© 2026 OSOS/Omega. All rights reserved.
Omega version: 0.7.3
Produkt: OSOS / Omega
Anbieter: Osos AI GmbH, CosimastraĂe 121, 81925 MĂŒnchen, Germany
Stand: 30.04.2026
Version: 1.0
VerhÀltnis zu anderen Dokumenten: Diese AI Data Policy ist Anlage zum EULA. Sie geht den allgemeinen Bestimmungen des EULA bei KI-spezifischen Fragestellungen vor, soweit sie speziellere Regelungen enthÀlt. Bei der Verarbeitung personenbezogener Daten gilt zusÀtzlich der Auftragsverarbeitungsvertrag (AVV).
OSOS / Omega ("Software") nutzt KI-Komponenten â insbesondere Large Language Models (LLM) und nachgelagerte Modellbestandteile â zur UnterstĂŒtzung von Engineering-Workflows (z.B. Anforderungs-Analyse, Generierung, Traceability, Review). Diese AI Data Policy beschreibt transparent,
Diese Policy gilt fĂŒr alle Bereitstellungsmodelle (Cloud Software / Self-Hosted / Air-Gapped); modellspezifische Unterschiede sind im jeweiligen Abschnitt gekennzeichnet.
Customer Data, AI Inputs und AI Outputs des Lizenznehmers werden vom Lizenzgeber nicht zum Training, Fine-Tuning, Reinforcement Learning oder zur sonstigen Verbesserung von Baseline Models verwendet.
Daten verschiedener Lizenznehmer werden logisch getrennt verarbeitet und gespeichert. AI Inputs eines Lizenznehmers flieĂen nicht in Antworten an andere Lizenznehmer ein. Embeddings, Vektorindizes und Caches sind mandantenspezifisch separiert.
Innerhalb eines Mandanten respektiert die KI-Komponente die im Lizenznehmersystem konfigurierten Zugriffs- und Berechtigungsrichtlinien. Authorized User erhalten keine KI-Outputs aus Projekten oder Dokumenten, auf die sie laut Berechtigungssystem keinen Zugriff haben.
AI Inputs werden ausschlieĂlich verarbeitet, um den jeweils angefragten KI-Output zu generieren, die Software bereitzustellen, deren Sicherheit zu gewĂ€hrleisten sowie zur ErfĂŒllung gesetzlicher Pflichten.
Die Software kennzeichnet KI-generierte Inhalte und stellt â soweit technisch sinnvoll â Hinweise auf das verwendete Modell bzw. den Modelltyp bereit (Art. 50 EU AI Act).
Die Software setzt folgende Arten von Modellen ein:
Die jeweils aktuelle Liste der KI-Subprocessor (inkl. Hosting-Standort, Modelltyp und Verarbeitungszweck) wird unter [Link Subprocessor-Liste] veröffentlicht. Die Liste wird zugleich als Anlage zum AVV gefĂŒhrt.
Bei Ănderung der Liste gilt das Notifikations- und Widerspruchsverfahren gemÀà AVV (in der Regel mindestens 30 Tage Vorlauf, Widerspruchsrecht bei wesentlichen Ănderungen).
Soweit verfĂŒgbar, kann der Lizenznehmer die Verarbeitungsregion (z.B. EU, EU-only-Modus) im Order Form bzw. in den Plattformeinstellungen wĂ€hlen. Voreinstellung fĂŒr Kunden mit Hauptsitz im EWR ist die Verarbeitung in EU-Rechenzentren.
Bei Self-Hosted oder Air-Gapped Deployments lÀuft die Inferenz in der vom Lizenznehmer kontrollierten Umgebung; KI-Subdienstleister werden in diesem Fall nur nach gesonderter Vereinbarung eingebunden.
