Question 1

Wo werden Prompts und Antworten verarbeitet (Inferenz), und lässt sich die Verarbeitung auf eine bestimmte Region wie die EU/den EWR beschränken?

Accepted Answer

Legen Sie eine Europa-Regel für Ihr Unternehmen, ein Team oder einen einzelnen Schlüssel fest, und jede Anfrage, einschließlich Wiederholungen und Fallbacks, wird ausschließlich von freigegebenen europäischen Inferenz-Endpunkten bedient. Unser EU-Gateway terminiert TLS und läuft in Finnland, und kann kein europäischer Endpunkt eine Anfrage bedienen, wird sie abgelehnt, bevor Ihr Prompt gesendet wird.

Question 2

Wie definiert der Anbieter die Region? Bedeutet „Europa“ zum Beispiel nur EU/EWR, oder gehören auch das Vereinigte Königreich, die Schweiz oder andere Länder dazu?

Accepted Answer

Eine Europa-Regel lässt nur die freigegebenen europäischen Inferenz-Endpunkte zu, die in unserer Liste der Unterauftragsverarbeiter mit ihrem jeweiligen Verarbeitungsort aufgeführt sind.

Question 3

Bleiben Wiederholungen, Fallbacks, Klassifikatoren, Guardrails, Caching und Logging innerhalb derselben Regionsregel wie die Hauptanfrage?

Accepted Answer

Ja. Die Regel gilt für jeden Aufruf, der einen Prompt enthält: den Routing-Klassifikator, die Antwort, jede Wiederholung und jeden Fallback. Prompts werden im Arbeitsspeicher verarbeitet und nie auf Datenträger oder in Logs geschrieben.

Question 4

Wo werden Konto-, Abrechnungs-, Nutzungs- und Log-Metadaten gespeichert, und verlässt etwas davon die Region?

Accepted Answer

Ihre Konto- und Nutzungsdaten werden in Frankfurt gespeichert, und unser EU-Gateway läuft in Finnland. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten und Status), nie Ihre Prompts oder Ausgaben.

Question 5

Speichert das Gateway selbst Prompts oder Antworten, wie lange, und lässt sich die Speicherung abschalten?

Accepted Answer

Nein. Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie auf Datenträger oder in Logs.

Question 6

Können Sie von nachgelagerten Modellanbietern Zero Data Retention (ZDR) verlangen, und wie wird das durchgesetzt?

Accepted Answer

Ja. Aktivieren Sie Zero Data Retention für Ihr Unternehmen, ein Team oder einen Schlüssel, und jede Anfrage wird nur an Inferenz-Endpunkte geleitet, die zusagen, keine Kopie Ihrer Daten zu behalten. Teams und Schlüssel erben die Anforderung und können sie nie abschalten.

Question 7

Was genau deckt die ZDR-Zusage des Anbieters ab (Missbrauchsüberwachung, Caching, Sicherheitsklassifikatoren, menschliche Prüfung)?

Accepted Answer

Jeder Endpunkt, der Zero-Retention-Datenverkehr bedient, muss unsere Anbieteranforderungen (Provider Requirements) erfüllen: Prompts und Ausgaben werden nach Abschluss der Anfrage nicht gespeichert, und akzeptiert wird nur vorübergehendes Caching, das für die Inferenz unbedingt erforderlich ist.

Question 8

Was geschieht mit Ihren Daten am Vertragsende, und wie schnell werden sie gelöscht?

Accepted Answer

Ihre Inhalte werden nie aufbewahrt. Bei Vertragsende löschen wir alle übrigen personenbezogenen Kundendaten innerhalb von 30 Tagen oder geben sie zurück.

Question 9

Nutzt der Anbieter Ihre Prompts, Antworten oder Dateien, um Modelle zu trainieren oder zu verbessern, und ist das die Voreinstellung?

Accepted Answer

Nein. Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben, und der AVV schließt dies vertraglich aus.

