Firebase

Firebase Authentication erstellt einen ID-Token (1 Stunde) und einen langlebigen Refresh-Token. Firebase Installations vergibt eine persistente App-Instanz-ID, die von Analytics, Crashlytics und Cloud Messaging verwendet wird. Firebase Cloud Messaging speichert ein Geräte-Token. Firebase Analytics und Crashlytics schreiben zusätzlich Event-Payloads mit Geräte- und IP-Informationen, sofern aktiv.

Firebase Authentication und die zur Bereitstellung der gewünschten Funktion genutzten Datenbanken brauchen kein eigenes Cookie-Banner. Firebase Analytics, Crashlytics und Marketing-Kampagnen via Cloud Messaging erfordern eine freiwillige Einwilligung nach Art. 6(1)(a) DSGVO und Art. 5(3) ePrivacy. Nutzen Sie Firebase Consent Mode, um die Erfassung zu steuern.

Authentifizierung, Cloud Firestore und Realtime Database zur App-Bereitstellung stützen sich auf Vertragserfüllung (Art. 6(1)(b)). Firebase Analytics, Crashlytics und Marketing-Kampagnen via Cloud Messaging stützen sich auf Einwilligung (Art. 6(1)(a)). Steuer-Aufbewahrung kann auf rechtlicher Verpflichtung beruhen (Art. 6(1)(c)). Strikt notwendige Identifier stützen sich auf Art. 5(3) ePrivacy.

Ja für mehrere Firebase-Produkte. Cloud Firestore, Cloud Storage und Cloud Functions lassen sich auf EU-Regionen festlegen. Firebase Authentication, Firebase Analytics und Cloud Messaging verarbeiten Daten derzeit global mit US-Speicherung. Übermittlungen stützen sich auf die Google-Zertifizierung im Data Privacy Framework EU-US und auf Standardvertragsklauseln im Google-Cloud-DPA.

Eine DSFA wird empfohlen, wenn Firebase Authentication, Analytics und Crashlytics mit größeren Nutzerzahlen kombiniert werden, da global verarbeitet und persistente Kennungen genutzt werden. Für ein kleines Authentication- oder Hosting-Only-Projekt ist sie in der Regel nicht erforderlich.

Schließen Sie den Google-Cloud-DPA in der Firebase-Konsole ab. Setzen Sie Cloud Firestore und Cloud Storage auf EU-Regionen. Aktivieren Sie Firebase Consent Mode und schalten Sie Firebase Analytics und Crashlytics über Ihre CMP frei. Für mobile Apps fordern Sie iOS App Tracking Transparency vor Analytics-Aktivierung an. Dokumentieren Sie Firebase-Dienste, Regionen und die DPF-Grundlage in Ihrer Datenschutzerklärung.

EU-basierte Alternativen sind Supabase (verwaltet in EU-Regionen auf AWS), Appwrite (Open Source, selbst hostbar oder EU-Cloud), Hasura mit EU-Hosting und Nhost (EU-Hosting). Für reine Analyse sind Plausible, Matomo, Pirsch oder Posthog mit EU-Hosting vorzuziehen. Die Wahl hängt davon ab, ob ein vollständiges Backend oder nur einzelne Firebase-Produkte ersetzt werden sollen.

Listen Sie die genutzten Firebase-Dienste (Authentication, Cloud Firestore, Storage, Functions, Cloud Messaging, Analytics, Crashlytics) mit Zweck, konfigurierten Regionen und ausgegebenen persistenten Identifiern auf. Erläutern Sie, dass Daten auf Google-Infrastruktur außerhalb des EWR im Rahmen des Data Privacy Framework EU-US oder Standardvertragsklauseln übermittelt werden können, und verweisen Sie auf den Google-Cloud-DPA.