Auftragsverarbeitungsvertrag — 1.2 (archiviert)

Seit dem 9. Oktober 2026 heißt System1 Models Decision Models (decisionmodels.io). Verweise auf System1 Models und system1models.ai in diesem Dokument bezeichnen Decision Models und decisionmodels.io; inhaltlich ändert sich nichts.

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

Version 1.2 · Stand: 1. Oktober 2026

Zwischen dem Kunden, der diesen Vertrag im Dashboard von System1 Models oder, bei einem kostenlosen benannten Pilotkonto nach dem kostenlosen Pilotzusatz, in Textform annimmt („Verantwortlicher“ oder „Kunde“)

und der productivity-boost.com Betriebs UG (haftungsbeschränkt) & Co. KG, Reichenberger Str. 2, 94036 Passau, Deutschland, Amtsgericht Passau, HRA 12725, vertreten durch ihre persönlich haftende Gesellschafterin productivity-boost.com UG (haftungsbeschränkt), diese vertreten durch ihren Geschäftsführer Florian Standhartinger („Auftragsverarbeiter“ oder „wir“).

Der Kunde nimmt diesen Vertrag elektronisch im Dashboard an; die Annahme wird mit Datum, Version und annehmendem Nutzer dokumentiert. Bei einem kostenlosen benannten Pilotkonto nach dem kostenlosen Pilotzusatz nimmt der Kunde diesen Vertrag stattdessen in Textform (zum Beispiel per E-Mail) an, und zwar in der Fassung, die wir in unserer Aufforderung zur Annahme nennen; die Annahme wird mit unserer Bestätigung des Kontos in Textform wirksam, und wir dokumentieren Datum, annehmende Person und Fassung. Die Annahme in elektronischer Form oder Textform erfüllt Art. 28 Abs. 9 DSGVO. Eine unterzeichnete PDF-Kopie ist auf Anfrage erhältlich. Diese deutsche Fassung ist maßgeblich. Eine englische Übersetzung ist unter /legal/dpa verfügbar.

1. Gegenstand, Umfang und Dauer

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit dem System1-Models-Dienst, sowohl im EU-Tier als auch im Peer-to-Peer-Tier, nach den AGB („Hauptvertrag“).

1.2 Er gilt nicht für Konto-, Abrechnungs- und Nutzungsdaten, die der Auftragsverarbeiter für eigene Zwecke als Verantwortlicher verarbeitet (siehe Datenschutzerklärung).

1.3 Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

1.4 Dieser Vertrag gilt so lange, wie der Auftragsverarbeiter im Rahmen des Hauptvertrags personenbezogene Daten für den Verantwortlichen verarbeitet. Er endet automatisch mit dem Hauptvertrag und der Löschung aller personenbezogenen Daten gemäß § 11.

2. Weisungen

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben. In diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

2.2 Der Hauptvertrag, dieser Vertrag sowie die Nutzung und Konfiguration des Dienstes durch den Verantwortlichen (zum Beispiel die Auswahl von Tier, Modell und Speichereinstellung über API oder Dashboard) bilden bei Vertragsschluss die vollständigen dokumentierten Weisungen des Verantwortlichen. Weitere Weisungen müssen in Textform an info@productivity-boost.com erteilt werden. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungsanfrage behandelt; der Auftragsverarbeiter kann zuvor vereinbarte angemessene Zusatzkosten berechnen.

2.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt. Der Auftragsverarbeiter kann die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

3. Pflichten des Verantwortlichen

3.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlage, der Information betroffener Personen und der Prüfung, ob für seinen Anwendungsfall eine Datenschutz-Folgenabschätzung erforderlich ist oder Art. 22 DSGVO beziehungsweise die EU-KI-Verordnung greift.

3.2 Der Verantwortliche übermittelt personenbezogene Daten nur in dem für seinen Zweck erforderlichen Umfang. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) dürfen nur übermittelt werden, wenn der Verantwortliche dafür über eine Rechtsgrundlage verfügt und geprüft hat, dass die Maßnahmen in Anlage 2 angemessen sind.

