Allgemeine Geschäftsbedingungen

Präambel

Die infrion GmbH, Siemensstr. 6, 40885 Ratingen (nachfolgend „Infrion“ oder „Anbieter“) bietet mit der „Vertrags-KI“ eine cloudbasierte, speziell auf das Bauwesen ausgerichtete Software-as-a-Service-Lösung (SaaS) an. Mit ihr können Nutzer in natürlicher Sprache Fragen zu Bauverträgen, Rahmenverträgen, Leistungsverzeichnissen (LV) und Nachträgen stellen; die Software beantwortet diese unmittelbar aus den eingespielten Vertragsunterlagen und weist die jeweilige Fundstelle (Dokument, Seite, Paragraf bzw. Absatz) aus.

Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“) regeln die Bereitstellung und Nutzung der Vertrags-KI durch Unternehmen, die sich über die Registrierungsfunktion der Software selbst registrieren (nachfolgend „Kunde“). Anbieter und Kunde werden nachfolgend gemeinsam als „Parteien“ und einzeln als „Partei“ bezeichnet.

§ 1 Geltungsbereich und Vertragsgegenstand

1. (1)Gegenstand dieser AGB ist die Bereitstellung der Software „Vertrags-KI“ (nachfolgend „Software“) als Software-as-a-Service über das Internet durch Infrion an den Kunden gemäß der in Anlage 1 (Leistungsbeschreibung) näher beschriebenen Funktionen.
2. (2)Diese AGB gelten für alle Verträge, die über die Registrierungsfunktion der Software geschlossen werden. Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, Infrion stimmt ihrer Geltung ausdrücklich in Textform zu. Dies gilt auch dann, wenn Infrion die Leistung in Kenntnis solcher Bedingungen vorbehaltlos erbringt.
3. (3)Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern im Sinne des § 13 BGB ist ausgeschlossen. Mit der Registrierung bestätigt der Kunde, dass er in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit handelt.
4. (4)Die Software ermöglicht es dem Kunden insbesondere, zu den eingespielten Bauverträgen, Rahmenverträgen, Leistungsverzeichnissen (LV) und Nachträgen Fragen in natürlicher Sprache (Deutsch oder Englisch) zu stellen. Weitere Sprachen können auf Anfrage hinzugefügt werden. Die Software beantwortet diese Fragen aus dem Inhalt der eingespielten Dokumente und weist zu jeder Antwort die Fundstelle (Dokument, Seite, Paragraf bzw. Absatz) aus. Der konkrete Funktionsumfang richtet sich nach der in Anlage 1 näher beschriebenen Leistungsbeschreibung.
5. (5)Infrion stellt dem Kunden die Software während der Vertragslaufzeit über das Internet zur Nutzung bereit; eine Installation auf den Systemen des Kunden erfolgt nicht, soweit nicht ausdrücklich etwas anderes vereinbart ist.
6. (6)Kann eine gestellte Frage nicht oder nicht vollständig aus den eingespielten Dokumenten beantwortet werden, weist die Software dies aus, anstatt eine Antwort zu vermuten (Treueprinzip). Dies entbindet den Kunden nicht von der in § 4 Abs. 5 geregelten eigenen Prüfpflicht.

§ 2 Registrierung, Konto und Nutzerverwaltung

1. (1)Der Vertrag kommt zustande, wenn der Kunde das Registrierungsformular vollständig ausfüllt, diese AGB akzeptiert und die im Anschluss per E-Mail versandte Bestätigung seiner E-Mail-Adresse abschließt. Ein Anspruch auf Registrierung besteht nicht; Infrion ist berechtigt, eine Registrierung ohne Angabe von Gründen abzulehnen.
2. (2)Der Kunde hat die bei der Registrierung abgefragten Angaben wahrheitsgemäß und vollständig zu machen und bei Änderungen unverzüglich zu aktualisieren. Die registrierende natürliche Person sichert zu, zur Vertretung des angegebenen Unternehmens berechtigt zu sein.
3. (3)Der Kunde hat Zugangsdaten (Benutzernamen, Passwörter) vertraulich zu behandeln und vor unbefugtem Zugriff Dritter zu schützen. Bei Verdacht auf Missbrauch informiert der Kunde Infrion unverzüglich.
4. (4)Der Kunde verwaltet die für ihn angelegte Organisation eigenverantwortlich. Er legt Arbeitsbereiche, Projekte, Rollen und Berechtigungen fest und lädt weitere Nutzer ein. Der Kunde steht für das Verhalten der von ihm eingeladenen Nutzer wie für eigenes Verhalten ein.
5. (5)Infrion ist berechtigt, den Zugang zu sperren, wenn ein konkreter Verdacht auf eine erhebliche Verletzung dieser AGB, auf missbräuchliche Nutzung oder auf eine Gefährdung der Sicherheit der Software besteht. Infrion informiert den Kunden über die Sperrung und hebt sie auf, sobald der Grund entfallen ist. Das Recht zur Sperrung nach § 5 Abs. 6 und Abs. 7 bleibt unberührt.

