{
  "id": "hetzner",
  "name": "Hetzner",
  "kategorie": "cloud",
  "kurzbeschreibung": "Deutscher Hosting- und Cloud-Anbieter, dessen Kerngeschäft dedizierte GPU-Server ist und der zusätzlich eine ausdrücklich experimentelle, derzeit kostenlose OpenAI-kompatible Inference-API ohne SLA und ohne Produktionsfreigabe betreibt.",
  "stammdaten": {
    "sitz": "Gunzenhausen, Deutschland",
    "land": "DE",
    "mutterkonzern": null,
    "us_eigner": false,
    "gegruendet": 1997,
    "website": "https://www.hetzner.com"
  },
  "modelle": [
    {
      "name": "Qwen3.6-35B-A3B-FP8 (experimentell)",
      "standort": null,
      "preis_input_1m_eur": 0,
      "preis_output_1m_eur": 0,
      "quelle": "https://docs.hetzner.com/general/company-and-policy/experiments/inference/",
      "geprueft": "2026-10-16",
      "status": "belegt",
      "anmerkung": "Eines von zwei Modellen der experimentellen Inference-API (MoE, 35B gesamt / 3B aktiv, Kontext 262.144 Token, Apache 2.0); kostenlos, solange der Dienst experimentell ist ('free of charge', Ankündigung per E-Mail vor einer Änderung), 'as is', ohne Verfügbarkeitsgarantie; RZ-Standort der Instanz nicht spezifiziert (Hetzner-RZ: Nürnberg, Falkenstein, Helsinki). Bis 08.10. stand hier 'einziges Modell'; das zweite Modell steht schon in den Wayback-Kopien vom 20.08. und 26.09.",
      "backup_standort": {
        "wert": "Keine Backups (laut Doku)",
        "status": "belegt",
        "quelle": "https://docs.hetzner.com/general/company-and-policy/experiments/inference/",
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Inference API' (Last change 2026-07-24): 'No backups are created, so you are responsible for backing up your own configurations and should not use the platform for production environments.' Prompts und Outputs werden laut Datenschutzerklärung 4.5.2 ohnehin nicht gespeichert. Gilt für beide Modelle."
      },
      "vorgeschaltete_filter": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Inference API' (Last change 2026-07-24) und Datenschutzerklärung 4.5.2 (Stand 14. September 2026) nennen weder eigene Filter, Moderation oder Guardrails noch schließen sie solche aus. Gilt für beide Modelle."
      }
    },
    {
      "name": "Qwen3.8-27B (experimentell)",
      "standort": null,
      "preis_input_1m_eur": 0,
      "preis_output_1m_eur": 0,
      "quelle": "https://docs.hetzner.com/general/company-and-policy/experiments/inference/",
      "geprueft": "2026-10-16",
      "status": "belegt",
      "anmerkung": "Zweites Modell der experimentellen Inference-API (dicht, Kontext 262.144 Token, Text und Bild, Apache 2.0); Bedingungen wie beim ersten Modell. Laut Doku ist allein die Antwort von /v1/models maßgeblich, die Auswahl ändert sich in der Experimentierphase.",
      "backup_standort": {
        "wert": "Keine Backups (laut Doku)",
        "status": "belegt",
        "quelle": "https://docs.hetzner.com/general/company-and-policy/experiments/inference/",
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Inference API' (Last change 2026-07-24): 'No backups are created, so you are responsible for backing up your own configurations and should not use the platform for production environments.' Prompts und Outputs werden laut Datenschutzerklärung 4.5.2 ohnehin nicht gespeichert. Gilt für beide Modelle."
      },
      "vorgeschaltete_filter": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "Doku 'Inference API' (Last change 2026-07-24) und Datenschutzerklärung 4.5.2 (Stand 14. September 2026) nennen weder eigene Filter, Moderation oder Guardrails noch schließen sie solche aus. Gilt für beide Modelle."
