Epimelea

Datenschutzerklärung

Auf dieser Seite steht, welche Daten wir haben und welche nicht. Und was mit dem geschieht, was Sie in der App schreiben. Der Text ist in gewöhnlichen Worten geschrieben, denn lesen müssen ihn Sie und nicht nur eine Anwältin.

Letzte Änderung: 8. Oktober 2026. Kontakt: hello@epimelea.com.

Kurz gesagt

Bei Epimelea gibt es kein Konto im gewohnten Sinn: keine E-Mail-Adresse, keine Telefonnummer, keinen Namen, kein „Anmelden mit Google“. Stattdessen haben Sie einen Schlüssel. Alles, was Sie schreiben, wird auf Ihrem Gerät verschlüsselt und nur verschlüsselt gespeichert. Lesen können wir es nicht.

Verschlüsselt ist nicht alles, und wir sagen das deutlich. Die Therapie führt ein Sprachmodell, das auf den Servern eines anderen Unternehmens läuft. Der Text einer Begegnung erreicht dieses Modell unverschlüsselt. Wenn Sie sprechen, geht das Gesprochene an das Unternehmen, das es in Text umwandelt. Deshalb versprechen wir nicht, dass Ihr Text Ihr Gerät nie verlässt. Unser Versprechen ist enger: außer auf Ihrem Gerät liegt Ihr Text nur auf den Servern dieser Unternehmen, und dort höchstens dreißig Tage.

Welche Daten wir haben

Nichts, woran man Sie erkennen kann. Wir haben weder Ihre E-Mail-Adresse noch Ihre Telefonnummer, Ihren Namen oder Ihre Kartennummer. In unserer Datenbank gibt es dafür nicht einmal Felder. Das ist Absicht: So kann sie niemand eines Tages „für alle Fälle“ ausfüllen.

Ihr Konto ist ein Archivname aus zwei Wörtern, etwa quiet-harbor. Den Namen selbst speichert der Server nicht. Er speichert einen Fingerabdruck davon, einen Wert zur Prüfung Ihres Passworts und Kopien Ihres Verschlüsselungsschlüssels in versiegelten Hüllen. Diese Hüllen öffnen nur Ihr Passwort, Ihr Wiederherstellungscode oder Ihr Gerät. Ihr Passwort erreicht uns nie: Die App leitet daraus zwei verschiedene Werte ab, sendet den einen als Nachweis und behält den anderen, der den Schlüssel öffnet.

Solange Sie Ihr Archiv nicht gesichert haben, legt die App Passwort und Wiederherstellungscode selbst an. Sie liegen nur auf Ihrem Gerät: auf dem iPhone im Schlüsselbund, auf Android im Speicher von Google (Block Store), im Browser unter einem Schlüssel, der sich nicht aus ihm herausholen lässt. Mit einer Kopie im iCloud-Schlüsselbund oder einer Google-Sicherung kann der Eintrag verschlüsselt auf Ihr neues Telefon umziehen, an uns wird er aber nicht übermittelt. Ist das Gerät verloren oder sind die Browserdaten gelöscht und das Archiv nicht gesichert, gibt es nichts mehr, womit es sich öffnen lässt.

Ihr Archiv ist für uns verschlüsselte Daten. Begegnungen, Einträge im Notizbuch, Materialien, die Sie mitbringen, die Therapienotizen: alles auf Ihrem Gerät mit einem Schlüssel verschlüsselt, den wir nicht haben. Wir können es nicht lesen, nicht herausgeben und nicht wiederherstellen. Sind Passwort und Wiederherstellungscode beide verloren, ist das Archiv verloren. Niemand kann dabei helfen. So ist das Produkt gebaut, und es ist keine Entscheidung im Einzelfall.

Wozu wir es speichern. Damit Jahre der Arbeit nicht an einem einzigen Gerät hängen. Die maßgebliche Kopie des Archivs liegt bei uns, auf dem Gerät liegt eine Arbeitskopie. Ein Telefon kann verloren gehen, ins Wasser fallen oder gegen eines auf einer anderen Plattform getauscht werden, und die Geschichte bleibt. Das ist der einzige Zweck der Speicherung: Wir bewahren Chiffretext auf, um ihn Ihnen zurückzugeben, wenn Sie sich mit Archivnamen und Passwort anmelden.

Betriebsdaten, ohne Gesprächsinhalte. Damit der Dienst läuft und nicht endlos kostenlos genutzt werden kann, speichern wir einige Angaben. Sie stehen neben dem Fingerabdruck Ihres Archivnamens und nie neben Ihrem Text:

Cloudflare, wo der Dienst läuft, sieht die IP-Adressen eingehender Anfragen, wie jede Web-Infrastruktur. Mit Ihrem Archiv verknüpfen wir sie nicht.