Question 10

Verpflichtet der Anbieter seine Unterauftragsverarbeiter und nachgelagerten Modellanbieter, nicht mit Ihren Daten zu trainieren, und setzt das Routing dies durch?

Accepted Answer

Mit einer Regionsregel oder aktivierter Zero Retention geht jede Anfrage nur an Anbieter, die zusagen, nicht damit zu trainieren.

Question 11

Werden Ihre Daten für Analysen, Benchmarking, Produktverbesserung oder menschliche Prüfung verwendet?

Accepted Answer

Prompts und Ausgaben werden im Arbeitsspeicher verarbeitet, nie auf Datenträger oder in Logs geschrieben und nie für Training verwendet. Anfrageprotokolle enthalten nur Metadaten: Modell, Anbieter, Tokens, Kosten und Status.

Question 12

Gibt es eine öffentliche, aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Datenkategorien und Standort?

Accepted Answer

Ja. Wir veröffentlichen jeden Unterauftragsverarbeiter mit Zweck, Daten und Standort.

Question 13

Mit welchem Vorlauf werden Sie informiert, bevor ein neuer Unterauftragsverarbeiter hinzukommt, und können Sie widersprechen?

Accepted Answer

Wir informieren Sie 14 Tage, bevor wir einen neuen Unterauftragsverarbeiter hinzufügen. Wie Sie Benachrichtigungen erhalten und widersprechen, steht auf der Seite zu den Unterauftragsverarbeitern.

Question 14

Wenn das Gateway einen neuen Modellanbieter hinzufügt, erreicht Ihr Datenverkehr ihn dann automatisch?

Accepted Answer

Mit einer Anbieter-Allowlist wird ein neuer Anbieter nie ohne Freigabe eines Admins hinzugefügt, und Fallbacks können Ihre Liste nie umgehen.

Question 15

Welche SSO-Protokolle werden unterstützt (SAML, OIDC), mit welchen Identitätsanbietern und in welchem Tarif?

Accepted Answer

Verbinden Sie Microsoft Entra ID oder einen beliebigen SAML-Identitätsanbieter, damit sich Ihre Mitarbeitenden mit ihren Arbeitskonten bei Standard Compute anmelden. Wer zu Ihrer verifizierten Domain gehört, tritt Ihrem Unternehmen automatisch bei.

Question 16

Wird SCIM-Provisionierung unterstützt, und widerruft eine Deprovisionierung im IdP die API-Schlüssel und Sitzungen?

Accepted Answer

Der Zugang zu Claude Desktop und Claude Code folgt Ihren Microsoft-Entra-Gruppen über SCIM-Provisionierung.

Question 17

Kann der Zugang zu KI-Tools (Chat-Apps, Coding-Agents) IdP-Gruppen folgen statt geteilten API-Schlüsseln?

Accepted Answer

Ja. Mitarbeitende melden sich mit ihrem Microsoft-Arbeitskonto über unser EU-Gateway bei Claude Desktop und Claude Code an, sodass keine API-Schlüssel verteilt werden müssen. Für die API-Nutzung erhält jede Person und jede App einen eigenen Schlüssel.

Question 18

Gibt es ein Admin-Audit-Log für Konfigurationsänderungen (Personen, Schlüssel, Budgets, Richtlinien) mit Vorher- und Nachher-Werten?

Accepted Answer

Ja. Jede Admin-Änderung wird mit Vorher- und Nachher-Werten protokolliert.

Question 19

Gibt es einen Datensatz pro Anfrage (Modell, bedienender Anbieter, Region, Ergebnis, Fallbacks), und lässt er sich exportieren?

Accepted Answer

Ja. Sie können einen Datensatz zu jeder Anfrage exportieren, mit dem Modell, dem Anbieter, der sie bedient hat, der geltenden Regionsregel, dem Ergebnis und allen von Anbietern gemeldeten Fallback-Versuchen.

Question 20

Wie lange werden Audit- und Anfrageprotokolle aufbewahrt, und können Sie einen Zeitraum wählen?

