So schützen wir dein Gewicht.

Was wir speichern — und was nicht

Zwei Dinge pro Messung. Ein Datum und eine Zahl mit einer Nachkommastelle, z. B. 2026-09-19 Und 78,4. Eine Messung pro Tag. Speicherst du erneut am selben Tag, wird die alte ersetzt.

Gewichtsplan und Körperziele, falls du sie möchtest. Wenn du den Gewichtsplan nutzt, speichern wir außerdem Startgewicht, Zielgewicht, Zieldatum und Zwischenziele sowie – nur wenn du sie selbst eingibst – deine Größe und deine Körpermaße. Sie werden genauso verschlüsselt wie das Gewicht, jedes Feld mit eigener Bindung, damit ein Wert nicht in ein anderes Feld verschoben werden kann. BMI und Prognose werden in deinem Browser berechnet und nicht gespeichert.

Dein Tagebuch, falls du möchtest. Führst du ein Tagebuch, speichern wir deine Tagesnotizen, deine Stimmung, deine Motivation und dein Mantra, deine eigenen Messpunkte und die Fotos, die du selbst hochlädst. Jeder Tag wird als ein Dokument verschlüsselt, jedes Foto einzeln. Die Fotos werden in deinem Browser verkleinert und verlieren vorher Standort- und Kameradaten.

Nicht mehr als das. Nichts, was du nicht selbst geschrieben oder ausgewählt hast. Was wir nicht speichern, kann auch nicht geleakt, missbraucht oder vergessen werden zu löschen. Das ist Datenminimierung in der Praxis.

Plus ein Nachweis deiner Zustimmung. Wenn du zustimmst, speichern wir den Zeitpunkt, welchen Text du gesehen hast und ob es im Web oder in der App war. Das enthält keine Gesundheitsdaten; es ist der Nachweis, dass die Verarbeitung zum Zeitpunkt der Verarbeitung rechtmäßig war – etwas, das das Gesetz verlangt, dass wir vorlegen können.

Warum wir nach einer separaten Zustimmung fragen

Mahlzeiten speichern wir, weil das der eigentliche Dienst ist – das Ja, das du beim Anlegen des Kontos gegeben hast. Gewicht ist aber etwas anderes. Die Datenschutz-Grundverordnung nennt Gesundheitsdaten eine besondere Kategorie (Artikel 9) und verbietet deren Verarbeitung grundsätzlich. Die wichtigste Ausnahme ist, dass du selbst ausdrücklich zu einem bestimmten Zweck eingewilligt hast.

Deshalb gibt es eine Seite, die du durchgehen musst, bevor du das erste Kilo eintragen kannst: sechs Punkte, ein leeres Kästchen und eine Schaltfläche, die erst funktioniert, wenn du das Kästchen angekreuzt hast. Nichts ist vorausgewählt. Es gibt kein »überspringen«. Die Alternative zum Zustimmen ist einfach, es nicht zu tun – dann funktioniert der Rest der App genau wie vorher.

Genauso einfach zurückzuziehen. Das Gesetz verlangt, dass ein Widerruf der Zustimmung genauso einfach sein muss wie die Erteilung. Unter Einstellungen → Gesundheitsdaten gibt es eine Schaltfläche, um die Zustimmung zu widerrufen und die Gesundheitsdaten aus der aktiven Datenbank zu löschen.

Der Weg eines einzelnen Werts: von deinem Finger in die Datenbank

So läuft es ab, wenn du auf »Messung speichern« tippst:

1. 1

   Auf deinem Telefon

   Die Zahl existiert nur im temporären Speicher der Seite, solange du sie verwendest. Die App speichert sie nicht im localStorage oder in einem dauerhaften Zwischenspeicher. Antworten mit Gesundheitsdaten tragen no-store, was den Browser bittet, sie nicht zu cachen. Eine Datei, die du selbst exportierst, kann weiterhin auf dem Gerät liegen.

