Leistungsbeschreibung.pdf

Leistungsbeschreibung „Legal AI Workspace“

Leistungsbeschreibung

„Legal AI Workspace“

1

Leistungsbeschreibung „Legal AI Workspace“

Inhaltsverzeichnis 1 Hintergrund und Zielsetzung 3 2 Leistungsüberblick 4 3 Umfang der Software 4 3.1 Funktionale Anforderungen 4 3.2 Nicht funktionale/technische Anforderungen 4 4 Umfang und Voraussetzungen der Nutzung 8 4.1 Lizenzen 8 4.2 Umgebungen 9 4.3 Voraussetzungen für den Zugriff und/oder die Nutzung 10 4.4 Prüfpflichten, Schadsoftware und unerwünschte Funktionalität 10 4.5 Dokumentation 11 5 Einführungsprojekt für die Softwarebereitstellung 14 5.1 Zielsetzung und Leistungscharakter 14 5.2 Projektvorgehen und Steuerung 14 5.3 Mitwirkung der KfW 16 5.4 Hypercare-Phase 17 5.5 Zeitplan und Meilensteine 17 5.6 Projektteam 17 6 Softwarebetrieb 18 6.1 Betriebsüberwachung 18 6.2 Änderung und Aktualisierung der Software 18 6.3 Service Desk und Servicezeiten 19 6.4 Incident-Management 20 6.5 Servicelevel Agreements und Folgen von SLA-Verstößen 21 6.6 SLA-Berichterstellung 23 7 Beratung für die Bereitstellung, Konfiguration und Anpassung 23 8 Besprechungen 24 9 Beendigungsunterstützung 25 9.1 Export von Dialogvorlagen und Prüfregelwerken 25 9.2 Export von Dokumenten und Datenbeständen 25 9.3 Technische Ausgestaltung, Verfahren und Fristen 25 10 Anlagen 25

2

Leistungsbeschreibung „Legal AI Workspace“

1 Hintergrund und Zielsetzung

Der vertragsgegenständliche Legal AI Workspace (im Folgenden „Software“) muss als spezialisierte Arbeitsumgebung die juristische Facharbeit im KfW‑Konzern (im Folgenden „KfW“) mithilfe von generativer künstlicher Intelligenz unterstützen. Die Software wird insbesondere für juristische Recherche, Analyse und Aufbereitung von Rechtsinhalten sowie für die (teil-)automatisierte Erstellung, Überarbeitung und Strukturierung von Dokumenten und sonstigen juristischen Arbeitsergebnissen eingesetzt. Benutzer sind die Personen des Bereichs Recht sowie weiterer Fachbereiche und Töchter im KfW‑Konzern. Ein Legal AI Workspace verbindet große Sprachmodelle mit spezialisierten Verarbeitungsschichten, die für die Arbeit mit rechtlichen Inhalten optimiert sind. Er unterscheidet sich von allgemeinen KI‑Assistenten dadurch, dass er juristische Fachprozesse in einer einheitlichen Arbeitsumgebung zusammenführt und Mechanismen einsetzt, die für die professionelle Rechtsanwendung unabdingbar sind. Dazu zählen insbesondere

• die nachvollziehbare Verankerung generierter Aussagen in überprüfbaren Quellen, • die strukturierte Verarbeitung komplexer Dokumente sowie • die regelbasierte Prüfung von Vertragsinhalten. Die Software muss die folgenden Kernfunktionen bereitstellen: Rechtsrecherche: Die Software muss in der Lage sein, komplexe juristische Fragestellungen auf Grundlage einschlägiger Rechtsquellen zu beantworten. Jede generierte Aussage muss auf konkrete, überprüfbare Quellen (insbesondere Gesetze, Rechtsprechung, Kommentarliteratur) zurückgeführt und für die Benutzer transparent gemacht werden. Die KfW betrachtet den integrierten Zugang zu kuratierten juristischen Datenbanken als qualitätssteigerndes Merkmal. Die Software muss darüber hinaus mit von der KfW bereitgestellten Dokumenten und internen Wissensdatenbanken arbeiten können. Dokumentenanalyse und Vertragsauswertung: Die Software muss Dokumente, einschließlich komplex strukturierter Verträge, tabellarischer Inhalte und gescannter Unterlagen, inhaltlich verarbeiten und auswerten können, ohne dass wesentliche Strukturinformationen verloren gehen. Dies umfasst die Fähigkeit, Vertragsinhalte gegen vorgegebene Prüfungsmaßstäbe systematisch und vollständig abzugleichen. Texterstellung und Entwurfsunterstützung: Die Software muss die Erstellung und Überarbeitung juristischer Texte unterstützen, insbesondere von Vertragsentwürfen, Vermerken und Stellungnahmen. Änderungsvorschläge müssen unmittelbar im Dokument nachvollzogen werden können; eine bloße Bereitstellung von generiertem Text zur manuellen Übernahme durch die Benutzer genügt den Anforderungen nicht. Die Software ergänzt eine bei der KfW bereits eingesetzte allgemeine KI‑Software. Die neue Software wird als eigenständiges Werkzeug betrieben und nutzt eine von dem Auftragnehmer bereitgestellte Modellinfrastruktur. Es wird erwartet, dass die Software deutliche Effizienz- und Qualitätssteigerungen in der täglichen Rechtsberatung, bei der Dokumentenerstellung und ‑prüfung sowie bei wiederkehrenden rechtlichen Standardaufgaben erreichen wird. Unbeschadet der in diesem Dokument beschriebenen Bereitstellung der Software as a Service (SaaS) und der dazu ggf. eingeräumten Nutzungsrechte hat die Bereitstellung der Software so zu erfolgen, dass sie dem Einsatzzweck mindestens genügt. Der KfW stehen hierfür mindestens die Nutzungsrechte zu, die erforderlich sind, um den Einsatzzweck zu erfüllen.

3

Leistungsbeschreibung „Legal AI Workspace“

2 Leistungsüberblick

Der Auftragnehmer schuldet die folgenden Leistungen: (a) Bereitstellung einer Software mit dem Funktionsumfang, wie in den Kapiteln 3 und 4 beschrieben und nach Vorgaben des Kapitels 8 (b) Durchführung eines Projekts zur Einführung der Software, wie in Kapitel 5 beschrieben (c) Betrieb als SaaS, wie in Kapitel 6 beschrieben (d) Je nach Bedarf Erbringung zusätzlicher Leistungen, wie in Kapitel 7 beschrieben (e) Beendigungsunterstützung, wie in Kapitel 9 beschrieben.

3 Umfang der Software

3.1 Funktionale Anforderungen Der vertraglich geschuldete Funktionsumfang der Software setzt sich zusammen aus den Muss-Anforderungen und den durch den Auftragnehmer angebotenen Kann-Anforderungen. Die Muss- und Kann-Anforderungen der KfW ergeben sich aus der Anlage zur Leistungsbeschreibung „Muss- und Kann-Kriterien“. Die dort getätigten Angaben und Ausführungen des Auftragnehmers zur Umsetzung der einzelnen Muss- und Kann- Anforderungen sind verbindlicher Vertragsbestandteil. Die vertraglich geschuldeten Kann-Anforderungen ergeben sich aus dem verbindlichen Angebot (Best and final offer, nachfolgend BAFO) des Auftragnehmers in der Anlage zur Leistungsbeschreibung „Muss- und Kann-Kriterien.“

3.2 Nicht funktionale/technische Anforderungen

3.2.1 Clientseitige Software Für die Nutzung der Software darf es grundsätzlich nicht erforderlich sein, clientseitige Software in der IT-Infrastruktur der KfW zu installieren, außer zum Zwecke der technischen Integration mit Microsoft Office. Der Auftragnehmer muss die Software unter einer von der KfW benannten KfW-spezifischen Subdomain zugänglich machen (z. B. [subdomain].provider-domain.com oder eine Vanity- Domain nach Wahl der KfW). Der Auftragnehmer muss:

• bei der Konfiguration benutzerdefinierter Unterdomänen unterstützen; • gültige TLS/SSL-Zertifikate für die benannten Subdomänen ausstellen und pflegen; • die KfW 8 (acht) Wochen im Voraus über alle Änderungen der zugrunde liegenden IP- Adressen oder der Infrastruktur informieren, die sich auf das DNS-Routing auswirken.

Die vom Auftragnehmer benannten Subdomains müssen für den Zugang seitens KfW eingerichtet werden. Der Auftragnehmer muss die KfW unverzüglich über die aktuellen IP- Adressen der Software informieren.

4

Leistungsbeschreibung „Legal AI Workspace“

3.2.2 Display/Browserunabhängigkeit/Endgeräte

Die Software muss auf verschiedenen Geräten (PC, Notebook) im Browser vollständig und lesbar angezeigt werden, sodass das Lesen und Bearbeiten auf jedem Gerät möglich ist. Die Software muss auch auf mobilen Geräten (Tablets, Smartphones) aufrufbar sein.

Die Software wird in einem von der KfW eingesetzten Standard-Browser genutzt. Eine zusätzliche Installation auf Arbeitsstationen der KfW-Benutzer darf nicht notwendig sein. Die aktuell bei der KfW eingesetzten Standardbrowser sind Microsoft Edge for Business und Microsoft Edge unter iOS. Die Software muss sowohl über die jeweils aktuelle Version der oben genannten Browser als auch über deren Vorgänger (n-1) nutzbar sein.

Die Auflösung muss der vom Benutzer verwendeten Displaygröße entsprechen (Responsive Design), um eine korrekte und lesbare Darstellung zu gewährleisten.

