Datenschutzerklärung

Geltungsbereich

Diese Erklärung gilt für die Apertura-App für macOS, die Apertura-App für Windows, die Backend-Dienste unter api.notch-os.com und updates.notch-os.com sowie diese Website und das optionale Ember-Konto-Gateway unter api.cabinhub.com.cn. Sie gilt nicht für Dienste von Drittanbietern, auf die Sie Apertura selbst verweisen, etwa einen Webhook-Endpunkt, den Sie für die Guardian-Diebstahlschutzfunktion einrichten, oder einen Wetter- bzw. KI-Anbieter, den wir wie unten beschrieben in Ihrem Auftrag aufrufen.

Apertura ist darauf ausgelegt, so viel wie möglich auf Ihrem Gerät zu belassen. Die folgenden Abschnitte beschreiben jeden Weg, auf dem Daten Ihren Rechner verlassen, in einfachen Worten und ohne undokumentierte Kategorie.

Lizenzaktivierung

Wenn Sie eine Lizenz aktivieren (oder eine kostenlose Sitzung starten), sendet die App eine Anfrage an api.notch-os.com mit folgendem Inhalt:

• Der eingegebene Lizenzschlüssel (nur bei der kostenpflichtigen Stufe; kostenlose Sitzungen verwenden einen erzeugten Platzhalter, keinen echten Schlüssel).
• Ein Geräte-Fingerabdruck: ein SHA-256-Hash, der sich nicht zurückrechnen lässt. Auf dem Mac wird er aus der Hardware-Plattform-UUID Ihres Macs, dem Bundle-Identifier der App und der Modellkennung Ihres Macs berechnet. Unter Windows wird er aus der MachineGuid des Betriebssystems plus einem 32 Byte langen, pro Installation erzeugten Schlüssel berechnet, der in einem DPAPI-geschützten Speicher liegt; das Kopieren einer Datei auf einen anderen Rechner kopiert die Identität also nicht. Nur dieser Hash wird gesendet; die Werte, aus denen er entstand, nicht.
• Eine Gerätebezeichnung: auf dem Mac der Name Ihres Computers (z. B. „Jordans MacBook Pro“), unter Windows der Hostname Ihres PCs.
• Die App-Version und die Versionszeichenfolge des Betriebssystems.
• Nur auf dem Mac, wenn Ihr Gerät über eine Secure Enclave verfügt: ein zusätzlicher öffentlicher Schlüssel, der eine kostenpflichtige Sitzung kryptografisch an genau dieses Gerät bindet. Der zugehörige private Schlüssel verlässt die Secure Enclave nie.

Jede weitere Anfrage an das Relay (Chat, Geräteliste, Deaktivierung) wiederholt den Geräte-Fingerabdruck, damit das Backend Ihr Gerät erkennt, wiederholt aber nie den Lizenzschlüssel selbst, sobald die Aktivierung abgeschlossen und ein Sitzungstoken ausgestellt wurde.

Das nach der Aktivierung ausgestellte Sitzungstoken wird im macOS-Keychain (Mac) bzw. über den eigenen verschlüsselten Anmeldeinformationsspeicher von Windows (Windows) abgelegt, nicht in einer einfachen Datei.

Wir erfassen im Rahmen der Lizenzaktivierung weder Ihren Namen noch Ihre E-Mail-Adresse, Telefonnummer oder Rechnungsadresse. Wenn Sie über einen Zahlungsdienstleister kaufen, verarbeitet dieser Ihre Zahlungsdaten direkt (siehe Komponenten von Drittanbietern); wir erhalten nur die Angaben, die nötig sind, um zu erkennen, welche Produktstufe Sie erworben haben.