Accepted Answer

Anfrageprotokolle werden mit Enterprise und dem SLA-Add-on 12 Monate aufbewahrt, und Sie können sie aus dem Dashboard exportieren.

Question 21

Enthalten Audit-Datensätze Prompt-Inhalte? Wenn ja, wer kann sie sehen?

Accepted Answer

Nein. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten und Status), nie Ihre Prompts oder Ausgaben.

Question 22

Können Sie harte Budgets pro Schlüssel, pro Nutzer, pro Team und pro Organisation festlegen?

Accepted Answer

Jede Person und jede App erhält ein festes Monatsbudget, das nie überschritten wird, und Sie können Ausgabenlimits pro Schlüssel und für das gesamte Unternehmen festlegen.

Question 23

Was passiert, wenn ein Budget erreicht ist: harter Stopp, Überziehung oder Ausweichen auf ein günstigeres Modell?

Accepted Answer

Harter Stopp, ohne Überziehung: Anfragen liefern HTTP 402 mit dem Code budget_exhausted, bis der Zeitraum erneuert wird. Optionales Aufladen aus einem vorausbezahlten Unternehmensguthaben sorgt dafür, dass kritische Agents weiterlaufen.

Question 24

Lassen sich Ausgaben für die interne Verrechnung einer Person, einer App, einem Team, einem Projekt oder einer Kostenstelle zuordnen?

Accepted Answer

Jede Person und jede App hat einen eigenen Schlüssel und ein eigenes Monatsbudget, organisiert in Teams unter einem Unternehmenskonto.

Question 25

Können Sie einschränken, welche Modelle jedes Team, jeder Schlüssel oder jede App nutzen darf?

Accepted Answer

Ja. Sie entscheiden, welche Modelle jeder Schlüssel nutzen darf, sodass jede App und jedes Teammitglied genau die Modelle erhält, die Sie freigeben.

Question 26

Können Sie einschränken, welche Inferenzanbieter (Clouds, Hosts) Ihren Datenverkehr bedienen dürfen, und gilt die Einschränkung auch für Fallbacks?

Accepted Answer

Ja. Legen Sie genau fest, welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das gesamte Unternehmen, ein Team oder einen einzelnen Schlüssel. Fallbacks können Ihre Liste nie umgehen.

Question 27

Können untere Ebenen (Team, Schlüssel) die Richtlinie der Organisation nur verengen, nie erweitern?

Accepted Answer

Ja. Untere Ebenen können die darüber festgelegten Regeln nur verengen.

Question 28

Welche vertragliche Frist gilt für die Meldung von Datenschutzverletzungen?

Accepted Answer

Wir informieren Sie innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

Question 29

Gibt es eine öffentliche Statusseite mit Vorfallhistorie und ein Verfügbarkeits-SLA mit Gutschriften?

Accepted Answer

Unsere Statusseite ist öffentlich, und Enterprise umfasst ein monatliches Verfügbarkeits-SLA von 99,9 % mit Service-Gutschriften.

Question 30

Wie funktioniert das Failover, wenn ein Modellanbieter ausfällt, und hält es Ihre Regions- und Anbieterregeln ein?

Accepted Answer

Fällt ein Anbieter aus, wechselt Ihre Anfrage automatisch zu einem anderen freigegebenen Anbieter desselben Modells, ohne Ihre Regions- oder Anbieterregeln zu verlassen. Ist keine zulässige Route verfügbar, schlägt die Anfrage fehl und wird nie außerhalb Ihrer Richtlinie gesendet.

Question 31

Kann der Dienst Ihnen helfen, die Protokolle zu führen, die ein Betreiber eines Hochrisiko-KI-Systems führen muss (Art. 26 Abs. 6: automatisch erzeugte Protokolle unter Ihrer Kontrolle, mindestens sechs Monate aufbewahrt, sofern das geltende Unionsrecht oder nationale Recht nichts anderes vorsieht)?

