Dies ist eine Übersetzung. Maßgeblich ist die englische Fassung. English

Datenschutzerklärung

Gültig ab 18. Oktober 2026. Aktualisiert am 22. Oktober 2026: Marrow wird jetzt von Marrow Health LLC herausgegeben.

Marrow ist so gebaut, dass es fast nichts zu erfassen gibt. Deine Gesundheitsdaten liegen auf deinem iPhone, in Apple Health und in der lokalen Datenbank von Marrow. Es gibt kein Marrow-Konto und keine Analytics. Die einzige Kopie deiner Gesundheitsdaten auf einem Server, den wir betreiben, ist der optionale Spiegel von Cloud-MCP, der nur existiert, wenn du es einschaltest, und verschwindet, wenn du es ausschaltest.

Diese Erklärung gilt für die iOS-App Marrow und die Dienste unter marrowhealthapp.com und skeletonarmy.tech. Marrow wird von Marrow Health LLC herausgegeben, einer Limited Liability Company aus Georgia. Fragen: [email protected].

1. Was auf deinem Gerät bleibt

Alles, standardmäßig. Im Einzelnen:

• Jede Apple-Health-Metrik, die Marrow liest, darunter Schritte, Herzfrequenz, Schlaf, Workouts, Körpermaße und die übrigen Kategorien, die du freigibst.
• Dein Essensprotokoll, einschließlich Mahlzeiten, Nährstoffen, Portionen und jedes Fotos, das du gemacht hast.
• Dein Workout-Protokoll, deine Ziele und die App-Einstellungen.
• Zugriffstokens für jeden Server oder Agenten, den du koppelst, gespeichert im iOS-Schlüsselbund.

Diese Daten werden in der lokalen Datenbank von Marrow innerhalb der Sandbox der App auf deinem iPhone gespeichert. Marrow speichert deine Gesundheitsdaten nicht in iCloud. Wenn du iPhone-Backups aktiviert hast, unterliegt dein Geräte-Backup der Datenschutzrichtlinie von Apple, nicht unserer.

2. Was dein Gerät verlässt, und nur wenn du es verlangst

Mahlzeitenfotos, die du scannen lässt

Wenn du Essen per Foto einträgst, wird dieses eine Bild an den Fotodienst von Marrow gesendet und an die Gemini-API von Google weitergeleitet, die eine Vermutung zurückgibt, was das Essen ist und welche Nährwerte es hat. Wichtige Einzelheiten:

• Das Bild wird vor dem Senden neu kodiert, wodurch EXIF-Metadaten einschließlich GPS-Standort, Kameramodell und Zeitstempel entfernt werden.
• Das Foto wird auf unserem Server nicht auf die Festplatte geschrieben. Es wird für die Dauer der Anfrage im Arbeitsspeicher gehalten und dann verworfen.
• Marrow nutzt eine kostenpflichtige Google-API-Stufe, bei der Google übermittelte Inhalte nicht zum Training oder zur Verbesserung seiner Modelle verwendet. Google darf Inhalte nach den Gemini API Terms kurz zur Missbrauchsüberwachung und zur Einhaltung gesetzlicher Vorgaben aufbewahren.
• Mit dem Foto werden keine Gesundheitsdaten, kein Name, keine E-Mail und keine Konto-Kennung gesendet. Google erhält das Bild und sonst nichts über dich.
• KI-Eintragen ist optional. Manuelle Eingabe sendet nichts. Die Lebensmittelsuche durchsucht die USDA-Lebensmittel, die auf dem Handy in die App eingebaut sind, und sendet nur die Wörter, die du eintippst, an Open Food Facts, um Markenprodukte zu finden. Sie sendet nie ein Bild oder Audio.

Text- und Sprachbeschreibungen, die du eintragen lässt

Wenn du Essen durch Eintippen einer Beschreibung oder durch Sprechen einträgst, wird dieser Text oder dieser kurze Audioclip an den Lebensmitteldienst von Marrow gesendet und an die Gemini-API von Google weitergeleitet, die ein Transkript (bei Audio) und eine Vermutung zu den Lebensmitteln und ihren Nährwerten zurückgibt. Der Clip und der Text werden für die Anfrage im Arbeitsspeicher gehalten und verworfen. Auf unserem Server wird nichts auf die Festplatte geschrieben. Es gelten dieselben Google-API-Bedingungen wie bei Fotos. Es sind weder Gesundheitsdaten noch eine Identität dabei.

