# Neon

> Stellt eine Postgres-Datenbank bereit, die sich je Änderung verzweigen lässt und im Leerlauf auf null herunterfährt, ohne dass ein Server bereitsteht.

- Anbieter: Neon, LLC (Tochter der Databricks, Inc.)
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/neon
- Sprachfassung: https://www.convios.com/en/toolbox/neon
- Bereich: Produkt & Entwicklung · Cluster: Datenbank und Auth
- Rolle: Baustein · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-09-18 · Geprüft: 2026-09-18 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Eine Datenbank hält niemanden vorn. Wer sie so betreibt, dass jede Änderung ihre eigene Kopie bekommt, verkürzt die Durchlaufzeit bis in den Betrieb; wer darauf verzichtet, arbeitet weiter gegen eine geteilte Testdatenbank, die das ganze Team ausbremst. Der Vorteil bleibt käuflich, weil der Wettbewerb dieselbe Verzweigung morgen einkaufen kann.

## Eignung nach Unternehmensgröße

- Solopreneur: geeignet — Der kostenlose Tarif gibt je Projekt 100 CU-Stunden Rechenzeit und 0,5 GB Speicher. Eine Datenbank, die nur beim Zugriff läuft, bleibt darin.
- KMU: geeignet — Abgerechnet wird der Verbrauch ohne Grundgebühr. In die Rechnung gehören das Verlaufsfenster mit 0,20 USD je GB-Monat und zusätzliche Zweige mit 1,50 USD je Zweig-Monat, die beide neben dem Speicher stehen.
- Konzern: bedingt geeignet — Vier Punkte halten auf. Der Neon-Zusatz mit Stand 05.08.2026 streicht Abschnitt 7 des Auftragsverarbeitungsvertrags und verweist für die Prüfung auf den SOC-2-Bericht. Das Prüfprotokoll gibt es erst im Scale-Tarif nach Annahme der BAA und laut Anbieter nur über eine Unterstützungsanfrage. Das Rechtemodell kann Zugriff nach eigener Dokumentation ausschließlich erweitern, und geschützte Zweige darf jedes Mitglied verwalten. Vertragspartner ist Databricks, Inc. in den Vereinigten Staaten; eine Einmalanmeldung über SAML nennt die Dokumentation nicht.

## Tragfähigkeit des Anbieters

Etabliert: Der Anbieter gehört seit der Übernahme zu einem Konzern, und die Rechtstexte laufen seither über dessen Rahmenvertrag. Die Frage beim Einkauf ist damit die Bindung an diesen Konzern, und die ist eine andere als die Frage nach dem Bestand des Anbieters.

- Eigentumsverhältnis: Tochter der Databricks, Inc.; Vertragspartner ist der Mutterkonzern (Quelle: https://neon.com/platform-terms, Stand 2026-09-18)
- Übernahme: Übernahmevereinbarung am 14.05.2025 bekanntgegeben (Quelle: https://www.databricks.com/company/newsroom/press-releases/databricks-agrees-acquire-neon-help-developers-deliver-ai-systems, Stand 2025-05-14)
- Marktzeit: erster Commit März 2021, offener Zugang Dezember 2022, allgemeine Verfügbarkeit 15.04.2024, nach eigener Angabe (Quelle: https://neon.com/about, Stand 2026-09-18)
- Produktpflege: Änderungsverzeichnis wöchentlich fortgeschrieben, letzter Eintrag 11.09.2026 (Quelle: https://neon.com/docs/changelog, Stand 2026-09-18)
- Plattformwechsel: Azure-Regionen abgekündigt, neue Projekte nur noch auf AWS (Quelle: https://neon.com/docs/introduction/regions, Stand 2026-09-18)