2. 2

   Auf dem Weg zum Server

   Alles wird über HTTPS verschlüsselt übertragen, wie alles andere auf der Seite. Wir senden deine Benutzer-ID nicht in der Adresse mit – der Server erkennt dich anhand deines Logins.

3. 3

   Der Server prüft zuerst

   Bist du angemeldet? Hast du eine aktive Zustimmung? Liegt die Zahl zwischen 20 und 400 kg, und liegt das Datum nicht in der Zukunft? Schlägt etwas fehl, wird nichts gespeichert, und die Fehlermeldung ist ein fester Text – sie wiederholt nie die Zahl.

4. 4

   Dann wird die Zahl verschlüsselt

   Bevor die Zahl die Datenbank erreicht, wird sie mit AES-256 verschlüsselt (mehr dazu weiter unten). Die Verschlüsselung und spätere Entschlüsselung finden im Arbeitsspeicher des Servers statt. Der Wert wird verschlüsselt in der Datenbank gespeichert.

5. 5

   In der Datenbank

   Was gespeichert wird, sieht aus wie v1:kX9…Qw== – ein Code mit etwa 60 Zeichen, der ohne den Schlüssel nicht lesbar ist. Das Datum und deine Benutzer-ID stehen im Klartext, damit wir die Zeile wiederfinden können. Das Gewicht nicht.

6. 6

   Wenn du dir die Grafik ansiehst

   Der Server entschlüsselt die Zahlen mit dem Schlüssel, sendet sie dir über HTTPS, und dein Bildschirm zeichnet die Grafik. Die regulären Gewichts-Endpunkte erfordern dein eigenes Konto. Freiwillige Freigaben erfordern eine gesonderte Einwilligung, einen ausgewählten Empfänger und einen zeitlich begrenzten Zugriff.

Die Verschlüsselung, erklärt

AES-256-GCM. AES ist der Standard, auf dem Banken, Betriebssysteme und die meisten verschlüsselten Verbindungen weltweit aufbauen. »256« ist die Schlüssellänge in Bit – es gibt mehr mögliche Schlüssel als Atome im sichtbaren Universum, sodass er auch mit der gesamten Rechenleistung der Welt nicht erraten werden kann. »GCM« bedeutet, dass jeder Code zusätzlich versiegelt wird: Wird auch nur ein einziges Zeichen verändert, erkennt der Server das und verweigert die Entschlüsselung.

Der Schlüssel liegt nicht in der Datenbank. Er liegt in einer Datei auf dem Server selbst mit eingeschränkten Dateiberechtigungen und ist nicht Teil unserer Datenbank-Backups. Das ist der Kern: Ein Datenbank-Dump allein – gestohlen, verloren oder versehentlich geteilt – enthält nur Codes. Man braucht sowohl den Dump als auch den Schlüssel, und beides wird nie am selben Ort aufbewahrt. Und Jede Messung bekommt ihr eigenes Schloss.

Zwei gleiche Zahlen ergeben zwei völlig unterschiedliche Codes, weil jede Verschlüsselung von einem neuen Zufallswert ausgeht. Man kann also nicht erkennen, dass du gestern und heute dasselbe gewogen hast, indem man die Codes vergleicht. An dich gebunden.

Deine Benutzer-ID fließt in die Versiegelung ein. Wird der Code eines Nutzers in die Zeile eines anderen Nutzers kopiert, lässt er sich nicht entschlüsseln. Das ist ein kleines Detail, das eine ganze Klasse von Fehlern ausschließt. So sieht ein Code aus.

So steht eine Messung in der Datenbank: Datum 2026-09-19 Benutzer 4127 Gewicht v1:m2Q8k1xkYVIr9ZfA3sC0oR1kJ4NbXc7h9uQ2t5WdE8yGvLp…

Das Präfix

v1: kennzeichnet das Verschlüsselungsformat. Die aktuelle Lösung verwendet einen einzigen Schlüssel. Ein Schlüsselwechsel erfordert eine geplante Neuverschlüsselung; wird nur der Schlüssel ersetzt, lassen sich alte Werte nicht mehr lesen. Wer was über dein Gewicht sehen kann

Wer kann was sehen?

