Tomorrow kam hier leider nicht sehr gut weg:
Wollt ihr dazu Stellung beziehen? Ich dachte ehrlich gesagt ihr habt hier viel Energie reingesteckt, dass dem nicht so ist (kann mich hier zumindest an Forenposts erinnern)!
Sehr negativ fielen vorwiegend die größtenteils ausländischen Fintech-Apps auf, darunter Revolut, Klarna, Bunq und Tomorrow.
Die 5 Tracker sind natürlich nicht schön. Aber warum der Strich bei der „TAN-App“ (die es nicht gibt) rot ist, leuchtet mir nicht so ganz ein. Hab auch keinen Link entdeckt für mehr Details. Übersehe ich da was?
@Jannis das wäre einen Blick bei euch wert, denke ich 
Um die Ergebnisse bei den Trackern in den Apps zu verdeutlichen:
Beim Einsatz von Trackern steht Tomorrow im Vergleich zu anderen nachhaltigen Konkurrenten leider katastrophal da. Denn die verzichten gänzlich auf Tracker.
Genau. Ich würde zumindest erwarten, dass dies inaktiv ist wenn man die Nutzungsdaten senden und Gerätedaten senden in den Einstellungen deaktiviert, aber bei closed source ist das natürlich nicht überprüfbar…
Laut einer offiziellen Aussage hier im Forum von November 2019, lassen sich alle Tracker in den Einstellungen deaktivieren.
Ich habe folgende Einstellungen in der Tomorrow-App unter „App verwalten“ deaktiviert: „Nutzungserlebnis verbessern“, „IDFA Tracking“ und „Gerätedaten senden“.
Ob die Aussage noch korrekt ist, kann ich nicht sagen – es scheint jedoch, dass sie nicht mehr der Realität entspricht: Beim Start der Tomorrow-App loggt mein Pi-hole weiterhin Verbindungen zu Bugsnag und Google-Analytics mit. Letztere wurde in älteren Threads bereits diskutiert (Kurzfassung: wird nicht mehr genutzt, soll keine Daten übertragen, lasse sich aber wohl nicht aus der App vollständig entfernen).
Wieso Bugsnag trotz der drei deaktivierten Regler eine Verbindung aufbaut, kann ich mir nicht erklären. Schön wäre es, wenn solche nicht zwingend benötigten Verbindungen komplett deaktivierbar wären – die Konkurrenz schafft das laut des Tests auch und baut so etwas nicht mal ein. Ideal wäre es, wenn diese Verbindungen komplett Opt-in wären, also dass Nutzer:innen diesen etwa bei der Einrichtung der App zustimmen müssen. 
In dem Test auf dem Kuketz-Blog wurden nicht nur klassische Tracker ins Visier genommen, davon besitzt die Tomorrow-App für Android laut Exodus „nur“ 2: Adjust und Bugsnag. Der Test zählte auch Verbindungen zu Drittanbietern, die ohne Einwilligung geschehen und laut des Autors nicht zwingend notwendig sind.
Das Mouse-Over funktioniert nicht, um in der Tabelle vom Testbericht die Drittanbieterverbindungen einzusehen. Der Quellcode liefert dann aber die Antwort, es handelt sich um folgende Verbindungen: Firebase, Bugsnag, Adjust, Mixpanel und Braze – darunter also die „bekannten“ 2 Tracker Adjust und Bugsnag.
Über diese Verbindungen wurde im Forum bereits gesprochen, hier kurz zur Funktion mit den Verweisen zu den Beiträgen:
Die Datenschutzerklärung von Tomorrow geht ab Seite 14 dazu auch noch mehr ins Detail und listet auf, welche Daten dabei verarbeitet werden.
Moin 
danke schonmal fürs Bescheid geben 
Kurzes Update dazu von mir: Unser Legal und Engineering Team überprüft den Artikel und eure Anmerkungen aktuell dazu noch.
Schonmal vorweg: Uns ist Datenschutz auf jeden Fall wichtig und wir haben deswegen auch seit August eine zusätzliche Data Protection Managerin eingestellt.
