OPRIVON – Richtlinie für zulässige KI- und Automatisierungsnutzung (Acceptable Use Policy)

Stand: 23. Oktober 2026. OPRIVON ist als unternehmensorientierte KI-Arbeits- und Prozessautomatisierungsplattform geplant. Gerade weil KI-Agenten künftig eigenständig Texte, Entscheidungen, Programmcode, E-Mails und digitale Handlungen vorbereiten oder ausführen können, gelten besondere Anforderungen an die Rechtmäßigkeit, menschliche Kontrolle und Sicherheit. Diese Richtlinie beschreibt Regeln, die für spätere autorisierte Nutzer und Unternehmenskunden verbindlich gemacht werden sollen. Sie stellt keine Aussage dar, dass eine hier erwähnte Funktion heute bereits verfügbar ist.

1. Verantwortung für zulässige Aufträge

Nutzer und Kunden dürfen OPRIVON nur im Rahmen anwendbaren Rechts und ihrer tatsächlich bestehenden Berechtigungen verwenden. Sie sind verantwortlich für die Ziele ihrer Aufträge, die Auswahl zulässiger Eingabedaten, erforderliche Freigaben und die rechtmäßige Nutzung von Ergebnissen und externen Systemen. Wer OPRIVON mit einem Auftrag betraut, muss sicherstellen, dass entsprechende Rechte, Vollmachten und erforderliche Einwilligungen vorliegen. Die Verantwortung des Kunden für seine Zwecke entbindet den Anbieter nicht von eigenen gesetzlichen Pflichten oder von einer im Einzelfall selbst verursachten Pflichtverletzung.

2. Betrug, Identitätsmissbrauch und Täuschung – verboten

Nicht gestattet sind insbesondere Phishing, gefälschte Rechnungen oder Zahlungsaufforderungen, Identitätsdiebstahl, gefälschte Bewerbungs- oder Behördenunterlagen, Social Engineering, unberechtigte Kontozugriffe, Fake-Support, gefälschte Bewertungen, irreführende Kundenansprache und die Täuschung über die Beteiligung eines Menschen oder einer KI, wo Transparenz gesetzlich erforderlich ist.

3. Cyberkriminalität und technische Angriffe – verboten

Verboten sind die Erstellung, Beschaffung oder der Einsatz von Schadsoftware zu rechtswidrigen Zwecken, Ransomware, Credential-Stealing, Credential-Stuffing, unerlaubtem Scanning oder Eindringen in fremde Systeme, Exploit-Missbrauch, Umgehen von Zugangs- oder Zahlungsschranken, heimliche Datenexfiltration, Distributed-Denial-of-Service-Angriffe sowie Versuche, OPRIVON- oder Drittsysteme durch Prompt-Injection oder Manipulation zu missbrauchen. Autorisierte Penetrationstests bedürfen einer klaren Erlaubnis des jeweiligen Systeminhabers und müssen innerhalb vereinbarter Grenzen stattfinden.

4. Rechtswidrige Überwachung, Stalking und Datenmissbrauch – verboten

Nicht gestattet sind Stalking, Doxxing, heimliche Überwachung, rechtswidrige biometrische Auswertung, unzulässige Profilbildung, unberechtigte Verarbeitung besonderer Kategorien personenbezogener Daten, Erfassung von Kommunikationsinhalten ohne Befugnis oder das Zusammenführen fremder Datensätze ohne tragfähige Rechtsgrundlage.

5. Gewalt, Ausbeutung und strafbare Inhalte – verboten

OPRIVON darf nicht zur Förderung strafbarer Gewalttaten, zu terroristischer Propaganda oder Unterstützung, zur Verbreitung rechtswidriger sexualisierter Darstellungen, zum sexuellen Missbrauch von Minderjährigen, zu Menschenhandel oder anderen Straftaten eingesetzt werden. Rechtswidrige Umgehungen gesetzlicher Kontroll-, Alters- und Schutzmechanismen sind unzulässig.

6. Desinformation, Manipulation und gefälschte Medien

Nutzer dürfen keine rechtswidrigen Deepfakes, Identitätsimitationen, gefälschten Beweise, manipulierten medizinischen oder amtlichen Dokumente oder irreführenden KI-generierten Inhalte erzeugen oder verbreiten. Soweit Kennzeichnungs- oder Informationspflichten nach dem EU AI Act oder sonstigem Recht greifen, müssen diese eingehalten werden. Eingebundene Kennzeichnungen oder Herkunftsinformationen dürfen nicht rechtswidrig entfernt oder umgangen werden.

