Hinweis zur Sprache: Maßgeblich ist die deutsche Fassung.

Auftragsverarbeitungsvertrag Explicio Grid

Stand: 11.09.2026

zwischen dem Kunden des Produkts „Explicio Grid“ (nachfolgend „Auftraggeber“) und der TACP Operations GmbH & Co. KG, Paderborner Str. 168, 32760 Detmold (nachfolgend „Explicio“ oder „Auftragsverarbeiter“; Explicio® ist die eingetragene Unionsmarke, EUTM 019364127) — siehe Impressum.

Dieser Vertrag wird in der Developer Console angenommen. Der Vertragstext ist vor der Annahme abzurufen; Abruf und Annahme werden mit Fassung, Prüfsumme, Zeitpunkt, Konto und IP-Adresse unveränderlich protokolliert. Eine neue Fassung setzt die erneute Annahme voraus, bevor ein Zugangsschlüssel aktiv bleibt oder ein weiterer Auftrag angenommen wird.

1. Gegenstand, Verhältnis zum Hauptvertrag, Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers bei der Nutzung von Explicio Grid (Stapelverarbeitung von Rechenaufträgen, Version 1: Berechnung von Einbettungsvektoren) nach Art. 28 DSGVO.

1.2 Hauptvertrag sind die Nutzungsbedingungen Explicio Grid in Verbindung mit den Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es die Verarbeitung personenbezogener Daten betrifft.

1.3 Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf; die Pflichten aus Ziffer 7 (Löschung) und Ziffer 8 (Nachweise) wirken nach. Kündigt eine Partei den Hauptvertrag außerordentlich, endet auch dieser Vertrag; eine isolierte Kündigung dieses Vertrags ist nicht möglich, weil ohne ihn keine Leistung erbracht wird.

2. Art und Zweck der Verarbeitung

Stapelweise Ausführung von Rechenaufträgen auf den von Explicio bereitgestellten Rechenkapazitäten. Die Inhalte der Aufträge bestimmt allein der Auftraggeber; Explicio verarbeitet sie ausschließlich weisungsgebunden zur Erbringung der Leistung. Eine Nutzung der Auftragsinhalte für eigene Zwecke, insbesondere zum Training oder zur Verbesserung von Modellen, findet nicht statt.

3. Art der Daten, betroffene Personen, ausgeschlossene Daten

3.1 Art der Daten: die vom Auftraggeber übermittelten Auftragsinhalte (Texte in den Auftragsdateien), die daraus erzeugten Ergebnisse (Einbettungsvektoren) und die zugehörigen Metadaten (Auftrags-, Datei- und Abrechnungsdaten); daneben die Kontodaten des Auftraggebers in der Developer Console (E-Mail-Adresse, Anmeldelinks, Zwei-Faktor-Einrichtung, Schlüssel-Metadaten, IP-Adressen).

3.2 Kategorien betroffener Personen: die vom Auftraggeber bestimmten; Explicio kennt sie nicht und prüft die Inhalte nicht.

3.3 Ausgeschlossen sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO). Der Auftraggeber verpflichtet sich, solche Daten nicht einzustellen. Stellt Explicio fest oder wird ihr mitgeteilt, dass entgegen Satz 2 solche Daten eingestellt wurden, darf sie die betroffenen Aufträge anhalten und die Dateien nach Information des Auftraggebers löschen; der Auftraggeber stellt Explicio von Ansprüchen Dritter und Bußgeldern frei, die auf dem Verstoß beruhen, es sei denn, er hat ihn nicht zu vertreten. Die Pflichten von Explicio aus Ziffer 5 bleiben auch für solche Daten bestehen, solange sie sich in ihrem Zugriff befinden.

4. Technische Tatsachen der Ausführung

Die folgenden Eigenschaften der Ausführung sind Bestandteil dieses Vertrags, weil sie zutreffen; der Auftraggeber nimmt sie mit der Annahme zur Kenntnis.

