Datenschutz beim Monitoring

Server DSGVO-sicher überwachen: welche Daten anfallen und was Sie regeln müssen

Server lassen sich datenschutzgerecht überwachen, wenn Sie wissen, welche Daten das Monitoring berührt: Reine Messwerte wie die CPU-Last betreffen meist keine Person, IP-Adressen, Logs, Kontonamen und Sitzungsaufzeichnungen dagegen schon. Für diese Daten brauchen Sie eine Rechtsgrundlage, bei einem externen Dienst einen Vertrag nach Art. 28 DSGVO und feste Löschfristen.

Information, keine Rechtsberatung

Diese Seite erklärt die Lage allgemein, Stand 5. November 2026. Sie ersetzt keine Prüfung Ihres Falls durch Ihren Datenschutzbeauftragten oder eine Kanzlei. Für den Einsatz bleiben Sie verantwortlich.

Zur Checkliste AVV lesen

Datenarten

Welche personenbezogenen Daten berührt Monitoring?

Mehr, als die Überschrift „technische Daten“ vermuten lässt. Hier sind die wichtigsten Datenarten, die in inping anfallen können, mit dem, was tatsächlich passiert.

Messwerte

CPU, RAM, Platten, Netz je Dienst.

Personenbezug: Für sich genommen meist ohne Personenbezug.

In inping: Rohwerte 7 Tage, stündliche Werte 365 Tage, dann automatisch gelöscht.

Hostnamen und Notizen

Hostname, Betriebssystem, freie Notizen pro Server.

Personenbezug: Personenbezogen, wenn ein Name darin steht, etwa „laptop-anna“.

In inping: Sichtbar für das Team. Super-Admins von inping können sich zur Hilfe als Nutzer anmelden; das wird protokolliert und der Nutzer per Mail informiert. Was in Notizen steht, entscheiden Sie.

Kontonamen

Unter Linux je Konto CPU, Speicher und Prozesszahl, auf Wunsch auch Platte und Netz, höchstens 64 Konten, unter Windows nur auf Wunsch.

Personenbezug: Personenbezogen, wenn ein Konto zu einem Menschen gehört.

In inping: Die Konten kommen aus /etc/passwd und werden nur gemessen, keine Inhalte. Ohne Root sieht der Agent nur das eigene Konto.

Geplante Jobs

Cron, systemd-Timer und ähnliche: Zeitplan, Befehl, Benutzer.

Personenbezug: Befehle können Namen und Adressen enthalten.

In inping: Was wie ein Passwort oder Token aussieht, ersetzt der Agent schon auf dem Host durch ***.

Seitentexte

Änderungserkennung: Text überwachter Seiten, auch zugangsgeschützter.

Personenbezug: Enthält, was auf der Seite steht, etwa Namen im Team-Bereich.

In inping: Nur Text, nie das HTML. Es bleiben die letzten 20 Stände pro Seite.

Log-Zeilen und Fehler

Nur wenn Sie Logging einrichten: Log-Quellen des Agents oder SDKs Ihrer Anwendung.

Personenbezug: Häufig personenbezogen: IP-Adressen, Nutzerkennungen, Mailadressen.

In inping: Aus, bis Sie eine Quelle anlegen. Geheimnisse entfernt der Agent schon auf dem Host und die Plattform noch einmal für alle Quellen. IP-Adressen und Kennungen werden nicht automatisch entfernt. Frist pro Projekt: 7 Tage im Free-Tarif, bis zu 90 Tage je nach Tarif, nicht in den Backups.

Session-Replays

Aufzeichnungen von Browser-Sitzungen, nur wenn Sie sie im SDK einschalten.

Personenbezug: Zeigen, was Ihre Nutzer gesehen und getan haben.

In inping: Das SDK maskiert Texte und Eingaben und blockiert Medien standardmäßig. Lassen Sie das so. Gleiche Frist wie Logs, nicht in den Backups.

Kontakte für Benachrichtigungen

Name, Mail, Telefon, Rolle von Kontakten am Projekt.

Personenbezug: Eindeutig personenbezogen.

In inping: Jede Adresse bestätigt per Double-Opt-in, jede Mail hat einen Abmeldelink. Nur für Editoren und Admins sichtbar.

Zugangsdaten geprüfter URLs

Basic Auth und eigene Header für geschützte Seiten.

Personenbezug: Geheimnisse, oft einer Person zuzuordnen.

In inping: Verschlüsselt gespeichert und niemandem angezeigt. Zum Prüfen gehen sie an die Runner des Projekts, auch an die der Plattform. Verwenden Sie ein eigenes Prüfkonto.

Ihr Konto bei inping

Name, Mail, Passwort-Hash, Zugriffsprotokolle, Anmeldegeräte.

