Auftragsverarbeitungsvertrag für KI-Inference

Zuletzt aktualisiert: Oktober 2026

gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO)

Parteien

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der den von Nodion gehosteten KI-Inference-Dienst nutzt (der „Kunde“), und

Nodion GmbH
Königstraße 27, 70173 Stuttgart, Deutschland
vertreten durch ihren Geschäftsführer Niklas Karoly
eingetragen im Handelsregister Stuttgart, Deutschland (HRB 770829)

(der „Auftragnehmer“). Der Kunde und der Auftragnehmer sind jeweils eine „Partei“ und gemeinsam die „Parteien“.

Einbeziehung

Dieser AVV ist automatisch Bestandteil der Vereinbarung, unter der der Kunde den von Nodion gehosteten KI-Inference-Dienst nutzt (die „Hauptvereinbarung“), einschließlich der Allgemeinen Geschäftsbedingungen. Mit der Nutzung dieses Dienstes stimmt der Kunde diesem AVV zu. Eine gesonderte Unterschrift ist nicht erforderlich. Eine gegengezeichnete Ausfertigung ist auf Anfrage unter privacy@nodion.com erhältlich.

Bei einem Widerspruch zwischen diesem AVV und einem anderen Teil der Hauptvereinbarung geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.

In Artikel 4 DSGVO definierte Begriffe haben in diesem AVV dieselbe Bedeutung. Groß geschriebene Begriffe, die hier nicht definiert sind, haben die in der Hauptvereinbarung festgelegte Bedeutung.

§ 1 Gegenstand und Dauer

1. Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Kunden, wenn der Kunde (oder eine in seinem Auftrag handelnde Person) Anfragen an von Nodion gehostete und betriebene Modelle über die KI-Inference-API oder den Dashboard-Playground sendet.
2. Dieser AVV gilt nicht für (a) die Nodion-Cloud-Plattform (Applications, Datenbanken, Storage, DNS, CDN, E-Mail und verwandte Dienste), die dem gesonderten Auftragsverarbeitungsvertrag im Kundenportal unterliegt, oder (b) Inference, die der Auftragnehmer an einen Drittanbieter von Modellen weiterleitet. Diese Anbieter sind Unterauftragsverarbeiter nach dem Plattform-Auftragsverarbeitungsvertrag, nicht nach diesem AVV.
3. Die Dauer der Verarbeitung entspricht der Laufzeit der Hauptvereinbarung. Dieser AVV endet mit der Hauptvereinbarung, unbeschadet der Bestimmungen, die zum Schutz personenbezogener Daten fortgelten müssen (einschließlich Vertraulichkeit, Löschung restlicher Metadaten und Mitwirkung bei Prüfungen für die gesetzliche Verjährungsfrist).

§ 2 Rollen

1. Bestimmt der Kunde Zwecke und Mittel der Verarbeitung, ist der Kunde Verantwortlicher und der Auftragnehmer Auftragsverarbeiter.
2. Verarbeitet der Kunde personenbezogene Daten im Auftrag eines Dritten als Verantwortlichen (zum Beispiel als KI-Gateway, Reseller oder Integrator), ist der Kunde Auftragsverarbeiter und der Auftragnehmer Unterauftragsverarbeiter. Der Kunde gewährleistet, dass er vom jeweiligen Verantwortlichen befugt ist, den Auftragnehmer als Unterauftragsverarbeiter zu bestellen und die in diesem AVV festgelegten Weisungen zu erteilen.
3. In beiden Fällen verarbeitet der Auftragnehmer personenbezogene Daten nur auf dokumentierte Weisung, nämlich diesen AVV, die Hauptvereinbarung und die Nutzung des Dienstes durch den Kunden (einschließlich des ausgewählten Modells und der Anfrageinhalte), es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verlangt etwas anderes.

