Enterprise Trust

AI Foundation Services bietet eine einheitliche OpenAI-kompatible API für zwei klar getrennte Modellkategorien — solche, die von der Telekom in Deutschland, innerhalb der EU, betrieben werden, und solche, die an Drittanbieter unter deren eigenen Bedingungen weitergeleitet werden. Diese Seite fasst die Trust- und Compliance-Position zusammen; die Leistungsbeschreibung (PDF) ist die verbindliche Quelle.

Zero Data Retention, kein Training mit Kundendaten

Bei allen von der Telekom gehosteten Modellen (Kategorie 1) werden Kunden-Prompts und -Antworten nicht dauerhaft gespeichert und niemals zum Training oder Fine-Tuning eines Modells genutzt. In Sicherheitsfragebögen heißt das meist Zero Data Retention (ZDR), also keine dauerhafte Speicherung von Daten; verbindlich ist der Wortlaut der Leistungsbeschreibung. Zu beachten: Bei Sprachmodellen speichert das Prefix-Caching bereits verarbeitete Anfragen für eine begrenzte Zeit zwischen, damit wiederkehrende Anfragen schneller beantwortet werden; es ist standardmäßig eingeschaltet und kann abgeschaltet werden. Siehe Prefix-Caching. Für Modelle der Kategorie 2 gilt Zero Data Retention nicht; dort gelten die Bedingungen des Drittanbieters.

Übersicht zur Datenverarbeitung

Aspekt	Kategorie 1 (EU-Betrieb)	Kategorie 2 (Drittanbieter)
Verarbeitungsort	Deutschland (EU)	Vom Drittanbieter bestimmt; ggf. weltweit
Speicherung	Zero Data Retention: nicht dauerhaft (kurzlebiger Prefix-Cache bei Sprachmodellen, standardmäßig an, abschaltbar)	Gemäß Bedingungen des Drittanbieters (die Zero Data Retention der Telekom gilt hier nicht)
Einsehbarkeit	Weder für Telekom noch Dritte einsehbar	Gemäß Bedingungen des Drittanbieters
Nutzung für Training	Keine	Gemäß Bedingungen des Drittanbieters
Verschlüsselung bei Übertragung	TLS-gesichert (HTTPS)	TLS-gesichert (HTTPS)
Authentifizierung	API-Keys über das Self-Service-Portal	API-Keys über das Self-Service-Portal

Infrastruktur und Zertifizierungen

Modelle der Kategorie 1 laufen auf der T Cloud Public, der Cloud der Telekom in Deutschland. Das sind Infrastrukturnachweise für diese Infrastruktur der T Cloud Public, kein eigenes AIFS-Zertifikat:

• ISO/IEC 27001:2022. Konzernzertifikat der Deutschen Telekom AG, DEKRA Nr. 172572.00DE. Zu den Standorten gehören die T-Systems-Rechenzentren in Biere und Magdeburg. Zertifikat (PDF)
• ISO/IEC 27017 und ISO/IEC 27018. DEKRA-Testat Nr. DS-1221076/1. Testat (PDF)
• ISO/IEC 27701:2019. Konzernzertifikat der Deutschen Telekom AG Nr. DE182572.00. Zertifikat (PDF)
• BSI C5 Typ 2. Prüfbericht für die T Cloud Public, auf Anfrage erhältlich.
• SOC 2 Typ II. Bericht für das T Cloud Public (Open Telekom Cloud) System in den deutschen und niederländischen Rechenzentren, auf Anfrage verfügbar. SOC-3-Zusammenfassung
• TISAX Level 3. T Cloud Public, Regionen Deutschland und Niederlande (ENX-ID P0R4YM). Details

Die vollständige Liste und die aktuellen Dokumente finden Sie unter Zertifikate und Testate der T Cloud Public.

Hinweis

Diese Nachweise gelten nur für die von der Telekom betriebene Infrastruktur. Sie gelten nicht für Modelle der Kategorie 2, die auf der eigenen Infrastruktur des Drittanbieters unter dessen eigenen Zertifizierungen und Bedingungen laufen. Die oben genannten Nachweise sind die für die T Cloud Public veröffentlichten. Bei Fragen zum Geltungsbereich wenden Sie sich bitte an das AIFS-Team.

Zwei Modellkategorien — wählen Sie die passende für Ihre Daten

Die Leistungsbeschreibung unterteilt den Modellkatalog in zwei Kategorien mit deutlich unterschiedlichen Datensouveränitäts-Profilen. Die Wahl des Modells ist die Wahl des Datenverarbeitungsregimes.