Cloud-MCP (Marrow Pro): eine private Kopie auf unserem Server

Das ist optional, standardmäßig aus und der einzige Fall, in dem wir Gesundheitsdaten halten. Wenn du es einschaltest, legt die App auf einem Server, den wir betreiben, einen Spiegel an und hält ihn im Hintergrund aktuell: deine Apple-Health-Metriken, Mahlzeiten, Workouts, Kraftsätze, deinen Schlaf und deine Tagesziele, dieselben Daten, die die App zeigt. Dafür können ChatGPT, Claude oder Gemini diese Kopie jederzeit lesen, auch wenn dein Handy schläft. Wichtige Einzelheiten:

• Der Link, den dir die App gibt, identifiziert deinen Spiegel, kann ihn aber nicht lesen. Jede KI muss sich anmelden, und die Anmeldung wird erst abgeschlossen, wenn du den Code von der Anmeldeseite in Marrow eintippst und genehmigst. Du kannst jede Anfrage ablehnen.
• Der Spiegel liegt auf einem Server in den Vereinigten Staaten, geschützt durch Zugriffstokens, die als Hash gespeichert werden. Wir können ihn technisch lesen, solange er existiert, wir tun es nicht, und wir protokollieren nur Anfragepfade und Statuscodes, nie Tokens oder Inhalte. Der Datenverkehr läuft über Cloudflare, das TLS terminiert.
• Wenn du außerdem KI-Schreibzugriff erlauben einschaltest (Marrow 1.3.4 und neuer. Standardmäßig aus), kann eine KI, die du genehmigt hast, darum bitten, Einträge hinzuzufügen oder zu ändern: Mahlzeiten, Wasser, Gewicht, Workouts, Schlaf, Symptome, Stimmung und deine Ziele. Die Anfrage wird im Spiegel gehalten, bis dein Handy sie abholt und umsetzt, und bleibt dort mit dem Rest der Kopie, damit sie sich rückgängig machen lässt. Solange der Schalter an ist, speichert der Spiegel auch das Apple-Push-Benachrichtigungs-Token deines Handys, das nur dazu dient, dem Handy mitzuteilen, dass etwas wartet. Wenn du den Schalter ausschaltest, wird das Token entfernt. Die Benachrichtigung selbst enthält keine Gesundheitsdaten.
• Wer bekommt, was die KI liest. Jede Antwort deiner KI wird von ihrem Anbieter erzeugt (Anthropic für Claude, OpenAI für ChatGPT, Google für Gemini), aus den Daten, die der Dienst dieses Anbieters auf deine Anfrage aus deiner Kopie gelesen hat. Was sie behalten und wie sie es nutzen, regeln die Bedingungen dieses Anbieters, nicht unsere. Wir senden von uns aus nichts an einen KI-Anbieter.
• Wie lange die Kopie aufbewahrt wird. Solange Cloud-MCP an ist, und nicht länger: Ein Tipp auf Trennen und Kopie löschen löscht den Spiegel sofort, zusammen mit jedem Token, jeder wartenden Schreibanfrage und jedem Push-Token, die zu ihm gehören. Ein Spiegel, der angelegt wurde, aber nie einen Push vom Handy erhalten hat, wird nach sieben Tagen gelöscht. Wenn du die App löschst, ohne vorher zu trennen, bleibt die Kopie, bis du uns bittest, sie zu entfernen (siehe Abschnitt 6). Wir können eine gelöschte App nicht von einem Handy unterscheiden, das nur offline ist. Das Widerrufen einer verbundenen KI stoppt ihre Lesezugriffe sofort.
• Server-Logs. Der Server von Cloud-MCP protokolliert eine Zeile pro Anfrage: die Methode, den Pfad, den Statuscode und die Zeit. Nie die Daten, nie ein Token. Diese Logs werden rotiert und innerhalb von 30 Tagen gelöscht.

