Vertrauen & Transparenz
Vertrauen
muss man beweisen.
Bei Synaptiik ist die Souveränität Ihrer Daten ein unantastbares Gut – kein Marketingversprechen. Hier sind unsere konkreten, überprüfbaren und vertraglich durchsetzbaren Verpflichtungen.
DSGVO by Design
Von Grund auf konzipiert
ISO 27001
Hosting-Anbieter (Supabase/AWS EU)
Elektronische Signatur (SES)
SHA-256; Server-Zeitstempel im Audit-Protokoll
PCI DSS Level 1
Stripe-Zahlungen
TLS 1.3 + AES-256
Verschlüsselung bei Übertragung & Speicherung
Anthropic Null-Speicherung
KI ohne Drittanbieter-Training
Datenschutz
DSGVO by Design
Die DSGVO ist kein Häkchen zum Abhaken. Sie ist seit dem ersten Commit fest in der Architektur verankert.
- Granulare Einwilligungen mit zeitgestempeltem SHA-256-Nachweis
- Recht auf Löschung (DSAR): Anfrage protokolliert, Konto innerhalb von 72 Stunden deaktiviert, endgültige Löschung 30 Tage später (in dieser Frist widerrufbar) — täglich überwachtes internes SLA, deutlich unter der gesetzlichen DSGVO-Frist von einem Monat
- Verzeichnis von Verarbeitungstätigkeiten (ROPA) auf Anfrage einsehbar
- Automatische Aufbewahrung gemäß gesetzlichen Fristen (Rechnungen 10 Jahre, Logs 1 Jahr)
- Meldung von Datenschutzverletzungen innerhalb von 72 Std. an die CNIL (Pflicht gemäß Art. 33 DSGVO)
- Legal Holds für gerichtliche Sperren (Rechtsverfahren)
- Ihre Daten werden niemals weiterverkauft, geteilt oder zu kommerziellen Zwecken Dritter verwendet
Künstliche Intelligenz
Transparente KI, Null-Speicherung
Leeza läuft ausschließlich auf den Anthropic-Modellen – mit einer Richtlinie der Null-Speicherung.
- Einziger KI-Anbieter: Anthropic (Claude Haiku 4.5 / Sonnet 4.6 / Opus 4.7) – kein OpenAI, kein Google
- Null-Speicherung: Ihre Daten werden niemals zum Training von Drittanbieter-Modellen verwendet
- Jede Leeza-Empfehlung zeigt: Warum · Risiken · Alternative
- Menschliches Override bei jeder automatisierten Entscheidung
- Vollständiger Audit-Trail aller Leeza-Aktionen
- Sofortiger Kill-Switch für alle KI-Dienste, pro Portal und pro Konto
- Keine vollständig automatisierte Geschäftsentscheidung ohne ausdrückliche Freigabe
Infrastruktur
Verstärkte Sicherheit
Verschlüsselung bei Übertragung (TLS 1.3) und Speicherung (AES-256), Multi-Faktor-Authentifizierung, Zero-Trust-Architektur.
- Verschlüsselung bei Übertragung: mindestens TLS 1.2, TLS 1.3 bevorzugt auf allen Verbindungen
- Verschlüsselung bei Speicherung: AES-256 für alle Dateien und sensiblen Daten
- MFA verpflichtend für Studio- und Agentur-Konten
- Hierarchisches RBAC – 7 Berechtigungsstufen (platform_owner → client)
- Strikte CSP mit kryptografischem Nonce (kein unsigniertes Inline-Skript)
- Rate-Limiting pro Benutzer und pro IP, mit verteiltem Redis (Upstash) auf sensiblen Routen
- Kontinuierliches Sicherheitsmonitoring mit P0-Alarmen in Echtzeit
Souveränität
EU-Hosting – ISO-27001-Rechenzentren
Produktionsinfrastruktur und -daten werden in Europa bei ISO-27001-zertifizierten Anbietern gehostet. KI-Verarbeitung über Anthropic (US) wird durch DPA/SCC geregelt, Null-Speicherung.
- ISO-27001-zertifizierte Rechenzentren (Supabase / AWS EU), in Europa gehostet
- Foto- und Videodaten: ausschließlich EU-Speicherung, niemals außerhalb der EU geroutet
- Supabase EU Tier – Datenbank und Auth in Frankreich
- Vercel Edge EU – europäisches CDN für öffentliche Assets
- Vollständiger Export Ihrer Daten jederzeit, in offenen Formaten (JSON/CSV/PDF)
- Endgültige und überprüfbare Löschung auf Anfrage (Art. 17 DSGVO)
- KI-Verarbeitung (Anthropic) geregelt durch DPA + SCC-Klauseln – Null-Speicherung der Daten
Rechtswert
Einfache elektronische Signatur (SES)
Einfache elektronische Signatur (EES) im Sinne von Artikel 25 Abs. 1 der eIDAS-Verordnung, verstärkt durch einen SHA-256-Integritätsnachweis und einen Server-Zeitstempel.
