Unterlagen zur Sicherheitsprüfung des KI-Gateways
Alles, was IT-Sicherheit und Einkauf für die Prüfung von Standard Compute brauchen, auf einer Seite: welche Daten wir verarbeiten und wo, Aufbewahrung, Training, Unterauftragsverarbeiter, der AVV, Anmeldung, Zugriffskontrolle, Protokolle und die Meldung von Datenschutzverletzungen. Die Seite beantwortet die Fragen eines üblichen Lieferanten-Sicherheitsfragebogens, mit Verweisen auf unseren AVV.
Zuletzt aktualisiert am
Unternehmenskonto anlegenoder senden Sie Ihren Fragebogen an contact@standardcompute.com
Die kurzen Antworten
- Welche Daten verarbeitet Standard Compute?
- Wir verarbeiten Ihre Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie auf Datenträger oder in Logs. Anfrageprotokolle enthalten nur Metadaten (Modell, Anbieter, Tokens, Kosten und Status), nie Ihre Prompts oder Ausgaben.
- Wo werden sie verarbeitet?
- Mit einer Europa-Regel wird jede Anfrage, einschließlich Wiederholungen und Fallbacks, ausschließlich von freigegebenen europäischen Inferenz-Endpunkten bedient. Unser EU-Gateway terminiert TLS und läuft in Finnland, und Ihre Kontodaten werden in Frankfurt gespeichert.
- Werden Kundendaten für Training verwendet?
- Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben. Mit einer Regionsregel oder aktivierter Zero Retention geht jede Anfrage nur an Anbieter, die zusagen, nicht damit zu trainieren.
- Gibt es einen AVV?
- Unterzeichnen Sie unseren Auftragsverarbeitungsvertrag in wenigen Minuten im Dashboard. Er verpflichtet uns, nicht mit Ihren Daten zu trainieren, Ihre Inhalte nicht aufzubewahren und Datenschutzverletzungen innerhalb von 72 Stunden zu melden.
- Wer ist der Vertragspartner?
- Standard Compute AS, eine norwegische Gesellschaft mit beschränkter Haftung (Org.-Nr. 938 498 806), eingetragen in Oslo, Norwegen.
Was wir verarbeiten, wo und wie lange
| Daten | Inhalt | Ort | Aufbewahrung |
|---|---|---|---|
| Prompts und Ausgaben | Die Inhalte, die Ihre Mitarbeitenden und Anwendungen senden und empfangen | Ort: Mit einer Europa-Regel: nur freigegebene europäische Inferenz-Endpunkte, über unser EU-Gateway in Finnland | Aufbewahrung: Im Arbeitsspeicher verarbeitet, um die Anfrage zu bedienen, nie auf Datenträger oder in Logs geschrieben |
| Anfrageprotokolle | Zeit, Schlüssel, Modell, bedienender Anbieter, Tokens, Kosten und Status. Keine Inhalte | Ort: Frankfurt, Deutschland | Aufbewahrung: Export der Anfrageprotokolle mit Enterprise und dem SLA-Add-on 12 Monate aufbewahrt |
| Kontodaten | Unternehmen, Personen, Teams, Schlüssel, Budgets und Einstellungen | Ort: Frankfurt, Deutschland | Aufbewahrung: Innerhalb von 30 Tagen nach Vertragsende gelöscht oder zurückgegeben (AVV Ziff. 10) |
Kontrollen und Zusagen
Aufbewahrung und Training
Aktivieren Sie Zero Data Retention für Ihr Unternehmen, ein Team oder einen Schlüssel, und jede Anfrage wird nur an Inferenz-Endpunkte geleitet, die zusagen, keine Kopie Ihrer Daten zu behalten. Teams und Schlüssel erben die Anforderung und können sie nie abschalten.
Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben. Mit einer Regionsregel oder aktivierter Zero Retention geht jede Anfrage nur an Anbieter, die zusagen, nicht damit zu trainieren.
