Datenschutzerklärung

Zuletzt aktualisiert: 3. Oktober 2026

Diese Seite ist eine Übersetzung, damit sich das Dokument in deiner eigenen Sprache lesen lässt. Das Original ist die englische Fassung; wo beide voneinander abweichen, ist der englische Text maßgeblich.

Whisprompt ist von Grund auf auf Datenschutz gebaut. Diese Erklärung sagt, was wir tun — und, genauso wichtig, was wir nicht erheben. Sie gilt für jede Whisprompt-App — auf Telefon, Tablet, Uhr, Fernseher und Mac — und für diese Website. Wo etwas nur für eines davon gilt, steht es dabei.

1. Wer verantwortlich ist (Verantwortlicher)

Leonid Kabanov (autónomo), Spanien. Kontakt: support@whisprompt.app. Die vollständigen Angaben stehen im Impressum. Wir sind in Spanien niedergelassen und damit innerhalb der Europäischen Union, weshalb Art. 27 DSGVO — der einen Vertreter in der Union verlangt — auf uns nicht anwendbar ist. Wir haben keinen Datenschutzbeauftragten benannt und sind dazu auch nicht verpflichtet: Whisprompt ist keine öffentliche Stelle, überwacht Menschen nicht regelmäßig und systematisch in großem Umfang, und besondere Kategorien personenbezogener Daten erreichen uns überhaupt nicht. Die Aufsichtsbehörde unserer Niederlassung ist die Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Daten, die auf deinem Gerät verarbeitet werden

• Ton vom Mikrofon. Wird live aufgenommen, für die Sprachverfolgung und (wenn du aufnimmst) für das Video. Er geht an die Spracherkennungs-Engine, die in deinem Telefon eingebaut ist — die von Apple unter iOS, die von Google unter Android —, und die kann ihn je nach Gerät, Sprache und deinen Einstellungen auf den Servern dieser Plattform verarbeiten, zu deren eigenen Datenschutzbedingungen. Installier ein Offline-Sprachpaket, und die Erkennung passiert vollständig auf dem Gerät, ganz ohne Netz. In beiden Fällen erreicht der Ton uns nie: Wir betreiben keine Sprachserver, und auf keinem Server von uns liegt eine Aufnahme. Die Videodateien, die du selbst sicherst, bleiben auf deinem Gerät oder in deinem eigenen Cloud-Speicher.
• Deine Texte und Einstellungen. Werden lokal auf deinem Gerät gespeichert (und, wenn du es einschaltest, in deinem persönlichen Cloud-Speicher, für den die Datenschutzbedingungen dieses Anbieters gelten). Überträgst du den Prompter auf deine anderen Geräte, reist der Text verschlüsselt zwischen ihnen — siehe Abschnitt 5.
• Heruntergeladene Sprachmodelle. Liegen auf deinem Gerät. Ein Modell herunterzuladen ist eine direkte Anfrage an den Host des Modells; wir hängen keine Identität daran.

3. Daten, die von Diensten verarbeitet werden, die du verbindest

Einige optionale Funktionen verbinden sich mit Diensten, die du autorisierst. Wir handeln dabei nur als dein Client; jeder Anbieter ist ein eigener Verantwortlicher nach seiner eigenen Erklärung:

• Notion und Dokumente, die du öffnest. Verbindest du Notion, liest Whisprompt die Seiten, die du auswählst, als schreibgeschütztes Spiegelbild — mit dem Zugriff, den du erteilst. Öffnest du eine Datei von deinem Gerät oder aus einem Cloud-Dienst, wird sie gelesen, um den Text anzuzeigen. Kopien dieser Zugangsdaten erreichen keinen Server von uns.
• Der KI-Assistent in der Operator-Station auf dem Mac. Der Assistent tut gar nichts, bis du ihm einen eigenen Schlüssel für einen KI-Anbieter gibst. Hast du das getan, trägt jede Anfrage den ganzen offenen Text, die Stelle, die du ausgewählt hast, deine Anweisung und das bisherige Gespräch — direkt von deinem Mac zu diesem Anbieter, je nach Schlüssel Anthropic oder OpenAI, unter deinem Schlüssel und deinem eigenen Konto dort, zu dessen Bedingungen und dessen Aufbewahrung. Über keinen Server von uns läuft das: Wir sehen weder den Schlüssel noch den Text. Der Schlüssel liegt im macOS-Schlüsselbund, wird nicht synchronisiert und nicht auf deine anderen Geräte übertragen. Die Apps für Telefon und Tablet haben keinen Assistenten.
• Apple & Google (App-Stores & Abos). Käufe, ein etwaiger kostenloser Test und die Abrechnung des Abos laufen über Apple oder Google. Deine Zahlungsdaten sehen wir nie; alles, was wir bekommen, ist der Status des Abos — Abschnitt 4 erklärt genau, wie.

4. Abo und Pro

Whisprompt hat keine Konten. Es gibt nichts, wo man sich anmelden könnte, und nichts anzulegen, kein Anbieter wird je nach deiner E-Mail-Adresse gefragt, und wir haben weder einen Namen noch eine Anschrift von dir. Der Prompter, die Aufnahme und die Übertragung funktionieren so, wie sie sind, und ein Abo wird ohne Konto gekauft und wiederhergestellt. Der Code für ein optionales Konto steckt zwar noch in der App — „Mit Apple anmelden“, mit Supabase als Auftragsverarbeiter —, und er liegt still: Eingeschaltet wird er durch Schlüssel, mit denen die App nicht gebaut ist, es gibt also keinen Anmeldebildschirm, nichts erreicht Supabase, und es wird keine E-Mail-Adresse erhoben. Sollte ein Konto eingeführt werden, beschreibt diese Seite, was es verarbeitet, vor der Version, die es bringt, und nicht danach.

• RevenueCat (Abo-Verwaltung). Unser Auftragsverarbeiter für die Feststellung, ob ein Abo aktiv ist — gleich, ob du es im App Store oder bei Google Play gekauft hast. Er bekommt deine Kaufhistorie in dieser App, eine Kennung für den Kunden und die Geräte- bzw. Installationskennung, die das Betriebssystem der App zuteilt (auf Apple-Geräten die IDFV), dazu technische Angaben zum Gerät und zur Systemversion. Die Kundenkennung ist aus nichts abgeleitet, was mit dir zu tun hat: Vor deinem ersten Kauf ist es eine, die RevenueCat sich selbst erzeugt, und ab diesem Kauf eine zufällige, die dein Gerät erzeugt und behält — dieselbe, die auch deine anderen Geräte tragen, und genau so deckt ein einziges Abo sie alle ab (Abschnitt 5). Das ist es, was Pro freischaltet und deinen Kauf auf all deinen Geräten wiederherstellt. Werbekennungen erheben wir nicht, und Integrationen für Werbung oder Attribution schalten wir in RevenueCat nicht ein; diese Daten werden nicht zum Tracking genutzt und nicht mit Daten anderer Unternehmen zusammengeführt.
• Löschen, was wir haben. Es gibt kein Konto zu löschen, und die App hat auch keine Schaltfläche dafür. Was auf einem Server von uns liegt, ist die Liste der Geräte, die dein Abo abdeckt, und die kannst du jederzeit in der App löschen, unter Einstellungen → Daten auf unseren Servern (Abschnitt 11). Das Löschen kündigt dein Abo nicht: Das gehört zu deinem Konto im App Store oder bei Google Play und wird dort gekündigt, wo du es gekauft hast. Texte und Aufnahmen bleiben so oder so auf deinem Gerät; wie du ein Gerät selbst leerräumst, steht in Abschnitt 7.

5. Übertragung auf deine anderen Geräte

Whisprompt kann den Prompter auf mehreren deiner eigenen Geräte gleichzeitig laufen lassen. Im selben lokalen Netzwerk verbinden sie sich direkt. Ohne gemeinsames Netzwerk läuft die Verbindung über unser Relay auf Cloudflare Workers:

• Eine Bibliothek zwischen deinen eigenen Geräten teilen. Geräte, die du als deine eigenen verknüpfst, spiegeln gegenseitig ihre Bibliotheken: Ein Text, der auf einem geschrieben wird, erscheint auf den anderen, und eine Änderung auf einem erreicht sie. Die Kopien liegen auf deinen Geräten und reisen zwischen ihnen genauso verschlüsselt wie alles andere hier — kein Server von uns hat eine Kopie, und niemand außerhalb deiner eigenen Geräte bekommt eine, solange du einen Text nicht absichtlich teilst.
• Jedes Frame einer Sitzung wird auf dem sendenden Gerät verschlüsselt (ChaCha20-Poly1305), und der Schlüssel reist ausschließlich in der Einladung mit — einem QR-Code oder einem Beitrittscode. Das Relay sieht nur verschlüsselte Frames: Es kann deinen Text, deinen Ton und dein Video nicht lesen.
• Das Relay speichert keine Sitzungsinhalte. Ein Raum lebt höchstens vier Stunden und wird dann gelöscht. Das Postfach, über das deine Geräte einander finden, enthält nur einen Dienstschlüssel und einen Zeitstempel des letzten Kontakts — nicht länger als 30 Tage und ohne jeden Inhalt.
• Nutzt du Pro auf mehr als einem Gerät, führt das Relay außerdem die Liste dieser Geräte, damit ein Abo bis zu sechs davon abdecken kann. Sie enthält eine Kennung, die die App je Gerät erzeugt, den Namen, den dieses Gerät von sich meldet, und wann es hinzugefügt und wann es zuletzt gesehen wurde — keine Texte, keinen Ton, kein Video. Der ganze Eintrag wird nach einem Jahr gelöscht, in dem keines deiner Geräte ihn genutzt hat, und du kannst ihn jederzeit selbst aus der App heraus löschen.
• Wie jeder Webdienst sieht das Relay bei der Verbindung eine IP-Adresse. Sie wird im Vorbeigehen genutzt, um Anfragen zu drosseln und Missbrauch zu verhindern, und wird weder mit deinem Abo noch mit der Liste der Geräte verknüpft, die es abdeckt.

