Was „es bleibt auf dem Rechner“ genau bedeutet.

Ein Programm auf dem Laptop. Kein Server, kein Konto, keine Verwaltungsansicht.

• Aufnahmen als WAV (16 kHz) und Transkripte als Markdown in Dokumente/Meetings oder einem Ordner Ihrer Wahl.
• Sprachmodelle und Suchindex unter %LOCALAPPDATA% beziehungsweise ~/Library/Application Support, nicht im servergespeicherten Profil.
• Verworfene Meetings liegen sieben Tage in .discarded im Meetings-Ordner und werden dann gelöscht.
• Protokolldateien mit Gerätewechseln, Fehlern und Zeiten. Keine Gesprächsinhalte.

Der Modell-Download (700 MB beim ersten Start, feste Adressen bei github.com und huggingface.co für das Sprechermodell Nemotron, jede Datei per SHA-256 geprüft). Die Update-Prüfung, wenn jemand in den Einstellungen darauf klickt (ein festes Manifest je Build: latest.json für eine stabile Version, beta.json für eine Beta; das Paket wird gegen einen eingebauten Schlüssel signaturgeprüft). Ein Feedback-Bericht, wenn jemand ihn schreibt und auf „Senden“ klickt; die Einstellungen zeigen vorher jedes Byte. Dabei läuft der Modell-Download automatisch, sobald beim Start ein Modell fehlt (beim ersten Start, nach einem Update mit neuem Modell oder um einen abgebrochenen Download abzuschließen); alles Übrige nur nach eigenem Klick. Kein Zeitplan, keine Telemetrie, keine Absturzberichte.

Alle drei nutzen den System-Proxy und den Zertifikatspeicher des Betriebssystems. Zur Prüfung: Onsite starten, Download abwarten, ein Meeting aufnehmen und den Prozess mit Wireshark, dem Ressourcenmonitor oder nettop beobachten. Es darf keine Verbindung erscheinen.

• Mikrofon: Ihre Seite des Gesprächs.
• Systemaudio: die Gegenseite. Unter macOS „Bildschirm- und Systemaudioaufnahme“; unter Windows braucht Loopback keine Berechtigung.
• Bedienungshilfen (macOS): nur zum Einfügen von Diktaten und zum Erkennen von Browser-Meetings am Fenstertitel.

Keine Bildschirmaufnahme, kein Kalender, keine Kontakte.

Mit der Einstellung „Anfang erkannter Anrufe behalten“, die ab Werk eingeschaltet ist, öffnet Onsite Mikrofon und Systemaudio, sobald eine Besprechungs-App oder ein Browser das Mikrofon belegt, also schon vor der Nachfrage. Es hält die letzten drei Minuten beider Spuren nur im Arbeitsspeicher. Nichts davon wird auf die Festplatte geschrieben, protokolliert, indiziert oder gesendet. Die Mikrofonanzeige des Betriebssystems ist dabei an, und die Nachfrage sagt, dass Onsite mithört.

Bei Ja werden diese Minuten der Anfang der Aufnahme. Bei Nein, nach 20 Sekunden ohne Antwort, wenn die App das Mikrofon freigibt, oder nach drei Minuten ohne Entscheidung überschreibt Onsite den Puffer mit Nullen und gibt ihn frei. Ist die Einstellung aus, öffnet Onsite vor dem Ja nichts.

• Windows: Installer ins Nutzerprofil, keine Adminrechte, still mit Onsite-x64-setup.exe /S.
• macOS: nach „Programme“ ziehen. Berechtigungen überleben Updates.
• Den Modellordner eines eingerichteten Rechners können Sie auf die anderen kopieren.
• Die Einstellungen sind eine JSON-Datei im Nutzerprofil: Ordner, Aufbewahrung, automatische Aufnahme.
• Audio: alles behalten, nach 30 Tagen löschen oder nach der Transkription löschen.
• Transkripte und Diktate: behalten oder nach einer festen Zahl von Tagen löschen, samt Ordner und Suchindex. Ein Meeting, das noch aufgenommen oder transkribiert wird, bleibt unberührt.
• Ein fehlgeschlagenes Transkript lässt sich aus der aufbewahrten Aufnahme neu erstellen.

Unter Einstellungen › Agenten kann der Nutzer zwei Zugänge einschalten, die sonst nicht existieren. Ein MCP-Server liest die Transkripte für einen KI-Assistenten auf demselben Rechner: nur lesend, über stdin und stdout, vom Assistenten als Onsite --mcp gestartet. Eine Kommandozeile steuert das laufende Programm über einen lokalen Socket, unter macOS eine Unix-Domain-Socket-Datei und unter Windows eine Named Pipe. Keiner der beiden öffnet einen Netzwerk-Port, und beide verweigern den Dienst, solange der Schalter aus ist.

Was ein eingeschalteter Assistent mit den Transkripten tut, bestimmt der Assistent. Ein Cloud-Assistent sendet sie an seinen Anbieter. Deshalb bleibt der Schalter aus, bis der Nutzer ihn bewusst umlegt.

Während der Beta ist Onsite kostenlos. Nach 14 Tagen Test fordert der Nutzer per E-Mail an onsite@joosthelfers.com einen kostenlosen Lizenzschlüssel an und fügt ihn in den Einstellungen ein. Der Schlüssel ist per Ed25519 signiert und wird offline geprüft.

Für mehrere Rechner nennt die E-Mail die Zahl der Rechner. Es gibt keinen Lizenzserver.

Jede Version steht mit SHA-256-Prüfsumme auf GitHub. Die Sprachmodelle stehen unter CC-BY-4.0, MIT oder OpenMDW-1.1 und sind kommerziell nutzbar; ein Test im Build lehnt andere Lizenzen ab. Die Lizenzen aller mitgelieferten Bestandteile stehen unter Lizenzen Dritter. Die aktuellen Installationspakete sind nicht signiert. Unter Windows öffnen Sie sie bei der SmartScreen-Warnung über „Weitere Informationen“ und „Trotzdem ausführen“, unter macOS bei der Gatekeeper-Meldung über „Trotzdem öffnen“ unter „Datenschutz & Sicherheit“.