Aiven ist die Plattform für verwaltete Datendienste der Aiven Oy (Aiven Ltd, Antinkatu 1, 00100 Helsinki; Y-Tunnus 2795743-5, eingetragen im November 2016), gegründet von Oskari Saarenmaa, der bis heute CEO ist; Mitgründer Heikki Nousiainen ist CISO. Aiven betreibt Open-Source-Engines als verwaltete Dienste: PostgreSQL, Apache Kafka, OpenSearch, ClickHouse, MySQL, Valkey, Grafana und weitere. Cloud und Region wählt der Kunde beim Anlegen eines Dienstes, zur Auswahl stehen AWS, Google Cloud, Microsoft Azure, DigitalOcean, UpCloud und OVHcloud (zusammen mehr als 100 Regionen); die Unterauftragsverarbeiter-Liste nennt zusätzlich Oracle und Exoscale als Infrastrukturanbieter, und mit Bring Your Own Cloud laufen die Dienste im eigenen AWS-, Google-Cloud-, Azure- oder OCI-Konto des Kunden. Abgerechnet wird stündlich. Für PostgreSQL, MySQL, OpenSearch, Kafka und Valkey gibt es einen zeitlich unbegrenzten Gratis-Tarif, der kostenpflichtige Developer-Tarif beginnt bei 5 $ pro Monat; in beiden wählt jedoch Aiven Cloud und Region, nicht der Kunde. Der günstigste PostgreSQL-Tarif mit freier Cloud-Wahl (Hobbyist) beginnt bei 12 USD pro Monat. Ein Terraform-Provider, eine CLI und eine öffentliche API decken die Plattform ab.
Nach Kontrollverhältnissen, nicht nach Finanzierungsschlagzeilen, ist Aiven in europäischem Besitz. Das Unternehmen hat rund 420 Millionen USD eingesammelt: eine Serie A unter Führung von Earlybird (DE), eine Serie B unter Führung des US-Investors IVP, eine Serie C über 100 Millionen USD unter Führung von Atomico (UK), eine Erweiterung über 60 Millionen USD, gemeinsam geführt von IVP und World Innovation Lab (USA und Japan), sowie eine Serie D über 210 Millionen USD unter Führung von Eurazeo (FR) mit BlackRock, Salesforce Ventures und den bisherigen Investoren. US-Investoren halten eine spürbare Minderheit, und ein IVP-Partner sitzt neben dem Earlybird-Mitgründer im Board, doch kein Investor kontrolliert das Unternehmen nach bekannter Lage, über der Aiven Oy steht keine Muttergesellschaft, und die Mitgründer führen es weiterhin. Die Aiven Inc. in Delaware ist eine Tochtergesellschaft, die Aiven als verbundenes Unternehmen führt, dessen Supportpersonal Service-Metadaten verarbeitet. Die Zertifikate wurden aus den veröffentlichten PDFs gelesen: ISO/IEC 27001:2022 (KPMG IT Certification, Zertifikat FI240523-151, erstmals ausgestellt im Mai 2018, gültig bis 23. Mai 2027) und ISO/IEC 27701:2019 (FI240523-152), beide auf die Aiven Oy ausgestellt. Die Sicherheitsseite von Aiven führt zusätzlich ISO/IEC 27017 und 27018 als Zertifikate, das verlinkte Zertifikat hält jedoch fest, dass diese beiden Normen nur als Quelle für Kontrollen und als nicht akkreditierte Standards dienen; sie werden hier deshalb nicht erfasst. Die SOC-2-ähnliche Prüfung ist ein ISAE-3000-Type-2-Bericht von KPMG.
Die CLOUD-Act-Bewertung lautet Erheblich und ergibt sich aus Aivens eigenen Dokumenten, nicht aus dem Investorenkreis. Vier der sechs frei wählbaren Clouds gehören US-Konzernen, im Regelfall liegen Kundendaten also bei einem US-Hyperscaler. Auch der feste Teil des Stacks läuft in US-Clouds: Die Management-Ebene (Konsole, API, Backup-Verwaltung, zentrale Systemdatenbank, zentrales Logging und Monitoring) läuft auf Google Cloud in Belgien, DNS, Disaster Recovery und die Langzeitspeicherung der Audit-Logs auf AWS in Schweden, und das Schlüsselverwaltungssystem, mit dem Aiven begründet, dass die Clouds keinen logischen Zugriff auf Kundendaten haben, läuft auf von Aiven kontrollierten VMs in Rechenzentren von Google Cloud. Konsole und API werden zudem über Cloudflare ausgeliefert, das in der Unterauftragsverarbeiter-Liste nicht auftaucht. Wer UpCloud (FI) oder OVHcloud (FR) wählt, hält die Datenbanken bei einem europäischen Anbieter, und der AVV sichert zu, personenbezogene Daten im EWR zu halten, wenn eine EWR-Region gewählt wird; für UpCloud vermerkt die Liste allerdings, dass Backups in der nächstgelegenen Region eines anderen Anbieters landen, den sie nicht nennt. Unterm Strich: ein europäischer Anbieter mit öffentlichem AVV und detaillierter Unterauftragsverarbeiter-Liste, aber ohne Konfiguration, in der die gesamte Kette ohne US-Infrastruktur auskommt.