Data processing agreement

Vertragsparteien

Auftragsverarbeiter
LittVest GmbH
Hallesche Str. 5a
10963 Berlin
Deutschland

Verantwortlicher
Der Kunde nach Maßgabe des Nutzungsvertrags über ReportNow!.

Präambel Gegenstand dieses Vertrags

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Der Kunde (nachfolgend „Verantwortlicher“) nutzt die Anwendung ReportNow!; die LittVest GmbH (nachfolgend „Auftragsverarbeiter“) betreibt sie und verarbeitet dabei Daten ausschließlich für ihn.

Er ergänzt den zugrunde liegenden Nutzungsvertrag. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag vor.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, die der Auftragsverarbeiter zu eigenen Zwecken vornimmt – etwa die Buchung eines Demo-Termins, der Fragebogen dazu und die Registrierung eines Testzugangs. Dafür ist die LittVest GmbH selbst Verantwortliche; Näheres steht in der Datenschutzerklärung.

§ 1 Gegenstand, Dauer und Beendigung

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche in die Anwendung einbringt oder dort erzeugen lässt, zum Zweck der Bereitstellung des Finanzreportings nach Anlage 1.

Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf. Als Nutzungsvertrag gilt auch die Testphase; endet sie, ohne dass ein Nutzungsvertrag folgt, endet dieser Vertrag mit ihr.

Der Verantwortliche kann diesen Vertrag jederzeit kündigen, wenn der Auftragsverarbeiter gegen datenschutzrechtliche Pflichten verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt.

§ 2 Art und Umfang der Verarbeitung

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland ist nur mit vorheriger Zustimmung des Verantwortlichen und unter den Voraussetzungen der Art. 44 bis 49 DSGVO zulässig.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung der Anwendung durch den Verantwortlichen sind die Weisung; darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

In der Anwendung liest der Auftragsverarbeiter Daten des Verantwortlichen nur, wenn dieser es unter Stammdaten › Einblick freigibt – etwa damit eine Frage nachvollzogen werden kann. Die Freigabe gilt 1, 3, 7 oder 14 Tage, erlaubt nur Lesen, kann Namen von Kunden und Personen durch Pseudonyme ersetzen und lässt sich jederzeit beenden; sie und der erste und letzte Zugriff werden protokolliert. Zugriffe auf den Server, die Betrieb, Sicherung und Behebung von Störungen erfordern, bleiben davon unberührt.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Daten des Verantwortlichen werden insbesondere nicht zum Training von Modellen künstlicher Intelligenz verwendet.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter macht die eingesetzten Personen vor Aufnahme der Tätigkeit mit den für sie geltenden Datenschutzvorschriften vertraut.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Der Stand bei Vertragsschluss ist in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 DSGVO. Die bei Vertragsschluss eingesetzten sind in Anlage 3 aufgeführt und damit genehmigt.

Beabsichtigte Änderungen – Hinzuziehung oder Austausch – teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, darf er den Nutzungsvertrag zum geplanten Wirksamwerden der Änderung kündigen, wenn sich keine andere Lösung findet.

Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und legt ihnen vertraglich dieselben Pflichten auf, die ihn nach diesem Vertrag treffen. Er bleibt dem Verantwortlichen gegenüber für deren Verhalten verantwortlich.

Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Bezug zur Verarbeitung personenbezogener Daten des Verantwortlichen, etwa Telekommunikations- oder Reinigungsleistungen.

§ 7 Künstliche Intelligenz

Die Anwendung kann Berichte durch ein Sprachmodell kommentieren lassen. Diese Funktion steht im Auslieferungszustand auf „Nicht erlaubt“ und wird erst wirksam, wenn der Verantwortliche sie unter Stammdaten › KI-Kommentar ausdrücklich freigibt.

