Borek Trust Center

Vorrangig innerhalb der EU. Boreks zentrale Infrastrukturpartner – Microsoft Azure (einschließlich Azure OpenAI) und Google Cloud – sind so konfiguriert, dass sie Daten in der EU-Region verarbeiten. Nutzt ein Projekt eine dedizierte Kundenumgebung, wird diese Konfiguration pro Auftrag dokumentiert und bestätigt.

Nicht standardmäßig. In Standard-Projektkonfigurationen werden Daten innerhalb der EU verarbeitet. Jede Ausnahme erfordert gemäß DPA ein dokumentiertes Transfer Impact Assessment und Standardvertragsklauseln – kein stillschweigender Standard, sondern eine bewusste, vertraglich geregelte Ausnahme.

Nein. Personenbezogene Daten von Kunden werden niemals zum Trainieren, Verbessern oder Entwickeln von Basismodellen, LLMs oder anderen KI-Modellen mit allgemeinem Verwendungszweck genutzt – es sei denn, der Kunde weist Borek ausdrücklich schriftlich dazu an. Dies gilt unabhängig davon, welcher KI-Unterauftragsverarbeiter eingesetzt wird.

Personenbezogene Daten werden auf das für den festgelegten Zweck Erforderliche minimiert und nach Ablauf der festgelegten Aufbewahrungsfrist sicher gelöscht oder anonymisiert. Weisungen und Verarbeitungsnachweise werden für die Laufzeit der Vereinbarung plus 3 Jahre aufbewahrt.

Borek verarbeitet personenbezogene Daten als Auftragsverarbeiter nach Art. 28 DSGVO; die Kunden sind Verantwortliche. Konkret:

• Jeder Auftrag ist durch einen Auftragsverarbeitungsvertrag (DPA) abgedeckt, der für jede grenzüberschreitende Übermittlung Standardvertragsklauseln (SCC) einbindet.
• Ein Rechtsgutachten unserer Legal Advisors bestätigt, dass das Datenschutzrecht an unserem Leistungsstandort mit der DSGVO im Einklang steht.
• Borek hat einen benannten Datenschutzbeauftragten und dokumentierte technische und organisatorische Maßnahmen in den Bereichen Zugriffskontrolle, Verschlüsselung, Meldung von Datenschutzverletzungen und mehr (siehe Kontrollen).
• Unterauftragsverarbeiter sind an gleichwertige Datenschutzpflichten gebunden; über jede Änderung wird vorab informiert.

Nein, und wir beschreiben sie nebeneinander, statt sie gleichzusetzen. Borek Solutions verfügt über ein TISAX®-Assessment (Scope SV4P7M, ENX), das auf dem aus ISO 27001 abgeleiteten VDA-ISA-Kontrollkatalog basiert, ergänzt um Anforderungen aus der Automobilbranche und der DSGVO. Borek IT Sourcing in Indien hält ein ISO/IEC-27001:2022-Zertifikat des TÜV SÜD. Die Gruppe wendet in allen Gesellschaften eine an ISO 27001 ausgerichtete Praxis an.

Unser Datenschutzbeauftragter ist unter dpo@boreksolutions.de erreichbar.

Nein. Ob Borek in Ihr Team eingebunden ist oder eigenständig ein Produkt entwickelt: Es gelten dieselben Zusagen zu Datenschutz, Vertraulichkeit und Sicherheit – DPA, TOM und NDA. Intern regelt eine Richtlinie zur verantwortungsvollen KI-Nutzung (Responsible Use of AI) zulässige und verbotene KI-Nutzung, Stufen der Informationsklassifizierung, die Meldung von Vorfällen und verpflichtende Mitarbeiterschulungen.

Microsoft Azure (einschließlich Azure OpenAI Services) für Cloud-Hosting, Infrastruktur und KI-Services sowie Google Cloud Vision API für Bilderkennung und OCR – beide ausschließlich in der EU-Region. Kunden werden vorab über jeden neuen oder ersetzten Unterauftragsverarbeiter informiert und haben eine Widerspruchsfrist von 14 Tagen.

Es gelten dokumentierte Verfahren zur Erkennung, Reaktion und Eskalation von Sicherheitsvorfällen. Sie werden unverzüglich benachrichtigt, einschließlich der Art des Vorfalls, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen. Dokumentierte Fakten, Auswirkungen und Abhilfemaßnahmen sind auf Anfrage verfügbar.

Ja – Auskunftsersuchen, Prüfung der Dokumentation und, wo erforderlich, Vor-Ort-Inspektionen, mit angemessener Vorankündigung und während der üblichen Geschäftszeiten, in der Regel höchstens einmal pro Jahr, sofern keine dokumentierte Dringlichkeit vorliegt.

Ein MSA regelt die Geschäftsbeziehung, jedes Projekt läuft unter einem eigenen SOW, ein DPA setzt Art. 28 DSGVO um, und ab dem ersten Kontakt gilt ein gegenseitiges NDA. Ihnen gehören die für Sie entwickelten, bezahlten Arbeitsergebnisse; Borek behält Background-IP – wiederverwendbare Frameworks, Methoden und KI-Komponenten, die unabhängig entwickelt wurden –, ohne Ihre Nutzung dessen einzuschränken, wofür Sie bezahlt haben.

Zertifikate und die DSGVO-Stellungnahme der Legal Advisors sind unter Ressourcen öffentlich verfügbar. Der DPA mit TOM-Anlage, die SCC und die NDA-Vorlage werden auf Anfrage über dpo@boreksolutions.de an namentlich benannte Ansprechpersonen freigegeben.