3.3 Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO) und die Daten nur nach Weisung des Verantwortlichen verarbeiten.

5. Sicherheit der Verarbeitung

5.1 Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die geltenden technischen und organisatorischen Maßnahmen (TOM) sind in Anlage 2 beschrieben.

5.2 Die TOM berücksichtigen den technischen Fortschritt. Der Auftragsverarbeiter kann angemessene alternative Maßnahmen umsetzen, sofern dadurch das Sicherheitsniveau nicht verringert wird. Wesentliche Änderungen werden dokumentiert und auf der Sicherheitsseite angekündigt.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 und unter /de/rechtliches/unterauftragsverarbeiter aufgeführt; der Verantwortliche genehmigt sie.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an die E-Mail-Adresse des Kontos und durch Aktualisierung von /de/rechtliches/unterauftragsverarbeiter über die geplante Aufnahme oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus angemessenen Datenschutzgründen in Textform widersprechen. Kann der Auftragsverarbeiter dem Widerspruch nicht auf zumutbare Weise Rechnung tragen, kann jede Partei den betroffenen Teil des Hauptvertrags mit Wirkung zum Änderungsdatum kündigen; nicht verbrauchtes vorausbezahltes Guthaben wird erstattet. In dringenden Fällen (zum Beispiel dem plötzlichen Ausfall eines Unterauftragsverarbeiters) kann die Ankündigungsfrist verkürzt werden; das Widerspruchsrecht bleibt bestehen.

6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag, insbesondere auf ausreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters voll verantwortlich.

6.4 Anfragen des EU-Tiers werden ausschließlich in der EU verarbeitet und haben Vorrang. Das Peer-to-Peer-Tier nutzt zunächst freie EU-Kapazität mit niedrigerer Priorität als Anfragen des EU-Tiers. Ist diese Kapazität ausgelastet, können Peer-to-Peer-Anfragen nach Bedarf angemietete GPU-Kapazität von Lium (lium.io) nutzen. Unabhängige Drittanbieter betreiben die GPU-Hardware in verschiedenen Ländern, einschließlich außerhalb der EU/des EWR. Eine Verarbeitung außerhalb der EU erfolgt nur für API-Schlüssel, für die der Kunde den Schalter „Allow worldwide processing“ (weltweite Verarbeitung erlauben) ausdrücklich aktiviert hat. Ohne diese Zustimmung bleiben Peer-to-Peer-Anfragen auf EU-Kapazität und können bei Auslastung in eine Warteschlange gestellt oder mit einem wiederholbaren Fehler abgelehnt werden. Anfragen des EU-Tiers bleiben immer in der EU und haben Vorrang. Bestandskunden behalten die Verarbeitung ausschließlich in der EU, sofern sie nicht für den jeweiligen Schlüssel zustimmen. Inhalte von Anfragen und Antworten werden auf keinem Knoten gespeichert (keine dauerhafte Speicherung von Anfrage- und Antwortinhalten). Für Lium und die unabhängigen GPU-Anbieter gelten weiterhin das Mitteilungs- und Widerspruchsverfahren nach § 6.2 sowie die Bedingungen nach § 7.

6.5 Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt (zum Beispiel Telekommunikation, Postdienste oder die Wartung von Hardware ohne Datenzugriff), gelten nicht als Auftragsverarbeitung durch Unterauftragsverarbeiter.