Vor der Freigabe kann der Verantwortliche den vollständigen Text einsehen, der an das Modell übergeben würde. Er entscheidet dabei über die Tiefe:

• „Zahlen und Positionen“: die Zeilenbezeichnungen und Beträge des Berichts; zu einem auffälligen Monat außerdem einzelne Buchungen mit Betrag, Datum und Konto, im Vertriebsbericht einzelne Rechnungspositionen mit Betrag, Datum und Artikel. Kundennamen werden auf dieser Stufe durch Pseudonyme ersetzt; Buchungstexte, Beleg- und Rechnungsnummern werden nicht übergeben.
• „auch Buchungen mit Text“: zusätzlich Buchungstexte, Beleg- und Rechnungsnummern sowie Kundennamen im Klartext. Buchungstexte enthalten Namen von Lieferanten und, etwa auf Aufwandskonten, auch Namen von Personen, zum Beispiel von Beschäftigten.

Für Nutzer, denen die Anwendung Namen nur als Pseudonym zeigt, gilt höchstens die Stufe „Zahlen und Positionen“, unabhängig von der Freigabe.

Das Sprachmodell betreibt der Auftragsverarbeiter selbst, auf dem Server, auf dem auch die Datenbestände des Verantwortlichen liegen (Anlage 3). Es nimmt Anfragen nur von diesem Server an und ist aus dem Internet nicht erreichbar.

Davon getrennt beantwortet die Bedienhilfe der Anwendung Fragen zur Bedienung mit demselben Sprachmodell. Übergeben werden die Frage des Nutzers und Texte der Oberfläche, keine Daten aus den Beständen des Verantwortlichen; einer Freigabe bedarf sie deshalb nicht. Schreibt ein Nutzer selbst personenbezogene Daten in seine Frage, gehen diese mit; die Anwendung weist neben dem Eingabefeld darauf hin.

Die an das Modell übergebenen Daten verlassen den Server nicht und werden keinem Dritten übermittelt, auch nicht dem Herausgeber des Modells. Sie werden nicht dauerhaft gespeichert und nicht zum Training von Modellen verwendet. Protokolliert werden nur Zeitpunkt und Art einer Anfrage, nicht ihr Inhalt.

Wird stattdessen ein externer Modellanbieter eingesetzt, gilt er als Unterauftragsverarbeiter; er wird nach § 6 vorher angezeigt und in Anlage 3 benannt. Ohne diese Benennung findet keine Übermittlung an einen externen Modellanbieter statt.

§ 8 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nachzukommen – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

§ 9 Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation.

Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

§ 10 Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.

Die Meldung beschreibt die Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.

Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Verantwortliche vor. Der Auftragsverarbeiter meldet nicht eigenständig, es sei denn, er ist dazu gesetzlich verpflichtet.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der Maßnahmen nach Anlage 2 auf Anfrage nach, in der Regel durch aktuelle Selbstauskünfte, Testate oder Zertifikate – auch solche seiner Unterauftragsverarbeiter.

Reicht das nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten Überprüfungen vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

Der Auftragsverarbeiter kann für den Aufwand einer Vor-Ort-Prüfung eine angemessene Vergütung verlangen, sofern die Prüfung nicht durch einen konkreten Anlass in seiner Sphäre veranlasst ist.

§ 12 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück. Der Verantwortliche teilt seine Wahl vor Vertragsende mit; ohne Mitteilung wird gelöscht.

Der Verantwortliche kann seine Berichte jederzeit selbst als PDF, Excel oder CSV exportieren. Den vollständigen Datenbestand stellt der Auftragsverarbeiter auf Anfrage in offenen Formaten bereit, nach Vertragsende innerhalb von 30 Tagen; danach erfolgt die Löschung.

Die Löschung umfasst auch Sicherungskopien, sobald diese im normalen Zyklus überschrieben werden, längstens jedoch innerhalb von 90 Tagen nach Vertragsende. Gesetzliche Aufbewahrungspflichten bleiben unberührt; für diese Dauer wird die Verarbeitung eingeschränkt.

