Fälle: Wo Behauptung und Beleg auseinanderlaufen

Ein Fall ist kein Urteil. Er dokumentiert, dass zwei öffentliche Aussagen desselben Anbieters (oder eine Aussage und ihr Primärdokument) nicht zugleich wahr sein können. Mit wörtlichem Zitat, Abrufzeitpunkt, Inhalts-Hash und Archivkopie. Der Anbieter wird vor der Veröffentlichung informiert, seine Antwort erscheint wörtlich. So funktioniert es.

• Fall 2026-004 · bestätigt · 10.09.2026 · Scaleway

  Scaleway: „no access to, nor knowledge of any inputs and outputs“ — und auf derselben Seite: „we may temporarily store and access the full content of HTTP requests“

  Die Doku-Seite „Security and reliability“ zu Scaleways Generative APIs sagt in ihrem Abschnitt zur Modell-Transparenz ohne Vorbehalt, Scaleway habe keinen Zugriff auf und keine Kenntnis von Ein- und Ausgaben der Modelle; die Produktseite wiederholt das („We do not collect, read, reuse, or analyse the content of your inputs, prompts or outputs“). Dieselbe Doku-Seite sagt im Abschnitt „Scaleway access“: Bei Störungen könne Scaleway den vollständigen Inhalt von HTTP-Anfragen vorübergehend speichern und einsehen; die Privacy Policy nennt dafür bis zu zwei Wochen. Beide Aussagen können nicht zugleich uneingeschränkt gelten.

• Fall 2026-003 · bestätigt · 10.09.2026 · Black Forest Labs

  Black Forest Labs: „Zero data retention“ — und eine unbefristete Lizenz zum Speichern und Trainieren in den eigenen API-Terms

  Die Enterprise-Seite von Black Forest Labs bewirbt die Managed API mit „Zero data retention“, ohne Einschränkung auf einen Vertragstyp. Die für dieselbe FLUX API geltenden Terms — auch die am 26.08.2026 revidierte EU-Fassung — räumen dem Unternehmen eine unbefristete, weltweite Lizenz ein, Inputs und Outputs zu speichern und zum Training zu nutzen; Privacy Policy und Terms of Service sagen dasselbe. Beide Aussagen können nicht zugleich für den öffentlichen API-Zugang gelten.

• Fall 2026-002 · bestätigt · 28.08.2026 · GreenPT

  GreenPT: „ISO 27001 — Verified by independent audit“ im Footer, Zertifikat gehört den Rechenzentren

  Der Footer jeder GreenPT-Seite führt „ISO 27001“ unter der Überschrift „Verified by independent audit“, die Startseite spricht von „Audited certifications … Not marketing“. Die eigene Sustainability-Seite, deren FAQ und die Privacy Policy sagen dreimal übereinstimmend: Die ISO-27001-Zertifizierung gehört den genutzten Rechenzentren (Scaleway, Verda), nicht GreenPT BV. Ein Rechenzentrums-Zertifikat deckt das Informationssicherheits-Managementsystem des Anbieters selbst nicht ab.

• Fall 2026-001 · bestätigt · 25.08.2026 · Requesty

  Requesty: „never stored“ — und 30 Tage Logging als Standard

  Die DPA- und Security-Seiten von Requesty sagen ohne Einschränkung, Anfrage- und Antwortinhalte würden „never stored“. Dieselben Seiten sagen im Kleingedruckten: Auf Self-Serve-Tarifen ist das Logging von Prompts und Ausgaben standardmäßig an, Aufbewahrung 30 Tage. Beide Aussagen können nicht zugleich für den Standardfall gelten.