KI-Transparenz und Compliance-Erklärung
Einsatz Künstlicher Intelligenz in den Anwendungen der Blue Ocean Cloud Systems UG (haftungsbeschränkt)
Stand: Juli 2026
1. Worum es in dieser Erklärung geht
Unsere Anwendungen (u. a. tellmi und talkmi) nutzen Künstliche Intelligenz (KI), um Sprache zu transkribieren, zu übersetzen und Inhalte zusammenzufassen. Mit dieser Erklärung legen wir offen, welche KI-Technologie wir einsetzen, wo Ihre Daten verarbeitet und gespeichert werden und wie wir die Pflichten aus der europäischen KI-Verordnung (EU AI Act), der Datenschutz-Grundverordnung (DSGVO) und dem europäischen Datengesetz (EU Data Act) erfüllen.
2. Welche KI wir einsetzen
Wir verwenden ausschließlich KI-Modelle, die in der Microsoft Azure Cloud bereitgestellt werden — und davon nur solche, die in Rechenzentren in Deutschland gehostet werden. Das bedeutet konkret: • Es kommen keine KI-Dienste außerhalb der Microsoft Azure Cloud zum Einsatz. • Die Verarbeitung Ihrer Eingaben durch die KI-Modelle erfolgt in Deutschland. • Wir setzen keine Modelle ein, die auf Servern außerhalb Deutschlands betrieben werden.
3. Keine Veränderung der KI-Modelle — kein Finetuning
An den von uns genutzten KI-Modellen nehmen wir keinerlei Veränderungen vor: • Es findet kein Finetuning und kein Training mit Kundendaten statt. • Die Modelle selbst bleiben unverändert, so wie Microsoft sie bereitstellt. • Wir passen ausschließlich das sogenannte System-Prompt an, also die Arbeitsanweisung, mit der das Modell für den jeweiligen Anwendungsfall (z. B. Transkription oder Übersetzung) konfiguriert wird. Ihre Inhalte werden also zu keinem Zeitpunkt dazu verwendet, KI-Modelle zu trainieren oder weiterzuentwickeln — weder durch uns noch durch Microsoft.
4. Vertraulichkeit Ihrer Eingaben und Ergebnisse
Microsoft sichert für die von uns genutzten Azure-KI-Dienste vertraglich zu, dass Prompts (Eingaben) und deren Ergebnisse (Ausgaben): • nicht mit anderen Kunden geteilt werden, • nicht an die Hersteller der jeweiligen Modelle weitergegeben werden und • nicht zum Training oder zur Verbesserung der Modelle verwendet werden. Ihre Eingaben bleiben damit innerhalb unserer Anwendung und der von uns kontrollierten Azure-Umgebung.
5. Datenspeicherung und Verschlüsselung
Alle Daten, die mit unserer Software gespeichert werden, werden ausschließlich in Deutschland gespeichert. Zusätzlich gilt: • Sämtliche Daten werden durch Microsoft standardmäßig verschlüsselt (Verschlüsselung ruhender Daten und verschlüsselte Übertragung). • Darüber hinaus verschlüsseln wir die gespeicherten Daten ein weiteres Mal mit sogenannten Customer Managed Keys (CMK) — also mit Schlüsseln, die wir selbst verwalten und die nicht in der Hand des Cloud-Anbieters liegen. Damit sind Ihre Daten doppelt verschlüsselt: einmal durch die Plattform-Verschlüsselung von Microsoft und einmal durch unsere eigenen, von uns verwalteten Schlüssel.