3.2.3 iOS-Clientbereitstellung und -verwaltung über Intune

Der Auftragnehmer muss, sofern er die Nutzung der Software auf unternehmensverwalteten iOS-Geräten anbietet, ab Bereitstellung dieser Nutzung die Bereitstellung und den verwalteten Zugriff auf die Software über Microsoft Intune ermöglichen. Der Auftragnehmer darf hierfür eines der folgenden Bereitstellungsmodelle einsetzen:

Native iOS-Anwendung: Setzt der Auftragnehmer eine native iOS-Anwendung für den Zugriff auf die Software ein, so muss er eine im Apple App Store verfügbare Binärdatei bereitstellen, die für die automatische, verwaltete Bereitstellung über Microsoft Intune in Verbindung mit Apple Business Manager (ABM) und Volume Purchase Program (VPP) geeignet ist und die Intune App Protection Policies (MAM) einschließlich verwalteter Dateneinschränkungen und bedingter Startsteuerelemente unterstützt. Zugriff auf verwaltete Webanwendungen:

Setzt der Auftragnehmer den Zugriff auf eine verwaltete Webanwendung für die Nutzung der Software auf iOS-Endgeräten ein, so muss er sicherstellen, dass auf die Software über einen verwalteten Browser (Microsoft Edge für iOS) unter Anwendung von Intune App Protection Policies zugegriffen werden kann, ohne dass eine lokale Installation einer systemeigenen Binärdatei auf dem iOS-Endgerät erforderlich ist.

Unabhängig vom gewählten Bereitstellungsmodell muss der Auftragnehmer sicherstellen, dass der Zugriff auf die Software auf iOS-Endgeräten ausschließlich über den bedingten Zugriff mit Microsoft Enterprise ID erfolgt und dass das gewählte Bereitstellungsmodell die Durchsetzung des bedingten Zugriffs, die Steuerung der App-Schutzrichtlinie sowie die Beschränkung verwalteter Daten nicht einschränkt, schwächt oder umgeht.

3.2.4 IP-Whitelisting und Labeling Auf Wunsch der KfW muss der Auftragnehmer die Verbindungen für die zur Leistungserbringung genutzte IT-Infrastruktur auf von der KfW benannte Netze beschränken können (Whitelisting für IPv4 und IPv6).

3.2.5 Schulung von Softwareentwicklern Der Auftragnehmer hat dafür zu sorgen, dass die von ihm eingesetzten Softwareentwickler regelmäßig auf den OWASP Top 10 geschult werden.

5

Leistungsbeschreibung „Legal AI Workspace“

3.2.6 Penetrationstest Der Auftragnehmer muss mindestens einmal jährlich Penetrationstests durch qualifiziertes internes Personal oder externe Dienstleister durchführen lassen. Die Penetrationstests müssen einer dokumentierten Testmethodik folgen und die für die Bereitstellung der Software im Verantwortungsbereich des Auftragnehmers relevanten Systemkomponenten abdecken, einschließlich der angebotenen Schnittstellen (Penetrationsprüfbericht). Der Auftragnehmer hat die der KfW bereitgestellten KI-Systeme/-Modelle mittels geeigneter Penetrationstests auf unterschiedliche, KI-spezifische Angriffsvektoren zu testen. Die Penetrationstests müssen insbesondere Angriffsformen adressieren wie Umgehungsangriffe, Extraktionsangriffe, Jailbreaking-Angriffe, direct und indirect Prompt-Injection-Angriffe sowie Prompt-Leak-Angriffe sowie hiermit vergleichbare Angriffsarten. Die Penetrationstests sind so auszugestalten, dass sie Schwachstellen aufdecken können, die die Vertraulichkeit, Integrität oder Verfügbarkeit der KI-Systeme oder die Korrektheit und Zuverlässigkeit, der durch diese erzeugten Ausgaben beeinträchtigen können. Der Auftragnehmer dokumentiert Umfang, Methode, wesentliche Ergebnisse sowie ergriffene oder geplante Maßnahmen zur Behebung identifizierter Schwachstellen. Der Auftragnehmer hat der KfW innerhalb von 14 (vierzehn) Kalendertagen nach Auftragsvergabe, spätestens jedoch innerhalb des ersten Vertragsjahres, einen aktuellen Penetrationsprüfbericht vorzulegen. Der Penetrationstest darf nicht länger als 12 (zwölf) Monate vor der Auftragsvergabe durchgeführt worden sein. Die KfW kann außerdem während der gesamten Vertragslaufzeit aktuelle Berichte über die jährlichen Penetrationstest auf Anfrage verlangen.

3.2.7 Verschlüsselungstechnologie Gespeicherte Daten (= AT REST) der Unternehmen des KfW-Konzerns und deren Mitarbeiter, Kunden und Geschäftspartner (zusammen „Daten der KfW“) müssen in der Software mit dedizierten Schlüsseln verschlüsselt werden. Diese Schlüssel dürfen ausschließlich für Daten der KfW verwendet und nicht an andere Kunden des Auftragnehmers weitergegeben werden. Die Software verwaltet die Schlüssel und der Auftragnehmer muss sicherstellen, dass mindestens folgende Anforderungen an Algorithmen, Schlüssellänge und Rotation erfüllt sind und diese dem Stand der Technik und technologischen Entwicklungen im Laufe der Zeit so anpassen, dass sie zumindest dem aktuellen Stand der Technik entsprechen:

• Für asymmetrische Verschlüsselung: RSA 3072-Bit, Rotation alle 6 (sechs) Monate oder RSA 4096-Bit, Rotation alle 12 (zwölf) Monate (bevorzugt) • Für symmetrische Verschlüsselung: AES 256 Bit, nur ereignisgesteuerte Rotation • Verschlüsselung während der Übertragung (TLS ≥ 1.2; 1.3 bevorzugt)

3.2.8 CSP-Administratorzugriff: Kunden-Lockbox:

• Jeder Zugriff des Auftragnehmers auf Kundendaten erfordert eine Lockbox oder eine entsprechende Anfrage, in der der Antragsteller, die Ticketreferenz, der Umfang, die Begründung und die Dauer (maximal 8 (acht) Stunden, einmal erweiterbar) angegeben sind. • Jede Anfrage bedarf der vorherigen Genehmigung durch zuvor benannte Benutzer der KfW, die über das Lockbox-Portal die Zugangsdaten zur Genehmigung besitzen. • Bei Nichtbeantwortung wird standardmäßig verweigert. Eine stillschweigende Genehmigung ist ausgeschlossen.

6

Leistungsbeschreibung „Legal AI Workspace“

• Der Zugriff auf personenbezogene Daten oder fachliche Nutzdaten bedarf der Genehmigung seitens der KfW (Vier-Augen-Prinzip). • Die KfW kann eine Lockbox-Anfrage ohne Vertragsstrafe zu vereinbarten Servicelevels (SL) ablehnen, außer in Bezug auf serviceverhindernde Vorfälle. Privilegierte Identitätsverwaltung: Der Auftragnehmer muss ein Tiered-Administrationsmodell (Tier 0/Tier 1/Tier 2) mit Entra PIM oder einer gleichwertigen Lösung betreiben. Alle privilegierten Rollen müssen als berechtigt und nicht als aktiv zugewiesen werden. Für die Aktivierung sind ein MFA-Step-Up, eine schriftliche Begründung und eine zeitgebundene Zuweisung erforderlich (maximal vier Stunden für Stufe 0, acht Stunden für Stufe 1). Vierteljährliche Zugangsprüfungen sind durchzuführen und der KfW zu melden; unbestätigte Zuordnungen müssen automatisch verfallen.

3.2.9 E-Mails Wenn automatische System- und Statusbenachrichtigungen per E-Mail gesendet werden (Notifications), müssen die folgenden Voraussetzungen erfüllt sein. E-Mail-Zustellung, Absprungbehandlung und Verarbeitung: Der Auftragnehmer muss technisch in der Lage sein, nicht zugestellte oder zurückgesendete E-Mails (einschließlich, aber nicht beschränkt auf, vorübergehend zurückgewiesene Nachrichten, Hard- und Soft-Bounces sowie Antworten auf „No-Reply“-Adressen) zu erkennen und zu verarbeiten. Der Auftragnehmer muss Mechanismen zur Verfügung stellen, um solche E-Mails erneut zu versenden oder anderweitig entsprechend den Anweisungen der KfW angemessen zu verarbeiten (z. B. Warteschlangen, Autoresponder oder gleichwertige technische Maßnahmen). Reputation, Blacklisting und Benachrichtigung: Der Auftragnehmer hat sicherzustellen, dass die für die KfW eingesetzten sendenden Mailserver eine positive Absenderreputation haben und pflegen. Der Auftragnehmer muss geeignete Präventivmaßnahmen ergreifen, um eine Blacklist zu vermeiden, die die sendende Domain oder IP-Adressen gefährden könnte. Im Falle eines Blacklistings, einer Verschlechterung der Vertrauenswürdigkeit des Absenders oder eines vergleichbaren Vorfalls hat der Auftragnehmer die KfW unverzüglich zu benachrichtigen und über den Vorfall sowie die eingeleiteten Korrektur- und Minderungsmaßnahmen zu informieren. SMTP-Ports: Der Auftragnehmer muss die Aktivierung und Nutzung von SMTP-Ports gemäß den geltenden RFC-Standards implementieren. Bei Unklarheiten bezüglich der Verwendung eines bestimmten Ports muss der Client die Binding-Port-Konfiguration für den Auftragnehmer angeben, die die KfW entsprechend implementieren muss. Transportsicherheit und Authentifizierung: Der Auftragnehmer hat sicherzustellen, dass bei der Kommunikation von den Servern des Auftragnehmers zu den Systemen der KfW zumindest STARTTLS (oder ein technisch gleichwertiger Nachfolger) zur Transportverschlüsselung verwendet wird, soweit dies technisch machbar ist. Der Auftragnehmer muss sicherstellen, dass sendende Server mindestens SPF und DKIM für die E-Mail-Authentifizierung verwenden. Zusätzliche Authentifizierungs- oder Missbrauchsbekämpfungsmaßnahmen (z. B. DMARC) sind auf Anfrage der KfW durchzuführen, soweit technisch möglich. Einhaltung von Standards:

7

Leistungsbeschreibung „Legal AI Workspace“

Der Versand von E-Mails durch den Auftragnehmer muss den geltenden Internet-Standards und RFCs entsprechen, die für die E-Mail-Übertragung relevant sind.

