English version → ← Zur SYNTON-Website

Sicherheit & Datenschutz

Stand: Oktober 2026

Diese Seite listet ausschließlich Aussagen, die wir zum jeweils genannten Datum tatsächlich geprüft haben — mit Prüfdatum und, wo möglich, nachvollziehbarer Methode. Was wir nicht geprüft haben, steht hier nicht als Behauptung.

Der Grundsatz: SYNTON ist ohne individuelle Leistungsbewertung und ohne personenbezogene Auswertungen für Vorgesetzte gebaut.
Inhaltsverzeichnis
  1. Was wir geprüft haben
  2. Unterauftragsverarbeiter
  3. So prüfen wir
  4. Was wir nicht behaupten
  5. Kontakt

1. Was wir geprüft haben

Speicherort

Die Datenbank, die Authentifizierung und der Dateispeicher laufen bei Supabase in der EU-Region Irland (eu-west-1). Geprüft: Projektkonfiguration, 01.10.2026.

Anonymer Zugriff

Am 01.10.2026 lieferte ein anonymer Zugriff über die REST-Schnittstelle für die geschützten, geprüften Datenbanktabellen ein leeres Ergebnis ([]). Zwei ausdrücklich freigegebene Tabellen mit App-Einstellungen und Texten der Startseite dürfen die dafür vorgesehenen öffentlichen Inhalte liefern, weil die App sie vor der Anmeldung benötigt. Geprüft: anonymer REST-Test, 01.10.2026. Neue Tabellen müssen in die Testabdeckung aufgenommen werden.

Dieser Test hat keinen festen Turnus. Er wird nach wesentlichen Datenbankänderungen wiederholt. Ein einzelner bestandener Test ist eine Momentaufnahme, keine Dauerzusage.

Minimierung vor KI-Verarbeitung

In den Funktionen der App entfernt vor der Übermittlung an einen KI-Anbieter ein automatischer Filter E-Mail-Adressen, URLs und lange Ziffernfolgen. In Erläuterungstexten werden Namen anderer Personen durch „Person X" ersetzt. Es werden keine internen Nutzer-IDs an KI-Anbieter übertragen. Geprüft: Code-Review der Filterfunktion, 01.10.2026.

Ehrlich: Dieser Filter erkennt Klarnamen im freien Fließtext nicht zuverlässig. Wir sagen deshalb nicht „keine personenbezogenen Daten werden übermittelt", sondern benennen die Kategorien, die der Filter tatsächlich entfernt.

2. Unterauftragsverarbeiter

Diese Anbieter verarbeiten in unserem Auftrag Daten. Details, Prüfquellen und Übermittlungsgrundlagen: siehe Datenschutzerklärung, Abschnitt 5.

AnbieterZweckOrt
Supabase, Inc.Datenbank, Auth, DateispeicherEU (Irland)
Vercel Inc.Website- und App-HostingUSA
OpenAI, LLCSemantische EmbeddingsUSA
Anthropic PBCSprachmodell (Claude Haiku)USA
Resend, Inc.E-Mail-VersandUSA
Cloudflare, Inc.Bot-Schutz (Turnstile)USA
Google LLC, Apple Inc., Mozilla CorporationZustellung verschlüsselter Push-BenachrichtigungenUSA

3. So prüfen wir: der anonyme Zugriffstest

Wir behaupten nicht einfach, dass unsere Datenbank geschützt ist — wir testen es von außen, als anonyme Nutzerin, ohne jede Anmeldung:

  1. Für jede der (Stand 01.10.2026: 71) Tabellen in der Datenbank wird eine REST-Anfrage ohne Authentifizierungs-Token gestellt.
  2. Für geschützte Tabellen ist das erwartete Ergebnis ein leeres Array ([]) oder ein Zugriffsfehler — niemals eine lesbare Zeile.
  3. Für die zwei ausdrücklich öffentlich benötigten Tabellen ist nur die festgelegte Auswahl öffentlicher Einstellungen beziehungsweise Startseitentexte zulässig. Andere lesbare Daten sind ein offener Befund.
  4. Eine unerwartet lesbare Zeile oder Spalte gilt als offener Befund und muss vor einer weiteren Öffnung des Zugangs behoben werden.

Dieser Test prüft einen begrenzten Teil der tatsächlichen Außenwirkung der Zugriffsregeln (Row Level Security), nicht nur, ob eine Regel im Code existiert. Er belegt jedoch nicht die Trennung zwischen eingeloggten Konten, Räumen und Rollen und prüft auch nicht automatisch Dateispeicher oder sämtliche Schreibpfade.

4. Was wir nicht behaupten

5. Kontakt

Fragen zu Datenschutz oder Sicherheit, auch im Rahmen eines Organisationspiloten:
Kariem Al-Bosta
E-Mail: synton.app@gmail.com

Ausführliche rechtliche Angaben: Datenschutzerklärung.

Datenschutzerklärung  |  Impressum  |  Nutzungsbedingungen