6. Unsere Rolle und die Risikoeinstufung nach dem EU AI Act
Wir entwickeln keine eigenen KI-Modelle und verändern die eingesetzten Modelle nicht. Wir integrieren am Markt verfügbare, von Microsoft bereitgestellte KI-Dienste unverändert in unsere Anwendungen. Aufgrund dieser Tatsache sehen wir uns in der Wertschöpfungskette in der Rolle eines Händlers bzw. Integrators und nicht in der Rolle eines Modell-Anbieters. Zur Risikoeinstufung: • Unsere Anwendungen sind nicht für den Einsatz in Hochrisikobereichen im Sinne des EU AI Act bestimmt (z. B. kritische Infrastrukturen, Strafverfolgung, Beschäftigten-Auswahl, Kreditwürdigkeitsprüfung). • Unsere Anwendungen führen keine nach dem EU AI Act verbotenen Praktiken durch (kein Social Scoring, keine Emotionserkennung am Arbeitsplatz, keine biometrische Kategorisierung). • Unsere Kunden werden ausdrücklich darauf hingewiesen, dass sie sich mit den geltenden Gesetzen ihres Landes bzw. des Landes, in dem sie die Software nutzen, vertraut machen müssen, diese Gesetze einzuhalten haben und im Zweifel von der Nutzung unserer Software absehen müssen. Auf dieser Grundlage stufen wir das Risiko beim Einsatz unserer Software als begrenztes Risiko („limited risk") im Sinne des EU AI Act ein.
7. Pflichten aus dem EU AI Act — und wie wir sie erfüllen
Auch bei begrenztem Risiko bestehen Pflichten. Diese erfüllen wir wie folgt: a) Transparenzpflichten (Art. 50 EU AI Act) Nutzerinnen und Nutzer müssen erkennen können, dass sie mit KI arbeiten und dass Inhalte KI-generiert sind. Umsetzung: In unseren Anwendungen ist auf den zentralen Bildschirmen ein dauerhaft sichtbarer Hinweis eingeblendet, dass die Ergebnisse mit Künstlicher Intelligenz erstellt werden, fehlerhaft sein können und vor der Weiterverwendung kritisch zu prüfen sind. Dieser Hinweis ist in allen 15 Sprachen verfügbar, in denen unsere Anwendungen bedient werden können. b) Hinweis auf rechtliche Rahmenbedingungen (insb. bei Aufzeichnungen) Umsetzung: Da unsere Anwendungen Aufzeichnungsfunktionen bieten, weisen wir an derselben, dauerhaft sichtbaren Stelle darauf hin, dass Nutzer die geltenden Gesetze ihres Landes bzw. des Nutzungslandes einhalten müssen (z. B. Einwilligungspflichten bei Gesprächsaufzeichnungen) und die Nutzung im Zweifel zu unterlassen ist. c) KI-Kompetenz (Art. 4 EU AI Act) Anbieter und Betreiber müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Umsetzung: Die mit Entwicklung und Betrieb befassten Personen sind mit der Funktionsweise, den Fähigkeiten und den Grenzen der eingesetzten KI-Dienste vertraut; Konfigurationen (System-Prompts) werden dokumentiert und versioniert. d) Keine Hochrisiko-Nutzung / bestimmungsgemäßer Gebrauch Umsetzung: Wir bewerben und gestalten unsere Anwendungen ausschließlich für Transkription, Übersetzung und Zusammenfassung im Alltags- und Geschäftskontext. Sollten wir Kenntnis von einer Nutzung in Hochrisikobereichen erlangen, behalten wir uns vor, die Bereitstellung einzuschränken. e) Beobachtung und Weiterentwicklung Umsetzung: Wir beobachten die Konkretisierung des EU AI Act (u. a. Leitlinien, Durchführungsrechtsakte, Kennzeichnungsstandards für KI-Inhalte) und passen unsere Anwendungen und Hinweise fortlaufend an.
