Exoscale

DPA der Akenes SA; Datentransfers für die im Auftrag verarbeiteten Kundendaten auf CH/EU/EWR bzw. Angemessenheitsländer beschränkt, Löschung binnen 10 Werktagen nach Vertragsende. Das gilt nicht für Exoscales eigene Kundenstammdaten: Laut Datenschutzerklärung gehen Daten über Kunden an 'Amazon Web Services', Zweck 'Data archival', Ort 'United States' (siehe Subprozessoren).

Keine separate Liste; genehmigte Subprozessoren sind Bestandteil des DPA (aktuell Aiven Oy, Helsinki, für DBaaS; für 'Compute, Storage, SKS' laut Datenschutzerklärung '(currently no third-party processor)'); Änderungen mit 30 Tagen Vorankündigung und Widerspruchsrecht. Daneben nennt die Datenschutzerklärung (https://www.exoscale.com/privacy/, 'Effective date: September 1st, 2021', Abruf 09.10.2026) 'Third-party providers', an die Exoscale 'forwards data about its Clients', darunter 'Amazon Web Services', 'Data archival', 'United States' sowie PayPal und Twilio (beide 'United States'); hochgeladene Kundendaten gehen dort laut Erklärung nicht hin ('Under no circumstances is data uploaded by Clients to Exoscale Services transferred to these providers'). Dieselbe Erklärung sagt über Exoscales eigene Daten: 'Our data isn’t encrypted at-rest, however we control access to our datacenter locations with physical and network security.' Bis 09.10. fehlten diese Angaben hier.

Keine Trainings-Aussage auffindbar (Nachprüfung 05.10.2026): In den Terms and Conditions (gültig ab 02.07.2026), im DPA, in der Privacy Policy und in der Dokumentation zu Dedicated Inference kommt Training von Modellen mit Kundendaten nicht vor, weder als Zusage noch als Vorbehalt. Bei Dedicated Inference bringt der Kunde das Modell selbst mit (Hugging Face) und betreibt es auf dedizierten GPUs; die tokenbasierte On-Demand Inference, bei der sich die Frage stellt, ist noch nicht gestartet.

Keine ZDR-Zusage dokumentiert (Nachprüfung 05.10.2026). Dedicated Inference wirbt mit dedizierter Umgebung, wörtlich: 'Fully dedicated down to logs and GPU memory. Only your data and your users.' Das sagt, dass Logs nicht geteilt werden, nicht, was sie enthalten und wie lange sie bleiben; die Doku beschreibt abrufbare Deployment-Logs (exo dedicated-inference deployment logs) ohne Angabe zu Inhalt oder Frist. Die Terms and Conditions (gültig ab 02.07.2026) nehmen Betriebs-Logs von der Standortzusage aus, soweit sie keine Kundendaten enthalten: 'operational telemetry or log data necessary to provide, secure, and support the Services to the extent such telemetry or logs do not contain Client Data payloads'. Für die angekündigte On-Demand Inference gibt es noch keine Aussage zur Speicherung. Archivkopien web.archive.org/web/20261005025203 (Produktseite) und web.archive.org/web/20261005025234 (Terms), beide byte-gleich.

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat und SoA liegen nur im Compliance Center des Exoscale-Kontos; exoscale.com/compliance/iso27001/ (Abruf 09.10.2026): 'Customers can access our current ISO/IEC 27001 certificate and Statement of Applicability (SoA) through the Exoscale Compliance Center. Additional audit reports and details are also available to customers under NDA.' Öffentlich ist nur die Nennung durch den Anbieter. ISO/IEC 27001:2022, zertifiziert seit 2018; Reports im Compliance Center (NDA). Archivkopie web.archive.org/web/20261005024823 byte-gleich.

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Bericht nicht öffentlich; exoscale.com/compliance/soc-2/ (Abruf 09.10.2026): 'available for download via the Compliance Center to customers and partners. For more details, or to request the report under NDA, please contact our Compliance Team.'

