# Metabase

> Metabase verbindet sich mit den vorhandenen Datenbanken, lässt Fragen per Klick, in SQL oder in natürlicher Sprache stellen und fasst die Antworten zu Dashboards und geplanten Berichten zusammen. Dieselben Auswertungen lassen sich mit Zeilen- und Spaltenrechten in das eigene Produkt einbetten, sodass Kunden ihre Zahlen dort sehen.

- Anbieter: Metabase, Inc., Spring Valley, Kalifornien
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/metabase
- Sprachfassung: https://www.convios.com/en/toolbox/metabase
- Bereich: Betrieb & Finanzen · Cluster: Auswertung und Berichte
- Rolle: Fertigprodukt · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-09-28 · Geprüft: 2026-09-28 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Zahlen, die im ganzen Haus gleich gelesen werden, gehören zur Grundausstattung eines wachsenden Softwarehauses. Power BI, Looker und Hex beantworten dieselbe Frage, und jeder Wettbewerber kann Metabase am selben Tag installieren. Der Aufwand liegt in der Vorarbeit: saubere Tabellen, abgestimmte Kennzahlen, ein Rechtemodell, das zur Organisation passt. Wer Auswertungen in das eigene Produkt einbettet, rückt das Werkzeug näher an das Kernprodukt, weil Kunden dann auf die Diagramme schauen. Das trägt erst ab dem Paket Pro und ändert an der Einordnung für die interne Nutzung nichts.

## Eignung nach Unternehmensgröße

- Solopreneur: bedingt geeignet — Die quelloffene Ausgabe kostet nichts und hat keine Nutzergrenze. Sie braucht einen eigenen Server, eine Postgres-Datenbank für die Anwendung und die Bereitschaft, Sicherheitsaktualisierungen binnen Tagen einzuspielen. Im Jahr 2026 hat der Anbieter bis zum 25. September achtzehn Sicherheitsmeldungen veröffentlicht, sieben davon kritisch. Die gehostete Fassung Starter beginnt bei 100 US-Dollar im Monat (Stand 25.09.2026) für bis zu fünf Personen, also 1.200 US-Dollar im Jahr.
- KMU: geeignet — Hier sitzt der Anwendungsfall. Starter kostet 100 US-Dollar im Monat mit fünf Personen und 6 US-Dollar für jede weitere, dreißig Köpfe kommen so auf 250 US-Dollar im Monat. Die Rechnung kippt an einer Stelle: Anmeldung über SAML, Nutzerabgleich über SCIM, Zeilen- und Spaltenrechte und das Nutzungsprotokoll gibt es erst ab Pro. Dort kosten dieselben dreißig Köpfe 815 US-Dollar im Monat. Wer mit Starter anfängt und später einen Sicherheitsfragebogen beantworten muss, zahlt ab diesem Tag gut das Dreifache.
- Konzern: bedingt geeignet — Die Beschaffung prüft drei Punkte. Die Unterstützung läuft werktags von 8 bis 17 Uhr pazifischer Zeit, also ab dem späten Nachmittag deutscher Zeit, und eine Antwort binnen eines Werktags für jeden Schweregrad sagt der Tarifvergleich allein Enterprise zu, das bei 20.000 US-Dollar im Jahr beginnt; Starter und Pro nennen dort drei Werktage. Der Vertrag für die Cloud unterliegt kalifornischem Recht und begrenzt die Haftung auf die Zahlungen der letzten zwölf Monate. Der Vorfall vom August 2026 gehört in jede Risikoprüfung. Nach Angabe des Anbieters wurden weniger als drei Prozent der Cloud-Kunden kompromittiert. Wer das Werkzeug im eigenen Rechenzentrum betreibt, hält Ort und Protokolle selbst in der Hand und trägt dafür das Einspielen jeder Aktualisierung.

