Requesty
Britisches (nicht EU-ansässiges) AI-Gateway mit EU-Endpoint in Frankfurt; die eigene Verarbeitung bleibt in der EU, Inference läuft aber je nach Modellwahl bei über 30 Providern — darunter viele US- und China-Firmen. Echte EU-Residency nur bei expliziter Beschränkung auf EU-gehostete Modellvarianten.
20 %belegt
Stammdaten
- Sitz
- London, Vereinigtes Königreich
- Kategorie
- Gateway / Router
- Mutterkonzern
- unabhängig / keiner bekannt
- US-Eigentümerstruktur
- nein
- Gegründet
- 2023
- Rechtsraum
- Vereinigtes Königreich: Drittland mit Angemessenheitsbeschluss der EU-Kommission. Übermittlung ohne zusätzliche Garantien zulässig (Art. 45 DSGVO). Der Angemessenheitsbeschluss wurde im Dezember 2025 verlängert, je einmal unter der DSGVO und unter der Richtlinie für den Strafverfolgungsbereich (LED). Quelle · geprüft 24.08.2026
- Website
- www.requesty.ai
Modelle & Preise
| Modell | Hosting-Standort | Input / 1M | Output / 1M | Beleg |
|---|---|---|---|---|
| Claude Sonnet (Bedrock @eu-central-1) | Frankfurt/EU (AWS Bedrock) | kein öffentlicher PreisStand 16.10.2026 | beansprucht QuellePass-through + 5% Markup; öffentliche Preisliste nur hinter Login | |
| Gemini 3.5 Flash (Vertex @eu) | EU (Google Vertex EU-Region) | unbelegt | beansprucht QuelleKeine öffentliche Preisangabe verifizierbar | |
| Mistral-Modelle | EU (Mistral, 'hosted in EU by default') | unbelegt | beansprucht QuelleKeine öffentliche Preisangabe verifizierbar | |
Vertrag & Datenschutz
AVV / Auftragsverarbeitungsvertragbeansprucht
keine belastbare Angabe gefunden
DPA-Infoseite vorhanden, das eigentliche Dokument nur auf Anfrage per E-Mail; kein öffentlicher Volltext
Quelle · geprüft 16.10.2026 · unverändert seit 03.10.2026
Subprozessoren-Listebelegt
Liste 'Last updated: 6 October 2026' (am 03.10. noch '30 August 2026'): AWS Frankfurt (Teil A) plus 41 Modellprovider (Teil B, zuvor 37), davon 16 reine US-Provider (OpenAI, Anthropic, xAI, DeepInfra, Groq, Novita, Parasail, Perplexity, Together, Fireworks, NVIDIA, Poolside, Relace, Sail Research, TypeSafe, neu Thinking Machines Lab) sowie gemischte US/EU-Einträge (Vertex, Azure, Bedrock), Cloudflare 'US, Global network' und Gemini API 'Global'; China: DeepSeek, Moonshot AI, Xiaomi, Tencent; Singapur: Alibaba Cloud, Z.ai, MiniMax. 'Trains on Prompts = Yes' weiter nur bei NVIDIA und Poolside. EU-Einträge u. a. Mistral, Nebius, Inceptron, sference, TensorX, Regolo.ai, Scaleway SAS, Lyceum, Melious. Welche der vier Einträge seit 03.10. neu sind, ist außer Thinking Machines ungeklärt (Internet Archive am 08.10. offline, keine eigene Kopie vom 03.10.). Neu auf der Seite: Teil B wird nur beauftragt, wenn man an das Modell routet; einschränkbar über 'Approved Models'. Rohkopie belege/faelle/2026-001/subprocessors-2026-10-08.html
Quelle · geprüft 16.10.2026 · unverändert seit 08.10.2026
Kein Training mit Kundendatenbelegt
Ja, Kundendaten werden nicht zum Training genutzt
