Privatsphäre per Architektur, nicht per Versprechen

Das Versprechen-Modell

Die meisten "Privacy-First"-Produkte sind um ein Versprechen herum gebaut: Wir sammeln deine Daten, aber wir versprechen, sorgfältig damit umzugehen. Manchmal ist das Versprechen aufrichtig. Manchmal überlebt es einen CEO-Wechsel. Manchmal überlebt es eine gerichtliche Anordnung nicht. Das Versprechen hält per Konstruktion nur so lange wie die Firma, die es abgegeben hat.

Das Architektur-Modell

Ein anderer Weg: das Produkt so bauen, dass das Versprechen physisch überflüssig wird. Keine Accounts. Keine Telemetrie. Keine Cloud-Synchronisation. Entzieh die Netzwerkberechtigung — die App arbeitet weiter. Die Privatsphäre-Eigenschaft wird nicht von einer Policy-Seite behauptet — sie wird durch das Fehlen von Code erzwungen, der sie je verletzen könnte.

Konkret bedeutet das:

• Kein Analytics-SDK. Kein Mixpanel, kein Amplitude, keine selbstgebaute Event-Pipeline. Wir wissen selbst nicht, wie viele Nutzer wir haben — das ist der Punkt.
• Keine Remote-Konfiguration. In unserem Bedrohungsmodell ist ein Feature Flag eine Hintertür. Jedes Binary, das wir ausliefern, verhält sich an Tag 1 und an Tag 300 gleich.
• Keine Background-Uploads. Logs sind lokal, opt-in und tauchen nur auf, wenn die Nutzer:in sie in eine Support-E-Mail klebt.
• Keine Drittanbieter-Domains. Die einzigen Netzwerkaufrufe einer Flux-App sind die vom OS vermittelten (App-Store-Updates, System-Push) — nie unsere eigenen.

Was es kostet

• Wir können nicht im klassischen Sinne A/B-testen. Wir verlassen uns auf kleine interne Nutzerstudien und auf das Lesen von Support-Mails.
• Wir können Bugs nicht beheben, indem wir in deine Daten schauen. Wir verlassen uns auf lokale Repros.
• Features müssen beim ersten Mal funktionieren. Es gibt kein "wir tunen das später aus dem Dashboard".

Was es einbringt

• Ein Datenschutzanspruch, den eine Aufsichtsbehörde mit tcpdump prüfen kann.
• Eine Nutzerbasis, die uns nicht vertrauen muss — sie kann verifizieren.
• Ein Produkt, das gut altert, weil es nicht auf eine Abrechnungsbeziehung angewiesen ist, um in fünf Jahren noch zu laufen.

Das Versprechen-Modell skaliert die Firma. Das Architektur-Modell skaliert das Vertrauen. Wir haben das zweite gewählt.