§ 3 Art und Zweck der Verarbeitung

Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

§ 4 Keine Datenspeicherung und kein Training

1. Keine Datenspeicherung. Kunden-API-Daten (Prompts, Eingaben, Dateien, Nachrichten und erzeugte Ausgaben) werden nur für die Zeit verarbeitet, die zur Durchführung der angeforderten Inference und zur Rückgabe der Antwort erforderlich ist. Der Auftragnehmer protokolliert Kunden-API-Daten nach der Anfrage nicht und speichert sie auch sonst nicht, behält sie nicht zur Missbrauchsüberwachung und schreibt sie nicht in Sicherungen. Nach Abschluss der Anfrage können Kunden-API-Daten vom Auftragnehmer nicht zurückgegeben oder wiederhergestellt werden.
2. Flüchtiger Laufzeitzustand, der nur während der Bearbeitung einer Anfrage besteht, ist zulässig und wird mit Ende der Anfrage verworfen. Dazu gehören der Zustand im Arbeitsspeicher und, bei dateibasierten Inference-Anfragen wie OCR oder Sprache, temporäre lokale Dateien, die mit Ende der Anfrage gelöscht werden. Dies ist kein Speicher von Kunden-API-Daten.
3. Betriebliche Metadaten, die keine Kunden-API-Daten enthalten, insbesondere Zeitstempel, Anfragekennungen, Modellkennung, HTTP-Status, Token- oder Einheitenanzahlen, Latenz und der abgerechnete Betrag, werden als Abrechnungs- und Sicherheitshistorie für die Laufzeit der Hauptvereinbarung aufbewahrt. Das Löschen eines Projekts beendet die Hauptvereinbarung nicht und löscht diese Historie nicht, solange das Konto fortbesteht. Nach Ende der Hauptvereinbarung kann der Kunde die Rückgabe (Export) oder Löschung betrieblicher Metadaten wählen, wie in § 12 festgelegt. Metadaten, die Teil einer gesetzlichen handels- oder steuerrechtlichen Aufzeichnung sind (insbesondere Rechnungen und die sie belegenden Nutzungsdaten), werden nur zu diesem Zweck für die geltende gesetzliche Frist aufbewahrt.
4. Kein Training. Der Auftragnehmer darf Kunden-API-Daten oder Kundendaten nicht zum Trainieren, Feinabstimmen, Evaluieren oder sonstigen Verbessern eines künstlichen Intelligenzmodells verwenden, weder eines vom Auftragnehmer noch eines von einem Dritten betriebenen.

§ 5 Ort der Verarbeitung; keine Drittlandübermittlung

1. Die Verarbeitung von Kunden-API-Daten nach diesem AVV findet ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt.
2. Der Auftragnehmer übermittelt Kunden-API-Daten ohne vorherige schriftliche Zustimmung des Kunden und ohne einen Übermittlungsmechanismus nach Art. 44 ff. DSGVO nicht in ein Drittland oder an eine internationale Organisation. Die für diesen Dienst genutzte Infrastruktur ist in Anlage 3 aufgeführt und befindet sich in der EU/im EWR.
3. Verlangt das Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung, einschließlich einer Offenlegung, die eine Übermittlung beinhalten würde, unterrichtet der Auftragnehmer den Kunden vor dieser Verarbeitung nach § 9 Abs. 4, es sei denn, das Recht untersagt diese Unterrichtung aus wichtigen Gründen des öffentlichen Interesses.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer setzt technische und organisatorische Maßnahmen um, die ein dem Risiko angemessenes Schutzniveau gewährleisten, gemäß Art. 32 DSGVO. Die geltenden Maßnahmen sind in Anlage 2 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf einzelne Maßnahmen durch gleichwertige oder stärkere ersetzen, sofern das Schutzniveau in Anlage 2 nicht vermindert wird. Wesentliche Änderungen werden dokumentiert.

§ 7 Pflichten des Auftragnehmers

Der Auftragnehmer hält die Grundsätze einer ordnungsgemäßen Datenverarbeitung ein und insbesondere:

1. Datenschutzkontakt. Der Auftragnehmer ist nach § 38 BDSG nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Anfragen gehen an privacy@nodion.com.
2. Vertraulichkeit. Nur zur Vertraulichkeit verpflichtete und in den einschlägigen Datenschutzvorschriften unterwiesene Personen dürfen personenbezogene Daten nach diesem AVV verarbeiten. Die Pflicht besteht nach Ende der Hauptvereinbarung fort.
3. Rechte betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung (keine Speicherung von Kunden-API-Daten) unterstützt der Auftragnehmer den Kunden angemessen bei Anträgen nach Kapitel III DSGVO. Anträge werden in der Regel innerhalb von fünf Werktagen bearbeitet. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet der Auftragnehmer den Antrag an den Kunden weiter, ohne zu antworten, es sei denn, der Kunde weist etwas anderes an oder das Recht verlangt eine Antwort.
4. Verletzung des Schutzes personenbezogener Daten. Der Auftragnehmer unterrichtet den Kunden unverzüglich und spätestens innerhalb von 48 Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Daten des Kunden betrifft. Die Mitteilung enthält, soweit möglich: die Art der Verletzung; die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze; den Datenschutzkontakt (privacy@nodion.com); die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen.
5. Aufsichtsbehörde. Der Auftragnehmer wirkt auf Anfrage mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen und unterrichtet den Kunden über Prüfungen, die diesen AVV betreffen, soweit keine gesetzliche oder gerichtliche Geheimhaltungspflicht besteht.
6. Artikel 32 bis 36. Der Auftragnehmer unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der dem Auftragnehmer vorliegenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, einschließlich der Sicherheit der Verarbeitung, der Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

