Änderungen: Was sich an Belegen bewegt hat

Jede Angabe dieser Datenbank trägt einen Status und eine Quelle. Sobald sich eines von beiden ändert, ein Fall seinen Status wechselt oder ein Anbieter aufgenommen wird, steht es hier. Mit Datum, altem und neuem Wert, Grund und beiden Quellen. Das Protokoll wird bei jedem Build aus der öffentlichen Git-Historie berechnet, nicht von Hand geführt: Jeder kann es aus denselben Commits nachrechnen. Nicht verzeichnet sind fortgeschriebene Prüfdaten und Anmerkungen; das Prüfdatum steht auf jedem Profil.

Abonnieren: Atom-Feed · Rohdaten: daten.json (Feld aenderungen) · Wie der monatliche Quellenlauf Änderungen findet: Methodik

15.10.2026

• Black Forest Labs · AI Act: GPAI-Pflichten als Modellanbieter (Art. 53 ff.) belegt → –

  alte Quelle: digital-strategy.ec.europa.eu/en/policies/contents-code-gpai · Commit 1534ff7

• Black Forest Labs · AI Act: Pflichten als Anbieter von Basismodellen (GPAI) – → belegt

  Auf der EU-Kommissionsseite als Unterzeichner des General-Purpose AI Code of Practice gelistet (alle Kapitel, ohne Ausnahmen)

  neue Quelle: digital-strategy.ec.europa.eu/en/policies/contents-code-gpai · Commit 1534ff7

• Black Forest Labs · Modell FLUX 3 (Bild) – → belegt

  Preis pro Bild nach Auflösung: 0,041 $ (768×768), 0,048 $ (1k), 0,07 $ (1.5k), 0,10 $ (2k), 0,607 $ (4k). Preise am 15.10.2026 aus der öffentlichen Preisdatenbank gelesen, aus der docs.bfl.ai/quick_start/pricing seit Oktober 2026 ihre Tabellen erst im Browser füllt (Sanity-Abfrage *[_type == "pricing"], Werte in Credits, 1 Credit = 0,01 $); Beleg belege/preise/black-forest-labs/2026-10-15-2gpum2i6-api-sanity-io-v2025-02-19-data-query-production.json. Standort laut docs.bfl.ai/api_integration/integration_guidelines (03.10.2026): global api.bfl.ai „routes requests across all available clusters globally“, api.eu.bfl.ai „multi-cluster routing limited to EU regions“, api.us.bfl.ai auf US-Regionen begrenzt; Cloud-Betreiber nicht genannt.

  neue Quelle: docs.bfl.ai/quick_start/pricing · Commit 1534ff7

• DeepL · AI Act: AI-Act-spezifische Kundeninformation (Art. 50) unbelegt → –

  Commit 1534ff7

• DeepL · AI Act: AI-Act-spezifische Kundeninformation (Transparenzpflichten) – → unbelegt

  Keine dedizierte AI-Act-Infoseite gefunden; für den Finanzsektor existiert eine DORA-Seite (deepl.com/en/dora-info), die DeepL als ICT-Drittdienstleister für 'non-critical functions' einordnet

  Commit 1534ff7

• DeepL · AI Act: GPAI-Verhaltenskodex (Code of Practice, Art. 53/55) unbelegt → –

  Commit 1534ff7

• DeepL · AI Act: GPAI-Verhaltenskodex (Code of Practice) – → unbelegt

  Keine öffentliche Aussage zur Unterzeichnung; DeepL taucht in der Signatory-Liste des EU AI Office nicht auf (geprüft 20.08.2026 und 08.10.2026; Liste am 08.10. mit 22 Unterzeichnern, darunter Aleph Alpha, Black Forest Labs, Mistral AI). Ob DeepLs In-house-Modelle als GPAI einzustufen sind, ist offen

  Commit 1534ff7

• EUrouter · AI Act: Transparenz-/Compliance-Angaben zu den EU-Regeln für KI – → unbelegt

  Keine Angabe zur eigenen Rolle oder zu eigenen Pflichten. Fundstellen am 05.10.2026: Die Startseite nennt die neuen EU-Regeln für KI als Kaufgrund ('The […] introduces strict requirements for AI systems operating in Europe. Organizations must ensure transparency, accountability, and data governance for any AI they deploy.'), ohne zu sagen, was EUrouter dazu beiträgt; die AGB (Juni 2026, Ziffer 9) verpflichten den Kunden, beim Einsatz des Dienstes die EU-Regeln für KI einzuhalten. Der Slogan 'comply effortlessly' im Seitenfuß nennt kein Gesetz. Archivkopien web.archive.org/web/20261005043115 (Startseite), 20261005043013 (AGB)

  Commit 1534ff7

• EUrouter · AI Act: Transparenz-/Compliance-Angaben zum EU AI Act unbelegt → –

  Commit 1534ff7

• Gcore · AI Act: GPAI-Modellanbieter-Pflichten (Art. 53 ff.) unbelegt → –

  Commit 1534ff7

• Gcore · AI Act: GPAI-Modellanbieter-Pflichten – → unbelegt

  Gcore hostet fremde Open-Source-Modelle als Infrastruktur-Anbieter, tritt nicht als GPAI-Modellanbieter auf; keine eigene AI-Act-Compliance-Dokumentation gefunden

  Commit 1534ff7

• Hetzner · AI Act: Art.-53-Transparenzdokumentation unbelegt → –

  Commit 1534ff7

• Hetzner · AI Act: Transparenzdokumentation für Basismodelle – → unbelegt

  Hetzner serviert ein Fremdmodell (Qwen, Apache 2.0); die Transparenzpflichten für das Modell liegen beim Modellhersteller. Keine eigene Dokumentation dazu gefunden.

  Commit 1534ff7

• Infomaniak · AI Act: GPAI-Transparenzpflichten (Art. 53 AI Act) unbelegt → –

  Commit 1534ff7

• Infomaniak · AI Act: GPAI-Transparenzpflichten – → unbelegt

  Infomaniak sitzt in der Schweiz und bietet die API auch im EU-Markt an. Infomaniak ist reiner Inferenz-Anbieter fremder Open-Source-Modelle, nicht Modellhersteller; keine eigene Selbsteinordnung dazu auffindbar (04.10.2026: weder die Produktseite noch die Bedingungen der LLM API nennen die EU-Regeln für KI; Ziffer 7 der Bedingungen sagt nur, Infomaniak respektiere die Lizenzen der eingesetzten Modelle)

  Commit 1534ff7

• Infomaniak · B Corp: Anwendungsbereich unbelegt → belegt

  B-Lab-Verzeichnis (Abruf 15.10.2026, HTTP 200; am 08.10.2026 noch HTTP 403): 'INFOMANIAK GROUP SA', 'Certified since 2025', 'Version of the Standards 2.2', 'Industry: Data processing & hosting', 'Operates in: Switzerland'. Eine Punktzahl nennt das Profil nicht. B Corp bewertet das Unternehmen als Ganzes, nicht einzelne Dienste. Beleg belege/anbieter/infomaniak/bcorp-profil-2026-10-15.txt.

  alte Quelle: www.infomaniak.com/en/certifications · neue Quelle: www.bcorporation.net/en-us/find-a-b-corp/company/infomaniak-group-sa/ · Commit 1534ff7

• Infomaniak · B Corp: Zertifizierer beansprucht → belegt

  Eintrag im Verzeichnis von B Lab selbst: 'INFOMANIAK GROUP SA - Certified B Corporation - B Lab' (Abruf 15.10.2026; am 08.10.2026 noch HTTP 403). Beleg belege/anbieter/infomaniak/bcorp-profil-2026-10-15.txt.

  alte Quelle: www.infomaniak.com/en/certifications · neue Quelle: www.bcorporation.net/en-us/find-a-b-corp/company/infomaniak-group-sa/ · Commit 1534ff7

• IONOS (AI Model Hub) · Modell Qwen3.5-9B – → belegt

  neue Quelle: cloud.ionos.de/managed/ai-model-hub · Commit 1534ff7

• IONOS (AI Model Hub) · Modell Qwen3.8-27B – → belegt

  neue Quelle: cloud.ionos.de/managed/ai-model-hub · Commit 1534ff7

• Mistral AI (La Plateforme) · AI Act: Art.-53-Transparenzdokumentation (Model Documentation Form) veröffentlicht unbelegt → –

  Commit 1534ff7

• Mistral AI (La Plateforme) · AI Act: Transparenzdokumentation für Basismodelle (Model Documentation Form) veröffentlicht – → unbelegt

  Als CoP-Signatar verpflichtet, ein konkretes veröffentlichtes Dokument wurde aber nicht gefunden.

  Commit 1534ff7

• Nordference · AI Act: Transparenz-/Compliance-Angaben zu den EU-Regeln für KI – → beansprucht

  Vergleichstabelle auf der Startseite: Zeile zur Bereitschaft für die EU-Regeln für KI ('… Ready') mit Häkchen bei Nordference ('Typical Providers': 'Varies'). Kein Dokument, keine Erklärung, was damit zugesagt ist; die About-Seite kündigt nur künftige Anforderungen dieser Regeln an ('upcoming … requirements'). Bis 03.10.2026 stand hier 'unbelegt, keinerlei Angaben' — das Häkchen steht nicht als Text auf der Seite, sondern entsteht aus der Tabellen-Definition im Skript-Bündel (https://nordference.ai/assets/index-CGzvo87P.js, Archivkopie web.archive.org/web/20261005012917).

  neue Quelle: nordference.ai/ · Commit 1534ff7

• Nordference · AI Act: Transparenz-/Compliance-Angaben zum EU AI Act beansprucht → –

  alte Quelle: nordference.ai/ · Commit 1534ff7

• OVHcloud (AI Endpoints) · HDS: Zertifizierer akkreditiert (DAkkS) unbelegt → belegt

  Nicht DAkkS, aber akkreditiert durch COFRAC (EA-MLA, gleichwertig anerkannt; eine DAkkS-Akkreditierung ist für HDS nicht vorgesehen): Attestation d'accréditation N° 4-0660 Rev. 4 für 'BYCYB' (Montrouge) nach NF EN ISO/IEC 17021-1:2015, gültig 02/06/2026 bis 31/01/2029, Anhang u. a. 'Certification selon le référentiel Hébergeurs de données de santé HDS' (Référentiel d'accréditation HDS V2, Programme 'Référentiel de certification HDS – Exigences et contrôles V2') und 'ISO/IEC 27001:2022' nach NF EN ISO/IEC 27006-1:2024 (Abruf 11.10.2026, Kopie belege/anbieter/ovhcloud/cofrac-4-0660-bycyb-2026-10-11.txt). Passt zum ANS-Register (OVH GROUPE, V2.0, BYCYB). Dass das OVH-Zertifikat unter genau dieser Akkreditierung ausgestellt ist, lässt sich ohne das Zertifikat nicht prüfen.

  neue Quelle: tools.cofrac.fr/annexes/Sect4/4-0660.pdf · Commit 1534ff7

• Requesty · AI Act: Transparenz-/Compliance-Angaben zu den EU-Regeln für KI – → unbelegt

  Keine AI-Act-Angaben auf Website, Security-Seite oder in den Docs gefunden

  Commit 1534ff7

• Requesty · AI Act: Transparenz-/Compliance-Angaben zum EU AI Act unbelegt → –

  Commit 1534ff7

• STACKIT · AI Act: Art.-53-Transparenzdokumentation unbelegt → –

  Commit 1534ff7

• STACKIT · AI Act: Transparenzdokumentation für Basismodelle – → unbelegt

  STACKIT betreibt Fremdmodelle; GPAI-Pflichten liegen bei den Modellherstellern. Keine eigene Dokumentation dazu gefunden (Suche 05.10.2026: Produktseite, Zertifikatsseite, Compliance-Seite, AGB-Seite, Leistungsschein). Der Leistungsschein AI Model Serving (Version 1.3) regelt das Thema nur als Sache des Kunden: STACKIT weist zusätzlich darauf hin, dass der Kunde etwaig einschlägige gesetzliche Bestimmungen für vom Kunden erstellte KI-Anwendungen einzuhalten hat. Die Wissensseite stackit.com/en/learn/knowledge/cloud/cloud-ai/ai-act (30.07.2026) ist Werbung ohne Nachweis ('meets all key requirements of the […]') und nennt keine eigene Rolle von STACKIT. Nachsuche 08.10.2026 (Produktseite DE/EN, Zertifikatsseite, AGB-Seite, Leistungsschein 1.4): weiter kein Treffer zum Thema.

  Commit 1534ff7

• T-Systems / Open Telekom Cloud (AI Foundation Services) · AI Act: Art.-53-Transparenzdokumentation unbelegt → –

  Commit 1534ff7

• T-Systems / Open Telekom Cloud (AI Foundation Services) · AI Act: Transparenzdokumentation für Basismodelle – → unbelegt

  Plattform serviert Fremdmodelle; die Transparenzpflichten für die Modelle liegen bei den Herstellern. Keine eigene Dokumentation dazu gefunden.

  Commit 1534ff7

09.10.2026

• Black Forest Labs · Subprozessoren-Liste unbelegt → belegt

  Das Vanta-Trust-Center listet unter 'Subprocessors' 10 Einträge ('1-10 of 10 results', am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite): GitHub ('Version control'), Vanta ('Security'), Microsoft Azure ('Cloud provider'), Google Workspace ('Identity provider'), Google Drive ('Document management'), Linear ('Collaboration'), Remote, Rippling ('Employee management'), Trello ('Collaboration'), DocuSign ('Document management'). Einziger gelisteter Cloud-Betreiber ist Microsoft Azure; Regionen, Rechtsträger und Zweck je Dienst nennt die Liste nicht, ebenso nicht, ob Azure den EU-Cluster betreibt (ungeklärt). Die Privacy Policy nennt keine konkreten Auftragsverarbeiter.

  neue Quelle: trust.bfl.ai/subprocessors · Commit 38745f5

• Black Forest Labs · Zertifikat ISO 27001 beansprucht → belegt

  Zertifikat im Trust Center trust.bfl.ai frei herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'The management system of certificate number 269758 Black Forest Labs Inc & Black Forest Labs GmBH … has been assessed and certified as meeting the requirements of: ISO/IEC 27001:2022'; 'Initial certification: 01 December 2025', 'Expiry date: 30 November 2028', 'Subject to annual assessments'; 'Certificate issued by Amtivo Group Limited T/A British Assessment Bureau Ltd.' (UKAS 8289). Auch auf bfl.ai/enterprise genannt, im Seitenfuß als „ISO 27001:2022“. Einzelheiten in den Unterfeldern.

  alte Quelle: bfl.ai/enterprise · neue Quelle: trust.bfl.ai/doc/trust?rid=6936c03e7afd0fe5c25dcad5&r=0cb6ffww8qmy60nxzo3p5&download=true · Commit 38745f5

• DeepL · Zero Data Retention belegt → beansprucht

  Gilt nicht für alle Tarife, deshalb kein einheitliches Ja. Bezahlte Pläne: Pro-AGB Ziff. 3.1.2 (Abruf 09.10.2026) 'DeepL will only temporarily store Content or Processed Content to the extent technically required to provide its Services'; Support-Doku: 'texts are deleted immediately after the translation'. Einschränkungen dort: bei Fehlern Speicherung von Inhalten bis max. 72 h zur Diagnose (Ziff. 3.1.4), auf Kundenwunsch gespeicherte Inhalte 90 Tage nach Vertragsende gelöscht. Kostenloser API-Plan (DeepL API Developer, Ziff. 1.13 'the API provided by DeepL free of charge'): Ziff. 3.3.2 'In derogation from Section 3.1.2 sentence 1, DeepL API Developer reserves the right to perpetually store any Content or Processed Content.' Für den Free-Plan also ausdrücklich dauerhafte Speicherung vorbehalten. Bis 08.10.2026 stand hier „Ja, belegt“ ohne diese Ausnahme.

