DSGVO & Statuspage — Datenschutz, Cloud Act & deutsche Alternativen

Warum die DSGVO für Statuspages relevant ist

Eine Statuspage wirkt auf den ersten Blick unkritisch. Sie zeigt öffentlich an, ob Systeme verfügbar sind. Kein Login, kein Warenkorb, keine Zahlungsdaten. Doch dieser Eindruck täuscht.

Sobald eine Statuspage Subscriber verwaltet, E-Mail-Benachrichtigungen versendet, Monitoring-Daten erhebt oder Zugriffe protokolliert, fallen personenbezogene Daten an. Und damit greift die Datenschutz-Grundverordnung (DSGVO) in vollem Umfang.

Für Unternehmen in regulierten Branchen — Rechenzentren, Finanzdienstleister, Gesundheitswesen, öffentlicher Sektor — ist die Wahl des Statuspage-Anbieters keine rein technische Entscheidung. Sie ist eine Compliance-Entscheidung.

Welche personenbezogenen Daten eine Statuspage verarbeitet

Viele Betreiber unterschätzen den Umfang der Datenverarbeitung. Eine typische Statuspage erhebt und speichert folgende Kategorien personenbezogener Daten:

Subscriber-Daten

Wer sich für Status-Updates registriert, hinterlässt mindestens eine E-Mail-Adresse. Bei differenzierten Benachrichtigungen kommen Präferenzen hinzu — welche Services interessieren, welche Kanäle bevorzugt werden (E-Mail, SMS, Slack, Webhook). Jede dieser Angaben ist ein personenbezogenes Datum im Sinne der DSGVO.

Monitoring-Logs und Zugriffsprotokolle

Monitoring-Systeme protokollieren HTTP-Responses, TCP-Verbindungen, Heartbeat-Signale. Diese Logs enthalten IP-Adressen, Timestamps und teilweise Hostnamen. In Kombination lassen sich Rückschlüsse auf Infrastruktur, Nutzungsverhalten und Verfügbarkeitsmuster ziehen.

Team-Accounts und Zugangsdaten

Interne Nutzer der Statuspage — DevOps-Teams, Support-Mitarbeiter, Administratoren — hinterlegen Namen, E-Mail-Adressen, Rollen und Authentifizierungsdaten. Zwei-Faktor-Authentifizierung erzeugt zusätzliche Metadaten.

Incident-Kommunikation

Incident-Updates, Postmortems und Maintenance-Ankündigungen können Namen von Ansprechpartnern enthalten. Subscriber-Benachrichtigungen erzeugen Zustellprotokolle mit Empfänger-Adressen und Zeitstempeln.

Webanalyse-Daten

Selbst ohne klassisches Tracking erfasst jeder Webserver Zugriffslogs: IP-Adressen, User-Agents, Referrer, Seitenabrufe. Wer Google Analytics oder vergleichbare Tools einsetzt, erweitert diesen Datensatz erheblich.

Der US Cloud Act — ein strukturelles Problem

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) trat 2018 in den USA in Kraft. Er erlaubt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen — unabhängig davon, wo diese Daten physisch gespeichert sind.

Das bedeutet konkret: Selbst wenn ein US-Anbieter seine Server in Frankfurt betreibt, können US-Behörden Zugriff auf die dort gespeicherten Daten verlangen. Der physische Standort der Daten ist irrelevant. Entscheidend ist die Jurisdiktion des Unternehmens.

Für europäische Unternehmen erzeugt das einen fundamentalen Konflikt. Die DSGVO verbietet die Weitergabe personenbezogener Daten an Drittstaaten ohne angemessenes Schutzniveau. Der Cloud Act verpflichtet US-Unternehmen zur Herausgabe genau dieser Daten. Beide Gesetze gelten gleichzeitig, und keines weicht dem anderen.

Warum "EU-Region" bei US-Anbietern nicht reicht

Viele US-Statuspage-Anbieter werben mit europäischen Rechenzentren oder einer "EU-Region"-Option. Das klingt beruhigend, löst aber das Problem nicht. Der Cloud Act knüpft nicht an den Speicherort, sondern an die Kontrolle über die Daten. Solange ein US-Unternehmen die Daten kontrolliert — als Betreiber, als Mutterkonzern, als Auftragsverarbeiter — greift der Cloud Act.