KI-Inputs werden ausschlieĂlich verarbeitet zur
Im KI-Verarbeitungspfad können insbesondere folgende Kategorien auftreten:
Der Lizenznehmer wird besonders sensible Daten (Art. 9 DSGVO, klassifizierte Informationen, Zahlungsdaten, Gesundheitsdaten) ohne ausdrĂŒckliche vorherige Vereinbarung nicht in die KI-Komponenten einbringen. Werden solche Daten ohne Vereinbarung eingebracht, kann der Lizenzgeber die Annahme verweigern und/oder eingehende Inhalte automatisiert unterdrĂŒcken.
AI Inputs werden zum Zweck der Inferenz an die jeweilige Modellumgebung ĂŒbermittelt. Bei Drittanbieter-LLMs wird â soweit verfĂŒgbar â die "Zero Data Retention"- bzw. "No-Train"-Variante der API genutzt. Bei diesen APIs erfolgt keine Speicherung der Inputs/Outputs durch den Drittanbieter ĂŒber die unmittelbare Inferenz hinaus, mit Ausnahme kurzfristiger Speicherung zu Sicherheitszwecken (typischerweise †30 Tage).
Zur Performance-Optimierung kann die Software AI Inputs/Outputs mandantenspezifisch zwischenspeichern. Cache-Inhalte sind logisch isoliert und werden nach konfigurierbarer Frist gelöscht. Caches enthalten keine cross-tenant-zugÀnglichen Daten.
Es werden Log-Daten (Zeitstempel, Modell, Tokenzahlen, Status-Codes, Fehler) gespeichert. Inhaltliche AI Inputs/Outputs werden â soweit zur Diagnostik nicht erforderlich â nicht in Klartext geloggt; wo unvermeidlich, erfolgt Speicherung nur in einer mandantenspezifischen, zugriffsbeschrĂ€nkten Logging-Umgebung mit gesonderter Aufbewahrungsfrist (Standard: 30 Tage, sofern nicht anders vereinbart).
Aggregierte, anonymisierte Telemetriedaten (z.B. Anzahl Anfragen, durchschnittliche Latenz) können zur Verbesserung der Plattform genutzt werden. Sie enthalten keine Customer Data und keine PersonenbezĂŒge.
Customer-Specific Models, Fine-Tunings, Retrieval-Indizes oder Ă€hnliche kundenspezifische Anpassungen werden nur auf ausdrĂŒckliche, dokumentierte Anweisung des Lizenznehmers ("Opt-in") und nur unter Verwendung explizit freigegebener Datenmengen erstellt.
Customer-Specific Models bleiben mandantenspezifisch und werden nicht in Baseline Models zurĂŒckgefĂŒhrt. Es findet kein "Backflow" in andere Tenants statt.
Mit Ende des Subscription Term werden Customer-Specific Models nach Wahl des Lizenznehmers entweder ausgeliefert (sofern technisch und lizenzrechtlich möglich) oder unwiderruflich gelöscht; Standardvorgang ist die Löschung gemÀà AVV.
Der Lizenznehmer ist verantwortlich fĂŒr
KI-Outputs sind VorschlĂ€ge, keine autoritativen Entscheidungen. Der Lizenznehmer stellt eine angemessene menschliche Aufsicht im Sinne von Art. 14 EU AI Act sicher und implementiert dokumentierte Review-Prozesse fĂŒr sicherheitsrelevante oder regulierte AnwendungsfĂ€lle.
Generative KI-Modelle können fehlerhafte, unvollstĂ€ndige, veraltete oder irrefĂŒhrende Inhalte erzeugen ("Halluzinationen"). Die Software ĂŒbernimmt keine GewĂ€hr fĂŒr Richtigkeit, VollstĂ€ndigkeit, AktualitĂ€t, Schutzrechtsfreiheit oder Eignung der KI-Outputs fĂŒr einen bestimmten Zweck.
Der Lizenznehmer wird keine technischen oder organisatorischen Schutz- und Sicherheits-Mechanismen (insbesondere Safety- oder Compliance-Filter) umgehen, deaktivieren oder zu umgehen versuchen.