  Commit 38745f5

• DeepL · Zertifikat BSI C5 belegt → beansprucht

  C5-Typ-2-Testat laut DeepL-Blog vom 03.10.2025 und gleichlautender Pressemitteilung (114 Kriterien, Wirksamkeitsnachweis über mindestens sechs Monate). Der Blog schreibt (Abruf 09.10.2026 unverändert) vom 'Erhalt des C5‑Typ‑2-Testats vom Bundesamt für Sicherheit in der Informationstechnik (BSI)' — das ist falsch: C5-Testate stellt ein Wirtschaftsprüfer nach ISAE 3000 aus, das BSI gibt nur den Kriterienkatalog vor. Den Prüfer nennt DeepL nirgends; der Testatsbericht ist nicht öffentlich, und das Trust Center (trust.deepl.com, Abruf 09.10.2026) führt unter 'C5' nur einen Erklärtext ('DeepL is committed to meeting the high standards of the C5 framework') ohne Dokument und mit leerem 'auditor'-Feld. Deshalb nur beansprucht. Bis 08.10.2026 hier „belegt“ als „Testat des BSI“ geführt; davor bis 24.08.2026 beansprucht (Selbstverpflichtung im Trust Center).

  Commit 38745f5

• DeepL · Zertifikat Externe Penetrationstests belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Berichte gibt es nur auf Anfrage, kein Prüfer ist genannt; belegt war nur die Angabe im Trust Center des Anbieters. Regelmäßige Tests durch wechselnde unabhängige Prüfer; Berichte auf Anfrage

  Commit 6cf0a88

• DeepL · Zertifikat SOC 2 Type II belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Der aktuelle Bericht (01.01.–30.06.2025) ist im Trust Center zugriffsbeschränkt; öffentlich ist nur das Prüfurteil der HKKG für 01.10.2022–30.09.2023 (verlinkt auf deepl.com/en/pro-data-security, PDF am 09.10.2026 erneut abgerufen), das den heutigen Stand nicht belegt. Berichtszeitraum 01.01.–30.06.2025; auch auf deepl.com/en/pro-data-security beworben, Bericht als Download. Stand 08.10.2026 (wie 04.10.) kein neuerer Bericht im Trust Center; ein Bridge Letter (Erklärung der DeepL-Geschäftsleitung, keine Prüfung) deckt 01.07.2025–30.07.2026 und kündigt das nächste Audit für Kalenderwoche 24/2026 an. Für die Zeit nach dem 30.07.2026 liegt öffentlich weder Bericht noch Bridge Letter vor

  Commit f8765e2

• Exoscale · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Testat nicht öffentlich; exoscale.com/compliance/bsi-c5/ (Abruf 09.10.2026) beschreibt das Typ-2-Testat, verlinkt aber keinen Bericht, Berichte liegen laut Compliance-Seite nur im Compliance Center (NDA). C5:2020 Typ 2

  Commit f8765e2

• Exoscale · Quelle geändert: Zertifikat HDS

  Belegt über das öffentliche Register der französischen Gesundheitsagentur ANS (Liste der zertifizierten Hoster, Abruf 09.10.2026 im Browser, die Seite lädt nur dort): 'AKENES 1, 2, 3, 4, 6, sur version V2.0 … Bureau Veritas Certification France'. Akenes SA ist die Betreibergesellschaft von Exoscale. Ein Gültigkeitsdatum nennt das Register nicht, das Zertifikat selbst liegt nur im Compliance Center. Französische Zertifizierung für das Hosting von Gesundheitsdaten; Compliance-Seite: 'HDS French health data hosting certification', Scope 1–4 und 6. Bisher nur in der Anmerkung zu TISAX geführt.

  alte Quelle: community.exoscale.com/platform/compliance/ · neue Quelle: esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies · Commit f8765e2

• Exoscale · HDS: Anwendungsbereich beansprucht → belegt

  ANS-Register (Abruf 09.10.2026): 'AKENES 1, 2, 3, 4, 6, sur version V2.0'; deckt sich mit der Compliance-Seite ('Scope: 1–4 and 6'). Welche Zonen erfasst sind, nennt das Register nicht.

  alte Quelle: community.exoscale.com/platform/compliance/ · neue Quelle: esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies · Commit f8765e2

• Exoscale · HDS: Zertifizierer unbelegt → belegt

  ANS-Register (Abruf 09.10.2026), Spalte Zertifizierungsstelle beim Eintrag AKENES. Exoscale selbst nennt keinen Namen ('validated by an independent auditor').

  neue Quelle: esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies · Commit f8765e2

• Exoscale · Zertifikat ISO 27001 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat und SoA liegen nur im Compliance Center des Exoscale-Kontos; exoscale.com/compliance/iso27001/ (Abruf 09.10.2026): 'Customers can access our current ISO/IEC 27001 certificate and Statement of Applicability (SoA) through the Exoscale Compliance Center. Additional audit reports and details are also available to customers under NDA.' Öffentlich ist nur die Nennung durch den Anbieter. ISO/IEC 27001:2022, zertifiziert seit 2018; Reports im Compliance Center (NDA). Archivkopie web.archive.org/web/20261005024823 byte-gleich.

  Commit f8765e2

• Exoscale · Zertifikat ISO 27017 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat nicht öffentlich; exoscale.com/compliance/iso27017/ (Abruf 09.10.2026): 'compliance documentation via the Exoscale Compliance Center. Additional audit details are available to customers on request or under NDA.' Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27017 Security controls for cloud services', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27017/ die Ausgabe ISO/IEC 27017:2015; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

  Commit f8765e2

• Exoscale · Zertifikat ISO 27018 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat nicht öffentlich; exoscale.com/compliance/iso27018/ (Abruf 09.10.2026): 'available via the Exoscale Compliance Center. Additional privacy and compliance documentation can be provided to customers on request or under NDA.' Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27018 Protection of Personally Identifiable Information (PII) in public clouds', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27018/ die Ausgabe ISO/IEC 27018:2019; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

  Commit f8765e2

• Exoscale · Zertifikat SOC 2 Type II belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Bericht nicht öffentlich; exoscale.com/compliance/soc-2/ (Abruf 09.10.2026): 'available for download via the Compliance Center to customers and partners. For more details, or to request the report under NDA, please contact our Compliance Team.'

  Commit f8765e2

• Exoscale · Zertifikat TISAX Level 2 belegt → beansprucht

  Commit facf6e5

• Gcore · Subprozessoren-Liste beansprucht → belegt

  Öffentliche Liste 'List of Personal Data subprocessors' (G-Core Labs S.A., Date: 25 November 2025), verlinkt im DPA 10.1 (Tab 'Data Processing Agreement', Stand 17.06.2026: 'The current list of subprocessors is available at link'; Linkziel nur im Browser sichtbar, am 09.10.2026 gelesen). Gilt allgemein für Gcore als Processor, nicht eigens fürs Inference-Produkt: 'The exact list of subprocessors that process the Personal Data of an individual Customer will depend on which specific Gcore services the Customer chooses to use.' 13 Einträge: 10 Gcore-Gesellschaften (Deutschland, Luxemburg, Litauen, Polen, Zypern, USA, Serbien, Philippinen, Georgien, Usbekistan), dazu Microsoft Ireland (Microsoft 365), Zendesk Inc (USA, Ticketing), HubSpot Ireland (CRM). Änderungen laut DPA 10.1 mit 15 Tagen Vorankündigung und Widerspruchsrecht. Die Liste ist älter als der DPA; ob sie noch vollständig ist, ungeklärt. Rohkopie belege/anbieter/gcore/ (SHA-256 ee96b623…), Archivkopie web.archive.org/web/20261009104129/https://assets.gcore.pro/site/legal/Gcore_List_of_subprocessors_25_11__2025.pdf

  alte Quelle: gcore.com/legal · neue Quelle: assets.gcore.pro/site/legal/Gcore_List_of_subprocessors_25_11__2025.pdf · Commit 514c78f

• Gcore · Quelle geändert: Zertifikat ISO/IEC 27001

  Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚ISO 27001:2022‘ und bietet ein ‚ISO 27001:2022 certificate‘ an, aber nur nach Zugangsanfrage (Request access; am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Damit beansprucht Gcore die Version 2022; Zertifizierungsstelle, Nummer, Scope und Laufzeit sind öffentlich nicht einsehbar. Widerspruch: gcore.com/infrastructure sagt am 09.10.2026 weiterhin ‚ISO/IEC 27001:2013 certified and compliant with PCI DCC and GDPR‘ (Wayback 20261008014212); nach IAF MD 26:2023 sind Zertifikate nach ISO/IEC 27001:2013 seit 31.10.2025 abgelaufen, die Angabe dort ist also veraltet.

  alte Quelle: gcore.com/infrastructure · neue Quelle: trustcentre.gcore.com/ · Commit 38745f5

• Gcore · Zertifikat PCI DSS beansprucht → belegt

  Frei abrufbares 'Certificate of PCI DSS Compliance' (Bilddatei) im Trust Center trustcentre.gcore.com (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'G-Core Labs S.A. Has been assessed by Compliance Control Ltd. and was found to be compliant with Payment Card Industry Data Security Standard 4.0.1', Nr. 80YE-1TCQ-TJYT, ausgestellt 08.11.2025, 'valid till: 7 November 2026'. Achtung: läuft am 07.11.2026 ab; ob ein Folgezertifikat kommt, ist ungeklärt. Die Attestation of Compliance (AOC) mit dem eigentlichen Scope ist nicht veröffentlicht.

  alte Quelle: gcore.com/infrastructure · neue Quelle: trustcentre.gcore.com/doc/trust?rid=6979bcedc3c6bc8e8bc5c3c0&r=i4tqj3n1h7cftvpijy0za6 · Commit 38745f5

• Gcore · Zertifikat SOC 2 Type 1 – → beansprucht

  Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚SOC 2 Type 1‘ und bietet einen ‚SOC 2 type 1 report‘ an, nur nach Zugangsanfrage (am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Kein Bericht und kein Prüfer öffentlich einsehbar. Type 1 bewertet nur die Ausgestaltung der Kontrollen zu einem Stichtag, nicht ihre Wirksamkeit über einen Zeitraum (Type 2). gcore.com/infrastructure nennt SOC 2 nicht.

  neue Quelle: trustcentre.gcore.com/ · Commit 38745f5

• Gcore · Zertifikat SOC 2 unbelegt → –

  Commit 38745f5

• Hetzner · Zertifikat BSI C5 – → belegt

  BSI C5:2020 Typ 2, uneingeschränkt; Prüfungsbericht vom 17.11.2025. Öffentlich ist nur eine von Hetzner selbst erstellte Bescheinigung vom 02.03.2026 (verlinkt aus der Doku 'Informationssicherheit bei Hetzner', https://docs.hetzner.com/de/general/company-and-policy/information-security-at-hetzner/: 'Hetzner hat ein BSI C5-Testat Typ 2 erhalten'); dort steht: 'Diese Bescheinigung wurde nach Vorliegen des Prüfungsberichts durch die Hetzner Online GmbH erstellt.' Belegt ist damit die datierte Anbieteraussage mit genanntem Prüfer, nicht der Bericht selbst. Gilt NICHT für die experimentelle Inference-API: Sie fehlt in der Produktliste der Bescheinigung. Bis 09.10. fehlte das Testat in diesem Profil.

  neue Quelle: files.hetzner.com/docs/BSI-C52020Typ2_Testat_2026.pdf · Commit 38745f5

• Hetzner · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Öffentlich ist nur eine vom Anbieter selbst erstellte Bescheinigung, nicht der Prüfungsbericht. BSI C5:2020 Typ 2, uneingeschränkt; Prüfungsbericht vom 17.11.2025. Öffentlich ist nur eine von Hetzner selbst erstellte Bescheinigung vom 02.03.2026 (verlinkt aus der Doku 'Informationssicherheit bei Hetzner', https://docs.hetzner.com/de/general/company-and-policy/information-security-at-hetzner/: 'Hetzner hat ein BSI C5-Testat Typ 2 erhalten'); dort steht: 'Diese Bescheinigung wurde nach Vorliegen des Prüfungsberichts durch die Hetzner Online GmbH erstellt.' Belegt ist damit die datierte Anbieteraussage mit genanntem Prüfer, nicht der Bericht selbst. Gilt NICHT für die experimentelle Inference-API: Sie fehlt in der Produktliste der Bescheinigung. Bis 09.10. fehlte das Testat in diesem Profil.

  Commit 6cf0a88

• Hetzner · Quelle geändert: Zertifikat ISO 27001

  ISO/IEC 27001:2022, Zertifikat ZN-2025-35 V 1.1 von SOCOTEC, ausgestellt allein auf 'Hetzner Online GmbH' (Gunzenhausen); Hetzner Finland Oy steht nicht im Zertifikat. Die Zertifizierungsseite (https://www.hetzner.com/unternehmen/zertifizierung/, Abruf 09.10.2026) sagt dagegen weiter, das Zertifikat 'certifies that Hetzner Online GmbH and Hetzner Finland Oy have established and implemented an appropriate information security management system' und nennt als Scope 'the infrastructure, operation and customer support of the data center parks in all three locations: Nuremberg, Falkenstein, and Helsinki'; maßgeblich ist das Zertifikat. Standorte USA und Singapur sind nicht erfasst. Bis 09.10. stand hier, das Zertifikat gelte für Hetzner Online GmbH und Hetzner Finland Oy und Hetzner nenne kein BSI C5; das C5-Testat steht jetzt als eigener Eintrag. SOC 2 und TISAX nennt Hetzner nicht.

  alte Quelle: www.hetzner.com/unternehmen/zertifizierung/ · neue Quelle: cdn.hetzner.com/assets/downloads/ISO-Zertifikat.pdf · Commit 38745f5

• Infomaniak · Quelle geändert: Zertifikat ISO 27001:2022

  Zertifikat CH21/0527.00 von SGS United Kingdom Ltd für 'Infomaniak Group SA', gültig 30.03.2024 bis 29.03.2027, 'Issue 3. Certified since 30 April 2021'. Vertragspartnerin der LLM API ist dagegen 'Infomaniak Network SA' (LLM-Bedingungen, Review of 07/10/2025, Abruf 09.10.2026; ebenso der AVV); ob die Network SA unter das Zertifikat fällt, ist ungeklärt. Das veröffentlichte PDF hat nur 'Page 1 / 2', die Folgeseite mit den weiteren Standorten ('Certified activities performed by additional sites are listed on subsequent pages') fehlt. Die Zertifikatsseite (https://www.infomaniak.com/en/certifications, Abruf 09.10.2026) sagt weiter 'Infomaniak has been certified ISO 27001 since June 2018'; belegt ist durch das Zertifikat nur 'since 30 April 2021'. Bis 09.10. stand hier 'Seit Juni 2018; Zertifikat als Download angeboten'.

  alte Quelle: www.infomaniak.com/en/certifications · neue Quelle: www.infomaniak.com/documents/iso/27001_1EN.pdf · Commit 38745f5

• IONOS (AI Model Hub) · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Das Testat selbst ist nicht öffentlich; belegt war nur die Angabe auf der Zertifikatsseite des Anbieters. C5:2020 Typ-1-Testat vom 28.05.2026, geprüft durch PwC nach ISAE 3000; Scope laut Zertifikatsseite 33 Services in 10 Service-Clustern, die Liste selbst nur auf Anfrage. Dass der AI Model Hub im C5-Scope liegt, steht nur in der Data-Handling-Doku (docs.ionos.com/cloud/ai/ai-model-hub/governance-and-compliance/data-handling, Abruf 09.10.2026 unverändert: 'AI Model Hub falls within the scope of BSI C5'; zuerst gesehen 07.10.2026, Wayback 20261007214204, ob schon am 03.10. vorhanden ungeklärt). Die Zertifikatsseite cloud.ionos.de/zertifikate (Abruf 09.10.2026) nennt den AI Model Hub beim C5-Testat nicht, das Testat selbst ist nicht öffentlich — die Zuordnung ist reine Anbieterangabe. Auch in den beiden ISO-27001-Zertifikaten (TÜV NORD, BSI-IGZ-0730-2025) ist der AI Model Hub nicht genannt.

