Datenschutzerklärung

Verantwortlich für die Datenbearbeitung: ark.swiss Sàrl, Lausanne (Schweiz) — Kontakt: [email protected].

1. Unser Prinzip: Ihre Daten bleiben bei Ihnen

ark.fit ist «local-first» konzipiert: Standardmässig leben alle Ihre Tracking-Daten auf Ihrem Gerät, in einer verschlüsselten Datenbank. Wir verkaufen, vermieten oder übertragen Ihre Daten niemals. Wir wenden strikte Datenminimierung an: Wir erheben und übermitteln nur das absolut Notwendige — und nur mit Ihrer ausdrücklichen Einwilligung für jeden einzelnen Zweck.

2. Auf Ihrem Gerät bearbeitete Daten (standardmässig nie übermittelt)

Lokal gespeichert, in einer im Ruhezustand verschlüsselten Datenbank (iOS-Dateischutz + applikative AES-GCM-Verschlüsselung der sensiblen Felder, Schlüssel im iOS-Schlüsselbund):

Profil: Zielgewicht, Tempo, Ernährungsansatz, Abneigungen und Einschränkungen (sensible Daten, verschlüsselt);
Ernährungstagebuch: Lebensmittel, Portionen, Nährwerte, Zeitstempel;
Gewicht und Trend: Ihre Wägungen und der vom adaptiven Motor berechnete geglättete Trend.

Diese Daten verlassen das Gerät nicht, ausser Sie veranlassen es selbst (siehe §4 und §5).

3. Apple Health (HealthKit)

Wenn Sie Apple Health verbinden, liest ark.fit auf dem Gerät bestimmte Messwerte (Gewicht, Grösse, Alter, Geschlecht, Schritte, Aktiv- und Ruheenergie, Herzfrequenz), um Ihr Budget zu kalibrieren und die Anzeige anzureichern. Diese Rohdaten bleiben auf dem Gerät und werden nie als solche übermittelt. Die App funktioniert vollständig ohne Apple Health. Wenn Sie das Schreiben erlauben, trägt ark.fit die Energie Ihrer Mahlzeiten in Health ein; bei der Totallöschung (§6) versucht die App, die von ihr geschriebenen Einträge zu entfernen, soweit die Berechtigungen dies erlauben.

Für den Kern der App ist kein Konto nötig. Sie können sich mit Sign in with Apple anmelden, ausschliesslich um Serverfunktionen zu aktivieren, insbesondere Mahlzeit beschreiben, KI-Insights, KI-verstärkten Scan, Kassenbons, KI-Rezeptfunktionen und Haushaltsfreigabe. Wir verlangen das Minimum: weder Name noch E-Mail sind erforderlich; wir erhalten nur eine opake Sitzungskennung.

Nach der Kontolöschung bewahrt das Backend einen opaken Sicherheitsmarker aus einer gehashten internen Kennung, einem Widerrufszähler und einem Zeitstempel auf. Er dient ausschliesslich dazu, alte JWT dauerhaft zu widerrufen und ihre Neuerstellung zu verhindern. Er enthält weder Profildaten noch eine Apple-Kennung im Klartext.

5. Künstliche Intelligenz — getrennte Einwilligungen und Datenminimierung

Die allgemeinen KI-Funktionen (Beschreiben, Scan, Kassenbons und Rezepte) teilen eine widerrufbare, versionierte allgemeine KI-Einwilligung. Eine ältere Zustimmung oder der frühere boolesche Wert erlaubt keine Übermittlung im V2-Umfang: Sie müssen die aktuelle Offenlegung akzeptieren. Da KI-Insights Gesundheitsaggregate verwenden, gilt dafür eine separate, versionierte Einwilligung.

Mahlzeit beschreiben: Die App sendet dem ark.fit-Backend den eingegebenen Text, 0 bis 3 minimierte Bilder (EXIF-/GPS-Metadaten entfernt), die Locale, den aktuellen Zeitpunkt in lokaler Zeit und die Routing-Präferenz. Das Backend routet zum Anbieter des gewählten Modells: Infomaniak in der Schweiz oder OpenAI / Anthropic, mit möglicher Verarbeitung ausserhalb der Schweiz. Ihr Gesundheitsprofil wird nie mitgesendet. Das Ergebnis ist eine editierbare Spanne, nie ein «exakter» Wert.
Verstärkter Scan: Nur wenn eine KI-Eskalation nötig ist, sendet die App dem Backend 1 bis 3 minimierte Bilder, den OCR-Text, erkannte Barcodes und, wenn ein Produkt aufgelöst wurde, dessen Open-Food-Facts-Daten (OFF-Daten) (Name, Marke, Einheit, Portion und Nährwerte pro 100 g), dazu Locale und Routing-Präferenz. Je nach gewähltem Modell routet das Backend zu Infomaniak in der Schweiz oder OpenAI / Anthropic, mit möglicher Verarbeitung ausserhalb der Schweiz. Ohne V2-Einwilligung bleiben Barcode-/OFF-Auflösung und heuristische Etikettenlesung auf dem Gerät.
Kassenbons: Das Bild bleibt für die lokale OCR auf dem Gerät. Nur OCR-Text, Locale und Routing-Präferenz gehen ans Backend; nie das Foto. Das Backend routet je nach gewähltem Modell zu Infomaniak in der Schweiz oder OpenAI / Anthropic, mit möglicher Verarbeitung ausserhalb der Schweiz. Ohne V2-Einwilligung bleibt die heuristische Analyse auf dem Gerät.
KI-Insights auf der Startseite: Ein Bericht wird nur nach einer ausdrücklichen Aktion und Ihrer separaten Einwilligung erstellt. Die App übermittelt dem ark.fit-Backend Ihre opake Sitzung, die Locale, die Routing-Präferenz und folgende Aggregate: Alter, Geschlecht und Grösse; geglättetes Gewicht und Trend; Durchschnittswerte für Aktivität, Schritte und Energieaufnahme; den letzten täglichen Ruhepulswert; Kalorienbudget. Der KI-Anbieter erhält die Aggregate und die Locale, ohne Sitzungskennung oder Routing-Präferenz. Es werden keine Lebensmittel, rohen Mahlzeitendetails, Mahlzeitenzeiten oder rohen Apple-Health-Messwerte übertragen. Standardmässig verarbeitet Infomaniak (souverän) diese Aggregate in der Schweiz; wählen Sie ein leistungsfähiges Modell von OpenAI oder Anthropic, können sie ausserhalb der Schweiz verarbeitet werden. Der letzte Bericht wird auf dem Gerät verschlüsselt und in den JSON-Export aufgenommen. Beim Deaktivieren wird die Erlaubnis für jede neue Übermittlung sofort entzogen; danach löscht die App den lokalen Bericht. Schlägt dies fehl, bleibt er verschlüsselt, ein Fehlerstatus wird angezeigt und die Löschung kann erneut versucht werden.
Rezepte: Je nach gewählter Aktion sendet die App dem ark.fit-Backend die Quell-URL und den gerenderten öffentlichen Seitentext, 1–3 minimierte Rezeptfotos (EXIF-/GPS-Metadaten entfernt) oder Titel, Zutaten und Portionszahl für die Nährwertschätzung. Vorschläge und Erstellungen senden einen freien Brief (serverseitig auf 500 Byte begrenzt), das Vorrats-Nutzungsflag, bei Aktivierung die Namen der Vorratsartikel und Angaben zu bald zu verbrauchenden Artikeln, die gewählten Kriterien, Locale und Routing-Präferenz. Der KI-Anbieter erhält nur den für den gewählten Ablauf nötigen Inhalt und die Locale, ohne das Nutzungsflag oder die Routing-Präferenz. Das Gesundheitsprofil wird nie übermittelt. Diese KI-Übermittlungen erfordern die allgemeine KI-Einwilligung V2. Standardmässig verarbeitet Infomaniak (souverän) diese Daten in der Schweiz; ein gewähltes Modell von OpenAI oder Anthropic kann sie ausserhalb der Schweiz verarbeiten.

Die Schlüssel der KI-Anbieter sind nie in der App (sie leben serverseitig), und das Nutzungsbudget wird serverseitig kontrolliert.