6. Nutzungsdaten

Whisprompt kann messen, wie gut es sich schlägt, und uns diese Messwerte schicken — Zählungen, Dauern und Codes, nie ein Wort von dem, was du schreibst oder sagst. Nichts davon passiert, solange du nicht Ja sagst. Bis dahin wird nicht gemessen, es gibt keine Kennung, und dafür ist nichts auf deinem Gerät gespeichert. Die App fragt einmal, und nie in dem Moment, in dem du sie zum ersten Mal öffnest, denn eine Frage, die gestellt wird, bevor die App irgendetwas getan hat, ist eine Frage, die du gar nicht beantworten kannst. Sie kommt, nachdem dein erstes Vorlesen irgendwohin gekommen ist — oder, wenn du vorher ein zweites Gerät verknüpfst, am Ende des Verknüpfens, auf einer Karte zusammen mit der Frage weiter unten, ob deine Geräte als eines gezählt werden. Diese Karte hat zwei Antworten und keinen dritten Ausweg: Sie schließt sich nicht, wenn du daneben tippst oder Zurück drückst, denn eine Karte, die ein versehentlicher Tipp schließt, hätte eine Ablehnung festgehalten, die du nie ausgesprochen hast. Solange du sie nicht beantwortest, wird nichts geschrieben; nimmt ihr also etwas anderes zuerst den Bildschirm weg — die App wird geschlossen, ein anderer Bildschirm tritt an ihre Stelle —, ist die Frage einfach weiter offen und kommt nach deinem nächsten Vorlesen wieder. Hast du einmal geantwortet, so oder so, kommt sie überhaupt nicht mehr. Deine Antwort gilt für die Geräte, die du als deine eigenen verknüpfst, und die Karte sagt das dort, wo du sie gibst: Ein Gerät, das du später verknüpfst, übernimmt diese Antwort, sobald es das nächste Mal verbunden ist, und sagt dir offen, dass es das getan hat, statt dieselbe Frage ein zweites Mal zu stellen. Das gilt in beide Richtungen — schaltest du das Messen auf einem deiner Geräte aus, hören auch die anderen auf. Eine Antwort, die auf einem Gerät gegeben wurde, wird nie von einer überschrieben, die von einem anderen kommt; hier auszuschalten kann also kein Gerät rückgängig machen, das es noch nicht mitbekommen hat. Sagst du Nein, ändert sich sonst nichts an der App, und dieses Gerät fragt nicht wieder. Sagst du Ja, sitzt der Schalter in den Einstellungen der App unter „Nutzungsdaten“, du kannst ihn also jederzeit wieder ausschalten, ohne einen Grund zu nennen. Worauf das rechtlich beruht, steht in Abschnitt 9; wie du widerrufen kannst, steht am Ende dieses Abschnitts. Das Ausschalten stoppt das Messen selbst und nicht nur das Senden, und es löscht vom Gerät die Kennung von unten, alles, was noch auf den Versand wartete, und die Notiz über ein laufendes Vorlesen, die unter „Was gemessen wird“ beschrieben ist.