## Ausstiegskosten

Mittel: Die Daten gehen heraus, weil Postgres spricht, was jedes Ziel liest. Was nach dem Export fehlt, ist der Rest: die Verzweigung je Pull Request, das Kostenprofil einer Datenbank, die im Leerlauf nichts kostet, und alles, was auf den übrigen Bausteinen des Anbieters liegt, von der Anmeldung über die Objektablage bis zum Modell-Zugang. Auch die Region bindet: sie wird beim Anlegen des Projekts festgelegt und ist danach unveränderlich, ein Wechsel verlangt ein neues Projekt samt Umzug.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | ja, öffentlich und per Verweis Vertragsbestandteil — Es gilt der Auftragsverarbeitungsvertrag des Mutterkonzerns in der Fassung v3 mit Stand 21.07.2023, den der Rahmenvertrag mit Stand 20.02.2026 als jeweils gültige Fassung einbezieht; er greift damit auch bei Selbstbedienung ohne gesonderte Unterschrift und enthält die Standardvertragsklauseln in den Modulen zwei und drei. Der Neon-Zusatz mit Stand 05.08.2026 streicht davon Abschnitt 7 zu Prüfungen vollständig und ersetzt ihn: das Prüfrecht wird dahin ausgeübt, dass der Anbieter auf Anfrage den SOC-2-Bericht und Zusammenfassungen der Eindringprüfungen vorlegt. Wer nur den Konzern-Vertrag liest, sieht ein weiter reichendes Prüfrecht, als für dieses Produkt gilt. | belegt | 2026-09-18 |
| Speicherort | EU-Region Frankfurt in allen Tarifen wählbar, beim Anlegen des Projekts festgelegt — AWS Europe (Frankfurt) mit der Kennung aws-eu-central-1 steht ohne Aufpreis und ohne Tarifbindung zur Wahl, ebenso London. Die Wahl fällt beim Anlegen des Projekts und ist danach unveränderlich; wer die Region wechseln will, legt ein neues Projekt an und zieht die Daten um. Die Azure-Regionen sind abgekündigt, darunter Deutschland West-Mitte; neue Projekte entstehen nur noch auf AWS. Objektablage, Funktionen und der Modell-Zugang sind in Frankfurt verfügbar, in London nicht. | belegt | 2026-09-18 |
| Subunternehmer | öffentliche Konzernliste mit Zweck und Land, für das Produkt unvollständig — Die Liste mit Stand 09.06.2026 führt Zweck und Land je Eintrag und nennt neben den Cloud-Anbietern auch Anthropic und OpenAI für KI-gestützte Dienste sowie Twilio, Atlassian, Salesforce, Slack und SupportLogic für Kommunikation und Unterstützung; dazu kommen die Konzerngesellschaften, darunter eine deutsche. Sie ist die Liste des Konzerns. Den einzigen Neon-eigenen Unterauftragnehmer, Grafana Labs in den Vereinigten Staaten, nennt allein der Neon-Zusatz. Wer die Kette prüft, muss beide Dokumente lesen. | teilweise belegt | 2026-09-18 |
| Drittlandübermittlung | Standardvertragsklauseln im Auftragsverarbeitungsvertrag und EU-US-Datenschutzrahmen — Die Zertifizierung nach dem EU-US-Datenschutzrahmen nennt beide Gesellschaften namentlich, Databricks, Inc. und Neon, LLC. Das ist die seltenere und die bessere Fassung, weil sich die Grundlage damit dem Empfänger zuordnen lässt. | belegt | 2026-09-18 |
| Training mit Kundendaten | Abfragen dürfen als Nutzungsdaten in die Produktentwicklung fließen, Ergebnisse nicht — Hier trennen sich Produktseite und Vertrag. Die Dokumentation sagt für den KI-Assistenten im SQL-Editor, es werde das Schema an Amazon Bedrock übergeben und es würden keine tatsächlichen Daten geteilt. Der Rahmenvertrag mit Stand 20.02.2026 erlaubt dem Anbieter daneben, Nutzungsdaten zu erheben und zur Entwicklung, Verbesserung und Unterstützung seiner Produkte zu verwenden, und er definiert Nutzungsdaten so, dass sie von Nutzern eingegebene Abfragen enthalten dürfen; ausgenommen sind allein deren Ergebnisse. Bei einer Datenbank steckt der personenbezogene Teil regelmäßig schon in der Abfrage, in Bedingungen mit Namen, Adressen oder Kennungen. Einen vertraglichen Ausschluss der Modellschulung auf Kundeninhalten haben wir am 18.09.2026 weder im Rahmenvertrag noch im Neon-Zusatz noch in der Datenschutzerklärung gefunden. | teilweise belegt | 2026-09-18 |
