Datenschutzerklärung

Wer verantwortlich ist

Sabzy wird von Boburmirzo Khudoyberdiev entwickelt und betrieben, einem unabhängigen Entwickler mit Sitz in Usbekistan. Für alles, was in dieser Erklärung steht, einschließlich Anfragen zu deinen Daten, schreib an mirzo.7767@gmail.com.

Was die App speichert

Alles, was du eingibst, wird in eine Datenbank auf deinem Gerät geschrieben:

• Dein Profil — Größe, aktuelles Gewicht, Zielgewicht, Geburtsdatum oder Alter, Geschlecht, Aktivitätsniveau und das Ziel, das du gewählt hast. Daraus wird das tägliche Kalorienziel berechnet.
• Dein Tagebuch — Mahlzeiten und die Lebensmittel darin, Kalorien und Makronährstoffe, der Zeitpunkt jedes Eintrags und jedes Foto, das du angehängt hast.
• Wasser und Wiegungen — die Gläser, die du abhakst, und die Gewichte, die du im Lauf der Zeit erfasst.
• App-Einstellungen — Einheiten, Sprache, Erinnerungen und wie viele KI-Analysen du verbraucht hast.

Wenn auf deinem Gerät iCloud angemeldet ist, wird diese Datenbank in die private iCloud-Datenbank deines eigenen Apple-Accounts gespiegelt. Dieser Speicher gehört dir: Er unterliegt Apples Datenschutzrichtlinie, er zählt gegen deinen iCloud-Speicherplatz, und der Entwickler von Sabzy hat keine Möglichkeit, ihn zu lesen. Wenn du dich von iCloud abmeldest oder iCloud für Sabzy in den Einstellungen ausschaltest, endet die Spiegelung.

Anmeldung

Sabzy funktioniert ganz ohne Konto, und genau so fängt es an: alles oben Beschriebene bleibt auf deinem Telefon und in deiner eigenen iCloud, und nichts davon erreicht uns. Die Anmeldung wählst du selbst im Profil, und sie ist für zwei Dinge da — dasselbe Tagebuch auf einem zweiten Gerät zu lesen und einer Gruppe beizutreten.

Angemeldet wird über Apple oder Google. In der App gibt es nirgends ein Passwort, also auch keines, das wir aufbewahren oder verlieren könnten. Was Firebase Authentication für uns hält, ist eine Kontokennung und die E-Mail-Adresse, die der Anbieter weitergibt — bei „Mit Apple anmelden“ darf das eine Weiterleitungsadresse sein, die du jederzeit abschaltest, und die App arbeitet in beiden Fällen gleich.

Nach der Anmeldung werden dein Profil, deine Mahlzeiten, Wiegungen und dein Wasser nach Cloud Firestore gespiegelt, die Vorschaubilder der Mahlzeiten und dein Profilbild nach Cloud Storage — in einen Ordner, den die Sicherheitsregeln deinem Konto öffnen und sonst niemandem. Das Profildokument trägt vier weitere Dinge, die nicht zu deinem Tagebuch gehören: ob ein Abo aktiv ist, auf welches Produkt und bis wann; die Push-Token der Geräte, auf denen du angemeldet bist; einen Verweis auf die Gruppe, in der du bist; und einen Stempel, welche Plattform und welche App-Version zuletzt geschrieben hat. Die Datenbank steht in der Europäischen Union, in Belgien und den Niederlanden; die Funktionen, die Gruppen führen, laufen in Frankfurt.

Abmelden beendet das Spiegeln und lässt die Kopie liegen. Profil › Konto › Konto löschen entfernt sie: jede Mahlzeit, Wiegung, Wassereingabe und jeden veröffentlichten Tag, dann das Profildokument, den Bilderordner und das Konto selbst. Bei Apple widerruft die App zusätzlich das von Apple ausgestellte Token — das ist es, was die Löschung ganz statt halb macht.