KI-Funktionen und das Relay

Die KI-Funktionen von Apertura (Chat, Bildschirm lesen, Zwischenablage-Makros, Anhänge) arbeiten auf einem von zwei Wegen. In den Einstellungen sehen Sie, welcher aktiv ist:

Auf dem Gerät

Unter macOS führt „Private KI auf dem Gerät“ das Modell lokal mit MLX aus. Ist sie eingeschaltet, werden Ihre Eingaben vollständig auf Ihrem Rechner verarbeitet und nichts aus der Unterhaltung wird irgendwohin gesendet — auch angehängte Bilder nicht, deren Bytes auf dem Mac bleiben und nur als lokal extrahierter Text weitergehen. Die Modelldateien werden einmalig von artifacts.apertura.app gegen ein signiertes Manifest geladen, das für jede Datei Größe und SHA-256 auflistet; dieser Download enthält keine Inhalte von Ihnen. Unter Windows gibt es derzeit kein lokales Modell, daher läuft die KI dort über das Relay.

Über das Relay

Ist die KI über das Relay ausgewählt (Standard bei kostenpflichtigen Stufen und auch in der kostenlosen Stufe nutzbar), wird Ihre Unterhaltung an unser Backend unter api.notch-os.com gesendet, das sie an ein dahinterliegendes KI-Modell weiterleitet, um eine Antwort zu erzeugen. Das Backend verteilt Anfragen auf mehr als einen vorgelagerten Anbieter und kann wechseln, welcher eine Anfrage bedient; diese Seite verspricht daher nicht, dass ein einzelnes genanntes Unternehmen Ihre Eingabe sieht. Fest und nachprüfbar ist der Weg: Ihr Gerät spricht nur mit api.notch-os.com, und dieses Backend spricht mit dem Modellanbieter.

Das wird bei der Nutzung der KI über das Relay übertragen:

• Die sichtbaren Nachrichten Ihrer aktuellen Unterhaltung (bei jeder neuen Runde mitgesendet, damit das Modell den Kontext hat).
• Inhalte, die Sie ausdrücklich anhängen: Text aus der Zwischenablage (nur wenn Sie ein KI-Zwischenablage-Makro ausführen, nie automatisch), Bildschirmtext aus Funktionen im Stil von „Bildschirm lesen“ (nur extrahierter Text, kein Screenshot) oder Text, der lokal aus einer angehängten Datei oder einem Bild extrahiert wurde. Dateibytes und Screenshots werden nicht hochgeladen – nur der auf Ihrem Gerät daraus extrahierte Text. Die einzige Ausnahme ist der als Nächstes beschriebene Bildpfad.

Was unser Backend mit Inhalten der KI über das Relay nicht tut: Es schreibt weder Ihre Eingabe noch die Antwort des Modells in eine Datenbank oder Logdatei. Aufgezeichnet werden nur Metadaten, die für Abrechnung und Missbrauchsprävention nötig sind – Ihr Geräte-Fingerabdruck, eine Token-Anzahl, der Modellname und Ihre Tarifstufe, gespeichert in der Tabelle usage_log. Siehe Aufbewahrung und Löschung.

Davon getrennt gilt: Nutzen Sie ein KI-Agent-Werkzeug, das im Web sucht oder eine URL abruft, geht diese Anfrage direkt von Ihrem Gerät an den Suchanbieter bzw. die abgerufene Website – sie läuft nicht über unser Relay und unterliegt den Datenschutzpraktiken dieses Anbieters.

Die visuelle Analyse eines angehängten Bildes ist eine separate, widerrufbare Einwilligung: Ist sie aktiv, wird eine herunterskalierte Kopie des Bildes an das Relay gesendet, damit das Modell es sehen kann; ist sie aus oder ist „Private KI auf dem Gerät“ eingeschaltet, wird nur lokal aus dem Bild extrahierter Text gesendet. Die App zeigt vor dem Senden an, welcher der beiden Wege läuft.