      }
    }
  ],
  "vertrag": {
    "avv": {
      "wert": "https://www.hetzner.com/AV/DPA_en.pdf",
      "status": "belegt",
      "quelle": "https://www.hetzner.com/AV/DPA_en.pdf",
      "geprueft": "2026-10-16",
      "anmerkung": "DPA-PDF (Abschluss über Kundenkonto); TOMs öffentlich, extern geprüft (TÜV Rheinland). Ob die experimentelle Inference-API vom AVV erfasst ist, ist nicht dokumentiert."
    },
    "subprozessoren": {
      "wert": "https://www.hetzner.com/AV/subunternehmer.pdf",
      "status": "belegt",
      "quelle": "https://www.hetzner.com/AV/subunternehmer.pdf",
      "geprueft": "2026-10-16",
      "anmerkung": "Öffentliche Subunternehmerliste; enthält auch Nicht-EU-Standorte (Finnland, USA, Singapur) für Colocation/Support."
    },
    "training_opt_out": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://www.hetzner.com/de/legal/privacy-policy/",
      "geprueft": "2026-10-16",
      "anmerkung": "Datenschutzerklärung Abschnitt 4.5.2 Inference: Prompts und Outputs werden 'auch nicht anderweitig zum Training oder zur Verbesserung der KI-Modelle verwendet' — standardmäßig ausgeschlossen. Die Inference-Doku selbst sagt dazu nichts."
    },
    "zero_data_retention": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://www.hetzner.com/de/legal/privacy-policy/",
      "geprueft": "2026-10-16",
      "anmerkung": "Datenschutzerklärung Abschnitt 4.5.2 Inference: 'Prompts und Outputs : Werden im Rahmen unserer Zero-Retention-Policy nicht gespeichert.' Logfiles (anonymisierte IP, Zeitpunkt, Metadaten, Einstellungen, ohne Inhalte) 6 Monate, Abrechnungsdaten (u. a. Token-Zahlen, ohne Inhalte) 8 Jahre (Stand der Erklärung: 14. September 2026). Die Inference-Doku sagt dasselbe: 'We do not store the content of request and response' (FAQ; dort auch: gespeichert werden nur Nutzungsdaten wie Zeitstempel und Token-Zahlen, für eine spätere Abrechnung). Bis 08.10. stand hier, die Doku sage dazu nichts."
    },
    "zweckbindung": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://www.hetzner.com/de/legal/privacy-policy/",
      "geprueft": "2026-10-16",
      "anmerkung": "Datenschutzerklärung 4.5.2 Inference (Stand 14. September 2026): 'Wir verarbeiten die Inhalte Ihrer Anfragen und die Abrechnungsdaten, um Ihnen den Inference-Dienst bereitzustellen und die Abrechnung durchzuführen.' und zu Prompts und Outputs: 'Sie werden auch nicht anderweitig zum Training oder zur Verbesserung der KI-Modelle verwendet.' Logfiles (ohne Inhalte) dienen zusätzlich dem 'sicheren und zuverlässigen Betrieb des Dienstes'. Doku-FAQ: 'Our intention is solely to use our data centers and hardware to provide customers with affordable access to open-weight models.' Die Zusage steht in der Datenschutzerklärung, nicht im AVV."
    },
    "betroffenenrechte_traeger": {
      "wert": "auftraggeber",
      "status": "belegt",
      "quelle": "https://www.hetzner.com/AV/DPA_en.pdf",
      "geprueft": "2026-10-16",
      "anmerkung": "AVV (DPA_en.pdf) Ziffer 7 'Support for requests from Data Subjects': 'The Processor shall reasonably assist the Controller in fulfilling requests and claims of Data Subjects pursuant to Chapter III […]. If a Data Subject contacts the Processor directly in this regard, the Processor shall promptly refer the Data Subject to the Controller'. Ob der AVV die experimentelle Inference-API erfasst, ist nicht dokumentiert; die Datenschutzerklärung 4.5.2 beschreibt die Verarbeitung der Prompts mit eigener Rechtsgrundlage, also aus Sicht Hetzners als Verantwortlicher."
