DSGVO-freundliches Website-Monitoring aus der EU
Viele Dienste für Uptime-Monitoring werden von US-Unternehmen betrieben, speichern die Daten ihrer Kunden in den USA oder schicken sie durch US-Dienste für E-Mail, Analyse oder Support. Für viele Teams ist das in Ordnung. Für andere ist es der Grund, warum ein Werkzeug bei der Beschaffung oder beim Datenschutzbeauftragten durchfällt – und es lohnt sich zu wissen, zu welcher Gruppe Sie gehören, bevor Sie zweihundert Pings eingerichtet haben.
Was Monitoring-Daten über Sie verraten
Ein Monitoring-Konto ist eine Landkarte Ihrer Infrastruktur: Hostnamen und Endpunkte, auch solche, die nirgends öffentlich verlinkt sind; Anfrage-Header und Zugangsdaten für die Endpunkte, die sie brauchen; was Ihre Antworten enthalten; und eine Historie jedes Ausfalls mit genauen Uhrzeiten. Dazu kommen Namen und E-Mail-Adressen der Menschen, die alarmiert werden. Bei solchen Daten wollen Sie wissen, wo sie liegen.
Warum der Sitz des Unternehmens zählt und nicht nur, wo die Server stehen
Wo Daten gespeichert sind, ist die eine Hälfte der Frage. Die andere ist, welches Recht für das Unternehmen gilt, das sie hält. Nach US-Recht kann ein US-Unternehmen verpflichtet werden, Daten herauszugeben, über die es verfügt – auch wenn sie in einem Rechenzentrum in Europa liegen. Eine EU-Region bei einem US-Anbieter beantwortet also die erste Hälfte, nicht die zweite.
Auch die Übermittlung personenbezogener Daten aus der EU in die USA steht auf unsicherem Grund. Zwei frühere Regelungen, die sie erlaubten, hat der Europäische Gerichtshof 2015 und 2020 gekippt; die heute geltende stammt aus dem Jahr 2023. Nach einer Lösung, die nur so lange rechtmäßig ist, wie der dritte Anlauf hält, dürfte Ihr Datenschutzbeauftragter fragen.
Wie Pingsured damit umgeht
- Das Unternehmen: Pingsured wird von einem deutschen Unternehmen betrieben und von einer deutschen Datenschutzbehörde beaufsichtigt. Der Vertrag unterliegt deutschem Recht.
- Speicherung: Kontodaten und Prüfergebnisse werden ausschließlich in der EU gespeichert, auf Servern in Deutschland und Finnland.
- Unterauftragsverarbeiter: zwei, beide deutsche Unternehmen – einer für das Hosting der Plattform, einer für E-Mail und Webhosting. Kein US-Dienst liegt auf dem Weg Ihrer Daten: weder beim E-Mail-Versand noch bei der Analyse noch im Support-Chat.
- Prüfungen außerhalb der EU: Sie können Ihre Websites auch von Standorten in den USA oder in Singapur aus prüfen. Diese Standorte senden jedes Ergebnis zurück, sobald die Prüfung abgeschlossen ist, und behalten nichts.
- Die Unterlagen: Ein Auftragsverarbeitungsvertrag ist Teil jedes Vertrags, in jedem Tarif, und die Liste der Unterauftragsverarbeiter ist öffentlich. Eine Service-Level-Vereinbarung gibt es auf Anfrage.
Passt Pingsured zu Ihnen?
Pingsured bietet weniger als die großen internationalen Dienste – und Ihre Daten bleiben in der EU:
- 30 Tage zum Testen statt eines kostenlosen Tarifs;
- Prüfungen per HTTP und ICMP-Ping, Zertifikatsprüfungen sind in Arbeit;
- Alarme per E-Mail, Webhook und in der App, SMS und Anrufe sind in Arbeit;
- nur Monitoring und Alarmierung – keine öffentlichen Statusseiten.
Spricht nichts davon gegen Pingsured, bleibt nur die Frage, wo Ihre Daten liegen sollen.
Fragen an jeden Monitoring-Anbieter
- Mit welchem Unternehmen schließe ich den Vertrag, und nach welchem Recht?
- In welchen Ländern werden meine Daten gespeichert, in welchen verarbeitet?
- Welche Unterauftragsverarbeiter haben Zugriff darauf – auch für E-Mail, Analyse und Support –, und wo sitzen sie?
- Wenn Daten die EU verlassen: auf welcher Rechtsgrundlage?
- Ist ein Auftragsverarbeitungsvertrag enthalten, oder gibt es ihn nur auf Anfrage oder im Enterprise-Tarif?