7. Spam, Massenkommunikation und Marketing

Automatisiertes Versenden von Nachrichten ist nur zulässig, wenn die erforderlichen Einwilligungen, sonstigen Rechtsgrundlagen und Plattformregeln vorliegen. Unerwünschte Werbe-E-Mails, massenhafte Kontaktformulareinträge, manipulierte Rufnummern-/Absenderangaben, gekaufte Adresslisten ohne Berechtigung sowie Verstöße gegen § 7 UWG und geltende Telekommunikations-/Plattformregeln sind untersagt. Bei Versandautomatisierung müssen Abmeldungen und Sperrlisten respektiert werden.

8. Schutz von Urheberrechten, Geschäftsgeheimnissen und Lizenzen

Nutzer dürfen OPRIVON nicht zum rechtswidrigen Kopieren, Veröffentlichen oder Verwerten von urheberrechtlich geschützten Materialien, Geschäftsgeheimnissen, proprietärem Quellcode, Marken oder geschützten Datenbanken verwenden. Das Vorliegen eines KI-Ergebnisses bedeutet nicht, dass dieses frei von Rechten Dritter ist. Eingaben und Ergebnisse müssen vor ihrer Weiterverwendung auf Berechtigung und rechtliche Risiken geprüft werden.

9. Hochrisiko-, sicherheits- und grundrechtsrelevante Anwendungen

Für Entscheidungen mit erheblicher Wirkung auf Menschen – beispielsweise Beschäftigung, Zugang zu wesentlichen Dienstleistungen, Kreditwürdigkeit, Gesundheitsversorgung, Bildung, kritische Infrastruktur, Rechtsdurchsetzung oder öffentliche Leistungen – sind die jeweils einschlägigen gesetzlichen Vorgaben, Risiko- und Qualitätsprüfungen, menschliche Aufsicht, Dokumentation und gegebenenfalls gesonderte vertragliche Freigaben erforderlich. Ohne eine bestätigte technische und rechtliche Eignung darf OPRIVON nicht als alleinige Instanz für solche Entscheidungen verwendet werden. Eine unzulässige KI-Praxis wird auch durch eine Kundenzustimmung nicht legal.

10. Finanz-, Rechts-, Medizin- und Sicherheitsauskünfte

KI-Ausgaben können sachlich falsch, veraltet, unvollständig, frei erfunden oder durch manipulierte Quellen beeinflusst sein. Kunden müssen Ergebnisse vor Verwendung fachlich beurteilen; insbesondere darf KI-Ausgabe keine qualifizierte ärztliche, juristische, steuerliche, finanzielle oder sicherheitskritische Prüfung ersetzen. Automatische Zahlungen, unwiderrufliche Rechtsgeschäfte, Löschungen, externe Veröffentlichungen oder Änderungen an kritischen Produktionssystemen bedürfen angemessener Schutzschwellen und, wo erforderlich, einer wirksamen menschlichen Freigabe.

11. Rechte und Befugnisse bei externen Integrationen

Vor jeder Integration mit E-Mail, Cloud, Datenbanken, ERP, CRM, Betriebssystem, Browser oder Drittanbieterdiensten müssen Kunden sicherstellen, dass sie zur Verbindung und zu den geplanten Handlungen berechtigt sind. Tokens, Schlüssel und Passwörter dürfen nicht unnötig offengelegt werden. Rechte sind nach dem Prinzip der geringstmöglichen Berechtigung zu begrenzen; besonders risikoreiche Aktionen sind vorab einzugrenzen. Die Nutzung fremder Dienste unterliegt auch deren verbindlichen Bedingungen.

12. Eingabedaten und Unternehmensverantwortung

Der Kunde muss für personenbezogene Daten, Betriebsgeheimnisse und andere geschützte Informationen eine tragfähige Berechtigung haben. Er entscheidet im jeweils anwendbaren Rollenmodell über Zwecke und Zulässigkeit seines Einsatzes. Für Verarbeitungen durch OPRIVON als Auftragsverarbeiter wird, soweit erforderlich, vor produktivem Einsatz eine Vereinbarung gemäß Art. 28 DSGVO geschlossen. Datenschutzrollen dürfen nicht allein durch eine pauschale AGB-Formel festgelegt werden, sondern müssen tatsächliche Datenflüsse widerspiegeln.

13. Qualitätsprüfung und menschliche Aufsicht

Automatisierte Prozesse sind so zu gestalten, dass kritische Fehler erkannt, ausgeführte Aktionen nachvollzogen und schädliche Abläufe möglichst gestoppt werden können. Bei rechtlich oder wirtschaftlich erheblichen Folgen müssen Nutzer geeignete Freigaben, Plausibilitätskontrollen, Testumgebungen und Rückfallmaßnahmen einsetzen. Die konkrete Verantwortung beider Vertragsparteien wird im jeweiligen Leistungsvertrag festgelegt.

