© 2026 OSOS/Omega. All rights reserved.
Omega version: 1.4.0
Produkt: OSOS / Omega
Anbieter: Osos AI GmbH, Cosimastraße 121, 81925 München, Germany
Stand: 03.07.2026
Version: 1.1
Verhältnis zu anderen Dokumenten: Diese AI Data Policy ist Anlage zum EULA. Sie geht den allgemeinen Bestimmungen des EULA bei KI-spezifischen Fragestellungen vor, soweit sie speziellere Regelungen enthält. Bei der Verarbeitung personenbezogener Daten gilt zusätzlich der Auftragsverarbeitungsvertrag (AVV).
> Was sich in v1.1 geändert hat (03.07.2026): Neu ist die Bring-your-own-Key (BYOK)-Option — Firmen-Administratoren können den eigenen Mistral- und/oder OpenAI-API-Key ihrer Organisation hinterlegen, sodass KI-Aufrufe über das eigene Provider-Konto und die eigene Provider-Rechnung des Kunden laufen (neuer §4.5; Ergänzungen in §4.1, §4.2, §6.1). *Die Formulierung der BYOK-Bestimmungen steht unter dem Vorbehalt der abschließenden rechtlichen Prüfung.*
OSOS / Omega ("Software") nutzt KI-Komponenten – insbesondere Large Language Models (LLM) und nachgelagerte Modellbestandteile – zur Unterstützung von Engineering-Workflows (z.B. Anforderungs-Analyse, Generierung, Traceability, Review). Diese AI Data Policy beschreibt transparent,
Diese Policy gilt für alle Bereitstellungsmodelle (Cloud Software / Self-Hosted / Air-Gapped); modellspezifische Unterschiede sind im jeweiligen Abschnitt gekennzeichnet.
Customer Data, AI Inputs und AI Outputs des Lizenznehmers werden vom Lizenzgeber nicht zum Training, Fine-Tuning, Reinforcement Learning oder zur sonstigen Verbesserung von Baseline Models verwendet.
Daten verschiedener Lizenznehmer werden logisch getrennt verarbeitet und gespeichert. AI Inputs eines Lizenznehmers fließen nicht in Antworten an andere Lizenznehmer ein. Embeddings, Vektorindizes und Caches sind mandantenspezifisch separiert.
Innerhalb eines Mandanten respektiert die KI-Komponente die im Lizenznehmersystem konfigurierten Zugriffs- und Berechtigungsrichtlinien. Authorized User erhalten keine KI-Outputs aus Projekten oder Dokumenten, auf die sie laut Berechtigungssystem keinen Zugriff haben.
AI Inputs werden ausschließlich verarbeitet, um den jeweils angefragten KI-Output zu generieren, die Software bereitzustellen, deren Sicherheit zu gewährleisten sowie zur Erfüllung gesetzlicher Pflichten.
Die Software kennzeichnet KI-generierte Inhalte und stellt – soweit technisch sinnvoll – Hinweise auf das verwendete Modell bzw. den Modelltyp bereit (Art. 50 EU AI Act).
Die Software setzt folgende Arten von Modellen ein:
Die jeweils aktuelle Liste der KI-Subprocessor (inkl. Hosting-Standort, Modelltyp und Verarbeitungszweck) wird unter /legal/trust/subprocessors veröffentlicht. Die Liste wird zugleich als Anlage zum AVV geführt.
Bei Änderung der Liste gilt das Notifikations- und Widerspruchsverfahren gemäß AVV (in der Regel mindestens 30 Tage Vorlauf, Widerspruchsrecht bei wesentlichen Änderungen).
> BYOK-Hinweis: Für KI-Aufrufe, die unter dem eigenen Provider-Key des Lizenznehmers laufen (§4.5), handelt der jeweilige Provider für diese Aufrufe nicht als Subdienstleister des Lizenzgebers; er verarbeitet unter dem eigenen Vertrag des Lizenznehmers mit diesem Provider (siehe §4.5(b)).
