Wer mitliest, was du schreibst

Eine einzige Datenschutzerklärung in unserem Katalog druckt die Liste ab. Get Harder nennt OpenAI, Fireworks.ai, Together.ai, Groq, Deepgram, 11Labs und Kling/Nano Banana, dann Cloud-Hoster, Analyseplattformen, Werbenetzwerke, Zendesk, SendGrid und Solidgate. Lies sie als das, was sie ist, und nicht als Skandal: Es ist das Verzeichnis der Unternehmen, an die etwas weitergegeben werden kann, das du getippt hast – veröffentlicht von genau dem Unternehmen, das es weitergibt.

Unter den neunzehn Plattformen in unserem Vergleich ist es das einzige Verzeichnis dieser Art. Die übrigen achtzehn widersprechen ihm nicht – sie beschreiben dieselbe Architektur, nur in Kategorien. „Service providers“ (Dienstleister). „Technology partners“ (Technologiepartner). „Third-party LLM or hosting providers“ (externe LLM- oder Hosting-Anbieter). Die Maschinerie wird offengelegt, die Namen nicht. Dieser Ratgeber geht diese Maschinerie Schicht für Schicht durch und sagt für jede, wer tatsächlich genannt wird – und von wem.

Ein Gespräch findet nicht nur zwischen zwei Parteien statt

Die Oberfläche ist darauf angelegt, etwas anderes nahezulegen. Oben ein Name, eine Tipp-Anzeige, ein Verlauf, der aussieht wie jeder andere Chat auf deinem Handy. Nichts daran deutet an, dass ein Satz das Haus verlassen muss, um beantwortet zurückzukommen.

Genau das tut er aber. Die Antwort eines KI-Begleiters erzeugt ein Modell, das Modell läuft auf Inferenz-Infrastruktur, und in den meisten Fällen gehört beides nicht dem Unternehmen, bei dem du gekauft hast. Die Datenschutzhinweise von Candy AI sagen es in einer Zeile: Externe LLM- oder Hosting-Anbieter können den Inhalt von Chatbot-Nachrichten erhalten. DONDI schreibt, dass Technologiepartner Inhalte für Modelltraining und -verbesserung, Sicherheit, Qualitätssicherung und die Erbringung des Dienstes verarbeiten können. Das sind keine Schlupflöcher, versteckt in irgendeinem Anhang. Es ist die Beschreibung dessen, wie das Produkt funktioniert.

Um diesen Kern herum liegen Schichten mit unterschiedlichem Appetit. Ein Klassifikator, der jede Nachricht sieht und keine davon so aufbewahrt, dass ein Mensch sie lesen könnte. Ein Moderator, der fast nichts sieht – bis etwas markiert wird. Ein Transkriptionsdienst, der Sprache in Text verwandelt. Ein Analyse-Anbieter, der die Oberfläche beobachtet statt der Worte. Ein Helpdesk, der alles liest, was du in ein Ticket kopierst. Jede Schicht hat ihre eigene Antwort auf die Frage im Titel, und die Antworten sind nicht austauschbar.

Gelesen in den Datenschutzerklärungen, AGB sowie Moderations- und Sicherheitsseiten der neunzehn Plattformen in unserem Vergleich, zwischen dem 14. und 21. August 2026. Ein genanntes Unternehmen heißt: Die eigenen Dokumente der Plattform nennen es. Ein fehlender Name ist kein Beleg dafür, dass es kein solches Unternehmen gibt, sondern nur dafür, dass keines veröffentlicht ist. Wir haben keine Implementierung geprüft, keinen Netzwerkverkehr untersucht und nicht verifiziert, ob ein genannter Anbieter noch im Einsatz ist. Anbieter wechseln ohne Ankündigung, und Richtlinien werden ohne Hinweis überarbeitet.

Eine von neunzehn Plattformen nennt die Firmen, die die Antworten schreiben

Dieser Befund hat uns am meisten überrascht, weil es um die wichtigste Schicht geht. Jede andere Partei auf dieser Liste bekommt ein Nebenprodukt: eine Markierung, einen Seitenaufruf, ein Support-Ticket, eine Kartennummer. Der Inferenz-Anbieter bekommt den Satz.