Die Löschung wird auf Anfrage in Textform bestätigt.

§ 13 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er prüft insbesondere, ob für die von ihm eingebrachten Daten eine Rechtsgrundlage besteht.

Er benennt dem Auftragsverarbeiter eine Ansprechperson für Datenschutzfragen und teilt Änderungen mit.

Er bringt keine personenbezogenen Daten ein, die für den Zweck des Reportings nicht erforderlich sind.

§ 14 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Nutzungsvertrags.

Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 Gegenstand, Art und Zweck der Verarbeitung

Zweck: Bereitstellung eines Finanzreportings aus den Buchhaltungs- und Vorsystemdaten des Verantwortlichen – Auswertung, Planung, Abweichungsanalyse und die daraus erzeugten Berichte.

Art der Verarbeitung: Erheben aus hochgeladenen Dateien, aus Eingaben der Nutzer und aus Systemen des Verantwortlichen, die er über eine Schnittstelle anbindet (derzeit sevdesk und Lexware Office), Speichern, Ordnen, Auswerten, Berechnen, Anzeigen, Exportieren und Löschen; Protokollieren, soweit der Betrieb der Anwendung es erfordert; nach Freigabe durch den Verantwortlichen außerdem das Kommentieren von Berichten durch ein Sprachmodell (§ 7).

Arten personenbezogener Daten:

• Beschäftigtendaten: Personalnummer, Name, Geburtsdatum, Geschlecht, Tätigkeit, Ein- und Austrittsdatum, Kostenstelle, Vorgesetzte, Wochenarbeitszeit, Projektzuordnung
• Entgeltdaten: Bruttobezüge, Arbeitgeberanteile, Umlagen, Einmal- und Sonderzahlungen je Person und Monat
• Abwesenheiten: Urlaub sowie krankheitsbedingte Fehlzeiten – Letztere sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO
• Stamm- und Kontaktdaten von Kunden, Lieferanten und sonstigen Geschäftspartnern, soweit es sich um natürliche Personen oder um Ansprechpersonen handelt
• Buchungs- und Belegdaten: Buchungstexte, Belegnummern, Beträge, Verwendungszwecke und Gegenparteien aus Kontoauszügen, Rechnungsdaten aus Ausgangsrechnungen und E-Rechnungen
• Vertragsdaten aus Darlehensverträgen, soweit natürliche Personen beteiligt sind
• Zugangsdaten der Nutzer des Verantwortlichen: Name, E-Mail-Adresse, Rolle und Rechte, das Passwort als kryptographische Prüfsumme, Zeitpunkt der letzten Anmeldung sowie die Sitzungen (Beginn, letzte Nutzung, Ablauf); bei eingeschalteter Zwei-Faktor-Anmeldung deren Geheimnis (verschlüsselt) und die Wiederherstellungscodes als kryptographische Prüfsumme
• Zugangsdaten zu angebundenen Systemen: der API-Token bzw. API-Schlüssel, mit dem die Anwendung Daten aus sevdesk oder Lexware Office abruft, wenn der Verantwortliche ihn speichert
• Eingaben der Nutzer: Anmerkungen, Anfragen und Markierungen an Berichtszahlen samt Notizen und den Namen der Beteiligten sowie gespeicherte Berichte
• Protokolle der Nutzung: die Änderungshistorie der Planung (wer wann welche Planung geändert hat), die Protokolle der Importläufe und die Freigaben des Einblicks nach § 3 samt erstem und letztem Zugriff; das Zugriffsprotokoll: je Nutzer, Mandant und Tag der erste und letzte Zugriff, ob er schreibend war und ob er während eines Einblicks nach § 3 stattfand

Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen und seiner Gesellschaften
• Kunden und deren Ansprechpersonen
• Lieferanten, Dienstleister und sonstige Gegenparteien
• Nutzerinnen und Nutzer der Anwendung beim Verantwortlichen

Besondere Kategorien: Krankheitsbedingte Abwesenheiten sind Gesundheitsdaten. Der Verantwortliche entscheidet, ob er sie einbringt; die Anwendung funktioniert auch ohne sie. Werden sie eingebracht, gelten die Maßnahmen der Anlage 2 unverändert; eine gesonderte Zweckbindung besteht nicht, da sie ausschließlich in die Kennzahlen des Personalberichts und in die Stundennachweise eingehen.