4 Umfang und Voraussetzungen der Nutzung

4.1 Lizenzen Der Auftragnehmer ist verpflichtet, der KfW für die Dauer der Vertragslaufzeit Named-User- Lizenzen für die Nutzung der Software in der Produktionsumgebung bereitzustellen. Im Sinne dieser Leistungsbeschreibung bedeutet „Named-User-Lizenz“, dass die Nutzung der Software an ein individuelles Nutzerkonto gebunden ist und nicht nach der Anzahl paralleler Sitzungen oder genutzter Geräte bemessen wird. Der Auftragnehmer muss der KfW ermöglichen, die Zuordnung der Named-User-Lizenzen zu einzelnen Nutzerkonten jederzeit während der Vertragslaufzeit ohne zusätzliche Kosten zu ändern, insbesondere bei Ausscheiden von Mitarbeitern, bei längerer Abwesenheit oder bei organisatorischen Veränderungen. Die Benutzeranfragen einer Named-User-Lizenz an die Sprachmodelle sind nicht beschränkt.

4.1.1 Feste Mengen für die Grundlaufzeit Der Auftragnehmer stellt der KfW folgende Mengen an Named-User-Lizenzen für die Betriebsphase (siehe auch Kapitel 6) über eine Grundlaufzeit von 24 (vierundzwanzig) Monaten bereit. Die Betriebsphase beginnt nach Abnahme des Einführungsprojektes (siehe Kapitel 5).

• Benutzer: 137 • Fachadministrator: 6 Benutzer sind die Personen des Bereichs Recht sowie weiterer Fachbereiche und Töchter im KfW‑Konzern, die die in der Anlage zur Leistungsbeschreibung „Muss- und Kann- Kriterien“ genannten Funktionen der Software im Rahmen ihrer täglichen Arbeit nutzen. Fachadministratoren sind die Personen des Bereichs Recht sowie weiterer Fachbereiche und Töchter im KfW‑Konzern, die über Benutzerrechte sowie erweiterte fachlich-organisatorische Administrationsrechte innerhalb der Software verfügen. Sie steuern die Anwendung aus fachlicher Perspektive. Fachadministratoren sind ausdrücklich keine IT-Administratoren und nehmen keine technische Systemadministration vor. Aufgaben der Fachadministratoren, die mit dieser Rolle ausgeführt werden können müssen, sind:

• Unterstützung der Benutzer bei Pflege von fachlichen Konfigurationen und Vorlagen innerhalb der Software, • Monitoring der fachlichen Nutzung, soweit entsprechende Auswertungen in der Software vorgesehen sind, • First-Level-Fachsupport für anwendungsbezogene und fachliche Fragen der Benutzer.

4.1.2 Nachbeschaffungsoption Mengenerweiterung Die KfW kann durch einseitige empfangsbedürftige Erklärung zusätzliche Named-User- Lizenzen nach den Vorgaben dieses Kapitels und gegen eine Vergütung gemäß den Preispositionen 3.1 und 3.2 erwerben, ohne zu einer Nachbeschaffung im Einzelnen verpflichtet zu sein. Im genannten Fall wird die KfW dem Auftragnehmer ihren konkreten Bedarf in Textform übermitteln. Sofern für den Einzelfall nicht abweichend vereinbart, wird der

8

Leistungsbeschreibung „Legal AI Workspace“

Auftragnehmer der KfW innerhalb von 2 (zwei) Wochen nach Zugang der Bedarfsmeldung die zusätzlichen Lizenzen gemäß den Bedingungen dieses Vertrages zur Verfügung stellen.

4.2 Umgebungen Der Auftragnehmer hat der KfW die Software in einer Produktionsumgebung (PROD) mit den vier logisch getrennten Mandanten zur Verfügung zu stellen. Für diese Umgebung gelten die Servicelevel gemäß Kapitel 6.5 . Zusätzlich hat der Auftragnehmer der KfW die Software in einer Testumgebung (TEST) zur Verfügung zu stellen. Für beide Umgebungen muss eine Anbindung an die Identitäts- und Berechtigungsinfrastruktur der KfW vorgenommen werden.

Der Auftragnehmer hat der KfW die erforderlichen Zugangsdaten zur Testumgebung für bis zu 4 (vier) Benutzer und 1 (einen) Fachadministrator zur Verfügung zu stellen, soweit diese für die Durchführung der in der Übersicht definierten Aufgaben erforderlich sind. Der Auftragnehmer erhält keine gesonderte Vergütung für die Bereitstellung der Testumgebung und der notwendigen Zugänge hierzu. Die folgenden vom Auftragnehmer einzuhaltenden Anforderungen gelten für die Bereitstellung und den Betrieb dieser Umgebungen:

4.2.1 Trennung und Parität Beide Umgebungen müssen in Bezug auf Daten und Zugriffsrechte vollständig voneinander getrennt betrieben werden. Die Umgebungen mit Produktionsdaten (PROD) müssen von der Umgebung ohne Produktionsdaten (TEST) isoliert werden. Ein unbeabsichtigter Datenfluss zwischen den beiden Klassen muss technisch ausgeschlossen werden.

TEST muss PROD hinsichtlich Softwareversion, -konfiguration und -anpassung spiegeln und als Test- und Abnahmeumgebung vor Produktionsbereitstellungen dienen.

4.2.2 Release Management Produktionsbereitstellungen von Änderungen bei der Erstfreigabe der Software in die Produktion oder bei von der KfW geforderten Änderungen an Konfiguration, Customizing, Software und Schnittstellen, müssen dem kontrollierten Pfad TEST → PROD folgen. Der Auftragnehmer muss der KfW eine angemessene, einvernehmlich vereinbarte Zeitspanne einräumen, solche Änderungen vor der Implementierung in der Produktionsumgebung zu testen und freizugeben. Die Software-Updates, Patches und Neuveröffentlichungen des Auftragnehmers folgen dem vom Auftragnehmer festgelegten Release-Management-Pfad mit der Ausnahme, dass funktionale Änderungen oder Änderungen mit Auswirkungen auf die Integrationen gemäß dem Kapitel 6.2 konform werden.

9

Leistungsbeschreibung „Legal AI Workspace“

4.2.3 Datenbereitstellung Der Auftragnehmer muss auf Verlangen der KfW eine Aktualisierung der TEST-Umgebung aus dem Produktionsdatensatz ermöglichen. Wenn Produktionsdaten nach TEST kopiert werden, müssen personenbezogene und sensible Geschäftsdaten der KfW gemäß der DSGVO durch die KfW anonymisiert oder pseudonymisiert werden; echte personenbezogene Produktionsdaten dürfen in den Nicht-Produktionsumgebungen nicht ungeschützt verarbeitet werden.

4.3 Voraussetzungen für den Zugriff und/oder die Nutzung Soweit die vertragsgemäße Nutzung der Software von der Bereitstellung von Werkzeugen (Tools), Lizenzschlüsseln, Codes, Zugangsberechtigungen, Zertifikaten oder sonstigen Unterlagen an die KfW abhängt, hat der Auftragnehmer diese der KfW in ausreichender Menge und in ausreichendem Umfang zur Verfügung zu stellen. Sind bestimmte Mengen oder Umfänge vereinbart und ist für den Auftragnehmer erkennbar, dass diese für den Bedarf der KfW nicht ausreichen, hat er ohne gesonderte Vergütung Ergänzungen vorzunehmen. Verfügt die KfW nicht mehr über die vorgenannten Voraussetzungen, z. B. infolge unbeabsichtigter Löschung, höherer Gewalt oder sonstiger Ereignisse, hat der Auftragnehmer unentgeltlich Ersatz zu leisten. Zugangsvoraussetzungen und Nutzungsbeschränkungen sind nur aus Sicherheitsgründen oder soweit die KfW dies gestattet hat und soweit der Auftragnehmer sie in seinem endgültigen Angebot angegeben hat, zulässig. Nicht ausdrücklich genannte Zugriffsvoraussetzungen oder Nutzungsbeschränkungen sind ausgeschlossen.

4.4 Prüfpflichten, Schadsoftware und unerwünschte Funktionalität Vor Bereitstellung der Software für die KfW, prüft der Auftragnehmer, ob sie den vertraglichen Anforderungen entspricht und die in der Produktbeschreibung oder Spezifikation der Software genannten Funktionen enthält. Der Auftragnehmer sichert zu, dass die Software auf Schadsoftware oder sonstigen schädlichen Programmcode nach dem aktuellen Stand der Technik mit jeweils aktuellen Hilfsmitteln und Werkzeugen (insbesondere unter Verwendung aktueller Antiviren-Software) geprüft wurde und die Überprüfung keinen Hinweis auf Schadsoftware oder sonstigen schädlichen Programmcode ergeben hat. Der Auftragnehmer gewährleistet, dass die von ihm zur Leistungserbringung eingesetzte IT- Infrastruktur und insbesondere die bereitzustellende Software frei von Funktionen ist, die die Integrität, Vertraulichkeit und Verfügbarkeit der Software, anderer Soft- und/oder Hardware oder von Daten gefährden und den Vertraulichkeits- oder Sicherheitsinteressen der KfW zuwiderlaufen durch:

• Funktionen zum unerwünschten Absetzen, Ausleiten oder Ausspähen von Daten, • Kommunikationsfunktionen, insbesondere wenn durch diese Informationen über die IT- Systeme, deren Daten, deren Lizenzierung oder das Benutzerverhalten übermittelt werden, insbesondere an Dritte, • Funktionen zur unerwünschten Veränderung/Manipulation von Daten oder der Ablauflogik oder • Funktionen zum unerwünschten Einleiten von Daten, unerwünschte Funktionserweiterungen oder einer anderen den Interessen der KfW zuwiderlaufende Funktionalität. Unerwünscht ist eine mögliche Aktivität einer Funktion, wenn die Aktivität so weder von der KfW hier in dieser Leistungsbeschreibung gefordert, noch vom Auftragnehmer unter konkreter Beschreibung der Aktivität und ihrer Funktionsweise angeboten und im Einzelfall von der KfW ausdrücklich und unter Bezugnahme auf dieses Kapitel autorisiert („opt-in“) wurde.