14. Sicherheitskontrollen und Limits

Im technisch und rechtlich zulässigen Umfang können Nutzungsgrenzen, Ratenlimits, Zugriffsberechtigungen, Berechtigungsbestätigungen, Missbrauchserkennung, Schutzfilter, Protokollierung sicherheitsrelevanter Ereignisse und Maßnahmen zur Verhinderung unerlaubter Aktionen eingerichtet werden. Kontrollen sind datensparsam und transparent zu gestalten. Es wird nicht pauschal eine lückenlose Inhaltsüberwachung oder absolute Verhinderung von Missbrauch versprochen.

15. Meldung von Missbrauch

Wer einen Verdacht auf rechtswidrige Verwendung, Datenabfluss, unbefugte Kontoübernahme oder eine gravierende Sicherheitslücke erkennt, soll ihn unverzüglich unter d.p.online-group@dponline-group.com melden. Meldungen sollen – soweit zulässig – die betroffenen Funktionen, Zeitpunkt, Auswirkungen und reproduzierbare technische Hinweise umfassen. Es besteht keine Verpflichtung, sensible Daten ungeschützt zu versenden. Für Dienste, auf die der Digital Services Act als Vermittlungs-/Hostingdienst anwendbar ist, müssen dessen eigenständige Melde-, Begründungs- und Rechtsbehelfsverfahren gesondert umgesetzt werden.

16. Warnung, Einschränkung und Sperrung

Bei einem konkreten Anhaltspunkt für schwere Rechtsverletzungen, Sicherheitsgefährdungen oder wiederholten erheblichen Verstößen können angemessene Maßnahmen – etwa Warnung, Einschränkung riskanter Funktionen, vorläufige Sperre betroffener Integrationen oder vertraglich geregelte Kontosperrung – vorgesehen werden. Dringende Maßnahmen zum Schutz von Betroffenen oder Infrastruktur können ausnahmsweise ohne Vorankündigung erfolgen, soweit Gesetz und Vertrag dies erlauben. Eine spätere Anhörung, Begründung und Überprüfung müssen entsprechend den anwendbaren Pflichten vorgesehen werden.

17. Zusammenarbeit mit Behörden und Betroffenen

Gesetzlich wirksamen Auskunfts-, Sicherungs- oder Herausgabeanordnungen wird nach Maßgabe der einschlägigen Gesetze Folge geleistet. Der Anbieter prüft Rechtsgrundlage, Umfang, Zuständigkeit und gegebenenfalls Widerspruchsmöglichkeiten und übermittelt nicht mehr Daten als erforderlich. Unzulässige pauschale Überwachung oder rechtswidrige Weitergabe von Kundendaten wird daraus nicht abgeleitet.

18. Verantwortung, Freistellung und Ersatz von Schäden

Kunden haften nach den gesetzlichen und wirksam vereinbarten Regeln für eigene schuldhafte Rechtsverletzungen und für Handlungen von Personen, für die sie nach anwendbarem Recht einzustehen haben. Eine Freistellung des Anbieters von begründeten Ansprüchen Dritter kommt nur in Betracht, soweit diese Ansprüche nachweislich auf einer zurechenbaren schuldhaften Rechtsverletzung des Kunden beruhen, der Kunde angemessen über die Forderung informiert wird und die Klausel im konkreten B2B-/B2C-Vertrag rechtswirksam ausgestaltet ist. Keine Freistellung gilt für Schäden, die der Anbieter selbst zu vertreten hat; zwingende Verbraucher-, Datenschutz- und Produkthaftungsrechte bleiben unberührt. Eine pauschale „Nutzer haften für alles, Anbieter für nichts“-Formulierung ist nicht vorgesehen.

19. Weiterentwicklung und Versionsstand

Risiken und Missbrauchsmuster können sich verändern. Die Richtlinie wird entsprechend den tatsächlich angebotenen Funktionen, neuem Recht und vertraglichen Anforderungen fortentwickelt. Wesentliche Änderungen dürfen nicht beliebig rückwirkend zu Lasten bestehender Kunden gelten. Aktuelle Version und Wirksamkeitsdatum müssen bei Einführung deutlich mitgeteilt werden.

Wichtig für den aktuellen Vorlauf: Diese KI-Nutzungsrichtlinie ist eine öffentliche Beschreibung geplanter Schutz- und Verhaltensgrundsätze für spätere Produktnutzer; aktuell besteht noch kein Vertrag über OPRIVON-Software.