Wir sind Verantwortliche — nicht der Anbieter.
Kein Marketing-Zauber, sondern Mathematik: der Klartext eurer Mitgliederdaten entsteht auf euren Geräten und bleibt dort. Der Server sieht ihn nie. Hier steht ehrlich, was das heißt — und was es nicht heißt.
„Eure Mitgliederdaten liegen verschlüsselt auf euren Geräten. Unser Server kann sie technisch nicht lesen — mathematisch nicht. Ihr bleibt Verantwortliche, aber der Anbieter fällt als Datenrisiko praktisch weg.“
Verschlüsselt, bevor irgendwas das Gerät verlässt
Jedes Gerät ver- und entschlüsselt selbst. Zwischen den Geräten wandert nur Chiffretext. Der Relay ist ein blinder Briefkasten: er nimmt versiegelte Umschläge an und gibt sie nummeriert wieder heraus — aufmachen kann er sie nicht.
{:env/ct "CD94V4xF4PrK5P4nC/ypz9F+7q5IqRcyXeof/0sBaja1BC7bnC2R5FAe5rdsoPeK…" :env/sig "lJvOo5I71fAr+QPu2pBVMfm7Fa2p…"}
Warum ein Datenleck bei uns langweilig ist
Bei zentralen Portalen liegen eure Daten entschlüsselt beim Anbieter — ein Leck trifft alle Bünde auf einmal. Bei uns bekommt ein Angreifer verschlüsselten Datensalat.
„DSGVO-frei“ gibt es nicht. Das hier ist besser: ehrlich.
Wer Namen, Mails und Adressen verwaltet, ist DSGVO-pflichtig — Punkt. Der Bund bleibt Verantwortlicher. Was sich ändert, ist eure Position: der Anbieter fällt als Datenrisiko fast komplett weg, und Verschlüsselung ist genau die Maßnahme, die Art. 32 verlangt.
Euer Risiko schrumpft
- ✓ Der Server ist kein Auftragsverarbeiter für die Inhalte — er kann sie nicht lesen.
- ✓ Verschlüsselung ist ein ausdrücklich genannter Art.-32-Schutz — ihr tut, was die DSGVO fordert.
- ✓ Ein Server-Leck bleibt folgenlos: Chiffretext ohne Schlüssel.
- ✓ Kein Vendor-Lock-in — der Relay ist austauschbar (siehe unten).
Ehrlich bleibt ehrlich
- ! Ihr bleibt Verantwortliche: Auskunft, Löschung, Verzeichnis der Verarbeitungstätigkeiten.
- ! Auf dem entsperrten Gerät liegen die Daten lesbar — Displaysperre ist Pflicht.
- ! Der Relay sieht Metadaten: IP, Zeitpunkt, Gerätelabels — nur nie den Inhalt.
- ! Für Marketing-Aussagen einmal von jemandem mit DSGVO-Schein gegenlesen lassen.
Der Relay ist austauschbar — hostet ihn selbst
Weil der Relay nur Chiffretext bewegt, ist völlig egal, wo er läuft. Gleiche App, gleiches Protokoll — ihr entscheidet, wem die Leitung gehört. Bis hin zum kleinen Rechner im Verbindungshaus: dann besitzt ihr die ganze Pipeline, vom Schlüssel bis zum Kabel.
Unsere Cloud
Cloudflare Worker — Ein-Klick-Start, nichts zu warten.
Eure Box
Ein kleiner Hetzner-/Netcup-Server, der Bund verwaltet ihn selbst.
Im Verbindungshaus
Ein Mini-PC (Raspberry Pi & Co.) im Keller — die ganze Pipeline gehört euch.
