Datenschutzerklärung

Nur das, ohne das Anmeldung, Synchronisierung und der Schriftwechsel mit dem Entwickler nicht funktionieren:

• Ihre E-Mail-Adresse — nicht im Klartext, sondern als unumkehrbare Umwandlung mit einem geheimen Schlüssel: Die Adresse lässt sich daraus nicht zurückgewinnen, eine bekannte Adresse lässt sich aber damit abgleichen;
• Ihre Kontokennung bei Google oder Apple, falls Sie sich auf diesem Weg angemeldet haben — auf dieselbe Weise umgewandelt;
• Sitzungen: nur ein Fingerabdruck des Tokens in Ihrem Cookie, nie das Token selbst, und die Zeit Ihrer Anmeldung;
• Codes aus Anmelde-E-Mails — gehasht, zehn Minuten gültig;
• Anfragezähler, damit sich ein Code nicht durch bloßes Durchprobieren erraten lässt;
• Ihren Schriftwechsel mit dem Entwickler, falls Sie ihn genutzt haben — siehe den eigenen Abschnitt weiter unten;
• eine nicht abgeschlossene Anmeldung: Ein begonnener und nicht zu Ende geführter Vorgang liegt einige Minuten auf dem Server und verfällt von selbst;
• Ihre Aufladungen, falls Sie Ihr Erkennungsguthaben aufgeladen haben: Betrag, Zeitpunkt und die Zahlungskennung bei dem Händler, der die Zahlung entgegengenommen hat (die Kartennummer bleibt bei ihm);
• eine Liste Ihrer Geräte — nur die zufällige Kennung, die sich ein Gerät selbst ausgedacht hat, und wann es sich zuletzt gemeldet hat. Kein Modell, kein System, kein Name: Die Liste beantwortet „wie viele sind es, und sind sie noch aktiv“, sonst nichts;
• Sicherungskopien der gesamten Datenbank, einmal pro Stunde angelegt und bis zu 14 Tage aufbewahrt — damit ein Ausfall nicht die Konten aller mit sich reißt. Was sie enthalten und wie lange, steht unter Wie lange was aufbewahrt wird.

Wo der Server steht. Server, Arbeitsdatenbank und lokale Sicherungskopien laufen beim Hosting-Anbieter Railway (USA), in dessen Region Singapur. Arbeitsdaten von Menschen aus der Europäischen Union und dem Vereinigten Königreich werden daher außerhalb davon gespeichert. Verschlüsselte externe Sicherungskopien liegen in Cloudflare R2 unter der Jurisdiktion der Europäischen Union.

Ihr Tagebuch liegt sowohl auf Ihrem Gerät als auch auf dem Server — auf dem Server aber verschlüsselt. Einträge, Fotovorschauen, vergrößerte Kopien und Gewichtsangaben liegen im Speicher Ihres Browsers, und eine versiegelte Kopie geht an den Server: Den Schlüssel dazu gibt es nur auf Ihrem Gerät. Der Server sieht, dass Einträge hinzugekommen sind und wann — aber nicht, was Sie gegessen haben, wie viel davon oder was Sie wiegen.

Auch wir können Ihr Tagebuch nicht lesen. Das ist kein Versprechen, uns gut zu benehmen, sondern die Bauweise des Systems — wir haben den Schlüssel nicht. Daraus folgt ein Preis, den Sie vorher kennen sollten: Verlieren Sie Ihren Wiederherstellungscode zusammen mit Ihrem Gerät, kann niemand das Tagebuch zurückholen, auch wir nicht. Es gäbe nichts, woraus es sich wiederherstellen ließe. Der Code steht in den Einstellungen unter „Daten“ — schreiben Sie ihn auf und bewahren Sie ihn an einem anderen Ort als Ihrem Handy auf.

Der Server bewahrt auch strittige Versionen auf — und das zu Ihren Gunsten. Wurde ein Eintrag auf zwei Geräten bearbeitet, gewinnt die neuere Änderung, und die unterlegene wird nicht verworfen: Sie bleibt einen Monat auf dem Server, genauso versiegelt, und die App kann sie Ihnen zeigen. Sonst stünde „das hat sich von selbst korrigiert“ als unser Wort gegen Ihre Erinnerung. Lesen können wir sie natürlich ebenfalls nicht — sie steckt im selben Umschlag wie alles andere.

Das Profilbild ist ein von Ihnen gewähltes Foto oder ein eingebautes Tier. Es liegt auf Ihrem Gerät und gehört zu Ihrer Sicherungsdatei. Auf den Server gelangt es nur, wenn Sie die Bildsynchronisierung einschalten: Sie hat einen eigenen Schalter im Bereich „Daten“, getrennt vom Austausch der Einstellungen und ausgeschaltet, bis Sie ihn einschalten. Dann liegt auf dem Server eine aktuelle Kopie in einem eigenen, mit Ihrem Wiederherstellungscode versiegelten Umschlag: Öffnen können ihn nur Ihre Geräte. Das Bild senden wir weder an das Modell noch an Freunde. Der Umschlag ist gleich groß, ob darin ein Foto oder ein Tier steckt: Der Server sieht nur, dass es eine Kopie gibt, ihre Versionsnummer und wann sie sich geändert hat. Das Ausschalten löscht den Umschlag sofort; es bleibt ein Dienstdatensatz ohne Bild — Versionsnummer und Zeitpunkt des Ausschaltens —, an dem Ihre anderen Geräte erkennen, dass die Synchronisierung aus ist. Beim Löschen des Kontos wird auch er gelöscht. In den Sicherungskopien des Servers bleibt Gelöschtes bis zu 14 Tage — siehe Wie lange was aufbewahrt wird.

Die Health-Synchronisierung speichert auch Steuerungsdaten auf dem Server: öffentliche Prüfschlüssel des Telefons, Ausführungsrechte, gehashte Datensatzziele und Versionsgrenzen sowie Zustände von Vorgängen, Abbrüchen und alten Übertragungen. Darin stehen keine Health-Werte, Systemdatensatz-IDs, Gerätenamen oder Notizen. Die Daten werden mit dem Konto gelöscht; Vorgangs- und Zustandsdaten sind im Serverexport enthalten, öffentliche Prüfschlüssel nicht.

Einstellungen gehen nur an den Server, wenn Sie ihre Synchronisierung einschalten. Ziele, Profil (Name, Geschlecht, Geburtsjahr, Größe, Aktivitätsniveau, Vorhaben, Wochentempo, Zielgewicht, was zu berücksichtigen ist und was Sie nicht essen), Wasserziel, Anteile der Mahlzeiten, Tagebuchfunktionen, Ernährungseinstellungen, das Journal der Normanpassungen, Schnellaktionen, Einheiten, das Design der Teilen-Karte und zwei Schalter — eine ausgeblendete Produktbewertung und eine abgeschaltete Suche in der offenen Datenbank — reisen in einem Umschlag, versiegelt mit demselben Schlüssel wie das Tagebuch. Einiges davon nennen wir eigens, weil es Hinweise auf Ihren Glauben oder Ihre Gesundheit geben kann: das vorgefertigte Set und die Ernährungsziele (etwa „Pflanzlich“ oder „Kein Alkohol“), die Liste dessen, was Sie nicht essen, und Ihre eigenen Worte in den Ernährungseinstellungen — Stoppwörter und Ausnahmen — reisen im selben Umschlag, genauso versiegelt. Eingeschaltet wird das mit einem eigenen Schalter im Bereich „Daten“; solange Sie das nicht tun, werden Einstellungen nirgendwohin gesendet. Ausgeschaltet wird es an derselben Stelle — die Kopie auf dem Server wird sofort gelöscht, und die Synchronisierung wird auf allen Ihren Geräten abgeschaltet. Der Server sieht, dass der Umschlag existiert, wann er sich geändert hat, wie groß er ist und wann die Synchronisierung abgeschaltet wurde — aber nicht, was darin steht. App-Design, Sprache, Erinnerungen, die Verbindung zu Apple Health und Ihr eigener Schlüssel für einen Erkennungsanbieter verlassen das Gerät nie: Sie gehören zum Gerät, nicht zu Ihnen.