    },
    "log_frist": {
      "wert": "Logfiles 6 Monate (ohne Inhalte), Abrechnungsdaten 8 Jahre; Prompts und Outputs werden nicht gespeichert",
      "status": "belegt",
      "quelle": "https://www.hetzner.com/de/legal/privacy-policy/",
      "geprueft": "2026-10-16",
      "anmerkung": "Datenschutzerklärung 4.5.2 (Stand 14. September 2026): 'Prompts und Outputs : Werden im Rahmen unserer Zero-Retention-Policy nicht gespeichert.' 'Logfiles : 6 Monate' 'Abrechnungsdaten : 8 Jahre (gemäß steuer- und handelsrechtlicher Aufbewahrungspflichten)'. Logfile-Inhalt: anonymisierte IP, Datum/Uhrzeit, Metadaten der API-Anfrage, Einstellungen; 'Die Inhalte Ihrer Anfragen und Antworten sind nicht Bestandteil des Logfiles.'"
    },
    "log_zweck": {
      "wert": "Logfiles: sicherer und zuverlässiger Betrieb; Abrechnungsdaten: Abrechnung und gesetzliche Aufbewahrung",
      "status": "belegt",
      "quelle": "https://www.hetzner.com/de/legal/privacy-policy/",
      "geprueft": "2026-10-16",
      "anmerkung": "Datenschutzerklärung 4.5.2: 'Die Logfiles verarbeiten wir, um einen sicheren und zuverlässigen Betrieb des Dienstes sicherzustellen. […]'; Abrechnungsdaten 'um Ihnen den Inference-Dienst bereitzustellen und die Abrechnung durchzuführen'."
    }
  },
  "zertifikate": [
    {
      "typ": "ISO 27001",
      "status": "belegt",
      "quelle": "https://cdn.hetzner.com/assets/downloads/ISO-Zertifikat.pdf",
      "geprueft": "2026-10-16",
      "anmerkung": "ISO/IEC 27001:2022, Zertifikat ZN-2025-35 V 1.1 von SOCOTEC, ausgestellt allein auf 'Hetzner Online GmbH' (Gunzenhausen); Hetzner Finland Oy steht nicht im Zertifikat. Die Zertifizierungsseite (https://www.hetzner.com/unternehmen/zertifizierung/, Abruf 09.10.2026) sagt dagegen weiter, das Zertifikat 'certifies that Hetzner Online GmbH and Hetzner Finland Oy have established and implemented an appropriate information security management system' und nennt als Scope 'the infrastructure, operation and customer support of the data center parks in all three locations: Nuremberg, Falkenstein, and Helsinki'; maßgeblich ist das Zertifikat. Standorte USA und Singapur sind nicht erfasst. Bis 09.10. stand hier, das Zertifikat gelte für Hetzner Online GmbH und Hetzner Finland Oy und Hetzner nenne kein BSI C5; das C5-Testat steht jetzt als eigener Eintrag. SOC 2 und TISAX nennt Hetzner nicht.",
      "anwendungsbereich": {
        "wert": "Hetzner Online GmbH: 'alle Hosting-Dienstleistungen und die Rechenzentren' (SoA Version 4.1); Standorte Nürnberg, Falkenstein/Vogtland, Tuusula (Finnland)",
        "status": "belegt",
        "quelle": "https://cdn.hetzner.com/assets/downloads/ISO-Zertifikat.pdf",
        "geprueft": "2026-10-16",
        "anmerkung": "Zertifikat ZN-2025-35 V 1.1 (ausgestellt 18.09.2025, gültig 27.09.2025–26.09.2028): Geltungsbereich 'Der Anwendungsbereich des Informationssicherheitsmanagementsystems umfasst alle Hosting-Dienstleistungen und die Rechenzentren.', 'Statement of Applicability (SoA): Version 4.1 datiert 09.07.2025'. Zertifikatsanhang: drei Standorte, alle unter 'Hetzner Online GmbH' (Hetzner Finland Oy wird im Zertifikat nicht genannt). Ob die experimentelle Inference-API als Hosting-Dienstleistung erfasst ist, sagt das Zertifikat nicht. Die SoA gibt Hetzner nicht heraus (Doku 'Informationssicherheit bei Hetzner': 'ein internes Dokument, welches wir Dritten nicht zur Verfügung stellen')."
