AGB-Archiv

§ 1 Geltungsbereich

(1) Diese AGB gelten für alle gegenwärtigen und zukünftigen Verträge zwischen der Caelex UG (haftungsbeschränkt) i. G., vertreten durch den Geschäftsführer Julian Polleschner, Im Mediapark 5, 50670 Köln, Deutschland (nachfolgend „Anbieter“ oder „Caelex“) und dem Kunden über die Nutzung der Caelex-Plattform einschließlich aller in § 4 genannten Produkte und Leistungen.

(2) Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich und in Textform zu. Dies gilt auch dann, wenn der Anbieter in Kenntnis der Bedingungen des Kunden Leistungen vorbehaltlos ausführt.

(3) Diese AGB gelten sowohl für Verbraucher (§ 13 BGB) als auch für Unternehmer (§ 14 BGB) und juristische Personen des öffentlichen Rechts. Für Verbraucher gelten zusätzlich die besonderen Schutzregelungen nach § 15 (Widerrufsrecht) und § 32 (Verbraucherschutz).

(4) Vorrangregelung bei Konflikten zwischen Vertragsdokumenten: (a) individuell verhandelte schriftliche Vereinbarungen gehen vor; (b) Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO gehen für die dort geregelten Gegenstände vor; (c) produktspezifische Anhänge (A bis G dieser AGB) gehen den Hauptklauseln vor, soweit sie dies ausdrücklich bestimmen; (d) im Übrigen gelten diese AGB.

§ 2 Definitionen

Für diese AGB gelten folgende Begriffsbestimmungen:

„Plattform“ — die gesamte von Caelex bereitgestellte Software, Infrastruktur und Benutzeroberfläche unter caelex.eu und verbundenen Domains, einschließlich aller Produkte nach § 4.

„Produkte“ — die einzelnen funktionalen Module der Plattform, insbesondere Atlas (Counsel-Arbeitsbereich), Comply (Operator-Compliance-Arbeitsbereich), Passage (Exportkontroll-Arbeitsbereich), Scholar (Weltraumrecht-Lehre), API und Widget, Astra (KI-Assistent), Mission Control, Ephemeris, NCA Portal, Digital Twin, Sentinel, Verity, Generate sowie das Compliance-Dashboard. Öffentliche Produkte sind Atlas, Comply, Passage und Scholar.

„Inhalte“ — sämtliche textlichen, grafischen, audiovisuellen, strukturierten oder ausführbaren Elemente der Plattform, einschließlich regulatorischer Mappings, Gesetzestexte, Assessment-Logik, Compliance-Algorithmen, Datenbank-Einträgen, Decision-Trees und aller dynamisch erzeugten Ausgaben.

„Kundendaten“ — alle Daten, Dokumente, Eingaben und sonstigen Informationen, die der Kunde oder seine Nutzer in die Plattform hochladen, eingeben oder über die API übermitteln.

„KI-Ausgaben“ — Inhalte, die durch Large Language Models oder andere Machine-Learning-Systeme auf der Plattform generiert werden, insbesondere durch Astra, Generate 2.0 oder automatische Dokumentengenerierung.

„Nutzer“ — jede natürliche Person, die im Namen des Kunden auf die Plattform zugreift, einschließlich Mitarbeiter, Auftragnehmer und autorisierter Dritter.

„Verbraucher / Unternehmer“ — Verbraucher i.S.d. § 13 BGB ist jede natürliche Person, die zu überwiegend privaten Zwecken handelt; Unternehmer i.S.d. § 14 BGB ist jede natürliche oder juristische Person, die in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handelt.

§ 3 Vertragsschluss

(1) Die Darstellung der Plattform und einzelner Produkte stellt kein bindendes Angebot dar, sondern eine unverbindliche Aufforderung an den Kunden, seinerseits ein Angebot abzugeben.

(2) Der Vertrag kommt zustande (a) bei der kostenlosen Registrierung durch Anlegen eines Accounts und ausdrückliche Bestätigung dieser AGB per Checkbox („Ich habe die AGB gelesen und akzeptiere sie“); (b) bei kostenpflichtigen Tarifen zusätzlich durch Bestätigung des Tarifs und erfolgreichen Zahlungsabschluss; (c) bei Enterprise-Verträgen durch Gegenzeichnung eines individuell ausgehandelten Master Service Agreement.

(3) Der Anbieter bestätigt den Vertragsschluss per E-Mail. Die Bestätigung enthält die bei Vertragsschluss geltende AGB-Version; diese Version wird 10 Jahre archiviert und dem Kunden auf Anforderung zur Verfügung gestellt.

(4) Der Anbieter behält sich vor, den Vertragsschluss im Einzelfall ohne Angabe von Gründen abzulehnen, insbesondere bei Verdacht auf Verstöße gegen § 11 (Verbotene Aktivitäten), § 23 (Export-Kontrolle) oder § 24 (Anti-Korruption).

§ 4 Leistungen und Produkte

(1) Gegenstand des Vertrages ist die Bereitstellung der Plattform in dem zum Zeitpunkt des Vertragsschlusses vereinbarten Leistungsumfang. Der konkrete Leistungsumfang ergibt sich aus dem gewählten Tarif, dem individuellen Angebot oder Master Service Agreement.

(2) Die Plattform umfasst insbesondere folgende Produktlinien, deren Funktionsumfang tarif- und laufzeitabhängig variiert:

• Atlas — Counsel-Arbeitsbereich für weltraumrechtliche Recherche und Mandate (Anhang A)
• Assure — Due-Diligence-Werkzeuge für Investorenbeziehungen und Investment-Readiness-Bewertungen (Anhang B)
• Academy — Schulungen, Simulationen und Klassenräume für Raumfahrt-Compliance (Anhang C)
• API und Widget — programmatische und einbettbare Zugänge zu Compliance-Daten (Anhang D)
• Astra — KI-gestützter Compliance-Assistent (Anhang E)
• Passage — Entscheidungsunterstützung für Exportkontrolle: Einstufungshilfen, Sanktions- und Denied-Party-Screening, Genehmigungs-Workflows und generierte Dokumentenentwürfe (Anhang F)
• Scholar — kostenlose Recherche- und Lehrdatenbank zum Weltraumrecht für Hochschulen, mit Kursen und Planspielen (Anhang G)
• Mission Control, Ephemeris, Digital Twin, Sentinel — Satelliten-Telemetrie- und Forecast-Werkzeuge
• NCA Portal, Verity, Generate — Werkzeuge zur Vorbereitung behördlicher Einreichungen und Compliance-Dokumentation
• Assessments — Compliance-Assessments zum EU Space Act, NIS2, nationalem Weltraumrecht und unifizierte Assessments

(3) Der Anbieter ist berechtigt, Funktionen jederzeit zu ändern, weiterzuentwickeln oder — mit angemessener Vorankündigung von mindestens 30 Tagen — einzustellen, soweit dies den bei Vertragsschluss vereinbarten Kernleistungsumfang nicht wesentlich beeinträchtigt. Wesentliche Einschränkungen berechtigen den Kunden zur außerordentlichen Kündigung gemäß § 14 Abs. 5.

(4) Die Plattform wird als Software-as-a-Service im Wege des entgeltlichen oder kostenlosen Fernzugriffs bereitgestellt. Ein Anspruch auf Installation vor Ort, Quellcodeherausgabe oder zusätzliche individuelle Anpassungen besteht nicht.

§ 5 Keine Rechts-, Anlage- oder Finanzberatung

(1) Caelex ist weder zugelassene Rechtsanwaltskanzlei noch Kammeranwalt noch sonstiger registrierter Rechtsdienstleister im Sinne des Rechtsdienstleistungsgesetzes (RDG). Die Plattform erbringt ausdrücklich keine Rechtsdienstleistung. Sämtliche auf der Plattform bereitgestellten Informationen, Mappings, Assessments, Entscheidungsbäume, Checklisten und KI-Ausgaben sind informatorische Werkzeuge und ersetzen keine individuelle Rechtsberatung.

(2) Caelex ist weder Wertpapierinstitut i.S.d. Wertpapierinstitutsgesetzes (WpIG) noch Kreditinstitut i.S.d. Kreditwesengesetzes (KWG). Insbesondere die Produktlinie Assure (einschließlich Regulatory Readiness Score, Regulatory Credit Rating und Investment Readiness Score) stellt keine Anlageberatung, Anlagevermittlung, Finanzanalyse oder sonstige erlaubnispflichtige Finanzdienstleistung dar. Assure-Ausgaben sind qualitative Einschätzungen regulatorischer Bereitschaft und ausdrücklich keine Empfehlung zum Kauf, Verkauf oder Halten von Finanzinstrumenten.

(3) Caelex ist keine Steuerberatung i.S.d. Steuerberatungsgesetzes, keine Wirtschaftsprüfungsgesellschaft i.S.d. Wirtschaftsprüferordnung und keine Versicherungsvermittlung.

(4) Der Kunde ist verpflichtet, vor jeder rechtlich, finanziell oder regulatorisch relevanten Entscheidung qualifizierten, individuellen Rat bei zugelassenen Berufsträgern einzuholen (Rechtsanwalt, Steuerberater, Wirtschaftsprüfer, zugelassener Finanzdienstleister). Dies gilt insbesondere vor jeder Einreichung bei Behörden, vor Vertragsabschlüssen mit regulatorischer Relevanz, vor Investitionsentscheidungen und vor Compliance-Zertifizierungen.

(5) Die Plattform stellt keine verbindliche Feststellung regulatorischer Pflichten dar. Assessments und Ergebnisse dienen ausschließlich der internen Vorbereitung und sind keine behördliche oder drittwirkende Feststellung.

(6) Der Anbieter übernimmt keine Haftung für Entscheidungen, die der Kunde oder Dritte auf Basis von Plattform-Ausgaben treffen, soweit gesetzlich zulässig. Die weitergehenden Haftungsregelungen in § 26 bleiben unberührt.

(7) Internationale Klarstellung — Unauthorized Practice of Law (UPL). Wenn der Kunde seinen Sitz in einer Jurisdiktion außerhalb Deutschlands hat, gelten dortige Berufsrechts- und UPL-Regelungen kumulativ neben den deutschen. Caelex ist nicht zugelassen als 'solicitor', 'barrister', 'avocat', 'abogado', 'advocaat' oder funktional vergleichbare Stellung in anderen Jurisdiktionen, insbesondere nicht als Rechtsdienstleister im Sinne folgender Regime: (a) Vereinigtes Königreich — Legal Services Act 2007 ('reserved legal activities'); (b) Vereinigte Staaten — bundesstaatliche Bar-Zulassungsregeln einschließlich ABA Model Rule 5.5 (multijurisdictional practice); (c) Frankreich — Loi n° 71-1130 vom 31. Dezember 1971; (d) Italien — DPR 138/2012; (e) Spanien — Ley 34/2006 sobre el acceso a las profesiones de Abogado y Procurador; (f) Niederlande — Advocatenwet; (g) Österreich, Schweiz und alle weiteren Jurisdiktionen, in denen Rechtsberatung berufsrechtlich reglementiert ist. Die Plattform erbringt in keiner dieser Jurisdiktionen Rechtsdienstleistungen.

(8) Rollenbasierte Verantwortungsverteilung. Caelex bietet zwei Hauptzugänge mit unterschiedlichen Verantwortungsprofilen: (a) Caelex Comply (Betreiber-Workspace) — der Kunde ist für die Einholung qualifizierten Rates selbst verantwortlich (Abs. 4); (b) Atlas (Anwalts-Workspace) — die nutzende Anwältin / der nutzende Anwalt bleibt allein verantwortliche Berufsträgerin bzw. allein verantwortlicher Berufsträger gegenüber ihren bzw. seinen Mandanten und führt für jede KI-Ausgabe eine eigenständige fachliche Prüfung durch (siehe Anhang E sowie /legal/ai-disclosure § 5a). Atlas-Ausgaben sind anwaltliche Hilfsmittel; sie ersetzen weder die anwaltliche Sorgfaltspflicht noch die berufsrechtlichen Pflichten gegenüber dem Mandanten.

(9) Reichweite der Compliance-Tools. Module wie Authorization Workflow, NCA-Portal, Deadline-Tracker und ähnliche operative Hilfen unterstützen die interne Vorbereitung. Die finale Verantwortung für Vollständigkeit und Richtigkeit jeder Behörden-Einreichung liegt beim Kunden bzw. bei der/dem zugelassenen Berufsträger:in, die/der die Einreichung autorisiert. Caelex ist weder bevollmächtigt noch zugelassen, Einreichungen im Namen des Kunden zu unterzeichnen oder als Verfahrensbevollmächtigte:r aufzutreten.

(10) Ocular ist Klassifizierungssoftware, keine Rechtsberatung. Matcher-Vorschläge und Officer-Sätze sind kein Ausfuhrbescheid, keine Lizenz und kein Bescheid.

§ 6 Datenqualität und Aktualität

(1) Der Anbieter bemüht sich, die auf der Plattform bereitgestellten regulatorischen Informationen aktuell, vollständig und richtig zu halten. Eine Gewähr für Aktualität, Vollständigkeit oder Richtigkeit wird jedoch ausdrücklich nicht übernommen, soweit gesetzlich zulässig.