§ 3 Nutzungsrechte

1. (1)Infrion räumt dem Kunden für die Dauer dieses Vertrages das nicht ausschließliche, nicht übertragbare und nicht unterlizenzierbare Recht ein, die Software im vereinbarten Umfang über eine Internetverbindung zu nutzen.
2. (2)Die Nutzung ist auf eigene unternehmerische Zwecke des Kunden beschränkt. Eine Nutzung durch Dritte außerhalb des Kundenunternehmens sowie eine Unterlizenzierung, Vermietung oder sonstige entgeltliche oder unentgeltliche Weitergabe der Nutzungsrechte ist ohne vorherige schriftliche Zustimmung von Infrion unzulässig.
3. (3)Sämtliche Rechte an der Software, insbesondere Urheber-, Patent- und sonstige Schutzrechte sowie an den zugrunde liegenden KI-Modellen und Algorithmen, verbleiben ausschließlich bei Infrion bzw. deren Lizenzgebern.
4. (4)Die Rechte an den vom Kunden eingespielten Vertragsunterlagen und den daraus erzeugten Auswertungen verbleiben beim Kunden. Infrion erhält hieran nur die zur Vertragsdurchführung erforderlichen Nutzungsrechte.

§ 4 Pflichten des Kunden

1. (1)Der Kunde spielt die zu verarbeitenden Vertragsunterlagen (u. a. Bauverträge, Rahmenverträge, Leistungsverzeichnisse, Nachträge und zugehörige Anlagen) selbst über die Upload-Funktion der Software ein; die Software ist insoweit als Self-Service nutzbar. Die technische Aufbereitung (u. a. Parsing, Kontextualisierung, Maskierung, Einbettung) erfolgt automatisiert durch Infrion. Eine Übernahme der Einspielung größerer Bestände durch Infrion bedarf einer gesonderten Vereinbarung.
2. (2)Der Kunde ist für die Einrichtung und Aufrechterhaltung einer geeigneten Internetverbindung sowie der erforderlichen Hard- und Software auf seiner Seite selbst verantwortlich.
3. (3)Der Kunde verpflichtet sich, die Software nicht zu Zwecken zu nutzen, die gegen geltendes Recht, Rechte Dritter oder die vereinbarten Nutzungsbedingungen verstoßen. Untersagt sind insbesondere Versuche, Sicherheitsmechanismen zu umgehen, die Software automatisiert in einem Umfang abzufragen, der den bestimmungsgemäßen Betrieb beeinträchtigt, oder aus der Software Modelle oder Datenbestände zu extrahieren.
4. (4)Der Kunde ist für die Rechtmäßigkeit der an Infrion übergebenen Dokumente allein verantwortlich. Er stellt sicher, dass er zur Übermittlung der Unterlagen und der darin enthaltenen personenbezogenen Daten berechtigt ist.
5. (5)Der Kunde ist verpflichtet, die ihm von der Software mit Fundstelle ausgewiesenen Antworten vor deren Verwendung anhand der zitierten Fundstelle bzw. im Zweifel anhand des Originaldokuments zu überprüfen, und ist für deren inhaltliche Verwendung im eigenen Unternehmen allein verantwortlich.
6. (6)Der Kunde legt in eigener Verantwortung fest, welche Rollen innerhalb seiner Organisation Klartext-Antworten und welche Rollen ausschließlich maskierte Antworten (z. B. ohne Beträge, Kalkulationen, Nachunternehmerlöhne, personenbezogene Daten) einsehen können. Infrion stellt hierfür die technischen Mittel zur Konfiguration von Rollen und Maskierungsregeln gemäß Anlage 1 bereit, trifft jedoch keine inhaltliche Entscheidung darüber, welche Rolle welche Informationen erhalten soll, und haftet nicht für Schäden, die aus einer vom Kunden fehlerhaft vorgenommenen Rollen- oder Berechtigungskonfiguration entstehen.

