Wohin deine Sprachaufnahme geht

Bei einer App, die zuhört, ist das die erste Frage, die zählt: Wohin geht das, was ich sage? Die meisten Antworten darauf sind eine Zeile lang und beruhigend formuliert. Als dieser Text zuerst erschien, stand hier die lange Fassung — vier Stationen, zwei Länder, eine unangenehme Ausnahme.

Die kurze Antwort

Nirgendwohin. Du sprichst, dein Telefon macht daraus Text, die Aufnahme wird verworfen. Es gibt in der App keinen Programmpfad mehr, auf dem eine Sprachaufnahme das Gerät verlassen könnte — nicht zu uns, nicht zu einem Dritten.

Erkannt wird mit der Spracherkennung, die im Betriebssystem deines Telefons steckt. Es ist dieselbe, die arbeitet, wenn du auf der Tastatur das Mikrofon antippst: auf iPhones Apples Speech-Framework, auf Android-Geräten der Erkenner, den das System mitbringt. Beide können das ohne Netz, und genau darauf besteht die App.

Was jetzt passiert, wenn du sprichst

1. Die Aufnahme entsteht im Arbeitsspeicher deines Telefons.
2. Das Betriebssystem hört mit und liefert Text zurück, schon während du redest.
3. Der Text wird zerlegt. Aus „zwei Kapseln Magnesium, dazu einen Kaffee“ werden zwei Karten mit Uhrzeit — das rechnet die App selbst, auf dem Gerät.
4. Die Aufnahme ist weg. Was bleibt, ist der Eintrag, den du bestätigst, und der liegt in der Datenbank auf dem Telefon.

Dein Wortschatz — die Präparatnamen, die du benutzt — geht als Hilfe in die Erkennung, damit aus „Elalanin“ ein „L-Alanin“ wird. Auch er bleibt dabei auf dem Gerät. Das ist der Eintrag, auf den es hier am meisten ankommt: Wer weiß, welche Mittel jemand benennt, weiß etwas über dessen Gesundheit. Genau diese Liste ging früher mit jeder Aufnahme über die Leitung.

Der Weg, den es bis zum 11. September gab

Er hatte vier Stationen, und er war so gebaut, dass man ihn aufschreiben konnte:

1. Auf deinem Telefon entstand eine Audiodatei.
2. Frankfurt am Main. Sie ging an eine eigene Schnittstelle in einem deutschen Rechenzentrum, die prüfte, dass ein angemeldeter Nutzer sie aufrief.
3. Paris. Dort lief der Erkennungsdienst — Scaleway, eine französische Firma, mit dem offenen Modell Whisper.
4. Zurück. Der Text kam denselben Weg zurück.

Das dauerte gut eine Sekunde, war vertraglich abgesichert und lag vollständig in der EU. Es war, gemessen an dem, was üblich ist, eine gute Lösung. Sie ist trotzdem gegangen.

Warum wir ihn abgerissen haben

Was in diesem Weg unterwegs war, sind Gesundheitsdaten nach Artikel 9 DSGVO — die Kategorie mit dem höchsten Schutz, den die Verordnung kennt. Wer solche Daten an einen Dienstleister gibt, sollte von diesem eine Zusage haben, dass sein Dienst dafür überhaupt vorgesehen ist.

Wir haben danach gefragt. Schriftlich.

Die Antwort war nein. Der Anbieter betreibt zwar eine eigene Zertifizierung für das Hosten von Gesundheitsdaten nach französischem Recht. Sie gilt für Server, Speicher und Netzwerk — nicht für den Erkennungsdienst, den wir benutzten. Bei einem zweiten geprüften Anbieter fiel die Antwort genauso aus, aus demselben Grund.

Damit gab es zwei Wege. Einen dritten Anbieter suchen und hoffen, dass die Antwort dort anders lautet. Oder die Übertragung abschaffen.

Wir haben die Übertragung abgeschafft. Was nicht übertragen wird, braucht keine Freigabe, keinen Vertrag, keinen Standort und keine Ausnahme für Fehlerfälle.

Was damit alles verschwindet

• Der Auftragsverarbeiter. Für Sprachaufnahmen gibt es keinen mehr — nicht in Frankreich, nicht anderswo.
• Die Einwilligung. Sie war nötig, weil übertragen wurde. Ohne Übertragung hat sie keinen Gegenstand. Der Schalter „Spracherkennung erlauben“ ist aus den Einstellungen verschwunden.
• Die zwei Wochen. Der alte Dienst durfte bei technischen Fehlern die betroffene Anfrage bis zu zwei Wochen aufbewahren — etwa eine von einer Million. Dieser Absatz stand in diesem Artikel und in der Datenschutzerklärung, weil „wird nicht gespeichert“ sonst nicht ganz wahr gewesen wäre. Jetzt ist er wahr.
• Das Minutenkontingent. Es zählte Sekunden bei einem Dienst, den es nicht mehr gibt. Es gibt keine Aufnahmezeit mehr, die aufgebraucht werden könnte.

Was es kostet

Das gehört in denselben Text wie die gute Nachricht, sonst ist die gute Nachricht keine.

Nicht jedes Telefon kann es. Die App startet die Erkennung nur, wenn das Betriebssystem bestätigt, dass es deine Sprache tatsächlich auf dem Gerät versteht. Auf iPhones ist das seit Jahren der Fall. Auf Android braucht es Version 13 oder neuer und ein installiertes Sprachpaket. Ist beides nicht da, gibt es in RecTake keine Spracherkennung — dann tippst du.

Wir bauen dafür ausdrücklich keinen stillen Rückfall auf einen Server ein. Eine App, die im Zweifel doch überträgt und es nicht sagt, ist schlimmer als eine, die eine Funktion nicht hat.

Was diesen Weg gar nicht erst antrat

Deine Einträge. Was am Ende im Tagebuch steht — welches Präparat, welche Menge, wie es dir ging — lag schon immer in einer Datenbank auf deinem Telefon und wurde nie übertragen. Daran hat sich nichts geändert; die Aufnahme ist ihnen nur nachgezogen.

Das hat eine unbequeme Kehrseite, die zur Ehrlichkeit dazugehört: Wir haben keine Kopie. Geht das Telefon verloren, sind die Einträge weg, und wir können sie nicht wiederherstellen. Datenschutz und Bequemlichkeit sind hier tatsächlich gegenläufig, und wir haben uns entschieden.

Was dein Konto noch weiß

Ein Konto brauchst du weiterhin, aber nur noch für einen Zweck: Ein Abo muss auf einem neuen Telefon wiedererkannt werden. Es kennt deine E-Mail-Adresse, eine Konto-ID und deinen Abo-Status. Was du einträgst, kennt es nicht — und was du sprichst, jetzt auch nicht mehr.

Warum wir das so ausführlich aufschreiben

Weil „deine Daten sind sicher“ nichts bedeutet. Prüfbar wird eine Zusage erst, wenn dabeisteht, wer sie einhalten muss, wo das passiert und welche Ausnahme es gibt.

Dieser Artikel hatte einmal eine solche Ausnahme, und sie stand nicht in einer Fußnote. Dass sie jetzt weg ist, ist die eigentliche Nachricht — und der Grund, warum wir den Text lieber neu schreiben, als ihn stillschweigend zu löschen. Wer die alte Fassung gelesen und eingewilligt hat, soll erfahren, was daraus geworden ist.

Der vollständige Wortlaut steht in der Datenschutzerklärung. Was mit einer früher erteilten Einwilligung passiert, steht dort in Abschnitt 8.