Datenschutzerklärung.
1. Einleitung
Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz „Daten“) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung unserer Leistungen als auch insbesondere auf unseren Webseiten, in mobilen Applikationen sowie innerhalb externer Onlinepräsenzen, wie z. B. unserer Social-Media-Profile (nachfolgend zusammenfassend bezeichnet als „Onlineangebot“).
2. Verantwortlicher (Art. 13 DSGVO)
Timothy Hessel
Kölner Str. 234, 47805 Krefeld, Deutschland
E-Mail: [email protected]
Telefon: +49 15563 116243
Auftragsverarbeitung (Art. 28 DSGVO): Soweit Sie als Unternehmenskunde Uptriva nutzen, um Systemmetriken, Server-Logs, IP-Adressen oder Alarmkontaktdaten Ihrer eigenen Systeme und Mitarbeiter durch uns verarbeiten zu lassen, bleiben Sie Verantwortlicher im Sinne der DSGVO und wir treten als Auftragsverarbeiter auf. Für diese Verarbeitungen steht ein Auftragsverarbeitungsvertrag (Data Processing Addendum, AVV/DPA) bereit, den Unternehmenskunden auf Anfrage unter [email protected] abschließen können.
3. Daten, die wir verarbeiten, und Zwecke
3.1 Registrierung und Konto
Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Ihr gehashtes Passwort sowie optional Ihren vollständigen Namen und Ihre Telefonnummer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Speicherdauer: Bis zur Kontolöschung, danach Entfernung innerhalb von 30 Tagen.
3.2 Server-Logs und IP-Adressen
Beim Zugriff auf unsere Dienste protokollieren wir Ihre IP-Adresse, Zeitstempel, den User-Agent Ihres Browsers und aufgerufene URLs in Server- und Audit-Logs. Diese Logs werden durch einen täglichen Retention-Job nach 90 Tagen automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Sicherheit und Fehlerdiagnose).
Speicherdauer: 90 Tage, automatische Löschung.
3.3 Abrechnungsdaten
Zahlungen werden über Polar.sh abgewickelt. Wir speichern lediglich externe Kunden- und Abonnement-IDs. Zahlungskartendaten werden ausschließlich von Polar.sh verarbeitet und niemals auf unseren Servern gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Drittpartei: Datenschutzerklärung von Polar.sh
3.4 Transaktions-E-Mails
Transaktions-E-Mails (E-Mail-Verifizierung, 2FA-Codes, Alarme) versenden wir über unseren eigenen selbst gehosteten SMTP-Server (Stalwart, betrieben auf mail.shxrk.systems in Deutschland).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
3.5 Zwei-Faktor-Authentifizierung
Wenn Sie 2FA aktivieren, speichern wir ein AES-256-GCM-verschlüsseltes TOTP-Geheimnis oder Hardware-Key-Zugangsdaten (WebAuthn). Diese Daten werden verschlüsselt gespeichert und ausschließlich zur Authentifizierung verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Kontosicherheit).
3.6 Monitoring-Daten
Monitor-Konfigurationen, Prüfergebnisse, Latenzmessungen, Statusseiten und Alarmeinstellungen werden gespeichert. Diese Daten gehören Ihnen und werden gelöscht, wenn Ihr Konto entfernt wird.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
3.7 Uptriva Agent (Self-Hosted)
Wenn Sie das Uptriva-Agent-Binary auf Ihren eigenen Servern installieren, erfasst der Agent Systemmetriken aus Ihrer eigenen Infrastruktur und überträgt sie über TLS an unsere API. Dazu gehören CPU-, RAM-, Festplatten- und Netzwerkauslastung, Load-Averages, System-Uptime, Disk-Mount-Details, Namen laufender Prozesse und der Status von systemd-Units (einschließlich fehlgeschlagener Unit-Namen). Der Agent meldet außerdem seine Version und seinen Heartbeat-Status.
