Wo Ihre Daten liegen
Bei der Datenhaltung sind es zwei Fragen: wo die Daten liegen, und wo der Code läuft, der sie liest.
Die primäre Datenbank und der private Dateispeicher liegen bei Supabase in der Region Zürich (eu-central-2): Rechnungen, Kunden, Ausgaben, Belege, Dokumente und signierte Verträge.
Die Anwendung läuft woanders: serverloser Code bei Vercel in Frankfurt (fra1), der diese Datenbank in Zürich liest. E-Mail, die KI-Funktionen und, nur mit Einwilligung, die Website-Analyse verarbeiten begrenzte Daten in der EU oder in den USA.
Wer an Ihre Datenzeilen kommt
Jedes Modul ist kontobezogen: Lesen und Schreiben lösen zuerst eine Konto-ID auf, und jede Abfrage filtert darauf. Darunter liegt die Sicherheit auf Zeilenebene, bei einer Messung im September 2026 waren es 444 Richtlinien, so dass ein Konto nur an seine eigenen Zeilen kommt.
Hintergrundjobs laufen unter einem Service-Role-Client, der die Sicherheit auf Zeilenebene bewusst umgeht, SECURITY-DEFINER-Funktionen laufen mit den Rechten ihres Eigentümers, und FORCE ROW LEVEL SECURITY ist auf keiner einzigen Tabelle gesetzt. Diese Wege sind stattdessen in der Anwendungsschicht geschlossen, und darum steht auf keiner Seite hier, die Datenbank könne die Zeile eines anderen Mandanten physisch nicht zurückgeben.
Solory wird von einer einzigen Person betrieben, und diese kann ein Konto öffnen, um eine Supportanfrage zu beantworten oder einen Fehler zu untersuchen. Das schreibt einen Eintrag in das Audit-Log des Kontos selbst, begrenzt auf das, was die Frage erfordert. Niemand sonst hat Zugriff, und das Audit-Log kann von keiner der beiden Seiten geändert oder gelöscht werden.
Zwei-Faktor-Authentifizierung, und warum sie mehr ist als ein Bildschirm
TOTP über eine Authenticator-App, unter Einstellungen und Sicherheit.
Einrichten
Scannen Sie den QR-Code oder tippen Sie das Geheimnis in Ihre Authenticator-App, und bestätigen Sie mit einem sechsstelligen Code.
Die Wiederherstellungscodes aufbewahren
Einmalig verwendbar, einmalig angezeigt, mit Kopieren, Herunterladen und Neuerzeugen. Wer einen davon einlöst, schaltet 2FA damit ab, und das wird auch so gesagt.
Anmelden
Nach dem Passwort folgt eine zusätzliche Abfrage, und die Zahl der Versuche ist begrenzt, so dass wiederholte Versuche abgewiesen werden.
Eine restriktive Datenbankrichtlinie wird auf 160 Tabellen mit jeder bestehenden Richtlinie kombiniert, und sie reicht auch in den Dateispeicher: Belege, signierte Verträge, Dokumente, Mailanhänge. Eine Sitzung, die den Faktor nicht abgeschlossen hat, bekommt die Daten nicht, nicht bloss die Seite.
Was ein Teammitglied, ein Treuhänder oder ein Kunde sieht
Vier Arten von Zugang, vier Obergrenzen. Keine davon ist alles.
