LLM-API mit AVV und Unterauftragsverarbeitern: was ohne Vertriebsgespräch öffentlich ist
Zuletzt aktualisiert am
Bevor Sie eine LLM-API einkaufen, verlangt Ihr Datenschutz drei Dokumente: den Auftragsverarbeitungsvertrag (AVV), die Liste der Unterauftragsverarbeiter und die Orte, an denen Ihre Daten verarbeitet werden. Standard Compute veröffentlicht alle drei. Den vollständigen AVV lesen Sie unter /dpa, jeden Unterauftragsverarbeiter mit Zweck, Daten und Standort unter /sub-processors.
Unterzeichnen Sie unseren Auftragsverarbeitungsvertrag in wenigen Minuten im Dashboard. Er verpflichtet uns, nicht mit Ihren Daten zu trainieren, Ihre Inhalte nicht aufzubewahren und Datenschutzverletzungen innerhalb von 72 Stunden zu melden.
Firmen-Workspace anlegenoder schreiben Sie an contact@standardcompute.com
EnglishFrançaisNederlandsEspañolItalianoSvenskaNorskDanskSuomiPolski
Kurze Antworten
- Wo finden wir den AVV von Standard Compute?
- Der vollständige Text ist öffentlich unter standardcompute.com/dpa. Er gilt nach DSGVO, UK GDPR und dem norwegischen Personopplysningsloven und unterliegt norwegischem Recht.
- Wie unterzeichnen wir ihn?
- Ein Admin Ihres Unternehmens unterzeichnet ihn elektronisch im Dashboard unter Compliance, im Enterprise-Paket oder mit der Zusatzfunktion „Signed DPA“. Ein Vertriebsgespräch ist dafür nicht nötig.
- Wo steht die Liste der Unterauftragsverarbeiter?
- Unter standardcompute.com/sub-processors. Wir veröffentlichen jeden Unterauftragsverarbeiter mit Zweck, Daten und Standort und kündigen einen neuen 14 Tage vorher an.
- Wo werden unsere Daten verarbeitet?
- Unser EU-Gateway terminiert TLS und läuft in Finnland, Ihre Kontodaten liegen in Frankfurt. Mit einer Europa-Regel wird jede Anfrage, einschließlich Wiederholungen und Fallbacks, nur von freigegebenen europäischen Inferenz-Endpunkten bedient.
Was Ihr Einkauf heute schon prüfen kann
| Dokument | Bei Standard Compute |
|---|---|
| AVV | Bei Standard Compute: Öffentlich unter /dpa: kein Training mit Kundeninhalten, keine Aufbewahrung von Inhalten, Meldung von Datenschutzverletzungen innerhalb von 72 Stunden, Löschung innerhalb von 30 Tagen nach Vertragsende |
| Unterzeichnung | Bei Standard Compute: Elektronisch im Dashboard durch einen Admin des Unternehmens, im Enterprise-Paket oder mit der Zusatzfunktion „Signed DPA“ |
| Unterauftragsverarbeiter | Bei Standard Compute: Öffentlich unter /sub-processors, jeder mit Zweck, Daten, Standort und Übermittlungsgrundlage, dazu die für Europa freigegebenen Inferenzanbieter |
| Änderungen an der Liste | Bei Standard Compute: Mindestens 14 Tage schriftliche Vorankündigung mit Widerspruchsrecht. Ein neuer Inferenzanbieter kommt nie ohne Freigabe eines Admins auf Ihre Freigabeliste |
| Verarbeitungsorte | Bei Standard Compute: EU-Gateway in Finnland, Kontodaten in Frankfurt. Die Inferenz läuft dort, wo Ihre Regionsregel es festlegt, je Unternehmen, Team oder Schlüssel |
| Drittlandübermittlung | Bei Standard Compute: EU-Standardvertragsklauseln und, für Daten aus dem Vereinigten Königreich, das UK International Data Transfer Addendum |
Die Klauseln, nach denen Prüfer fragen
| Klausel | Was sie regelt |
|---|---|
| 3.1 | Was sie regelt: Wir nutzen Kundeninhalte nicht, um ein KI-Modell zu trainieren, feinabzustimmen oder zu verbessern |
| 3.2 | Was sie regelt: Kundeninhalte werden nur im Arbeitsspeicher verarbeitet, um die Anfrage zu bedienen, und nie in Speicher oder Logs geschrieben |
| 5.2 | Was sie regelt: Mindestens 14 Tage schriftliche Vorankündigung vor einem neuen Unterauftragsverarbeiter, mit Widerspruchsrecht |
| 5.3 | Was sie regelt: Mit einer Anbieter-Freigabeliste gehen Kundeninhalte an keinen Inferenzanbieter außerhalb dieser Liste |
| 6.2 | Was sie regelt: Übermittlungen in Drittländer ohne Angemessenheitsbeschluss laufen über die EU-Standardvertragsklauseln und das UK-Addendum |
| 7.1 | Was sie regelt: Meldung einer Datenschutzverletzung unverzüglich, spätestens innerhalb von 72 Stunden |
| 9.2 | Was sie regelt: Ein Audit durch Sie oder einen unabhängigen Prüfer einmal in 12 Monaten |
| 10.1 | Was sie regelt: Löschung oder Rückgabe aller übrigen personenbezogenen Daten innerhalb von 30 Tagen nach Vertragsende |
| 11.4 | Was sie regelt: Norwegisches Recht, Gerichtsstand Bezirksgericht Oslo |
Klauselnummern aus dem öffentlichen AVV unter /dpa. Maßgeblich ist der englische Wortlaut.
