Medusa ist eine Open-Source-Commerce-Plattform, die 2021 in Kopenhagen von Sebastian Rindom, Nicklas Gellner und Oliver Juhl gestartet wurde. Der Kern ist ein Node.js- / TypeScript-Framework aus kombinierbaren Commerce-Modulen (Produkte, Warenkörbe, Bestellungen, Preise, Promotions, Bestand, Fulfillment) samt React-Admin-Dashboard, veröffentlicht unter der MIT-Lizenz auf GitHub mit rund 35.700 Sternen. Als Kunden nennt der Anbieter öffentlich unter anderem Heineken, Mitsubishi Motors Niederlande, Eight Sleep und Redington; der niederländische Mitsubishi-Shop ist selbst gehostet und wurde von einem Implementierungspartner gebaut.
Es gibt zwei Betriebswege, und die Souveränitätsbewertung fällt für beide sehr unterschiedlich aus.
Medusa Cloud ist das verwaltete Angebot, ab 29 USD pro Monat (etwa €25) im Develop-Plan, danach 99 und 299 USD, ohne Umsatzbeteiligung. Die Region wird bei der Projektanlage einmalig gewählt und lässt sich später nicht mehr ändern: US East (us-east-1), Europe Central (eu-central-1) oder Asia Southeast (ap-southeast-1). Eine EU-Region ist also verfügbar, aber nicht die Voreinstellung, und Medusa nennt den zugrunde liegenden Cloud-Anbieter nicht öffentlich, auch wenn Regionscodes und der pro Umgebung bereitgestellte private S3-Bucket auf AWS hindeuten. Entscheidend für die Beschaffung ist jedoch die Gesellschaftsstruktur, nicht die Geografie: Nutzungsbedingungen und AVV für Cloud werden mit MedusaJS, Inc. geschlossen, einer Gesellschaft aus Delaware, nach kalifornischem Recht, und das dänische Register führt genau diese US-Gesellschaft als alleinige Eigentümerin der dänischen Betriebsgesellschaft. Die CLOUD-Act-Exponierung des verwalteten Dienstes ist damit Direkt. Der AVV ist öffentlich und ohne Konto abrufbar, eine Liste der Unterauftragsverarbeiter wird jedoch nicht veröffentlicht, und Medusa weist keine eigene Zertifizierung aus, sondern verweist auf die DSGVO-konformen Kontrollen und Zertifizierungen des Infrastrukturanbieters.
Selbst hosten ist der zweite Weg und tatsächlich uneingeschränkt: Die MIT-Lizenz kennt keine Umsatzgrenze und keine kostenpflichtige Zusatzstufe, und Medusa erklärt, es gebe keinen Lock-in und Daten seien jederzeit exportierbar. Auf Hetzner, OVHcloud oder Scaleway betrieben, berührt kein US-Vertragspartner die Daten.
Am besten geeignet für Entwicklerteams und Agenturen, die maßgeschneiderten Commerce auf Node.js bauen. EU-Käufer mit klarem Souveränitätsanspruch sollten den selbst gehosteten Weg wählen, nicht Cloud.