Wetter

Das Wettermodul funktioniert auf den beiden Plattformen unterschiedlich:

• macOS: Wenn Sie die Standortberechtigung erteilen, nutzt Apertura die Ortungsdienste Ihres Macs (auf Stadtebene, keine kontinuierliche genaue Ortung), um das Wetter mit Ihren Koordinaten direkt bei Open-Meteo, einem Wetterdatenanbieter, abzurufen. Verweigern Sie die Standortberechtigung oder haben Sie sie nicht erteilt, schätzt Apertura Ihren Standort über eine IP-Geolokalisierung eines Drittanbieters anhand Ihrer IP-Adresse. Wetterergebnisse werden auf Ihrem Gerät zwischengespeichert und etwa alle 15 Minuten aktualisiert.
• Windows: Sie können einen Städtenamen eingeben, der an den Geokodierungsdienst von Open-Meteo gesendet wird, um Koordinaten zu ermitteln, mit denen dann die Vorhersage abgerufen wird. Das Wetterfenster bietet außerdem „Aktuellen Standort verwenden“: Es fragt den in Windows eingebauten Standortdienst nach einer einmaligen Positionsbestimmung (kein schlüsselgebundener Geo-Dienst wie Google wird genutzt), rundet die Koordinaten vor jedem Netzaufruf auf zwei Nachkommastellen und hält die Rohposition nur im Arbeitsspeicher. Haben Sie den Windows-Standort ausgeschaltet, wird kein Standort bestimmt — stattdessen fragt Apertura ipapi.co nach einer als ungefähr gekennzeichneten Schätzung auf Stadtebene, derselbe Rückfallweg wie auf dem Mac. Der gewählte Ort wird lokal auf Ihrem PC gespeichert.

In beiden Fällen gehen Wetteranfragen direkt von Ihrem Gerät an Open-Meteo (und auf dem Mac bei verweigertem Standort an den IP-Geolokalisierungsdienst); sie laufen nicht über das Apertura-Backend, und es wird weder eine Geräte-Kennung noch eine Lizenzinformation angehängt.

Software-Updates

Apertura prüft automatisch auf Updates:

• macOS verwendet den Open-Source-Updater Sparkle und fragt etwa stündlich updates.notch-os.com ab. Update-Pakete sind kryptografisch signiert und werden vor der Installation geprüft.
• Windows verwendet die Bibliothek electron-updater gegen denselben Update-Server. Updates werden automatisch geladen, aber nicht ohne bestandene Signaturprüfung installiert; die App stuft Ihre Version nicht stillschweigend herab.

Eine Update-Prüfung teilt unserem Server Ihre App-Version, das Betriebssystem und die Architektur mit, damit er das passende Paket anbieten kann – das ist bei jeder sich selbst aktualisierenden Desktop-App üblich und nicht an Ihre Lizenz oder Ihren Geräte-Fingerabdruck gebunden. Beide Bibliotheken senden außerdem die üblichen HTTP-Metadaten jedes HTTP-Clients, einschließlich einer User-Agent-Zeichenfolge; dieses Bibliotheksverhalten haben wir nicht überschrieben.

Unter Windows wird ein Update vor der Installation gegen einen festgeschriebenen Zertifikats-Fingerabdruck geprüft. Ein ohne Signaturzertifikat ausgelieferter Build hat keinen Eintrag in dieser Allowlist, daher lehnt sein Updater jeden Kandidaten ab, statt einen unsignierten Download zu akzeptieren.

Absturzberichte und Analysen

Apertura enthält weder ein SDK für Absturzberichte (wie Sentry oder Crashlytics) noch ein SDK für Analyse oder Nutzungsverfolgung (wie Mixpanel, Amplitude, PostHog, Firebase oder Google Analytics), weder in der macOS- noch in der Windows-App; auch notch-os.com lädt kein Analyse-Skript. Wir wissen nicht, wann die App auf Ihrem Rechner abstürzt, es sei denn, Sie teilen es uns mit, und es gibt keine Sitzungsaufzeichnung, keine Funnel-Verfolgung und keinen Nutzungs-Beacon.

Das Stats-Modul (System-, CPU-, Arbeitsspeicher-, GPU-, Temperatur-, Datenträger-, Akku- und Netzwerkinformationen) läuft samt Verlauf vollständig auf Ihrem Gerät und dient Ihrer eigenen Ansicht. Es wird nicht an uns übertragen. Nutzen Sie die optionale Fernüberwachung, um Ihre eigenen anderen Rechner zu prüfen, läuft diese Verbindung direkt zwischen Ihren Geräten (zum Beispiel über Ihr eigenes Tailscale-Netzwerk oder Ihre SSH-Konfiguration) und berührt unsere Server nie.

