Nutzungs- und Abonnementbedingungen

Die folgenden verifizierten ergänzenden Bestimmungen (v1.0-RC1, 8. November 2026) haben bei Widersprüchen Vorrang vor den allgemeinen Bestimmungen weiter unten in diesem Dokument.

1. RAHMENVERTRAG (MSA) — TECHNISCH VERIFIZIERTE BESTIMMUNGEN

1.1 KI-Anbietermodell

Govexa kann seine KI-Funktionen über eines der folgenden Modelle bereitstellen:

1. Von Govexa verwaltetes Anthropic — Standardanbieter;
2. Von Govexa verwaltetes OpenAI — optionaler Anbieter, sofern aktiviert;
3. Kundengesteuerte KI / BYOAI — eigenes Anthropic- oder OpenAI-Konto bzw. eigener API-Schlüssel des Kunden;
4. Vom Kunden gehostete KI — eigener Ollama-Server des Kunden oder ein anderer von Govexa unterstützter, kundenkontrollierter Endpunkt.

Wünscht der Kunde keine andere Option, kann das von Govexa verwaltete Anthropic verwendet werden.

1.1.1 Einrichtung einer kundenspezifischen Verbindung

Ein kundeneigenes KI-Konto bzw. ein API-Schlüssel oder eine Ollama-Verbindung wird nur von einem Govexa-Plattformadministrator und nur auf schriftliche Weisung des Kunden konfiguriert.

Verbindungsdaten werden in den von Govexa unterstützten sensiblen Feldern mit AES-256-GCM verschlüsselt gespeichert und in den Anwendungsoberflächen nicht erneut im Klartext angezeigt.

Für kundenkontrollierte Ollama-Endpunkte umfassen die von Govexa im Rahmen der aktuellen technischen Umsetzung angewandten Verbindungssicherheitskontrollen eine HTTPS-Pflicht und SSRF-Schutz gegen interne Netzwerkziele.

Dass sensible Verbindungsdaten bei einem Verbindungstest nicht in Entscheidungs-/Audit-Protokolle geschrieben werden, ist das angestrebte aktuelle Verhalten.

1.1.2 Kein stillschweigendes Ausweichen (Fallback)

Ist für einen Mandanten kundengesteuerte oder vom Kunden gehostete KI konfiguriert, führt ein Ausfall dieser Verbindung nicht dazu, dass Govexa ohne Wissen des Kunden automatisch oder stillschweigend auf sein eigenes Anthropic-/OpenAI-Konto ausweicht. Die Nutzung eines alternativen Anbieters erfordert eine Konfiguration bzw. Weisung des Kunden.

1.1.3 KI-Ergebnisse und menschliche Aufsicht

Govexa wandelt KI-Ergebnisse nicht unmittelbar in endgültige Kontroll-, Risiko-, Audit- oder Compliance-Entscheidungen um. Unterstützte Vorschläge unterliegen über den proposals-Mechanismus einer menschlichen Prüfung/Freigabe.

KI-Ergebnisse können Fehler, Lücken oder Halluzinationen enthalten. Sie sind weder Rechtsberatung noch Zertifizierung, unabhängiges Prüfungsurteil oder Garantie der Einhaltung von Vorschriften.

1.2 Mandantentrennung

Govexa nutzt für die logische Trennung mandantenbezogener Daten PostgreSQL-Row-Level-Security und bezieht Mandantenisolationstests in seinen CI-Prozess ein. Diese Kontrolle entbindet den Kunden nicht von seiner Verantwortung für die eigene Benutzer-/Berechtigungskonfiguration.

1.3 Sicherheit

Govexa wendet in der aktuellen Architektur TLS, AES-256-GCM-Feldverschlüsselung für bestimmte sensible Felder, die Verwaltung von Geheimnissen über Umgebungsvariablen, ein Append-only-Audit-Protokoll und Kontrollen für sichere Entwicklung an.

„MFA“, „EU-only-Hosting“, „WORM-zertifizierte Aufzeichnungen“, „dokumentierte RPO/RTO“ oder „automatisches Offboarding in 30 Tagen“ werden nur zugesagt, wenn sie tatsächlich aktiviert sind und im gesondert angegebenen Tarif/Vertrag angeboten werden.

1.4 Beendigung, Export und Löschung

Nach Vertragsende erfolgen Datenrückgabe, Export und Löschung entsprechend den aktuellen technischen Möglichkeiten, dem anwendbaren Recht, den Sicherungszyklen, der Art der Sicherheits-/Audit-Aufzeichnungen und dem von den Parteien im Bestellformular/AVV ausdrücklich vereinbarten Verfahren.

Solange das aktuelle Produkt keinen automatischen mandantenweiten Export und kein Werkzeug zur automatischen endgültigen Löschung binnen 30 Tagen bietet, sagt Govexa nicht zu, dass „alle Daten binnen 30 Tagen endgültig gelöscht werden“.

Kundeninhalte und Sicherheits-/Audit-Aufzeichnungen können unterschiedlichen Aufbewahrungsregeln unterliegen. Minimale Aufzeichnungen, die aus Gründen gesetzlicher Pflichten, der Sicherheit, von Streitigkeiten oder der Integrität aufbewahrt werden müssen, dürfen nach Löschung der Inhaltsdaten nur für die erforderliche Dauer und den erforderlichen Zweck aufbewahrt werden.

