MiExpenses
Jetzt bei Google Play

Rechtliches

Datenschutzerklärung

Was die MiExpenses-App und diese Website mit Daten tun. Geschrieben, indem die App und der Server gelesen wurden, und nicht durch das Ausfüllen einer Vorlage — deshalb benennt dieser Text Dinge, die eine Vorlage weggelassen hätte.

Zuletzt aktualisiert:

MiExpenses wird von einer einzelnen Person gebaut und betrieben, Alexander Volkov. Ein Unternehmen steht nicht dahinter. Er ist der Verantwortliche im Sinne des Datenschutzrechts für alles, was hier beschrieben ist, und Fragen, Anträge auf eine Kopie Ihrer Daten und Anträge auf Löschung gehen alle an dieselbe Adresse: contacts@mve.suxlv2.space.

Es deckt die MiExpenses-App für Android und diese Website ab. Die Website besteht aus statischen Seiten: Sie führt keine Skripte aus, lädt weder Schriften noch Bilder oder Dateien von fremden Servern und wendet sich an niemanden außer an den Server, der Ihnen die Seite ausliefert. Sie zu lesen setzt keine Cookies und teilt niemandem mit, dass Sie hier waren. Alles Weitere unten betrifft die App.

Die App braucht ein Konto, deshalb fragt sie als Erstes nach einer E-Mail-Adresse und einem Passwort oder nach einer Anmeldung mit Google. Auch die Anmeldung mit Google gibt uns nur dieses eine Feld: Die App liest aus dem Google-Berechtigungsnachweis nur die E-Mail-Adresse, und das Google-Token selbst bleibt auf dem Telefon. Der Rest ist das, was Sie bei der Einrichtung auswählen.

Im Konto gespeichert:

  • Ihre E-Mail-Adresse. Sie ist der Kontoname und der Schlüssel, unter dem alles andere gespeichert wird.
  • Ihr Land. Bei der Einrichtung gewählt oder von der weiter unten beschriebenen Abfrage eingetragen.
  • Ihre Währung. Beträge, die Sie in anderen Währungen eintragen, werden für die Summen in diese Währung umgerechnet.
  • Ihre Einheit für Strecken: Kilometer oder Meilen.
  • Ihre Einheit für Volumen: Liter, UK-Gallonen oder US-Gallonen.
  • Ob MiExpenses Premium auf dem Konto aktiv ist.

Alles, was Sie zu einem Fahrzeug und seinen Kosten eintragen, wird auf unserem Server gespeichert und nicht nur auf Ihrem Telefon. Dazu gehören auch Felder, von denen viele annehmen, sie blieben auf dem Gerät.

  • Fahrzeug: Bezeichnung, Typ, Marke, Modell, Baujahr, Hubraum, Tankvolumen und Kraftstofftypen, Kilometerstand und, wenn Sie sie ausfüllen, das Kennzeichen und die Fahrgestellnummer.
  • Ausgabe: Datum, Kategorie und Unterkategorie, Kilometerstand, Betrag und Währung sowie der freie Kommentartext.
  • Tankfüllung: zusätzlich der Preis je Einheit, die Menge, der Kraftstofftyp und die Markierungen für den vollen Tank und für „Nicht in die Statistik“.
  • Erinnerungen, die Kostenunterkategorien, die Sie anlegen, und die Freigabeeinträge.
  • Aus der App gesendete Rückmeldungen: die Sternebewertung, Ihr Text und Ihre Nutzerkennung.
  • Mit Monatslimits und Vorlagen für Ausgaben verhält es sich anders. Sie erreichen den Server nur, solange MiExpenses Premium auf dem Konto aktiv ist; ohne das bleiben sie auf dem Telefon — deshalb zeigt ein zweites Telefon sie auch nicht.

Drei Dinge geschehen, ohne dass Sie darum bitten, und zwei davon lassen sich in der App nicht abschalten.

