Gcore

MSA nennt das Data Processing Agreement als 'integral and essential part' des Vertrags; Drittlandtransfers über EU-Standardvertragsklauseln (MSA Ziffer 9.5.3). DPA-Volltext liegt in einem Tab des Legal-Portals, als Einzeldokument nicht direkt verlinkbar

Öffentliche Liste 'List of Personal Data subprocessors' (G-Core Labs S.A., Date: 25 November 2025), verlinkt im DPA 10.1 (Tab 'Data Processing Agreement', Stand 17.06.2026: 'The current list of subprocessors is available at link'; Linkziel nur im Browser sichtbar, am 09.10.2026 gelesen). Gilt allgemein für Gcore als Processor, nicht eigens fürs Inference-Produkt: 'The exact list of subprocessors that process the Personal Data of an individual Customer will depend on which specific Gcore services the Customer chooses to use.' 13 Einträge: 10 Gcore-Gesellschaften (Deutschland, Luxemburg, Litauen, Polen, Zypern, USA, Serbien, Philippinen, Georgien, Usbekistan), dazu Microsoft Ireland (Microsoft 365), Zendesk Inc (USA, Ticketing), HubSpot Ireland (CRM). Änderungen laut DPA 10.1 mit 15 Tagen Vorankündigung und Widerspruchsrecht. Die Liste ist älter als der DPA; ob sie noch vollständig ist, ungeklärt. Rohkopie belege/anbieter/gcore/ (SHA-256 ee96b623…), Archivkopie web.archive.org/web/20261009104129/https://assets.gcore.pro/site/legal/Gcore_List_of_subprocessors_25_11__2025.pdf

Kein ausdrücklicher Trainingsausschluss, auch nicht in der Inference-Doku (docs.gcore.com, 04.10.2026). Der MSA bindet nur den Zweck: Lizenz an Customer Content 'solely for the purposes of this Agreement' (Ziffer 7.2), Nutzung von Customer Data 'solely on behalf of Customer, except where Gcore acts as an independent data controller' (Ziffer 8.3). Die Modellseiten ('Your data and model interactions never leave our secure infrastructure') betreffen den Ort, nicht das Training. Archivkopie: web.archive.org/web/20261004055218/https://gcore.com/legal

Keine ZDR-Zusage, auch nicht in der Inference-Doku (docs.gcore.com, 04.10.2026; der Logs-Tab zeigt Pod-Ausgaben, eine Aufbewahrungsfrist steht nirgends). MSA Ziffer 16.3 regelt nur die Löschung nach Vertragsende, zuerst nach der Leistungsbeschreibung: 'The 48-hour period shall apply only where no such specification exists.'

Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚ISO 27001:2022‘ und bietet ein ‚ISO 27001:2022 certificate‘ an, aber nur nach Zugangsanfrage (Request access; am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Damit beansprucht Gcore die Version 2022; Zertifizierungsstelle, Nummer, Scope und Laufzeit sind öffentlich nicht einsehbar. Widerspruch: gcore.com/infrastructure sagt am 09.10.2026 weiterhin ‚ISO/IEC 27001:2013 certified and compliant with PCI DCC and […]‘ (Wayback 20261008014212); nach IAF MD 26:2023 sind Zertifikate nach ISO/IEC 27001:2013 seit 31.10.2025 abgelaufen, die Angabe dort ist also veraltet.

Frei abrufbares 'Certificate of PCI DSS Compliance' (Bilddatei) im Trust Center trustcentre.gcore.com (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'G-Core Labs S.A. Has been assessed by Compliance Control Ltd. and was found to be compliant with Payment Card Industry Data Security Standard 4.0.1', Nr. 80YE-1TCQ-TJYT, ausgestellt 08.11.2025, 'valid till: 7 November 2026'. Achtung: läuft am 07.11.2026 ab; ob ein Folgezertifikat kommt, ist ungeklärt. Die Attestation of Compliance (AOC) mit dem eigentlichen Scope ist nicht veröffentlicht.

Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚SOC 2 Type 1‘ und bietet einen ‚SOC 2 type 1 report‘ an, nur nach Zugangsanfrage (am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Kein Bericht und kein Prüfer öffentlich einsehbar. Type 1 bewertet nur die Ausgestaltung der Kontrollen zu einem Stichtag, nicht ihre Wirksamkeit über einen Zeitraum (Type 2). gcore.com/infrastructure nennt SOC 2 nicht.

Gcore hostet fremde Open-Source-Modelle als Infrastruktur-Anbieter, tritt nicht als GPAI-Modellanbieter auf; keine eigene AI-Act-Compliance-Dokumentation gefunden

Marketing-Positionierung (Blogbeitrag vom 20.11.2024): regionale Workload-Steuerung und EU-Rechenzentren als Compliance-Mittel. Keine vertragliche Zusicherung gefunden; der an anderer Stelle beworbene 'Sovereign Inference'-Pilot mit Orange Business steht auf dieser Seite nicht (Quelle dafür unklar)