7. Übermittlungen in Drittländer

API-Gateway und Datenbank bleiben in der EU. Anfragen des EU-Tiers und Peer-to-Peer-Anfragen ohne weltweite Zustimmung je Schlüssel werden ausschließlich in der EU verarbeitet. Für Peer-to-Peer-Schlüssel mit Zustimmung kann die GPU-Verarbeitung in verschiedenen Ländern auf über Lium angemieteter Kapazität erfolgen. Eine Übermittlung in ein Drittland setzt eine vorherige dokumentierte Weisung des Verantwortlichen voraus und muss Kapitel V DSGVO entsprechen. Übermittlungen außerhalb der EU/des EWR erfolgen nur für Schlüssel, für die Sie ausdrücklich zugestimmt haben; Sie sind dafür verantwortlich, auf solchen Schlüsseln keine personenbezogenen Daten zu senden, sofern für Ihre Nutzung keine geeignete Übermittlungsgrundlage besteht. Der Schalter selbst ist keine Übermittlungsgrundlage nach Kapitel V DSGVO. Die Pflichten des Auftragsverarbeiters nach §§ 2.3 und 6.3 bleiben unverändert; unterzeichnete Standardvertragsklauseln oder Zertifizierungen von Lium werden hier nicht behauptet.

8. Unterstützung bei Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Da Inhalte nicht gespeichert werden (Anlage 1, Abschnitt 5), liegen normalerweise keine gespeicherten Inhalte vor, auf die zugegriffen werden könnte oder die berichtigt oder gelöscht werden könnten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern er keine entsprechende Weisung erhält.

9. Unterstützung nach Art. 32 bis 36 DSGVO; Verletzungen des Schutzes personenbezogener Daten

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Dazu gehört die Bereitstellung von Informationen, die für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation benötigt werden.

9.2 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten mit Auswirkungen auf Daten des Verantwortlichen bekannt geworden ist. Die Benachrichtigung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze; den Namen und die Kontaktdaten einer Anlaufstelle; die wahrscheinlichen Folgen; sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen. Noch nicht verfügbare Informationen werden schrittweise und ohne weiteren unangemessenen Aufschub nachgereicht.

9.3 Der Auftragsverarbeiter ergreift die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen abzumildern, und dokumentiert die Verletzung.

9.4 Der Auftragsverarbeiter kann angemessene Kosten für Unterstützung nach § 8 und § 9.1 nur berechnen, wenn die Unterstützung über das zur Erfüllung seiner eigenen Pflichten Erforderliche hinausgeht und ihr Bedarf nicht durch eine Pflichtverletzung des Auftragsverarbeiters verursacht wurde.

10. Überprüfungen und Informationen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Prüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und wirkt daran mit (Art. 28 Abs. 3 lit. h DSGVO).

10.2 Der Auftragsverarbeiter kann zunächst aktuelle Unterlagen zur Verfügung stellen, einschließlich dieses Vertrags, der TOM, der Liste der Unterauftragsverarbeiter und, sofern verfügbar, Zertifikaten oder Prüfberichten seiner Unterauftragsverarbeiter (zum Beispiel ISO/IEC-27001-Zertifikaten der Rechenzentrumsbetreiber). Reichen diese Unterlagen zum Nachweis der Einhaltung nicht aus, kann der Verantwortliche Prüfungen einschließlich Vor-Ort-Inspektionen durchführen. Der Verantwortliche kündigt Prüfungen mit angemessener Frist, in der Regel 14 Tage, an; bei einem besonderen Anlass wie einer Verletzung des Schutzes personenbezogener Daten oder einer Anfrage einer Aufsichtsbehörde erfolgt die Ankündigung unverzüglich. Prüfungen finden während der üblichen Geschäftszeiten statt und vermeiden unnötige Betriebsstörungen. Die vom Verantwortlichen beauftragten Prüfer müssen zur Vertraulichkeit verpflichtet sein; der Auftragsverarbeiter kann einem Prüfer widersprechen, der unmittelbarer Wettbewerber des Auftragsverarbeiters ist; in diesem Fall beauftragt der Verantwortliche einen anderen Prüfer. Der Auftragsverarbeiter kann angemessene, nachgewiesene Kosten für seine Unterstützung bei Vor-Ort-Prüfungen berechnen, wenn der Verantwortliche ohne besonderen Anlass mehr als eine Prüfung pro Kalenderjahr durchführt, es sei denn, eine Prüfung stellt eine wesentliche Pflichtverletzung des Auftragsverarbeiters fest.