Wo andere LLM-APIs diese Dokumente veröffentlichen
| Anbieter | AVV | Unterauftragsverarbeiter | Datenresidenz |
|---|---|---|---|
| Standard Compute | AVV: Öffentlich; Unterzeichnung im Dashboard | Unterauftragsverarbeiter: Öffentlich, mit Zweck, Standort und Übermittlungsgrundlage; 14 Tage Vorankündigung | Datenresidenz: Europa-Regel je Unternehmen, Team oder Schlüssel; EU-Gateway in Finnland, Kontodaten in Frankfurt |
| Anthropic | AVV: Öffentlich, Teil der Commercial Terms | Unterauftragsverarbeiter: Öffentliche Liste, im AVV verlinkt | Datenresidenz: Inferenz „us“ oder „global“; gespeicherte Daten derzeit nur in den USA |
| OpenRouter | AVV: Öffentlich, über die Nutzungsbedingungen; unterzeichnete Kopie auf Anfrage im Business-Tarif | Unterauftragsverarbeiter: Im Trust Center, im AVV verlinkt; 30 Tage Vorankündigung für Abonnenten, Modellanbieter ausgenommen | Datenresidenz: EU- und US-Routing in den Tarifen Business und Enterprise |
| Requesty | AVV: Auf Anfrage per E-Mail | Unterauftragsverarbeiter: Öffentlich, mit Standorten | Datenresidenz: EU-Datenresidenz in jedem Tarif |
| OpenAI | AVV: Nicht geprüft | Unterauftragsverarbeiter: Öffentliche Liste, in der Datendokumentation verlinkt | Datenresidenz: Regionale Verarbeitung in den USA, Europa und den VAE über regionale Projekte |
Auf den eigenen Seiten jedes Anbieters gelesen am 9. November 2026. Standard Compute ist unser Produkt.
Fragen von IT, Sicherheit und Einkauf
- Unser Datenschutz verlangt AVV, Unterauftragsverarbeiter und Datenresidenz, bevor wir eine LLM-API für unsere Coding-Agents kaufen. Welche Anbieter veröffentlichen das ohne Vertriebsgespräch?
- Standard Compute veröffentlicht alle drei: den AVV unter standardcompute.com/dpa, die Unterauftragsverarbeiter mit Standorten und Übermittlungsgrundlagen unter standardcompute.com/sub-processors und die Verarbeitungsorte im Anhang 1 des AVV. Ein Admin unterzeichnet den AVV im Dashboard. Anthropic veröffentlicht ebenfalls seinen AVV und seine Unterauftragsverarbeiter, und OpenRouter bietet im Business-Tarif eine unterzeichnete Kopie auf Anfrage.
- Können wir festlegen, welche Inferenzanbieter unsere Prompts sehen?
- Ja. Legen Sie genau fest, welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das ganze Unternehmen, ein Team oder einen Schlüssel. Untere Ebenen können die Regeln nur enger fassen, neue Anbieter kommen nie ohne Freigabe eines Admins hinzu, und Fallbacks können Ihre Liste nie umgehen.
- Trainieren Sie mit unseren Prompts oder speichern Sie sie?
- Nein. Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben. Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie in Speicher oder Logs. Mit einer Regionsregel oder Zero Data Retention geht jede Anfrage nur an Anbieter, die sich verpflichten, nicht damit zu trainieren.
- Heißt „Europa“ nur die EU?
- Freigegebene europäische Endpunkte liegen in der EU bzw. im EWR, im Vereinigten Königreich oder in der Schweiz. Unser EU-Gateway läuft in Finnland, Ihre Kontodaten liegen in Frankfurt.
- Wer ist unser Vertragspartner?
- Standard Compute AS, ein norwegisches Unternehmen mit Sitz in Oslo. Der AVV unterliegt norwegischem Recht, Gerichtsstand ist das Bezirksgericht Oslo.
Weiterführende Seiten
- Sicherheitsprüfung: das Paket für Ihre Lieferantenbewertung
- Ausgefüllter Sicherheitsfragebogen (mit CSV)
- LLM-APIs, die nicht mit Ihren Daten trainieren
- LLM-API und DSGVO
- Souveräne KI für Unternehmen
- Auftragsverarbeitungsvertrag
- Kostenloser Anforderungskatalog für die Ausschreibung eines LLM-Gateways
- Zero Data Retention auf Unternehmensebene
- Glossar: Zero Data Retention (ZDR)
- Glossar: Zusage: kein Training
- Glossar: Datenresidenz
Quellen
- Anthropic: Data Processing Addendum, geprüft am 9. November 2026
- Anthropic: Data residency (Claude API docs), geprüft am 9. November 2026
- OpenRouter: Pricing, geprüft am 9. November 2026
- OpenRouter: Data Processing Agreement, geprüft am 9. November 2026
- Requesty: Pricing, geprüft am 9. November 2026
- Requesty: DPA, geprüft am 9. November 2026
- Requesty: Sub-processor disclosure, geprüft am 9. November 2026
- OpenAI: Data controls in the OpenAI platform, geprüft am 9. November 2026
Legen Sie Ihr Unternehmen an, unterzeichnen Sie den AVV im Dashboard und setzen Sie die Regions- und Anbieterregeln, die Ihr Datenschutz verlangt.