Datenhaltung & Sicherheit in Bench

Bench ist eine Arbeitsplattform für Projekte, Aufgaben, Dokumente, Zeiterfassung und Kommunikation. Damit das funktioniert, werden im Hintergrund Inhalte, Dateien und Nutzer:innen-Konten gespeichert. Wir setzen dafür auf etablierte Cloud-Infrastruktur in der EU und versuchen, den Kreis der beteiligten Dienste klein und nachvollziehbar zu halten.

Datenbank, Authentifizierung und Server-Funktionen laufen über Lovable Cloud (technisch basierend auf Supabase, einem Produkt des US-Unternehmens Supabase Inc.) in der EU-Region (AWS eu-west-1, Irland) – die Daten verlassen physisch die EU nicht. Das ist die Standard-Konfiguration, die wir bewusst nicht verändert haben. Plattform-seitige Backups laufen innerhalb derselben Region beim Cloud-Anbieter.

Dateien und Anhänge liegen seit August 2026 nicht mehr beim Plattform-Anbieter, sondern im Objektspeicher bei Hetzner in Falkenstein (Deutschland), betrieben von der Ruhm GmbH. Das entlastet die Datenbank und hält Dateien vollständig in deutscher Rechtszuständigkeit. Up- und Downloads laufen über kurzlebige, signierte Links („Presigned URLs") direkt gegen diesen Speicher – öffentliche Datei-Adressen gibt es nicht.

Zusätzlich kannst du als Admin im Adminbereich unter „Backup" jederzeit ein vollständiges Account-Backup als ZIP erzeugen (HTML-Übersicht, JSON-Export, Anhänge, SQL-Restore-Skript). Die Backups liegen ebenfalls bei Hetzner in Falkenstein. Sie enthalten personenbezogene Daten und sind entsprechend zu behandeln.

Eine Disaster-Recovery-Kopie außerhalb der EU besteht nicht. Eine frühere wöchentliche Spiegelung zu AWS S3 (USA) wurde im August 2026 bewusst abgeschaltet; ein zweiter EU-Standort ist in Vorbereitung.

Die Anwendung selbst (das, was im Browser läuft, sowie Server- Funktionen) wird über das Lovable-Hosting bereitgestellt und ist unter Adressen wie bench.ag erreichbar.

• Nutzer:innen-Konten: Name, E-Mail-Adresse, optionales Profilbild, Rolle innerhalb des Workspaces, Login-Metadaten (z. B. letzter Login).
• Inhalte: Projekte, Aufgaben, Kommentare, Dokumente, Chat-Nachrichten, Reaktionen, Termine, Zeit- einträge und Verknüpfungen zwischen diesen Elementen.
• Dateien & Anhänge: Hochgeladene Dateien (Bilder, Dokumente, PDFs etc.) liegen im Objektspeicher bei Hetzner in Falkenstein (Deutschland) und werden nur über signierte, zeitlich begrenzte Links ausgeliefert.
• E-Mail-Verkehr: Eingehende Antworten auf Benachrichtigungen werden als Kommentare gespeichert, inklusive eventueller Anhänge.
• Technische Logs: Fehler- und Zustellungsprotokolle (z. B. E-Mail-Queue, Fehler-Tracking) zur Sicherstellung des Betriebs.

• Transportverschlüsselung: Sämtlicher Verkehr zwischen Browser, Server und Datenbank läuft ausschließlich über HTTPS/TLS.
• Verschlüsselung im Ruhezustand: Datenbank und Datei-Storage des Plattform-Anbieters sind standardmäßig verschlüsselt („encryption at rest").
• Row-Level-Security (RLS): Auf Datenbank-Ebene ist für jede Tabelle geregelt, welche Person welche Zeilen überhaupt sehen oder ändern darf – nicht erst in der Anwendung, sondern direkt in der Datenbank.
• Rollen-basierte Berechtigungen: Innerhalb eines Workspaces gibt es klar getrennte Rollen (z. B. Admin, Mitglied, externer Zugriff). Rollen werden in einer separaten Tabelle geführt, damit sie nicht durch die Nutzer:innen selbst geändert werden können.
• Signierte Datei-Links: Anhänge sind nicht öffentlich erreichbar – Downloads laufen über temporär gültige URLs, die nur an berechtigte Personen ausgegeben werden.
• Sichere Authentifizierung: Login per E-Mail/Passwort oder Google-Login, Passwort-Reset per signiertem Token, externe Freigaben über Einmal-Links mit begrenztem Funktionsumfang.
• Secrets-Management: Zugangsdaten zu externen Diensten (z. B. Mailgun, Mistral AI, Hetzner Object Storage) liegen ausschließlich serverseitig in einem geschützten Secrets-Speicher und sind nie Teil des Browser-Codes.