§ 5 Entgelte

1. (1)Nach Abschluss der Registrierung kann der Kunde die Software dreißig (30) Tage lang unentgeltlich und im vollen Funktionsumfang nutzen (Testphase). Die Testphase besteht je Organisation nur einmal; das Anlegen weiterer Arbeitsbereiche begründet keine neue Testphase. Infrion kann die Testphase im Einzelfall verlängern. Während der Testphase entsteht keine Zahlungspflicht; die Testphase geht nicht automatisch in ein entgeltliches Abonnement über.
2. (2)Nach Ablauf der Testphase setzt die Nutzung eines Arbeitsbereichs voraus, dass der Kunde für diesen Arbeitsbereich entgeltliche Nutzerplätze (nachfolgend „Plätze“) erwirbt und den Nutzern zuweist. Jeder Nutzer benötigt je Arbeitsbereich einen Platz. Infrion bietet zwei Platzarten an: den Basic-Platz (Zugang zur Software; der Vertrags-Chat bezieht sich jeweils auf ein Projekt) und den Pro-Platz (zusätzlich projektübergreifende Auswertung im Vertrags-Chat über mehrere Projekte).
3. (3)Das Entgelt beträgt 49,00 EUR je Basic-Platz und 99,00 EUR je Pro-Platz, jeweils pro Monat. Maßgeblich sind die zum Zeitpunkt der Bestellung in der Software ausgewiesenen Preise. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
4. (4)Der Kunde bestellt Plätze über den Bereich „Abrechnung“ der Software; mit Abschluss des Bestellvorgangs kommt das entgeltliche Abonnement für den betreffenden Arbeitsbereich zustande. Das Entgelt wird monatlich im Voraus abgerechnet und ist mit Rechnungsstellung fällig. Bestellt der Kunde während der Testphase, beginnt der erste Abrechnungszeitraum mit deren Ende. Die Zahlung erfolgt per Kreditkarte oder SEPA-Lastschrift über den in Anlage 2 Ziffer 6 genannten Zahlungsdienstleister; Rechnungen werden elektronisch bereitgestellt.
5. (5)Der Kunde kann die Anzahl der Plätze jederzeit erhöhen; zusätzliche Plätze stehen sofort zur Verfügung und werden für den laufenden Abrechnungszeitraum anteilig sofort berechnet. Eine Verringerung ist nur um nicht zugewiesene Plätze möglich und wird zum Ende des laufenden Abrechnungszeitraums wirksam; eine Erstattung bereits gezahlter Entgelte erfolgt nicht.
6. (6)Kann ein fälliges Entgelt nicht eingezogen werden, informiert Infrion den Kunden per E-Mail und wiederholt den Einzug. Ist der Rückstand vierzehn (14) Tage nach der ersten Mitteilung nicht ausgeglichen, ist Infrion berechtigt, den Zugang zu dem betreffenden Arbeitsbereich bis zum Ausgleich zu sperren. Die Daten des Kunden bleiben während der Sperrung erhalten; mit Zahlungseingang wird der Zugang unverzüglich wiederhergestellt. Die Zahlungspflicht besteht während der Sperrung fort; gesetzliche Ansprüche wegen Zahlungsverzugs (insbesondere § 288 BGB) bleiben unberührt.
7. (7)Erwirbt der Kunde bis zum Ablauf der Testphase keine Plätze oder endet das Abonnement, ist der Zugang zu dem betreffenden Arbeitsbereich gesperrt, bis Plätze erworben werden. Nutzer ohne zugewiesenen Platz können sich anmelden, die Inhalte des Arbeitsbereichs jedoch nicht nutzen. Die Daten des Kunden bleiben erhalten; § 6 Abs. 6 und § 11 bleiben unberührt.
8. (8)Änderungen der Entgelte richten sich nach § 12 Abs. 3.
9. (9)Weitere entgeltliche Leistungen — insbesondere zugesicherte Reaktionszeiten, die Übernahme der Einspielung größerer Dokumentenbestände oder eine Abrechnung außerhalb des in der Software vorgesehenen Verfahrens — bedürfen einer gesonderten Vereinbarung zwischen den Parteien. Eine solche Vereinbarung geht den Absätzen 2 bis 7 vor.