Gruppen

Eine Gruppe ist ein gemeinsames Abo: eine Person zahlt, und alle, die sie einlädt, haben Premium, solange der Plan läuft. Wer zahlt, ist selbst nicht abgedeckt — ein Plan für fünf sind fünf Personen außer ihr — und abonniert Sabzy Pro wie alle anderen, wenn sie will. Zum Beitreten braucht es einen Einladungscode von der Person, die die Gruppe führt; ohne den kann dich niemand hinzufügen. Man ist in einer Gruppe zur Zeit, und Verlassen ist eine Schaltfläche.

Was die anderen in der Gruppe über dich sehen:

• Den Namen und das Bild, die du im Profil gesetzt hast — wer keinen Namen gesetzt hat, erscheint als „Member“.
• Deine Serie, deine beste Serie, dein Ziel und wie sich dein Gewicht über die letzten dreißig Tage bewegt hat, als eine einzige Zahl.
• Pro Tag: Kalorien, Eiweiß, Kohlenhydrate, Fett und Ballaststoffe, deine Ziele für diesen Tag, Wasser, deine Schritte aus Apple Health, wie viele Mahlzeiten du eingetragen hast und ob der Tag in deinem Kalorienkorridor gelandet ist.
• Die Mahlzeiten selbst — Gerichtnamen, Uhrzeiten und Fotos.

Es gibt keinen Schalter, der diese Liste enger macht, und es gab nie einen. Was jemand aus deiner Gruppe sieht, ist das, was dir der Beitrittsbildschirm zeigt, bevor du den Code eintippst: deine Kalorien und Makros, deine Mahlzeiten mit ihren Fotos, in welche Richtung dein Gewicht geht, deine Serie und deine Aktivität — und das bleibt so, solange du in der Gruppe bist. Beendet wird es, indem du die Gruppe verlässt.

Sabzy schreibt für eine Gruppe drei kurze Absätze: einen über die Woche, einen über den bisherigen Tag und einen über ein einzelnes Mitglied, auf dessen eigener Seite. Darin stehen Namen von Menschen und von Gerichten, und das ist Absicht — „jemand war an zwei Tagen drüber“ hilft niemandem, „Aziz hatte am Dienstag ein großes Stück Kuchen zum Frühstück“ ist etwas, woran ein Trainer arbeiten kann. Namen erscheinen genau so, wie sie im Profil eingetragen sind, und Mahlzeiten genau so, wie sie eingetragen wurden. Nur die Leute in deiner eigenen Gruppe lesen sie, und dieselben Mahlzeiten und Fotos stehen diesen Leuten ohnehin offen, ein Absatz zeigt ihnen also nichts, was sie nicht selbst öffnen könnten.

Der Beitritt veröffentlicht deine letzten dreißig Tage auf einmal, damit die Gruppe nicht auf einen leeren Bildschirm sieht. Verlassen stoppt jede weitere Veröffentlichung, und das Löschen des Kontos löscht die veröffentlichten Tage mit allem anderen. Niemand außerhalb deiner Gruppe kann davon etwas lesen: die Regeln der Datenbank lassen sonst niemanden hinein.

Gruppen-Mitteilungen — jemand ist beigetreten, jemandes Serie hat eine runde Zahl erreicht, das Abo läuft gleich aus — kommen über Firebase Cloud Messaging: die App registriert dafür ein Push-Token zu deinem Konto und merkt sich, in welcher Sprache sie dir schreiben soll. Gruppen-Mitteilungen lassen sich im Profil abschalten, und das Abmelden entfernt das Token.

Was dein Gerät verlässt

Google

Fotos, Audio und Mahlzeitenbeschreibungen gehen über Firebase AI Logic an Googles Gemini-Modelle und werden dort verarbeitet, um das Ergebnis zu erzeugen, das du siehst. Sabzy behält vom Foto, vom Audio und vom Text auf keinem Server, den es kontrolliert, eine Kopie, und eine solche Anfrage trägt weder Namen noch E-Mail noch Kontokennung — nur das Bild, das Audio oder den Text und die Anweisung, es zu analysieren. Wie Google mit diesen Daten umgeht, regelt Googles Datenschutzerklärung.

