Datenschutzerklärung

01Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Anbieter, der den Relay betreibt:

Name / Firma einschließlich Rechtsform
Anschrift
E-Mail-Adresse für Datenschutzanfragen

Ob ein Datenschutzbeauftragter zu benennen ist: benannt oder nicht erforderlich — rechtlich zu klären

Die vollständige Anbieterkennzeichnung steht im Impressum.

02Wie Aphenius aufgebaut ist

Aphenius besteht aus zwei Teilen, und der Unterschied entscheidet darüber, wer welche Daten sieht:

• Die Anwendung auf deinem Gerät — die Windows-App am Bildschirmrand oder Aphenius im Browser. Hier entsteht alles: das Gespräch, das Zuhören, der Blick auf deinen Bildschirm.
• Der Relay — ein Server des Anbieters. Er führt dein Konto, rechnet dein Tageskontingent ab und reicht Anfragen an externe Anbieter weiter. Er hält die Zugänge zu diesen Anbietern, damit sie nicht auf deinem Gerät liegen müssen.

Deine Anwendung spricht ausschließlich mit dem Relay — nie direkt mit einem Sprachmodell-Anbieter. Der Relay baut jede ausgehende Anfrage neu auf und übernimmt dabei keine Kopfzeilen aus deiner Anfrage; er kann auch keine Zieladresse entgegennehmen, die dein Gerät bestimmt.

Der Relay führt genau eine Datenbank. Alles, was er dauerhaft speichert, steht im nächsten Abschnitt — vollständig: Der Relay schreibt in fünfundvierzig Tabellen. Fünfunddreissig davon gehören Konten, und die Liste unten deckt alle fünfunddreissig ab (die Zeile „Gespräche“ steht für zwei: das Verzeichnis und die einzelnen Nachrichten; die Zeile „Bestellungen“ steht für fünf: die Bestellung selbst, ihre Posten, Zahlungen, Rechnungen und Rückgaben — alle fünf sind heute leer, es gibt noch nichts zu kaufen). Die übrigen zehn gehören keinem Konto und enthalten nichts über dich: der gemeinsame Kachel-Katalog, der Katalog der mietbaren Fertigkeiten (er enthält unsere Texte, nicht deine Daten), die drei Tabellen des Betreiber-Bereichs — die eingestellten Werte des Dienstes, das Änderungsprotokoll dieser Einstellungen (es nennt den Betreiber, nicht dich) und die verschlüsselt abgelegten Zugänge zu den externen Anbietern —, seit dem 16. August 2026 drei Tabellen, die der Anbieter über sich selbst führt: seine offenen Handgriffe, seine eigenen Abonnements und seine Anbieterangaben nach § 5 DDG — alle drei stehen unten in der Liste, damit sie nicht ungenannt bleiben; ein Konto kommt in ihnen nicht vor —, und seit dem 18. August 2026 der Zähler für fortlaufende Rechnungsnummern (eine einzige Zeile mit einer Zahl, ohne jeden Personenbezug) — und seit dem 19. August 2026 das Verzeichnis der Stimmen, die wir für Aphenius haben entwerfen lassen (Name und Beschreibung der Stimme, nichts von dir; sie steht unten in der Liste).

03Was der Relay speichert

Passwort und Gerätekennung

Dein Passwort wird nicht gespeichert. Gespeichert wird ein mit scrypt abgeleiteter Streuwert und ein dafür zufällig erzeugtes Salz je Konto. Aus beidem lässt sich das Passwort nicht zurückrechnen; bei der Anmeldung wird nur neu gerechnet und verglichen.

Ähnlich bei der Gerätebindung: Deine Anwendung schickt eine Gerätekennung mit. Der Relay legt davon nicht den Rohwert ab, sondern einen Streuwert (HMAC-SHA256 mit einem abgeleiteten, serverseitigen Schlüssel). Das genügt, um dasselbe Gerät wiederzuerkennen, taugt aber nicht, um dein Gerät anderswo wiederzufinden — und wer die Datenbank in die Hände bekäme, könnte den Rohwert daraus nicht gewinnen. Der Streuwert verlässt den Server nie: Die Außenform eines Geräteeintrags enthält ihn ausdrücklich nicht.

Der Anruf des Aktualisierers

Die Anwendung fragt eine Minute nach dem Start und danach alle sechs Stunden beim Server des Betreibers nach, ob es eine neue Fassung gibt. Dabei kommen dort an: die installierte Fassungsnummer, das Betriebssystem, die Prozessor-Architektur — und, wie bei jedem Netzabruf, deine IP-Adresse. Kein Konto, keine Gerätekennung, kein Inhalt. Der Abruf geht an den Betreiber selbst, nicht an einen Dritten aus der Tabelle in Abschnitt 06.

04Was auf deinem Gerät bleibt

Ein großer Teil dessen, was Aphenius über deinen Alltag mitbekommt, verlässt deinen Rechner nie. Das ist der ehrlichste Teil dieser Erklärung — und der, den eine Vorlage nie enthalten würde. Die Windows-Anwendung legt ihre Dateien unter deinem Nutzerkonto ab (in den Ordnern von com.snowl.kira sowie in deinen Bildern und Dokumenten).

05Was Aphenius vor dem Versand filtert

Bevor Aphenius ein Fenster ansieht oder daraus zitiert, laufen zwei voneinander unabhängige Sperren. Beide blockieren — sie schwärzen nicht und schicken nichts Verstümmeltes hinaus.

Der Riegel: bestimmte Fenster sieht sie gar nicht erst an

Anhand von Programmname und Fenstertitel erkennt Aphenius vier Bereiche und hält davor an, bevor sie irgendetwas liest oder aufnimmt:

• Geld — Banken, Sparkassen, Zahlungsdienste, Kryptobörsen, alles rund um Überweisung und TAN.
• Gesundheit — Befunde, Diagnosen, Rezepte, Krankenkassen, Praxisportale, Psychotherapie, Schwangerschaft.
• Bewerbung und Arbeit — Anschreiben, Lebenslauf, Kündigung, Jobportale, Arbeitsagentur.
• Zugänge — Passwortverwaltungen, Authenticator-Apps, Wiederherstellungsschlüssel.

Die Erkennung greift am Wortanfang, nicht in der Wortmitte: „Bankverbindung“ trifft, „Datenbank“ nicht. Geprüft wird auch, was über dem Zielfenster liegt — ein Bankfenster vor einem harmlosen Fenster hält Aphenius ebenso an. Bei einem Merkzettel, den Aphenius an ein fremdes Fenster geheftet hat, wird alle zwei Sekunden neu geprüft: Wer im selben Reiter zur Bank wechselt, soll Aphenius' Marke nicht auf dem Kontoauszug haben.

Bei Gesundheit und Bewerbung sagt Aphenius nur „Da sehe ich nicht hin“ — ohne Begründung. Der Grund wäre bereits die halbe Auskunft.

Der Inhaltsfilter: bestimmte Werte gehen nicht hinaus

Der Riegel geht nach dem Thema, dieser Filter ausdrücklich nach dem Wert. Hat Aphenius ein Fenster gelesen, prüft sie den Text, bevor er an ein Sprachmodell geht:

• Kontonummern (IBAN) — mit Prüfziffernrechnung, nicht nach Aussehen.
• Zahlungskartennummern — Form, Kartenprüfsumme und, bei ungruppierten Ziffernfolgen, ein passendes Wort in der Nähe.
• Kontostände — ein Wort wie Saldo, Guthaben oder Depotwert mit einem Betrag im Umfeld.
• Schlüssel und Token — erkennbare Formen, etwa signierte Zugangstoken.

Findet er etwas, sagt Aphenius es auch so: „Das lese ich, aber ich schicke es nicht weiter. In diesem Fenster stehen Kontodaten.“

Was beim Lesen von vornherein nicht anfällt

Aphenius liest ein Fenster über die Barrierefreiheits-Schnittstelle von Windows — und zwar bewusst unvollständig: Inhalte von Eingabefeldern werden gar nicht erst abgefragt, Passwortfelder fallen samt Beschriftung heraus, bevor sie angesehen werden, und alles, was gerade nicht sichtbar ist, bleibt draußen. Aphenius liest außerdem nie ihr eigenes Fenster. Umfang und Dauer sind gedeckelt.

Auf der Serverseite

Bevor der Relay eine Zeile in sein Protokoll schreibt, schwärzt er Felder, deren Name auf ein Geheimnis hindeutet — und zusätzlich alles, was aussieht wie ein Schlüssel, selbst wenn das Feld harmlos heißt. Die Regel ist bewusst grobmaschig: Ein zu stark geschwärztes Protokollfeld kostet eine Rückfrage, ein durchgesickerter Schlüssel kostet den Schlüssel.