• Was gemessen wird. Zählungen, Dauern und Codes — und was jetzt folgt, ist alles davon, keine Auswahl. Zu einem Vorlesen: ob es über Sprachverfolgung oder Auto-Scroll lief, wie lange es gedauert hat, wie viele Wörter der Text hatte, wie weit du prozentual gekommen bist, wie oft du den Text von Hand selbst übernehmen musstest, der Sprachcode, welche Sprach-Engine lief, ob das Gerät offline war, ob das Vorlesen zugleich auf einem zweiten Bildschirm gezeigt wurde, ob irgendein Teil davon von einer Uhr gesteuert wurde, und ob irgendein Teil davon von einer physischen Fernbedienung gesteuert wurde — von einem Bluetooth-Klicker, einem Seitenblätterer und einer gewöhnlichen Tastatur gleichermaßen, denn das System meldet uns alle drei als dieselben Tastendrücke und gibt uns keine Möglichkeit, sie auseinanderzuhalten; keines der beiden sagt, welche Taste gedrückt wurde oder wie oft, nur dass das Vorlesen überhaupt so gesteuert wurde, wie viel hörbaren Ton die weiter unten beschriebene Prüfung auf eine kaputte Erkennung aufnehmen konnte — einer von vier Bereichen (gar keinen, unter zehn Sekunden, unter einer Minute, eine Minute oder mehr), nie eine Sekundenzahl, und nur, wenn überhaupt eine Spracherkennung lief: Es ist die eigene laufende Summe dieser Prüfung und keine Messung, wie lange du gesprochen hast, denn Ton, der leiser ist als der Pegel, auf den sie hört, trägt nichts dazu bei, jede Pegelmeldung, die die Engine schickt, fügt höchstens eine halbe Sekunde hinzu, und die erste Meldung nach jedem Start fügt gar nichts hinzu — bei einer Engine, die ihren Pegel einmal pro Sekunde meldet, kommt also ein Bruchteil der Zeit heraus, in der du tatsächlich geredet hast; was sie uns sagt, ist, ob diese Prüfung auf deinem Gerät hätte funktionieren können, und über das Gesagte sagt sie nichts, und wie es ausgegangen ist: dass nichts schiefging, dass das Vorlesen überhaupt nirgendwo hinkam, oder dass die Spracherkennung ausgefallen ist — und wenn sie ausfiel, auf welche der vier Arten weiter unten. Bekommt ein Vorlesen nie ein Ende — das System schließt die App, während sie im Hintergrund ist, der Akku geht leer, die App stürzt ab, oder du wischst sie mitten im Vorlesen weg —, dann lässt sich davon nichts messen, weil der Teil der App, der es gemessen hätte, mit dem Rest verschwunden ist. Während ein Vorlesen läuft, liegt deshalb eine kurze Notiz auf deinem Gerät, die sagt, was zu Beginn bekannt war, und nicht mehr: Sprachverfolgung oder Auto-Scroll, der Sprachcode, wie viele Wörter der Text hatte und welche Sprach-Engine lief. Die Notiz verschwindet in dem Moment, in dem das Vorlesen normal endet. Findet die App beim nächsten Start noch eine vor, schickt sie diese vier Angaben, löscht die Notiz und schickt sie nie wieder — über ein unterbrochenes Vorlesen wird einmal berichtet. Sonst wird über so ein Vorlesen nichts berichtet: nicht, wie lange es gedauert hat, nicht, wie weit du gekommen bist, nicht, wie es ausging, weil nichts übrig war, um irgendetwas davon zu messen. Die Notiz wird nur geschrieben, solange das Messen eingeschaltet ist, sie enthält nichts über diese vier Angaben hinaus, und sie wird mit allem anderen gelöscht, wenn du es ausschaltest. Wenn die Sprachverfolgung dich verliert: der Sprachcode, die Engine, ob sie überhaupt wieder aufgeschlossen hat, und wie lange das gedauert hat, wenn sie es tat. Wenn die Spracherkennung selbst ausfällt: der Sprachcode, die Engine, wie viele Sekunden diese Engine schon gelaufen war, ob sie davon gestartet worden war, dass der Text mittendrin die Sprache wechselt, statt davon, dass du auf Wiedergabe gedrückt hast, und welches von vier Dingen passiert ist — sie hörte weiter Ton und lieferte keine Wörter mehr, sie sagte überhaupt nichts mehr, sodass sogar die Pegelmeldung des Mikrofons wegblieb, sie fiel aus und eine andere Engine übernahm, oder sie fiel aus, ohne dass noch etwas zum Übernehmen da war. Wenn die App dich um etwas bittet, das vom System bewacht wird — das Mikrofon oder die Kamera —: um welches der beiden sie gebeten hat, und welche von drei Antworten zurückkam: Du hast es erlaubt, du hast es abgelehnt, oder das System hatte die Ablehnung schon geregelt und dir gar keinen Dialog gezeigt. Und wenn sie nach einer Bluetooth-Fernbedienung sucht: ob ihr die Erlaubnis verweigert wurde, Geräte in der Nähe zu finden — dort nur die Verweigerung, denn ein System, das zugestimmt hat, fängt einfach an zu suchen und sagt nichts, was wir festhalten könnten. Nur dort, wo sie fragt. Das Nachlesen dessen, was du bereits beantwortet hast, geschieht ständig und ist keine Messung; davon wird nichts gesendet. Einmal je Installation: ob dein erstes Vorlesen innerhalb einer Stunde nach der Installation über die Hälfte hinauskam, innerhalb eines Tages, einer Woche, eines Monats — oder später als das —, ein Bereich, keine Zeitangabe. Zum Download eines Sprachmodells: der Sprachcode, die Größe in Bytes und ob er begonnen hat, fertig wurde oder fehlschlug. Zu einer Verbindung mit einem anderen Gerät: wie sie ausging und wie die beiden Geräte einander gefunden haben. Zu einer Übertragung: auf was für einen Bildschirm sie ging (Telefon, Tablet, Computer, Fernseher, Uhr oder eine Art, die die App nicht erkannt hat), wie lange sie lief und ob sie endete, weil die Verbindung abriss. Zu jedem Versuch, den Text auf einen Bildschirm zu bringen, ob er nun gelang oder nicht: auf was für einen Bildschirm er zielte — so weit dieses Gerät es vor dem Versuch wusste, was oft gar nicht der Fall ist — und welches von sechs Dingen passierte: Der Bildschirm nahm ihn an; er nahm ihn an, aber eine der beiden Apps ist eine Version zurück, sodass die neueren Teile ausgeschaltet laufen; auf keinem der beiden Wege antwortete etwas; der Bildschirm wies den Code ab; die beiden liegen in der Version zu weit auseinander, um überhaupt miteinander zu reden; oder dieses Gerät konnte den Versuch von vornherein nicht unternehmen. Nichts über den Text, und keine Adresse eines der beiden Geräte. Zu dem Hinweis, der erscheint, wenn ein Text mehr als eine Sprache enthält: ob du ihn geschlossen hast oder von dort zum Abo-Bildschirm weitergegangen bist. Nichts über den Text selbst und nichts darüber, welche Sprachen darin waren. Zum Abo-Bildschirm: vor welcher der gesperrten Funktionen du standest, als er auftauchte, oder dass du ihn selbst aus den Einstellungen geöffnet hast, statt von irgendetwas aufgehalten worden zu sein, oder dass du unter deinen eigenen Nachrichten auf die Zeile getippt hast, die sagt, dass Abonnenten zuerst beantwortet werden. Zu einem Kaufversuch: welche von vier Tarifarten es war — monatlich, jährlich, einmalig, oder eine, deren Zeitraum die App nicht erkannt hat — und ob er durchging, von dir abgebrochen wurde, vom Store in der Schwebe gelassen wurde, nicht verfügbar war oder fehlschlug. Zu einer Wiederherstellung: ob etwas wiederhergestellt wurde, ob es nichts wiederherzustellen gab, oder ob sie abgebrochen wurde oder fehlschlug. Zwei Angaben zum Abo liegen außerdem neben der Kennung von unten und werden aktualisiert, wenn sie sich ändern: ob Whisprompt Pro auf diesem Gerät gerade aktiv ist, und ob es hier gekauft wurde und nicht auf einem anderen deiner Geräte. Bei allen zusammen: der Moment, in dem es passiert ist, die App-Version, die Plattform und wie lange diese Installation schon misst — ein Bereich, nie ein Datum und nie eine Zahl von Tagen: der erste Tag, die erste Woche, der erste Monat, ein bis drei Monate, drei bis sechs, sechs bis zwölf, ein bis zwei Jahre oder länger. Dieser Bereich zählt ab dem Tag, an dem du das Messen erlaubt hast, weil davor dafür nichts gespeichert wird, und anders als der Bereich zum ersten Vorlesen oben reist er mit jeder Messung mit statt nur ein einziges Mal. Und über das Gerät, auf dem gemessen wurde: was für ein Gerät es ist — Telefon, Tablet, Computer, Fernseher oder Uhr, und nichts Genaueres als das —, welches Betriebssystem darauf läuft, dessen Hauptversionsnummer und nur die („18“, nie „18.3.1“), die Sprache, in der die Oberfläche der App ist, und das Land, auf das dein Gerät eingestellt ist. Bei zwei davon lohnt es sich, genau zu sein. Das Land wird aus der Regionseinstellung deines eigenen Geräts gelesen: Es ist das Land, das du in deinen Einstellungen gewählt hast, und keines, das aus der Netzwerkadresse ermittelt wurde, über die du gerade verbunden bist — siehe „Wer es verarbeitet“ weiter unten. Und die Version ist allein die Hauptnummer, denn sie ist es, die uns sagt, ob ein altes System fallen gelassen werden kann; der Rest würde mehr über dein bestimmtes Gerät aussagen als über das System. Noch mehr zu einem Vorlesen. Woher sein Text kam, als eine von sieben Antworten: der Willkommenstext, den wir dir beim ersten Start schreiben; derselbe Willkommenstext, nachdem du ihn bearbeitet hast; einer von deinen eigenen — hier getippt, hier diktiert, eingefügt oder von einem anderen deiner verknüpften Geräte gespiegelt, was eine einzige Antwort ist, weil das alles von dir selbst geschrieben ist; eine Datei; oder ein aus Notion, aus Google Docs oder aus iCloud gespiegeltes Dokument. Nie sein Titel, nie sein Dateiname, nie seine Adresse und nie ein Wort daraus. Welcher der fünf Lesestile auf dem Bildschirm war, und auf welchem Farbschema gelesen wurde: einem der sechs, die die App mitbringt, oder — bei einem, das du im Farbschema-Editor selbst gebaut hast — nur, dass es eines deiner eigenen war. Niemals sein Name und niemals die Kennung, die die App ihm gegeben hat. Ein Farbschema, das nach einem Menschen oder einem Anlass benannt ist, ist genauso dein eigenes Schreiben wie ein Texttitel, und die Kennung ist dieser Name, nur einen Schritt entfernt. Und ob für diesen Text eine Zielzeit festgelegt worden war, bevor das Vorlesen begann — dass es eine gab, nie, wie lang sie war, denn eine Dauer neben der Wortzahl in derselben Zeile würde ein bestimmtes Dokument beschreiben. Zu einem Text, der in deiner Bibliothek ankommt, auf welchem Weg auch immer: woher er kam — dieselben sieben Antworten und eine achte: dass du ihn diktiert hast —, der Sprachcode, den er angibt, und wie viele Wörter er enthält. Die achte ist nur im Moment des Speicherns bekannt und wird nicht mit dem Text aufbewahrt: Liest du einen diktierten Text, zählt er wie oben als einer von deinen eigenen. Nie sein Titel und nie ein Wort daraus. Der Willkommenstext, den wir dir beim ersten Start schreiben, wird nicht gezählt, denn ihn zu zählen hieße, Installationen zu zählen, und das wird nicht gemessen. Zu einer Aufnahme: ob es Audio oder Video war, wie viele ganze Sekunden sie lief und auf welche von drei Arten sie endete — sie wurde gespeichert, sie kam leer zurück, weil nichts in die Datei gelangte, oder sie schlug fehl. Nichts über die Datei: nicht ihr Name, nicht ihre Größe, nicht ihre Auflösung, nicht, welches Mikrofon oder welches Objektiv, und keine Sekunde von dem, was aufgenommen wurde. Eine Aufnahme, die nie zustande kam, weil du das Mikrofon oder die Kamera abgelehnt hast, wird nur als die Ablehnung weiter oben gezählt und nicht als Aufnahme. Und zu einem Promo-Code — einem von unseren, in Whisprompts eigenen Einlöse-Bildschirm getippt: dass ein Code eingelöst wurde, und welches von neun Dingen zurückkam. Er hat funktioniert; so einen Code gibt es nicht; er war schon eingelöst; er war abgelaufen; die Charge, zu der er gehört, war aufgebraucht; diese Installation der App nahm unsere Codes überhaupt nicht an, weil es diesen Weg noch nicht gibt oder er abgeschaltet wurde; von diesem Gerät wurden zu viele hintereinander probiert; wir waren gar nicht erreichbar; oder es schlug aus einem Grund fehl, den keines davon benennt. Nie der Code selbst und nie ein Zeichen davon — ein Promo-Code ist ein Abo wert und ein Geheimnis, das jedem gehört, der es kennt; und einer, der in einer Messung steht, steht in den Aufzeichnungen eines Dritten. Öffnest du stattdessen den Einlöse-Bildschirm des Stores, den Apple oder Google betreibt, dann nur, dass er geöffnet wurde, und sonst nichts, denn keiner der beiden Stores sagt der App, was auf seinem Bildschirm eingetippt wurde oder was daraus wurde. Und wenn du eingrenzt, zwischen welchen Sprachen die Erkennung der Textsprache wählen darf — im Menü „Sprache“ des Textes selbst oder in den Einstellungen für jeden neuen Text —: wie viele Sprachen die Auswahl vor der Änderung umfasste und wie viele danach, und ob du sie wieder auf „Auto“ gestellt hast, also auf die Wahl aus allem, was die App mitbringt. Und wenn du uns bittest, eine Sprache hinzuzufügen, die die App noch nicht spricht: welche Sprache, angegeben als ihr Sprachcode, und von welcher der drei Stellen aus du darum gebeten hast — vom Menü „Sprache“ eines Textes, vom Standard in den Einstellungen oder von der Auswahl der App-Sprache. Das wird gemessen; die Anfrage selbst erreicht uns, ob du nun irgendein Messen erlaubt hast oder nicht, und Abschnitt 6b sagt, was sie trägt. Und wenn diese Version der App veraltet ist und aktualisiert werden muss: welcher von vier Fällen auf den Hinweis zutraf, der das besagt — er wurde angezeigt; er wurde zurückgehalten, weil du mitten im Vorlesen warst; er wurde verschoben, weil du „Später“ gewählt hast; oder er wurde zurückgezogen, bevor er je angezeigt wurde, weil wir die Mindestversion wieder gesenkt haben — und eine Anzahl ganzer Sekunden: bei einem verschobenen Hinweis, wie lange er auf dem Bildschirm zu sehen war, sonst, wie viel Zeit vergangen war, seit dieses Gerät bei diesem Start der App zum ersten Mal erfahren hatte, dass sie aktualisiert werden muss.
• Was nie gemessen wird. Deine Texte, ihre Titel, die Namen von Dateien, die du öffnest, Ton, Aufnahmen, Transkripte, die Namen deiner Geräte, deine Kontakte. Ein Sprachcode reist mit; ein Texttitel nicht. Von den Messwerten zum Abo oben: kein Preis, keine Währung, kein Beleg, keine Bestell- oder Transaktionsnummer, keine Produktkennung des Stores, keine Zahlungsangabe irgendeiner Art und kein Fehlertext aus dem Store — was mitreist, ist, welche von acht benannten Funktionen den Bildschirm geöffnet hat, welche von vier Tarifarten es war und welches aus einer festen Menge von Ergebnissen eintrat. Auch nicht, auf wie vielen Geräten du dein Abo nutzt. Jede Messung ist eine feste Menge aus Zahlen, Zeiten und Codes, es gibt also gar keine Stelle, an der etwas auftauchen könnte, das du geschrieben, benannt oder bezahlt hast.
• Es ist nicht anonym, und das sagen wir lieber selbst. Die Messwerte von diesem Gerät tragen eine einzige dauerhafte Zufallskennung. Sie gehört zu dieser Installation der App und zu nichts sonst: Erzeugt wird sie von der Messkomponente selbst, an dem Tag, an dem du das Messen erlaubst, und keinen Moment früher, sie wird für nichts anderes als diese Messwerte benutzt, und sie ist nicht die Kennung, die dein Abo verwendet — die wird mit einer Messung nie mitgeschickt, die beiden Datenbestände bleiben also getrennt, und keiner trägt die Kennung des anderen. Nichts in einer Messung sagt, welches deiner Geräte zu welchem gehört: Solange du nicht die eigene Erlaubnis weiter unten erteilst, kommen dein Telefon und dein Tablet als zwei zusammenhanglose Installationen an und werden als zwei gezählt. Die Kennung wird spätestens dreizehn Monate nach ihrer Erzeugung ersetzt, ob du die App zwischendurch benutzt hast oder nicht, und die neue schließt nicht an die alte an — der Datenbestand zu einer Installation kann also nicht länger werden als das. Das Messen auszuschalten löscht die Kennung vom Gerät. So zufällig sie ist: Sie ist trotzdem eine Kennung, und deshalb steht hier dieser Absatz und nicht die Behauptung, die Messwerte seien anonym.
• Deine Geräte als eine Person zählen — eine eigene Erlaubnis, aus, solange du sie nicht erteilst. Nutzt du Whisprompt auf mehr als einem Gerät, kann die App dich einmal fragen, ob die Messwerte von allen zusammen eine gemeinsame Kennung tragen sollen, sodass ein Telefon und ein Tablet als eine Person zählen und nicht als zwei. Diese Frage ändert nur die Kennung und nichts an dem, was gemessen wird: dieselbe Liste wie oben, dieselben Eigenschaften, kein zusätzliches Ereignis und kein neuer Empfänger. Sie ist aus, solange du nicht Ja sagst, ein Nein ändert sonst nichts an der App, und du kannst sie später im selben Bereich der Einstellungen ein- und ausschalten. Wie beim Messen oben wird auch das einmal gefragt und nicht auf jedem Gerät: Sagst du Ja, übernehmen die anderen Geräte deines Abos diese Antwort, sobald sie das nächste Mal verbunden sind — die gemeinsame Kennung erreicht sie über denselben verschlüsselten Kanal, den deine Geräte ohnehin untereinander nutzen, und sonst reist nichts zum Thema Messen mit. Sie erreicht nur ein Gerät, auf dem du das Messen erlaubt hast, denn auf jedem anderen gibt es für sie nichts zu zählen. Ein Nein wird nirgendwohin getragen, ein Gerät, das du später verknüpfst, kann die Frage nach dem Zählen also selbst stellen; noch einmal abzulehnen kostet einen Fingertipp und wird gemerkt. Auch diese Karte hat zwei Antworten und keinen dritten Ausweg, und solange du keine gibst, wird nichts festgehalten. Schaltest du sie ein, gilt das ab diesem Moment nach vorn — bereits erhobene Messwerte werden nicht neu beschriftet, und die Kennung, die diese Installation vorher benutzt hat, wird nicht gesendet und nicht mit der gemeinsamen verknüpft. Ein Fall ist es wert, davon getrennt genannt zu werden. Trägt diese Installation schon eine gemeinsame Kennung und übernimmt dann eine andere — was passiert, wenn du sie mit Geräten verknüpfst, die bereits eine eigene gemeinsame Kennung teilen —, dann trägt die nächste Messung die vorherige gemeinsame Kennung ein einziges Mal mit, damit die Aufzeichnungen einer Person nicht als zwei gelesen werden: eine, die aufhört zu existieren, und eine, die aus dem Nichts auftaucht. So mitreisen kann immer nur eine gemeinsame Kennung; die Kennung je Installation von oben wird in diesem Feld nie gesendet, bei keinem Übergang. Schaltest du sie aus, geht diese Installation zu einer eigenen Kennung zurück, und zwar zu einer neuen und nicht zu der, die sie vorher hatte. Sie kann nicht an sein, während das Messen aus ist, denn dann gäbe es nichts zu zählen: Schaltest du das Messen aus, wird die gemeinsame Kennung zusammen mit der anderen vom Gerät gelöscht. Und wenn du ein zweites Gerät verknüpfst, bevor dir die Frage nach dem Messen überhaupt gestellt wurde, kann die App die beiden zusammenlegen — einmal im Leben der App, auf einer Karte, die sagt, was beide sind. Diese Karte ist die, die nach dem Messen fragt, und keine zusätzliche: Auf diesem Gerät wird keine der beiden Fragen noch einmal gestellt. Ein Ja dort ist ein Ja zu beidem, weil beides darauf genannt war; ein Nein lehnt beides ab. Deine Geräte werden so oder so verknüpft, und keine der beiden Antworten wird je als die andere genommen.
• Wer es verarbeitet. Amplitude, unser Auftragsverarbeiter, auf seinem europäischen Endpunkt. Jede Anfrage bittet Amplitude, aus der Adresse, von der sie kommt, nichts abzuleiten; aus dem Ort, von dem aus du verbunden warst, wird also weder eine Stadt noch eine Region noch ein Standort irgendeiner Art ermittelt. Das Land in der Liste oben ist davon keine Ausnahme: Es ist das, was auf deinem Gerät eingestellt ist, es wird gesendet, weil wir es dort hineinschreiben, und es wäre dasselbe Land, in welchem Netz du auch wärst.
• Wie du widerrufst, und was dann geschieht. Zwei Wege, und jeder für sich genügt. In der App: Einstellungen → Nutzungsdaten → den Schalter ausschalten. Oder schreib an support@whisprompt.app und sag es, dann hören wir auf. Der Widerruf braucht nicht mehr Fingertipps als die Zustimmung, du musst keinen Grund nennen, und wir fragen auch nicht danach. Das Ausschalten gilt als dein Widerspruch und nicht als Einstellung eines einzelnen Handys: Deinen anderen verknüpften Geräten wird es gesagt, über den verschlüsselten Kanal, den sie ohnehin mit diesem teilen, und sie hören ebenfalls auf zu messen, sobald sie das nächste Mal verbunden sind — einem, das schläft, wird es gesagt, wenn es zurückkommt, denn die Mitteilung wird wiederholt, bis sie ankommt. Das Wiedereinschalten reist nicht so weit: Es erreicht ein Gerät, das du verknüpft hast, auf dem aber nie gefragt wurde — das übernimmt die Antwort und sagt dir, dass es das getan hat —, und es verdrängt nie eine Antwort, die ein Gerät für sich selbst gegeben hat: Ein Gerät, das du hier ausgeschaltet hast, bleibt aus, bis du es dort einschaltest. Die Unwucht ist Absicht. Ein Widerspruch gegen das Gemessenwerden kommt von einem Menschen, und uns ist lieber, er reicht zu weit als nicht weit genug; eine Erlaubnis soll eine Antwort nicht überstimmen können, die jemand schon auf dem Gerät in seinen Händen gegeben hat. Deine Antwort wird auf dem Gerät über Neustarts und App-Updates hinweg gemerkt, und sie überlebt das Ersetzen der Kennung nach dreizehn Monaten — eine neue Kennung startet das Messen für jemanden, der es ausgeschaltet hat, nicht wieder. Willst du auch die schon gesendeten Messwerte gelöscht haben, sag uns Bescheid: Abschnitt 11.

