Sicherheit und Datenschutz bei TensorFive

Hier finden Sie die Belege dazu, wo Ihre Daten liegen, wer sie verarbeitet und welche Regeln dafür gelten.

Stand: Herausgeber: TensorFive GmbH, Mainz

Kurz: Ihre Daten liegen standardmäßig in Mainz, in einem nach ISO 27001 und BSI C5 zertifizierten Rechenzentrum. TensorFive nutzt Kundendaten nicht zu eigenen Zwecken: kein Training, kein Profiling, keine Werbung. Mit jedem Kunden besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ergänzt um ein KI-Addendum und eine Übersicht der technischen und organisatorischen Maßnahmen. TensorFive selbst ist nach ISO 9001 zertifiziert, die Zertifizierung nach ISO 27001 ist in Vorbereitung.

Wo Ihre Daten liegen

Trust Center

Sechs Schichten um Ihre Daten.

IhreDaten
  1. VerschlüsselungDurchgehend TLS-verschlüsselt, auch im Rechenzentrum; gespeicherte Daten und Backups verschlüsselt
  2. ZugriffZwei-Faktor-Anmeldung, Zugriff nur bei Bedarf, Zugriffe protokolliert
  3. ModelleInhalte standardmäßig mit selbst betriebenen Modellen verarbeitet, kein Training mit Ihren Daten
  4. Rechenzentrum MainzSynaforce, nach ISO 27001 und BSI C5 zertifiziert
  5. OrganisationTensorFive nach ISO 9001 zertifiziert, ISO 27001 in Vorbereitung; Audits und Penetrationstests
  6. VerträgeAuftragsverarbeitung nach Art. 28 DSGVO mit KI-Addendum; Unterauftragnehmer nur mit Zustimmung

Um Ihre Daten liegen sechs Schutzschichten, von der Verschlüsselung bis zum Vertrag, und jede Schicht hat ihre Nachweise.

Die Serverinfrastruktur von TensorFive steht in Mainz, in einem nach ISO 27001 und BSI C5 zertifizierten Rechenzentrum der Synaforce GmbH. Dort laufen auch die Sprachmodelle. Standardmäßig verarbeitet T5.Knowledge Inhalte mit selbst betriebenen Modellen im TensorFive-Rechenzentrum in Mainz; nur wenn Lastspitzen die Kapazität dort übersteigen, übernimmt vorübergehend STACKIT Model Serving, ein im Auftragsverarbeitungsvertrag genannter Unterauftragnehmer. Auch für Ausfallsicherheit können vorübergehend Server von Unterauftragnehmern hinzukommen. Ihre Dokumente werden nicht an einen Modellanbieter im Ausland geschickt, um eine Antwort zu erzeugen.

Wenn Ihre Daten Ihr Haus nicht verlassen sollen, ist auch ein Betrieb On-Premise in Ihrer eigenen Infrastruktur möglich.

Datenweg

Von Ihren Systemen nach Mainz und zurück.

SharePointDateiablagenUploads per APIIhre QuellsystemeTLS-verschlüsseltRechenzentrum Mainzverschlüsselt gespeichertISO 27001BSI C5Modelle selbst betriebenQuelle: DokumentIhre KI-AnwendungUNTERAUFTRAGNEHMER UND IHRE ROLLE LAUT AVVSynaforceColocation in MainzSTACKITKI-Modelle bei Lastspitzen, KubernetesHetznerServer für LastspitzenCloudflareDNS, DDoS-SchutzMicrosoftGitHub, Microsoft 365ALL-INKLDomains

Standardmäßig verarbeitet T5.Knowledge Inhalte mit selbst betriebenen Modellen in Mainz; STACKIT springt nur bei Lastspitzen ein. Die Rollen der Unterauftragnehmer stehen so im Auftragsverarbeitungsvertrag; weitere nur mit Zustimmung des Kunden.

Ihre Daten fließen verschlüsselt ins Rechenzentrum nach Mainz, liegen dort verschlüsselt, werden mit selbst betriebenen Modellen verarbeitet und kommen als Antwort zurück.

