OVHcloud (AI Endpoints)

Auftragsverarbeitungsvertrag der OVH GmbH (Köln), 'Version vom 17.10.2025' (Datei DE-8.0), verlinkt auf der deutschen Vertragsseite; die Adresse leitet auf die jeweils gültige Fassung um. Der bis 05.10.2026 hier verlinkte Direktlink (IE-6.2, 'Version dated on 09.08.2023', Vertragspartner OVH Hosting Ltd., Irland) ist noch abrufbar, aber überholt: die irische Fassung ist inzwischen IE-7.0 vom 17.10.2025. Ziffer 7.3: Ein neuer oder gewechselter Unterauftragsverarbeiter wird 30 Tage vorher angekündigt (verbundenes Unternehmen in der EU oder in einem Land mit Angemessenheitsbeschluss), sonst 90 Tage vorher; Einspruch binnen 15 Tagen. Archivkopie web.archive.org/web/20261005073138 (byte-gleich zum Abruf).

Liste 'Unterauftragsverarbeiter', 'Stand: 16. Oktober 2025' (Datei DE-3.0; die bisher verlinkte britische Fassung GB-3.0 trägt dasselbe Datum). Namentlich genannt sind nur Unternehmen der OVH-Gruppe (Abschnitt A, darunter die Rechenzentrums-Gesellschaften). Abschnitt B nennt keine Dritten, sondern verweist: 'so werden diese in den für die betreffenden Dienstleistungen geltenden besonderen Vertragsbedingungen aufgelistet.' Die Besonderen Vertragsbedingungen für Public-Cloud-Dienste (Stand 26. August 2026), Anhang 10 'AI Endpoints', nennen keinen dritten Auftragsverarbeiter. Die frühere Anmerkung, die Liste enthalte Drittanbieter, war falsch. Archivkopie web.archive.org/web/20261005073150 (byte-gleich zum Abruf).

Produktseite (08.10.2026): 'Your data is never used to train our models, and we only keep what is strictly necessary for billing.' Bis zur Archivkopie vom 05.10.2026 lautete der Satz 'Your data will never be used to train or improve our AI models'; „or improve“ ist entfallen (Archivkopie neu web.archive.org/web/20261008040757). Maßgeblich bleibt der Vertragstext, am 08.10.2026 byte-gleich zum 05.10. Seit der Prüfung am 05.10.2026 auch als Vertragstext belegt: Besondere Vertragsbedingungen für Public-Cloud-Dienste (OVH GmbH, Stand 26. August 2026, contract.eu.ovhapis.com/1.0/pdf/Conditions_particulieres_OVH_Stack-de.pdf), Anhang 10 Ziffer 5: 'OVHcloud hat keine Kenntnis von den Inputs und Outputs und verwendet diese in keiner Weise weiter.' Der Satz gilt laut Vertrag nicht für die „AI Endpoint Batch API“. Archivkopien web.archive.org/web/20261005073126 (Vertrag), 20261005073237 (Produktseite), beide byte-gleich zum Abruf.

Produktseite: 'Zero data retention: We keep only the data required for billing purposes.' Seit der Prüfung am 05.10.2026 auch als Vertragstext belegt (Besondere Vertragsbedingungen für Public-Cloud-Dienste, Stand 26. August 2026, Anhang 10 Ziffer 2): 'Der AI Endpoints Dienst beinhaltet keine Backups oder Storages, auch nicht für kurze Zeit (mit Ausnahme des Dienstes „AI Endpoint Batch API“, bei dem es sich um ein asynchrones Dienstangebot handelt, das die Ein- und Ausgabedaten des Dienstes vorübergehend speichert).' Die Zusage gilt also nicht für die Batch API; wie lange diese speichert, steht im Vertrag nicht (ungeklärt). Dokumentation (Stand 3. Februar 2026): 'Data is not stored or shared during or after model use'. Archivkopie des Vertrags web.archive.org/web/20261005073126 (byte-gleich zum Abruf).

