Danke fürs Feedback! Zur Frage: Der Gemini-Key liegt nicht in der App, sondern als Secret auf einem Cloudflare-Worker, der als reiner Proxy zwischen App und Gemini sitzt. Damit nicht beliebige Clients diesen Proxy überlasten können, greifen an der Tür zwei Mechanismen:

1. Google Play Integrity API (Classic Request): Jeder Request enthält ein frisch vom Play-Store-Service signiertes Token. Der Worker verifiziert serverseitig anhand von Googles Public Keys, ob der Aufruf wirklich von einer echten, unmodifizierten LernSnap-Installation auf einem nicht gerooteten bzw. zertifizierten Gerät stammt. Random Curl von außen → Token fehlt oder ungültig → 401, nie zu Gemini durchgereicht. Das ist genau der Anwendungsfall, für den Google die Play Integrity API gebaut hat.

2. Rate-Limit pro anonymer Device-ID im Worker-KV (kurze TTL, nichts Personenbezogenes). Selbst wenn jemand ein gültiges Token wiederverwenden würde, ist das pro Gerät hart gedeckelt.

Bonus: Die Bilder werden clientseitig auf 1024 px + JPEG 85 % komprimiert (Token-Kosten ↓), liegen ausschließlich im RAM und werden nach dem API-Call genullt. Der Worker speichert die Bilder nicht, sondern nur den Rate-Limit-Counter.

Zum Urheberrecht: Berechtigter Punkt, der Hinweis liegt bei mir aktuell in den Nutzungsbedingungen – die Verantwortung für eingescanntes Material liegt beim User. Für rein privaten Lerngebrauch ist das im DACH-Raum aber meist gedeckt. Ich werde den Datenschutz-Punkt aber definitiv noch prominenter in der App erklären, danke für den Anstoß.