Verarbeitung in Europa
Legen Sie eine Europa-Regel für Ihr Unternehmen, ein Team oder einen einzelnen Schlüssel fest, und jede Anfrage, einschließlich Wiederholungen und Fallbacks, wird ausschließlich von freigegebenen europäischen Inferenz-Endpunkten bedient. Kann kein europäischer Endpunkt sie bedienen, wird die Anfrage abgelehnt, bevor Ihr Prompt gesendet wird.
Unser EU-Gateway terminiert TLS und läuft in Finnland, und Ihre Kontodaten werden in Frankfurt gespeichert.
Unterauftragsverarbeiter
Wir veröffentlichen jeden Unterauftragsverarbeiter mit Zweck, Daten und Standort und informieren Sie 14 Tage, bevor wir einen neuen hinzufügen.
Auftragsverarbeitungsvertrag (AVV)
Unterzeichnen Sie unseren Auftragsverarbeitungsvertrag in wenigen Minuten im Dashboard. Er verpflichtet uns, nicht mit Ihren Daten zu trainieren, Ihre Inhalte nicht aufzubewahren und Datenschutzverletzungen innerhalb von 72 Stunden zu melden.
Übermittlungen außerhalb des EWR oder des Vereinigten Königreichs in ein Land ohne Angemessenheitsbeschluss unterliegen den EU-Standardvertragsklauseln und dem UK International Data Transfer Addendum (Ziff. 6). Sie dürfen uns einmal innerhalb von 12 Monaten prüfen (Ziff. 9), und bei Vertragsende löschen wir Ihre personenbezogenen Daten innerhalb von 30 Tagen oder geben sie zurück (Ziff. 10). Der AVV unterliegt norwegischem Recht, und der vollständige Text ist öffentlich, sodass Ihre Rechtsabteilung ihn vor der Unterzeichnung lesen kann.
Single Sign-on und Zugriffskontrolle
Verbinden Sie Microsoft Entra ID oder einen beliebigen SAML-Identitätsanbieter, damit sich Ihre Mitarbeitenden mit ihren Arbeitskonten bei Standard Compute anmelden. Wer zu Ihrer verifizierten Domain gehört, tritt Ihrem Unternehmen automatisch bei.
Mitarbeitende melden sich mit ihrem Microsoft-Arbeitskonto über unser EU-Gateway bei Claude Desktop und Claude Code an, sodass keine API-Schlüssel verteilt werden müssen. Der Zugang folgt Ihren Microsoft-Entra-Gruppen über SCIM-Provisionierung.
Personen sind Admins oder Mitglieder, und jede Person und jede App erhält einen eigenen Schlüssel. Legen Sie genau fest, welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das gesamte Unternehmen, ein Team oder einen einzelnen Schlüssel. Untere Ebenen können die Regeln nur verengen, neue Anbieter werden nie ohne Freigabe eines Admins hinzugefügt, und Fallbacks können Ihre Liste nie umgehen. Entscheiden Sie, welche Modelle jeder Schlüssel nutzen darf.
Audit- und Anfrageprotokolle
Jede Admin-Änderung wird mit Vorher- und Nachher-Werten protokolliert, und Sie können einen Datensatz zu jeder Anfrage exportieren, der das Modell, den bedienenden Anbieter und die geltende Regionsregel zeigt und 12 Monate aufbewahrt wird.
Vorfälle, Meldung von Datenschutzverletzungen und Verfügbarkeit
Nach dem AVV (Ziff. 7) informieren wir Sie innerhalb von 72 Stunden über eine Verletzung des Schutzes personenbezogener Daten.
Fällt ein Anbieter aus, wechselt Ihre Anfrage automatisch zu einem anderen freigegebenen Anbieter desselben Modells, ohne Ihre Regions- oder Anbieterregeln zu verlassen. Enterprise umfasst ein monatliches Verfügbarkeits-SLA von 99,9 % mit Service-Gutschriften.
Lieferanten-Sicherheitsfragebogen, vorab beantwortet
Die Fragen, die Prüfer am häufigsten stellen, mit unserer Antwort. Für alles, was hier nicht steht, senden Sie uns Ihren eigenen Fragebogen, und wir schicken ihn ausgefüllt zurück.