Wir zählen, wie viele die Funktion nutzen – also die Anzahl der Einwilligungen und die Anzahl der Messungen –, um zu wissen, ob sie etwas wert ist. Wir zählen niemals auf das Gewicht: Es gibt keinen Durchschnitt, keine Verteilung und keine Auswertung wie »Nutzer über 90 kg«. Das Versprechen in der Datenschutzerklärung, dass Gewichtsdaten nicht für Statistiken verwendet werden, bezieht sich auf die Zahlen selbst, und das gilt.

Löschen, Widerruf und Export

Mit einem Tipp rückgängig machen. Einstellungen → Gesundheitsdaten → »Einwilligung widerrufen und Gewicht und Tagebuch löschen«. Der Server löscht Messungen, Plan, Körperziele, Berechnungsprofil und Tagebuch und vermerkt den Widerruf in derselben Transaktion. Sobald der Server bestätigt, sind die Daten aus der aktiven Datenbank entfernt. Ein fehlgeschlagener Aufruf muss wiederholt werden; eine Löschung lässt sich in der App nicht rückgängig machen.

Wenn du dein Konto löschst, werden Gewichtsdaten zusammen mit Mahlzeiten, Gesprächen und dem Login selbst gelöscht, sobald die Löschung bestätigt ist.

Der Einwilligungsnachweis in der aktiven Datenbank. Nach einem Widerruf wird gespeichert, wann du zugestimmt und wann du widerrufen hast. Keine Zahlen. Das speichern wir, weil das Gesetz verlangt, dass wir nachweisen können, dass die Verarbeitung rechtmäßig war, solange sie lief – und es wird mit dem Konto gelöscht.

Ältere Sicherungskopien. Eine Löschung in der App überschreibt keine bereits erstellten Kopien. Diese können weiterhin verschlüsselte Gesundheitsdaten enthalten. Mit der Kopie und dem Schlüssel lassen sich ältere Werte weiterhin entschlüsseln. Mehr dazu unter Datenschutzerklärung.

Nimm deine Daten mit. An derselben Stelle kannst du alle deine Messungen als JSON oder CSV herunterladen. Eine exportierte oder geteilte Datei kann weiterhin auf deinem Gerät oder beim Empfänger liegen. Eine Löschung in der App entfernt diese Kopien nicht.

Was wir nicht versprechen können

Ehrlichkeit ist die einzige haltbare Grundlage für Vertrauen, deshalb hier, was die Verschlüsselung nicht löst:

Wer sowohl die Datenbank als auch den Schlüssel besitzt, kann alles lesen. Deshalb ist die Regel, dass beides niemals gemeinsam gespeichert wird, kein Detail – sie ist der eigentliche Schutz. Das gilt auch für uns selbst.

Dein eigener Bildschirm. Wenn die Grafik gezeichnet wird, stehen die Zahlen auf deinem Gerät. Schaut jemand über deine Schulter, hilft die Verschlüsselung nicht. Deshalb wird ein Gewichtswert nie auf dem Dashboard oder im Menü angezeigt – nur auf der Seite Gewicht, die du selbst öffnest.

Verlieren wir den Schlüssel, sind deine Werte verloren. Das ist das richtige Ergebnis, verglichen mit einem Schlüssel, der an zu vielen Orten liegt. Der Schlüssel ist gesichert, aber wir sagen es lieber offen, als so zu tun, als wäre das Risiko null.

Der Server sieht die Zahl für einen kurzen Moment. Verschlüsselung und Entschlüsselung finden im Arbeitsspeicher des Servers statt. Das lässt sich nicht vermeiden, wenn der Server deine Grafik zeichnen soll – aber die Werte landen nicht in einem Log, einem Fehlerbericht oder auf der Festplatte.