Accepted Answer

Ja. Sie können einen Datensatz zu jeder Anfrage mit Modell, bedienendem Anbieter, Regionsregel und Ergebnis exportieren, der mit Enterprise und dem SLA-Add-on 12 Monate aufbewahrt wird.

Question 32

Dokumentiert der Anbieter, welche Modelle er bereitstellt und wer sie anbietet, mit Links zur Dokumentation der Anbieter (Model Cards, Nutzungsrichtlinien)?

Accepted Answer

Jeder Anfrage-Datensatz nennt das Modell und den Anbieter, der die Anfrage bedient hat, und die Modelle, die wir bereitstellen, stehen auf unserer Modellseite.

Question 33

Ist die API mit einer verbreiteten Schnittstelle kompatibel (zum Beispiel dem OpenAI- oder Anthropic-API-Format), sodass Sie den Anbieter durch Ändern einer Base-URL wechseln können?

Accepted Answer

Ja. Sie senden OpenAI- oder Anthropic-kompatible API-Anfragen an einen einzigen Endpunkt, dokumentiert in unserer API-Referenz.

Question 34

Können Sie Ihre Konfiguration (Schlüssel, Richtlinien, Prompts, Routing-Regeln) und Ihre Logs in einem Standardformat exportieren?

Accepted Answer

Anfrageprotokolle lassen sich aus dem Dashboard exportieren, mit Modell, bedienendem Anbieter und Regionsregel für jede Anfrage.

Question 35

Welche Kündigungsbedingungen gelten: Frist, Datenrückgabe, Löschung und etwaige Gebühren?

Accepted Answer

Bei Vertragsende löschen wir Ihre personenbezogenen Daten innerhalb von 30 Tagen oder geben sie zurück.

Question 36

Ist ein Auftragsverarbeitungsvertrag verfügbar, und lässt er sich ohne individuelle Verhandlung unterzeichnen?

Accepted Answer

Ja. Der vollständige AVV-Text ist öffentlich, und ein Unternehmensadmin unterzeichnet ihn in wenigen Minuten im Dashboard. Er verpflichtet uns, nicht mit Ihren Daten zu trainieren, Ihre Inhalte nicht aufzubewahren und Datenschutzverletzungen innerhalb von 72 Stunden zu melden.

Question 37

Welche Übermittlungsmechanismen decken Übermittlungen außerhalb der EU/des EWR ab (SCCs, UK IDTA, EU-US Data Privacy Framework)?

Accepted Answer

Die EU-Standardvertragsklauseln und, für Daten aus dem Vereinigten Königreich, das UK International Data Transfer Addendum. Der Mechanismus für jeden Unterauftragsverarbeiter steht auf unserer Seite zu den Unterauftragsverarbeitern.

Question 38

Welches Recht gilt für den Vertrag, und wo werden Streitigkeiten beigelegt?

Accepted Answer

Norwegisches Recht. Streitigkeiten gehen nach unseren Nutzungsbedingungen an die Gerichte in Oslo, und nach dem AVV ist das Bezirksgericht Oslo der vereinbarte Gerichtsstand. Vertragspartner ist die Standard Compute AS, Org.-Nr. 938 498 806, Oslo, Norwegen.