Ihr Wohnland, falls Sie eines gewählt haben, wird auf diesem Gerät gespeichert. Es steht in der Sicherungsdatei neben der Sprache und wird mit Ihren anderen persönlichen Einstellungen gelöscht, wenn jemand anderes das Gerät übernimmt. Im Umschlag der Synchronisierung ist es nicht enthalten, und aus IP-Adresse oder Oberflächensprache leiten wir es nicht ab. An unseren Server geht der Ländercode als Anfragefeld nur mit einer Erkennungsanfrage über den Snapfork-Schlüssel und nur bei eingeschaltetem Schalter „Land bei der Erkennung berücksichtigen“ — auf der Durchreise, dort bleibt er nicht (siehe „Wohin Daten doch gehen“). Die Zeile „Vorschlag des Geräts“ in der Länderauswahl ermittelt die App auf dem Gerät selbst — aus Systemregion, Zeitzone oder der Region in den Spracheinstellungen des Browsers — und sie wählt nichts von sich aus.

Eine Sicherungsdatei exportieren und verwahren nach wie vor Sie selbst. Sie ist nicht verschlüsselt und der einzige Weg, Ihr Tagebuch ohne den Code zu lesen.

Von Anmeldeanbietern erfragen wir weder Ihren Vornamen noch Ihren Nachnamen noch Ihr Profilbild — nur die Bestätigung der E-Mail-Adresse. Ein Name, den Sie selbst in Ihr Profil eintragen, erreicht den Server nur im versiegelten Umschlag der Einstellungen und nur bei eingeschalteter Synchronisierung der Einstellungen; lesen können wir ihn nicht.

Hier geht es um die App für das iPhone. Sie ist noch nicht im App Store, und das Folgende beschreibt, wie sie sich verhalten wird, sobald sie erscheint. Auf der Website gibt es nichts dergleichen: Im Browser gibt es keinen App-Container und keine solche Sicherung.

Eine iPhone-Sicherung bringt App-Daten in die iCloud — so funktioniert die Sicherung, das tut nicht unsere App. Ob Ihr Tagebuch darin landet, entscheiden Sie, und standardmäßig landet es nicht darin. Sie werden beim ersten Start gefragt und können die Antwort jederzeit ändern: Einstellungen → „Daten“ → „Tagebuch in der iCloud-Sicherung“.

Beschrieben wird hier der Mechanismus, nicht das Ergebnis, und das ist keine Ausflucht: Sobald Sie geantwortet haben, ist der Satz „mein Tagebuch liegt in der iCloud“ für manche Leser wahr und für andere falsch. Sagen Sie Ja, wird die Sicherung von Apple nach Apples Regeln erstellt und verwahrt — es ist deren Kopie, nicht unsere: Wir sehen sie nicht und können sie nicht öffnen. Sagen Sie Nein oder gar nichts, wird der Ordner der App als von der Sicherung ausgenommen markiert, und das Tagebuch gelangt nicht dorthin.

Nichts davon betrifft die Sicherungsdatei, die Sie selbst exportieren: Die erstellen Sie und bewahren sie auf, wo Sie wollen. Was darin von Freunden landet, steht unter Freunde.

Die App hat einen Bereich „Vorsorge“ — ein Nachschlagewerk veröffentlichter Empfehlungen zu Vorsorgeuntersuchungen, ausgewählt nach Alter, Geschlecht und Ihren Antworten. Diese Antworten sind Gesundheitsdaten, und wir gehen mit ihnen strenger um als mit dem Tagebuch. Der Bereich öffnet sich erst nach einer eigenen Einwilligung auf seinem Einführungsbildschirm; solange Sie sie nicht geben, speichert er nichts.

Was gespeichert wird. Wo Sie behandelt werden (das Land); ob Sie rauchen, aufgehört oder nie geraucht haben — mit Packungsjahren und dem Jahr, in dem Sie aufgehört haben; ob Sie eine Schwangerschaft planen; welche organbezogenen Punkte Sie betreffen; „Erledigt“-Markierungen mit Monat und Testart; verschobene Punkte; der Schalter „Nichts zum Abnehmen“ und wann Sie eingewilligt haben. Aus Ihrem Profil liest der Bereich Geburtsjahr, Geschlecht, Ziel und die Liste „Was Sie nicht essen“ — Ihr Gewicht nicht. Diagnosen, Familiengeschichte und Laborwerte fragt der Bereich weder ab, noch speichert er sie.

Wo. Auf Ihrem Gerät, im Speicher der App. In der App für das iPhone sind die Antworten mit einem Schlüssel versiegelt, der an dieses Telefon gebunden ist: Aus einer Sicherung lässt er sich auf demselben Gerät wiederherstellen, aber nicht auf ein anderes übertragen. In eine iCloud-Sicherung kommen die Antworten nur versiegelt, und auf einem anderen Telefon lassen sie sich mit nichts öffnen — dort beginnt der Bereich von vorn. Im Browser liegen die Antworten in dessen Speicher, wie das Tagebuch.

An den Server — nur versiegelt und nur, wenn Sie es entscheiden. Gesundheitsantworten gehen nur dann an den Server, wenn Sie ihre Synchronisierung zwischen Geräten einschalten, und dann versiegelt mit einem Schlüssel, den es nur auf Ihren Geräten gibt, wie Tagebuch und Einstellungen. Diese Synchronisierung hat einen eigenen Schalter und eine eigene Einwilligung; standardmäßig ist sie aus und läuft nur innerhalb der Synchronisierung der Einstellungen — deren Einschalten schaltet sie aber nicht ein. Haben Sie angegeben, dass Sie in Russland behandelt werden, gehen die Antworten auch bei eingeschalteter Synchronisierung nicht an den Server.

Wohin sie nie gehen. Weder an das Sprachmodell noch an Freunde noch in die Geräteangaben, die einer Support-Nachricht beigefügt werden. In die Sicherungsdatei (die Schaltfläche „JSON exportieren“) kommen sie standardmäßig nicht: Ein eigenes Kästchen fügt sie hinzu — und dann denken Sie daran, dass diese Datei nicht verschlüsselt ist.

Ausblenden, Synchronisierung ausschalten, löschen — drei verschiedene Aktionen. „Bereich ausblenden“ nimmt ihn aus dem Blick und lässt die Antworten unberührt. „Ausschalten und Antworten vom Server löschen“ löscht die Kopie auf dem Server, und Ihre anderen Geräte löschen ihre beim nächsten Sync; auf diesem Gerät bleiben die Antworten. „Antworten auf diesem Gerät löschen“ löscht sie hier und bei eingeschalteter Synchronisierung beim nächsten Sync auch auf dem Server und auf Ihren anderen Geräten; mit den Antworten wird auch die Einwilligung zurückgenommen, und der Bereich beginnt wieder mit seinem Einführungsbildschirm. Das Löschen des Kontos nimmt die Kopie auf dem Server mit allem anderen mit; wie lange Sicherungen der Datenbank leben, steht unter Wie lange was aufbewahrt wird.

