Datenschutzerklärung

Stand: 19. Oktober 2026 · gilt für AI Cockpit für iPhone, iPad und Apple Watch. Die Fassungen für macOS und Windows sind eigene Programme mit eigener Erklärung.

Geschrieben für Fassung 2.18, seit dem 19. Oktober 2026 im App Store. Aussagen mit «ab 2.18» gelten für diese und spätere Fassungen; alles andere galt schon für frühere Fassungen.

Wofür diese Erklärung gilt

Sie gilt für die App AI Cockpit für iPhone auf iPhone und iPad sowie für ihre Ausgabe für die Apple Watch, die im selben Programm mitgeliefert wird. Für die macOS- und die Windows-Fassung gilt eine eigene Erklärung — die Fassungen sind verschiedene Programme auf verschiedenen Systemen, und diese Seite beschreibt ausschliesslich die iOS- und watchOS-Fassung.

Welche Daten erhoben werden

Keine. Der Anbieter dieser App erhebt keinerlei Daten, weder personenbezogen noch anonym. Es gibt keinen Server, der etwas entgegennehmen könnte, und in der App steckt kein fremder Baustein zur Messung, Werbung oder Fehlerberichterstattung. Die Datenschutzangaben der App (Privacy Manifest) nennen keine erhobenen Daten und keine Verfolgung.

Was die App nicht tut

• Keine Werbung und keine Werbekennung.
• Keine Analyse, keine Nutzungsstatistik, keine Absturzberichte an Dritte.
• Kein Kauf und kein Abonnement — nur ein freiwilliges Trinkgeld über Apple, das nichts freischaltet.
• Kein Zugriff auf Standort, Kontakte, Fotos, Kalender, Mikrofon oder Kamera; die App fragt keine dieser Berechtigungen an.
• Kein eingebauter Browser: Anmeldungen laufen im geschützten Anmeldefenster des Systems, Verweise öffnen sich in deinem Browser.
• Keine Weitergabe an Dritte und kein Datenhandel.

Wohin die App Verbindungen aufbaut

Ausschliesslich zu den Diensten, deren Zahlen sie anzeigt — direkt, ohne Zwischenstation:

Alle Verbindungen laufen über HTTPS. Die App folgt keinen Weiterleitungen, speichert keine Cookies und legt keinen Zwischenspeicher für Webseiten an.

Das Widget fragt diese Adressen ab Fassung 2.11 auch selbst ab — für die Dienste, die du eingerichtet hast, und nur für das, was es gerade zeigt —, damit es nicht darauf warten muss, dass jemand die App öffnet. Es benutzt dafür dieselben Schlüssel und dieselben Verbindungen wie die App. Bis Fassung 2.11 erneuert es nie eine Anmeldung; ab Fassung 2.12 erneuert es eine abgelaufene Anmeldung bei Claude oder ChatGPT selbst — beim selben Anbieter und auf demselben Weg wie die App. Ab 2.12 darf iOS die App ausserdem ab und zu im Hintergrund wecken, damit sie die Zahlen holt. Dabei entstehen keine anderen Verbindungen als die oben genannten. Bis Fassung 2.9 fragte das Widget selbst nur die Nutzungsfenster bei api.anthropic.com ab. Mehr Adressen gibt es nicht.

Die Live-Aktivität (Sperrbildschirm und Dynamic Island, ab Fassung 2.14 mit bis zu vier Balken) wird auf dem Gerät aus denselben Zahlen gezeichnet. Sie braucht kein Push-Token, also aktualisiert sie nie ein Server; ihre Zahlen bewegen sich nur, wenn die App gelaufen ist.

Diagnose und Abrufprotokoll (ab 2.18)

Unter Einstellungen › Konten › Diagnose zeigt die App je Anbieter, ob die letzten Abrufe geklappt haben. Dafür führt sie auf dem Gerät ein Abrufprotokoll, im Ablageort, den App und Widget teilen. Ein Eintrag enthält: den Zeitpunkt, den Anbieter, welcher Teil der App abgerufen hat (App, Widget, Hintergrundlauf), die Methode, den Pfad der Adresse (gekürzt, Kennungen geschwärzt), den Zeitraum, falls es einen gibt, den Status, die Dauer, die Grösse, den Inhaltstyp, eine Anfragekennung, wenn der Anbieter eine nennt, und das Ergebnis. Bei einem fehlgeschlagenen Abruf steht dazu eine kurze Skizze der Struktur vom Ende der Antwort — nur Klammern und Anführungszeichen; jeder Text und jede Zahl wird durch einen Platzhalter ersetzt.

Nie darin: Schlüssel, Token, Kopfzeilen oder der Text einer Antwort. Das Protokoll hält höchstens 200 Einträge je Teil der App und ersetzt die ältesten zuerst.