Ich halte euch da auf dem Laufenden, sobald wir abschließende Ergebnisse haben 
Gibt es schon was neues dazu? 2 Wochen her dieses Posting…
Guter Hinweis, NetGuard listet zwar die Zugriffe auf, aber 4 dieser Zugriffe konnte ich nun blockieren. So genau wie du hab ich es in Netguard leider nicht, aber für mich reichts vorerst. Bin gespannt ob ich damit Probleme bekomme - warte mal zu was passiert. Hab Stock Android mit Netguard.
Tja, da bin ich wieder…
Tomorrow ist in Sachen Datenschutz leider völlig Beratungsresistent, ich versuche schon von Anfang an die Firma wach zu rütteln, habe zich Mails mit dem support getauscht und noch heute stellt sich die App nach einen update automatisch in den Einstellungen um , das ich Einverstanden wäre Daten zu senden.
NEIN, bin ich nie!
Wem Datenschutz wichtig ist sollte auch wissen wie Datenschutz funktioniert und wie eine Datenschutzerklärung anfangen sollte →
Zitat:
An dieser Stelle erwarten Sie bestimmt einen Satz wie:
Wir nehmen den Schutz Ihrer Daten sehr ernst.
Doch diese oder ähnliche Eingangsformulierungen werden Sie hier vergeblich suchen. Vielmehr haben wir das, was durch solche Sätze versucht wird auszudrücken, direkt in Taten umgesetzt.
— Zitat Ende
Wem Datenschutz wichtig ist, schreibt so was nicht, der hat das einfach nicht nötig, so ein Blödsinn von sich zu geben! Sondern handelt, stellt das Tracking ein, sendet keine Daten an Drittanbieter, ist Transparent in seinem handeln und versendet in keinem Fall irgendwelche Daten in die USA!
Wer behauptet das irgendwelche Daten die in die USA gesendet werden, ein angemessenes Schutzniveau hätten, missachtet im vollem Bewusstsein die Tatsache, das hier weiterhin entgegen der EU Grundrechts Charta und geltendes Datenschutzrecht, Daten unrechtmäßig übertragen werden!
Denn auch das Dritte Abkommen welches sich jetzt nach 25 Jahren illegalen Datentransfers nun EU-US Data Privacy Framework schimpft, ist die Kopie des Privacy Shield (von 2016), das wiederum eine Kopie von „Safe Harbor“ (von 2000) war.
Es hat sich inhaltlich rein gar nichts geändert, in den letzten 25 Jahren, was substantielle Änderung im US-Überwachungsrecht betrifft und jedes Abkommen zwischen der EU und den USA wurde rückwirkend für ungültig erklärt, wodurch alle bisherigen Datenübermittlungen des letzten viertel Jahrhunderts in die USA illegal waren, sind und auch bleiben werden!
Das hat auch ein Gutachten im Auftrag der Bundesregierung dieses Jahr festgestellt, was dann den Einsatz von Office 360 bei Ämtern und zukünftig auch die Daten der ePA mit einschließt. Nur mal um die Dimensionen des Rechtsverstoßes zu zeichnen!
Eine Data Protection Managerin? aha soso, das klingt ja fast wie ein neuer Arbeitsplatz…
Ihr möchtet uns also mitteilen, dass Ihr einen Dienst eingekauft habt?
Welcher dann als Officer in der Datenschutzerklärung unter Punkt 3 mit der Firma secjur GmbH auftaucht?
Also das übliche Verantwortung hin und her sourcen, um juristisch in der Grauzone zu liegen. Hier Arbeiten keine Datenschützer, sondern Juristen!
Im November 2023 habe ich hier noch vor den Umgang der Daten durch die Schufa gewarnt.
Nach den Schufa Urteil Dezember 2023 war dann klar das hier rechtswidrig gehandelt wurde, da eine automatische Entscheidungsfindung nicht zulässig ist!
Weitere Klagen wegen gegen Schufa und weiteren Datenhändlern laufen. Die haben viel mehr Daten hin und her geschoben als sie Preis geben wollen, bestimmt weil das alles Rechtskonform war.
