und Zugriffs-Protokolle bei Unterauftragsverarbeitern laufen nach deren Fristen ab; Ziffer 7 bleibt unberührt. Das vollständige Löschkonzept des Auftragsverarbeiters wird dem Verantwortlichen auf Anfrage bereitgestellt (Ziffer 12).

(1) Regulario stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Regulario ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt. Überprüfungen erfolgen nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs; vorrangig durch Vorlage geeigneter aktueller Nachweise (z. B. TOM-Dokumentation, Prüfberichte, Zertifikate der Unterauftragsverarbeiter).

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich — insbesondere für die Rechtsgrundlage der Verarbeitung der Daten seiner Beschäftigten, die Informationspflichten (Art. 13/14 DSGVO) und eine etwaige Betriebsrats-Beteiligung (§ 11 Abs. 3 des Hauptvertrags).

(2) Ihm stehen das Weisungsrecht (Ziffer 4), die Kontroll- und Prüfrechte (Ziffer 12) sowie die Rechte bei Änderungen der Unterauftragsverarbeiter (Ziffer 7) zu. Er benennt Regulario einen Ansprechpartner für datenschutzrechtliche Fragen.

(3) Er hält die Datengrenze des § 8 Abs. 3 des Hauptvertrags ein (keine Mandanten-/Kundendaten, keine Daten nach Art. 9 DSGVO, keine Berufsgeheimnisse).

(1) Diese Anlage geht bei Widersprüchen zum Hauptvertrag für die Verarbeitung personenbezogener Daten im Auftrag vor. Im Übrigen gelten die Regelungen des Hauptvertrags (u. a. Haftung § 12, Recht und Gerichtsstand § 15) auch für diese Anlage. Die Haftungsregelungen gelten nur für den Ausgleich zwischen den Parteien; Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben unberührt.

(2) Zwingende gesetzliche Pflichten aus Art. 28 DSGVO bleiben von abweichenden Regelungen unberührt.

Vertraulichkeit und Zugriffskontrolle. Die im Cockpit gespeicherten Inhaltsdaten werden in der EU gespeichert (Datenbank-Region Stockholm, Schweden — Ziffer 7); mögliche Zugriffe aus Drittländern und die dafür geltenden Garantien regelt Ziffer 8. Der Zugriff ist auf Datenbank-Ebene nach dem Grundsatz „standardmäßig verweigert" geregelt: Jede Firma sieht ausschließlich ihre eigenen Daten; jeder Zugriff läuft über geprüfte Serverfunktionen, die Rolle (Firmenleitung) und Lizenz-/Zugangsstatus bei jedem Aufruf prüfen. Beschäftigte ohne Leitungsrolle haben keinen Zugriff auf das Cockpit. Die Anmeldung erfolgt passwortlos über einen per E-Mail zugestellten Anmelde-Link; Betriebs- und Administrations-Schlüssel sind strikt getrennt, Administrations-Zugänge doppelt geschützt.

Trennung. Die Mandanten-Trennung ist durch ein Angriffs-Audit geprüft (12 von 12 Angriffs-Szenarien abgewehrt, Juli 2026). Test- und Produktionsumgebung sind vollständig getrennte Systeme.

Integrität. Alle Verbindungen sind transportverschlüsselt (TLS); die Datenbank ist zusätzlich im Ruhezustand verschlüsselt (AES-256, einschließlich Sicherungen — vertragliche Zusage des Datenbank-Anbieters). Jede Änderung trägt Nutzer- und Zeitstempel; ein Versionsstempel verhindert, dass sich konkurrierende Änderungen still überschreiben. Einwilligungen werden mit Zeitpunkt und Wortlaut-Version dokumentiert.

Datenminimierung. Es werden nur die für den Schulungsnachweis erforderlichen Angaben verarbeitet; eine Leistungs- oder Verhaltensbewertung findet nicht statt (Ziffer 2 Abs. 2). Mandantendaten und besondere Kategorien (Art. 9 DSGVO) sind von der Verarbeitung ausgeschlossen (Ziffer 3 Abs. 2).

Verfügbarkeit. Der Verantwortliche kann seine Nachweis-Mappe jederzeit selbst als PDF exportieren. Missbrauchs- und Überlastschutz sind mehrstufig (Drosselung, Bot-Schutz). Die Datenbank wird durch den Datenbank-Anbieter täglich gesichert (verschlüsselte Backups, einschließlich der Sicherungen); diese Sicherungen ermöglichen eine Wiederherstellung im Fall eines technischen Ausfalls. Der Export der eigenen Nachweis-Mappe (PDF) bleibt dem Verantwortlichen als jederzeitige Selbsthilfe unbenommen und ersetzt keine eigene Datensicherung.

Überprüfung. Die Maßnahmen werden anlassbezogen (bei jeder Systemänderung) und mindestens jährlich überprüft; Sicherheits-Audits sind dokumentiert und werden im Rahmen der Ziffer 12 als Nachweis bereitgestellt.