## Tragfähigkeit des Anbieters

Etabliert: Elf Jahre am Markt: Das öffentliche Code-Verzeichnis besteht seit Februar 2015, die erste Fassung erschien im Dezember 2015. Die letzte öffentlich gemeldete Finanzierung ist eine Serie B über 30 Mio. US-Dollar vom 19. August 2021. Die Entwicklung läuft sichtbar weiter, mit einer Fassung vom 16. September 2026 und einer Vorabfassung vom 24. September 2026. Die Verträge für Cloud und Selbstbetrieb stammen aus dem Herbst 2025, die Datenschutzerklärung für die Cloud trägt den 1. Juni 2020. Aus 2026 stammen der ausgenutzte Zero-Day vom August und der Anstieg der Sicherheitsmeldungen von drei im Jahr 2025 auf achtzehn bis zum 25. September 2026. Die Angaben zur Zahl der Nutzer stammen vom Unternehmen selbst.

- Rechtsperson und Sitz: Metabase, Inc., 9740 Campo Rd. Suite 1029, Spring Valley, CA 91977, Vereinigte Staaten; eine Gesellschaft im deutschsprachigen Raum nennen die Rechtstexte nicht (Quelle: https://www.metabase.com/hosting/privacy_policy, Stand 2026-09-25)
- Zeit am Markt: Öffentliches Code-Verzeichnis seit dem 2. Februar 2015, am 25. September 2026 mit 49.411 Sternen; Quelltext unter AGPL, der Teil für die bezahlten Funktionen unter der kommerziellen Lizenz des Anbieters (Quelle: https://github.com/metabase/metabase, Stand 2026-09-25)
- Letzte gemeldete Eigenkapitalrunde: 30 Mio. US-Dollar Serie B, geführt von Insight Partners, mit Expa und NEA, gemeldet am 19. August 2021, eingeworbenes Kapital insgesamt 42,5 Mio. US-Dollar; die Zahl von über 30.000 nutzenden Organisationen ist eine Angabe des Unternehmens (Quelle: https://www.prnewswire.com/news-releases/metabase-raises-30m-in-series-b-financing-to-expand-worldwide-access-to-its-best-in-class-open-source-business-intelligence-platform-301358789.html, Stand 2021-08-19)
- Laufende Entwicklung: Fassung v0.63.18 vom 16. September 2026, Vorabfassung v0.64.0-beta vom 24. September 2026 (Quelle: https://github.com/metabase/metabase/releases, Stand 2026-09-25)
- Dokumentierter Vorfall und Umgang damit: Am 3. August 2026 meldete ein Cloud-Kunde einen außerhalb der Arbeitszeit angelegten API-Schlüssel. Ursache war eine Einschleusung von SQL über den Endpunkt zum Zurücksetzen des Passworts ohne Anmeldung, eingeführt mit einem Umbau vom 11. November 2025, betroffen alle Fassungen ab 0.58 (CVE-2026-72898). Nach Angabe des Anbieters wurden weniger als drei Prozent der Cloud-Kunden kompromittiert, dazu einige quelloffene und selbst betriebene Installationen mit öffentlich erreichbarem Zugang. Korrigierte Fassungen erschienen am 6. August 2026, ein Nachbericht am 27. August 2026; eine externe Forensik wurde eingeschaltet. (Quelle: https://www.metabase.com/blog/vulnerability-what-happened, Stand 2026-08-27)
- Zahl der Sicherheitsmeldungen: Achtzehn veröffentlichte Sicherheitsmeldungen vom 1. Januar bis 25. September 2026, davon sieben kritisch; im gesamten Jahr 2025 waren es drei (Quelle: https://github.com/metabase/metabase/security/advisories, Stand 2026-09-25)