4.1 Die Ausführung erfolgt ohne vertrauliche Ausführungsumgebung (Confidential Computing). Eine attestierte vertrauliche Ausführung wird weder zugesichert noch beworben, solange sie nicht im Produktivbetrieb nachweisbar läuft.

4.2 Aufträge laufen auf von Explicio betriebener Hardware oder — nur bei ausdrücklicher Freigabe des jeweiligen Box-Betreibers — auf Rechen-Hardware, die bei anderen Kunden von Explicio betrieben wird. Der Auftraggeber kann die Ausführung auf solcher Hardware für sein Konto ausschließen; Explicio richtet den Ausschluss auf Anforderung in Textform ein. Auf einer solchen Box ist die Verarbeitung für deren Betreiber technisch einsehbar. Der Betreiber ist Explicio gegenüber vertraglich verpflichtet, Fremdlast nicht einzusehen, nicht zu kopieren und nicht auszuwerten; Explicio kann diese Verpflichtung technisch nicht erzwingen und sagt eine Erzwingung nicht zu.

4.3 Auftragsinhalte werden nicht pseudonymisiert. Einbettungsvektoren sind keine Anonymisierung der Eingabe.

4.4 Regionale Bindung: Ein am Zugangsschlüssel gesetzter Regions-Constraint wird ohne Ausweichen durchgesetzt; passt keine Kapazität, wartet der Auftrag, statt die Region zu verlassen, und läuft gegebenenfalls ab. Ohne Constraint kann die Ausführung in jedem Land erfolgen, in dem Explicio Kapazität betreibt oder freigegebene Kunden-Boxen stehen; Explicio weist die möglichen Regionen in der Developer Console aus.

4.5 Für die Ausführung werden die Auftragsinhalte **nicht an Modell-Anbieter oder andere Dienstleister in Drittländern übermittelt**; das Modell läuft auf von Explicio bzw. dem Box-Betreiber betriebener Hardware.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

5.1 Explicio trifft die in der Anlage „Technische und organisatorische Maßnahmen“ beschriebenen Maßnahmen. Die Anlage ist Bestandteil dieses Vertrags; sie wird dem Auftraggeber in der Developer Console zusammen mit diesem Vertrag zum Abruf bereitgestellt und ist unter https://explicio.cloud/tom-anlage einsehbar. Für Explicio Grid gelten insbesondere: verschlüsselte Übertragung; gerätegebundene Authentisierung der ausführenden Rechenkapazität (Gerätezertifikat mit Schlüssel im Sicherheitsmodul); Prüfsummen-Bindung jedes Auftrags zwischen Anmeldung, Inhalt und Ergebnis; mandantengetrennte Ablage mit Zeilenzugriffsschutz in der Datenbank; Aufbewahrung der Ergebnisse nur für den vereinbarten Zeitraum.

5.2 Explicio darf die Maßnahmen anpassen, soweit das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in der TOM-Anlage veröffentlicht.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt die Hinzuziehung folgender Kategorien von Unterauftragsverarbeitern: (a) Betreiber von Rechenzentren, Server- und Speicher-Infrastruktur für den Betrieb von Explicio Grid, (b) Anbieter für den Versand von System-E-Mails an den Auftraggeber, (c) Anbieter für die Abwicklung von Abrechnung und Zahlung, (d) Kunden von Explicio, die eine Explicio Box betreiben und diese nach Ziffer 4.2 für Fremdlast freigeschaltet haben. Das Verzeichnis der aktuell eingesetzten Unterauftragsverarbeiter ist unter explicio.cloud/unterauftragsverarbeiter einsehbar.