Unsere Antworten auf den Sicherheitsfragebogen für LLM-Gateways

Datenresidenz und regionale Verarbeitung

Aufbewahrung und Zero Data Retention

Training und Sekundärnutzung

Unterauftragsverarbeiter

Identität: SSO und SCIM

Audit-Logs und Anfrageprotokolle

Ausgabenkontrolle

Modell- und Anbieter-Governance

Vorfälle, Verfügbarkeit und Nachweise

Unterstützung für Betreiber nach dem EU AI Act

Ausstieg und Portabilität

Vertrag und AVV

Über den Fragebogen

ID	Frage	Antwort	Nachweis
DR-01	Wo werden Prompts und Antworten verarbeitet (Inferenz), und lässt sich die Verarbeitung auf eine bestimmte Region wie die EU/den EWR beschränken?	Legen Sie eine Europa-Regel für Ihr Unternehmen, ein Team oder einen einzelnen Schlüssel fest, und jede Anfrage, einschließlich Wiederholungen und Fallbacks, wird ausschließlich von freigegebenen europäischen Inferenz-Endpunkten bedient. Unser EU-Gateway terminiert TLS und läuft in Finnland, und kann kein europäischer Endpunkt eine Anfrage bedienen, wird sie abgelehnt, bevor Ihr Prompt gesendet wird.	Sicherheit Europäisches Gateway
DR-02	Wie definiert der Anbieter die Region? Bedeutet „Europa“ zum Beispiel nur EU/EWR, oder gehören auch das Vereinigte Königreich, die Schweiz oder andere Länder dazu?	Eine Europa-Regel lässt nur die freigegebenen europäischen Inferenz-Endpunkte zu, die in unserer Liste der Unterauftragsverarbeiter mit ihrem jeweiligen Verarbeitungsort aufgeführt sind.	Unterauftragsverarbeiter
DR-03	Bleiben Wiederholungen, Fallbacks, Klassifikatoren, Guardrails, Caching und Logging innerhalb derselben Regionsregel wie die Hauptanfrage?	Ja. Die Regel gilt für jeden Aufruf, der einen Prompt enthält: den Routing-Klassifikator, die Antwort, jede Wiederholung und jeden Fallback. Prompts werden im Arbeitsspeicher verarbeitet und nie auf Datenträger oder in Logs geschrieben.	Sicherheit
DR-04	Wo werden Konto-, Abrechnungs-, Nutzungs- und Log-Metadaten gespeichert, und verlässt etwas davon die Region?	Ihre Konto- und Nutzungsdaten werden in Frankfurt gespeichert, und unser EU-Gateway läuft in Finnland. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten und Status), nie Ihre Prompts oder Ausgaben.	Sicherheit Unterauftragsverarbeiter

ID	Frage	Antwort	Nachweis
RT-01	Speichert das Gateway selbst Prompts oder Antworten, wie lange, und lässt sich die Speicherung abschalten?	Nein. Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie auf Datenträger oder in Logs.	Sicherheit AVV Ziff. 3
RT-02	Können Sie von nachgelagerten Modellanbietern Zero Data Retention (ZDR) verlangen, und wie wird das durchgesetzt?	Ja. Aktivieren Sie Zero Data Retention für Ihr Unternehmen, ein Team oder einen Schlüssel, und jede Anfrage wird nur an Inferenz-Endpunkte geleitet, die zusagen, keine Kopie Ihrer Daten zu behalten. Teams und Schlüssel erben die Anforderung und können sie nie abschalten.	Sicherheit Governance
RT-03	Was genau deckt die ZDR-Zusage des Anbieters ab (Missbrauchsüberwachung, Caching, Sicherheitsklassifikatoren, menschliche Prüfung)?	Jeder Endpunkt, der Zero-Retention-Datenverkehr bedient, muss unsere Anbieteranforderungen (Provider Requirements) erfüllen: Prompts und Ausgaben werden nach Abschluss der Anfrage nicht gespeichert, und akzeptiert wird nur vorübergehendes Caching, das für die Inferenz unbedingt erforderlich ist.	Anbieteranforderungen
RT-04	Was geschieht mit Ihren Daten am Vertragsende, und wie schnell werden sie gelöscht?	Ihre Inhalte werden nie aufbewahrt. Bei Vertragsende löschen wir alle übrigen personenbezogenen Kundendaten innerhalb von 30 Tagen oder geben sie zurück.	AVV Ziff. 10

