# Monitoring ohne US-Sub-Prozessoren: der Vorteil im B2B- und Public-Sector-Pitch

> Warum Monitoring ohne US-Sub-Prozessoren in der Monitoring-Kette ein prüfbarer Vorteil im Bank- und Behörden-Pitch ist, mit Argumentationshilfe für regulierte MSPs.

Source: https://uptimeify.io/de/blog/monitoring-ohne-us-subprozessoren

Für viele MSPs kommt der schwierigste Moment einer Ausschreibung nicht bei Preis oder Leistung, sondern in der Anlage zum Datenschutz: der Liste der Sub-Prozessoren. Ein Bank- oder Behörden-Auftraggeber liest sie bis zum letzten Eintrag, und sobald dort ein US-Anbieter auftaucht, der Daten verarbeitet, beginnt ein Prüfmarathon, der einen Zuschlag verzögern oder kippen kann. **Monitoring, dessen Datenkette vollständig ohne US-Sub-Prozessoren auskommt, nimmt genau diesen Reibungspunkt aus dem Pitch.** Dieser Artikel erklärt faktisch, warum das ein Vorteil ist, wie du ihn belegst, und wo die ehrliche Grenze der Aussage verläuft.

**Update, 11. Juli 2026:** Unsere CI/CD-Pipelines laufen seit Juli 2026 auf managed GitHub-Actions-Runnern von Ubicloud. Vertragspartner ist die niederländische Ubicloud B.V.; die Muttergesellschaft Ubicloud, Inc. sitzt in den USA. Ein US-Zugriffspfad lässt sich damit nicht vollständig ausschließen und ist über Standardvertragsklauseln (SCCs) abgesichert. Für deine Daten ändert sich nichts: Ubicloud verarbeitet ausschließlich unseren Quellcode und Build-Secrets während eines Builds, zu keinem Zeitpunkt Kunden- oder Monitoring-Daten. Es gilt weiterhin: Kein US-Subprozessor hat Zugriff auf deine Kunden- oder Monitoring-Daten. Alle Details und Datenkategorien findest du in unserer [Subprozessoren-Übersicht](/de/subprozessoren).

- **Regulierte Auftraggeber prüfen die Verarbeitungskette bis zum letzten Sub-Prozessor.** Ein US-Anbieter in der Datenkette öffnet das komplexeste Kapitel: den Drittland-Transfer.
- **Der Vorteil ist die saubere Abgrenzung:** Monitoring-Daten, geprüfte URLs, Check-Ergebnisse, Alarm-Inhalte, bleiben vollständig bei EU-Sub-Prozessoren.
- **Ehrlich bleiben schlägt Überversprechen:** „null US in der Monitoring-Kette" ist belastbar; „null US überhaupt" wäre es meist nicht.
- **Der Beleg zählt:** eine öffentliche, aktuelle Sub-Prozessoren-Liste macht aus der Zusage einen prüfbaren Fakt.
- **Ruhig, nicht laut:** Souveränität überzeugt regulierte Käufer durch Präzision, nicht durch Marketing-Superlative.

## Warum die Sub-Prozessoren-Liste im regulierten Pitch entscheidet

In einem gewöhnlichen B2B-Verkauf ist die Sub-Prozessoren-Liste eine Formalie. Im regulierten Umfeld, Banken, Versicherungen, öffentliche Auftraggeber, ist sie ein Prüfgegenstand. Diese Käufer tragen selbst Compliance-Pflichten, die sie an ihre Dienstleister weiterreichen: Wer für eine Behörde arbeitet, muss belegen, dass auch die eingesetzten Werkzeuge den Anforderungen genügen. Die Prüfung endet deshalb nicht bei deiner Agentur, sondern geht die gesamte Kette hinunter, bis zu dem Dienstleister, der ganz am Ende die Daten tatsächlich verarbeitet.

Für dich als MSP heißt das: Dein Monitoring-Tool ist kein internes Detail, sondern Teil dessen, was der Auftraggeber bewertet. Steht in seiner Kette ein Sub-Prozessor, der Fragen aufwirft, werden diese Fragen zu deinen Fragen. Und die aufwendigste dieser Fragen ist immer dieselbe: Verlassen die Daten den europäischen Rechtsraum?

Im regulierten Pitch prüft der Auftraggeber die Verarbeitungskette bis zum letzten Sub-Prozessor. Dein Monitoring-Tool ist damit Teil seiner Compliance-Bewertung, nicht dein internes Detail.

