Zum Inhalt springen
EU VETTED

Aiven

Aiven Oy (Aiven Ltd), Business ID 2795743-5, Antinkatu 1, 00100 Helsinki, Finland

Cloud & Hosting · Finnland
Gegründet 2016 · aiven.io

Finnische Plattform für verwaltete Open-Source-Datendienste (PostgreSQL, Kafka, OpenSearch, ClickHouse, Valkey) auf einer Cloud nach Wahl; in europäischem Besitz, doch die Management-Ebene läuft auf Google Cloud und die meisten Cloud-Optionen sind US-Hyperscaler.

Aiven bietet EU-Hosting in Belgien, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Cloud & Hosting.

Bewertungsnotizen

Aiven Oy (Helsinki; Business ID 2795743-5) runs managed open-source data services (PostgreSQL, Apache Kafka, OpenSearch, ClickHouse, MySQL, Valkey and others) on the cloud the customer picks. Ownership is recorded as EU-owned on control evidence: a Finnish company with no parent, run by its co-founder CEO, whose two largest rounds were led by European funds (Atomico, Eurazeo), although US investors (IVP, which holds a board seat, plus Salesforce Ventures, BlackRock and World Innovation Lab) hold a meaningful minority. The CLOUD Act rating is Erheblich on Aiven's own published sub-processor list: four of the six self-service clouds (AWS, Google Cloud, Azure, DigitalOcean) are US-owned and hold customer data at rest when chosen, the management plane (console, API, system-of-record database, central logging, monitoring) runs on Google Cloud in Belgium with DNS, disaster recovery and audit-log storage on AWS in Sweden, and the key management system runs on Aiven-controlled VMs in Google Cloud. Choosing UpCloud, OVHcloud or Exoscale keeps the databases on a European provider but not the management plane or the keys. DPA and sub-processor list are public and ISO/IEC 27001:2022 is verified from the certificate; with that many US-owned providers in the chain the score is 3/5.

Befund

CLOUD Act
Eigentümer
Unterauftragsverarbeiter
15 · 10 US

Geprüfte Signale

Jurisdiktion
  • EU-/Angemessenheits-Hosting: Ja
  • EU-/Angemessenheits-Betreiber: Ja
  • Keine US-CLOUD-Act-Exposition: Nein
Transparenz
  • Öffentlicher AVV: Ja
  • Unterauftragsverarbeiter offengelegt: Ja
  • Open-Source-Clients: Nein
  • Zertifizierung durch Dritte: Ja
Springen zu

Über Aiven

Aiven ist die Plattform für verwaltete Datendienste der Aiven Oy (Aiven Ltd, Antinkatu 1, 00100 Helsinki; Y-Tunnus 2795743-5, eingetragen im November 2016), gegründet von Oskari Saarenmaa, der bis heute CEO ist; Mitgründer Heikki Nousiainen ist CISO. Aiven betreibt Open-Source-Engines als verwaltete Dienste: PostgreSQL, Apache Kafka, OpenSearch, ClickHouse, MySQL, Valkey, Grafana und weitere. Cloud und Region wählt der Kunde beim Anlegen eines Dienstes, zur Auswahl stehen AWS, Google Cloud, Microsoft Azure, DigitalOcean, UpCloud und OVHcloud (zusammen mehr als 100 Regionen); die Unterauftragsverarbeiter-Liste nennt zusätzlich Oracle und Exoscale als Infrastrukturanbieter, und mit Bring Your Own Cloud laufen die Dienste im eigenen AWS-, Google-Cloud-, Azure- oder OCI-Konto des Kunden. Abgerechnet wird stündlich. Für PostgreSQL, MySQL, OpenSearch, Kafka und Valkey gibt es einen zeitlich unbegrenzten Gratis-Tarif, der kostenpflichtige Developer-Tarif beginnt bei 5 $ pro Monat; in beiden wählt jedoch Aiven Cloud und Region, nicht der Kunde. Der günstigste PostgreSQL-Tarif mit freier Cloud-Wahl (Hobbyist) beginnt bei 12 USD pro Monat. Ein Terraform-Provider, eine CLI und eine öffentliche API decken die Plattform ab.

