Datensouveränität
Wir sind Verwahrer, nicht Eigentümer. Jederzeit Export, jederzeit Löschung, optional zero-knowledge verschlüsselt — auch wir sehen den Inhalt dann nicht.
docs/MISSION.md — Werte §1 „Daten-Souveränität vor Bequemlichkeit"
Daten gehören den Nutzer:innen. Wir sind der Speicher, das Werkzeug, der Verwalter — aber das Eigentum bleibt da, wo der Inhalt herkommt.
Das hat praktische Konsequenzen. Jede App muss Export können. Jede Löschung muss kaskadieren. Wenn jemand sagt „lösch mich“, verschwinden wir nicht „aus der App“, sondern aus der Datenbank, dem Backup, dem Log. Und wo es sensibel wird — private Notizen, intime Listen, sehr persönliche Inhalte — gibt es einen Zero-Knowledge-Modus, in dem wir selbst keinen Klartext mehr sehen.
Wir verlieren damit Bequemlichkeit. Wir können nicht „mal eben“ eine schöne KI-Empfehlung über alle Konten ziehen. Das ist der Preis dafür, dass wir kein Datensilo werden, das auf Vorrat sammelt.
Was wir im Juli 2026 revidiert haben
An dieser Stelle stand: „kein Tracking — auch nicht ‚anonymisiert’.“ Diese Zusage haben wir zurückgenommen. Das gehört hierher, nicht in eine Fußnote.
Der Anlass war eine Zahl. Als wir zum ersten Mal genau hinsahen, kamen von rund 100.000 Zugriffen auf eine unserer Seiten an einem Tag 525 aus echten Browsern — der Rest waren Suchmaschinen und Programme. Für die Region, für die diese Seite gebaut ist, blieben etwa 45 Zugriffe übrig. Wir hatten schlicht keine Möglichkeit, das vorher zu wissen.
Ohne diese Zahl lässt sich zweierlei nicht beantworten: ob ein Werkzeug jemandem nützt, und was wir Förderern über unsere Wirkung sagen. Beides gehört zu einem gemeinnützigen Verein.
Wir zählen seither selbst — auf eigenen Servern, ohne Cookie, ohne deine IP-Adresse zu speichern, ohne dass etwas an Dritte geht. Um zwei Aufrufe innerhalb eines Tages auseinanderzuhalten, entsteht ein Prüfwert, der mit einem täglich wechselnden Zufallswert vermischt wird und um Mitternacht wertlos ist.
Der ehrliche Preis: Innerhalb eines Tages ist das mehr, als „gar keine Wiedererkennung“ bedeutet. Wer die alte Zusage wörtlich genommen hat, wird diese Änderung als Rückschritt lesen. Wir halten sie für richtig und legen sie deshalb offen, statt die Formulierung still weicher zu machen.
Was weiterhin ausgeschlossen bleibt: Analytics von Dritten, Verkauf oder Weitergabe von Daten, Profile über Menschen, Wiedererkennung über den Tag oder über Geräte hinaus — und die Suchbegriffe, die du eingibst. Wir zählen, dass gesucht wurde, nie wonach.
Was wir tun
- Speicherung in der EU und der Schweiz, auf Vereins-Infrastruktur
- Jederzeit Export aller eigenen Inhalte in offenen Formaten
- Jederzeit Löschung, inkl. kaskadierender Löschung in abhängigen Diensten
- Zero-Knowledge-Modus für sensible Inhalte (BYOK-Vault) — wir sehen den Inhalt dann nicht
- DSGVO-Auskunfts- und Löschungs-Stelle als eigener Service, nicht als Email-Anhang
Was wir nicht tun
- Kein zentrales Profil, das Daten quer über alle Apps zusammenführt, „weil's bequem ist"
- Keine Verkettung von Identifikatoren über App-Grenzen ohne ausdrückliche Einwilligung
- Keine Drittpartei-Analytics, kein Daten-Verkauf, keine Profile über Menschen
- Keine Wiedererkennung über Geräte oder über einen Tag hinaus
Was uns dieser Wert kostet
Jeder Wert hat einen Preis. Wir benennen ihn, damit Werte keine Floskeln werden.