Nur beansprucht (bis 08.10.2026 hier „belegt“): Ein Zertifikat ist öffentlich nicht zu finden, und der genannte Zertifizierer ist für diese Norm nicht akkreditiert. Die Unterseite sagt am 09.10.2026 weiter 'The ISO/IEC 27001 certification that OVHcloud holds is available on the website of the certification body “Laboratoire National de Métrologie de d’Essais”'; der Link führt auf www.lne.fr/recherche-certificats, deren Datenbank am 09.10.2026 für 'ovh' 0 Treffer liefert. Die COFRAC-Akkreditierung des LNE (tools.cofrac.fr/annexes/sect4/4-0038.pdf, Rev. 54, gültig 09.04.2026 bis 31.01.2029, am 09.10.2026 byte-gleich zum Abruf vom 08.10.) deckt nur ISO 14001, ISO 9001, ISO 45001 und ISO 50001, nicht ISO/IEC 27001. Compliance-Seite (am 05.10.2026 und 09.10.2026 unverändert): 'ISO/IEC 27001:2013 Certification and ISMS relating to information security management systems for cloud services', zusätzlich ISO 27017/27018. Die Unterseite www.ovhcloud.com/en/compliance/iso-27001-27017-27018/ nennt als Zertifizierungsstelle das 'Laboratoire National de Métrologie de d'Essais' (LNE) und listet die zertifizierten Dienste, darunter 'AI & machine learning'; AI Endpoints ist dort nicht einzeln genannt. Die Produktseite von AI Endpoints schreibt nur: 'Underlying platform with ISO 27000, SOC, and healthcare data certifications.' Das Zertifikat selbst wurde nicht eingesehen. Archivkopien web.archive.org/web/20261005073337 (Compliance-Seite), 20261005073205 (Unterseite), beide byte-gleich zum Abruf. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

PIMS für Personendaten-Verarbeitung. Nur beansprucht (bis 08.10.2026 hier „belegt“): Die Compliance-Seite (Abruf 09.10.2026) sagt 'The ISO/IEC 27701 certificate that OVHcloud holds is available on request from our sales department or from the “Laboratoire National de Métrologie et d’Essais” certification body' — öffentlich ist kein Zertifikat. Das LNE ist laut COFRAC-Anlage 4-0038 (Rev. 54, Abruf 09.10.2026) nur für ISO 14001, 9001, 45001 und 50001 akkreditiert, nicht für ISO/IEC 27701; die LNE-Datenbank liefert am 09.10.2026 für 'ovh' 0 Treffer.

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Die SOC-Berichte sind nicht öffentlich; belegt war nur die Nennung im Compliance-Portal des Anbieters. SSAE 16/ISAE 3402 Type 2 im Compliance-Portal gelistet. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Das C5-Testat ist nicht öffentlich; belegt war nur die Nennung im Compliance-Portal des Anbieters, ohne Prüfer und Geltungsbereich. Im Compliance-Portal gelistet; Geltungsbereich je Produkt prüfen. Fassung: C5:2020 — die C5-Seite (ovhcloud.com/en/compliance/c5/, Abruf 15.10.2026) beantwortet 'Does the OVHcloud SOC 2 Type 2 attestation also include German C5:2020 compliance?' mit 'Yes'; Prüfer und Datum nennt sie nicht (Beleg belege/anbieter/ovhcloud/c5-seite-2026-10-15.txt). C5:2026 gilt seit 07.04.2026 und ist erst für Prüfungen ab 01.06.2027 Pflicht; ein C5:2020-Testat bleibt bis dahin gültig.

ANSSI-Qualifikation für bestimmte OVHcloud-Angebote — gilt nicht automatisch für AI Endpoints.

Belegt über das öffentliche Register der ANS (Liste der zertifizierten Hoster, Abruf 09.10.2026 im Browser; maschinell blieb die Seite leer, deshalb stand hier kurz „beansprucht“): 'OVH GROUPE 1, 2, 3, 4, 5, 6, sur version V2.0 … BYCYB'. Abweichung: Die OVH-Doku nennt noch 'HDS v2018', das Register den Referenzrahmen V2.0. Ein Gültigkeitsdatum nennt das Register nicht; dass AI Endpoints im Zertifikat liegt, bleibt Anbieterangabe. Französische Gesundheitsdaten-Zertifizierung (ANS). Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757).

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Ein Zertifikat ist öffentlich nicht zu finden (wie bei ISO 27001: LNE-Datenbank ohne Treffer, LNE für ISO/IEC 27001 nicht COFRAC-akkreditiert); belegt war nur die Nennung auf der Compliance-Seite. Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Ein Zertifikat ist öffentlich nicht zu finden (wie bei ISO 27001: LNE-Datenbank ohne Treffer, LNE für ISO/IEC 27001 nicht COFRAC-akkreditiert); belegt war nur die Nennung auf der Compliance-Seite. Compliance-Seite (03.10.2026): Block 'ISO 27001 / 27017 / 27018'. Bisher nur in der Anmerkung zu ISO 27001 geführt.

Offizieller Beitrag zu den EU-Regeln für KI ('[…] in a nutshell') (am 05.10.2026 unverändert): 'OVHcloud and ETHIQAIS have been among the very first signatories of the AI Pact'; Positionierung als 'European Trusted Cloud'. Die frühere Formulierung 'Modelltransparenz durch Open-Weight-Modelle' steht im Artikel nicht.

Keine Unterzeichnung auffindbar; als Hoster fremder Open-Weight-Modelle kein typischer Pflichtenadressat.