10

Leistungsbeschreibung „Legal AI Workspace“

4.5 Dokumentation Der Auftragnehmer ist verpflichtet, im Rahmen der Einführung der Software an der Erstellung einer vollständigen Dokumentation mitzuwirken. Dies umfasst die Bereitstellung von herstellerseitigen Unterlagen und einer Schulungsunterlage sowie die Mitwirkung an individuell zu erstellenden Unterlagen der KfW, die nachfolgenden spezifiziert sind. Der Auftragnehmer hat die Lieferung der herstellerseitigen Dokumentation und die Schulungsunterlagen sowie seine Mitwirkung an der Erstellung der KfW-spezifischen Dokumentation als Teil seiner Hauptleistungspflicht zu erbringen.

4.5.1 Herstellerseitige Dokumentation Der Auftragnehmer ist verpflichtet, der KfW eine Herstellerdokumentation der Software zur Verfügung zu stellen. Diese hat insbesondere alle notwendigen Informationen zu enthalten für:

• die fachliche und technische Nutzung der Software, • die durch die KfW zu erstellenden Integrations-Schnittstellen sowie • die technischen Voraussetzungen für die Nutzung der Software durch die KfW. Die Herstellerdokumentation umfasst mindestens:

• eine Benutzerdokumentation (Benutzerhandbuch), • eine Integrationsdokumentation für technische Schnittstellen sowie • ein Security-Whitepaper. Der Auftragnehmer stellt für die Software eine vollständige, verständliche und in sich schlüssige Benutzerdokumentation zur Verfügung. Diese ist mindestens in elektronischer Form bereitzustellen, entweder als online zugreifbare Hilfe oder als Dokument im PDF-Format. Die Benutzerdokumentation muss so formuliert sein, dass ein durchschnittlicher Benutzer die Software ohne Unterstützung durch den Auftragnehmer gemäß den Vorgaben dieser Leistungsbeschreibung nutzen kann. Der Auftragnehmer stellt sicher, dass die Benutzerdokumentation spätestens zum Zeitpunkt der Abnahme des Einführungsprojektes verfügbar ist und sämtliche Funktionen der jeweils bereitgestellten Softwareversion abdeckt. Der Auftragnehmer hat die Benutzerdokumentation im Rahmen der üblichen Release-Zyklen zu aktualisieren, sodass diese stets die Funktionen der jeweils freigegebenen Hauptversion zutreffend beschreibt.

4.5.2 Schulungsunterlagen Der Auftragnehmer ist verpflichtet, für die im Rahmen des Vorhabens eingeführte Software eine Schulungsunterlage in deutscher oder englischer Sprache zu liefern. Der Auftragnehmer hat die Schulungsunterlage in einem gängigen digital bearbeitbaren Dateiformat (z. B. DOCX, PPTX oder einem gleichwertigen offenen Format) zur Verfügung zu stellen; abweichend davon kann der Auftragnehmer mit vorheriger Zustimmung der KfW die Schulungsunterlage als PDF- Dokument liefern. Der Auftragnehmer muss die Schulungsunterlage so aufbereiten, dass sie sich inhaltlich und strukturell von der Benutzerdokumentation unterscheidet und die Benutzer schrittweise in die praktische Nutzung der Software einführt. Der Auftragnehmer hat sicherzustellen, dass die Schulungsunterlage mindestens folgende Inhalte umfasst:

• eine modular aufgebaute Gliederung, die aufeinander aufbauende Schulungseinheiten vorsieht, • Schritt-für-Schritt-Anleitungen zur Durchführung typischer Anwendungsfälle sowie • zusammenfassende Übersichten, Checklisten oder Merkhilfen.

11

Leistungsbeschreibung „Legal AI Workspace“

Der Auftragnehmer stellt sicher, dass die Schulungsunterlagen spätestens zum Zeitpunkt der Durchführung der Schulungen verfügbar sind.

4.5.3 KfW-spezifische Dokumentation Der Auftragnehmer ist verpflichtet, der KfW bei der Erstellung der für die Nutzung der Software erforderlichen KfW-spezifischen Dokumentation zu unterstützen und an deren Erstellung mitzuwirken. Als KfW-spezifische Dokumentation gelten insbesondere (a) der Fachlichen und Technischen Dokumentation (FuTD) oder dem Produktsteckbrief inkl. Testkonzept, (b) das IT-Sicherheitskonzept, (c) das applikationsspezifisches Berechtigungskonzept, (d) die Anwenderdokumentation sowie (e) die Checkliste und die Datenschutz-Leitplanken für den Einsatz von KI-Software. Der Auftragnehmer hat während des Einführungsprojektes seine Mitwirkung nach Maßgabe dieser Leistungsbeschreibung sowie der einschlägigen Unterkapitel zu erbringen und hierzu insbesondere alle für die Erstellung der KfW-spezifischen Dokumentation benötigten technischen und fachlichen Informationen vollständig, korrekt und nachvollziehbar zur Verfügung zu stellen. Dabei ist der Ist-Zustand der vom Auftragnehmer bereitgestellten Software zum Zeitpunkt des Endes des Einführungsprojektes relevant. Die Ergebnisverantwortung für die KfW-spezifische Dokumentation verbleibt bei der KfW. Während der Betriebsphase und der gesamten Vertragslaufzeit ist der Auftragnehmer verpflichtet, im Rahmen des vertraglich vereinbarten Leistungsumfangs an der Sicherstellung der Aktualität der KfW‑spezifischen Dokumentation mitzuwirken, indem er alle relevanten Änderungen der technischen, funktionalen und sicherheitsrelevanten Ausgestaltung der Software gegenüber der KfW dokumentiert und erläutert. Relevante Änderungen sind solche, die Auswirkungen auf die im IT‑Sicherheitskonzept, im applikationsspezifischen Berechtigungskonzept oder in den KI‑Dokumenten beschriebenen Eigenschaften, Risiken oder Maßnahmen haben. Die Parteien gehen davon aus, dass der hierfür erforderliche Aufwand regelmäßig einen Umfang von höchstens 2 (zwei) Personentagen pro Jahr nicht überschreitet; darüberhinausgehende Mitwirkung ist gesondert zu beauftragen und zu vergüten. Der Auftragnehmer übermittelt die Informationen zu den relevanten Änderungen über die üblichen Informationskanäle (z. B. Release Notes, Produkt‑Newsletter, Kundenportal). Diese Informationen gelten als Grundlage für etwaige Anpassungen der KfW‑spezifischen Dokumentation. Der Auftragnehmer informiert die KfW im Rahmen des Governance‑Meetings mindestens einmal jährlich über die im zurückliegenden Zeitraum vorgenommenen relevanten Änderungen und beantwortet hierzu etwaige Fragen der KfW. Die Bewertung, ob und in welchem Umfang die KfW‑spezifische Dokumentation anzupassen ist, obliegt ausschließlich der KfW. Fachliche und Technische Dokumentation (FuTD) oder Produktsteckbrief inkl. Testkonzept: Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Datenschutz- und IT-sicherheitsrelevante Eigenschaften der Software, • Beschreibung von Test und Abnahme der Software, • ggf. Installationsanleitung.

12

Leistungsbeschreibung „Legal AI Workspace“

Der Auftragnehmer stellt der KfW vorhandene Standard‑Testfälle, Testpläne und Dokumentation zur Installation und Abnahme der Software zur Verfügung und erläutert diese auf Anforderung. IT-Sicherheitskonzept: Der Auftragnehmer hat der KfW eine schriftliche Dokumentation der sicherheitsrelevanten Eigenschaften der Software und der zugrunde liegenden Cloud-Umgebung in elektronischer Form zur Verfügung zu stellen, einschließlich folgender Inhalte in angemessener Detaillierung:

• Technische Beschreibung (z. B. Architektur, Komponenten, Schnittstellen, Firewall Regeln), • Physische und umgebungsbezogene Sicherheit (z. B. Zutrittskontrolle), • Zugangs- und Zugriffskontrolle (z. B. Benutzervergabeprozess, Passwortmanagement), • Protokollierung, • Datensicherung und Wiederherstellung, • Besondere Sicherheitsmaßnahmen (z. B. Schutz vor Schadcode, Patch- und Releasemanagement). Applikationsspezifisches Berechtigungskonzept: Der Auftragnehmer berät, wie die Anforderungen an Berechtigungen bestmöglich fachlich und technisch in der Software umgesetzt werden können und liefert Informationen für die Erstellung eines internen Berechtigungskonzepts. Anwenderdokumentation: Die Anwenderdokumentation ist eine KfW‑spezifische, prozess‑ und fachlich ausgerichtete Dokumentation, die die Nutzung der Software im Kontext der Geschäftsprozesse, der gesetzlichen Anforderungen und ihres Internen Kontrollsystems beschreibt. Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Use Cases, Datenflüsse und Business Rules (welche Daten wo erfasst, wie verarbeitet und ausgegeben werden), • Konfigurations- und Customizing-Optionen, inkl. exportierbarer Übersichten zu Parametern, Schlüsseln, Rollenmodellen. Checkliste und Datenschutz-Leitplanken für den Einsatz von KI-Software: Dies umfasst insbesondere die Unterstützung des Auftragnehmers in Bezug auf die folgenden Punkte:

• Risikoklasse und Rolle der KfW gemäß EU-KI-Verordnung 2024/1689 • Details zu den verwendeten KI-Modellen • Anwendungszweck und Auswirkungen auf natürliche Personen • Fairness, Bias und Diskriminierungsfreiheit • Datenschutz und Vertraulichkeit von Daten • Informationssicherheit, technische Robustheit und Systemintegrität • Governance, Dokumentation und rechtliche/regulatorische Compliance. Löschkonzept: Der Auftragnehmer muss die KfW beraten, wie die Anforderungen an DSGVO-konforme Löschkonzepte für in der Software verarbeitete personenbezogene Daten funktionell und technisch am besten umgesetzt werden können. Das Konzept dient als Grundlage für die Implementierung innerhalb der Software.

