Heike · Datenschutzerklärung
Stand: 7. November 2026
Verantwortlich und Kontakt
Palithera GmbH, Am Wiesbach 75, 55457 Gensingen, Deutschland. Vertreten durch Dr. Adam Maciak. Datenschutzkontakt: info@palithera.com. Diese Hinweise gelten für die native iPhone-App Heike und ihre CarPlay-Widgets.
Deine Konten. Ein Überblick.
Heike bündelt die von dir verbundenen Mail- und Kalenderkonten. Die App liest Daten und verändert weder Nachrichten noch Termine. Du brauchst kein Heike-Konto. Im Demomodus werden ausschließlich gekennzeichnete Beispieldaten verwendet.
Palithera betreibt für Heike keinen Server, auf dem deine Mail- oder Kalenderdaten zusammengeführt werden. Die App enthält keine Werbe-, Tracking- oder Analyse-SDKs. Palithera kann deine lokalen Konten, Schlüssel und Inhalte nicht aus der Ferne einsehen.
Welche Daten auf deinem iPhone bleiben
Kontoadressen, Anbieter- und Servereinstellungen, Kalenderauswahl, Darstellung, Einführungsfortschritt und deine OpenAI-Freigabe werden lokal gespeichert. Postfach-Passwörter, Microsoft-Anmeldetoken und dein eigener OpenAI-API-Schlüssel liegen im iPhone-Schlüsselbund mit gerätegebundener Speicherung.
Die Übersicht zeigt Absender, Betreff, Zeitpunkt und Lesestatus der neuesten fünf Nachrichten über alle verbundenen Posteingänge. Beim Antippen einer E-Mail lädt Heike zusätzlich Absender- und Empfängerangaben sowie den Nachrichtentext direkt vom Anbieter. HTML wird als Text dargestellt; externe Bilder und Anhänge werden nicht geladen. Das Öffnen verändert den Lesestatus im Postfach nicht.
Mail-Kopfdaten und Nachrichtentexte werden nicht in einem dauerhaften lokalen Mailarchiv gespeichert. Kopfdaten bleiben nur im Arbeitsspeicher und höchstens 48 Stunden ab Abruf verfügbar. Nachrichtentexte werden beim Verlassen der Detailansicht oder beim Inaktivwerden der App verworfen, spätestens nach 48 Stunden. Nach einer Unterbrechung wird die Frist vor erneuter Verwendung geprüft. Ältere E-Mails dürfen erneut vom Server abgerufen werden; die Frist betrifft die lokale Kopie, nicht das Alter der Originalnachricht. Im Postfach wird nichts gelöscht. Der Mail-Widget-Status enthält nur Anzahlen, Abrufzeit und Status, keine Mailtexte, Betreffzeilen oder Kontoadressen.
Termine umfassen Titel, Beginn, Ende, Ganztägigkeit, Kalendername und technische Kennung. Die Kalenderübersicht umfasst die nächsten zwei Tage. Für Widgets wird ein lokaler Kalender- und Mail-Status in der gemeinsamen App-Gruppe gespeichert und bei neuen Abrufen ersetzt. iOS bestimmt Hintergrundlaufzeit und Widget-Aktualisierung; ein fester Zehn-Minuten-Takt im Hintergrund ist nicht garantiert.
Deine Mikrofonaufnahme wird nur nach dem Start der Sprachbedienung verarbeitet. Die Spracherkennung erfordert die lokale Erkennung auf dem iPhone; Mikrofonaufnahmen werden von Heike nicht an OpenAI übertragen. Gespräch und Antworten werden nur im Arbeitsspeicher der laufenden App und höchstens 48 Stunden ab Beginn des Gesprächs gehalten.
Verbindungen zu Mail- und Kalenderanbietern
Heike verbindet sich verschlüsselt direkt mit den von dir gewählten Anbietern. Bei Microsoft erfolgt die Anmeldung auf einer Microsoft-Seite; die App erhält Zugriffstoken, nicht dein Microsoft-Passwort. Über Microsoft Graph liest sie die freigegebenen Mail-Kopfdaten und optional Kalender. Für Nachrichtentexte ist eine zusätzliche Freigabe der delegierten Leseberechtigung Mail.Read erforderlich; Heike fordert sie erst auf deine Aktion in der Detailansicht an. Organisationsrichtlinien und eine IT-Freigabe können erforderlich sein.
Bei iCloud Mail, Gmail, IONOS und anderen IMAP-Postfächern authentifiziert sich die App mit deinen eingegebenen Zugangsdaten direkt am konfigurierten Mailserver. Je nach Anbieter ist ein App-Passwort nötig. Postfächer aus Apple Mail werden nicht übernommen. Auf dem iPhone synchronisierte Kalender liest Heike nach deiner iOS-Freigabe über EventKit.