(2) Regulatorische Inhalte unterliegen kontinuierlichen Änderungen durch Gesetzgeber, Behörden und internationale Organisationen. Der Kunde trägt die Verantwortung, für jede konkrete Entscheidung die Aktualität der herangezogenen Informationen gegenüber der jeweiligen Primärquelle (EUR-Lex, BGBl., Official Journal, UN Treaty Collection etc.) eigenständig zu verifizieren.

(3) Verweise auf Drittquellen (EUR-Lex, UNOOSA, CelesTrak, ITU, nationale Amtsblätter) dienen der Verifizierung. Der Anbieter hat keinen Einfluss auf Verfügbarkeit, Inhalt oder Richtigkeit dieser Drittquellen und haftet nicht für deren Ausfall, Änderung oder Fehlerhaftigkeit.

(4) „Last-verified“- und Link-Status-Kennzeichnungen sind Best-Effort-Angaben und stellen keine garantierte Aussage zur Aktualität des verlinkten Inhalts dar.

§ 7 Nutzung von KI-Funktionen

(1) Die Plattform enthält KI-Funktionen auf Basis von Large Language Models und weiteren Machine-Learning-Systemen, insbesondere in Astra (Anhang E), Generate 2.0 und der automatischen Dokumentengenerierung.

(2) KI-Ausgaben werden statistisch erzeugt und können unvollständig, ungenau, veraltet, widersprüchlich oder erfunden sein. KI-Ausgaben stellen keine verbindliche rechtliche, regulatorische oder finanzielle Einschätzung dar.

(3) Der Kunde ist allein verantwortlich für (a) die Prüfung jeder KI-Ausgabe auf Richtigkeit und Anwendbarkeit im konkreten Fall, (b) die Einholung qualifizierter Beratung vor Verwendung, (c) die Einhaltung aller einschlägigen Regeln über KI-Transparenz und -Kennzeichnung gegenüber Dritten.

(4) Der Anbieter haftet nicht für Schäden, die aus der Übernahme oder Weitergabe ungeprüfter KI-Ausgaben entstehen, insbesondere nicht für Ablehnungen, Verzögerungen oder Sanktionen im Rahmen behördlicher Einreichungen.

(5) Der Anbieter beachtet die Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act) in ihrer jeweils geltenden Fassung. Soweit der Anbieter als Betreiber hochrisikobehafteter KI-Systeme einzustufen wäre, werden die entsprechenden Pflichten in produktspezifischen Anhängen geregelt.

(6) Der Kunde stellt sicher, dass er bei Weitergabe KI-generierter Inhalte an Dritte oder Behörden die gegebenenfalls geltenden Kennzeichnungspflichten einhält.

§ 8 Nutzungsrechte an der Plattform

(1) Die Plattform und ihre Inhalte sind urheber-, datenbank- und geschäftsgeheimnisrechtlich geschützt. Alle Rechte, die nicht ausdrücklich eingeräumt werden, verbleiben beim Anbieter oder seinen Lizenzgebern.

(2) Der Anbieter räumt dem Kunden für die Dauer des Vertrages ein einfaches, nicht ausschließliches, nicht unterlizenzierbares, nicht übertragbares, widerrufliches Nutzungsrecht an der Plattform für den bestimmungsgemäßen Zweck ein. Das Nutzungsrecht umfasst die Nutzung durch autorisierte Nutzer des Kunden im Umfang des jeweils gebuchten Tarifs.

(3) Das Nutzungsrecht erlaubt nicht: (a) Vervielfältigung, Verbreitung oder öffentliche Zugänglichmachung der Inhalte über den bestimmungsgemäßen Gebrauch hinaus; (b) Erstellung abgeleiteter Werke; (c) Zugriff durch automatisierte Mittel außerhalb der bereitgestellten API; (d) Weitergabe der Zugangsdaten; (e) Nutzung zur Entwicklung, zum Training oder zur Verbesserung konkurrierender Produkte oder KI-Modelle.

(4) Die regulatorischen Mappings, Entscheidungsbäume, Scoring-Algorithmen, Compliance-Checklisten und kuratierten Datenbank-Einträge sind proprietäre Geschäftsgeheimnisse des Anbieters i.S.d. Geschäftsgeheimnisgesetzes (GeschGehG) und stellen die zentrale wirtschaftliche Leistung des Anbieters dar.

(5) Die Marken „Caelex“, „Atlas“, „Assure“, „Astra“, „Academy“, „Mission Control“, „Ephemeris“, „Verity“ sowie zugehörige Logos und Wort-/Bildmarken sind Eigentum des Anbieters. Ihre Nutzung durch den Kunden bedarf der vorherigen schriftlichen Zustimmung; zulässig ist lediglich die Referenzierung in neutraler Form unter Wahrung der markenrechtlichen Richtigkeit.

§ 9 Kundendaten und Rechte daran

(1) Der Kunde bleibt Inhaber aller Rechte an Kundendaten. Der Anbieter erwirbt keine Eigentumsrechte an den vom Kunden hochgeladenen Inhalten.

(2) Der Kunde räumt dem Anbieter ein einfaches, nicht übertragbares, zeitlich auf die Vertragslaufzeit sowie nachvertraglich bis zum Ablauf der Löschfristen beschränktes Nutzungsrecht an den Kundendaten ein, soweit dies für die Bereitstellung der Leistung, für Backups, für die Einhaltung gesetzlicher Aufbewahrungspflichten und für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

(3) Der Kunde sichert zu, dass er berechtigt ist, die Kundendaten der Plattform zur Verfügung zu stellen, und dass die Kundendaten keine Rechte Dritter verletzen. Für Verstöße stellt der Kunde den Anbieter gemäß § 27 frei.

(4) Der Anbieter verwendet Kundendaten nicht zum Training eigener oder fremder KI-Modelle, es sei denn, der Kunde hat ausdrücklich und widerruflich zugestimmt. Aggregierte, anonymisierte Nutzungsstatistiken ohne Personen- oder Betriebsgeheimnisbezug bleiben hiervon unberührt.

(5) Der Kunde kann seine Kundendaten während der Vertragslaufzeit und innerhalb von 30 Tagen nach Vertragsende in einem strukturierten, gängigen und maschinenlesbaren Format exportieren. Danach werden Kundendaten unter Berücksichtigung gesetzlicher Aufbewahrungsfristen gelöscht oder anonymisiert.

§ 10 Feedback-Lizenz

(1) Übermittelt der Kunde Vorschläge, Ideen, Fehlermeldungen, Bewertungen oder sonstige Rückmeldungen zur Plattform („Feedback“), räumt er dem Anbieter ein unbefristetes, weltweites, unentgeltliches, unterlizenzierbares und übertragbares Nutzungsrecht an diesem Feedback ein.

(2) Der Anbieter ist nicht verpflichtet, Feedback umzusetzen, dessen Herkunft zu kennzeichnen oder eine Vergütung zu zahlen.

(3) Kundendaten im Sinne von § 9 Abs. 1 sind kein Feedback. Die Abgrenzung erfolgt nach dem Zweck der Übermittlung: Feedback betrifft die Plattform selbst, nicht den operativen Betrieb des Kunden.

§ 11 Verbotene Aktivitäten und zulässige Nutzung

Dem Kunden und seinen Nutzern ist Folgendes untersagt; jeder Verstoß stellt eine wesentliche Vertragsverletzung dar und berechtigt den Anbieter zur sofortigen Sperrung des Zugangs sowie zur Geltendmachung von Schadensersatz und Unterlassungsansprüchen:

• Reverse Engineering, Dekompilierung, Disassemblierung oder sonstige Ableitung von Quellcode, Algorithmen oder Datenstrukturen der Plattform, soweit dies nicht nach § 69e UrhG zwingend erlaubt ist;
• Scraping, Crawling, Spidering, systematisches Herunterladen oder sonstige automatisierte Extraktion von Inhalten außerhalb der bereitgestellten API und über deren Rate-Limits hinaus;
• Nutzung der Plattform, ihrer Inhalte oder KI-Ausgaben zum Training, zur Feinabstimmung oder zur Evaluierung eigener oder fremder KI-Modelle;
• Nutzung zur Entwicklung, zum Angebot oder zur Verbesserung konkurrierender Produkte oder Dienstleistungen;
• Umgehung oder Test von Sicherheitsmaßnahmen, Zugriffskontrollen oder Authentifizierungsverfahren ohne vorherige schriftliche Zustimmung;
• Weitergabe von Zugangsdaten, API-Schlüsseln oder Session-Tokens an Dritte sowie deren Veröffentlichung;
• Nutzung für rechtswidrige Zwecke, insbesondere zur Vorbereitung von Straftaten, zur Verletzung von Rechten Dritter oder zur Verletzung von Export- und Sanktionsvorschriften (§ 23);
• Hochladen von Schadsoftware, Schadcode oder rechtsverletzenden Inhalten;
• Hochladen von ITAR technical data, von Verschlusssachen (VS-eingestuften Informationen) oder sonstigen Daten, deren Speicherung oder Verarbeitung in einer kommerziellen Cloud-Umgebung eine Ausfuhr-, Verbringungs- oder Offenlegungsgenehmigung erfordert, die der Kunde nicht besitzt;
• Vorsätzliche Falscheingaben zur Manipulation von Assessments, Ratings oder Scores;
• Neuveröffentlichung, Weiterverkauf oder Bereitstellung wesentlicher Teile der regulatorischen Datenbanken an Dritte;
• Framing, Mirroring oder sonstiges unmittelbares Einbetten der Plattform in Drittangebote außerhalb der hierfür vorgesehenen Widget- und API-Kanäle;
• Nutzung der Plattform durch mehr als die vertraglich vereinbarten Nutzer oder über die vertraglich vereinbarten Rate-Limits hinaus;
• Nutzung der Plattform gegen den Kunden (Benchmarking, Leistungsvergleiche zu Wettbewerbszwecken) ohne vorherige schriftliche Zustimmung.

Der Anbieter kann bei Verdacht auf Verstöße den Zugang zur Plattform vorübergehend beschränken oder sperren. Bei gesicherten Verstößen ist eine Sperrung bis zur Klärung sowie eine fristlose Kündigung zulässig. § 26 bleibt unberührt.

§ 12 Account-Sicherheit

(1) Der Kunde ist verpflichtet, Zugangsdaten, Passwörter und Zwei-Faktor-Tokens vertraulich zu behandeln und vor unbefugtem Zugriff zu schützen. Passwörter dürfen nicht mit anderen Diensten geteilt werden.

(2) Bei Verdacht auf unbefugte Nutzung ist der Kunde verpflichtet, den Anbieter unverzüglich unter security@caelex.eu zu informieren und die betroffenen Zugangsdaten zu ändern.

(3) Der Kunde haftet für alle Aktivitäten unter seinem Account, es sei denn, er weist nach, dass die Aktivitäten ohne sein Verschulden durch Dritte erfolgt sind.

(4) Der Anbieter empfiehlt die Aktivierung der Zwei-Faktor-Authentifizierung und die Nutzung hardwaregestützter FIDO2/WebAuthn-Verfahren für privilegierte Accounts.

§ 13 Preise, Zahlung, Preisanpassungen

(1) Die jeweils aktuellen Preise ergeben sich aus der Preisliste auf der Website, dem gewählten Tarif oder einem individuellen Angebot. Alle Preise verstehen sich in Euro zuzüglich der gesetzlichen Umsatzsteuer, sofern nicht ausdrücklich anders angegeben.

(2) Die Zahlung erfolgt per SEPA-Lastschrift, Kreditkarte oder auf Rechnung über den Zahlungsdienstleister Stripe Payments Europe Ltd. Der Kunde ermächtigt den Anbieter zum Einzug bei Fälligkeit.

(3) Rechnungen sind innerhalb von 14 Tagen ab Rechnungsdatum ohne Abzug fällig, soweit nicht anders vereinbart. Bei Lastschrift und Kreditkartenzahlung gilt das Zahlungsdatum als Fälligkeitsdatum.

(4) Gerät der Kunde in Zahlungsverzug, ist der Anbieter nach vorheriger Mahnung und Fristsetzung berechtigt, den Zugang zur Plattform zu sperren. Verzugszinsen in Höhe von 9 Prozentpunkten über dem Basiszinssatz (B2B; § 288 Abs. 2 BGB) bzw. 5 Prozentpunkten (B2C) sowie eine Verzugspauschale von 40 EUR bei B2B-Kunden (§ 288 Abs. 5 BGB) werden erhoben.

(5) Der Anbieter ist berechtigt, die Preise einmal jährlich mit einer Ankündigungsfrist von 60 Tagen anzupassen. Preiserhöhungen um mehr als 5 % über die allgemeine Teuerungsrate des Vorjahres hinaus (gemessen am Verbraucherpreisindex des Statistischen Bundesamts) berechtigen den Kunden zur außerordentlichen Kündigung zum Zeitpunkt des Inkrafttretens der Erhöhung.

(6) Sonder- und Zusatzleistungen (Overage, Add-Ons, Upgrades) werden zum Zeitpunkt der Buchung separat berechnet. Downgrades werden zum nächsten Abrechnungszyklus wirksam, ohne Rückerstattung bereits bezahlter Entgelte.