- Eigene SES: SHA-256-Integritätsnachweis + Server-Zeitstempel im Audit-Register
- Ausdrückliche, mit Zeitstempel versehene Zustimmung und ein Einmal-Bestätigungscode vor dem Anbringen der Signatur
- Unveränderliches Audit-Protokoll (SHA-256-Prüfsumme) – kein NF-Z42-020-Tresor
- In der gesamten Europäischen Union geltender Rahmen: eIDAS-Verordnung (EU) Nr. 910/2014
- Digitaler Audit-Trail: wer signiert hat, wann, von welcher IP, auf welchem Gerät
- Aufbewahrung der Nachweise für die jeweils geltende gesetzliche Dauer
- Sichere Zahlungen über Stripe – zertifiziert nach PCI DSS Level 1
Produktverpflichtung
Transparenz ohne Kompromisse
Keine Dark Patterns. Keine bezahlten Platzierungen. Keine algorithmische Manipulation.
- Kündigung in 2 Klicks über das Dashboard – ohne Reibung, ohne Formular
- Keine bezahlten Platzierungen in der Agora (Matching-Kriterien veröffentlicht)
- Anbindung an eine Partner-Plattform für elektronische Rechnungen (PDP) — in Arbeit, vor der gesetzlichen Empfangsfrist (09/2026)
- Kundenbewertungen ungefiltert und vom Profi nicht veränderbar
- Keine Daten an kommerzielle Dritte verkauft (Werbung, Drittanbieter-Analytics)
- Größere Vorfälle dokumentiert mit Ursachenanalyse
- 30 Tage Vorankündigung bei jeder Änderung der Nutzungsbedingungen
Servicevertrag
Verfügbarkeit & SLA
Vertragliche Verpflichtungen, keine Marketingversprechen.
- Ziel für monatliche Verfügbarkeit: 99 % (AGB Art. 9)
- Servicegutschriften bei Nichteinhaltung des SLA – in Ausrollung (Phase 2)
- Priorisierter Support für die Pläne Agentur und Scale
- Kontinuierliche Überwachung der Verfügbarkeit
- Vorfälle dokumentiert mit Ursachenanalyse
- Regelmäßige automatische Backups mit Aufbewahrung
Abgrenzung
Der Name „Synaptiik".
- Synaptiik wird mit zwei „i" geschrieben — nicht „Synaptik" (ein US-Neurotech-Unternehmen) oder „Synaptic" (ein generischer Begriff aus dem Bereich neuronales Computing). Der Name bezieht sich auf die Synapse, die Verbindung zwischen den Beteiligten eines Bildprojekts, nicht auf ein Neurowissenschafts- oder generisches KI-Produkt.
- Synaptiik ist weder ein Framework, noch eine technische Bibliothek, noch eine Hardware-Marke — es ist eine SaaS-Verwaltungssoftware für Bildprofis (Fotografen, Videografen, Drohnenpiloten).
Ihre Daten gehören Ihnen
Ihre Fotos, Videos, Verträge, Kundendaten und Ihr organisatorisches Gedächtnis gehören ausschließlich Ihrem Studio. Synaptiik ist ein Dienstleistungsbetreiber, kein Dateneigentümer. Sie können jederzeit alles exportieren und eine vollständige Löschung verlangen – ohne Begründung; das Konto wird innerhalb von 72 Std. deaktiviert und 30 Tage später endgültig gelöscht (in dieser Frist widerrufbar).
Im Falle einer Kündigung bleiben Ihre Daten 30 Tage lang exportierbar. Nach dieser Frist werden sie unwiderruflich und dokumentiert gelöscht.
Absolute Abschottung
Row Level Security (RLS) auf jeder Tabelle aktiviert. Ihre Daten sind niemals für einen anderen Synaptiik-Abonnenten zugänglich. Strikte Isolation pro Organisation über Row-Level Security.
Was das konkret bedeutet
Ein Sicherheitsversprechen wird beschrieben.
„Sicher“ bedeutet nichts, solange nicht präzisiert wird, wogegen, auf welchem Niveau und was danach noch überprüfbar bleibt. Die oben aufgeführten Zusagen beschreiben tatsächlich umgesetzte Maßnahmen — keine Absichten und keine Gütesiegel, die wir nicht besitzen.
Wenn eine Garantie auf einem Dritten beruht, wird sie als solche benannt: Die PCI-DSS-Konformität der Zahlungen liegt bei Stripe, die ISO-27001-Zertifizierung bei unserem Infrastruktur-Hoster. Was in den Verantwortungsbereich von Synaptiik fällt, wird nachfolgend in technischen Begriffen beschrieben.
Foto: Felix Moeller · Pexels
Technische Maßnahmen
Sechs Mechanismen – und was sie verhindern.
Jede Maßnahme wird durch das beschrieben, was sie tut, und durch das Risiko, das sie abdeckt — denn ein Mechanismus, dessen Zweck man nicht kennt, beruhigt niemanden.
Studiopraktiken
Die Gewohnheiten, die Risiken schaffen — und ihr Ersatz.