Nach Kontrollverhältnissen, nicht nach Finanzierungsschlagzeilen, ist Aiven in europäischem Besitz. Das Unternehmen hat rund 420 Millionen USD eingesammelt: eine Serie A unter Führung von Earlybird (DE), eine Serie B unter Führung des US-Investors IVP, eine Serie C über 100 Millionen USD unter Führung von Atomico (UK), eine Erweiterung über 60 Millionen USD, gemeinsam geführt von IVP und World Innovation Lab (USA und Japan), sowie eine Serie D über 210 Millionen USD unter Führung von Eurazeo (FR) mit BlackRock, Salesforce Ventures und den bisherigen Investoren. US-Investoren halten eine spürbare Minderheit, und ein IVP-Partner sitzt neben dem Earlybird-Mitgründer im Board, doch kein Investor kontrolliert das Unternehmen nach bekannter Lage, über der Aiven Oy steht keine Muttergesellschaft, und die Mitgründer führen es weiterhin. Die Aiven Inc. in Delaware ist eine Tochtergesellschaft, die Aiven als verbundenes Unternehmen führt, dessen Supportpersonal Service-Metadaten verarbeitet. Die Zertifikate wurden aus den veröffentlichten PDFs gelesen: ISO/IEC 27001:2022 (KPMG IT Certification, Zertifikat FI240523-151, erstmals ausgestellt im Mai 2018, gültig bis 23. Mai 2027) und ISO/IEC 27701:2019 (FI240523-152), beide auf die Aiven Oy ausgestellt. Die Sicherheitsseite von Aiven führt zusätzlich ISO/IEC 27017 und 27018 als Zertifikate, das verlinkte Zertifikat hält jedoch fest, dass diese beiden Normen nur als Quelle für Kontrollen und als nicht akkreditierte Standards dienen; sie werden hier deshalb nicht erfasst. Die SOC-2-ähnliche Prüfung ist ein ISAE-3000-Type-2-Bericht von KPMG.

Die CLOUD-Act-Bewertung lautet Erheblich und ergibt sich aus Aivens eigenen Dokumenten, nicht aus dem Investorenkreis. Vier der sechs frei wählbaren Clouds gehören US-Konzernen, im Regelfall liegen Kundendaten also bei einem US-Hyperscaler. Auch der feste Teil des Stacks läuft in US-Clouds: Die Management-Ebene (Konsole, API, Backup-Verwaltung, zentrale Systemdatenbank, zentrales Logging und Monitoring) läuft auf Google Cloud in Belgien, DNS, Disaster Recovery und die Langzeitspeicherung der Audit-Logs auf AWS in Schweden, und das Schlüsselverwaltungssystem, mit dem Aiven begründet, dass die Clouds keinen logischen Zugriff auf Kundendaten haben, läuft auf von Aiven kontrollierten VMs in Rechenzentren von Google Cloud. Konsole und API werden zudem über Cloudflare ausgeliefert, das in der Unterauftragsverarbeiter-Liste nicht auftaucht. Wer UpCloud (FI) oder OVHcloud (FR) wählt, hält die Datenbanken bei einem europäischen Anbieter, und der AVV sichert zu, personenbezogene Daten im EWR zu halten, wenn eine EWR-Region gewählt wird; für UpCloud vermerkt die Liste allerdings, dass Backups in der nächstgelegenen Region eines anderen Anbieters landen, den sie nicht nennt. Unterm Strich: ein europäischer Anbieter mit öffentlichem AVV und detaillierter Unterauftragsverarbeiter-Liste, aber ohne Konfiguration, in der die gesamte Kette ohne US-Infrastruktur auskommt.

Unterauftragsverarbeiter-Karte · 15

Quelle
  • Amazon Web Services (back-end) US
    Schweden

    Back-end: DNS, disaster recovery, backup and long-term storage of audit logs in eu-north-1. Engaged for every customer.

  • Amazon Web Services EMEA SARL (infrastructure) US
    Luxemburg

    Customer-selected infrastructure: hosts the managed services and their backups in the region the customer chooses.