Fotos von Mahlzeiten, Verpackungen oder Etiketten werden zur Erkennung gesendet, und wohin sie gehen, hängt davon ab, wessen Schlüssel die Anfrage signiert. Es gibt zwei Wege, und die Wahl liegt bei Ihnen:

• Mit Ihrem eigenen Schlüssel geht das Foto von Ihrem Gerät direkt an die Plattform, deren Schlüssel Sie eingegeben haben, an unserem Server vorbei. Wir sehen es nicht und speichern es nicht. Die Plattform wählen Sie; heute sendet die App das Foto an neun Adressen und kennt keine anderen:
  • Google Gemini — generativelanguage.googleapis.com
  • OpenAI — api.openai.com
  • Grok xAI — api.x.ai
  • DeepSeek — api.deepseek.com
  • Qwen — dashscope-intl.aliyuncs.com
  • Mistral AI — api.mistral.ai
  • Llama Meta — api.llama.com
  • Poe — api.poe.com
  • OpenRouter — openrouter.ai
  Die Liste ist fest in die App und in die Sicherheitsrichtlinie des Browsers eingebaut, sodass das Foto nirgendwohin gehen kann außer an die gewählte Plattform. Die App erkennt auch den Schlüssel einer zehnten Plattform, Claude, sendet dorthin aber nichts: Diese öffnet den Zugriff aus dem Browser nur mit einem besonderen Header, den die Plattform selbst als gefährlich bezeichnet, und den setzen wir nicht.
• Ab diesem Punkt gelten die Bedingungen der Plattform, nicht unsere, und sie sind nicht überall gleich. Bei Google zum Beispiel unterscheiden sie sich sogar zwischen den Stufen ein und desselben Schlüssels: In der kostenlosen Stufe behält sich Google das Recht vor, das Gesendete zur Verbesserung seiner Produkte zu nutzen; in der kostenpflichtigen Stufe nicht. Die Bedingungen der anderen geben wir nicht wieder: Sie ändern sich ohne uns und sollten an der Quelle gelesen werden. Wie man einen Schlüssel bekommt, steht in den Einstellungen der App neben dem Schlüsselfeld.
• Mit dem Snapfork-Schlüssel geht das Foto über unseren Server, wo die Anfrage signiert wird, und weiter über OpenRouter — die Plattform, die es an den Modellanbieter übergibt. Gespeichert wird es hier nicht: weder die Datei noch eine Kopie in einem Log; übrig bleibt eine Zeile mit Zahlen — Modell, Tokens, Kosten; bei jemandem, der über eine Einladung gekommen ist, bis die Einladung angerechnet ist, zusätzlich das lokale Datum (siehe „Einladungslinks“). Bei jeder Anfrage weisen wir die Plattform an, nicht über Anbieter zu leiten, die das Gesendete aufbewahren.

Die App beginnt mit Ihrem eigenen Schlüssel und wechselt erst zu unserem, wenn Ihrer versagt hat — oder geht direkt zu unserem, wenn das von Ihnen gewählte Modell keine Fotos ansieht. Das ist die Voreinstellung, und ein Häkchen in den Einstellungen schaltet sie ab — dann geht das Foto unter keinen Umständen über unseren Server.

Essen in Worten und Neuberechnung aus einer Beschreibung. Wenn Sie eine Mahlzeit in Textform beschreiben, wird der eingegebene Text auf denselben zwei Wegen wie ein Foto zur Erkennung gesendet, damit das Modell Kalorien, Eiweiß, Fett und Kohlenhydrate schätzen kann. Wenn Sie die Werte eines Eintrags von der App aus seiner Beschreibung neu berechnen lassen, geht die Beschreibung des Eintrags — das, was in seinem Namensfeld steht — auf dieselbe Weise an das Modell. Eine Mahlzeitenbeschreibung enthält außerdem ihr Gesamtgewicht, falls Sie eines angegeben haben, sowie die Namen von Produkten aus Ihrer Bibliothek zusammen damit, wie viel Sie davon üblicherweise essen (die Portion in Gramm); das hilft dem Modell, Bekanntes zu erkennen und das Gewicht einzuschätzen; dieselben Namen aus der Bibliothek gehen samt ihren Portionen in Gramm auch mit einem Foto eines Gerichts mit. Eine Mahlzeitenbeschreibung enthält, wie ein Foto, außerdem die Sprache der Oberfläche, damit das Modell die Gerichte in dieser Sprache benennt. Der Text wird hier nicht gespeichert, ebenso wenig wie das Foto: Übrig bleibt nur die Zeile mit Zahlen.

Ihr Wohnland, falls Sie eines gewählt haben. Ein Foto, ein Etikett oder eine Mahlzeitenbeschreibung enthält außerdem, zusammen mit der Sprache der Oberfläche, den zweistelligen Ländercode, damit das Modell lokale Gerichte und Portionsgrößen erkennt. Mit dem Snapfork-Schlüssel geht der Ländercode über unseren Server an die Erkennungsplattform; mit eigenem Schlüssel geht er direkt an die Plattform, an uns vorbei. Unser Server reicht ihn nur durch: Wie bei einem Foto landen im Aufrufprotokoll nur Modell, Tokens und Kosten (bei Eingeladenen zusätzlich das lokale Datum, siehe „Einladungslinks“). Die Neuberechnung eines Eintrags und die Einteilung von Produkten in Gruppen erhalten das Land nie, und Ihre Liste „Esse ich nicht“ geht nie an das Modell. Abschalten lässt sich das mit dem Schalter „Land bei der Erkennung berücksichtigen“ im Bereich „Essenserkennung“.

Ihr Suchbegriff für Produkte — falls Sie auf „In Open Food Facts suchen (online)“ getippt haben. Die App hat einen Bereich „Produkte“: Er durchsucht Ihre eigenen Produkte und den auf Ihr Gerät geladenen Katalog, und all das geschieht ganz ohne Netz. Enthält der Katalog nicht, was Sie suchen, erscheint unter der Liste die Schaltfläche „In Open Food Facts suchen (online)“. Bei diesem Tippen — und nur dabei — verlässt das, was Sie ins Suchfeld eingegeben haben, Ihr Gerät in Richtung Open Food Facts, an unserem Server vorbei: Wir sehen diesen Begriff nicht und speichern ihn nicht. Es gibt keine Autovervollständigung beim Tippen und keine Anfrage im Hintergrund: Ohne das Tippen verlässt nichts das Gerät.

Mit diesem Begriff geht nichts anderes mit: keine Tagebucheinträge, keine Fotos, kein Gewicht, keine Kontokennung — die Anfrage braucht nichts davon, und die App hängt nichts davon an. Ab dort gelten die Bedingungen von Open Food Facts, nicht unsere. Ein Häkchen schaltet das ab: Einstellungen → Produkte per Barcode → „Auf Tippen in der offenen Datenbank suchen“; abgeschaltet entfernt es die Schaltfläche selbst, und es verlässt überhaupt nichts das Gerät. Das Nachschlagen eines Produkts über den Code auf seiner Packung und die Suche im geladenen Katalog gehen nie ins Netz — weder mit gesetztem noch mit entferntem Häkchen.

