Status-Seite unter eigener Domain & DSGVO: was Agenturen beachten sollten

Eine Status-Seite unter der eigenen Domain ist eines der stärksten Vertrauenssignale, die eine Agentur setzen kann: status.deinkunde.com zeigt jederzeit, dass alles läuft, gebrandet, professionell, ohne fremdes Anbieter-Logo. Doch sobald diese Seite öffentlich unter deiner Domain erreichbar ist, wird sie datenschutzrechtlich zu einer Webseite wie jede andere. Der Custom-Domain-Betrieb und die DSGVO gehören deshalb zusammengedacht, die eine ohne die andere lässt eine Lücke, die spätestens der Datenschutzbeauftragte deines Kunden findet. Dieser Artikel erklärt faktisch, wie die eigene Domain per CNAME funktioniert, welche Daten wo liegen und was sich sauber kommunizieren lässt.

Die eigene Domain per CNAME: was technisch passiert

Der sichtbare Unterschied zwischen einer starken und einer schwachen Status-Seite ist die Adresse in der Browserzeile. Läuft die Seite unter einer generischen Anbieter-URL, wirkt sie ausgelagert; läuft sie unter status.deinkunde.com, ist sie Teil deiner, oder der Marke deines Kunden. Möglich macht das ein einziger DNS-Eintrag: der CNAME.

Ein CNAME (Canonical Name) ist ein DNS-Eintrag, der eine Subdomain auf eine andere Adresse verweist. Du legst im DNS deiner Domain fest, dass status.deinkunde.com auf das Ziel zeigt, das die Monitoring-Plattform dir vorgibt. Ab diesem Moment liefert die Plattform die Inhalte aus, aber der Besucher sieht ausschließlich deine Domain. Der Ablauf ist bewusst schlank: Subdomain wählen, CNAME anlegen, Propagation abwarten (in der Regel Minuten bis wenige Stunden), fertig.

Bei Uptimeify sind die Status-Seiten für genau diesen Betrieb ausgelegt, gebrandet, unter eigener Domain, wahlweise öffentlich oder passwortgeschützt. Der technische Teil ist damit trivial. Der Teil, der Aufmerksamkeit verdient, kommt danach: Sobald die Seite unter deiner Domain erreichbar ist, gelten für sie dieselben Datenschutzpflichten wie für jede andere Webseite, die du betreibst.

Welche Daten eine Status-Seite überhaupt verarbeitet

Um die DSGVO-Frage sauber zu beantworten, muss man zuerst trennen, welche Daten hier eigentlich im Spiel sind. Eine Status-Seite verarbeitet zwei grundverschiedene Arten, und nur eine davon ist der übliche Stolperstein.

Die Betriebsdaten sind das, was die Seite anzeigt: Verfügbarkeitszahlen, laufende und vergangene Vorfälle, geplante Wartungen. Das sind technische Statusinformationen über Dienste, keine personenbezogenen Daten der Endnutzer deines Kunden. Diese Daten sind datenschutzrechtlich meist unkritisch, weil sie niemanden identifizieren; sie beschreiben einen Server, keine Person.

Die Besucherdaten entstehen erst beim Aufruf der Seite. Wer die Status-Seite öffnet, hinterlässt, wie auf jeder Webseite, Spuren: eine IP-Adresse, Server-Logs, unter Umständen Cookies. Und hier liegt der eigentliche Hebel: Alles, was du zusätzlich einbindest, kommt oben drauf. Ein Analyse-Skript, eine eingebettete Schriftart von einem externen Server, ein Chat-Widget, jedes dieser Elemente kann eine eigene Datenverarbeitung auslösen, oft in ein Drittland. Der datenschutzrechtlich relevante Teil einer Status-Seite ist deshalb selten der Statusinhalt, sondern das, was beim Aufruf im Hintergrund passiert.

Wo die Daten liegen, und warum das die Argumentation verkürzt

Die zweite Frage nach „welche Daten" ist „wo". Und hier entscheidet die Wahl der Plattform darüber, ob deine Datenschutz-Erklärung ein kurzer oder ein langer Text wird. Zwei Orte zählen: wo die angezeigten Daten gespeichert werden und wo sie erhoben werden.