## Ausstiegskosten

Mittel: Die Daten selbst bleiben beim Kunden, weil Metabase in den angebundenen Datenbanken abfragt und Ergebnisse ohne eingeschalteten Zwischenspeicher nicht vorhält. Das erleichtert den Wechsel. Zwischen Cloud und Selbstbetrieb zieht die gesamte Anwendungsdatenbank mit, der Schnappschuss kommt auf Anfrage vom Anbieter. Fragen, Dashboards, Modelle und Kennzahlen lassen sich ab Pro als YAML ausleiten. Was nach dem Export fehlt, ist der Weg in ein anderes Werkzeug: Fragen aus dem Klick-Baukasten liegen in der hauseigenen Abfragesprache vor und müssen in Power BI oder Looker neu gebaut werden, und wer Auswertungen über das Entwicklerpaket in das eigene Produkt eingebettet hat, tauscht Programmcode an jeder Einbettungsstelle.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | öffentlich und mit der Anmeldung Vertragsbestandteil, erfasst aber nur einen Teil der Daten — Der Auftragsverarbeitungsvertrag steht als Anlage B in den Nutzungsbedingungen für die Cloud vom 17. September 2025, ohne Anmeldung lesbar und in jedem Tarif mit dem Abschluss vereinbart. Die Einschränkung steht in der Begriffsbestimmung. Erfasst sind personenbezogene Daten in den Kundendatenbanken, die Metabase abfragt, und die Eingaben an den KI-Assistenten. Nicht erfasst sind die Anwendungsdaten, zu denen der Vertrag ausdrücklich die Zugangsdaten der Nutzer und die gestellten Abfragen zählt, und die Metadaten über die Datenbestände. Über diese Daten spricht die Datenschutzerklärung für die Cloud, in der Metabase als eigener Verantwortlicher auftritt. Wer Abfragen mit Namen oder E-Mail-Adressen im Filter stellt, bewegt sich damit außerhalb des Auftragsverarbeitungsvertrags. Im Selbstbetrieb entfällt der Vertrag nach Angabe des Anbieters, weil er dort keinen Zugriff auf Daten hat. | teilweise belegt | 2025-09-17 |
| Speicherort | EU in Frankfurt in jedem Cloud-Tarif wählbar, KI-Dienst und Zusatzspeicher mit US-Verarbeitern — Der Tarifvergleich führt die Wahl des Kontinents für Starter, Pro und Enterprise ohne Aufpreis, und die Region lässt sich im Kundenkonto selbst wechseln, mit meist unter dreißig Minuten Ausfall. Welche Region bei der Anmeldung voreingestellt ist, sagt keine Seite. Die Unterlagen widersprechen sich bei der Zahl der Regionen: Die Anleitung zum Wechsel nennt zwei, Oregon und Frankfurt, die Liste der freizuschaltenden Adressen nennt fünf, und die Sicherheitsseite spricht von vier Kontinenten. Frankfurt steht in allen dreien. Zwei Bausteine laufen unabhängig von der gewählten Region bei Verarbeitern, deren Standort die Unterauftragnehmer-Liste mit den Vereinigten Staaten angibt: der KI-Dienst des Anbieters über Anthropic und OpenAI und der Zusatzspeicher für hochgeladene Tabellen über ClickHouse. Den KI-Dienst umgeht, wer einen eigenen Schlüssel bei einem Modellanbieter hinterlegt. Im Selbstbetrieb bestimmt der Betreiber den Ort vollständig. | teilweise belegt | 2026-09-25 |
| Subunternehmer | zwei öffentliche Listen, die sich widersprechen — Auf die Liste auf der Website verweist der Auftragsverarbeitungsvertrag. Sie nennt dreißig Empfänger mit Zweck und Land, jeden einzelnen mit Sitz in den Vereinigten Staaten, auch Amazon Web Services, obwohl die Cloud in Frankfurt betrieben werden kann. Sie mischt die Verarbeiter des Produkts mit denen von Website, Vertrieb und Marketing, etwa HotJar, VWO, Apollo.io und Mailchimp, ohne sie zu trennen. Das Vertrauensportal des Anbieters führt eine zweite Liste. Sie nennt zusätzlich Klenty, das auf der Website fehlt, und gibt für HotJar den Standort EU an. Amazon Web Services und Anthropic stehen nicht darin. Neue Unterauftragnehmer werden nach Ziffer 2.4 durch Aktualisierung der Website angekündigt, ein Einwand ist binnen zehn Tagen möglich und führt zu einer Klärung in gutem Glauben, ein Kündigungsrecht nennt der Vertrag dafür nicht. | teilweise belegt | 2026-09-28 |
| Drittlandübermittlung | Standardvertragsklauseln Modul 2 und 3 im Vertrag, ohne Zuordnung der Weitergaben — Ziffer 5 des Auftragsverarbeitungsvertrags erlaubt Übermittlungen aus dem Europäischen Wirtschaftsraum, der Schweiz und dem Vereinigten Königreich in die Vereinigten Staaten und bezieht die Standardvertragsklauseln von 2021 ein, Modul 2 für Kunden als Verantwortliche und Modul 3 für Kunden als Auftragsverarbeiter, mit irischem Recht für Übermittlungen aus dem Wirtschaftsraum. Die Unterschrift unter den Hauptvertrag gilt als Unterschrift unter die Klauseln. Ziffer 2.2 erlaubt den Unterauftragnehmern ihrerseits, weitere Dienstleister einzusetzen. Auf welcher Grundlage die rund dreißig US-Empfänger aus der Liste arbeiten, ordnen die Unterlagen nicht zu, und den EU-US-Datenschutzrahmen nennt keines der Dokumente. Die Datenschutzerklärung für die eigene Verantwortlichkeit hält lediglich fest, dass Daten überall auf der Welt verarbeitet werden können. | teilweise belegt | 2025-09-17 |