Fehlerberichte. Wenn die App oder der Server auf einen Fehler stößt, geht ein Bericht an Sentry, einen Dienst, der Abstürze sammelt. Darin stehen die Art des Fehlers, die Stelle im Code, die App-Version und die Form der fehlgeschlagenen Anfrage: die Route, aus der alle Kennungen entfernt sind. Er enthält keinen Ihrer Texte, keine Bildschirmfotos, keine Aufzeichnung des Bildschirms, keinen Archivnamen und keine IP-Adresse. Mit Ihrem Archiv sind diese Berichte nicht verknüpft. Ein Feld dafür, wer Sie sind, gibt es in ihnen nicht.

Wo die Verschlüsselung endet

Um Ihnen zu antworten, muss das Modell Sie lesen. Während einer Begegnung stellt der Server den jüngsten Teil Ihres Gesprächs zusammen, sendet ihn an den Anbieter des Modells und gibt die Antwort zurück. Ihr Archiv auf der Festplatte bleibt verschlüsselt, aber der gesendete Text ist auf dem Weg und beim Anbieter lesbar.

Die Begegnungen führt OpenAI. Antwortet OpenAI nicht, geht dieselbe Anfrage an Google: Ein Gespräch, das wegen einer fremden Störung abbricht, hilft niemandem. Für beide gelten dieselben Bedingungen. In unseren Konten ist die Speicherung des Verlaufs abgeschaltet, jede Anfrage trägt die Markierung „nicht speichern“, und zum Training wird sie nicht verwendet.

Eines können wir nicht ändern: Der Anbieter behält eine Kopie eine Zeit lang, um Missbrauch zu erkennen. Bei OpenAI sind das bis zu dreißig Tage, eben die dreißig Tage aus dem Versprechen oben. Wir wollen Bedingungen vereinbaren, die diese Aufbewahrung ganz ausschließen. Solange sie nicht unterschrieben sind, berufen wir uns nicht darauf.

Wenn Sie die Stimme nutzen, kommen zwei weitere Unternehmen hinzu. Von Ihrem Gerät geht nichts direkt dorthin; die Verbindung stellt unser Server her. Was Sie sagen, schreibt ElevenLabs in Text um. Die Antworten des Modells spricht Cartesia.

Dieselbe Anfrage, die eine Transkription erzeugt, löscht sie auch wieder aus dem Verlauf von ElevenLabs. Ist der Eintrag dort noch nicht angelegt, wiederholen wir die Löschung. Bei Cartesia lässt sich das Gesprochene nicht löschen, und wir versprechen es deshalb nicht. Die Sicherungskopien beider Unternehmen sind für uns nicht erreichbar.

Qualitätsprüfung

Die Qualität der Therapie prüfen wir so, dass daraus kein Mitlesen Ihrer Gespräche wird.

Automatische Bewertung. Ein Teil der Begegnungen wird kurz nach dem Ende bewertet. Ein eigenes Modell beurteilt anhand eines Rasters, wie das Gespräch geführt wurde. Der Text geht dafür an einen der schon genannten Anbieter, ein neuer Empfänger kommt also nicht hinzu. Die Markierung ist dieselbe: nicht speichern. In unserer Datenbank bleiben davon nur Punkte, Markierungen und Versionen, kein Wort aus dem Gespräch.

Gelesen wird von einem Menschen nur mit Ihrer Zustimmung. Standardmäßig ist das ausgeschaltet. Sie schalten es ein und können es jederzeit wieder abschalten. Wir sagen es deutlich: Ein therapeutisches Gespräch lässt sich nicht vollständig anonymisieren. Namen kann man entfernen, Lebensumstände nicht. Der Widerruf beendet den weiteren Zugriff, aber bereits Gelesenes wird nicht ungelesen.

In das Training von Modellen fließen Ihre Gespräche nicht, weder mit Zustimmung noch ohne. Wir verwenden sie nicht zum Training und geben sie dafür an niemanden weiter. Bei den Modellanbietern arbeiten wir in einem Modus, in dem Anfragedaten nicht für das Training verwendet und nicht in einem Verlauf gespeichert werden. Auch die oben beschriebene Dreißig-Tage-Kopie fließt nicht in das Training: Sie liegt dort für den Fall einer Missbrauchsprüfung und wird danach gelöscht.

Bezahlung

Zahlung und Inhalt sind schon im Aufbau getrennt: Die Zahlungsseite weiß, wer bezahlt hat, und kennt keine einzige Zeile Ihrer Therapie.