Bei Uptimeify liegen beide in der EU. Die Plattform ist EU-gehostet, sodass die Verfügbarkeits- und Vorfallsdaten, die die Status-Seite ausspielt, im europäischen Rechtsraum gespeichert sind. Und die Erhebung dieser Daten, die eigentlichen Checks, läuft ausschließlich über europäische Standorte: Nürnberg, Falkenstein, Frankfurt, Berlin, Logroño, Paris, Warschau, Mailand und Helsinki. Es gibt keinen Prüf-Node außerhalb Europas, über den die Statusdaten entstünden.

Für deine DSGVO-Argumentation bedeutet das eine spürbare Verkürzung. Der aufwendigste Teil jeder Datenschutz-Bewertung ist der Drittland-Transfer, die Verarbeitung außerhalb der EU. Wenn Speicherung und Erhebung der Statusdaten vollständig in der EU stattfinden, entsteht dieser Transfer für den Kern der Status-Seite gar nicht erst. Aus einem langen Konjunktiv über Standardvertragsklauseln und behördlichen Zugriff wird eine kurze, prüfbare Feststellung. Die einzige verbleibende Baustelle ist dann das, was du selbst zusätzlich einbindest, und die hast du in der Hand.

Was du sauber kommunizieren solltest

Rechtssicherheit entsteht nicht aus einem Tool, sondern aus klarer Kommunikation. Sobald deine Status-Seite öffentlich unter deiner Domain läuft, gehören dieselben Pflichtangaben dazu wie auf jeder erreichbaren Webseite, und drei Punkte lohnen besondere Aufmerksamkeit.

Wer ist Verantwortlicher? Läuft die Seite unter status.deinkunde.com, sollte für den Besucher erkennbar sein, wer die Seite betreibt und für die Datenverarbeitung verantwortlich ist, die Agentur, der Kunde, oder in welcher Rolle jeweils. Das klärst du intern im Auftragsverarbeitungsverhältnis und machst es nach außen über Impressum und Datenschutzerklärung transparent.

Eine eigene Datenschutzerklärung. Eine öffentlich erreichbare Status-Seite verarbeitet spätestens durch Server-Logs Besucherdaten und braucht deshalb eine Datenschutzerklärung, erreichbar von der Status-Seite aus. Wenn du nur Betriebsdaten anzeigst und keine externen Skripte einbindest, ist dieser Text kurz. Genau deshalb lohnt es sich, die Seite schlank zu halten.

Faktisch bleiben, nicht garantieren. Kommuniziere, wo die Daten verarbeitet werden, „EU-gehostet, Erhebung ausschließlich über europäische Standorte", als das, was es ist: eine überprüfbare Tatsache. Verzichte auf Siegel-Formulierungen wie „100 % DSGVO-konform" oder „rechtssicher". Solche Claims altern schlecht und sind nicht haltbar; die nüchterne, faktische Aussage ist glaubwürdiger und trägt länger.

Öffentlich oder passwortgeschützt: eine bewusste Entscheidung

Ein letzter Punkt, der sowohl Vertrauen als auch Datenschutz berührt, ist die Sichtbarkeit der Seite. Uptimeify erlaubt beide Modi, öffentlich oder passwortgeschützt, und die Wahl sollte bewusst je Kunde fallen.

Eine öffentliche Status-Seite ist ein Transparenzsignal. Jeder kann den Betriebsstatus einsehen, was besonders bei Diensten mit vielen Endnutzern Souveränität ausstrahlt: Wer im Störungsfall proaktiv einen öffentlichen Status zeigt, wirkt souveräner als der, der Anfragen einzeln beantwortet. Der Preis ist, dass Betriebsinformationen für alle sichtbar sind.

Eine passwortgeschützte Seite ist die richtige Wahl, wenn die Statusinformationen nur den Kunden und dessen Team etwas angehen, oder wenn sie Rückschlüsse auf interne Infrastruktur zulassen, die nicht öffentlich sein sollte. Datenschutzrechtlich reduziert der Zugriffsschutz zudem den Besucherkreis auf autorisierte Personen. Welcher Modus passt, ist eine Abwägung zwischen Transparenz und Vertraulichkeit, und die triffst du am besten pro Kunde, nicht pauschal.

Am Ende ist die Status-Seite unter eigener Domain kein reines Design-Thema. Sie ist ein Vertrauensinstrument, das nur dann voll trägt, wenn die Datenschutz-Frage nicht offenbleibt. Wer die eigene Domain, den Verarbeitungsort und die Kommunikation zusammen denkt, bekommt beides: das starke Markensignal und die ruhige, faktische Antwort auf die Frage, die früher oder später kommt.