Quickstart-FAQ (Abruf 14.10.2026, neu formuliert): 'Is my data used for training? No. Requesty is a pass-through gateway and does not train on your requests or responses. Each model’s retention and training policy is shown in the Model Library'. Bis mindestens 10.10.2026 stand dort 'Requesty is a pass-through gateway. We don't train on your requests' mit dem Zusatz, dass Free-Plan-Modelle von NVIDIA/Poolside Upstream-Training erlauben; dieser Zusatz steht nicht mehr auf der Seite. Die Privacy Policy schränkt weiter ein (Wortlaut seit mindestens 25.08.2026, am 08.10. unverändert): 'On any paid plan this is absolute: Requesty never trains on your data […] Requesty's own use of content for training is limited to free plan accounts.' Für bezahlte Tarife belegt; für den Free-Plan behält sich Requesty eigenes Training vor, was die Quickstart-Antwort ('No.') ohne Einschränkung nicht sagt; am 14.10.2026 steht der Satz 'Requesty's own use of content for training is limited to free plan accounts.' weiter wörtlich in der Privacy Policy (Fall-Kandidat Nr. 39)
Quelle · geprüft 16.10.2026 · unverändert seit 14.10.2026
Zero Data Retentionbeansprucht
keine belastbare Angabe gefunden
Widersprüchlich: Die DPA-Seite sagt am 08.10.2026 weiter ohne Einschränkung 'request and response bodies are never stored' (Seite seit 03.10. unverändert); die Security-Seite ist seit September umgebaut, 'No data stored' ist dort weg und sie sagt jetzt 'Logging is on by default, encrypted, in the EU, for 30 days'. DPA-Seite, Security-Seite und die Privacy Policy nennen für Self-Serve-Tarife Prompt-/Output-Logging als Standard mit 30 Tagen Aufbewahrung. ZDR nur pro API-Schlüssel abschaltbar oder organisationsweit auf schriftliche Anfrage. Dokumentiert als Fall 2026-001.
Quelle · geprüft 16.10.2026 · unverändert seit 03.10.2026
Zertifikate
SOC 2 Type IIbeansprucht
Laut Security-Seite (Tabelle 'compliance / status September 2026', abgerufen 08.10.2026) 'SOC 2 Type II programme in progress', noch nicht erteilt, kein Zieltermin; Status verweist auf trust.requesty.ai (lädt nur per JavaScript, ohne Browser nicht lesbar)
Quelle · geprüft 16.10.2026 · unverändert seit 03.10.2026
ISO/IEC 42001 (KI-Managementsystem)
| Ergebnis | kein Zertifikat nach ISO/IEC 42001 gefunden unbelegt geprüft 16.10.2026 |
|---|---|
| Zertifizierer | keine belastbare Angabe gefunden |
| Anwendungsbereich | keine belastbare Angabe gefunden |
| Anmerkung | Keine Erwähnung von ISO/IEC 42001. Security-Seite nennt nur SOC 2 Type II als laufend ("Our SOC 2 Type II programme is in progress.") und eine allgemeine Datenschutz-Aussage Geprüft: https://www.requesty.ai/security, https://trust.requesty.ai/ (nur Titel geladen, Inhalt vermutlich per JavaScript, nicht auswertbar), WebSearch: Requesty "ISO 42001" |
AI Act
Transparenz-/Compliance-Angaben zu den EU-Regeln für KIunbelegt
keine belastbare Angabe gefunden
Keine AI-Act-Angaben auf Website, Security-Seite oder in den Docs gefunden
geprüft 16.10.2026
Prüfpunkte der Datenschutzprüfung
Was Datenschutzbeauftragte beim Anbieter zusätzlich nachsehen (BayLDA-KI-Checkliste, S. 9–11, und Gespräch mit einem Prüfer des BvD-Ausschusses KI, 08.10.2026). Jede Angabe mit Status und Quelle; fehlt ein Beleg, steht das hier ausdrücklich.