- Zero-Knowledge bedeutet, dass wir bei Verlust des Schlüssels nicht helfen können
- Volle Datenportabilität verlangt mehr Engineering, als auf dem Wert „Lock-In" zu sitzen
- Manche schöne UX (Empfehlungen, Cross-App-Suggestions) geht bewusst nicht — oder nur lokal
- Reichweitenmessung: Bis Juli 2026 stand hier ‚kein Tracking — auch nicht anonymisiert'. Wir haben das revidiert und zählen seither selbst, cookielos und ohne IP-Speicherung. Der ehrliche Preis dieser Entscheidung steht unten.
Wo dieser Wert konkret im Code steht
Diese Apps, Services und Pakete führen Datensouveränität ausdrücklich in ihrer Werte-Liste. Werte gewinnen erst, wenn sie sich an Bauteilen festmachen lassen.
-
ZitareEin offener Zitate-Korpus zum Sammeln, Suchen und Kuratieren — Werke gemeinfreier Stimmen, sauber belegt, unter freier Lizenz.
-
PagetaLese-App ohne Algorithmus-Druck — Save-it-later mit Markierungen und Pocket-Umzug. Was du willst, nicht was klicken soll.
-
stetickVorsätze, die halten — freie Wochen-Frequenz, Limit-Vorsätze, lokal, ohne Konto.
-
Amana-authIdentität, Sessions und JWKS für alle Vereins-Apps — eine Anmeldung, lokale Token-Verifikation, kein Cloud-Auth-Anbieter.
-
Mmana-meUser-globale Profil-Referenzen — welches Foto ist gerade dein Gesicht, welches dein Körper, über alle Apps hinweg.
-
AauraPrivater Anerkennungs-Ledger für Beiträge zum Ökosystem — sechs Botanik-Ränge, kleine reale Geschenke, kein Leaderboard.
-
XxpGeplantes Lern- und Kompetenz-Backbone der Plattform — Skill-XP pro App, neun Intelligenz-Domains, globaler Level, opt-in-Portfolio.
-
Smana-shareFöderations-Drehscheibe für Cross-App-Datentransfers — App-Manifeste, Routing, Retry-Queue, Audit-Log.
-
Smana-searchFöderierte Aggregat-Suche — verteilt eine Anfrage über alle Apps eines Users und vereint die Ergebnisse.
-
Smana-sttSelbst gehostetes Speech-to-Text via Whisper auf eigenem GPU-Server — Sprache verlässt die Vereins-Infrastruktur nicht.
-
Tmana-ttsSelbst gehostetes Text-to-Speech auf eigenem GPU-Server — Vereins-Stimme statt Big-Cloud-Stimme.
-
Imana-image-genBilder aus Text auf der eigenen Grafikkarte — FLUX.2 [klein] 4B unter Apache-2.0, kein Prompt verlässt das Haus.
-
Mmana-mediaObjekt-Speicher für alle Vereins-Uploads — S3-kompatibles MinIO im Eigenbetrieb, Buckets pro App.
-
Mmana-music-genMusik samt Gesang aus einer Textbeschreibung, gerechnet auf der eigenen Karte — ACE-Step unter Apache-2.0.
-
Gmana-geocodingAdresse ↔ Koordinaten — eigener Photon-Server zuerst, Public-Photon und Nominatim nur als Fallback.
-
Smana-stemsTrennt eine fertige Aufnahme in Gesang und Begleitung — die Grundlage für Karaoke aus eigenem Material.
-
3mana-3dAus einem Foto wird ein dreidimensionales Objekt — der Dienst, der einmal ohne jede Anmeldung im Netz stand.
-
Smana-syncEvent-Store-Server für die Event-Sourced-Plattform — Append-only Event-Log pro User pro App, JWT-Auth via mana-auth.