  • Ein Push-Token. Firebase Cloud Messaging stellt für Ihre Installation ein Token aus, und die App sendet es zusammen mit Ihrer E-Mail-Adresse an unseren Server; diese Adresse ist der Schlüssel, unter dem es gespeichert wird. Gesendet wird es nach der Anmeldung, wenn sich das Token ändert, und nach einem Neustart des Geräts — gleichgültig, ob Sie Benachrichtigungen erlaubt haben oder nicht.
  • Eine Länderabfrage über die IP-Adresse. Bei der Einrichtung und bei jedem Start des Startbildschirms mit funktionierender Verbindung fragt die App einen fremden Geolokalisierungsdienst, zu welchem Land Ihre IP-Adresse gehört. Es gibt drei solche Dienste, und die App probiert sie der Reihe nach, bis einer antwortet; keiner davon ist unserer, und jeder von ihnen sieht Ihre IP-Adresse. Dieses Dokument nennt sie nicht beim Namen: Welcher von ihnen antwortet, ist eine Frage der Umsetzung, während das, was Ihr Telefon verlässt, so oder so dasselbe ist. Nichts fragt Sie nach Ihrer Einwilligung, es gibt keine Einstellung, um das abzuschalten, und die Antwort wird nur dann in Ihr Profil geschrieben, wenn Ihr Land noch nicht gesetzt ist.
  • Werbung. Das Google Mobile Ads SDK wird bei jedem Öffnen des Startbildschirms gestartet, auch in Sitzungen, in denen nie eine Anzeige angefordert wird. In der App gibt es genau eine Platzierung: ein bildschirmfüllendes Werbevideo mit Belohnung, bevor sich die Liste der weltweiten Statistik öffnet; gezeigt wird es Konten ohne die Markierung „bezahlt“. Die Anfrage wird mit den Standardeinstellungen gebaut, ist also nicht als nicht personalisiert gekennzeichnet, und ein Einwilligungsformular wird nicht gezeigt. Was dieses SDK sammelt, geht an Google und nicht an uns, und dafür gelten Googles eigene Bedingungen.

Das Firebase-Analytics-SDK ist Teil des Builds, aber ein Schalter im Manifest der App stellt die Datenerhebung ab. Die App sendet außerdem keine eigenen Analyse-Ereignisse: In ihrem Quelltext steht kein einziger Aufruf für ein Ereignis oder eine Nutzereigenschaft.

Absturzberichte und Leistungsüberwachung gibt es überhaupt nicht: kein Crashlytics, nichts Gleichwertiges von Dritten und auch keinen selbst gebauten Absturzbehandler. Stürzt die App auf Ihrem Telefon ab, erreicht uns kein Stacktrace, und wir erfahren nichts davon. Von einem Problem hören wir nur, wenn Sie uns schreiben.

Die App hat einen Bildschirm, der ein Fahrzeug neben dieselbe Marke und dasselbe Modell anderer Leute stellt. Das funktioniert, weil unser Server für jedes Fahrzeug, das die Bedingungen erfüllt, eine Zeile führt und diese Liste anderen Menschen zeigt, die die App benutzen.

Ein Fahrzeug kommt erst nach mindestens zehn Einträgen, dreißig Tagen Historie, Aktivität innerhalb der letzten sechzig Tage und mindestens tausend Einheiten Strecke in die Liste. Marke und Modell müssen außerdem im Katalog des Servers stehen, und das Konto muss auf unserer Seite die Markierung „bezahlt“ tragen. Die Zeilen werden nicht zu Durchschnitten verrechnet: Jede Zeile ist ein Fahrzeug.

Was eine Zeile enthält und was nicht:

  • Eine numerische Kennung des Besitzers, Land, Marke, Modell und Baujahr.
  • Summen für dieses Fahrzeug: Strecke, Kraftstoffmenge und Kosten.
  • Sie enthält weder das Kennzeichen noch die Fahrgestellnummer, weder Ihre E-Mail-Adresse noch irgendeine einzelne Ausgabe.
  • In der App gibt es keinen Schalter, der Ihr Fahrzeug aus dieser Liste heraushält.

Wenn Sie MiExpenses Premium kaufen, wickelt Google Play die Zahlung selbst ab: Wir sehen weder Ihre Karte noch Ihre Zahlungsdaten, und es fließt kein Geld über uns. Zwei Dinge betreffen uns dennoch. Google Play bekommt die Nummer, unter der Ihr Konto gespeichert ist, damit es unserem Server sagen kann, zu welchem Konto ein Kauf gehört; und die App schickt das von Google Play ausgestellte Kauf-Token an unseren Server, der es bei Google prüft und das Konto danach als bezahlt markiert. Diese Markierung liegt auf Ihrem Konto, und sie ist es, die die bezahlten Funktionen auf jedem Gerät öffnet, auf dem Sie sich anmelden.