Die Absätze einer Gruppe gehen an dieselben Modelle und sind die Ausnahme davon. Um einen zu schreiben, sendet die App an Google den Profilnamen jedes Mitglieds, das darin vorkommen wird, und die Namen der Mahlzeiten, die aufgefallen sind — dazu Zahlen, die das Gerät bereits ausgerechnet hat. Keine E-Mail-Adresse, keine Kontokennung, kein Foto. Der Absatz kommt zu deinen eigenen Leuten in deiner Gruppe zurück, die dieselben Mahlzeiten ohnehin selbst öffnen können — aber ihn zu schreiben ist eine Anfrage an Google, und das ist es, was diese Anfrage trägt.

Nutzungs- und Absturzberichte

Sabzy nutzt zwei Dienste von Google Firebase: Analytics, das zählt, was in der App geschieht, und Crashlytics, das einen Stack Trace aufzeichnet, wenn die App stehen bleibt. Sie sind es, die uns sagen, dass ein Bildschirm verwirrt oder dass ein Build unter einer iOS-Version scheitert, ohne dass jemand schreiben muss.

Sie sind standardmäßig an, und es gibt in der App keine Einstellung, die sie abschaltet. In Version 1.4 gab es eine, 1.6 hat sie entfernt. Die App zu löschen beendet sie. Wir sagen das lieber deutlich, als eine Einstellung zu beschreiben, die es nicht gibt.

Was gesendet wird:

• Ereignisse aus einer festen Liste, die die App vorgibt — dass das Onboarding beendet wurde, dass ein Foto analysiert wurde, dass eine Mahlzeit eingetragen wurde, dass die Paywall gezeigt wurde, dass ein Kauf gelungen oder gescheitert ist, und welches aus einer benannten Menge von Bedienelementen gedrückt wurde. Freier Text kommt darin nirgends vor: Jeder Wert ist entweder eine Zahl, die die App errechnet hat, oder eines aus einer kleinen, vorab festgelegten Menge von Wörtern.
• Der Name des Bildschirms, auf dem du dich befindest, aus einer geschlossenen Liste von etwa zwanzig.
• Ein paar Angaben zur Installation statt zum Augenblick: ob ein Abo aktiv ist und mit welcher Laufzeit, ungefähr wie weit du in der Nutzung der App gekommen bist, ob Erinnerungen an sind, ob die KI-Funktionen erlaubt sind, ob die Kamera erlaubt ist, und die Sprache der App.
• Zahlen, die eine Person oder einen Zeitpunkt festnageln könnten, werden bewusst in Bänder gefasst statt genau angegeben. Ein Alter kommt als „35–44“ an, und die Zeit bis zur ersten eingetragenen Mahlzeit als „unter 5 Minuten“ oder „am selben Tag“.
• Was das Firebase-SDK von sich aus hinzufügt: eine Kennung für diese Installation, das Gerätemodell, die iOS-Version, die Sprache und einen ungefähren Standort — höchstens auf Stadtebene — der aus der IP-Adresse der Verbindung ermittelt wird.
• Von Crashlytics, wenn die App stehen bleibt: den Stack Trace, das Gerätemodell und die iOS-Version und wie lange die App gelaufen war.

Was nicht gesendet wird: nichts, was du fotografierst, sagst, tippst, wiegst oder isst. Keine Größe, kein Gewicht, kein Kalorienziel, kein Ziel, kein Name einer Mahlzeit. Die Angaben, die an der Installationskennung hängen, schließen jedes Gesundheitsmerkmal bewusst aus, denn eine Kennung, die eine Sitzung überdauert, ist der falsche Ort dafür.

Es gibt keine Werbe-ID. Die App bindet Apples AdSupport-Framework nicht ein und fragt nie nach der Tracking-Erlaubnis, weil sie dir nicht in die Apps und auf die Websites anderer Unternehmen folgt. Ihr Datenschutzmanifest im App Store erklärt genau das.

Firebase wird von Google betrieben, das diese Berichte in unserem Auftrag auf einer Infrastruktur verarbeitet, die außerhalb deines Landes liegen kann, nach Googles eigenen Bedingungen und seiner Datenschutzerklärung. Sie gehen nirgendwo sonst hin, und nichts davon wird verkauft. Google löscht die Analytics-Ereignisse automatisch, sobald die für das Projekt eingestellte Aufbewahrungsfrist abläuft; Absturzberichte werden aufbewahrt, solange der Absturz noch behebenswert ist.

