Dieser Beitrag ist eine Leseübung, keine Recherche. Jedes Zitat unten stammt von einer Seite, die Wispr Flow selbst veröffentlicht hat, oder aus einem öffentlichen Beitrag eines Wispr-Flow-Mitarbeiters. Alle wurden am 2026-08-29 abgerufen und geprüft. Nichts davon ist aus einer Bewertungsseite, einem Konkurrenzblog oder einer Zusammenfassung rekonstruiert.
Die Methode ist bei allen drei Befunden dieselbe: Dokument A neben Dokument B legen, beide vollständig zitieren und dann aufhören. Seiten ändern sich, besonders Seiten zur Compliance. Deshalb gehört das Datum, an dem jede Seite gelesen wurde, zur Aussage. Wer das nach dem 2026-08-29 nachprüft, sollte damit rechnen, anderen Text vorzufinden, und gegen das Archiv vergleichen statt gegen diesen Beitrag.
TL;DR
- Die Marketingseite und die Security-and-Compliance-FAQ beschreiben den Zertifizierungsstatus in unterschiedlichen Worten.
- Die FAQ beschreibt, was die Produktanalyse ausschließt. Ein Wispr-Flow-Mitarbeiter hat am 10. August 2026 auf LinkedIn eine nach Ländern aufgeteilte Wortfrequenzanalyse von Nutzerdiktaten veröffentlicht.
- Der Beitrag der Mitgründer vom 1. Juni 2026 beschreibt ein branchenweites Muster der Erfassung als Standard. Die FAQ nennt den Standard für Test- und Standardkonten.
1. Die Formulierung zu den Zertifizierungen
Dokument A, die Datenschutzübersicht unter wisprflow.ai/privacy, gelesen am 2026-08-29, wirbt mit:
SOC 2 Type II Compliance
und
ISO 27001
Dokument B, die Security and Compliance FAQ, gelesen am 2026-08-29, listet:
SOC 2 Type I: completed April 2026 by A-LIGN, clean unqualified opinion, Security scope. Report available under NDA.
und für ISO 27001:2022:
Stage 1: completed April 2026 by A-LIGN. Stage 2 scheduled June 2026.
Type I und Type II sind unterschiedliche Audits. Stage 1 und Stage 2 sind unterschiedliche Stufen. Beide Seiten sind online, beide stammen von Wispr, und du kannst sie in zwei Tabs öffnen.
Dazu passt eine Anmerkung: Von den zehn Diktieranbietern, die am 2026-08-29 geprüft wurden, war Wispr Flow der einzige, der irgendwo seinen Prüfer, den Prüfungsumfang und die Daten genannt hat. Die FAQ ist das konkretere Dokument, und sie ist es, die der Marketingseite widerspricht.
2. Die Formulierung zu den Analysedaten
Dokument A, dieselbe Security and Compliance FAQ, gelesen am 2026-08-29:
Privacy controls are retention-based rather than anonymization-based: under Privacy Mode dictation content is not kept, so there is no dictation dataset to anonymize. Operational telemetry and product analytics exclude dictation content by design, and Wispr maintains no anonymized dictation dataset for internal use.
Dokument B, ein am 10. August 2026 auf LinkedIn veröffentlichter Beitrag eines Wispr-Flow-Mitarbeiters, gelesen am 2026-08-29:
We looked at which filler words and phrases show up most across Wispr Flow users in India vs the U.S. Not what people are saying, just the filler words.
Der Beitrag nennt anschließend pro Wort die Verhältnisse zwischen den beiden Ländern.
Der Beitrag hatte beim Lesen am 2026-08-29 193 Reaktionen und 32 Kommentare. Er sagt nicht, woraus seine Stichprobe bestand, und laut der FAQ selbst werden Inhalte im Privacy Mode nicht aufbewahrt und könnten deshalb nicht gezählt werden. Der Beitrag ist öffentlich und beruflich, und er ist hier verlinkt, weil eine Behauptung ohne Quelle nicht lesenswert ist. Dieser Beitrag bezeichnet seinen Autor nur über seine Rolle. Es geht um das Dokument, und der Widerspruch besteht zwischen zwei Wispr-Seiten, nicht mit einer Person.