Auf Inhalte eines Workspaces können grundsätzlich nur Mitglieder dieses Workspaces zugreifen. Externe Personen sehen nur das, was explizit über einen Freigabe-Link mit ihnen geteilt wurde, und auch nur im Umfang dieser Freigabe.

Auf Betreiber-Seite hat ausschließlich ein kleiner Kreis bei der Ruhm GmbH administrativen Zugriff auf die Plattform, ausschließlich zu Wartungs-, Support- und Sicherheitszwecken.

Bench nutzt eine bewusst kleine Auswahl an externen Diensten. Unser Ziel ist, dass alle personen­bezogenen Daten in der EU verarbeitet werden. Die folgende Liste nennt jeweils Zweck und Verarbeitungs­standort. Eine Ampel-Übersicht mit EU-Bewertung je Dienst findest du unter EU-Status der Dienste.

• Lovable Cloud (Supabase, EU – Irland): Datenbank, Authentifizierung und Server-Funktionen. Die zugrundeliegende Technologie stammt von Supabase Inc. (US-Unternehmen); die Datenverarbeitung findet ausschließlich in der EU-Region (AWS eu-west-1, Irland) statt. Datei-Anhänge liegen seit August 2026 nicht mehr hier.
• Cloudflare (EU-Edge, US-Konzern): Auslieferung der Web-Anwendung und Ausführung der Server-Funktionen. Anfragen aus Europa werden an europäischen Standorten verarbeitet; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln.
• Hetzner Online GmbH (Falkenstein, Deutschland): Objektspeicher für alle Datei-Anhänge sowie Off-Site-Ablage der Workspace-Backups.
• Mailgun (EU-Region): Versand und Empfang von Benachrichtigungs- und Antwort-Mails über die europäischen Endpunkte des Anbieters.
• Mistral AI (Frankreich/EU): Alle KI-Funktionen in Bench – Sprach­transkription (Voxtral), Zusammenfassungen, Titel- und Aufgaben­vorschläge. Audio und Text werden ausschließlich zur Verarbeitung der jeweiligen Anfrage übertragen und laut Anbieter nicht zum Modell-Training verwendet.
• Stripe (EU-Verarbeitung): Abwicklung von Abonnements und Zahlungen. Zahlungs­daten werden direkt bei Stripe erfasst und nicht in Bench gespeichert.
• MOCO (DE/AT): Optionale Synchronisation von Projekten und Zeiten – nur aktiv, wenn der Workspace dies ausdrücklich verbindet.
• Google Analytics (nur bench.ag-Website): Reichweiten­messung auf unseren öffentlichen Marketing-Seiten, ausschließlich nach ausdrücklicher Zustimmung im Cookie-Banner. In der Anwendung selbst findet kein Analytics-Tracking statt.

Von Nutzer:innen selbst verbundene Dienste – etwa Google-, Microsoft- oder Apple-Kalender – sind nicht Teil dieser Liste, da die Verbindung individuell und freiwillig hergestellt wird.

Bench fährt eine mehrstufige Backup-Strategie, damit Daten auch bei einem Ausfall des Plattform-Anbieters, einem versehentlichen Löschen oder einem fehlerhaften Import wieder herstellbar bleiben.

1. Plattform-Backups (durch Lovable Cloud)

Die Datenbank wird auf Anbieter-Ebene kontinuierlich gesichert („Point-in-Time Recovery"), Datei-Storage liegt redundant in der EU-Region. Diese Backups sind nicht selbst herunterladbar – sie dienen dem Plattform-Anbieter dazu, im Notfall einen früheren Zustand wiederherzustellen.

