{
  "id": "requesty",
  "name": "Requesty",
  "kategorie": "gateway",
  "kurzbeschreibung": "Britisches (nicht EU-ansässiges) AI-Gateway mit EU-Endpoint in Frankfurt; die eigene Verarbeitung bleibt in der EU, Inference läuft aber je nach Modellwahl bei über 30 Providern — darunter viele US- und China-Firmen. Echte EU-Residency nur bei expliziter Beschränkung auf EU-gehostete Modellvarianten.",
  "stammdaten": {
    "sitz": "London, Vereinigtes Königreich",
    "land": "GB",
    "mutterkonzern": null,
    "us_eigner": false,
    "gegruendet": 2023,
    "website": "https://www.requesty.ai"
  },
  "modelle": [
    {
      "name": "Claude Sonnet (Bedrock @eu-central-1)",
      "standort": "Frankfurt/EU (AWS Bedrock)",
      "preis_input_1m_eur": null,
      "preis_output_1m_eur": null,
      "preis_status": "kein_oeffentlicher_preis",
      "quelle": "https://docs.requesty.ai/features/eu-routing",
      "geprueft": "2026-10-16",
      "status": "beansprucht",
      "anmerkung": "Pass-through + 5% Markup; öffentliche Preisliste nur hinter Login",
      "backup_standort": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle."
      },
      "vorgeschaltete_filter": {
        "wert": true,
        "status": "belegt",
        "quelle": "https://docs.requesty.ai/features/guardrails",
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle."
      }
    },
    {
      "name": "Gemini 3.5 Flash (Vertex @eu)",
      "standort": "EU (Google Vertex EU-Region)",
      "preis_input_1m_eur": null,
      "preis_output_1m_eur": null,
      "quelle": "https://docs.requesty.ai/features/eu-routing",
      "geprueft": "2026-10-16",
      "status": "beansprucht",
      "anmerkung": "Keine öffentliche Preisangabe verifizierbar",
      "backup_standort": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle."
      },
      "vorgeschaltete_filter": {
        "wert": true,
        "status": "belegt",
        "quelle": "https://docs.requesty.ai/features/guardrails",
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle."
      }
    },
    {
      "name": "Mistral-Modelle",
      "standort": "EU (Mistral, 'hosted in EU by default')",
      "preis_input_1m_eur": null,
      "preis_output_1m_eur": null,
      "quelle": "https://docs.requesty.ai/features/eu-routing",
      "geprueft": "2026-10-16",
      "status": "beansprucht",
      "anmerkung": "Keine öffentliche Preisangabe verifizierbar",
      "backup_standort": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Keine Angabe zu Backups oder Spiegelungen (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026). Bekannt ist nur: Prompt-/Output-Logs liegen 'encrypted within the EU for up to 30 days' (Privacy Policy); wo der jeweilige Modellanbieter (AWS Bedrock, Google Vertex, Mistral) sichert, schreibt Requesty nicht. Gilt für alle Modelle."
      },
      "vorgeschaltete_filter": {
        "wert": true,
        "status": "belegt",
        "quelle": "https://docs.requesty.ai/features/guardrails",
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Guardrails' (08.10.2026): 'Guardrails scan AI request content for sensitive information before it reaches a model provider.' Scanner für PII und Secrets (auch modellbasiert), Aktionen 'Disabled', 'Report' oder 'Mask' ('replaces detected values before provider processing'). Vom Organisations-Admin einzuschalten; ob sie standardmäßig laufen, sagt die Doku nicht. Die Security-Seite nennt zusätzlich 'prompt injection blocked'. Gilt für alle Modelle."