  • Cloudflare, Inc. US
    Vereinigte Staaten

    Observed, not on Aiven's list: reverse proxy and TLS termination in front of aiven.io, console.aiven.io and api.aiven.io. Source: DNS and HTTP headers, 2026-10-02.

  • DigitalOcean LLC US
    Vereinigte Staaten

    Customer-selected infrastructure for the managed services. No object storage, so backups go to the nearest region of another provider, which Aiven does not name.

  • Google Cloud EMEA Limited (AI features) US
    Belgien

    Service-specific: processes prompts, data and content for the PostgreSQL AI editor and Aiven Managed Agents, only when those features are used.

  • Google Cloud EMEA Limited (infrastructure) US
    Irland

    Customer-selected infrastructure: hosts the managed services and their backups in the region the customer chooses.

  • Google Cloud EMEA Limited (management plane) US
    Belgien

    Back-end: Aiven console, API, backup management, system-of-record database, central logging and monitoring in europe-west1, plus the VMs running Aiven's own key management system. Engaged for every customer.

  • Microsoft Ireland Operations Limited (Azure) US
    Irland

    Customer-selected infrastructure: hosts the managed services and their backups in the region the customer chooses.

  • Oracle Finland Oy US
    Finnland

    Customer-selected infrastructure (Oracle Cloud) for the managed services and their backups. Not on the public cloud list; BYOC on request.

  • Aiven EEA affiliates EU
    Finnland

    Affiliates in France, Germany, Ireland, Italy, Portugal, Sweden, the Netherlands and Spain: support staff process service metadata only.

  • Aiven Inc. US
    Vereinigte Staaten

    Affiliate (Delaware subsidiary of Aiven Oy): support staff process service metadata; customer data only if separately agreed with the customer.

  • Aiven UK, Canada, Australia and New Zealand affiliates non-US
    Vereinigtes Königreich

    Affiliates outside the EEA (Aiven UK Ltd, Aiven Canada Ltd, Aiven Australia Pty Ltd, Aiven New Zealand Ltd): support staff process service metadata only.

  • Akenes SA (Exoscale) EU
    Schweiz

    Infrastructure for the managed services and their backups; not on Aiven's public cloud list, used for the managed databases Exoscale sells.

  • OVH SAS EU
    Frankreich

    Customer-selected infrastructure for the managed services and their backups.

  • UpCloud Oy EU
    Finnland

    Customer-selected infrastructure for the managed services. No object storage used, so backups go to the nearest region of another provider, which Aiven does not name.

Quelle: veröffentlichte Unterauftragsverarbeiter-Liste des Anbieters, gelesen am 2 Okt 2026.

10 von 15 Unterauftragsverarbeitern sind in US-Eigentum oder haben ihren Sitz in den USA. CLOUD-Act-Risiko anwendbar.

Rahmenwerke & Zertifizierungen

ISO/IEC 27001
Aktiv
ISO/IEC 27701
Aktiv

Funktionsmatrix

Tabelle 2Funktionen von Aiven

Dedicated / Bare-Metal Nein
Object Storage (S3) Nein
Managed Kubernetes Nein
Managed Datenbanken Ja
GPU-Instanzen Nein
Stundenabrechnung Ja
API / Terraform Ja
Länder 100 Länder

Integration & Zugriff

REST API Ja
SSO (SAML / OIDC) Ja

Compliance & Governance

Audit log Ja
Self-host / on-prem option Nein

Preise & Tarife

ab 5 $/Monat
Freemium
Preisseite ansehen

Öffentliche Dokumente

  • Auftragsverarbeitungsvertrag (AVV)
    aiven.io/dpa…
    Öffnen
  • Liste der Unterauftragsverarbeiter
    aiven.io/subprocessors…
    Öffnen
  • Nutzungsbedingungen
    aiven.io/terms…
    Öffnen

Alternativen in dieser Kategorie

  • Aruba Cloud
    Italien · 1.99 €/Mt.
    EU-souverän
    Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Nein
  • Cleura
    Schweden
    EU-souverän
    Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein
  • Clever Cloud
    Frankreich · 4.80 €/Mt.
    EU-souverän
    Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein
Alle cloud & hosting-Alternativen ansehen

In diesen Übersichten gelistet