§ 8 Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der von ihm übermittelten personenbezogenen Daten verantwortlich, einschließlich einer Rechtsgrundlage, etwaiger erforderlicher Informationen nach Art. 13 und 14 DSGVO und, soweit der Kunde als Auftragsverarbeiter handelt, der Befugnis des jeweiligen Verantwortlichen.
2. Der Kunde entscheidet, welche Inhalte er sendet. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) dürfen nur übermittelt werden, wenn der Kunde eine gültige Rechtsgrundlage hat und das verbleibende Risiko der Inference-Verarbeitung bewertet hat. Der Auftragnehmer prüft die Anfrageinhalte nicht.
3. Der Kunde benennt auf Anfrage einen Datenschutzkontakt und unterrichtet den Auftragnehmer unverzüglich über Fehler oder Unregelmäßigkeiten, die er bei der Verarbeitung feststellt.

§ 9 Weisungen

1. Der Auftragnehmer und jede unter seiner Aufsicht handelnde Person verarbeiten personenbezogene Daten nur im Rahmen der Hauptvereinbarung und der Weisungen des Kunden, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verlangt etwas anderes (Art. 28 Abs. 3 Buchst. a DSGVO).
2. Weisungen sind dieser AVV und die Nutzung des Dienstes durch den Kunden. Weitere Weisungen müssen in Textform erteilt werden. Mündliche Weisungen werden unverzüglich in Textform bestätigt. Weisungen, die über die vereinbarte Leistung hinausgehen, sind ein Änderungsverlangen.
3. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder anderes Datenschutzrecht der Union oder eines Mitgliedstaats verstößt, unterrichtet er den Kunden unverzüglich und kann diese Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Verpflichtet das für den Auftragnehmer geltende Unionsrecht oder das Recht eines Mitgliedstaats den Auftragnehmer, personenbezogene Daten anders als auf Weisung des Kunden zu verarbeiten, unterrichtet der Auftragnehmer den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, das Recht untersagt eine solche Information aus wichtigen Gründen des öffentlichen Interesses (Art. 28 Abs. 3 Buchst. a DSGVO).

§ 10 Unterauftragsverarbeiter

1. Unterauftragsverarbeitung bedeutet, einen weiteren Auftragsverarbeiter für eine Verarbeitung einzusetzen, die unmittelbar diesen AVV betrifft. Nebenleistungen ohne spezifischen Bezug zur Inference (zum Beispiel Telekommunikation, Postdienste, Büro-IT oder Gebäudedienste) sind keine Unterauftragsverarbeitung im Sinne dieser Klausel, unbeschadet der Pflicht des Auftragnehmers, ein angemessenes Schutzniveau aufrechtzuerhalten.
2. Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 2 DSGVO) für die in Anlage 3 aufgeführten Unterauftragsverarbeiter.
3. Der Auftragnehmer legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem AVV, soweit sie auf die Leistungen des Unterauftragsverarbeiters anwendbar sind. Der Auftragnehmer bleibt dem Kunden für die Leistung des Unterauftragsverarbeiters voll verantwortlich.
4. Der Auftragnehmer unterrichtet den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage, bevor diese Partei erstmals personenbezogene Daten nach diesem AVV verarbeitet, durch Veröffentlichung der aktualisierten Anlage 3 unter dieser URL und, soweit der Kunde ein Konto hat, per E-Mail an den Account-Kontakt und/oder durch einen Hinweis im Kundenportal. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde den betroffenen Dienst kündigen.
5. Die 30-Tage-Frist darf nur verkürzt werden, wenn eine Verzögerung aus Sicherheits- oder Rechtsgründen unzumutbar wäre. Der Auftragnehmer unterrichtet den Kunden in diesem Fall so bald wie möglich.
6. Anlage 3 dieses AVV ist unabhängig von der Unterauftragsverarbeiterliste im Plattform-Auftragsverarbeitungsvertrag (14-tägiger Widerspruch). Eine Änderung auf einer Liste ist keine Mitteilung nach der anderen.