(7) Die Aufrechnung und Geltendmachung von Zurückbehaltungsrechten durch den Kunden ist beschränkt auf unbestrittene oder rechtskräftig festgestellte Gegenforderungen; diese Einschränkung gilt nicht gegenüber Verbrauchern.

§ 14 Laufzeit, Verlängerung, Kündigung

(1) Kostenlose Accounts können jederzeit ohne Angabe von Gründen durch den Kunden oder den Anbieter gekündigt werden.

(2) Kostenpflichtige Tarife haben die im Tarif oder im individuellen Vertrag angegebene Mindestlaufzeit (in der Regel ein oder zwölf Monate). Sie verlängern sich nach Ablauf der Mindestlaufzeit automatisch auf unbestimmte Zeit und sind ab diesem Zeitpunkt jederzeit mit einer Frist von einem Monat kündbar. Diese Regelung entspricht § 309 Nr. 9 BGB in der seit 1. März 2022 geltenden Fassung.

(3) Der Anbieter stellt gemäß § 312k BGB eine Kündigungsschaltfläche bereit („Vertrag hier kündigen“), die ohne Anmeldung zugänglich ist. Die Kündigung ist daneben jederzeit in Textform per E-Mail an cs@caelex.eu oder über die Account-Einstellungen möglich.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt beiden Parteien unberührt. Wichtige Gründe sind insbesondere: wesentliche Vertragsverletzung, wiederholte Verstöße gegen diese AGB, Insolvenzantrag, wesentliche Änderung des Leistungsumfangs nach § 4 Abs. 3, wesentliche Preisanpassung nach § 13 Abs. 5.

(5) Mit Vertragsende erlöschen alle eingeräumten Nutzungsrechte. Kundendaten können gemäß § 9 Abs. 5 exportiert werden. Nach Ablauf der Exportfrist ist der Anbieter zur Löschung verpflichtet, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(6) Bei Kündigung durch den Kunden aus wichtigem Grund, den der Anbieter zu vertreten hat, erhält der Kunde eine anteilige Erstattung bereits geleisteter Vorauszahlungen.

§ 15 Widerrufsrecht für Verbraucher

(1) Verbrauchern im Sinne des § 13 BGB steht bei Fernabsatzverträgen grundsätzlich ein Widerrufsrecht gemäß §§ 312g, 355 BGB zu. Die Widerrufsfrist beträgt 14 Tage ab Vertragsschluss.

(2) Zur Ausübung des Widerrufsrechts ist eine eindeutige Erklärung des Verbrauchers per E-Mail an legal@caelex.eu oder über das in der Widerrufsbelehrung bereitgestellte Muster-Widerrufsformular ausreichend.

(3) Das Widerrufsrecht erlischt gemäß § 356 Abs. 5 BGB bei Verträgen über die Lieferung nicht auf einem körperlichen Datenträger befindlicher digitaler Inhalte, wenn der Verbraucher (a) ausdrücklich zugestimmt hat, dass der Anbieter mit der Ausführung vor Ablauf der Widerrufsfrist beginnt, und (b) seine Kenntnis davon bestätigt hat, dass er durch seine Zustimmung mit Beginn der Ausführung sein Widerrufsrecht verliert, und (c) der Anbieter dem Verbraucher eine Bestätigung gemäß § 312f BGB zur Verfügung gestellt hat.

(4) Bei kostenpflichtigen Abonnements und API-Zugängen wird der Verbraucher im Bestellprozess explizit um diese Zustimmung gebeten. Die Zustimmung wird revisionssicher protokolliert.

(5) Die vollständige Widerrufsbelehrung einschließlich Muster-Widerrufsformular steht unter caelex.eu/legal/widerruf zur Verfügung.

§ 16 Verfügbarkeit und Service-Level

(1) Der Anbieter bemüht sich um eine monatliche Verfügbarkeit der produktiven Plattform von 99,5 %, gemessen als Anteil der Zeit, in der die Plattform über das Internet erreichbar ist, außerhalb geplanter Wartungsfenster und Ereignisse höherer Gewalt (§ 28).

(2) Nicht als Ausfallzeit gelten: (a) geplante Wartungsarbeiten, die mindestens 48 Stunden im Voraus per E-Mail oder In-App-Benachrichtigung angekündigt werden; (b) Störungen, die durch höhere Gewalt, Drittausfälle außerhalb des Verantwortungsbereichs des Anbieters (z.B. Internet-Backbone, Stromversorgung, Dritt-APIs) oder Fehlverhalten des Kunden verursacht sind; (c) Beta-Funktionen gemäß § 19.

(3) Enterprise-Kunden können in einem individuellen Service Level Agreement erhöhte Verfügbarkeitszusagen und Service-Credits vereinbaren. In Standard-Tarifen besteht kein Anspruch auf Service-Credits; bei wesentlichen Verletzungen der Verfügbarkeitszusage bleibt das Recht zur Kündigung aus wichtigem Grund (§ 14 Abs. 4) unberührt.

(4) Support wird gemäß § 18 erbracht.

§ 17 Wartung, Updates, Change-Management

(1) Der Anbieter ist berechtigt, die Plattform durch Updates weiterzuentwickeln, neue Funktionen einzuführen und technische Anpassungen vorzunehmen. Wartungsfenster werden nach Möglichkeit in nachfrageschwachen Zeiten eingeplant.

(2) Wesentliche Änderungen, die die Nutzbarkeit für den Kunden beeinträchtigen können, werden mindestens 30 Tage im Voraus angekündigt, soweit nicht sicherheitsrelevante Gründe eine sofortige Anpassung erforderlich machen.

(3) Der Anbieter schuldet nur die Aktualisierung für die jeweils unterstützten Browser- und API-Versionen. Legacy-Versionen können nach einer Ankündigungsfrist von 90 Tagen deprecated werden.

§ 18 Support

(1) Standard-Support wird per E-Mail an cs@caelex.eu erbracht, werktags innerhalb der üblichen Geschäftszeiten. Erste Antwort innerhalb von zwei Werktagen.

(2) Enterprise-Tarife können in individuellen Vereinbarungen erweiterte Support-Zusagen (Reaktionszeiten, Priority, benannte Ansprechpartner) enthalten.

(3) Sicherheitsrelevante Meldungen werden bevorzugt an security@caelex.eu gerichtet; der Anbieter betreibt ein koordiniertes Schwachstellenoffenlegungsverfahren (Coordinated Vulnerability Disclosure).

§ 19 Beta- und Vorschau-Funktionen

(1) Der Anbieter kann Funktionen als „Beta“, „Vorschau“, „Experimentell“ oder ähnlich kennzeichnen. Solche Funktionen werden „wie besehen“ bereitgestellt und können jederzeit ohne Vorankündigung geändert, eingeschränkt oder eingestellt werden.

(2) Für Beta-Funktionen gelten keine SLA-Zusagen (§ 16), keine Gewährleistungsansprüche und, soweit gesetzlich zulässig, keine Haftung außerhalb des § 26 Abs. 1.

(3) Der Kunde ist nicht verpflichtet, Beta-Funktionen zu nutzen. Die Nutzung erfolgt auf eigenes Risiko und ausdrücklich freiwillig.

§ 20 Datenschutz, Auftragsverarbeitung, Sub-Auftragsverarbeiter

(1) Die Erhebung und Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen der eigenen Geschäftstätigkeit richtet sich nach der Datenschutzerklärung unter caelex.eu/legal/privacy.

(2) Soweit der Kunde über die Plattform personenbezogene Daten Dritter verarbeitet (z.B. eigene Mitarbeiter, Kunden oder Geschäftspartner), ist der Anbieter Auftragsverarbeiter i.S.d. Art. 28 DSGVO. Für diese Verarbeitung gilt die als Vertragsbestandteil integrierte Auftragsverarbeitungsvereinbarung unter caelex.eu/legal/dpa („DPA“). Die DPA wird dem Kunden beim Vertragsschluss zur Kenntnis gebracht und kann auf Anforderung in gegengezeichneter Form bereitgestellt werden.

(3) Der Kunde stimmt zu, dass der Anbieter folgende Kategorien von Sub-Auftragsverarbeitern einsetzt: (a) Hosting und Edge Network (Vercel Inc., USA; Neon Inc., USA, mit EU-Datenhaltung); (b) Rate Limiting und Caching (Upstash Inc., USA); (c) Zahlungsabwicklung (Stripe Payments Europe Ltd., Irland); (d) E-Mail-Versand (Resend Inc., USA); (e) KI-Vermittlung über das Vercel AI Gateway (Vercel Inc., USA), festgelegt auf Verarbeitung in der EU; (f) KI-Inferenz über das Gateway durch Google Cloud (Vertex AI, Gemini) und Amazon Web Services (Bedrock) in der EU; (g) Websuche (DuckDuckGo oder Brave Search, USA), nur wenn der Kunde sie einschaltet; (h) Standortprüfung bei der Anmeldung (ip-api.com). Die jeweils aktuelle Liste mit Transfergrundlagen je Auftragsverarbeiter wird unter caelex.eu/legal/sub-processors veröffentlicht und in caelex.eu/legal/privacy § 5 sowie caelex.eu/legal/dpa § 10a Abs. 5 und Anlage 2 referenziert.

(4) Bei Datentransfers in Drittländer werden die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und, wo anwendbar, das EU-US Data Privacy Framework als Transfergrundlage eingesetzt.

(5) Der Anbieter informiert den Kunden mindestens 30 Tage im Voraus über Änderungen im Kreis der Sub-Auftragsverarbeiter. Der Kunde ist berechtigt, begründeten Einspruch zu erheben; bei unauflöslichem Widerspruch steht dem Kunden ein Sonderkündigungsrecht zum Zeitpunkt des Wechsels zu.

§ 21 Informationssicherheit

(1) Der Anbieter betreibt ein am Stand der Technik orientiertes Informationssicherheitsmanagement. Technische und organisatorische Maßnahmen umfassen insbesondere: Verschlüsselung in Übertragung (TLS 1.2+) und im Ruhezustand (AES-256-GCM), getrennte Schlüsselableitung pro Mandant, Zwei-Faktor-Authentifizierung, Hash-verkettete Audit-Logs, Anomalie- und Intrusion-Erkennung, anbieterseitige Point-in-Time-Recovery der Datenbank im konfigurierten Fenster sowie einen dokumentierten Wiederherstellungs-Drill.

(2) Sicherheitsvorfälle, die personenbezogene Daten des Kunden betreffen, werden gemäß Art. 33 DSGVO unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis, an den Kunden gemeldet, soweit der Anbieter als Auftragsverarbeiter handelt.

(3) Der Anbieter verpflichtet sich, anerkannte Sicherheitsstandards (insbesondere ISO 27001-ähnliche Kontrollen und NIS2-Konformität bei Erreichen der Schwellenwerte) zu berücksichtigen. Ein Anspruch auf Zertifizierung besteht nicht, soweit nicht individuell vereinbart.

§ 22 Vertraulichkeit

(1) Beide Parteien verpflichten sich, alle als vertraulich gekennzeichneten oder nach den Umständen ersichtlich vertraulichen Informationen der jeweils anderen Partei („Vertrauliche Informationen“) geheim zu halten und nur zur Erfüllung dieses Vertrages zu verwenden.

(2) Vertrauliche Informationen umfassen insbesondere nicht-öffentliche technische Unterlagen, Quellcode, Preisinformationen, Kundendaten, Compliance-Strategien, Geschäftsgeheimnisse i.S.d. Geschäftsgeheimnisgesetzes (GeschGehG) sowie alle Inhalte der Plattform.

(3) Die Vertraulichkeitspflicht gilt nicht für Informationen, die (a) bei Empfang bereits öffentlich bekannt waren oder ohne Verschulden der empfangenden Partei öffentlich werden, (b) der empfangenden Partei bereits vor Mitteilung rechtmäßig bekannt waren, (c) unabhängig entwickelt wurden oder (d) aufgrund gesetzlicher oder behördlicher Anordnung offengelegt werden müssen; im letzteren Fall unterrichtet die offenlegende Partei die andere Partei unverzüglich.

(4) Die Vertraulichkeitspflichten bestehen fünf Jahre über das Vertragsende hinaus, für Geschäftsgeheimnisse unbegrenzt.

§ 23 Export-Kontrolle und Sanktionen

(1) Der Kunde sichert zu, sämtliche einschlägigen Export-Kontroll- und Sanktionsvorschriften einzuhalten, einschließlich (a) der Dual-Use-Verordnung (EU) 2021/821, (b) des Außenwirtschaftsgesetzes (AWG) und der Außenwirtschaftsverordnung (AWV), (c) der US-Vorschriften EAR und ITAR, soweit anwendbar, (d) der EU- und UN-Sanktionslisten.

(2) Der Kunde verpflichtet sich, die Plattform nicht zu nutzen (a) zur Weitergabe von unter Export-Kontrolle stehender Technologie an sanktionierte Personen, Unternehmen oder Jurisdiktionen, (b) zu Zwecken, die einer Genehmigungspflicht unterliegen, ohne dass die erforderlichen Genehmigungen vorliegen, (c) von oder zugunsten natürlicher oder juristischer Personen auf Sanktionslisten.

(3) Der Anbieter ist berechtigt, den Zugang sofort zu beschränken oder zu beenden, wenn Hinweise auf Verstöße gegen Export-Kontroll- oder Sanktionsvorschriften vorliegen.