Zusätzlich kann der Agent als privater Pinger agieren: Wenn Sie einem Agenten Monitore zuweisen, führt er die konfigurierten Uptime-Checks (HTTP, TCP, DNS, Ping, Datenbanken und weitere Check-Typen) direkt in Ihrem Netzwerk gegen die von Ihnen definierten Ziele aus — einschließlich privater oder interner Adressen, die aus dem öffentlichen Internet nicht erreichbar sind — und überträgt die Prüfergebnisse (Up-/Down-Status, Latenz, Fehlermeldungen) an unsere API. Interne Hostnamen und IP-Adressen, die Sie als Prüfziele konfigurieren, werden als Teil Ihrer Monitor-Konfiguration gespeichert.
Der Agent erfasst keine personenbezogenen Daten — nur System- und Prüfergebnisdaten. Sie kontrollieren, auf welchen Servern der Agent läuft und welche Ziele er prüft, und können ihn jederzeit deinstallieren oder Monitore entfernen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Speicherdauer: Agent-Metriken und Prüfergebnisse folgen der Monitor-Daten-Retention Ihres Plans (siehe Abschnitt 9) und werden entfernt, wenn der Agent oder Ihr Konto gelöscht wird.
3.8 Benachrichtigungskontakte und Abonnenten
Wenn Sie Benachrichtigungskontakte oder Statusseiten-Abonnenten hinzufügen, speichern wir die von Ihnen angegebenen Kontaktdaten (E-Mail, Telefonnummer, Slack-Webhook, Telegram-Chat-ID, Discord-Benutzer-ID usw.), um Alarme und Statusaktualisierungen zuzustellen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Speicherdauer: Bis der Kontakt gelöscht oder die zugehörige Statusseite entfernt wird.
3.9 Beta-Einladungscodes
Während der Beta-Phase kann die Registrierung einen Einladungscode erfordern. Wir speichern den Code, das erzeugende Teammitglied, optionale Notizen sowie — nach Verwendung — die Benutzer-ID und den Zeitpunkt der Nutzung. Dies dient der Nachverfolgung des Beta-Onboardings und der Verhinderung von Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Beta-Programm-Verwaltung).
Speicherdauer: Bis 30 Tage nach Ende der Beta-Phase.
3.10 Empfehlungsprogramm
Wenn Sie am Empfehlungsprogramm teilnehmen, speichern wir Ihre eindeutige Referral-ID, die von Ihnen geworbenen Benutzer (nur anhand der Referral-ID) und verdiente Guthaben. Referral-Guthaben haben keinen Geldwert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Speicherdauer: Bis zur Kontolöschung.
3.11 Unternehmens- und Steuerdaten
Für Business- und Enterprise-Abrechnungen können Sie einen Firmennamen, eine Umsatzsteuer-ID und eine Registrierungsnummer angeben. Diese Daten werden für Rechnungsstellung und steuerliche Zwecke verwendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (steuerliche Aufbewahrung nach §147 AO und §257 HGB).
Speicherdauer: Bis zu 10 Jahre gemäß steuerrechtlicher Vorgaben.
3.12 Honeypot und Sicherheitsprotokollierung
Wir betreiben Honeypot-Endpunkte zur Erkennung und Blockierung böswilliger Akteure. Beim Auslösen eines Honeypots protokollieren wir Ihre IP-Adresse, den User-Agent, den Zeitstempel und den aufgerufenen Endpunkt. Gesperrte IPs werden bis zu 90 Tage gespeichert und danach automatisch gelöscht oder manuell durch einen Administrator entsperrt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Plattformsicherheit).
Speicherdauer: Gesperrte IPs bis zu 90 Tage, danach automatische Löschung.