Was mit Ihren Daten nicht passiert

Standardmäßig verarbeitet T5.Knowledge Inhalte mit selbst betriebenen Modellen im TensorFive-Rechenzentrum in Mainz; nur wenn Lastspitzen die Kapazität dort übersteigen, übernimmt vorübergehend STACKIT Model Serving, ein im Auftragsverarbeitungsvertrag genannter Unterauftragnehmer. Ihre Dokumente gehen nicht an Betreiber großer Online-Sprachmodelle, sondern bleiben bei TensorFive und den im Auftragsverarbeitungsvertrag genannten Unterauftragnehmern; was dort mit ihnen geschieht, regelt dieser Vertrag.

Ihre Daten bleiben Ihre Daten

Vier Wege nach draußen, alle geschlossen.

Rechenzentrum MainzGrenze Ihrer DatenModell, selbst betriebenIhre KI-AnwendungT5.Chat oder eigene Anwendung per APIAntwort mit QuelleWerbungnieTraining mitIhren DatennieBetreiber großerOnline-SprachmodellenieProfilingnieIhreDaten

Laut Auftragsverarbeitungsvertrag: kein Training, kein Profiling, keine Werbung mit Kundendaten (§ 1 Abs. 4 des Auftragsverarbeitungsvertrags); Embeddings und Einträge der Vektordatenbank gelten als personenbezogene Daten (§ 1 Abs. 2). Standardmäßig verarbeitet T5.Knowledge Inhalte mit selbst betriebenen Modellen in Mainz; STACKIT springt nur bei Lastspitzen ein.

Ihre Daten werden standardmäßig in Mainz mit selbst betriebenen Modellen verarbeitet, Training, Profiling, Werbung und Anfragen an Betreiber großer Online-Sprachmodelle gibt es nicht, und zu Ihnen zurück kommt die Antwort mit Quelle.
  • Kein Training, kein Profiling, keine Werbung

    Kundendaten werden nicht zu eigenen Zwecken genutzt. Das regelt der Auftragsverarbeitungsvertrag.

  • Embeddings sind personenbezogene Daten

    KI-Embeddings und Einträge der Vektordatenbank werden wie personenbezogene Daten behandelt.

  • Besondere Kategorien nur auf Weisung

    Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, verarbeitet TensorFive nur auf ausdrückliche, dokumentierte Weisung.

Rechte und Zugriff

T5.Knowledge schützt Ihre Inhalte mit vier Schichten: API-Schlüssel, Mandant, Projekt und Dokumentrechte. API-Schlüssel sind an Mandant und Projekt gebunden; jeder Zugriff, auch Ändern und Löschen, bleibt im eigenen Mandanten. Dokumente tragen die aus der Quelle übernommenen Rechte, also Nutzer und Microsoft-365-Gruppen. Die Suche zeigt nur Treffer, die der fragende Nutzer sehen darf, und ein Dokument ohne Rechteangabe sieht niemand.

Auf Seiten von TensorFive gilt: Zugriffe auf vertrauliche Daten werden protokolliert und regelmäßig geprüft. Zugriff gibt es nur nach dem Need-to-know-Prinzip, und alle Mitarbeitenden sind zur Vertraulichkeit verpflichtet.

Auftragsverarbeitung

Mit jedem Kunden besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er wird ergänzt um ein KI-Addendum und eine Übersicht der technischen und organisatorischen Maßnahmen. Das KI-Addendum regelt:

  • KI wird nur für die vereinbarten Zwecke eingesetzt.
  • Sie werden vorab über die eingesetzten KI-Systeme informiert.
  • Es gibt Maßnahmen gegen Verzerrungen und eine regelmäßige Überprüfung.
  • Die Verarbeitung ist nachvollziehbar und auditierbar.
  • TensorFive unterstützt Sie bei den Betroffenenrechten nach Art. 15 bis 22 DSGVO.

Die Vorlage des Auftragsverarbeitungsvertrags erhalten Sie auf Anfrage, über datenschutz@tensorfive.com oder die Kontaktseite.

Unterauftragnehmer

TensorFive setzt die folgenden Unterauftragnehmer ein, jeweils mit fester Leistung:

Unterauftragnehmer laut Auftragsverarbeitungsvertrag
UnternehmenLeistung
Microsoft CorporationGitHub für die automatisierte Auslieferung und Verwaltung der Anwendungen, Microsoft 365
STACKIT GmbH & Co. KGBereitstellung von KI-Modellen als Ausweichkapazität bei Lastspitzen, Confidential Kubernetes für besonders schützenswerte Instanzen
Hetzner Online GmbHServerkapazität bei Lastspitzen und für die Ausfallsicherheit, vorübergehend
Cloudflare, Inc.DNS-Dienst und Schutz vor Angriffen wie DDoS
ALL-INKL.COM – Neue Medien MünnichDomainbereitstellung
Synaforce GmbHColocation der Serverinfrastruktur im ISO 27001 und BSI C5 zertifizierten Rechenzentrum in Mainz

Weitere Unterauftragnehmer setzt TensorFive nur mit Zustimmung des Kunden ein.