Aber alles nicht so schlimm, ich hab ja nichts zu verbergen.
Was hier an den Tag gelegt wird zeugt weder von Verantwortungsbewusstsein, noch von irgendeinem Interesse an der Sicherheit von personenbezogenen Daten, also spart euch die Worte hierzu! Den getan hat sich hier nichts!
Zur App Nutzung ist nur eins zu sagen, die läuft auch nur mit zwei Domains! Der Rest ist illegal und darf geblockt werden! Das nennt sich Recht auf Selbstverteidigung!
Da die App notwendig ist, um ein Tomorrow zu nutzen ist eben Tomorrow nicht der richtige Ort. Ist ja ähnlich wie mit der AGB, wenn mir nicht gefällt wie ein Unternehmen mit meinen Daten umgeht, kann ich dort nicht Kunde werden. Problematisch wird es, wenn sich hier während der Zeit als Kunde etwas ändert ohne dass man die Möglichkeit hat zu wechseln oder zu widersprechen.
Übrigens halte ich die Aussage zu Firebase für falsch. Firebase ist kein Tracker, sondern eine Toolbox für mobile Anwendungen und die Werkzeuge verlangen unterschiedliche Menge an Daten. Deshalb wäre es halt zur Beurteilung wichtig, welche Firebase-Tools zum Einsatz kommen. Hier sind übrigens die aktuellen Informationen wie Firebase mit Daten umgeht: Datenschutz und Sicherheit in Firebase
Also erstens ist Datenschutz nicht alles, was mich immer noch an der Wahl Tomorrow festhalten lässt, aber ein mir anscheinend wichtiges Thema und zweitens bin ich auch kein Digitalisierung Verweiger/Gegner sondern eher das Gegenteil.
Deine Aussage ich hätte ja die Wahl woanders hinzugehen, ist aber diesbezüglich so intelligent als das du dann dem Opfer eines Überfalls vorwirfst es hätte sich ja nicht um diese Uhrzeit in diesem Stadtteil aufhalten sollen.
Nur weil es alle machen, heißt es nicht, das es richtig ist oder ich mir das Kommentarlos gefallen lassen muss. Wie ich oben ziemlich sachlich mit ausreichend Hintergrund dargelegt habe, ist JEDE Überlieferung von personenbezogenen Daten, ob mit Einwilligung oder nicht in die USA, rechtswidrig, weil die USA egal welches Abkommen zur Zeit in Kraft ist, keine Rechtssicherheit im Bezug des US-Überwachungsrecht gibt, welche aber laut Artikel 45 DSGVO gegeben sein muss, damit solch ein Abkommen überhaupt bestand hat. Das wurde schon in zwei Urteilen in dem Wortlaut vor dem EUGH betätigt.
Als ich zu tomorrow kam wurde noch mit einem Schufa freien kostenlosen Guthabenkonto geworben. Da gab es zwar auch schon Firebase, Google und Apple und Co, aber das ganze nahm mit der Zeit immer mehr Raum ein. Es fing an mit den Bildern für Überweisungsempfänger, die die App von der Seite Flagsmith laden wollte, wo man mir, nachdem ich Seitenweise erklären musste, dass dies niemals Datenschutzkonform sein kann, auf die Nase binden wollte, das dies völlig anonym vor dem Dienstleister geschieht. Nachdem Motto, auf der Abrechnung hätte jeder Händler seine eigene ID und ein gesammelter Datensatz wird dann zu flagsmith gesendet die fügen dem ganzen dann das Bild hinzu geben das zurück und tomorrow liefert das an die Kunden aus.
Wäre dies tatsächlich der Fall, müsste doch die App keinen Kontakt zu flagsmith aufnehmen, oder nicht? Aber ohne eine Verbindung werden die Bilder nicht geladen.
Ab solcher Erklärungslogik hört dann für mich jedes Verständnis für eine Erklärung seitens tomorrow einfach auf, wenn man nicht mal, das was man da gerade erklärt hat, auf den realistischen Ablauf übertragen kann und dabei feststellen muss, das es Nonsens ist, was man da schreibt.