      },
      "zertifizierer": {
        "wert": "SOCOTEC Certification Deutschland GmbH (Halblech)",
        "status": "belegt",
        "quelle": "https://cdn.hetzner.com/assets/downloads/ISO-Zertifikat.pdf",
        "geprueft": "2026-10-16",
        "anmerkung": "Zertifikat: 'SOCOTEC Certification Deutschland GmbH bescheinigt hiermit, dass das Informationssicherheitsmanagementsystem des Antragstellers Hetzner Online GmbH […] die Anforderungen des folgenden Regelwerks erfüllt: ISO/IEC 27001:2022'."
      },
      "akkreditiert_dakks": {
        "wert": true,
        "status": "belegt",
        "quelle": "https://www.dakks.de/files/data/as/pdf/D-ZM-18855-01-01.pdf",
        "geprueft": "2026-10-16",
        "anmerkung": "DAkkS-Urkundenanlage D-ZM-18855-01-01 ('Gültig ab: 14.10.2025', 'Ausstellungsdatum: 14.10.2025') für SOCOTEC Certification Deutschland GmbH, Halblech: 'DIN EN ISO/IEC 27006-01:2024-08 […] Für Zertifizierungen im Bereich DIN EN ISO/IEC 27001:2024-01'. Heute ist SOCOTEC für ISO 27001 akkreditiert. Aber: Das Hetzner-Zertifikat trägt 'Zertifizierungsentscheidung: 18.09.2025' und 'Ausgestellt am: 18.09.2025', liegt also knapp vier Wochen vor dem Beginn dieser Urkunde. Die DAkkS-Suche nach 'SOCOTEC' zeigt nur zwei Einträge (D-ZM-18855-01-00 und -01-01, beide 'Gültig seit: 14.10.2025', Abruf 08.10.2026). Ob SOCOTEC am 18.09.2025 schon (ggf. unter früherem Namen oder anderer Registriernummer) akkreditiert war, ist ungeklärt."
      },
      "normiert": [
        "iso-27001"
      ]
    },
    {
      "typ": "BSI C5",
      "status": "beansprucht",
      "quelle": "https://files.hetzner.com/docs/BSI-C52020Typ2_Testat_2026.pdf",
      "geprueft": "2026-10-16",
      "anmerkung": "Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Öffentlich ist nur eine vom Anbieter selbst erstellte Bescheinigung, nicht der Prüfungsbericht. BSI C5:2020 Typ 2, uneingeschränkt; Prüfungsbericht vom 17.11.2025. Öffentlich ist nur eine von Hetzner selbst erstellte Bescheinigung vom 02.03.2026 (verlinkt aus der Doku 'Informationssicherheit bei Hetzner', https://docs.hetzner.com/de/general/company-and-policy/information-security-at-hetzner/: 'Hetzner hat ein BSI C5-Testat Typ 2 erhalten'); dort steht: 'Diese Bescheinigung wurde nach Vorliegen des Prüfungsberichts durch die Hetzner Online GmbH erstellt.' Belegt ist damit die datierte Anbieteraussage mit genanntem Prüfer, nicht der Bericht selbst. Gilt NICHT für die experimentelle Inference-API: Sie fehlt in der Produktliste der Bescheinigung. Bis 09.10. fehlte das Testat in diesem Profil.",
      "anwendungsbereich": {
        "wert": "Hetzner Online GmbH: Dedicated Server, Managed Server, Storage (Share, Box, Object Storage), Webhosting und Domains, Cloud Server (u. a. Snapshots, Block Storage, Load Balancer, vSwitches, Floating IPs, Firewall-Regeln), Colocation; nicht die Inference-API",
        "status": "beansprucht",
        "quelle": "https://files.hetzner.com/docs/BSI-C52020Typ2_Testat_2026.pdf",
        "geprueft": "2026-10-16",
        "anmerkung": "Bescheinigung: 'Die folgenden Produkte und Dienstleistungen entsprechen den Anforderungen des BSI C5 (2020) Kriterienkataloges:' mit den genannten Produkten. Die Inference-API steht nicht in der Liste, der C5 deckt sie also nach eigener Aussage von Hetzner nicht ab. Nur Hetzner Online GmbH wird genannt, nicht Hetzner Finland Oy; Standorte nennt die Bescheinigung nicht. Status beansprucht, weil die Liste von Hetzner selbst stammt und der Prüfungsbericht nicht öffentlich ist."