(4) Verstöße des Kunden begründen seine Freistellungspflicht nach § 27 in vollem Umfang; § 26 (Haftungsbegrenzung) findet insoweit zugunsten des Anbieters keine Anwendung gegenüber dem Kunden.

§ 24 Anti-Korruption und Compliance

(1) Beide Parteien verpflichten sich, sämtliche anwendbaren Anti-Korruptions-, Anti-Geldwäsche- und Compliance-Vorschriften einzuhalten, insbesondere §§ 331–337 StGB, das UK Bribery Act 2010 und den US Foreign Corrupt Practices Act (FCPA).

(2) Weder direkt noch indirekt dürfen an Amtsträger, Angestellte oder Vertreter der anderen Partei oder Dritter Zahlungen, Vorteile oder geldwerte Zuwendungen gewährt werden, die zur unangemessenen Einflussnahme bestimmt oder geeignet sind.

(3) Verstöße gegen diese Klausel berechtigen zur sofortigen außerordentlichen Kündigung; Schadensersatzansprüche bleiben unberührt.

§ 25 Mängelrechte und Gewährleistung

(1) Der Anbieter gewährleistet, dass die Plattform bei vertragsgemäßer Nutzung im Wesentlichen die vereinbarten Funktionen aufweist. Die Plattform wird kontinuierlich weiterentwickelt; Funktionsverbesserungen und Änderungen nach § 17 stellen keinen Mangel dar.

(2) Mängel sind dem Anbieter unverzüglich nach Entdeckung in Textform unter Angabe reproduzierbarer Schritte anzuzeigen. Der Anbieter ist zur Nacherfüllung durch Beseitigung des Mangels oder Bereitstellung einer mangelfreien Version berechtigt.

(3) Für Verbraucher gelten die gesetzlichen Gewährleistungsrechte nach §§ 327 ff. BGB (digitale Produkte) uneingeschränkt.

(4) Für Unternehmer ist die Gewährleistungsfrist auf ein Jahr ab Bereitstellung verkürzt, soweit gesetzlich zulässig.

(5) Unerhebliche Abweichungen von der vereinbarten Beschaffenheit begründen keine Mängelrechte.

§ 26 Haftung

(1) Der Anbieter haftet unbeschränkt für (a) Vorsatz und grobe Fahrlässigkeit, (b) Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, (c) Ansprüche nach dem Produkthaftungsgesetz, (d) arglistig verschwiegene Mängel, (e) übernommene Garantien.

(2) Bei leichter Fahrlässigkeit haftet der Anbieter ausschließlich für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten). Wesentlich sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Die Haftung ist in diesem Fall auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden begrenzt.

(3) Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen, soweit gesetzlich zulässig.

(4) Gegenüber Unternehmern ist die Haftung des Anbieters gemäß Abs. 2 zusätzlich der Höhe nach beschränkt auf den geringeren der folgenden Beträge pro Vertragsjahr und insgesamt: (a) die Summe der in den zwölf Monaten vor Eintritt des schadensauslösenden Ereignisses vom Kunden gezahlten Entgelte, oder (b) EUR 50.000.

(5) Die Haftung für mittelbare Schäden, Folgeschäden, entgangenen Gewinn, Datenverlust, Reputationsschäden und Betriebsunterbrechung ist gegenüber Unternehmern ausgeschlossen, soweit gesetzlich zulässig.

(6) Der Anbieter haftet nicht für Schäden, die auf der Grundlage von KI-Ausgaben (§ 7), Datenqualität (§ 6), ungeprüfter Verwendung von Plattform-Inhalten oder Verstößen des Kunden gegen §§ 11, 23, 24 entstehen, soweit gesetzlich zulässig.

(7) Die Haftungsbegrenzungen nach Abs. 4–6 gelten nicht für Ansprüche aus Abs. 1 und nicht gegenüber Verbrauchern, soweit sie gegen zwingendes Verbraucherrecht verstoßen würden.

(8) Ansprüche auf Schadensersatz verjähren gegenüber Unternehmern nach 12 Monaten ab Kenntnis des Schadens, spätestens jedoch nach drei Jahren ab dem schadensauslösenden Ereignis; Ansprüche aus Abs. 1 bleiben unberührt.

§ 27 Freistellung

(1) Der Kunde stellt den Anbieter von sämtlichen Ansprüchen Dritter frei, die aus (a) einer Verletzung dieser AGB, (b) rechtswidriger Nutzung der Plattform, (c) Verletzung von Rechten Dritter durch Kundendaten, (d) Verstößen gegen §§ 11, 23, 24 resultieren, einschließlich angemessener Kosten der Rechtsverteidigung.

(2) Der Anbieter stellt den Kunden von Ansprüchen Dritter frei, die auf Verletzung geistigen Eigentums durch die bestimmungsgemäße Nutzung der Plattform gestützt werden, sofern der Kunde (a) den Anbieter unverzüglich informiert, (b) keine Anerkenntnisse oder Vergleiche ohne Zustimmung des Anbieters abgibt, (c) dem Anbieter die alleinige Kontrolle über Verteidigung und Vergleich überlässt, (d) angemessene Unterstützung leistet. Die Freistellung ist der Höhe nach auf § 26 Abs. 4 beschränkt.

(3) Die Freistellung des Anbieters gemäß Abs. 2 entfällt, soweit der IP-Anspruch auf (a) Modifikationen durch den Kunden, (b) Kombination mit nicht vom Anbieter bereitgestellten Komponenten, (c) Nutzung entgegen den Anweisungen des Anbieters beruht.

§ 28 Höhere Gewalt

(1) Keine Partei haftet für Verzögerungen oder Nichterfüllung, die auf Ereignisse außerhalb ihrer zumutbaren Kontrolle zurückzuführen sind, insbesondere Naturkatastrophen, Pandemien, Krieg, Terrorismus, Streiks, behördliche Maßnahmen, Ausfälle von Internet-Infrastruktur oder Drittdiensten, großflächige Cyberangriffe trotz angemessener Schutzmaßnahmen.

(2) Die betroffene Partei informiert die andere Partei unverzüglich über Eintritt und voraussichtliche Dauer. Dauert das Ereignis länger als 90 Tage, kann jede Partei den Vertrag mit einer Frist von 30 Tagen kündigen.

§ 29 Referenzen und Publizität

(1) Der Anbieter ist berechtigt, Name und Logo des Unternehmenskunden in allgemeiner Form als Referenz auf der Website und in Kommunikationsmaterial zu verwenden, solange dies keine vertraulichen Informationen offenlegt.

(2) Über diese allgemeine Nennung hinausgehende Referenznutzungen (Case Studies, Zitate, Pressemitteilungen) bedürfen der vorherigen schriftlichen Zustimmung des Kunden.

(3) Der Kunde kann die Referenzierung gemäß Abs. 1 jederzeit mit einer Frist von 30 Tagen untersagen.

§ 30 Abtretung und Kontrollwechsel

(1) Der Kunde darf Rechte und Pflichten aus diesem Vertrag nur mit vorheriger schriftlicher Zustimmung des Anbieters auf Dritte übertragen; die Zustimmung darf nicht treuwidrig verweigert werden.

(2) Der Anbieter ist berechtigt, Rechte und Pflichten im Rahmen einer Fusion, Übernahme, Umwandlung oder Vermögensübertragung auf einen Rechtsnachfolger zu übertragen, sofern der Rechtsnachfolger an diese AGB gebunden bleibt und keine wesentlichen Leistungseinschränkungen eintreten.

(3) Bei Übertragung auf ein Konzernunternehmen des Anbieters besteht kein Zustimmungserfordernis; eine Information erfolgt mindestens 30 Tage im Voraus.

§ 31 Änderungen dieser AGB

(1) Der Anbieter ist berechtigt, diese AGB bei sachlich berechtigtem Grund zu ändern, insbesondere bei gesetzlichen Änderungen, Änderungen der höchstrichterlichen Rechtsprechung, Änderungen des Leistungsumfangs, sicherheitsrelevanten Anpassungen oder betriebswirtschaftlich zwingenden Anpassungen.

(2) Änderungen werden dem Kunden in Textform (in der Regel per E-Mail) mindestens 30 Tage vor Inkrafttreten mitgeteilt. Die Mitteilung enthält die geänderten Klauseln im Wortlaut oder einen entsprechenden Link.

(3) Für unwesentliche Änderungen — insbesondere redaktionelle Anpassungen, Klarstellungen ohne materiellen Eingriff in Rechte oder Pflichten, Updates der Sub-Processor-Liste innerhalb der bestehenden Risiko-Kategorie, sowie Korrekturen offensichtlicher Unrichtigkeiten — gilt: Widerspricht der Kunde nicht innerhalb von 30 Tagen nach Zugang der Mitteilung in Textform, gelten die geänderten AGB als angenommen. Auf diese Rechtsfolge wird in der Mitteilung ausdrücklich hingewiesen.

(4) Für wesentliche Änderungen — insbesondere Änderungen des Leistungsumfangs zum Nachteil des Kunden, Preisanpassungen über die nach § 17 (Vergütung) zulässigen Mechanismen hinaus, neue Haftungsbeschränkungen, Änderungen der Vertragslaufzeit oder Kündigungsfristen, neue Drittland-Übermittlungen, sowie Änderungen der Datenschutz-Garantien — ist eine ausdrückliche Zustimmung des Kunden in Textform erforderlich (z.B. durch Re-Acceptance-Dialog in der Anwendung oder schriftliche Bestätigung). Schweigen gilt insoweit NICHT als Zustimmung. Diese Klarstellung trägt der Rechtsprechung des Bundesgerichtshofs (Urteil vom 27.04.2021 — XI ZR 26/20) Rechnung, die rein stillschweigende Annahmen wesentlicher AGB-Änderungen für unwirksam erklärt.

(5) Widerspricht der Kunde im Fall von Abs. 3 fristgerecht — oder verweigert der Kunde im Fall von Abs. 4 die ausdrückliche Zustimmung — gilt der Vertrag zu den bisherigen AGB fort; jede Partei kann den Vertrag in diesem Fall mit Wirkung zum geplanten Inkrafttreten außerordentlich kündigen. Bis zur Kündigung läuft der Vertrag zu den bisherigen Bedingungen weiter.

(6) Für Verbraucher gilt Abs. 3 nur für Klauseln, die keine unangemessene Benachteiligung i.S.d. § 307 BGB begründen; für wesentliche Vertragsbestandteile gilt stets das gesetzliche Zustimmungserfordernis. Verbraucher werden zudem auf ihr Widerrufsrecht nach § 312g i.V.m. § 355 BGB hingewiesen, soweit einschlägig.

§ 32 Besondere Bestimmungen für Verbraucher

(1) Die Bestimmungen dieses Paragraphen gelten ergänzend ausschließlich für Verbraucher (§ 13 BGB). Bei Widersprüchen zwischen diesen Bestimmungen und anderen Klauseln gehen die Verbraucherschutzbestimmungen vor.

(2) Haftungsbegrenzungen in § 26 Abs. 4–6 gelten gegenüber Verbrauchern nur, soweit sie mit zwingendem Verbraucherrecht vereinbar sind. Ansprüche aus dem Produkthaftungsgesetz und bei Verletzung von Leben, Körper oder Gesundheit bleiben unberührt.

(3) Die Verkürzung der Verjährung nach § 26 Abs. 8 und die Gewährleistungsverkürzung nach § 25 Abs. 4 gelten gegenüber Verbrauchern nicht.

(4) Die Aufrechnungs- und Zurückbehaltungsbeschränkung nach § 13 Abs. 7 gilt gegenüber Verbrauchern nicht.

(5) Für Verbraucher gilt der Gerichtsstand nach § 33 Abs. 2 nicht. Es gelten die gesetzlichen Zuständigkeitsregelungen.

(6) Der Anbieter ist nicht bereit und nicht verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

§ 33 Streitbeilegung, Recht, Gerichtsstand

(1) Auf diese AGB und alle sich aus ihnen ergebenden Ansprüche findet das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG) Anwendung. Gegenüber Verbrauchern mit gewöhnlichem Aufenthalt in der EU bleibt die Anwendbarkeit zwingenden Verbraucherschutzrechts ihres Heimatstaats unberührt.

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist Köln, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Der Anbieter ist daneben berechtigt, den Kunden an dessen allgemeinem Gerichtsstand zu verklagen.

(3) Die deutschsprachige Fassung dieser AGB ist die maßgebliche Fassung. Übersetzungen dienen ausschließlich der Information; bei Widersprüchen gilt die deutschsprachige Fassung.

§ 34 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieser AGB unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt diejenige wirksame und durchführbare Regelung, die dem wirtschaftlichen Zweck der ursprünglichen Bestimmung am nächsten kommt.

(2) Mündliche Nebenabreden bestehen nicht. Änderungen und Ergänzungen bedürfen der Textform.

(3) Rechtlich relevante Mitteilungen einer Partei an die andere werden in Textform per E-Mail an die hinterlegten Kontaktadressen zugestellt und gelten drei Werktage nach Absendung als zugegangen, sofern kein früherer Zugangsnachweis geführt wird.

(4) Erklärungen in elektronischer Form, einschließlich elektronischer Signaturen i.S.d. eIDAS-Verordnung, werden wechselseitig anerkannt.