Ihr Archivname wird niemals an einen Zahlungsdienst übermittelt. Vor einem Kauf holt die App bei uns einen einmaligen Code. Er reist mit der Zahlung mit und kommt mit dem Beleg zurück, und nur wir können ihn mit Ihrem Archiv verknüpfen. Der Zahlungsdienst, also Apple, Google oder Creem, weiß, was er für die Zahlung selbst braucht. Bei Creem gehört dazu Ihre E-Mail-Adresse; uns erreicht sie nie. Der Kauf über den App Store oder Google Play ist der privateste Weg: Ihre E-Mail-Adresse sehen wir überhaupt nicht. Den vollständigen Inhalt der Zahlungsbenachrichtigungen speichern wir nicht.

Löschung

Das Löschen eines Gesprächs, einer Begegnung oder des ganzen Kontos zerstört die Schlüssel und die Daten selbst, statt sie als verborgen zu markieren. Ist der Schlüssel zerstört, kann niemand mehr entschlüsseln, was auf der Festplatte bleibt, auch wir nicht. Jede Betriebsnotiz mit Ihrem Fingerabdruck wird gelöscht. Das Konto überdauern nur zwei Dinge: die Tagessummen der Kosten, in denen niemandes Fingerabdruck steht, und der Zähler der Archive, die mit einer Gerätemarke angelegt wurden. Aus den Sicherungskopien verschwindet das Gelöschte binnen zwei Wochen.

Bevor Sie etwas löschen, können Sie Ihr Archiv als Ordner gewöhnlicher Textdateien exportieren, die sich in jedem Editor öffnen lassen. Jahre der Arbeit sollten ein neues Telefon, einen Wechsel der Plattform und das Ende dieses Projekts überstehen.

Wie lange wir speichern. Begegnungen, Notizen, Themen und das Porträt bleiben, solange Ihr Archiv besteht. Wir selbst löschen sie nie. Bei Materialien, die Sie in eine Begegnung mitbringen, ist es anders: Sie sind schwer, und ein verlassenes Archiv würde sie für immer auf unsere Kosten aufbewahren. Hatten Sie nie ein Abonnement, löschen wir mitgebrachte Materialien, die älter als drei Monate sind. Endete Ihr Abonnement vor mehr als einem halben Jahr, löschen wir mitgebrachte Materialien, die älter als zwei Jahre sind. Solange Ihr Zugang offen ist, löschen wir nichts. Was in der Begegnung darüber gesagt wurde, bleibt; nur die Datei selbst geht.

Wer für Ihre Daten einsteht

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, Republik Moldau. Schreiben Sie an hello@epimelea.com; die vollständigen Angaben stehen im Impressum.

Das Wenige, das oben steht, verarbeiten wir, um den Dienst zu erbringen, für den Sie gekommen sind. Rechtsgrundlage dafür ist unser Vertrag mit Ihnen.

Der Text einer Begegnung sagt etwas über Ihre Gesundheit. Deshalb verarbeiten wir ihn nur mit Ihrer ausdrücklichen Einwilligung. Sie erteilen sie, wenn Sie eine Begegnung beginnen, und widerrufen sie, indem Sie die Begegnung oder das ganze Archiv löschen. Der Widerruf gilt ab dem Zeitpunkt, an dem Sie ihn erklären.

Die oben genannten Unternehmen sitzen in den USA und in anderen Ländern außerhalb der Europäischen Union, wir selbst in der Republik Moldau. Ihre Daten verlassen die Union also. Das geschieht, weil die Begegnung sonst nicht stattfinden kann und weil Sie ausdrücklich eingewilligt haben.

Sie können eine Kopie Ihrer Daten verlangen, sie berichtigen oder löschen lassen, die Verarbeitung einschränken, ihr widersprechen und Ihre Einwilligung widerrufen. Das meiste davon tun Sie selbst: das Archiv exportieren, eine Begegnung löschen, das ganze Archiv löschen. Für alles Übrige schreiben Sie uns. Eine Grenze setzt die Bauweise: Das Archiv ist mit Ihrem Schlüssel verschlüsselt, und ohne Ihr Passwort können wir es Ihnen weder zeigen noch berichtigen.

Wenn Sie in der Europäischen Union leben und meinen, wir verletzen Ihre Rechte, können Sie sich bei der Datenschutz-Aufsichtsbehörde Ihres Landes beschweren.

Keine medizinische Leistung

Epimelea ist keine medizinische Leistung und ersetzt keine Psychiaterin, keine Diagnose und keine Behandlung. Es ist keine Notfallhilfe. Wenn Sie gerade jetzt in Gefahr sind, rufen Sie den örtlichen Notruf oder eine Krisenhotline an; die Nummern für Ihr Land finden Sie in der App.

Kinder

Der Dienst ist nicht für Menschen unter 18 Jahren bestimmt.

Änderungen

Diese Erklärung kann sich ändern. Über wesentliche Änderungen informieren wir in der App selbst und auf der Website. Schreiben können wir Ihnen nicht, weil wir Ihre E-Mail-Adresse nicht haben. Das Datum der letzten Änderung steht immer oben auf dieser Seite.

Deutsch