Datensouveränität
Wir sind Verwahrer, nicht Eigentümer. Jederzeit Export, jederzeit Löschung, optional zero-knowledge verschlüsselt — auch wir sehen den Inhalt dann nicht.
Daten gehören den Nutzer:innen. Wir sind der Speicher, das Werkzeug, der Verwalter — aber das Eigentum bleibt da, wo der Inhalt herkommt.
Das hat praktische Konsequenzen. Jede App muss Export können. Jede Löschung muss kaskadieren. Wenn jemand sagt „lösch mich“, verschwinden wir nicht „aus der App“, sondern aus der Datenbank, dem Backup, dem Log. Und wo es sensibel wird — private Notizen, intime Listen, sehr persönliche Inhalte — gibt es einen Zero-Knowledge-Modus, in dem wir selbst keinen Klartext mehr sehen.
Wir verlieren damit Bequemlichkeit. Wir können nicht „mal eben“ eine schöne KI-Empfehlung über alle Konten ziehen. Das ist der Preis dafür, dass wir kein Datensilo werden, das auf Vorrat sammelt.
Was wir tun
- Speicherung in der EU und der Schweiz, auf Vereins-Infrastruktur
- Jederzeit Export aller eigenen Inhalte in offenen Formaten
- Jederzeit Löschung, inkl. kaskadierender Löschung in abhängigen Diensten
- Zero-Knowledge-Modus für sensible Inhalte (BYOK-Vault) — wir sehen den Inhalt dann nicht
- DSGVO-Auskunfts- und Löschungs-Stelle als eigener Service, nicht als Email-Anhang
Was wir nicht tun
- Kein zentrales Profil, das Daten quer über alle Apps zusammenführt, „weil's bequem ist"
- Keine Verkettung von Identifikatoren über App-Grenzen ohne ausdrückliche Einwilligung
- Keine Drittpartei-Analytics, kein Tracking — auch nicht „anonymisiert"
Was uns dieser Wert kostet
Jeder Wert hat einen Preis. Wir benennen ihn, damit Werte keine Floskeln werden.
- Zero-Knowledge bedeutet, dass wir bei Verlust des Schlüssels nicht helfen können
- Volle Datenportabilität verlangt mehr Engineering, als auf dem Wert „Lock-In" zu sitzen
- Manche schöne UX (Empfehlungen, Cross-App-Suggestions) geht bewusst nicht — oder nur lokal
Wo dieser Wert konkret im Code steht
Diese Apps, Services und Pakete führen Datensouveränitätausdrücklich in ihrer Werte-Liste. Werte gewinnen erst, wenn sie sich an Bauteilen festmachen lassen.
- MemoroStimme aufnehmen, automatisch in Text verwandeln, sortieren und durchsuchen — für Notizen, Meetings, Interviews oder Tagebuch.
- ZitareEin offener Zitate-Korpus zum Sammeln, Suchen und Kuratieren — Werke gemeinfreier Stimmen, sauber belegt, unter freier Lizenz.
- KistliKleine Apps für Kinder — komplett offline, ohne Konto, ohne Werbung, ohne Zeitdruck. Eine ganze Familie.
- PagetaLese-App ohne Algorithmus-Druck — Save-it-later mit Markierungen, Pocket-Umzug, voller Export. Was du willst, nicht was klicken soll.
- NutriphiMahlzeit-Tracking mit KI-Unterstützung — per Foto, Text oder Sprachnachricht aus Memoro. Die App schätzt Nährwerte und führt deine Tagesziele mit.
- rundumEinmal ums Objekt gefilmt — eine frei drehbare 3D-Szene, berechnet auf Vereins-Hardware.
- MukkeDeine Musik, dein Server — selbst-gehostete Library, persistenter Player, Studio für Lyrics-Sync mit Waveform.
- ViadocuDein eigener Bewegungs-Speicher — GPS-Spuren sammeln, Orte und Städte automatisch zusammenfassen.
- Chorportal ThurgauGemeinsame Plattform für die Chöre des Kantons Thurgau — Repertoire, Noten, Übungs-MP3s und Setlisten an einem Ort, untereinander teilbar.
- SaldoEinnahmen, Ausgaben und Belege — privat und für die Selbständigkeit in der Schweiz. Rechnung fotografieren, der Rest füllt sich.
- LumeTourInteraktive, verzweigte Video-Touren — anschauen und selbst erstellen.
- KlangkisteBeat und Melodie bauen, ohne Vorkenntnisse und ohne Konto — jeder Klang entsteht direkt im Browser.
- AvatarEine Pixel-Figur Stück für Stück selbst zusammensetzen — offline, kostenlos und ohne dass ein Bild jemals verschickt wird.
- NotizEin einziges, ewig langes Dokument, das sich selbst sortiert — Ende-zu-Ende verschlüsselt, ohne Konto nutzbar.
- StimmigSingen üben mit Rückmeldung in Echtzeit — die Stimme wird im Gerät ausgewertet und verlässt es nie.
- KollektaBücher, Filme, Serien und Comics mitschreiben — verschlüsselt, ohne Empfehlungs-Algorithmus, ohne Konto-Zwang.