  Commit 6cf0a88

• Lyceum Technology · Quelle geändert: AVV / Auftragsverarbeitungsvertrag

  DPA ('Annex 1 Data Processing Agreement', Lyceum Technology Germany GmbH, 10 Seiten, ohne Datum) liegt im Trust Center öffentlich zum Ansehen und Herunterladen, ohne Zugangsanfrage (am 09.10.2026 im Browser und per Direktabruf gelesen; nur die TOMs brauchen eine Anfrage). Die AGB nennen den AVV als 'Annex 1'. Enthält Schedule 1 'Zero Data Retention Policy for Inference Services'. Rohkopie belege/anbieter/lyceum/ (SHA-256 86095503…), Archivkopie web.archive.org/web/20261009104347/https://trust.lyceum.technology/doc/trust?rid=6a7c197ee2fcaed7c65be63c&r=c4qofycqho2osff5cnm92x

  alte Quelle: trust.lyceum.technology/ · neue Quelle: trust.lyceum.technology/doc/trust?rid=6a7c197ee2fcaed7c65be63c&r=c4qofycqho2osff5cnm92x · Commit 514c78f

• Lyceum Technology · Betroffenenrechte: wer bedient sie unbelegt → belegt

  DPA (öffentlich im Trust Center, 09.10.2026) 4.1: 'The Controller is responsible for the lawfulness of the data processing and the protection of the rights of the data subjects'; 6.3: der Processor 'shall, where possible, assist the Controller ... to respond to requests from data subjects'; 6.4: wendet sich eine betroffene Person an Lyceum, darf Lyceum sie an den Kunden verweisen. AGB Ziff. 17.4: Lyceum 'shall act as a processor'.

  alte Quelle: lyceum.technology/legal/terms · neue Quelle: trust.lyceum.technology/doc/trust?rid=6a7c197ee2fcaed7c65be63c&r=c4qofycqho2osff5cnm92x · Commit 514c78f

• Lyceum Technology · Quelle geändert: Log-Aufbewahrung (Frist), Zero Data Retention

  Keine Frist. DPA Schedule 1, 2.1 (09.10.2026): der Processor 'may retain system logs and other metadata that do not contain Customer Content or personal data', ohne Dauer; Inhalte unter den Ausnahmen in 2.2 nur 'for the minimum period strictly necessary' (2.3). AGB, Datenschutzerklärung und Modellseite nennen ebenfalls keine Frist; die Doku beschreibt Loki-Logs nur für Serverless-Runs (stdout/stderr), ohne Frist (08.10.2026).

  alte Quelle: lyceum.technology/legal/terms · neue Quelle: trust.lyceum.technology/doc/trust?rid=6a7c197ee2fcaed7c65be63c&r=c4qofycqho2osff5cnm92x · Commit 514c78f

• Lyceum Technology · Log-Aufbewahrung (Zweck) unbelegt → belegt

  DPA Schedule 1, 2.1 (öffentlich im Trust Center, 09.10.2026): System-Logs und Metadaten ohne Kundeninhalt oder personenbezogene Daten 'for the purposes of operating, securing, and performing analytics in relation to the Inference Service, including for capacity planning, performance monitoring, and usage analytics'; Kundeninhalte nur unter den Ausnahmen 2.2 a–d.

  alte Quelle: lyceum.technology/legal/terms · neue Quelle: trust.lyceum.technology/doc/trust?rid=6a7c197ee2fcaed7c65be63c&r=c4qofycqho2osff5cnm92x · Commit 514c78f

• Mistral AI (La Plateforme) · Zertifikat ISO 27001 beansprucht → belegt

  Zertifikat im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit dem Abruf vom 08.10.2026): 'The Certification Body of Prescient Security LLC hereby certifies that the following organization operates an Information Security Management System that conforms to the requirements of ISO/IEC 27001:2022. Mistral AI SAS'; 'CERTIFICATE NUMBER: 122598 (Issue 2)', 'This certificate is valid until September 11, 2027', 'Issue Date : November 05, 2025 Certified Since : September 12, 2024'. Zertifizierer Prescient Security LLC (USA), akkreditiert durch IAS (USA, MSCB-267), nicht DAkkS; Einzelheiten in den Unterfeldern. Der Hilfe-Artikel (help.mistral.ai, Stand 12.08.2026) sagt weiterhin nur „Yes, Mistral complies with both SOC 2 Type II and ISO 27001/27701 frameworks.“

  alte Quelle: help.mistral.ai/en/articles/347638-do-you-have-soc-2-or-iso-27001-certification · neue Quelle: trust.mistral.ai/doc/trust?rid=66e31bf04268a83da04f1bfc&r=szslmcnli5kzjz02knom&download=true · Commit 38745f5

• Mistral AI (La Plateforme) · Zertifikat ISO 27701 beansprucht → belegt

  Datenschutz-Erweiterung zu ISO 27001. Zertifikat im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'Privacy Information Management System that conforms to the requirements of ISO/IEC 27701:2019 and ISO/IEC 27001:2022 Mistral AI SAS'; 'CERTIFICATE NUMBER: 122598 - 2', 'This certificate is valid until September 11, 2027'. Zertifizierer Prescient Security LLC (USA), akkreditiert durch IAS (USA, MSCB-267), nicht DAkkS.

  alte Quelle: help.mistral.ai/en/articles/347638-do-you-have-soc-2-or-iso-27001-certification · neue Quelle: trust.mistral.ai/doc/trust?rid=66e31255854bf4b3d0439435&r=szslmcnli5kzjz02knom&download=true · Commit 38745f5

• Mistral AI (La Plateforme) · Zertifikat SOC 2 Type II beansprucht → belegt

  Letter of Attestation im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026), datiert 18.12.2025, 'Unqualified Opinion': 'Prescient Assurance LLC confirms SOC 2 Type 2 compliance by Mistral AI in accordance with the AICPA's Trust Service Criteria for Security.' Prüfzeitraum 'August 15, 2025 to November 15, 2025'. Belegt ist nur das Kriterium Security (nicht Availability, Confidentiality o. a.); der vollständige Bericht mit Systembeschreibung ist nicht öffentlich.

  alte Quelle: help.mistral.ai/en/articles/347638-do-you-have-soc-2-or-iso-27001-certification · neue Quelle: trust.mistral.ai/doc/trust?rid=66e468e382822cd5c1718860&r=szslmcnli5kzjz02knom&download=true · Commit 38745f5

• Nebius (Token Factory) · Quelle geändert: Zertifikat CSA STAR Level 1

  Selbstauskunft, kein Zertifikat, und nur für 'Nebius AI Cloud', nicht für die Token Factory. CSA-Register (09.10.2026): ein Eintrag 'Nebius B.V', 'Listed Since: 2023-02-18', Typ CAIQ, Beschreibung 'Nebius provides AI-native cloud infrastructure and platform services for AI, machine learning, and data-intensive workloads'. Trust Center (nebius.com/trust-center/csa-star, 09.10.2026): 'CSA STAR Level 1 is based on a self-assessment' und 'What Nebius products are within the scope of assessment? Nebius AI Cloud infrastructure and platform services.' Die Token Factory wird weder im Register noch auf der Trust-Center-Seite genannt.

  alte Quelle: nebius.com/trust-center · neue Quelle: cloudsecurityalliance.org/star/registry/nebius-bv · Commit 38745f5

• Nebius (Token Factory) · Zertifikat CSA STAR Level 1 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Der Registereintrag gilt nur für Nebius AI Cloud, nicht für die Token Factory, und ist eine Selbstauskunft. Selbstauskunft, kein Zertifikat, und nur für 'Nebius AI Cloud', nicht für die Token Factory. CSA-Register (09.10.2026): ein Eintrag 'Nebius B.V', 'Listed Since: 2023-02-18', Typ CAIQ, Beschreibung 'Nebius provides AI-native cloud infrastructure and platform services for AI, machine learning, and data-intensive workloads'. Trust Center (nebius.com/trust-center/csa-star, 09.10.2026): 'CSA STAR Level 1 is based on a self-assessment' und 'What Nebius products are within the scope of assessment? Nebius AI Cloud infrastructure and platform services.' Die Token Factory wird weder im Register noch auf der Trust-Center-Seite genannt.

  Commit 6cf0a88

• Nebius (Token Factory) · Quelle geändert: Zertifikat ISO 27001

  Zertifikat öffentlich (Abruf 09.10.2026, unverändert gegenüber 08.10.), Inhaber nur Nebius B.V.: 'This is to certify that the Information Security Management System of Nebius B.V. Schiphol Boulevard 165, 1118 BG Schiphol, the Netherlands', weitere Standorte Tel Aviv und Mäntsälä. Andere Nebius-Gesellschaften (z. B. Nebius Inc., USA) stehen nicht darauf. Dass die Token Factory im Scope ist, sagt nur das Trust Center (nebius.com/trust-center/iso-27001, 09.10.2026): 'The scope of ISO 27001 includes the controls supporting Nebius AI Cloud, AI Studio (now Nebius Token Factory) and Tracto AI. [...] The scope does not extend to other subsidiaries or third-party service providers.'

  alte Quelle: nebius.com/trust-center · neue Quelle: assets.nebius.com/assets/75a09e82-d39b-4bd4-a064-babf034b8a6b/ISO27001%20CERTIFICATION.pdf · Commit 38745f5

• Nebius (Token Factory) · Quelle geändert: Zertifikat ISO 27018

  Belegt über das öffentliche Zertifikat (SII-QCD Nr. 1125668, ISO/IEC 27018:2019, Nebius B.V., gültig 26.08.2025 bis 26.08.2028, revidiert 16.09.2026; Abruf 09.10.2026). Quelle bis 09.10.2026 nur die Trust-Center-Liste (Strenge-Runde Frage 217). Trust Center (03.10.2026) listet 'ISO 27018'. Bisher nur in der Anmerkung zu ISO 27701 geführt.

  alte Quelle: nebius.com/trust-center · neue Quelle: assets.nebius.com/assets/9a3a30ea-f708-4e07-8903-bdaa6a3eaa2b/ISO27018%20CERTIFICATE.PDF · Commit f8765e2

• Nebius (Token Factory) · Zertifikat SOC 2 Type II belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Bericht nur nach NDA; nebius.com/trust-center/soc-2 (Abruf 09.10.2026): 'a non-disclosure agreement (NDA) is required to access the Nebius SOC 2 Type II report'. Prüfer Deloitte und Umfang nur laut Trust Center. Inkl. HIPAA-Mapping; zudem SOC 3

  Commit f8765e2

• OVHcloud (AI Endpoints) · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Das C5-Testat ist nicht öffentlich; belegt war nur die Nennung im Compliance-Portal des Anbieters, ohne Prüfer und Geltungsbereich. Im Compliance-Portal gelistet; Geltungsbereich je Produkt prüfen.

  Commit 6cf0a88

• OVHcloud (AI Endpoints) · Zertifikat HDS belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Ein Zertifikat wurde nicht eingesehen; belegt war nur die Nennung durch den Anbieter. Das öffentliche Register der ANS (esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies) lieferte am 09.10.2026 beim Abruf keinen Inhalt (Seite lädt nur im Browser); Nachprüfung dort offen. Französische Gesundheitsdaten-Zertifizierung (ANS). Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

  Commit 6cf0a88

• OVHcloud (AI Endpoints) · Zertifikat HDS beansprucht → belegt

  Belegt über das öffentliche Register der ANS (Liste der zertifizierten Hoster, Abruf 09.10.2026 im Browser; maschinell blieb die Seite leer, deshalb stand hier kurz „beansprucht“): 'OVH GROUPE 1, 2, 3, 4, 5, 6, sur version V2.0 … BYCYB'. Abweichung: Die OVH-Doku nennt noch 'HDS v2018', das Register den Referenzrahmen V2.0. Ein Gültigkeitsdatum nennt das Register nicht; dass AI Endpoints im Zertifikat liegt, bleibt Anbieterangabe. Französische Gesundheitsdaten-Zertifizierung (ANS). Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

  alte Quelle: www.ovhcloud.com/en/compliance/ · neue Quelle: esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies · Commit f8765e2

• OVHcloud (AI Endpoints) · HDS: Zertifizierer unbelegt → belegt

  ANS-Register (Abruf 09.10.2026), Spalte Zertifizierungsstelle beim Eintrag OVH GROUPE. OVH selbst nennt auf HDS-Seite und Doku-Liste keine Zertifizierungsstelle.

  neue Quelle: esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies · Commit f8765e2