§ 6 Datenschutz, Datensicherheit und Hosting

1. (1)Infrion verarbeitet personenbezogene Daten im Rahmen dieses Vertrages ausschließlich im Einklang mit der Datenschutz-Grundverordnung (DSGVO) sowie den einschlägigen nationalen Datenschutzgesetzen. Infrion sichert dem Kunden die DSGVO-konforme Verarbeitung sämtlicher im Rahmen der Nutzung der Software verarbeiteten Daten zu.
2. (2)Soweit der Kunde personenbezogene Daten mittels der Software verarbeitet und Infrion hierbei als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig wird, gilt der als Anlage 2 beigefügte Auftragsverarbeitungsvertrag (AVV), der Bestandteil dieses Vertrages ist. Der AVV geht diesen AGB im Falle von Widersprüchen hinsichtlich der Datenverarbeitung vor.
3. (3)Sämtliche im Rahmen der Nutzung der Software verarbeiteten und gespeicherten Vertrags- und Inhaltsdaten werden ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR) gehostet. Eine Übermittlung dieser Daten in Drittländer außerhalb der EU/des EWR findet nicht statt, es sei denn, dies wird zwischen den Parteien ausdrücklich schriftlich vereinbart. Ausgenommen ist allein die Abwicklung entgeltlicher Leistungen (§ 5): der hierfür eingesetzte Zahlungsdienstleister verarbeitet Zahlungs- und Rechnungsdaten — nicht jedoch Vertragsinhalte — auch in den USA; die Einzelheiten und die Garantien nach Kapitel V DSGVO sind in Anlage 2 Ziffer 6 ausgewiesen. Das Hosting erfolgt auf der von Infrion bereitgestellten und betriebenen Cloud-Infrastruktur; ein Hosting auf einer eigenen Infrastruktur des Kunden bedarf einer gesonderten Vereinbarung.
4. (4)Infrion trifft angemessene technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO zum Schutz der verarbeiteten Daten vor unbefugtem Zugriff, Verlust oder Zerstörung. Die TOM sind dokumentiert, auditierbar und als Anlage 3 beigefügt.
5. (5)Infrion nutzt die vom Kunden bereitgestellten Vertrags-, LV- und sonstigen Unterlagen sowie die hierauf bezogenen Nutzungsdaten ausschließlich zur Erbringung der gegenüber dem Kunden vertraglich vereinbarten Leistungen. Eine Nutzung dieser Daten zum Training oder Fine-Tuning von KI-Modellen, die anderen Kunden oder Dritten zugutekommen, sowie eine Weitergabe an Anbieter von KI-Basismodellen zu Trainingszwecken, ist ausgeschlossen.
6. (6)Nach Beendigung des Vertrages löscht Infrion sämtliche Daten des Kunden, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Die Einzelheiten regelt Anlage 2.

§ 7 Verfügbarkeit und Support

1. (1)Infrion ist bemüht, eine Verfügbarkeit der Software von 99,0 % im Jahresmittel zu gewährleisten. Ausgenommen hiervon sind Zeiten planmäßiger Wartungsarbeiten, die Infrion dem Kunden nach Möglichkeit rechtzeitig im Voraus ankündigt, sowie Störungen, die außerhalb des Einflussbereichs von Infrion liegen (z. B. höhere Gewalt, Ausfälle von Vorlieferanten).
2. (2)Bei Störungen bietet Infrion Support per E-Mail an info@infrion.de an. Zugesicherte Reaktions- und Bearbeitungszeiten bestehen nur, soweit sie gesondert vereinbart sind (§ 5 Abs. 9).

§ 8 Gewährleistung

1. (1)Infrion gewährleistet, dass die Software im Wesentlichen entsprechend der Leistungsbeschreibung (Anlage 1) funktioniert.
2. (2)Bei Mängeln ist Infrion zunächst zur Nacherfüllung berechtigt, insbesondere durch Fehlerbehebung oder Bereitstellung einer funktionsfähigen Version innerhalb angemessener Frist. Schlägt die Nacherfüllung fehl, stehen dem Kunden die gesetzlichen Rechte zu.
3. (3)Für Beeinträchtigungen, die auf einer unsachgemäßen Nutzung der Software durch den Kunden, auf von diesem eingesetzter Hard- oder Software oder auf sonstigen von Infrion nicht zu vertretenden Umständen beruhen, übernimmt Infrion keine Gewährleistung.
4. (4)Infrion prüft jedes Release der Software vor dessen Bereitstellung anhand eines festgelegten Testkatalogs, der unter anderem die inhaltliche Treue der Antworten zu den eingespielten Dokumenten (Faithfulness), die Korrektheit der Fundstellenangaben sowie die Wirksamkeit der rollenbasierten Maskierung umfasst. Eine Garantie für die inhaltliche Richtigkeit jeder einzelnen von der Software erzeugten Antwort im Einzelfall ist damit nicht verbunden; § 9 Abs. 4 bleibt unberührt.

