Betrieb & Datenschutz

patchletter läuft auf eigenen Maschinen und auf verwalteten Diensten daneben, alle in der EU.

Ein Werkzeug, das weiß, welche Software du betreibst, hält eine sensible Liste. Wo sie liegt, wer sie anfassen kann und was wir nicht selbst betreiben, steht hier. Was auf dem Server passiert, siehst du von außen nicht. Dafür steht dabei, woran wir es jeweils geprüft haben.

Wo die Daten liegen

Jede Maschine steht hier mit Betreiber und Ort, keine unbenannte Cloud-Region. Anwendung, Datenbank und Objektspeicher laufen bei Scaleway in Paris, und seit dem Subdomain-Umzug am 29. August 2026 laufen Reichweitenmessung, Fehler-Monitoring und der Eingang unserer maschinell gelesenen Adressen auf derselben Instance; das unabhängige Verfügbarkeits-Monitoring läuft auf unserer eigenen Maschine bei IONOS in Berlin. Die Sicherungen der Datenbank gehen drei Wege, und der Absatz unter der Tabelle sagt welche: Paris, Amsterdam, Berlin. Jeder beteiligte Anbieter ist ein europäisches Unternehmen, und jeder Verarbeitungsort liegt in der EU — auch die autoritativen Nameserver der Domain.

Zwei Adressen liest kein Mensch, sondern die Anwendung: dmarc@ (Berichte anderer Mailserver darüber, ob in unserem Namen gefälschte Mail unterwegs ist) und unsubscribe@ (Abmeldung per Mail mit einem Klick). Das Postfach schickt Kopien dieser beiden — und nur dieser beiden — an unsere eigene Instance in Paris; dort reicht Postfix sie über eine verschlüsselte Verbindung an die Anwendung weiter. Ein Abholer für das ganze Postfach hätte der Anwendung auch die Post an hello@, legal@ und security@ zugänglich gemacht.

Von der Datenbank gibt es mehr als eine Sicherung, und sie liegen in mehr als einem Land. Scaleway sichert die verwaltete Datenbank alle sechs Stunden selbst und hält diese Stände sieben Tage lang — in derselben Region wie die Datenbank, was gegen eine kaputte Instanz hilft und gegen den Ausfall dieser Region gar nicht. Deshalb ziehen wir alle 15 Minuten einen eigenen Dump und legen ihn in einen Objektspeicher von uns in Amsterdam: andere Region, anderes Land, derselbe Anbieter. Und weil ein Anbieter als Ganzes ausfallen oder ein Konto sperren kann, geht ein dritter Satz in den Drive von mailbox.org (Heinlein Hosting, Berlin) — fremder Speicher, ein deutscher, und was dort ankommt, hat unsere eigene Maschine vorher verschlüsselt (Kopia, AES-256-GCM), mailbox.org sieht also ausschließlich Chiffrat. Jeden Dump, den wir selbst ziehen, prüfen wir direkt nach dem Schreiben auf Lesbarkeit; ohne diese Prüfung läge ein abgeschnittener Dump wochenlang in der Rotation und sähe aus wie eine Sicherung. Kein Ziel liegt außerhalb der EU, und keines davon ist ein Hyperscaler. Auf unserer getrennten Maschine bei IONOS in Berlin läuft die Statusseite: status.patchletter.com — sie läuft bei einem anderen Betreiber in einem anderen Land, unter eigener IP.

Unsere Software

Keine proprietäre Blackbox. Jedes Stück hier ist etwas, das SysAdmins auch selbst betreiben — die Datenbank läuft seit dem Umzug als verwalteter Dienst bei Scaleway, alles andere betreiben wir selbst. Und bis auf ALTCHA steht jedes davon in unserem eigenen Katalog, du kannst seine Update-Historie also genauso nachprüfen wie bei deiner eigenen Infrastruktur.