• OVHcloud (AI Endpoints) · Zertifikat ISO 27001 belegt → beansprucht

  Nur beansprucht (bis 08.10.2026 hier „belegt“): Ein Zertifikat ist öffentlich nicht zu finden, und der genannte Zertifizierer ist für diese Norm nicht akkreditiert. Die Unterseite sagt am 09.10.2026 weiter 'The ISO/IEC 27001 certification that OVHcloud holds is available on the website of the certification body “Laboratoire National de Métrologie de d’Essais”'; der Link führt auf www.lne.fr/recherche-certificats, deren Datenbank am 09.10.2026 für 'ovh' 0 Treffer liefert. Die COFRAC-Akkreditierung des LNE (tools.cofrac.fr/annexes/sect4/4-0038.pdf, Rev. 54, gültig 09.04.2026 bis 31.01.2029, am 09.10.2026 byte-gleich zum Abruf vom 08.10.) deckt nur ISO 14001, ISO 9001, ISO 45001 und ISO 50001, nicht ISO/IEC 27001. Compliance-Seite (am 05.10.2026 und 09.10.2026 unverändert): 'ISO/IEC 27001:2013 Certification and ISMS relating to information security management systems for cloud services', zusätzlich ISO 27017/27018. Die Unterseite www.ovhcloud.com/en/compliance/iso-27001-27017-27018/ nennt als Zertifizierungsstelle das 'Laboratoire National de Métrologie de d'Essais' (LNE) und listet die zertifizierten Dienste, darunter 'AI & machine learning'; AI Endpoints ist dort nicht einzeln genannt. Die Produktseite von AI Endpoints schreibt nur: 'Underlying platform with ISO 27000, SOC, and healthcare data certifications.' Das Zertifikat selbst wurde nicht eingesehen. Archivkopien web.archive.org/web/20261005073337 (Compliance-Seite), 20261005073205 (Unterseite), beide byte-gleich zum Abruf. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

  Commit 38745f5

• OVHcloud (AI Endpoints) · Zertifikat ISO 27017 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Ein Zertifikat ist öffentlich nicht zu finden (wie bei ISO 27001: LNE-Datenbank ohne Treffer, LNE für ISO/IEC 27001 nicht COFRAC-akkreditiert); belegt war nur die Nennung auf der Compliance-Seite. Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  Commit 6cf0a88

• OVHcloud (AI Endpoints) · Zertifikat ISO 27018 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Ein Zertifikat ist öffentlich nicht zu finden (wie bei ISO 27001: LNE-Datenbank ohne Treffer, LNE für ISO/IEC 27001 nicht COFRAC-akkreditiert); belegt war nur die Nennung auf der Compliance-Seite. Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  Commit 6cf0a88

• OVHcloud (AI Endpoints) · Zertifikat ISO 27701 belegt → beansprucht

  PIMS für Personendaten-Verarbeitung. Nur beansprucht (bis 08.10.2026 hier „belegt“): Die Compliance-Seite (Abruf 09.10.2026) sagt 'The ISO/IEC 27701 certificate that OVHcloud holds is available on request from our sales department or from the “Laboratoire National de Métrologie et d’Essais” certification body' — öffentlich ist kein Zertifikat. Das LNE ist laut COFRAC-Anlage 4-0038 (Rev. 54, Abruf 09.10.2026) nur für ISO 14001, 9001, 45001 und 50001 akkreditiert, nicht für ISO/IEC 27701; die LNE-Datenbank liefert am 09.10.2026 für 'ovh' 0 Treffer.

  alte Quelle: www.ovhcloud.com/en/compliance/ · neue Quelle: www.ovhcloud.com/en/compliance/iso-27701/ · Commit 38745f5

• OVHcloud (AI Endpoints) · Zertifikat SOC 1/2/3 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Die SOC-Berichte sind nicht öffentlich; belegt war nur die Nennung im Compliance-Portal des Anbieters. SSAE 16/ISAE 3402 Type 2 im Compliance-Portal gelistet. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

  Commit 6cf0a88

• Regolo.ai · Quelle geändert: Zertifikat CSA STAR Level 1

  Gilt nicht für Regolo. Der Registereintrag (Abruf 09.10.2026) führt nur zwei Seeweb-Produkte, 'Foundation Server PRO' (Listed Since: 2022-06-07) und 'Virtual Private Cloud' (Listed Since: 2022-06-02), jeweils CAIQ-Selbstauskunft ('At level one organizations submit a self-assessment'); Seeweb-Seite seeweb.it/azienda/certificazioni: 'Certificazione Cloud Security Alliance per Virtual Private Cloud e Foundation Server PRO'. Regolo zeigt das Logo im Seitenfuß „Datacenter Certifications“ (Alt-Text 'CSA STAR Level 1') ohne diese Einschränkung.

  alte Quelle: regolo.ai/terms-and-conditions/ · neue Quelle: cloudsecurityalliance.org/star/registry/seeweb/ · Commit 38745f5

• Regolo.ai · Zertifikat CSA STAR Level 1 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Der Registereintrag gilt nur für zwei Produkte der Betreibergesellschaft Seeweb, nicht für den Dienst Regolo. Gilt nicht für Regolo. Der Registereintrag (Abruf 09.10.2026) führt nur zwei Seeweb-Produkte, 'Foundation Server PRO' (Listed Since: 2022-06-07) und 'Virtual Private Cloud' (Listed Since: 2022-06-02), jeweils CAIQ-Selbstauskunft ('At level one organizations submit a self-assessment'); Seeweb-Seite seeweb.it/azienda/certificazioni: 'Certificazione Cloud Security Alliance per Virtual Private Cloud e Foundation Server PRO'. Regolo zeigt das Logo im Seitenfuß „Datacenter Certifications“ (Alt-Text 'CSA STAR Level 1') ohne diese Einschränkung.

  Commit 6cf0a88

• Regolo.ai · Quelle geändert: Zertifikat ISO 27001

  Zertifikat der Betreibergesellschaft Seeweb S.r.l., nicht von Regolo selbst: ISO/IEC 27001:2022, Nr. IT18-27702D, gültig bis 28.11.2027, ausgestellt von AXE Register (Saronno); akkreditiert ist AXE Register Sh.p.k. (Tirana) durch DPA Albanien (EA-MLA), nicht DAkkS. Seeweb-Seite (09.10.2026): 'Certificato AXE REGISTER n. IT18-27702D valido fino al 28 Novembre 2027'. Das Logo im Regolo-Seitenfuß „Datacenter Certifications“ trägt am 09.10.2026 weiterhin den Alt-Text 'ISO/IEC 27001 – Information Security (Afnor / AxDéf)'; Afnor ist nicht der Zertifizierer.

  alte Quelle: regolo.ai/terms-and-conditions/ · neue Quelle: www.seeweb.it/files/Certificato_SEEWEB_IT18-27702D-R4_2024.pdf · Commit 38745f5

• Regolo.ai · Quelle geändert: Zertifikat ISO 27017 / 27018

  Belegt nur über die öffentlichen Zertifikatsanhänge der Betreibergesellschaft Seeweb S.r.l. (ISO/IEC 27017 und 27018, AXE Register, gültig bis 28.11.2027; beide PDFs am 09.10.2026 erneut abgerufen), nicht über ein Zertifikat von Regolo selbst; Regolo zeigt die Normen nur als Logo (regolo.ai/terms-and-conditions/). Quelle bis 09.10.2026 die Regolo-AGB (Strenge-Runde Frage 217). Zusätzlich ISO 9001, 14001, 20000, 22301 der Seeweb S.r.l., dazu CISPE und ACN-Qualifizierung (Logos im Seitenfuß, 08.10.2026)

  alte Quelle: regolo.ai/terms-and-conditions/ · neue Quelle: www.seeweb.it/files/Certificato_Appendice_SEEWEB_27017_R4_2024.pdf · Commit f8765e2

• Scaleway · Zertifikat HDS belegt → beansprucht

  Französische Zertifizierung für das Hosting von Gesundheitsdaten; nur auf der Marketingseite beansprucht, Zertifikat nicht öffentlich. Security-and-Compliance-Seite (09.10.2026): 'Scaleway is HDS-certified for the hosting of health data'. Im Trust Center (security.scaleway.com, nur im Browser abrufbar, 09.10.2026) ist 'SGS_HDS_FR2600000195_FR.pdf' ohne Download-Link gelistet und nur nach 'Get access' (Zugangsanfrage) erhältlich. Generative APIs gehören laut Trust Center nicht zum HDS-Umfang (siehe Anwendungsbereich).

  Commit 38745f5

• Scaleway · Zertifikat ISO 27001 belegt → beansprucht

  Nur auf der Marketingseite beansprucht, Zertifikat nicht öffentlich. Security-and-Compliance-Seite (09.10.2026): 'Certifications and Qualifications ISO/IEC 27001:2022' und 'Scaleway is committed to obtaining the most stringent certifications (ISO 27001, HDS, SecNumCloud – currently undergoing assessment)'. Im Trust Center (security.scaleway.com, nur im Browser abrufbar, 09.10.2026) steht nur 'Scaleway has undergone an ISO 27001:2022 audit.'; das Zertifikat 'SGS_ISO_IEC 27001_2022_FR2600000200_EN.pdf' ist dort ohne Download-Link gelistet und nur nach 'Get access' (Zugangsanfrage) erhältlich.

  Commit 38745f5

• STACKIT · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Testat nicht öffentlich; die Zertifikatsseite (Abruf 09.10.2026) verlinkt Zertifikate zu ISO 27001, ISO 20000-1, ISO 22301, ISO 50001, BSI-IGZ-0691-2025 und CCI, aber keinen C5-Bericht; auch die Pressemitteilung ist eine Angabe der Schwarz-Gruppe. C5 Typ 2; bestätigt per Pressemitteilung Schwarz Digits.

  Commit f8765e2

• STACKIT · Quelle geändert: Zertifikat ISO 27001

  Zertifikat 01 153 2500863 (ISO/IEC 27001:2022, TÜV Rheinland Cert GmbH, gültig 09.02.2026 bis 08.02.2029), 'Certificate Holder: STACKIT GmbH & Co. KG', Neckarsulm; Scope: 'Cloud infrastructure and platform services (IaaS and PaaS) as well as colocation in the form of providing data center or rack space.' AI Model Serving ist nicht genannt. Vertragspartner im AVV (https://stackit.com/de/asset/download/34534/file/STACKIT_Auftragsverarbeitungsvertrag.pdf, Version 2.4.2, 09.10.2026) ist eine andere Gesellschaft: 'Auftragnehmer ist die Schwarz Digits Cloud GmbH & Co. KG, Am Campus 1, 74177 Bad Friedrichshall.' Die Zertifikatsseite (https://stackit.com/en/why-stackit/benefits/certificates) wirbt mit 'Certifications according to ISO/IEC 27001, 27017 and 27018'; 27017/27018 sind nur SoA-Maßnahmen dieses Zertifikats (eigene Einträge).

  alte Quelle: stackit.com/en/why-stackit/benefits/certificates · neue Quelle: stackit.com/en/asset/download/50680/file/ISO%253AIEC%252027001_2022_EN.pdf?version=2 · Commit 38745f5

• STACKIT · Zertifikat ISO 27017 (nur SoA-Maßnahmen im ISO-27001-Zertifikat, kein eigenes Zertifikat) – → belegt

  Kein ISO-27017-Zertifikat. Belegt ist nur, dass das ISO-27001-Zertifikat 01 153 2500863 der STACKIT GmbH & Co. KG die Maßnahmen in der SoA führt: 'Statement of Applicability (SoA): Version 22, vom 28.11.2025 with the additional measures for ISO/IEC 27017:2015 & ISO/IEC 27018:2019.' Die Zertifikatsseite (https://stackit.com/en/why-stackit/benefits/certificates, 09.10.2026) schreibt dagegen 'With ISO 27017 certification, we prove that our cloud architecture meets the strictest international requirements for cloud security'; ein eigenes Dokument ist dort nicht verlinkt. AI Model Serving liegt nicht im genannten Scope.

  neue Quelle: stackit.com/en/asset/download/50680/file/ISO%253AIEC%252027001_2022_EN.pdf?version=2 · Commit 38745f5

• STACKIT · Zertifikat ISO 27017 belegt → –

  alte Quelle: stackit.com/en/why-stackit/benefits/certificates · Commit 38745f5

• STACKIT · Zertifikat ISO 27018 (nur SoA-Maßnahmen im ISO-27001-Zertifikat, kein eigenes Zertifikat) – → belegt

  Kein ISO-27018-Zertifikat. Belegt ist nur, dass das ISO-27001-Zertifikat 01 153 2500863 der STACKIT GmbH & Co. KG die Maßnahmen in der SoA führt: 'Statement of Applicability (SoA): Version 22, vom 28.11.2025 with the additional measures for ISO/IEC 27017:2015 & ISO/IEC 27018:2019.' Die Zertifikatsseite (https://stackit.com/en/why-stackit/benefits/certificates, 09.10.2026) schreibt dagegen 'we guarantee the uncompromising protection of personal data (PII) with ISO 27018'; ein eigenes Dokument ist dort nicht verlinkt. AI Model Serving liegt nicht im genannten Scope.

  neue Quelle: stackit.com/en/asset/download/50680/file/ISO%253AIEC%252027001_2022_EN.pdf?version=2 · Commit 38745f5

• STACKIT · Zertifikat ISO 27018 belegt → –

  alte Quelle: stackit.com/en/why-stackit/benefits/certificates · Commit 38745f5

• STACKIT · Zertifikat SOC 2 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Kein Bericht veröffentlicht; die Zertifikatsseite (Abruf 09.10.2026) verlinkt keinen ISAE-3000-/SOC-2-Bericht. ISAE 3000 (SOC 2) und ISAE 3402 begleitend zum C5-Testat.

  Commit f8765e2

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat BSI C5 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Testat nicht öffentlich; die Zertifikatsseite (Abruf 09.10.2026) verlinkt zu C5 kein Dokument. BSI C5 Typ II (ISAE 3000) für die Open Telekom Cloud / T-Cloud.