| Aufbewahrung und Löschung | Löschung binnen 30 Tagen nach schriftlicher Aufforderung, Sicherung als Leistung ausgeschlossen — Der Auftragsverarbeitungsvertrag sagt in Abschnitt 9.3 zu, personenbezogene Daten nach Vertragsende binnen dreißig Tagen zu löschen oder beim Löschen zu helfen, allerdings erst auf schriftliche Aufforderung. Abschnitt 9.1 hält zugleich fest, dass Sicherung und Notfallwiederherstellung für Kundendaten nicht Teil der Leistung sind und die Sicherung Sache des Kunden bleibt. Das steht neben einem Produkt, das Momentaufnahmen, sofortige Wiederherstellung und ein Verlaufsfenster von bis zu dreißig Tagen anbietet. Für den Betrieb sind beide Aussagen zugleich wahr, für die Beschaffung ist die vertragliche die maßgebliche. | teilweise belegt | 2026-09-18 |
| Zertifikate | SOC 2 Typ 1 und 2, SOC 3, ISO 27001, ISO 27701, HIPAA über den Scale-Tarif — Die Nachweise gehören dem Anbieter selbst und sind benannt. Zwei Auflagen hängen daran: die Berichte kommen über das Vertrauensportal auf Anfrage, und in der Tarifübersicht steht die Zeile zu Regelkonformität und Sicherheit allein beim Scale-Tarif gefüllt. Die Fassung der Normen und der Geltungsbereich der Prüfungen stehen auf der Seite nicht. Für eine Beschaffung nach deutschem Muster fehlen C5 und der EU Cloud Code of Conduct. | teilweise belegt | 2026-09-18 |
| EU-KI-Verordnung, Artikel 50 | keine Aussage des Anbieters — Das Produkt trägt KI-Funktionen: einen Assistenten im SQL-Editor über Amazon Bedrock, Chat-Hilfen von Drittanbietern und einen eigenen Zugang zu Sprachmodellen. Zur Verordnung (EU) 2024/1689 haben wir am 18.09.2026 in den Nutzungsbedingungen, im Neon-Zusatz, auf der Seite zur Regelkonformität, auf der Seite zur KI-Nutzung und im Verzeichnis der Rechtstexte des Mutterkonzerns keine Aussage gefunden. Die Kennzeichnungspflicht aus Artikel 50 trifft ohnehin den Betreiber der Anwendung, und er kann sie selbst erfüllen, weil hier keine KI unmittelbar mit Endkunden spricht. | teilweise belegt | 2026-09-18 |
| Protokollierung | Prüfprotokoll nur im Scale-Tarif über die HIPAA-Funktion, Abruf über Unterstützungsanfrage — Ein vollständiges Prüfprotokoll gibt es: Aktionen in Konsole und Schnittstelle sowie Postgres-Anweisungen über die Erweiterung pgAudit. Drei Auflagen machen es für Nachweispflichten schwer planbar. Es hängt an der HIPAA-Funktion, die den Scale-Tarif und die Annahme der BAA verlangt. Der Selbstbedienungszugang wird laut Dokumentation nicht unterstützt, der Abruf läuft über eine Unterstützungsanfrage. Und der Anbieter hält ausdrücklich fest, dass Ereignisse bei sehr hoher Last ungeschrieben bleiben können, weil er die Verfügbarkeit der Datenbank höher gewichtet. Eine Aufbewahrungsfrist für das Protokoll nennt die Seite nicht. Davon zu trennen ist die Ausleitung von Messwerten und Postgres-Protokollen nach Datadog, Grafana Cloud und OpenTelemetry, die ebenfalls dem Scale-Tarif vorbehalten ist und die Betriebsbeobachtung abdeckt. | teilweise belegt | 2026-09-18 |