06Wohin Daten hinausgehen

Nach außen geht der Relay auf fünf Wegen, und die Tabelle nennt jeden einzeln. Drei davon sind fest hinterlegte Adressen — OpenRouter, ElevenLabs, Serper. Für sie gilt eine harte Schranke: Jede ausgehende Anfrage wird gegen eine Liste erlaubter Wirtsnamen geprüft, und eine Weiterleitung wird als Fehler behandelt statt verfolgt — sonst führte der zweite Aufruf an der Prüfung vorbei.

Die beiden anderen sind keine festen Adressen, sondern Wege: die Seite, die du lesen lässt, und die Konnektoren — fremde Werkzeugdienste, die der Betreiber von Hand einträgt. Auch dort bestimmt nie dein Gerät die Adresse: Deine Anwendung nennt höchstens einen Namen, und welche Adresse zu welchem Namen gehört, wird beim Start des Dienstes einmal festgelegt und danach eingefroren. Ist kein Konnektor eingetragen, gibt es diesen Weg nicht.

Ein Weg führt ausdrücklich nicht hinaus, und weil er trotzdem deine Worte weiterreicht, steht er hier: der tiefe Rat. Er gibt deine Frage an einen Denkapparat — hausintern Maschinenraum genannt —, der auf demselben Rechner laufen muss; der Relay weist jede Adresse ab, die nicht auf diesen Rechner selbst zeigt. Deine Frage verlässt dabei also den Server nicht. Was dieser Denkapparat danach seinerseits tut, ist ein eigenes System des Anbieters und keine Übermittlung an einen Dritten aus dieser Tabelle. Ist keiner eingerichtet, gibt der Relay deine Frage niemandem und sagt es dir.

Werden dabei Daten in ein Land außerhalb der EU und des EWR übermittelt, ist die Grundlage der Übermittlung je Empfänger anzugeben:

Rechtsgrundlage der Drittlandübermittlung je Empfänger — rechtlich zu prüfen

Was OpenRouter nicht mitbekommt

Damit derselbe Modell-Anbieter aufeinanderfolgende Fragen zusammenhängend behandeln kann, schickt der Relay eine Sitzungskennung mit. Das ist nicht deine Kontokennung, sondern ein daraus abgeleiteter Streuwert mit Tagesstempel: Er ist innerhalb eines Tages gleich und ab Mitternacht ein anderer. Ein Konto lässt sich darüber nicht über Wochen wiedererkennen.

Der Relay gibt sich außerdem selbst als Absender aus — nicht dich. In der Statistik des Anbieters erscheint dieser Dienst, nicht der Rechner in deinem Wohnzimmer.

07Was der Relay ausdrücklich abschaltet nachprüfbar

OpenRouter verteilt Anfragen über viele Anbieter mit sehr unterschiedlichen Regeln. Ohne ausdrückliche Angabe dürfen darunter auch solche sein, die Anfragen aufbewahren oder auf ihnen trainieren. Der Relay setzt deshalb bei jeder Anfrage zwei Bedingungen:

• data_collection: 'deny' — Anbieter, die Anfragedaten für eigene Zwecke sammeln, sind ausgeschlossen.
• zdr: true — es kommen nur Anbieter in Frage, die nichts aufbewahren („Zero Data Retention“).

Diese Bedingung ist keine Bitte, sondern ein Filter mit spürbaren Folgen: Bleibt für ein Modell kein solcher Anbieter übrig, gibt es keinen Endpunkt — nicht etwa einen schlechteren. Die betroffene Fähigkeit fällt dann vollständig aus, und Aphenius sagt das auch („kein datenschutzkonformer Anbieter“), statt still auf einen Anbieter auszuweichen, der mitschreibt.

Wo der Filter nicht greift — und was stattdessen trägt

Der Absatz darüber galt hier bis zum 19.08.2026 für jede Anfrage. Eine Messung an der lebenden Schnittstelle hat gezeigt, dass das für Bilder nicht stimmt: Beim Gespräch wirkt zdr: true wie beschrieben — ein Modell ohne solchen Anbieter wird mit einer klaren Absage abgewiesen. Beim Malen wird derselbe Block zwar gelesen (eine Vorgabe, die auf einen erfundenen Anbieternamen zeigt, führt dort ebenfalls zur Absage), die Datenschutz-Hälfte davon aber nicht angewandt: Zwei Bildmodelle ohne Zero-Retention-Endpunkt lieferten trotzdem.

Deshalb hängt die Zusage beim Malen seither nicht mehr am mitgeschickten Schalter, sondern an der Auswahl: Aphenius malt ausschliesslich mit Modellen, die OpenRouter in seiner öffentlichen Liste selbst unter Zero Retention führt. Wofür es kein solches Modell gibt, ist zu — heute betrifft das Logos mit Schrift und echte Vektorgrafiken. Wer es versucht, bekommt vor dem Absenden einen Satz, der den Grund nennt; die Beschreibung verlässt den Server dann gar nicht. Ein Betreiber kann diese beiden Türen bewusst aufmachen — dann steht es in jedem Startprotokoll.

Zusätzlich prüft der Relay beim Start gegen die öffentliche Liste der Anbieter ohne Aufbewahrung nach, ob jedes Modell seiner Routing-Tabellen darin wirklich vorkommt — seit dem 19.08.2026 für die Modelle des Gesprächs und die des Malens; bis dahin nur für die des Gesprächs. Abweichungen werden gemeldet, nicht angenommen.

08Protokolle und Sicherungen

Serverprotokoll

Der Relay schreibt je Anfrage eine Zeile in sein Betriebsprotokoll: Zeitpunkt, eine Anfragekennung, die IP-Adresse, Methode, Pfad, Statuscode und Dauer. Inhalte stehen dort nicht. Fehlermeldungen von Anbietern werden gekürzt und geschwärzt aufgenommen, weil sie regelmäßig die zurückgeschickte Anfrage enthalten.

Wie lange dieses Protokoll aufbewahrt wird, hängt an der Einrichtung des Servers:

Aufbewahrungsfrist der Serverprotokolle festlegen und eintragen

Der Auslieferer der Webseiten zählt ausserdem drei Tagessummen — Seitenabrufe des Auftritts, Download-Abrufe und Konto-Anlagen — als blosse Zahlen je Tag: ohne IP-Adresse, ohne Kennung, ohne Cookie. Aus diesen Summen lässt sich keine Person erkennen oder wiedererkennen.

Sicherungen

Von der Datenbank wird stündlich eine Kopie angelegt; die zwölf jüngsten bleiben auf dem Server liegen, ältere werden gelöscht.

Damit ein Serverausfall nicht alles mitnimmt, holt der Betreiber diese Kopien einmal täglich auf einen eigenen Rechner und bewahrt dort die 30 jüngsten auf; ältere werden auch dort gelöscht. Diese Kopien liegen verschlossen und werden nur angesehen, wenn Daten wiederhergestellt werden müssen.

Praktisch heißt das: Etwas, das du löschst, verschwindet sofort aus dem laufenden Betrieb, kann aber in einer Sicherung noch bis zu rund 30 Tage vorhanden sein und verschwindet dann von selbst. Das ist kein Nebensatz, sondern die tatsächliche Löschfrist für alles aus Abschnitt 3.

09Zwecke und Rechtsgrundlagen

Die Verarbeitung dient dem Betrieb deines Kontos, der Beantwortung deiner Anfragen, der Abrechnung des Tageskontingents und der Sicherheit des Dienstes. Die Zuordnung zu den Rechtsgrundlagen der DSGVO — etwa Art. 6 Abs. 1 lit. b (Vertragserfüllung), lit. f (berechtigtes Interesse) oder lit. a (Einwilligung) — ist eine rechtliche Bewertung und wird hier nicht behauptet:

Rechtsgrundlage je Verarbeitung — rechtlich zu prüfen und einzutragen

Besonders zu bewerten sind dabei zwei Punkte, weil sie über das hinausgehen, was ein gewöhnlicher Dienst verarbeitet: der Blick auf den Bildschirm (Fenstertitel und Bildausschnitte können alles enthalten, was gerade offen ist — auch Daten Dritter) und das Gedächtnis (dauerhafte Aussagen über eine Person).

