# Vercel und Supabase in der EU betreiben: eine Checkliste

Regionen, Verträge, Zugriffe und Nachweise: Was Unternehmen klären sollten, bevor sie Anwendungen auf Vercel und Supabase produktiv nehmen.

Vercel und Supabase lassen sich so betreiben, dass Daten in EU-Regionen verarbeitet werden. Entscheidend sind Regionswahl, Verträge, Zugriffsregeln und ein dokumentierter Betrieb. Diese Checkliste fasst zusammen, was wir in Projekten prüfen.

## Regionen

- Supabase-Projekt in einer EU-Region anlegen, etwa Frankfurt (eu-central-1). Eine nachträgliche Migration ist möglich, aber aufwendig.
- Serverfunktionen bei Vercel auf eine EU-Region festlegen, etwa Frankfurt (fra1).
- Prüfen, welche Zusatzdienste wie E-Mail, Monitoring oder KI-Modelle Daten außerhalb der EU verarbeiten.

## Verträge

- Auftragsverarbeitungsverträge der Anbieter abschließen und ablegen.
- Unterauftragsverarbeiter dokumentieren.
- Accounts auf das Unternehmen laufen lassen, nicht auf Dienstleister oder Einzelpersonen.

## Zugriffe

- Row Level Security in jeder Tabelle aktivieren und Rechte explizit vergeben.
- Service-Schlüssel nur serverseitig verwenden und regelmäßig rotieren.
- Single Sign-on und Mehrfaktor-Anmeldung für Administratoren.

## Nachweise

Backup- und Wiederherstellungstest, Sicherheitsprüfung vor dem Go-live und ein kurzes Betriebshandbuch. Damit lassen sich Fragen von Datenschutzbeauftragten und Kunden-Audits schnell beantworten.

> **Hinweis:** Diese Checkliste ist keine Rechtsberatung. Die Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten.