(Hydrant → Kunde)
Stand: 10. Mai 2026
Diese Vereinbarung zur Auftragsverarbeitung („DPA“) ist Bestandteil der Nutzungsbedingungen oder einer sonstigen schriftlichen Vereinbarung zwischen Manuel Rossner / Hydrant („Auftragsverarbeiter“ oder „Hydrant“) und dem Workspace Owner („Verantwortlicher“ oder „Kunde“) über die Nutzung des Hydrant-Services („Vereinbarung“).
Durch die Nutzung des Services zur Verarbeitung personenbezogener Daten innerhalb eines Workspaces akzeptiert der Kunde diese DPA.
Hydrant verarbeitet personenbezogene Daten des Kunden („Customer Personal Data“) im Auftrag des Kunden zum Zweck der Bereitstellung des Services (Hosting von Workspaces, Rendering, Speicherung, Kollaboration).
Diese DPA gilt für die Laufzeit der Vereinbarung und bis zur vollständigen Löschung aller personenbezogenen Kundendaten.
Die Verarbeitung umfasst Erhebung (über APIs/UI), Speicherung, Strukturierung, Rendering, Übermittlung (an Unterauftragsverarbeiter), Abruf, Löschung sowie sonstige Vorgänge, die zur Bereitstellung des Services, zur Gewährleistung der Sicherheit und zur Erbringung von Support erforderlich sind.
Hydrant setzt hierzu beschriebene KI-Unterauftragsverarbeiter ein, insbesondere Anthropic für Sprach-/Assistenzfunktionen im Produkt sowie Black Forest Labs für KI-gestützte Bildbearbeitung bei Exportabläufen; dies erfolgt im Rahmen der vereinbarten Leistungsbereitstellung und gilt als Verarbeitung auf dokumentierter Weisung, einschließlich der ordnungsgemäßen Nutzung des Services durch vom Kunden ermächtigte Nutzer innerhalb seiner Workspaces.
Betroffene Personen: Nutzer des Kunden (Workspace-Mitglieder), Kunden oder Zielgruppen des Kunden, deren personenbezogene Daten in hochgeladenen Datensätzen enthalten sind, sowie alle Personen, die in vom Kunden bereitgestellten Inhalten erwähnt werden.
Kategorien personenbezogener Daten: Identifikatoren (Name, E-Mail-Adresse, Workspace-/User-IDs), Nutzungsmetadaten sowie alle personenbezogenen Daten, die der Kunde in Datensätzen oder Uploads verarbeitet.
Der Kunde darf keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) hochladen, sofern dies nicht gesetzlich zulässig ist und angemessene Schutzmaßnahmen bestehen.
Zudem können KI-Eingaben und -Ausgaben betroffen sein, insbesondere Eingaben in Chat- oder Prompt-Feldern, Konversationsinhalte, mit Modellanfragen übermittelter technischer Kontext sowie bei KI-gestützten Exporten Bild-/Render-Inhalte und übermittelte Steuerparameter; dies schließt personenbezogene Daten ein, wenn der Kunde oder Nutzer solche in Texten, Charts, Beschriftungen oder anderem Exportmaterial erkennbar macht.
Der Kunde ist Verantwortlicher. Hydrant ist Auftragsverarbeiter.
Hydrant verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich der Vereinbarung, dieser DPA sowie der Einstellungen und Nutzung des Services durch den Kunden.
Ist Hydrant gesetzlich verpflichtet, Daten über die Weisungen des Kunden hinaus zu verarbeiten, informiert Hydrant den Kunden (sofern gesetzlich zulässig).
Hydrant stellt sicher, dass zur Verarbeitung personenbezogener Kundendaten befugte Personen zur Vertraulichkeit verpflichtet sind und angemessene Schulungen erhalten.
Hydrant implementiert geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, darunter – soweit anwendbar:
Auf Anfrage stellt Hydrant eine aktuelle Beschreibung der Sicherheitsmaßnahmen zur Verfügung.
Der Kunde erteilt Hydrant eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern zur Unterstützung des Services. Aktuelle Kern-Unterauftragsverarbeiter sind:
Hydrant führt eine aktuelle Liste (oder entsprechenden Abschnitt in der Datenschutzerklärung).
Hydrant verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten, die dieser DPA gleichwertig sind.
Bei wesentlichen Änderungen informiert Hydrant den Kunden und gewährt die Möglichkeit, aus sachlichem Grund zu widersprechen. Kann der Widerspruch nicht einvernehmlich gelöst werden, kann der Kunde den betroffenen Service kündigen.
Werden personenbezogene Kundendaten außerhalb des EWR/UK/Schweiz übermittelt, stellt Hydrant einen gültigen Übermittlungsmechanismus sicher (z. B. Standardvertragsklauseln, UK IDTA/Addendum oder Angemessenheitsbeschlüsse) sowie angemessene zusätzliche Schutzmaßnahmen.