| Training mit Kundendaten | Cloud-Vertrag räumt eine Lizenz an Abfragen und Metadaten für die Produktentwicklung ein; ein Widerspruchsweg steht nicht im Vertrag — Für die Cloud schreibt die Sicherheitsseite, man wolle die Daten nicht sehen und halte ohne eingeschalteten Zwischenspeicher keine Abfrageergebnisse vor. Sie ergänzt, dass Verarbeiter die Nutzung von Kundendaten allein zur Leistungserbringung bestätigen müssen. Der Cloud-Vertrag räumt Metabase in Ziffer 6.2 eine Lizenz ein, die Anwendungsdaten samt der gestellten Abfragen und die Metadaten für Entwicklung und Verbesserung der eigenen Produkte zu verwenden. Die Inhalte der Kundendatenbanken sind davon ausgenommen. Einen Widerspruchsweg nennt der Vertrag nicht. Die Dokumentation zum KI-Assistenten ergänzt, dass Metabase einen Teil der Metadaten zur Verbesserung der KI-Anbindung sammelt und bei Bewertungen einer Antwort den Gesprächsverlauf erhalten kann, der sensible Daten enthalten kann. Für die Modellanbieter begrenzt Anlage D die Weitergabe auf den Betrieb des Dienstes, ein ausdrücklicher Ausschluss des Trainings steht dort nicht. Die Lizenz für den Selbstbetrieb vom 3. November 2025 kennt keine solche Klausel: Dort gehören Daten und Auswertungen allein dem Kunden, und der KI-Assistent läuft über den eigenen Schlüssel des Kunden. | teilweise belegt | 2026-09-28 |
| Aufbewahrung und Löschung | dreißig Tage zum Herunterladen, danach Löschung, Sicherungskopien nach unbeziffertem Plan — Nach Vertragsende dürfen die Nutzer nach Ziffer 5.5 dreißig Tage lang ihre Daten herunterladen. Ziffer 7 des Auftragsverarbeitungsvertrags sagt die Löschung aller personenbezogenen Kundendaten mit Vertragsende zu und nimmt Sicherungs- und Archivkopien aus, die nach einem eigenen Aufbewahrungsplan gelöscht werden. Dieser Plan ist nicht veröffentlicht. Für hochgeladene Tabellen im Zusatzspeicher erlaubt Anlage C eine Aufbewahrung von bis zu 180 Tagen nach Vertragsende. Die Eingaben an den KI-Assistenten und seine Antworten sind von der Frist zum Herunterladen ausdrücklich ausgenommen. Die Sicherheitsseite ergänzt, Daten einer Instanz würden nach einer Zeit der Inaktivität automatisch entfernt, ohne diese Zeit zu nennen. | teilweise belegt | 2025-09-17 |
| Zertifikate | SOC 2 Typ 2 und SOC 1 Typ 2, Berichte über das Vertrauensportal — Die Sicherheitsseite nennt einen Bericht nach SOC 2 Typ 2 ohne Abweichungen, ausgestellt von der Prüfgesellschaft Sensiba LLP, und einen Bericht nach SOC 1 Typ 2 zur Kontrolle der Finanzberichterstattung. Das Vertrauensportal führt am 25. September 2026 beide Berichte, zusätzlich einen Bericht nach SOC 2 Typ 1, Überbrückungsschreiben für 2025 bis 2026, eine Versicherungsbestätigung, einen Bericht über eine Eindringprüfung aus 2026 und mehrere Richtlinien. Prüfzeitraum und Geltungsbereich stehen auf keiner öffentlichen Seite, die Berichte selbst liegen im Portal. ISO 27001 und ISO/IEC 42001 nennt der Anbieter nicht. Der Tarifvergleich ordnet SOC 2 allen Cloud-Tarifen zu, für den Selbstbetrieb gilt der Nachweis naturgemäß nicht. | teilweise belegt | 2026-09-28 |
| EU-KI-Verordnung, Artikel 50 | keine Aussage zur Verordnung, obwohl der KI-Assistent auch gegenüber Endkunden auftreten kann — Der KI-Assistent Metabot beantwortet Fragen in natürlicher Sprache, schreibt SQL und deutet Diagramme, und ab Pro lässt er sich in das eigene Produkt einbetten, sodass Kunden des Betreibers mit ihm sprechen. Weder die Verträge noch die Dokumentation zur KI äußern sich am 25. September 2026 zur KI-Verordnung (EU) 2024/1689 oder zu den Transparenzpflichten nach Artikel 50 der Verordnung. Die Kennzeichnung kann der Betreiber selbst setzen: Ab Pro lassen sich Name und Symbol des Assistenten ändern und eigene Systemanweisungen hinterlegen. Auf welcher Seite die Kennzeichnungspflicht liegt, hängt von der Rolle des Betreibers ab. Wer den Assistenten eingebettet an Kunden ausliefert, sollte die Kennzeichnung vor dem ersten Kundengespräch prüfen. | teilweise belegt | 2026-09-28 |
| Protokollierung | Nutzungsprotokoll ab Pro, 720 Tage voreingestellt — Erfasst werden Aufrufe von Dashboards und Fragen, ausgeführte Abfragen, Downloads, geänderte Einstellungen und Einladungen, jeweils mit Person und Zeitpunkt. Dazu kommt ab Pro eine eigene Auswertung der Gespräche mit dem KI-Assistenten, Zugriffe über die MCP-Schnittstelle erscheinen dort ausdrücklich nicht. Das Protokoll gibt es allein in Pro und Enterprise, in der quelloffenen Ausgabe und in Starter werden Aufrufe und Aktivitäten gar nicht erfasst und nach einem Wechsel erst ab dem Tag des Wechsels. Die Vorhaltung beträgt 720 Tage und lässt sich über eine Umgebungsvariable ändern. Ausgeleitet wird über die normalen Wege des Werkzeugs, also Export einzelner Auswertungen oder im Selbstbetrieb direkt aus der Anwendungsdatenbank. Eine laufende Ausleitung an ein Sicherheitsauswertungssystem beschreibt der Anbieter nicht. | teilweise belegt | 2026-09-25 |