1.5 Anonyme und aggregierte Statistiken

Bei Vertragsende oder im Zuge der Löschung von Kundendaten darf Govexa anonyme und aggregierte statistische Daten nur erstellen, wenn alle folgenden Bedingungen erfüllt sind:

• die Daten sind weder direkt noch indirekt geeignet, eine natürliche Person oder den Kunden zu identifizieren;
• der Mandantenbezug und direkte Kundenkennungen sind entfernt;
• Freitext, Eintragsnamen, personenbezogene Daten, Dateien, Geheimnisse und Inhalte mit Geschäftsgeheimnischarakter sind nicht enthalten;
• Datumsangaben werden höchstens auf der zur Verringerung des Re-Identifizierungsrisikos nötigen Aggregationsebene verarbeitet — im geplanten Entwurf auf Monatsebene;
• kleine Fallzahlen und sensible Verteilungen werden in geeignete Bereiche/Klassen überführt;
• die Daten dürfen auch bei Abgleich mit anderen vernünftigerweise zugänglichen Datensätzen keine Re-Identifizierung ermöglichen;
• das Re-Identifizierungsrisiko wird regelmäßig bewertet.

Anonyme/aggregierte Statistiken, die diese Bedingungen erfüllen, dürfen unbefristet für Produktentwicklung, Kapazitätsplanung und Vergleiche/Benchmarking verwendet werden.

Der Kunde kann bei Vertragsschluss oder später schriftlich der Erstellung solcher anonymer Statistiken widersprechen. Für einen Mandanten mit wirksamem Widerspruch wird bei Beendigung/Offboarding zu diesem Zweck kein neuer anonymer Benchmark-Datensatz erstellt.

Daten, die die Anonymitätsschwelle nicht erreichen, dürfen nach dieser Klausel nicht verwendet werden und unterliegen weiterhin dem vertraglichen und gesetzlichen Regime für Kundendaten/personenbezogene Daten.

Allgemeine Bestimmungen

Diese Bedingungen regeln die Nutzung der Govexa SaaS-Plattform von [wird ergänzt], [wird ergänzt], Türkiye.

Govexa ist eine KI-gestützte GRC-Plattform für Governance, Risiko, Compliance, Kontrollen, Audits, Nachweise, Maßnahmen, Drittparteien, technische Findings und Reporting. Umfang und Limits ergeben sich aus dem gewählten Plan oder Bestellformular.

Der Kunde erhält während der bezahlten Laufzeit ein beschränktes, nicht ausschließliches, nicht übertragbares Nutzungsrecht für interne Geschäftszwecke. Rechte an Software, Modellen, Marken und sonstigem geistigen Eigentum verbleiben bei Govexa bzw. Lizenzgebern.

Bei Paddle-Transaktionen fungiert Paddle als Merchant of Record / autorisierter Wiederverkäufer und kann Checkout, Zahlung, Transaktionssteuern, Rechnungsstellung, Abonnementabrechnung, Erstattungen und Chargebacks abwickeln. Govexa bleibt für die Bereitstellung des SaaS-Dienstes verantwortlich.

Automatisch verlängerbare Abonnements können vor der nächsten Verlängerung gekündigt werden. Soweit zwingendes Recht nichts anderes bestimmt, verhindert die Kündigung zukünftige Belastungen, begründet aber keine automatische Erstattung einer bereits begonnenen Periode.

KI

Govexa kann folgende KI-Optionen bereitstellen:

1. Anthropic als standardmäßig integrierter KI-Anbieter;
2. OpenAI als optionaler Anbieter;
3. Bring Your Own AI (BYOAI) des Kunden.

Wird keine andere unterstützte Option gewählt, kann Anthropic standardmäßig verwendet werden. Für die angeforderte KI-Funktion können notwendige Prompts und Kontextdaten an den ausgewählten Anbieter übermittelt werden.

Govexa verwendet bei verwalteten Integrationen kommerzielle/API-Angebote. Kundendaten werden von Govexa nicht absichtlich zum Training öffentlicher/allgemeiner KI-Modelle verwendet, sofern der Kunde nicht ausdrücklich zustimmt. Für BYOAI trägt der Kunde Verantwortung für Anbieter, Vertrag, Schlüssel, Region, Aufbewahrung und Rechtsgrundlage.

KI-Ergebnisse sind Entscheidungshilfen und keine Rechtsberatung, Zertifizierung, Auditmeinung oder Compliance-Garantie. Angemessene menschliche Prüfung ist erforderlich.

Infrastruktur und Datenstandort

Govexa kann Vercel, Railway, Cloudflare, Anthropic, OpenAI und Paddle einsetzen.

Govexa strebt europäische Regionen und regionale Verarbeitungskontrollen an, soweit technisch und wirtschaftlich angemessen. Eine ausschließliche Speicherung/Verarbeitung in der EU/dem EWR wird nur zugesichert, wenn dies ausdrücklich schriftlich vereinbart wurde.

Für Übermittlungen aus dem EWR werden, soweit erforderlich, Angemessenheitsbeschlüsse, SCCs, anwendbare Data-Privacy-Framework-Mechanismen oder andere Mechanismen nach Art. 44–49 DSGVO verwendet. Für KVKK-Daten gelten die jeweils zulässigen türkischen Mechanismen für internationale Übermittlungen.

Zwingende Verbraucherrechte in der EU/im EWR bleiben unberührt. Für geeignete Fernabsatzverträge kann ein 14-tägiges Widerrufsrecht bestehen; gesetzliche Ausnahmen für digitale Inhalte und begonnene Dienstleistungen bleiben vorbehalten.

Für Geschäftskunden gelten Verbraucher-Widerrufsrechte grundsätzlich nicht, sofern zwingendes Recht nichts anderes bestimmt.

Kontakt: legal@govexa.io

• — — — — — — — — — — — — — — — — — — — — — — — --