10.3 Die Rechte von Aufsichtsbehörden bleiben unberührt.

11. Löschung und Rückgabe nach Ende der Verarbeitung

11.1 An den Dienst übermittelte Inhalte werden gelöscht, sobald die Antwort zurückgegeben wurde (Anlage 1, Abschnitt 5). Idempotenzdatensätze (Anlage 1, Abschnitt 5) werden automatisch nach 24 Stunden gelöscht. Daher verbleiben bei Ende des Hauptvertrags keine Inhalte, die zurückzugeben oder zu löschen wären.

11.2 Die Löschung wird auf Anfrage in Textform bestätigt.

12. Haftung

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsbestimmungen des Hauptvertrags, soweit zwingendes Recht nichts anderes bestimmt.

13. Schlussbestimmungen

13.1 Im Falle eines Widerspruchs hat dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten Vorrang vor dem Hauptvertrag.

13.2 Änderungen dieses Vertrags erfolgen wie Änderungen der AGB (§ 14 der AGB). Änderungen der Liste der Unterauftragsverarbeiter richten sich nach § 6.2. Änderungen der TOM richten sich nach § 5.2.

13.3 Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen Bestimmungen wirksam. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

---

Anlage 1 — Einzelheiten der Verarbeitung

1. Gegenstand und Zweck: Inferenz für typisierte Entscheidungen: Der Verantwortliche übermittelt dem Dienst (EU-Tier oder Peer-to-Peer-Tier) einen Zustand (Text und, soweit unterstützt, Bilder) und Fragen; ein maschinelles Lernmodell berechnet Wahrscheinlichkeiten für die Antwortoptionen und gibt sie an den Verantwortlichen zurück. Zweck ist ausschließlich, dem Verantwortlichen dieses Ergebnis bereitzustellen.

2. Art der Verarbeitung: Entgegennahme über eine verschlüsselte Verbindung, vorübergehende Speicherung im Arbeitsspeicher des API-Gateways und der GPU-Server, Berechnung durch das Modell, Rückgabe des Ergebnisses, Löschung. Erfassung von Metadaten ohne Inhalte zu Abrechnungs- und Sicherheitszwecken (siehe Datenschutzerklärung).

3. Arten personenbezogener Daten: vom Verantwortlichen festgelegt. Typischerweise alle personenbezogenen Daten in Texten oder Bildern, die der Verantwortliche übermittelt, zum Beispiel Namen, Kontaktdaten, Inhalte von Nachrichten, Tickets, Dokumenten oder Transaktionen, Beschreibungen von Verhalten oder Präferenzen sowie Bilder, auf denen Personen zu sehen sein können. Besondere Kategorien personenbezogener Daten nur nach § 3.2 dieses Vertrags.

4. Kategorien betroffener Personen: vom Verantwortlichen festgelegt. Typischerweise Kunden, Nutzer, Interessenten, Mitarbeiter, Auftragnehmer und Geschäftspartner des Verantwortlichen sowie andere Personen, die in übermittelten Inhalten erwähnt werden.

5. Speicherdauer der Inhalte: Inhalte (Zustände, Fragen, Bilder) und Ergebnisse werden nicht in Protokolle, Datenbanken, auf Datenträger oder in sonstigen dauerhaften Speicher geschrieben (keine Speicherung von Daten). Sie werden während der Verarbeitung im flüchtigen Arbeitsspeicher gehalten. Aus Leistungsgründen kann der Inferenzserver Zwischenwerte kürzlich bearbeiteter Anfragen im GPU-Speicher (Präfix-Cache) halten, bis sie durch spätere Anfragen überschrieben werden, längstens jedoch bis zum Neustart des Serverprozesses; dieser Cache wird niemals dauerhaft gespeichert, ist je Modellinstanz isoliert und kann nicht über die API ausgelesen werden. Sendet der Verantwortliche einen optionalen Idempotency-Key, speichert der Auftragsverarbeiter 24 Stunden lang einen mit einem geheimen Schlüssel erzeugten HMAC-Hashwert des Anfragekörpers, die Anfrage-ID, den Bearbeitungsstatus und den Nutzungsbeleg ohne Inhalte, um doppelte Verarbeitung und Abrechnung zu verhindern. Metadaten ohne Inhalte (Anfrage-ID, Zeitpunkt, Schlüssel-ID, Modell, Tier, Tokenzahl, Anzahl der Entscheidungen, Latenz, Status) verarbeitet der Auftragsverarbeiter als Verantwortlicher zu Abrechnungs- und Sicherheitszwecken.

