Selbst-Hosting & DSGVO

:::note Übersetzung Diese Übersetzung dient nur der Orientierung. Bei Abweichungen ist die englische Fassung maßgeblich. :::

Zuletzt aktualisiert: 9. August 2026

Wenn Sie die Open-Source-Software SolidPing auf Ihrer eigenen Infrastruktur betreiben, erreichen uns keine personenbezogenen Daten. Es gibt keine Telemetrie nach Hause, keine Lizenzprüfung, kein Nutzungs-Beacon. Wir liefern Software; wir verarbeiten Ihre Daten nicht.

Das hat eine präzise rechtliche Folge: Sie sind der Verantwortliche, und wir sind nicht Ihr Auftragsverarbeiter. Sie brauchen keinen Auftragsverarbeitungsvertrag mit uns, und keiner der Unterauftragsverarbeiter auf unserer Liste für den gehosteten Dienst berührt Ihre Installation. Es bedeutet auch, dass Ihre DSGVO-Konformität Ihre eigene Aufgabe ist — diese Seite soll sie handhabbar machen, nicht sie Ihnen abnehmen.

:::warning Keine Rechtsberatung

Diese Seite ist technische Dokumentation darüber, wie sich die Software verhält. Sie ist keine Rechtsberatung und kein Konformitätszertifikat. Ihre Pflichten hängen von Ihrem eigenen Kontext ab — wer Ihre betroffenen Personen sind, wo Sie tätig sind und was Sie konfigurieren.

:::

Ihre Rolle, in einer Tabelle​

Wenn Sie SolidPing im Auftrag von jemand anderem hosten — als internes Plattform-Team, das andere Rechtsträger bedient, oder als MSP, der es für Kunden betreibt —, dann sind Sie deren Auftragsverarbeiter und benötigen einen eigenen AVV mit ihnen. Das Material auf unseren Seiten AVV und Sicherheitsmaßnahmen ist eine brauchbare Vorlage als Ausgangspunkt.

Was die Software speichert​

Für Ihr Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 sind dies die personenbezogenen Daten, die eine SolidPing-Installation hält. Alles Folgende liegt in Ihrer Datenbank.

Zwei davon verdienen einen zweiten Blick, wenn Sie Ihr Verarbeitungsverzeichnis schreiben: Statusseiten-Abonnenten sind meist Dritte ohne jede andere Beziehung zu Ihnen, und Check-Ziele können personenbezogene Daten sein, wenn ein Hostname oder ein URL-Pfad eine Einzelperson identifiziert.

Konfiguration für den Datenschutz​

Das sind die Schalter, die zählen. Alle sind in der Dokumentation beschrieben.

Schalten Sie die Verschlüsselung der Zugangsdaten ein. Setzen Sie den Verschlüsselungs-Master-Schlüssel, damit Integrations-Zugangsdaten, OAuth-Tokens und TOTP-Geheimnisse auf Anwendungsebene verschlüsselt werden, statt lesbar in der Datenbank zu liegen. Bewahren Sie den Schlüssel außerhalb der Datenbank auf, in Ihrem Secret-Store.

Lassen Sie Analysen aus, oder richten Sie sie auf Ihre eigene Instanz. PostHog ist inaktiv, solange Sie keinen Projektschlüssel konfigurieren: Ohne gesetzten Schlüssel erzeugt der Server keinen Client, und das Dashboard lädt den Analyse-Chunk nie herunter. Wenn Sie Produktanalysen möchten, verwenden Sie Ihr eigenes PostHog-Projekt — die Daten gehen an Sie, nicht an uns.

Legen Sie die Aufbewahrung bewusst fest. Die Ergebnisaggregation hat eigene Aufbewahrungsregler (roh, stündlich, täglich). Artikel 5 Absatz 1 Buchstabe e verlangt, personenbezogene Daten nicht länger als nötig aufzubewahren; die Standardwerte sind für den betrieblichen Nutzen gewählt, nicht für Ihre Aufbewahrungsrichtlinie. Legen Sie Ihre fest und konfigurieren Sie sie.

Wählen Sie Ihre Check-Regionen. Wenn Sie verteilte Agenten betreiben, verarbeitet ein Agent die Check-Definitionen, die er erhält. Einen Agenten außerhalb des EWR zu betreiben, ist eine Übermittlung, für die Sie verantwortlich sind. Agenten in der Region zu halten, lässt diese Frage gar nicht erst aufkommen.

Beschränken Sie die Registrierung. Das E-Mail-Muster für die Registrierung und die Beitrittsrichtlinie lassen Sie entscheiden, wer ein Konto anlegen darf, statt Ihre Instanz offen zu lassen.