(5) Die Nichtausübung eines Rechts stellt keinen Verzicht auf dieses Recht dar. Verzichte bedürfen der ausdrücklichen Textform.

(6) Diese AGB stellen zusammen mit ggf. individuell vereinbarten Dokumenten, der Datenschutzerklärung, der DPA und den jeweils anwendbaren Anhängen die gesamte Vereinbarung zwischen den Parteien dar und ersetzen alle vorherigen Vereinbarungen zum selben Gegenstand.

(7) Rechte und Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen sollen, bleiben nach Vertragsende wirksam, insbesondere §§ 5, 8, 9 Abs. 3, 10, 22, 26, 27, 33.

(8) Dieser Vertrag begründet keine Rechte Dritter. Ansprüche Dritter aus diesem Vertrag sind ausgeschlossen.

§ 35 Versionsverlauf und Archivierung

(1) Diese AGB tragen die Versionsnummer 3.3 und treten am 27. Oktober 2026 in Kraft. Sie ersetzen die Version 3.2 vom 21. Oktober 2026.

(2) Bei jedem Vertragsschluss wird die geltende Version dokumentiert und dem Kunden per E-Mail bestätigt. Der Anbieter archiviert alle Versionen mindestens zehn Jahre ab Außerkraftsetzung und stellt sie dem Kunden auf Anforderung bereit.

(3) Frühere Versionen sind unter caelex.eu/legal/terms/archive abrufbar.

Ocular Klassifizierungssoftware, keine Rechtsberatung

§ 5 Abs. 10 gilt. Dieser Hinweis führt Ocular nicht als eigenen KI-Verarbeitungszweck unter § 7 ein.

Anhang A Atlas — Counsel-Arbeitsbereich

Dieser Anhang ergänzt die Hauptklauseln für die Nutzung des Produkts Atlas. Bei Widersprüchen geht dieser Anhang vor.

(1) Atlas ist ein Counsel-Arbeitsbereich für Kanzleien und In-House-Rechtsabteilungen im Raumfahrtsektor. Er umfasst Mandate, Entwurfswerkzeuge, einen Dokumenten-Tresor, Comparatoren sowie ein Primärquellen-Korpus (internationale, EU- und nationale Weltraumrechtsakte), das der Anbieter zusammenstellt, strukturiert und mit Verweisen auf amtliche Quellen versieht. Atlas ist keine statische regulatorische Datenbank und keine Rechtsberatung.

(2) § 5 (keine Rechtsberatung), § 6 (Datenqualität) und § 7 (KI-Funktionen, soweit Astra in Atlas eingebunden ist) gelten ausdrücklich. Insbesondere die Kategorisierung von Instrumenten, die Zuordnung zu Ratifikatoren, die Einordnung von Gültigkeit und der Status von Links sind Hilfestellungen und ersetzen nicht die Prüfung der Primärquelle.

(3) Die Atlas-Datenbanken, Mappings und Struktur-Eintragungen sind Datenbankwerk i.S.d. §§ 87a ff. UrhG. Das Recht des Datenbankherstellers verbleibt ausschließlich beim Anbieter. Eine systematische oder wesentliche Entnahme ist nach § 11 Abs. 1 dieser AGB untersagt.

(4) Atlas kann auch öffentlich zugängliche Teile enthalten. Für authentifizierte Funktionen (Bookmarks-Sync, Comparator, Download von PDF-Memos) gilt der Nutzerstatus; öffentliche Teile unterliegen denselben Nutzungsbeschränkungen nach § 11.

Anhang B Assure — Keine Anlage- oder Finanzberatung

(1) Dieser Anhang ergänzt § 5 Abs. 2 und gilt für die Produktlinie Assure einschließlich Regulatory Readiness Score (RRS), Regulatory Credit Rating (RCR), Investment Readiness Score (IRS), Risk Register, Scenario Analysis, Data-Room-Funktionen und Investor-Update-Generierung.

(2) Sämtliche Assure-Ausgaben sind qualitative, regelbasierte Einschätzungen regulatorischer Parameter. Sie stellen ausdrücklich keine Empfehlung zum Kauf, Verkauf oder Halten von Finanzinstrumenten und keine Bewertung i.S.d. Wertpapierdienstleistungen dar.

(3) Assure-Scores beruhen auf Eingaben des Kunden und sind nur so valide wie diese Eingaben. Der Kunde ist allein für Richtigkeit, Vollständigkeit und Aktualität seiner Eingaben verantwortlich.

(4) Der Kunde verpflichtet sich, Assure-Ausgaben nicht als Grundlage für Anlageentscheidungen ohne qualifizierte Prüfung durch lizenzierte Finanzdienstleister zu verwenden. Bei Weitergabe an Investoren oder Dritte ist der Kunde verpflichtet, diesen den informatorischen Charakter der Ausgaben und den Haftungsausschluss gemäß § 5 und § 26 kenntlich zu machen.

(5) Data-Room-Funktionen dienen ausschließlich der Organisation und dem geschützten Austausch bestehender Dokumente. Der Anbieter ist kein Treuhänder, Escrow-Dienst oder Wirtschaftsprüfer.

(6) Der Anbieter übernimmt keine Haftung für Investitionsentscheidungen, die auf Assure-Ausgaben beruhen, und keine Haftung gegenüber Dritten, denen der Kunde Assure-Ausgaben zur Verfügung stellt.

Anhang C Academy — Schulungen und Zertifizierungen

(1) Academy umfasst Schulungsmodule, Simulationen, Klassenräume und Badge-Vergabe.

(2) Abzeichen, Simulations-Abschlüsse und Teilnahmebescheinigungen der Academy haben ausschließlich internen Charakter und stellen keine staatlich anerkannte Zertifizierung, keine Berufsqualifikation und keine akademische Leistung dar.

(3) Der Anbieter gewährleistet keine Prüfungserfolge und keine Erreichung bestimmter Lernziele durch den Kunden oder seine Nutzer.

(4) Schulungsinhalte werden nach dem jeweils aktuellen Stand kuratiert. § 6 (Datenqualität) gilt entsprechend.

Anhang D API und Widget

(1) Die Nutzung der Caelex API und des Widgets unterliegt den Hauptklauseln und diesem Anhang.

(2) API-Schlüssel sind vertraulich und dürfen nicht an Dritte weitergegeben werden. Rate-Limits gemäß Tarif sind einzuhalten. Überschreitungen können zu temporären Sperrungen oder Nachberechnung führen.

(3) Der Anbieter ist berechtigt, API-Versionen nach einer Ankündigungsfrist von mindestens 90 Tagen zu deprecaten. Der Kunde ist verantwortlich, seine Integration rechtzeitig anzupassen.

(4) Betreibt der Kunde eine Integration oder ein eigenes Produkt, das die Caelex-API oder das Widget nutzt, haftet der Kunde allein gegenüber seinen Endkunden. Der Anbieter begründet keine Rechtsbeziehung zu Endkunden des Kunden.

(5) Der Kunde sichert zu, dass seine Integration die Caelex-Inhalte nicht als eigene darstellt und eine angemessene Quellenangabe „Powered by Caelex“ enthält, soweit dies im Widget vorgesehen ist.

(6) Die Public-API-Endpunkte unterliegen zusätzlich einer Fair-Use-Richtlinie. Missbräuchliche Nutzung, insbesondere systematische Extraktion, berechtigt zur sofortigen Sperrung.

Anhang E Astra — KI-Compliance-Assistent

(1) Astra beantwortet Fragen zu Weltraumrecht, Compliance-Anforderungen und Plattform-Inhalten. Astra nutzt Large Language Models externer Anbieter (siehe § 20 Abs. 3).

(2) § 7 (KI-Funktionen) gilt vollumfänglich. Astra-Ausgaben können unvollständig, veraltet, widersprüchlich oder erfunden sein.

(3) Astra darf nicht für Zwecke verwendet werden, die einer Rechtsberatung i.S.d. RDG gleichkommen, insbesondere nicht zur Einzelfallprüfung mit Bindungswirkung, nicht zur Erstellung behördlicher Einreichungen ohne Prüfung durch qualifizierte Berater und nicht zur Vertretung gegenüber Behörden.

(4) Der Anbieter verwendet vom Kunden über Astra eingegebene Inhalte zur Beantwortung der Anfrage. Eingaben werden gemäß § 9 Abs. 4 nicht zum Training eigener oder fremder Modelle verwendet. Aggregierte, anonymisierte Nutzungsmuster zur Plattform-Verbesserung sind hiervon unberührt.

(5) Astra-Konversationen werden zur Erbringung der Funktion und für Qualitätssicherung gespeichert. Der Kunde kann Konversationen jederzeit löschen; nach Löschung ist eine Wiederherstellung nicht möglich.

(6) Der Kunde darf Astra-Ausgaben weiterverwenden, ist aber verpflichtet, den Charakter als KI-generierten Inhalt bei Weitergabe an Dritte oder Behörden kenntlich zu machen, soweit gesetzlich oder vertraglich vorgeschrieben.

(7) Der Anbieter schließt die Haftung für Schäden aus der ungeprüften Verwendung von Astra-Ausgaben aus, soweit gesetzlich zulässig. § 26 gilt entsprechend.

Anhang F Passage — Entscheidungsunterstützung Exportkontrolle; keine Zoll- oder Rechtsberatung

(1) Dieser Anhang ergänzt die Hauptklauseln für die Produktlinie Passage (Exportkontroll-Arbeitsbereich), einschließlich Einstufungshilfen, Güterlisten- und Catch-all-Prüfungen, Sanktions- und Denied-Party-Screening, Genehmigungsermittlung und -Workflows, generierter Dokumentenentwürfe (z. B. Genehmigungsanträge, Endverbleibserklärungen, Zoll- und Versanddokumente), Marktübersichten sowie Astra, soweit in Passage eingebettet. Bei Widersprüchen geht dieser Anhang vor.

(2) Keine Rechtsberatung, keine Vertretung. § 5 (keine Rechtsberatung), § 6 (Datenqualität) und § 7 (KI-Funktionen) gelten ausdrücklich. Passage-Ausgaben sind automatisierte, regelbasierte Einschätzungen auf Grundlage der Kundeneingaben und veröffentlichter Güter- und Sanktionslisten. Sie sind keine verbindliche Feststellung von Genehmigungspflichten oder Verboten; verbindliche Auskünfte erteilen ausschließlich die zuständigen Behörden (z. B. BAFA, ISP, BIS, DDTC) oder qualifizierte Berater. Ein Hinweis der Kategorie „GO“ bedeutet, dass auf Basis der bereitgestellten Daten keine Genehmigungspflicht und kein Verbot identifiziert wurde — er ist keine Freigabe und entbindet den Kunden nicht von der eigenen Prüfung.

(3) Menschliche Entscheidung. Passage reicht nichts bei Behörden ein. Statusübergänge (insbesondere zur ausgeführten Lieferung), Einreichungen und generierte Dokumente erfordern Prüfung und Freigabe durch den Kunden. Die Verantwortung für Ausfuhrentscheidungen verbleibt jederzeit beim Kunden und seinem benannten Exportkontroll-Verantwortlichen (z. B. dem Ausfuhrverantwortlichen).

(4) Listenaktualität. Güterlisten, Sanktionslisten und Länderprogramme ändern sich laufend. Der Anbieter aktualisiert die zugrunde liegenden Daten mit der Sorgfalt des § 6 und zeigt Datenstände und Versionen im Produkt an; eine Gewähr für Vollständigkeit oder Aktualität einer Liste zu einem bestimmten Zeitpunkt übernimmt der Anbieter nicht. Vor der Ausfuhr verifiziert der Kunde die entscheidungserheblichen Listen gegen amtliche Quellen.

(5) Eingaben. Passage-Ausgaben sind nur so belastbar wie die Eingaben des Kunden (Artikeldaten, technische Parameter, Endverwendung, Beteiligte, Routen, Sitzländer). Für deren Richtigkeit, Vollständigkeit und Aktualität ist allein der Kunde verantwortlich.

(6) Drittdaten und Screening. Der Kunde beauftragt den Anbieter, Geschäftspartner des Kunden (einschließlich deren Vertreter und wirtschaftlich Berechtigter) gegen öffentlich verfügbare Sanktions- und Denied-Party-Listen zu screenen. Für diese Daten bleibt der Kunde Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO; die Verarbeitung richtet sich nach dem AV-Vertrag. Screening-Ergebnisse werden als Compliance-Nachweis für die beim Kunden geltenden Aufbewahrungsfristen gespeichert.

(7) Unzulässige Uploads. Der Kunde lädt keine ITAR technical data, keine Verschlusssachen und keine sonstigen Daten hoch, deren Speicherung oder Verarbeitung in einer kommerziellen Cloud-Umgebung eine Genehmigung erfordert, die der Kunde nicht besitzt (§ 11).

(8) Haftung. § 26 gilt. Der Anbieter haftet insbesondere nicht für Entscheidungen oder Bearbeitungszeiten von Behörden, nicht für Schäden aus Ausfuhrentscheidungen des Kunden oder seines Exportkontroll-Verantwortlichen und nicht gegenüber Dritten, denen der Kunde Passage-Ausgaben zugänglich macht.