      },
      "zertifizierer": {
        "wert": "WP Koehler GmbH Wirtschaftsprüfungsgesellschaft (Seeheim-Jugenheim)",
        "status": "beansprucht",
        "quelle": "https://files.hetzner.com/docs/BSI-C52020Typ2_Testat_2026.pdf",
        "geprueft": "2026-10-16",
        "anmerkung": "Bescheinigung: 'Die WP Koehler GmbH Wirtschaftsprüfungsgesellschaft aus Seeheim-Jugenheim hat in ihrem Prüfungsbericht vom 17.11.2025 die Erfüllung der C5-Kriterien bei Hetzner Online bestätigt und ein uneingeschränktes BSI C5:2020-Testat Typ 2 ausgestellt. Der Prozess der Auditierung und Berichterstattung erfolgte nach ISAE 3000.' Angabe von Hetzner, Bericht selbst nicht öffentlich."
      },
      "akkreditiert_dakks": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-16",
        "anmerkung": "C5 ist ein Testat eines Wirtschaftsprüfers nach ISAE 3000 (so auch die Bescheinigung), keine akkreditierte Zertifizierung; eine DAkkS-Akkreditierung ist dafür nicht vorgesehen."
      },
      "normiert": [
        "bsi-c5"
      ]
    }
  ],
  "iso_42001": {
    "status": "unbelegt",
    "wert": null,
    "zertifizierer": null,
    "anwendungsbereich": null,
    "quelle": null,
    "geprueft": "2026-10-16",
    "anmerkung": "Auf beiden Hetzner-Seiten wird ISO/IEC 42001 nicht erwähnt. Genannt sind DIN ISO/IEC 27001:2022, BSI C5 Type 2, KRITIS-Nachweis und PCI DSS (über Computop). Die Websuche lieferte keinen Treffer zu Hetzner und 42001. Geprüft: https://www.hetzner.com/unternehmen/zertifizierung/, https://docs.hetzner.com/general/others/certificates, WebSearch: \"Hetzner ISO 42001\""
  },
  "ai_act": [
    {
      "pflicht": "Transparenzdokumentation für Basismodelle",
      "status": "unbelegt",
      "quelle": null,
      "anmerkung": "Hetzner serviert ein Fremdmodell (Qwen, Apache 2.0); die Transparenzpflichten für das Modell liegen beim Modellhersteller. Keine eigene Dokumentation dazu gefunden."
    }
  ],
  "geprueft": "2026-10-16",
  "url": "https://belegbar.eu/anbieter/hetzner/",
  "beleg_quote_prozent": 78,
  "zuletzt_geprueft": "2026-10-16",
  "quellenlauf": {
    "zuletzt": "2026-10-16",
    "quellen": 7,
    "nachgelesen": 7,
    "unveraendert": 6,
    "veraendert_gelesen": 1,
    "offen": 0,
    "verschwunden": 0,
    "statuswechsel_30_tage": 10
  },
  "rechtsraum": {
    "land": "DE",
    "name": "Deutschland",
    "einordnung": "eu",
    "erlaeuterung": "EU-Mitgliedstaat. Keine Drittlandübermittlung, Art. 44 ff. DSGVO greift nicht.",
    "hinweis": null,
    "quelle": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en",
    "geprueft": "2026-08-24"
  }
}