ID	Frage	Antwort	Nachweis
TR-01	Nutzt der Anbieter Ihre Prompts, Antworten oder Dateien, um Modelle zu trainieren oder zu verbessern, und ist das die Voreinstellung?	Nein. Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben, und der AVV schließt dies vertraglich aus.	AVV Ziff. 3.1
TR-02	Verpflichtet der Anbieter seine Unterauftragsverarbeiter und nachgelagerten Modellanbieter, nicht mit Ihren Daten zu trainieren, und setzt das Routing dies durch?	Mit einer Regionsregel oder aktivierter Zero Retention geht jede Anfrage nur an Anbieter, die zusagen, nicht damit zu trainieren.	Anbieteranforderungen Sicherheit
TR-03	Werden Ihre Daten für Analysen, Benchmarking, Produktverbesserung oder menschliche Prüfung verwendet?	Prompts und Ausgaben werden im Arbeitsspeicher verarbeitet, nie auf Datenträger oder in Logs geschrieben und nie für Training verwendet. Anfrageprotokolle enthalten nur Metadaten: Modell, Anbieter, Tokens, Kosten und Status.	Sicherheit

ID	Frage	Antwort	Nachweis
SP-01	Gibt es eine öffentliche, aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Datenkategorien und Standort?	Ja. Wir veröffentlichen jeden Unterauftragsverarbeiter mit Zweck, Daten und Standort.	Unterauftragsverarbeiter
SP-02	Mit welchem Vorlauf werden Sie informiert, bevor ein neuer Unterauftragsverarbeiter hinzukommt, und können Sie widersprechen?	Wir informieren Sie 14 Tage, bevor wir einen neuen Unterauftragsverarbeiter hinzufügen. Wie Sie Benachrichtigungen erhalten und widersprechen, steht auf der Seite zu den Unterauftragsverarbeitern.	Unterauftragsverarbeiter
SP-03	Wenn das Gateway einen neuen Modellanbieter hinzufügt, erreicht Ihr Datenverkehr ihn dann automatisch?	Mit einer Anbieter-Allowlist wird ein neuer Anbieter nie ohne Freigabe eines Admins hinzugefügt, und Fallbacks können Ihre Liste nie umgehen.	Unterauftragsverarbeiter Governance

ID	Frage	Antwort	Nachweis
ID-01	Welche SSO-Protokolle werden unterstützt (SAML, OIDC), mit welchen Identitätsanbietern und in welchem Tarif?	Verbinden Sie Microsoft Entra ID oder einen beliebigen SAML-Identitätsanbieter, damit sich Ihre Mitarbeitenden mit ihren Arbeitskonten bei Standard Compute anmelden. Wer zu Ihrer verifizierten Domain gehört, tritt Ihrem Unternehmen automatisch bei.	SSO SSO-Dokumentation
ID-03	Wird SCIM-Provisionierung unterstützt, und widerruft eine Deprovisionierung im IdP die API-Schlüssel und Sitzungen?	Der Zugang zu Claude Desktop und Claude Code folgt Ihren Microsoft-Entra-Gruppen über SCIM-Provisionierung.	Anmelde-Dokumentation
ID-04	Kann der Zugang zu KI-Tools (Chat-Apps, Coding-Agents) IdP-Gruppen folgen statt geteilten API-Schlüsseln?	Ja. Mitarbeitende melden sich mit ihrem Microsoft-Arbeitskonto über unser EU-Gateway bei Claude Desktop und Claude Code an, sodass keine API-Schlüssel verteilt werden müssen. Für die API-Nutzung erhält jede Person und jede App einen eigenen Schlüssel.	SSO Anmelde-Dokumentation