Ein Datencenter in Frankfurt, betrieben von einem Unternehmen mit Hauptsitz in San Francisco, ist aus DSGVO-Perspektive kein europäisches Datencenter.

Schrems II und die Folgen

Im Juli 2020 erklärte der Europäische Gerichtshof im Urteil "Schrems II" das Privacy-Shield-Abkommen für ungültig. Die Begründung: Die USA bieten kein angemessenes Datenschutzniveau im Sinne der DSGVO. Insbesondere die Überwachungsprogramme US-amerikanischer Geheimdienste (FISA 702, EO 12333) stehen im Widerspruch zu den Grundrechten europäischer Bürger.

Seit Juli 2023 existiert zwar das EU-US Data Privacy Framework (DPF) als Nachfolgeabkommen. Doch Datenschutzexperten und der österreichische Jurist Max Schrems selbst bezeichnen es als unzureichend. Die zugrundeliegenden US-Gesetze haben sich nicht geändert. Ein "Schrems III"-Urteil, das auch das DPF kippt, gilt in Fachkreisen als wahrscheinlich.

Wer seine Statuspage-Infrastruktur auf einem US-Anbieter aufbaut, geht damit ein regulatorisches Risiko ein, das sich jederzeit materialisieren kann.

Auftragsverarbeitung bei SaaS-Statuspages

Jede SaaS-Statuspage, die personenbezogene Daten verarbeitet, erfordert einen Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO. Der AV-Vertrag regelt, welche Daten verarbeitet werden, zu welchem Zweck, wie lange und mit welchen technischen und organisatorischen Maßnahmen (TOMs) sie geschützt sind.

Worauf bei der Prüfung zu achten ist

Unterauftragsverarbeiter. Die meisten SaaS-Anbieter setzen Drittdienstleister ein — für Hosting, E-Mail-Versand, Logging, Monitoring. Jeder Unterauftragsverarbeiter muss im AV-Vertrag aufgeführt sein. Besonders kritisch: US-Unterauftragsverarbeiter, die den gesamten Vertrag aus DSGVO-Sicht unterlaufen.

Datenlokation. Wo genau werden die Daten gespeichert? Welche Rechenzentren? Welche Jurisdiktion? Eine Angabe wie "EU" ist zu vage. Konkrete Standorte — Falkenstein, Nürnberg, Helsinki — schaffen Klarheit.

Löschkonzept. Was passiert mit Subscriber-Daten nach einer Kündigung? Werden Monitoring-Logs automatisch gelöscht? Nach welcher Frist? Das Recht auf Löschung (Art. 17 DSGVO) muss technisch umsetzbar sein.

Technische und organisatorische Maßnahmen. Verschlüsselung, Zugangskontrollen, Audit-Logs, Zwei-Faktor-Authentifizierung — die TOMs müssen dem Stand der Technik entsprechen und dokumentiert sein.

Bei Self-Hosted-Lösungen entfällt der AV-Vertrag mit dem Statuspage-Anbieter vollständig. Die Daten verlassen das eigene Netzwerk nicht. Die Verantwortung für den Datenschutz liegt vollständig beim Betreiber — aber auch die Kontrolle.

Self-Hosted als DSGVO-Lösung

Self-Hosting ist der radikalste Weg zur Datensouveränität. Keine Drittanbieter, keine Unterauftragsverarbeiter, kein Datentransfer. Die Statuspage läuft auf eigener Infrastruktur, die Daten bleiben im eigenen Netzwerk.

Vorteile aus DSGVO-Perspektive

Volle Kontrolle über Datenstandort. Die Daten liegen auf dem eigenen Server — ob im eigenen Rechenzentrum, bei einem deutschen Hoster oder in einer Private Cloud. Kein Dritter hat Zugriff.

Kein AV-Vertrag mit dem Statuspage-Anbieter. Der Softwareanbieter ist Lizenzgeber, nicht Auftragsverarbeiter. Er hat keinen Zugriff auf die Daten, die das System verarbeitet.