Technische und organisatorische Maßnahmen

  • Verschlüsselung

    Daten sind bei der Übertragung durchgehend TLS-verschlüsselt, auch zwischen den Diensten im Rechenzentrum, und bei der Speicherung verschlüsselt, auch in Vektordatenbank und Backups. Zugangsdaten zu Quellsystemen werden zusätzlich verschlüsselt gespeichert.

  • Anmeldung und Netz

    Zwei-Faktor-Authentifizierung für Systeme mit vertraulichen Daten; mehrschichtige Netzsicherheit mit Firewalls und der Zero-Trust-Infrastruktur von Cloudflare.

  • Zugriff und Vertraulichkeit

    Zugriffe auf vertrauliche Daten werden protokolliert und regelmäßig geprüft; Zugriff nur nach Need-to-know; alle Mitarbeitenden sind zur Vertraulichkeit verpflichtet.

  • Prüfungen

    Sicherheitsmaßnahmen und Penetrationstests werden regelmäßig durch interne oder externe Audits geprüft.

Löschung

Während der Laufzeit werden Daten auf Weisung berichtigt oder gelöscht. Ein gelöschtes Dokument entfernt T5.Knowledge vollständig: Datensatz, Suchvektoren und Graph-Einträge. Das gilt beim Löschen über die API und für Dokumente, die in der Quelle gelöscht wurden, ab dem nächsten Abgleich.

Nach Vertragsende erhalten Sie einen Export Ihrer Daten. Danach werden die Daten innerhalb von 30 Tagen gelöscht, aus Backups durch Überschreiben innerhalb von 35 Tagen.

Fristen

Vom ersten Tag bis zur Löschung.

VertragsbeginnAuftragsverarbeitungs-vertrag mit KI-AddendumLaufzeitVerarbeitung nur auf Weisung,Löschung auf AnweisungVertragsendeExport Ihrer Datenbis Tag 30Daten gelöschtbis Tag 35Backups überschrieben

Fristen und Regeln laut Auftragsverarbeitungsvertrag.

Vom Vertragsbeginn bis zur Löschung gelten feste Regeln, nach Vertragsende folgen Export, Löschung bis Tag 30 und das Überschreiben der Backups bis Tag 35.

Sicherheitsvorfälle

Für Sicherheitsvorfälle gibt es einen definierten Prozess. Datenschutzverletzungen meldet TensorFive unverzüglich.

  1. Erkennen, eindämmen
  2. Kunden unverzüglich informieren
  3. Aufarbeiten
Ablauf laut Auftragsverarbeitungsvertrag (§ 3 Abs. 5 des Auftragsverarbeitungsvertrags). Kontakt für Datenschutzfragen: datenschutz@tensorfive.com

Zertifizierungen

Zertifizierungen von TensorFive und vom Rechenzentrum im Überblick:

TensorFive GmbH

  • nach ISO 9001 zertifiziert
  • Zertifizierung nach ISO 27001 in Vorbereitung

Rechenzentrum in Mainz (Synaforce)

  • nach ISO 27001 zertifiziert
  • nach BSI C5 zertifiziert

ISO 27001 und BSI C5 sind Zertifizierungen des Rechenzentrums, in dem die Serverinfrastruktur von TensorFive steht. TensorFive selbst bereitet die Zertifizierung nach ISO 27001 vor.

DSK-Orientierungshilfe zu RAG

Die Datenschutzkonferenz hat im Oktober 2025 eine Orientierungshilfe zu KI-Systemen mit RAG-Methode veröffentlicht. Wir haben ihre Empfehlungen Punkt für Punkt mit T5.Knowledge abgeglichen: 19 Punkte, davon 9 bei TensorFive, 7 gemeinsam mit dem Kunden und 3 beim Kunden.

Zum DSK-Abgleich RAG

Kontakt

Für Fragen zum Datenschutz erreichen Sie uns unter datenschutz@tensorfive.com.

Kunden können die Einhaltung der vereinbarten Maßnahmen prüfen, auch durch Inspektionen nach Anmeldung.