10Speicherdauer

• Kontodaten, Notizen, Aufgaben, Lesezeichen, Gedächtnis, Wünsche, Module, Kommentare: bis du sie löschst. Ein automatisches Aufräumen gibt es dafür nicht.
• Konto-Einstellungen: bis du sie änderst oder dein Konto löschst. Ziehst du die Zustimmung zurück, sind alle Fähigkeiten der Klasse II sofort unwirksam. Deine einzelnen Abweichungen bleiben erhalten, damit ein späteres erneutes Zustimmen sie nicht stillschweigend überschreibt.
• Geschenk-Angebote: bis du annimmst oder ablehnst — beides entfernt die Zeile. Ein Verfallsdatum gibt es nicht; mehr als 50 offene Angebote nimmt dein Briefkasten gar nicht erst an.
• Gemietete Fertigkeiten: bis du kündigst — die Zuordnung wird dabei gelöscht. Bei einer Fertigkeit, die dein Plan mitbringt, bleibt stattdessen eine Aus-Markierung stehen — sonst wäre sie beim nächsten Abgleich wieder da.
• Sinn-Verweise: bis die Zeile geht, zu der sie gehören — löschst du eine Notiz oder einen Merksatz, fällt sein Verweis mit. Dazu kommt ein zweiter Weg, den es sonst nirgends gibt: Ziehst du die Erlaubnis für die Sinnsuche zurück, wird der ganze Bestand in derselben Sekunde gelöscht — ein Handgriff für alles.
• Eigene Fassungen: bis du sie löschst. Sie liegen nur bei dir, und niemand sonst — auch nicht der Anbieter — kann sie sehen oder entfernen.
• Werkstatt-Einreichungen: bis dein Konto geht. Sie lassen sich zurückziehen, solange niemand entschieden hat — das beendet die Prüfung, löscht die Zeile aber nicht: Sie bleibt mit genau diesem Stand für dich lesbar, damit du später nachsehen kannst, was du eingereicht hattest und was daraus wurde (Abschnitt 13).
• Fernaufträge: ein Auftrag läuft nach zwei Minuten ab, wenn ihn niemand beantwortet; die beendete Zeile wird einen Tag später weggeräumt. Der Inhalt liegt verschlüsselt und ist derselbe Text, der als Nachricht im Gespräch steht (Abschnitt 3).
• Wiederherstellungen: bis dein Konto geht. Das ist Absicht: Hier steht, wann jemand mit dem Notschlüssel deinen Verlauf geöffnet hat und warum. Eine Spur, die von selbst verschwände, wäre das Versprechen aus Abschnitt 12 ohne Gegenprobe.
• Päckchen und gesammelte Sachen: bis dein Konto geht. Das ist Absicht und nicht Bequemlichkeit: Beides ist erspielter Besitz. Eine Frist darauf hiesse, dass dir etwas wieder weggenommen wird, das du dir erarbeitet hast — und der Beleg, mit dem du ein geöffnetes Päckchen nachrechnen kannst, wäre danach nicht mehr nachprüfbar.
• Erlebtes Wetter: ein laufender Zustand endet nach seiner eigenen Dauer (längstens ein paar Stunden); die abgelaufene Zeile wird beim nächsten Takt des Dienstes weggeräumt. Es bleibt also nichts liegen, was noch etwas über dich sagt.
• Gassenfenster und Nachbarwinken: bis du es wegräumst — das Fenster mit dem Zumachen (der Platz wird dann wieder frei), ein einzelnes Winken mit dem Wegräumen, alles zusammen mit dem Konto. Es gibt hier keine Frist, die von selbst läuft, und das ist Absicht: Ein Fenster, das nach Wochen von allein verschwände, wäre für die Nachbarn dasselbe Bild wie ein Mensch, der gegangen ist. Nach 14 Tagen ohne Änderung sehen die Nachbarn es als still; das ist eine Anzeige und keine Löschung, die Zeile bleibt unangetastet stehen.
• Anmeldesitzungen: höchstens 30 Tage. Abgelaufene Sitzungen werden selbsttätig entfernt; ohne dieses Aufräumen wüchse die Tabelle mit jeder je erfolgten Anmeldung weiter.
• Gerätebindungen: bis du das Gerät vergisst oder es durch ein neues ersetzt.
• Tageszähler und Einzelposten der Abrechnung, Bestellungen: unbefristet — es gibt heute kein Aufräumen dafür. (Bestellungen kann es heute noch gar nicht geben: Es ist nichts zu kaufen. Die Frist gehört trotzdem hierher, weil sie an der Bauweise hängt und nicht daran, ob schon jemand etwas gekauft hat.) Eine Frist ist festzulegen: Aufbewahrungsfrist für Abrechnungsdaten und Bestellungen festlegen; handels- und steuerrechtliche Pflichten prüfen
• Zuhör-Messung: unbefristet wie die Abrechnungszeilen darüber — sie ist aber keine Abrechnung, sondern die Messreihe, an der entschieden wird, ob das Zuhören eine eigene Tagesgrenze bekommt. Fällt mit dem Konto.
• Sicherungen: auf dem Server die zwölf jüngsten Stündlich-Kopien (rund zwölf Stunden), beim Betreiber die 30 jüngsten Tages-Kopien (rund 30 Tage). Die längere der beiden gilt.
• Gespräche: im freien Plan 30 Tage, danach räumt der Dienst sie selbsttätig fort. Im Pro-Plan gibt es heute keine Frist — sie bleiben, bis du sie löschst. Eine Frist dafür ist festzulegen: Aufbewahrungsfrist für Gespräche im Pro-Plan festlegen
• Sprachaufnahmen, Bildschirmausschnitte, Kamerabilder: werden vom Relay überhaupt nicht gespeichert. Wie lange die beteiligten externen Anbieter etwas halten, richtet sich nach deren Bedingungen — der Relay verlangt von ihnen ausdrücklich, nichts aufzubewahren (Abschnitt 7).