Get Harder ist die Ausnahme, und es lohnt sich, genau hinzuschauen, was diese Liste zeigt. Das sind keine obskuren Zulieferer. Das ist die Infrastruktur der heutigen KI-Branche, und dass Deepgram neben 11Labs steht, verrät dir, dass auch der Sprachweg aus Bausteinen zusammengesetzt ist. Die Datenschutzerklärung steht übrigens neben einer Preisseite, die verspricht, die Zahlung sei „100% anonymous“ (auf Deutsch: „100 % anonym“) – ein Problem für sich. Die Anbieterliste ist trotzdem das aufschlussreichste Einzeldokument in unserem Testfeld.

GoLove ist der lehrreiche Gegenfall. Die Datenschutzerklärung nennt Google für Analyse, Werbung und Suche – das Dokument kann also durchaus einen Anbieter beim Namen nennen, wenn es will. Einen LLM-, Bild- oder Video-Anbieter nennt es nirgends. Unser Test verbucht diese Angabe als „nicht belegt“, nicht als „fehlt“: Ein Dienst, der Antworten erzeugt, benutzt dafür irgendetwas, und die Datenschutzerklärung sagt einfach nicht, was.

Die ehrliche Lesart der übrigen achtzehn ist nicht, dass sie einen Anbieter verstecken. Sondern dass sich die Branche auf eine Formulierungskonvention geeinigt hat – das Analyse-Tool nennen, den Modellanbieter umschreiben – und niemand einen Grund hatte, damit zu brechen. Den Grund gibt es. Wer überlegt, ob er etwas Sensibles eintippt, hat ein Recht darauf zu wissen, welche Unternehmen es bekommen, und eine Plattform hat bewiesen, dass sich die Liste veröffentlichen lässt.

Der Leser, dem keine Nachricht entgeht, ist ein Klassifikator

Siebzehn der neunzehn dokumentieren eine automatische Schicht, die Inhalte prüft. Das ist die einheitlichste Angabe im gesamten Testfeld – und sie wird regelmäßig für die beängstigende gehalten, obwohl sie das Gegenteil ist.

Xtease gibt an, dass alle Nachrichten von Nutzern an die KI automatisch geprüft werden – jede Nachricht, ohne Schwelle. Laut Moderationsrichtlinie von Promptchan scannen automatische Bild- und Textsysteme Prompts, Ausgaben und Uploads in den Bereichen Bild, Video, Chat und „Explore“. DarLink schreibt, dass Text- und Sprachnachrichten sowie im Chat verschickte Bilder gespeichert und mit automatischen Werkzeugen analysiert werden können.

Zwei Plattformen gehen weiter und benennen die Technik. Die Sicherheitsseite von Joi AI beschreibt eine RoBERTa-Klassifikation von Nutzer- und Modellnachrichten, mit Prüfung durch einen Compliance-Beauftragten in schwierigen oder verdächtigen Fällen. GoLove dokumentiert einen hauseigenen LLM-Moderationsfilter. Achte darauf, was das bei Joi bedeutet: Das einzige Modell, das dieser Markt im Zusammenhang mit deinen Nachrichten beim Namen nennt, ist das, das sie liest – nicht das, das sie schreibt.

Ein Klassifikator ist kein Mensch, und ein Scan ist kein Lesen. Nichts in diesen Dokumenten stützt die Vorstellung, dass Mitarbeiter vor Gesprächen sitzen und mitlesen. Aber es beantwortet die Frage, die das Vorhängeschloss auf der Startseite offenlassen soll. Inhalte, die gescannt werden, sind Inhalte, die der Betreiber verarbeiten kann – und eine Architektur, die eine Nachricht markieren kann, ist eine Architektur, die sie auch abrufen kann.

Siebzehn von neunzehn dokumentieren einen Menschen, der markierte Inhalte lesen kann

Es sind dieselben siebzehn. OurDream AI und Secrets.ai sind die beiden, deren veröffentlichte Dokumente – so wie wir sie lesen – weder eine automatische Moderationsschicht noch einen Weg zur menschlichen Prüfung beschreiben. Dieses Schweigen muss man sorgfältig einordnen: Es ist keine Zusage, dass niemand markiertes Material liest. Beide behalten sich an anderer Stelle derselben Dokumente weitreichende Verarbeitungsrechte vor. Eine fehlende Klausel schützt niemanden.

Unter den siebzehn beschreiben fast alle den Weg nach demselben Muster – automatische Erkennung, Eskalation bei einer Markierung, mögliche manuelle Prüfung, Entfernung oder Sperrung. Drei veröffentlichen den Teil, auf den es wirklich ankommt: wann der Mensch ins Spiel kommt.

Moderationsrichtlinien gelesen zwischen dem 14. und 21. August 2026. Lovescape und Xtease werden vom selben Unternehmen betrieben, deshalb stimmen ihre Schwellen überein – die beiden Dokumente sind enge Verwandte, keine unabhängigen Bestätigungen. Eine veröffentlichte Schwelle beschreibt eine Richtlinie, keine geprüfte Praxis: Wir haben auf keiner Plattform einen Verstoß ausgelöst, Einspruch eingelegt oder die Durchsetzung getestet.

Die Version von Kindroid ist die engste Angabe im Testfeld und die einzige, die wir ohne Einschränkung beschreiben können. Chats sind im Ruhezustand und bei der Übertragung verschlüsselt, sodass Mitarbeiter sie im Normalbetrieb nicht einsehen können; der automatische Scan betrachtet den jüngsten relevanten Kontext, ohne dass bei der Erkennung ein Mensch mitliest; ein Zeitfenster von zwei Tagen kann ein geschulter Mitarbeiter entschlüsseln, und das nur, wenn der Nutzer Einspruch einlegt. Dieselbe Richtlinie behält sich vor zu entschlüsseln, wo es rechtlich oder vertraglich notwendig ist. Das ist ein schwächeres Versprechen als „niemand kann deine Chats lesen“, dafür präzise formuliert – und es ist nützlicher als die stärkere Version.

Den Widerspruch zwischen Startseiten-Sprache und Richtlinien-Sprache haben wir in was in den AGB wirklich steht behandelt: Zwölf der neunzehn Startseiten standen dort im Widerspruch zu einem Dokument, das ihr eigenes Unternehmen veröffentlicht. Hier geht es um die Schicht darunter: nicht darum, wer was verspricht, sondern darum, was die Architektur laut Beschreibung tut.

Wer spricht, erzeugt ein Transkript – auch wenn das Audio nicht bleibt

Sprache wird als Nähe verkauft und als Premium bepreist, und sie fügt einen Schritt hinzu, den Text nicht hat. Gesprochenes muss zu Tokens werden, bevor ein Modell darauf antworten kann – es entsteht also ein Transkript, und Transkript und Aufnahme haben eine unterschiedliche Lebensdauer.

Secrets.ai dokumentiert diese Trennung ausdrücklich: Anrufe werden in Echtzeit transkribiert, das Audio wird gelöscht, und der Text kann aufbewahrt werden, damit sich der KI-Begleiter erinnern kann. Das ist ein vertretbares Design und eine ungewöhnlich klare Beschreibung davon. Es ist zugleich das anschaulichste Beispiel für den Punkt: Die Aufnahme zu löschen heißt nicht, das Gesagte zu löschen.

Swipey AI gibt an, dass Spracheingaben transkribiert und für Moderation, Qualitätssicherung, Sicherheit, Leistung und die Einhaltung gesetzlicher Vorgaben verarbeitet oder aufgezeichnet werden können – wobei „Qualitätssicherung“ das Wort ist, auf das du achten solltest, denn hinter genau diesem Wort steckt traditionell ein Mensch, der zuhört. Joi AI schreibt, dass Text- und Sprachnachrichten genutzt werden können, um die Qualität zu verbessern und die KI weiterzuentwickeln. DarLink nennt Sprachnachrichten und Bilder im selben Satz wie Text, wenn es um automatische Analyse geht.

Kindroid dokumentiert auch hier die strengste Version – und sie enthält den Haken, den die meisten übersehen würden. Mikrofon-Audio, ausgegebenes Audio und Video werden als flüchtig verarbeitet und nicht gespeichert beschrieben – trotzdem kann ein Anruf das Gedächtnis beeinflussen, wenn der einheitliche Verlauf („unified history“) aktiviert ist. Das Audio ist flüchtig, seine Folgen sind es nicht. Etwas, das du laut gesagt hast, kann Wochen später schriftlich in einem Textchat wieder auftauchen.

Was das Gedächtnis mit dem entstandenen Text macht, ist ein eigener Mechanismus mit eigenem Ratgeber: Wie das Gedächtnis von KI-Begleitern funktioniert erklärt, was diese Produkte zwischen zwei Sessions tatsächlich behalten – und wie wenig davon irgendwer über mehrere Tage hinweg belegt hat.