Käufe

Marrow Pro wird über Apple verkauft. Apple wickelt Zahlung, Testphase, Verlängerungen, Kündigung und Rückerstattungen ab, und wir sehen nie deine Karte, deinen Namen oder deine Apple-ID. Die App prüft deine Berechtigung bei Apple auf dem Gerät. Wir betreiben keinen Kaufserver und führen keine Kaufunterlagen, die mit deiner Identität verbunden wären (siehe Abo-Analytics unten). Wenn die App mit unserem Lebensmitteldienst spricht, sagt sie, ob das Gerät Pro nutzt (ein Wort, damit der Dienst die richtige Tagesobergrenze anwenden kann), und welche App-Version es ist. Beides ist nicht mit dir verknüpft.

Abo-Analytics (RevenueCat)

Um zu sehen, wie Marrow Pro läuft (gestartete Testphasen, behaltene oder gekündigte Abos, Umsatz), meldet die App Kaufereignisse an RevenueCat, einen Analytics-Dienst für Abos. Das erhält er: die App-Store-Transaktion (welcher Tarif, wann, die Preisstufe und ob verlängert wurde), eine anonyme Kennung, die RevenueCat für die Installation erzeugt, und grundlegende Gerätedetails wie die iOS-Version und die App-Version. Er erhält weder deinen Namen noch deine E-Mail, Apple-ID oder irgendwelche Gesundheitsdaten, und wir nutzen ihn nicht für Werbung. Apple bleibt der Verkäufer. RevenueCat beobachtet nur die Transaktionen, die Apple bereits abgewickelt hat.

Eine Versionsprüfung

Jedes Mal, wenn Marrow in den Vordergrund kommt, lädt es eine winzige Datei von unserem Server, die sagt, welche App-Versionen noch unterstützt werden. Die Anfrage trägt keine Kennung. Sie nennt nur das Land des App Stores, bei dem dein Handy einkauft (zum Beispiel USA), damit die in der App gezeigten Preise zu deinem Store passen. Unser Server behält davon nichts außer dem gewöhnlichen Verbindungslog, das unten beschrieben ist. Liegt deine Version unter dem Minimum, zeigt die App einen Update-Bildschirm, statt zu laufen.

Apple Watch

Die Watch-App erhält die heutigen Summen, deine Ziele und deine letzten Mahlzeiten vom iPhone über Watch Connectivity von Apple und sendet das Wasser und die Mahlzeiten zurück, die du am Handgelenk einträgst. Dieser Datenverkehr bleibt zwischen deinen beiden Geräten. Die Uhr behält die letzten Werte für ihre Komplikationen. Sie liest nichts aus der Health-App auf der Uhr und hat keine Health-Berechtigung. Eine auf der Uhr diktierte Mahlzeit wird von watchOS in Worte umgewandelt und dann genauso behandelt wie eine getippte Beschreibung oben.

Übungsfotos

Die Fotos der Übungsbibliothek sind nicht mitgeliefert. Wenn du eine Übung öffnest, holt die App ihre zwei Fotos aus einem öffentlichen Open-Source-Repository, das auf GitHub gehostet wird (free-exercise-db). GitHub sieht eine gewöhnliche Bildanfrage von deiner IP-Adresse und sonst nichts: keine Kennung, keine Gesundheitsdaten und nichts über dein Training. Die Fotos werden danach auf dem Handy zwischengespeichert.

Mensa-Speisepläne (Marrow Pro)

Wenn du eine Hochschule wählst, lädt die App die veröffentlichten Speisepläne dieser Hochschule aus einer statischen Datei auf unserem Server. Deine Wahl der Hochschule wird auf deinem Gerät gespeichert. Die Anfrage trägt weder eine Kennung noch Gesundheitsdaten.

Eine zufällige Gerätekennung, nur zur Ratenbegrenzung

KI-Eintragen (Foto, Text und Sprache) kostet uns pro Anfrage Geld und ist deshalb pro Gerät und Tag begrenzt: drei pro Tag im kostenlosen Tarif, eine höhere Obergrenze bei Marrow Pro. Um Anfragen zu zählen, erzeugt die App beim ersten Scan eine zufällige Kennung, speichert sie in deinem Schlüsselbund und sendet sie mit Fotoanfragen. Sie ist nicht deine Apple-ID, nicht die Seriennummer deines Geräts, keine Werbe-ID und nicht aus irgendetwas über dich oder deine Hardware abgeleitet. Unser Server behält nur einen Zähler für den aktuellen Tag, und die Zeilen von gestern werden gelöscht, wenn der Tag wechselt. Sie wird nie geteilt und nie mit Gesundheitsdaten verbunden, weil wir nie Gesundheitsdaten erhalten.