-
Pmana-presenceLive-State + SSE-Fanout — was läuft gerade auf welchem Gerät, bidirektional zwischen Phone und Web.
-
Mmana-mailTransaktionale Email für die ganze Plattform — Welcome, Passwort-Reset, Spendenbescheinigung, alles über Vereins-Stalwart.
-
Nmana-notifyPush-Versand für iOS, Android und Web-Push — Templates und Throttling zentral, keine Push-SaaS-Anbieter.
-
Amana-adminVereins-Backoffice — Mitglieder, Spenden, DSGVO-Fan-out, Einladungen, Aura-Ledger und Gift-Versand in einem Werkzeug.
-
S@mana/shared-loggerLogging-Foundation für Mobile- und Web-Apps der Plattform — strukturiert, kontextualisierbar, datenschutz-konform.
-
S@mana/shared-app-tplHono-Helpers für föderierte Vereins-Apps — Manifest-Serving, Share-Receive-Router, Tools-Router, DSGVO-Export.
-
S@mana/shared-share-protocolFöderations-Vertrag des Vereins — Manifest, Share-Envelope, Drag-Payload, Search-Result. Der eine Klasse-A-Vertrag, an dem alle Apps hängen.
-
S@mana/shared-schemasEvent-Schemas pro Vereins-App — die Quelle der Wahrheit für mana-sync und Codegen-Quelle für event-kit.
-
E@mana/event-syncWeb-Client für die Event-Sourced-Plattform — IndexedDB-Store + HTTP/WebSocket-Sync zu mana-sync.
-
S@mana/shared-auth-ssoSvelte-5-Auth-Klient für das SSO-Cookie-Pattern — createSession, tryRefresh, buildLoginRedirect, AuthCallback.
-
N@mana/notify-clientClient-SDK für den mana-notify Push-Service — eine Zeile pro App, statt OneSignal-Setup zu pflegen.
-
S@mana/shared-mapCross-App-Karten-Komponente — MapLibre GL JS, PMTiles-ready, OpenStreetMap-Kacheln. Eine Karte für alle Vereins-Apps.
-
S@mana/shared-key-grantHKDF-basierte Mission-Key-Grants — Apps bekommen per-Mission-Decrypt-Access, ohne den User-Masterkey zu sehen.
Wogegen Datensouveränität ansteuert — und was wir baulich dafür tun
Werte gewinnen erst gegen die Industrie-Logik, wenn sie sich an konkreten Problemen festmachen lassen — und an strukturellen Lösungenn, die sie tragen.
-
Daten-Monetarisierung — du bist nicht die Kundin, du bist die WareWenn das Produkt kostenlos ist, ist nicht selten dein Verhalten das eigentliche Produkt — und dein Profil wird in Echtzeit versteigert.
-
Überwachungs-Kapitalismus — Verhalten als RohstoffDie Akkumulation von Verhaltens-Daten ist kein Mittel zu einem Zweck. Sie ist die ökonomische Grundlage einer eigenen Industrie, deren wirtschaftliches Interesse in der Vorhersage und Steuerung menschlichen Verhaltens liegt.
-
Cloud-Act — extraterritoriale US-Zugriffe auf europäische DatenSolange der Mutterkonzern dem US-Recht unterliegt, gibt es keine technische oder vertragliche Konstruktion, die einen Cloud-Act- Zugriff auf europäische Daten zuverlässig ausschließen kann.
-
KI-Trainingsdaten ohne Konsens — Wäsche im IndustriemaßstabDatenkonsens wurde im Skalierungswettlauf wegoptimiert. Wer den Streit ausfechten will, muss sich durch Verfahren klagen, die länger dauern als die nächste Modell-Generation.
-
Event-Sourcing als Daten-ArchitekturJede Änderung ist ein Event. Apps lesen Projektionen, schreiben aber nur Events — und der Ledger ist die einzige Quelle der Wahrheit.