6.2 Explicio informiert den Auftraggeber über jede geplante Änderung im Verzeichnis der Unterauftragsverarbeiter spätestens 4 Wochen vor dem Wirksamwerden in der Developer Console und per E-Mail. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht der Auftraggeber und wird keine Abhilfe geschaffen, können beide Parteien diesen Vertrag und den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

6.3 Explicio verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das den Pflichten dieses Vertrags entspricht, und bleibt dem Auftraggeber gegenüber verantwortlich. Kunden von Explicio, auf deren Boxen Aufträge nach Ziffer 4.2 laufen, sind im Auftragsverarbeitungsvertrag für Explicio Cloud und Explicio Box auf Vertraulichkeit, auf den Verzicht auf Kenntnisnahme, Speicherung, Vervielfältigung, Auswertung und Weitergabe fremder Auftragsdaten sowie auf die physische Sicherung des Geräts verpflichtet; diese Pflichten entsprechen den nach Art. 28 Abs. 4 DSGVO gebotenen, soweit sie für die Rolle des Box-Betreibers einschlägig sind. Eine technische Erzwingung dieser Pflichten sagt Explicio nicht zu (Ziffer 4.2).

7. Löschung von Daten und Ergebnissen

7.1 Auftragsdateien, Zwischenergebnisse und Ergebnisse werden nach Ablauf der für den jeweiligen Auftrag angegebenen Aufbewahrungsfrist (1 bis 90 Tage; ohne Angabe gilt die für das Konto hinterlegte Voreinstellung von 30 Tagen) automatisch gelöscht. Die Aufbewahrungsfrist wird je Auftrag über das Feld `metadata.retention_days` bestimmt. Auf Rechen-Hardware, die bei anderen Kunden von Explicio betrieben wird, werden die Auftragsdaten gelöscht, sobald das Ergebnis zurückgemeldet und verbucht ist, spätestens jedoch eine Stunde nach Abschluss oder Abbruch des Auftragsteils. Für den Fall einer Störung besteht eine zusätzliche, spätestens nach sieben Tagen greifende Löschung.

7.2 Bei Beendigung des Hauptvertrags werden alle noch gespeicherten Aufträge, Dateien und Ergebnisse des Auftraggebers nach Ablauf ihrer jeweiligen Aufbewahrungsfrist gelöscht. Eine vorzeitige Löschung kann der Auftraggeber über die Schnittstelle mit seinem Zugangsschlüssel auslösen (`DELETE /v1/files/{id}`). Ausgenommen sind Abrechnungs- und Logdaten, soweit deren Aufbewahrung gesetzlich vorgeschrieben ist (§ 257 HGB, § 147 AO) oder zur Nachweisführung nach Art. 7 Abs. 1 DSGVO erforderlich ist.

7.3 Eine Rückgabe von Datenträgern findet nicht statt; alle Daten werden ausschließlich auf elektronischem Weg bereitgestellt und gelöscht. Explicio bestätigt die Löschung auf Verlangen in Textform.

8. Weisungen, Unterstützung und Nachweise

8.1 Weisungen des Auftraggebers erfolgen über die Developer Console (Auswahl der Parameter, Schlüssel-Constraints, Aufbewahrungsfrist, Löschanträge) oder in Textform. Hält Explicio eine Weisung für rechtswidrig, weist sie den Auftraggeber unverzüglich darauf hin und kann die Ausführung aussetzen.

8.2 Explicio unterstützt den Auftraggeber bei der Wahrung von Betroffenenrechten (Art. 12–22 DSGVO), beim Nachweis der Sicherheit (Art. 32 DSGVO) und bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), soweit die Unterstützung für die von Explicio Grid betroffene Verarbeitung erforderlich ist und den Aufwand angemessen berücksichtigt.

8.3 Explicio meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die dessen Aufträge betrifft, unverzüglich nach Kenntnisnahme und nach einer ersten belastbaren Bewertung, per E-Mail an die im Konto hinterlegte Adresse und durch Hinweis in der Developer Console. Die Meldung enthält die zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO; weitere Informationen werden ohne unangemessene Verzögerung nachgereicht.