Die Parteien, die kein einziges Wort lesen

Vier der neunzehn nennen einen Analyse- oder Werbeanbieter: DarLink nennt Google Analytics und Facebook Pixel, Promptchan nennt PostHog neben Google-Tools, und GoLove und Swipey AI nennen Analyseprodukte von Google. Mehrere andere beschreiben Tracker, ohne einen zu nennen; bei Dream Companion haben wir beobachtet, wie mehrere Analyse- und Werbetracker geladen wurden, und die Website von Xtease lädt bei Lovescape gehostete Ressourcen und verbindet sich zugleich mit Analyse- und Werbediensten.

Diese Anbieter bekommen Verhalten, keinen Inhalt: Seiten, Sessions, Geräte, Referrer, Conversions. In einem gewöhnlichen Onlineshop ist diese Unterscheidung beruhigend. Hier ist sie dünner, als sie aussieht, weil das Verhalten selbst der heikle Teil ist. Welchen KI-Begleiter du geöffnet hast, wie lange du geblieben bist, welchen Generator du benutzt und was du gekauft hast – das beschreibt einen Menschen ziemlich genau, ohne einen einzigen Satz aus dem Chat.

Die Angabe von Promptchan solltest du zweimal lesen. PostHog-Produktanalyse und Session Replay, gehostet in der EU, wobei nicht notwendiges Tracking in der EU, im EWR und im Vereinigten Königreich als einwilligungspflichtig beschrieben wird. Session Replay rekonstruiert eine Sitzung in der Oberfläche – was angeklickt, wohin gescrollt, wie ein Formular ausgefüllt wurde. Diese Art der Erfassung liegt deutlich näher am Inhalt als ein Zähler für Seitenaufrufe, und Promptchan ist die einzige Plattform im Testfeld, die sie offenlegt. Dass sie es tut, spricht für die Plattform; es ist aber auch der Grund, warum das in diesen Ratgeber gehört und nicht in eine Fußnote.

Die Altersverifikation ist der klarste Fall einer Drittpartei, die das Gespräch wirklich nie sieht. Vier Plattformen nennen einen Anbieter – Yoti bei Kindroid und FLIRTcam.AI, VerifyMyAge bei Joi AI, Didit bei Dream Companion –, und was diese Anbieter bekommen, ist ein Selfie oder ein Ausweisdokument. Kindroid gibt an, dass Yoti die Bilder und biometrischen Daten nach der Prüfung löscht und Kindroid sie nicht erhält. Keiner dieser Abläufe lief in unseren Sessions, und wie es um Alterskontrollen im gesamten Markt bestellt ist, liest du in was in den AGB wirklich steht.

Die Zahlungskette ist die letzte, und sie ist die am besten dokumentierte von allen, weil eine Karte eine Spur hinterlässt, die keine Richtlinie weichzeichnen kann. GPTGirlfriend nennt CCBill und TrustPay, Get Harder nennt Solidgate, Dreamz.ai lädt ein Praxis-SDK, während eine ältere Seite noch PalWallet erwähnt. Was jeder dieser Dienste über dich weiß und was deine Bank auf den Kontoauszug druckt, erfährst du in wer dein Geld bekommt.

Warum „verschlüsselt“ diese Frage nicht beantwortet

Verschlüsselung ist das Wort, zu dem dieser Markt greift, wenn man fragt, wer deine Nachrichten lesen kann – und bei einem großen Teil des Marktes leistet es dabei überhaupt nichts. Die drei Plattformen, die einen Mechanismus beschreiben statt einer Stimmung, zeigen, warum.

Secrets.ai dokumentiert AES-256 im Ruhezustand, TLS 1.2 oder höher bei der Übertragung, rollenbasierten internen Zugriff und protokollierte Zugriffskontrollen – eine echte Beschreibung echter Schutzmaßnahmen. Dieselbe Richtlinie beschreibt die Echtzeit-Transkription von Anrufen und führt Training und Verbesserung von KI-Modellen unter ihren Verarbeitungszwecken auf. OurDream AI beschreibt Verschlüsselung im Ruhezustand und bei der Übertragung und erlaubt im selben Dokument die Verarbeitung durch Dienstleister und verbundene Unternehmen. Kindroid knüpft die Verschlüsselung an eine konkrete Folge – Mitarbeiter können Chats im Normalbetrieb nicht einsehen – und nennt dann die Ausnahmen.

Xotic AI zeigt die entgegengesetzte Formulierungsentscheidung. Das „Safety Center“ verspricht Ende-zu-Ende-Verschlüsselung für Gespräche, während die eigenen Angaben der Plattform KI-Verarbeitung, automatisches Scannen in Echtzeit, Infrastruktur von Drittanbietern und eine mögliche menschliche Prüfung markierter Sessions beschreiben. Die tatsächliche Architektur können wir ohne Audit nicht bestimmen – und die beiden Aussagen können nicht beide dasselbe System beschreiben.

