← Zur StartseiteBack to homepage

Datenschutzerklärung

Privacy Policy

Stand: September 2026 Last updated: September 2026

1. Verantwortlicher

Taskki
Tobias Meichsner
64646 Heppenheim
Deutschland

E-Mail: info@sprachzettel.de · tobias.meichsner@taskki.de

2. Unsere Grundprinzipien

SprachZettel wurde von Grund auf mit dem Ziel gebaut, so wenig personenbezogene Daten wie möglich zu verarbeiten und zu speichern:

  • Zero-Data bei Sprachaufnahmen: Audioaufnahmen werden ausschließlich zur unmittelbaren Umwandlung in Text und zur Ableitung deiner Anweisung verwendet und danach automatisiert gelöscht. Keine dauerhafte Speicherung.
  • Ende-zu-Ende-Verschlüsselung bei Direktnachrichten: Nachrichten zwischen Nutzern werden auf deinem Gerät verschlüsselt, bevor sie unsere Server erreichen. Wir speichern ausschließlich den verschlüsselten Text und besitzen zu keinem Zeitpunkt den Schlüssel, um ihn zu lesen.
  • Verarbeitung in der EU: Die KI-gestützte Verarbeitung (Sprachverstehen und Sprachausgabe) erfolgt bei Google Cloud ausschließlich in der EU-Region.
  • Kein KI-Training mit deinen Inhalten: Weder Aufgaben, Notizen noch Sprachbefehle werden zum Training von KI-Modellen verwendet.

3. Welche Daten wir verarbeiten

Kontoerstellung: Registrierung über einen biometrischen Passkey statt eines Passworts. Wir verarbeiten dabei kryptografische Schlüsselinformationen — dein biometrisches Merkmal verlässt dein Gerät nie. Bei der Einrichtung wird lokal ein Wiederherstellungscode erzeugt, aus dem dein privater Verschlüsselungsschlüssel abgeleitet wird; dieser Code verlässt dein Gerät ebenfalls nie.

Aufgaben, Termine & Notizen: von dir angelegte Inhalte, gespeichert, damit die App sie dir anzeigen kann.

Sprachbefehle: Audioaufnahmen werden zur Verarbeitung übertragen, in Text umgewandelt und ausgewertet. Die Aufnahme selbst wird danach nicht gespeichert.

Kontakte: Kontaktanfragen per Benutzername liefern unabhängig vom tatsächlichen Ergebnis stets dieselbe Rückmeldung, damit nicht ermittelt werden kann, welche Benutzernamen existieren.

Direktnachrichten: Ende-zu-Ende-verschlüsselt (AES-256-GCM, Schlüsselaustausch via X25519) — auf unseren Servern liegt ausschließlich der verschlüsselte Inhalt.

Google Kalender / Gmail (optional): bei aktiver Verknüpfung greifen wir auf deinen Google-Kalender zu (Termine lesen und anlegen) und versenden E-Mails in deinem Namen. Ein Lesezugriff auf dein Postfach findet derzeit nicht statt. Der Umfang der Automatisierung ist von dir wählbar (nur lesend / mit Bestätigung / automatisch) und die Verknüpfung jederzeit widerrufbar.

Push-Benachrichtigungen: bei Aktivierung ein gerätespezifischer Push-Token für die Zustellung über Firebase Cloud Messaging. Erinnerungs-Benachrichtigungen enthalten den Titel der Aufgabe; auf dem Sperrbildschirm wird er erst nach dem Entsperren angezeigt.

Melden und Blockieren: Wenn du einen Kontakt meldest, speichern wir dein Konto, das gemeldete Konto, den gewählten Grund und deine optionale Beschreibung — keine Nachrichteninhalte, diese bleiben Ende-zu-Ende-verschlüsselt. Meldungen werden manuell gesichtet und spätestens 90 Tage nach Abschluss gelöscht. Blockierungen speichern wir, solange sie bestehen.

Kontaktformular: Name, E-Mail-Adresse und Nachrichtentext, wenn du uns über die Website kontaktierst — ausschließlich zur Bearbeitung deiner Anfrage.

