Nutzungsrichtlinien (Acceptable Use Policy)

AUVY — Anhang B zur AGB

AUVY GmbH · Am Haag 8 · 82166 Gräfelfing · HRB 311039 (AG München) · USt-IdNr. DE461400892

Kontakt: legal@auvy.ai · Sicherheits-Meldungen: security@auvy.ai

Version: 1.1 · Stand: 2026-08-03

§ 1 Zweck und Geltungsbereich

(1) Diese Acceptable Use Policy („AUP") konkretisiert die Pflichten der Nutzer:innen gemäß § 6 der AGB Geschäftskunden bzw. § 7 der AGB Privatkunden und ist verbindlicher Anhang B zu den jeweils anwendbaren AGB.

(2) Diese AUP gilt für alle Personen, die AUVY in irgendeiner Form nutzen — unabhängig davon, ob sie Vertragspartner („Kunde") oder berechtigte Endnutzer („Nutzer:in") sind. Geschäftskunden und Workspace-Administratoren müssen die Einhaltung durch ihre Endnutzer sicherstellen. Verbraucher bleiben für die Nutzung über ihren Account verantwortlich; der ausdrückliche Haushalts-Carve-out in § 5 Abs. 1 bleibt unberührt.

(3) Im Konflikt zwischen AGB und AUP gehen die AGB vor. AUP-spezifischere Regelungen ergänzen die AGB.

§ 2 Allgemeine Verhaltensgrundsätze

Nutzer:innen verpflichten sich, AUVY ausschließlich:

a) im Rahmen der vertraglich gestatteten Zwecke,

b) unter Beachtung geltenden Rechts (insbesondere deutsches Recht, EU-Recht, einschlägige Exportkontroll- und Sanktionsregime),

c) unter Beachtung der Rechte Dritter (insbesondere Urheber-, Persönlichkeits-, Datenschutz- und Markenrechte),

d) unter Beachtung dieser AUP

zu nutzen.

§ 3 Verbotene Inhalte

Unzulässig sind insbesondere die Eingabe, Erzeugung, Speicherung oder Verbreitung von Inhalten, die:

a) rechtswidrig oder sittenwidrig sind, insbesondere strafbare Inhalte (z. B. Volksverhetzung, Holocaust-Leugnung, Aufforderung zu Straftaten, Kinderpornografie und sonstige nach §§ 184 ff. StGB strafbare Inhalte);

b) Gewaltverherrlichung, Terrorpropaganda oder Anleitungen zu schweren Straftaten enthalten;

c) Persönlichkeits-, Urheber-, Marken-, Patent- oder sonstige Rechte Dritter verletzen;

d) gezielte Falschinformationen über identifizierbare Personen oder Organisationen darstellen, die geeignet sind, deren Ruf zu schädigen;

e) Kinder, Jugendliche oder andere besonders schutzbedürftige Gruppen gefährden;

f) sexualisierte Darstellungen ohne nachweisbare Einwilligung der dargestellten Personen erzeugen, insbesondere keine sog. Deepfakes ohne Einwilligung;

g) Schadsoftware, Exploits, Phishing-Inhalte oder andere sicherheitsschädliche Artefakte enthalten oder erzeugen.

§ 4 Verbotene technische Handlungen

Unzulässig sind:

a) Reverse Engineering, Dekompilierung, Disassemblierung oder Versuche, den Quellcode oder die Modellgewichte von AUVY oder seinen Subkomponenten zu rekonstruieren, soweit nicht zwingende gesetzliche Vorschriften dies ausnahmsweise erlauben (§§ 69d, 69e UrhG);

b) automatisiertes Scraping, Crawlen oder Massen-Extraktion von Inhalten oder Antworten von AUVY über die offiziell dokumentierten Schnittstellen hinaus;

c) Umgehung oder Manipulation von Sicherheits-, Authentifizierungs- oder Anti-Abuse-Mechanismen (z. B. Rate-Limit-Spoofing, künstliches Aufblähen der Inferenz-Nutzung zur Umgehung der angemessenen Nutzung nach § 5 AGB Geschäftskunden / § 6 AGB Privatkunden, IP-Rotation zur Umgehung von Sperren, Multi-Account-Akrobatik);

d) Überlastung der Plattform durch unzulässig hohe Anfragefrequenz, Distributed-Denial-of-Service-Versuche oder vergleichbare Angriffe;

e) unbefugtes Eindringen in fremde Workspaces, Konten oder Datenbestände innerhalb der Plattform;

f) Einbringen von Schadsoftware, Trojanern, Würmern, Logikbomben oder vergleichbar schädlichem Code;

g) Versuche, Daten anderer Kunden oder Nutzer:innen unbefugt einzusehen, abzugreifen oder zu manipulieren (Bruch der Mandantentrennung).

