Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
OneAPM ist ein chinesischer Anbieter von Application Performance Monitoring (APM), der einen JavaScript-basierten Real User Monitoring (RUM)-Agenten anbietet. Eingebettet in eine Website erfasst er Seitenladezeiten, JavaScript-Fehler, Geräte- und Netzwerkdaten und kann persistente Kennungen setzen. Die Daten werden auf Servern in China verarbeitet, einem Land ohne EU-Angemessenheitsbeschluss, was diesen Dienst zu einem Hochrisiko-Dienst macht, der ausdrückliche Nutzereinwilligung und geeignete Übermittlungsgarantien erfordert.
OneAPM ist eine Application Performance Monitoring (APM)-Plattform, die von der chinesischen OneAPM Co., Ltd. entwickelt wurde. Das Produkt Browser Insight ist ein JavaScript-basierter Real User Monitoring (RUM)-Agent, der in Webseiten eingebettet wird. Nach dem Laden misst er die tatsächliche Nutzererfahrung: Seitenladezeiten, Ressourcen-Timings, JavaScript-Fehler und Netzwerkbedingungen. Das Unternehmen operiert auch unter der Marke Tingyun und erfasst Daten über die Domains oneapm.com und tingyun.com.
Der OneAPM RUM-JavaScript-Agent erfasst Performance-Metriken, Browser- und Geräteinformationen und kann Cookies sowie Local-Storage-Kennungen setzen oder lesen, um Sitzungen und Seitenaufrufe zu korrelieren. Zu den erfassten Daten gehören typischerweise Seitenladezeiten, Netzwerk-Timings, Browserversion, Betriebssystem und Viewport-Abmessungen. Da Kennungen zur Verfolgung einzelner Sitzungen verwendet werden, fällt die Verarbeitung in den Anwendungsbereich der ePrivacy-Richtlinie und erfordert eine informierte, vorherige Einwilligung der EU-Besucher.
Nach der DSGVO erfordert die Verarbeitung personenbezogener Daten von EU-Bürgern eine Rechtsgrundlage. Da OneAPM Kennungen auf den Endgeräten der Nutzer platziert und sie mit Verhaltensdaten verknüpft, ist die Einwilligung gemäß Art. 6(1)(a) DSGVO die geeignete Rechtsgrundlage. Art. 5(3) der ePrivacy-Richtlinie erfordert unabhängig davon eine Opt-in-Einwilligung vor jeder nicht-wesentlichen Speicherung oder Zugriff auf dem Endgerät eines Nutzers. Das berechtigte Interesse kann diese Anforderung für die Cookie-/Kennungs-Ebene nicht überwiegen. Ihre Datenschutzerklärung und Ihr Cookie-Banner müssen die Verarbeitung durch OneAPM einschließlich des China-Transfers korrekt beschreiben.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
China verfügt über keinen EU-Angemessenheitsbeschluss gemäß Art. 45 DSGVO. Jede Übermittlung personenbezogener EU-Daten nach China muss daher durch geeignete Garantien abgedeckt sein, in der Regel durch Standardvertragsklauseln (SCC) gemäß Art. 46(2)(c). Die EDSA-Empfehlungen 01/2020 verpflichten Organisationen, eine Transfer-Folgenabschätzung (TIA) durchzuführen, um zu beurteilen, ob chinesische Überwachungsgesetze (insbesondere das Nationale Geheimdienstgesetz und das Cybersicherheitsgesetz) die Wirksamkeit der SCC in der Praxis verhindern. Angesichts dieser Gesetze ist das Risiko, dass EU-Daten von chinesischen Behörden ohne EU-gleichwertige Schutzmaßnahmen abgerufen werden könnten, real und muss dokumentiert werden.
Eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO wird vor dem Einsatz von OneAPM auf einer EU-orientierten Website dringend empfohlen. Die Kombination aus systematischer Überwachung von Website-Besuchern, Verwendung von Kennungen und Übermittlung in ein Hochrisikodrittland (China) erfüllt mehrere Kriterien aus der EDSA-Liste der Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko darstellen. Die DSFA sollte die Notwendigkeit und Verhältnismäßigkeit der Überwachung, die Übermittlungsgarantien sowie ergänzende technische Maßnahmen wie Anonymisierung oder Proxying der Daten über einen EU-Intermediär bewerten.
Für einen konformen Einsatz von OneAPM auf einer EU-Website: den RUM-Script blockieren, bis der Nutzer über ein DSGVO-konformes Cookie-Banner ausdrücklich eingewilligt hat; SCC mit OneAPM abschließen, dokumentieren und eine TIA durchführen; die Datenschutzerklärung aktualisieren, um den China-Transfer und die damit verbundenen Risiken offenzulegen; prüfen, ob eine in Europa gehostete APM-Alternative dasselbe Ziel mit geringerem Risiko erreichen kann; und OneAPM im Verarbeitungsverzeichnis (Art. 30 DSGVO) als Auftragsverarbeiter oder eigenverantwortlichen Verantwortlichen erfassen.
Websites using OneAPM must obtain user consent under GDPR regulations.
DPIA considerations
Eine DSFA wird dringend empfohlen, da EU-Besucherdaten nach China übermittelt werden (kein Angemessenheitsbeschluss), Geräte-Fingerabdruckdaten erhoben werden und persistente Kennungen eingesetzt werden. Zu prüfen: Rechtsgrundlage der Übermittlung (SCC), Transfer-Folgenabschätzung (TIA) gemäß EDSA-Empfehlungen 01/2020, Datensparsamkeitsoptionen und ob chinesische Sicherheitsgesetze den Zugriff auf personenbezogene EU-Daten erzwingen könnten.