ID	Frage	Antwort	Nachweis
AU-01	Gibt es ein Admin-Audit-Log für Konfigurationsänderungen (Personen, Schlüssel, Budgets, Richtlinien) mit Vorher- und Nachher-Werten?	Ja. Jede Admin-Änderung wird mit Vorher- und Nachher-Werten protokolliert.	Governance Sicherheit
AU-02	Gibt es einen Datensatz pro Anfrage (Modell, bedienender Anbieter, Region, Ergebnis, Fallbacks), und lässt er sich exportieren?	Ja. Sie können einen Datensatz zu jeder Anfrage exportieren, mit dem Modell, dem Anbieter, der sie bedient hat, der geltenden Regionsregel, dem Ergebnis und allen von Anbietern gemeldeten Fallback-Versuchen.	Sicherheit Governance
AU-03	Wie lange werden Audit- und Anfrageprotokolle aufbewahrt, und können Sie einen Zeitraum wählen?	Anfrageprotokolle werden mit Enterprise und dem SLA-Add-on 12 Monate aufbewahrt, und Sie können sie aus dem Dashboard exportieren.	Sicherheit
AU-04	Enthalten Audit-Datensätze Prompt-Inhalte? Wenn ja, wer kann sie sehen?	Nein. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten und Status), nie Ihre Prompts oder Ausgaben.	Sicherheit

ID	Frage	Antwort	Nachweis
SC-01	Können Sie harte Budgets pro Schlüssel, pro Nutzer, pro Team und pro Organisation festlegen?	Jede Person und jede App erhält ein festes Monatsbudget, das nie überschritten wird, und Sie können Ausgabenlimits pro Schlüssel und für das gesamte Unternehmen festlegen.	Budget-Dokumentation Governance
SC-02	Was passiert, wenn ein Budget erreicht ist: harter Stopp, Überziehung oder Ausweichen auf ein günstigeres Modell?	Harter Stopp, ohne Überziehung: Anfragen liefern HTTP 402 mit dem Code budget_exhausted, bis der Zeitraum erneuert wird. Optionales Aufladen aus einem vorausbezahlten Unternehmensguthaben sorgt dafür, dass kritische Agents weiterlaufen.	Budget-Dokumentation
SC-03	Lassen sich Ausgaben für die interne Verrechnung einer Person, einer App, einem Team, einem Projekt oder einer Kostenstelle zuordnen?	Jede Person und jede App hat einen eigenen Schlüssel und ein eigenes Monatsbudget, organisiert in Teams unter einem Unternehmenskonto.	Teams

ID	Frage	Antwort	Nachweis
GV-01	Können Sie einschränken, welche Modelle jedes Team, jeder Schlüssel oder jede App nutzen darf?	Ja. Sie entscheiden, welche Modelle jeder Schlüssel nutzen darf, sodass jede App und jedes Teammitglied genau die Modelle erhält, die Sie freigeben.	Governance
GV-02	Können Sie einschränken, welche Inferenzanbieter (Clouds, Hosts) Ihren Datenverkehr bedienen dürfen, und gilt die Einschränkung auch für Fallbacks?	Ja. Legen Sie genau fest, welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das gesamte Unternehmen, ein Team oder einen einzelnen Schlüssel. Fallbacks können Ihre Liste nie umgehen.	Governance Sicherheit
GV-03	Können untere Ebenen (Team, Schlüssel) die Richtlinie der Organisation nur verengen, nie erweitern?	Ja. Untere Ebenen können die darüber festgelegten Regeln nur verengen.	Sicherheit

ID	Frage	Antwort	Nachweis
IN-01	Welche vertragliche Frist gilt für die Meldung von Datenschutzverletzungen?	Wir informieren Sie innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.	AVV Ziff. 7 Sicherheit
IN-02	Gibt es eine öffentliche Statusseite mit Vorfallhistorie und ein Verfügbarkeits-SLA mit Gutschriften?	Unsere Statusseite ist öffentlich, und Enterprise umfasst ein monatliches Verfügbarkeits-SLA von 99,9 % mit Service-Gutschriften.	Status SLA
IN-03	Wie funktioniert das Failover, wenn ein Modellanbieter ausfällt, und hält es Ihre Regions- und Anbieterregeln ein?	Fällt ein Anbieter aus, wechselt Ihre Anfrage automatisch zu einem anderen freigegebenen Anbieter desselben Modells, ohne Ihre Regions- oder Anbieterregeln zu verlassen. Ist keine zulässige Route verfügbar, schlägt die Anfrage fehl und wird nie außerhalb Ihrer Richtlinie gesendet.	Sicherheit