      }
    }
  ],
  "vertrag": {
    "avv": {
      "wert": null,
      "status": "beansprucht",
      "quelle": "https://www.requesty.ai/dpa",
      "geprueft": "2026-10-16",
      "anmerkung": "DPA-Infoseite vorhanden, das eigentliche Dokument nur auf Anfrage per E-Mail; kein öffentlicher Volltext"
    },
    "subprozessoren": {
      "wert": "https://www.requesty.ai/privacy/subprocessors",
      "status": "belegt",
      "quelle": "https://www.requesty.ai/privacy/subprocessors",
      "geprueft": "2026-10-16",
      "anmerkung": "Liste 'Last updated: 6 October 2026' (am 03.10. noch '30 August 2026'): AWS Frankfurt (Teil A) plus 41 Modellprovider (Teil B, zuvor 37), davon 16 reine US-Provider (OpenAI, Anthropic, xAI, DeepInfra, Groq, Novita, Parasail, Perplexity, Together, Fireworks, NVIDIA, Poolside, Relace, Sail Research, TypeSafe, neu Thinking Machines Lab) sowie gemischte US/EU-Einträge (Vertex, Azure, Bedrock), Cloudflare 'US, Global network' und Gemini API 'Global'; China: DeepSeek, Moonshot AI, Xiaomi, Tencent; Singapur: Alibaba Cloud, Z.ai, MiniMax. 'Trains on Prompts = Yes' weiter nur bei NVIDIA und Poolside. EU-Einträge u. a. Mistral, Nebius, Inceptron, sference, TensorX, Regolo.ai, Scaleway SAS, Lyceum, Melious. Welche der vier Einträge seit 03.10. neu sind, ist außer Thinking Machines ungeklärt (Internet Archive am 08.10. offline, keine eigene Kopie vom 03.10.). Neu auf der Seite: Teil B wird nur beauftragt, wenn man an das Modell routet; einschränkbar über 'Approved Models'. Rohkopie belege/faelle/2026-001/subprocessors-2026-10-08.html"
    },
    "training_opt_out": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://docs.requesty.ai/quickstart",
      "geprueft": "2026-10-16",
      "anmerkung": "Quickstart-FAQ (Abruf 14.10.2026, neu formuliert): 'Is my data used for training? No. Requesty is a pass-through gateway and does not train on your requests or responses. Each model’s retention and training policy is shown in the Model Library'. Bis mindestens 10.10.2026 stand dort 'Requesty is a pass-through gateway. We don't train on your requests' mit dem Zusatz, dass Free-Plan-Modelle von NVIDIA/Poolside Upstream-Training erlauben; dieser Zusatz steht nicht mehr auf der Seite. Die Privacy Policy schränkt weiter ein (Wortlaut seit mindestens 25.08.2026, am 08.10. unverändert): 'On any paid plan this is absolute: Requesty never trains on your data […] Requesty's own use of content for training is limited to free plan accounts.' Für bezahlte Tarife belegt; für den Free-Plan behält sich Requesty eigenes Training vor, was die Quickstart-Antwort ('No.') ohne Einschränkung nicht sagt; am 14.10.2026 steht der Satz 'Requesty's own use of content for training is limited to free plan accounts.' weiter wörtlich in der Privacy Policy (Fall-Kandidat Nr. 39)"
    },
    "zero_data_retention": {
      "wert": null,
      "status": "beansprucht",
      "quelle": "https://www.requesty.ai/dpa",
      "geprueft": "2026-10-16",
      "fall": "2026-001",
      "anmerkung": "Widersprüchlich: Die DPA-Seite sagt am 08.10.2026 weiter ohne Einschränkung 'request and response bodies are never stored' (Seite seit 03.10. unverändert); die Security-Seite ist seit September umgebaut, 'No data stored' ist dort weg und sie sagt jetzt 'Logging is on by default, encrypted, in the EU, for 30 days'. DPA-Seite, Security-Seite und die Privacy Policy nennen für Self-Serve-Tarife Prompt-/Output-Logging als Standard mit 30 Tagen Aufbewahrung. ZDR nur pro API-Schlüssel abschaltbar oder organisationsweit auf schriftliche Anfrage. Dokumentiert als Fall 2026-001."
    },
    "zweckbindung": {
      "wert": false,
      "status": "belegt",
      "quelle": "https://www.requesty.ai/privacy",
      "geprueft": "2026-10-16",
      "anmerkung": "Privacy Policy (08.10.2026): 'Requesty's own use of content for training is limited to free plan accounts.' – im Free-Plan also eigenes Training mit Inhalten; für bezahlte Tarife: 'Requesty never trains on your data'. Zusätzlich erhoben: 'usage and log data (IP, timestamps, token counts, latency)'. Außerdem veröffentlicht Requesty Auswertungen des Kundenverkehrs ('Citable data notes from the Requesty production gateway', www.requesty.ai/data, z. B. finish_reason-Anteile je Modell und Anbieter). Der DPA-Volltext ist nicht öffentlich."
    },
    "betroffenenrechte_traeger": {
      "wert": null,
      "status": "unbelegt",
      "quelle": null,
      "geprueft": "2026-10-16",
      "anmerkung": "DPA nur auf Anfrage per E-Mail; die DPA-Seite nennt als Inhalte 'scope, confidentiality, security measures, subprocessors, breach notification, deletion', aber keine Regel zu Anfragen Betroffener. Privacy Policy (Kurzfassung) regelt das ebenfalls nicht."