Alles, was die App speichert, geht über HTTPS an die eigenen Server des Entwicklers. Es gibt zwei Eingangspunkte; die App wählt selbst zwischen ihnen, und Sie können einen davon in den Einstellungen festlegen. Kein Cloud-Speicher einer dritten Partei ist in der Kette: kein Google Drive, keine Dropbox, kein Dateidienst irgendeiner Art. Dieses Dokument nennt weder die Adressen dieser Server noch ein Land der Speicherung: Die Adressen sind Infrastruktur, die sich ändern kann, ohne dass sich für Sie etwas ändert, und das Land wäre eine Behauptung, die wir mit nichts belegen können, was Sie nachprüfen könnten.

Daten verlassen Ihr Telefon in Richtung:

  • Unser eigenes Backend, über HTTPS. Dort liegen Ihr Konto, Ihre Fahrzeuge, Ausgaben, Erinnerungen, Kategorien und Freigabeeinträge.
  • Firebase Authentication, für die Anmeldung per E-Mail und die Anmeldung mit Google.
  • Firebase Cloud Messaging, für das Push-Token und für die Weckmeldungen, die selbst keine personenbezogenen Daten tragen.
  • Google AdMob, für das eine oben beschriebene Werbevideo mit Belohnung.
  • Einer von drei fremden Geolokalisierungsdiensten, für die Länderabfrage über die IP-Adresse.
  • Google Play, für den Kauf von MiExpenses Premium und für die Prüfung, dass er noch gilt.

Der Verkehr zwischen der App und dem Server läuft über HTTPS, und der veröffentlichte Build verweigert einfaches HTTP. Passwörter behandelt Firebase Authentication; sie erreichen unseren Server nie, der weder ein Passwortfeld noch eine Passwortspalte hat. Für die Anmeldung per E-Mail verlangt Firebase außerdem eine bestätigte Adresse. Auf dem Telefon ist die zwischengespeicherte Kopie Ihres Kontodatensatzes in der Einstellungsdatei mit AES/GCM verschlüsselt, unter einem Schlüssel, der im Android Keystore erzeugt und gehalten wird — aus einer kopierten Einstellungsdatei lässt sie sich also nicht auslesen.

Das ist die ganze Liste, und es lohnt sich, genau zu sagen, was sie nicht ist. Das ist keine Ende-zu-Ende-Verschlüsselung und kein Zero-Knowledge-Verfahren: Die Daten sind auf dem Server lesbar, und der Entwickler kann sie lesen. Die Kostendatenbank auf Ihrem Telefon ist eine gewöhnliche, unverschlüsselte Datenbank, geschützt durch die App-Sandbox von Android und durch die Geräteverschlüsselung des Telefons selbst. Certificate Pinning wird nicht eingesetzt. Wenn eine bestimmte Angabe so heikel ist, dass das eine Rolle spielt, ist die sichere Antwort, sie nicht einzutippen.

Sie können einer anderen registrierten Person Zugang zu einem Ihrer Fahrzeuge geben, auf einer von drei Stufen: Ansicht, Bearbeiten oder Eigentum übertragen. Die Freigabe gilt für ein ganzes Fahrzeug. Einzelne Einträge lassen sich davon nicht ausnehmen.

  • Die Einladung entsteht aus einer E-Mail-Adresse, die Sie eintippen, und diese Adresse wird als Teil des Freigabeeintrags auf unserem Server gespeichert.
  • Eine noch offene Einladung bewegt bereits Daten. Von dem Moment an, in dem die Einladung besteht, behandelt der Server dieses Konto als zugriffsberechtigt: Das Telefon der Person lädt das Fahrzeug und seine Einträge bei der nächsten Synchronisierung herunter und behält sie. Die App verbirgt das Fahrzeug vor ihr, bis sie annimmt, aber die Daten sind bis dahin schon auf ihrem Gerät.
  • Nach der Annahme sieht sie die Fahrzeugkarte, jede Ausgabe und jede Erinnerung, die daran hängt — auch Einträge anderer Beteiligter — und Ihre Kostenkategorien.
  • Ein Eintrag mit der Markierung Nicht in die Statistik ist kein privater Eintrag. Er wird wie jeder andere gespeichert und synchronisiert, ist für alle sichtbar, mit denen das Fahrzeug geteilt ist, und erscheint im CSV-Export.
  • Den Zugang zu entziehen entfernt das Fahrzeug sofort aus der App der anderen Person und hindert sie daran, weiter etwas zu ändern. Es greift nicht auf das zu, was ihr Telefon bereits heruntergeladen hat, und der Freigabeeintrag selbst bleibt auf unserem Server, als gelöscht markiert.
  • Das Übertragen des Eigentums ist endgültig und lässt sich nicht rückgängig machen. Die PIN, die es bestätigt, wird auf unserem Server im Klartext gespeichert und ohne Rücksicht auf Groß- und Kleinschreibung verglichen — nehmen Sie sie als Handschlag und nicht als Passwort.