§ 11 Prüfung

1. Der Auftragnehmer stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.
2. Die Einhaltung wird insbesondere nachgewiesen durch (a) ISO/IEC-27001-Zertifikate der Infrastrukturpartner in Anlage 3, (b) eine schriftliche Bestätigung des Auftragnehmers, dass die Maßnahmen in Anlage 2 umgesetzt sind, und (c) weitere Unterlagen zu konkreten Fragen. Der Auftragnehmer selbst verfügt derzeit über keine externe Zertifizierung; ISO/IEC 27001 ist geplant.
3. Der Kunde darf in Zusammenarbeit mit dem Auftragnehmer weitere Kontrollen nach Art. 28 Abs. 3 Buchst. h DSGVO in angemessenem Umfang durchführen. Kontrollen erfolgen zunächst durch schriftliche Anfrage, Dokumentation und, soweit sinnvoll, Online- Besprechungen. Der Kunde darf einen Dritten einsetzen, der kein unmittelbarer Wettbewerber des Auftragnehmers ist. Kontrollen sind auf eine pro Kalenderjahr beschränkt, zuzüglich anlassbezogener Kontrollen bei konkreten Anhaltspunkten für einen Verstoß. Der Kunde trägt seine eigenen Kosten.
4. Reichen diese entfernten Nachweise nicht aus, um die Einhaltung nachzuweisen, darf der Kunde nach angemessener Ankündigung und während der üblichen Geschäftszeiten eine Inspektion durchführen, einschließlich in den Räumen des Auftragnehmers oder, soweit der betreffende Partner in Anlage 3 dies gestattet, an dessen Standort, beschränkt auf die für diesen AVV genutzten Systeme. Der Auftragnehmer wirkt an solchen Inspektionen mit (Art. 28 Abs. 3 Buchst. h DSGVO). Die Grenzen in § 11 Abs. 3 gelten.

§ 12 Löschung

1. Da Kunden-API-Daten nicht gespeichert werden, gibt es nach einer Anfrage nichts zurückzugeben oder zu löschen. Der Kunde erkennt an, dass eine Wiederherstellung von Kunden-API-Daten durch den Auftragnehmer technisch unmöglich ist.
2. Nach Ende der Hauptvereinbarung kann der Kunde in Textform an privacy@nodion.com die Rückgabe (Export) oder Löschung betrieblicher Metadaten wählen. In beiden Fällen löscht der Auftragnehmer auch vorhandene Kopien, die keiner gesetzlichen Aufbewahrungspflicht unterliegen (Art. 28 Abs. 3 Buchst. g DSGVO). Der Auftragnehmer führt ein vollständiges Verlangen innerhalb von 30 Tagen aus. Wählt der Kunde nicht, bewahrt der Auftragnehmer betriebliche Metadaten nur als gesetzliche handels- und steuerrechtliche Aufzeichnungen (insbesondere Rechnungen und die sie belegenden Nutzungsdaten) auf und verarbeitet sie nur zu diesem Zweck.

§ 13 Vergütung

1. Für Unterstützung nach §§ 7, 11 oder 12, die über die gesetzlichen Pflichten des Auftragnehmers hinausgeht, kann der Auftragnehmer 200,00 EUR netto pro Stunde berechnen.
2. Kein Entgelt ist geschuldet für Arbeiten, die erforderlich sind, weil der Auftragnehmer selbst gegen Datenschutzrecht verstoßen hat.

§ 14 Sonstige Bestimmungen

14.1 Anwendbares Recht und Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Stuttgart, Deutschland, wenn der Kunde Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist. Der Auftragnehmer kann auch am allgemeinen Gerichtsstand des Kunden klagen.

14.2 Haftung

Die Haftungsklausel der Hauptvereinbarung gilt für die Verarbeitung nach diesem AVV. Die gesetzliche Haftung nach Art. 82 DSGVO bleibt unberührt. Jede Partei trägt die gegen sie nach Art. 83 DSGVO verhängten Geldbußen.