Die App lädt die Produktdatenbank von unserem Server als Länderdatei oder, wenn verfügbar, als weltweiten Grundbestand; die Adresse nennt die gewählte Datenbank (zum Beispiel /products/de.2026-09-24.csv). Den Namen der geladenen Datenbank und Ihre IP-Adresse sehen unser Server und Cloudflare, über das Anfragen an snapfork.app laufen. Pfad und IP-Adresse können auch in den Protokollen unseres Hosters Railway stehen. Die Speicherdauer hängt von den Einstellungen der Anbieter ab und muss vor der Veröffentlichung geprüft werden. Eine bereits installierte Länderdatei kann zur Aktualisierung angeboten werden. Das Land der Datei muss nicht Ihr Wohnland sein; der weltweite Grundbestand nennt kein Wohnland. Die Anfrage geht ohne das Anmelde-Cookie hinaus. Die App ordnet den Download keinem Konto zu. Geladen wird die Datenbank nur über die Schaltfläche in den Einstellungen; die Suche darin läuft danach ohne Netz.

E-Mails mit Anmeldecodes laufen über den Mail-Anbieter, den der Betreiber des Dienstes gewählt hat. Über das hier Aufgeführte hinaus wird nichts an irgendwen weitergegeben: keine Analyse, keine Werbung und keine Skripte Dritter auf der Website oder in der App.

In die E-Mail selbst fügt der Anbieter einen Öffnungszähler ein — ein kleines Bild, das beim Öffnen der E-Mail von seinem Server geladen wird. Daraus erfährt er, dass die E-Mail geöffnet wurde und wann; Mail-Programme, die Bilder direkt abrufen, zeigen ihm außerdem die Adresse, von der aus die E-Mail gelesen wurde. In unserem Tarif lässt sich das nicht abschalten. Die E-Mail, wie wir sie verfassen, enthält weder ein Bild noch überhaupt einen Link.

Die Website zählt Besuche selbst, ohne Cookies und ohne fremde Skripte. In die Datenbank gelangen Tageszahlen: Seite, Sprache, woher der Besuch kam. Weder die IP-Adresse noch der User-Agent wird in irgendeiner Form gespeichert — sie werden mit einem täglichen Salt zu einem Schlüssel verarbeitet, und der Salt selbst wird nirgends festgehalten, sodass selbst wir zwei Tage nicht miteinander abgleichen können. Der Header Sec-GPC wird respektiert: Ist er gesetzt, wird überhaupt nichts gezählt.

Die Einstellungen der App enthalten einen Bereich „Support“: Dort können Sie über etwas schreiben, das kaputt ist oder fehlt, und bekommen an derselben Stelle eine Antwort. Das ist ein Gespräch und kein Formular — und deshalb wird es auf dem Server gespeichert: Sonst gäbe es keinen Ort für die Antwort.

Gespeichert wird der Text Ihrer Nachrichten und der Antworten des Entwicklers, verknüpft mit Ihrem Konto. Lesen können ihn nur diejenigen, deren bestätigte Adressen der Betreiber des Dienstes auf die Entwicklerliste gesetzt hat: Die Liste ist geschlossen, sie liegt in den Einstellungen des Servers, und niemand sonst sieht den Schriftwechsel. Weder eine E-Mail-Adresse noch ein Name steht daneben — der Server hat sie ohnehin nicht im Klartext, und das Gespräch wird mit einem Tagebuch geführt, nicht mit einer Person.

Gerätedaten werden nur angehängt, wenn Sie das Häkchen setzen, und vor dem Senden wird Ihnen genau der Text gezeigt, der mitgeht: die Version der App und der Datenbank, Plattform und Browser, Sprache, Fenstergröße, der Bildschirm, von dem aus Sie schreiben, und der Code des Fehlers, falls Sie von einem kommen, wie viele Einträge und Wägungen Sie haben, als bloße Zahlen, ob das Gerät online war, ob die App über ihr Symbol oder in einem Browser-Tab geöffnet wurde, ob der Debug-Modus an ist und ob ein Plattformschlüssel hinterlegt ist — „ja“ oder „nein“, nie der Schlüssel selbst. Kein einziger Tagebucheintrag, kein Foto, keine Gewichtsangabe und kein Profilfeld geht dorthin.

Die Benachrichtigungs-E-Mail, die den Entwickler erreicht, enthält weder den Text der Nachricht noch Ihre Kennung: nur „im Gespräch gibt es eine neue Nachricht“. Der Inhalt des Schriftwechsels erreicht nie den Mail-Anbieter und erscheint nie in den Server-Logs.

Die App kann Ihnen einen dauerhaften Einladungslink geben. Wer sich darüber registriert, bekommt Erkennungen mit unserem Schlüssel geschenkt, solange der Link noch Geschenke hat, und Sie bekommen Ihre, sobald er an zwei verschiedenen Tagen (gezählt nach seinem lokalen Kalender) Essen mit dem Snapfork-Schlüssel erkennen ließ, bis die Grenze der Belohnungen erreicht ist. Sonst ändert sich nichts: Niemand erhält Zugang zum Tagebuch eines anderen.

Dafür sendet die App mit jeder Erkennung mit dem Snapfork-Schlüssel das lokale Datum des Geräts. Gespeichert wird es nur bei jemandem, der über einen Link gekommen ist, solange die Einladung noch nicht angerechnet ist und die einladende Person ihr Konto nicht gelöscht hat, und höchstens 30 Tage. Ein Datum, das es in keiner Zeitzone gibt, lehnt der Server ab: Ein solcher Aufruf zählt wie einer ohne Datum nach der Zeitzone der übrigen Daten dieser Person, ohne solche nach Weltzeit. Passen ihre Daten nicht zusammen (Umzug, Geräte in verschiedenen Zeitzonen, Zeitumstellung), wird alles für diese Person nach Weltzeit gezählt.

Gespeichert wird die Tatsache, dass ein Konto über den Link eines anderen gekommen ist: welcher Link, wann und ob die Belohnung verdient ist. Das ist ein Datensatz über eine Verbindung zwischen zwei Menschen, deshalb wird er so knapp wie möglich gehalten und niemandem gezeigt: Wer eingeladen hat, sieht nur Zahlen — wie viele gekommen sind, wie viele davon an zwei verschiedenen Tagen Essen mit dem Snapfork-Schlüssel erkennen ließen, wie viele Erkennungen gutgeschrieben wurden und wie viele Geschenke der Link noch hat. Keinen Namen, keine Adresse, keinen Zeitpunkt der Anmeldung. Wir sagen nicht, wer angenommen hat, denn das hieße, einem Dritten mitzuteilen, dass eine bestimmte Person angefangen hat, ein Ernährungstagebuch zu führen.

Der Link selbst trägt einen Code und nichts über Sie. Sein Aufruf wird vom Besuchszähler als eigene Kampagne gezählt — nur die Bezeichnung: Der Code erreicht den Zähler nie, sonst würden die Tageszahlen zu einer Tabelle darüber, wessen Links funktionieren.

Das Löschen eines Kontos entfernt den Link und den Vermerk, woher dieses Konto kam; die Einträge über Belohnungen bleiben, ohne Kontokennung, weil aus ihnen die Grenzen dafür berechnet werden, wie viel verschenkt werden kann.

Der Export „Was der Server über Sie speichert“ enthält Ihre Links, auch widerrufene, den Eintrag, wie und wann Sie gekommen sind und ob die Belohnung verdient wurde, wie viele Personen über Ihre Links kamen und wie viele davon gezählt wurden — nur als Zahl —, Ihre Einträge über Belohnungen und wie viele Geschenke Ihr Link noch hat. Wer Sie eingeladen hat und wer über Ihren Link kam, ist in der Datei nicht genannt.

