English version below

Datenschutzerklärung Lebensfaden

Fassung 1.0, Stand 4. August 2026

Status: Entwurf zur anwaltlichen Prüfung. Noch nicht veröffentlicht.

Diese Erklärung beschreibt, was die App Lebensfaden mit den Aufnahmen,

Texten und Fotos einer Familie macht. Sie ist bewusst so geschrieben, dass sie

mit 80 genauso zu lesen ist wie mit 40. Wo das Gesetz genaue Begriffe verlangt,

stehen sie zusätzlich dabei.

Die Struktur der App ist das eigentliche Datenschutzversprechen: **Ihre

Aufnahmen liegen auf Ihrem Gerät und in der iCloud Ihrer Familie. Unser Server

speichert sie nicht.** Alles Weitere in diesem Dokument erklärt, warum das

stimmt und wo die Grenzen dieses Satzes liegen.

1. Verantwortlicher

Zur Prüfung: vollständige Anschrift, Rechtsform und, falls einschlägig,

Vertreter nach Art. 27 DSGVO ergänzen. Ein Datenschutzbeauftragter ist nach

derzeitiger Einschätzung nicht zu benennen (Art. 37 DSGVO), das ist vor

Veröffentlichung zu bestätigen.

Christian Weinmayr

Geitenedt 21

4202 Kirchschlag bei Linz

Österreich

E-Mail: cw@christianweinmayr.com

2. Die kurze Fassung

• Aufnahmen entstehen auf dem Gerät und werden dort sofort gespeichert. Auch ohne Internet.
• Die Familie sieht die Erinnerungen über iCloud, in einem geteilten Bereich, der dem Apple-Konto der Familie gehört. Wir haben darauf keinen Zugriff.
• Zum Verschriftlichen und Ordnen schickt die App einzelne Aufnahmestücke durch einen Weiterleitungsdienst an KI-Anbieter. Dieser Dienst hält nichts fest. Er reicht die Daten durch und vergisst sie mit dem Ende der Anfrage.
• Auf unserer Seite bleiben dauerhaft nur Zähler: wie viele Sekunden Audio ein Familienbereich in diesem Monat verarbeitet hat, und eine zufällige Kennung für diesen Bereich. Keine Namen, keine Texte, kein Ton.
• Ohne Ihre ausdrückliche Einwilligung verlässt keine Aufnahme das Gerät zur KI-Verarbeitung. Bis dahin bleibt alles lokal.
• Sie können jederzeit alles herunterladen ("Alles exportieren") und jederzeit alles löschen.

3. Was verarbeitet wird, und wo

3.1 Auf Ihrem Gerät

Auf dem iPhone oder iPad entstehen und bleiben:

• Tonaufnahmen der erzählten Erinnerungen, in Stücken von wenigen Minuten, laufend auf die Festplatte geschrieben.
• Abschriften (Transkripte) mit Zeitmarken und Sprecherkennzeichnung.
• Das Erinnerungsnetz: Geschichten, Ereignisse, Personen, Orte und ihre Verbindungen, dazu Rückfragen, die die App später stellen möchte.
• Fotos, die Sie aus Ihrer Mediathek oder mit der Kamera hinzufügen.
• Bücher als PDF und EPUB, sobald Sie eines erzeugen.
• Ihre Einwilligungen mit Zeitstempel (siehe Abschnitt 5).

Die App ist ohne Netz vollständig benutzbar. Das ist keine Nebensache, sondern

der Grund, warum eine Aufnahme nie verloren geht.

3.2 In der iCloud Ihrer Familie

Die Inhalte werden über Apple CloudKit in einen geteilten Bereich

synchronisiert, damit mehrere Familienmitglieder dieselbe Geschichte sehen.

Dieser Bereich liegt in der iCloud desjenigen, der den Familienbereich angelegt

hat. Rechtlich und technisch gilt:

• Apple verarbeitet diese Daten als Anbieter von iCloud gegenüber dem Kontoinhaber, nicht in unserem Auftrag.
• Wir haben keinen Zugriff auf diesen Bereich. Wir können ihn nicht lesen, nicht durchsuchen und nicht wiederherstellen.
• Für iCloud gilt die Datenschutzerklärung von Apple. Wer die erweiterte Datensicherung ("Advanced Data Protection") aktiviert hat, dessen Inhalte sind zusätzlich Ende-zu-Ende verschlüsselt.