14.3 Verfahren Dritter

Werden Kunden-API-Daten oder beim Auftragnehmer gehaltene Metadaten durch Pfändung, Beschlagnahme, Insolvenz oder vergleichbare Maßnahmen eines Dritten gefährdet, unterrichtet der Auftragnehmer den Kunden unverzüglich und teilt der Behörde mit, dass die Hoheit über die Daten beim Kunden (oder dem jeweiligen Verantwortlichen) liegt.

14.4 Änderungen

Der Auftragnehmer kann diesen AVV aktualisieren, indem er eine neue Fassung unter dieser URL veröffentlicht. Wesentliche Änderungen werden 30 Tage nach Veröffentlichung wirksam, sofern das Gesetz keine kürzere Frist verlangt. Die fortgesetzte Nutzung des Dienstes nach diesem Datum gilt als Annahme. Andere Änderungen bedürfen der Textform.

14.5 Salvatorische Klausel

Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen in Kraft.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck

Der Auftragnehmer empfängt authentifizierte API- oder Playground-Anfragen, führt Inference auf von Nodion gehosteten Modellen durch und gibt die Modellausgabe zurück. Zweck ist die Erbringung dieser Inference, einschließlich Authentifizierung, Routing, Messung und Abrechnung.

Art der Verarbeitung

Empfang, Übermittlung, flüchtige Verarbeitung im Arbeitsspeicher und, soweit eine dateibasierte Anfrage dies erfordert, auf temporärer lokaler Festplatte, die am Ende der Anfrage gelöscht wird, Erzeugung von Ausgaben und Löschung durch Nichtspeicherung. Keine Speicherung von Kunden-API-Daten nach der Anfrage.

Dauer

Kunden-API-Daten: die Dauer der einzelnen Anfrage. Betriebliche Metadaten: die Laufzeit der Hauptvereinbarung, anschließend Rückgabe oder Löschung nach §§ 4 Abs. 3 und 12, zuzüglich einer etwaigen gesetzlichen Aufbewahrungsfrist.

Kunden-API-Daten (bestimmt durch den Kunden)

Alle personenbezogenen Daten in Prompts, Nachrichten, Anweisungen, Dateien, Bildern, Audio, Embedding-Eingaben, strukturierten Nutzlasten und in den erzeugten Ausgaben. Der Auftragnehmer hat keine Kenntnis der konkreten übermittelten Daten.

Betriebliche Metadaten (verarbeitet durch den Auftragnehmer)

Anfragekennung, Zeitstempel, Modellkennung, HTTP-Status, Token- oder Einheitenanzahlen, Latenz, Fehlerklasse, abgerechneter Betrag und Währung, API-Schlüssel-Kennung und Projektkennung.

Kontodaten

Soweit der Kunde ein Nodion-Konto hat, werden Name, geschäftliche Kontaktdaten und Abrechnungsdaten berechtigter Nutzer von Nodion als Verantwortlicher nach der Datenschutzerklärung verarbeitet, nicht nach diesem AVV.

Kategorien betroffener Personen

• Berechtigte Nutzer des Kunden (Beschäftigte, Auftragnehmer, API-Schlüssel-Inhaber);
• Personen, deren personenbezogene Daten der Kunde (oder dessen eigene Kunden) in Kunden-API-Daten aufnimmt, einschließlich Endnutzer, Kunden, Beschäftigte oder sonstige Dritte, die in Eingaben genannt oder in Ausgaben wiedergegeben werden.

Anlage 2 – Technische und organisatorische Maßnahmen

Zuletzt aktualisiert: Oktober 2026

Zuordnung. Nodion betreibt keine eigenen Rechenzentren. Physische Sicherheit, Strom, Kühlung und Netz der Standorte in Anlage 3 werden von diesen Partnern bereitgestellt und durch ihre Zertifizierungen nachgewiesen (insbesondere ISO/IEC 27001). Anwendungskontrollen setzt Nodion um.

Vertraulichkeit

• TLS 1.2 oder höher bei der Übertragung.
• Kunden-API-Daten werden nicht in Object Storage, Sicherungen oder das Anfrageprotokoll geschrieben. Das Anfrageprotokoll speichert nur betriebliche Metadaten (Anlage 1). Temporäre lokale Dateien für dateibasierte Inference (OCR, Sprache) bestehen nur für die Anfrage und werden danach gelöscht.
• Produktionszugang nur über persönliche Konten mit verpflichtender Zwei-Faktor-Authentifizierung; SSH nur per Schlüssel; rollenbasierter Zugang, Least Privilege; Konten bei Ausscheiden widerrufen.
• Administrativer Zugang wird protokolliert und 90 Tage aufbewahrt.
• Inference-Workloads für gehostete Modelle laufen auf dedizierten GPU-Hosts, die nicht mit Kunden-Application-VMs geteilt werden.