6. Ihre Rechte (nDSG / DSGVO) — direkt in der App

Zugang / Portabilität: vollständiger Export der auf diesem Gerät gespeicherten Daten im JSON-Format aus den Einstellungen. Für Daten des Serverkontos kontaktieren Sie [email protected];
Lokale Löschung: Löschen der Daten auf dem Gerät mit einer Geste und kryptografische Zerstörung des Verschlüsselungsschlüssels (die lokalen Daten werden unwiederbringlich). Die App versucht ausserdem, die von ihr in Apple Health geschriebenen Einträge zu entfernen, soweit die Berechtigungen dies erlauben;
Widerruf der Einwilligung: Die allgemeine KI-Einwilligung, die versionierte Einwilligung für KI-Insights und die Diagnostik-Einwilligung sind unabhängig.

Die Deinstallation entfernt den lokalen App-Container; iOS kann jedoch Schlüsselbund- oder iCloud-synchronisierte Elemente behalten, und Serverkontodaten werden nicht gelöscht. Verwenden Sie zuvor „Alle meine Daten löschen“ und gegebenenfalls „Konto löschen“.

7. Technische Diagnostik (fakultativ)

Wenn Sie es erlauben (separate Einwilligung, standardmässig deaktiviert), sendet ark.fit technische Fehlerberichte an unser in Europa selbst gehostetes Diagnosewerkzeug. Die Inhalte sind gefiltert (Whitelist, keine Datenobjekte, keine persönlichen Informationen). Das ist die einzige Telemetrie der App — und sie ist optional.

8. Diese Website

Diese Website setzt keine Cookies und verwendet keine Werbe-Tracker. Wir messen die Besucherzahlen mit Umami, einem in Europa selbst gehosteten Werkzeug — ohne Cookies und ohne persönliche Daten (keine gespeicherten IP-Adressen, kein Profiling). Das Kontaktformular übermittelt nur, was Sie hineinschreiben, einzig um Ihnen zu antworten.

9. Auftragsbearbeiter und Übermittlungen

Unsere Anwendungsinfrastruktur, Geschäftskontinuität und Sicherungen werden ausschliesslich in Europa gehostet. Die Produktion läuft in der Europäischen Union, mit einem warmen Ausweichstandort und unabhängigen Sicherungen in der Schweiz.

netcup GmbH (Deutschland) — Hauptproduktion, technische Diagnostik und Umami in der Europäischen Union;
Infomaniak (Schweiz) — warmer Ausweichstandort und souveräne Standard-KI-Verarbeitung in der Schweiz;
Eigene Infrastruktur von ark.swiss (Schweiz) — unabhängige historische Sicherungen;
Apple — Sign in with Apple und HealthKit (Verarbeitung auf dem Gerät);
OpenAI und Anthropic — nur wenn Sie ausdrücklich ein kompatibles «leistungsfähiges» Modell wählen; die betroffenen Daten können dann ausserhalb der Schweiz verarbeitet werden, mit den anwendbaren vertraglichen Garantien.

10. Zielgruppe und Ausschlüsse

ark.fit ist ein Wellness-Werkzeug, kein Medizinprodukt, und liefert weder Diagnosen noch Behandlungen. Es richtet sich nicht an Minderjährige und nicht an Personen mit Essstörungen in der Vorgeschichte. Für Schwangerschaft und Stillzeit bietet ark.fit einen eigenen Modus zum Ernährungs-Tracking — erhöhtes Erhaltungsbudget, während der Schwangerschaft nie ein Defizit, verstärkte Schutzmechanismen während der Stillzeit; dieser Modus bleibt ein Wellness-Werkzeug, weder ein medizinischer Rat noch ein Medizinprodukt, und die Begleitung der Schwangerschaft liegt bei Ihrer Gesundheitsfachperson.

11. Kontakt

Für Fragen oder zur Ausübung Ihrer Rechte: [email protected]. Wir können diese Erklärung aktualisieren; das Datum der letzten Revision steht unten. Wesentliche Änderungen werden in der App angekündigt.

Letzte Aktualisierung: 15. Juli 2026