Wer keine iCloud verwendet oder sich abmeldet, kann die App weiter benutzen. Die

Inhalte bleiben dann nur auf dem Gerät.

3.3 Beim Weiterleitungsdienst (Cloudflare Worker)

Damit aus Ton Text und aus Text ein Erinnerungsnetz wird, braucht es

KI-Anbieter. Die App spricht diese nicht direkt an, sondern über einen eigenen,

kleinen Weiterleitungsdienst, der bei Cloudflare läuft.

Was durch diesen Dienst läuft:

Was dieser Dienst nicht tut:

• Er schreibt nichts in eine Datenbank, in einen Objektspeicher oder in einen Cache. Er hat dafür technisch keine Anbindung.
• Er protokolliert keine Inhalte. Die Protokollierung ist so gebaut, dass sie nur flache Kennzahlen annimmt (Dauer in Millisekunden, Anzahl Token, Fehlerart) und Felder mit Namen wie text, transcript, audio, prompt, name oder email automatisch verwirft.
• Er kennt Ihren Namen nicht. Die einzige Kennung ist eine zufällige Zeichenfolge für den Familienbereich, die auf dem Gerät erzeugt wurde.

Was wir nicht wegdiskutieren: jede Internetverbindung hat eine IP-Adresse,

und Cloudflare verarbeitet diese als Betreiber des Netzes, um die Anfrage

zuzustellen und Angriffe abzuwehren. Diese Verbindungsdaten fallen bei

Cloudflare an, nicht in unserem Dienst, und werden dort nach kurzer Zeit

gelöscht. Wir werten sie nicht aus und führen sie mit nichts zusammen.

Was dauerhaft auf unserer Seite bleibt, steht in Abschnitt 5.

3.4 Bei den KI-Anbietern

Der Weiterleitungsdienst gibt die Inhalte an folgende Auftragsverarbeiter

weiter:

Zur Prüfung: Auftragsverarbeitungsverträge (Art. 28 DSGVO) sind für

OpenAI, OpenRouter und Cloudflare vor der Veröffentlichung abzuschließen

beziehungsweise zu dokumentieren. Der Stand ist in docs/legal/README.md

vermerkt.

3.5 Beim gesprochenen Gespräch

Das gesprochene Interview funktioniert anders als der Rest, und das soll man

wissen:

• Unser Dienst erzeugt nur einen kurzlebigen Zugangsschlüssel (rund zehn Minuten gültig) und zählt die Sekunden mit.
• Das Gerät baut die Sprachverbindung danach direkt zu OpenAI auf. Der Ton des Gesprächs läuft also nicht über unseren Dienst, sondern von Ihrem Gerät zum Anbieter.
• Parallel läuft die normale Aufnahme auf dem Gerät weiter. Diese Aufnahme ist die verbindliche Fassung, das Gespräch selbst ist nur der Anlass.
• Im Raum anwesende Dritte werden mit aufgenommen. Bitte sagen Sie ihnen das. Siehe Abschnitt 9.

3.6 Anmeldung und Abrechnung

• Die Anmeldung mit Apple liefert uns nur eine anonyme Nutzerkennung und, wenn Sie es erlauben, eine E-Mail-Adresse (auch als Weiterleitungsadresse von Apple möglich). Diese Angaben bleiben auf dem Gerät und in Ihrem Familienbereich.
• Die Abrechnung läuft vollständig über den App Store. Wir sehen keine Zahlungsdaten. Der Weiterleitungsdienst prüft nur, ob ein gültiger Kaufbeleg vorliegt, und speichert diesen Beleg nicht.
• Eine erzählende Person kann einer Familie ohne eigenes Konto beitreten (über einen Einladungslink oder QR-Code). Dann existiert für sie kein Konto bei uns, nur ein Eintrag in der Mitgliederliste des Familienbereichs.