Hydrant unterstützt den Kunden – unter Berücksichtigung der Art der Verarbeitung – durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten hinsichtlich Betroffenenanfragen sowie bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden).
Für Unterstützung über den üblichen Support hinaus können angemessene Kosten anfallen.
Hydrant informiert den Kunden unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die personenbezogene Kundendaten betrifft, und stellt die zu diesem Zeitpunkt verfügbaren Informationen bereit. Weitere Updates erfolgen, sobald zusätzliche Details vorliegen.
Der Kunde bleibt verantwortlich für etwaige Meldepflichten gegenüber Behörden oder betroffenen Personen, sofern die Vereinbarung diese Aufgabe nicht Hydrant zuweist.
Auf schriftliche Anfrage stellt Hydrant Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieser DPA und der DSGVO nachzuweisen (z. B. Richtlinienzusammenfassungen, Sicherheitsbeschreibungen, ggf. verfügbare Drittberichte).
Sind zusätzliche Prüfungen gesetzlich oder behördlich erforderlich, kann der Kunde höchstens einmal jährlich ein Audit durchführen (oder durch einen unabhängigen Prüfer durchführen lassen), vorbehaltlich angemessener Vorankündigung, Umfangsbeschränkung, Vertraulichkeit und Erstattung angemessener Kosten von Hydrant.
Nach Beendigung oder auf Anfrage des Kunden löscht Hydrant personenbezogene Kundendaten innerhalb eines angemessenen Zeitraums (Ziel: ca. 30–90 Tage), sofern keine gesetzliche Aufbewahrungspflicht besteht.
Backups werden rollierend überschrieben (z. B. bis zu ca. 35 Tage).
Auf vor der Löschung gestellten Antrag stellt Hydrant einen maschinenlesbaren Export der im Service gespeicherten personenbezogenen Kundendaten bereit.
Die Haftung der Parteien im Rahmen dieser DPA richtet sich nach den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung, soweit gesetzlich zulässig.
Sollte eine Bestimmung dieser DPA unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Im Falle eines Widerspruchs zwischen dieser DPA und der Vereinbarung hat diese DPA hinsichtlich der Verarbeitung personenbezogener Kundendaten Vorrang.
Anhang 1 – Technische und organisatorische Maßnahmen (TOMs)
Hydrant unterhält TOMs, darunter (nicht abschließend):
Organisatorisch: Sicherheits-Governance; Vertraulichkeitsverpflichtung von Personal; Zugriffsmanagement; Lieferantenrisikomanagement; Incident-Response; Business Continuity und Disaster Recovery.
Technisch: TLS für Datenübertragung; Verschlüsselung im Ruhezustand, soweit unterstützt; Netzwerksegmentierung; gehärtete System-Baselines; WAF und Rate-Limiting; kontinuierliches Logging/Monitoring; automatisierte Backups und getestete Wiederherstellungen; sicheres Schlüsselmanagement; regelmäßige Schwachstellenscans und Behebung.
Produktbezogene Kontrollen: rollenbasierte Zugriffskontrolle, Workspace-Isolation, optionale 2FA, Audit-Trails für sensible Aktionen sowie automatische Credit-Rückerstattungen bei fehlgeschlagenen Renderings.
Zugriffs- und Produktgrenzen bei KI-Funktionen (workspace-/rollenbezogene Steuerung, serverseitige Anbindung, Minimierung des übermittelten Kontextes nach Hydrantrichtlinien), soweit vom Produkt angeboten.
Anhang 2 – Liste der Unterauftragsverarbeiter
Wie in Abschnitt 7 aufgeführt und jeweils aktualisiert unter:
www.hydrant.app/legal/privacy-policy (http://www.hydrant.app/legal/privacy-policy)
Anhang 3 – Details der Datenverarbeitung
Gegenstand: Betrieb des Hydrant-Services für die Workspaces des Kunden.
Dauer: Laufzeit der Vereinbarung plus Löschfrist.
Art der Verarbeitung: Hosting, Speicherung, Rendering, inklusive KI-gestützter Verarbeitungsfunktionen (Sprachassistenz nach Anthropic-Anbindung sowie exportbezogene Bild-KI über Black Forest Labs), Kollaboration und Support
Zweck: Bereitstellung, Sicherung und Verbesserung des Services gemäß Weisungen des Kunden.
Betroffene Personen & Datenkategorien: wie in Abschnitt 3 beschrieben.
Besondere Kategorien: Nicht vorgesehen; sofern verarbeitet, ist der Kunde für die rechtliche Grundlage und die Benachrichtigung von Hydrant verantwortlich.