- LichtwerkBilder bearbeiten im Browser — Ebenen, Zuschnitt, Korrekturen; Anmelden nur, wenn die KI mitarbeiten soll.
- BildaEine Bild-Bibliothek, die ohne Konto rein im Browser läuft — und mit Konto verschlüsselt auf deine Geräte kommt.
- GewebaEine Website aus Klartext bauen — jede Wandlung zeigt erst den Unterschied, jede Schicht bleibt von Hand editierbar.
- WorldreamErfundene Welten als vernetzte Texte bauen — Figuren, Orte und Geschichten verweisen aufeinander, KI nur, wenn du sie rufst.
- Amana-authIdentität, Sessions und JWKS für alle Vereins-Apps — eine Anmeldung, lokale Token-Verifikation, kein Cloud-Auth-Anbieter.
- Mmana-meUser-globale Profil-Referenzen — welches Foto ist gerade dein Gesicht, welches dein Körper, über alle Apps hinweg.
- AauraPrivater Anerkennungs-Ledger für Beiträge zum Ökosystem — sechs Botanik-Ränge, kleine reale Geschenke, kein Leaderboard.
- XxpGeplantes Lern- und Kompetenz-Backbone der Plattform — Skill-XP pro App, neun Intelligenz-Domains, globaler Level, opt-in-Portfolio.
- Smana-shareFöderations-Drehscheibe für Cross-App-Datentransfers — App-Manifeste, Routing, Retry-Queue, Audit-Log.
- Smana-searchFöderierte Aggregat-Suche — verteilt eine Anfrage über alle Apps eines Users und vereint die Ergebnisse.
- Smana-sttSelbst gehostetes Speech-to-Text via Whisper auf eigenem GPU-Server — Sprache verlässt die Vereins-Infrastruktur nicht.
- Tmana-ttsSelbst gehostetes Text-to-Speech auf eigenem GPU-Server — Vereins-Stimme statt Big-Cloud-Stimme.
- Mmana-mediaObjekt-Speicher für alle Vereins-Uploads — S3-kompatibles MinIO im Eigenbetrieb, Buckets pro App.
- Gmana-geocodingAdresse ↔ Koordinaten — eigener Photon-Server zuerst, Public-Photon und Nominatim nur als Fallback.
- Smana-syncEvent-Store-Server für die Event-Sourced-Plattform — Append-only Event-Log pro User pro App, JWT-Auth via mana-auth.
- Pmana-presenceLive-State + SSE-Fanout — was läuft gerade auf welchem Gerät, bidirektional zwischen Phone und Web.
- Mmana-mailTransaktionale Email für die ganze Plattform — Welcome, Passwort-Reset, Spendenbescheinigung, alles über Vereins-Stalwart.
- Nmana-notifyPush-Versand für iOS, Android und Web-Push — Templates und Throttling zentral, keine Push-SaaS-Anbieter.
- Amana-adminVereins-Backoffice — Mitglieder, Spenden, DSGVO-Fan-out, Einladungen, Aura-Ledger und Gift-Versand in einem Werkzeug.
- S@mana/shared-loggerLogging-Foundation für Mobile- und Web-Apps der Plattform — strukturiert, kontextualisierbar, datenschutz-konform.
- S@mana/shared-app-tplHono-Helpers für föderierte Vereins-Apps — Manifest-Serving, Share-Receive-Router, Tools-Router, DSGVO-Export.
- S@mana/shared-share-protocolFöderations-Vertrag des Vereins — Manifest, Share-Envelope, Drag-Payload, Search-Result. Der eine Klasse-A-Vertrag, an dem alle Apps hängen.
- S@mana/shared-schemasEvent-Schemas pro Vereins-App — die Quelle der Wahrheit für mana-sync und Codegen-Quelle für event-kit.
- E@mana/event-syncWeb-Client für die Event-Sourced-Plattform — IndexedDB-Store + HTTP/WebSocket-Sync zu mana-sync.
- S@mana/shared-auth-ssoSvelte-5-Auth-Klient für das SSO-Cookie-Pattern — createSession, tryRefresh, buildLoginRedirect, AuthCallback.
- N@mana/notify-clientClient-SDK für den mana-notify Push-Service — eine Zeile pro App, statt OneSignal-Setup zu pflegen.
- S@mana/shared-mapCross-App-Karten-Komponente — MapLibre GL JS, PMTiles-ready, OpenStreetMap-Kacheln. Eine Karte für alle Vereins-Apps.
- S@mana/shared-key-grantHKDF-basierte Mission-Key-Grants — Apps bekommen per-Mission-Decrypt-Access, ohne den User-Masterkey zu sehen.
Wogegen Datensouveränität ansteuert — und was wir baulich dafür tun
Werte gewinnen erst gegen die Industrie-Logik, wenn sie sich an konkreten Problemen festmachen lassen — und an strukturellen Lösungenn, die sie tragen.
- Daten-Monetarisierung — du bist nicht die Kundin, du bist die WareWenn das Produkt kostenlos ist, ist nicht selten dein Verhalten das eigentliche Produkt — und dein Profil wird in Echtzeit versteigert.