Personenbezug: Hier ist inping selbst Verantwortlicher.

In inping: Zugriffsprotokolle mit IP-Adresse ein bis zwei Wochen. Hinweise auf neue Geräte speichern die IP nur gekürzt (IPv4 /24, IPv6 /48) und löschen sie nach 30 Tagen.

Rollen und Rechtsgrundlagen

Wer ist wofür verantwortlich?

Für die Daten Ihrer überwachten Systeme sind Sie Verantwortlicher, inping ist Ihr Auftragsverarbeiter. Für Ihr Konto bei inping und die Zugriffsprotokolle der Plattform ist inping selbst verantwortlich.

Mögliche Rechtsgrundlagen

Art. 32 Abs. 1 lit. b DSGVO verlangt, die Verfügbarkeit und Belastbarkeit von Systemen dauerhaft sicherzustellen. Monitoring dient genau dem. Als Rechtsgrundlage kommt meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f in Betracht, Erwägungsgrund 49 nennt die Netz- und Informationssicherheit ausdrücklich, soweit die Verarbeitung dafür unbedingt notwendig und verhältnismäßig ist. Halten Sie die Abwägung schriftlich fest. Wenn Sie Monitoring als Leistung für Kunden erbringen, kann der Vertrag die Grundlage sein (Art. 6 Abs. 1 lit. b).

IP-Adressen und gekürzte Werte

Im Fall Breyer (C-582/14) sah der EuGH dynamische IP-Adressen als personenbezogen an, wenn der Website-Betreiber rechtliche Mittel zur Bestimmung der Person hat. Im Urteil EDPS gegen SRB (C-413/23 P) betonte er 2025, dass es bei pseudonymisierten Daten auch darauf ankommt, wer sie hält und wer die Person bestimmen kann. Gehen Sie deshalb nicht davon aus, dass eine gekürzte Adresse automatisch anonym ist.

Zwei Regeln außerhalb der DSGVO

§ 25 TDDDG verlangt eine Einwilligung, wenn etwas im Endgerät gespeichert oder von dort gelesen wird und es nicht unbedingt erforderlich ist. Das betrifft vor allem Browser-SDKs und Replays. Die Orientierungshilfe der Datenschutzkonferenz erläutert das. Im Betrieb greift § 87 Abs. 1 Nr. 6 BetrVG, sobald ein System geeignet ist, Beschäftigte zu überwachen.

Art. 28 DSGVO

Was muss im AVV stehen, und was steht bei inping drin?

Art. 28 Abs. 3 DSGVO schreibt Gegenstand, Dauer, Art und Zweck, Datenarten, Weisungsbindung, Vertraulichkeit, Sicherheit, Unterauftragnehmer, Unterstützung, Löschung und Kontrollrechte vor. So löst es der AVV von inping.

Weisungen: Ihre Konfiguration auf der Plattform ist die Weisung. inping weist darauf hin, wenn eine Weisung rechtswidrig erscheint.
Unterauftragsverarbeiter: Hosting-Anbieter und Mail-Anbieter. Änderungen werden per Mail angekündigt, Widerspruch aus wichtigem Grund innerhalb von zwei Wochen.
Löschung: Beim Löschen von Projekt, Team oder Konto werden die Daten gelöscht, Backups nach 30 Tagen überschrieben. Monitoring-Daten lassen sich jederzeit über die API exportieren.
Kontrolle: Dokumentation auf Anforderung, Prüfung mit vier Wochen Vorlauf in angemessenem Umfang.
Unterstützung: Bei Betroffenenanfragen, Sicherheit, Datenschutz-Folgenabschätzungen. Verletzungen werden Ihnen unverzüglich gemeldet.
Anwendbares Recht: Deutsches Recht. Für die Auftragsverarbeitung geht der AVV den Nutzungsbedingungen vor.

Den vollen Text lesen Sie im Vertrag zur Auftragsverarbeitung, Empfänger und Fristen in der Datenschutzerklärung. Diese führt Hosting-Anbieter und Mail-Anbieter als Auftragsverarbeiter, nennt aber derzeit keine Firmennamen. Fragen Sie für Ihre Dokumentation unter office@medienakzent.de nach.

Art. 32 DSGVO

Technische und organisatorische Maßnahmen bei inping

Kein Zertifikat, sondern konkret: Das sind die Maßnahmen, die AVV und Code belegen.

Transport

TLS für alle Verbindungen von Agent, Runner und Browser. Agent und Runner öffnen keinen Port.

Geheimnisse

Zugangsschutz und Webhook-Geheimnisse liegen verschlüsselt in der Datenbank. Passwörter nur als Hash.