Eine lokale Netzwerkfunktion prüft in regelmäßigen Abständen die öffentliche IP-Adresse Ihres Geräts bei einem Drittanbieterdienst (ipify.org), ausschließlich um sie Ihnen im Stats-Bereich anzuzeigen; dieser Wert wird nicht an die Server von Apertura gesendet.

Warteliste für den Download

Die „Benachrichtige mich“-Formulare auf der Download-Seite sind freiwillig und nutzen keinen Tracker von Drittanbietern: Die eingegebene Adresse geht nur an api.notch-os.com, das die Adresse, die gewählte Plattform und den Zeitpunkt speichert, an dem Sie den von uns gemailten Bestätigungslink geöffnet haben (vorher zählt nichts), die Bestätigungs- und Abmeldetokens nur als Einweg-Hashes aufbewahrt und Ihre IP-Adresse kurzzeitig zur Begrenzung der Anfragen verwendet; jede Mail enthält einen Abmeldelink, der Sie von der Liste nimmt, und eine unbestätigte Anmeldung wird 30 Tage nach Ablauf ihres Links verworfen.

Was auf Ihrem Gerät bleibt

Die folgenden Funktionen speichern Daten nur auf Ihrem Gerät und übertragen sie im normalen Betrieb nie an die Server von Apertura:

• Zwischenablageverlauf: lokal gespeichert. Er wird nur dann in eine KI-Anfrage aufgenommen, wenn Sie ausdrücklich eine KI-Aktion darauf ausführen (siehe KI-Funktionen und das Relay) — er wird nie automatisch oder im Hintergrund gelesen.
• Notizen: lokal gespeichert. Der KI-Chat kann eine Notiz schreiben, wenn Sie tippen, um etwas Gefundenes zu sichern; doch nichts liest Ihre vorhandenen Notizen und sendet sie automatisch irgendwohin.
• Screenshots: werden mit dem eigenen Screenshot-Mechanismus des Betriebssystems lokal aufgenommen und gespeichert; Apertura lädt sie nirgendwohin hoch.
• Kameravorschau (für die Kamera-Werkzeuge des Notch): wird nur lokal angezeigt, ohne KI-Verarbeitung und ohne Netzwerkübertragung des Videobilds.

Zwei enge Ausnahmen nennen wir ausdrücklich, weil nur auf diesen Wegen lokale Inhalte Ihr Gerät verlassen können:

• Wenn Sie einer KI-Chat-Nachricht manuell einen Screenshot, einen Notizexport oder eine andere Datei anhängen, wird der von Apertura aus dieser Datei extrahierte Text wie jeder andere Anhang an das KI-Relay gesendet (siehe KI-Funktionen und das Relay). Das geschieht nur, wenn Sie die Datei bewusst anhängen.
• Die optionale Guardian-Diebstahlschutzfunktion kann eine Benachrichtigung (Titel, Nachricht, Zeitstempel und ein Ja/Nein-Merkmal, ob ein Foto aufgenommen wurde) an eine Webhook-Adresse senden, die Sie selbst festlegen — zum Beispiel Ihr eigener Endpunkt bei ntfy.sh, IFTTT oder Zapier. Das Foto selbst bleibt auf Ihrem Gerät und ist nie Teil dieser Benachrichtigung. Guardian sendet nur dann etwas, wenn Sie die Funktion aktiviert und eine Webhook-Adresse eingerichtet haben.

Aufbewahrung und Löschung

Es gibt keinen Self-Service-Knopf „Meine Daten löschen“ in der App. Löschanfragen laufen über die Kontaktseite, die den derzeit bestätigten Weg nennt. Da Eingaben und Antworten der KI nicht gespeichert werden, betrifft eine Anfrage Nutzungsmetadaten, Geräte- und Lizenzdatensätze sowie ein noch im Aufbewahrungsfenster liegendes generiertes Bild.