Keine Unterauftragsverarbeiter-Kette. Die typische Kette — Statuspage-Anbieter nutzt AWS, AWS nutzt Subdienstleister — existiert nicht. Der Betreiber wählt seinen Hosting-Anbieter selbst.

Nachweisbare Compliance. Gegenüber Datenschutzbehörden, Auditoren und Kunden lässt sich der Datenfluss lückenlos dokumentieren. Die Daten verlassen die eigene Infrastruktur nachweislich nicht.

LIVCK bietet genau dieses Modell: Eine vollständige Monitoring- und Statuspage-Lösung, die per Docker Compose auf jedem Linux-Server läuft. Die Installation dauert fünf Minuten, die Daten bleiben im eigenen Netzwerk. Für Unternehmen, die keinen eigenen Server betreiben wollen, bietet LIVCK einen Managed Service in deutschen Rechenzentren (Falkenstein, Nürnberg) und in Helsinki.

DSGVO-Checkliste für Statuspage-Betreiber

Die folgende Checkliste deckt die wesentlichen Prüfpunkte ab, die bei der Auswahl und dem Betrieb einer Statuspage aus Datenschutzsicht relevant sind.

Anbieter und Infrastruktur

• Wo ist der Anbieter der Statuspage-Software ansässig? EU oder Drittstaat?
• In welchem Land stehen die Server, auf denen die Statuspage betrieben wird?
• Unterliegt der Anbieter dem US Cloud Act oder vergleichbaren Drittstaaten-Gesetzen?
• Sind alle Unterauftragsverarbeiter dokumentiert und geprüft?
• Liegt ein AV-Vertrag nach Art. 28 DSGVO vor (bei SaaS-Nutzung)?

Datenverarbeitung

• Welche personenbezogenen Daten werden erhoben (Subscriber, Team, Logs)?
• Ist die Rechtsgrundlage für jede Datenverarbeitung dokumentiert?
• Gibt es ein Löschkonzept für Subscriber-Daten und Monitoring-Logs?
• Werden E-Mail-Adressen von Subscribern verschlüsselt gespeichert?
• Ist Double-Opt-in für Subscriber-Benachrichtigungen implementiert?

Technische Maßnahmen

• Ist die Statuspage über HTTPS erreichbar (TLS 1.2+)?
• Werden Zugriffe über Zwei-Faktor-Authentifizierung gesichert?
• Gibt es Audit-Logs für administrative Aktionen?
• Werden Monitoring-Daten verschlüsselt übertragen und gespeichert?
• Werden Cookies eingesetzt? Wenn ja, ist ein Cookie-Banner notwendig?

Webanalyse und Tracking

• Welches Analyse-Tool wird eingesetzt?
• Werden IP-Adressen gespeichert oder anonymisiert?
• Ist ein Cookie-Banner erforderlich (bei cookiebasierten Tools)?
• Ist die Analyse DSGVO-konform ohne Einwilligung möglich (z. B. Plausible)?

Betroffenenrechte

• Können Subscriber ihre Daten einsehen (Auskunftsrecht, Art. 15)?
• Können Subscriber ihre Daten löschen lassen (Art. 17)?
• Können Subscriber ihre Einwilligung widerrufen (Art. 7 Abs. 3)?
• Gibt es einen dokumentierten Prozess für Betroffenenanfragen?

Regulierte Branchen und besondere Anforderungen

Für Unternehmen in bestimmten Branchen gelten über die DSGVO hinaus zusätzliche Anforderungen an die Datenverarbeitung.

Rechenzentren und Hosting-Anbieter

Rechenzentrumsbetreiber, die selbst Statuspages für ihre Kunden bereitstellen, verarbeiten Verfügbarkeitsdaten, die direkte Rückschlüsse auf die Infrastruktur ihrer Kunden zulassen. Ein Datentransfer in Drittstaaten ist hier besonders kritisch — nicht nur wegen der DSGVO, sondern auch wegen vertraglicher Vertraulichkeitspflichten.