## Kosten

- Einstieg: Die quelloffene Ausgabe kostet nichts und hat keine Nutzergrenze, der Betrieb liegt dann beim Kunden; der Anbieter schätzt eine vergleichbare Umgebung mit Servern, Lastverteilung, verwalteter Datenbank und Mailserver auf mindestens 112 bis 132 US-Dollar im Monat. In der Cloud beginnt Starter bei 100 US-Dollar im Monat mit fünf Personen und 6 US-Dollar für jede weitere, Pro bei 575 US-Dollar im Monat mit zehn Personen und 12 US-Dollar für jede weitere. Jährliche Zahlung spart zehn Prozent. Stand 25. September 2026. (Stand 2026-09-25)
- Teuer wird es: Der Sprung von Starter auf Pro. Anmeldung über SAML, Nutzerabgleich über SCIM, Zeilen- und Spaltenrechte, das Nutzungsprotokoll und die Einbettung ohne Anbieterlogo liegen sämtlich in Pro, und bei dreißig Personen wächst die Rechnung damit von 250 auf 815 US-Dollar im Monat. Die zweite Stelle ist die Antwortzeit: Einen Werktag für jeden Schweregrad nennt der Tarifvergleich erst in Enterprise ab 20.000 US-Dollar im Jahr. Dazu kommen Verbrauchsposten, die erst im Betrieb sichtbar werden: 3,75 US-Dollar je Million Token für den KI-Dienst des Anbieters nach einer freien Million, ein bis zwei Cent je Lauf für Datenumformungen nach 1.000 freien Läufen und Zusatzspeicher ab 2 US-Dollar je Million Zeilen. Den KI-Posten vermeidet, wer einen eigenen Schlüssel hinterlegt.