3.13 Social Sign-In (Google und Microsoft)
Sie können sich optional mit Ihrem Google- oder Microsoft-Konto registrieren oder anmelden (OAuth 2.0 / OpenID Connect). In diesem Fall übermittelt der Anbieter Ihre E-Mail-Adresse, Ihren Anzeigenamen, die URL Ihres Profilbilds und eine eindeutige Konto-ID an uns. Wir verwenden diese Daten ausschließlich zum Erstellen oder Identifizieren Ihres Uptriva-Kontos. Wir erhalten niemals Ihr Anbieter-Passwort und greifen nicht auf Ihre Kontakte, Dateien, Kalender oder sonstige Anbieterdaten zu. Existiert bereits ein Konto mit derselben E-Mail-Adresse, wird die Anmeldung mit diesem Konto verknüpft. Vom Anbieter bestätigte E-Mail-Adressen werden bei uns als verifiziert markiert. Sie können den Zugriff jederzeit in den Einstellungen Ihres Google- oder Microsoft-Kontos widerrufen; Ihr Uptriva-Konto wird dadurch nicht gelöscht und Sie können sich weiterhin mit E-Mail und Passwort anmelden.
Enterprise-Kunden können zusätzlich SAML- oder OIDC-Single-Sign-On (SSO) über ihren eigenen Identity Provider konfigurieren (z. B. Microsoft Entra ID). Dabei liefert der von Ihrer Organisation betriebene Identity Provider beim Login Ihren Namen und Ihre E-Mail-Adresse; per SCIM-Provisioning können Konten erstellt und deaktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Drittparteien: Google Datenschutzerklärung, Microsoft Datenschutzerklärung
3.14 Datei-Uploads und CDN-Speicherung
Wenn Sie Dateien über unsere Dienste hochladen — etwa Statusseiten-Logos, Profil- oder Marken-Assets, CMS-/Blog-Bilder oder Support-Ticket-Anhänge — werden diese im Cloudflare-R2-Objektspeicher abgelegt. Öffentliche Assets (Logos, Bilder) werden in einem öffentlichen Bucket gespeichert und über unsere Auslieferungsdomain cdn.uptriva.com mit globalem Edge-Caching bereitgestellt. Support-Ticket-Anhänge werden in einem privaten Bucket gespeichert, der nicht öffentlich erreichbar ist; sie sind nur über kurzlebige, vorsignierte URLs abrufbar, die nach einer Berechtigungsprüfung in unserer API ausgestellt werden.
Wenn Ihr Browser Fonts, Logos oder hochgeladene Bilder von cdn.uptriva.com lädt, verarbeitet Cloudflare die üblichen technischen Zugriffsdaten (IP-Adresse, Zeitstempel, User-Agent), um die Datei vom nächstgelegenen Edge-Standort auszuliefern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung.
Speicherdauer: Bis zur Löschung der Datei oder des zugehörigen Inhalts; Uploads werden bei Kontolöschung entfernt.
Drittpartei: Cloudflare Datenschutzerklärung
3.15 Newsletter und Launch-Updates
Wenn Sie sich über das Newsletter-Formular im Website-Footer oder das Anmeldeformular auf der Maintenance-Seite eintragen, speichern wir Ihre E-Mail-Adresse, einen optionalen Namen, die Anmeldequelle sowie die zum Zeitpunkt der Anmeldung erfasste IP-Adresse und den User-Agent (zur Missbrauchsverhinderung). Wir setzen ein Double-Opt-in-Verfahren ein: Nach der Anmeldung erhalten Sie eine Bestätigungs-E-Mail und bekommen erst dann Newsletter zugestellt, wenn Sie den darin enthaltenen Link bestätigen. Wir verwenden diese Daten ausschließlich für Produkt-Updates und die Ankündigung des Beta-Launches. Jede Newsletter-E-Mail enthält einen Abmeldelink, der Sie sofort aus der Liste entfernt. Wir geben diese Liste nicht an Dritte weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung. Sie können die Einwilligung jederzeit über den Abmeldelink widerrufen, ohne dass die Rechtmäßigkeit der vorherigen Verarbeitung berührt wird.
Speicherdauer: Bis zur Abmeldung; der Eintrag wird danach sofort gelöscht.
