Supabase und DSGVO
Ist eine Supabase-Anwendung DSGVO-konform?
Die Frage lässt sich für ein Werkzeug nicht beantworten, sondern nur für Ihre Verarbeitung. Was sich beantworten lässt: Art. 32 Abs. 1 lit. b DSGVO verlangt Maßnahmen, die Vertraulichkeit und Integrität der Verarbeitungssysteme sicherstellen — und bei einer Supabase-Anwendung sind das vier sehr konkrete Dinge: Row Level Security auf jeder Tabelle mit Personenbezug, Server-Geheimnisse außerhalb des Codes, Zugriffskontrolle in den API-Routen und nicht-öffentliche Storage-Buckets. Wer diese vier nicht belegen kann, hat kein Compliance-Problem im Papier, sondern eines in der Datenbank.
Art. 32 in vier Punkten, ohne Umweg
Fehlende RLS ist fehlende Zugriffskontrolle auf Datenebene. Ein exponiertes Secret ist ein Bruch der Vertraulichkeit der Verarbeitungssysteme. Eine Route, die die Zeile herausgibt, deren ID man nennt, ohne zu prüfen wer fragt, gibt personenbezogene Daten eines Betroffenen an einen anderen. Ein öffentlicher Bucket ist ein Bruch der Vertraulichkeit gespeicherter Daten.
Das ist die vollständige Zuordnung, und sie steht ausführlich unter /dsgvo. Sie sagt, welche Maßnahme geprüft wurde. Sie sagt nichts über Konformität.
Auftragsverarbeitung und Datenresidenz
Supabase ist Ihr Auftragsverarbeiter und stellt einen AVV bereit; die Region wählen Sie beim Anlegen des Projekts und sie lässt sich nachträglich nicht einfach umstellen. Für eine EU-Verarbeitung heißt das: die Region jetzt prüfen, nicht in sechs Monaten.
Dieselbe Frage stellt sich für jedes weitere Werkzeug in der Kette. Unsere eigene Antwort darauf steht unter /subprocessors, mit Ort und Übermittlungsgrundlage pro Zeile — das ist die Seite, nach der eine Datenschutzbeauftragte zuerst fragt.
Was ein Scan-Ergebnis wert ist und was nicht
Ein datiertes Scan-Ergebnis mit Umfang, geprüften Punkten und ausdrücklich nicht geprüften Punkten ist ein Nachweis über durchgeführte technische Maßnahmen. Das lässt sich in ein Verzeichnis von Verarbeitungstätigkeiten legen und einer Datenschutzbeauftragten vorlegen.
Es ist kein Nachweis über DSGVO-Konformität. Den stellt niemand aus, der ein Werkzeug verkauft, und wer es doch tut, verkauft eine Zusicherung, die er nicht halten kann.
Sentris prüft diese vier Punkte automatisch
Ein Scan braucht keinen Account und kostet nichts — Sie sehen die Anzahl der Funde, bevor Sie irgendetwas bezahlen. Wie oft wir dabei danebenliegen, steht gemessen und mit Datum unter /precision; das veröffentlicht in diesem Markt sonst niemand. Gerichtsstand Schweiz, AVV und Unterauftragsverarbeiter sind öffentlich einsehbar.
App scannenSentris is evidence of technical measures taken. It is not evidence of GDPR compliance, and nobody selling a tool can issue that.