  Commit f8765e2

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Quelle geändert: Zertifikat ISO 27001

  Dachzertifikat der Deutsche Telekom AG (Nr. 172572.00DE, ISO/IEC 27001:2022, gültig bis 03.12.2027), ausgestellt von 'DEKRA Certification, Inc.' in Atlanta (USA, ANAB-akkreditiert, nicht DAkkS). Scope: 'Development, operation and maintenance of Information Technology (IT) / Operational Technology (OT) / Network Technology (NT) solutions, products and consulting as well as Shared Services'; AI Foundation Services ist im Zertifikat nicht genannt. Nur die Enterprise-Trust-Seite (https://docs.llmhub.t-systems.net/reference/enterprise-trust/, 09.10.2026) sagt: 'T-Systems operations are ISO 27001 certified, covering information security management for the infrastructure and processes underlying AI Foundation Services.' ISO 27017/27018 sind kein Zertifikat, sondern ein Testat (eigener Eintrag); ISO 27701 eigener Eintrag.

  alte Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · neue Quelle: www.t-cloud-public.com/_Resources/Persistent/a/6/6/1/a661457952c225c023711124c8af5721a2f56d5a/06_27001_Dachzertifikat_20240229_en_de.pdf · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27017 (Testat, kein Zertifikat) – → belegt

  Kein ISO-27017-Zertifikat, sondern ein 'ATTESTATION' der DEKRA Certification GmbH (Stuttgart) für die Deutsche Telekom AG (DS-1221076/1, gültig bis 03.12.2027): 'included and implemented the ISO/IEC 27017:2015 and ISO/IEC 27018:2019 standards as sources for the extension of measures of the sets of measures in the statement of applicability.' Die Zertifikatsseite (https://www.t-cloud-public.com/en/products-services/core-services/certifications, 09.10.2026) bewirbt es als 'ISO/IEC 27017 Certification of additional information security controls for the use of cloud services' mit 'Download certificate'. AI Foundation Services ist im Testat nicht genannt.

  neue Quelle: www.t-cloud-public.com/_Resources/Persistent/2/b/4/b/2b4b3a469a354b21500fca6acda2a8652ff6c478/04_27017_27018_Testat_en_20221130.pdf · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27017 belegt → –

  alte Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27018 (Testat, kein Zertifikat) – → belegt

  Kein ISO-27018-Zertifikat, sondern dasselbe 'ATTESTATION' der DEKRA Certification GmbH wie bei ISO 27017 (DS-1221076/1, gültig bis 03.12.2027): 'included and implemented the ISO/IEC 27017:2015 and ISO/IEC 27018:2019 standards as sources for the extension of measures of the sets of measures in the statement of applicability.' Die Zertifikatsseite (https://www.t-cloud-public.com/en/products-services/core-services/certifications, 09.10.2026) bewirbt es als 'ISO/IEC 27018 Certification of protection of personally identifiable information (PII) in public clouds acting as PII processors' mit 'Download certificate'. AI Foundation Services ist im Testat nicht genannt.

  neue Quelle: www.t-cloud-public.com/_Resources/Persistent/2/b/4/b/2b4b3a469a354b21500fca6acda2a8652ff6c478/04_27017_27018_Testat_en_20221130.pdf · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27018 belegt → –

  alte Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Quelle geändert: Zertifikat ISO 27701

  Dachzertifikat der Deutsche Telekom AG (Nr. DE182572.00, ISO/IEC 27701:2019), ausgestellt von 'DEKRA Certification, Inc.' in Atlanta (USA, ANAB-akkreditiert, nicht DAkkS); 'This certification is dependent upon continued validity of ISO 27001 Certificate Number: 172572.00DE'. AI Foundation Services ist im Zertifikat nicht genannt.

  alte Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · neue Quelle: www.t-cloud-public.com/_Resources/Persistent/5/c/2/5/5c25ff467eb2c4ff6557b8d7eb87e9b6214bb0f7/03_27701_Umbrella-Certificate_20230216.pdf · Commit 38745f5

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat SOC 2 belegt → beansprucht

  Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Kein SOC-1- oder SOC-2-Bericht öffentlich; der auf der Zertifikatsseite verlinkte 'TS OTC SOC 3 Report.pdf' ist kennwortgeschützt und ließ sich am 09.10.2026 nicht öffnen. SOC 1 Type II, SOC 2 Type II und SOC 3.

  Commit f8765e2

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat TISAX belegt → beansprucht

  Commit facf6e5

08.10.2026

• GreenPT · Zertifikat SOC 2 Type II – → beansprucht

  greenpt.com/privacy (Abschnitt „Security Certifications“, am 05.10. und 08.10.2026 gleich): „Our infrastructure maintains ISO 27001 and SOC 2 Type II certifications“. Gemeint ist laut Wortlaut die Infrastruktur, nicht GreenPT BV; kein Bericht verlinkt. Die Seite „Security & Compliance“ von Scaleway nennt am 08.10.2026 kein SOC 2; für Verda ungeklärt. Wessen SOC-2-Bericht gemeint ist: ungeklärt

  neue Quelle: greenpt.com/privacy · Commit 310f1fd

• Hetzner · Modell Qwen3.8-27B (experimentell) – → belegt

  Zweites Modell der experimentellen Inference-API (dicht, Kontext 262.144 Token, Text und Bild, Apache 2.0); Bedingungen wie beim ersten Modell. Laut Doku ist allein die Antwort von /v1/models maßgeblich, die Auswahl ändert sich in der Experimentierphase.

  neue Quelle: docs.hetzner.com/general/company-and-policy/experiments/inference/ · Commit 888d5b3

• Infomaniak · Modell Ministral-3-14B-Instruct-2512 – → belegt

  Preis in CHF, exkl. MwSt.; 100k Kontext, Bild-Text zu Text, nicht als Beta gekennzeichnet (infomaniak.com/en/hosting/ai-services/open-source-models, Abruf 08.10.2026). Am 08.10.2026 erstmals im Profil; seit wann Infomaniak es anbietet, ist ungeklärt (die Wayback-Kopie der Preisseite vom 24.09.2026 enthält die Modellliste nicht, sie wurde damals nachgeladen). Standort laut infomaniak.com/en/hosting/ai-services (08.10.2026): „Our AI and GPU services are powered from the heart of Europe in our data centers located in Switzerland“. Die Preisseite selbst nennt keinen Standort.

  neue Quelle: www.infomaniak.com/en/hosting/ai-services/prices · Commit 8548e1b

• Lyceum Technology · Quelle geändert: Modell DeepSeek V4 Pro

  Preis in USD — Modellseite seit spätestens 08.10.2026 unter /models/ (alte Adresse /products/inference/models/ leitet per Skript dorthin, HTTP 200): 'GPUs run in European data centres'; Länder laut Lyceum (magazine/c5-certification-gpu-cloud-germany/, 'Last updated 3 August 2026', und magazine/eu-data-residency-ai-infrastructure, Abruf 08.10.2026) 'European data centres in Paris and Finland', ausdrücklich ohne deutsches Rechenzentrum; die Angabe 'Spain, Paris and the Nordics' vom 04.10.2026 steht dort nicht mehr; Modell-ID deepseek/deepseek-v4-pro, Kontext dort 'Not confirmed'; daneben neu DeepSeek V4 Pro 0813 ($2.00/$4.00)

  alte Quelle: lyceum.technology/products/inference/models/ · neue Quelle: lyceum.technology/models/ · Commit cad7144

• Lyceum Technology · Modell Kimi K2.6 belegt → unbelegt

  Aussage stand bis 2026-10-04 auf https://lyceum.technology/products/inference/models/ (1,00 $ / 4,00 $ je 1M), am 08.10.2026 nicht mehr — laut Retired-Liste auf https://lyceum.technology/models/ abgeschaltet (Modell-ID moonshotai/kimi-k2.6); Nachfolger laut Anbieter Kimi K3

  alte Quelle: lyceum.technology/products/inference/models/ · Commit cad7144

• Lyceum Technology · Modell Kimi K3 – → belegt

  Preis in USD — Modellseite seit spätestens 08.10.2026 unter /models/ (alte Adresse /products/inference/models/ leitet per Skript dorthin, HTTP 200): 'GPUs run in European data centres'; Länder laut Lyceum (magazine/c5-certification-gpu-cloud-germany/, 'Last updated 3 August 2026', und magazine/eu-data-residency-ai-infrastructure, Abruf 08.10.2026) 'European data centres in Paris and Finland', ausdrücklich ohne deutsches Rechenzentrum; die Angabe 'Spain, Paris and the Nordics' vom 04.10.2026 steht dort nicht mehr; Modell-ID moonshotai/kimi-k3, 1M Kontext, Nachfolger von Kimi K2.6 laut Retired-Liste

  neue Quelle: lyceum.technology/models/ · Commit cad7144

• Lyceum Technology · Modell Qwen3 235B A22B belegt → unbelegt

  Aussage stand bis 2026-10-04 auf https://lyceum.technology/products/inference/models/ (0,20 $ / 0,60 $ je 1M), am 08.10.2026 nicht mehr — laut Retired-Liste auf https://lyceum.technology/models/ abgeschaltet (Modell-ID qwen/qwen3-235b-a22b-instruct-2507, 'Requests to their model IDs return 404 model not found'); Nachfolger laut Anbieter Qwen3.8 2.4T A95B

  alte Quelle: lyceum.technology/products/inference/models/ · Commit cad7144

• Lyceum Technology · Modell Qwen3.8 2.4T A95B – → belegt

  Preis in USD — Modellseite seit spätestens 08.10.2026 unter /models/ (alte Adresse /products/inference/models/ leitet per Skript dorthin, HTTP 200): 'GPUs run in European data centres'; Länder laut Lyceum (magazine/c5-certification-gpu-cloud-germany/, 'Last updated 3 August 2026', und magazine/eu-data-residency-ai-infrastructure, Abruf 08.10.2026) 'European data centres in Paris and Finland', ausdrücklich ohne deutsches Rechenzentrum; die Angabe 'Spain, Paris and the Nordics' vom 04.10.2026 steht dort nicht mehr; Modell-ID qwen/qwen3.8-2.4t-a95b, 256K Kontext, Nachfolger von Qwen3 235B A22B laut Retired-Liste

  neue Quelle: lyceum.technology/models/ · Commit cad7144

• Mistral AI (La Plateforme) · Quelle geändert: Modell Codestral, Modell Ministral 3 (8B), Modell Mistral Large 3, Modell Mistral Medium 3.5, Modell Mistral Small 4

  alte Quelle: mistral.ai/pricing/api · neue Quelle: docs.mistral.ai/inference/pricing · Commit ce0e4ee

• Mistral AI (La Plateforme) · Modell Mistral Large 4 (Public Preview) – → belegt

  Preis in USD (Listenpreis); am 08.10.2026 gilt ein Aktionspreis von 0.68/2.09 USD, wie lange, steht nicht dabei (ungeklärt). Vorgestellt am 06.10.2026 als „public preview“ (mistral.ai/news/mistral-large-4, Modellseite: „Public Preview“, API-Name mistral-large-4); am 01.10. und 05.10.2026 stand das Modell noch nicht in der Preisliste. Standort laut Ankündigung: „ML4 was trained from scratch on 3,800 NVIDIA Grace Blackwell GPUs in Mistral’s own datacenters in Europe. The public preview is served on that same infrastructure.“ Wichtig für Datenschutz: Commercial Terms of Service (Effective: September 25, 2026) Ziffer 4.3 „Labs or Preview Models“: Mistral „may use Customer Data and Outputs generated from Labs or Preview Models to train its artificial intelligence models“, und „the opt-out preferences you selected for other Mistral AI Products (including through zero data retention) does not apply to Labs or Preview Models“. Für dieses Modell gelten Training-Opt-out und Zero Data Retention also nicht, solange es Preview ist. Archivkopien web.archive.org/web/20261008042700 (Modellseite), 20261008042727 (Ankündigung).

  neue Quelle: docs.mistral.ai/models/mistral-large-4-0 · Commit ce0e4ee

05.10.2026

• Exoscale · Quelle geändert: Modell gpt-oss-120b (Dedicated Inference), Modell Qwen3-Coder-480B (Dedicated Inference)

  Kein Tokenpreis: Dedicated Inference kostet nichts extra, abgerechnet wird die GPU-Zeit sekundengenau. Preistabelle der Seite (05.10.2026, unverändert seit 03.10.; Archivkopie web.archive.org/web/20261005025203 byte-gleich; die Seite ist jetzt unter /inference/dedicated/ verlinkt, die alte Adresse /dedicated-inference/ liefert denselben Inhalt): gpt-oss-120b auf 1x GPU RTX Pro 6000 ab 2,15 €/h (alternativ 4x GPU A5000 für 4,55 €/h); das bisher geführte 1,34 €/h (GPUA5000 small, Preis-API, 06.09.2026) ist der Preis für gpt-oss-20b, nicht für gpt-oss-120b. Beliebige Hugging-Face-Modelle deploybar. Standort laut Exoscale-Doku „Limits and Quotas“ (Dedicated Inference, Stand 30.09.2026): GPU-Verfügbarkeit „varies by zone and GPU type“; die Beispielausgabe zeigt RTX Pro 6000 in de-fra-1 (Frankfurt), hr-zag-1 (Zagreb), ch-dk-2 (Zürich), A5000 in at-vie-2 (Wien). Genf (ch-gva-2) ist dort nicht als GPU-Zone genannt.

  alte Quelle: www.exoscale.com/ai-cloud-infrastructure/dedicated-inference/ · neue Quelle: www.exoscale.com/ai-cloud-infrastructure/inference/dedicated/ · Commit 4e11beb

• Exoscale · Modell Managed Inference (Modellkatalog) beansprucht → –

  alte Quelle: www.exoscale.com/ai-cloud-infrastructure/managed-inference/ · Commit 4e11beb

• Exoscale · Modell On-Demand Inference (Modellkatalog) – → beansprucht

  Pay-per-Token-Dienst angekündigt ('Coming soon', Warteliste); wörtlich: 'Detailed pricing tiers per 1M tokens per model will be published upon launch.' und 'All models are planned to be deployed in both the EU and Switzerland locations'. Exoscale nennt den Dienst 'On-Demand Inference' (hier bis 03.10.2026 als 'Managed Inference' geführt; die alte Adresse /managed-inference/ liefert denselben Inhalt). Die Übersichtsseite /inference/ kündigt zusätzlich 'Batch Inference' an ('Coming soon'). Zu Speicherung und Training der Anfragen steht auf der Seite nichts. Abruf 05.10.2026, Archivkopie web.archive.org/web/20261005025311 byte-gleich.

  neue Quelle: www.exoscale.com/ai-cloud-infrastructure/inference/on-demand/ · Commit 4e11beb

• Exoscale · Zertifikat CSA STAR Level 1 – → beansprucht

  Selbstauskunft, kein Zertifikat. Exoscale schreibt: 'Exoscale participates in the CSA STAR program by publishing our self-assessment using the CAIQ', der ausgefüllte Fragebogen sei 'published on the CSA STAR Registry for full transparency'. In der Liste des CSA STAR Registry (cloudsecurityalliance.org/star/registry, Abruf 05.10.2026, 2.810 Einträge; Nebius und Scaleway stehen darin) war kein Eintrag unter Exoscale, Akenes oder A1 zu finden; ob er unter anderem Namen geführt wird, ist ungeklärt. Deshalb beansprucht, nicht belegt. Die Doku-Seite community.exoscale.com/platform/compliance/ nennt CSA STAR nicht (deshalb am 03.10.2026 hier entfernt), die Website exoscale.com/compliance/ führt es unter 'Security control frameworks'. Archivkopie web.archive.org/web/20261005024847 byte-gleich.

  neue Quelle: www.exoscale.com/compliance/csa-star/ · Commit 4e11beb

• Exoscale · Zertifikat HDS – → belegt

  Französische Zertifizierung für das Hosting von Gesundheitsdaten; Compliance-Seite: 'HDS French health data hosting certification', Scope 1–4 und 6. Bisher nur in der Anmerkung zu TISAX geführt.

  neue Quelle: community.exoscale.com/platform/compliance/ · Commit 4e11beb

• Exoscale · Zertifikat ISO 27017 – → belegt

  Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27017 Security controls for cloud services', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27017/ die Ausgabe ISO/IEC 27017:2015; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

  neue Quelle: community.exoscale.com/platform/compliance/ · Commit 4e11beb

• Exoscale · Zertifikat ISO 27018 – → belegt

  Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27018 Protection of Personally Identifiable Information (PII) in public clouds', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27018/ die Ausgabe ISO/IEC 27018:2019; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

  neue Quelle: community.exoscale.com/platform/compliance/ · Commit 4e11beb

• GreenPT · Quelle geändert: Subprozessoren-Liste

  Liste in der Doku (Data Processors, 05.10.2026), nach Region getrennt. EU-Endpunkt (Standard): Scaleway SAS (FR), Inceptron, Tensorix, Melious (alle Verda-Rechenzentrum, FI). US-Endpunkt api.us.greenpt.ai: Neuralwatt Inc. (USA), „Request content and generated output“, nur für Anfragen an diese Basis-URL. Unabhängig von der Region: Scaleway (Konto- und Nutzungsdaten), Mollie B.V. (NL, Zahlung), Google Workspace (Irland), Cirrux (NL), Brave Search (USA, nur search.greenpt.ai). Die Tabelle in der Privacy Policy auf greenpt.com/privacy-policy („Last updated January 14, 2026“) nennt Neuralwatt nicht

  alte Quelle: greenpt.com/privacy-policy · neue Quelle: docs.greenpt.ai/privacy/processor · Commit f762744

• GreenPT · Quelle geändert: Kein Training mit Kundendaten

  greenpt.com/privacy (05.10.2026): „We never use your conversations, documents, or API traffic to train AI models, ours or anyone else's.“ Die Privacy Policy selbst (Stand 14.01.2026) enthält keinen Satz zum Training, 'No training on your data' steht dort nur im Seitenmenü. Hinweis: ToS enthalten eine Lizenz 'to operate and improve the Services'; Details regelt der DPA

  alte Quelle: greenpt.com/privacy-policy · neue Quelle: greenpt.com/privacy · Commit f762744

• Mistral AI (La Plateforme) · Zertifikat ISO 27001 belegt → beansprucht

  Anbieterangabe ohne Dokument: Zertifizierungsstelle, Zertifikatsnummer und Laufzeit sind öffentlich nicht genannt. Offizielle Aussage: SOC 2 Type II und ISO 27001/27701; Report nur auf Anfrage über Trust Center. Wortlaut des Hilfe-Artikels (12.08.2026, am 05.10.2026 unverändert): „Yes, Mistral complies with both SOC 2 Type II and ISO 27001/27701 frameworks.“ Der Satz sagt „complies with“, nicht „certified“; Zertifizierungsstelle, Zertifikatsnummer und Laufzeit stehen dort nicht, das Trust Center (trust.mistral.ai) ist ohne Browser nicht lesbar und wurde nicht eingesehen. Das gilt ebenso für die Einträge SOC 2 Type II und ISO 27701.