Dauer: für die Laufzeit des Nutzungsvertrags, danach nach § 12.

Anlage 2 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit:

• Zutrittskontrolle: Der Betrieb erfolgt in einem Rechenzentrum des Unterauftragsverarbeiters nach Anlage 3. Zutritt haben dort nur berechtigte Personen; der Auftragsverarbeiter selbst unterhält keine eigenen Serverräume.
• Zugangskontrolle: Der Zugang zum Server erfolgt ausschließlich über SSH mit kryptographischem Schlüssel; die Anmeldung mit Passwort ist abgeschaltet. Eine Paketfilterung gibt nur die benötigten Dienste frei.
• Zugriffskontrolle: Die Anwendung verlangt eine persönliche Anmeldung; Rechte werden je Nutzer vergeben. Passwörter werden ausschließlich als scrypt-Prüfsumme gespeichert und sind auch für den Auftragsverarbeiter nicht einsehbar. Auf Wunsch verlangt die Anmeldung zusätzlich einen Code aus einer Authenticator-App (Zwei-Faktor-Anmeldung); der Verantwortliche kann sie für alle Personen seines Mandanten verbindlich machen. In der Anwendung liest der Auftragsverarbeiter Daten des Verantwortlichen nur mit dessen befristeter Freigabe (§ 3).
• Zugangsdaten zu angebundenen Systemen: Ein gespeicherter API-Token oder API-Schlüssel liegt verschlüsselt in der Datenbankdatei des Mandanten; der Schlüssel liegt nicht in ihr, sondern nur in der Umgebung des Anwendungsdienstes. Angezeigt werden nur seine letzten vier Zeichen.
• Trennungskontrolle: Die Daten jedes Verantwortlichen liegen in einer eigenen Datenbankdatei. Jede Anfrage öffnet nur die Datei des Mandanten, für den das angemeldete Konto berechtigt ist; die Anwendung prüft diese Berechtigung an einer zentralen Stelle, bevor sie auf Daten des Mandanten zugreift.
• Testumgebung: Die Testumgebung der Anwendung auf demselben Server enthält keine Daten von Verantwortlichen, sondern nur erfundene Beispielmandanten und eigene Testbestände des Auftragsverarbeiters.
• Sprachmodell: Das Sprachmodell für den KI-Kommentar läuft auf dem Anwendungsserver und nimmt Anfragen nur von diesem Server an; die Paketfilterung gibt es nach außen nicht frei. Die ihm übergebenen Daten verlassen den Server nicht.

Integrität:

• Übertragung: Der Zugriff erfolgt ausschließlich verschlüsselt über TLS; unverschlüsselte Aufrufe werden umgeleitet, HSTS ist gesetzt. Der Mailversand erfolgt über STARTTLS.
• Eingabekontrolle: Jeder Einlesevorgang von Bewegungsdaten – Rechnungen, Salden und Buchungen, Lohndaten, Abwesenheiten, Postenlisten, Kontoauszüge – wird mit Zeitpunkt und Dateiname protokolliert und lässt sich einzeln zurücknehmen. Änderungen an der Planung hält die Änderungshistorie mit Konto und Zeitpunkt fest. In den Finanzen lassen sich Monate je Gesellschaft schließen; spätere Nachbuchungen sind dann als solche erkennbar.
• Nachvollziehbarkeit: Auswertungen weisen ihre Grundlage aus – etwa eliminierte Innenumsätze, ausgenommene Konten und offene Zuordnungen. Stille Korrekturen an Zahlen finden nicht statt.