## Der Drittland-Transfer: ruhig erklärt

Der Begriff, um den sich alles dreht, ist der Drittland-Transfer: jede Verarbeitung personenbezogener oder zurechenbarer Daten außerhalb des Europäischen Wirtschaftsraums. Er ist nicht grundsätzlich verboten. Aber er ist der Punkt, an dem eine Datenschutz-Bewertung von einer Seite auf zehn wächst.

Sobald Daten die EU verlassen, braucht es eine tragfähige Rechtsgrundlage für den Transfer, in der Regel Standardvertragsklauseln (SCCs). Diese allein genügen seit den einschlägigen Entscheidungen der europäischen Gerichte aber nicht mehr: Ergänzend ist ein Transfer Impact Assessment nötig, das prüft, ob im Zielland, etwa den USA unter dem CLOUD Act, ein behördlicher Zugriff möglich ist, der das europäische Schutzniveau untergräbt. Fällt diese Prüfung ungünstig aus, müssen zusätzliche technische und organisatorische Maßnahmen greifen, oder der Transfer ist nicht haltbar.

Für einen regulierten Auftraggeber ist dieser Mechanismus kein theoretisches Konstrukt, sondern gelebtes Risiko. Jeder Drittland-Transfer in der Kette ist etwas, das er dokumentieren, verteidigen und im Zweifel gegenüber einer Aufsichtsbehörde rechtfertigen muss. Deshalb bevorzugen und fordern viele Ausschreibungen von vornherein Lösungen, bei denen dieser Transfer gar nicht erst entsteht. Nicht, weil ein US-Transfer immer unzulässig wäre, sondern weil seine Abwesenheit schlicht das kleinere Risiko ist.

Der Drittland-Transfer ist nicht per se unzulässig, aber er ist prüfintensiv, angreifbar und für regulierte Auftraggeber ein dokumentationspflichtiges Risiko. Seine Abwesenheit ist der Vorteil.

## Der Vorteil: eine Monitoring-Kette, die in der EU bleibt

Hier liegt der konkrete Wedge für regulierte MSPs. Wenn die gesamte Kette, die deine Monitoring-Daten verarbeitet, innerhalb der EU liegt, entsteht kein Drittland-Transfer, und das komplexeste Kapitel der Datenschutz-Bewertung fällt ersatzlos weg. Aus einem mehrseitigen Prüfvorgang wird eine kurze, belegbare Feststellung.

Bei Uptimeify ist genau diese Monitoring-Kette EU-only. Die Dienstleister, die Monitoring-Daten verarbeiten, Hosting, die Standorte der Prüf-Nodes, der E-Mail- und der SMS-Versand für Benachrichtigungen, sitzen sämtlich in der EU. Die Kern-Infrastruktur ist ausschließlich in der EU gehostet, und gepollt wird ausschließlich aus europäischen Standorten (vier in Deutschland, Nürnberg, Falkenstein, Frankfurt und Berlin, dazu Logroño, Paris, Warschau, Mailand und Helsinki). Die Daten, um die es dem Auftraggeber geht, welche URL wann geprüft wurde, mit welchem Ergebnis, an wen alarmiert wurde, verlassen den europäischen Rechtsraum zu keinem Zeitpunkt.

Für deinen Pitch bedeutet das einen doppelten Gewinn. Du erfüllst eine Anforderung, an der rein US-basierte Tools in regulierten Ausschreibungen regelmäßig scheitern. Und du verkürzt die Datenschutz-Bewertung des Auftraggebers, statt sie zu verlängern, was dich vom Bittsteller, der eine Hürde nehmen muss, zum Anbieter macht, der ihm Arbeit abnimmt.

Damit das Argument im Pitch trägt, muss die Monitoring-Kette nachweislich in der EU liegen. Teste ein Monitoring, dessen Datenverarbeitung vollständig bei EU-Sub-Prozessoren bleibt.

## Ehrlich bleiben: „ohne US-Sub-Prozessoren" richtig sagen

Genau hier trennt sich ein belastbares Argument von einem, das in der ersten Prüfung zerbricht. Die Versuchung im Pitch ist, „komplett ohne US-Anbieter" zu behaupten. Das ist fast nie wahr, und ein Datenschutzbeauftragter, der genau hinsieht, wird die Lücke finden. Die präzise, verteidigbare Aussage ist enger und dadurch stärker: **Kein US-Sub-Prozessor verarbeitet Monitoring-Daten.**

Der Unterschied liegt im Zweck. Fast jedes Unternehmen setzt für Nebenfunktionen Dienste ein, die in den USA sitzen oder US-Konzernen gehören: einwilligungsbasierte Website-Analyse auf der öffentlichen Marketing-Seite, Code-Hosting für die Entwicklung, interne Team-Kommunikation, Postfächer. Diese berühren keine Monitoring-Daten. Sie laufen, wo sie US-Bezug haben, unter anerkannten Garantien wie dem EU-US Data Privacy Framework. Der ehrliche Satz lautet deshalb nicht „null US", sondern: Die Monitoring-Datenkette ist EU-only, und alles außerhalb dieser Kette ist transparent ausgewiesen.