Unternehmen und Daten
| Frage | Antwort |
|---|---|
| Rechtsträger und Gerichtsbarkeit | Standard Compute AS, eine norwegische Gesellschaft mit beschränkter Haftung, Org.-Nr. 938 498 806, eingetragen in Oslo. |
| Speichern Sie Prompts oder Ausgaben? | Nein. Wir verarbeiten Prompts im Arbeitsspeicher, um jede Anfrage zu bedienen, und schreiben sie nie auf Datenträger oder in Logs. |
| Trainieren Sie Modelle mit Kundendaten? | Nein. Standard Compute trainiert nie mit Ihren Prompts oder Ausgaben. |
| Trainieren Ihre Inferenzanbieter mit unseren Daten? | Mit einer Regionsregel oder aktivierter Zero Retention geht jede Anfrage nur an Anbieter, die zusagen, nicht damit zu trainieren. |
| Lässt sich die Verarbeitung auf Europa beschränken? | Ja. Eine Europa-Regel für das Unternehmen, ein Team oder einen Schlüssel beschränkt jede Anfrage, jede Wiederholung und jeden Fallback auf freigegebene europäische Inferenz-Endpunkte. |
| Was passiert, wenn kein europäischer Endpunkt verfügbar ist? | Die Anfrage wird abgelehnt, bevor Ihr Prompt gesendet wird. |
| Wo wird das Gateway betrieben? | Unser EU-Gateway terminiert TLS und läuft in Finnland. |
| Wo werden Konto- und Nutzungsdaten gespeichert? | In Frankfurt, Deutschland. |
| Was enthalten Anfrageprotokolle? | Nur Metadaten: Modell, Anbieter, Tokens, Kosten und Status. Nie Prompts oder Ausgaben. |
| Bieten Sie Zero Data Retention an? | Ja. Legen Sie sie für das Unternehmen, ein Team oder einen Schlüssel fest, und Anfragen gehen nur an Endpunkte, die zusagen, keine Kopie Ihrer Daten zu behalten. |
| Kann ein Team oder Schlüssel Zero Retention abschalten? | Nein. Teams und Schlüssel erben die Anforderung und können sie nie abschalten. |
Unterauftragsverarbeiter und AVV
| Frage | Antwort |
|---|---|
| Veröffentlichen Sie Ihre Unterauftragsverarbeiter? | Ja, auf unserer Seite zu den Unterauftragsverarbeitern, jeweils mit Zweck, Daten und Standort. |
| Vorlauf vor einem neuen Unterauftragsverarbeiter? | 14 Tage. |
| Unterzeichnen Sie einen AVV? | Ja. Sie unterzeichnen ihn im Dashboard, und der vollständige AVV-Text ist auf unserer Website öffentlich. |
| Frist für die Meldung von Datenschutzverletzungen | Innerhalb von 72 Stunden, nach dem AVV (Ziff. 7). |
| Mechanismus für internationale Übermittlungen | Die EU-Standardvertragsklauseln und das UK International Data Transfer Addendum (AVV Ziff. 6). |
| Anwendbares Recht des AVV | Norwegisches Recht, mit dem Bezirksgericht Oslo als Gerichtsstand. |
| Prüfrechte des Kunden | Einmal innerhalb von 12 Monaten, mit 30 Tagen schriftlicher Vorankündigung (AVV Ziff. 9). |
| Datenlöschung bei Vertragsende | Personenbezogene Daten werden innerhalb von 30 Tagen gelöscht oder zurückgegeben (AVV Ziff. 10). |
Identität und Zugriff
| Frage | Antwort |
|---|---|
| Single Sign-on | Microsoft Entra ID oder ein beliebiger SAML-Identitätsanbieter. |
| Benutzerbereitstellung | Wer zu Ihrer verifizierten Domain gehört, tritt automatisch bei. Der Zugang zu Claude Desktop und Claude Code folgt Ihren Entra-Gruppen über SCIM. |