| Wen Sie hereinlassen | Was diese Person sieht | Was sie nicht erreicht |
|---|---|---|
| Teammitglied in einem gemeinsamen Konto | Alles im gemeinsamen Konto, und diese Person kann es auch verwalten | Profil und E-Mail-Signatur einer anderen Person |
| Treuhänder | Rechnungen, Ausgaben und die Finanzübersicht, nur lesend | Jede Änderung: Dieser Zugang kann nie schreiben, und er ist widerrufbar |
| Subunternehmer in einem Projekt | Genau dieses Projekt, um die eigenen Stunden zu erfassen | Ihre Stundensätze, Ihre Rechnungen, jedes andere Projekt |
| Kunde über einen Portallink | Die eigenen versendeten Rechnungen, versendeten Offerten und verknüpften Dokumente | Entwürfe, nicht versendete Offerten, alles von anderen Kunden |
Portal- und Signaturlinks speichern nur einen SHA-256-Hash des Tokens, geben die nutzbare URL einmalig heraus, verfallen nach einer Gültigkeit, die Sie selbst wählen, und werden beim Neuerzeugen widerrufen. Die Grenze für Subunternehmer erzwingt eine Datenbankfunktion und keine versteckte Schaltfläche.
Unterauftragsverarbeiter, und welche standardmässig aus sind
Neun insgesamt: fünf, die das Produkt braucht, und vier, die nichts tun, solange Sie sie nicht verbinden.
| Unterauftragsverarbeiter | Aufgabe | Wo |
|---|---|---|
| Supabase | Datenbank, Authentifizierung, Dateispeicher | Zürich (eu-central-2) |
| Vercel | App-Hosting, serverlose Rechenleistung, CDN | Frankfurt (fra1), globales Edge-Netz |
| Mailgun (Sinch Email) | E-Mail über Ihre eigenen verifizierten Domains, Öffnungs- und Klickmessung | USA, EU-Region verfügbar |
| OpenAI | Assistent, Textentwürfe, Dokumentenauswertung, Kategorisierung von Ausgaben | USA, API-Daten werden nicht zum Trainieren von Modellen genutzt |
| Stripe | Abonnementzahlungen und Kartenabwicklung | EU / USA, nie Ihre Geschäftsunterlagen |
| Google Analytics | Messung auf öffentlichen Seiten, nur mit Einwilligung | EU / USA, keine Konto- oder Kundeninhalte |
| Google Calendar | Nur wenn Sie ihn verbinden: die Termine, die Sie synchronisieren | EU / USA |
| Telegram | Nur wenn Sie den Assistenten verbinden: die ausgetauschten Nachrichten | Ausserhalb der Schweiz und der EU |
| Discord | Nur wenn Sie einen Benachrichtigungs-Webhook einrichten | USA |
OpenAI ist der KI-Unterauftragsverarbeiter. Der Assistent liest und entwirft, zeigt einen Plan, den Sie vorher lesen können, und führt ihn erst nach Ihrer Bestätigung aus. Von sich aus versendet er keine Mail und ändert er keinen Datensatz. Die optionale Funktion für Antwortentwürfe schreibt einen als ausstehend markierten Entwurf, den eine Person freigibt.
Ihre Daten herausholen, und sie löschen lassen
Beides läuft in Selbstbedienung, gestützt auf das Auskunftsrecht und das Recht auf Datenherausgabe im revidierten Schweizer Datenschutzgesetz (revDSG, in Kraft seit dem 1. September 2023).
- Ein ZIP mit einem strukturierten JSON-Dokument und einer README, unter Einstellungen und Datenschutz
- Ein kurzlebiger Downloadlink, dessen Lebensdauer auf dem Bildschirm steht
- Ein Bereich, der nicht gelesen werden konnte, wird im Archiv aufgeführt, und die Kopie wird als unvollständig gekennzeichnet
- Ein Archiv pro Konto, weil jeder Durchlauf einen vollständigen, unredigierten Datensatz schreibt
- Versiegelte Rechnungen und Verträge liegen mit im Archiv
Die Löschung ist ein Antrag mit einer Wartefrist von 30 Tagen, und Sie können ihn während der ganzen Frist widerrufen. Er wird abgelehnt, solange gesendete oder überfällige Rechnungen offen sind, und benennt, welche zuerst zu begleichen sind. Nach Ablauf wird die Anmeldung dauerhaft deaktiviert, Dateien, gespeicherte Zugangsdaten und verbundene Kanäle werden gelöscht, und der Rest wird unwiderruflich anonymisiert.