Barcodes und Lebensmittelsuchen

Wenn du einen Barcode scannst oder nach einem Lebensmittel suchst, wird die Barcode-Nummer oder der Suchtext an Open Food Facts, eine offene Lebensmitteldatenbank, gesendet, um Markenprodukte nachzuschlagen. Es werden keine Kennung und keine Gesundheitsdaten mitgesendet. Marrow bringt außerdem eine USDA-FoodData-Central-Datenbank mit, die in die App eingebaut ist, sodass allgemeine Lebensmittel offline ganz ohne Netzwerkanfrage gefunden werden.

Alles, was du bewusst exportierst

Der Sinn von Marrow ist, dass du deine eigenen Daten mitnehmen kannst. Wenn du eine Datei exportierst, eine Automation ausführst, einen Server koppelst oder einen KI-Agenten über MCP verbindest, gehen deine Daten dorthin, wohin du sie schickst. Wenn du eine Automation auf deinen eigenen Server richtest, erhält dieser Server deine Gesundheitsdaten, und es gelten die Regeln seines Betreibers. Wir sind nicht Teil dieser Verbindung, wir sehen sie nicht, und wir können sie nicht für dich zurückholen. Wähle Ziele, denen du vertraust.

3. Was unser Server protokolliert

Der Lebensmitteldienst schreibt pro Anfrage eine Zeile mit: einem Zeitstempel, wie lange die Anfrage gedauert hat, dem HTTP-Statuscode, der Größe des Uploads in Bytes, dem Modellnamen, wie viele Lebensmittel erkannt wurden, und Token-Zahlen. Er protokolliert weder das Bild noch die erkannten Lebensmittel, noch deine Gerätekennung, noch deine IP-Adresse in Anwendungs-Logs, noch irgendwelche Gesundheitsdaten.

Diese Website. marrowhealthapp.com zählt Besuche mit Cloudflare Web Analytics: welche Seiten aufgerufen werden, von welcher Website der Besucher kam, sowie Browser, Gerätetyp und Land. Sie setzt keine Cookies, erstellt keinen Fingerabdruck und folgt dir nicht auf andere Websites. Die App sendet nichts dorthin.

4. Was wir nie tun

Das sind Zusagen, keine Voreinstellungen, die wir still ändern könnten. Dieser Abschnitt existiert teilweise, weil die App Store Review Guideline 5.1.3 von Apple Gesundheits-Apps regelt und wir uns ausdrücklich daran halten:

• Wir nutzen Gesundheitsdaten nie für Werbung. Marrow zeigt keinerlei Werbung, weder von uns noch von anderen.
• Wir verkaufen, vermieten oder tauschen deine Daten nie, weder an Datenhändler noch an andere.
• Wir geben Gesundheitsdaten nie für Marketing an Dritte weiter, und wir geben sie nie für deren eigene unabhängige Nutzung weiter.
• Wir speichern deine Gesundheitsdaten nie in iCloud.
• Wir nutzen Gesundheitsdaten nie für einen Zweck jenseits deines unmittelbaren Nutzens in der App, etwa für Forschung oder Profilbildung, ohne deine gesonderte Einwilligung.
• Wir betreiben kein Werbe- oder Tracking-SDK und keine Absturzberichte. Der eine Analytics-Dienst in der App, RevenueCat, sieht Kaufereignisse und nie Gesundheitsdaten. Marrow bittet nicht um die Berechtigung für App Tracking Transparency, weil es dich nicht trackt.
• Wir verlangen kein Konto, deshalb haben wir keine E-Mail-Adresse, kein Passwort und kein Profil von dir.