Anhang G Scholar — Recherche und Lehre an Hochschulen

(1) Geltung. Dieser Anhang ergänzt die Hauptklauseln für Caelex Scholar (caelex.eu/scholar), die Recherche- und Lehrdatenbank zum Weltraumrecht für Studierende, Lehrende, Forschende und Beschäftigte von Hochschulen. Kunde im Sinne dieser AGB ist bei Scholar die einzelne Nutzerin oder der einzelne Nutzer. Bei Widersprüchen geht dieser Anhang den Hauptklauseln vor. Im Verhältnis zwischen Caelex und einer Hochschule gehen die mit ihr getroffenen Vereinbarungen vor.

(2) Zugang. Zugang erhält, wem eine Hochschule, die Scholar mit Caelex vereinbart hat, einen Platz zuweist, oder wessen persönliche Anfrage Caelex freigibt. Ein Anspruch auf Freigabe besteht nicht. Ist bei der Freigabe ein Enddatum festgelegt, endet der Zugang mit diesem Tag; die Zahl der Plätze ist auf die vereinbarte Zahl begrenzt. Der Zugang endet außerdem, wenn die Zugehörigkeit zur Hochschule oder deren Vereinbarung mit Caelex endet. Hat eine Hochschule einen Bibliothekszugang eingerichtet, kann Scholar aus ihrem Netz ohne Konto gelesen werden; für diese Nutzung gilt dieser Anhang entsprechend.

(3) Kostenfreiheit und Nutzungsrecht. Scholar ist für die Nutzerinnen und Nutzer kostenlos; sie schulden kein Entgelt. Caelex räumt ihnen ein einfaches, nicht übertragbares, widerrufliches Recht ein, Scholar für eigene, nicht kommerzielle Zwecke des Studiums, der Lehre und der Forschung zu nutzen. Im Übrigen gilt § 8.

(4) Keine Rechtsberatung. § 5 und § 6 gelten ausdrücklich. Die Inhalte (Verträge, EU-Rechtsakte, nationale Gesetze, Entscheidungen und ergänzende Materialien) dienen Studium, Lehre und Forschung; sie sind keine Beratung im Einzelfall und begründen kein Beratungsverhältnis. Vor rechtlich erheblichen Entscheidungen ist die amtliche Fassung der Quelle zu prüfen und qualifizierter Rat einzuholen.

(5) Quellenbestand. Amtliche Werke im Quellenbestand sind nach § 5 UrhG gemeinfrei. Die Zusammenstellung des Quellenbestands ist als Datenbank geschützt (§§ 87a ff. UrhG). Erlaubt sind das Lesen, das Speichern oder Drucken einzelner Quellen und das Zitieren in angemessenem Umfang für die Zwecke nach Absatz 3. Die Entnahme wesentlicher Teile und die wiederholte, systematische Entnahme unwesentlicher Teile sind untersagt (§ 11). Soweit Scholar auf Normen verweist, die nicht frei lizenziert sind (etwa von ITU oder ISO/IEC), gelten für deren Nutzung die Bedingungen der Rechteinhaber.

(6) KI-Funktionen. Planspiele können einen KI-Coach enthalten, der Abgaben anhand der Bewertungskriterien kommentiert. Eine KI-gestützte Suche ist, soweit Scholar sie anbietet, ab Werk ausgeschaltet und läuft nur, wenn die Nutzerin oder der Nutzer sie einschaltet. § 7 gilt: Ergebnisse von KI-Funktionen können unvollständig oder falsch sein und sind keine Bewertung durch Lehrende und keine Rechtsauskunft. Welche Daten dabei wohin gehen, regelt die Datenschutzerklärung (§ 16).

(7) Pflichten. § 11 und § 12 gelten. Der Zugang ist persönlich: Zugangsdaten dürfen nicht weitergegeben und Konten nicht gemeinsam genutzt werden. Untersagt sind insbesondere das automatisierte Auslesen und massenhafte Herunterladen von Inhalten, die Umgehung von Ratenbegrenzungen sowie Versuche, den Quellenbestand oder KI-Funktionen auszulesen oder durch eingeschleuste Anweisungen (Prompt Injection) zu manipulieren. Bei Verstößen kann Caelex den Zugang sperren und die Hochschule informieren.

(8) Lehrende und Kurse. Wer Kurse anlegt oder Teilnehmende einlädt, lädt nur Personen ein, die zur Teilnahme berechtigt sind, und verwendet deren Daten und Abgaben nur für die jeweilige Lehrveranstaltung. Die Zahl der Mitglieder einer Organisation ist auf die vereinbarte Zahl der Plätze begrenzt.

(9) Haftung. § 26 gilt mit folgender Maßgabe: Da Scholar unentgeltlich überlassen wird, haftet Caelex gegenüber den Nutzerinnen und Nutzern für leichte Fahrlässigkeit nicht, soweit die §§ 521, 599 BGB anwendbar sind. § 26 Abs. 1 bleibt unberührt. Für Entscheidungen, die Nutzerinnen und Nutzer auf Grundlage der Inhalte treffen, gilt § 5 Abs. 6.

(10) Ende des Zugangs. Caelex kann den Zugang aus wichtigem Grund sperren oder beenden, insbesondere bei Verstößen nach Absatz 7. Nutzerinnen und Nutzer können ihr Konto jederzeit in den Scholar-Einstellungen selbst löschen (§ 14 Abs. 1). Welche Daten dabei gelöscht werden, regelt die Datenschutzerklärung (§ 16).

§ 1 Gegenstand, Umfang und Dauer

(1) Gegenstand dieses DPA ist die Verarbeitung personenbezogener Daten durch Caelex im Auftrag und auf Weisung des Kunden im Zuge der Bereitstellung der Caelex-Plattform und aller vertraglich vereinbarten Produkte (Atlas, Assure, Academy, API/Widget, Astra, Mission Control, Ephemeris, NCA Portal, Digital Twin, Sentinel, Verity, Generate, Dashboard, Assessments).

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrages. Rechte und Pflichten aus diesem DPA, die ihrer Natur nach fortbestehen sollen (insbesondere Löschpflichten, Vertraulichkeit, Haftung, Nachweispflichten), gelten über das Vertragsende hinaus.

(3) Verarbeitungsort ist primär die Europäische Union und der Europäische Wirtschaftsraum. Drittland-Verarbeitung erfolgt ausschließlich unter den Bedingungen des § 18 dieses DPA.

§ 2 Begriffsbestimmungen

Für diesen DPA gelten die Definitionen des Art. 4 DSGVO. Ergänzend:

„Verantwortlicher“ — der Kunde gemäß Art. 4 Nr. 7 DSGVO. Der Kunde bestimmt Zwecke und Mittel der Verarbeitung.

„Auftragsverarbeiter“ — Caelex gemäß Art. 4 Nr. 8 DSGVO. Caelex verarbeitet personenbezogene Daten im Auftrag des Kunden.

„Sub-Auftragsverarbeiter“ — ein von Caelex eingesetzter Dritter, der personenbezogene Daten im Rahmen der Leistungserbringung verarbeitet (Art. 28 Abs. 4 DSGVO). Die aktuelle Liste ist Anlage 2 und unter caelex.eu/legal/sub-processors einsehbar.

„TOMs“ — technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, dokumentiert in Anlage 1 dieses DPA.

„Schutzverletzung“ — eine Verletzung des Schutzes personenbezogener Daten i.S.d. Art. 4 Nr. 12 DSGVO.

§ 3 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung:

• Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern
• Abfragen, Beraten, Verwenden durch automatisierte Auswertung
• Offenlegen durch Übermittlung, Verbreiten oder eine andere Form der Bereitstellung
• Abgleichen, Verknüpfen, Einschränken, Löschen, Vernichten
• Automatisierte Auswertung durch KI-Systeme zur Unterstützung des Kunden (Astra, Generate, Dokumenten-Automation)

(2) Zwecke der Verarbeitung:

• Bereitstellung der vertraglich vereinbarten Produkte und Leistungen
• Account- und Nutzerverwaltung sowie Rechte- und Rollensteuerung
• Durchführung von Compliance-Assessments und Generierung von Compliance-Dokumenten
• Verwaltung von Dokumenten, Einreichungen und Audit-Trails des Kunden
• KI-gestützte Beantwortung von Fragen (Astra) auf Basis der Eingaben des Kunden
• Exportkontroll-Screening und -Einschätzungen in Passage, einschließlich Speicherung der Screening-Ergebnisse, konsultierten Listenstände und Einschätzungen als Compliance-Nachweis des Kunden
• Ermöglichung von Kollaboration zwischen Nutzern des Kunden
• Betriebssichere und beobachtbare Bereitstellung (Fehler-Monitoring, Performance-Metriken)
• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten

(3) Die Verarbeitung erfolgt ausschließlich zu den in Abs. 2 genannten Zwecken. Eine Nutzung für eigene Zwecke des Auftragsverarbeiters — insbesondere für Werbung, Profiling für Dritte oder Training eigener oder fremder KI-Modelle — ist ausgeschlossen, soweit der Kunde nicht ausdrücklich und widerruflich in Textform zustimmt.

§ 4 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind je nach Nutzung des Kunden insbesondere folgende Datenkategorien:

• Stammdaten der Nutzer des Kunden (Name, E-Mail-Adresse, Sprache, Zeitzone)
• Authentifizierungsdaten (gehashte Passwörter, MFA-Tokens, WebAuthn-Credentials, Session-Tokens)
• Organisations- und Rollendaten (Organisationszugehörigkeit, Berechtigungen, Einladungen)
• Kommunikationsdaten (Support-Anfragen, In-App-Benachrichtigungen, Astra-Konversationen)
• Kundendaten im engeren Sinn (hochgeladene Dokumente, Assessment-Antworten, Compliance-Status, Risiken, Ephemeris-Daten, Satelliten-Telemetrie, Kunden-spezifische regulatorische Konfigurationen)
• Nutzungs- und Log-Daten (IP-Adressen, User-Agent, Zugriffszeitpunkte, Sicherheits-Events, Audit-Logs)
• Abrechnungs- und Vertragsdaten (Rechnungsadresse, Zahlungshistorie über Stripe; Zahlungsmittel werden nicht bei Caelex gespeichert)
• vom Kunden zu Exportkontroll-Zwecken eingegebene Drittdaten (Passage): Geschäftspartner, Endverwender und Zwischenhändler einschließlich Ansprechpartner, Vertreter und wirtschaftlich Berechtigter (Namen, Adressen, Registerdaten, Kennungen, Beteiligungsstrukturen), Screening-Treffer-Kandidaten und -Entscheidungen, Staatsangehörigkeits- und Aufenthaltsangaben für Deemed-Export-Prüfungen sowie Kontakt- und Übermittlungsdaten externer Unterzeichner von Endverbleibserklärungen (Name, Funktion, E-Mail, Zeitstempel, IP-Adresse, Browser-Kennung)

Besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO sind nicht vorgesehen. Der Kunde ist verpflichtet, keine derartigen Daten in die Plattform einzubringen, soweit er mit Caelex keine gesonderte Vereinbarung getroffen hat.

§ 5 Kategorien der betroffenen Personen

Die Verarbeitung betrifft insbesondere:

• Nutzer des Kunden (eigene Mitarbeiter, Auftragnehmer, autorisierte Dritte)
• Geschäftskontakte des Kunden, deren Daten in die Plattform eingebracht werden (z.B. Ansprechpartner bei Behörden, NCA-Kontakte, Investorenkontakte bei Assure)
• Endkunden des Kunden, soweit deren Daten im Rahmen der Plattform-Nutzung verarbeitet werden
• Geschäftspartner des Kunden sowie deren Beschäftigte, Vertreter und wirtschaftlich Berechtigte, soweit der Kunde sie für Exportkontroll-Prüfungen und Screening einbringt (Passage)
• externe Unterzeichner von Endverbleibserklärungen und Lieferantenerklärungen, die der Kunde über Portal-Links einlädt

§ 6 Rechte und Pflichten des Verantwortlichen

(1) Der Kunde ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO und allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Kunde stellt sicher, dass eine gültige Rechtsgrundlage (Art. 6, ggf. Art. 9, 10 DSGVO) für die Verarbeitung besteht und die erforderlichen Informationspflichten (Art. 13, 14 DSGVO) erfüllt sind.

(3) Der Kunde ist verpflichtet, alle Weisungen und Anfragen in Textform zu dokumentieren. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Der Kunde benennt einen Ansprechpartner für datenschutzrechtliche Fragen. Bei Wechsel ist Caelex unverzüglich zu informieren.

§ 7 Allgemeine Pflichten des Auftragsverarbeiters

Caelex verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen und nach dokumentierten Weisungen des Kunden. Caelex:

• verarbeitet Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer (vorbehaltlich § 18 dieses DPA);
• unterrichtet den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Caelex gegen die DSGVO oder andere Datenschutzvorschriften verstößt; Caelex ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert;
• verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• implementiert und hält die TOMs nach § 9 und Anlage 1 aufrecht;
• bindet Sub-Auftragsverarbeiter nur gemäß § 10 und Anlage 2 ein;
• unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Wahrnehmung der Rechte betroffener Personen (§ 15 dieses DPA);
• unterstützt den Kunden bei Pflichten nach Art. 32–36 DSGVO (§§ 12, 13 dieses DPA);
• löscht oder gibt nach Wahl des Kunden alle personenbezogenen Daten nach Ende der Erbringung der Verarbeitungsleistung zurück und löscht vorhandene Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht (§ 14);
• stellt dem Kunden die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (§ 16);
• benennt einen Datenschutzbeauftragten (DSB), soweit Caelex hierzu gesetzlich verpflichtet ist, und teilt den Namen sowie die Kontaktdaten dem Kunden auf Anforderung mit.