Ein fehlgeschlagener Schritt lässt den Antrag offen, und er wird erneut versucht. Es heisst hier nie, Ihre Daten seien weg, solange ein Teil davon noch da ist.
Backups, Störungen und die Statusseite
Backups werden in einem regelmässigen Zyklus rotiert und überschrieben. Veröffentlicht werden weder ein Recovery Point Objective noch ein Recovery Time Objective, noch eine Backup-Häufigkeit oder ein Takt für Wiederherstellungstests, weil nichts davon definiert ist. Wenn Ihre Risikobeurteilung diese Zahlen braucht: Sie existieren nicht. Der Export in Selbstbedienung ist dafür da, dass Sie Ihre eigene Kopie halten können.
Eine Verletzung der Datensicherheit wird ohne unnötigen Verzug nach dem Bekanntwerden an die E-Mail-Adresse des Kontos gemeldet, damit Sie Ihren eigenen Pflichten gegenüber dem EDÖB und den betroffenen Personen nachkommen können.
Die öffentliche Statusseite listet die Dienstkomponenten mit Verfügbarkeitsbalken über 90 Tage, einer Chronik der Störungen und geplanten Wartungsfenstern. Die Balken stammen aus tatsächlich erfassten Störungen und nicht aus einer gewählten Zahl, was umgekehrt heisst, dass keine Verfügbarkeitszusage dahintersteht.
Was Solory nicht behauptet
Die nützliche Hälfte einer Sicherheitsseite ist die Hälfte, die nein sagt.
- Kein ISO 27001, kein SOC 2, kein veröffentlichter Penetrationstest, keine Sicherheitsprüfung durch Dritte.
- Keine Aussage zur Verschlüsselung im Ruhezustand. Veröffentlicht ist die Verschlüsselung auf dem Transportweg (TLS/HTTPS), mit privaten Dateien hinter kurzlebigen signierten Links.
- Kein Verfügbarkeits-SLA, kein Recovery Point Objective, kein Recovery Time Objective.
- Keine verpflichtende Zwei-Faktor-Authentifizierung: Sie ist freiwillig, gilt pro Benutzer und ist aus, bis Sie sie einschalten.
- Keine autonome KI. Der Assistent entwirft und fragt nach einer Bestätigung, und er kann keine E-Mail in Ihrem Namen senden.
- Keine vollständige Löschung. Buchhaltungsunterlagen, signierte Verträge, das bereinigte Audit-Log und der Löschantrag überdauern das Konto.
- Keine doppelte Buchhaltung und kein Ersatz für einen Treuhänder. Solory erstellt eine Erfolgsrechnung aus Zahlungs- und Rechnungsdaten, einreichen muss ein Mensch.
Häufige Fragen
Wo werden meine Solory-Daten gespeichert?
Die primäre Datenbank und der private Dateispeicher liegen bei Supabase in der Region Zürich (eu-central-2) und umfassen Rechnungen, Kunden, Ausgaben, Belege, Dokumente und signierte Verträge. Die Anwendung selbst läuft als serverloser Code bei Vercel in Frankfurt (fra1) und liest diese Datenbank. E-Mail, die KI-Funktionen und die einwilligungsbasierte Website-Analyse verarbeiten begrenzte Daten in der EU oder in den USA. «Ihre Geschäftsdaten liegen in der Schweiz» ist damit korrekt, «alles liegt in der Schweiz» dagegen nicht.
Sind meine Daten verschlüsselt?
Auf dem Transportweg ja: TLS/HTTPS im ganzen Dienst und bei seinen Unterauftragsverarbeitern, und private Dateien sind nur über kurzlebige signierte Links erreichbar. Zur Verschlüsselung im Ruhezustand wird nichts behauptet, weil keine solche Massnahme festgelegt und dokumentiert ist, und eine solche auf einer Marketingseite zu erfinden wäre schlimmer, als die Lücke zu benennen. Wenn Sie die Verschlüsselung im Ruhezustand einer Kundin oder einem Kunden nachweisen müssen, behandeln Sie sie als offene Frage und fragen Sie vorher nach.