§ 9 Haftung

1. (1)Infrion haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, die auf einer vorsätzlichen oder fahrlässigen Pflichtverletzung von Infrion beruhen, sowie für sonstige Schäden, die auf einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung von Infrion beruhen.
2. (2)Für Schäden aufgrund einfacher Fahrlässigkeit haftet Infrion nur, sofern eine wesentliche Vertragspflicht (Kardinalpflicht) verletzt wird, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde vertrauen durfte. In diesem Fall ist die Haftung auf den vorhersehbaren, typischerweise eintretenden Schaden begrenzt.
3. (3)Die Haftung von Infrion für mittelbare Schäden, entgangenen Gewinn oder sonstige Folgeschäden ist — soweit gesetzlich zulässig — ausgeschlossen, es sei denn, es liegt Vorsatz oder grobe Fahrlässigkeit vor.
4. (4)Haftungsausschluss für KI-generierte Ergebnisse: Die Software beantwortet in natürlicher Sprache gestellte Fragen zu Bauverträgen, Rahmenverträgen, Leistungsverzeichnissen und Nachträgen auf Grundlage der eingespielten Dokumente und weist zu jeder Antwort die Fundstelle (Dokument, Seite, Paragraf bzw. Absatz) aus. Trotz dieser Fundstellenangabe und der in § 8 Abs. 4 beschriebenen Qualitätsprüfung kann nicht ausgeschlossen werden, dass Antworten im Einzelfall unvollständig, fehlerhaft oder unzutreffend sind oder den Kontext einer Regelung nicht vollständig wiedergeben. Die Antworten stellen keine Rechtsberatung dar und ersetzen nicht die Prüfung durch fachlich qualifiziertes Personal oder eine rechtliche Beratung. Der Kunde ist verpflichtet, die von der Software generierten Antworten anhand der ausgewiesenen Fundstelle bzw. des Originaldokuments vor deren Verwendung in eigener Verantwortung zu überprüfen. Eine Haftung von Infrion für Entscheidungen, die der Kunde auf Basis der von der Software erzeugten Antworten trifft, ist — vorbehaltlich der Absätze 1 und 2 — ausgeschlossen.
5. (5)Die vorstehenden Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeiter und Erfüllungsgehilfen von Infrion. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.

§ 10 Vertraulichkeit

1. (1)Die Parteien verpflichten sich, alle im Rahmen dieses Vertrages erlangten vertraulichen Informationen der jeweils anderen Partei streng vertraulich zu behandeln und nur im Rahmen der Vertragsdurchführung zu nutzen.
2. (2)Diese Verpflichtung gilt für die Dauer des Vertrages und für einen Zeitraum von drei (3) Jahren nach dessen Beendigung fort. Ausgenommen sind Informationen, die öffentlich bekannt sind oder werden, ohne dass dies auf einer Pflichtverletzung der empfangenden Partei beruht, oder die aufgrund gesetzlicher Verpflichtung offengelegt werden müssen.

§ 11 Vertragslaufzeit und Kündigung

1. (1)Der Vertrag beginnt mit dem Abschluss der Registrierung gemäß § 2 Abs. 1 und läuft auf unbestimmte Zeit.
2. (2)Der Vertrag kann von beiden Parteien jederzeit ohne Einhaltung einer Frist zum Ende eines Kalendermonats gekündigt werden. Die vom Kunden veranlasste Löschung seiner Organisation in der Software gilt als Kündigung zum Zeitpunkt der Löschung.
3. (3)Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für Infrion insbesondere vor, wenn der Kunde die Software trotz Abmahnung vertragswidrig nutzt.
4. (4)Kündigungen bedürfen der Textform; eine E-Mail an info@infrion.de genügt.
5. (5)Mit Beendigung des Vertrages endet das Nutzungsrecht des Kunden an der Software. § 6 Abs. 6 (Löschung der Daten) bleibt unberührt.
6. (6)Ein entgeltliches Abonnement nach § 5 kann der Kunde jederzeit zum Ende des laufenden Abrechnungszeitraums im Bereich „Abrechnung“ der Software kündigen; diese Erklärung genügt der Form nach Absatz 4. Bis zum Ende des Abrechnungszeitraums bleiben die Plätze nutzbar; bereits gezahlte Entgelte werden nicht erstattet. Die Kündigung des Abonnements lässt den Vertrag im Übrigen unberührt. Löscht der Kunde einen Arbeitsbereich oder seine Organisation, endet das zugehörige Abonnement mit der Löschung.

§ 12 Änderungen der Leistungen und dieser Bedingungen

1. (1)Infrion ist berechtigt, die Software im Rahmen der technischen Weiterentwicklung anzupassen, zu erweitern oder einzelne Funktionen zu ändern, soweit dies für den Kunden zumutbar ist und der vereinbarte Kernfunktionsumfang gemäß Anlage 1 nicht wesentlich beeinträchtigt wird.
2. (2)Wesentliche Änderungen des Leistungsumfangs, die zu einer erheblichen Beeinträchtigung der vertraglich vereinbarten Nutzung führen, werden dem Kunden mit angemessener Vorlaufzeit angekündigt. In diesem Fall steht dem Kunden ein Sonderkündigungsrecht zu.
3. (3)Infrion ist berechtigt, diese AGB mit Wirkung für die Zukunft zu ändern, soweit dies zur Anpassung an geänderte rechtliche oder technische Rahmenbedingungen oder an eine geänderte Leistung erforderlich ist. Infrion kündigt die Änderung mindestens sechs (6) Wochen vor ihrem Wirksamwerden in Textform (E-Mail an die hinterlegte Adresse) an und weist auf das Widerspruchsrecht und die Folgen eines Widerspruchs hin. Widerspricht der Kunde nicht innerhalb dieser Frist, gilt die Änderung als angenommen. Widerspricht der Kunde, ist jede Partei berechtigt, den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen; bis dahin gelten die bisherigen Bedingungen fort.