§ 5 Account- und Lizenz-Missbrauch

(1) Jede Lizenz ist personengebunden (§ 4 Abs. 2 der jeweils anwendbaren AGB). Account-Sharing ist bei Geschäftskonten unzulässig. Für Verbraucher bleibt die in § 4 Abs. 2 AGB Privatkunden ausdrücklich gestattete begrenzte Mitnutzung im Haushalt zulässig; der Carve-out erlaubt weder Weiterverkauf von Zugangsdaten noch berufliche Nutzung, Nutzung außerhalb der dort beschriebenen Haushaltsgemeinschaft oder Umgehung von Tarifgrenzen.

(2) Login-Credentials sind geheim zu halten. Multi-Faktor-Authentifizierung ist zu aktivieren, sobald von AUVY angeboten oder im Workspace verpflichtend gestellt.

(3) Der Verkauf, die Vermietung, das Sublizenzieren oder die anderweitige entgeltliche Überlassung einer Lizenz an Dritte ist nur mit ausdrücklicher schriftlicher Zustimmung von AUVY zulässig.

(4) Die Nutzung mehrerer Konten zur Umgehung von Limits, Sperren, kostenpflichtigen Funktionen oder der angemessenen Nutzung nach § 5 AGB Geschäftskunden / § 6 AGB Privatkunden ist unzulässig.

§ 6 KI-spezifische Verbote (EU-KI-Verordnung)

(1) AUVY darf nicht für KI-Anwendungsfälle eingesetzt werden, die nach Artikel 5 der EU-KI-Verordnung (KI-VO, Verordnung (EU) 2024/1689) verboten sind, insbesondere:

a) unterschwellige Manipulationstechniken zur erheblichen Verhaltensänderung;

b) Ausnutzung der Schutzbedürftigkeit bestimmter Gruppen (Alter, Behinderung, sozioökonomische Lage);

c) Social Scoring durch Behörden;

d) prädiktive Polizeiarbeit auf Profilbasis;

e) Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (außerhalb medizinischer/sicherheitsbezogener Ausnahmen);

f) ungezieltes Scraping von Gesichtsbildern aus dem Internet oder Überwachungskameras zum Aufbau biometrischer Datenbanken;

g) Echtzeit-Fernerkennung biometrischer Daten in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (außerhalb gesetzlicher Ausnahmen).

(2) Der Einsatz von AUVY für Hochrisiko-KI-Anwendungsfälle nach Anhang III der KI-VO ist nur zulässig, wenn dies vorab zwischen Kunde und AUVY ausdrücklich vertraglich vereinbart und der Kunde alle eigenen Provider-/Deployer-Pflichten der KI-VO erfüllt. Dies betrifft insbesondere: biometrische Identifikations-/Klassifikationssysteme; KI in kritischer Infrastruktur (Energie, Verkehr, Wasser); KI in allgemeiner und beruflicher Bildung; KI in Beschäftigung/HR mit erheblichen Folgen; KI im Zugang zu wesentlichen privaten und öffentlichen Diensten; KI in Strafverfolgung, Migration/Asyl/Grenzkontrolle, Justiz und demokratischen Prozessen.

(3) Art. 50 KI-VO gilt seit dem 2. August 2026. Die Verantwortung richtet sich nach Rolle und Anwendungsfall. AUVY erfüllt Anbieterpflichten für erfasste AUVY-Systeme zur direkten Interaktion, einschließlich des Hinweises auf die KI-Interaktion, sofern diese nicht offensichtlich ist. Geschäftskunden, die als Betreiber handeln, bleiben für Hinweise gegenüber von ihrem Einsatz betroffenen Personen verantwortlich, einschließlich erfasster Hinweise bei Emotionserkennung oder biometrischer Kategorisierung sowie der Offenlegung von Deepfakes oder bestimmten KI-generierten Texten von öffentlichem Interesse. Verbraucher dürfen KI-Output nicht als authentifiziertes menschliches oder originales Material darstellen, wenn dies rechtswidrig oder irreführend wäre.

(4) Soweit Art. 50 Abs. 2 KI-VO auf AUVY in Anbieterrolle anwendbar ist, müssen erfasste Markierungen synthetischer Inhalte nach Maßgabe der technischen Durchführbarkeit wirksam, interoperabel, robust, zuverlässig und maschinenlesbar sein. Solche Provenienzinformationen können durch Kopieren, Bearbeiten, Konvertieren, Screenshots oder nachgelagerte Tools entfernt oder beeinträchtigt werden und belegen weder inhaltliche Richtigkeit noch Urheberschaft. AUVY behauptet nicht pauschal, dass jeder Output dauerhafte maschinenlesbare Provenienz enthält. Kunden und Nutzer müssen einschlägige Markierungen erhalten und bei Veröffentlichung oder Verbreitung erfasster Inhalte eigene erforderliche menschenlesbare Hinweise anbringen.