## Drei Wege im Vergleich

### Power BI, der Anbieter im Microsoft-Vertrag

Power BI, Tableau und Looker beantworten dieselbe Frage. Besteht bereits ein Rahmenvertrag mit Microsoft, Salesforce oder Google, lassen sich Anmeldung, Rechte und Protokolle am vorhandenen Verzeichnisdienst führen, und der Einkauf muss keinen neuen Lieferanten prüfen. Dazu kommt ein Vertragsargument: Bei einem Vorfall hat der Kunde einen Vertragspartner mit eigener Rechtsabteilung und Niederlassung in Europa. Ohne einen solchen Vertrag entfällt dieser Vorteil, und für ein Softwarehaus mit Postgres zählt dann vor allem, welches Werkzeug die vorhandenen Tabellen mit dem geringsten Aufwand erschließt.

### Hex, das Notizbuch mit eingebautem Analysten

Hex verbindet SQL, Python und einen KI-Agenten in einem gemeinsamen Notizbuch und richtet sich an Menschen, die Daten auswerten. Die Preise zählen am 25. September 2026 je bearbeitender Person: 36 US-Dollar im Monat für Professional, 75 US-Dollar für Team, eine kostenlose Stufe mit Probezugang zum Agenten. Wer nur liest, kostet dort weniger als bei Metabase, wo jede angemeldete Person zählt. Bei Hex gibt es eine EU-Umgebung erst ab Team und nur per Vertrag, die Anmeldung über den eigenen Verzeichnisdienst erst in Enterprise; einen Selbstbetrieb gibt es nicht. Metabase selbst bietet den KI-Assistenten inzwischen in jedem Tarif an, auch in der quelloffenen Ausgabe mit eigenem Schlüssel.

### Dashboards auf Supabase, gebaut mit Claude Code

Für feste Berichte ist der Eigenbau kurz. Supabase aus diesem Katalog hält die Daten in Postgres, eine kleine Weboberfläche auf Cloudflare Pages zeigt ein Dutzend Kennzahlen, und n8n verschickt jeden Montag den Wochenbericht. Mit Claude Code sind das fünf bis acht Personentage (Schätzung), bei 1.200 Euro Tagessatz also 6.000 bis 9.600 Euro einmalig, dazu ein niedriger zweistelliger Betrag im Monat für den Betrieb (Schätzung). Dagegen stehen 250 US-Dollar im Monat für dreißig Personen in Starter oder null für die quelloffene Ausgabe. Grenzen zeigt der Eigenbau, sobald mehr Menschen mit den Zahlen arbeiten. Die erste Frage, die niemand vorhergesehen hat, landet wieder beim Entwickler, weil es keinen Baukasten für Nichttechniker gibt. Zeilenrechte für Kunden oder Abteilungen verlangen eine Mandantentrennung, die sauber getestet sein will. Und die Definition jeder Kennzahl steckt im Programmcode, den nach einem Personalwechsel erst jemand lesen muss. Für ein Dutzend feste Kennzahlen genügt der Eigenbau. Sollen Kolleginnen und Kollegen selbst Fragen stellen, spricht mehr für die quelloffene Ausgabe.

Empfehlung nach Größe:

- Solopreneur: Quelloffen betreiben, wenn Aktualisierungen verlässlich eingespielt werden.
- KMU: Kaufen oder selbst betreiben, Pro vor dem ersten Sicherheitsfragebogen einplanen.
- Konzern: Selbst betreiben mit Enterprise-Lizenz, den Cloud-Vertrag vorher nachverhandeln.