8.4 Explicio stellt dem Auftraggeber auf Verlangen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit, insbesondere die Anlage „Technische und organisatorische Maßnahmen“ und die Übersicht der Unterauftragsverarbeiter. Reichen diese Nachweise nicht aus, kann der Auftraggeber höchstens einmal je Kalenderjahr, bei einer festgestellten Verletzung des Schutzes personenbezogener Daten auch anlassbezogen, eine Prüfung vor Ort verlangen. Sie ist mit einer Frist von sechs Wochen in Textform anzukündigen, findet während der üblichen Geschäftszeiten ohne Störung des Betriebs statt, beschränkt sich auf die den Auftraggeber betreffenden Verarbeitungen und erstreckt sich nicht auf Daten anderer Kunden, auf Quellcode oder auf sicherheitsrelevante Konfigurationen. Prüfer sind vorher zur Verschwiegenheit zu verpflichten und dürfen keine Wettbewerber von Explicio sein. Die Kosten einschließlich des Aufwands von Explicio trägt der Auftraggeber, sofern die Prüfung keine wesentlichen Verstöße ergibt.

8.5 Datenschutzanfragen richtet der Auftraggeber an info@explicio.com. Sobald Explicio einen Datenschutzbeauftragten bestellt, werden dessen Kontaktdaten in der Datenschutzerklärung veröffentlicht.

9. Rollen nach der KI-Verordnung

9.1 Explicio ist Anbieterin des KI-Systems „Explicio Grid“ und nachgelagerte Anbieterin des integrierten Einbettungsmodells; der Auftraggeber ist Betreiber. Explicio Grid ist nicht für Hochrisiko-Zwecke nach Anhang III der Verordnung (EU) 2024/1689 bestimmt; eine solche Verwendung setzt eine schriftliche Vereinbarung nach Art. 25 Abs. 4 voraus (Ziffern 4 und 5 der Nutzungsbedingungen Explicio Grid). Verändert der Auftraggeber die Zweckbestimmung, wird er selbst Anbieter des entstehenden Systems.

9.2 Die Verantwortung für die datenschutzrechtliche Zulässigkeit der Verwendung von Einbettungsvektoren in Systemen des Auftraggebers (einschließlich Profiling und automatisierter Entscheidungen nach Art. 22 DSGVO) liegt beim Auftraggeber.

10. Haftung

10.1 Die Haftung nach Art. 82 DSGVO richtet sich nach dem Gesetz. Eine Verschiebung der Explicio als Auftragsverarbeiter treffenden Pflichten aus Art. 28 und Art. 32 DSGVO auf den Auftraggeber findet nicht statt.

10.2 Der Auftraggeber verantwortet die Rechtmäßigkeit der von ihm übermittelten Daten und die Einhaltung der Ziffer 3.3.

10.3 Die in Ziffer 4 offen benannten Eigenschaften der Ausführung sind Teil der vereinbarten Leistung und des vereinbarten Schutzniveaus; der Auftraggeber hat sie bei der Auswahl des Dienstes und der Gestaltung seiner Aufträge (insbesondere Regions-Constraint sowie ein nach Ziffer 4.2 eingerichteter Ausschluss fremder Boxen) zu berücksichtigen. Ein Schaden, der allein daraus folgt, dass der Auftraggeber diese Eigenschaften trotz Kenntnis nicht berücksichtigt hat, ist ihm nach § 254 BGB zuzurechnen. Die Pflichten von Explicio nach Ziffer 10.1 und die Haftung nach Ziffer 8 der AGB bleiben unberührt.

10.4 Im Übrigen gilt die Haftungsregelung des Hauptvertrags (Ziffer 8 der AGB).

11. Schlussbestimmungen

11.1 Änderungen dieses Vertrags werden als neue Fassung in der Developer Console veröffentlicht und setzen die erneute Annahme voraus; Ziffer 10 der AGB gilt entsprechend. Ohne Annahme werden keine neuen Aufträge angenommen; laufende Aufträge werden abgeschlossen.

11.2 Anwendbares Recht und Gerichtsstand richten sich nach Ziffer 11 der AGB. Die Vorschriften der DSGVO gehen vor.