11Cookies

Im Browser wird genau ein Cookie gesetzt: kira_sid, dein Anmeldetoken. Es ist HttpOnly — Skripte im Browser kommen nicht daran — und es ist widerrufbar: Der Server führt eine eigene Freigabeliste, und beim Abmelden wird der Eintrag dort gelöscht. Das Token ist damit sofort wertlos, unabhängig von seiner Restlaufzeit.

Es gibt keine Werbe-Cookies, keine Zählpixel, keine Einbindung fremder Analysedienste — und deshalb auch keinen Zustimmungsbanner.

12Datensicherheit

• Passwörter werden nur als abgeleiteter Streuwert mit eigenem Salz gespeichert; der Vergleich beim Anmelden läuft zeitkonstant, damit sich aus der Antwortdauer nichts ablesen lässt.
• Auf deinem Gerät liegt kein Anbieterschlüssel — nur ein widerrufbares Sitzungstoken. Das ist der eigentliche Grund für den Relay.
• Jede Anfrage trägt die Gerätebindung: Ein entwendetes Token allein nützt auf fremder Hardware nichts.
• Anmeldeversuche sind je Adresse begrenzt — zehn je Stunde, gleichmäßig nachtropfend; Registrierung und Anmeldung teilen sich dieselbe Grenze, damit die Registrierung nicht zum bequemeren Weg wird, Adressen durchzuprobieren.
• Ausgehende Verbindungen des Relays gehen nur an drei fest eingetragene Adressen; Weiterleitungen werden abgelehnt.
• Beim Aufrufen einer Webseite prüft der Relay vorher, dass die Zieladresse nicht in ein internes Netz zeigt.
• Antworten tragen X-Content-Type-Options: nosniff und Referrer-Policy: no-referrer.
• Jede Zeile der Datenbank gehört genau einem Konto; jede Abfrage bindet die Kontokennung fest ein, und die Kennung stammt immer aus der geprüften Sitzung — nie aus etwas, das ein Client mitschickt.

Wie dein Gespräch gespeichert ist

Verschlüsselt gespeichert. Wir halten einen Notschlüssel, damit wir dir helfen können, wenn du dein Passwort vergisst.

Jedes Konto hat einen eigenen Schlüssel. Er liegt zweifach verpackt in der Datenbank: einmal mit deinem Passwort und einmal mit unserem Notschlüssel. Der private Teil dieses Notschlüssels liegt nicht auf dem Server — er wird getrennt davon verwahrt, und der Server prüft bei jedem Start, dass er dort auch wirklich nicht liegt.

Was das für dich bedeutet, in beide Richtungen:

• Wer die Datenbank oder eine Sicherungskopie in die Hände bekommt, bekommt keinen Wortlaut. Das war vorher anders.
• Wenn du dein Passwort vergisst, ist dein Verlauf nicht verloren. Genau dafür gibt es den Notschlüssel.
• Wir könnten mitlesen. Wer einen Notschlüssel hält, kann öffnen — das gehört zu dieser Bauweise dazu und lässt sich nicht wegformulieren. Was wir dafür tun: Jeder Gebrauch des Notschlüssels wird protokolliert und erscheint mit Zeit und Grund in deiner Auskunft (Abschnitt 13). Du kannst also nachsehen, ob es passiert ist, statt uns glauben zu müssen.
• Während Aphenius für dich denkt, muss der Text kurz entschlüsselt im Arbeitsspeicher des Servers stehen. Anders ist eine Antwort aus der Wolke nicht zu bekommen.