6a. Absturzberichte — eine eigene Erlaubnis, aus, solange du sie nicht erteilst

Hört die App auf zu arbeiten, kann sie uns einen Bericht über den Ausfall schicken. Das ist nicht Teil der Messung aus Abschnitt 6: Es ist ein anderer Zweck, mit einem anderen Empfänger, und es hat einen eigenen Schalter. Gefragt wird auf einer eigenen Karte, direkt vor der Frage nach dem Messen, und beantwortet wird getrennt — ein Ja zum einen ist kein Ja zum anderen, in keine der beiden Richtungen. Diese Karte funktioniert wie die zum Messen: zwei Antworten, kein dritter Ausweg, und solange du keine gibst, wird nichts festgehalten.

Sie ist aus, solange du sie nicht einschaltest. Bis dahin wird dafür nichts installiert und nichts gesendet — diese Regel hat überhaupt keine Ausnahmen. Ausnahmen hat das Speichern, und davon gibt es unten zwei. Beide sind dazu da, dir die Frage zu stellen, und nicht dazu, etwas zu sammeln, bei beiden geht es um einen Absturz, der dir bereits passiert ist, und keine von beiden schickt irgendetwas, bevor du geantwortet hast.

Die erste ist ein Fehlschlag beim Start. Kann Whisprompt gar nicht erst starten, gibt es keinen späteren Moment, in dem die Frage gestellt werden könnte, also stellt der Fehlerbildschirm sie dort. Hast du Absturzberichte bereits eingeschaltet, wird ein Bericht über diesen Ausfall gesendet, und der Bildschirm sagt dir, dass er das getan hat. Hast du sie bereits ausgeschaltet, wird nichts angeboten und nichts gesendet. Bist du nie gefragt worden, fragt der Bildschirm — diesen einen Bericht senden, ihn nicht senden, oder sie von jetzt an senden —, und bis zu deiner Wahl verlässt nichts das Gerät. Ein so gesendeter Bericht ist kleiner als der weiter unten beschriebene: Er trägt überhaupt keine Kennung und sagt, wo die App stehen geblieben ist, welche Version sie hatte und welches Betriebssystem das ist — nichts weiter über das Gerät, keine Sprache der Oberfläche und keinen der Schritte, die davor kamen. Er geht an Sentry, denselben Auftragsverarbeiter und dieselben europäischen Server, und was unten über die Internetadresse steht, von der ein Bericht ankommt, gilt auch für ihn. Sich für „von jetzt an senden“ zu entscheiden ist dieselbe Antwort wie der Schalter in den Einstellungen, und ausgeschaltet wird sie an derselben Stelle. Derselbe Bildschirm, mit denselben drei Antworten, erscheint auch, wenn ein einzelner Teil der App im Laufen ausfällt statt beim Start. Das gilt nur für die App auf Telefon und Tablet: Die Apps für Mac und Fernseher haben keinen solchen Bildschirm.