Integrität

• Sicherheitsrelevante Aktionen werden mit Zeitstempel und Akteur protokolliert.
• HTTPS und signierte API-Token für die Inference-API.

Verfügbarkeit

• Überwachung und Alarmierung für Verfügbarkeit, Kapazität und Sicherheitsereignisse.
• Da Kunden-API-Daten nicht gespeichert werden, gibt es kein Backup oder Restore von Prompts oder Ausgaben.

Überprüfung

• Interne Schwachstellenscans, Code-Review und bei Bedarf externe Penetrationstests.
• Vertraulichkeitsverpflichtungen der Beschäftigten und Datenschutzschulungen.
• Dokumentierter Vorfallsprozess; Kundenbenachrichtigung innerhalb von 48 Stunden nach Kenntniserlangung.
• Schriftliche Auftragsverarbeitungsverträge mit den Unterauftragsverarbeitern in Anlage 3.

Anlage 3 – Unterauftragsverarbeiter

Die folgenden Auftragsverarbeiter werden für die von Nodion gehostete Inference eingesetzt. Regionsspezifische GPU-Hosts werden nur für die Modelle genutzt, die dort tatsächlich laufen. Änderungen folgen § 10.

Unterauftragsverarbeiter	Zweck	Standort
Leaseweb Deutschland GmbH Kleyerstraße 79, 60326 Frankfurt am Main, Deutschland	Server- und Netzwerkinfrastruktur für die Inference-API, Authentifizierung und betriebliche Metadaten. GPU-Hosts in Deutschland, soweit ein gehostetes Modell dort läuft. Kein beabsichtigter Zugriff auf Kunden-API-Daten über das Hosten der von Nodion betriebenen Systeme hinaus.	EU (DE)
Leaseweb Netherlands B.V. Hessenbergweg 95, 1101 CX Amsterdam, Niederlande	GPU-Hosting für von Nodion betriebene Modelle in den Niederlanden. Verarbeitung von Kunden-API-Daten nur im flüchtigen Speicher auf diesen Hosts, unter Betrieb durch Nodion. Kein beabsichtigter Zugriff auf Anfrageinhalte durch den Unterauftragsverarbeiter.	EU (NL)
Hetzner Online GmbH Industriestraße 25, 91710 Gunzenhausen, Deutschland	GPU-Hosting für von Nodion betriebene Modelle in Deutschland und Finnland. Verarbeitung von Kunden-API-Daten nur im flüchtigen Speicher auf diesen Hosts, unter Betrieb durch Nodion. Kein beabsichtigter Zugriff auf Anfrageinhalte durch den Unterauftragsverarbeiter.	EU (DE/FI)
Hetzner Finland Oy Huurrekuja 10, 04360 Tuusula, Finnland	Weiterer Auftragsverarbeiter der Hetzner Online GmbH für finnische GPU-Standorte (Gebäude und technische Unterstützung). Kein beabsichtigter Zugriff auf Anfrageinhalte über diese Facility-Rolle hinaus.	EU (FI)
UpCloud Oy Aleksanterinkatu 15 B, 00100 Helsinki, Finnland	GPU-Hosting für von Nodion betriebene Modelle in Finnland. Verarbeitung von Kunden-API-Daten nur im flüchtigen Speicher auf diesen Hosts, unter Betrieb durch Nodion. Kein beabsichtigter Zugriff auf Anfrageinhalte durch den Unterauftragsverarbeiter.	EU (FI)
Verda Cloud Oy Töölönlahdenkatu 2, 00100 Helsinki, Finnland	GPU-Hosting für von Nodion betriebene Modelle. Verarbeitung von Kunden-API-Daten nur im flüchtigen Speicher auf diesen Hosts, unter Betrieb durch Nodion. Kein beabsichtigter Zugriff auf Anfrageinhalte durch den Unterauftragsverarbeiter.	EU (FI)

Drittlandübermittlung: keine. Übermittlungsmechanismus: nicht anwendbar: die Daten verbleiben in der EU/im EWR.

Kontakt

Nodion GmbH, Königstraße 27, 70173 Stuttgart, Deutschland
privacy@nodion.com