Where does the data go?

Every automation uses software, and every piece of software is a data path. Four questions describe it. The answers per provider are in the register below, as stated by the provider and dated.

As stated by the providers, date see “checked on”. No legal advice, no rating, no partnership with the providers named.

Four questions per provider

That is all it takes to describe a data path. These four answers are exactly what we record in the register for each provider.

Does the data leave the business?
No means: software and data stay on your hardware, no third party is involved. Yes means: a provider processes it, and then the next three questions count.
Where to?
Country and data centre, and who has legal access. “Processed in the EU” and “EU law only” are two different answers; the staircase below tells them apart.
Stored for how long?
Whether the provider keeps inputs and outputs, for how long, and whether that can be switched off. The register records what each provider says about it, from “never” to “30 days”.
Used for training?
Whether the provider uses your data to improve its models. For the commercial access routes in the register it is mostly no; for private plans it is sometimes on by default and can be switched off.

The staircase: levels 1 to 5

Every solution gets a level from 1 to 5: the highest of all the paths its data takes. Where the automation runs, where an AI computes, which service sends. The level is stated in the quote before we build.

The higher the level, the further away the data goes. For most businesses without health or client data, level 2 fits; where possible, we recommend level 1.

As of 11/2026, we keep checkingThe providers per level are in the register below.

Level 1Local Nichts verlässt das Haus: Software und gegebenenfalls offene Modelle auf eigener Hardware im Betrieb. Zugriff hat nur der Betrieb und wen er beauftragt (etwa Fernwartung mit Auftragsverarbeitungsvertrag), es gibt keine Übermittlung. Qualität, Wartung und Sicherheit liegen beim Betrieb.
Level 2EU provider Anbieter mit Sitz in der EU, Auftragsverarbeitung nach Art. 28 DSGVO, Daten in der EU. Bei den meisten nur mit Bedingung: Standort fest in der EU wählen und Unterauftragnehmer prüfen, denn einzelne Konzernfirmen oder Dienstleister sitzen außerhalb (Gegenprüfung 02.11.2026). Beispiele: Hetzner, IONOS, STACKIT, Scaleway, Telekom mit T-Cloud-Modellen.
Level 3Sovereign cloud of a US provider Betreiber unter EU-Recht, die US-Mutter nur über Technik und Lizenz. Von Kritikern angezweifelt. AWS European Sovereign Cloud: für Claude oder GPT derzeit nicht geeignet. Delos und Bleu nur öffentlicher Sektor, Thales/Google in Erprobung.
Level 4US provider with EU region US-Recht gilt über die Mutter, dazu kommen Support- und Sicherheitszugriffe von außerhalb. Beispiele: Azure OpenAI Data Zone EU, Bedrock mit eu.-Profil, Vertex EU. Auch Mistral und Langdock gehören für Modelle, die bei großen US-Cloudanbietern laufen, hierher.
Level 5US provider without EU commitment US-Anbieter, Daten in den USA oder ohne EU-Bindung. US-Behörden haben direkten Zugriff. Übermittlung über Data Privacy Framework oder Standardvertragsklauseln (Anthropic und OpenAI nur Standardvertragsklauseln). Dazu gehört Claude in Azure Foundry: ohne EU-Bindung, Vertrag mit Anthropic.

All five levels are preliminary: first research, not yet cross-checked. We keep checking and change the texts when something changes.

Provider overview

58 entries, as stated by the providers, each with date and source. Filter by level and type. Empty fields read “not documented”: then the research found nothing, and we do not fill it in.

All entries are preliminary: first research, not yet cross-checked. Only a cross-checked entry carries a mark. As stated by the providers, date see “checked on”. No legal advice, no rating, no partnership with the providers named.Register entries are in German, verbatim as researched; we do not translate provider statements.

Level

Type

58 of 58 entries

Claude über die Anthropic-API (kommerziell)

Anthropic · Model maker

Level 5 · US provider without EU commitmentcross-checked

Leaves the business: yes
Where to: USA (Speicherung immer in den USA, keine EU-Region)
Stored: Löschung binnen 30 Tagen, bei Verstößen gegen die Usage Policy bis 2 Jahre; Null-Speicherung nur auf Antrag; Fable 5/5.1 und Mythos 5/5.1 verlangen 30 Tage
Training: Nein (Commercial Terms)

For business data: with conditions · Übermittlung nur über Standardvertragsklauseln, Anthropic ist nicht im Data Privacy Framework gelistet (Prüfung 02.11.2026). Kunden darauf hinweisen.
DPA: yes
Evidence: P · Primärseite des Anbieters gelesen
Source: platform.claude.com/docs/en/manage-claude/data-residency