Komponenten von Drittanbietern

Apertura nutzt eine kleine Zahl von Diensten und Open-Source-Komponenten Dritter, um zu funktionieren:

• Open-Meteo — Wetter- und Geokodierungsdaten (siehe Wetter).
• ipapi.co — IP-basierte Standortschätzung, nur als macOS-Ersatz, wenn keine genaue Ortung verfügbar ist.
• ipify.org — wird lokal genutzt, um Ihre eigene öffentliche IP-Adresse im Stats-Bereich anzuzeigen.
• Sparkle (macOS) und electron-updater (Windows) — Open-Source-Bibliotheken zur Update-Prüfung.
• open.er-api.com — der schlüssellose Währungsfeed hinter den Live-Kursen des Umrechners. Nur die Feed-Anfrage verlässt Ihr Gerät, und die letzte gute Antwort wird sechs Stunden lang zwischengespeichert.
• lrclib.net — synchrone Songtexte. Nur Interpret, Titel, Album und Dauer werden gesendet, und nur wenn Sie Songtexte anfordern.
• Lemon Squeezy — Zahlungsabwicklung und Lizenz-API. Käufe werden dort abgewickelt; die App prüft einen Schlüssel über unser Backend gegen die Lizenz-API von Lemon Squeezy und sieht Ihre Kartendaten nie.
• Ember-Konto-Gateway (api.cabinhub.com.cn) — nur wenn Sie sich für ein Ember-Konto anmelden und KI-Unterhaltungen synchronisieren. Als „nur auf dem Gerät behalten“ markierte Unterhaltungen werden nie dorthin gesendet.
• Ein oder mehrere KI-Modellanbieter hinter dem Relay — siehe KI-Funktionen und das Relay.

Jeder dieser Dritten verarbeitet nur die im jeweiligen Abschnitt oben beschriebenen Daten und unterliegt für alles darüber Hinausgehende seiner eigenen Datenschutzerklärung.

Sicherheit

Sitzungstoken der Lizenz werden im sicheren Anmeldeinformationsspeicher Ihres Betriebssystems abgelegt (macOS-Keychain bzw. verschlüsselter Anmeldeinformationsspeicher von Windows), nicht in einer Klartextdatei. Wo Ihr Gerät es unterstützt, sind kostenpflichtige Mac-Sitzungen zusätzlich an die Secure Enclave Ihres Geräts gebunden. Auf das Backend-Administrationssystem wird über ein einziges gemeinsames Betreiber-Bearer-Geheimnis zugegriffen, das in konstanter Zeit verglichen wird, mit einer Sperre pro IP nach wiederholten Fehlversuchen; jede Admin-Route antwortet mit 503, wenn dieses Geheimnis nicht konfiguriert ist, sodass eine fehlkonfigurierte Bereitstellung geschlossen statt offen ist. Es ist ein gemeinsames Betreiber-Zugangsdatum, keine Admin-Konten pro Person, und wir behaupten kein Protokoll darüber, wer auf unserer Seite was getan hat. Kein System ist vollkommen sicher, und wir können keine absolute Sicherheit garantieren.

Kinder

Apertura ist ein allgemeines Desktop-Produktivitätswerkzeug, richtet sich nicht an Kinder, und wir erheben wissentlich keine Daten von Kindern. Wie oben dargelegt, erfasst die Lizenzaktivierung weder Namen noch E-Mail-Adresse, Telefonnummer oder Rechnungsadresse, sodass es heute keinen Altersverifikationsablauf im Produkt gibt.

Änderungen dieser Erklärung

Das Datum des Inkrafttretens steht oben auf dieser Seite. Wesentliche Änderungen werden im Versionsprotokoll angekündigt, wo auch Produktänderungen festgehalten werden; das Datum dieser Seite wird in derselben Änderung aktualisiert. Wir versenden keine E-Mail zu Richtlinienänderungen, weil wir für die meisten Nutzer keine Adresse haben.

Kontakt

Datenschutzfragen und Löschanfragen laufen über die Kontaktseite. Diese Seite wird bewusst korrekt gehalten: Sie nennt nur bestätigte und betreute Kanäle und veröffentlicht kein Postfach, das es nicht gibt.