§ 13 Schlussbestimmungen

1. (1)Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
2. (2)Ist der Kunde Kaufmann im Sinne des HGB, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag der Sitz von Infrion in Ratingen. Im Übrigen bleiben die gesetzlichen Gerichtsstände unberührt.
3. (3)Individuelle Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für einen Verzicht auf dieses Textformerfordernis. § 12 Abs. 3 bleibt unberührt.
4. (4)Eine Aufrechnung durch den Kunden gegenüber Forderungen von Infrion ist nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen zulässig.
5. (5)Sollte eine Bestimmung dieses Vertrages unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.
6. (6)Bestandteil dieses Vertrages sind folgende Anlagen: Anlage 1 (Leistungsbeschreibung), Anlage 2 (Auftragsverarbeitungsvertrag), Anlage 3 (Technische und organisatorische Maßnahmen). Bei Widersprüchen zwischen den Anlagen und diesen AGB gehen die Anlagen hinsichtlich der jeweils dort geregelten Spezialthemen vor.

Anlage 1 – Leistungsbeschreibung

1. Funktionen

Die Software „Vertrags-KI“ umfasst insbesondere folgende Funktionen:

• Frage-Antwort-Funktion in natürlicher Sprache (Deutsch/Englisch) zu den eingespielten Bauverträgen, Rahmenverträgen, Leistungsverzeichnissen und Nachträgen, mit Angabe der Fundstelle (Dokument, Seite, Paragraf/Absatz) zu jeder Antwort;
• hybride Suche (semantische Suche und Volltextsuche), die relevante Klauseln auch bei abweichender Wortwahl auffindet;
• automatische Erkennung und Verknüpfung von Querverweisen zwischen Vertragsdokumenten (z. B. Ziffern, Paragrafen, Anlagen, LV-Positionen);
• strukturierte Aufbereitung extrahierter Vertragsdaten (u. a. Fristen, Vertragswerte, Klauseln) sowie ein Vergleich mehrerer Verträge entlang gemeinsamer Themen;
• rollenbasierte Maskierung personenbezogener Daten und vertraulicher Konditionen (z. B. Auftragssumme, Kalkulation, Nachunternehmerlöhne, Bankverbindungen), deren Zuordnung zu Rollen der Kunde gemäß § 4 Abs. 6 selbst konfiguriert;
• Treueprinzip: Ist eine Antwort nicht aus den eingespielten Dokumenten ableitbar, weist die Software dies aus, anstatt eine Antwort zu vermuten.

2. Onboarding-Prozess

Der Kunde spielt die zu verarbeitenden Vertragsunterlagen (Bestandsverträge, Leistungsverzeichnisse, Nachträge und Anlagen) über die Upload-Funktion der Software ein. Die Software führt die technische Aufbereitung automatisiert durch: Parsing (Erkennung von Struktur, Tabellen und Klauseln), Kontextualisierung (Zuordnung von Bezügen und Querverweisen), Maskierung (Umsetzung der vom Kunden konfigurierten Rollen- und Maskierungslogik gemäß § 4 Abs. 6) sowie Einbettung (semantische und Volltext-Indexierung). Nach Abschluss dieser Schritte ist die Software zur Beantwortung von Fragen mit Fundstellenangabe bereit. Die Dauer der Aufbereitung hängt vom Umfang und der Qualität der eingespielten Dokumente ab; es handelt sich um einen Richtwert und keine zugesicherte Frist.

Anlage 2 – Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag wird zwischen dem Kunden als Verantwortlichem und der infrion GmbH als Auftragsverarbeiter geschlossen. Er wird mit Annahme dieser AGB wirksam; das elektronische Format genügt dem Formerfordernis des Art. 28 Abs. 9 DSGVO.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten, die in den vom Kunden eingespielten Vertragsunterlagen enthalten sind oder bei der Nutzung der Software durch die Nutzer des Kunden anfallen. Art und Zweck: Speicherung, strukturelle Aufbereitung, Maskierung, Indexierung und KI-gestützte Auswertung dieser Unterlagen zur Beantwortung von Fragen mit Fundstellenangabe sowie Bereitstellung der zugehörigen Nutzer-, Rollen- und Protokollfunktionen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages zuzüglich der in Ziffer 10 geregelten Löschfristen.