  Commit f6959b0

• Mistral AI (La Plateforme) · Zertifikat ISO 27701 belegt → beansprucht

  Anbieterangabe ohne Dokument: Zertifizierungsstelle, Zertifikatsnummer und Laufzeit sind öffentlich nicht genannt. Datenschutz-Erweiterung zu ISO 27001.

  Commit f6959b0

• Mistral AI (La Plateforme) · Zertifikat SOC 2 Type II belegt → beansprucht

  Anbieterangabe ohne Dokument: Prüfstelle, Berichtsnummer und Laufzeit sind öffentlich nicht genannt. Report sales-gated, Zugang via Trust Center anfragbar.

  Commit f6959b0

• Nebius (Token Factory) · Quelle geändert: AVV / Auftragsverarbeitungsvertrag

  Standard-DPA im offiziellen Legal-Verzeichnis, Fassung vom 15.09.2026; gilt ausdrücklich auch für die Token Factory (eigener Anhang 1B, eigene Subprozessoren-Liste) und ist Teil des Nebius Services Agreement, das seit 28.09.2026 die früheren Token-Factory-Nutzungsbedingungen ablöst (diese gelten nur noch für Kunden mit laufender Reserve). Bei Widersprüchen geht der DPA den übrigen Vertragsteilen vor, aber nur für die Verarbeitung personenbezogener Daten (Agreement Ziffer 20.12). Custom DPAs für Enterprise möglich. Archivkopie web.archive.org/web/20261004223442

  alte Quelle: docs.nebius.com/legal/ · neue Quelle: docs.nebius.com/legal/dpa · Commit 7281970

• Nebius (Token Factory) · Quelle geändert: Subprozessoren-Liste

  Eigene Liste für die Token Factory, Fassung vom 23.09.2026 (bisher war hier die Liste für AI Cloud verlinkt). Infrastruktur für die Modellverarbeitung: Nebius B.V. (Frankreich, Island, Finnland, Vereinigtes Königreich), Nebius Inc. (USA), Nebius Israel Ltd. (Israel) und vier externe US-Firmen: RunPod Inc. (Verarbeitung in Island), BoostRun, LLC (USA), Shadeform, Inc. (USA), Axe Compute Inc. (Kanada). Welche davon eine Anfrage verarbeitet, hängt laut Liste von Modell, Endpunkt-Typ und Verarbeitungsort ab; bei öffentlichen Endpunkten ist der Ort nicht festgelegt, nur ein Dedicated Endpoint bindet die Region. Betrieb und Support: Nebius-Gesellschaften in den USA, Israel, Serbien, UK und der EU, dazu Microsoft (Sentinel), Sentry, Hubspot, Atlassian (Jira), Slack. Änderungen mit mindestens 15 Tagen Vorankündigung (DPA 4.3). Archivkopie web.archive.org/web/20261004223544

  alte Quelle: docs.nebius.com/legal/sub-processors · neue Quelle: docs.nebius.com/legal/sub-processors_tofa · Commit 7281970

• Nebius (Token Factory) · Kein Training mit Kundendaten unbelegt → beansprucht

  Widersprüchlich, auch innerhalb des Vertrags. Die Token Factory Supplemental Terms (Fassung 15.09.2026, Teil des Nebius Services Agreement), Ziffer 5.1 wörtlich: Nebius may access, use, host, cache, store, copy, modify, and otherwise process Input and Output to (a) provide, maintain, monitor, protect, and support the Services, Token Factory Service or (b) train smaller Models used for Speculative Decoding. Der DPA (Fassung 15.09.2026, Anhang 3) sagt zur selben Verarbeitung: inputs and outputs may be retained and used solely for the documented speculative-decoding purpose and not for model training or improvement. Der Legal Quick Guide der Token Factory (ausdrücklich nur Zusammenfassung, der Vertrag geht vor): Your content is not used to train any models in either mode. Ein Vertragsteil nennt es also Training kleiner Entwurfsmodelle, zwei Dokumente verneinen jedes Training; es geht nicht um Training der angebotenen Hauptmodelle. Abwählbar: laut Supplemental Terms Ziffer 5.4 kann der Kunde der Speicherung und der Nutzung für Speculative Decoding jederzeit widersprechen (Onboarding-Formular oder Support), laut Quick Guide per Schalter Zero Data Retention. Standard ist die Nutzung. Die Produktseite nebius.com/services/token-factory enthält seit spätestens 03.10.2026 keine Aussage mehr dazu (bis 19.08.2026: 'requests and outputs are never stored or reused for training'). Archivkopien web.archive.org/web/20261004223414 (Supplemental Terms), 20261004223442 (DPA), 20261004223610 (Quick Guide)

  neue Quelle: docs.nebius.com/legal/token-factory · Commit 7281970

• Nebius (Token Factory) · Zero Data Retention unbelegt → belegt

  Nur als Schalter, nicht als Standard. DPA (Fassung 15.09.2026), Anhang 3 wörtlich: When Zero Data Retention is enabled, Nebius Token Factory does not retain supported chat-completion request and response content after each request is processed, as described in the Documentation. Unless Zero Data Retention is enabled, inputs and outputs may be retained and used solely for the documented speculative-decoding purpose and not for model training or improvement. Ohne den Schalter werden Ein- und Ausgaben also gespeichert, laut Legal Quick Guide in Finnland, unabhängig vom Ort der Verarbeitung; eine Frist nennt keines der Dokumente. Einschränkungen laut DPA: gilt für unterstützte Chat-Completion-Inhalte, auf Ebene der Organisation; request metadata and observability data are retained and are not covered by Zero Data Retention; Löschungen entfernen Daten aus dem aktiven Speicher, nicht einzeln aus Sicherungskopien. Einschalten laut Quick Guide im Kontoprofil, laut Supplemental Terms Ziffer 5.4 über das Onboarding-Formular oder den Support. Die Produktseite wirbt nicht mehr damit (bis 19.08.2026: 'Zero-retention mode'). Archivkopien web.archive.org/web/20261004223442 (DPA), 20261004223610 (Quick Guide), 20261004223414 (Supplemental Terms)

  neue Quelle: docs.nebius.com/legal/dpa · Commit 7281970

• Nordference · AI Act: Transparenz-/Compliance-Angaben zum EU AI Act unbelegt → beansprucht

  Vergleichstabelle auf der Startseite: Zeile 'EU AI Act Ready' mit Häkchen bei Nordference ('Typical Providers': 'Varies'). Kein Dokument, keine Erklärung, was damit zugesagt ist; die About-Seite spricht nur von 'upcoming AI Act requirements'. Bis 03.10.2026 stand hier 'unbelegt, keinerlei Angaben' — das Häkchen steht nicht als Text auf der Seite, sondern entsteht aus der Tabellen-Definition im Skript-Bündel (https://nordference.ai/assets/index-CGzvo87P.js, Archivkopie web.archive.org/web/20261005012917).

  neue Quelle: nordference.ai/ · Commit 99a2de0

• Nordference · Kein Training mit Kundendaten unbelegt → belegt

  Startseite, Abschnitt 'Built for Regulated Industries', Kachel 'Legal', wörtlich: 'Maintain attorney-client privilege with zero data retention. Your prompts and outputs are never stored or used for training.' Dazu die About-Seite: 'No black boxes, no hidden training on your data.' Einschränkung: Das ist Werbetext. In Terms of Service, Privacy Policy und GDPR-Seite (alle Stand 28.01.2026) kommt das Wort Training nicht vor; die Terms sagen nur 'You retain all rights to your input data and generated outputs.' Die Website ist eine Ein-Seiten-Anwendung; der zitierte Text steht im Skript-Bündel https://nordference.ai/assets/index-CGzvo87P.js (Abruf 05.10.2026, Archivkopie web.archive.org/web/20261005012917 byte-gleich).

  neue Quelle: nordference.ai/ · Commit 99a2de0

• Nordference · Kein Training mit Kundendaten belegt → beansprucht

  Startseite, Abschnitt 'Built for Regulated Industries', Kachel 'Legal', wörtlich: 'Maintain attorney-client privilege with zero data retention. Your prompts and outputs are never stored or used for training.' Dazu die About-Seite: 'No black boxes, no hidden training on your data.' Das ist Werbetext ohne Vertragstext, deshalb Anbieterangabe und nicht belegt: In Terms of Service, Privacy Policy und GDPR-Seite (alle Stand 28.01.2026) kommt das Wort Training nicht vor; die Terms sagen nur 'You retain all rights to your input data and generated outputs.' Die Website ist eine Ein-Seiten-Anwendung; der zitierte Text steht im Skript-Bündel https://nordference.ai/assets/index-CGzvo87P.js (Abruf 05.10.2026, Archivkopie web.archive.org/web/20261005012917 byte-gleich).

  Commit f6959b0

• OVHcloud (AI Endpoints) · Quelle geändert: AVV / Auftragsverarbeitungsvertrag

  Auftragsverarbeitungsvertrag der OVH GmbH (Köln), 'Version vom 17.10.2025' (Datei DE-8.0), verlinkt auf der deutschen Vertragsseite; die Adresse leitet auf die jeweils gültige Fassung um. Der bis 05.10.2026 hier verlinkte Direktlink (IE-6.2, 'Version dated on 09.08.2023', Vertragspartner OVH Hosting Ltd., Irland) ist noch abrufbar, aber überholt: die irische Fassung ist inzwischen IE-7.0 vom 17.10.2025. Ziffer 7.3: Ein neuer oder gewechselter Unterauftragsverarbeiter wird 30 Tage vorher angekündigt (verbundenes Unternehmen in der EU oder in einem Land mit Angemessenheitsbeschluss), sonst 90 Tage vorher; Einspruch binnen 15 Tagen. Archivkopie web.archive.org/web/20261005073138 (byte-gleich zum Abruf).

  alte Quelle: us.ovhcloud.com/legal/faqs/gdpr-compliance/ · neue Quelle: www.ovhcloud.com/de/terms-and-conditions/contracts/ · Commit 92485da

• OVHcloud (AI Endpoints) · Quelle geändert: Subprozessoren-Liste

  Liste 'Unterauftragsverarbeiter', 'Stand: 16. Oktober 2025' (Datei DE-3.0; die bisher verlinkte britische Fassung GB-3.0 trägt dasselbe Datum). Namentlich genannt sind nur Unternehmen der OVH-Gruppe (Abschnitt A, darunter die Rechenzentrums-Gesellschaften). Abschnitt B nennt keine Dritten, sondern verweist: 'so werden diese in den für die betreffenden Dienstleistungen geltenden besonderen Vertragsbedingungen aufgelistet.' Die Besonderen Vertragsbedingungen für Public-Cloud-Dienste (Stand 26. August 2026), Anhang 10 'AI Endpoints', nennen keinen dritten Auftragsverarbeiter. Die frühere Anmerkung, die Liste enthalte Drittanbieter, war falsch. Archivkopie web.archive.org/web/20261005073150 (byte-gleich zum Abruf).

  alte Quelle: storage.gra.cloud.ovh.net/v1/AUTH_325716a587c64897acbef9a4a4726e38/contracts/6045f8b-OVH_Sub_processors-GB-3.0.pdf · neue Quelle: contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf · Commit 92485da