5. Berechtigungen für Apple Health

Marrow liest aus Apple Health nur die Kategorien, die du freigibst, und iOS steuert das vollständig. Du kannst jede Kategorie jederzeit unter Einstellungen, Datenschutz & Sicherheit, Health, Marrow einsehen oder widerrufen. Marrow schreibt auch zurück in Apple Health, etwa Essen, das du einträgst, und Workouts, die du aufzeichnest, wenn du es erlaubst. Wenn du eine verbundene KI für dich eintragen lässt, werden die Einträge, die sie auf deine Bitte hinzufügt (einschließlich Schlaf, Symptome und State of Mind), genauso geschrieben, und nur für die Typen, die du erlaubst. Das Widerrufen einer Berechtigung stoppt neue Lesezugriffe sofort. Daten, die schon in die lokale Datenbank von Marrow synchronisiert wurden, bleiben dort, bis du sie oder die App löschst.

6. Deine Daten löschen

Lösche die Marrow-App, und alles, was sie gespeichert hat, wird mit gelöscht, da es sich komplett in der Sandbox der App befindet. Es gibt kein serverseitiges Konto zu schließen. Die einzige Ausnahme ist die optionale Kopie von „KI verbinden“: Tippe auf der Karte „Cloud-MCP“ auf Trennen und Kopie löschen, bevor du die App löschst, und die Kopie ist sofort weg. Wenn du die App schon gelöscht hast und Cloud-MCP noch an war, schreibe uns an die Adresse unten mit deinem Link (dem Link von der Karte „Cloud-MCP“, falls du ihn noch hast) oder dem ungefähren Datum, an dem du Cloud-MCP eingeschaltet hast, und wir löschen die Kopie innerhalb von 30 Tagen. Wir können sie nicht über deinen Namen finden, weil die Kopie keinen enthält. Daten in Apple Health gehören zu Apple Health und werden in der Health-App verwaltet. Daten, die du an deine eigenen Ziele exportiert hast, kannst du dort selbst löschen. Dateien, die du auf deine eigenen Geräte exportiert hast, gehören ebenfalls dir.

7. Sicherheit

Alle Netzwerkanfragen nutzen TLS. Gekoppelte Server und der MCP-Server auf dem Gerät werden mit Bearer-Tokens authentifiziert, die auf deinem Gerät erzeugt und im Schlüsselbund gespeichert werden. Der Server auf dem Gerät wird ausgeschaltet ausgeliefert und bindet sich nur an dein lokales Netzwerk, wenn du ihn einschaltest, und du kannst ein Token widerrufen, indem du die Kopplung des Servers in der App aufhebst. „KI verbinden“ funktioniert umgekehrt: Seine Tokens sind OAuth-Tokens, die unser Cloud-MCP-Server an die KI ausstellt, die du genehmigt hast (mit PKCE, kurzen Laufzeiten und Erneuerung), auf dem Server als Hash gespeichert, und jedes davon wird durch „Trennen“ widerrufen. Um ein Sicherheitsproblem zu melden, schreibe an die Adresse unten mit „Security“ im Betreff oder sieh security.txt.

8. Kinder

Marrow richtet sich nicht an Kinder unter 13 Jahren, und wir erheben wissentlich keine Informationen von ihnen. Wir haben keine Konten und können daher das Alter von Nutzern nicht feststellen.

9. Deine Rechte

Nach Gesetzen wie der DSGVO und dem CCPA hast du Rechte auf Auskunft, Berichtigung, Löschung und Übertragung deiner personenbezogenen Daten sowie das Recht, bestimmter Verarbeitung zu widersprechen. Die Architektur von Marrow erfüllt diese von Haus aus: Deine Daten sind schon in deinem Besitz, jederzeit in offenen Formaten exportierbar und durch Löschen der App löschbar. Wir verkaufen keine personenbezogenen Informationen, es gibt also nichts, wofür man sich abmelden könnte. Wenn du glaubst, dass wir etwas über dich haben, und es entfernt haben möchtest, schreibe an [email protected], und wir handeln innerhalb von 30 Tagen.

10. Änderungen

Wenn sich diese Erklärung so ändert, dass es betrifft, was dein Gerät verlässt, aktualisieren wir das Datum oben und beschreiben die Änderung in den Versionshinweisen der App. Die weitere Nutzung nach einer Änderung bedeutet, dass du die aktualisierte Erklärung akzeptierst.

11. Kontakt

Marrow Health LLC
[email protected]