2. Datenarten und Kategorien betroffener Personen

• Datenarten: Namen und Funktionen von Ansprechpartnern, Unternehmens- und Kontaktdaten, E-Mail-Adressen, Bankverbindungen, Beträge, Kalkulations- und Lohndaten sowie sonstige in Vertragsdokumenten enthaltene personenbezogene Angaben; ferner Konto-, Rollen-, Protokoll- und Nutzungsdaten der Nutzer des Kunden.
• Kategorien betroffener Personen: Beschäftigte und Ansprechpartner des Kunden, seiner Auftraggeber, Auftragnehmer, Nachunternehmer und sonstiger in den Vertragsunterlagen benannter Beteiligter.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Kunde spielt solche Daten nicht ein.

3. Weisungsbindung

Infrion verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen können in Textform oder über die Funktionen der Software (z. B. Konfiguration von Rollen, Maskierung, Löschung) erteilt werden. Ist Infrion der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert Infrion den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt; insbesondere werden die Daten nicht zum Training oder Fine-Tuning von KI-Modellen genutzt (§ 6 Abs. 5).

4. Vertraulichkeit

Infrion verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass diese über die einschlägigen Datenschutzpflichten belehrt sind. Der Zugriff ist auf das für die Aufgabenerfüllung Erforderliche beschränkt (Need-to-know).

5. Technische und organisatorische Maßnahmen

Infrion trifft die in Anlage 3 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Kunde stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu (Art. 28 Abs. 2 DSGVO). Infrion schließt mit jedem von ihnen einen Vertrag mit Verpflichtungen, die den hier vereinbarten entsprechen.

Infrion informiert den Kunden über beabsichtigte Änderungen dieser Liste mindestens vier (4) Wochen vor deren Wirksamwerden in Textform. Der Kunde kann der Änderung aus wichtigem, datenschutzbezogenem Grund widersprechen; kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht dem Kunden ein Sonderkündigungsrecht zu.

7. Unterstützung des Verantwortlichen

Infrion unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO sowie bei der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person unmittelbar an Infrion, leitet Infrion das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

8. Verletzung des Schutzes personenbezogener Daten

Infrion informiert den Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen bereit.

9. Nachweise und Kontrollen

Infrion weist die Einhaltung der Pflichten aus diesem AVV auf Anfrage nach, insbesondere durch die Dokumentation der Maßnahmen nach Anlage 3 sowie durch die Zertifikate der eingesetzten Rechenzentren. Darüber hinausgehende Überprüfungen kann der Kunde nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von Infrion ist.

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrages löscht Infrion die verarbeiteten Daten einschließlich der Dokumente, der daraus erzeugten Textabschnitte, Einbettungen und Auswertungen binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf vorheriges Verlangen des Kunden gibt Infrion die Daten zuvor in einem gängigen Format heraus. Sicherungskopien werden im Rahmen des regulären Backup-Zyklus (30 Tage) überschrieben.

11. Sonstiges

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrages. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV vor.

Anlage 3 – Technische und organisatorische Maßnahmen (TOM)

Zum Auftragsverarbeitungsvertrag (Anlage 2) gemäß Art. 28 DSGVO – Beschreibung der Maßnahmen nach Art. 32 DSGVO.

• Auftragnehmer (Auftragsverarbeiter): infrion GmbH, Siemensstr. 6, 40885 Ratingen
• Anwendung: Infrion Vertrags-KI – KI-gestützte Analyse von Bauverträgen (PDF)
• Datenschutz-Ansprechpartner: Phillip Reinartz (reinartz@infrion.de)
• Hosting: Microsoft Azure, Rechenzentren innerhalb der EU (Westeuropa und Deutschland West-Zentral)

Verarbeitete Daten: Vertragsdokumente (PDF) sowie Nutzer-/Organisationsdaten. Enthaltene personenbezogene Daten (u. a. Namen, Unternehmen, E-Mail, IBAN, Beträge, Kalkulations-/Lohndaten) werden vor Indizierung und KI-Verarbeitung automatisiert maskiert (siehe Ziffer 6).

