Uptime-Monitoring und DSGVO: Worauf Website-Betreiber achten sollten.
Stand 11. Juli 2026 · 6 Min. Lesezeit
Monitoring wirkt datenschutzrechtlich harmlos, schließlich prüft es "nur", ob eine Seite erreichbar ist. Bei genauem Hinsehen fließen aber durchaus relevante Daten. Dieser Artikel gibt einen praxisnahen Überblick, er ist keine Rechtsberatung und ersetzt keine.
Inhalt
Welche Daten beim Monitoring überhaupt fließen
Ein Monitoring-Dienst verarbeitet typischerweise: die überwachten URLs, Antwortzeiten und Statuscodes, Fehlerdetails (die z. B. Stacktraces oder interne Hostnamen enthalten können) und die E-Mail-Adressen der Alarm-Empfänger. Je nach Setup können auch Zugangsdaten dazukommen, etwa wenn geschützte Bereiche überwacht werden.
Kritisch wird es vor allem dort, wo URLs oder Fehlermeldungen personenbezogene Daten enthalten, zum Beispiel Monitor-URLs mit Tokens, Kundennummern oder E-Mail-Adressen als Parameter. Die wichtigste Regel ist deshalb Datenminimierung: Überwache neutrale Endpunkte und halte Secrets und personenbezogene Daten aus Monitor-URLs heraus.
Warum der Anbieterstandort eine Rolle spielt
Wer Monitoring als Dienst einkauft, lässt diese Daten von einem Dritten verarbeiten, damit stellen sich die üblichen Fragen der Auftragsverarbeitung: Wo werden die Daten verarbeitet und gespeichert? Wer ist Vertragspartner, und nach welchem Recht?
Bei Anbietern außerhalb der EU, insbesondere aus den USA, kommt das Thema Drittlandtransfer dazu, mit zusätzlichem Prüf- und Dokumentationsaufwand für dich als Verantwortlichen. Das ist kein automatisches Verbot, aber ein realer Mehraufwand, den ein EU-Anbieter mit EU-Servern schlicht vermeidet.
Die Checkliste vor der Tool-Wahl
- Serverstandort und Vertragspartner: Wo liegen die Monitoring-Daten, mit wem schließt du den Vertrag? Steht das transparent auf der Website?
- Auftragsverarbeitung: Bietet der Anbieter die nötigen vertraglichen Grundlagen an? Kläre das vor der Einführung, nicht danach.
- Datenminimierung möglich: Kannst du neutrale Check-Endpunkte verwenden, ohne personenbezogene Daten in URLs?
- Alarm-Empfänger: Welche Team-Mitglieder-Daten (E-Mail, ggf. Telefonnummer) landen beim Anbieter?
- Statusseiten: Öffentliche Statusseiten zeigen Ausfalldaten deiner Dienste, das ist meist unkritisch, sollte aber keine internen Details oder Personendaten preisgeben.
- Löschkonzept: Wie lange werden Check-Historie und Logs aufbewahrt, und was passiert bei Kündigung?
Der ehrliche Blick auf unser eigenes Setup
Weil dieser Artikel von einem Monitoring-Anbieter stammt, gehört Transparenz dazu: Clesk Uptime ist ein deutscher Anbieter, die Checks laufen aus einem deutschen Rechenzentrum (Hetzner), und die Datenschutzerklärung legt die eingesetzten Dienste offen. Genau die Fragen aus der Checkliste oben solltest du trotzdem stellen, an uns genauso wie an jeden anderen Anbieter.
Häufige Fragen
Brauche ich einen Auftragsverarbeitungsvertrag mit dem Monitoring-Anbieter?
Das hängt davon ab, ob und welche personenbezogenen Daten der Dienst für dich verarbeitet, häufig ist das der Fall (z. B. Alarm-Empfänger, Daten in Fehlerdetails). Kläre die Frage mit dem Anbieter und im Zweifel mit deiner Datenschutzberatung; seriöse Anbieter haben darauf eine klare Antwort.
Ist ein US-Anbieter automatisch unzulässig?
Nein. Aber er bringt zusätzlichen Prüf- und Dokumentationsaufwand (Drittlandtransfer) mit, den du dir mit einem EU-Anbieter sparst. Es ist eine Abwägung zwischen Funktionsumfang und Compliance-Aufwand.
Dürfen Monitor-URLs Tokens oder Kundendaten enthalten?
Vermeide es, wo immer möglich. Baue für Monitoring eigene, neutrale Health-Endpunkte ohne personenbezogene Parameter. Das ist nicht nur datenschutzfreundlicher, sondern auch sicherer.
Monitoring mit deutschem Anbieter und deutschen Servern.
Drei Monitore dauerhaft kostenlos, Preise inklusive Umsatzsteuer, Daten in Deutschland.
Kostenlos überwachen