13

Leistungsbeschreibung „Legal AI Workspace“

5 Einführungsprojekt für die Softwarebereitstellung

5.1 Zielsetzung und Leistungscharakter Der Auftragnehmer schuldet die erfolgreiche Einführung der Software als Erfolg im Sinne einer werkvertraglichen Leistung. Die erfolgreiche Einführung umfasst:

• die Herstellung der vollständigen Betriebsbereitschaft der Software in der Produktivumgebung, • die Anbindung an das zentrale Berechtigungsmanagement der Mandanten (KfW und DEG), • der Nachweis der Funktionsfähigkeit durch Funktionstests auf der Testumgebung, • die Durchführung der vereinbarten Schulungen inklusive der Bereitstellung der Schulungsunterlagen, • die Übergabe der herstellerspezifischen Dokumentation sowie • die Zulieferung der nötigen Informationen für die Erstellung der KfW-spezifischen Dokumentation. Der Auftragnehmer hat das Einführungsprojekt eigenverantwortlich zu planen, zu steuern und durchzuführen; die Verantwortung für die termin- und qualitätsgerechte Herbeiführung des geschuldeten Erfolgs liegt beim Auftragnehmer. Die Mitwirkung der KfW ist in Kapitel 5.3 beschrieben. Die Anforderungen an das einzusetzende Projektteam ergeben sich aus Kapitel 5.6 dieser Leistungsbeschreibung. Das Einführungsprojekt ist vom Auftragnehmer innerhalb von 12 (zwölf) Wochen nach Zuschlagserteilung zur Abnahmereife zu führen.

5.2 Projektvorgehen und Steuerung Das Einführungsprojekt gliedert sich in die folgenden Phasen, wobei eine zeitliche Überlappung zulässig ist, soweit die Erreichung der Meilensteine hierdurch nicht gefährdet wird: (a) Phase 1: Projektinitialisierung (b) Phase 2: Technische Anbindung (c) Phase 3: Konfiguration und Funktionstests (d) Phase 4: Bereitstellung (e) Phase 5: Schulungen (f) Phase 6: Abnahme Die initiale Erstellung der Dokumentation und die Erbringung der Zuarbeiten gemäß Kapitel 4.5 und 8 sind keine eigenständigen Projektphasen, sondern sämtlichen Phasen begleitende Daueraufgaben des Auftragnehmers. Der Auftragnehmer hat spätestens zum Kick-off einen Projektplan vorzulegen, der die Arbeitspakete, Verantwortlichkeiten, Meilensteine sowie die von der KfW zu erbringende Mitwirkung mit konkreten Terminen ausweist. Der Projektplan bedarf der Freigabe durch die KfW; Änderungen sind anzuzeigen und zu begründen. Während der Projektlaufzeit findet ein regelmäßiger, wöchentlicher Statustermin statt, dessen Ergebnisse der Auftragnehmer in einem Protokoll festhält. Erkennbare Gefährdungen des Zeitplans oder der Leistungsqualität hat der Auftragnehmer der KfW unverzüglich und unaufgefordert mitzuteilen und geeignete Gegenmaßnahmen vorzuschlagen. Phase 1: Projektinitialisierung

14

Leistungsbeschreibung „Legal AI Workspace“

Der Auftragnehmer hat innerhalb von 2 (zwei) Wochen nach Zuschlagserteilung einen Kick- off-Termin durchzuführen, der nach Wahl der KfW in Präsenz am Standort Frankfurt am Main der KfW oder im Rahmen einer von der KfW initiierten Videokonferenz (derzeit WebEx) stattfindet. Der Auftragnehmer bereitet den Termin inhaltlich vor, moderiert ihn und dokumentiert die Ergebnisse in einem mit der KfW abzustimmenden Protokoll. Gegenstand des Kick-off-Termins sind insbesondere die Vorstellung des Projektteams und der Ansprechpartner beider Seiten, die Abstimmung des Projektplans einschließlich der Meilensteine und Mitwirkung, die Festlegung der Kommunikations- und Eskalationswege, die Abstimmung der technischen Rahmenbedingungen sowie die Abstimmung des Schulungskonzepts und der Anforderungen an die Dokumentation und Zuarbeiten gemäß Kapitel 4.5 . Phase 2: Technische Anbindung Der Auftragnehmer hat die technische Anbindung gemäß den Anforderungen in Abstimmung mit den durch die KfW benannten Ansprechpartnern zu planen, umzusetzen und zu testen. Die Einrichtung und Erprobung der Anbindung erfolgt zunächst in der Testumgebung. Die produktive Freischaltung der Anbindung erfolgt erst nach erfolgreichem Abschluss der auf die Anbindung bezogenen Funktionstests. Phase 3: Konfiguration und Funktionstests Der Auftragnehmer hat die Software entsprechend den im Projektverlauf abgestimmten Vorgaben der KfW zu konfigurieren. Diese umfassen insbesondere die Einrichtung der Mandanten, des Rollen- und Berechtigungskonzepts, der vereinbarten Sicherheits- und Datenschutzeinstellungen sowie etwaiger vereinbarter Voreinstellungen für Vorlagen und Workflows, soweit diese Bestandteil des Leistungsumfangs sind. Bevor Funktionen als testbereit an die KfW übermittelt werden, stellt der Auftragnehmer einen erfolgreichen Funktions- und Systemtest sicher. Für die Erteilung der Produktionsfreigabe muss die KfW die komplette Software einschließlich aller Funktionen technisch testen (Systemtest - ST), ohne wesentliche Mängel festzustellen. Für die Erteilung der Produktionsfreigabe der Systemschnittstellen gemäß den Anforderungen muss die KfW die Software einschließlich aller Schnittstellen technisch testen (Systemintegrationstest - SIT), ohne wesentliche Mängel festzustellen. Der Auftragnehmer hat die KfW bei der Prüfung in erforderlichem Umfang zu unterstützen. Der Auftragnehmer ist verpflichtet, die aufgetretenen Mängel zu analysieren und zu beheben und die Software der KfW zur Durchführung vollständiger Tests wieder zur Verfügung zu stellen. Der Auftragnehmer und die KfW müssen bei Bedarf gemeinsam die zu behebenden Abweichungen priorisieren. Der Auftragnehmer hat sicherzustellen, dass

• genügend Spezialisten für eine schnelle Fehleranalyse und -behebung zur Verfügung stehen und • während der Testphase der KfW ein eigener IT-Experte (inkl. Stellvertreter) zur Verfügung steht, der über die für diese Aufgabe erforderliche Erfahrung und Entscheidungskompetenz verfügt. Die KfW dokumentiert die Testdurchführung und -ergebnisse. Festgestellte Mängel sind vom Auftragnehmer unverzüglich zu beheben; die Behebung ist durch Nachtests nachzuweisen. Die Funktionstests gelten als erfolgreich abgeschlossen, wenn keine Mängel mehr offen sind, die die Nutzbarkeit der Software mehr als nur unerheblich einschränken. Phase 4: Bereitstellung

15

Leistungsbeschreibung „Legal AI Workspace“

Nach erfolgreichem Abschluss der Funktionstests hat der Auftragnehmer der KfW die Betriebsbereitschaft der Software in der Produktivumgebung in Textform anzuzeigen (Bereitstellungsanzeige) und die Abnahmereife zu erklären. Die Bereitstellung umfasst die produktive Freischaltung für den vereinbarten Benutzerkreis einschließlich der aktivierten Anbindung an das zentralen Berechtigungsmanagement der Mandanten (KfW und DEG). Phase 5: Schulungen Der Auftragnehmer hat nach der Bereitstellung die folgenden Schulungen durchzuführen:

• eine Schulung für die Benutzer (in bis zu 3 (drei) Terminen), die die wesentlichen fachlichen Funktionen und typische Anwendungsfälle im juristischen Arbeitskontext vermittelt und die Benutzer befähigt, die Anwendung eigenständig zu bedienen. • eine Schulung für die Fachadministratoren, die die Pflege von fachlichen Konfigurationen und Vorlagen innerhalb der Software und das Monitoring der fachlichen Nutzung, soweit vorgesehen, vermittelt. Die Schulungen können nach Abstimmung mit der KfW als Videokonferenz durchgeführt werden. Die Schulungen sind nach vorheriger Absprache mit der KfW in deutscher oder englischer Sprache durchzuführen. Ein Schulungskonzept mit Inhalten, Formaten und Terminvorschlägen ist spätestens 4 (vier) Wochen vor dem geplanten Schulungsbeginn mit der KfW abzustimmen. Phase 6: Abnahme Die KfW führt nach Zugang der Bereitstellungsanzeige und Durchführung der Schulungen innerhalb von 20 (zwanzig) Arbeitstagen eine Abnahmeprüfung durch, in deren Rahmen sie die Erfüllung der vertraglichen Anforderungen feststellt. Der Auftragnehmer unterstützt die Abnahmeprüfung und stellt während des Prüfzeitraums die kurzfristige Verfügbarkeit fachlich geeigneter Ansprechpartner sicher. Festgestellte Mängel werden dem Auftragnehmer unverzüglich mitgeteilt und sind von diesem unverzüglich zu beheben; nach Mängelbehebung wird die Abnahmeprüfung im erforderlichen Umfang wiederholt. Die Abnahme durch die KfW erfolgt gemäß Ziffer 7 der Allgemeinen Vertragsbedingungen. Die Abnahme erfolgt, wenn sie nach gesetzlicher Regelung erfolgen muss. Unwesentliche Mängel und noch ausstehende Teile der Anwenderdokumentation stehen der Abnahme nicht entgegen; sie sind in einem Abnahmeprotokoll festzuhalten und unverzüglich, jedenfalls aber innerhalb der dort vereinbarten Fristen zu beheben bzw. nachzuliefern. Mit der Abnahme beginnt der Regelbetrieb; ab diesem Zeitpunkt gelten die Regelungen zum Betrieb, zum Support und zu den Servicelevels gemäß Kapitel 6.