Trennung

Mandantentrennung in der Datenbank und auf jedem Zugriffspfad. Logs liegen in einer eigenen Datenbank pro Projekt.

Zugriff

Rollen Admin, Editor, Viewer. Zwei-Faktor-Anmeldung und Passkeys, für Betreiber Zwei-Faktor-Pflicht.

Nur lesender Agent

Eigener Benutzer, der Dienst ohne Capabilities, Dateisystem schreibgeschützt bis auf sein Statusverzeichnis. Nur der Timer für die Plattenbelegung hat CAP_DAC_READ_SEARCH, liest ausschließlich Metadaten und hat kein Netz. Projektverzeichnisse legen Sie lokal fest; Log-Quellen legen Sie in inping fest, auch Dateipfade, gelesen wird, was der Dienstbenutzer lesen darf.

Lieferkette

Die Programmdateien von Agent und Runner sind signiert und reproduzierbar gebaut; ein Update wird nur nach Prüfung der Signatur installiert. Docker-Images sind per Digest festgelegt.

Backups

Laut AVV verschlüsselt, nächtlich, 30 Tage aufbewahrt. Logs, Traces und Replays sind nicht enthalten.

Löschen

Löschläufe täglich. Ein gelöschtes Projekt nimmt seine Log-Datenbank mit.

Drittlandtransfer

Schrems II und Data Privacy Framework: Wie ist der Stand im November 2026?

Der Angemessenheitsbeschluss für die USA gilt, ist aber unter Druck. Wer heute US-Dienste nutzt, sollte eine Rückfallebene haben.

16. Juli 2020: Schrems II

Der EuGH erklärt den Privacy Shield für ungültig (C-311/18). Standardvertragsklauseln bleiben möglich, verlangen aber eine Prüfung im Einzelfall, siehe die Orientierungshilfe der Aufsicht Baden-Württemberg.
10. Juli 2023: Data Privacy Framework

Die Kommission erlässt den Angemessenheitsbeschluss (EU) 2023/1795. Er gilt nur für US-Organisationen, die sich unter dem Framework zertifiziert haben.
3. September 2025: Klage abgewiesen, Rechtsmittel eingelegt

Das Gericht der EU weist die Klage von Philippe Latombe ab (T-553/23). Sein Rechtsmittel vom 31. Oktober 2025 (C-703/25 P) ist beim EuGH anhängig. Ein Urteil dazu haben wir bis zum Stand dieser Seite nicht gefunden.
Seit dem 29. Juni 2026: neue Zweifel

Der US Supreme Court hält in Trump v. Slaughter die freie Abberufung von FTC-Mitgliedern für zulässig. Die Bürgerrechtsorganisation noyb fordert die Kommission zur Aufhebung auf und kündigt eine Klage an. Der Europäische Datenschutzausschuss bittet die Kommission um eine Bewertung. Der Beschluss bleibt bis zu einer Aufhebung oder Nichtigerklärung wirksam.

Was heißt das für Ihr Monitoring?

Prüfen Sie bei jedem US-Dienst, ob der Anbieter zertifiziert ist, und vereinbaren Sie Standardvertragsklauseln als Rückfallebene. Noch einfacher ist es, personenbezogene Daten gar nicht erst in ein Drittland zu geben. Dazu gehört auch die Frage nach Subunternehmern. Mehr zum Standort unter Server in der EU überwachen.

Und bei Zahlungen über Paddle?

Kostenpflichtige Tarife laufen über den Reseller Paddle, ein Unternehmen aus Großbritannien, das Zahlung, Rechnung und Steuern übernimmt und dafür eine eigene Datenschutzerklärung hat. Für Großbritannien gilt ein im Dezember 2025 verlängerter Angemessenheitsbeschluss bis zum 27. Dezember 2031. Überwachungsdaten gehen nicht an Paddle.

Klar getrennt

Was inping macht und was bei Ihnen bleibt

inping

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, öffentlich einsehbar
Plattform auf Servern in der EU, Betreiber in Konstanz, deutsches Recht
Feste Löschfristen im Code, einstellbar für Logs
Maskierung und Geheimnisfilter als Voreinstellung
Kein Verkauf von Daten
Meldung von Datenschutzverletzungen an Sie, unverzüglich

Ihre Verantwortung

Rechtsgrundlage und Verzeichnis von Verarbeitungstätigkeiten
Prüfung des AVV und seiner Unterauftragnehmer
Information Ihrer Nutzer und Beschäftigten
Einwilligung, wo Browser-SDKs oder Replays sie verlangen
Was Ihre Anwendung in Log-Zeilen schreibt
Überwachung nur eigener oder freigegebener Systeme

Checkliste

Zwölf Punkte für datenschutzgerechtes Server-Monitoring

Unabhängig vom Werkzeug. Gehen Sie sie vor dem Start durch und halten Sie die Ergebnisse fest.

