Opper AI

Öffentliches DPA, 'Last updated on: 2026-09-23' (zuvor 14.03.2026), am 05.10.2026 byte-gleich zur Kopie vom 03.10. Abschnitt 5: Verarbeitung im EU/EWR oder Drittland mit Angemessenheitsbeschluss oder SCCs; Abschnitt 2.1 ausdrücklich: 'Model inference may take place inside or outside the EEA depending on the model route used; it is not restricted to the EEA by default.' SCCs 'on request' stehen in Security Overview und Compliance-Seite, nicht im DPA selbst. Die Compliance-Seite warb bis 05.10.2026 mit 'EU data residency on every plan' (Archivkopie 20261005054113), was dem DPA widersprach; am 08.10.2026 heißt es dort nur noch 'EU routes on every plan' und 'Prompts and completions leave the EU only on a route hosted elsewhere, which a bare model name may pick' — damit passt die Seite zum DPA. Abschnitt 2.1 nennt als Ort der Plattform nur AWS Stockholm; das Trust Center führt zusätzlich evroc als zweite Produktionsumgebung, in der Kundendaten liegen (siehe Subprozessoren). Abschnitt 4.4: neue Subprozessoren werden 30 Tage vorher 'through the Services' angekündigt; ob das für evroc geschehen ist, ist von außen nicht zu sehen. Archivkopie web.archive.org/web/20261005053857 (byte-gleich zum Abruf)

Liste im Trust Center ('Last updated Sep 30, 2026'; opper.ai/sub-processors leitet dorthin um), am 05.10.2026 57 Einträge mit Zweck, Datenort und Datenumgang: 11 Dienstleister der Plattform (Amazon Web Services als 'Primary production hosting' in Stockholm, evroc als 'second production environment (se-sto, Stockholm)' mit dem Satz 'Customer data and generation content are hosted here', Auth0, Datadog, Sentry, Mixpanel, Resend, Stripe, Google Workspace, Jina AI, Exa) und 46 Modellanbieter, die nur bei Wahl ihres Modells Daten erhalten, darunter EU-Anbieter (Mistral FR, Inceptron SE, Berget SE, Infercom, Regolo IT, GreenPT, Scaleway FR) und Anbieter in den USA, China (DeepSeek, Baidu Qianfan) und Singapur. Training laut Liste möglich bei Moonshot AI und DeepSeek ('Request content may be used to train …'), bei Meta ('One contributed model may use request content for training'), bei Baidu Qianfan ('published terms allow it to use content to improve its services') und bei der wählbaren Suchmaschine Exa. Speicherfristen je Zeile, z. B. OpenAI und xAI bis 30 Tage, Scaleway bis 14 Tage, Nextbit bis 90 Tage, BytePlus bis 180 Tage; bei mehreren 'retention period not published'. Die Zeile zu Mistral AI lautet 'Does not store request content'; nach unserem Mistral-Profil gilt das dort nur auf Antrag, sonst 30 Tage. Angabe des Anbieters per E-Mail an belegbar.eu vom 05.10.2026 (Opper, auf unsere Nachfrage): Mistral habe Zero Data Retention für Oppers Mistral-Organisation gewährt, aller Kundenverkehr zu Mistral laufe über diese Organisation, Kunden müssten nichts einstellen; Mistral veröffentliche nicht, wer ZDR hat, öffentliche Stelle sei das Trust Center. Von außen nicht prüfbar. Archivkopie web.archive.org/web/20261005053951 (byte-gleich zum Abruf)

'Opper does not use customer data to train models. Each provider's training posture is recorded per route.' (Security Overview, 'Last updated on: 2026-10-05'); im DPA selbst nicht explizit. Belegt ist damit die Aussage über Opper selbst. Bis zur Fassung vom 28.09.2026 stand dort zusätzlich 'and does not share it with providers for training' (Archivkopie web.archive.org/web/20261005053924); dieser Halbsatz ist mit der Fassung vom 05.10.2026 entfallen, am 08.10.2026 nicht mehr auf der Seite. Er hatte nicht zu Oppers eigener Liste gepasst, die vier Modellanbieter und eine Suchmaschine nennt, die Inhalte zum Training nutzen dürfen (siehe Subprozessoren). Die Compliance-Seite sagt weiter 'Opper never trains on your data'; wer nachgeschaltet nicht trainieren will, braucht laut FAQ die Zero-data-retention-Regel in Model access (nur Control Plane). Archivkopie web.archive.org/web/20261008050437 (Fassung 05.10.).

Prompts und Antworten werden nicht gespeichert, außer eine Tracing-Regel ist aktiv ('Prompts and responses are not stored unless a retention rule enables tracing.'); Retention 1–30 Tage je Organisation, ein Projekt kann auf 0 Tage stellen; Provider-Routen mit Zero Data Retention sind im Modellverzeichnis markiert; Enterprise kann ZDR auf Nutzungsmetadaten ausdehnen. Nutzungsmetadaten (Modell, Tokenzahl, Latenz, Status, Kosten) bleiben sonst fünf Jahre ('kept for five years'). Die frühere Aussage 'echte Zero Retention nur als Enterprise-Konfiguration' stimmt nicht mehr (Projektregel 0 Tage auch ohne Enterprise möglich); einzelne Routen können laut Security Overview weiter zur Missbrauchsüberwachung vorhalten. Stand der Seite 28.09.2026, am 05.10.2026 unverändert. Archivkopie web.archive.org/web/20261005053924

Security Overview und AI-Compliance-Seite: 'Opper is certified against ISO/IEC 27001:2022 … the certificate is available there [Trust Center] on request.' Das Trust Center (Stand 30.09.2026) zeigt am 05.10.2026 'Valid through Sep 15, 2029', 'Certificate 160926-1' und den Knopf 'Request certificate'. Eine Zertifizierungsstelle ist nirgends genannt (in den Seitendaten des Trust Centers ist das Feld 'auditor' leer), das Zertifikat selbst ist nicht öffentlich einsehbar; deshalb weiter Anbieterangabe ohne Dokument. Frühere Prüfung (Stand 2026-08-19) fand keine Zertifikatsnennung. Archivkopien web.archive.org/web/20261005053951 (Trust Center), 20261005053924 (Security Overview)

Am 05.10.2026 gesucht auf Startseite, Security Overview, AI-Compliance-Seite, Preisseite, DPA, AGB, Datenschutzerklärung und Trust Center: nicht erwähnt. Im Trust Center steht 'SOC 2' nur in der Fußzeile als Werbung des Werkzeug-Anbieters, nicht als Angabe über Opper.

Compliance-Seite (trug am 05.10.2026 'Last updated: 2026-09-23', Archivkopie web.archive.org/web/20261005054113; seit spätestens 08.10.2026 ohne Datum, Archivkopie 20261008050530, am 16.10. weiter ohne), FAQ 'How does Opper support […], DORA, or NIS2 reviews?' (die Lücke nennt die EU-Regeln für KI): 'Every call is logged with model, cost, latency, and policy decisions, and the Control Plane adds retention rules, spend limits, and model allowlists, plus full traces of each call once you turn tracing on. That gives compliance teams the audit trail and documentation these reviews ask for.' (Wortlaut 08.10.2026; die Seite trägt kein 'Last updated' mehr, bis 05.10. stand dort 2026-09-23; Archivkopie web.archive.org/web/20261008050530.) Keine Angabe zur eigenen Rolle, keine Konformitätsdokumente. Archivkopie web.archive.org/web/20261005054113