Die jeweiligen Anbieter erhalten die zur Verbindung notwendigen Daten, etwa Kontokennung, IP-Adresse, Zeitpunkt und Abrufanfrage. Für ihre Konten, Serverprotokolle und Aufbewahrungsfristen gelten zusätzlich ihre Datenschutzbedingungen. Du bestimmst die eingebundenen Anbieter.
Wetter und Standort im Uhr-Widget
Das Uhr-Widget zeigt wahlweise Wetter, Sonnenuntergang oder einen Termin-Countdown. Wetter und Sonnenuntergang werden nach deiner iOS-Standortfreigabe direkt von Apple Weather über WeatherKit abgerufen. Heike verwendet einen ungefähren Standort und benötigt keinen genauen Standort und keine dauerhafte Standortfreigabe. Für eigenständige Abrufe des Widgets muss die Nutzung auch für Widgets erlaubt sein.
Bei einer Wetterabfrage erhält Apple den hierfür erforderlichen Standort. Heike speichert keine Koordinaten, keine Ortsnamen und keinen Fahrtverlauf und übermittelt diese Daten nicht an Palithera oder OpenAI. Die Wetteranzeige mit Abrufzeit und Sonnenuntergang wird vorübergehend in der gemeinsamen App-Gruppe gehalten und von Backups ausgeschlossen. Werte werden höchstens eine Stunde angezeigt; abgelaufene Daten werden beim nächsten Zugriff verworfen. Die Uhr-Widget-Auswahl bleibt lokal gespeichert.
Im Demomodus werden nur gekennzeichnete Wetter-Beispiele angezeigt und keine Standort- oder Wetteranfragen gestellt. Beim Wechsel zum Termin-Countdown werden Wetterdaten verworfen und keine weiteren Wetteranfragen gestartet. Du kannst die Standortfreigabe jederzeit in den iOS-Einstellungen widerrufen. iOS bestimmt, wann Widgets im Hintergrund aktualisiert werden.
OpenAI ist optional und benötigt deine Freigabe
Ohne deine ausdrückliche Freigabe unter Einstellungen → OpenAI & Datenschutz sendet Heike keine KI-Anfragen an OpenAI. Ein gespeicherter API-Schlüssel allein aktiviert die Übermittlung nicht. Kalender, E-Mail-Übersicht und lokale Sprachausgabe bleiben nutzbar.
Nach deiner Zustimmung werden freie Fragen als Text und bis zu acht vorherige Gesprächsbeiträge direkt an die OpenAI Responses API übertragen. Zusätzliche Kalenderdaten (bis zu zwölf Termine) und E-Mail-Kopfdaten (die letzten fünf Nachrichten einschließlich Kontozuordnung) werden nur bei den jeweiligen aktivierten Kontext-Schaltern beigefügt. Heike fordert für Responses keine Speicherung des Antwortobjekts an (store: false).
Ist die Online-Stimme eingeschaltet, wird der jeweils vorzulesende Text an die OpenAI Realtime API übermittelt. Dazu können Termintitel und Zeiten, Absender, Betreffzeilen oder KI-Antworten gehören. Dies gilt auch für durch Widgets gestartete Ansagen und unabhängig von den Kontext-Schaltern für freie Fragen. Zurzeit werden gpt-realtime-2.1-mini und die KI-generierte Stimme marin verwendet. Mikrofon-Audio und vollständige E-Mail-Texte werden nicht übertragen.
Du nutzt deinen eigenen API-Schlüssel. Die Anfragen sind dadurch deinem OpenAI-API-Konto zugeordnet und werden dort abgerechnet. Palithera erhält deinen Schlüssel nicht. Im Demomodus werden keine OpenAI-Anfragen gesendet.
Laut OpenAI werden API-Inhalte standardmäßig nicht zum Training verwendet. Protokolle zur Missbrauchserkennung können regelmäßig bis zu 30 Tage aufbewahrt werden; gesetzliche oder sicherheitsbedingte Ausnahmen und besondere Kontoeinstellungen können abweichen. store: false verhindert nicht diese Sicherheitsprotokolle. OpenAI kann Daten außerhalb des EWR verarbeiten. Es gelten zusätzlich die Bedingungen, Transfergarantien und Datenkontrollen deines API-Kontos. Eine ausschließlich europäische Verarbeitung wird von Heike nicht zugesagt.
Zwecke und Rechtsgrundlagen
Die von dir angeforderte lokale Kontenübersicht, Anmeldung und technische Bereitstellung dienen der App-Funktionalität (Art. 6 Abs. 1 Buchst. b DSGVO, soweit Palithera Verantwortliche ist). Die optionale Übermittlung an OpenAI erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Du kannst diese jederzeit für die Zukunft widerrufen.
Die Eingabe von Konten und Schlüsseln ist freiwillig. Ohne Kontoverbindung stehen die entsprechenden echten Daten nicht zur Verfügung; ohne OpenAI-Freigabe entfallen freie KI-Fragen und die Online-Stimme. Die Grundfunktionen und der Demomodus sind davon unabhängig. Verbinde nur Konten und übermittle nur Inhalte, für die du berechtigt bist; bei beruflichen Konten gelten zusätzlich die Vorgaben deiner Organisation.
