GDPR-compliant uptime monitoring: watching your website from GermanyUptime-Monitoring DSGVO-konform: Website-Überwachung aus Deutschland

Why monitoring touches the GDPR at allWarum Monitoring überhaupt die DSGVO berührt

A plain HTTP check against your own website processes almost no personal data: it is a machine requesting a URL. The personal data sits around it:Ein schlichter HTTP-Check gegen Ihre eigene Website verarbeitet kaum personenbezogene Daten: Eine Maschine ruft eine URL auf. Die personenbezogenen Daten stecken drumherum:

• Account and alert contacts. Names, e-mail addresses and phone numbers of the people who get woken up.Konto und Alarm-Kontakte. Namen, E-Mail-Adressen und Telefonnummern der Leute, die geweckt werden.
• Logs with IP addresses. The provider logs your logins; a public status page logs its visitors. IP addresses can be personal data under the GDPR.Logs mit IP-Adressen. Der Anbieter protokolliert Ihre Logins, eine öffentliche Statusseite protokolliert ihre Besucher. IP-Adressen können nach der DSGVO personenbezogene Daten sein.
• Status page subscribers. If customers can subscribe to incident e-mails, you are now storing their e-mail addresses with whoever runs the status page.Abonnenten der Statusseite. Können Kunden Störungsmeldungen per E-Mail abonnieren, liegen ihre E-Mail-Adressen bei dem, der die Statusseite betreibt.
• What you monitor. Keyword checks, URLs with tokens in them, or login (transaction) checks with stored credentials can carry more than you think.Was Sie überwachen. Keyword-Checks, URLs mit Tokens darin oder Login-Checks (Transaktions-Checks) mit hinterlegten Zugangsdaten können mehr enthalten, als man denkt.
• Notification channels are their own transfers. An alert sent via Telegram, Slack, Discord, SMS or a US e-mail service goes to that provider, no matter where the monitor itself runs. The alert text usually names the site and the error, sometimes more.Benachrichtigungskanäle sind eigene Übermittlungen. Ein Alarm über Telegram, Slack, Discord, SMS oder einen US-Mailanbieter geht an diesen Anbieter, egal wo der Monitor selbst läuft. Der Alarmtext nennt meist die Seite und den Fehler, manchmal mehr.

So the honest question is not "is uptime monitoring allowed" (it is), but: who processes these data, where, and do I have a data processing agreement with them?Die ehrliche Frage lautet deshalb nicht „Ist Uptime-Monitoring erlaubt?“ (ist es), sondern: Wer verarbeitet diese Daten, wo, und habe ich mit ihm einen Auftragsverarbeitungsvertrag?

What the big SaaS monitors say about data locationWas die großen SaaS-Monitore selbst zum Datenstandort sagen

We read the providers' own privacy pages on 5 November 2026. This is a summary of what those pages say, not an audit, and pages change, so check them again before you decide:Wir haben die Datenschutzseiten der Anbieter am 5. November 2026 gelesen. Das ist eine Zusammenfassung dessen, was dort steht, kein Audit, und Seiten ändern sich, prüfen Sie sie also vor Ihrer Entscheidung selbst noch einmal:

• UptimeRobot (UptimeRobot Privacy Policy): run by UptimeRobot s. r. o. Its sub-processor list names Limestone Networks, Amazon Web Services and DigitalOcean "for sending monitoring requests and storing data", Hetzner for monitoring infrastructure, API and status pages, plus many other services (for example ClickHouse Cloud for request and notification logs, Plivo for SMS, Google Analytics, Microsoft Clarity). The page says data may be accessed by people or processors outside the EEA, and a GDPR data processing agreement is available on request.UptimeRobot (Datenschutzerklärung von UptimeRobot): betrieben von UptimeRobot s. r. o. Die Liste der Unterauftragsverarbeiter nennt Limestone Networks, Amazon Web Services und DigitalOcean für das Senden der Prüfanfragen und das Speichern von Daten, Hetzner für Monitoring-Infrastruktur, API und Statusseiten, dazu viele weitere Dienste (etwa ClickHouse Cloud für Anfrage- und Benachrichtigungslogs, Plivo für SMS, Google Analytics, Microsoft Clarity). Laut der Seite können Daten von Personen oder Dienstleistern außerhalb des EWR eingesehen werden; ein DSGVO-Auftragsverarbeitungsvertrag ist auf Anfrage erhältlich.
• Better Stack (Better Stack Privacy Policy, "last updated November 25, 2022"): Better Stack, Inc. is a Delaware corporation. It says it processes personal data "primarily in the European Union", but that the services are operated under US law and that data of European residents may be transferred outside the EEA, with adequacy decisions or standard contractual clauses as safeguards. Sub-processors are listed in its DPA.Better Stack (Datenschutzerklärung von Better Stack, Stand laut Seite 25. November 2022): Better Stack, Inc. ist eine Gesellschaft aus Delaware (USA). Sie schreibt, personenbezogene Daten „primarily in the European Union“ zu verarbeiten, die Dienste würden aber nach US-Recht betrieben, und Daten europäischer Nutzer könnten außerhalb des EWR übermittelt werden, abgesichert über Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Die Unterauftragsverarbeiter stehen im AVV (DPA).
• Pingdom (SolarWinds): the SolarWinds sub-processor list names AWS as the hosting provider for Pingdom, with "United States" as the entity country (the list notes this is the sub-processor's headquarters), and many further US sub-processors for billing, support and alerting. The SolarWinds Privacy Policy says personal data may be stored and processed in any country where SolarWinds or its providers operate, including the United States.Pingdom (SolarWinds): Die Unterauftragsverarbeiter-Liste von SolarWinds nennt AWS als Hosting-Anbieter für Pingdom, mit „United States“ als Land (laut Liste der Hauptsitz des Unterauftragsverarbeiters), und viele weitere US-Dienstleister für Abrechnung, Support und Alarmierung. Die Datenschutzerklärung von SolarWinds sagt, personenbezogene Daten könnten in jedem Land gespeichert und verarbeitet werden, in dem SolarWinds oder seine Dienstleister tätig sind, auch in den USA.

None of this makes those tools illegal for a German business. Transfers to certified US companies can rely on the EU-US Data Privacy Framework, and otherwise on standard contractual clauses. But each one is a third-country transfer you have to document, and some customers, contracts and data protection officers simply want monitoring data and status page logs to stay in the EU.Nichts davon macht diese Tools für ein deutsches Unternehmen verboten. Übermittlungen an zertifizierte US-Unternehmen können sich auf das EU-US Data Privacy Framework stützen, sonst auf Standardvertragsklauseln. Aber jede davon ist eine Drittlandübermittlung, die Sie dokumentieren müssen, und manche Kunden, Verträge und Datenschutzbeauftragte wollen schlicht, dass Monitoring-Daten und Statusseiten-Logs in der EU bleiben.

What stays your job, whichever tool you pickWas Ihre Aufgabe bleibt, egal welches Tool

• Data processing agreement (Art. 28 GDPR) with whoever runs the monitor and the status page for you. If you self-host on your own server, you need one with the server host instead.Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit dem, der Monitor und Statusseite für Sie betreibt. Hosten Sie selbst auf eigenem Server, brauchen Sie ihn stattdessen mit dem Server-Anbieter.
• Choose alert channels deliberately. E-mail through your own mail server, or a self-hosted push service like ntfy, keeps alerts in your hands. Telegram, Slack or Discord are fine for many teams, but they are separate recipients; keep alert texts short and free of customer data.Alarm-Kanäle bewusst wählen. E-Mail über Ihren eigenen Mailserver oder ein selbst gehosteter Push-Dienst wie ntfy halten Alarme in Ihrer Hand. Telegram, Slack oder Discord sind für viele Teams in Ordnung, aber eigene Empfänger; halten Sie Alarmtexte kurz und frei von Kundendaten.
• Status page: mention it in your privacy policy if it is public, and do not add trackers to it.Statusseite: in der Datenschutzerklärung erwähnen, wenn sie öffentlich ist, und keine Tracker einbauen.
• No real customer credentials in checks. Use a dedicated test account for login checks.Keine echten Kunden-Zugangsdaten in Checks. Nehmen Sie für Login-Checks einen eigenen Testaccount.
• Record of processing (Art. 30 GDPR): add monitoring as a processing activity if you keep such a record.Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Nehmen Sie das Monitoring als Verarbeitungstätigkeit auf, wenn Sie ein solches Verzeichnis führen.