Durch das nachladen des Icons ist ein direkte Verknüpfung dieses icons mit der IP Adresse der App (des Kunden) hergestellt oder man möchte hier den Kunden einfach für blöd verkaufen.
Nicht nur das man einzelne Icons an eine bestimmte Händler ID Knüpfen kann, man kann sogar einzigartige Verknüpfungen zu jedem einzelnen Icon generieren, die zusammen mit der IP des Kunden ein individuelles Paket ergeben, was man wiederum an Google sendet. Hier entsteht (weil das Tool ja alle verwenden) ein riesiger Datenpool und anhand der IP des Kunden und den Meta Daten der App, entsteht eine Verknüpfung zu einer schon vorhandenen Identität und erfüllt somit alle Kriterien um einen Preis für diese Daten auf dem Datenmarkt zu erzielen.
Natürlich nicht jeder einzelne Datensatz, aber gesicherte Einkaufsgewohnheiten von 100K identifizierten Personen mit Daten, die im normalen gesetzlichen Rahmen überhaupt nicht erhoben werden dürfen, hat man so (völlig legal) quasi aus dem nichts generiert.
Oder was glaubt ihr woher die ganzen Daten kommen, wenn doch angeblich niemand Daten sammelt, weitergibt und verkauft?
Für den Kunden sieht das dann schön und übersichtlich aus und der macht sich auch für gewöhnlich keine Gedanken, wie das funktioniert und was mit ein paar Analysetools da passiert.
Der Kunde glaubt hier werden nur Daten für ihn analysiert. Als würde ein Unternehmen solch ein Aufwand betreiben um den Kunden Bunte Bilder auf dem Smartphone zu malen. Das ist ein Konzept um Geld zu verdienen.
Ich weiß zwar nicht welche Aussage von mir jetzt über Firebase genau gemeint ist, aber wenn Firebase für dich ein reiner Werkzeugkasten ist, dann gilt das sicherlich nur aus der Sicht eines App Entwicklers, der die Funktionen seiner App im Auge haben möchte. Was man so betrachtet sogar bejahen kann und auch sehr viele Vorteile mit sich bringt, keine Frage, es ist ein Wunderbares Entwicklerwerkzeug. Aber wie jeder Hammer und jeder Schraubenzieher eine Waffe werden kann, so können auch Entwicklerwerkzeuge für Dinge eingesetzt werden, die Personen vielleicht nicht direkt Schaden aber oft gegen dessen Willen eingesetzt werden und im späteren Verlauf indirekt einen erheblichen Schaden zufügen.
Die Firmen sind aber meist nicht selber die Entwickler und das diese Werkzeugkästen noch für ganz andere Analysen und Tracking Methoden verwendet werden ist doch überhaupt die Begründung für berechtigtes Interesse mit dem der Einsatz dieser Werkzeuge begründet wird.
Es besteht aber kein Grundrecht auf Analyse schon gar nicht das Recht auf Analysieren von Personen und deren Verhalten, dafür aber ein Recht auf Datenschutz und Privatsphäre. Da Firebase auch Google gehört findet auch eine Übermittlung der Daten in die USA statt. Auch weiß niemand wie Google diese Daten wirklich weiter verwendet,analysiert und weiter verarbeitet .
Und es kann auch nicht sein, wenn ich keine Einwilligung erteilt habe, das Daten zur Analyse oder sonst was verwendet werden, Push Benachrichtigen deaktiviert wurden und jede App Einstellung den Schieber links hat, das die App immer noch versucht eine Verbindung zu Firebase & Co herzustellen. Dafür können die Firmen meist selber nichts, aber diese Werkzeuge sind in den code der APP integriert und werden auch einfach so aktiviert, ob der Nutzer damit einverstanden bist oder nicht, das kann auch kein Schieberegler verhindern, aber erzähl das mal jemandem vom Kundendienst, die nicht mal verstehen das wenn man icons die in meinen Datensatz verlinkt wurden, dann mit der IP des Kunden und dessen Meta Daten vom Server des Anbieters in Verbindung stehen.