4. Rechtsgrundlagen

Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar

(Abschnitt 8). Nach einem Widerruf verlässt keine weitere Aufnahme das Gerät zur

KI-Verarbeitung. Bereits erzeugte Abschriften bleiben, bis Sie sie löschen.

5. Was gespeichert bleibt, und wie lange

Bei uns, dauerhaft:

• Pro Familienbereich: die zufällige Kennung des Bereichs, der Beginn des laufenden Abrechnungszeitraums, die Anzahl verarbeiteter Audiosekunden, die Anzahl gesprochener Interviewsekunden, offene Reservierungen und ein Zeitfenster für die Anfragegrenze. Mehr nicht.
• Diese Zähler liegen in einem Speicherobjekt, das an die EU-Jurisdiktion gebunden ist, und werden mit dem Familienbereich gelöscht.

Bei uns, flüchtig:

• Während einer Anfrage der Inhalt dieser Anfrage im Arbeitsspeicher. Er endet mit der Antwort.
• Betriebsprotokolle mit Kennzahlen ohne Inhalte, üblicherweise wenige Tage Aufbewahrung beim Betreiber.

Bei Ihnen:

• Aufnahmen, Abschriften, Erinnerungsnetz, Fotos und Bücher bleiben, bis Sie sie löschen. Wir löschen sie nicht automatisch, auch nicht am Ende eines Abonnements. Das ist das Vermächtnisversprechen (Abschnitt 11).

Einwilligungsnachweis:

• Jede erteilte oder widerrufene Einwilligung wird als Zeile mit Zeitstempel, Zweck, Fassung dieser Erklärung und Sprache auf dem Gerät festgehalten. Diese Liste wird nur ergänzt, nie überschrieben, und ist Teil des Exports.

6. Übermittlung in Drittländer

OpenAI, OpenRouter, Cloudflare und Apple verarbeiten Daten auch in den USA.

Grundlage sind die Standardvertragsklauseln der EU-Kommission und, soweit die

Anbieter zertifiziert sind, das EU-US Data Privacy Framework. Der

Weiterleitungsdienst selbst ist so eingerichtet, dass Ausführung und Zähler in

der EU liegen; die Modellanbieter erreichen wir dennoch über deren

US-Infrastruktur.

Zur Prüfung: Zertifizierungsstatus der drei Anbieter im DPF-Register vor

Veröffentlichung prüfen und hier namentlich benennen.

7. Wer die Daten in der Familie sieht

Ein Familienbereich hat Rollen:

• Erzählende nehmen auf, führen Gespräche und lesen ihre eigene Geschichte.
• Kuratierende sehen zusätzlich Abschriften, korrigieren das Erinnerungsnetz und machen das Buch.
• Lesende im Vermächtnisfall lesen und exportieren, mehr nicht.

Wer eingeladen wird, sieht alle Inhalte des Bereichs. Laden Sie deshalb nur

Menschen ein, denen die erzählende Person ihre Geschichte anvertrauen würde.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung

(Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch

(Art. 21) und Widerruf einer Einwilligung (Art. 7 Abs. 3).

Die App löst die meisten davon direkt aus, ohne Antrag und ohne Wartezeit:

Bleibt etwas offen, schreiben Sie an cw@christianweinmayr.com. Sie haben

außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei

der Datenschutzbehörde, Barichgasse 40 bis 42, 1030 Wien.

9. Erinnerungen handeln von anderen Menschen

Das ist der heikelste Punkt dieser App, und er wird hier nicht kleingeredet.

Eine Lebensgeschichte enthält Angaben über Dritte: Eltern, Geschwister,

Nachbarn, Verstorbene. Sie kann Gesundheitsdaten, religiöse und politische

Überzeugungen und Angaben zur Herkunft enthalten. Wer aufnimmt und wer einlädt,

verarbeitet damit auch fremde Daten.

• Sagen Sie Anwesenden, dass aufgenommen wird.
• Teilen Sie Bücher und Exporte mit Bedacht.
• Wenn eine dritte Person die Löschung von Angaben über sich verlangt, kann die kuratierende Person die betreffende Geschichte oder die betreffende Person im Erinnerungsnetz löschen. Wenden Sie sich zusätzlich an uns, wenn Sie dabei Hilfe brauchen.