5.3 Mitwirkung der KfW Die KfW wirkt im Rahmen des Einführungsprojekts wie folgt mit:

• Bereitstellung der für die Anbindung an das zentrale Berechtigungsmanagement erforderlichen Informationen innerhalb angemessener Frist nach Anforderung durch den Auftragnehmer, • Durchführung der in ihrem Verantwortungsbereich liegenden Freischaltungen und Konfigurationen oder Installationen innerhalb angemessener Frist nach Anforderung durch den Auftragnehmer • sowie die Prüfung der geschuldeten Dokumente innerhalb angemessener Fristen. Der Auftragnehmer hat seine Leistungserbringung so zu organisieren, dass die Mitwirkung der KfW auf das erforderliche Maß beschränkt bleibt. Kann der Auftragnehmer eine Leistung wegen einer ausstehenden Mitwirkung nicht erbringen, hat er dies der KfW unverzüglich in

16

Leistungsbeschreibung „Legal AI Workspace“

Textform anzuzeigen; unterbleibt die Anzeige, kann sich der Auftragnehmer auf die fehlende Mitwirkung nicht berufen.

5.4 Hypercare-Phase Für einen Zeitraum von 4 (vier) Wochen ab Abnahme stellt der Auftragnehmer einen benannten, mit dem Einführungsprojekt vertrauten Ansprechpartner zur Verfügung, der eingehende Störungsmeldungen und Benutzerfragen entgegennimmt und deren Bearbeitung nachverfolgt. Während der Hypercare-Phase schuldet der Auftragnehmer:

• die Bereitstellung einer ausreichenden Zahl von Fachleuten für die erforderlichen Überprüfungs- und Überwachungstätigkeiten und die Behebung von Fehlern und • die Bereitstellung eines speziellen Ansprechpartners, einschließlich eines Stellvertreters (IT-Experte), der über die für diese Rolle erforderliche Erfahrung und Entscheidungskompetenz verfügt.

5.5 Zeitplan und Meilensteine Der Auftragnehmer muss die Software gemäß dem folgenden Meilensteinplan bereitstellen. Spezifische Termine werden im Projektplan festgelegt, der beim Kick-off vereinbart wird.

5.6 Projektteam Der Auftragnehmer muss ein Projektteam zusammenstellen, das mindestens aus den in den Teilnahmebedingungen angegebenen Kernteammitgliedern besteht. Das Projektteam muss mindestens die folgenden Rollen umfassen, die die Mindestanforderungen für ihr Profil jeweils erfüllen müssen: Ein/e Projektleiter/in:

• Mindestens 2 (zwei) erfolgreich abgeschlossene Projekte in der Leitung der Einführung von cloudbasierter Software in der Rolle "Projektleiter/in". Aus den beiden vorerwähnten Referenzen muss die Gesamtkoordination von Fachbereich und IT sowie termingerechter Einführung der Software in den Regelbetrieb hervorgehen. • Mindestens 2 (zwei) Jahre Leitungserfahrung von Einführungsprojekten cloudbasierter Software. • Fließende Deutschkenntnisse (mind. C1-Niveau) in Wort und Schrift. Ein/e IT-Experte/in:

17

Leistungsbeschreibung „Legal AI Workspace“

• Mindestens 2 (zwei) erfolgreich abgeschlossene Projekte zur technischen Integration von cloudbasierter Software in der Rolle "IT-Experte/in". Aus den beiden vorerwähnten Referenzen muss die erfolgreiche Implementierung eines kundenspezifischen Berechtigungskonzepts sowie die erfolgreiche Anbindung an die automatische Provisionierung des Kunden hervorgehen. • Mindestens 2 (zwei) Jahre Erfahrung in der Integration von cloudbasierter Software. • Fließende Deutschkenntnisse (mind. C1-Niveau) in Wort und Schrift oder fließende Englischkenntnisse (mind. C1-Niveau) in Wort und Schrift. Ein/e Fachexperte/in:

• Mindestens 2 (zwei) erfolgreich abgeschlossene Projekte in der Begleitung von Einführungsprojekten von KI-Software zur Unterstützung juristischer Arbeitsprozesse in der Rolle "Fachexperte/in". Aus den beiden vorerwähnten Referenzen muss die erfolgreiche Planung und Durchführung von Anwenderschulungen sowie die Beratung zur Implementierung juristischer Anwendungsfälle der Software hervorgehen. • Mindestens 2 (zwei) Jahre Erfahrung in der Begleitung von Einführungsprojekten cloudbasierter Software. • Fließende Deutschkenntnisse (mind. C1-Niveau) in Wort und Schrift

6 Softwarebetrieb

Der Auftragnehmer muss die Software entsprechend dem vereinbarten Funktionsumfang der KfW zur Verfügung stellen und schuldet deren Betrieb als SaaS.

6.1 Betriebsüberwachung Der Auftragnehmer hat die Qualität seiner Leistungen, insbesondere die Einhaltung vereinbarter Service Level Agreements (SLAs), laufend zu messen und zu dokumentieren. Der Auftragnehmer hat sicherzustellen, dass die Messung zuverlässig, genau und vollständig durchgeführt wird. Der Auftragnehmer kann seinen Verpflichtungen auch dadurch nachkommen, dass er die entsprechenden Messungen durch den Systemhersteller durchführen lässt. Der Auftragnehmer muss dafür sorgen, dass die Verfügbarkeit des Systems sowie der für die Leistungserbringung genutzten IT-Infrastruktur mit marktüblicher Software überwacht wird (Monitoring). Die Überwachung muss unterbrechungsfrei und automatisiert erfolgen und alle leistungs- und sicherheitsrelevanten Ereignisse lückenlos erfassen und auswerten können. Die Daten müssen bis auf Einzelwerte auswertbar sein. Die KfW muss vom Auftragnehmer Zugang zu den Informationen aus der Überwachung erhalten, um die Einhaltung der vertraglichen Vereinbarungen gegebenenfalls selbstständig überprüfen zu können. Für die Überwachung und den Zugang der KfW zur Überwachung erhält der Auftragnehmer keine gesonderte Vergütung.

6.2 Änderung und Aktualisierung der Software Die Software wird vom Auftragnehmer als SaaS betrieben, im Rahmen seiner Update- und Releaseplanung kontinuierlich weiterentwickelt und gepflegt. Der Auftragnehmer hat der KfW die Software in der jeweils aktuellen gepflegten Version so zur Verfügung zu stellen, dass alle Updates und Bugfixes, Sicherheits-Updates und Funktionserweiterungen im Rahmen der erworbenen Lizenzen der KfW jederzeit automatisch und ohne zusätzliche Kosten zur Verfügung stehen. Der Auftragnehmer muss die KfW regelmäßig, spätestens 2 (zwei) Wochen vor der Implementierung bei funktionalen Änderungen oder bei Änderungen mit Auswirkungen auf die

18

Leistungsbeschreibung „Legal AI Workspace“

Integration spätestens 3 (drei) Monate vor der Implementierung über Inhalt und Zeitplan der kommenden Releases schriftlich informieren. Sofern eine Änderung oder ein Update

• Auswirkungen auf die Grundkonfiguration der Software und damit auf die fachlichen oder technischen Anforderungen der KfW hat oder • grundlegende technische oder architektonische Änderungen enthält, die sich auf die technischen Konfigurationen (Einstellungen) aus dem Einführungsprojekt auswirken können (Integration der Software in die KfW IT-Infrastruktur, z. B. E-Mail-Versand, Provisionierung), muss der Auftragnehmer der KfW eine angemessene, einvernehmlich vereinbarte Zeitspanne einräumen, diese vor der Implementierung in der Produktionsumgebung zu testen und freizugeben. Die seitens Auftragnehmer vorgenommenen oder geplanten Änderungen bzw. Aktualisierungen der Software müssen darüber hinaus in regelmäßigen Meetings (siehe Kapitel 8) zwischen der KfW und dem Auftragnehmer protokolliert werden. Die Bestimmungen der Kapitel 3 und 4, insbesondere hinsichtlich der funktionalen und nicht funktionalen Anforderungen sowie der Zugangs- und/oder Nutzungsvoraussetzungen, gelten auch für neue Versionen der Software. Der Auftragnehmer hat sicherzustellen, dass der vertraglich vereinbarte Funktionsumfang der Software (Kapitel 3) sowie die Voraussetzungen für den Einsatz bei der KfW (Kapitel 4) durch die Änderungen und Updates der Software gewahrt bleiben und dies auch durch die Planung, Durchführung und Dokumentation von Tests zu gewährleisten. Werden Änderungen oder Aktualisierungen der KfW-Infrastruktur (z. B. Zertifikatsänderungen oder Firewalls) vorgenommen, die Auswirkungen auf die Software haben, so sind die daraus resultierenden notwendigen Änderungen vom Auftragnehmer unter Mitwirkung der KfW vorzunehmen. Diese sind dem Auftragnehmer im Rahmen der regelmäßig stattfindenden (typischerweise operativen) Meetings mitzuteilen. Sind für die von der KfW gewünschten Anpassungen die Software oder Beratungsleistungen zur Vorbereitung der Anpassungen weitere Entwicklungsleistungen des Auftragnehmers erforderlich, so können diese von der KfW gemäß Kapitel 7 gesondert in Auftrag geben werden.