(5) Kein Training mit Kundendaten: AUVY trainiert mit Kundendaten nicht. Umgekehrt darf der Kunde AUVY-Outputs nicht ohne Prüfung als Trainingsdaten für eigene Modelle einsetzen, ohne die einschlägigen Lizenz- und Urheberrechtspflichten zu prüfen.

(6) Prompt-Injection und Jailbreaking: Versuche, durch manipulative Eingaben die Sicherheits-, Filter- oder Sorgfaltsmechanismen von AUVY oder der eingesetzten KI-Modelle systematisch zu umgehen, sind unzulässig.

(7) KI-Kompetenz: Geschäftskunden in Anbieter- oder Betreiberrolle müssen Maßnahmen treffen, um bei Beschäftigten und sonstigen in ihrem Auftrag mit KI-Systemen befassten Personen ein angemessenes Maß an KI-Kompetenz sicherzustellen; zu berücksichtigen sind Kenntnisse, Erfahrung, Kontext und betroffene Personen. AUVY trifft entsprechende rollenangemessene Maßnahmen für eigene Beschäftigte. Diese Rollenverteilung ist keine pauschale Compliance-Zusage für den Einsatz des Kunden.

§ 7 Datenschutz und besondere Datenkategorien

(1) Bei B2B-Workspace-Inhalten ist der Geschäftskunde regelmäßig Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO und AUVY Auftragsverarbeiter nach der AVV. Bei Verbraucherverträgen und Haushaltsnutzung nach den AGB Privatkunden ist AUVY für die in diesem Verbraucherkontext verarbeiteten personenbezogenen Daten Verantwortlicher. Account-, Authentifizierungs-, Abrechnungs- und Plattform-Sicherheitsdaten verarbeitet AUVY ebenfalls als Verantwortlicher nach Maßgabe der Datenschutzhinweise.

(2) Ein Geschäftskunde darf besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO nur eingeben, wenn er über eine wirksame Rechtsgrundlage verfügt und AUVY vorab informiert wurde. Verbraucher- und Haushaltsnutzung ist nicht für besondere Kategorien oder Berufsgeheimnisträger-Workflows freigegeben, solange AUVY nicht ausdrücklich eine gesonderte rechtmäßige Verbraucherfunktion und Information bereitstellt.

(3) Berufsgeheimnisträger-Daten im Sinne von § 203 StGB (insbesondere Daten von Mandant:innen, Patient:innen oder vergleichbaren Anvertrauenden bei Ärzt:innen, Rechtsanwält:innen, Steuerberater:innen, Notar:innen, Psychotherapeut:innen sowie deren berufsmäßig tätigen Gehilf:innen) dürfen in AUVY ausschließlich dann eingegeben werden, wenn die Verschwiegenheitsklausel in § 12 der AVV zwischen dem Kunden und AUVY beidseitig in Textform aktiviert ist. Voraussetzung der Aktivierung sind kumulativ:

a) eine Textform-Bestätigung des Kunden, dass er Berufsgeheimnisträger ist und Berufsgeheimnisse über AUVY verarbeitet werden, und

b) eine Textform-Gegenbestätigung von AUVY, dass die nach § 12 Abs. 3 AVV erforderlichen Verpflichtungen der Beschäftigten und Subprozessoren zu diesem Zeitpunkt vorliegen.

Solange diese beidseitige Aktivierung nicht erfolgt ist, ist die Eingabe von Berufsgeheimnisträger-Daten in AUVY untersagt. Eine technische Freischaltung im Produkt existiert nicht; die Zulässigkeit ergibt sich ausschließlich aus der vertraglichen Aktivierung. Die Aktivierung ist ausschließlich im B2B-Enterprise-Pfad verfügbar; B2C-Verbraucher- und Haushaltsnutzung darf keine Berufsgeheimnisträger-Daten verarbeiten.

(4) Der Export bzw. die Löschung personenbezogener Daten zur Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) erfolgt durch den Kunden mittels der im Produkt bereitgestellten Funktionen.

§ 8 Spam, Belästigung, Massen-Kommunikation

(1) AUVY darf nicht zur Erzeugung oder Versendung unverlangter kommerzieller Kommunikation (Spam) oder zur Durchführung von Belästigungs- oder Stalking-Kampagnen eingesetzt werden.