Verschlüsselung im Ruhezustand und bei der Übertragung schützt dein Gespräch vor allen außerhalb der Kette. Vor der Kette selbst schützt sie es nicht. Ein Modellanbieter kann keine Antwort auf eine Nachricht erzeugen, die er nicht lesen kann; ein Klassifikator kann keinen Inhalt markieren, den er nicht prüfen kann. Beide sitzen konstruktionsbedingt innerhalb der Vertrauensgrenze. Das ist kein Fehler der Produkte – so funktioniert ein gehosteter KI-Dienst nun mal –, aber es bedeutet, dass ein Verschlüsselungsversprechen und die Frage im Titel schlicht von verschiedenen Dingen handeln.

Die Versprechen, die diese Frage tatsächlich betreffen würden, sind die zur Ende-zu-Ende-Verschlüsselung, und kein einziges davon konnten wir prüfen. Wo das Marketing einer Plattform Ende-zu-Ende-Verschlüsselung behauptet, während ihre eigene Richtlinie serverseitige Verarbeitung beschreibt, halten wir den Widerspruch fest, statt einen Sieger zu küren; die vollständige Liste dieser Widersprüche steht in was in den AGB wirklich steht. Eine unbestätigte Behauptung verbuchen wir als unbestätigt, nicht als Lüge.

Was das in der Praxis ändert

Das Vorhängeschloss beantwortet eine andere Frage. Transport- und Speicherverschlüsselung halten Außenstehende fern. Die Parteien in diesem Ratgeber sind konstruktionsbedingt Insider – über sie wird die Antwort geschrieben, und über sie bleibt die Plattform rechtskonform. Eine Startseite, die auf „Wer kann das lesen?“ mit Verschlüsselung antwortet, hat das Thema gewechselt.

Eine veröffentlichte Liste ist das Signal, kein starkes Versprechen. Das beruhigendste Dokument in unserem Testfeld gehört einer Plattform, die wir zurückhaltend bewerten, und es ist gerade deshalb beruhigend, weil es nicht schmeichelt. Wenn du zwei Dienste vergleichst: Der, der seine Anbieter nennt, sagt dir etwas; der, der verspricht, dass niemand etwas sehen kann, sagt dir weniger, als es scheint.

Sprechen ist eine Textentscheidung. Sobald du sprichst, gibt es ein Transkript, und es kann das Audio überdauern und über das Gedächtnis wieder auftauchen. Was unklug zu tippen wäre, wird nicht sicherer, wenn du es aussprichst.

Schweigen ist keine Garantie. Zwei Plattformen dokumentieren überhaupt keine Moderationsschicht. Das ist kein Versprechen, dass niemand markiertes Material liest – es ist fehlende Information, und sie steht neben denselben weitreichenden Verarbeitungsrechten, die sich alle anderen auch einräumen.

Die vier Fragen, die im Wort „sicher“ stecken, und was passiert, wenn man die AGB aller neunzehn von vorn bis hinten liest, findest du in Sind KI-Freundin-Apps sicher?. Die Beleg-Kennzeichnungen hinter jeder Aussage auf dieser Seite – dokumentiert, getestet, nicht belegt – erklären wir in So testen wir KI-Begleiter. Und die Praxisversion, die acht Punkte, die du vor dem Bezahlen prüfen solltest, steht in unserer Checkliste.

⚠ Dieser Ratgeber wertet veröffentlichte Dokumente aus und enthält im Text keine Affiliate-Links. Die verlinkten Tests schon: Wenn du darüber ein Abo abschließt, erhält AI Companion Atlas möglicherweise eine Provision – ohne Mehrkosten für dich. Jede Richtlinie, jede AGB und jede Moderationsseite hinter diesem Text wurde zwischen dem 14. und 21. August 2026 gelesen, und wir haben keine Implementierung geprüft – Anbieter wechseln, und Dokumente werden ohne Hinweis überarbeitet. Prüf also die aktuelle Richtlinie auf der Plattform, bevor du entscheidest, was du dort eintippst. Das Banner in der Seitenleiste ist eine bezahlte Anzeige: ein Affiliate-Link zu LiveJasmin, einem Live-Webcam-Dienst, den diese Seite nicht bewertet.