    },
    "log_frist": {
      "wert": "Prompt-/Output-Logs standardmäßig bis 30 Tage (Self-Serve, je Schlüssel abschaltbar); Metadaten-Audit-Logs in jeder Konfiguration, Frist nicht genannt",
      "status": "belegt",
      "quelle": "https://www.requesty.ai/security",
      "geprueft": "2026-10-16",
      "anmerkung": "Security-Seite (08.10.2026): 'On self serve plans, prompt and output logging is on by default and retained for up to 30 days in encrypted form within the EU.' und 'Audit logs record metadata (timestamp, user, model, token counts, cost) in every configuration.' Privacy Policy: 'When logging is enabled, data is stored encrypted within the EU for up to 30 days.' Für Metadaten nennt keine der Seiten eine Frist."
    },
    "log_zweck": {
      "wert": "Observability und Audit für den Kunden",
      "status": "beansprucht",
      "quelle": "https://www.requesty.ai/security",
      "geprueft": "2026-10-16",
      "anmerkung": "Security-Seite: 'Metadata still audits'; DPA-Seite: 'Observability keeps running on metadata: tokens, latency, cost.' Einen Zweck für die 30-Tage-Speicherung der Inhalte nennt keine der Seiten; der DPA-Volltext ist nicht öffentlich."
    }
  },
  "zertifikate": [
    {
      "typ": "SOC 2 Type II",
      "status": "beansprucht",
      "quelle": "https://www.requesty.ai/security",
      "geprueft": "2026-10-16",
      "anmerkung": "Laut Security-Seite (Tabelle 'compliance / status September 2026', abgerufen 08.10.2026) 'SOC 2 Type II programme in progress', noch nicht erteilt, kein Zieltermin; Status verweist auf trust.requesty.ai (lädt nur per JavaScript, ohne Browser nicht lesbar)",
      "anwendungsbereich": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Kein Bericht: laut Security-Seite (08.10.2026) 'SOC 2 Type II programme in progress'; trust.requesty.ai lädt nur per JavaScript."
      },
      "zertifizierer": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Kein Prüfer genannt; Testat noch nicht erteilt (Security-Seite 08.10.2026)."
      },
      "akkreditiert_dakks": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "SOC 2 ist ein Testat eines Wirtschaftsprüfers, keine akkreditierte Zertifizierung; hier zudem noch nicht erteilt."
      },
      "normiert": [
        "soc-2"
      ]
    },
    {
      "typ": "ISO 27001",
      "status": "unbelegt",
      "quelle": null,
      "anmerkung": "Nicht erwähnt",
      "anwendungsbereich": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Kein ISO-27001-Zertifikat erwähnt (Security-Seite, Privacy Policy, DPA-Seite, 08.10.2026)."
      },
      "zertifizierer": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Kein Zertifikat, daher kein Zertifizierer."
      },
      "akkreditiert_dakks": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Kein Zertifikat, daher nicht prüfbar."
      },
      "normiert": [
        "iso-27001"
      ]
    }
  ],
  "iso_42001": {
    "status": "unbelegt",
    "wert": null,
    "zertifizierer": null,
    "anwendungsbereich": null,
    "quelle": null,
    "geprueft": "2026-10-16",
    "anmerkung": "Keine Erwähnung von ISO/IEC 42001. Security-Seite nennt nur SOC 2 Type II als laufend (\"Our SOC 2 Type II programme is in progress.\") und eine allgemeine Datenschutz-Aussage Geprüft: https://www.requesty.ai/security, https://trust.requesty.ai/ (nur Titel geladen, Inhalt vermutlich per JavaScript, nicht auswertbar), WebSearch: Requesty \"ISO 42001\""
  },
  "ai_act": [
    {
      "pflicht": "Transparenz-/Compliance-Angaben zu den EU-Regeln für KI",
      "status": "unbelegt",
      "quelle": null,
      "anmerkung": "Keine AI-Act-Angaben auf Website, Security-Seite oder in den Docs gefunden"
    }
  ],
  "geprueft": "2026-10-16",
  "url": "https://belegbar.eu/anbieter/requesty/",
  "beleg_quote_prozent": 20,
  "zuletzt_geprueft": "2026-10-16",
  "quellenlauf": {
    "zuletzt": "2026-10-16",
    "quellen": 7,
    "nachgelesen": 7,
    "unveraendert": 1,
    "veraendert_gelesen": 6,
    "offen": 0,
    "verschwunden": 0,
    "statuswechsel_30_tage": 2
  },
  "rechtsraum": {
    "land": "GB",
    "name": "Vereinigtes Königreich",
    "einordnung": "angemessen",
    "erlaeuterung": "Drittland mit Angemessenheitsbeschluss der EU-Kommission. Übermittlung ohne zusätzliche Garantien zulässig (Art. 45 DSGVO).",
    "hinweis": "Der Angemessenheitsbeschluss wurde im Dezember 2025 verlängert, je einmal unter der DSGVO und unter der Richtlinie für den Strafverfolgungsbereich (LED).",
    "quelle": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en",
    "geprueft": "2026-08-24"
  }
}