- Überwachungs-Kapitalismus — Verhalten als RohstoffDie Akkumulation von Verhaltens-Daten ist kein Mittel zu einem Zweck. Sie ist die ökonomische Grundlage einer eigenen Industrie, deren wirtschaftliches Interesse in der Vorhersage und Steuerung menschlichen Verhaltens liegt.
- Cloud-Act — extraterritoriale US-Zugriffe auf europäische DatenSolange der Mutterkonzern dem US-Recht unterliegt, gibt es keine technische oder vertragliche Konstruktion, die einen Cloud-Act- Zugriff auf europäische Daten zuverlässig ausschließen kann.
- KI-Trainingsdaten ohne Konsens — Wäsche im IndustriemaßstabDatenkonsens wurde im Skalierungswettlauf wegoptimiert. Wer den Streit ausfechten will, muss sich durch Verfahren klagen, die länger dauern als die nächste Modell-Generation.
- Event-Sourcing als Daten-ArchitekturJede Änderung ist ein Event. Apps lesen Projektionen, schreiben aber nur Events — und der Ledger ist die einzige Quelle der Wahrheit.
- Cross-App-Timeline — jede Änderung ist sichtbar, auch KI-ÄnderungenWenn jede Änderung ein attribuierter Event ist, wird Transparenz zu einem Read-Modell — kein Marketing-Versprechen, sondern eine technische Konsequenz.
- BYOK-Vault — der Verein sieht den Klartext nichtDer einzige Anbieter, dem man Daten ohne Vertrauen anvertrauen kann, ist der, der sie technisch nicht sehen kann — auch wenn er wollte.
- DSGVO-Cascade-Löschung — „lösch mich" verschwindet wirklichLöschung ist nicht eine UI-Geste, sondern eine technische Operation, die durch alle Schichten propagiert werden muss — sonst ist sie eine Lüge.
- Local-First + Login-OptionalDas energie-effizienteste Rechenzentrum ist die CPU, die ohnehin schon in der Hosentasche liegt — und kein Konto ist die beste Privatsphäre.
Was diesen Grundsatz weiter trägt
- JetztMemoro Web — Browser-Live-Test der wiederhergestellten UIDie SvelteKit-UI von Memoro wurde auf die neue Hono-RPC-App geliftet (Phasen A–F durch). Was fehlt vor öffentlicher Bewerbung: ein vollständiger Live-Test im Browser und eine letzte ausstehende DB-Migration.
- JetztDatenschutz V2 — Audit durch eine KanzleiDie DSGVO-Vorlage V2 ist eingeführt, 11 App-DSEen, ein gemeinsames VVT und ein einheitlicher Footer stehen. Was fehlt vor offizieller Vereins-Gründung: ein juristisches Audit durch eine Kanzlei mit Datenschutz-Schwerpunkt.
- Baldsync1 abschalten, nachdem alle Apps auf sync2 (Event-Sourcing) sindsync2 (Event-Sourcing für 9 standalone Apps) läuft live. sync1 (Legacy-LWW für managarten) läuft parallel. Sobald managarten und die letzten Hybrid-Apps vollständig auf event-sourced umgebogen sind, kann sync1 retired werden.
- BaldBYOK-Vault MVP für Memoro und MukkeDer Lösung „BYOK-Vault, Zero-Knowledge" ist als Konzept beschlossen. Erster Konsument soll Memoro werden (Audio-Transkripte) und Mukke (Vocal- Stems) — beide Daten-Typen, die wir bewusst nie unverschlüsselt sehen wollen.
- SpäterOn-Device-LLM für alle Apps — Anthropic/OpenAI/Gemini ablösenDie LLM-APIs (Anthropic, OpenAI, Gemini) sind heute die dritte bewusst akzeptierte Externe. Ablöse-Pfad: lokale Modelle, gestaffelt — Gemma/Mistral auf dem Gerät via mana-swift-llm, größere Modelle auf der eigenen GPU-Box.
- IdeeDrei Lebens-Apps — Chronik, Body, TagesjournalAus der managarten-Konsolidierung sind drei klar separierte App-Konzepte übrig: Chronik (firsts/lasts/journal), Body (Fitness + Composition, 7 Tabellen), Tagesjournal. Playbooks gibt es teilweise, implementiert ist keine.
- IdeeMana-Tag Health-Bundle — Greenfield-Plan, nicht implementiertKonzept für ein konsolidiertes Gesundheits-Bundle (Nutriphi + Body + Tagesjournal + Mood + Sport in einer kohärenten App) liegt als Playbook MANATAG_GREENFIELD.md vor, mit acht Phasen. Ob es so gebaut wird, ist noch offen.
- IdeeLocal-First + Login-Optional — Sieben-Phasen-Plan ausrollenPlaybook LOCAL_FIRST_LOGIN_OPTIONAL.md beschreibt vier neue Konventionen (event-sync anon, byok-vault, swift-event-sync, public-feed-standard) und sieben Rollout-Phasen. Heute noch nicht implementiert — könnte aber das glaubwürdigste Datensouveränitäts-Statement werden.