Firebase hängt seine Installationskennung an diese Berichte, und wir haben keine Möglichkeit, diese Kennung mit dir zu verbinden — das ist der Sinn der Sache und zugleich ihre Grenze: Wir können deine Zeilen nicht finden, um sie auf Wunsch zu entfernen. Die App zu löschen verhindert neue, und die Kennung überlebt das Löschen nicht.

Der gemeinsame Produktkatalog

Wenn du einen Barcode scannst, den Sabzy nachschlagen muss, werden die Angaben zum Produkt — Barcode, Name, Marke, Kalorien und Makronährstoffe pro 100 g sowie Portionsgröße — in einen Katalog in einer öffentlichen iCloud-Datenbank geschrieben, damit andere, die dasselbe Produkt scannen, sofort eine Antwort bekommen. Dieser Eintrag handelt vom Produkt und nicht von dir: Er trägt keine Kennung des Geräts oder der Person, die gescannt hat, und er lässt sich nicht auf dein Tagebuch zurückführen.

Zahlungen

Abos werden von Apple über den App Store verkauft. Apple wickelt die Zahlung ab; Kartennummern, Rechnungsadressen und die Angaben zu deinem Apple-Account bekommen weder Sabzy noch sein Entwickler je zu sehen. Was die App erhält, ist Apples signierter Beleg über den Kauf. Für einen Gruppen-Plan reicht sie diesen Beleg an eine eigene Cloud Function in Frankfurt weiter, die Apples Signatur prüft und den Tarif aus dem signierten Inhalt liest statt aus dem, was die App behauptet. Apple schreibt außerdem über App Store Server Notifications direkt an dieselbe Funktion, damit eine Verlängerung oder eine Kündigung auch eine Gruppe erreicht, deren Inhaber die App seit einem Monat nicht geöffnet hat.

Wie diese Dritten an diese Erklärung gebunden sind

Jede oben genannte Partei ist nach den Bedingungen, unter denen sie beauftragt ist, verpflichtet, die Daten, die sie erhält, nach demselben Maßstab zu schützen, den diese Erklärung setzt, und keiner von ihnen ist es erlaubt, sie für eigene Zwecke zu verwenden, ein Profil aufzubauen oder sie weiterzugeben. An keine von ihnen geht mehr, als die Tabelle beschreibt.

Die App bindet zehn Software Development Kits von Dritten ein, und alle zehn sind von Google. Neun kommen von Firebase: Analytics und Crashlytics, oben beschrieben; App Check; AI Logic, das ein Foto, eine Sprachnotiz oder eine Beschreibung zu Gemini trägt; Authentication, Cloud Firestore, Cloud Storage und Cloud Functions, die zusammen das Konto, die Synchronisierung und die Gruppen sind; und Cloud Messaging, das die Mitteilungen einer Gruppe zustellt. Das zehnte ist Google Sign-In, einer der beiden Wege, sich anzumelden. Es gibt kein Werbe- oder Tracking-Kit irgendeiner Art und kein Mutter-, Tochter- oder verbundenes Unternehmen mit Zugang zu deinen Daten — Sabzy ist ein unabhängiger Einzelentwickler, es gibt also niemanden sonst, den Daten erreichen könnten.

App Check verdient einen eigenen Absatz, weil es bei jedem Aufruf eines Google-Backends auf deinem Gerät läuft und hier sonst nichts davon steht. Vor jedem Aufruf bittet es Apple zu bezeugen, dass die Anfrage von einer echten Kopie von Sabzy auf einem echten Apple-Gerät kommt — über App Attest, wo die Hardware es hergibt, und über DeviceCheck, wo App Attest fehlt — und schickt das kurzlebige Token, das Apple ausstellt, mit dem Aufruf mit. Das Token sagt etwas über die App und das Gerät und nichts über dich. Genau das erlaubt es, Sabzy ohne einen eigenen API-Schlüssel auszuliefern, den jemand herauslösen könnte.