Technische Protokolldaten: Wir protokollieren keine IP-Adressen. Unsere Web-Server führen keine Zugriffsprotokolle; das Anwendungs-Backend protokolliert Anfragen ausschließlich ohne Adresse (Zeitpunkt, aufgerufener Pfad, Statuscode) und löscht diese Einträge automatisiert nach 5 Tagen.

  • Google Cloud Text-to-Speech (Google Ireland Limited) — Umwandlung der Assistenten-Antworten in Sprache; der Antworttext wird an den EU-Endpunkt übertragen und dort nicht gespeichert.
  • Google Firebase Cloud Messaging — Zustellung von Push-Benachrichtigungen.
  • Google Calendar API / Gmail API — ausschließlich bei aktiver Verknüpfung.
  • Hostinger — Hosting der Server-Infrastruktur.

    • Eine Übermittlung an weitere Dritte oder zu Werbezwecken findet nicht statt.

    7. Speicherdauer

    • Audioaufnahmen: keine Speicherung, sofortige Löschung nach Verarbeitung.
    • Aufgaben, Notizen, Nachrichten: bis zur Löschung durch dich bzw. deines Kontos.
    • Kontodaten: bis zur Löschung deines Kontos.
    • Google-OAuth-Token: bis zum Trennen der Verknüpfung.
    • Technische Server-Protokolle: ohne IP-Adresse, automatisiert nach 5 Tagen gelöscht.
    • Kontaktformular-Anfragen: 90 Tage nach Bearbeitung, spätestens nach 12 Monaten.
    • Meldungen: spätestens 90 Tage nach Prüfung.
    • Sprachbefehle und Antwortentwürfe: Transkript, Antwortentwurf und Kontext werden sofort nach der Auslieferung gelöscht — bei bestätigungspflichtigen Aktionen in dem Moment, in dem du bestätigst oder verwirfst. Auf dem Server verbleibt für höchstens 15 Minuten ein inhaltsleerer Eintrag (Kennung, Prüfsumme, Zeitstempel), der ausschließlich verhindert, dass derselbe Befehl versehentlich zweimal ausgeführt wird. Ein noch nicht bestätigter Entwurf liegt ausschließlich auf deinem Gerät; er ist vom Server signiert, damit beim Bestätigen nachweisbar bleibt, dass genau dieser Entwurf erzeugt und dir angezeigt wurde. Betrifft dein Sprachbefehl eine Direktnachricht, liegt deren Text während der Verarbeitung kurzzeitig unverschlüsselt vor — die Ende-zu-Ende-Verschlüsselung erfolgt anschließend auf deinem Gerät.
    • Nicht zugestellte Aufnahmen auf deinem Gerät: Besteht beim Sprechen keine Internetverbindung, verbleibt die Aufnahme auf deinem Gerät, bis sie gesendet werden konnte — längstens 24 Stunden, danach wird sie verworfen. Sie verlässt dein Gerät in dieser Zeit nicht.

    8. Deine Rechte

    Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17 — direkt in den App-Einstellungen möglich), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft, sowie Beschwerde bei einer Aufsichtsbehörde. Kontakt: info@sprachzettel.de

    Auch ohne die App kannst du eine Löschung per E-Mail an info@sprachzettel.de anfragen.

    9. Datensicherheit

    TLS/HTTPS-Verschlüsselung der Verbindung, Ende-zu-Ende-Verschlüsselung für Direktnachrichten, passwortlose biometrische Authentifizierung, strikte serverseitige Zugriffsregeln.

    10. Änderungen

    Wir passen diese Erklärung an, wenn sich unsere Datenverarbeitung ändert. Die jeweils aktuelle Fassung findest du unter dieser Adresse.

    1. Data Controller

    Taskki
    Tobias Meichsner
    64646 Heppenheim
    Germany

    Email: info@sprachzettel.de · tobias.meichsner@taskki.de

    The German version of this policy is the legally authoritative version. This English translation is provided for convenience.

    2. Our core principles

    • Zero-data voice processing: audio recordings are used solely for immediate transcription and intent extraction, then automatically deleted. No permanent storage.
    • End-to-end encryption for direct messages: messages are encrypted on your device before reaching our servers. We only ever store ciphertext and never hold the key needed to read it.
    • EU-based processing: AI processing (speech understanding and speech output) runs on Google Cloud exclusively in the EU region.
    • No AI training on your content: your tasks, notes, and voice commands are never used to train AI models.