6. Ort der Verarbeitung: API-Gateway und Datenbank: EU (Hetzner, Helsinki). Inferenz des EU-Tiers und Peer-to-Peer-Inferenz ohne weltweite Zustimmung: EU (Verda, Finnland). Peer-to-Peer-Inferenz mit Zustimmung: zunächst freie EU-Kapazität, danach bei Bedarf Lium-Kapazität unabhängiger GPU-Drittanbieter weltweit, einschließlich außerhalb der EU/des EWR, unter den Bedingungen der §§ 6 und 7. Auf keinem Knoten werden Anfrage- oder Antwortinhalte dauerhaft gespeichert.

7. Kontakt für Datenschutz: info@productivity-boost.com.

8. Dauer der Verarbeitung: für die Laufzeit des Hauptvertrags bis zur Löschung gemäß § 11 (siehe § 1.4).

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die nachstehenden Maßnahmen gelten für beide Tiers. Sie sind auch auf der Sicherheitsseite veröffentlicht.

2.1 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

• Für alle Verbindungen zu API, Dashboard und MCP-Server wird TLS 1.2 oder höher verwendet; unverschlüsseltes HTTP wird weitergeleitet oder abgewiesen. HSTS ist aktiviert.
• Verbindungen zwischen API-Gateway und GPU-Servern sind verschlüsselt (TLS oder WireGuard-Tunnel) und authentifiziert.
• API-Schlüssel werden nur als gesalzene kryptografische Hashes gespeichert; der vollständige Schlüssel wird einmal angezeigt.
• Datenbank-Backups sind verschlüsselt.
• Inhalte werden nicht gespeichert; daher gibt es keine gespeicherten Inhalte, die pseudonymisiert werden könnten. Nutzungsdatensätze enthalten nur IDs, niemals Inhalte.

2.2 Vertraulichkeit (Art. 32 Abs. 1 lit. b)

• Zutrittskontrolle: Die EU-Infrastruktur läuft in den Rechenzentren von Hetzner und Verda mit den bestehenden Schutzmaßnahmen der Anbieter. Peer-to-Peer-Zusatzkapazität stammt von unabhängigen GPU-Anbietern über Lium; die Zertifizierungen unserer EU-Anbieter gelten nicht für diese Anbieter. Wir betreiben keine eigenen Serverräume.
• Systemzugangskontrolle: Administratorzugriff erfolgt nur per SSH mit öffentlichen Schlüsseln oder über die Konsole des Anbieters mit Zwei-Faktor-Authentifizierung; Passwortanmeldungen sind deaktiviert; Firewalls erlauben nur erforderliche Ports.
• Datenzugriffskontrolle: rollenbasierte Zugriffe; Produktionszugriff ist auf den Geschäftsführer und namentlich benannte Administratoren nach dem Erforderlichkeitsprinzip beschränkt; Anfragen jedes Kunden werden über API-Schlüssel und Konto isoliert; außer den Modellgewichten gibt es keinen gemeinsamen Zustand zwischen Anfragen.
• Trennung: Anfragen des EU-Tiers haben Vorrang und bleiben auf EU-Kapazität. Peer-to-Peer-Anfragen nutzen zunächst freie EU-Kapazität; weltweite Zusatzkapazität setzt die ausdrückliche Zustimmung je Schlüssel voraus. Kundendaten werden logisch nach Konto-ID und API-Schlüssel getrennt; Entwicklungs- und Testsysteme verwenden keine Kundendaten.
• Minimale Protokollierung: Protokolle enthalten nur IDs, Größen, Latenz, Modell, Tier und Status — niemals Anfrage- oder Antwortinhalte.