Vertrag
| Zweckbindung über Training hinaus | nein Privacy Policy (08.10.2026): 'Requesty's own use of content for training is limited to free plan accounts.' – im Free-Plan also eigenes Training mit Inhalten; für bezahlte Tarife: 'Requesty never trains on your data'. Zusätzlich erhoben: 'usage and log data (IP, timestamps, token counts, latency)'. Außerdem veröffentlicht Requesty Auswertungen des Kundenverkehrs ('Citable data notes from the Requesty production gateway', www.requesty.ai/data, z. B. finish_reason-Anteile je Modell und Anbieter). Der DPA-Volltext ist nicht öffentlich. | belegt Quelle · geprüft 16.10.2026 · unverändert seit 09.10.2026 |
|---|---|---|
| Betroffenenrechte: wer bedient sie | keine belastbare Angabe gefunden DPA nur auf Anfrage per E-Mail; die DPA-Seite nennt als Inhalte 'scope, confidentiality, security measures, subprocessors, breach notification, deletion', aber keine Regel zu Anfragen Betroffener. Privacy Policy (Kurzfassung) regelt das ebenfalls nicht. | unbelegt geprüft 16.10.2026 |
| Log-Aufbewahrung (Frist) | Prompt-/Output-Logs standardmäßig bis 30 Tage (Self-Serve, je Schlüssel abschaltbar); Metadaten-Audit-Logs in jeder Konfiguration, Frist nicht genannt Security-Seite (08.10.2026): 'On self serve plans, prompt and output logging is on by default and retained for up to 30 days in encrypted form within the EU.' und 'Audit logs record metadata (timestamp, user, model, token counts, cost) in every configuration.' Privacy Policy: 'When logging is enabled, data is stored encrypted within the EU for up to 30 days.' Für Metadaten nennt keine der Seiten eine Frist. | belegt Quelle · geprüft 16.10.2026 · unverändert seit 03.10.2026 |
| Log-Aufbewahrung (Zweck) | Observability und Audit für den Kunden Security-Seite: 'Metadata still audits'; DPA-Seite: 'Observability keeps running on metadata: tokens, latency, cost.' Einen Zweck für die 30-Tage-Speicherung der Inhalte nennt keine der Seiten; der DPA-Volltext ist nicht öffentlich. | beansprucht Quelle · geprüft 16.10.2026 · unverändert seit 03.10.2026 |
Zertifikat SOC 2 Type II
| Anwendungsbereich | keine belastbare Angabe gefunden Kein Bericht: laut Security-Seite (08.10.2026) 'SOC 2 Type II programme in progress'; trust.requesty.ai lädt nur per JavaScript. | unbelegt geprüft 16.10.2026 |
|---|---|---|
| Zertifizierer | keine belastbare Angabe gefunden Kein Prüfer genannt; Testat noch nicht erteilt (Security-Seite 08.10.2026). | unbelegt geprüft 16.10.2026 |
| Zertifizierer akkreditiert (DAkkS) | keine belastbare Angabe gefunden SOC 2 ist ein Testat eines Wirtschaftsprüfers, keine akkreditierte Zertifizierung; hier zudem noch nicht erteilt. | unbelegt geprüft 16.10.2026 |
Zertifikat ISO 27001
| Anwendungsbereich | keine belastbare Angabe gefunden Kein ISO-27001-Zertifikat erwähnt (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). | unbelegt geprüft 16.10.2026 |
|---|---|---|
| Zertifizierer | keine belastbare Angabe gefunden Kein Zertifikat, daher kein Zertifizierer. | unbelegt geprüft 16.10.2026 |
| Zertifizierer akkreditiert (DAkkS) | keine belastbare Angabe gefunden Kein Zertifikat, daher nicht prüfbar. | unbelegt geprüft 16.10.2026 |
Modell Claude Sonnet (Bedrock @eu-central-1)
| Backup-Standort | keine belastbare Angabe gefunden Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle. | unbelegt geprüft 16.10.2026 |
|---|---|---|
| Vorgeschaltete Filter | ja Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle. | belegt Quelle · geprüft 16.10.2026 · unverändert seit 14.10.2026 |
Modell Gemini 3.5 Flash (Vertex @eu)
| Backup-Standort | keine belastbare Angabe gefunden Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle. | unbelegt geprüft 16.10.2026 |
|---|---|---|
| Vorgeschaltete Filter | ja Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle. | belegt Quelle · geprüft 16.10.2026 · unverändert seit 14.10.2026 |
Modell Mistral-Modelle
| Backup-Standort | keine belastbare Angabe gefunden Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle. | unbelegt geprüft 16.10.2026 |
|---|---|---|
| Vorgeschaltete Filter | ja Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle. | belegt Quelle · geprüft 16.10.2026 · unverändert seit 14.10.2026 |
Direktvergleiche
Requesty Feld für Feld gegen andere Anbieter derselben Kategorie:
Requesty vs. EUrouter · Requesty vs. Opper AI
Quellenlauf · zuletzt am 16.10.2026 · 7 von 7 Quellen maschinell nachgelesen
1 unverändert · 6 verändert und gelesen · 0 offen (verändert, noch nicht gelesen) · 0 verschwunden
Status- oder Quellenwechsel in den letzten 30 Tagen: 2 → Änderungsprotokoll · So arbeitet der Quellenlauf