2. Automatische, gestaffelte Account-Backups (durch Bench)

Zusätzlich erstellt Bench einmal täglich (gegen 04:15 UTC) für jeden Account automatisch ein vollständiges Account-Backup als ZIP. Inhalt: lesbare HTML-Übersicht (Projekte, Aufgaben, Chats, Tickets), strukturierter JSON-Export aller Tabellen, ein SQL-Restore-Skript sowie sämtliche Anhänge.

Es wird nach einem rollierenden Großvater-Vater-Sohn-Schema in vier Klassen eingeordnet, jede Klasse mit eigener Aufbewahrungs- dauer. Der Plan wird plattformweit einheitlich von bench.ag festgelegt und ist auf Account-Ebene nicht veränderbar (Standard):

• Täglich – jeden Tag, Aufbewahrung 14 Tage.
• Wöchentlich – jeden Montag, Aufbewahrung 8 Wochen.
• Monatlich – jeweils am 1. des Monats, Aufbewahrung 12 Monate.
• Jährlich – am 1. Januar, Aufbewahrung 7 Jahre.

Ein nächtlicher Aufräum-Job entfernt Backups, die ihre Aufbewahrungs-Frist überschritten haben, automatisch aus dem unmittelbar abrufbaren Bereich.

3. Manuelle Account-Backups (durch Admins)

Admins können jederzeit zusätzlich ein Backup auf Knopfdruck erstellen – nützlich z. B. vor größeren Änderungen, Imports oder zum lokalen Archivieren. Manuelle Backups laufen technisch identisch zu den automatischen.

Speicherorte

• Hetzner Object Storage (Falkenstein, Deutschland): Hier liegt jedes Backup – in einem von der Ruhm GmbH betriebenen Objektspeicher, getrennt vom Plattform-Anbieter. Aus dem Admin-Bereich „Backup" direkt als ZIP herunterladbar, solange die Aufbewahrungs-Frist der jeweiligen Klasse nicht abgelaufen ist. Zugriff auf den Speicher selbst hat ausschließlich ein kleiner administrativer Kreis bei der Ruhm GmbH.
• Keine Kopie außerhalb der EU: Eine frühere wöchentliche Disaster-Recovery-Spiegelung nach AWS S3 (USA) wurde im August 2026 abgeschaltet. Ein zusätzlicher, zweiter Standort innerhalb der EU ist in Vorbereitung.

Die Liste der Backups im Admin-Bereich zeigt an, welche Sicherungen aktuell verfügbar sind und wann sie planmäßig auslaufen.

Inhalt, Sensibilität & Wiederherstellung

Account-Backups enthalten personenbezogene Daten (Namen, E-Mail-Adressen, Chat-Verläufe, Anhänge). Heruntergeladene Backups sind entsprechend sicher zu verwahren und bei Bedarf gemäß DSGVO zu löschen. Die Wiederherstellung in eine neue oder leere Bench-Instanz erfolgt über das mitgelieferte SQL-Skript und die Anhang-Dateien – im Regelfall durch den Bench-Betrieb.

Für produktive Inhalte (Projekte, Aufgaben, Dokumente, Kommentare, Chat-Nachrichten, Zeit-einträge) gibt es aktuell keine automatische Löschstrategie: sie bleiben bestehen, solange der Workspace aktiv ist. Es laufen keine automatischen Aufräumjobs, die Inhalte nach einer bestimmten Zeit entfernen.

Für die Backups selbst gelten die klassen-spezifischen Aufbewahrungs-Fristen aus dem Abschnitt „Backups & Disaster Recovery". Nach Ablauf entfernt ein nächtlicher Aufräum-Job die betroffenen Sicherungen automatisch aus dem Objektspeicher; die längste Frist ist die jährliche Klasse (7 Jahre).

Eine Löschung einzelner Inhalte oder ganzer Konten erfolgt auf Anfrage – siehe Kontakt unten. Auf Wunsch werden in diesem Zuge auch die zugehörigen Backup-Kopien außer der Reihe entfernt.

Fragen zu Datenhaltung, Sicherheit oder Löschwünschen beantworten wir gerne unter hey@bench.ag. Verantwortlich ist die Ruhm GmbH – Details siehe Impressum.