## Kosten

- Einstieg: Kostenloser Tarif mit 100 CU-Stunden Rechenzeit und 0,5 GB Speicher je Projekt. Der Launch-Tarif rechnet 0,106 USD je CU-Stunde und 0,35 USD je GB-Monat ab, ohne monatlichen Mindestbetrag. (Stand 2026-09-18)
- Teuer wird es: Der Scale-Tarif verdoppelt die Rechenzeit auf 0,222 USD je CU-Stunde und ist zugleich der einzige mit Verfügbarkeitszusage, Ausleitung der Protokolle, Netzanbindung über PrivateLink und den Nachweisen. Wer einen dieser Punkte braucht, zahlt den höheren Satz auf die gesamte Rechenzeit und nicht nur auf den betroffenen Teil. Dazu kommen das Verlaufsfenster mit 0,20 USD je GB-Monat, zusätzliche Zweige mit 1,50 USD je Zweig-Monat und Netzverkehr über 500 GB je Projekt mit 0,10 USD je GB.

## Drei Wege im Vergleich

### Amazon RDS for PostgreSQL

Eine feste Instanz in fester Größe, die durchläuft und eine Rechnung erzeugt, die vor dem Monat schon feststeht. Konzerne bleiben dabei, weil die Beschaffung über den bestehenden Rahmenvertrag mit dem Cloud-Anbieter läuft, weil dessen Nachweise dort längst geprüft und abgelegt sind und weil reservierte Kapazität die Kosten über Jahre planbar macht. Die Verzweigung je Änderung baut man sich aus Sicherungen selbst, und das dauert Minuten statt Sekunden.

### Supabase

Bündelt dieselbe Postgres mit Anmeldung, Dateiablage und erzeugter Schnittstelle und ist damit die Voreinstellung hinter vielen Anwendungsgeneratoren. Der Preis ist anders geschnitten: 25 USD je Monat als feste Grundgebühr im Pro-Tarif, während hier ohne Mindestbetrag rein nach Verbrauch abgerechnet wird, und die Einmalanmeldung für die Oberfläche beginnt beim Team-Tarif mit 599 USD je Monat, Stand 18.09.2026. Wer den Baukasten nimmt, kauft vier Bausteine in einem Vertrag und gibt die feine Steuerung über die Rechenzeit auf.

### PostgreSQL selbst betrieben

PostgreSQL läuft auf einer eigenen Maschine oder im Container, gesichert mit pgBackRest, umgeschaltet mit Patroni, ausgerollt über GitHub aus dem eigenen Katalog, beobachtet über Sentry, und die Betriebsskripte schreiben Claude Code oder Cursor in Tagen. Für einen Bestand im dreistelligen Gigabereich rechnen wir mit zehn bis fünfzehn Personentagen zum Aufbau bei einem angenommenen Tagessatz von 1.200 EUR, dazu Maschine und Sicherungsspeicher im niedrigen dreistelligen Bereich je Monat. Gescheitert wird später: an der Wiederherstellung, die nie geprobt wurde, am jährlichen Wechsel der Hauptversion, an der Rufbereitschaft um drei Uhr nachts und an dem Tag, an dem der Erbauer das Haus verlässt.

Empfehlung nach Größe:

- Solopreneur: Kostenlosen Tarif nehmen, er trägt eine echte kleine Anwendung.
- KMU: Nehmen, und das Verlaufsfenster so eng stellen, wie die Wiederherstellung es zulässt.
- Konzern: Vor der Beschaffung klären, ob der SOC-2-Bericht als Prüfung genügt und wie das Protokoll ohne Selbstbedienung in die eigenen Nachweise kommt.