Widerrufen, entfernen und aufräumen
Unter OpenAI & Datenschutz kannst du deine Zustimmung widerrufen. Heike stoppt dann laufende KI-Anfragen und Wiedergabe, leert den Gesprächsverlauf und deaktiviert die zusätzlichen Kontextfreigaben. Bereits an OpenAI übermittelte Daten werden dadurch nicht rückwirkend gelöscht. Deinen API-Schlüssel kannst du getrennt entfernen oder in deinem OpenAI-Konto widerrufen.
Entferne ein Mailkonto unter Einstellungen → Verbundene E-Mail-Konten. Dabei werden der lokale Zugang und die zugehörigen Kalenderdaten aus Heike entfernt. Die Originaldaten beim Anbieter bleiben erhalten. Microsoft-Berechtigungen kannst du zusätzlich in deinem Microsoft-Konto beziehungsweise durch die IT widerrufen.
Die Kalenderauswahl und iOS-Berechtigungen kannst du in Heike beziehungsweise den iPhone-Einstellungen ändern. Das Gespräch lässt sich im Assistenten löschen. Lokale Einstellungen und Widget-Daten werden bis zur Änderung beziehungsweise Entfernung der App gespeichert; Schlüsselbund-Einträge können eine Deinstallation überdauern. Entferne daher Konten und Schlüssel ausdrücklich in der App, wenn du sie nicht mehr verwenden möchtest. Für Apple-Sicherungen und Systemdiagnosen gelten deine iOS-Einstellungen und Apples Hinweise.
Kontakt mit dem Support
Wenn du freiwillig eine E-Mail an info@palithera.com sendest, verarbeitet Palithera deine Absenderadresse, Nachricht und bewusst beigefügte Angaben zur Beantwortung. Vertragsbezogene Anfragen stützen sich auf Art. 6 Abs. 1 Buchst. b DSGVO, sonstige Anfragen auf unser berechtigtes Interesse an der Beantwortung nach Art. 6 Abs. 1 Buchst. f DSGVO.
Bitte sende keine Passwörter, API-Schlüssel, vollständigen E-Mails oder ungeschwärzten privaten Screenshots. Die App sendet keinen automatischen Diagnosebericht. Für die Support-Kommunikation verwendet Palithera Microsoft Exchange Online (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Es gelten Microsofts vertragliche Garantien für internationale Datenübermittlungen.
Supportdaten werden nur so lange aufbewahrt, wie sie zur Bearbeitung und gegebenenfalls zur Erfüllung gesetzlicher Pflichten oder Durchsetzung von Rechtsansprüchen erforderlich sind.
Deine Rechte
Soweit Palithera personenbezogene Daten verarbeitet, kannst du unter den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen, einer auf berechtigten Interessen beruhenden Verarbeitung widersprechen und eine Einwilligung für die Zukunft widerrufen. Kontakt: info@palithera.com. Für ausschließlich lokale Daten hat Palithera keinen Fernzugriff.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für Palithera zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.
Externe Seiten und Apple
Diese Hinweise sind in Heike offline lesbar. Erst beim Öffnen eines externen Links wird die betreffende Website aufgerufen. Den allgemeinen Links fügt Heike keine Konto- oder Gesprächsinhalte hinzu. Für App Store, TestFlight, Apple-Systemdienste und externe Seiten gelten außerdem deren eigene Hinweise.
Diese Website und ihre Serverprotokolle
Die Heike-Informationsseiten werden über Amazon S3 mit Ursprungsspeicher in Frankfurt (eu-central-1) und Amazon CloudFront bereitgestellt. Auftragsverarbeiterin ist Amazon Web Services EMEA SARL. CloudFront kann Inhalte über internationale Standorte ausliefern; dabei können personenbezogene Verbindungsdaten außerhalb des EWR verarbeitet werden. Es gelten die vertraglichen Datenschutz- und Übermittlungsgarantien von AWS, insbesondere einschlägige Angemessenheitsbeschlüsse und Standardvertragsklauseln.
Beim Seitenaufruf werden technisch notwendige Verbindungsdaten wie IP-Adresse, angeforderter Pfad, Zeitpunkt, Browserkennung und HTTP-Status verarbeitet. Auslieferungsprotokolle werden regulär nach sieben Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der sicheren, zuverlässigen Bereitstellung und Fehlerbehebung (Art. 6 Abs. 1 Buchst. f DSGVO).
Die Website setzt keine Analyse-, Werbe- oder Trackingdienste ein, verwendet keine Cookies und speichert keine Angaben im lokalen Browserspeicher. Sie enthält kein Kontaktformular. E-Mail-Links öffnen erst auf deine Aktion deine E-Mail-App; externe Links führen zu den jeweils benannten Anbietern.