Die zweite ist ein Absturz, zu dem wir dich im Moment selbst nicht fragen konnten — weil die App weg war, bevor du antworten konntest, oder weil du sie geschlossen hast, statt zu antworten. Bist du nie gefragt worden, wird ein Bericht darüber auf deinem Gerät aufbewahrt, und wenn die App das nächste Mal richtig startet, sagt sie es unten am Bildschirm und stellt dir die Frage. Es ist ein einzelner Bericht und keine Warteschlange; ein zweiter Absturz ersetzt ihn nicht. Nichts davon wird gesendet, solange du dort nicht Ja sagst. Gelöscht wird er, wenn du so oder so antwortest, wenn du diesem Hinweis sagst, dass er ihn löschen soll, wenn Absturzberichte ausgeschaltet werden, und in jedem Fall sieben Tage nach dem Aufbewahren. Diese Datei ist das Einzige, was für das Berichten von Abstürzen auf deinem Gerät gespeichert wird, bevor du irgendetwas erlaubt hast, und wir nennen sie lieber, als den Absatz oben andeuten zu lassen, dass da nichts wäre: Es gibt sie, damit die Frage überhaupt gestellt werden kann. Die Abstürze, die sie rettet, sind die, die wir sonst nie zu sehen bekämen — die ersten Starts einer brandneuen Installation, die schlimmsten Abstürze, die es gibt, und sie gehörten genau den Leuten, die die Frage nie erreicht hatte. Was sie nicht rettet, ist ein Absturz, den das Betriebssystem selbst behandelt, unterhalb der App: Dafür muss das Berichten weiterhin vorher eingeschaltet gewesen sein.

• Was in einem Bericht steht. Wo die App stehen geblieben ist — die technische Spur des Ausfalls —, was für ein Gerät es ist, das Betriebssystem und seine Version, die Version der App, die Sprache der Oberfläche und eine kurze Liste dessen, was die App vorher getan hat: geöffnete Bildschirme, Warnungen wegen knappem Speicher, der Wechsel der App in den Hintergrund.
• Und, wenn der Ausfall im Prompter lag, was der Prompter gerade tat. Eine Erkennung, die aufhört zu arbeiten, tut das am Ende einer Kette von Ereignissen, und eine Zeile, die sagt, dass sie aufgehört hat, reicht nicht, um es zu beheben — ein Bericht über eine Lesesitzung trägt deshalb einen kurzen Zeitverlauf dieser Sitzung: das Starten und Stoppen der Sprach-Engine und warum, die Sprache des Absatzes, bei dem du angekommen warst, Wechsel von einer Sprache in eine andere und ob sie gelangen, ob die Erkennung auf dem Gerät oder über die Server der Plattform lief, wie lange sie bis zu ihren ersten Wörtern brauchte, wann die Sprachverfolgung deine Stelle verlor und wann sie sie wiederfand, wie der Bildschirm zwischen Warten, Zuhören, Pause und Stopp wechselte, wie weit ein Sprachmodell heruntergeladen war, falls gerade eines lud, und der Moment, in dem der Ausfall festgestellt wurde. Er trägt außerdem die FORM dessen, was du gelesen hast, und wo darin du warst — wie viele Wörter und Absätze der Text hatte, wie viele Sprachen er mischte, bei welcher Wortnummer du angekommen warst, und die Momente, in denen du den Text mit einem Zurückspulen oder einem Ziehen von Hand selbst übernommen hast. Erst die machen den Rest des Zeitverlaufs überhaupt aussagekräftig: Eine Position ohne eine Länge, an der man sie messen könnte, sagt nichts, und ein Sprung, den die Erkennung nicht verursacht hat, liest sich als Fehler, solange die Seite nicht sagt, dass eine Hand ihn gemacht hat. Jede Zeile ist eine Zählung, ein Code, ein Sprachcode oder eine Dauer. Eine weitere Zahl fährt daneben mit: wie viel Speicher die App selbst in diesem Moment belegte, in ganzen Megabyte — sie ist eine plausible Ursache des Ausfalls, und es gibt keinen anderen Weg, sie zu sehen, und sie sagt nichts über dich und nichts darüber, was sonst auf deinem Gerät ist. Nie ein Wort des Textes — nicht seinen Titel, nicht eine Zeile daraus, nicht das, was die Erkennung gehört zu haben glaubte, und keinen Namen von dir oder von deinen Geräten. Die Zeiten darin stehen als Abstände — „vier Sekunden vor dem Ausfall“ — und nicht als Uhrzeiten, denn eine Uhrzeit trägt eine Zeitzone, und eine Zeitzone ist ein grober Standort.
• Was entfernt wird, bevor er gesendet wird. Ein Absturzbericht wird von der Berichtskomponente zusammengestellt und nicht von uns geschrieben, wir nehmen ihn also auseinander und säubern ihn: Dateinamen und Pfade, Webadressen über den Namen des Dienstes hinaus, E-Mail-Adressen, Netzwerkadressen, den Namen deines Geräts und deine Zeitzone. Nie werden ein Screenshot oder eine Kopie des Bildschirms angehängt — auf diesem Bildschirm steht dein Text —, und kein Bericht trägt irgendeine Kennung von dir, die wir haben. Übrig bleiben ein Stack-Trace, die Art des Ausfalls und die Art des Geräts.
• Das Eine, was unsere App nicht säubern kann. Sentry ermittelt aus der Internetadresse, von der ein Bericht ankommt, einen ungefähren Standort — Land und Stadt. Das geschieht auf seiner Seite, nach allem, was unsere App bearbeiten kann, es gibt für uns also, anders als bei der Messung oben, keinen Weg, das je Bericht auszuschalten. Zwei Einstellungen am Projekt stehen dafür ein: Die eine verhindert, dass die Adresse selbst gespeichert wird, die andere entfernt den daraus ermittelten Standort. Die erste ist gesetzt. Wo die zweite es nicht ist, bleiben Land und Stadt so lange beim Bericht, wie der Bericht aufbewahrt wird — höchstens 90 Tage. Wir nennen das hier, statt den Satz oben andeuten zu lassen, wir hätten etwas entfernt, was wir nicht entfernt haben.
• Die Kennung. Berichte aus einer Installation tragen eine Zufallskennung, die sich die Berichtskomponente selbst erzeugt, damit zehn Abstürze von einem Gerät als ein Gerät erkannt werden können und nicht als zehn. Es ist nicht die Kennung, die die Messwerte benutzen, und auch nicht die, die dein Abo benutzt.
• Wer es verarbeitet. Sentry, unser Auftragsverarbeiter, auf seinen europäischen Servern.
• Wie du widerrufst, und was dann geschieht. Einstellungen → Absturzberichte → den Schalter ausschalten. Das Berichten hört auf, und was noch auf den Versand wartet, wird vom Gerät gelöscht. Deine Antwort auf diese Frage reist so, wie deine Antwort zum Messen reist: Ein Gerät, das du verknüpfst und auf dem nie gefragt wurde, übernimmt die Antwort, die du bereits gegeben hast, und sagt dir, dass es das getan hat; ein Gerät, das für sich selbst geantwortet hat, behält seine eigene Antwort; und das Ausschalten des Berichtens erreicht deine verknüpften Geräte auch dort, wo sie schon geantwortet haben. Worauf das rechtlich beruht und was ein Widerruf rückgängig macht und was nicht, steht in Abschnitt 9.

Wir bauen den Schlüssel eines Auftragsverarbeiters nicht in eine Version ein, bevor der Auftragsverarbeitungsvertrag mit ihm in Kraft ist. Was Sentry außer den Berichten hat, die Leute uns schicken, sind die Testberichte, die wir uns selbst von einem Entwicklerrechner geschickt haben, um zu prüfen, ob Namen, Pfade und Adressen wirklich herausgenommen werden. Die sind unsere, nicht deine, und wir löschen sie.

6b. Was du uns selbst schickst

Die App hat einen Bildschirm „Feedback senden“. Nichts darauf erreicht uns, bevor du auf Senden tippst, und was uns dann erreicht, ist das, was du geschrieben hast, plus die optionalen Dinge, die du dazugelegt hast. Es ist keine Messung und kein Absturzbericht: Du schreibst es, du entscheidest, was mitgeht, und benutzt wird es dafür, dir zu antworten und das zu beheben, wovon du uns erzählt hast.

Hast du einmal etwas gesendet, fragt die App danach. Während eine deiner Meldungen noch offen ist — wartet auf Sichtung, wird bearbeitet oder wartet auf deine Antwort auf eine Frage, die wir gestellt haben — oder in den letzten dreißig Tagen geschlossen wurde, fragt die App unseren Server, wo sie gerade steht, samt einer kurzen Notiz, die wir dazu geschrieben haben: beim Start der App, wenn du zu ihr zurückkehrst, und einmal pro Stunde, solange sie offen ist, aber nie öfter als einmal in fünfzehn Minuten. Wenn du Meine Meldungen öffnest und nachdem du dort Details hinzugefügt hast, fragt sie dasselbe zu jeder von diesem Gerät gesendeten Nachricht, einschließlich solcher, die erledigt oder nicht geplant sind. Diese Frage trägt nichts als die Kennungen, die die App sich beim Senden für deine eigenen Nachrichten gemerkt hat: Nichts Neues über dich wird erhoben, und es ist das Einzige hier, das geschieht, ohne dass du auf Senden tippst. Die Antworten liegen auf deinem Gerät, damit sich der Bildschirm auch ohne Verbindung lesen lässt, und sie gehen, wenn die App geht. Bitten wir dich um Einzelheiten, wird das, was du zurückschreibst, als neue Nachricht gesendet — nach denselben Regeln und mit denselben Dingen im Anhang wie jede andere.