Soweit verfügbar, kann der Lizenznehmer die Verarbeitungsregion (z.B. EU, EU-only-Modus) im Order Form bzw. in den Plattformeinstellungen wählen. Voreinstellung für Kunden mit Hauptsitz im EWR ist die Verarbeitung in EU-Rechenzentren.
Bei Self-Hosted oder Air-Gapped Deployments läuft die Inferenz in der vom Lizenznehmer kontrollierten Umgebung; KI-Subdienstleister werden in diesem Fall nur nach gesonderter Vereinbarung eingebunden.
*Die folgenden BYOK-Bestimmungen stehen unter dem Vorbehalt der abschließenden rechtlichen Prüfung.*
(a) Funktionsweise. Ein Firmen-Administrator kann den eigenen API-Key der Organisation für einen unterstützten Provider (derzeit Mistral und/oder OpenAI) in den Kontoeinstellungen hinterlegen. Der Key wird verschlüsselt (AES-256-GCM) gespeichert und ausschließlich zur Authentifizierung von KI-Aufrufen für den eigenen Workspace dieses Lizenznehmers verwendet. Ein hinterlegter OpenAI-Key deckt zusätzlich die Embedding-Aufrufe der semantischen Suche ab. Vom Lizenzgeber betriebene System-/Hintergrundpipelines (z.B. Dokumenten-Ingestion) laufen weiterhin über die eigenen Provider-Keys des Lizenzgebers.
(b) Rolle des Providers. Für KI-Aufrufe, die unter dem eigenen Key des Lizenznehmers laufen, verarbeitet der jeweilige Provider die AI Inputs unter dem eigenen Vertrag des Lizenznehmers mit diesem Provider, nicht als Subdienstleister des Lizenzgebers. Der Lizenzgeber übermittelt die AI Inputs ausschließlich auf dokumentierte Weisung des Lizenznehmers an diesen Provider (Art. 28 Abs. 3 lit. a DSGVO); die Hinterlegung des Keys stellt diese Weisung dar.
(c) Pflichten des Lizenznehmers. Der Lizenznehmer ist verantwortlich für die Wahl eines Provider-Tarifs mit No-Train-/Zero-Data-Retention-Fähigkeit (Hinweis: der kostenlose "Experimental"-Tarif eines Providers kann auf übermittelten Daten trainieren und ist daher ungeeignet), für etwaige nach seinem eigenen Provider-Tarif erforderliche Garantien für Drittlandsübermittlungen (z.B. SCC/DPF bei US-Übermittlungen) sowie für die Vertraulichkeit des Keys. Der Lizenzgeber haftet nicht für die Provider-Gebühren oder für eine Kompromittierung des Keys, die aus der eigenen Umgebung des Lizenznehmers resultiert.
(d) Abrechnung. Provider-Gebühren für BYOK-Aufrufe werden direkt zwischen dem Lizenznehmer und dem Provider abgerechnet. BYOK-Nutzung wird nicht vom im Abonnement enthaltenen KI-Kontingent abgezogen.
(e) Fallback. Wird ein hinterlegter Key vom Provider abgelehnt (ungültig/widerrufen) oder ist das zugehörige Konto ohne Guthaben, wird der Key als ungültig markiert, die Administratoren der Firma werden benachrichtigt, und KI-Aufrufe fallen automatisch auf die eingebauten Keys des Lizenzgebers zurück (ab diesem Zeitpunkt gelten die üblichen Subdienstleister-Bedingungen und die Kontingentzählung), bis ein gültiger Key erneut hinterlegt wird.
(f) Entfernung. Das Entfernen eines Keys ist eine harte Löschung; nachfolgende KI-Aufrufe laufen wieder über die eingebauten Keys des Lizenzgebers.