## Einordnung

- Setzt Methode um: [DORA-Delivery-Diagnose](https://www.convios.com/de/methodik/dora-delivery-diagnose) — Die Diagnose misst Durchlaufzeit bis in den Betrieb und Wiederherstellzeit nach einem Fehlschlag, und bei den meisten Teams hängt beides an der Datenbank: eine geteilte Testdatenbank staut Änderungen, eine Kopie je Zweig löst den Stau.
- Setzt Methode um: [DORA AI Capabilities Model (sieben KI-Fähigkeiten)](https://www.convios.com/de/methodik/dora-ai-capabilities) — Unter den sieben Fähigkeiten stehen erreichbare interne Daten und eine eigene Plattform, und genau dort setzt eine Datenbank an, die ein Agent sich selbst anlegen, befüllen und wieder wegwerfen kann.
- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Der Test fragt, ob eine Vorschrift Sie besonders trifft, und die Antwort wird hier technisch: die Region wird beim Anlegen des Projekts festgelegt, das Prüfrecht ist auf Berichtseinsicht verkürzt, und das Protokoll kommt nur über eine Anfrage.
- Alternative: Supabase
- Verdrängt: Eigene Postgres-Instanz für Entwicklung und Vorschau, Geteilte Testdatenbank für das ganze Team

## Belege

- Vertragspartner ist Databricks, Inc. als Muttergesellschaft der Neon, LLC; der Neon-Zusatz streicht Abschnitt 7 des Auftragsverarbeitungsvertrags und nennt Grafana Labs als zusätzlichen Unterauftragnehmer — https://neon.com/platform-terms (Stand 2026-09-18)
- Nutzungsdaten dürfen zur Produktentwicklung verwendet werden und können eingegebene Abfragen enthalten, ausgenommen sind deren Ergebnisse; Fassung mit Stand 20.02.2026 — https://www.databricks.com/legal/mcsa (Stand 2026-09-18)
- Löschung binnen dreißig Tagen nach schriftlicher Aufforderung nach Vertragsende, Abschnitt 9.3; Sicherung und Notfallwiederherstellung sind nach Abschnitt 9.1 nicht Teil der Leistung; Fassung v3 mit Stand 21.07.2023 — https://www.databricks.com/legal/dpa (Stand 2026-09-18)
- Prüfprotokoll über Konsole, Schnittstelle und pgAudit nur mit eingeschalteter HIPAA-Protokollierung, kein Selbstbedienungszugang, Abruf über Unterstützungsanfrage, Ereignisse können bei hoher Last fehlen — https://neon.com/docs/security/hipaa (Stand 2026-09-18)
- Tarifübersicht: Ausleitung von Messwerten und Protokollen, Verfügbarkeitszusage und die Zeile zu Regelkonformität und Sicherheit stehen allein beim Scale-Tarif — https://neon.com/docs/introduction/plans (Stand 2026-09-18)
- Preise je CU-Stunde und GB-Monat, kein monatlicher Mindestbetrag, Verlaufsfenster und zusätzliche Zweige gesondert berechnet — https://neon.com/pricing (Stand 2026-09-18)
- EU-Region Frankfurt in allen Tarifen wählbar, beim Anlegen des Projekts festgelegt und danach unveränderlich; Azure-Regionen abgekündigt — https://neon.com/docs/introduction/regions (Stand 2026-09-18)
- Rechtemodell kann Zugriff nur erweitern, geschützte Zweige darf jedes Mitglied verwalten; Einmalanmeldung über SAML nicht dokumentiert, stattdessen Aufnahme über bestätigte E-Mail-Domäne — https://neon.com/docs/manage/organizations (Stand 2026-09-18)
- EU-US-Datenschutzrahmen zertifiziert für Databricks, Inc. und Neon, LLC; Standardvertragsklauseln als Übermittlungsgrundlage — https://www.databricks.com/legal/privacynotice (Stand 2026-09-18)
- Schema wird für den Assistenten im SQL-Editor an Amazon Bedrock übergeben, tatsächliche Daten nach Anbieterangabe nicht — https://neon.com/docs/security/ai-use-in-neon (Stand 2026-09-18)
- Sicherungen der Kundendaten werden dreißig Tage vorgehalten, Verschlüsselung AES-256 im Ruhezustand und TLS 1.2/1.3 in der Übertragung — https://neon.com/docs/security/security-overview (Stand 2026-09-18)
- Preisvergleich Supabase: 25 USD je Monat im Pro-Tarif als feste Grundgebühr, Einmalanmeldung für die Oberfläche ab dem Team-Tarif mit 599 USD je Monat — https://supabase.com/pricing (Stand 2026-09-18)