Was immer mit einer Nachricht mitgeht, weil ein Bericht, den wir nicht einordnen können, ein Bericht ist, mit dem wir nichts anfangen können: die Version und die Build-Nummer der App, das Betriebssystem und seine Version, das Modell des Geräts, Sprache und Region, auf die das Gerät eingestellt ist (es_ES ist zum Beispiel Spanisch, wie es in Spanien verwendet wird), und die Sprache, in der die App selbst angezeigt wird. Dasselbe gilt für die zufällige Abo-Kennung aus Abschnitt 4, wann immer dieses Gerät eine hat — was es seit dem ersten Kauf auf diesem Gerät tut, oder seit es mit einem Gerät verknüpft wurde, das einen Kauf getätigt hat —, für die einmalige Prüfung, die unten beschrieben ist, nach der unser Server sie nicht behält. Der Bildschirm nennt jedes davon, bevor du sendest, damit du beim Schreiben weißt, was du sendest.

Was nur mitgeht, wenn du es dazulegst. Dateien — bis zu drei, Screenshots oder eine kurze Bildschirmaufnahme, von dir aus deiner eigenen Mediathek ausgewählt; wir bekommen, was du anhängst, und nichts, was du nicht angehängt hast. Eine Adresse für die Antwort, wenn du eine Antwort möchtest; ohne sie lesen wir trotzdem jedes Wort und haben dann keine Möglichkeit zu wissen, wer geschrieben hat. Und die Mess-Kennung aus Abschnitt 6, hinter einem Schalter, der nur erscheint, wenn es eine zum Anhängen gibt: Sie ist es, die uns nachsehen lässt, wie sich die App verhalten hat, bevor du geschrieben hast.

Das Eine, was wir selbst ermitteln, ist, ob die Nachricht von einem Abonnenten kam, damit sie zuerst beantwortet werden kann. Dein Gerät schickt die zufällige Abo-Kennung aus Abschnitt 4, unser Server fragt RevenueCat, ob sie berechtigt ist, und schreibt diese Antwort auf — ja oder nein — und nie die Kennung selbst. So verbindet nichts das, was du gesagt hast, mit dem, was du gekauft hast.

Nachrichten werden für uns von Cloudflare auf Servern in Westeuropa gespeichert: der Text in einer Datenbank, die Dateien in einem Objektspeicher, beides unter der Vorgangsnummer, die die App dir nach dem Senden zeigt. Sie werden zwei Jahre aufbewahrt und dann von allein gelöscht, und früher, wenn du darum bittest — nenn dazu diese Nummer, oder sag uns irgendetwas anderes, womit wir die Nachricht finden. Wir lesen sie, und ebenso das Modell, von dem gleich die Rede ist; für nichts anderes werden sie benutzt: nicht zum Messen, nicht für Profile, nicht um die KI von irgendjemandem zu trainieren, und nicht dazu, irgendetwas über dich zu entscheiden.

Die erste Leserin ist eine Maschine, und keine von uns. Jede neue Nachricht liest zuerst ein KI-Modell — Claude von Anthropic —, dem wir eine einzige Aufgabe gegeben haben: herauszufinden, worum es in der Nachricht geht, wie wichtig sie ist und wohin in der App sie gehört, und zu entwerfen, was wir antworten könnten. Es entscheidet nichts, was du zu sehen bekommst. Ein Status und eine Notiz auf deinem „Meine Meldungen“-Bildschirm, eine E-Mail an dich, ein Ticket in unserem Tracker: Jedes davon geschieht nur auf unser Wort hin, nachdem einer von uns gelesen hat, was es vorschlägt. Für diese Arbeit bekommen vier Dienste außer Cloudflare das, was du geschickt hast, ganz oder teilweise, zu sehen:

• Anthropic, in den USA, betreibt das Modell und erhält jede Nachricht vollständig: was du geschrieben hast, die Antwortadresse, falls du eine angegeben hast, alles oben Genannte, was immer mit einer Nachricht mitgeht, ob sie von einem Abonnenten kam, die Mess-Kennung, falls du sie angehängt hast, und jede Datei, die du angehängt hast — das Modell öffnet jede einzelne und sieht sie sich an. Die Abo-Kennung selbst erreicht es nie. Was das Modell gelesen hat, bleibt in der Aufzeichnung dieses Laufs, in unserem Konto bei Anthropic, und dieses Konto ist so eingestellt, dass Anthropic es nicht benutzt, um seine Modelle zu trainieren.
• Telegram, ein Unternehmen mit Sitz außerhalb des Europäischen Wirtschaftsraums, trägt uns die Zusammenfassung des Modells zu, und unsere Anweisungen zurück. Für jede Nachricht gibt die Zusammenfassung ihre Vorgangsnummer an, welche Art von Meldung es ist, das Gerät, die App-Version und die Sprache, ein, zwei Zeilen darüber, was du geschrieben hast — die dich möglicherweise zitieren —, eine Zeile, die ein angehängtes Bild beschreibt, und die Antwort, die das Modell vorschlägt. Nie deine E-Mail-Adresse, und nie die Dateien selbst.
• Google, dessen Server in den USA und anderswo stehen, trägt unsere Antwort, wenn wir dir per E-Mail antworten: Sie verlässt unser Gmail-Postfach in Richtung der Adresse, die du angegeben hast, mit der Vorgangsnummer im Betreff, und der Austausch bleibt in diesem Postfach.
• GitHub, in den USA, beherbergt unseren Tracker, der nicht öffentlich ist. Wird aus deiner Meldung dort ein Ticket, trägt das Ticket die Vorgangsnummer, das Gerät und die App-Version, und das Problem, beschrieben in unseren eigenen Worten — nie deine E-Mail-Adresse.

Diese vier gehören nicht zu unseren Auftragsverarbeitern aus Abschnitt 10: Wir nutzen jeden von ihnen zu seinen eigenen Bedingungen, wie jeder seiner Nutzer, und kein Auftragsverarbeitungsvertrag bindet sie an uns. Auch die nächtliche Löschung erreicht sie nicht. Sie erfasst unsere Datenbank und unseren Dateispeicher bei Cloudflare — wo auch jede an Telegram gesendete Zusammenfassung aufbewahrt wird, zwei Jahre ab dem Tag, an dem sie verschickt wurde — und nichts außerhalb davon. Was die vier haben, bleibt, bis wir es dort von Hand löschen, und wenn du uns bittest, deine Nachricht zu löschen, tun wir das: an allen vier Stellen und in diesen Zusammenfassungen. Jede Kopie trägt die Vorgangsnummer; daran finden wir sie. Sobald wir einen Lauf aus unserem Konto gelöscht haben, geben die Bedingungen von Anthropic ihm 30 Tage, ihn aus den eigenen Systemen zu entfernen.

Eines noch, bevor du ein Bild anhängst: Ein Screenshot hält alles fest, was auf dem Bildschirm war, als du ihn gemacht hast, unter Umständen also auch einen Text, den du gerade gelesen hast. Häng nur an, was wir von dir haben dürfen, und wir löschen, was wir nicht brauchen.

Eine Sprache anfragen. Wo die App eine Sprache aufführt, die sie noch nicht spricht, kannst du uns bitten, sie hinzuzufügen. Ein Tipp auf „Anfragen“ schickt unserem Server zwei Dinge und nichts sonst: den Sprachcode und einen zufälligen Schlüssel, den diese Installation erzeugt, wenn du zum ersten Mal fragst. Der Schlüssel ist dazu da, dass eine Anfrage, die wegen einer schlechten Verbindung zweimal abgeschickt wird, nicht als zwei Installationen gezählt wird, die dieselbe Sprache wollen. Die Anfrage geht ab, ob du das Messen aus Abschnitt 6 erlaubt hast oder nicht, denn es ist etwas, worum du uns gebeten hast, nicht etwas, das wir gemessen haben. Sie wird bei Cloudflare in Westeuropa aufbewahrt, neben den Nachrichten, zwei Jahre ab dem Tag ihres Eingangs, und wird dann automatisch gelöscht; niemand außer uns liest sie, und sie geht nirgendwo sonst hin. Der Schlüssel wird nirgends angezeigt, nicht einmal dir, und nichts, was wir daneben aufbewahren, sagt, wem er gehört — auch deshalb können wir deinen nicht heraussuchen, um ihn früher zu löschen. Auf deinem Gerät bleibt der Schlüssel, bis du das Gerät löschst oder die App entfernst.

6c. Fragen an die KI-Hilfe

Die Suche oben in den Einstellungen kann eine Frage an die KI-Hilfe weitergeben. Nichts wird gesendet, bis du auf „KI fragen“ tippst, und dann nur dies: die Wörter, die du eingegeben hast, die Sprache der App, die Einstellungen, die die App-eigene Suche zu diesen Wörtern gefunden hat, und eine Zufallszahl, die die App für diese Installation erzeugt. Niemals deine Texte, deine Aufnahmen oder sonst etwas auf dem Gerät.

