Offline-Perioden-App oder Cloud: der ehrliche Vergleich

Nur lokal ist die private Wahl, und es ist die zerbrechliche. Eine App, die deinen Zyklus auf dem Handy behält, hat keinen Server, in den eingebrochen werden kann, kein Konto, das übernommen werden kann, keine dritte Partei, an die etwas weitergegeben wird, und nichts, wonach ein Gericht fragen kann — und aus genau demselben Grund auch keine Kopie deines Verlaufs an irgendeinem anderen Ort. Synchronisierung kauft dir ein neues Handy, ein zweites Gerät und eine brauchbare Antwort auf ein zersprungenes Display, und sie bezahlt das mit einer Kopie der empfindlichsten Aufzeichnung, die du führst, auf fremden Servern unter der jeweils geltenden Erklärung. Wenn du dich für nur lokal entscheidest, ist Exportieren kein nettes Extra. Es ist der ganze Backup-Plan.

Diese Seite ist gegen ihre eigene App geschrieben, denn der Tausch bedeutet nur etwas, wenn beide Hälften in voller Stärke dastehen.

Was Synchronisierung dir wirklich kauft

Drei Dinge, und keines davon ist eingebildet.

Ein neues Handy. Menschen tauschen alle paar Jahre das Gerät, und der Umzug sollte dich nicht einen Verlauf kosten, den du zehn Jahre lang geführt hast. Mit Synchronisierung ist es eine Anmeldung. Ohne sie ist es eine Datei, die du besser gemacht hast.

Ein zweites Gerät. Wenn du auf dem Handy einträgst und auf dem Tablet liest oder deinen Verlauf am Laptop brauchst, während du ein Formular für eine Praxis ausfüllst, kann das ein synchronisiertes Konto und eine lokale Datenbank nicht.

Ein Unglück. Fallen gelassen, ertrunken, gestohlen, von einem misslungenen Update gelöscht. Ein Handy ist ein kleines Ding mit einem harten Leben, und der Unterschied zwischen Ärger und Verlust ist, ob die Daten anderswo existierten.

Nichts davon ist Werbung. Das sind die Gründe, warum es Synchronisierung gibt und warum die meisten Tracker auf einem Konto aufbauen.

Was nur lokal kostet, klar gesagt

Wenn das Handy im Kanal landet und du nie etwas exportiert hast, ist dein Zyklusverlauf weg. Nicht vom Support wiederherstellbar, nicht aus einer Quittung, nicht in einem Backup, das jemand für dich ausgräbt. Es gibt keinen Passwort-vergessen-Weg zu einer Datenbank, die immer nur an einem Ort existiert hat. Das ist kein Fehler im Design; das ist das Design, von der anderen Seite gesehen.

Wie sehr das wiegt, hängt davon ab, wofür der Verlauf da ist. Ein paar Monate mit Daten lassen sich aus dem Gedächtnis schlecht und aus einem Kalender ordentlich wiederherstellen. Zehn Jahre Startdaten, Symptommuster und Temperaturen lassen sich gar nicht wiederherstellen, und meistens hat der lange Verlauf überhaupt erst einen Wert — das, was du zum Termin mitnimmst, das, was zeigt, dass sich etwas geändert hat, und nicht nur, dass es sich so anfühlt.

Drei Mittelwege und was jeder davon wirklich verspricht

Die Wahl ist nicht wirklich binär, und die ehrliche Fassung dieses Artikels sagt das.

Ende-zu-Ende verschlüsselte Synchronisierung. Der stärkste Mittelweg, wenn die Firma ihn dokumentiert. Apples Anleitung sagt, wenn das iPhone mit Face ID, Touch ID oder einem Code gesperrt ist, sind alle Gesundheits- und Fitnessdaten außer der Notfallpass-Karte verschlüsselt, und mit Zwei-Faktor-Authentifizierung seien die nach iCloud synchronisierten Gesundheitsdaten Ende-zu-Ende verschlüsselt und Apple habe nicht den Schlüssel zum Entschlüsseln. Lies das genau, denn der letzte Halbsatz ist die ganze Sache: Eine Firma, die sagt, sie könne deine Daten nicht lesen, macht eine viel engere Aussage als eine, die sagt, sie werde es nicht tun. Apples Health-App ist außerdem der Ort, an dem ein Verlauf auf dem Handy liegt, wenn du nie einen Tracker installierst — das Thema von deinen Zyklus in Apple Health festhalten.

Eine verschlüsselte Kopie bei der Firma. Die häufigste Form. Die Daten liegen auf Servern, die die Firma lesen kann, geschützt durch ihre Regeln und ihre Sicherheit statt durch Mathematik. Die Datenschutzerklärung von Clue beschreibt ihre Fassung: Das Anlegen eines Clue-Kontos verarbeite personenbezogene Daten wie Benutzernamen, Geburtsdatum und E-Mail-Adresse; alle Daten würden sicher auf Servern in der Europäischen Union gespeichert; Profildaten würden getrennt von Gesundheitsdaten gespeichert; die in der App erfassten Gesundheitsdaten würden niemals an Werbetreibende weitergegeben oder verkauft; und ein Antrag auf vollständige Löschung werde innerhalb eines Monats ausgeführt. Profildaten von Gesundheitsdaten zu trennen ist eine echte Maßnahme, und das gehört so benannt. Es bleibt ein Versprechen darüber, wie eine Firma sich verhält, abgegeben von der Firma, und von deinem Platz aus kannst du es nicht prüfen.