Die App verarbeitet diese Angaben ausschließlich, um die Geschichte darzustellen

und zu ordnen. Es findet keine Profilbildung und keine automatisierte

Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt.

10. Kinder

Lebensfaden richtet sich an Erwachsene. Wir verarbeiten nicht wissentlich Daten

von Kindern als Nutzerinnen und Nutzer. Kinder können in Erzählungen vorkommen,

so wie andere Familienmitglieder auch; dafür gilt Abschnitt 9.

11. Wenn das Abonnement endet oder die erzählende Person stirbt

Dann hört die App auf, Neues aufzunehmen und zu verarbeiten. Sie hört nicht auf

zu funktionieren:

• Lesen und Exportieren bleiben dauerhaft möglich, für alle Rollen, ohne Abonnement.
• Wir löschen in diesem Fall nichts von uns aus.
• Die Zähler bei uns laufen weiter gegen null, weil nichts mehr verarbeitet wird.

Das ist das Vermächtnisversprechen aus der Produktbeschreibung, und es ist hier

bewusst als Zusage formuliert.

12. Sicherheit

• Alle Verbindungen sind mit TLS verschlüsselt.
• Aufnahmen liegen im geschützten App-Bereich des Geräts, den das Betriebssystem bei aktivem Gerätecode verschlüsselt.
• Der Weiterleitungsdienst hat keinen dauerhaften Speicher außer den Zählern.
• Zugangsschlüssel für das gesprochene Gespräch leben rund zehn Minuten.
• Die Schlüssel zu den KI-Anbietern liegen ausschließlich beim Weiterleitungsdienst, nie in der App.

13. Kein Training mit Ihren Erinnerungen

Wir trainieren keine Modelle mit Ihren Daten und erlauben es unseren

Auftragsverarbeitern nicht. Bei der Textverarbeitung ist das technisch

durchgesetzt, indem die Weiterleitung auf Anbieter beschränkt wird, die Eingaben

nicht zu Trainingszwecken speichern.

14. Änderungen dieser Erklärung

Wenn sich etwas Wesentliches ändert, zeigt die App die neue Fassung an und holt,

wo nötig, eine neue Einwilligung ein. Alte Fassungen bleiben mit Datum

nachvollziehbar. Die Fassung, der Sie zugestimmt haben, steht in Ihrem Export.

15. Kontakt

Christian Weinmayr, cw@christianweinmayr.com

Anhang: offene Punkte für die anwaltliche Prüfung

1. Anschrift, Rechtsform, Zuständigkeit der Aufsichtsbehörde.

2. Auftragsverarbeitungsverträge mit OpenAI, OpenRouter, Cloudflare.

3. Rolle von Apple: Auftragsverarbeiter für CloudKit oder eigenständig

Verantwortlicher gegenüber dem Kontoinhaber. Formulierung in Abschnitt 3.2

bestätigen.

4. Reicht die Einwilligung der aufnehmenden Person für die Erwähnung Dritter,

oder ist die Interessenabwägung nach Art. 6 Abs. 1 lit. f für die

Drittinhalte die tragfähigere Grundlage.

5. Formulierung zu Art. 9 bei einer App, die besondere Kategorien nicht

anstrebt, aber zwangsläufig erfasst.

6. Ob das Vermächtnisversprechen zusätzlich in die AGB gehört.

Lebensfaden Privacy Policy

Version 1.0, 4 August 2026

Status: draft for legal review. Not published yet.

This policy describes what the Lebensfaden app does with a family's

recordings, texts and photos. It is deliberately written to be as readable at

eighty as at forty. Where the law needs precise terms, those are given as well.

The architecture is the privacy promise: **your recordings live on your device

and in your family's iCloud. Our server does not store them.** Everything else

in this document explains why that is true and where the limits of that sentence

are.

1. Who is responsible

For review: add full postal address, legal form and, where applicable, an

Art. 27 GDPR representative. Our current assessment is that no data protection

officer needs to be appointed (Art. 37 GDPR); confirm before publication.