2.3 Integrität (Art. 32 Abs. 1 lit. b)

• Übertragungskontrolle: Verschlüsselung bei der Übertragung (siehe 2.1); keine Wechselmedien.
• Eingabekontrolle: Administratoraktionen und Änderungen an Deployments werden protokolliert; Deployments erfolgen aus versionskontrolliertem, überprüftem Code.
• Container-Images werden durch Digest, Modellgewichte durch Revision und SHA-256-Prüfsumme festgelegt.

2.4 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

• Ein dauerhaft laufender Basis-GPU-Knoten in der EU.
• Zustandsprüfungen und automatischer Neustart ausgefallener Dienste.
• Tägliche verschlüsselte Datenbank-Backups (Konto- und Nutzungsdaten, keine Inhalte); Backups werden in der EU gespeichert.
• Unterbrechungsfreie Stromversorgung, redundante Netzwerkanbindung und Brandschutz in den Rechenzentren unserer Anbieter.
• Ratenbegrenzungen und Missbrauchsschutz je API-Schlüssel.

2.5 Regelmäßige Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d)

• Sicherheitsprüfung unseres eigenen Codes vor jeder größeren Veröffentlichung; Prüfung auf Schwachstellen in Abhängigkeiten und Images.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und nach jedem Sicherheitsvorfall.
• Dokumentierter Vorfallsprozess: Erkennung, Eindämmung, Bewertung, Benachrichtigung betroffener Verantwortlicher innerhalb von 48 Stunden (§ 9.2 des AVV), Nachbereitung.

2.6 Organisatorische Maßnahmen

• Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen.
• Wir verlangen Vereinbarungen nach Art. 28 DSGVO mit Unterauftragsverarbeitern, bevor wir die Verarbeitung von Kundendaten freigeben.
• Geheimnisse werden in geschützten Konfigurationsspeichern aufbewahrt, niemals im Quellcode oder in Protokollen.

Anlage 3 — Unterauftragsverarbeiter und Tier-Geltungsbereich

Unterauftragsverarbeiter	Dienst	Ort der Verarbeitung	Schutzmaßnahme
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Websites (einschließlich Dashboard), des API-Gateways und der Datenbank	EU	Standard-AVV des Anbieters nach Art. 28 DSGVO, erforderlich vor der Verarbeitung von Kundendaten
DataCrunch Oy (Handelsname Verda), Helsinki, Finnland	GPU-Server für Modellinferenz	Finnland (EU)	Datenverarbeitungsbedingungen nach Art. 28 DSGVO
Lium (lium.io), mit unabhängigen GPU-Drittanbietern	GPU-Inferenz auf Bedarf für Peer-to-Peer-Schlüssel mit Zustimmung bei ausgelasteter freier EU-Kapazität	weltweit (GPU-Drittanbieter)	Übermittlungen außerhalb der EU/des EWR erfolgen nur für Schlüssel, für die Sie ausdrücklich zugestimmt haben; Sie sind dafür verantwortlich, auf solchen Schlüsseln keine personenbezogenen Daten zu senden, sofern für Ihre Nutzung keine geeignete Übermittlungsgrundlage besteht. Der Schalter selbst ist keine Übermittlungsgrundlage nach Kapitel V DSGVO.

Die folgenden Anbieter verarbeiten keine API-Inhalte, sondern kontobezogene Daten, die wir als Verantwortlicher verarbeiten (siehe Datenschutzerklärung): Stripe Payments Europe, Ltd. (Zahlungen), Scaleway SAS (dienstbezogene E-Mails). Lium und die unabhängigen GPU-Anbieter sind auf Peer-to-Peer-Zusatzkapazität für Schlüssel mit Zustimmung beschränkt; Anfragen des EU-Tiers nutzen diese nie. Bestandskunden behalten die Mitteilungs- und Widerspruchsrechte nach § 6.2 sowie die Verarbeitung ausschließlich in der EU, sofern sie nicht gemäß § 6.4 zustimmen.

Frühere Fassungen.