This is practical guidance, not legal advice. If you are unsure, ask your data protection officer or a lawyer.Das ist eine praktische Orientierung, keine Rechtsberatung. Wenn Sie unsicher sind, fragen Sie Ihren Datenschutzbeauftragten oder einen Anwalt.

Setup checklist: monitoring that actually helpsEinrichtungs-Checkliste: Monitoring, das wirklich hilft

1. What to monitor. The homepage (HTTP 200 plus a keyword that only appears when the page really rendered), the checkout or contact form page, your API health endpoint, the mail server port (TCP), the DNS record, and the SSL certificate expiry. For cron jobs and backups, use a push (heartbeat) monitor: the job calls a URL, and you get an alert when it stops calling.Was überwachen. Die Startseite (HTTP 200 plus ein Keyword, das nur erscheint, wenn die Seite wirklich gerendert hat), die Checkout- oder Kontaktformular-Seite, den Health-Endpunkt Ihrer API, den Mailserver-Port (TCP), den DNS-Eintrag und das Ablaufdatum des SSL-Zertifikats. Für Cron-Jobs und Backups nimm einen Push-Monitor (Heartbeat): Der Job ruft eine URL auf, und Sie bekommen einen Alarm, wenn der Aufruf ausbleibt.
2. Intervals. 60 seconds is plenty for most small business sites; 5 minutes is fine for things that are not urgent. Shorter intervals mostly create more history and more noise.Intervalle. 60 Sekunden reichen für die meisten kleinen Firmenseiten; 5 Minuten sind für Unkritisches völlig okay. Kürzere Intervalle erzeugen vor allem mehr Historie und mehr Rauschen.
3. Retries before alerting. Let a check fail 2 to 3 times in a row before it alerts, so a single network blip does not wake anyone.Wiederholungen vor dem Alarm. Lassen Sie einen Check 2 bis 3 Mal hintereinander fehlschlagen, bevor er alarmiert, damit nicht jeder kurze Netzwerk-Aussetzer jemanden weckt.
4. Alerting. One primary channel that someone actually reads, one fallback. Test both once by deliberately breaking a monitor.Alarmierung. Ein Hauptkanal, den wirklich jemand liest, und ein Ersatzkanal. Testen Sie beide einmal, indem Sie einen Monitor absichtlich kaputt machen.
5. Status page. Only the services customers care about, with plain names. Write incident notes in your own words.Statusseite. Nur die Dienste, die Kunden interessieren, mit verständlichen Namen. Schreiben Sie Störungsmeldungen in eigenen Worten.
6. Monitor from outside. A monitor on the same server as your website goes down with it. Run it somewhere else.Von außen überwachen. Ein Monitor auf demselben Server wie Ihre Website fällt mit ihr aus. Lassen Sie ihn woanders laufen.

Uptime Kuma, the open-source monitor, covers all of this: HTTP(s) with keyword, TCP port, ping, DNS, push monitors, certificate expiry, many notification channels and public status pages. Our Uptime Kuma guide explains the monitor types and the self-hosting traps in detail.Uptime Kuma, der Open-Source-Monitor, deckt all das ab: HTTP(s) mit Keyword, TCP-Port, Ping, DNS, Push-Monitore, Zertifikats-Ablauf, viele Benachrichtigungskanäle und öffentliche Statusseiten. Unsere Uptime-Kuma-Anleitung erklärt die Monitor-Typen und die Fallen beim Selbsthosten im Detail.