Notizen, Aufgaben, Lesezeichen und dein Gedächtnis liegen weiterhin im Klartext in der Datenbank. Die Verschlüsselung deckt heute das Gesprächsprotokoll und die Fern­aufträge ab, nicht diese vier.

Nicht im Klartext liegen: dein Passwort, deine Gerätekennung und dein Anmeldetoken — von allen dreien speichert der Server nur einen Streuwert.

Welche organisatorischen Maßnahmen daneben getroffen sind — wer Zugriff auf den Server hat, ob die Sicherungen verschlüsselt liegen, welcher Meldeweg bei einer Panne gilt — gehört hierher, sobald es festgelegt ist:

Technische und organisatorische Maßnahmen des Serverbetriebs beschreiben

13Deine Rechte

Dir stehen die Betroffenenrechte der DSGVO zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie der Widerruf erteilter Einwilligungen.

Weil eine Datenschutzerklärung leicht ein Recht beschreibt, das die Software nicht einlöst, hier getrennt: was heute funktioniert, und was nicht.

Was heute funktioniert

• Ein Paket deiner Daten — als eine Datei zum Herunterladen. Darin: Notizen, Aufgaben, Lesezeichen, dein Gedächtnis, deine Konto-Einstellungen (die eine Zustimmung, deine individuellen Klasse-II-Abweichungen und den EU-Filter), deine Sinn-Verweise (zu welcher Notiz und welchem Merksatz eine Bedeutungs-Reihe besteht, bei welchem Modell und mit welchem Prüfwert — die 1024 Zahlen selbst stehen nicht darin: Aus ihnen liest niemand einen Satz, und sie machten die Datei unlesbar; löschen lässt sich der ganze Bestand mit einem Handgriff, indem du die Erlaubnis zurückziehst), deine Gespräche samt dem Wortlaut der Nachrichten, deine Fernaufträge (welches Gerät wann was bearbeitet hat — der Inhalt steht schon bei den Nachrichten), deine Geräte, deine Tageszähler und Abrechnungsposten, deine Zuhör-Messung (wie viele Zeichen und Rufe das Zuhören je Tag ergab), deine Wünsche, deine Kacheln, deine offenen Geschenk-Angebote — darin steht die Anrede des Absenders: sein Handle, oder seine E-Mail-Adresse, wenn er keinen hat —, deine gemieteten Fertigkeiten (welche, seit wann, ob aktiv — nicht deren Anweisungstext), deine Kommentare zu Bausteinen samt Stand und Antwort des Anbieters, deine Werkstatt-Einreichungen (Name, Satz und Manifest deines Werks, samt Stand und Satz des Betreibers), deine privaten Fassungen (eigene Kopien eines Regal-Werks samt ihrer Herkunft — sie sieht sonst niemand, auch nicht der Anbieter), deine Bestellungen, falls du je etwas kaufst (was, wann, zu welchem beim Kauf festgehaltenen Preis, samt Zahlungen, Rechnungsnummer und Rückgaben — heute gibt es noch nichts zu kaufen, das Feld ist dann leer), und die Wiederherstellungen: jede Öffnung deines Verlaufs mit dem Notschlüssel, mit Zeit und Grund. Seit dem 20. August 2026 auch dein Gassenfenster — Platz, Farbton und Gruss — und das Nachbarwinken, das bei dir angekommen ist; der Absender steht darin als Platz und nicht als Handle. Ebenfalls seit dem 20. August 2026: deine Päckchen samt dem Samen und dem Beleg zum Nachrechnen, deine gesammelten Sachen mit ihren Werten, und das erlebte Wetter deines Wesens. Nicht darin: die Sitzungsschlüssel — das sind Zugangsdaten und keine Auskunft, und in einer Datei, die du weitergibst, wären sie eine ausgehändigte Anmeldung; welche Geräte angemeldet sind, steht als Auskunft daneben. Und nicht darin: der verpackte Schlüssel deines Kontos — wer die Verpackung in der Hand hält, kann dein Passwort offline durchprobieren, so lange er will (Abschnitt 3).
• Einzelnes löschen — jede Notiz, jede Aufgabe, jedes Lesezeichen, jeder Merksatz, jeder Wunsch und jeder eigene Kommentar lassen sich einzeln entfernen. Ein offenes Geschenk-Angebot verschwindet mit dem Ablehnen, eine gemietete Fertigkeit mit dem Kündigen, eine installierte Kachel mit dem Deinstallieren. Ein einzelnes Gespräch lässt sich löschen — es verschwindet damit auf allen deinen Geräten aus der Liste; seine Nachrichten verfallen danach mit der Frist aus Abschnitt 10, sofort und vollständig räumt sie nur das Konto-Löschen. Eine Werkstatt-Einreichung lässt sich zurückziehen, solange niemand entschieden hat — das beendet die Prüfung, ist aber keine Löschung: Die Einreichung bleibt mit genau diesem Stand für dich lesbar. Nicht einzeln löschbar sind deshalb die Werkstatt-Einreichungen, die Tageszähler, die Abrechnungsposten und die Wiederherstellungen — sie fallen erst mit dem Konto. Fernaufträge enden nach Minuten von selbst und werden einen Tag später weggeräumt (Abschnitt 3).
• Das ganze Konto löschen — unter Konto → Konto löschen, mit deinem Passwort bestätigt. Endgültig: Alles, was oben im Datenpaket steht, fällt in derselben Sekunde mit. Vor dem Knopf steht, wie viel es ist.
• Passwort ändern — unter Konto → Passwort ändern, mit dem bisherigen bestätigt. Alle anderen Geräte sind danach abgemeldet; an dem, an dem du sitzt, bleibst du angemeldet. Ein vergessenes Passwort lässt sich nicht zurücksetzen — siehe Abschnitt 14.
• Geräte entziehen — ein Gerät lässt sich vergessen; seine Sitzungen enden damit sofort.
• Abmelden — beendet die Sitzung serverseitig, nicht nur im Browser.