Die Frage wird auf unserem Server bei Cloudflare beantwortet, und zwar von einem offenen KI-Modell, das anhand des Handbuchs der App antwortet. Cloudflare nutzt das, was es erhält, nicht zum Trainieren eines Modells, und wir speichern weder die Frage noch die Antwort: Beide existieren nur, während die Antwort geschrieben wird. Die Antwort wird dir ausdrücklich als KI-Antwort gekennzeichnet angezeigt, weil sie falsch sein kann.

Um Missbrauch zu verhindern, führt der Server unter dieser Zufallszahl Zähler: wie oft das Gerät in der letzten Minute gefragt hat und wie oft es in der letzten Stunde etwas gefragt hat, das nichts mit Whisprompt zu tun hat. Geschieht das wiederholt, pausiert der Server die KI-Hilfe für dieses Gerät: zuerst eine Minute, danach jedes Mal doppelt so lange, nie mehr als einen Tag. Niemals, was gefragt wurde. Diese Zähler werden eine Stunde nach der letzten Frage dieser Art oder einen Tag nach der letzten Pause gelöscht. Der Server zählt außerdem die Fragen, die von derselben Internetadresse (IP) kommen, damit ein einzelner Ort die Hilfe, die für alle gedacht ist, nicht aufbrauchen kann: Ab einer festgelegten Anzahl pro Stunde oder pro Tag muss diese Adresse warten. Die Adresse selbst wird nie gespeichert — nur eine nicht umkehrbare Verwürfelung davon (ein Hash), die sich jeden Tag ändert — und diese Zähler werden einen Tag nach der letzten Frage gelöscht. Eine Pause trifft keine Entscheidung über dich, sondern betrifft nur die KI-Hilfe auf diesem Gerät. Das beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jedes Mal erteilst, wenn du auf „KI fragen“ tippst.

7. Ein Gerät löschen, bevor es deine Hände verlässt

In den Einstellungen der App steckt unter „Nutzungsdaten“ eine Schaltfläche „Dieses Gerät löschen“. Sie ist das Richtige, bevor du ein Gerät verkaufst, zurückgibst, in Zahlung gibst oder weiterreichst, und die Nutzungsbedingungen bitten dich darum.

Sie entfernt von diesem Gerät: deine Texte, deine Aufnahmen, die Sprachmodelle, die du heruntergeladen hast, die Verbindungen, die du Diensten wie Notion erteilt hast, die Mess-Kennung und jede Datenschutz-Antwort, die du darauf gegeben hast. Sie nimmt das Gerät außerdem aus deinen verknüpften Geräten heraus, sodass es deine Bibliothek nicht mehr spiegelt und dein Abo nicht mehr teilt. Deine anderen Geräte behalten alles.

Dein Abo ist davon nicht betroffen. Es gehört zu deinem Konto im App Store oder bei Google Play und wird auf deinem nächsten Gerät wiederhergestellt.

Zwei Grenzen, klar gesagt. Ist das Gerät offline, während du es löschst, wird das Löschen vor Ort trotzdem fertig, aber deinen anderen Geräten wird es nicht gesagt; die App sagt das, und du kannst es auf jedem von ihnen aus der Geräteliste entfernen. Und Messwerte, die vor dem Löschen schon gesendet wurden, holt es nicht zurück — dafür nimm die Löschanfrage aus Abschnitt 11.

8. Was wir NICHT erheben

• Keine Werbekennungen und keine Werbe-SDKs von Dritten.
• Keine Analyse und kein Tracking auf dieser Website. In der App überhaupt nichts, solange du nicht zugestimmt hast, und danach die in Abschnitt 6 beschriebene Messung und nichts außer ihr: keine Werbung, kein Profiling und kein Verfolgen von dir über die Apps und Websites anderer Unternehmen hinweg.
• Keine Absturzberichte, solange du sie nicht selbst einschaltest, und nichts in einem Bericht, was dich identifiziert — siehe Abschnitt 6a.
• Kein Verkauf und keine Weitergabe personenbezogener Daten im Sinne der DSGVO.

Diese Website setzt keine Cookies. Sie behält in deinem Browser zwei Einstellungen: das Erscheinungsbild, das du mit der Sonne-und-Mond-Schaltfläche in der Kopfzeile wählst, und die Sprache, damit whisprompt.app beim nächsten Mal in der Sprache aufgeht, in der du zuletzt gelesen hast. Beide sind nur für diese Website lesbar, keine von beiden identifiziert dich, keine von beiden wird an uns oder an sonst jemanden gesendet, und die Daten dieser Website im Browser zu löschen entfernt sie. Ausgeliefert wird die Website von Cloudflare, das die Adresse sieht, von der aus du dich verbindest, wie jeder Webserver das tut, und daraus nur das Land ableitet, mit dem der Preis für deinen Store angezeigt wird.

9. Rechtsgrundlagen (Art. 6 DSGVO)

Die Verarbeitung deines Tons und deiner Texte für den Betrieb des Prompters erfolgt, um die von dir angeforderte Funktionalität bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO, Erfüllung eines Vertrags / auf deine Anfrage hin). Optionale verbundene Quellen, Abo-Berechtigungen und die Wiederherstellung von Käufen beruhen auf derselben Grundlage. Der Schutz des Relays vor Missbrauch beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Alles aus Abschnitt 6 beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): das Messen selbst und das Zählen deiner Geräte als eine Person unter einer gemeinsamen Kennung. Auf deiner Einwilligung beruhen auch die Absturzberichte aus Abschnitt 6a — eine dritte Erlaubnis, die zu keiner der beiden anderen gehört: Eine Berichtskomponente speichert Dinge auf deinem Gerät und wird für den Betrieb eines Prompters nicht gebraucht, es gibt also nichts, worauf sie sich stützen könnte, außer deinem Ja. Alle drei werden getrennt gefragt und getrennt widerrufen, jederzeit; der Widerruf ist so leicht, wie die Zustimmung es war, und kostet keinen Fingertipp mehr. Der Widerruf wirkt von diesem Moment an: Er macht nicht rechtswidrig, was wir getan haben, während deine Einwilligung galt, und er löscht von sich aus nicht, was schon gesendet wurde — dafür bitte uns darum, und Abschnitt 11 sagt, wie. Das Messen und die Absturzberichte werden für einen Menschen beantwortet und nicht für ein Handy: Die Antwort, die du gibst, wird auf einem Gerät nachgetragen, das du verknüpfst und das noch nicht gefragt wurde — und das dir sagt, dass es sie übernommen hat —, und sie verdrängt nie eine Antwort, die auf einem Gerät schon gegeben wurde. Nach dem Zählen wird aus einem verwandten Grund einmal gefragt, denn es ist eine Tatsache über eine Menge von Geräten und nicht über eines von ihnen, und ein Ja dazu wird zu den anderen Geräten desselben Abos getragen. Ein Widerruf reist weiter als jede dieser Antworten: Er erreicht deine Geräte auch dort, wo sie schon geantwortet haben, denn ein Widerspruch kommt von einem Menschen, und zwischen einem Gerät zu viel und einem, das gegen den Willen dieses Menschen weiter misst, nehmen wir das Erste. Wir fragen, statt es vorauszusetzen, und der Grund ist es wert, klar gesagt zu werden: Eine App zu messen, indem eine Kennung auf deinem Gerät gespeichert wird, ließe sich nur dann ohne Frage tun, wenn unser Messanbieter sich schriftlich verpflichtet hätte, die Daten nie für eigene Zwecke weiterzuverwenden, und es unmöglich gemacht hätte, in seinem eigenen Werkzeug einen einzelnen Menschen anzusehen. Um beides haben wir ihn nicht gebeten — deshalb fragen wir dich.

Was wir mit den Messwerten tun, ist es wert, benannt statt abstrakt beschrieben zu werden: Whisprompt folgt deiner Stimme in jeder unterstützten Sprache durch einen Text, die Güte dieses Folgens ist von Sprache zu Sprache verschieden, und der einzige Weg, wie wir erfahren, dass eine Sprache schlecht verfolgt wird, ist zu zählen, wie oft Leute den Text von Hand selbst übernehmen mussten — je Sprache und über genug Installationen hinweg, damit die Zahl überhaupt etwas bedeutet. Die Messwerte zum Abo-Bildschirm beantworten eine kleinere Frage: an welcher gesperrten Funktion die Leute tatsächlich hängenbleiben. So oder so tragen die Messwerte nichts von dem, was du geschrieben oder gesagt hast, die Adresse, von der sie ankommen, wird nicht in einen Standort verwandelt, die Kennung wird nach dreizehn Monaten ersetzt, und nichts wird mit Daten von irgendwoher sonst zusammengeführt oder benutzt, um Entscheidungen über dich zu treffen.

Nichts davon wird von dir verlangt. Kein Gesetz verpflichtet dich, uns irgendetwas davon zu geben, und nichts, was wir verkaufen, hängt daran: Die App lässt sich installieren, der Prompter läuft, und ein Abo wird ohne Konto gekauft und wiederhergestellt. Eine Funktion hängt an einer Erlaubnis — deiner Stimme zu folgen geht ohne das Mikrofon nicht —, und sie zu verweigern lässt den Prompter von allein scrollen, was ein eigener Modus ist und kein Notbehelf. Die Messung aus Abschnitt 6 und die Absturzberichte aus Abschnitt 6a werden für gar nichts gebraucht: Verweigere das eine oder das andere oder beides, und die App verhält sich genau so, wie sie es sonst täte. Die Folge einer Verweigerung trifft uns und nicht dich — uns fehlt dann einfach der Messwert.