1 Datenarten erfassen: Welche der Datenarten oben fallen bei Ihnen wirklich an?
2 Rechtsgrundlage je Zweck festhalten, in der Regel Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.
3 Monitoring ins Verzeichnis von Verarbeitungstätigkeiten aufnehmen (Art. 30 DSGVO).
4 AVV abschließen und ablegen. Unterauftragsverarbeiter und deren Standorte beim Anbieter erfragen.
5 Drittlandbezug klären: Wohin gehen Daten, auf welcher Grundlage, und was gilt, wenn sie wegfällt?
6 Logging sparsam einstellen: nur nötige Quellen, keine Nutzerkennungen ins Log, kürzeste passende Frist.
7 Replays nur nach Prüfung einschalten, Maskierung anlassen, Einwilligung nach § 25 TDDDG klären.
8 Datenschutzerklärung der überwachten Website und interne Hinweise ergänzen.
9 Betriebsrat einbinden, wenn das System Verhalten oder Leistung von Beschäftigten erfassen kann.
10 Für Prüfungen geschützter Seiten ein eigenes Konto mit geringsten Rechten anlegen.
11 Rollen im Team vergeben: Viewer und Editor nur für die Projekte, die sie brauchen.
12 Einmal im Jahr prüfen: Fristen, Empfänger, Stand der Drittlandregeln.

Häufige Fragen

Fragen zu DSGVO und Monitoring

Ist inping DSGVO-konform?

Das lässt sich nicht pauschal zusagen, denn Konformität hängt auch davon ab, wie Sie das Werkzeug einsetzen. inping bietet einen AVV nach Art. 28 DSGVO, läuft auf Servern in der EU und löscht Daten nach festen Fristen. Rechtsgrundlage, Information der Betroffenen und der Inhalt Ihrer Logs bleiben Ihre Verantwortung.

Brauche ich für Server-Monitoring einen Auftragsverarbeitungsvertrag?

Sobald ein externer Dienst in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein Vertrag nach Art. 28 DSGVO nötig. Beim Monitoring ist das schnell der Fall, etwa durch Logs, Kontonamen oder Kontakte für Benachrichtigungen. Den AVV von inping finden Sie unter /legal/dpa.

Sind IP-Adressen in Server-Logs personenbezogene Daten?

Sie können es sein. Der EuGH hat 2016 im Fall Breyer (C-582/14) entschieden, dass auch dynamische IP-Adressen für einen Website-Betreiber personenbezogen sind, wenn er über rechtliche Mittel verfügt, die Person mithilfe des Zugangsanbieters zu bestimmen. Behandeln Sie sie im Monitoring daher als personenbezogen.

Gilt das EU-US Data Privacy Framework noch?

Ja, Stand 5. November 2026 ist der Angemessenheitsbeschluss (EU) 2023/1795 in Kraft. Das Gericht der EU hat die Klage Latombe am 3. September 2025 abgewiesen, das Rechtsmittel C-703/25 P läuft. Nach dem US-Urteil Trump v. Slaughter vom 29. Juni 2026 fordert noyb die Aufhebung, und der Europäische Datenschutzausschuss bat die Kommission um Prüfung. Planen Sie daher eine Rückfallebene ein.

Darf ich Session-Replays einsetzen?

Nur nach Prüfung. Replays zeichnen das Verhalten von Nutzern auf. Prüfen Sie Rechtsgrundlage und, ob das SDK im Browser nach § 25 TDDDG eine Einwilligung braucht. In inping sind Replays aus, bis Sie sie einschalten, und das SDK maskiert Texte und Eingaben standardmäßig.

Muss der Betriebsrat beim Server-Monitoring zustimmen?

Das kann sein. § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung, und nach der Rechtsprechung des Bundesarbeitsgerichts reicht die Eignung dazu. Kontonamen mit Auslastung oder Logs mit Nutzernamen können darunter fallen.

Wer sieht die Zahlungsdaten bei inping?

Zahlung, Rechnung und Steuern der kostenpflichtigen Tarife übernimmt der Reseller Paddle, ein Unternehmen aus Großbritannien, unter eigener Datenschutzerklärung. An Paddle gehen Rechnungsadresse und Teamname. Der Free-Tarif braucht keine Zahlungsdaten.

Mit klaren Regeln starten

Agent nur lesend, Logging aus, bis Sie es einschalten. Wie die Überwachung selbst funktioniert, steht im Leitfaden.

Kostenlos starten Leitfaden Server überwachen