6.3 Service Desk und Servicezeiten Der Auftragnehmer hat der KfW einen Service Desk zur Verfügung zu stellen, der während der Servicezeiten telefonisch (gebührenfreie Nummer) oder per E-Mail oder Ticketingsystem erreichbar sein muss und mit deutschsprachigen oder, wenn dies nicht möglich ist, englischsprachigen Mitarbeitern besetzt sein muss. Die entsprechenden Kontaktdaten des Service Desk müssen entweder im endgültigen Angebot angegeben worden sein oder der KfW im Zuge des Umsetzungsprojektes zur Verfügung gestellt werden. Die Servicezeiten müssen montags bis freitags (ohne bundesweite Feiertage in Deutschland) von 06:00 bis 20:00 Uhr MEZ laufen. Der Auftragnehmer ist verpflichtet, den Service Desk so personell und technisch auszustatten, dass eine ständige Erreichbarkeit innerhalb der vereinbarten Servicezeiten gewährleistet ist. Er hat den erwarteten Umfang an Nutzungsanfragen und Störungsmeldungen zu berücksichtigen und die Möglichkeit gleichzeitiger telefonischer Abfragen oder Störungsmeldungen zu gewährleisten. Der Auftragnehmer muss Störungsmeldungen der KfW über den Service Desk per E-Mail oder Telefon erhalten, diese an ein Ticketingsystem weiterleiten (unabhängig davon, ob der Störfall

19

Leistungsbeschreibung „Legal AI Workspace“

bereits während des Telefonats gelöst wurde oder nicht), die Störungsbehebung einleiten und auf Anfrage Statusupdates zum Lösungsfortschritt bereitstellen. Kann die Behebung eines Incidents oder die Beantwortung einer Benutzeranfrage bis zum erfolgreichen Abschluss nicht kontinuierlich durch denselben Mitarbeiter des Auftragnehmers abgewickelt werden, so ist die Angelegenheit und deren Bearbeitungsfortschritt in einem Ticketingsystem so zu protokollieren, dass durch den Mitarbeiterwechsel kein erheblicher Zeitverlust entsteht. Ist die Ticketbehebung nicht innerhalb der Frist gemäß Kapitel 6.5.2 erfolgt, ist der Auftragnehmer verpflichtet

• die Benutzeranfragen auf anderem Wege zu lösen und die Antworten telefonisch und anschließend per E-Mail zu übermitteln, oder • das Ticket zur Lösung innerhalb seiner Support-Organisation weiterzuleiten und die Antwort gemäß vorstehendem Punkt der KfW mitzuteilen.

6.4 Incident-Management

6.4.1 Meldung von Vorfällen durch die KfW und Behebung durch den Auftragnehmer Die KfW führt den First-Level User Support für den Betrieb der Software durch. In Fällen, in denen eine Abwicklung durch die KfW selbst nicht möglich ist, hat die KfW die entsprechenden Störungsmeldungen über den Service Desk an den Auftragnehmer zu übermitteln. Der Incident Report der KfW enthält in der Regel folgende Informationen:

• Incident Reporter inkl. Ansprechpartner für Rückfragen (Telefon/E-Mail) • Fehlerbeschreibung • Bewertung der Incidentklasse gemäß der Klassifizierung in Kapitel 6.4.3 • KfW-Incident-Nummer zur Incident-Identifikation nach Rückmeldung (falls bereits vorhanden) Der Auftragnehmer hat die Bearbeitung des Vorfalls systematisch im Ticketsystem gemäß Kapitel 6.3 zu erfassen und die getroffenen Maßnahmen zu dokumentieren. Der Auftragnehmer hat der KfW den Eingang der Störungsmeldung unverzüglich, spätestens innerhalb von 30 (dreißig) Minuten (innerhalb der Servicezeiten gemäß Kapitel 6.3 ) nach Erhalt, in Textform per E-Mail unter Angabe einer eindeutigen Ticketnummer zu bestätigen.

6.4.2 Incident Reporting durch den Auftragnehmer und Abwicklung Der Auftragnehmer hat die KfW unverzüglich über nicht von der KfW gemeldete Vorfälle der Software in Textform (E-Mail) zu informieren. Die Störungsmeldung des Auftragnehmers an die KfW muss mindestens folgende Angaben enthalten:

• eine aussagekräftige Beschreibung des Vorfalls, • die eingeleiteten Maßnahmen und • die geschätzte Ausfallzeit.

6.4.3 Klassifizierung von Incidents und Sicherheitsschwachstellen Der Auftragnehmer muss die folgenden Incidentklassen unterscheiden:

• Ein serviceverhindernder Incident liegt vor, wenn die Nutzung der Software nicht möglich oder stark beeinträchtigt ist. Dies gilt auch, wenn nicht-serviceverhindernde Vorfälle insgesamt zu einer starken Beeinträchtigung der Nutzung der Software führen.

20

Leistungsbeschreibung „Legal AI Workspace“

• Ein servicebeeinträchtigender Incident liegt vor, wenn die Nutzung der Software erheblich eingeschränkt ist. Dies gilt auch, wenn geringfügige Vorfälle insgesamt zu einer nicht unerheblichen Einschränkung der Nutzung der Software führen. • Ein geringfügiger Incident (Minor Incident) liegt vor, wenn die Nutzung der Software ohne oder mit unerheblichen Einschränkungen möglich ist.

Gelangt der Auftragnehmer während der Incident-Bearbeitung zu der Auffassung, dass der Incident einer abweichenden Incident-Klasse unterliegt, teilt er dies der KfW unter Angabe der Gründe unverzüglich mit. Die KfW wird den Sachverhalt erneut überprüfen. Die KfW kann der Änderung der Incidentklasse zustimmen oder diese mit Begründung ablehnen. Klassifizierung von Sicherheitsschwachstellen:

• Kritische Sicherheitsschwachstelle (CVSS-Score >= 7 oder bekannter Exploit oder EPSS-Score > 50%) • Hohe Sicherheitsschwachstelle (CVSS-Score von 5,0 bis 6,9 und EPSS-Score > 10 %)

6.4.4 Incident-Lösung Der Auftragnehmer hat Vorfälle der Software unter Einhaltung der vereinbarten Reaktions- und Wiederherstellungszeiten gemäß Kapitel 6.5.2. zu beheben. Der Auftragnehmer muss bei einer Übergangslösung unverzüglich, jedoch spätestens innerhalb von 2 (zwei) Wochen die finale Lösung zur Verfügung stellen. Während dieser Zeit hat der Auftragnehmer der KfW regelmäßig, soweit nicht anders vereinbart werktäglich (Montag bis Freitag) eine Statusmeldung per E-Mail über den Stand der Incident-Bearbeitung übersenden. Unabhängig von der Wiederherstellungszeit verpflichtet sich der Auftragnehmer, die Vorfälle unverzüglich zu beheben.

6.5 Servicelevel Agreements und Folgen von SLA-Verstößen Die definierten SLAs sind vom Auftragnehmer für die Produktionsumgebung geschuldet, nachdem das Einführungsprojekt abgenommen wurde.

6.5.1 SL 1: Verfügbarkeit Der Auftragnehmer stellt die Verfügbarkeit der Software 24/7 nach folgenden Parametern sicher:

• Garantierte Verfügbarkeit: mindestens 98,5 % pro Kalendermonat, gemessen während der Servicezeiten. • Messmethode: Die Verfügbarkeit wird als Verhältnis der tatsächlichen Verfügbarkeit zu 100% Verfügbarkeit (24/7/365) innerhalb des Messzeitraums gemessen (Messeinheit Minuten). • Ausschlüsse aus der Verfügbarkeitsberechnung: Angekündigte Wartungsfenster und Ausfälle durch höhere Gewalt oder durch Systeme, die im alleinigen Verantwortungsbereich der KfW liegen, sind von der Verfügbarkeitsberechnung ausgenommen. • Wartungsfenster: Geplante Wartungsfenster müssen der KfW mit mindestens 5 Werktagen Vorlaufzeit angekündigt werden und dürfen nicht während der Servicezeiten eingeplant werden.

21

Leistungsbeschreibung „Legal AI Workspace“

6.5.2 SL 2: Reaktionszeit und Wiederherstellungszeit Je nach Klassifizierung (siehe Kapitel 6.4.3) werden die folgenden Anforderungen an die Reaktionszeit und die Wiederherstellungszeit definiert:

Ist keine Wiederherstellungszeit angegeben, unternimmt der Auftragnehmer die ihm zumutbaren Anstrengungen, um die Vorfälle unverzüglich zum nächstmöglichen Zeitpunkt zu beheben. Unabhängig von der Wiederbeschaffungszeit verpflichtet sich der Auftragnehmer, Störungen unverzüglich zu beheben.

6.5.3 SL 3: Performance Die Antwortzeit (Zeitspanne von dem Auslösen einer Benutzerinteraktion bis zur Darstellung der Ergebnisse im Onlinedialog) innerhalb der Systemgrenzen des Auftragnehmers (ab Übergabepunkt des Internetproviders) beträgt innerhalb einer Berichtsperiode für mindestens 85% aller Benutzerinteraktionen maximal 3 (drei) Sekunden. Hiervon ausgenommen sind sämtliche Benutzerinteraktionen, die unmittelbar oder mittelbar eine Verarbeitung durch ein Sprachmodell auslösen sowie der Upload und Download von Dokumenten.

6.5.4 Anforderungen an die TEST-Umgebung Die in den Kapiteln 6.5.1, 6.5.2 und 6.5.3 definierten Servicelevel gelten nicht für die Testumgebung. Der Auftragnehmer schuldet jedoch eine technische Konfiguration dieser Umgebung, sodass die unterbrechungsfreie und ordnungsgemäße Durchführung von Tests möglich ist.