§ 8 Weisungsrecht

(1) Der Kunde erteilt Weisungen grundsätzlich in Textform an privacy@caelex.eu. Die Vereinbarung dieses DPA samt Anlagen und die Nutzung der Plattform nach ihren vertraglich vereinbarten Funktionen stellen ebenfalls Weisungen dar.

(2) Einzelweisungen sind verbindlich, wenn sie Caelex einen zumutbaren Aufwand abverlangen und mit dem vereinbarten Leistungsumfang vereinbar sind. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, können von Caelex nach Aufwand berechnet oder abgelehnt werden.

(3) Caelex teilt dem Kunden die bei Caelex autorisierten Empfänger von Weisungen mit. Ändert sich diese Liste, informiert Caelex den Kunden unverzüglich.

§ 9 Technische und organisatorische Maßnahmen (TOMs)

(1) Caelex trifft geeignete TOMs gemäß Art. 32 DSGVO, die dem Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessen sind.

(2) Die TOMs sind in Anlage 1 dokumentiert und werden bei wesentlichen Änderungen fortgeschrieben. Caelex ist berechtigt, die TOMs weiterzuentwickeln, solange das Schutzniveau nicht unterschritten wird.

(3) Der Kunde bestätigt, die TOMs vor Vertragsabschluss geprüft und als angemessen bewertet zu haben.

§ 10 Sub-Auftragsverarbeiter

(1) Der Kunde erteilt Caelex die allgemeine schriftliche Genehmigung i.S.d. Art. 28 Abs. 2 S. 2 DSGVO zur Beauftragung der in Anlage 2 gelisteten Sub-Auftragsverarbeiter.

(2) Caelex verpflichtet seine Sub-Auftragsverarbeiter vertraglich zur Einhaltung eines Schutzniveaus, das den Pflichten aus diesem DPA im Wesentlichen entspricht, insbesondere zu ausreichenden TOMs und zur Einhaltung der Weisungen (Art. 28 Abs. 4 DSGVO).

(3) Caelex informiert den Kunden mindestens 30 Tage vor Aufnahme oder Austausch eines Sub-Auftragsverarbeiters. Die aktuelle Liste wird unter caelex.eu/legal/sub-processors veröffentlicht; der Kunde kann sich zum Benachrichtigungsservice anmelden.

(4) Der Kunde kann aus wichtigem, datenschutzbezogenem Grund in Textform Einspruch erheben. Bei berechtigtem Einspruch, dem Caelex nicht durch eine vergleichbare Alternative begegnen kann, hat der Kunde ein Sonderkündigungsrecht des Hauptvertrages zum Zeitpunkt des Wechsels.

(5) Die bloße Nutzung von Dienstleistern ohne Zugriff auf personenbezogene Daten (z.B. anonyme CDN-Bereitstellung, reine Paketzustellung) ist keine Unterauftragsverarbeitung i.S.d. DSGVO.

(6) Soweit der Kunde Berufsgeheimnisträger im Sinne des § 203 StGB ist (insbesondere Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Ärzte), gilt zusätzlich der Berufsgeheimnisträger-Annex unten (§ 10a). Caelex verpflichtet alle Sub-Auftragsverarbeiter, die Zugang zu Mandantengeheimnissen erhalten können, schriftlich auf die Verschwiegenheit und weist sie ausdrücklich auf die strafrechtlichen Folgen aus § 203 StGB hin (§ 43e Abs. 3 BRAO). Die Modellanbieter hinter dem Vercel AI Gateway (Google Cloud, Amazon Web Services) sind Unterauftragsverarbeiter von Vercel ohne eigenen Vertrag mit Caelex; für sie gelten die Zusagen nach § 10a Abs. 5 und Anlage 2.

§ 10a Annex Berufsgeheimnisträger (§ 43e BRAO · § 203 StGB · § 62a StBerG)

(1) Anwendungsbereich. Dieser Annex findet Anwendung, wenn der Kunde Berufsgeheimnisträger im Sinne des § 203 StGB ist und unter Caelex Daten verarbeitet, die einer beruflichen Verschwiegenheitspflicht unterliegen — namentlich Mandanten-, Klienten-, Patientenbeziehungen sowie sämtliche darauf bezogene Sachverhalte (einschließlich der bloßen Tatsache der Mandatierung).

(2) Verpflichtung von Caelex. Caelex und sämtliche bei Caelex zur Auftragsverarbeitung befugten Personen sind ausdrücklich auf die Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen einer Verletzung gemäß § 203 StGB sowie etwaige berufsrechtliche Sanktionen belehrt. Caelex dokumentiert diese Belehrung schriftlich für jede mitwirkende Person und stellt entsprechende Nachweise auf Anforderung des Kunden zur Verfügung.

(3) Sub-Auftragsverarbeiter. Caelex verpflichtet jeden Sub-Auftragsverarbeiter, der Zugang zu Mandantengeheimnissen erhalten kann (insbesondere KI-Dienstleister, Hosting-Anbieter und Datenbankbetreiber), durch eine zusätzliche Vereinbarung in Textform auf die Verschwiegenheit und auf die strafrechtlichen Folgen aus § 203 StGB. Die Vereinbarung umfasst insbesondere die Verpflichtung, Daten nicht zu Trainingszwecken zu verwenden, sie nach Verarbeitung unverzüglich zu löschen (Zero-Data-Retention, soweit technisch möglich) und sich Weisungen des Kunden über Caelex unterzuordnen. Die Modellanbieter hinter dem Vercel AI Gateway (Google Cloud, Amazon Web Services) sind Unterauftragsverarbeiter von Vercel ohne eigenen Vertrag mit Caelex; für sie gelten die Zusagen nach § 10a Abs. 5 und Anlage 2.

(4) Need-to-know-Prinzip. Caelex stellt sicher, dass Mandantendaten nur denjenigen Personen und Systemen zugänglich gemacht werden, die für die jeweilige Verarbeitung erforderlich sind. Im bilateralen Mandat-Bridge-Modul (Atlas × Caelex) wird der Zugriff der Anwaltskanzlei auf das im Handshake-Verfahren festgelegte Scope-Set technisch beschränkt; jeder Zugriff wird in einem manipulationssicheren Audit-Log (Hash-Chain) protokolliert.

(5) Drittlandtransfer und KI-Verarbeitung. Caelex gibt KI-Anfragen über das Vercel AI Gateway an die Claude-Modelle von Anthropic, festgelegt auf Verarbeitung in der Europäischen Union; bedient werden sie von Google Cloud (Vertex AI) oder Amazon Web Services (Bedrock) in der EU. Steht kein Weg in der EU zur Verfügung, schlägt die Anfrage fehl; ein Ausweichen auf einen Weg außerhalb der EU findet nicht statt. Jede Anfrage ist ohne Training festgelegt; das Gateway leitet nur an Modellanbieter weiter, die gegenüber Vercel Zero Data Retention zugesagt haben. Über dasselbe Gateway mit denselben Festlegungen schreibt Google Gemini die Spracheingabe in Atlas und Ocular mit, wertet Datenblätter in Passage aus und beantwortet Fragen im Assistenten von Ocular. Atlas erzeugt keine KI-Einbettungen der Texte des Kunden. Nicht von der EU-Festlegung erfasst sind die Durchleitung durch Vercel, bei der eine Anfrage vor der Weiterleitung in einer Vercel-Region außerhalb der EU ankommen kann, die Missbrauchs- und Sicherheitsprüfung markierter Anfragen beim Anbieter und die Anfrage-Metadaten, die das Gateway 30 Tage aufbewahrt. Wiederkehrende Teile einer Anfrage hält der Modellanbieter bis zu einer Stunde nach der letzten Nutzung in einem Zwischenspeicher (Prompt-Cache) vor; wie dieser unter der Zero-Data-Retention-Zusage gegenüber Vercel behandelt wird, richtet sich nach den Bedingungen des Anbieters. Ausnahme: Schaltet der Kunde in Atlas die Websuche ein, gehen Suchbegriffe an DuckDuckGo (Standard) oder Brave Search, je nach Einstellung durch Caelex, in den USA. Insoweit gelten § 18 und Anlage 2.

(6) Beschlagnahmefreiheit / Auskunftsverweigerung. Caelex erkennt die Beschlagnahmefreiheit der dem Kunden anvertrauten Geheimnisse (§ 97 StPO) an und macht von etwaigen Auskunfts- oder Herausgabeverweigerungsrechten Gebrauch, soweit dies rechtlich zulässig ist. Caelex informiert den Kunden unverzüglich über behördliche Auskunftsersuchen, die Mandantengeheimnisse betreffen, soweit eine Information nicht selbst gegen geltendes Recht verstößt.

(7) Beendigung. Bei Beendigung des Hauptvertrages oder eines konkreten Mandats stellt Caelex die Mandantendaten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung und löscht oder pseudonymisiert sie nach den Weisungen des Kunden — vorbehaltlich gesetzlicher Aufbewahrungspflichten und vorbehaltlich des Rechts der mandatsbearbeitenden Anwaltskanzlei zur eigenen Aktenführung gemäß § 50 BRAO.

§ 11 Unterstützungspflichten

Caelex unterstützt den Kunden angemessen bei der Einhaltung seiner Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere:

• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Art. 32 DSGVO);
• rasche Wiederherstellbarkeit nach Zwischenfällen;
• Unterstützung bei der Meldung von Schutzverletzungen (§ 12);
• Unterstützung bei der Datenschutz-Folgenabschätzung (§ 13);
• Unterstützung bei der vorherigen Konsultation mit der Aufsichtsbehörde, soweit erforderlich.

Unterstützungsleistungen, die über die in diesem DPA vereinbarten Pflichten hinausgehen, werden von Caelex nach Zeitaufwand zu branchenüblichen Sätzen berechnet.

§ 12 Meldung von Schutzverletzungen

(1) Caelex informiert den Kunden unverzüglich nach Kenntniserlangung schriftlich oder in Textform über Schutzverletzungen personenbezogener Daten, die dem Zuständigkeitsbereich von Caelex zuzurechnen sind. Ziel-Reaktionszeit: in der Regel binnen 24 Stunden, spätestens innerhalb von 72 Stunden. Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO bezieht sich auf die Meldepflicht des Verantwortlichen gegenüber der Aufsichtsbehörde; Caelex als Auftragsverarbeiter agiert nach Art. 33 Abs. 2 DSGVO 'unverzüglich', hält sich aber selbst an die kürzere operative Frist um dem Kunden die fristgerechte Aufsichtsbehörden-Meldung zu ermöglichen.

(2) Die Meldung enthält, soweit bekannt: Art der Schutzverletzung, Kategorien und ungefähre Zahl der Betroffenen, Kategorien und ungefähre Zahl der betroffenen Datensätze, wahrscheinliche Folgen, ergriffene Abhilfemaßnahmen.

(3) Der Kunde ist verantwortlich für die Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und gegebenenfalls an betroffene Personen (Art. 34 DSGVO). Caelex unterstützt bei der Erstellung der Meldungen.

(4) Der zentrale Meldekanal bei Caelex ist security@caelex.eu sowie privacy@caelex.eu. Caelex führt ein Register aller Schutzverletzungen und stellt diesen Eintrag dem Kunden auf Anforderung zur Verfügung.

§ 13 Datenschutz-Folgenabschätzung

(1) Soweit der Kunde nach Art. 35 DSGVO zur Durchführung einer Datenschutz-Folgenabschätzung verpflichtet ist, unterstützt Caelex mit angemessenen Informationen, insbesondere durch Bereitstellung von Produktbeschreibungen, TOMs, Sub-Auftragsverarbeiter-Informationen und ggf. Zusammenfassungen interner Risikoanalysen.

(2) Caelex ist nicht verpflichtet, eigene Datenschutz-Folgenabschätzungen an den Kunden herauszugeben, soweit diese Geschäftsgeheimnisse enthalten.

§ 14 Rückgabe und Löschung

(1) Nach Beendigung der Erbringung der Verarbeitungsleistung stellt Caelex dem Kunden die personenbezogenen Daten innerhalb von 30 Tagen in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung (Export). Bei Kunden mit gesetzlicher Aktenführungs- oder Aufbewahrungspflicht (insbesondere Rechtsanwaltskanzleien nach § 50 BRAO, Steuerberater nach § 66 StBerG, sowie Berufsgeheimnisträger nach § 203 StGB) verlängert sich die Exportfrist auf Anfrage und unter Aufrechterhaltung der Vergütungspflicht auf bis zu 90 Tage. Nach Ablauf der jeweiligen Exportfrist oder auf Wunsch des Kunden erfolgt die Löschung.