Die meisten Vorfälle in einem Studio entstehen nicht durch einen Angriff, sondern durch eine bequeme Gewohnheit: einen öffentlichen Link, ein geteiltes Passwort, einen lokalen Ordner.
Abgrenzung
Was Synaptiik nicht ist.
Der Name lädt zu Verwechslungen ein, und der Markt für Foto-Software ist voller vager Versprechen. Hier steht unverblümt, was Synaptiik nicht tut.
Geld & Abrechnung
Wie Synaptiik mit dem Geld umgeht, das über die Plattform fließt.
Ein sensibles Thema, ohne Fachjargon erklärt: Wer bekommt was, wann, und unter welchen Bedingungen können Sie es sich anders überlegen.
FAQ
Häufig gestellte Fragen zu Ihren Daten.
Wo werden die Daten meines Studios gehostet?
In der Europäischen Union, bei unserem Infrastruktur-Hoster. Anwendungsverarbeitung und Dateispeicherung liegen im selben geografischen Bereich, wodurch ein Transfer außerhalb der EU im normalen Betrieb vermieden wird.
Kann ein Mitarbeiter alle Projekte des Studios sehen?
Nein, außer Sie entscheiden es so. Zugriffe werden pro Person und pro Bereich vergeben: Ein zweiter Fotograf oder ein Dienstleister sieht nur die Aufträge, denen er zugeordnet ist. Die Filterung erfolgt an der Quelle, in der Datenbank, und wird nicht nur auf dem Bildschirm ausgeblendet.
Wem gehören die in Synaptiik hochgeladenen Bilder?
Ihnen. Synaptiik ist ein technischer Dienstleister: Er hostet und überträgt Ihre Dateien in Ihrem Auftrag. Es werden keine Nutzungsrechte an Ihren Bildern erworben, und sie werden weder weiterverkauft noch für kommerzielle Zwecke Dritter verwendet.
Was passiert, wenn einer meiner Kunden die Löschung seiner Daten verlangt?
Die Anfrage wird innerhalb der von der DSGVO vorgesehenen Frist bearbeitet. Da die Daten einer Organisation und einem Projekt zugeordnet sind, können sie lokalisiert und anschließend gelöscht werden, vorbehaltlich gesetzlicher Aufbewahrungspflichten — Rechnungen insbesondere müssen für die gesetzlich vorgeschriebene Dauer aufbewahrt werden.
Kann Leeza ohne meine Zustimmung auf meine Daten zugreifen?
Nein. Jede Empfehlung wird mit ihrer Begründung und ihrer Alternative präsentiert, keine geschäftliche Entscheidung wird ohne ausdrückliche Bestätigung ausgeführt, und die Unterstützung kann pro Konto und pro Portal deaktiviert werden.
Was geschieht mit meinen Daten, wenn ich das Abonnement kündige?
Sie bleiben dreißig Tage nach der Kündigung zugänglich, damit Sie Zeit haben, Ihre Projekte, Dokumente und Dateien zu exportieren. Nach Ablauf dieser Frist werden sie gemäß der für Ihr Konto geltenden Aufbewahrungsrichtlinie gelöscht.
Wie geht Synaptiik mit dem Geld um, das über die Plattform fließt?
Zahlungen werden von Stripe, unserem lizenzierten Zahlungsdienstleister, abgewickelt. Synaptiik hält niemals Gelder auf einem Treuhandkonto: Sie werden direkt an den betreffenden Profi oder Dienstleister ausgezahlt. Eine feste Servicegebühr von 5 % gilt einheitlich für alle betreffenden Leistungen — nie als variable Provision dargestellt.
Kann ich eine Rückerstattung erhalten, wenn ich es mir anders überlege?
Ja, bei den Plänen Solo und Studio: geschäftliche Rückerstattung innerhalb von 14 Tagen bei monatlicher, 30 Tagen bei jährlicher Zahlung. Der Plan Prestataire (29 €/Monat) erhält 14 Tage. Agence und Agence Scale, vor dem Abschluss per Demo und Pilotprojekt evaluiert, sind von diesem Zeitfenster nicht abgedeckt.
Wie kündige ich mein Abonnement?
Synaptiik läuft ohne Bindung: Die Kündigung erfolgt in Ihrem Abrechnungsbereich, ohne vertragliche Frist oder Ausstiegsgebühren. Ihre Daten bleiben nach der Kündigung dreißig Tage lang zugänglich, damit Sie Ihre Projekte exportieren können.
Wird Synaptiik aktiv weiterentwickelt?
Ja. Der Synaptiik-Blog zeigt das Veröffentlichungsdatum jedes Artikels, das mit der Weiterentwicklung von Produkt und Rechtsrahmen aktualisiert wird — Sie können die Aktualität der Inhalte selbst auf /blog überprüfen. Die Fachratgeber (/ressources) werden ebenfalls überarbeitet, wenn sich der rechtliche Rahmen ändert.
Fragen zu Sicherheit oder Compliance?
Unser Team beantwortet jede DPO-Anfrage, jeden Sicherheitsaudit oder jede vertragliche Frage. Garantierte Antwortzeit: 48 Geschäftsstunden.