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Testat nicht öffentlich; exoscale.com/compliance/bsi-c5/ (Abruf 09.10.2026) beschreibt das Typ-2-Testat, verlinkt aber keinen Bericht, Berichte liegen laut Compliance-Seite nur im Compliance Center (NDA). C5:2020 Typ 2

Laut Compliance-Seite ein Assessment, 'Available to registered partners on the ENX portal'. Gültigkeit (Nachprüfung 09.10.2026): Die letzte öffentlich genannte Bewertung stammt von April 2023 (Blog 20.04.2023, DEKRA), die Frist wäre damit spätestens im April 2026 abgelaufen. TISAX-Ergebnisse gelten höchstens 36 Monate (ENX, TISAX Participation General Terms and Conditions v3.0.2 vom 12.07.2023, XII.1: 'Assessment Results shall have validity of a maximum period of 36 months.'; https://www.enx.com/tisaxgtcen.pdf). Eine Erneuerung nach 2023 nennt der Anbieter öffentlich nicht (Websuche 09.10.2026 ohne Treffer); ob das Label heute gilt, zeigt nur das ENX-Portal, und das ist laut ENX nicht öffentlich ('TISAX assessment results are only used within this community and not for the general public', portal.enx.com/en-US/TISAX/tisaxassessmentresults/, Abruf 09.10.2026).

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat nicht öffentlich; exoscale.com/compliance/iso27017/ (Abruf 09.10.2026): 'compliance documentation via the Exoscale Compliance Center. Additional audit details are available to customers on request or under NDA.' Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27017 Security controls for cloud services', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27017/ die Ausgabe ISO/IEC 27017:2015; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Zertifikat nicht öffentlich; exoscale.com/compliance/iso27018/ (Abruf 09.10.2026): 'available via the Exoscale Compliance Center. Additional privacy and compliance documentation can be provided to customers on request or under NDA.' Compliance-Seite, Tabelle 'Third-Party Certifications': 'ISO/IEC 27018 Protection of Personally Identifiable Information (PII) in public clouds', Typ 'Certification'. Die Tabelle nennt als 'Latest Revision' 2022, die Zertifikatsseite exoscale.com/compliance/iso27018/ die Ausgabe ISO/IEC 27018:2019; Zertifikat nur im Compliance Center (NDA). Bisher nicht als eigener Eintrag geführt. Archivkopie web.archive.org/web/20261005024823 byte-gleich.

Belegt über das öffentliche Register der französischen Gesundheitsagentur ANS (Liste der zertifizierten Hoster, Abruf 09.10.2026 im Browser, die Seite lädt nur dort): 'AKENES 1, 2, 3, 4, 6, sur version V2.0 … Bureau Veritas Certification France'. Akenes SA ist die Betreibergesellschaft von Exoscale. Ein Gültigkeitsdatum nennt das Register nicht, das Zertifikat selbst liegt nur im Compliance Center. Französische Zertifizierung für das Hosting von Gesundheitsdaten; Compliance-Seite: 'HDS French health data hosting certification', Scope 1–4 und 6. Bisher nur in der Anmerkung zu TISAX geführt.

Selbstauskunft, kein Zertifikat. Exoscale schreibt: 'Exoscale participates in the CSA STAR program by publishing our self-assessment using the CAIQ', der ausgefüllte Fragebogen sei 'published on the CSA STAR Registry for full transparency' (Abruf 09.10.2026). In der Liste des CSA STAR Registry (cloudsecurityalliance.org/star/registry, Abruf 05.10.2026 mit 2.810 Einträgen und erneut 09.10.2026; Nebius und Scaleway stehen darin) war kein Eintrag unter Exoscale, Akenes oder A1 zu finden; ob er unter anderem Namen geführt wird, ist ungeklärt. Deshalb beansprucht, nicht belegt. Widerspruch zu früher: Der Changelog vom 10.01.2019 (https://changelog.exoscale.com/exoscale-security-certificates-for-iso-iso-and-csa/, Abruf 09.10.2026) meldet noch 'CSA Star 2: Securing cloud computing environments', also eine geprüfte Stufe 2; heute beansprucht Exoscale nur noch die Selbstauskunft (Stufe 1). Ein Level-2-Nachweis ist öffentlich nicht zu finden. Die Doku-Seite community.exoscale.com/platform/compliance/ nennt CSA STAR nicht (deshalb am 03.10.2026 hier entfernt), die Website exoscale.com/compliance/ führt es unter 'Security control frameworks'. Archivkopie web.archive.org/web/20261005024847 byte-gleich.

Kein GPAI-Modellanbieter (reine Infrastruktur); eigene Dokumentation dazu nicht auffindbar. Nachprüfung 05.10.2026: Auf den Inference-, Compliance- und Vertragsseiten sowie in der Dedicated-Inference-Doku kommt das Thema nicht vor.