Christian Weinmayr

[address]

Austria

Email: cw@christianweinmayr.com

2. The short version

• Recordings are made on the device and written to disk immediately. Also without internet.
• The family sees the memories through iCloud, in a shared area that belongs to the family's own Apple account. We have no access to it.
• To turn speech into text and text into a structured story, the app sends pieces of a recording through a relay service to AI providers. That relay keeps nothing. It passes data through and forgets it when the request ends.
• What stays on our side permanently is counters: how many seconds of audio a family space processed this period, and a random identifier for that space. No names, no text, no audio.
• Without your explicit consent, no recording leaves the device for AI processing. Until then everything stays local.
• You can download everything at any time ("Export everything") and delete everything at any time.

3. What is processed, and where

3.1 On your device

The following is created and kept on the iPhone or iPad:

• Audio recordings of the memories being told, in pieces of a few minutes, written to disk continuously.
• Transcripts with timestamps and speaker labels.
• The memory graph: stories, events, people, places and the links between them, plus the questions the app would like to ask later.
• Photos you add from your library or with the camera.
• Books as PDF and EPUB, once you make one.
• Your consents, with timestamps (see section 5).

The app is fully usable with no network. That is not a detail: it is the reason a

recording never gets lost.

3.2 In your family's iCloud

Content is synchronised through Apple CloudKit into a shared area so that

several family members see the same story. That area sits in the iCloud account

of whoever created the family space. Legally and technically:

• Apple processes this data as the provider of iCloud to the account holder, not on our instructions.
• We have no access to it. We cannot read it, search it or restore it.
• Apple's own privacy policy applies to iCloud. Anyone who has turned on Advanced Data Protection has that content end-to-end encrypted as well.

If you do not use iCloud, or sign out, the app keeps working. Content then stays

on the device only.

3.3 At the relay service (Cloudflare Worker)

Turning speech into text and text into a graph needs AI providers. The app does

not talk to them directly; it goes through a small relay service of ours running

on Cloudflare.

What travels through it:

What the relay does not do:

• It writes nothing to a database, an object store or a cache. It has no binding to any of them.
• It logs no content. Logging is built so that it accepts flat metrics only (milliseconds, token counts, error kinds) and automatically drops any field whose name contains things like text, transcript, audio, prompt, name or email.
• It does not know your name. The only identifier is a random string for the family space, generated on the device.

One thing we will not talk away: every internet connection has an **IP

address**, and Cloudflare processes it as the operator of the network, to

deliver the request and to fend off attacks. Those connection records arise at

Cloudflare, not inside our service, and are deleted there after a short time. We

do not analyse them and we do not combine them with anything.

What stays on our side permanently is in section 5.

3.4 At the AI providers

The relay passes content on to these processors:

For review: Art. 28 GDPR data processing agreements with OpenAI,

OpenRouter and Cloudflare must be concluded and documented before

publication. Status is tracked in docs/legal/README.md.

3.5 The spoken conversation

The spoken interview works differently from the rest, and that should be known:

• Our service only mints a short-lived credential (valid about ten minutes) and counts the seconds.
• The device then opens the voice connection directly to OpenAI. The audio of the conversation does not pass through our service; it goes from your device to the provider.
• The ordinary local recording keeps running alongside. That recording is the authoritative version; the conversation is only the occasion for it.
• Other people in the room are recorded too. Please tell them. See section 9.

3.6 Sign-in and billing

• Sign in with Apple gives us only an anonymous user identifier and, if you allow it, an email address (which may be one of Apple's relay addresses). That stays on the device and in your family space.
• Billing runs entirely through the App Store. We never see payment data. The relay only checks that a valid purchase receipt exists, and does not store it.
• A storyteller can join a family without an account of her own, through an invitation link or QR code. In that case no account for her exists with us, only an entry in the family space's member list.

4. Legal bases

Consent can be withdrawn at any time with effect for the future (section 8).

After withdrawal, no further recording leaves the device for AI processing.

Transcripts already made stay until you delete them.

5. What is kept, and for how long

With us, permanently:

• Per family space: the random id of that space, the start of the current billing period, the number of processed audio seconds, the number of spoken interview seconds, open reservations, and a rate limit window. Nothing else.
• These counters live in a storage object pinned to the EU jurisdiction and are deleted together with the family space.