5. Lokale Speicherung (Local Storage)
Wir nutzen den Local Storage Ihres Browsers für folgende Zwecke. Local Storage ist kein Cookie und wird nicht bei jeder Anfrage an unsere Server übertragen, bleibt jedoch auf Ihrem Gerät gespeichert.
| Schlüssel | Zweck |
|---|---|
| uptriva_cookie_consent | Cookie-Einwilligungspräferenz (Website) |
| agents-list-view-mode | UI-Präferenz: Darstellungsmodus der Agent-Liste (Raster/Liste) |
| recovery_codes | 2FA-Wiederherstellungscodes (nur sessionStorage — wird beim Schließen des Browser-Tabs gelöscht) |
| uptriva_status_page_id | Zuletzt ausgewählte Statusseiten-ID (UI-Komfort) |
Sie können den Local Storage jederzeit über Ihre Browser-Einstellungen löschen. Dadurch werden Sie abgemeldet und UI-Präferenzen zurückgesetzt.
6. Drittanbieter-Dienste
Fonts und Marken-Assets: Wir verwenden die Geist-Schriftart und unsere Marken-Assets, die ausschließlich über unsere eigene Auslieferungsdomain cdn.uptriva.com (Cloudflare-R2-Objektspeicher) bereitgestellt werden. Zur Laufzeit werden keine Font-Anfragen an Google Fonts oder andere externe Font-Dienste gestellt. Das Laden dieser Assets ist in Abschnitt 3.14 beschrieben.
Cloudflare: Wir nutzen Cloudflare als DNS-Anbieter, CDN-Edge-Cache und Objektspeicher (R2). Hochgeladene Assets wie Statusseiten-Logos und CMS-Bilder werden in R2 gespeichert und über cdn.uptriva.com ausgeliefert; Support-Ticket-Anhänge liegen in einem separaten privaten R2-Bucket, der nur über kurzlebige vorsignierte URLs zugänglich ist. Cloudflare kann Zugriffsdaten an seinen globalen Edge-Standorten verarbeiten. Cloudflare Datenschutzerklärung
Polar.sh: Zahlungsabwicklung. Polar.sh Datenschutzerklärung
Twilio: SMS- und Anruf-Benachrichtigungen. Twilio verarbeitet die Empfänger-Telefonnummer und den Nachrichteninhalt in unserem Auftrag, wenn Sie Anruf- oder SMS-Alarme konfigurieren. Twilio Datenschutzhinweis
Google und Microsoft (OAuth-Anmeldung): Optionale Social-Sign-In-Anbieter. Wenn Sie sich mit Google oder Microsoft anmelden, authentifiziert der Anbieter Sie und übermittelt Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild an uns — Details siehe Abschnitt 3.13. Google Datenschutzerklärung / Microsoft Datenschutzerklärung
Discord, Slack, Telegram: Wenn Sie Alarmkanäle konfigurieren, senden wir Benachrichtigungen über diese Plattformen mit den von Ihnen bereitgestellten Zugangsdaten und Kennungen. Es handelt sich um Drittanbieter außerhalb unserer Kontrolle; es gelten deren eigene Datenschutzerklärungen. Wir speichern auf diesen Plattformen keine Nachrichten über das für die Zustellung erforderliche Maß hinaus.
