Ein privater Ausgaben-Tracker: was „privat“ hier heißt

Der Weg der Daten

Spendwise hat kein Backend. Jede Buchung, jedes Budget, jede Kategorie, jede Notiz, jede Person, jede Gruppe und jeder Beleg-Anhang wird in eine SQLite-Datenbank im privaten Speicher der App geschrieben, und jeder Bildschirm liest aus dieser Datenbank. Es gibt nichts, wo man sich anmelden müsste, also auch kein Profil von dir, das man aufbauen, verkaufen, verlieren oder herausgeben könnte.

Zwei Funktionen sprechen mit dem Internet, und beide sind klein genug, um sie genau zu benennen:

• Eine einzelne Anzeige auf dem Bestätigungsbildschirm, angefragt als nicht personalisiert, mit der aus der App entfernten Werbe-ID-Berechtigung.
• Anonyme Bildschirm-Statistiken — ein Routenname pro Bildschirmaufruf, keine Nutzerkennung, kein Buchungsinhalt, keine Werbe-ID, keine Tracking-ID.

Es gibt keinen Absturzbericht, keine Sitzungsaufzeichnung, keine Heatmap und kein Drittanbieter-SDK außer den Bibliotheken für Anzeige und Statistiken. Die Datenschutzerklärung zählt sie auf, und sie ist kurz, weil die Liste kurz ist.

Die Berechtigungen — und die, die fehlen

Android-Berechtigungen sind ein guter Hinweis darauf, was eine App wirklich tun kann. Spendwise fragt nach Benachrichtigungen, damit die tägliche Erinnerung und Erinnerungen an wiederkehrende Rechnungen auslösen können. Das ist die ganze Liste.

• Keine Kontakt-Berechtigung. Personen, die du verfolgst, sind Einträge, die du anlegst, nicht dein Adressbuch.
• Kein Standort. Nichts in der App muss wissen, wo du bist.
• Keine Kamera-Berechtigung. Einen Beleg anzuhängen nutzt Androids System-Fotoauswahl und Dokumentauswahl, die der App Zugriff auf die von dir gewählte Datei geben und auf nichts sonst.
• Keine Werbe-ID-Berechtigung. Der Manifest-Eintrag wird im Build entfernt, es gibt also keine ID, die ein Werbenetzwerk lesen könnte.

Die App-Sperre fügt dabei keinen eigenen Speicher hinzu: Sie übergibt die Prüfung an Androids eigene Authentifizierungsabfrage, deine PIN, dein Muster oder deine Biometrie berühren Spendwise also nie.

Die Anzeige, ohne Beschönigung

Spendwise ist nicht werbefrei. Eine einzelne native Anzeige sitzt auf dem Bestätigungsbildschirm, und so bleibt die App ohne Abo kostenlos. Die datenschutzrelevanten Fakten:

• Jede Anfrage ist nicht personalisiert, auch für jemanden, der dem Einwilligungsformular zugestimmt hat. Die Einwilligung erlaubt eine Anfrage; sie kauft niemals Personalisierung.
• Keine Werbe-ID steht dem SDK zur Verfügung, weil die Berechtigung zur Build-Zeit entfernt wird.
• Im EWR und in Großbritannien kommt zuerst die Einwilligung, und sie schließt im Fehlerfall: kein Netz, keine Einwilligung oder keine konfigurierte Meldung bedeutet keine Anzeige. Unter Einstellungen → Datenschutz lässt sich das Formular dort erneut öffnen, wo das Framework es verlangt.

Das Werbenetzwerk sieht die Anfrage selbst trotzdem — eine IP-Adresse, ein Gerätemodell und eine ungefähre Region sind in jeder Netzwerkanfrage unvermeidbar. Der Unterschied ist, dass auf dieser Seite niemand ein Profil deiner Ausgaben baut, das man daran hängen könnte.

Anonyme Bildschirm-Statistiken, die du wirklich abschalten kannst

Anonyme Bildschirm-Statistiken gibt es, und die App sagt das, statt es zu verschweigen. Spendwise zeichnet pro Route einen anonymen Bildschirmaufruf auf — welche Bildschirme erreicht werden, nicht was darauf steht — ohne Nutzerkennung, ohne E-Mail und ohne Buchungsinhalt.

Der Schalter sitzt in den Einstellungen, und seine Wirkung ist absolut: Mit ausgeschalteten Statistiken werden die Ereignisse nicht mehr gesendet. Es reduziert sie nicht, hasht sie nicht und legt keine lokale Kopie für später an. Wenn der Satz „Statistiken lassen sich abschalten“ etwas bedeuten soll, dann muss er das bedeuten.

Wo das Versprechen aufhört

Ehrlichkeit ist mehr wert als ein Slogan, deshalb hier die Grenzen:

• Die Sicherungsdatei ist nicht verschlüsselt. Sie ist ein .spendwise-Archiv, das jeder lesen kann, der die Datei hat. Bewahre sie dort auf, wo du einen Kontoauszug aufbewahren würdest, oder verzichte auf die Datei und akzeptiere, dass die Daten mit dem Handy sterben.
• Die Sperre deines Handys ist der eigentliche Perimeter. Spendwise ergänzt die App-Sperre als zweite Prüfung, aber ein entsperrtes und gerootetes Gerät ist ein Gerät, dessen App-Daten gelesen werden können.
• Google Play ist an der Installation weiterhin beteiligt, und die Play-Dienste auf deinem Handy sind Googles, nicht die von Spendwise. Die Aussage hier betrifft das, was diese App mit deinen Daten tut, nicht das Betriebssystem, auf dem sie läuft.
• Anhänge sind Dateien. Ein Belegfoto verlässt die App, wenn du es woanders teilst, und seine Metadaten sind das, was die Datei schon hatte.

Die Kontrollen an einem Ort

• Statistiken an/aus — Einstellungen → Datenschutz.
• Einwilligung zur Anzeige — Einstellungen → Datenschutz, wo das Einwilligungs-Framework einen Weg zurück ins Formular verlangt.
• App-Sperre — Einstellungen → Sicherheit.
• Alles löschen — deinstalliere die App oder lösche ihre Daten in den Android-Einstellungen.

Häufige Fragen