8. Pflichten aus der DSGVO — und wie wir sie erfüllen
a) Rechtsgrundlage und Zweckbindung (Art. 5, 6 DSGVO) Personenbezogene Daten verarbeiten wir nur zur Erbringung der vertraglich vereinbarten Leistungen (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Basis berechtigter Interessen oder Einwilligung. Details regelt unsere Datenschutzerklärung. b) Auftragsverarbeitung (Art. 28 DSGVO) Mit Microsoft besteht ein Auftragsverarbeitungsvertrag (Microsoft Products and Services Data Protection Addendum). Microsoft verarbeitet Daten nur auf dokumentierte Weisung; die von uns gewählten Dienste werden in Deutschland betrieben. c) Keine Drittlandübermittlung als Regelfall (Kap. V DSGVO) Durch die Beschränkung auf in Deutschland gehostete Dienste und Speicherung ausschließlich in Deutschland vermeiden wir Drittlandübermittlungen im Regelbetrieb. d) Technische und organisatorische Maßnahmen (Art. 32 DSGVO) Verschlüsselung bei Übertragung und Speicherung, zusätzliche Verschlüsselung mit Customer Managed Keys, rollenbasierte Zugriffskontrolle, zentrale Anmeldung mit modernem Identitätsmanagement, Protokollierung administrativer Zugriffe. e) Datenminimierung und Speicherbegrenzung (Art. 5 DSGVO) Wir speichern nur die für die Leistungserbringung erforderlichen Daten. Nach Vertragsende bzw. Ablauf einer Testphase werden gespeicherte Inhalte nach einer angemessenen Übergangsfrist gelöscht; Nutzer können ihre Daten vorher exportieren. f) Betroffenenrechte (Art. 12 ff. DSGVO) Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch können jederzeit über die in der Datenschutzerklärung genannten Kontaktwege geltend gemacht werden. g) Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO) Unsere Anwendungen treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber Personen. Die KI erstellt Arbeitsergebnisse (Transkripte, Übersetzungen, Zusammenfassungen), deren Verwendung stets beim Menschen liegt. h) Verzeichnis von Verarbeitungstätigkeiten und Meldepflichten (Art. 30, 33, 34 DSGVO) Wir führen ein Verzeichnis der Verarbeitungstätigkeiten und haben Prozesse etabliert, um Datenschutzvorfälle zu erkennen und innerhalb der gesetzlichen Fristen zu melden.
9. Pflichten aus dem EU Data Act — und wie wir sie erfüllen
Der EU Data Act stärkt insbesondere die Rechte von Kunden von Cloud- und Datenverarbeitungsdiensten. Für uns als Anbieter von SaaS-Anwendungen bedeutet das: a) Datenzugang und Datenexport Kunden können die mit unserer Software erstellten und gespeicherten Inhalte in gängigen, strukturierten Formaten exportieren und weiterverwenden. Es besteht kein „Lock-in" der Inhalte. b) Anbieterwechsel (Switching) Wir gestalten unsere Verträge so, dass einem Wechsel zu einem anderen Anbieter keine unangemessenen vertraglichen, technischen oder finanziellen Hürden entgegenstehen. Nach Vertragsende stellen wir die Daten für einen angemessenen Zeitraum zum Export bereit und löschen sie anschließend. c) Transparenz über Speicherort und Infrastruktur Mit dieser Erklärung legen wir offen: Verarbeitung und Speicherung erfolgen in der Microsoft Azure Cloud in Deutschland; internationale Behördenzugriffe werden durch die Wahl des Speicherorts, die Vertragsgestaltung und die zusätzliche Verschlüsselung mit eigenen Schlüsseln (CMK) erschwert; ohne unsere Schlüssel sind die Daten nicht lesbar. d) Faire Vertragsbedingungen Unsere Vertragsbedingungen enthalten keine missbräuchlichen Klauseln im Sinne des Data Act zulasten der Datennutzungsrechte unserer Kunden.
10. Ihre Verantwortung als Nutzer
So sehr wir auf Qualität und Rechtskonformität achten — zwei Dinge liegen in Ihrer Verantwortung: • KI-Ergebnisse prüfen: Die mit unserer Software erstellten Ergebnisse werden mit Künstlicher Intelligenz erzeugt und können fehlerhaft sein. Prüfen Sie die Ergebnisse bitte kritisch, bevor Sie sie weiterverwenden. • Geltendes Recht einhalten: Im Hinblick auf die Aufzeichnungsmöglichkeiten, die unsere Software bietet, müssen Sie sich an die geltenden Gesetze Ihres Landes oder des Landes halten, in dem Sie die Software nutzen. Informieren Sie sich bitte vor der Nutzung. Im Zweifel müssen Sie die Nutzung unterlassen.
11. Kontakt
Fragen zu dieser Erklärung, zum Datenschutz oder zum Einsatz von KI in unseren Anwendungen beantworten wir gerne: Blue Ocean Cloud Systems UG (haftungsbeschränkt) Grindelallee 1 20146 Hamburg Germany E-Mail: info@blue-ocean.cloud Diese Erklärung wird regelmäßig überprüft und bei Änderungen der Rechtslage oder unserer Dienste aktualisiert.