Vertrauen

Digitale Souveränität

Diese Seite beantwortet die Fragen, die vor jeder Beschaffung kommen: Wo liegen die Daten? Wer kann sie anfassen? Was lässt sich abschalten? Und was ist noch offen? Stand: 14. August 2026.

Kurzfassung

Facilitools läuft vollständig auf eigenen Servern in Deutschland — Anwendung, Datenbank, Echtzeit-Dienst, Transkription und Reichweitenmessung. Dein Vertragspartner ist eine deutsche GmbH. An genau drei Stellen sind Dritte beteiligt: Zahlungen, Mailversand und die abschaltbaren KI-Funktionen. Alle drei stehen unten, mit Ort, Zweck und dem, was daran noch nicht gut genug ist.

Der Anker: ein deutscher Vertragspartner

Facilitools wird von der Tools for Tomorrow GmbH betrieben — eine deutsche GmbH mit Sitz in Berlin, eingetragen im Handelsregister (Amtsgericht Charlottenburg, HRB 282528 B). Das heißt konkret: Dein Vertrag gilt nach deutschem Recht, deine Rechnung kommt auf Deutsch, dein Ansprechpartner sitzt in Deutschland, und im Streitfall entscheidet ein deutsches Gericht. Wer schon einmal versucht hat, mit dem europäischen Ableger eines US-Konzerns einen Auftragsverarbeitungsvertrag zu verhandeln, weiß, was das wert ist.

Wo deine Daten liegen

Alles Folgende läuft auf Servern der Hetzner Online GmbH in Deutschland, auf Maschinen, die wir selbst verwalten:

• Die Anwendung selbst — kein Vercel, kein US-Hosting, keine fremde Verwaltungsschicht.
• Die Datenbank (PostgreSQL) — von außen nicht erreichbar.
• Die Anmeldung — selbst gebaut, bewusst ohne Fremdanbieter wie Auth0, Clerk oder Firebase. Sonst läge der gesamte Anmeldeweg bei einem US-Dienst.
• Die Echtzeit-Zusammenarbeit auf Whiteboards und Abläufen — ein eigener Sync-Dienst auf demselben Server, kein Liveblocks, kein Firebase.
• Die Transkription beim Mithören — Sprachaufnahmen verlassen den Server nicht.
• Die Reichweitenmessung — selbst gehostetes Umami, ohne Cookies, ohne Google Analytics, ohne Werbe-Tracker.
• Die Schriften — liegen bei uns und kommen von unserem Server. Beim Besuch der Seite ruft dein Browser keinen Google-Server an, und seit dem 14. August 2026 auch unser Bau-Prozess nicht mehr.

Wer außer uns beteiligt ist

Drei Dienste von Dritten sind im Einsatz, dazu zwei Sonderfälle. Die vollständige Liste mit Ort, Datenumfang und Rechtslage steht öffentlich unter Unterauftragsverarbeiter — sie ist aus dem Quelltext abgeleitet. Kurz:

• Zahlungen: Stripe (Stripe Payments Europe, Irland; Übermittlung in die USA möglich). Wir arbeiten daran, den Zahlungsanbieter austauschbar zu machen — Rechnung und SEPA-Überweisung gehen schon heute ganz ohne.
• Mailversand: Resend — Verarbeitung in der EU (Irland), aber ein US-Unternehmen. Ein Anbieter mit europäischer Mutter steht auf dem Bauplan.
• KI-Funktionen: Anthropic (USA) oder Mistral (Frankreich) — nur einer von beiden ist aktiv, umschaltbar je Installation, ganz abschaltbar. Es fließen ausschließlich die Eingaben in die jeweilige KI-Funktion — keine Konto-, Teilnehmenden- oder Zahlungsdaten.
• Miro-Import — nur wenn du ihn selbst startest, mit deinem eigenen Token, Richtung: nur herein.
• Shop-Produktbilder — kommen derzeit vom Shopify-CDN; das Spiegeln auf den eigenen Server steht auf dem Bauplan.