At overnight.host: Uptime Kuma, hosted in GermanyBei overnight.host: Uptime Kuma, gehostet in Deutschland

Full disclosure: this is what we sell. If you want Uptime Kuma without running a server, we host it for you. This is how the shop lists it today:Zur vollen Transparenz: Das ist, was wir verkaufen. Wollen Sie Uptime Kuma ohne eigenen Server, hosten wir es für Sie. So steht es heute im Shop:

The shop description: "Self-hosted uptime monitoring and a public status page on your own isolated instance. Runs as a persistent container. Hosted in Germany (EU); memory and CPU are capped by the container runtime." Each customer gets an isolated Docker network and volume and a hostname under apps.overnight.host on a real wildcard certificate; you can point your own domain at it with a CNAME. €4.00 a month, billed monthly, card (Stripe) or SEPA bank transfer. All prices are final; no VAT is shown (§19 UStG). Your access details arrive by e-mail once it is set up.Die Shop-Beschreibung: „Selbst gehostetes Uptime-Monitoring und eine öffentliche Statusseite auf Ihrer eigenen, isolierten Instanz. Läuft als dauerhafter Container. Gehostet in Deutschland (EU); Arbeitsspeicher und CPU sind durch die Container-Laufzeit begrenzt.“ Jeder Kunde bekommt ein isoliertes Docker-Netzwerk und Volume sowie einen Hostnamen unter apps.overnight.host mit echtem Wildcard-Zertifikat; Ihre eigene Domain können Sie per CNAME darauf zeigen lassen. 4,00 € im Monat, monatliche Abrechnung, Zahlung per Karte (Stripe) oder SEPA-Überweisung. Alle Preise sind Endpreise ohne ausgewiesene USt. (§19 UStG). Ihre Zugangsdaten kommen per E-Mail, sobald alles eingerichtet ist.

What is not includedWas nicht enthalten ist

• One vantage point. Checks run from our host in Germany. That is a good signal for "up or down" and for visitors in Germany, but it is not multi-region monitoring, and response times are only valid from that one location.Ein einziger Standort. Die Checks laufen von unserem Host in Deutschland. Das ist ein gutes Signal für „oben oder unten“ und für Besucher in Deutschland, aber kein Multi-Region-Monitoring, und Antwortzeiten gelten nur von diesem einen Standort aus.
• No root shell. You get the app and its URL, not the server underneath, so Docker-container monitors or custom compose changes are not possible. For that, run it yourself on a VPS.Keine Root-Shell. Sie bekommen die App und ihre URL, nicht den Server darunter; Docker-Container-Monitore oder eigene Compose-Änderungen gehen also nicht. Dafür betreiben Sie es besser selbst auf einem VPS.
• No blanket backup. Our billing help says no plan includes a blanket backup of your application data. Keep a copy of your monitor setup yourself.Kein pauschales Backup. Laut unserer Abrechnungs-Hilfe ist in keinem Tarif ein pauschales Backup Ihrer Anwendungsdaten enthalten. Bewahren Sie eine Kopie Ihrer Monitor-Einrichtung selbst auf.
• Alert channels are yours. If you send alerts via Telegram, Slack or an external SMS service, that transfer happens on your side, exactly as described above.Alarm-Kanäle sind Ihre Sache. Schicken Sie Alarme über Telegram, Slack oder einen externen SMS-Dienst, findet diese Übermittlung auf Ihrer Seite statt, genau wie oben beschrieben.
• DPA: the shop does not list a DPA (AVV) for this plan. If you need one, e-mail us before ordering.AVV: Im Shop ist für diesen Tarif kein AVV aufgeführt. Brauchen Sie einen, schreiben Sie uns vor der Bestellung.
• Support is by e-mail, run by one person, with no guaranteed response time.Support läuft per E-Mail, von einer einzelnen Person betrieben, ohne garantierte Reaktionszeit.

Order Uptime Kuma Monitoring → · Hosted apps overview · Zapier alternative under the GDPRUptime Kuma Monitoring bestellen → · Übersicht gehostete Apps · Zapier-Alternative DSGVO

Written by the person who runs overnight.host: a small, honest hosting company on dedicated bare metal — Linux VPS, game servers, web hosting. Live status at up.overnight.host.Geschrieben von der Person, die overnight.host betreibt: ein kleines, ehrliches Hosting-Unternehmen auf dedizierter Bare-Metal-Hardware — Linux-VPS, Gameserver, Webhosting. Live-Status unter up.overnight.host.