Ein Name in der Tabelle oben gehört nicht Google. Ein Barcode, den du scannst, geht an Open Food Facts, eine offene Datenbank für Lebensmittel, die ein französischer gemeinnütziger Verein betreibt. Sie bekommt die Barcodenummer und sonst nichts — kein Konto, keine Gerätekennung, kein Stück deines Tagebuchs — und antwortet mit dem Produkt. Was zurückkommt, ist unter der Open Database License veröffentlicht, und was Open Food Facts mit der Anfrage tut, regeln deren eigene Nutzungsbedingungen und Datenschutzerklärung.

Die App „Health“

Die Anbindung an Health ist freiwillig und aus, bis du sie einschaltest. Wenn sie an ist:

• Sabzy liest, was dein Tag ohnehin schon enthält: die Aktivitätsenergie, die du verbrannt hast, deine Schritte, die Geh- und Laufstrecke und Workouts, die irgendeine App auf deinem Telefon oder deiner Uhr aufgezeichnet hat. Der Aktivitätsbildschirm zeigt sie, und die Kalorien, die dir im Tag bleiben, berücksichtigen, wie aktiv du warst.
• Sabzy schreibt die Energie, das Eiweiß, die Kohlenhydrate, das Fett und die Ballaststoffe, die du einträgst, sowie jede Wiegung, die du erfasst, damit deine anderen Apps auf demselben Stand bleiben.

Mit einer Ausnahme werden Gesundheitsdaten nur zwischen der App und Apple Health auf deinem Gerät ausgetauscht. Alles andere, was die App liest, wird nie an Google gesendet, nie in den gemeinsamen Katalog geschrieben und nie in iCloud gespeichert — diese Werte werden gelesen, wenn ein Bildschirm sie braucht, und nirgends gesichert. Sie werden nie für Werbung verwendet.

Die Ausnahme sind deine Schritte. Wenn du in einer Gruppe bist, werden die Schritte dieses Tages zusammen mit den übrigen Tageswerten veröffentlicht, und die anderen in der Gruppe sehen sie genauso wie deine Kalorien und dein Wasser. Diese eine Zahl ist das Einzige aus Health, das dein Gerät verlässt — nichts anderes aus der Liste oben geht mit, und der Gewichtsverlauf, den deine Gruppe sieht, wird aus den Wiegungen berechnet, die du in Sabzy erfasst, nicht aus Health. Wenn du in keiner Gruppe bist, verlässt nichts aus Health dein Gerät.

Berechtigungen, um die die App bittet

• Kamera — um eine Mahlzeit zu fotografieren oder einen Barcode zu scannen.
• Fotomediathek — nur, damit du ein vorhandenes Foto einer Mahlzeit auswählen kannst. Die App liest das Bild, das du wählst, und sonst nichts.
• Mikrofon — um eine gesprochene Beschreibung einer Mahlzeit aufzunehmen.
• Mitteilungen — Erinnerungen, die du selbst einrichtest, etwa das wöchentliche Wiegen, und die eigenen Mitteilungen der Gruppe, wenn du in einer bist. Das sind zwei getrennte Schalter im Profil.
• Health — wie oben beschrieben.
• KI-Funktionen — deine Zustimmung, dass ein Foto, eine Sprachnotiz oder eine getippte Beschreibung an Google gehen darf. Derselbe Schalter regelt die geschriebenen Notizen, auch die, die eine Gruppe bekommt. Vorher wird nichts gesendet.

Jede einzelne davon kannst du verweigern. Die ersten fünf lassen sich in der App „Einstellungen“ widerrufen; die KI-Funktionen werden in Sabzy selbst abgeschaltet, unter Profil › Einstellungen. Eine zu verweigern schaltet die Funktion ab, die sie braucht, und sonst nichts.

Was Sabzy nicht tut

• Keine Werbe-Kits und keine Tracking-Kits. Die App bindet zehn Kits von Dritten ein, alle von Google; sie stehen oben aufgezählt, und keines davon ist da, um dir zu folgen.
• Keine Werbung und keine Werbe-IDs.
• Kein Tracking durch andere Apps oder Websites.
• Keine Profile über dich und keine automatisierten Entscheidungen mit rechtlicher oder ähnlicher Wirkung.
• Kein Verkauf und keine Weitergabe personenbezogener Daten, nach welcher Definition und zu welchem Zweck auch immer.