ID	Frage	Antwort	Nachweis
AI-01	Kann der Dienst Ihnen helfen, die Protokolle zu führen, die ein Betreiber eines Hochrisiko-KI-Systems führen muss (Art. 26 Abs. 6: automatisch erzeugte Protokolle unter Ihrer Kontrolle, mindestens sechs Monate aufbewahrt, sofern das geltende Unionsrecht oder nationale Recht nichts anderes vorsieht)?	Ja. Sie können einen Datensatz zu jeder Anfrage mit Modell, bedienendem Anbieter, Regionsregel und Ergebnis exportieren, der mit Enterprise und dem SLA-Add-on 12 Monate aufbewahrt wird.	Sicherheit Governance
AI-02	Dokumentiert der Anbieter, welche Modelle er bereitstellt und wer sie anbietet, mit Links zur Dokumentation der Anbieter (Model Cards, Nutzungsrichtlinien)?	Jeder Anfrage-Datensatz nennt das Modell und den Anbieter, der die Anfrage bedient hat, und die Modelle, die wir bereitstellen, stehen auf unserer Modellseite.	Modelle

ID	Frage	Antwort	Nachweis
EX-01	Ist die API mit einer verbreiteten Schnittstelle kompatibel (zum Beispiel dem OpenAI- oder Anthropic-API-Format), sodass Sie den Anbieter durch Ändern einer Base-URL wechseln können?	Ja. Sie senden OpenAI- oder Anthropic-kompatible API-Anfragen an einen einzigen Endpunkt, dokumentiert in unserer API-Referenz.	API-Referenz Sicherheit
EX-02	Können Sie Ihre Konfiguration (Schlüssel, Richtlinien, Prompts, Routing-Regeln) und Ihre Logs in einem Standardformat exportieren?	Anfrageprotokolle lassen sich aus dem Dashboard exportieren, mit Modell, bedienendem Anbieter und Regionsregel für jede Anfrage.	Sicherheit
EX-04	Welche Kündigungsbedingungen gelten: Frist, Datenrückgabe, Löschung und etwaige Gebühren?	Bei Vertragsende löschen wir Ihre personenbezogenen Daten innerhalb von 30 Tagen oder geben sie zurück.	AVV Ziff. 10 Nutzungsbedingungen

ID	Frage	Antwort	Nachweis
CT-01	Ist ein Auftragsverarbeitungsvertrag verfügbar, und lässt er sich ohne individuelle Verhandlung unterzeichnen?	Ja. Der vollständige AVV-Text ist öffentlich, und ein Unternehmensadmin unterzeichnet ihn in wenigen Minuten im Dashboard. Er verpflichtet uns, nicht mit Ihren Daten zu trainieren, Ihre Inhalte nicht aufzubewahren und Datenschutzverletzungen innerhalb von 72 Stunden zu melden.	AVV-Text
CT-02	Welche Übermittlungsmechanismen decken Übermittlungen außerhalb der EU/des EWR ab (SCCs, UK IDTA, EU-US Data Privacy Framework)?	Die EU-Standardvertragsklauseln und, für Daten aus dem Vereinigten Königreich, das UK International Data Transfer Addendum. Der Mechanismus für jeden Unterauftragsverarbeiter steht auf unserer Seite zu den Unterauftragsverarbeitern.	AVV Ziff. 6 Unterauftragsverarbeiter
CT-03	Welches Recht gilt für den Vertrag, und wo werden Streitigkeiten beigelegt?	Norwegisches Recht. Streitigkeiten gehen nach unseren Nutzungsbedingungen an die Gerichte in Oslo, und nach dem AVV ist das Bezirksgericht Oslo der vereinbarte Gerichtsstand. Vertragspartner ist die Standard Compute AS, Org.-Nr. 938 498 806, Oslo, Norwegen.	Nutzungsbedingungen AVV Ziff. 11