Skip to main content

Governing Language & Statutory Consumer Rights Notice

This translation is provided for convenience. To the maximum extent permitted by applicable law, the authoritative English version governs in the event of any discrepancy, without prejudice to any mandatory statutory consumer rights that cannot be waived under the laws of your habitual residence.

Read Authoritative English Version (https://bf16.ai/legal/dpa?hl=en)

Auftragsverarbeitungsvertrag (DPA)

Auftragsverarbeitungsbedingungen nach Art. 28 UK GDPR & EU-DSGVO sowie UK IDTA und EU-SCCs für transiente Inferenz auf bf16.ai

Hinweis zur maßgeblichen Sprachfassung: Diese deutsche Übersetzung dient ausschließlich der Lesbarkeit. Soweit gesetzlich zulässig, ist bei Abweichungen die rechtsverbindliche englische Fassung (https://bf16.ai/legal/dpa?hl=en) maßgeblich.

Datum des Inkrafttretens: 12. November 2026 · Auftragsverarbeiter: MAGICFORGE LTD (England und Wales · Company No. 16211132) · Eingetragener Firmensitz: 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom

1. Geltungsbereich, Parteien & Rechtsrahmen

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden („Verantwortlicher“) und der MAGICFORGE LTD (registriert in England und Wales unter Company No. 16211132, Firmensitz: 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom; „Auftragsverarbeiter“, Betreiberin von bf16.ai). Er regelt die flüchtige Verarbeitung personenbezogener Daten in API-, Playground- und Remote-MCP-Inferenzanfragen gemäß Artikel 28 UK GDPR, dem UK Data Protection Act 2018 sowie Artikel 28 EU-DSGVO.

2. Art, Zweck & Null-Persistenz-Architektur

  1. Gegenstand & Dauer: Echtzeit-Routing, Protokollübersetzung (/v1/chat/completions, /v1/messages, /v1/responses, POST /mcp) und SSE-Streaming von Open-Weight-Sprach- und Vision-Modellen ausschließlich auf dokumentierte API-Weisung des Verantwortlichen während der Vertragslaufzeit.
  2. Keine Speicherung auf Datenträgern: Die MAGICFORGE LTD verarbeitet Prompt- und Antwortpuffer ausschließlich im flüchtigen Arbeitsspeicher (RAM), schreibt Inferenzinhalte niemals auf Festplatten, in Datenbanken oder Logs und verwirft die Speicherpuffer unmittelbar mit Abschluss des HTTP-Streams oder Schließen der Verbindung.

3. Technische & Organisatorische Sicherheitsmaßnahmen (TOMs)

Der Auftragsverarbeiter gewährleistet TLS 1.3-Transportverschlüsselung, AES-256-GCM-Verschlüsselung für Upstream-Zugangsdaten, SHA-256- / HMAC-SHA256-API-Schlüssel-Hashing, strikte SSRF-Egress-Prüfung, automatische Log-Schwärzung ohne Prompts, rollenbasierte Minimalrechte und sofortigen Stream-Abbruch bei Schlüsselwiderruf.

4. Autorisierte Unterauftragsverarbeiter & Drittlandtransfers (uk_idta_scc)

Der Verantwortliche erteilt die allgemeine Genehmigung, flüchtige Inferenzanfragen ausschließlich an verifizierte Compute-Unterauftragsverarbeiter weiterzuleiten, die das Compliance-Gate (commercial_resale_permitted = true && zdr_no_training_verified = true) erfüllen und unter /models/$slug offengelegt sind. Drittlandtransfers außerhalb des Vereinigten Königreichs oder des EWR schließen automatisch die EU-Standardvertragsklauseln (Beschluss (EU) 2021/914, Modul 2 und Modul 3) sowie das UK International Data Transfer Agreement (IDTA) / UK Addendum (uk_idta_scc) des britischen ICO ein.

5. Meldung von Datenschutzverletzungen, Löschung & Kontakt

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich (spätestens binnen 72 Stunden) nach Bekanntwerden einer bestätigten Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit flüchtigem Kunden-Traffic, unterstützt bei Datenschutz-Folgenabschätzungen und löscht verbleibende Betriebsmetadaten bei Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht nach britischem Recht besteht. Kontakt für Enterprise-DPAs: privacy@bf16.ai · legal@bf16.ai.