KI-Inputs werden ausschließlich verarbeitet zur
Im KI-Verarbeitungspfad können insbesondere folgende Kategorien auftreten:
Der Lizenznehmer wird besonders sensible Daten (Art. 9 DSGVO, klassifizierte Informationen, Zahlungsdaten, Gesundheitsdaten) ohne ausdrückliche vorherige Vereinbarung nicht in die KI-Komponenten einbringen. Werden solche Daten ohne Vereinbarung eingebracht, kann der Lizenzgeber die Annahme verweigern und/oder eingehende Inhalte automatisiert unterdrücken.
AI Inputs werden zum Zweck der Inferenz an die jeweilige Modellumgebung übermittelt. Bei Drittanbieter-LLMs wird – soweit verfügbar – die "Zero Data Retention"- bzw. "No-Train"-Variante der API genutzt. Bei diesen APIs erfolgt keine Speicherung der Inputs/Outputs durch den Drittanbieter über die unmittelbare Inferenz hinaus, mit Ausnahme kurzfristiger Speicherung zu Sicherheitszwecken (typischerweise ≤ 30 Tage).
Für KI-Aufrufe, die unter dem eigenen Provider-Key des Lizenznehmers laufen (Bring-your-own-Key, §4.5), richten sich Aufbewahrung und No-Train-/Zero-Data-Retention-Verhalten nach dem eigenen Vertrag des Lizenznehmers mit diesem Provider (siehe §4.5(c)); der Lizenzgeber kontrolliert die Aufbewahrung des Providers für solche Aufrufe nicht.
Zur Performance-Optimierung kann die Software AI Inputs/Outputs mandantenspezifisch zwischenspeichern. Cache-Inhalte sind logisch isoliert und werden nach konfigurierbarer Frist gelöscht. Caches enthalten keine cross-tenant-zugänglichen Daten.
Es werden Log-Daten (Zeitstempel, Modell, Tokenzahlen, Status-Codes, Fehler) gespeichert. Inhaltliche AI Inputs/Outputs werden – soweit zur Diagnostik nicht erforderlich – nicht in Klartext geloggt; wo unvermeidlich, erfolgt Speicherung nur in einer mandantenspezifischen, zugriffsbeschränkten Logging-Umgebung mit gesonderter Aufbewahrungsfrist (Standard: 30 Tage, sofern nicht anders vereinbart).
Aggregierte, anonymisierte Telemetriedaten (z.B. Anzahl Anfragen, durchschnittliche Latenz) können zur Verbesserung der Plattform genutzt werden. Sie enthalten keine Customer Data und keine Personenbezüge.
Customer-Specific Models, Fine-Tunings, Retrieval-Indizes oder ähnliche kundenspezifische Anpassungen werden nur auf ausdrückliche, dokumentierte Anweisung des Lizenznehmers ("Opt-in") und nur unter Verwendung explizit freigegebener Datenmengen erstellt.
Customer-Specific Models bleiben mandantenspezifisch und werden nicht in Baseline Models zurückgeführt. Es findet kein "Backflow" in andere Tenants statt.
Mit Ende des Subscription Term werden Customer-Specific Models nach Wahl des Lizenznehmers entweder ausgeliefert (sofern technisch und lizenzrechtlich möglich) oder unwiderruflich gelöscht; Standardvorgang ist die Löschung gemäß AVV.
Der Lizenznehmer ist verantwortlich für
KI-Outputs sind Vorschläge, keine autoritativen Entscheidungen. Der Lizenznehmer stellt eine angemessene menschliche Aufsicht im Sinne von Art. 14 EU AI Act sicher und implementiert dokumentierte Review-Prozesse für sicherheitsrelevante oder regulierte Anwendungsfälle.
Generative KI-Modelle können fehlerhafte, unvollständige, veraltete oder irreführende Inhalte erzeugen ("Halluzinationen"). Die Software übernimmt keine Gewähr für Richtigkeit, Vollständigkeit, Aktualität, Schutzrechtsfreiheit oder Eignung der KI-Outputs für einen bestimmten Zweck.