3. Der Trainingsstandard
Dokument A, "Privacy is the foundation", von den Mitgründern Tanay Kothari und Sahaj Garg, datiert auf den 1. Juni 2026, gelesen am 2026-08-29:
Most AI tools train on what you say, and they do so without clearly informing you. ChatGPT uses your conversations to improve its models unless you go and change it, and even after you do, it can hold onto your chats for a while.
The pattern is the same everywhere. Collection happens automatically, the disclosure is technically there but hard to find, and it's left to you to figure out what's happening with your data. I don't think that's right. When a product handles input this sensitive, you should be in control of your data from the start and not have to dig for the private option.
Der Beitrag enthält eine Grafik mit zwei Spalten. Ihre Spalte „Industry default“ lautet: "Opted in by default / Data stored and used for training / Privacy settings buried in menus / Recordings reviewed by humans".
Dokument B, die Security and Compliance FAQ, gelesen am 2026-08-29:
Privacy Mode off (standard mode): audio and transcription data may be used to evaluate, train, and improve Wispr's models. This is the default for trial and standard accounts.
Enterprise and HIPAA BAA customers run with Privacy Mode on by default. If you handle confidential or privileged information, enable Privacy Mode before dictating.
Die Data-Controls-Seite, gelesen am 2026-08-29, nennt den Ort des Schalters:
If you allow your data to be used to improve models, your data (i.e. audio, transcript, edits) may be used to evaluate, train, or improve AI models, by Wispr. You can control this in the Wispr Flow app: Settings > Data and Privacy.
Enterprise-Konten haben den Standard in die eine Richtung, Test- und Standardkonten in die andere. Der Beitrag vom 1. Juni handelt von der Branche, die FAQ vom Produkt.
Das größere Muster
Neun Diktieranbieter wurden am 2026-08-29 anhand ihrer eigenen Primärdokumente geprüft, darunter Wispr Flow. Einer davon, Otter, veröffentlicht unter otter.ai/subprocessors eine vollständige, datierte, öffentliche Liste seiner Unterauftragsverarbeiter, zuletzt aktualisiert am 31. März 2026. Wispr Flow veröffentlicht in seinem Trust Center eine Teilliste mit fünf Anbietern und gibt an, dass die maßgebliche Liste Annex 2 des DPA ist, erhältlich unter NDA. Bei den übrigen endete die Suche in einem 404 oder in Kategorienamen wie „trusted service providers“.
Vier der zehn nennen in keinem Primärdokument einen Anbieter für Spracherkennung oder LLM: Notta, Speechify, Aqua Voice, Willow Voice. Das ist Schweigen in den Dokumenten, und Schweigen wird hier als Schweigen festgehalten, nicht als Schluss darauf, was die Software tut.
Dieses Muster, bei dem sich Dokumente widersprechen, ist auch nicht auf einen Anbieter beschränkt. Die Datenschutzerklärung von MacWhisper vom Februar 2024 sagt "No data (audio, text or other) leaves your device", während die Support-Dokumente Groq, ElevenLabs, Deepgram, DeepL, OpenAI und Anthropic als Cloud-Wege nennen. In der README von VoiceInk steht "100% offline processing ensures your data never leaves your device", während die Datenschutzerklärung zwölf optionale Cloud-Anbieter auflistet. In beiden Fällen beschreibt der Marketingsatz die Standardkonfiguration, und das andere Dokument beschreibt die Fähigkeit.
Der vollständige Vergleich, Anbieter für Anbieter und Feld für Feld, steht unter /dictation-app-privacy.
Wo Voice Type steht
Drei Unterauftragsverarbeiter: Apple für die Verteilung über den App Store und die Zahlungen, Cloudflare für das Hosting der Website und DNS, PostHog für die Website-Analyse. Keiner der drei liegt auf dem Weg eines gesprochenen Wortes.
Das Umschreiben per LLM ist standardmäßig aus, im ausgelieferten Quellcode in WhisperState.swift als llmRewriteEnabled: Bool = false gesetzt, und das automatische Umschreiben ebenfalls.
Jeder Anbieter für das Umschreiben wird namentlich offengelegt: sechzehn entfernte, ein eigener OpenAI-kompatibler Endpunkt und drei, die den Rechner nie verlassen, aufgelistet im ausgelieferten Quellcode unter LLMProvider.swift:213-232. Offenlegen sollte man die Fähigkeit, und der Standard ist nicht die ganze Geschichte.