Kategorie 1 — Verarbeitung in Deutschland, innerhalb der EU

Werden von der Telekom auf der T Cloud Public und der Industrial AI Cloud betrieben. Beispiele:

• Google Gemma 4 31B
• Mistral Small 4
• Alibaba Qwen 3.6 35B
• Alibaba Qwen 3.8 27B
• NVIDIA Nemotron 3 Super
• Zhipu AI GLM 5.3
• Zhipu AI GLM 5.3 Flash
• OpenAI GPT-OSS-120B
• OpenAI Whisper Large v3 / v3 Turbo (STT)
• Jina Embeddings v2, BAAI BGE m3, Qwen3 Embedding 8B (Embeddings)
• Qwen3-Reranker-4B (Reranker)
• LightOnOCR-3-4B, PaddleOCR-VL-1.6 (OCR)

Für diese Modelle gilt:

• Datenverarbeitung erfolgt in Deutschland, innerhalb der EU
• Übermittelte Daten und zurückgelieferte Ergebnisse werden nicht dauerhaft gespeichert und sind weder für die Telekom noch für Dritte einsehbar

Kategorie 2 — Drittanbieter, Subunternehmer weltweit

Werden von der Telekom direkt an den jeweiligen Drittanbieter weitergeleitet, der diese auf eigener Infrastruktur betreibt. Beispiele:

• OpenAI GPT-5.6 Sol und GPT-5.6 Terra — auf Microsoft Azure (Schweden)
• OpenAI GPT-6 Luna — auf Microsoft Azure (Schweden)
• OpenAI GPT-6.1 Sol — auf Microsoft Azure (Schweden)
• OpenAI GPT-6 Astra — auf Microsoft Azure (Schweden)
• OpenAI GPT Image 2 — auf Microsoft Azure (Schweden)
• OpenAI Ada Text Embedding — auf Microsoft Azure (Frankreich)
• Anthropic Claude Sonnet 5.5 und Claude Opus 5.5 — auf Google Cloud (europe-west1) oder Microsoft Azure
• Anthropic Claude Haiku 5.5 und Claude Fable 5.1 — auf Google Cloud (weltweit) oder Microsoft Azure
• Google Gemini 3.5 Flash, Gemini 3.8 Flash und Gemini 3 Pro Image — auf Google Cloud (weltweit)
• Google Gemini 4 Argon — auf Google Cloud (weltweit)

Für diese Modelle gilt:

• Der Drittanbieter kann Subunternehmer weltweit einsetzen, sodass Kundendaten weltweit verarbeitet werden können
• Mit der Auswahl eines Kategorie-2-Modells akzeptiert der Kunde die Nutzungsbedingungen, Lizenzen und Datenschutzbestimmungen des Drittanbieters
• Ausfälle dieser Drittanbieter sind aus der Verfügbarkeitsberechnung der Telekom ausgenommen

Achtung

Bestimmte Datenkategorien (z. B. Sozial- oder Gesundheitsdaten nach deutschem Recht) dürfen rechtlich nicht außerhalb der EU/EWR verarbeitet werden. Die Prüfung der Zulässigkeit der Nutzung eines bestimmten Modells fällt allein in die Verantwortung des Kunden.

Konformität mit der KI-Verordnung

• Die Telekom erbringt die Leistungen im Einklang mit den auf sie anwendbaren Pflichten der Verordnung (EU) 2024/1689 (KI-Verordnung).
• Der Kunde ist vertraglich verpflichtet, den Service in Übereinstimmung mit der KI-Verordnung zu nutzen.
• Der Service ist nicht für Hochrisiko-KI-Systeme im Sinne der KI-Verordnung oder verbotene Anwendungsfälle bestimmt oder zugelassen.
• Der Service ist kein Medizinprodukt im Sinne der MDR und darf nicht zur Diagnose, Verhütung, Überwachung, Vorhersage, Prognose, Behandlung oder Linderung von Krankheiten eingesetzt werden.

DSGVO & Auftragsverarbeitung

• Modelle der Kategorie 1 laufen auf DSGVO-konformem EU-Hosting auf der T Cloud Public (EU-Verordnung 2016/679 (DSGVO)). Für Modelle der Kategorie 2 gelten die Datenschutzbedingungen des jeweiligen Drittanbieters.
• Ein Auftragsverarbeitungsvertrag (AVV) nach Mustervorlage der Telekom ist auf Anfrage verfügbar — erforderlich, wenn der Kunde personenbezogene Daten über den Service verarbeitet.
• Die Telekom agiert als Auftragsverarbeiter; der Kunde bleibt Verantwortlicher.
• Der Kunde ist dafür verantwortlich zu prüfen, ob die übermittelten Daten zulässig verarbeitet werden dürfen — einschließlich Beschränkungen des Verarbeitungsortes.

Beendigung & Datenlöschung

Die Leistung ist mit einer Frist von einem Monat zum Monatsende kündbar. Bei Beendigung werden alle Zugänge deaktiviert und die Kundendaten gelöscht. Siehe Service-Level: Beendigung.

Compliance & Beschaffung

Für Unternehmens-Beschaffungsteams, die AI Foundation Services evaluieren:

• Leistungsbeschreibung (PDF) — Die Leistungsbeschreibung ist das verbindliche Vertragsdokument zu Leistungsumfang, SLAs, Bedingungen und Preisen.
• Compliance-Fragebögen — Kontaktieren Sie uns für ausgefüllte Sicherheitsfragebögen (CAIQ, VSA oder individuelle Formate).
• Auftragsverarbeitungsvertrag — Fordern Sie einen AVV an, der auf Ihre Anforderungen zugeschnitten ist.
• Sicherheitsdokumentation — Unter NDA verfügbar.
• Kontakt — Kontaktieren Sie uns.