With us, transiently:

• During a request, the content of that request in memory. It ends with the response.
• Operational logs holding metrics without content, typically retained by the operator for a few days.

With you:

• Recordings, transcripts, the memory graph, photos and books stay until you delete them. We do not delete them on our own, not even when a subscription ends. That is the legacy promise (section 11).

Consent record:

• Every consent given or withdrawn is written as a line on the device with a timestamp, the purpose, the version of this policy and the language. That list is only appended to, never overwritten, and is part of the export.

6. Transfers outside the EU

OpenAI, OpenRouter, Cloudflare and Apple also process data in the United States.

The basis is the European Commission's Standard Contractual Clauses and, where

the providers are certified, the EU-US Data Privacy Framework. The relay itself

is configured so that execution and counters stay in the EU; the model providers

are nevertheless reached through their US infrastructure.

For review: check the DPF certification status of all three providers

before publication and name them here.

7. Who inside the family sees the data

A family space has roles:

• Storytellers record, have conversations, and read their own story.
• Curators additionally see transcripts, correct the memory graph and make the book.
• Legacy readers read and export, nothing else.

Anyone invited sees all content of the space. So invite only people the

storyteller would trust with her story.

8. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure

(Art. 17), restriction (Art. 18), data portability (Art. 20), objection

(Art. 21) and withdrawal of consent (Art. 7(3)).

The app exercises most of these directly, with no request form and no waiting:

If something is still open, write to cw@christianweinmayr.com. You also have the

right to lodge a complaint with a supervisory authority; in Austria that is the

Datenschutzbehörde, Barichgasse 40 to 42, 1030 Vienna.

9. Memories are about other people

This is the most delicate point of this app, and it is not glossed over here.

A life story contains information about third parties: parents, siblings,

neighbours, the dead. It can contain health data, religious and political

convictions and information about origin. Whoever records, and whoever invites,

is therefore also processing other people's data.

• Tell the people in the room that a recording is running.
• Share books and exports thoughtfully.
• If a third party asks for information about themselves to be deleted, the curator can delete the story in question, or that person in the memory graph. Contact us as well if you need help with it.

The app processes this information solely to present and order the story. There

is no profiling and no automated decision-making with legal effect within the

meaning of Art. 22 GDPR.

10. Children

Lebensfaden is made for adults. We do not knowingly process data of children as

users. Children can appear in the stories, like any other family member; section

9 applies to that.

11. When the subscription ends, or the storyteller dies

The app then stops recording and processing new material. It does not stop

working:

• Reading and exporting stay available forever, for every role, with no subscription.
• We delete nothing of our own accord in that case.
• Our counters simply stop moving, because nothing is being processed.

That is the legacy promise from the product description, and it is stated here

deliberately as a commitment.

12. Security

• All connections use TLS.
• Recordings live in the device's protected app container, which the operating system encrypts while a passcode is set.
• The relay has no persistent storage beyond the counters.
• Credentials for the spoken conversation live about ten minutes.
• The keys to the AI providers exist only in the relay, never in the app.

13. No training on your memories

We do not train models on your data and we do not allow our processors to. For

the text work this is enforced technically, by restricting routing to providers

that do not retain inputs for training.

14. Changes to this policy

If something material changes, the app shows the new version and, where needed,

collects consent again. Older versions stay traceable by date. The version you

agreed to is written into your export.

15. Contact

Christian Weinmayr, cw@christianweinmayr.com

Appendix: open points for legal review

1. Address, legal form, competent supervisory authority.

2. Data processing agreements with OpenAI, OpenRouter, Cloudflare.

3. Apple's role: processor for CloudKit, or independent controller towards the

account holder. Confirm the wording in section 3.2.

4. Whether the recording person's consent covers third parties mentioned, or

whether a legitimate interest assessment under Art. 6(1)(f) is the stronger

basis for third party content.

5. How to phrase Art. 9 for an app that does not seek special category data but

unavoidably captures it.

6. Whether the legacy promise should also appear in the terms of service.