Was du abschalten kannst

• KI: jede Person für sich. Die KI-Funktionen lassen sich im eigenen Konto abwählen — der Generator fällt dann still auf die eingebaute Regel-Engine zurück.
• KI: je Installation. Ohne hinterlegten Schlüssel ist die KI komplett aus (fail-closed) — es gibt keinen stillen Fallback zu einem Fremddienst. Dasselbe Prinzip gilt für Zahlungen und Mailversand: Ohne Schlüssel ist der jeweilige Weg zu, und die Oberfläche sagt das ehrlich.
• KI: je Organisation. Eine Team-Verwaltung kann die KI-Funktionen für ihr ganzes Team sperren — dann schickt niemand im Team Eingaben an einen KI-Anbieter, egal was im eigenen Konto eingestellt ist. Durchgesetzt am Server, an derselben Stelle wie alle anderen KI-Prüfungen.

Kein Lock-in: Export und Löschen

Deine Daten gehören dir, und das muss man klicken können:

• Alles mitnehmen, ein Knopf. Im Konto gibt es den Vollexport: alle Inhalte deines Kontos als ZIP, in offenen Formaten (Art. 20 DSGVO).
• Offene Formate überall. Abläufe gehen als Word, PDF und Excel raus, Whiteboards als PDF, PowerPoint oder PNG, Tabellen als CSV.
• Konto löschen geht im Konto selbst — kein Support-Ticket, kein Rückrufwunsch.

Ende-zu-Ende-Verschlüsselung: nein — und zwar ehrlich

Facilitools ist nicht Ende-zu-Ende-verschlüsselt. Verbindungen laufen verschlüsselt (TLS), die Inhalte liegen aber lesbar auf unserem Server in Deutschland — sonst gäbe es keine Suche, keinen Export in offene Formate und keine gemeinsame Bearbeitung in Echtzeit in dieser Form. Wir schreiben das hin.

Wie diese Seite bewacht wird

Diese Seite hält sich selbst aktuell: Eine automatische Prüfung durchsucht bei jedem Bau den gesamten Quelltext nach ausgehenden Verbindungen — auch nach Downloads, die nur beim Bauen passieren. Taucht im Code ein Empfänger auf, der hier und in der Datenschutzerklärung nicht steht, bricht der Bau ab. Die Liste kann also nicht mehr stillschweigend veralten; genau das war der Grund, sie zu bauen.

Und die anderen? Der Souveränitäts-Check

Dieselben Fragen, gestellt an die Werkzeuge, mit denen Menschen vor Gruppen arbeiten — Miro, Mural, Mentimeter, Slido und mehr, jedes Urteil mit Quelle und Prüfdatum. Facilitools steht mit in der Tabelle, benotet mit denselben Maßstäben: zum Souveränitäts-Check.

Sicherheitslücke melden

Du hast eine Schwachstelle gefunden? Danke, dass du sie meldest, statt sie auszunutzen oder zu posten. Schreib an hey@tomorrow.tools — mit dem, was du gefunden hast, und wie wir es nachvollziehen können. Du bekommst eine Antwort, in der Regel innerhalb weniger Tage — und auf Wunsch eine Nennung, wenn die Lücke geschlossen ist. Maschinenlesbar steht das unter /.well-known/security.txt (RFC 9116).

Die Unterlagen — alles öffentlich

Was ein Einkauf, ein Datenschutzbeauftragter oder ein Betriebsrat sonst per Mail anfordern muss, steht hier einfach im Netz. Jede dieser Seiten benennt auch, was noch offen ist:

• Auftragsverarbeitungsvertrag — der AVV nach Art. 28 DSGVO, als ehrlich etikettierter Entwurf
• Unterauftragsverarbeiter — wer beteiligt ist, aus dem Quelltext abgeleitet und vom Bau-Prozess bewacht
• Technische und organisatorische Maßnahmen — wie die Daten geschützt sind (Art. 32), samt offener Punkte
• Löschkonzept — was wann verschwindet und woher wir das wissen
• Sicherheitsbericht — was zwei Audit-Durchläufe gefunden haben und was daraus wurde
• Erklärung zur Barrierefreiheit — was geprüft ist, was funktioniert, was nicht
• Datenschutzerklärung und wer hinter Facilitools steckt — mit Namen und Handelsregisternummer