Ab Version 5.0.0 nimmt die App am Sicherungssystem von Android nicht mehr teil: Sowohl die Sicherung in der Cloud in Ihr Google-Konto als auch die Übertragung von Gerät zu Gerät sind für jeden Teil der Daten der App abgeschaltet. Versionen bis einschließlich 4.1.0 haben sich nicht abgemeldet; wenn Sie die App schon länger benutzen, kann eine Kopie ihrer lokalen Datenbank und ihrer Einstellungen also bereits in einer Google-Sicherung liegen. Diese Kopie liegt in Ihrem Google-Konto und nicht in unserem, und sie wird auf dem Weg entfernt, auf dem Google App-Sicherungen entfernen lässt. Werkzeuge zur Übertragung, die Telefonhersteller gebaut haben, arbeiten außerhalb des Sicherungssystems von Android und werden von dieser Einstellung nicht erfasst.

Die Daten bleiben auf dem Server, solange das Konto besteht. Ein Fahrzeug, eine Ausgabe, eine Erinnerung, eine Kategorie oder einen Freigabeeintrag in der App zu löschen, ist auf dem Server ein weiches Löschen: Die Zeile wird nicht mehr gezeigt und nicht mehr synchronisiert, aber sie bleibt erhalten und wird als gelöscht markiert.

Einen Bildschirm zum Löschen des eigenen Kontos gibt es in der App nicht, und der Server hat dafür ebenfalls keinen Endpunkt. Die Löschung ist ein Antrag per E-Mail an contacts@mve.suxlv2.space, beantwortet von der einen Person, die diese Adresse liest. Das ist das ganze Verfahren, und etwas anderes zu behaupten wäre leichter geschrieben als eingehalten.

Konkret:

  • In der App löschen: Der Eintrag verschwindet aus Ihrer App und aus der App aller, mit denen Sie geteilt haben, und bleibt auf dem Server erhalten, als gelöscht markiert.
  • Abmelden: Es wird nirgends etwas gelöscht. Einträge, die noch zum Hochladen in der Warteschlange stehen, gehen verloren, wenn Sie sich vor dem Senden abmelden — die App warnt Sie vorher davor.
  • Deinstallieren: Die lokale Kopie verschwindet. Erneutes Anmelden holt zurück, was der Server hält, Monatslimits und Vorlagen für Ausgaben eingeschlossen, sofern Premium sie dorthin gespeichert hatte; was nie beim Server ankam, ist weg.
  • Das Konto und seine Daten auf dem Server löschen: Schreiben Sie an contacts@mve.suxlv2.space.

Sie können fragen, was über Sie gespeichert ist, eine Berichtigung verlangen, eine Kopie verlangen, die Löschung verlangen oder einem Teil der Verarbeitung widersprechen. Für all das gibt es eine Adresse: contacts@mve.suxlv2.space. Bitte schreiben Sie von der Adresse, unter der das Konto registriert ist, denn diese Adresse ist das einzige Kennzeichen, das wir von Ihnen haben.

  • Auskunft und Kopie. Die App exportiert ein Fahrzeug auf einmal als CSV oder als PDF-Bericht, und die CSV ist die vollständigere von beiden. Für alles, was der Export nicht abdeckt, fragen Sie per E-Mail.
  • Berichtigung. Die meisten Felder lassen sich in der App selbst berichtigen. Wo das nicht geht, fragen Sie per E-Mail.
  • Löschung. Per E-Mail, wie im Abschnitt darüber beschrieben.
  • Widerspruch. Per E-Mail, auch der Widerspruch dagegen, dass Ihr Fahrzeug in der Liste der weltweiten Statistik erscheint: In der App gibt es dafür keinen Schalter, es muss also ein Antrag sein.

Wenn sich dieses Dokument ändert, ändert sich das Datum oben auf der Seite mit, und dieses Datum ist die einzige Kennzeichnung: Die App schiebt Ihnen keine Aktualisierungen der Erklärung zu. Bedeutet eine Änderung einmal, dass etwas Neues erhoben wird, wird es hier so ausführlich beschrieben wie alles andere — bevor die Änderung die App erreicht.