(2) Die Löschung erfolgt auf allen Produktivsystemen binnen 30 Tagen, auf Backup-Systemen spätestens mit Ablauf der Aufbewahrung der Sicherungen (höchstens 35 Tage: Wiederherstellung zu einem Zeitpunkt 30 Tage, tägliche Snapshots 7 Tage, wöchentliche Snapshots 35 Tage; Stand 22.10.2026). Die Löschung wird protokolliert; der Kunde kann eine Löschbestätigung anfordern.

(3) Gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Pflichten) gehen der Löschung vor. Caelex informiert den Kunden, welche Daten aus welchem Grund und für welche Dauer weiter aufbewahrt werden müssen.

(4) Aggregierte, vollständig anonymisierte Daten ohne Personenbezug und ohne Re-Identifizierungsmöglichkeit dürfen für statistische und Produktverbesserungszwecke weiter genutzt werden.

§ 15 Rechte der betroffenen Personen

(1) Caelex unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen (Art. 15–22 DSGVO), insbesondere durch Self-Service-Funktionen, Exporte und gezielte Löschung.

(2) Wendet sich eine betroffene Person unmittelbar an Caelex, leitet Caelex den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, soweit nicht ausdrücklich durch den Kunden angewiesen oder rechtlich zwingend.

§ 16 Nachweise und Kontrollen

(1) Caelex stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und dieses DPA zur Verfügung, insbesondere durch Bereitstellung aktueller TOM-Dokumentation, Sub-Auftragsverarbeiter-Liste und ggf. Auditberichten Dritter (z.B. ISO 27001-Zertifikate des Hostings, SOC 2 Reports).

(2) Der Kunde ist berechtigt, einmal pro Kalenderjahr — bei begründetem Anlass (z.B. dokumentierte Schutzverletzung) auch häufiger — eine Überprüfung durchzuführen. Die Überprüfung erfolgt nach Ankündigung mit mindestens 30 Kalendertagen Vorlauf.

(3) Überprüfungen sollen die Geschäftstätigkeit von Caelex nicht unangemessen beeinträchtigen, werden vorrangig durch Vorlage von Dokumentation, Zertifikaten und schriftlichen Auskünften erfüllt. Vor-Ort-Prüfungen erfolgen nur, wenn Dokumentenprüfung nicht ausreicht.

(4) Der Kunde kann die Überprüfung durch einen geeigneten, zur Berufsverschwiegenheit verpflichteten Dritten (z.B. zugelassener Wirtschaftsprüfer) durchführen lassen. Wettbewerber von Caelex sind als Prüfer ausgeschlossen.

(5) Kosten für eigene Prüfungen trägt der Kunde, außer die Prüfung deckt wesentliche Mängel auf, die Caelex zu vertreten hat.

§ 17 Haftung

(1) Für die Haftung nach Art. 82 DSGVO gelten die allgemeinen Bestimmungen der DSGVO. Im Innenverhältnis gilt ergänzend der Haftungsrahmen aus § 26 der AGB V3.2.

(2) Soweit Caelex und Kunde gesamtschuldnerisch haften, haftet im Innenverhältnis diejenige Partei vorrangig, deren Verantwortungsbereich die Ursache zuzurechnen ist.

(3) Der Kunde stellt Caelex im Innenverhältnis von Ansprüchen frei, die auf Weisungen des Kunden oder auf Rechtswidrigkeit der Verarbeitung in der Sphäre des Kunden beruhen.

§ 18 Internationale Datentransfers

(1) Eine Übermittlung personenbezogener Daten in Drittländer i.S.d. Art. 44 ff. DSGVO erfolgt ausschließlich, wenn eine Rechtsgrundlage nach Art. 45 bis 49 DSGVO vorliegt.

(2) Für Transfers an Sub-Auftragsverarbeiter mit Sitz in den USA oder anderen Drittstaaten ohne Angemessenheitsbeschluss nutzt Caelex die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Modul 2 (Controller-to-Processor) oder Modul 3 (Processor-to-Processor), in der jeweils aktuellen Fassung. Ausgenommen sind derzeit die Websuche (DuckDuckGo oder Brave Search, USA) und ip-api.com: Für sie ist eine Transfergrundlage nicht dokumentiert; übermittelt werden nur Suchbegriffe bzw. die IP-Adresse.

(3) Wo anwendbar, nutzt Caelex ergänzend das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795).

(4) Ergänzende Schutzmaßnahmen (Verschlüsselung, Zugriffsbeschränkung, Transparenzberichte) werden in den TOMs in Anlage 1 dokumentiert.

(5) Der Kunde stimmt mit Abschluss dieses DPA den in Anlage 2 beschriebenen Drittlandtransfers ausdrücklich zu.

§ 19 Geheimhaltung

(1) Caelex verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

(2) Ergänzend gilt die Vertraulichkeitsklausel § 22 der AGB V3.2.

§ 20 Sonstige Bestimmungen

(1) Änderungen und Ergänzungen dieses DPA bedürfen der Textform. Dies gilt auch für die Änderung dieser Schriftformklausel.

(2) Sollten einzelne Bestimmungen dieses DPA unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Im Falle eines Widerspruchs zwischen diesem DPA und anderen Vereinbarungen der Parteien geht dieser DPA für die hier geregelten Gegenstände vor.

(4) Für diesen DPA gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Köln, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(5) Die deutsche Fassung dieses DPA ist rechtlich maßgeblich. Englischsprachige Fassungen dienen ausschließlich der Information.

Anlage 1 Technische und organisatorische Maßnahmen (TOMs)

A. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Hostinginfrastruktur in zertifizierten Rechenzentren (ISO 27001, SOC 2 Type II) der Infrastrukturpartner. Caelex selbst betreibt keine On-Prem-Server mit Produktivdaten.
• Zugangskontrolle: Multi-Faktor-Authentifizierung für alle privilegierten Zugänge (TOTP und/oder WebAuthn/FIDO2). Passwort-Policy mit Mindestlänge 12, Hash mittels bcrypt (12 Runden). Automatische Account-Sperre nach fünf fehlgeschlagenen Login-Versuchen binnen 15 Minuten.
• Zugriffskontrolle: Role-Based Access Control (RBAC) mit Rollen Owner, Admin, Manager, Member, Viewer. Prinzip der minimalen Berechtigung. Trennung von Mandantendaten durch pro-Organisation-Isolation auf Anwendungs- und Datenbankschicht.
• Trennungskontrolle: Mandantentrennung auf Ebene der Anwendungs-Datenbank; separate Schlüsselableitung pro Organisation bei feldweisem Encryption.
• Pseudonymisierung / Verschlüsselung: Organisations-USt-IdNr. (VAT), Versicherungspolice-Nummern, Incident-Texte, Anforderungsnotizen (Cybersecurity/NIS2/CRA) und Aufsichtsberichte werden mittels AES-256-GCM und scrypt-Schlüsselableitung pro Mandant versiegelt, wenn ein Organisationskontext besteht. Nutzer ohne Mandant nutzen den anwendungsweiten Schlüssel. Beim Lesen werden Org-Ciphertext, älterer globaler Ciphertext und Legacy-Klartext geöffnet (Dual-Read), bis der Backfill abgeschlossen ist. Bankverbindungen und Steuer-IDs existieren nicht als Spalten. Neue Atlas-Mandatsdateien im Objektspeicher werden zusätzlich per Envelope verschlüsselt (AES-256-GCM, Datei-DEK mit Organisationsschlüssel). Bestand ohne encryptionMeta bleibt anbieterseitig Klartext, bis ein Backfill vorliegt. Das Audit-Log wird nicht feldverschlüsselt. Es wird nicht behauptet, dass alle personenbezogenen Daten verschlüsselt sind. Transportverschlüsselung ausnahmslos TLS 1.2+.

B. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Datenübermittlung ausschließlich verschlüsselt. Interne Service-Service-Kommunikation über authentifizierte Kanäle. API-Aufrufe über HMAC-signierte Requests bei sensiblen Endpunkten.
• Eingabekontrolle: Revisionssichere Audit-Logs mit SHA-256-Hash-Verkettung jeder Änderung. Audit-Log manipulationssicher durch Hash-Chain. Aufbewahrungsfristen je nach Datenkategorie.

C. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Backups: anbieterseitige Sicherungen der PostgreSQL-Datenbank (Neon): Wiederherstellung zu einem Zeitpunkt 30 Tage, tägliche Snapshots 7 Tage, wöchentliche Snapshots 35 Tage (Stand 22.10.2026). Keine Caelex-eigene Backup-Pipeline.
• Verfügbarkeitsziel: 99,5 % monatlich (siehe § 16 AGB).
• Anwendung: verteilte Edge-Infrastruktur (Vercel). Datenbank: eine Region (AWS eu-central-1, Frankfurt). Caelex betreibt keine eigene regionsübergreifende Datenbankreplikation.
• Wiederherstellung: dokumentierter Branch-Kopie-Drill (Trust-Pack-Exhibit Neon). Kein behaupteter quartalsweiser Time-Travel-Restore.

D. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Management: dokumentierte Verfahren; privacy@caelex.eu als zentraler Kanal.
• Incident-Response: dokumentierter Prozess mit 72-Stunden-Meldefrist (Art. 33 DSGVO).
• Anomalieerkennung und Intrusion-Monitoring mit automatisierten Alerts (Honey-Token, Brute-Force-Detection, Anomalie-Detection-Engine).
• Security-Audit-Logs inkl. Login-Events, API-Aufrufen, Änderungen an Zugriffsrechten.
• Regelmäßige Abhängigkeits- und Schwachstellenprüfungen (Dependabot, CodeQL, TruffleHog Secret Scanning, OWASP Dependency Checks).
• Auftragskontrolle: Sub-Auftragsverarbeiter vertraglich verpflichtet, siehe Anlage 2.
• Datenschutzfreundliche Voreinstellungen (Privacy by Default) bei der Benutzeroberfläche.

E. Organisatorische Maßnahmen

• Verpflichtung der Mitarbeiter auf Vertraulichkeit und Datenschutz; regelmäßige Schulungen.
• Dokumentierte Richtlinien zu Passwort- und Gerätesicherheit.
• Getrennte Umgebungen für Entwicklung, Staging und Produktion.
• Zwei-Personen-Prinzip bei Produktivänderungen mit hohem Risiko.
• Pre-Commit-Hooks (ESLint, TypeScript, Geheimnis-Scan) vor Commits.

Anlage 2 Sub-Auftragsverarbeiter

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Sub-Auftragsverarbeiter werden hier in Kategorien genannt. Die vollständige, aktuelle Liste ist unter caelex.eu/legal/sub-processors abrufbar.

• Hosting / Edge Network: Vercel Inc. (USA) — Standardvertragsklauseln Modul 3; EU-US DPF; Daten überwiegend in EU-Regionen.
• Datenbank (Managed Postgres): Neon Inc. (USA) — EU-Datenhaltung (eu-central-1); Standardvertragsklauseln Modul 3.
• Rate-Limiting und Cache: Upstash Inc. (USA) — Region nicht dokumentiert; Standardvertragsklauseln Modul 3; EU-US DPF.
• Dateispeicher: Cloudflare Inc. (R2, USA) — Region nicht dokumentiert; Standardvertragsklauseln Modul 3; EU-US DPF.
• Zahlungsabwicklung: Stripe Payments Europe Ltd. (Irland) — eigenverantwortlich für Zahlungsdaten; Caelex speichert keine Kartendaten.
• E-Mail-Versand: Resend Inc. (USA) — Standardvertragsklauseln Modul 3.
• KI-Vermittlung: Vercel Inc. (AI Gateway, USA) — alle KI-Anfragen, festgelegt auf Verarbeitung in der EU und ohne Training; weitergeleitet nur an Modellanbieter mit Zero-Data-Retention-Zusage gegenüber Vercel; Anfrage-Metadaten 30 Tage; Prompt-Cache beim Modellanbieter bis zu einer Stunde (§ 10a Abs. 5).
• KI-Inferenz über Vercel: Google Cloud — Vertex AI für die Claude-Modelle; Gemini für die Spracheingabe in Atlas und Ocular, die Datenblatt-Auswertung in Passage und den Assistenten in Ocular; Verarbeitung in der EU; Unterauftragsverarbeiter von Vercel, kein eigener Vertrag mit Caelex.
• KI-Inferenz über Vercel: Amazon Web Services (Bedrock) — Claude-Modelle; Verarbeitung in der EU (festgelegt ist die EU, keine bestimmte Region); Unterauftragsverarbeiter von Vercel, kein eigener Vertrag mit Caelex.
• Geschäftsereignis-Monitoring: LogSnag (Kanada) — bei der Registrierung die maskierte E-Mail-Adresse, bei Abo-Änderungen der Name der Organisation; Angemessenheitsbeschluss.
• Websuche: DuckDuckGo (Standard) oder Brave Search (USA), je nach Einstellung durch Caelex, nur wenn der Kunde die Websuche einschaltet — Suchbegriffe.
• Standortprüfung bei der Anmeldung mit MFA oder Passkey: ip-api.com — IP-Adresse; Sitz nicht angegeben.
• Nicht mehr eingesetzt: OpenAI (Einbettungen) und xAI (Grok) seit dem 14.10.2026; Sentry derzeit nicht aktiv.

Bei Änderungen dieser Liste informiert Caelex den Kunden mindestens 30 Tage im Voraus (§ 10 dieses DPA).