Die App sendet nichts aus diesem Protokoll. Der «Bericht für den Support» ist ein Text, den du kopieren oder über das Teilen-Blatt von iOS an eine andere App weitergeben kannst; er verlässt das Gerät nur, wenn du das tust. Er enthält Angaben zu Fassung und System (etwa iOS-Version, Sprache, Zeitzone und ob Mitteilungen erlaubt sind), den Stand jedes Anbieters und die letzten Protokolleinträge. Kennungen, die wie Schlüssel, Organisations- oder Projektkennungen oder E-Mail-Adressen aussehen, werden geschwärzt, und Beträge fehlen, solange du sie nicht einschaltest.

Wo deine Zugangsdaten liegen

Im Schlüsselbund deines Geräts — dort, wo iOS auch Passwörter verwahrt: bis zu drei Anmeldungen (zwei Claude-Konten und ChatGPT) und die API-Schlüssel, unter einem eigenen Dienstnamen der App und getrennt von der Mac-Fassung. Sie verlassen das Gerät nur, um sich bei dem Dienst anzumelden, für den sie gedacht sind. Die Kontenseite zeigt, dass ein Schlüssel hinterlegt ist, und höchstens seine letzten vier Zeichen.

Ein Punkt, der dazugehört: Die Einträge sind so abgelegt, dass sie nach der ersten Entsperrung des Geräts lesbar sind (kSecAttrAccessibleAfterFirstUnlock). Das ist nötig, damit das Widget die Zahlen auch bei gesperrtem Bildschirm aktualisieren kann. Die strengere Alternative würde bedeuten, dass das Widget nach jedem Neustart leer bleibt.

Bei der Anmeldung sieht die App dein Passwort nie: Sie öffnet die Anmeldeseite des Anbieters und bekommt von dort nur einen Zugriffsschlüssel.

Apple Watch

Die App bringt eine Ausgabe für die Apple Watch mit. Diese hält keinerlei Zugangsdaten: Sie bekommt von deinem gekoppelten iPhone ausschliesslich fertig berechnete Zahlen (Prozentwerte, Zeitpunkte) über Apples geräteinterne Watch-Connectivity-Verbindung — nie einen Schlüssel, nie ein Passwort, nie ein Anmeldetoken. Die Uhr baut selbst keine Verbindung zu den oben genannten Diensten auf. Das gilt auch für beide Komplikationen, die bisherige und die einstellbare (ab 2.11): Sie zeigen nur, was das iPhone fertig berechnet geschickt hat.

Trinkgeld

Die App bietet einen freiwilligen In-App-Kauf an. Er läuft über Apple, nicht über den Anbieter dieser App — Name, Adresse und Zahlungsdaten bekommt dieser nie zu sehen; von Apple erhält er nur eine Abrechnung über Summen. Auf dem Gerät bleibt eine einzige Angabe zurück: dass gegeben wurde, damit die App nicht nochmals fragt. Der Kauf schaltet nichts frei.

Was sonst auf dem Gerät liegt

All das bleibt im eigenen Speicher der App und im Ablageort, den App und Widget teilen. Nach iCloud wird nichts geschrieben.

• Deine Einstellungen — Erscheinungsbild, Schwellenwerte, Kartenreihenfolge, welche Hinweise du wünschst, wie oft jede Quelle geholt wird.
• Was das Widget zeichnet: Beschriftung, angezeigter Wert (Prozent, Kosten oder Kontostand), Zeitpunkt der Zurücksetzung und wann die Zahlen erhoben wurden — dazu, was das Widget für sein eigenes Nachladen braucht (welche Karten es zeigt, wann ein Dienst zuletzt gedrosselt hat). Keine Schlüssel, keine Token.
• Ein Vermerk, welche Hinweise bereits gemeldet wurden — damit derselbe Hinweis nicht bei jedem Blick erneut erscheint.
• Die Wochenspitzen deiner Claude-Konten (ab 2.15, für den Abo-Check): je Konto der höchste Prozentwert jeder letzten Woche, mit Zeitpunkten. Keine Namen.
• Deine Verlängerungsdaten (ab 2.16): je Abo das Datum und der Rhythmus, die du eingetragen hast, wie viele Tage vorher du die Erinnerung willst und welche Erinnerungen schon vorgeplant sind.
• Deine Reset-Wecker (ab 2.16): je Glocke das Fenster, seine Beschriftung wie «Claude 2», die Reset-Zeit und wann du sie gestellt hast.
• Das Gedächtnis des Tagesanteils (ab 2.16): je Wochenfenster der erste Prozentwert des Tages, die Resttage und die Reset-Zeit.
• Deine Ruhezeiten (ab 2.16): an oder aus, von und bis, ob der Kosten-Alarm durchdarf, und bis wann «Pause bis morgen» gilt.
• «Dein KI-Monat» (ab 2.16): für bis zu 13 Monate je Quelle und Monat die Abo-Gebühr, die du eingetragen hast, die API-Kosten des Monats, der Schnitt der Wochenspitzen und wann das erfasst wurde. Quellen sind feste Kennungen wie «claude», «claude2», «chatgpt», «openai», «anthropic» — keine Kontonamen, keine Schlüssel. Das Teilen des Blatts als Bild lässt Kontonamen weg und geschieht nur, wenn du es antippst.
• OpenAI-Kostentage (die App führte sie schon früher; ab 2.18 in einem eigenen Speicher, der ältere Verlauf zieht zuerst dorthin um): je Tag die Beträge, die OpenAI gemeldet hat, die Währung und wann der Tag geholt wurde, dazu Tage, die OpenAI nicht lesbar lieferte, mit kurzem Grund und der Anfragekennung von OpenAI — und die Namen deiner OpenAI-Projekte mit der Zahl der Schlüssel in jedem. Der Admin-Schlüssel steht nicht darin, nur ein Prüfwert, der verschiedene Schlüssel auseinanderhält. Tage, die älter als 400 Tage sind, fallen weg.
• Das oben beschriebene Abrufprotokoll (ab 2.18).