Der Lizenznehmer wird KI-Outputs der Software nicht zum Training, Fine-Tuning oder zur Evaluierung konkurrierender KI-Modelle verwenden.
Der Lizenzgeber implementiert insbesondere folgende MaĂnahmen:
Detaillierte Informationen finden sich in den Zertifikats- und Sicherheits-Hinweisen sowie in der TOM-Anlage zum AVV.
OSOS / Omega ist als KI-System nach Verordnung (EU) 2024/1689 (EU AI Act) einzuordnen. Nach derzeitiger EinschĂ€tzung handelt es sich beim Standard-Funktionsumfang nicht um ein "Hochrisiko-KI-System" im Sinne von Anhang III der Verordnung. Setzt der Lizenznehmer die Software in einem Anwendungsfall ein, der bei ihm als Hochrisiko-KI-System einzustufen ist, hat er den Lizenzgeber rechtzeitig zu informieren; der Lizenzgeber stellt in diesem Fall die zur ErfĂŒllung der Provider-/Betreiberpflichten (insbesondere Art. 11, 13, 14, 26 AI Act) erforderlichen Dokumentationen gegen VergĂŒtung bereit, soweit dies seinem Status als Anbieter im Sinne der Verordnung entspricht.
Der Lizenzgeber strebt die KonformitÀt seiner KI-Managementprozesse mit ISO/IEC 42001 ("AI Management System") an bzw. hÀlt diese aufrecht. Der jeweils aktuelle Status wird in den Zertifikats-Hinweisen veröffentlicht.
KI-generierte Inhalte werden als solche gekennzeichnet (Art. 50 EU AI Act). Bei Interaktion mit KI-Funktionen wird auf den KI-Charakter hingewiesen.
Der Lizenzgeber unternimmt angemessene Anstrengungen, Bias und diskriminierende Effekte in den eingesetzten Modellen zu erkennen und zu mitigieren. Eine vollstÀndige Freiheit von Bias kann jedoch bei generativen Modellen nicht garantiert werden.
Vorbehaltlich anderslautender gesetzlicher Bestimmungen und der Bedingungen des KI-Subprocessors stehen die AI Outputs dem Lizenznehmer zur freien Verwendung im Rahmen seines GeschĂ€ftsbetriebs zur VerfĂŒgung. Aufgrund der probabilistischen Natur generativer KI-Modelle kann eine ExklusivitĂ€t der Outputs jedoch nicht zugesichert werden; Ă€hnliche Outputs können auch anderen Nutzern angezeigt werden.
Der Lizenznehmer ist verpflichtet zu prĂŒfen, ob AI Outputs Rechte Dritter (insbesondere Urheber-, Marken-, Patent- und Persönlichkeitsrechte) verletzen, bevor er sie produktiv einsetzt.
Der Lizenznehmer kann Anfragen, VorfÀlle und Beschwerden im Zusammenhang mit der KI-Verarbeitung an folgende Adresse richten:
[ai-policy@anbieter.com]Bei sicherheitsrelevanten VorfĂ€llen oder Datenschutzverletzungen gelten die Meldewege gemÀà AVV (insbesondere unverzĂŒgliche Meldung im Rahmen der dortigen Fristen).
Diese Policy kann bei wesentlichen VerĂ€nderungen der eingesetzten Modelle, Subdienstleister oder regulatorischen Vorgaben angepasst werden. Wesentliche Ănderungen werden mit angemessener Frist angekĂŒndigt. Im Ăbrigen gelten die Ănderungsbestimmungen des EULA entsprechend.
Bei WidersprĂŒchen geht diese Policy fĂŒr KI-spezifische Sachverhalte den allgemeinen Bestimmungen des EULA vor; AVV-Bestimmungen fĂŒr personenbezogene Daten haben Vorrang vor dieser Policy.