• STACKIT · AVV / Auftragsverarbeitungsvertrag unbelegt → belegt

  Wieder öffentlich: Die AGB-Seite der STACKIT Cloud Services verlinkt den Auftragsverarbeitungsvertrag als PDF ("Version 2.4.2 STACKIT Cloud Services", ohne Datum im Dokument; Auftragnehmer Schwarz Digits Cloud GmbH & Co. KG, Bad Friedrichshall). Er wird mit der Bestellung von STACKIT Cloud Services Teil des Vertrags; bei mehreren Sprachfassungen ist allein die deutsche verbindlich (Ziffer 13.3). Ziffer 2.5 wörtlich: Die Verarbeitung der Auftraggeber-Daten durch den Auftragnehmer findet innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Außerhalb des EWR nur nach ausdrücklicher Vereinbarung (z.B. im Leistungsschein eines Dienstes). Ziffer 2.3: Nutzungsdaten (nicht die Inhalte) verarbeitet STACKIT auch zur Optimierung und Weiterentwicklung der Dienste und in anonymisierter Form für eigene Zwecke. Vorgeschichte: Der AVV "Stand Januar 2022, Version 1.0" lag bis mindestens 19.08.2026 unter www.stackit.de; am 24.08.2026 leitete die Domain auf die Startseite um und das Dokument war nicht mehr auffindbar, deshalb stand das Feld bis 05.10.2026 auf unbelegt. Archivkopie web.archive.org/web/20261004232738 (PDF, byte-gleich zum Abruf), 20261004232856 (AGB-Seite)

  neue Quelle: stackit.com/de/agb/cloud-services · Commit c9588d8

• STACKIT · Subprozessoren-Liste unbelegt → belegt

  Anlage 2 des Auftragsverarbeitungsvertrags (Version 2.4.2), Ziffer 7.1 wörtlich: Die zum Zeitpunkt des Vertragsschlusses in Anspruch genommenen weiteren Auftragsverarbeiter ergeben sich aus Anlage 2. Die Anlage nennt 14 Firmen, alle mit Sitz in der EU: Anynines (Saarbrücken), CGI Deutschland (Leinfelden-Echterdingen), Cloud&Heat Technologies (Dresden), Exivity (Amsterdam), Freiheit.com Technologies (Hamburg), Inovex (Pforzheim), ISD Feniqs (Ludwigshafen), Nextevolution (Hamburg), Rewion (Murr), Schwarz Digits Bulgaria (Sofia), Schwarz Digits IT KG (Bad Friedrichshall), Schwarz Digits Romania (Bukarest), Schwarz IT S.L.U. (Barcelona), Social Bigdata Comunicacion (Barcelona). Zweck jeweils Entwicklungs-, Betriebs- oder Beratungsunterstützung. Die Liste gilt für alle STACKIT Cloud Services und sagt nicht, welche Firma am AI Model Serving beteiligt ist; ein Datum trägt sie nicht. Änderungen kündigt STACKIT per E-Mail an, Einspruch nur aus wichtigem Grund binnen 14 Tagen (Ziffer 7.2). Nicht erfasst sind Dienstleister für Prüfung und Wartung ohne Verarbeitungsauftrag (Ziffer 7.1). Eine eigene Webseite mit der Liste gibt es nicht. Archivkopie web.archive.org/web/20261004232738

  neue Quelle: stackit.com/de/agb/cloud-services · Commit c9588d8

04.10.2026

• Aleph Alpha · Modell Kolibri (spezialisiertes souveränes LLM) beansprucht → –

  alte Quelle: aleph-alpha.com/ · Commit 4312aa9

• Aleph Alpha · Modell Kolibri-1 – → belegt

  Seit 03.10.2026 offene Gewichte unter Apache 2.0 (Modellkarte auf Hugging Face, nicht zugangsbeschränkt; Blog 'Kolibri Has Landed: A Sovereign Open-Weight Model'): Mixture-of-Experts, 78 Mrd. Parameter, davon 3 Mrd. aktiv, Deutsch/Englisch, Kontext bis 1 Mio. Token. Selbst betreiben (Mindestanforderung laut aleph-alpha.com/kolibri: 2× A100 80 GB oder 1× H200); einen öffentlichen API-Tokenpreis gibt es nicht. Archivkopie: web.archive.org/web/20261004091314/https://huggingface.co/Aleph-Alpha/Kolibri-1

  neue Quelle: huggingface.co/Aleph-Alpha/Kolibri-1 · Commit 4312aa9

• Aleph Alpha · Quelle geändert: AVV / Auftragsverarbeitungsvertrag, Subprozessoren-Liste

  Kein öffentliches AVV/DPA-Dokument. Die Datenschutzerklärung regelt nur Website, Kontakt, Newsletter und Bewerbungen; die in der Produktdoku verlinkten 'Terms and Conditions' leiten am 04.10.2026 auf die Startseite um. Verträge im Enterprise-Vertrieb individuell.

  neue Quelle: aleph-alpha.com/datenschutz/ · Commit 4312aa9

• Aleph Alpha · Kein Training mit Kundendaten unbelegt → beansprucht

  Eigenaussage in der Produktdoku zu Pharia-1, Abschnitt 'Data privacy': 'We do not train on user data.' Bezugsrahmen sind 'our public API users' und die 'Terms and Conditions' — die verlinkten Bedingungen sind nicht mehr abrufbar, ein Vertragstext liegt nicht vor; für die souveräne SaaS-Variante der PhariaAI-Plattform keine eigene Aussage. Bei Self-Hosting/On-Premises verbleiben Daten beim Kunden. Archivkopie: web.archive.org/web/20261004091251/https://docs.aleph-alpha.com/phariaai-dev-guide/latest/pharia-llm/intro.html

  neue Quelle: docs.aleph-alpha.com/phariaai-dev-guide/latest/pharia-llm/intro.html · Commit 4312aa9

• Aleph Alpha · Zero Data Retention unbelegt → beansprucht

  Eigenaussage in derselben Doku: 'No prompt data is stored when using our systems' und 'We do not log user inputs to the models.' Gilt laut Text für 'our public API users'; die verwiesenen 'Terms and Conditions' sind nicht mehr abrufbar, eine vertragliche Zusage oder Frist für Metadaten-Logs fehlt. Archivkopie: web.archive.org/web/20261004091251/https://docs.aleph-alpha.com/phariaai-dev-guide/latest/pharia-llm/intro.html

  neue Quelle: docs.aleph-alpha.com/phariaai-dev-guide/latest/pharia-llm/intro.html · Commit 4312aa9

• Gcore · Quelle geändert: Kein Training mit Kundendaten, Zero Data Retention

  Kein ausdrücklicher Trainingsausschluss, auch nicht in der Inference-Doku (docs.gcore.com, 04.10.2026). Der MSA bindet nur den Zweck: Lizenz an Customer Content 'solely for the purposes of this Agreement' (§7.2), Nutzung von Customer Data 'solely on behalf of Customer, except where Gcore acts as an independent data controller' (§8.3). Die Modellseiten ('Your data and model interactions never leave our secure infrastructure') betreffen den Ort, nicht das Training. Archivkopie: web.archive.org/web/20261004055218/https://gcore.com/legal

  neue Quelle: gcore.com/legal · Commit 6bf918c

• Hetzner · Kein Training mit Kundendaten unbelegt → belegt

  Datenschutzerklärung Abschnitt 4.5.2 Inference: Prompts und Outputs werden 'auch nicht anderweitig zum Training oder zur Verbesserung der KI-Modelle verwendet' — standardmäßig ausgeschlossen. Die Inference-Doku selbst sagt dazu nichts.

  neue Quelle: www.hetzner.com/de/rechtliches/datenschutz · Commit 11dba23

• Hetzner · Quelle geändert: Kein Training mit Kundendaten, Zero Data Retention

  alte Quelle: www.hetzner.com/de/rechtliches/datenschutz · neue Quelle: www.hetzner.com/de/legal/privacy-policy/ · Commit 33b30a6

• Hetzner · Zero Data Retention unbelegt → belegt

  Datenschutzerklärung Abschnitt 4.5.2 Inference: 'Prompts und Outputs : Werden im Rahmen unserer Zero-Retention-Policy nicht gespeichert.' Logfiles (anonymisierte IP, Zeitpunkt, Metadaten, Einstellungen, ohne Inhalte) 6 Monate, Abrechnungsdaten 8 Jahre. Die Inference-Doku selbst sagt dazu nichts.

  neue Quelle: www.hetzner.com/de/rechtliches/datenschutz · Commit 11dba23

• Infomaniak · Kein Training mit Kundendaten beansprucht → belegt

  Besondere Bedingungen „LLM API - Terms and Conditions of Use“ (Fassung „Review of 07/10/2025“, Abruf 04.10.2026), Art. 6 wörtlich: Infomaniak explicitly states it does not use transmitted data (prompts, response content) to train its own AIs or to exploit the data in any other way — Training per Vertrag ausgeschlossen, kein Opt-out nötig. Die Bedingungen gehen den allgemeinen Nutzungsbedingungen vor (Art. 1). Produktseite gleichlautend: 'Your queries are neither recorded nor used to train models or improve our services'. Das PDF wird bei jedem Abruf neu erzeugt (Datei-Hash wechselt, Text gleich)

  alte Quelle: www.infomaniak.com/en/hosting/ai-services · neue Quelle: welcome.infomaniak.com/api/web-components/1/cgu/latest?id=87&locale=en_GB · Commit a87c7bc

• Infomaniak · Zero Data Retention beansprucht → belegt

  Besondere Bedingungen „LLM API - Terms and Conditions of Use“ (Fassung „Review of 07/10/2025“, Abruf 04.10.2026), Art. 6 wörtlich: Infomaniak does not permanently collect any information transmitted by the Client during API usage, except for data necessary for billing and the proper functioning of the service. Some data is stored temporarily for the duration necessary to process the Client's request. — gleiche Formel wie bei Lyceum und DeepL (Speicherung nur für die Bearbeitung). Der Vertrag ist enger als die Produktseite ('No queries are stored'): Ausnahme für Abrechnung und Betrieb ohne Frist; dauerhaft erfasst werden laut Art. 6 Kunden-ID, Anzahl und Bearbeitungszeit der Anfragen, Zeitstempel und Metadaten (Größe, Format, Dauer, Seitenzahl)

  alte Quelle: www.infomaniak.com/en/hosting/ai-services · neue Quelle: welcome.infomaniak.com/api/web-components/1/cgu/latest?id=87&locale=en_GB · Commit a87c7bc

• Infomaniak · Quelle geändert: Zertifikat SOC 2

  Kein SOC-2-Bericht: die Zertifikatsseite nennt am 04.10.2026 ISO 27001, 9001, 14001, 50001, die Swiss-Labels und B Corp, SOC 2 nicht

  neue Quelle: www.infomaniak.com/en/certifications · Commit a87c7bc

• Lyceum Technology · Kein Training mit Kundendaten unbelegt → belegt

  AGB Ziff. 5.2 wörtlich (Abruf 04.10.2026): for the specific 'Inference' product, any inputs and outputs are only processed to generate the respective result for the Customer and are not stored beyond what is technically necessary for this purpose, nor used for training, improvement or analysis of the Provider's or any third party's AI, LLM or other machine learning models — Training per Vertrag ausgeschlossen, kein Opt-out nötig. Für eingereichten Code gilt dasselbe (Ziff. 5.1). Die frühere Aussage im C5-Magazinartikel (bis 19.08.) steht dort weiter nicht mehr.

  neue Quelle: lyceum.technology/legal/terms · Commit 0501d19

• Lyceum Technology · Zero Data Retention unbelegt → belegt

  AGB Ziff. 5.2 (Abruf 04.10.2026): Inference-Inputs/-Outputs werden nicht gespeichert beyond what is technically necessary — gleiche Formel wie bei DeepL (Pro-AGB 3.1.2). Keine Frist, keine Aussage zu Logs/Metadaten; die Datenschutzerklärung regelt nur Website-/Kontodaten (Speicherung so lange wie nötig).

  neue Quelle: lyceum.technology/legal/terms · Commit 0501d19

• Nebius (Token Factory) · Zertifikat ISO/IEC 42001 – → belegt

  KI-Managementsystem. Trust Center (04.10.2026): 'Nebius is certified for compliance with ISO/IEC 42001'. Zertifikat als PDF verlinkt: ISO/IEC 42001:2023 für Nebius B.V. (Schiphol, weiterer Standort Tel Aviv), Zert.-Nr. 1128184, gültig 26.08.2026 bis 26.08.2029, Zertifizierer SII-QCD (Standards Institution of Israel). Gültigkeit beim Zertifizierer nicht gegengeprüft.

  neue Quelle: nebius.com/trust-center/iso-42001 · Commit ada1b8a

03.10.2026

• Aleph Alpha · Modell Kolibri (spezialisiertes souveränes LLM) – → beansprucht

  Website bewirbt seit 03.10.2026 'Kolibri', ein spezialisiertes souveränes Sprachmodell für geschäftskritische Umgebungen; keine öffentlichen Modellkarten oder Preise. Frühere Aussagen zu 'europäischer Infrastruktur' und zur PhariaAI-as-a-Service-Partnerschaft mit STACKIT stehen auf der Seite nicht mehr; neu beworben wird eine Vereinbarung mit Cohere ('erste transatlantische souveräne KI-Lösung').

  neue Quelle: aleph-alpha.com/ · Commit 623c72a

• Aleph Alpha · Modell Specialized Language Models (SLLMs) beansprucht → –

  alte Quelle: aleph-alpha.com/ · Commit 623c72a

• Black Forest Labs · Fall 2026-003: Black Forest Labs: „Zero data retention“ — und eine unbefristete Lizenz zum Speichern und Trainieren in den eigenen API-Terms offen → bestätigt

  Commit f322fe9

• EUrouter · Modell Claude (Opus 5 / Sonnet / Haiku) beansprucht → belegt

  Modell gelistet; Preise (USD/1M, Input/Output, nach 'Show all' sichtbar) je Variante: Claude Opus 5 5.50/27.50, Opus 5.5 4.40/22.00, Sonnet 5 2.20/11.00, Sonnet 4.6 3.30/16.50, Haiku 4.5 1.10/5.50 — als Sammeleintrag mit mehreren Preisen daher ohne einzelnes preis_*_eur-Feld geführt

  Commit 623c72a

• EUrouter · Modell Mistral Large 3 beansprucht → belegt

  Preis in USD (256K Kontext)

  Commit 623c72a

• IONOS (AI Model Hub) · Modell Llama 3.1 8B Instruct belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://cloud.ionos.de/managed/ai-model-hub (0,15 € / 0,15 € je 1M), am 03.10.2026 nicht mehr — Modell nicht mehr in der Preisliste. Aktuell stattdessen u.a. Qwen3.5-9B (0,10/0,15 €) und Qwen3.8-27B (0,40/2,70 €)

  alte Quelle: cloud.ionos.de/managed/ai-model-hub · Commit 623c72a

• Lyceum Technology · Modell DeepSeek V3.2 belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://lyceum.technology/products/inference/models/ (0,30 $ / 0,45 $ je 1M), am 03.10.2026 nicht mehr — Modell laut Retired-Liste abgeschaltet ('Requests to their model IDs return 404 model not found'); Nachfolger laut Anbieter DeepSeek V4.1 Flash ($0.50/$1.50)

  alte Quelle: lyceum.technology/products/inference/models/ · Commit 623c72a

• Lyceum Technology · Modell gpt-oss 120B belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://lyceum.technology/products/inference/models/ (0,15 $ / 0,60 $ je 1M), am 03.10.2026 nicht mehr — laut Retired-Liste abgeschaltet; Nachfolger laut Anbieter GLM-5.3 Flash ($0.20/$0.50)

  alte Quelle: lyceum.technology/products/inference/models/ · Commit 623c72a

• Lyceum Technology · Kein Training mit Kundendaten beansprucht → unbelegt

  Aussage stand bis 2026-08-19 auf https://lyceum.technology/magazine/c5-certification-gpu-cloud-germany/, am 03.10.2026 nicht mehr (Volltext nach 'train'/'never'/'not' durchsucht, nur Fließtext zum Training von Kundenmodellen gefunden). Vertragliche Zusicherung ggf. im Trust Center/DPA, nicht öffentlich geprüft

  alte Quelle: lyceum.technology/magazine/c5-certification-gpu-cloud-germany/ · Commit 623c72a

• Mistral AI (La Plateforme) · Quelle geändert: Kein Training mit Kundendaten

  Opt-out für Studio und API im Admin-Panel (Privacy → 'Anonymous improvement data'), getrennt vom Vibe-Schalter. Stand Help Center 03.09.2026: Free-Modus wird standardmäßig zum Training genutzt; für Pay-as-you-go nennt Mistral nur das Opt-out-Recht, keinen Standard mehr — die frühere Doku-Aussage 'API-Daten werden nicht zum Training genutzt' ist mit der alten Seite (404 seit spätestens 03.10.2026) entfallen. Vibe Enterprise ist standardmäßig ausgeschlossen.