Mehrere Schlösser um dieselben Daten
Eine Web-Version taugt zum Erkunden. Für den Produktivbetrieb kommen native Apps (Flutter/Dart), die eine zusätzliche Schutzschicht direkt auf dem Gerät mitbringen — und einen fest installierten Client, dem man vertrauen kann.
sieht nur Chiffretext
verschlüsselt auf dem Transportweg
at-rest auf dem Gerät (native App)
App-Entsperrung (native App)
im Kern
Die Grenze der Web-Version — offen gesagt
Eine Web-App liefert bei jedem Aufruf frischen Code aus. Für echte Mitgliederdaten gilt deshalb ein hartes Tor: unabhängiges Krypto-Review und ein installierter, fixierter Client (die native App), damit sich der Code nicht unbemerkt ändern kann. Native bringt obendrein Biometrie/PIN und verschlüsselte Speicherung.
Was wir speichern, wenn ihr uns schreibt
Diese Seite läuft bei Cloudflare. Wir setzen keine Cookies, zählen keine Besucher und binden keine Tracker ein. Cloudflare verarbeitet beim Aufruf technisch nötige Verbindungsdaten (z. B. die IP-Adresse), um die Seite auszuliefern und vor Angriffen zu schützen.
Wenn ihr über „Ausprobieren“ eine Anfrage stellt, speichern wir den Namen der Verbindung, die Adresse eurer Webseite, eure E-Mail-Adresse und die Zeitpunkte von Anfrage und Bestätigung — in einer Datenbank bei Cloudflare (D1, Speicherort in der EU). Wir brauchen das, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO). Die IP-Adresse speichern wir nicht.
- Cloudflare Turnstile prüft beim Absenden, ob ein Mensch das Formular ausfüllt. Dafür lädt das Formular ein Skript von Cloudflare; Turnstile setzt keine Werbe-Cookies.
- Brevo (Sendinblue SAS, Paris) verschickt die Bestätigungsmail und spätere Mails zu eurer Anfrage. Brevo erhält dafür eure E-Mail-Adresse und den Mailtext.
- Unser Arbeitsrechner (bei uns, aus dem Internet nicht erreichbar) holt sich regelmäßig eine Kopie der Verbindungen, Personen und Rollen, um eure Webseite zu kopieren und zu bearbeiten. Über neue Anfragen, Anmeldungen und Einladungen benachrichtigt er uns per Telegram (Name der Verbindung, Webseite, E-Mail-Adresse).
- Die Kopie eurer Webseite: nach der Bestätigung ruft unser Arbeitsrechner eure öffentliche Webseite ab (wie ein Besucher, mit höchstens einer Anfrage alle Viertelsekunde) und speichert die Kopie bei sich. Die Vorschau liegt unter einer eigenen Adresse bei fuxenbesteck.de (Cloudflare) und ist für Suchmaschinen gesperrt. Dabei kopieren wir nur, was auf eurer Seite ohnehin öffentlich ist.
- Bearbeiten per Telegram (erst nach der Freischaltung): Wer im Portal einen persönlichen Telegram-Link erzeugt und öffnet, verbindet seinen Telegram-Chat mit der Seite der Verbindung. Die Chat-Kennung speichern wir nur auf unserem Arbeitsrechner, nicht im Portal; das Portal vermerkt nur, dass und wann ein Link benutzt wurde. Nachrichten und Fotos, die ihr dem Bot schickt, laufen über Telegram (Telegram Messenger Inc.) und werden auf unserem Arbeitsrechner verarbeitet. Die gewünschte Änderung setzt ein KI-Sprachmodell um (derzeit Claude von Anthropic, USA); es erhält dafür eure Nachricht, euren Namen (falls im Portal angegeben), eure Rolle und die Kopie eurer öffentlichen Webseite, nicht eure E-Mail-Adresse. Was geändert wurde, steht im Verlauf eurer Verbindung im Portal. Wer aus der Verbindung entfernt wird, kann über den Chat nichts mehr ändern.
- Ablehnung: Übernehmen wir eine Seite nicht, entfernen wir die Vorschau und schreiben euch eine Mail; die Kopie heben wir bei uns noch auf, bis ihr die Löschung verlangt oder wir sie aufräumen.
- Unbestätigte Anfragen verfallen nach 24 Stunden. Bestätigte Anfragen bewahren wir auf, solange wir mit euch zusammenarbeiten.
- Auskunft, Berichtigung oder Löschung: eine Mail an hello@fuxenbesteck.de genügt.