Schalten Sie die Mehr-Faktor-Authentifizierung ein, und setzen Sie eine absolute maximale Sitzungsdauer, statt sich allein auf das gleitende Inaktivitätsfenster zu verlassen.

Aktivieren Sie TLS überall, auch zwischen Dashboard, API und Agenten. Agenten verbinden sich ausschließlich ausgehend und benötigen daher keine eingehende Erreichbarkeit.

Ihre Konformitäts-Checkliste​

Dinge, die nur Sie tun können:

• Schreiben Sie Ihr Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) — die obige Tabelle deckt die Kategorien ab.
• Bestimmen Sie eine Rechtsgrundlage für jeden Zweck. Die Überwachung Ihrer eigenen Systeme mit Mitarbeiterkonten ist in der Regel ein berechtigtes Interesse; E-Mail-Abonnements von Statusseiten sind in der Regel Einwilligung.
• Veröffentlichen Sie eine Datenschutzerklärung für Ihre Benutzer und für Statusseiten-Abonnenten (Artikel 13 und 14). Gerade Abonnenten hatten oft keinen anderen Kontakt zu Ihnen.
• Schließen Sie AVV mit Ihren eigenen Auftragsverarbeitern — Ihrem Cloud-Anbieter, Ihrem SMTP-Anbieter, Ihrem SMS-Anbieter.
• Dokumentieren Sie Übermittlungen außerhalb des EWR — Nicht-EU-Agentenregionen und jeden außerhalb des EWR gehosteten Benachrichtigungskanal.
• Definieren Sie Aufbewahrungsfristen und konfigurieren Sie sie.
• Halten Sie ein Verfahren für Datenschutzverletzungen bereit, das die 72-Stunden-Frist aus Artikel 33 einhalten kann.
• Seien Sie in der Lage, Anfragen betroffener Personen zu beantworten — siehe den nächsten Abschnitt.
• Prüfen Sie, ob eine DSFA (Artikel 35) erforderlich ist. Für gewöhnliches Infrastruktur-Monitoring mit Mitarbeiterkonten in der Regel nicht; wenn Sie in einer Weise überwachen, die Einzelpersonen profiliert, denken Sie noch einmal nach.
• Fügen Sie einen Cookie-Hinweis hinzu, wenn Ihre Instanz benutzerseitig erreichbar ist — unsere Cookie-Richtlinie listet auf, was die Software im Browser speichert.

Anfragen betroffener Personen auf Ihrer eigenen Instanz beantworten​

Die Software liefert Ihnen die Mechanik:

• Auskunft und Datenübertragbarkeit — exportieren Sie Checks und Konfiguration über die API (GET /api/v1/orgs/{org}/checks/export); Benutzer- und Vorfalldatensätze sind direkt aus Ihrer Datenbank lesbar.
• Berichtigung — Profil- und Kontaktfelder sind im Dashboard bearbeitbar.
• Löschung — ein Organisationsinhaber kann eine gesamte Organisation aus dem Dashboard löschen (bestätigt durch erneutes Eintippen des Slugs), was ihre Checks stoppt, ihre Tokens widerruft und ihre Statusseiten abschaltet. Für einen einzelnen Benutzer löschen Sie das Konto und denken Sie daran, Ihre eigenen Datenbank-Backups zu prüfen.
• Widerspruch — deaktivieren Sie Analysen oder die konkrete Verarbeitung, gegen die Widerspruch eingelegt wurde.

Da es Ihre Datenbank ist, können Sie immer weiter gehen, als die Benutzeroberfläche erlaubt. Genau das ist der Sinn des Selbst-Hostings.

Was wir uns im Gegenzug von Ihnen wünschen​

Rechtlich nichts. Aber wenn Sie feststellen, dass eine Datenschutzaufgabe schwieriger ist, als sie sein sollte — eine Aufbewahrungseinstellung, die es nicht gibt, ein Export, dem etwas fehlt, ein Feld, das Sie nicht bereinigen können —, dann ist das ein Fehler, den zu melden sich lohnt. Eröffnen Sie ein Issue unter github.com/fclairamb/solidping/issues. Selbst gehostete Konformität einfach zu machen, ist ein Designziel, kein Nachgedanke.

Verwandte Seiten​

• Sicherheitsmaßnahmen — die Maßnahmen, die wir auf den gehosteten Dienst anwenden; eine nützliche Referenz dafür, was Sie in Ihrer eigenen Installation konfigurieren sollten
• Auftragsverarbeitungsvertrag — eine Art Vorlage, falls Sie im Auftrag von jemand anderem verarbeiten
• Rechtliches & DSGVO — der vollständige Dokumentenindex