Kann irgendjemand bei Solory meine Kundendaten sehen?
Solory wird von einer einzigen Person betrieben, und diese kann ein Konto öffnen, um eine Supportanfrage zu beantworten oder einen Fehler zu untersuchen. Das schreibt einen Eintrag in das Audit-Log genau dieses Kontos, den die Kontoinhaberin oder der Kontoinhaber lesen kann, es ist während der ganzen Dauer auf dem Bildschirm sichtbar und auf das begrenzt, was die Frage erfordert. Niemand sonst hat Zugriff, und das Audit-Log kann von keiner der beiden Seiten geändert oder gelöscht werden.
Schützt die Zwei-Faktor-Authentifizierung die Daten oder nur den Anmeldebildschirm?
Beides. Eingerichtet wird sie als TOTP über eine Authenticator-App mit einmalig verwendbaren Wiederherstellungscodes, und über die Abfrage bei der Anmeldung hinaus liegt eine restriktive Datenbankrichtlinie auf 160 Tabellen und auf dem Dateispeicher. Eine Sitzung, die den Faktor nicht abgeschlossen hat, erreicht damit weder die Zeilen noch die Dateien. Sie ist freiwillig und gilt pro Benutzer, sie schützt Ihr Konto also erst, sobald Sie sie einschalten.
Macht der KI-Assistent etwas ohne mich?
Nein. Er liest Ihre Datensätze und entwirft, er zeigt einen Plan, den Sie lesen können, und er führt ihn erst nach Ihrer Bestätigung aus, wobei er in diesem Moment jede Referenz erneut gegen Ihre eigenen Daten prüft. Unter allem, was er nach einer Bestätigung ausführen kann, gibt es keinen Schritt, der eine E-Mail oder eine Nachricht versendet, und die optionale Funktion für Antwortentwürfe bei eingehender Mail schreibt einen als ausstehend markierten Entwurf, den Sie freigeben, bevor etwas hinausgeht.
Was geschieht mit meinen Daten, wenn ich mein Konto lösche?
Der Antrag trägt eine Wartefrist von 30 Tagen, während der er widerrufen werden kann, und er wird blockiert, solange unbezahlte gesendete oder überfällige Rechnungen bestehen, wobei die zuerst zu begleichenden benannt werden. Läuft die Frist ab, wird die Anmeldung dauerhaft deaktiviert, Dateien, gespeicherte Zugangsdaten und verbundene Kanäle werden gelöscht, und der Rest wird unwiderruflich anonymisiert. Buchhaltungsunterlagen bleiben nach OR Art. 958f zehn Jahre ab Ende des Geschäftsjahres bestehen, signierte Verträge bleiben mit ihren Signaturnachweisen, und in den Backups greift die Löschung mit deren gewöhnlichem Rotationszyklus innerhalb einiger Wochen.
Ist Solory nach ISO 27001 oder SOC 2 zertifiziert?
Nein. Es gibt keine ISO-27001-Zertifizierung, keinen SOC-2-Bericht, keinen veröffentlichten Penetrationstest und keine Sicherheitsprüfung durch Dritte, und nichts auf dieser Website legt etwas anderes nahe. Stattdessen gibt es das, was aufgeschrieben und überprüfbar ist: Schweizer Hosting für die Datenbank und die Dateien, Sicherheit auf Zeilenebene samt benannten Ausnahmen, eine freiwillige Zwei-Faktor-Authentifizierung, die bis zu den Daten reicht und nicht nur bis zum Bildschirm, ein Audit-Log, das niemand ändern kann, und Export und Löschung in Selbstbedienung.