Diese Nüchternheit ist kein Zugeständnis, sondern der Kern der Überzeugungskraft. Ein regulierter Käufer hat schon viele Anbieter erlebt, die Souveränität behaupten und bei Nachfrage einknicken. Wer die eigene Grenze von sich aus benennt, „hier ist EU-only, hier setzen wir für Nebenzwecke unter DPF US-Dienste ein", wirkt geprüft statt beworben. Präzision schlägt Superlativ, gerade bei denen, die es prüfen müssen.

Sag die enge, wahre Version: kein US-Sub-Prozessor in der Monitoring-Datenkette. Nebenzwecke ohne Monitoring-Daten transparent ausweisen. Diese Ehrlichkeit ist im regulierten Pitch stärker als ein pauschales „null US".

## Der Beleg schlägt die Behauptung

Im regulierten Umfeld ist eine Zusage nur so viel wert wie ihr Nachweis. Ein Auftraggeber, der seine eigene Aufsicht zufriedenstellen muss, kann sich nicht auf ein Versprechen im Verkaufsgespräch stützen. Er braucht ein Dokument, das er zu seinen Akten nehmen und im Prüffall vorlegen kann. Genau deshalb ist Transparenz kein Nice-to-have, sondern der eigentliche Hebel.

Der stärkste Beleg ist eine öffentliche Sub-Prozessoren-Liste, die für jeden Dienstleister drei Dinge ausweist: wer es ist, wo er sitzt und ob er Monitoring-Daten verarbeitet. Uptimeify führt eine solche Liste öffentlich zugänglich und markiert für jeden Eintrag explizit, ob Monitoring-Daten betroffen sind, die EU-Anbieter der Kette ebenso wie die klar als „keine Monitoring-Daten" gekennzeichneten Nebendienste. Infrastruktur-Änderungen werden zusätzlich in einem öffentlichen Changelog protokolliert. Damit kann dein Auftraggeber die Aussage selbst verifizieren, statt sie dir glauben zu müssen.

Für dich als MSP ist das der praktische Kern der Argumentationshilfe: Du musst die Souveränität nicht behaupten, du verlinkst sie. Eine prüfbare Quelle, auf die du im Angebot verweist, beantwortet die schwierigste Datenschutzfrage, bevor sie mündlich gestellt wird, und signalisiert dem Auftraggeber, dass du seine Prüflogik verstanden hast.

Verweise im Angebot auf die öffentliche Sub-Prozessoren-Liste und den Changelog. Ein prüfbarer Beleg, den der Auftraggeber zu seinen Akten nehmen kann, schlägt jede noch so überzeugende mündliche Zusage.

## Souveränität als ruhiges Verkaufsargument

Der Souveränitäts-Vorteil wirkt am stärksten, wenn er nicht wie ein Verkaufsargument klingt. Regulierte Käufer sind gegen Superlative abgestumpft: „100 % sicher", „vollständig DSGVO-konform" sind für sie Warnsignale, keine Zusagen. Was sie überzeugt, ist die ruhige, präzise Darstellung eines nachprüfbaren Sachverhalts: Die Monitoring-Daten bleiben in der EU, hier ist die Liste, hier die Grenze der Aussage.

Diese Tonlage ist zugleich die ehrlichste. Sovereign Monitoring befreit dich nicht von deinen eigenen Datenschutzpflichten, und es ist kein Rechtsgutachten. Was es leistet, ist genau umrissen: Es nimmt den Drittland-Transfer aus der Monitoring-Kette und macht diesen Umstand belegbar. Mehr verspricht es nicht, und genau deshalb hält es, was es verspricht.

Für regulierte MSPs ist das der Unterschied zwischen einem Tool, das man im Pitch erklären und verteidigen muss, und einem, das den Pitch trägt. Der Standort deiner Monitoring-Daten ist keine technische Randnotiz. Er ist das Argument, das eine Ausschreibung entscheidet, an der andere schon in der Anlage zum Datenschutz scheitern.

Mach den Standort deiner Monitoring-Daten zum Argument, das gewinnt. Teste ein Monitoring, dessen Datenkette vollständig in der EU bleibt, transparent und prüfbar belegt.