Die allerbeste Aussage des supports zum Schluss:
Ich fragte nach einer Google Play Service freien App Variante, weil Google und Datenschutz schließen sich im Prinzip schon von alleine gegenseitig aus.
-Die Tomorrow App wird nur im offiziellen App Stores angeboten Google/Apple/Huawei und würde somit mit Ausnahme Huawei nicht ohne Play Service ausgeliefert.
Jetzt die sagenhafte Begründung:
Man nutze die Sicherheitszertifikate und Features der offiziellen Anbieter (was im Falle von Google und Apple eher ein Daten Feature darstellt) und würden eine APK Version für einem alternativen Store wegen potenziellen Sicherheitsrisiken nicht anbieten.
Auch würde die App ohne die Features nicht richtig funktionieren, es gäbe keine automatischen updates und die App wäre leicht von Betrügern zu manipulieren.
Ich habe mich dann anschließend als „Betrüger geoutet“, weil es mir entgegen dieser vor ca. 1 Jahr getroffenen Aussagen bis heute möglich ist, die Tomorrow App innerhalb einer völlig google befreiten Umgebung in mir ausreichenden Funktionsumfang zu benutzen und das auch noch über das Tor Netzwerk. Botz Blitz aber auch.
Meine Aussage diesbezüglich wurde damals als für nicht wahr befunden, weil was nicht sein kann, das auch nicht sein darf, aber der Güte und Toleranz wegen liefe weiterhin die App auf gerooteten Geräten oder auch ohne google Diensten in einer in offiziellen unsicheren Variante.
Mir war das damals einfach zu doof zu antworten, nachdem ich den support regelgerecht auf Knien zuvor angefleht habe, ihre Praktiken in Bezug auf den Datenschutz vollständig zu überdenken, es gibt für ALLES alternativen! Man muss es nur wollen!
Aber wie immer wird es verpuffen und die Gerichte werden mir wieder Recht geben., doch niemand wird sich raus reden können, man hätte davon nichts gewusst! Ihr habt jetzt sogar Alternativen!
Warum ich trotzdem an Tomorrow festhalte?
Lest einfach mal die Transparenzberichte und schaut Euch die Projekte an!
Und die App braucht zwar ewig bis sie auf geht, funktioniert aber tadellos und das ausschließlich über das Tor Netzwerk. Dafür zieh ich meinen Hut! und Bedanke mich!
Moin @M-u-m-p-i-t-z ,
also erstmal kann ich deinen Frust nachvollziehen, gerade weil ich ja mich schon länger nicht mehr mit einem Update dazu gemeldet habe 
Im Hintergrund ist in der Zwischenzeit allerdings einiges passiert. Wir arbeiten aktuell daran die Einstellungen in der App zu erweitern. Dann werdet ihr dort sehen: Welche Services werden alles genutzt und auch wofür. Welche davon sind Pflicht und welche sind optional. Die Optionalen könnt ihr dann alle einzeln aktivieren oder deaktivieren.
Geplant ist, dass diese Änderung Ende Dezember oder Anfang Januar live geht. Ab dann habt ihr also eine bessere Übersicht über die einzelnen Services, seht auch direkt in den Einstellungen wofür sie genutzt werden und könnt basieren darauf spezifischer einstellen, welche ihr aktive und welche ihr nicht aktiv haben wollt
Ich finde es auch sehr beeindruckend wie intensiv du dich mit dem Thema auseinandersetzt und danke, dass du deine Gedanken zu möglichen Alternativen geteilt hast. Und ich stimmt dir zu: davon könnte man sicherlich einiges umsetzen. Da spielt dann aber auch Entwicklungsaufwand und andere Faktoren mit rein. Deshalb wird vieles, was du dir wünscht demnächst wahrscheinlich nicht umgesetzt werden. Aber ich hoffe, dass dir schonmal klarere Transparenz in den Einstellungen hilft.
Ich möchte auch noch auf 2 Punkte klarstellen:
Zu viel erstmal von meiner Seite dazu. Bin gespannt auf euer Feedback, sobald live geht, dass in den Einstellungen die Services detaillierter angezeigt werden
Hallo @Jannis ,
da ist kein Frust, nicht mal Enttäuschung, auch denke ich das ich weiß, was dann bald kommen wird.
