Auf die Warteliste Warteliste

Sicherheit

Sicherheit und Speicherort

Kurz und überprüfbar: wo die Daten liegen, wer herankommt und was die KI darf. Stand: 9. November 2026

Speicherort

  • Mails, Anhänge, Dokumente, Termine, Kontakte und Kontodaten liegen bei Cloudflare in Speichern und Datenbanken mit EU-Jurisdiktion: Sie werden nur in Rechenzentren in der EU gespeichert.
  • Mails für eigene Domains laufen beim Empfang und Versand über Amazon SES in Frankfurt; eingehende Mails werden dort nach der Zustellung gelöscht.
  • Texterkennung für Dokumente (Google Cloud, EU-Endpunkt) und die Berechnung der Suchvektoren (Lyceum, EU) laufen in der EU.
  • Die vollständige Liste der Anbieter steht unter AVV und Unterauftragsverarbeiter.

Was die KI darf

  • Die KI läuft nicht bei Swavo. Sie verbinden Ihre eigene KI-App; sie bekommt nur, was sie für eine Anfrage abruft, und nur für die Logins und Konten, die beim Verbinden ausgewählt wurden.
  • Senden kann die KI nicht. Sie schreibt Entwürfe; gesendet wird von einem Menschen.
  • Verschieben, Löschen, Regeln und Teilen warten auf eine Freigabe. Riskante Änderungen an einer Organisation bestätigt ein Administrator mit seinem Passkey.
  • Jede Verbindung lässt sich in den Einstellungen sofort trennen.
  • Inhalte von Mails und Dokumenten behandelt Swavo gegenüber der KI als nicht vertrauenswürdige Daten, nicht als Anweisungen.

Anmeldung

  • Anmeldung mit Passkey (Fingerabdruck, Gesicht oder Geräte-PIN) oder über Google, GitHub oder Microsoft. Swavo speichert keine Passwörter für die Anmeldung.
  • Organisationen können die Anmeldung über ihren eigenen Anmeldedienst (OIDC oder SAML) einrichten und Firmen-Logins sperren oder zurücksetzen.
  • Geräte wie Kalender- und Mailprogramme bekommen eigene App-Passwörter, die sich einzeln widerrufen lassen.

Verschlüsselung

  • Alle Verbindungen zu Swavo sind per TLS verschlüsselt; die Domains erzwingen HTTPS (HSTS, ein Jahr, mit Subdomains).
  • Zugangsdaten zu verbundenen Postfächern und Zugriffstoken werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert.
  • Benachrichtigungen an die Android-App enthalten nur Kennungen, keine Inhalte; Benachrichtigungen im Browser sind verschlüsselt.

Keine Auswertung, kein Training

  • Inhalte werden nicht zum Training von KI-Modellen verwendet und nicht für Werbung ausgewertet.
  • Die Website und der Dienst kommen ohne Tracker und ohne Werbe-Cookies aus.

Sicherungen und Löschung

Die Datenbanken werden täglich gesichert; Sicherungen werden je nach Stufe 9, 35 oder 331 Tage aufbewahrt und dienen nur der Wiederherstellung nach Fehlern. Gelöschte Nachrichten werden im Speicher nach 340 Tagen endgültig entfernt. Daten mitnehmen und das Konto löschen geht in der App unter Einstellungen → Konto & Sicherheit.

Schwachstelle melden

Schreiben Sie an support@swavo.de; die Angaben für Sicherheitsforscher stehen in security.txt. Wir antworten persönlich.

Siehe auch: Datenschutzerklärung, AVV und Unterauftragsverarbeiter, Hilfe.