-
Cross-App-Timeline — jede Änderung ist sichtbar, auch KI-ÄnderungenWenn jede Änderung ein attribuierter Event ist, wird Transparenz zu einem Read-Modell — kein Marketing-Versprechen, sondern eine technische Konsequenz.
-
BYOK-Vault — der Verein sieht den Klartext nichtDer einzige Anbieter, dem man Daten ohne Vertrauen anvertrauen kann, ist der, der sie technisch nicht sehen kann — auch wenn er wollte.
-
DSGVO-Cascade-Löschung — „lösch mich" verschwindet wirklichLöschung ist nicht eine UI-Geste, sondern eine technische Operation, die durch alle Schichten propagiert werden muss — sonst ist sie eine Lüge.
-
Local-First + Login-OptionalDas energie-effizienteste Rechenzentrum ist die CPU, die ohnehin schon in der Hosentasche liegt — und kein Konto ist die beste Privatsphäre.
Was diesen Grundsatz weiter trägt
- Jetzt Memoro Web — Browser-Live-Test der wiederhergestellten UI Die SvelteKit-UI von Memoro wurde auf die neue Hono-RPC-App geliftet (Phasen A–F durch). Was fehlt vor öffentlicher Bewerbung: ein vollständiger Live-Test im Browser und eine letzte ausstehende DB-Migration.
- Jetzt Datenschutz V2 — Audit durch eine Kanzlei Die DSGVO-Vorlage V2 ist eingeführt, 11 App-DSEen, ein gemeinsames VVT und ein einheitlicher Footer stehen. Was fehlt vor offizieller Vereins-Gründung: ein juristisches Audit durch eine Kanzlei mit Datenschutz-Schwerpunkt.
- Bald sync1 abschalten, nachdem alle Apps auf sync2 (Event-Sourcing) sind sync2 (Event-Sourcing für 9 standalone Apps) läuft live. sync1 (Legacy-LWW für managarten) läuft parallel. Sobald managarten und die letzten Hybrid-Apps vollständig auf event-sourced umgebogen sind, kann sync1 retired werden.
- Bald BYOK-Vault MVP für Memoro und Mukke Der Lösung „BYOK-Vault, Zero-Knowledge" ist als Konzept beschlossen. Erster Konsument soll Memoro werden (Audio-Transkripte) und Mukke (Vocal- Stems) — beide Daten-Typen, die wir bewusst nie unverschlüsselt sehen wollen.
- Später On-Device-LLM für alle Apps — Anthropic/OpenAI/Gemini ablösen Die LLM-APIs (Anthropic, OpenAI, Gemini) sind heute die dritte bewusst akzeptierte Externe. Ablöse-Pfad: lokale Modelle, gestaffelt — Gemma/Mistral auf dem Gerät via mana-swift-llm, größere Modelle auf der eigenen GPU-Box.
- Idee Drei Lebens-Apps — Chronik, Body, Tagesjournal Aus der managarten-Konsolidierung sind drei klar separierte App-Konzepte übrig: Chronik (firsts/lasts/journal), Body (Fitness + Composition, 7 Tabellen), Tagesjournal. Playbooks gibt es teilweise, implementiert ist keine.
- Idee Mana-Tag Health-Bundle — Greenfield-Plan, nicht implementiert Konzept für ein konsolidiertes Gesundheits-Bundle (Nutriphi + Body + Tagesjournal + Mood + Sport in einer kohärenten App) liegt als Playbook MANATAG_GREENFIELD.md vor, mit acht Phasen. Ob es so gebaut wird, ist noch offen.
- Idee Local-First + Login-Optional — Sieben-Phasen-Plan ausrollen Playbook LOCAL_FIRST_LOGIN_OPTIONAL.md beschreibt vier neue Konventionen (event-sync anon, byok-vault, swift-event-sync, public-feed-standard) und sieben Rollout-Phasen. Heute noch nicht implementiert — könnte aber das glaubwürdigste Datensouveränitäts-Statement werden.