| Rollen | Admin und Mitglied, mit einem eigenen Schlüssel für jede Person und jede App. |
| Können wir einschränken, welche KI-Anbieter unsere Daten verarbeiten? | Ja. Eine Anbieter-Allowlist für das Unternehmen, ein Team oder einen Schlüssel. Neue Anbieter brauchen die Freigabe eines Admins, und Fallbacks können die Liste nie umgehen. |
| Können wir einschränken, welche Modelle genutzt werden? | Ja. Sie entscheiden, welche Modelle jeder Schlüssel nutzen darf. |
| Protokollierung von Admin-Aktivitäten | Jede Admin-Änderung wird mit Vorher- und Nachher-Werten protokolliert. |
| Audit-Trail auf Anfrageebene | Ein exportierbarer Datensatz zu jeder Anfrage mit Modell, bedienendem Anbieter und Regionsregel, mit Enterprise 12 Monate aufbewahrt. |
Betrieb und Abrechnung
| Frage | Antwort |
|---|---|
| Ausgabenkontrolle | Ein festes Monatsbudget pro Person oder App, das nie überschritten wird, dazu Ausgabenlimits pro Schlüssel und für das gesamte Unternehmen. |
| Umgang mit Anbieterausfällen | Anfragen wechseln zu einem anderen freigegebenen Anbieter desselben Modells, ohne Ihre Regions- oder Anbieterregeln zu verlassen. |
| Verfügbarkeitszusage | Enterprise umfasst ein monatliches Verfügbarkeits-SLA von 99,9 % mit Service-Gutschriften. |
| Rechnungsstellung | Stripe-Rechnungen mit Ihrem Firmennamen und Ihrer USt-IdNr. |
Nutzen Sie unseren offenen Fragebogen
Ein offener Fragebogen für jedes KI-Gateway, auch für unseres. Wir pflegen einen kostenlosen, MIT-lizenzierten Sicherheits- und Einkaufsfragebogen zur Bewertung von LLM-Gateways und KI-API-Anbietern. Er deckt Datenresidenz, Aufbewahrung und Zero Data Retention, Trainingsnutzung, Unterauftragsverarbeiter, SSO und SCIM, Audit-Logs, Ausgabenkontrolle, Modell- und Anbieter-Allowlists, die Meldung von Vorfällen, Protokolle für Betreiber nach dem EU AI Act und Ausstiegsbedingungen ab, jeweils mit einer guten Antwort und den Warnsignalen. Er kommt als Tabelle, die Sie an Anbieter senden können, dazu ein Vergleich, wie acht Anbieter auf ihren eigenen öffentlichen Seiten antworten, mit Links. Der Fragebogen selbst ist auf Englisch.
Sicherheitsfragebogen für LLM-Gateways auf GitHub herunterladen
Häufige Fragen aus IT-Sicherheit und Einkauf
- Was braucht eine Sicherheitsprüfung, um Standard Compute zu bewerten?
- Diese Seite, unsere Sicherheitsübersicht, die Liste der Unterauftragsverarbeiter und der AVV decken ab, was wir verarbeiten, wo und wie lange, wer es sonst verarbeitet und wozu wir uns verpflichten.
- Wie unterzeichnen wir den AVV?
- Ein Unternehmensadmin unterzeichnet ihn in wenigen Minuten im Standard-Compute-Dashboard, und der vollständige Text ist vorab auf unserer Website öffentlich.
- Wohin senden wir unseren eigenen Sicherheitsfragebogen?
- Senden Sie ihn an contact@standardcompute.com mit dem Betreff „Sicherheitsprüfung“, und wir schicken ihn ausgefüllt zurück.
Verwandte Seiten
Legen Sie Ihr Unternehmenskonto an, um den AVV zu unterzeichnen, Ihren Identitätsanbieter zu verbinden und Ihre Regeln festzulegen. Für Ihren eigenen Fragebogen schreiben Sie uns mit dem Betreff „Sicherheitsprüfung“.