  alte Quelle: docs.mistral.ai/admin/monitor-comply/privacy-data-controls · neue Quelle: help.mistral.ai/en/articles/455207-can-i-opt-out-of-my-input-or-output-data-being-used-for-training · Commit 4b0301d

• Mistral AI (La Plateforme) · Quelle geändert: Zero Data Retention

  ZDR auf bezahlten Plänen, nur auf Antrag mit Begründung (Mistral prüft und kann ablehnen), nur für zustandslose API-Aufrufe (Chat, FIM, Embeddings, Moderation, Klassifikation, OCR, Audio), nicht für Labs-Modelle, Agents, Batch, Files, Vibe. Die früher belegte Standard-Retention von 30 Tagen nennt die neue Seite nicht mehr.

  alte Quelle: docs.mistral.ai/admin/monitor-comply/privacy-data-controls · neue Quelle: docs.mistral.ai/admin/monitor-comply/zero-data-retention · Commit 4b0301d

• Nebius (Token Factory) · Modell Llama 3.3 70B Instruct belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://openrouter.ai/provider/nebius (0,13 $ / 0,40 $ je 1M), am 03.10.2026 nicht mehr — nicht mehr in der aktuellen Modellliste des Providers (10 Modelle, u.a. GLM 5.3, Kimi K2.7 Code, GLM 5.1, gpt-oss-120b, Qwen3 235B)

  alte Quelle: openrouter.ai/provider/nebius · Commit 623c72a

• Nebius (Token Factory) · Kein Training mit Kundendaten belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://nebius.com/services/token-factory ('requests and outputs are never stored or reused for training'), am 03.10.2026 nicht mehr — Seite enthält keine Aussage mehr zu Training/Retention auf Kundendaten (nur Post-Training-Produktwerbung)

  alte Quelle: nebius.com/services/token-factory · Commit 623c72a

• Nebius (Token Factory) · Zero Data Retention beansprucht → unbelegt

  Aussage stand bis 2026-08-19 auf https://nebius.com/services/token-factory ('Zero-retention mode'), am 03.10.2026 nicht mehr — weder 'Zero-retention mode' noch 'retention' kommt auf der Seite noch vor

  alte Quelle: nebius.com/services/token-factory · Commit 623c72a

• Nebius (Token Factory) · Zertifikat ISO 27018 – → belegt

  Trust Center (03.10.2026) listet 'ISO 27018'. Bisher nur in der Anmerkung zu ISO 27701 geführt.

  neue Quelle: nebius.com/trust-center · Commit 0ab47eb

• Opper AI · Quelle geändert: Subprozessoren-Liste

  Liste seit spätestens 03.10.2026 im Trust Center (opper.ai/sub-processors leitet dorthin um): je Subprozessor Zweck und Datenumgang, u. a. US-Inference-Provider (teils bis 30 Tage Retention fürs Abuse-Monitoring, Moonshot AI darf Anfragen zum Training nutzen) sowie EU-Provider (Mistral FR, Inceptron SE, Berget, Infercom, Regolo, GreenPT, evroc).

  alte Quelle: opper.ai/sub-processors · neue Quelle: trust.opper.ai/ · Commit 4b0301d

• Opper AI · Zertifikat ISO 27001 unbelegt → beansprucht

  Seit spätestens 03.10.2026 auf Security Overview und AI-Compliance-Seite: 'Opper is certified against ISO/IEC 27001:2022 … the certificate is available there [Trust Center] on request.' Zertifikat selbst nicht öffentlich einsehbar. Frühere Prüfung (Stand 2026-08-19) fand keine Zertifikatsnennung

  neue Quelle: opper.ai/security-overview · Commit 623c72a

• OVHcloud (AI Endpoints) · Zertifikat ISO 27017 – → belegt

  Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: www.ovhcloud.com/en/compliance/ · Commit 0ab47eb

• OVHcloud (AI Endpoints) · Zertifikat ISO 27018 – → belegt

  Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: www.ovhcloud.com/en/compliance/ · Commit 0ab47eb

• Regolo.ai · Modell Llama 3.3 70B Instruct belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://regolo.ai/pricing/ (0,60 € / 2,70 € je 1M), am 03.10.2026 nicht mehr — kein 'llama' mehr in der Preisliste (0 Treffer im HTML). Aktuelle Chatmodelle u.a. apertus-70b, gemma4-31b, glm5.2, gpt-oss-120b/20b, mistral-small-4-119b, qwen3.5-122b/9b, qwen3.8-27b

  alte Quelle: regolo.ai/pricing/ · Commit 623c72a

• Scaleway · Fall 2026-004: Scaleway: „no access to, nor knowledge of any inputs and outputs“ — und auf derselben Seite: „we may temporarily store and access the full content of HTTP requests“ beantwortet → bestätigt

  Commit f322fe9

• STACKIT · Zertifikat ISO 27017 – → belegt

  Seite (03.10.2026): 'Certifications according to ISO/IEC 27001, 27017 and 27018' und 'ISO 27017 for cloud security'; gilt für die STACKIT Cloud. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: stackit.com/en/why-stackit/benefits/certificates · Commit 0ab47eb

• STACKIT · Zertifikat ISO 27018 – → belegt

  Seite (03.10.2026): 'ISO 27018 for data protection (PII)'; gilt für die STACKIT Cloud. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: stackit.com/en/why-stackit/benefits/certificates · Commit 0ab47eb

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Quelle geändert: Modell Claude 4.6 Sonnet, Modell GPT-5, Modell GPT-OSS 120B, Modell Mistral Small 4

  2,97 € / 14,85 € je 1M In/Out, 'Cloud: GCP, Server Location: Europe, Data Processing: EU' (Preisliste nennt die Cloud teils als 'GCP / Azure'). Via Google Cloud (Europa); Gateway-Funktion, keine T-Cloud-Hosting-Garantie.

  alte Quelle: docs.llmhub.t-systems.net/models/ · neue Quelle: docs.llmhub.t-systems.net/models/llms/ · Commit 623c72a

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Modell Llama 3.3 70B belegt → unbelegt

  Aussage stand bis 2026-08-19 auf https://docs.llmhub.t-systems.net/models/, am 03.10.2026 nicht mehr — laut Retired-Seite seit 2026-09-01 abgeschaltet ('Retired 2026-09-01, Replacement GPT-OSS 120B'), neue Anfragen an die Modell-ID liefern einen Fehler.

  alte Quelle: docs.llmhub.t-systems.net/models/ · Commit 623c72a

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27017 – → belegt

  Zertifikatsseite (03.10.2026): 'ISO/IEC 27017 Certification of additional information security controls for the use of cloud services', mit Download des Zertifikats. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · Commit 0ab47eb

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27018 – → belegt

  Zertifikatsseite (03.10.2026): 'ISO/IEC 27018 Certification of protection of personally identifiable information (PII) in public clouds acting as PII processors', mit Download. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · Commit 0ab47eb

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Zertifikat ISO 27701 – → belegt

  Zertifikatsseite (03.10.2026): 'ISO/IEC 27701 Certification to establish, implement, maintain and continually improve a' Datenschutz-Managementsystem, mit Download. Bisher nur in der Anmerkung zu ISO 27001 geführt.

  neue Quelle: www.t-cloud-public.com/en/products-services/core-services/certifications · Commit 0ab47eb

18.09.2026

• Scaleway · AI Act: GPAI Code of Practice / Art.-53-Transparenzdokumentation unbelegt → –

  Commit 1d5488b

• Scaleway · AI Act: Transparenzdokumentation für Basismodelle (GPAI Code of Practice) – → unbelegt

  Keine eigene Veröffentlichung dazu auffindbar. Scaleway hostet fremde offene Modelle und gibt an, keine eigenen Basismodelle zu trainieren.

  Commit 1d5488b

14.09.2026

• Scaleway · Fall 2026-004: Scaleway: „no access to, nor knowledge of any inputs and outputs“ — und auf derselben Seite: „we may temporarily store and access the full content of HTTP requests“ offen → beantwortet

  Commit d9e889c

08.09.2026

• Requesty · Fall 2026-001: Requesty: „never stored“ — und 30 Tage Logging als Standard beantwortet → bestätigt

  Commit 163bc17

02.09.2026

• GreenPT · Fall 2026-002: GreenPT: „ISO 27001 — Verified by independent audit“ im Footer, Zertifikat gehört den Rechenzentren beantwortet → bestätigt

  Commit 5707aec

01.09.2026

• GreenPT · Fall 2026-002: GreenPT: „ISO 27001 — Verified by independent audit“ im Footer, Zertifikat gehört den Rechenzentren offen → beantwortet

  Commit 0d26e68

28.08.2026

• GreenPT · Fall 2026-002: GreenPT: „ISO 27001 — Verified by independent audit“ im Footer, Zertifikat gehört den Rechenzentren – → offen

  Commit 5293015

• Requesty · Fall 2026-001: Requesty: „never stored“ — und 30 Tage Logging als Standard offen → beantwortet

  Commit 3164894

25.08.2026

• Requesty · Fall 2026-001: Requesty: „never stored“ — und 30 Tage Logging als Standard – → offen

  Commit 46f3c54

24.08.2026

• DeepL · Zertifikat BSI C5 beansprucht → belegt

  C5-Typ-2-Testat des BSI, von DeepL am 03.10.2025 im eigenen Blog und per Pressemitteilung bestätigt (114 Kriterien, Wirksamkeitsnachweis über mindestens sechs Monate). Gleichlautende Pressemitteilung auf deepl.com/de/press-release/. Einschränkung: Der Testatsbericht selbst ist nicht öffentlich, ein prüfender Wirtschaftsprüfer wird nicht genannt; belegt ist die datierte Anbieteraussage über ein erteiltes Testat, nicht der Bericht. Früherer Stand bis 24.08.2026: beansprucht (Selbstverpflichtung im Trust Center) — die Angabe war veraltet.

  alte Quelle: trust.deepl.com/ · neue Quelle: www.deepl.com/de/blog/c5-type2-attestation · Commit 70c566e

• OVHcloud (AI Endpoints) · Quelle geändert: AI Act: AI-Act-Informationsmaterial veröffentlicht

  alte Quelle: blog.ovhcloud.com/ai-act-in-a-nutshell/ · neue Quelle: blog.ovhcloud.com/en/posts/ai-act-in-a-nutshell/ · Commit 70c566e

• OVHcloud (AI Endpoints) · Quelle geändert: Zertifikat BSI C5, Zertifikat HDS, Zertifikat ISO 27001, Zertifikat ISO 27701, Zertifikat SecNumCloud, Zertifikat SOC 1/2/3

  alte Quelle: www.ovhcloud.com/en/enterprise/certification-conformity/ · neue Quelle: www.ovhcloud.com/en/compliance/ · Commit 70c566e

• Requesty · Quelle geändert: Kein Training mit Kundendaten

  alte Quelle: docs.requesty.ai · neue Quelle: docs.requesty.ai/quickstart · Commit 70c566e

• STACKIT · AVV / Auftragsverarbeitungsvertrag belegt → unbelegt

  Beleg verloren: Bis mindestens 19.08.2026 war der "AVV STACKIT Cloud, Stand Januar 2022, Version 1.0" als PDF unter www.stackit.de öffentlich abrufbar. Beim Quellen-Check am 24.08.2026 leitet die gesamte Domain www.stackit.de auf die Startseite stackit.com/de um; das Dokument ist dort nicht mehr auffindbar, und weder stackit.com/de/compliance noch die Zertifikatsseite bieten einen AVV zum Download. Das heißt nicht, dass STACKIT keinen AVV hätte — es heißt, dass er nicht mehr öffentlich nachweisbar ist. Tote Beleg-URL: https://www.stackit.de/wp-content/uploads/2022/06/Auftragsverarbeitungsvertrag_STACKIT-Cloud_Stand-Januar-2022_Version-1.0.pdf

  alte Quelle: www.stackit.de/wp-content/uploads/2022/06/Auftragsverarbeitungsvertrag_STACKIT-Cloud_Stand-Januar-2022_Version-1.0.pdf · Commit 70c566e

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Quelle geändert: AVV / Auftragsverarbeitungsvertrag

  alte Quelle: open-telekom-cloud.com/av · neue Quelle: www.t-cloud-public.com/_Resources/Persistent/7/4/4/5/744591c2cdff8be6c3876c3bf6e187fb024cad04/OTC%20ErgB-AV%20TDG_DE.pdf · Commit 70c566e

20.08.2026

• Black Forest Labs · Anbieter aufgenommen

  neue Quelle: bfl.ai · Commit 3f175a2

• DeepL · Anbieter aufgenommen

  neue Quelle: www.deepl.com · Commit 3f175a2

• Gcore · Anbieter aufgenommen

  neue Quelle: gcore.com · Commit 3f175a2

• GreenPT · Anbieter aufgenommen

  neue Quelle: greenpt.com · Commit 3f175a2

• Infomaniak · Anbieter aufgenommen

  neue Quelle: www.infomaniak.com/en/hosting/ai-services · Commit 3f175a2

19.08.2026

• Aleph Alpha · Anbieter aufgenommen

  neue Quelle: aleph-alpha.com · Commit 4f8f587

• EUrouter · Anbieter aufgenommen

  neue Quelle: eurouter.ai · Commit 4f8f587

• Exoscale · Anbieter aufgenommen

  neue Quelle: www.exoscale.com · Commit 4f8f587

• Hetzner · Anbieter aufgenommen

  neue Quelle: www.hetzner.com · Commit 4f8f587

• IONOS (AI Model Hub) · Anbieter aufgenommen

  neue Quelle: cloud.ionos.de/managed/ai-model-hub · Commit 4f8f587

• Lyceum Technology · Anbieter aufgenommen

  neue Quelle: lyceum.technology · Commit 4f8f587

• Mistral AI (La Plateforme) · Anbieter aufgenommen

  neue Quelle: mistral.ai · Commit 4f8f587

• Nebius (Token Factory) · Anbieter aufgenommen

  neue Quelle: nebius.com · Commit 4f8f587

• Nordference · Anbieter aufgenommen

  neue Quelle: nordference.ai · Commit 4f8f587

• Opper AI · Anbieter aufgenommen

  neue Quelle: opper.ai · Commit 4f8f587

• OVHcloud (AI Endpoints) · Anbieter aufgenommen

  neue Quelle: www.ovhcloud.com · Commit 4f8f587

• Regolo.ai · Anbieter aufgenommen

  neue Quelle: regolo.ai · Commit 4f8f587

• Requesty · Anbieter aufgenommen

  neue Quelle: www.requesty.ai · Commit 4f8f587

• Scaleway · Anbieter aufgenommen

  neue Quelle: www.scaleway.com · Commit 4f8f587

• STACKIT · Anbieter aufgenommen

  neue Quelle: stackit.com · Commit 4f8f587

• T-Systems / Open Telekom Cloud (AI Foundation Services) · Anbieter aufgenommen

  neue Quelle: www.t-systems.com · Commit 4f8f587