Die Ankündigung das es sehr bald gravierende Veränderungen in den Einstellmöglichkeiten mit Pflichtvorgaben geben wird, sagt mir doch schon alles.
Die Pflicht wird die Nutzung von der „Monopol Play Integrity API“, welche Google als (im Grunde unwirksame) „Waffe“ missbraucht, um seine Marktstellung zu behalten. Wird den App-Entwicklern verkauft um Sicherheit vorzuspielen, den Google entscheidet welches OS als sicher gilt auf reiner Software- und Geschäftsbasis, ohne eine Integritätsprüfung durchzuführen.
Wer glaubt so seine App vor Manipulation oder Missbrauch zu schützen, dem sei gesagt, die „bösen“ root Geräte werden dadurch nicht ausgeschlossen, einzig GrapheneOS bekommt die Freigabe nicht, weil sie Google kein Veto Recht einräumen werden, wenn es heißt die Sicherheit der Nutzer zu gefährden. Wer so ein Verhalten von Google duldet und fördert gefährdet eindeutig die Nutzer (also ihr eure Kunden).
Dieses update werde ich dann wohl mal auslassen, mein Sonderkündigungsrecht in Anspruch nehmen und mich dann nach einer Alternative umschauen müssen.
Das dieses Verhalten im Grunde wettbewerbswidrig ist, zeigt diese neue Meldung von GrapheneOS, wo darauf hingewiesen wird, das Android schon lange eine Hardware-basierte Prüfung integriert hat, die ohne den Google Service auskommt und eine „echte“ Prüfung des OS zu lässt.
Es hat nichts, wie von Google behauptet, mit Kompatibilität oder Sicherheitsrisiken zu tun, sondern der einzige Grund ist, dass GrapheneOS keine Lizenz für Google Mobile Services (GMS) haben und diese Apps eher die Geschäftsinteressen von Google als die Sicherheit durchsetzen.
Ich verteidige nur meine Grundrechte, die 90% der Menschen, aus unbegründeter Angst, völligen Desinteresse oder aber mit dem Wissen, das sie nicht zu den Vertriebenen gehören werden, bereit sind aufzugeben. Anscheinend fehlt hier auch Grundliegeendes Wissen, wie das Internet funktioniert.
Euch ist klar, dass ihr die Daten eurer Kunden als Zahlungsmittel für eine Kundenanalyse verwendet und das noch nicht mal in der Datenschutzerklärung auftaucht?
Zitat der Webseite von Tapix, was der Dienst kosten soll heißt es:
[…]Unlock the potential of your payment data
Our goal is to bridge the gap between payments and people’s lives by turning messy transaction data into actionable insights.
We have experience with projects ranging from fintechs and challenger banks to a large banking group and we are ready to use this experience to work together to find a solution that will help you meet your goals.[…]
Um die Daten Analyse verwerten zu können und um die Icons ausliefern zu können, werden einzigartige IDs verwendeten werden müssen, die man sicherlich im Datensatz der Überweisung finden wird.
Der Faktor „Wirklich etwas verändern wollen“ fehlt da definitiv. Richtig! Umwelt zu schützen heißt auch den Kapitalismus einzudämmen und keinen Ausverkauf der Daten als sein höchstes Ziel zu setzen.
Die Firma wurde ja schon wieder ersetzt, gibt es da mittlerweile auch Kündigungsfristen von 4 Wochen, damit das Verantwortungskurassel sich noch schneller drehen kann?
Nichts desto trotz, vielleicht liege ich ja diesmal falsch und Solidarität, Gemeinschaft und der Kapitalismus als gemeinsamer Gegner für ein friedliches miteinander steht hier doch im Vordergrund und es kommt alles anders. Die Hoffnung stirbt ja bekanntlich zuletzt.
Ich wünsche allen fröhliche Weihnachten, schöne Feiertage bei den Familien und einen guten Rutsch in das neue Jahr!