## Einordnung

- Setzt Methode um: [Churn-Cohorting nach Verweildauer](https://www.convios.com/de/methodik/churn-cohorting) — Die Trennung der Abwanderung nach Kundenjahrgängen ist eine Abfrage über die eigene Datenbank, und für diese Art wiederkehrender Auswertung ist ein solches Werkzeug gebaut.
- Setzt Methode um: [Datenmonetarisierung: verbessern, umhüllen, verkaufen](https://www.convios.com/de/methodik/data-monetization-improve-wrap-sell) — Die eingebetteten Auswertungen sind der kürzeste Weg vom ersten zum zweiten Schritt dieser Methode, weil dieselben Zahlen, die den eigenen Betrieb verbessern, als Zusatz beim Kunden landen.
- Setzt Methode um: [Netto-Retention-Audit (Kohorten-NRR)](https://www.convios.com/de/methodik/netto-retention-audit) — Die Kohortenrechnung hinter einer Retention-Zahl braucht Zugriff auf die Rohdaten über denselben Kundenkreis, und ein Auswertungswerkzeug auf der eigenen Datenbank macht sie nachprüfbar.
- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Die Dichte der Nachweispflichten entscheidet, ob Rechtemodell, Protokoll und Selbstbetrieb Zusatz sind oder Kaufbedingung, und daran hängt hier der Sprung von Starter auf Pro.
- Alternative: [PostHog](https://www.convios.com/de/werkzeugkasten/posthog)
- Alternative: Supabase
- Verdrängt: Die Tabelle, in die jemand jeden Monat von Hand die Zahlen aus drei Systemen kopiert, Die Bitte an die Entwicklung, schnell eine Abfrage für die Geschäftsführung zu schreiben, Der selbst gebaute Kundenbereich, in dem Kunden ihre Nutzungszahlen als statische Liste sehen