Zwei Knöpfe, die leicht verwechselt werden, und deshalb hier nebeneinander: Alles löschen im Panel räumt deinen Rechner — Notizen im Dokumentenordner, Aufnahmen, Protokolle, die Anmeldung. Konto löschen räumt das Konto beim Dienst. Der erste fasst das Konto nicht an; damit das niemanden überrascht, steht es in seiner Liste unter „Das bleibt liegen“, mit Anzahl und mit dem Weg, der es wirklich löscht.

Was heute nicht funktioniert

Siehe Abschnitt 14. Was dort noch steht, wird von Hand bearbeitet — ebenso jede Anfrage, für die es hier keinen Knopf gibt (Berichtigung, Einschränkung, Widerspruch). Eine formlose Nachricht an den Anbieter genügt:

E-Mail-Adresse für Betroffenenanfragen

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichts&zshy;behörde zu — in der Regel am Ort deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder am Sitz des Anbieters.

14Was die Software heute nicht kann offen

Diese Abschnitte stehen hier, weil sie sonst als stille Falschaussage in der Erklärung landen würden. Sie sind vor dem Verkaufsstart zu klären oder zu bauen. Die ersten beiden sind keine Bauaufgaben, sondern Entscheidungen — und sie bestimmen, was in dieser Erklärung überhaupt stehen kann.

15Minderjährige

Aphenius richtet sich nicht an Kinder. Technisch wird das heute nicht durchgesetzt: Die Registrierung erfragt kein Alter. Welches Mindestalter gelten soll und wie es geprüft wird, ist festzulegen:

Mindestalter und Prüfung festlegen; Art. 8 DSGVO rechtlich bewerten

16Was nicht passiert Zusage

• Deine Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben.
• Es wird keine Werbung eingeblendet, es gibt kein Werbe-Tracking und keine Profilbildung zu Werbezwecken.
• Der Anbieter verwendet deine Gespräche, Notizen oder Erinnerungen nicht, um Modelle zu trainieren — und verlangt dieselbe Bedingung bei jeder Anfrage von den beteiligten Modell-Anbietern (Abschnitt 7).
• Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO statt. Aphenius erzeugt Antworten und Vorschläge; die Entscheidung triffst du.

17Änderungen dieser Erklärung

Ändert sich, was Aphenius verarbeitet, ändert sich diese Seite. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand. Änderungen, die über Klarstellungen hinausgehen, werden im Konto angekündigt, bevor sie gelten.