Einträge über Aufladungen verhalten sich genauso: Das Löschen eines Kontos lässt sie stehen, aber sie nennen danach niemanden mehr. Der Grund ist nicht die Buchhaltung, sondern Sie — eine Bank kann eine Zahlung noch einen Monat nach dem Verschwinden des Kontos anfechten, und ohne verbliebene Beträge gäbe es nichts, womit man eine solche Anfechtung beantworten könnte. Ein etwaiges Restguthaben verfällt beim Löschen, und das wird als eigener Eintrag vermerkt: Geld, für das keine Leistung erbracht wurde, bleibt als genau das sichtbar, statt im Umsatz aufzugehen.

Wenn Sie mit einem Freund verbunden sind und ihm erlaubt haben, Ihre Woche zu sehen, verlässt Ihre Woche Ihr Gerät — aus Ihrem Tagebuch abgeleitet, genau zwei Fakten pro Tag für die letzten sieben Tage: ob Sie überhaupt etwas eingetragen haben und, falls Sie das gesondert geteilt haben, ob Sie innerhalb Ihres eigenen Ziels geblieben sind. Dazu, wie viele Tage in Folge Sie eingetragen haben. Nicht, was Sie gegessen haben, nicht, wie viele Kalorien, nicht Ihr Gewicht — nichts davon kommt in die Woche, auf keiner Stufe des Teilens. Außer der Woche erreicht einen Freund nur, was Sie selbst senden: eine Notiz aus einer festen Auswahl an Anfeuerungen oder eine Produktkarte — dazu unten mehr.

Sie sehen die Woche eines Freundes nur, wenn Sie Ihre Woche mit ihm geteilt haben, und seinen Ziel-Fakt nur, wenn Sie auch Ihr Ziel geteilt haben; beim Freund zeigt ihm unsere App über Sie genau so viel, wie sie Ihnen über ihn zeigt: Ihr Gerät zeigt die Woche eines Freundes nur bei gegenseitiger Zustimmung. Ihr Ziel-Fakt geht in einem verschlüsselten Umschlag an Ihren Freund, sobald Sie Ihr Ziel mit ihm geteilt haben, wird ihm aber nur angezeigt, wenn er sein Ziel ebenfalls mit Ihnen geteilt hat. Die Zustimmung wird je Freundschaft und je Stufe eingeholt, und wir halten fest, welchem Text Sie zugestimmt haben: Ändert sich die Bedeutung dieses Textes, fragen wir erneut, statt die Zustimmung stillschweigend auszuweiten. Sie können sie an jedem Tag zurücknehmen, und dafür gibt es zwei Schaltflächen: „Teilen beenden“ behält die Freundschaft, „Freundschaft löschen“ entfernt die Verbindung und löscht, was jeder von Ihnen vom anderen gesehen hat.

Eine Produktkarte verlässt Ihr Gerät nur, wenn Sie sie selbst senden. Auf dem Freunde-Bildschirm können Sie einem Freund ein Produkt aus Ihrer Bibliothek senden. Die Karte enthält den Namen, die Werte pro 100 g (Kalorien, Eiweiß, Fett und Kohlenhydrate), den Barcode, falls vorhanden, und die Herkunft der Werte; Zucker, gesättigte Fettsäuren, Salz und Ballaststoffe nur, wenn sie vom Etikett, aus einem Barcode-Scan oder aus dem Katalog stammen. Sie enthält kein Gewicht, kein Datum und nichts darüber, wann oder wie viel Sie davon gegessen haben. Sie reist versiegelt im selben Umschlag wie eine Notiz, gleich lang und auf demselben Weg, daher kann der Server eine Karte nicht von einer Notiz unterscheiden. Was damit geschieht, entscheidet Ihr Freund: In sein Tagebuch und seine Bibliothek gelangt nichts, bevor er damit einen Eintrag speichert, und eine nicht angenommene Karte verschwindet nach sieben Tagen. Einem Freund können Sie höchstens fünf Karten pro Tag senden, zurückgerechnet vom Moment des Sendens, nicht ab Mitternacht. „Zurückziehen“ löscht den Umschlag auf dem Server, und die Karte verschwindet beim nächsten Austausch Ihres Freundes von seinem Bildschirm; hat er sie schon hinzugefügt, behält er sie. Das Löschen der Freundschaft löscht die Karten zwischen Ihnen auf dem Server zusammen mit der Verbindung.

Es gibt eine Ausnahme — die Sicherungsdatei, die Sie selbst exportieren: Sie ist nicht verschlüsselt, und sie enthält die Woche Ihres Freundes — genau das, was Sie über ihn gesehen haben. Antworten und Produktkarten sind nicht darin. Das Löschen einer Freundschaft entfernt das Gesehene hier wie auf dem Gerät, reicht aber nicht bis zu Dateien, die Sie bereits gespeichert haben: Was mit ihnen geschieht, entscheiden Sie.

Blockieren. Die Schaltfläche „Blockieren“ auf der Karte eines Freundes beendet die Verbindung sofort — wie „Freundschaft löschen“, samt den Umschlägen in beide Richtungen — und verhindert, dass Sie beide einander neu einladen: Keine Einladung zwischen Ihnen wird mehr angenommen. Dafür speichert der Server, wer wen blockiert hat und seit wann — ohne Grund und ohne ein Wort von Ihnen —, bis Sie die Blockierung in der Liste „Blockiert“ auf demselben Bildschirm aufheben oder eine der beiden Seiten ihr Konto löscht. Die Blockierung teilen wir der anderen Seite nicht mit: Diese sieht, was sie nach „Freundschaft löschen“ sähe — die Freundschaft ist beendet, und Ihr Einladungslink funktioniert bei ihr nicht, wie ein abgelaufener. Das Aufheben bringt die Freundschaft nicht zurück: Eine Verbindung entsteht nur, wenn einer von Ihnen den Link des anderen annimmt. Der Export „Was der Server über Sie speichert“ enthält Ihre Freunde so, wie der Server sie speichert: Ihren öffentlichen Schlüssel, Ihre Verbindungen mit dem Tag, an dem jede begann, Ihre Einladungen, Ihre Verbote, falls es welche gibt, und die Umschläge von Ihnen und an Sie — versiegelt: Öffnen können sie nur Ihr Gerät mit Ihren Freunden oder das Gerät des Freundes. Ein Freund erscheint darin als Kontokennung, nicht mit Namen; sein Schlüssel, seine Umschläge an andere und Verbote gegen Sie stehen nicht darin, ebenso wenig Stufen und Einwilligungen — sie liegen auf dem Gerät.

Nichts davon können wir lesen — vorausgesetzt, der Schlüssel ist echt. Der Inhalt reist versiegelt mit einem Schlüssel, den wir nicht haben, jeder Umschlag ist gleich lang, und selbst die Größe verrät nichts darüber, wie viele Tage darin stecken. Manches sehen wir aber, und das sagen wir offen:

• wer mit wem verbunden ist und seit wann;
• Ihr öffentlicher Schlüssel;
• dass Sie einen Tresor des Freundesschlüssels haben und wann er sich geändert hat; solange eine Bitte, Ihre Freunde zurückzusetzen, aussteht, die Bitte selbst und wann sie wirksam wird, dazu einen zweiten Chiffretext des Tresors von derselben festen Länge;
• wann Sie den Freunde-Bildschirm öffnen — dann holt Ihr Gerät seine eingegangenen Umschläge ab und sendet Ihre Woche, falls Sie sie geteilt haben — und wann ein Umschlag mit einer Notiz oder einer Karte gesendet oder zurückgezogen wurde; und, wenn Ihre Freunde unter dem gemeinsamen Schlüssel auf mehreren Geräten sind, wann Sie die Produktkarte eines Freundes angenommen oder abgelehnt haben;
• dass es Einladungen gibt und wie viele.