## Belege

- Nutzungsbedingungen für die Cloud mit Stand 17. September 2025: Anlagen A bis D, Lizenz an Anwendungsdaten und Metadaten für die Produktentwicklung in Ziffer 6.2, dreißig Tage zum Herunterladen nach Vertragsende, kalifornisches Recht, Haftungsgrenze, Auftragsverarbeitungsvertrag mit Begriffsbestimmung, Unterauftragnehmern, Standardvertragsklauseln und Löschung, Aufbewahrung von bis zu 180 Tagen im Zusatzspeicher und Bedingungen für den KI-Assistenten — https://www.metabase.com/license/hosting (Stand 2025-09-17)
- Lizenz für den Selbstbetrieb mit Stand 3. November 2025: Daten und Auswertungen gehören allein dem Kunden, der KI-Assistent läuft über den eigenen Schlüssel des Kunden — https://www.metabase.com/license/commercial (Stand 2025-11-03)
- Datenschutzerklärung für die Cloud mit Stand 1. Juni 2020: Rechtsträger und Anschrift, Metabase als Verantwortlicher für Konto- und Anwendungsdaten, Ausnahme der Kundendatenbanken, Verarbeitung überall auf der Welt, Aufbewahrung nach Erforderlichkeit — https://www.metabase.com/hosting/privacy_policy (Stand 2020-06-01)
- Unterauftragnehmer-Liste der Website mit dreißig Empfängern, jeweils Zweck und Standort Vereinigte Staaten — https://www.metabase.com/hosting/subprocessors (Stand 2026-09-25)
- Vertrauensportal mit SOC 2 Typ 2, SOC 2 Typ 1, SOC 1 Typ 2, Überbrückungsschreiben 2025 bis 2026, Versicherungsbestätigung, Eindringprüfung 2026, mehreren Richtlinien und einer zweiten Unterauftragnehmer-Liste ohne Amazon Web Services und Anthropic — https://trust.metabase.com (Stand 2026-09-25)
- Sicherheitsseite: Zusage, im Selbstbetrieb Daten nie anzusehen oder zu kopieren, für die Cloud keine Vorhaltung von Abfrageergebnissen ohne Zwischenspeicher, Hosting-Optionen auf vier Kontinenten, Prüfgesellschaft Sensiba LLP, jährliche Eindringprüfungen, Entfernung von Instanzdaten nach unbezifferter Inaktivität — https://www.metabase.com/security (Stand 2026-09-28)
- Regionswechsel im Kundenkonto zwischen Oregon und Frankfurt mit meist unter dreißig Minuten Ausfall — https://www.metabase.com/docs/latest/cloud/change-region (Stand 2026-09-25)
- Adressen je Region in Nord-Virginia, Frankfurt, Singapur, Sydney und São Paulo — https://www.metabase.com/docs/latest/cloud/ip-addresses-to-whitelist (Stand 2026-09-25)
- Was der KI-Assistent an den Anbieter und an Modellanbieter sendet, Sammlung von Metadaten zur Verbesserung der KI-Anbindung und Übermittlung des Gesprächs bei Bewertungen — https://www.metabase.com/docs/latest/ai/privacy (Stand 2026-09-25)
- Im Selbstbetrieb kein Zugriff des Anbieters auf Daten und damit kein Auftragsverarbeitungsvertrag, in der Cloud ist er Teil der Nutzungsbedingungen — https://www.metabase.com/docs/latest/installation-and-operation/privacy (Stand 2026-09-25)
- Nutzungsprotokoll nur in Pro und Enterprise, 720 Tage Vorhaltung, keine Erfassung in der quelloffenen Ausgabe und in Starter — https://www.metabase.com/docs/latest/usage-and-performance-tools/usage-analytics (Stand 2026-09-25)
- Änderung von Name und Symbol des KI-Assistenten ab Pro — https://www.metabase.com/docs/latest/ai/customization (Stand 2026-09-25)
- Auswertung der Gespräche mit dem KI-Assistenten ab Pro, Zugriffe über MCP nicht erfasst — https://www.metabase.com/docs/latest/ai/usage-auditing (Stand 2026-09-28)
- Unterstützte Anbieter für den eigenen Schlüssel des KI-Assistenten, darunter Anthropic, OpenAI, Amazon Bedrock, Azure, Mistral und OpenRouter — https://www.metabase.com/docs/latest/ai/settings (Stand 2026-09-28)
- Preise für Starter, Pro und Enterprise, Preis je weiterer Person, Verbrauchspreise für KI-Dienst, Datenumformungen und Zusatzspeicher — https://www.metabase.com/pricing (Stand 2026-09-25)
- Tarifvergleich: Zuordnung von SAML, SCIM, Zeilen- und Spaltenrechten, Nutzungsprotokoll und Regionswahl zu den Tarifen, Unterstützung binnen drei Werktagen in Starter und Pro, binnen eines Werktags in Enterprise — https://www.metabase.com/pricing/compare-plans (Stand 2026-09-28)
- Unterstützung werktags von 8 bis 17 Uhr pazifischer Zeit, Reaktionszeiten je Schweregrad — https://www.metabase.com/enterprise/support (Stand 2026-09-25)
- Schätzung des Anbieters für die Betriebskosten im Selbstbetrieb (Server, Lastverteilung, verwaltete Datenbank, Mailserver, zusammen ab 112 bis 132 US-Dollar im Monat) und Gründe für den Selbstbetrieb — https://www.metabase.com/docs/latest/cloud/cloud-vs-self-hosting (Stand 2026-09-28)
- Umzug von der Cloud in den Selbstbetrieb über einen Schnappschuss der Anwendungsdatenbank auf Anfrage — https://www.metabase.com/docs/latest/cloud/migrate/cloud-to-self-hosted (Stand 2026-09-25)
- Nachbericht zum Vorfall vom August 2026 mit Hergang, Ursache, Umfang nach Angabe des Anbieters und Gegenmaßnahmen — https://www.metabase.com/blog/vulnerability-what-happened (Stand 2026-08-27)
- Sicherheitsmeldung zu CVE-2026-72898, Einschleusung von SQL über einen Endpunkt ohne Anmeldung, Schweregrad kritisch — https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf (Stand 2026-08-06)
- Meldung betroffener Unternehmen, die Datenabflüsse über die Lücke öffentlich gemacht haben — https://www.helpnetsecurity.com/2026/08/10/metabase-zero-day-framework-tally-kilo-code/ (Stand 2026-08-10)
- Serie B über 30 Mio. US-Dollar unter Führung von Insight Partners mit Expa und NEA sowie die Nutzerzahl nach eigener Angabe — https://www.prnewswire.com/news-releases/metabase-raises-30m-in-series-b-financing-to-expand-worldwide-access-to-its-best-in-class-open-source-business-intelligence-platform-301358789.html (Stand 2021-08-19)
- Öffentliches Code-Verzeichnis mit Anlagedatum, Lizenzaufteilung, Sternen, Fassungen und Sicherheitsmeldungen — https://github.com/metabase/metabase (Stand 2026-09-25)
- Preisstufen von Hex am 25. September 2026 als Vergleichsmaßstab für die KI-native Klasse — https://hex.tech/pricing/ (Stand 2026-09-25)