Entscheidungen über dich treffen wir nicht mit automatisierten Mitteln, und Profile bauen wir nicht. Nichts von dem, was hier beschrieben ist, bewertet dich, sagt irgendetwas über dich voraus oder sortiert dich in eine Gruppe, und nichts davon entfaltet dir gegenüber eine rechtliche Wirkung oder etwas Vergleichbares. Zwei Dinge entscheidet eine Maschine, und beide betreffen Technik und nicht dich: Das Relay weist Anfragen ab, die zu schnell hintereinander kommen, und es fügt einem Abo, das schon sechs Geräte abdeckt, kein siebtes hinzu. Keines von beiden wägt irgendetwas an dir ab — das eine zählt Anfragen, das andere zählt Geräte. Das Modell, das deine Nachrichten zuerst liest (Abschnitt 6b), sortiert sie — worum es in jeder geht und wie dringend sie wirkt —, entscheidet aber nichts über dich: Was auch immer dich von ihm erreicht, hat einer von uns entschieden.

Was du uns selbst schickst — eine Nachricht vom Feedback-Bildschirm oder eine Anfrage nach einer Sprache (beides in Abschnitt 6b) oder was immer du uns per E-Mail schicken willst —, beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Bevor du es sendest, wird nichts erhoben, und was mit einer Nachricht mitgeht, entscheidest du beim Schreiben. Dir zu antworten, das zu beheben, wovon du uns erzählt hast, und zu zählen, welche Sprachen sich Leute wünschen, ist genau dieses Handeln, das damit eingelöst wird.

10. Auftragsverarbeiter und Übermittlungen außerhalb des EWR

Jeder hier genannte Auftragsverarbeiter ist uns durch einen schriftlichen Auftragsverarbeitungsvertrag verbunden, der ihn verpflichtet, deine Daten nach dem Maßstab dieser Erklärung zu schützen, sie nur nach unseren Weisungen und nur zu dem hier genannten Zweck zu verarbeiten und nie für eigene Zwecke. Unsere Auftragsverarbeiter — RevenueCat (Abos), Cloudflare (das Relay, die Nachrichten, die du vom Feedback-Bildschirm sendest, und die Fragen an die KI-Hilfe), Amplitude (Nutzungsdaten) und Sentry (Absturzberichte) — können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, auch in den Vereinigten Staaten. Amplitude nimmt die Messwerte auf seinem europäischen Endpunkt entgegen, und Sentry hält Absturzberichte in seiner europäischen Region, aber beide Unternehmen sind amerikanisch, und deshalb beruhen diese Übermittlungen trotzdem auf den Klauseln unten. Jede solche Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln, die in den Auftragsverarbeitungsvertrag aufgenommen sind, den wir mit jedem dieser Auftragsverarbeiter haben: Der Nachtrag von Amplitude ist Teil seiner Nutzungsbedingungen und trägt die Klauseln von 2021, und der Nachtrag von Sentry zur Auftragsverarbeitung trägt dieselben Klauseln zusammen mit dem britischen Nachtrag. Um eine Kopie der Klauseln zu erhalten, auf denen eine dieser Übermittlungen beruht, schreib an support@whisprompt.app und nenne den Auftragsverarbeiter, nach dem du fragst; wir schicken dir die Klauseln, die für ihn gelten. (Was Amplitude über deine Messwerte hinaus hat, sind die Testereignisse, die wir selbst von unseren eigenen Geräten geschickt haben, um zu prüfen, dass die Adresse, von der eine Messung ankommt, nicht in einen Standort verwandelt wird. Sie sind unsere und nicht deine, und wir löschen sie.) Die Vereinbarungen und Klauseln oben gelten für diese Auftragsverarbeiter und für niemanden sonst. Die vier Dienste, die Abschnitt 6b nennt, wenn er beschreibt, wer das liest, trägt oder hält, was du vom Feedback-Bildschirm sendest — Anthropic, Telegram, Google und GitHub —, sind keine Auftragsverarbeiter von uns: Jeder von ihnen ist außerhalb des Europäischen Wirtschaftsraums ansässig oder hält das Empfangene außerhalb davon, und jeder handhabt es zu seinen eigenen Bedingungen. Keiner unserer Auftragsverarbeiter hat einen Namen von dir, und nur einer von ihnen kann eine E-Mail-Adresse haben: Gibst du auf dem Feedback-Bildschirm eine an, damit wir antworten können, so steckt sie in deiner Nachricht bei Cloudflare, bis diese Nachricht gelöscht wird. Darüber hinaus haben sie eine zufällige Abo-Kennung, Kennungen je Gerät, die Kennung, die die Messwerte tragen, den Namen, den jedes Gerät von sich meldet, und technische Angaben zur Verbindung. Außerhalb von ihnen liest das Modell bei Anthropic diese Adresse zusammen mit dem Rest deiner Nachricht, und wenn wir dir per E-Mail antworten, steht sie auch in unserem Gmail-Postfach — wie lange, sagt Abschnitt 6b.

11. Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit deiner Daten sowie das Recht auf Widerspruch gegen die Verarbeitung. Wir haben weder einen Namen noch eine E-Mail-Adresse von dir: Whisprompt hat keine Konten, und eine Adresse, die du uns mit einer Nachricht gibst, bleibt bei dieser Nachricht (Abschnitt 6b). Einen Datensatz auf einem eigenen Server haben wir aber doch: Nutzt du Whisprompt Pro auf mehreren deiner Geräte, führen wir eine Liste dieser Geräte — eine Kennung, die die App je Gerät erzeugt, den Namen, den jedes Gerät von sich meldet, und wann es hinzugefügt und wann es zuletzt gesehen wurde — unter einer zufälligen Abo-Kennung. Diesen Datensatz kannst du jederzeit aus der App löschen (Einstellungen → Daten auf unseren Servern), und alles andere bleibt auf deinem Gerät: Texte, Modelle und die App selbst löschst du, wann immer du willst. Um deine Einwilligung in die Nutzungsmessung zu widerrufen, schalte sie aus (Einstellungen → Nutzungsdaten) oder schreib uns — Abschnitt 6 beschreibt beides, und beides stoppt die Erhebung und löscht die Kennung vom Gerät. Sollen auch die schon gesendeten Messwerte gelöscht werden, sag uns Bescheid, und wir löschen sie: Sie liegen unter dieser einen zufälligen Kennung und unter keinem Namen von dir. Deinen Abo-Datensatz zu löschen reicht nicht bis zu ihnen, und das Messen auszuschalten reicht nicht bis zu ihm, denn die beiden werden mit Absicht unter verschiedenen Kennungen geführt: Sag uns, was von beidem weg soll — oder beides. Hast du uns vom Feedback-Bildschirm aus geschrieben und willst, dass diese Nachricht samt Anhängen verschwindet, nenne die Vorgangsnummer, die die App dir gezeigt hat — über diese Nummer finden wir sie, und die Kopien davon, die Abschnitt 6b beschreibt, und es ist kein Name von dir dazu abgelegt, über den wir sie sonst finden könnten. Für jede Anfrage schreib an support@whisprompt.app. Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren — bei der an deinem Wohnort, bei der an deinem Arbeitsplatz oder bei der an dem Ort, an dem deiner Meinung nach etwas schiefgelaufen ist. Unsere ist die Agencia Española de Protección de Datos in Spanien (aepd.es).

12. Speicherdauer

Lokale Daten bleiben, bis du sie löschst oder die App entfernst. Abo-Daten werden mit deinem Kundenprofil bei RevenueCat entfernt, wobei anonymisierte Transaktionsaufzeichnungen von RevenueCat und vom App-Store zu Buchhaltungszwecken aufbewahrt werden können. Relay-Räume leben höchstens vier Stunden, das Postfach für die Verbindung bis zu 30 Tage, und die Liste der Geräte deines Abos, bis ein Jahr vergangen ist, in dem keines davon sie genutzt hat — oder bis du sie aus der App löschst. Auf Nutzungsmesswerten steht kein Ablaufdatum; wie lange sie aufbewahrt werden, entscheidet das, wozu sie da sind. Sie bleiben, solange sie noch die Frage beantworten können, für die sie erhoben wurden — ob die Version der App, die die Leute gerade benutzen, sich so verhält, wie wir denken —, und sie werden gelöscht, sobald sie das nicht mehr können, oder früher, wenn du uns bittest, deine zu löschen. Nichts wird auf die Chance hin aufbewahrt, dass es sich später als nützlich erweist. Die Kennung, unter der diese Messwerte liegen, läuft nach einer eigenen Uhr, und nach einer kurzen: Sie wird spätestens dreizehn Monate nach ihrer Erzeugung ersetzt, gerechnet ab dem Tag der Erzeugung und nicht durch Benutzung verlängert, sodass kein Bestand unter einer Kennung länger reichen kann als das. Absturzberichte werden bei Sentry nicht länger als 90 Tage aufbewahrt. Eine vom Feedback-Bildschirm gesendete Nachricht wird mit allem, was daran hängt, zwei Jahre ab dem Tag ihres Eingangs aufbewahrt und dann von allein gelöscht — dieses Löschen erledigt nächtlich das System, das sie hält, und nicht jemand, der daran denkt; bitte uns darum, und deine geht früher. Dieses Löschen erreicht nicht die Kopien, die Abschnitt 6b bei Anthropic, Telegram, Google und GitHub beschreibt: Sie bleiben, bis wir sie von Hand löschen, was wir tun, wenn du darum bittest. E-Mails an den Support werden nur so lange aufbewahrt, wie es für die Bearbeitung deiner Anfrage nötig ist. Eine Anfrage nach einer Sprache wird zwei Jahre ab dem Tag ihres Eingangs aufbewahrt und dann von demselben nächtlichen Lauf gelöscht.

13. Kinder

Whisprompt richtet sich nicht an Kinder unter 16 Jahren und verarbeitet ihre Daten nicht wissentlich.

14. Änderungen

Wir aktualisieren diese Seite, wenn sich unsere Praxis ändert, und passen das Datum oben an. Wo der Zeitpunkt der Änderung bei uns liegt, wird die Seite vor der Version aktualisiert, die sie bringt, und nicht danach.