Was wir nicht sehen: was darin steht, wie viel darin steht und wie Sie Ihren Freund auf Ihrem eigenen Gerät genannt haben. Ihr Freund sieht, wann Ihre Woche zuletzt aktualisiert wurde — das ist der Moment, in dem Sie zuletzt den Freunde-Bildschirm geöffnet haben.

Der Vorbehalt zum Schlüssel ist keine Redewendung. Die Schlüssel, die Sie austauschen, gehen über unseren Server — das heißt, theoretisch könnten wir sie vertauschen. Sie können das prüfen: Zweiunddreißig Ziffern, berechnet aus beiden öffentlichen Schlüsseln, müssen bei Ihnen und Ihrem Freund übereinstimmen. Wir bieten diese Prüfung an, statt sie vorzuschreiben — und solange Sie sie nicht vorgenommen haben, vertrauen Sie darauf, dass der Server den echten Schlüssel übergeben hat. Der Freundschaftsbildschirm zeigt immer, ob sie geprüft wurde.

Wenn Sie Ihr Tagebuch synchronisieren, reist der private Freundesschlüssel auf demselben Weg wie das Tagebuch zwischen Ihren Geräten: im Tresor des Freundesschlüssels, versiegelt mit Ihrem Tagebuchschlüssel, den wir nicht haben. Dort liegen auch Ihre Erlaubnisse, Prüfungen und die Namen, die Sie Freunden gegeben haben. Deshalb sind Ihre Freunde auf jedem Gerät verfügbar, auf dem der Tagebuchschlüssel-Code eingegeben ist, der Widerruf einer Erlaubnis auf einem Gerät gilt für alle, und die Prüfung ist gemeinsam: Die Ziffern müssen Sie nicht ein zweites Mal vergleichen. Eine Prüfung gilt dem ganzen Schlüssel Ihres Freundes, und ändert sich der Schlüssel eines geprüften Freundes, geht Ihre Woche nicht an ihn, bis Sie die Ziffern erneut verglichen haben. Solange Ihre Freunde nicht auf dem gemeinsamen Schlüssel sind, bietet der Freunde-Bildschirm den Wechsel dorthin an: Ohne Freunde und ohne offene Einladung geht das jederzeit; sobald Sie Freunde oder eine offene Einladung haben, ändert der Wechsel — wie auch der Umzug Ihrer Freunde hierher — einen Schlüssel, auf den sich andere schon verlassen, und ist deshalb nur direkt nach einer Anmeldung möglich. Wenn Sie einen neuen Code ausstellen, können Sie auch den Freundesschlüssel ändern und sich in den Kontoeinstellungen auf anderen Geräten abmelden (ebenfalls nur direkt nach einer Anmeldung): So wird ein verlorenes Gerät abgeschnitten. Die Reihenfolge: Synchronisieren Sie Ihre übrigen Geräte, stellen Sie einen neuen Code aus und melden Sie sich dann auf anderen Geräten ab. Ein neuer Code sperrt das verlorene Gerät von neuen Tagebucheinträgen auf dem Server aus, ein neuer Freundesschlüssel von neuen Wochen Ihrer Freunde, und die Abmeldung trennt es vom Server; was schon auf dem verlorenen Gerät liegt, bleibt dort. Ihre Freunde sehen dann einen neuen Schlüssel und können die Ziffern erneut vergleichen. Wenn sich der Freundesschlüssel ändert, löscht der Server auch, was unter dem alten Schlüssel für Sie bereitlag — Wochen, Notizen und Produktkarten Ihrer Freunde: Der neue Schlüssel kann sie nicht öffnen, und Ihre Freunde legen neue ab. Ist der Code verloren, können Sie Ihre Freunde mit der Schaltfläche „Freunde zurücksetzen“ zurücksetzen – direkt nach einer Anmeldung (mit dem Code aus der E-Mail oder mit Google oder Apple). Dafür braucht das Gerät den Tagebuchschlüssel-Code; hat es auch keinen, legen Sie zuerst einen neuen an – das ist ein neuer Tagebuchschlüssel. Die Rücksetzung wird nach einem Tag wirksam, wenn in dieser Zeit auf keinem Gerät mit Ihrem Code die App online geöffnet wird: Ein solches Gerät nimmt die Bitte selbst zurück, auch wenn Sie den Freunde-Bildschirm nie öffnen — das heißt, Sie haben den Code noch. Nach der Rücksetzung ändert sich der Schlüssel, die Prüfungen entfallen, und das Teilen Ihrer Woche müssen Sie neu erlauben. Die private Hälfte des Freundesschlüssels kommt nie in Ihre Sicherungsdatei; auf dem Gerät selbst liegt sie in der Momentaufnahme des Tresors — in derselben Gerätedatenbank wie der Tagebuchschlüssel —, und die eigene Sicherung Ihres Geräts nimmt sie, wenn Sie das Tagebuch hineinlassen, zusammen mit dem Tagebuchschlüssel mit.

Ohne Tagebuch-Synchronisierung oder ohne gemeinsamen Freundesschlüssel liegt der Schlüssel, der Ihre Woche versiegelt, auf Ihrem Gerät und reist nie — weder zu uns noch in Ihre Sicherungsdatei. Auf einem neuen Gerät müssen Freundschaften deshalb erneut bestätigt werden. Freunde leben auf einem Gerät, und der Server wechselt Ihren Schlüssel nur, solange Sie noch keine Freunde und keine offene Einladung haben, oder bei einem Umzug (nur direkt nach einer Anmeldung) — per Sicherung auf einem neuen, noch leeren Gerät oder mit „Hierher holen“: Auf dem bisherigen halten sie an („Hierher zurückholen“), und das Teilen Ihrer Woche müssen Sie erneut erlauben.

Wie lange was besteht: Eine nicht angenommene Einladung lebt 30 Tage und funktioniert einmal; Ihre Woche liegt bis zur nächsten auf dem Server und wird sofort gelöscht, wenn eine Freundschaft endet oder Sie auf ein neues Gerät wechseln – sobald ein neues, noch leeres Gerät Ihre Sicherung wiederherstellt oder Sie den Umzug im Freunde-Bildschirm bestätigen –, mit dem gemeinsamen Freundesschlüssel außerdem beim Wechsel zu ihm, wenn sich der Freundesschlüssel mit einem neuen Code ändert und wenn eine Rücksetzung wirksam wird; Notizen leben sieben Tage; der Tresor des Freundesschlüssels bleibt bis zur Löschung des Kontos; die Verbindung besteht, bis sie beendet oder das Konto gelöscht wird. Soziale Funktionen werden niemandem angeboten, dessen Profil ein Alter unter 16 Jahren angibt.

Sie können höchstens 50 Freunde haben, und diese Obergrenze ist unsere, nicht die des Produkts: Je länger die Liste, desto mehr Verbindungen kennt der Server. Aus demselben Grund sind Einladungen begrenzt — fünf gleichzeitig offene, zehn pro Tag.