    3. What data we process

    Account creation: registration via a biometric passkey instead of a password. We process cryptographic credential information — your biometric trait itself never leaves your device. A recovery code generated locally derives your private encryption key and likewise never leaves your device.

    Tasks, appointments & notes: content you create, stored so the app can display it to you.

    Voice commands: audio is transmitted for processing, transcribed and interpreted. The recording itself is not stored afterwards.

    Contacts: username-based contact requests always return the same response regardless of outcome, so no one can determine which usernames exist.

    Direct messages: end-to-end encrypted (AES-256-GCM, X25519 key exchange) — our servers only ever hold the encrypted content.

    Google Calendar / Gmail (optional): when linked, we access your Google Calendar (reading and creating events) and send email on your behalf. We currently do not read your inbox. The level of automation is yours to choose (read-only / confirm-first / automatic) and the link can be revoked at any time.

    Push notifications: a device-specific push token for delivery via Firebase Cloud Messaging, if enabled. Reminder notifications contain the task title; on the lock screen it is shown only after unlocking.

    Reporting and blocking: when you report a contact we store your account, the reported account, the selected reason and your optional description — never message content, which remains end-to-end encrypted. Reports are reviewed manually and deleted no later than 90 days after resolution. Blocks are stored as long as they are active.

    Contact form: name, email address and message text if you contact us via the website — used exclusively to handle your request.

    Technical log data: automatically processed connection data (e.g. IP address, timestamp) for operational security and abuse prevention.

    4. Minimum age

    SprachZettel is not directed at individuals under 16. During registration you confirm via checkbox that you are at least 16 years old.

    5. Purposes and legal bases

    PurposeLegal basis (GDPR)
    App functionality (account, tasks, AI processing)Art. 6(1)(b)
    Direct messagesArt. 6(1)(b), (a)
    Google Calendar/Gmail integrationArt. 6(1)(a)
    Push notificationsArt. 6(1)(a)
    Contact formArt. 6(1)(f)
    Operational security, abuse preventionArt. 6(1)(f)

    6. Recipients and processors

    • Google Cloud / Vertex AI (Google Ireland Limited) — AI processing, Google Cloud EU region. Not used by Google for training purposes.
    • Google Cloud Text-to-Speech (Google Ireland Limited) — converts assistant replies into speech; the reply text is sent to the EU endpoint and not stored there.
    • Google Firebase Cloud Messaging — push notification delivery.
    • Google Calendar API / Gmail API — only when actively linked.
    • Hostinger — server infrastructure hosting.

    No data is transferred to any other third party or used for advertising purposes.

    7. Retention periods

    • Audio recordings: not stored, deleted immediately after processing.
    • Tasks, notes, messages: until deleted by you or your account is deleted.
    • Account data: until your account is deleted.
    • Google OAuth tokens: until you disconnect the integration.
    • Technical server logs: without IP address, automatically deleted after 5 days.
    • Contact form requests: 90 days after handling, 12 months at most.
    • Reports: no later than 90 days after review.
    • Voice commands and draft replies: To carry out your command and show you the draft for confirmation, transcript, draft and context are deleted immediately after delivery — for actions that need confirmation, at the moment you confirm or discard. A content-free entry (identifier, checksum, timestamp) remains on the server for at most 15 minutes, solely to prevent the same command from being executed twice. A draft you have not yet confirmed is stored only on your device; it carries a server signature so that on confirmation it remains provable that exactly this draft was generated and shown to you. If your voice command concerns a direct message, its text exists unencrypted briefly during processing — end-to-end encryption then happens on your device.
    • Undelivered recordings on your device: If there is no internet connection while you speak, the recording stays on your device until it could be sent — for no longer than 24 hours, after which it is discarded. It does not leave your device during that time.

    8. Your rights

    Under the GDPR you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17 — available directly in the app settings), restriction of processing (Art. 18), data portability (Art. 20), objection (Art. 21), withdrawal of consent with future effect, and to lodge a complaint with a supervisory authority. Contact: info@sprachzettel.de

    9. Data security

    TLS/HTTPS connection encryption, end-to-end encryption for direct messages, passwordless biometric authentication, strict server-side access rules.

    10. Changes

    We update this policy whenever our data processing changes. The current version is always available at this address.