Hetzner Online GmbH: Hosting-Infrastruktur ausschließlich in Deutschland (Falkenstein/Nürnberg). Hetzner Datenschutzerklärung
7. Datenübertragung in Drittländer
Unsere primäre Infrastruktur wird bei Hetzner in Deutschland gehostet (Falkenstein/Nürnberg); es findet keine Verarbeitung personenbezogener Daten in Hetzner-Standorten außerhalb der EU statt. Polar.sh und Twilio haben ihren Sitz in den USA; Datenübertragungen dorthin sind durch das EU-US Data Privacy Framework und/oder Standardvertragsklauseln (SCC) abgesichert, soweit erforderlich. Für Dienstleister mit Sitz in den USA, die unter dem EU-US Data Privacy Framework (DPF) zertifiziert sind, besteht ein Angemessenheitsbeschluss der Europäischen Kommission; die Übermittlung an diese Anbieter erfolgt daher auf Grundlage von Art. 45 DSGVO, ohne dass zusätzliche Garantien erforderlich sind. Cloudflare kann Edge-Traffic über globale Points of Presence verarbeiten (im Rahmen seines Data Processing Addendum); hochgeladene Dateien werden im Cloudflare-R2-Objektspeicher (EU-Jurisdiktion) gespeichert und bei Auslieferung über cdn.uptriva.com weltweit an Edge-Standorten gecacht. Discord, Slack und Telegram sind benutzerkonfigurierte Ziele außerhalb der EU/des EWR; wir übermitteln Alarme nur, wenn Sie diese Kanäle ausdrücklich konfigurieren. Bei Anmeldung über Google oder Microsoft werden Authentifizierungsdaten von diesen Anbietern in den USA verarbeitet — unter deren jeweiligen Datenverarbeitungsbedingungen und ggf. dem EU-US Data Privacy Framework. Wir behaupten nicht, dass sämtliche Daten ausschließlich innerhalb der EU verarbeitet werden.
8. Ihre Rechte (DSGVO)
- Auskunft (Art. 15): Sie können eine Kopie der über Sie gespeicherten personenbezogenen Daten anfordern.
- Berichtigung (Art. 16): Sie können die Korrektur unrichtiger Daten verlangen.
- Löschung (Art. 17): Sie können die Löschung Ihrer personenbezogenen Daten verlangen („Recht auf Vergessenwerden“).
- Einschränkung (Art. 18): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
- Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
- Widerspruch (Art. 21): Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
- Einwilligungswiderruf (Art. 7 Abs. 3): Sie können erteilte Einwilligungen jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.
Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO ein. Automatisierte Sicherheitsmaßnahmen (beispielsweise temporäre IP-Sperren nach Honeypot-Auslösung) haben keine rechtliche oder ähnlich erhebliche Wirkung auf Sie.
Anfragen richten Sie bitte an: [email protected]
9. Speicherdauer und Löschung
- Kontodaten: Gespeichert bis zur Kontolöschung, danach Entfernung innerhalb von 30 Tagen.
- Server- und Zugriffslogs: Bis zu 90 Tage, automatische Löschung durch täglichen Retention-Job.
- Audit-Logs: 7 Tage (Free), 30 Tage (Premium), 90 Tage (Elite) oder 365 Tage (Enterprise), je nach Abonnement-Stufe. Enterprise-Pläne können unbegrenzte Aufbewahrung konfigurieren.
- Monitor-Prüfdaten: 7 Tage (Free), 30 Tage (Premium), 90 Tage (Elite) oder bis zu 1 Jahr (Enterprise). Automatische Löschung je nach Stufe.
- Fehlerlogs: 90 Tage, automatische Löschung.
- Webhook-Zustellungslogs: 90 Tage, automatische Löschung.
- Referral-Klickdaten: 365 Tage, automatische Löschung.
- Zahlungsaufzeichnungen: Aufbewahrung gemäß steuerrechtlicher Vorgaben (bis zu 10 Jahre nach §147 AO und §257 HGB).
- Beta-Einladungscodes: Bis 30 Tage nach Ende der Beta-Phase.
- Honeypot-/Sicherheitssperren: Gesperrte IPs bis zu 90 Tage, danach automatische Löschung. Manuelle Entsperrungen erfolgen sofort.
- Backups: Tägliche Datenbank-Backups werden 14 Tage auf verschlüsseltem Speicher vorgehalten. Backups werden im Rotationsverfahren überschrieben.
10. Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Behörde für Nordrhein-Westfalen (NRW) ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Postfach 20 04 44, 40102 Düsseldorf
www.ldi.nrw.de
Stand: September 2026 — AVV-, TDDDG- und DPF-Revision