Genau eines auf der ganzen Domain: die Anmeldesitzung. Es ist technisch notwendig, wird nur bei der Anmeldung gesetzt, lebt bis zu 180 Tage ab der letzten Anmeldung und ist für nichts außer der App sichtbar. Vor der Anmeldung gibt es keines — und danach reist es mit jeder Seite hier mit, diese eingeschlossen, weil Website und App unter einer Adresse antworten. Es gibt kein Banner, weil für das Cookie, ohne das die Anmeldung nicht funktioniert, keine Einwilligung eingeholt wird, und es gibt sonst nichts, wofür man fragen müsste: keine Analyse, keine Werbung.

Jeder Zweck hat nach der DSGVO seine eigene Rechtsgrundlage (Art. 6 und 9):

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) — was der Dienst, den Sie anfordern, braucht: Konto, Anmeldung und Code-E-Mails, die versiegelte Kopie Ihres Tagebuchs, Erkennung mit dem Snapfork-Schlüssel samt Sprache und Land, das Herunterladen der Produktdatenbank, Korrespondenz mit dem Entwickler, Einladungslinks und die Mechanik der Freundschaft: Verbindung, Schlüssel, Tresor des Freundesschlüssels, Zustellung der Umschläge, Verbote erneuter Einladung sowie Notizen und Produktkarten — die senden Sie selbst, und sie brauchen keine Einwilligung zum Teilen Ihrer Woche.
• Einwilligung (Art. 6 Abs. 1 lit. a) — Synchronisierung der Einstellungen: Sie wird einzeln eingeschaltet und lässt sich jederzeit mit demselben Schalter widerrufen.
• Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a) — Gesundheitsangaben und ihre Synchronisierung, Widerruf mit den Knöpfen des Bereichs, und Ihre Woche für einen Freund: Jede Freundschaft und jede Stufe des Teilens braucht eine eigene Einwilligung, Widerruf mit dem Knopf „Teilen beenden“.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Datenbanksicherungen, Protokolle des Hosters, der Besuchszähler und anonymisierte Aufladungsdatensätze für Zahlungsstreitigkeiten. Dem können Sie per E-Mail an die Adresse unten widersprechen (Art. 21).

Sie können sich außerdem bei der Datenschutz-Aufsichtsbehörde Ihres Landes beschweren.

Das Protokoll der Modellaufrufe wird auf dem Server gespeichert, solange das Konto besteht.

Der Serverexport enthält auch Ihr Protokoll der Modellaufrufe: Tag, Uhrzeit, Anfrageart, Modell, Zahlungsquelle, Status, Tokens und Kosten in US-Dollar sowie das lokale Datum einer eingeladenen Person, solange es gespeichert wird. Das Protokoll enthält keine Fotos, Anfragetexte oder Modellantworten; der Hash der IP-Adresse wird nicht exportiert.

Sitzung — bis zu 180 Tage ab der letzten Anmeldung. Code per E-Mail — 10 Minuten. Tageszahlen des Zählers — unbegrenzt, aber sie enthalten nichts über eine Person. Konto — bis Sie es löschen. Schriftwechsel mit dem Entwickler — genau so lange wie das Konto: Er geht mit ihm zusammen und hat keine eigene Frist. Dass wir keine eigene Frist nennen, ist Absicht: Sie wäre ein Versprechen, nach Zeitplan zu löschen, und einen Zeitplan gibt es nicht — das Versprechen wäre also bei der ersten Überprüfung falsch.

Das lokale Datum Eingeladener — höchstens 30 Tage; früher gelöscht, sobald die Einladung angerechnet ist oder die einladende Person ihr Konto löscht (siehe „Einladungslinks“).

Tagebucheinträge auf dem Server — solange das Konto besteht. Sie haben keine eigene Frist, und das ist eine Entscheidung, kein Versäumnis. Der Server hält eine versiegelte Kopie des Tagebuchs für Ihr zweites Gerät vor — und eine Kopie, die von selbst verschwindet, nützt einem zweiten Gerät nichts: Es könnte nirgendwoher zurückholen, was der Server vergessen hat, und das Tagebuch darauf wäre stillschweigend kürzer als auf dem anderen. Einträge gehen zusammen mit dem Konto und nur mit ihm: Löschen Sie es, verlässt die versiegelte Kopie des Tagebuchs die Datenbank des Servers sofort und ihre Sicherungskopien, sobald diese im Turnus ausscheiden — wie schnell, steht am Ende dieses Abschnitts. Das Tagebuch auf dem Gerät selbst bleibt Ihres und wird gesondert gelöscht.

Die unten genannten dreißig Tage betreffen nicht die Einträge selbst, und die beiden Fristen sollte man nicht verwechseln. Dreißig Tage leben Fotovorschauen (auf dem Gerät wie auf dem Server) , vergrößerte Kopien auf dem Server und Versionen von Einträgen, die einen Sync-Konflikt verloren haben. Alle drei liegen NEBEN einem Eintrag, nicht an seiner Stelle: Was verschwindet, ist ein Bild oder ein früherer Stand der Zeile, während der Eintrag selbst bleibt, wo er ist. Die Fristen auf dem Server zählen in der Arbeitsdatenbank des Servers; in ihren Sicherungskopien kann ein Bild oder eine Version sie um bis zu 14 Tage überdauern — siehe den letzten Absatz dieses Abschnitts.

Vorschauen von Mahlzeitenfotos — 30 Tage. Die App bewahrt eine kleine Kopie des Bildes neben dem Eintrag auf und löscht sie dreißig Tage nach der Aufnahme vom Gerät. Der Eintrag selbst bleibt: Nur das Bild verschwindet. Diese Frist nennen wir sehr wohl, gerade weil es hier einen Zeitplan gibt — die Bereinigung läuft bei jedem Öffnen der App und unmittelbar nach dem Wiederherstellen einer Sicherung —, und Sie können es prüfen, indem Sie einen alten Tag öffnen. Die ursprüngliche Kameradatei wird nicht im Tagebuch gespeichert. Neben dieser Vorschau bewahrt der Eintrag eine vergrößerte, komprimierte Kopie für dieselbe Dauer auf dem Gerät auf. Eine von Ihnen exportierte Sicherungsdatei enthält diese Kopie unverschlüsselt.

Ein für später zurückgelegtes Foto — auf dem Gerät, höchstens 30 Tage. Ein Foto, das Sie zurückgelegt haben, um es später erkennen zu lassen, bleibt vollständig auf dem Gerät, nicht als Vorschau: bis es erkannt ist und Sie den Eintrag gespeichert haben, und höchstens dreißig Tage nach der Aufnahme. Läuft die Frist ab, wird das Foto gelöscht, während die Erinnerung an die Mahlzeit bleibt, damit Sie sie von Hand eintragen können. Das Gerät verlässt es nur im Moment der Erkennung — auf demselben Weg wie jedes andere Foto (siehe Wohin Daten doch gehen). Das zur Erkennung gesendete vollständige Foto wird auf unserem Server nicht gespeichert. Wenn Sie einen Eintrag sichern, werden dessen Vorschau und vergrößerte komprimierte Kopie getrennt und mit Ihrem Schlüssel versiegelt gespeichert, wie unten beschrieben.

Auf dem Server lebt die Vorschau nach derselben Frist — höchstens dreißig Tage. Sie gelangt versiegelt zusammen mit dem Tagebuch dorthin, damit sie auf Ihrem zweiten Gerät erscheinen kann; öffnen können wir sie ebenso wenig wie die Einträge. Der Server zählt die Frist ab dem Tag, an dem das Bild ankam, nicht ab dem Tag der Aufnahme: Den Tag der Aufnahme kennt er nicht — der steckt im Chiffrat. Deshalb verschwindet die Vorschau zuerst vom Gerät und danach vom Server, und die Bereinigung läuft nach Zeitplan, einmal täglich, statt „irgendwann“.

