Supabase

Wenn die Anwendung Supabase Auth im Browser nutzt, setzt Supabase unbedingt erforderliche Cookies: sb-access-token (JWT Access Token), sb-refresh-token (Refresh Token) und ein sb- Hilfscookie für SSR. Die Cookies werden auf der Domain der Anwendung gesetzt (First Party). Supabase Auth speichert die Sitzung außerdem im localStorage, sofern das JavaScript SDK entsprechend konfiguriert ist.

Die von Supabase Auth gesetzten Cookies sind zur Aufrechterhaltung einer authentifizierten Sitzung unbedingt erforderlich und fallen unter die ePrivacy Ausnahme; eine Einwilligung ist nicht erforderlich. Eine Einwilligung wird nötig, wenn die Anwendung über Supabase Marketing oder Analyse Daten speichert, die über das Nutzerkonto hinausgehen, oder wenn das Frontend zusätzlich nicht notwendige Tracker neben Supabase einbindet.

Kontoanlage, Login und die SaaS selbst stützen sich auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Sicherheitslogs und Rate Limiting stützen sich auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Marketing Daten, Newsletter Opt ins und in Supabase gespeicherte Analytics stützen sich auf Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Supabase schließt über sein Auftragsverarbeitungs Addendum die EU Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO ab und bestätigt die Teilnahme am EU US Data Privacy Framework. Produktionsdaten liegen in der vom Kunden gewählten AWS Region (eu-central-1, eu-west-1, eu-west-2, eu-west-3). Ergänzende Maßnahmen umfassen TLS 1.3, Verschlüsselung im Ruhezustand, SOC 2 Typ II, HIPAA für Enterprise Kunden und streng kontrollierten Support Zugriff.

Eine DSFA wird empfohlen, wenn Supabase relevante Mengen personenbezogener Daten speichert (Nutzerkonten, Profile, Gesundheits oder Finanzdaten, Standortdaten), wenn die Anwendung EU Nutzer systematisch profiliert oder wenn Realtime personenbezogene Daten live verteilt. Für eine kleine Warteliste, ein Kontaktformular oder ein internes Tool ist eine DSFA in der Regel nicht erforderlich.

Schließen Sie das Supabase Auftragsverarbeitungs Addendum ab, wählen Sie eine EU Region für die Produktion, aktivieren Sie strenge Row Level Security Richtlinien, nutzen Sie Service Role Keys nur in sicheren Serverumgebungen, aktivieren Sie Audit Logs, definieren Sie Aufbewahrungsregeln für Nutzer und Storage und führen Sie Supabase als Auftragsverarbeiter im Verzeichnis von Verarbeitungstätigkeiten. Nennen Sie die Supabase Inc., die EU Region und die SCC und DPF Schutzmechanismen in der Datenschutzerklärung.

Europäische oder selbst gehostete Alternativen sind Supabase Self Hosted (das Projekt ist Open Source unter Apache 2.0), Nhost (Deutschland), Hasura (US und EU), Appwrite (Niederlande, self hosted oder Cloud), Pocketbase (Open Source, self hosted), Directus (Open Source, self hosted) und OVHcloud Managed Postgres in Kombination mit eigener Authentifizierung.

Führen Sie die Supabase Inc. als Auftragsverarbeiter des Backends auf, nennen Sie die unbedingt erforderlichen Supabase Auth Cookies (sb-access-token, sb-refresh-token) und erläutern Sie, dass sie die Nutzersitzung aufrechterhalten, weisen Sie darauf hin, dass die Daten in einer vom Herausgeber gewählten AWS EU Region gespeichert werden, und verlinken Sie die Supabase Datenschutzerklärung. Für diese Cookies ist kein Einwilligungseintrag nötig, da sie unter die Ausnahme der unbedingten Erforderlichkeit fallen.