Wie lange Daten aufbewahrt werden

Dein Tagebuch bleibt auf deinem Gerät, bis du es löschst. Die App zu löschen entfernt die Datenbank auf dem Gerät. War die iCloud-Spiegelung an, wird die Kopie in deiner iCloud über Einstellungen › dein Name › iCloud › Speicher verwalten › Sabzy entfernt.

Wenn du angemeldet warst, bleibt die Kopie in Cloud Firestore und Cloud Storage so lange, wie das Konto besteht. Länger nicht: Profil › Konto › Konto löschen entfernt sie, bevor das Konto geht, und ein Backup, aus dem sie zurückkehren könnte, führen wir nicht. Die einer Gruppe veröffentlichten Tageswerte gehen mit, und eine Gruppe zu verlassen beendet das Schreiben neuer.

Nutzungsereignisse und Absturzberichte bei Firebase löscht Google, sobald die für das Projekt gesetzte Aufbewahrungsfrist abläuft; die App zu löschen verhindert neue. Einträge im gemeinsamen Produktkatalog sind Nährwerte kommerzieller Produkte und werden unbefristet aufbewahrt; da nichts über dich darin steht, ändert das Löschen deiner Daten nichts an ihnen.

Kinder

Sabzy richtet sich nicht an Kinder unter 13 Jahren und erhebt wissentlich nichts von ihnen. Wenn du glaubst, dass ein Kind über die App personenbezogene Daten übermittelt hat, schreib an die oben genannte Adresse, und sie werden entfernt.

Deine Rechte

Weil die App dein Tagebuch auf deinem eigenen Gerät hält, nimmst du die meisten Rechte unmittelbar wahr: du siehst alles in der App, änderst oder löschst jeden Eintrag und entfernst alles, indem du die App und ihre iCloud-Daten löschst. Wenn du angemeldet warst, tut Profil › Konto › Konto löschen dasselbe für die Kopie auf unserer Seite — in einem Schritt und ohne jemandem zu schreiben.

Für Leserinnen und Leser im Europäischen Wirtschaftsraum und im Vereinigten Königreich sind die Rechtsgrundlagen nach Artikel 6 DSGVO diese. Alles, was die App tut, um dir zu geben, worum du gebeten hast — das Tagebuch speichern, ein Foto erkennen, ein von dir angelegtes Konto synchronisieren, eine Gruppe führen, dem du beigetreten bist —, geschieht nach Artikel 6 Absatz 1 Buchstabe b, der Erfüllung eines Vertrags mit dir. Nutzungs- und Absturzberichte werden nach Artikel 6 Absatz 1 Buchstabe f verarbeitet, unserem berechtigten Interesse zu wissen, dass die App funktioniert — deshalb steht nichts über deine Gesundheit darin und deshalb gibt es den Schalter im Profil. Gesundheitsdaten sind eine besondere Kategorie nach Artikel 9 und werden nur mit deiner ausdrücklichen Einwilligung verarbeitet, die im Health-Berechtigungsdialog erteilt und dort auch widerrufen wird.

Wenn du im Europäischen Wirtschaftsraum oder im Vereinigten Königreich bist, gibt dir die DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch gegen die Verarbeitung deiner personenbezogenen Daten sowie das Recht auf Datenübertragbarkeit. Wenn du in Kalifornien bist, gibt dir der CCPA die Rechte auf Auskunft, Löschung, Berichtigung und Widerspruch gegen Verkauf oder Weitergabe — wobei Sabzy personenbezogene Daten weder verkauft noch weitergibt. Um eines dieser Rechte auszuüben oder dich zu beschweren, schreib an mirzo.7767@gmail.com.

Änderungen dieser Erklärung

Wenn sich diese Erklärung ändert, ändert sich das Datum oben mit ihr, und eine wesentliche Änderung steht hier, bevor sie wirksam wird. Die App kann dir keine Nachricht schicken, also erscheint sie auf dieser Seite. Die aktuelle Fassung liegt immer unter dieser Adresse.