1. Vertraulichkeit

• Zutritt: Verarbeitung ausschließlich in zertifizierten Azure-Rechenzentren (EU). Physische Sicherheit über die Azure-Zertifizierungen (ISO/IEC 27001, 27017, 27018, SOC 1/2/3, C5). Ein eigener physischer Zugriff des Auftragnehmers besteht nicht.
• Zugang: Authentifizierung per E-Mail und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Passwort-Setup und -Reset erfolgen über zeitlich befristete Einmal-Token. Server-zu-Server-Schnittstellen (Parser, Cron) nutzen geteilte Geheimnisse mit zeitkonstantem Vergleich. Sitzungen verfallen automatisch.
• Zugriff: Feingranulares Rollen-/Berechtigungsmodell; jede Aktion ist an eine Berechtigung gebunden. Trennung der Ebenen Betreiber / Organisation / Arbeitsbereich nach dem Need-to-know-Prinzip.
• Trennungskontrolle (Mandantentrennung): Strikte Hierarchie Organisation → Arbeitsbereich → Projekt/Team. Die Mandantenbindung wird auf Datenbankebene (Trigger) und Anwendungsebene (organisations- und arbeitsbereichsgebundene Abfragen) erzwungen; getrennte Umgebungen für Entwicklung und Produktion.
• Pseudonymisierung: siehe Ziffer 6.

2. Integrität

• Übertragung: ausschließlich TLS/HTTPS. Dokumenten-Zugriff nur über zeitlich befristete, signierte URLs.
• Verschlüsselung im Ruhezustand: Datenbank und Objektspeicher werden durch Azure standardmäßig verschlüsselt (AES-256).
• Eingabekontrolle: vollständige Validierung an allen externen Schnittstellen; Idempotenz sicherheitsrelevanter Vorgänge.
• Nachvollziehbarkeit: Jede sicherheits- und mandantenrelevante Änderung wird protokolliert (Audit-Log: Wer/Was/Wann); Betreiber-Aktionen werden gesondert gekennzeichnet.

3. Verfügbarkeit und Belastbarkeit

• Backup: Azure PostgreSQL mit täglichen Backups, Aufbewahrung 30 Tage, Point-in-Time-Recovery. Der Objektspeicher wird ebenfalls anbieterseitig gesichert (redundante Speicherung, Point-in-Time-/Soft-Delete-Wiederherstellung).
• Belastbarkeit: redundante Azure-Infrastruktur; bedarfsgesteuerte Skalierung der Verarbeitungskomponenten. Verarbeitungsaufträge werden atomar beansprucht, sind idempotent wiederholbar; abgestürzte Jobs werden automatisch neu zugestellt.

4. Regelmäßige Überprüfung

• Automatisierte Qualitäts- und Sicherheits-Gates in der Continuous Integration (Linting, strikte Typprüfung, Tests, Migrations-Guards).
• Geheimnisse ausschließlich über zentrale, geprüfte Konfiguration – kein Klartext im Code.
• Überprüfung und Aktualisierung dieser Maßnahmen jährlich sowie bei wesentlichen Änderungen.

5. Auftragskontrolle

Unterauftragsverarbeiter werden nur auf Grundlage eines Vertrages nach Art. 28 DSGVO, unter Weisungsbindung und bei gleichwertigem Datenschutzniveau eingesetzt. Die Verarbeitung der Vertrags- und Inhaltsdaten erfolgt ausschließlich in Rechenzentren innerhalb der EU; lediglich Zahlungs- und Rechnungsdaten werden vom Zahlungsdienstleister auch in den USA verarbeitet, abgesichert durch die in Anlage 2 Ziffer 6 ausgewiesenen Garantien. Die abschließende Liste der Unterauftragsverarbeiter ist in Anlage 2, Ziffer 6 geregelt.

6. Pseudonymisierung / Maskierung (Data Protection by Design)

Personenbezogene und sensible Inhalte werden vor Indizierung, Einbettung und Weitergabe an KI-Dienste automatisiert maskiert (Erkennung per Named-Entity-Recognition, Regelwerk und LLM-Durchlauf). Geschlossenes Platzhalter-Vokabular: [PERSON] [UNTERNEHMEN] [EMAIL] [IBAN] [BETRAG] [KALKULATION] [LOHN]. Suche und Einbettungen nutzen ausschließlich maskierte Texte; unmaskierte Inhalte sind nur Nutzern mit ausdrücklicher Berechtigung zugänglich.

7. Löschung und Aufbewahrung

Automatisierte, periodische Löschläufe:

• Vertragsdokumente (PDF und Textabschnitte): Löschung bzw. Rückgabe binnen 30 Tagen nach Vertragsende bzw. auf Weisung.
• Gelöschte Organisationen und Arbeitsbereiche: harte Löschung nach 30 Tagen.
• Audit-/Aktivitätsereignisse: 90 Tage.
• Verarbeitungsaufträge des Parsers: 7 Tage nach Abschluss.
• Sitzungen und Token: nach Ablauf · Idempotenz-Datensätze: 24 Stunden.