Sample consent text
Wir verwenden OneAPM zur Überwachung der Performance unserer Website und zur Echtzeiterkennung von Fehlern. Dieser Dienst setzt Kennungen und übermittelt technische Daten über Ihren Browser, Ihr Gerät und Ihre Verbindung an Server in China. Bitte stimmen Sie zu, um die Performance-Überwachung zu aktivieren.
Third-party domains contacted
oneapm.comtingyun.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| RUM Session Identifier | persistent | Session to 1 year (varies by configuration) | Identifies and correlates end-user browser sessions for real-user monitoring. Used by the OneAPM Browser Insight agent to attribute page performance metrics and JavaScript errors to individual sessions. Non-essential; requires prior consent from EU visitors. |
| RUM Visitor Identifier | persistent | Up to 1 year | Distinguishes returning visitors from new visitors to aggregate performance trends. Set by the OneAPM RUM JavaScript agent. Non-essential tracking identifier; requires prior consent from EU visitors. |
OneAPM erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Ja. Der OneAPM Browser Insight RUM-Agent ist darauf ausgelegt, Kennungen (Cookies und Local Storage) auf den Endgeräten der Nutzer zu setzen und auszulesen, um Seitenaufrufe und Sitzungen zu korrelieren. Diese Kennungen werden zu Tracking-Zwecken verwendet und sind daher nicht wesentlich, was bedeutet, dass vor ihrer Setzung eine informierte, vorherige Einwilligung der EU-Besucher erforderlich ist.
Ja, eine Einwilligung ist erforderlich. Da das OneAPM RUM-Script Kennungen auf den Nutzergeräten setzt und personenbezogene Daten (einschließlich Geräte- und Netzwerkinformationen) an Server in China sendet, fällt es sowohl unter Art. 5(3) der ePrivacy-Richtlinie als auch unter die DSGVO. Sie müssen das Laden des Scripts verhindern, bis der Nutzer über ein konformes Cookie-Banner aktiv eingewilligt hat.
Die anwendbare Rechtsgrundlage ist die Einwilligung gemäß Art. 6(1)(a) DSGVO. Da der RUM-Agent nicht wesentliche Kennungen auf den Endgeräten der Besucher platziert, kann das berechtigte Interesse nicht als alternative Grundlage für die Cookie-Ebene dienen. Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein, und die Nutzer müssen sie ebenso einfach widerrufen können, wie sie sie erteilt haben.
Ja. OneAPM ist ein chinesisches Unternehmen und verarbeitet Daten auf Infrastruktur in China. China hat keinen EU-Angemessenheitsbeschluss gemäß Art. 45 DSGVO. Jede Übermittlung erfordert daher geeignete Garantien: Standardvertragsklauseln (SCC) und eine Transfer-Folgenabschätzung (TIA), die bewertet, ob chinesische Überwachungsgesetze (einschließlich des Nationalen Geheimdienstgesetzes) die Wirksamkeit dieser SCC in der Praxis untergraben.
Eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO wird dringend empfohlen. Die Kombination aus systematischer Überwachung von Endnutzern, persistenten Kennungen und Übermittlung nach China erfüllt mehrere Kriterien der EDSA-Liste der Verarbeitungstypen mit hohem Risiko. Die DSFA muss Notwendigkeit, Verhältnismäßigkeit, Übermittlungsgarantien und ergänzende technische oder vertragliche Maßnahmen bewerten.
Blockieren Sie das OneAPM-Script über Ihren Tag-Manager oder Ihre CMP, bis eine gültige Einwilligung vorliegt. Schließen Sie SCC mit OneAPM ab und führen Sie eine Transfer-Folgenabschätzung durch. Aktualisieren Sie Ihre Datenschutzerklärung und Cookie-Hinweise, um den Dienst, seinen Zweck und den China-Transfer offenzulegen. Führen Sie ein Verarbeitungsverzeichnis gemäß Art. 30 DSGVO. Prüfen Sie, ob eine in Europa gehostete APM-Alternative Ihre Monitoring-Anforderungen mit geringerem regulatorischem Risiko erfüllen könnte.
Ja. Mehrere europäische APM- und RUM-Anbieter bieten vergleichbare Funktionen an, während sie die Daten innerhalb der EU halten: zum Beispiel Elastic APM (selbst gehostet oder EU-SaaS), Dynatrace, Datadog (EU-Region) oder Open-Source-Optionen wie Sentry (selbst gehostet). Diese Alternativen vermeiden das China-Übermittlungsrisiko und können Einwilligungs- und Compliance-Pflichten erheblich reduzieren.
Ihre Cookie-Richtlinie sollte OneAPM als Drittanbieter für Analyse und Monitoring aufführen, den Zweck angeben (Real-User-Performance-Monitoring und Fehlererkennung), darauf hinweisen, dass Daten unter Standardvertragsklauseln nach China übertragen werden, und auf die Datenschutzerklärung von OneAPM verlinken. Aktualisieren Sie Ihre Richtlinie bei jeder Änderung des Dienstes, seiner Cookies oder des Übertragungsmechanismus. Binden Sie OneAPM in Ihre Consent-Management-Plattform ein, damit Nutzer ein- oder abwählen können.