Uptime-Monitoring und die DSGVO: was eine Prüfung speichert — und wo

„Uptime monitoring DSGVO“ ist die Formulierung, die in Deutschland gesucht wird, wenn jemand wissen will, wo eine Uptime-Prüfung liegt, wer die Daten sonst noch anfasst und ob der Anbieter in Wahrheit eine US-Dienstleisterliste mit europäischer Login-Seite ist. So ist HyperMonitors tatsächlich aufgebaut. Das beschreibt den Dienst und ist keine Rechtsberatung — und es sagt nicht, ob dein eigener Einsatz von Monitoring zulässig ist.

Uptime-Monitoring und die DSGVO: die Daten sind nicht die Seite

Ein Monitor speichert das Ziel, das du eingetragen hast (eine URL, einen Host, einen Port), den Zeitplan, das Ergebnis jeder Prüfung und die Alarmregeln. Das sind Betriebsdaten über deinen Dienst. Personenbezogen wird es dort, wo es eine Person bezeichnet: die Konto-E-Mail, wer Bereitschaft hat, die Adresse, die ein Statusseiten-Abonnent bestätigt hat, der Inhalt eines Alarms, den du an Slack schicken wolltest. Wir verkaufen das nicht. Die Datenschutzerklärung ist die vollständige Liste; die Kurzform lautet: Kontodaten bleiben bei der Anwendung, und eine Sonde bekommt nur das, was sie für die Prüfung braucht.

Hosting in der Schweiz, unter einem Angemessenheitsbeschluss

HyperMonitors wird betrieben von der unaxus GmbH, Espenstrasse 137, 9443 Widnau, Schweiz. Datenbank, Anmeldung und Mailserver laufen auf Maschinen, die wir in der Schweiz betreiben, nicht auf einer fremden Anwendungsplattform. Die Schweiz hat einen Angemessenheitsbeschluss der EU, deshalb braucht eine Übermittlung aus dem EWR dorthin keine zusätzliche Garantie obendrauf. Website und App gibt es auf Deutsch. Die Sprache stellst du am Konto ein, und eine Organisation kann einen Standard für Team-Mails setzen. Eine öffentliche Statusseite erscheint in der Sprache der Organisation, Englisch oder Deutsch.

Sonden-Regionen sind eine Wahl, und eine Fehlprüfung verlässt die Heimatregion

Prüfungen laufen aus Zürich, New York und Singapur. Du wählst, welche davon ein Monitor nutzt, im Rahmen der Zahl, die dein Tarif erlaubt: eine im Gratis-Tarif, zwei bei Solo, drei bei Team und Enterprise. Eine Sonde erhält die Ziel-URL oder den Host und liefert das Ergebnis zurück. Dein Konto erhält sie nicht. Die Datenbank, in die diese Ergebnisse geschrieben werden, bleibt in der Schweiz.

Ein Detail gehört in das Verzeichnis von Verarbeitungstätigkeiten. Auch ein Monitor, dessen reguläre Region Zürich ist, lässt eine fehlgeschlagene Prüfung von einer zweiten Region bestätigen, bevor ein Alarm rausgeht. Für diese eine Anfrage wird die Ziel-URL aus New York oder Singapur geholt. Einen Schalter, der diese Zweitprüfung abstellt, gibt es nicht. Darf ein Ziel niemals von außerhalb der Schweiz abgefragt werden, gehört das als Grenze dieses Aufbaus ins Verzeichnis, weil eine fehlgeschlagene Prüfung trotzdem aus einer anderen Region wiederholt wird.

Unterauftragsverarbeiter, die man benennen kann

• Stripe, für die Abrechnung. Die Preise sind dieselbe Zahl in USD, EUR und CHF, abhängig vom Land an der Kasse. Der erste bezahlte Monat ist eine 30-tägige Testphase.
• LabsMobile, für SMS. SMS gibt es nicht im Gratis-Tarif. Legst du nie einen SMS-Kanal an, sieht dieser Verarbeiter deine Alarme nicht.
• Die Alarmdienste, die du selbst anbindest — Slack, Discord, Telegram, Microsoft Teams, PagerDuty oder ein Webhook, den du betreibst. Sie erhalten den Alarm, den du eingerichtet hast, weil das die Zustellung ist, die du wolltest.

Wenn ein Verarbeiter außerhalb der Schweiz oder des EWR sitzt, sagt die Datenschutzerklärung, dass die Übermittlung über eine geeignete Garantie läuft, etwa die Standardvertragsklauseln der EU. Die genannte Liste ist die Liste. Es gibt keinen zweiten Anhang.

Rechte, die du nutzen kannst, ohne uns zuerst zu schreiben

Nach dem Schweizer Datenschutzgesetz und, soweit sie für dich gilt, der DSGVO kannst du deine personenbezogenen Daten einsehen, berichtigen, exportieren und löschen sowie bestimmte Verarbeitungen einschränken oder ihnen widersprechen. Wer das Konto in den Einstellungen löscht, löscht damit die Monitore, die Prüfprotokolle und die Alarmkonfiguration. Für eine Kopie oder für alles, was der Einstellungsbildschirm nicht kann, steht die Kontaktadresse in der Datenschutzerklärung. Eine Beschwerde kann an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gehen oder, wenn du in der EU bist, an deine Aufsichtsbehörde.

Nichts davon macht einen Mitbewerber unzulässig, und nichts davon ersetzt dein eigenes Verzeichnis von Verarbeitungstätigkeiten. Es ist der Teil, den ein Anbieter wirklich aufschreiben kann: wo die Maschinen stehen, wer die Verarbeiter sind und wie du das Konto löschst. Die ausführlichere Produktseite ist der DSGVO-Hinweis. Die Vergleiche mit UptimeRobot und Pingdom sind eigene Seiten — dorthin gehört die Frage „welches Produkt“, nicht die Frage „wo liegen die Daten“.