Vergrößerte Kopien von Mahlzeitenfotos — auf dem Server höchstens 30 Tage. Enthält ein Eintrag eine solche Kopie, sendet die App sie getrennt von der Vorschau, mit Ihrem Schlüssel verschlüsselt. Der Server sieht nur verschlüsselten Chiffretext; die Fotoadresse steht im verschlüsselten Eintrag. Ein anderes Gerät lädt die Kopie beim Öffnen des Fotos. Der Server löscht sie täglich, gerechnet ab Eingang, und sofort bei Kontolöschung. Der Kontoexport enthält denselben Chiffretext.

Versionen von Einträgen, die einen Sync-Konflikt verloren haben — höchstens dreißig Tage. Wenn Sie einen Eintrag bearbeiten, ersetzen Sie seine vorherige Version; der Server wirft diese vorherige nicht sofort weg, sondern legt sie beiseite — damit „das hat sich von selbst korrigiert“ nicht unser Wort gegen Ihre Erinnerung ist. Sie können sie in der App auf der Karte „Strittige Versionen“ sehen und zurückholen. Sie liegen dort versiegelt, wie die Einträge: Auch sie können wir nicht öffnen. Die Bereinigung läuft nach Zeitplan, einmal täglich — und deshalb nennen wir hier die Frist.

Eine solche Version kann auch vor Ablauf der Frist verschwinden, und das sagen wir ehrlicherweise gleich: Pro Eintrag bewahrt der Server höchstens zwanzig davon auf, und die einundzwanzigste verdrängt die älteste. Das ist eine technische Grenze gegen außer Kontrolle geratenen Code, kein Versprechen, zwanzig aufzubewahren. Die aktuelle Version eines Eintrags berührt weder die Frist noch die Grenze: Sie ist Ihr Tagebuch und geht nur zusammen mit dem Konto.

Server-Sicherungen — bis zu 14 Tage. Einmal pro Stunde kopiert der Server seine gesamte Datenbank — eine Versicherung für den Tag, an dem eine defekte Festplatte oder ein fehlgeschlagenes Update sonst die Konten aller mit sich reißen würde. Kopien der letzten 48 Stunden werden je eine pro Stunde aufbewahrt, ältere je eine pro Tag, und eine Kopie, die älter als 14 Tage ist, wird beim nächsten stündlichen Durchlauf gelöscht. Gelöscht werden Kopien nur von einem laufenden Server: Solange er abgeschaltet ist, bleibt jede Kopie liegen, und sobald er wieder läuft, verschwinden die abgelaufenen sofort. Ein Vorbehalt: Die neueste Kopie bleibt immer — auch abgelaufen, falls neue Kopien nicht mehr gelingen — bis zur nächsten erfolgreichen, denn eine alte Kopie nützt mehr als ein leeres Regal. Eine Kopie enthält genau das, was die Datenbank zu dieser Stunde enthielt, und in derselben Form. Was mit Ihrem Schlüssel versiegelt ist — Tagebuch, Vorschauen, Einstellungen, Profilbild, strittige Versionen, der Tresor des Freundesschlüssels —, bleibt in der Kopie versiegelt, und wir haben keinen Schlüssel dazu; was der Server offen sieht — den Schriftwechsel mit dem Entwickler, wer mit wem befreundet ist —, sieht er auch in der Kopie. Deshalb ist jede Frist oben eine Frist in der Arbeitsdatenbank: Was dort gelöscht wurde — durch die Bereinigung oder zusammen mit dem Konto —, bleibt in den Sicherungskopien danach höchstens 14 Tage, abgesehen von den oben genannten Fällen. Vierzehn Tage sind eine Obergrenze, kein Versprechen der Aufbewahrung: Eine Kopie kann früher verschwinden, etwa wenn auf der Festplatte der Platz knapp wird.

Externe Sicherungskopie — geplanter Ablauf nach 35 Tagen. Einmal täglich sendet der Server eine Datenbanksicherung an Cloudflare R2 unter der Jurisdiktion der Europäischen Union. Das gesamte Archiv wird vor dem Versand mit einem separaten Sicherungsschlüssel verschlüsselt. Die geplante Ablauffrist beträgt 35 Tage. Nach Ablauf löscht R2 Objekte asynchron; die tatsächliche Speicherung kann daher länger dauern. Aus der Arbeitsdatenbank gelöschte Daten bleiben in externen Kopien, bis diese Kopien tatsächlich gelöscht werden.

Am 9. Oktober 2026 befindet sich im externen Speicher außerdem eine Sicherung vom 2. Oktober 2026, die vor der Einführung der Verschlüsselung des gesamten Archivs erstellt wurde. Für diese ältere Kopie gilt dieselbe Regel zum geplanten Ablauf.

In der App: Einstellungen → „Konto löschen“. Das löscht das Konto, alle seine Anmeldewege, alle Sitzungen und den gesamten Schriftwechsel mit dem Entwickler; bei der Anmeldung mit Apple wird außerdem der Zugriff auf Apples Seite widerrufen. Was der Server für die Synchronisierung aufbewahrt hat, geht ebenfalls mit dem Konto: die versiegelte Kopie Ihres Tagebuchs, die Fotovorschauen, die versiegelte Kopie Ihrer Einstellungen, das versiegelte Profilbild, das Journal der strittigen Versionen und die Liste Ihrer Geräte — nichts davon bleibt in der Datenbank des Servers. Ebenso gehen die Verbindungen zu Ihren Freunden, Ihr öffentlicher Schlüssel, der Tresor des Freundesschlüssels, die Umschläge zwischen Ihnen und Ihren Freunden, Ihre Einladungen an Freunde und Verbote erneuter Einladung. Die stündlichen Sicherungskopien enthalten es noch bis zu 14 Tage lang in derselben Form, danach verschwindet es auch aus ihnen (vorausgesetzt, der Server lief und neue Kopien gelangen); wie die Kopien funktionieren, steht unter Wie lange was aufbewahrt wird. Die Tageszahlen des Besuchszählers bleiben: Sie enthalten nichts über eine Person und lassen sich nicht je Konto entfernen, weil kein Konto darin vorkommt. Das Tagebuch auf Ihrem Gerät wird mit einer eigenen Schaltfläche gelöscht — es gehört allein Ihnen, und über sein Schicksal entscheiden wir nicht für Sie.

Diese Erklärung ändert sich mit dem Dienst; das Datum oben auf der Seite ist das Datum der letzten Bearbeitung. Wesentliche Änderungen werden hier angekündigt und nicht per E-Mail: Der Server bewahrt keine Adresse auf, an die er schreiben könnte — nur einen Fingerabdruck davon.

Verantwortlicher — also derjenige, der entscheidet, was hier gespeichert wird, und dafür einsteht — ist eine Privatperson, kein Unternehmen: Hinter Snapfork steht keine juristische Person. Diese Person ist Oleksandr Trifonov. Alles, was den Dienst betrifft, einschließlich Anfragen zu Ihren eigenen Daten, geht an die unten genannte Adresse. Was diese Konstellation in der Praxis bedeutet, steht auf der Seite Wer dahintersteht.

Fragen, Auskunft über Ihre eigenen Daten und Löschung — über die Seite Fragen oder per E-Mail an hello@snapfork.app.