Verfügbarkeit und Belastbarkeit:

• Datensicherung: Die Datenbestände werden täglich gesichert; die Sicherungen liegen verschlüsselt und getrennt vom Produktivsystem innerhalb der Europäischen Union. Die Wiederherstellung wird regelmäßig erprobt.
• Wiederherstellbarkeit: Schemaänderungen an den Datenbeständen der Verantwortlichen laufen über versionierte Migrationen; ein Bestand mit abweichendem Stand wird abgewiesen, statt still umgebaut zu werden.
• Belastbarkeit: Getrennte Datenbestände je Verantwortlichem begrenzen die Wirkung einer Störung auf einen Mandanten.

Verfahren zur Überprüfung und Bewertung:

• Auftragskontrolle: Unterauftragsverarbeiter werden nach Anlage 3 geführt; Änderungen zeigt der Auftragsverarbeiter vorher an.
• Datenschutzfreundliche Voreinstellungen: Der Kommentar zu Berichten durch ein Sprachmodell ist im Auslieferungszustand abgeschaltet und wird erst durch ausdrückliche Freigabe wirksam; die Bedienhilfe erhält keine Daten aus den Beständen des Verantwortlichen (§ 7).
• Datenminimierung: Die Anwendung verarbeitet, was der Verantwortliche einbringt, und protokolliert darüber hinaus nur, was ihr Betrieb erfordert: Anmeldungen und Sitzungen, die Änderungshistorie der Planung, die Importläufe und das Zugriffsprotokoll, das je Nutzer, Mandant und Tag nur ersten und letzten Zugriff festhält, nicht die einzelnen Aufrufe; es wird nach 400 Tagen gelöscht und ist für den Verantwortlichen unter Stammdaten › Zugriffsprotokoll einsehbar. Externe Ressourcen, Analyse- oder Werbedienste werden nicht eingebunden.
• Überprüfung: Die Maßnahmen werden mindestens jährlich sowie anlassbezogen überprüft und bei Bedarf angepasst.

Anlage 3 Unterauftragsverarbeiter

Bei Vertragsschluss sind folgende Unterauftragsverarbeiter im Einsatz und vom Verantwortlichen genehmigt:

Kein Unterauftragsverarbeiter dieses Vertrags, aber der Vollständigkeit halber genannt: Für die Terminvereinbarung auf der Produktseite und das Demo-Gespräch nutzt die LittVest GmbH Google Kalender und Google Meet (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden keine Daten des Verantwortlichen aus der Anwendung verarbeitet; die LittVest GmbH ist dafür selbst Verantwortliche. Näheres steht in der Datenschutzerklärung.

Keine Unterauftragsverarbeiter dieses Vertrags: die sevdesk GmbH und der Anbieter von Lexware Office. Bindet der Verantwortliche sein Konto dort an, ruft die Anwendung in seinem Auftrag Daten aus diesem Konto ab; der Anbieter ist dabei Dienstleister des Verantwortlichen, nicht des Auftragsverarbeiters. An ihn übermittelt die Anwendung nur den API-Token bzw. API-Schlüssel mit der jeweiligen Abfrage, keine Daten aus der Anwendung.

Anbieter von Sprachmodellen: keiner. Das Sprachmodell für den KI-Kommentar betreibt der Auftragsverarbeiter selbst auf dem Server in der ersten Zeile der Tabelle (§ 7); ein weiterer Unterauftragsverarbeiter ist daran nicht beteiligt. Ein externer Anbieter wird nach § 6 vorher angezeigt und in diese Anlage aufgenommen. Solange hier keiner benannt ist, findet keine Übermittlung an einen externen Modellanbieter statt – unabhängig davon, ob die Funktion unter Stammdaten › KI-Kommentar freigegeben ist.