Der Lizenznehmer wird keine technischen oder organisatorischen Schutz- und Sicherheits-Mechanismen (insbesondere Safety- oder Compliance-Filter) umgehen, deaktivieren oder zu umgehen versuchen.
Der Lizenznehmer wird KI-Outputs der Software nicht zum Training, Fine-Tuning oder zur Evaluierung konkurrierender KI-Modelle verwenden.
Der Lizenzgeber implementiert insbesondere folgende Maßnahmen:
Detaillierte Informationen finden sich in den Zertifikats- und Sicherheits-Hinweisen sowie in der TOM-Anlage zum AVV.
OSOS / Omega ist als KI-System nach Verordnung (EU) 2024/1689 (EU AI Act) einzuordnen. Nach derzeitiger Einschätzung handelt es sich beim Standard-Funktionsumfang nicht um ein "Hochrisiko-KI-System" im Sinne von Anhang III der Verordnung. Setzt der Lizenznehmer die Software in einem Anwendungsfall ein, der bei ihm als Hochrisiko-KI-System einzustufen ist, hat er den Lizenzgeber rechtzeitig zu informieren; der Lizenzgeber stellt in diesem Fall die zur Erfüllung der Provider-/Betreiberpflichten (insbesondere Art. 11, 13, 14, 26 AI Act) erforderlichen Dokumentationen gegen Vergütung bereit, soweit dies seinem Status als Anbieter im Sinne der Verordnung entspricht.
Der Lizenzgeber strebt die Konformität seiner KI-Managementprozesse mit ISO/IEC 42001 ("AI Management System") an bzw. hält diese aufrecht. Der jeweils aktuelle Status wird in den Zertifikats-Hinweisen veröffentlicht.
KI-generierte Inhalte werden als solche gekennzeichnet (Art. 50 EU AI Act). Bei Interaktion mit KI-Funktionen wird auf den KI-Charakter hingewiesen.
Der Lizenzgeber unternimmt angemessene Anstrengungen, Bias und diskriminierende Effekte in den eingesetzten Modellen zu erkennen und zu mitigieren. Eine vollständige Freiheit von Bias kann jedoch bei generativen Modellen nicht garantiert werden.
Vorbehaltlich anderslautender gesetzlicher Bestimmungen und der Bedingungen des KI-Subprocessors stehen die AI Outputs dem Lizenznehmer zur freien Verwendung im Rahmen seines Geschäftsbetriebs zur Verfügung. Aufgrund der probabilistischen Natur generativer KI-Modelle kann eine Exklusivität der Outputs jedoch nicht zugesichert werden; ähnliche Outputs können auch anderen Nutzern angezeigt werden.
Der Lizenznehmer ist verpflichtet zu prüfen, ob AI Outputs Rechte Dritter (insbesondere Urheber-, Marken-, Patent- und Persönlichkeitsrechte) verletzen, bevor er sie produktiv einsetzt.
Der Lizenznehmer kann Anfragen, Vorfälle und Beschwerden im Zusammenhang mit der KI-Verarbeitung an folgende Adresse richten:
[ai-policy@anbieter.com]Bei sicherheitsrelevanten Vorfällen oder Datenschutzverletzungen gelten die Meldewege gemäß AVV (insbesondere unverzügliche Meldung im Rahmen der dortigen Fristen).
Diese Policy kann bei wesentlichen Veränderungen der eingesetzten Modelle, Subdienstleister oder regulatorischen Vorgaben angepasst werden. Wesentliche Änderungen werden mit angemessener Frist angekündigt. Im Übrigen gelten die Änderungsbestimmungen des EULA entsprechend.
Bei Widersprüchen geht diese Policy für KI-spezifische Sachverhalte den allgemeinen Bestimmungen des EULA vor; AVV-Bestimmungen für personenbezogene Daten haben Vorrang vor dieser Policy.