(2) AUVY darf nicht eingesetzt werden, um andere Personen zu belästigen, einzuschüchtern, zu bedrohen oder rechtswidrig zu überwachen.

(3) Für E-Mail-Marketing oder vergleichbare Kommunikationsmaßnahmen ist UWG- und DSGVO-Konformität durch den Kunden sicherzustellen (Double-Opt-in, Abmeldemöglichkeit, Identifizierbarkeit des Absenders).

§ 9 Sicherheits-Pflichten

(1) Nutzer:innen melden Anhaltspunkte für Sicherheitsvorfälle, kompromittierte Konten, ungewohnten Datenabfluss oder Schwachstellen unverzüglich an security@auvy.ai.

(2) Sicherheitsforschung im Rahmen einer Vulnerability Disclosure Policy (siehe Trust Center) ist erwünscht und unterliegt einem Safe Harbor: Sofern keine produktiven Daten Dritter verändert oder veröffentlicht werden, keine Dienststörungen verursacht werden und der koordinierte Offenlegungsprozess eingehalten wird, verzichtet AUVY auf rechtliche Schritte gegen Researcher.

(3) Penetrationstests gegen AUVY-Produktions-Systeme bedürfen der vorherigen schriftlichen Genehmigung durch AUVY.

§ 10 Sanktionen bei Verstößen

(1) Verhältnismäßigkeitsgrundsatz: Sanktionen nach diesem § 10 müssen geeignet, erforderlich und angemessen sein, um den konkreten Verstoß zu beenden bzw. seine Wiederholung zu verhindern. AUVY wählt das mildeste geeignete Mittel zuerst. Bei der Bemessung berücksichtigt AUVY insbesondere: (a) Schwere und Dauer des Verstoßes, (b) Vorsatz oder Fahrlässigkeit, (c) Wiederholungsfälle, (d) eingetretene Schäden, (e) Möglichkeiten zur unverzüglichen Heilung durch den Kunden.

(2) Bei einem Verstoß gegen diese AUP oder die AGB kann AUVY — vorbehaltlich Abs. 1 — in der folgenden Reihenfolge reagieren:

1. Warnung mit Hinweis auf den konkreten Verstoß, Setzung einer angemessenen Heilungsfrist (in der Regel mindestens 7 Tage in Textform, außer in Eilfällen) und Aufforderung zur Behebung,

2. Suspendierung einzelner Lizenzen des betroffenen Workspaces (zunächst nur soweit zur Eindämmung erforderlich),

3. Suspendierung des gesamten Workspaces,

4. Außerordentliche Kündigung des Vertrags gemäß § 8 Abs. 5 der jeweils anwendbaren AGB.

(3) Bei schwerwiegenden Verstößen (insbesondere Rechtsbruch nach § 3 oder § 6 Abs. 1 dieser AUP, akute Sicherheitsangriffe, drohende Gefährdung Dritter) kann AUVY ohne vorherige Warnung unmittelbar suspendieren oder kündigen. AUVY wird den Kunden unverzüglich nach Ergreifen der Maßnahme informieren und Gelegenheit zur Stellungnahme geben.

(4) AUVY ist berechtigt, betroffene Inhalte zu sperren, zu löschen oder bei rechtswidrigen Inhalten an zuständige Behörden weiterzugeben, soweit gesetzlich erforderlich.

(5) Ansprüche von AUVY auf Schadensersatz, Aufwendungsersatz oder Freistellung gegen den Kunden bei Verstoß bleiben unberührt.

§ 11 Meldung mutmaßlicher Verstöße durch Dritte

(1) Hinweise auf rechtswidrige Inhalte, Missbrauchsfälle oder AUP-Verstöße können unter legal@auvy.ai gemeldet werden.

(2) AUVY prüft Meldungen in angemessener Frist und ergreift bei begründeten Hinweisen geeignete Maßnahmen gemäß § 10.

(3) Mutwillige Falschmeldungen können ihrerseits einen AUP-Verstoß darstellen.

§ 12 Änderungen dieser AUP

(1) AUVY behält sich vor, diese AUP mit Wirkung für die Zukunft zu ändern, insbesondere zur Anpassung an Gesetzesänderungen, neue Missbrauchsmuster oder neue Funktionen von AUVY.

(2) Wesentliche Änderungen werden mindestens 30 Tage vor Wirksamwerden in Textform angekündigt. Im Übrigen gilt § 16 der jeweils anwendbaren AGB entsprechend (Widerspruchsrecht, Kündigungsrecht).

§ 13 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Im Übrigen gelten die Schlussbestimmungen in § 18 der jeweils anwendbaren AGB sinngemäß. Zwingendes Verbraucherschutzrecht bleibt unberührt.