• Caddy — Reverse-Proxy und TLS-Terminierung für unsere öffentlichen Hostnamen — auf jeder Maschine einer.
• Node.js — Die Laufzeitumgebung der Anwendung selbst (Next.js auf Node 22).
• PostgreSQL — Die Datenbank — Produkte, Abos, Releases, alles. Seit dem Umzug ein verwalteter Dienst bei Scaleway: kein öffentlicher Endpunkt, erreichbar nur über ein privates Netz von unserer eigenen Maschine aus.
• Valkey — Job-Queue und Cache (Redis-kompatibel).
• ALTCHA — Selbstgehostetes Proof-of-Work-Captcha an Registrierung und Anmeldung: Dein Browser löst eine Rechenaufgabe (PBKDF2/SHA-256), geprüft wird sie auf unserem Server. Kein reCAPTCHA, kein Turnstile — der Browser fragt dafür genau eine Adresse an, und die gehört uns.
• Postfix — Nimmt auf unserer Instance in Paris die maschinell gelesenen Adressen entgegen, die unser Postfach dorthin weiterleitet, und reicht sie an die Anwendung weiter.
• Docker Compose — Betreibt die Container-Dienste auf unseren Maschinen. Postfix und die Sicherungs-Aufträge laufen bewusst daneben, direkt auf dem Wirtssystem.
• Gatus — Unabhängiges Verfügbarkeits-Monitoring auf unserer getrennten Maschine bei IONOS in Berlin.
• Bugsink — Selbst gehostetes, Sentry-kompatibles Fehler-Tracking auf unserer Instance in Paris. Berichte kommen von der Anwendung und aus dem Browser der Besucher — von keinem Dritten und nie aus der EU heraus.
• Umami — Selbst gehostete, cookielose Reichweitenmessung, ebenfalls in Paris.

Was wir nicht tun

• Keine Werbe-Cookies und kein Einwilligungs-Banner. Gesetzt werden nur technisch notwendige Cookies: eines für die gewählte Sprache, und beim Anmelden zwei weitere für die Sitzung und die Bindung des Anmeldecodes an deinen Browser.
• Kein Captcha eines Dritten. Den Bot-Schutz an Registrierung und Anmeldung hosten wir selbst (ALTCHA, Proof-of-Work). Er setzt keine Cookies und legt kein Verhaltensprofil an; dein Browser fragt dafür weder Google noch Cloudflare.
• Keine Tracking-Pixel in Mails. Wir messen nicht, ob du eine Nachricht geöffnet hast. Manche Links tun beim Klick etwas und erkennen dabei dein Konto — der Anmeldelink, der Abmeldelink und der in einer Update-Mail, mit dem du festhältst, welche Version du fährst. Genau dafür sind sie da. Sonst wird in unseren Mails nichts umgeleitet und nichts gezählt.
• Keine Marketing-Tags, keine Fremd-Skripte. Der Browser spricht ausschließlich mit unseren eigenen Domains.
• Kein Verkaufen, Vermieten oder Anreichern von E-Mail-Adressen. Nie.
• Kein Konto nötig, um zu stöbern. Einziges Pflichtdatum ist eine E-Mail-Adresse — und auch nur, wenn du Benachrichtigungen willst. Ohne JavaScript kannst du Katalog, Produktseiten, Suche und das Vorschlags-Formular vollständig benutzen; nur Registrierung und Anmeldung nicht, weil die Rechenaufgabe des Bot-Schutzes in deinem Browser gelöst wird.

Was wir nicht selbst betreiben

„In der EU“ heißt nicht „alles auf eigenen Maschinen“. Jeder Anbieter hier unten ist ein europäisches Unternehmen und verarbeitet in der EU — ein Anbieter bleibt er trotzdem, und das gehört auf diese Seite so nüchtern wie der Rest:

Auch die Zertifizierungsstelle

Jedes Zertifikat, das wir ausliefern, stammt von Actalis S.p.A. in Bergamo, Italien — einer europäischen Zertifizierungsstelle und Mitglied im CA/Browser Forum. Das gilt für patchletter.com, www und jede Subdomain, für die Statusseite auf ihrer eigenen Maschine und für das SMTP-TLS des Mailservers auf Port 25. Keine US-Zertifizierungsstelle stellt für patchletter.com aus.

Strom und Klima

Für Strom und Effizienz unserer Instance in Paris liegt uns keine belegte Zahl vor, deshalb nennt dieser Abschnitt keine. Wir könnten die Angaben unseres Anbieters zitieren, aber eine Zahl, die wir nicht selbst nachprüfen können, hat auf dieser Seite nichts verloren. Sobald uns eine belegte Angabe vorliegt, steht sie hier — eine Lücke ist ehrlicher als eine geliehene Zahl.

Eine Selbstverpflichtung, keine Behauptung

Von jedem bezahlten Pro-Abo pflanzen wir zwei Bäume im Jahr über PLANT-MY-TREE, eine deutsche Aufforstungsinitiative. Die Zusage hängt am Abo und nicht am Gewinn — sie steht also unabhängig davon, ob ein Jahr gut läuft. Sobald die ersten Bäume stehen, steht die Zahl hier.

PLANT-MY-TREE

Mehr Details

• Datenschutzerklärung
• Crawler-Policy des patchletterBot
• Impressum
• security.txt — Meldeweg für Sicherheitslücken

Fragen

← Zurück zum Katalog