Nichts davon verlässt das Gerät.

Mitteilungen

Die App kann dich benachrichtigen. Alle Hinweise entstehen auf dem Gerät; es gibt keinen Server, der sie verschickt. Sie erscheinen erst, wenn du Mitteilungen in iOS erlaubt hast. Diese Erlaubnis erfragt die App nur, wenn du einen Hinweis einschaltest oder etwas antippst, das sie braucht, etwa eine Glocke.

• Standardmässig an (aber stumm, bis du Mitteilungen erlaubst): ein Fenster, das sich ausserplanmässig zurücksetzt (ab 2.14), der Kosten-Alarm bei ungewöhnlichen Ausgaben (ab 2.14) und «Dein KI-Monat» am Monatsersten ab 9:00 Uhr (ab 2.16).
• Standardmässig aus: ein erreichtes Limit, die Vorwarnung, wenn sich ein Fenster bald füllt, und ein neu beginnendes Fenster.
• Erinnerungen an Verlängerungen (ab 2.16): Sie gibt es nur für die Daten, die du einträgst. Ein bis sieben Tage vorher (Standard drei) um 9:00 Uhr, mit dem Betrag.
• Reset-Wecker (ab 2.16): einmalig. Tippe auf die Glocke neben einem Fenster, und die App meldet sich, sobald es wieder frei ist; ein zweiter Tipp nimmt ihn zurück.
• Ruhezeiten (ab 2.16): standardmässig aus. Eingeschaltet halten sie Hinweise in der Nacht zurück (von 22 bis 7 Uhr, wenn du es nicht änderst); «Pause bis morgen» schaltet alles ausser den Weckern stumm. Den Kosten-Alarm kannst du durchlassen.

Löschen

In den Einstellungen steht zuunterst «Abmelden und alles löschen». Das entfernt alle Anmeldungen, alle hinterlegten Schlüssel, sämtliche Einstellungen und die zwischengespeicherten Zahlen — auch was das Widget für sein eigenes Nachladen gespeichert hat, die Wochenspitzen, Verlängerungsdaten, Reset-Wecker, das Gedächtnis des Tagesanteils, die Ruhezeiten, das Monatsbuch und schon vorgeplante Mitteilungen. Ab 2.18 räumt es auch die OpenAI-Kostentage, die Projektnamen und das Abrufprotokoll; klappt das nicht gleich ganz, holt die App es beim nächsten Start nach. Der Vermerk, dass ein Trinkgeld gegeben wurde, fällt ebenfalls weg — irgendwann fragt die App also wieder. Danach ist die App im Auslieferungszustand. Löschst du die App, ist ebenfalls alles weg. Schlüssel, die du löschst, bleiben beim Anbieter gültig, bis du sie dort widerrufst.

Deine Rechte

Da keine Daten erhoben werden, gibt es beim Anbieter dieser App nichts, worüber er Auskunft geben könnte, und nichts zu berichtigen oder zu löschen. Für die Daten in deinen Konten bei Claude, OpenAI, Anthropic, Moonshot, OpenRouter, xAI, GitHub und DeepSeek gelten deren eigene Datenschutzerklärungen.

Verantwortlich

Siehe das Impressum · Kontakt.

Keine Verbindung zu den Anbietern

AI Cockpit für iPhone ist ein unabhängiges Programm und steht in keiner Verbindung zu Anthropic, OpenAI, Moonshot AI, OpenRouter, xAI, GitHub oder DeepSeek. Die genannten Namen dienen ausschliesslich der Beschreibung, welche Dienste die App auslesen kann.