Finanzdienstleister

BaFin-regulierte Unternehmen unterliegen den MaRisk-Anforderungen für IT-Auslagerungen. Eine SaaS-Statuspage bei einem US-Anbieter kann als wesentliche Auslagerung gewertet werden — mit entsprechenden Dokumentations- und Prüfpflichten. Seit Januar 2025 verschärft der Digital Operational Resilience Act (DORA) die Anforderungen an die IT-Resilienz von Finanzunternehmen zusätzlich.

Gesundheitswesen

Krankenhäuser, Praxen und Gesundheits-IT-Dienstleister verarbeiten besonders schutzwürdige Daten nach Art. 9 DSGVO. Auch wenn eine Statuspage selbst keine Gesundheitsdaten anzeigt, können Verfügbarkeitsinformationen in Kombination mit anderen Daten sensible Rückschlüsse ermöglichen. Der Paragraf 203 StGB (ärztliche Schweigepflicht) stellt zusätzliche Anforderungen an die Vertraulichkeit.

Öffentlicher Sektor

Behörden und öffentliche Einrichtungen sind an die DSGVO und zusätzlich an das jeweilige Landesdatenschutzgesetz gebunden. Viele Datenschutzbeauftragte der Länder haben explizite Empfehlungen gegen US-Cloud-Dienste ausgesprochen. Self-Hosting oder die Nutzung ausschließlich deutscher Dienstleister ist hier oft die einzige praktikable Lösung.

Warum der Anbieterstandort entscheidend ist

Die DSGVO unterscheidet zwischen der EU und Drittstaaten. Für Datentransfers in Drittstaaten müssen zusätzliche Garantien vorliegen — Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften.

Ein deutscher Anbieter, der ausschließlich deutsche Rechenzentren nutzt, eliminiert diese Problematik vollständig. Es gibt keinen Drittstaatentransfer, keine zusätzlichen Garantien, keine rechtliche Unsicherheit.

LIVCK ist ein deutsches Unternehmen (RServices), das für seinen Managed Service ausschließlich Rechenzentren in Deutschland (Falkenstein, Nürnberg) und der EU (Helsinki) nutzt. Sämtliche Infrastruktur wird von deutschen Unternehmen betrieben. Es gibt keine Abhängigkeit von US-Cloud-Anbietern, keinen Cloud-Act-Zugriff, keinen Drittstaatentransfer.

Für Self-Hosted-Kunden geht LIVCK noch einen Schritt weiter: Die Software läuft auf der eigenen Infrastruktur des Kunden. Der Anbieter hat keinen Zugriff auf die Daten. Die Datensouveränität ist vollständig.

Cookieless Analytics als Baustein

Ein oft übersehener Aspekt: Die Webanalyse der Statuspage selbst. Wer Google Analytics einbindet, muss einen Cookie-Banner anzeigen und die Einwilligung der Besucher einholen. Das widerspricht dem Zweck einer Statuspage — schnelle, barrierefreie Information über den Systemstatus.

Cookielose Analysetools wie Plausible erheben keine personenbezogenen Daten, setzen keine Cookies und erfordern keinen Cookie-Banner. LIVCK setzt auf Plausible und vermeidet damit ein weiteres DSGVO-Problem an der Wurzel.

Fazit

Die DSGVO ist für Statuspages kein Randthema. Subscriber-Daten, Monitoring-Logs, Team-Accounts und Webanalyse erzeugen einen erheblichen Umfang personenbezogener Daten. Der US Cloud Act und die fortwährende rechtliche Unsicherheit nach Schrems II machen US-Anbieter zu einem kalkulierbaren, aber vermeidbaren Risiko.

Die sicherste Lösung ist eine Kombination aus deutschem Anbieter und Self-Hosting — oder zumindest die Nutzung ausschließlich deutscher Rechenzentren. Keine Drittstaatentransfers, keine Cloud-Act-Exposition, nachweisbare Compliance.

Für Unternehmen, die diesen Weg gehen wollen, bietet LIVCK genau das: Monitoring und Statuspage aus Deutschland, Self-Hosted oder in deutschen Rechenzentren, ohne Feature-Gating und ohne Kompromisse beim Datenschutz.