6.5.5 Folgen von Servicelevel-Verletzungen Bei Nichteinhaltung des für SL 1 definierten Zielwertes mindert sich für jeden beginnenden Ausfall-Prozentpunkt die für den Bezugszeitraum vereinbarte Pauschalvergütung, d.h. 1/12 der jährlichen SaaS-Pauschale gemäß Preisblatt, pauschal um 3%. Ab einer Verfügbarkeit von 75% oder weniger beträgt die pauschalisierte Minderung 100%. Für jeden Fall der Nichteinhaltung der für SL 2 vereinbarten Zielwerte (Reaktionszeit und/oder Wiederherstellungszeit) schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von EUR 500. Für jeden Fall der Nichteinhaltung der für SL 3 vereinbarten Zielwerte (Performance) schuldet der Auftragnehmer eine Vertragsstrafe in Höhe von EUR 100.

22

Leistungsbeschreibung „Legal AI Workspace“

Für die allgemeinen Bestimmungen über Vertragsstrafen gilt die Ziffer 29 der Allgemeinen Vertragsbedingungen.

6.6 SLA-Berichterstellung Der Auftragnehmer hat der KfW während der Vertragslaufzeit quartalsweise einen schriftlichen SLA-Bericht in elektronischer Form vorzulegen, der die in den nachfolgenden Abschnitten festgelegten Inhalte vollständig enthält: Vorfall: • Vorfallsnummer • Schweregrad • Beschreibung • Aktueller Verarbeitungsstatus • Ticketerstellungszeit • Reaktionszeit

Verfügbarkeit: • Umgebung • Verfügbarkeit

Sicherheit: • Identifikator der Sicherheitslücke • CVSS-Score • EPSS-Score • Auflösungszeit

Performance: • Durchschnittliche Antwortzeit

7 Beratung für die Bereitstellung, Konfiguration und Anpassung

Der Auftragnehmer hat auf gesonderte Anfrage und Beauftragung durch die KfW Beratungs- und Anpassungsleistungen für die Software zu erbringen (On-Demand-Leistungsgegenstand). Dazu können insbesondere folgende Leistungen gehören:

• Konzeption und Umsetzung von KfW-spezifischen Anpassungen der Software durch Konfigurations- und/oder Anpassungsprogrammierung • Beratung zur Prozessoptimierung im Zusammenhang mit der Produktbereitstellung • Konfigurationsberatung

Der Auftragnehmer muss für seine Leistungserbringung Personen mit den für die rechtzeitige, effiziente und kompetente Ausführung der Aufgabe erforderlichen Qualifikationen und Fähigkeiten einsetzen. Die im Kapitel 5.6 aufgeführten Rollen werden von der KfW zum Zweck der Vergütung definiert und entsprechen nicht unbedingt den Rollenbezeichnungen des Auftragnehmers. Der Auftragnehmer darf nur Personen zur Leistungserbringung einsetzen, die mindestens die im Kapitel 5.6 für jede Rolle aufgeführten Qualifikationen besitzen. Der Auftragnehmer muss angemessene Vorkehrungen treffen, um eine ordnungsgemäße Leistungserbringung bei kurzfristigen Änderungen und bei einer Erhöhung des für die

23

Leistungsbeschreibung „Legal AI Workspace“

Leistungserbringung erforderlichen Personaleinsatzes zu gewährleisten. Der Einsatz mehrerer Personen zur Abdeckung der Leistungen ist möglich (z. B. Tandem- oder Ersatzmodell) und wird gefördert.

8 Besprechungen

Der Auftragnehmer schuldet die Erfüllung der Anforderungen des nachfolgend beschriebenen Governance-Modells ohne gesonderte Vergütung. Dazu gehören regelmäßige Besprechungen zur Erörterung der Leistung. Für die Vertragslaufzeit hat der Auftragnehmer einen namentlich benannten zentralen Ansprechpartner (Hauptansprechpartner) für übergreifende Themen, organisatorische Abläufe und Rückfragen einzusetzen. Bei Abwesenheit ist ein Stellvertreter zu benennen. Der zentrale Ansprechpartner muss mit entsprechenden Kompetenzen ausgestattet sein, um die KfW und ihre Mitarbeiter proaktiv in allen Themen zu unterstützen und Entscheidungen über die Zusammenarbeit zu treffen. Der zentrale Ansprechpartner führt in regelmäßigen Abständen, mindestens jährlich (sofern nichts anderes vereinbart), eine Besprechung (virtuell, telefonisch oder persönlich vor Ort in Frankfurt) zur Überprüfung der Leistungserbringung mit der KfW durch. Neben den regelmäßigen Treffen muss der Ansprechpartner auch ad hoc für Rückfragen, aktuelle Themen oder Fragen zur Verfügung stehen.

Die Sitzungen müssen in der Regel im Rahmen einer von der KfW initiierten Videokonferenz (derzeit WebEx) und ausnahmsweise vor Ort bei der KfW am Standort Frankfurt am Main stattfinden. Diese sind: Operative Meetings während des Einführungsprojekts: Der Auftragnehmer nimmt an regelmäßigen Meetings gemäß Einführungsprojektkonzept in seinem finalen Angebot (BAFO) teil. Unabhängig vom Konzept des Auftragnehmers schuldet er der KfW mindestens eine Jour Fixe pro Woche, den der Auftragnehmer vorbereiten muss. Die KfW kann vom Auftragnehmer auch eine tägliche Besprechung verlangen. Governance Meetings während der Betriebsphase: Während der Betriebsphase müssen der Auftragnehmer und die KfW mindestens jährliche Service Review Meetings durchführen, um die allgemeine und SLA-Performance zu besprechen. Darüber hinaus kann die KfW jederzeit themenbezogene Treffen oder eine direkte Kommunikation zwischen den Parteien verlangen. Die Tagesordnungspunkte müssen unter anderem Folgendes umfassen:

• SLAs/Serviceunterbrechungen • Risikorelevante Vorfälle (Datenschutz, Informationssicherheit, Betriebsrisiko) • Subdienstleister • Prüfungen/Audits beim Dienstleister • Kontrolltätigkeiten durch KfW/Prüfungen vor Ort • Notfallplanung • Berechtigungsverwaltung • Änderungen der KfW-Vorgaben für den Dienstleister • Wartung/Patches • Personalbezogene Themen • Allgemeine und fachliche Fragen/Wesentliche Geschäftsentwicklungen Die Ergebnisse der Governance-Meetings sind vom Auftragnehmer in Form von Protokollen festzuhalten und den Teilnehmern zur Genehmigung zuzuleiten. Der Auftragnehmer hat ein von der KfW zur Verfügung gestelltes Template zu verwenden.

24

Leistungsbeschreibung „Legal AI Workspace“

9 Beendigungsunterstützung

Ergänzend zur Ziffer 35 der Allgemeinen Vertragsbedingungen konkretisieren die nachfolgenden Regelungen die vom Auftragnehmer im Zusammenhang mit der Überleitung der Software auf die KfW oder einen von der KfW benannten Dritten zu erbringenden Unterstützungsleistungen, insbesondere die Anforderungen an den Export und die Übertragung von Dialogvorlagen, Prüfregelwerken und Dokumenten/Datenbeständen.

9.1 Export von Dialogvorlagen und Prüfregelwerken Der Auftragnehmer ist verpflichtet, die Software so auszugestalten, dass sämtliche durch die KfW in der Software erstellten oder für die KfW individuell konfigurierten Dialogvorlagen, sonstigen Vorlagen und Prüfregelwerke während der gesamten Vertragslaufzeit vollständig exportierbar sind. Der Auftragnehmer hat auf Anforderung der KfW einen vollständigen Export dieser Dialogvorlagen, sonstigen Vorlagen und Prüfregelwerke vorzunehmen und der KfW bereitzustellen. Der Auftragnehmer stellt sicher, dass der Export in einem gängigen, maschinenlesbaren und von marktüblichen Systemen ohne Einsatz proprietärer Werkzeuge des Auftragnehmers weiterverarbeitbaren Format erfolgt, beispielsweise im JSON- oder YAML-Format, und eine Rekonstruktion der Dialogvorlagen, sonstigen Vorlagen und Prüfregelwerke ermöglicht wird.

9.2 Export von Dokumenten und Datenbeständen Der Auftragnehmer ist verpflichtet, die Software so auszugestalten, dass sämtliche durch die KfW in der Software verarbeiteten oder gespeicherten Dokumente sowie sonstigen Datenbestände, einschließlich etwaiger Wissensdatenbanken, während der gesamten Vertragslaufzeit vollständig exportierbar sind. Hierzu zählen insbesondere von der KfW eingestellte Dokumente und Dateien sowie angelegte Datenbanken und Sammlungen. Im Rahmen der Beendigungsunterstützung hat der Auftragnehmer auf Anforderung der KfW einen vollständigen Export dieser Dokumente und Datenbestände vorzunehmen und der KfW im ursprünglichen Dateiformat zur Verfügung zu stellen. Der Auftragnehmer hat die logische Struktur der Inhalte (insbesondere Ordner und Projekt) soweit technisch möglich in den Export zu übernehmen.

9.3 Technische Ausgestaltung, Verfahren und Fristen Der Auftragnehmer ist verpflichtet, während der gesamten Vertragslaufzeit in der Software alle zur Durchführung von Datenexporten erforderlichen Funktionen als Self‑Service‑Export bereitzustellen und so auszugestalten, dass die KfW diese Exporte selbständig auslösen und konfigurieren kann. Soweit bestimmte Exporte aus Sicherheits‑ oder Architekturgründen ausschließlich durch den Auftragnehmer selbst ausgelöst werden können, hat der Auftragnehmer diese Exporte auf Anforderung der KfW unverzüglich durchzuführen. Im Falle der Beendigung des Vertrages hat der Auftragnehmer in Abstimmung mit der KfW einen Plan für die Durchführung aller erforderlichen Exporte, einschließlich Zeitplan zu erstellen und diesen Plan vollständig umzusetzen. Der Auftragnehmer hat die Exporte so rechtzeitig abzuschließen, dass die KfW oder ein von ihm benannter Dritter die übernommenen Inhalte vor dem Ende der Unterstützungsleistungen testen und in Betrieb nehmen kann.

10 Anlagen

• Anlage zur Leistungsbeschreibung „Muss- und Kann-Kriterien“

25