Ein Export von Hand, den du kontrollierst. Der unglamouröse Weg. Kein Konto, kein Server, und eine Datei, die du absichtlich machst und dorthin legst, wohin du willst. Er hat die Privatheit von nur lokal und beseitigt die einzelne Schwachstelle — zum Preis, dass du daran denken musst. An diesem letzten Halbsatz scheitert er meistens.

Es gibt noch etwas Viertes, das kein echter Mittelweg ist, aber oft als einer behandelt wird: das Backup deines eigenen Handys. Die Datenschutzerklärung von drip ist darin ungewöhnlich direkt: Zyklusdaten würden lokal auf dem Gerät gespeichert und könnten von anderen Apps nicht gelesen werden, und je nach Geräteeinstellungen könne trotzdem ein automatisches Cloud-Backup stattfinden. Eine rein lokale App legt deine Daten nicht in die Cloud. Dein Betriebssystem vielleicht schon, und diese Einstellung lohnt sich anzusehen, welche App du auch benutzt.

Eine Export-Gewohnheit, die den Alltag überlebt

Der Rat, „regelmäßig zu exportieren“, ist wertlos, weil er keinen Moment nennt. Eine Gewohnheit braucht einen Anlass und einen Ort.

1. Nimm ein Ereignis, kein Intervall. Der Tag, an dem du das Handy wechselst, der Tag, an dem du zur Ärztin gehst, und ein fester Tag im Jahr — ein Geburtstag geht gut, weil du ihn nicht vergisst. Alles, woran du nach Zeitplan denken musst, lässt du im März bleiben.
2. Schick die Datei dorthin, wo sie in fünf Jahren noch ist. Eine E-Mail an dich selbst ist gut und überlebt den Verlust des Handys. Eine Kopie auf einem Laptop ist gut. Eine Kopie, die nur auf demselben Handy liegt wie die App, ist kein Backup, sondern dasselbe Ei im selben Korb.
3. Mach sie einmal auf. Ein Export, den du nie angesehen hast, ist eine Datei von unbekannter Qualität. Lies sie, prüfe, ob die Daten auch Daten sind, und dann weißt du, was du hast.
4. Halte für das Wichtigste eine Papierzeile. Startdaten sind in einer Sekunde geschrieben und sind die eine Spalte, aus der alles andere berechnet wird. Der Periodenkalender zum Ausdrucken ist ein Jahr auf einem Blatt, und ihm ist egal, ob dein Handy überlebt.

Wenn du Papier als Hauptaufzeichnung wählst und nicht als Rückfallebene, ist die Methode ein eigenes Thema und steht in deinen Zyklus ohne App festhalten.

Worum es bei diesem Tausch nicht geht

Es ist verlockend, lokal gegen Cloud als Kampf zwischen einer vertrauenswürdigen und einer unzuverlässigen Firma zu erzählen. Das ist es nicht. Es ist eine Frage danach, wo eine Kopie existiert, und Kopien haben ihre eigenen Risiken, ganz gleich, was jemand beabsichtigt.

Auch das Gesetz schließt die Lücke nicht für dich. Die FTC schreibt klar, dass viele Firmen, die Gesundheitsdaten von Menschen sammeln — ein Fitnesstracker, eine Ernährungs-App, ein vernetztes Blutdruckmessgerät oder etwas anderes —, nicht unter HIPAA fallen; stattdessen gelten der FTC Act und die Health Breach Notification Rule. Das ist echter Schutz, und es ist größtenteils Schutz der Art, die dir Bescheid gibt, nachdem etwas schiefgegangen ist.

Die größere Kategorie ist auch wichtig: Ein Scoping Review von Gesundheits-Apps fand, dass die meisten der untersuchten, 20 von 23, Nutzerdaten an Dritte weitergaben. Das ist kein Urteil über einen bestimmten Tracker, und es ist der Grund, danach zu fragen, wozu eine App architektonisch in der Lage ist, statt danach, was ihre Werbung sagt. Die längere Fassung dieses Arguments ist der Unterschied zwischen einem Versprechen und einer Architektur, und das Vokabular drumherum — kein Konto, entkoppelt, nie gesendet — nimmt was anonymes Tracking heißen kann und was nicht auseinander.

Wählen, ohne eine richtige Antwort vorzutäuschen

Synchronisierung ist die vernünftige Voreinstellung, wenn dich der Verlust deines Verlaufs mehr stören würde als eine Firma, die ihn hält, wenn du mehr als ein Gerät benutzt oder wenn du aus einem medizinischen Grund aufzeichnest, bei dem Kontinuität zählt. Nur lokal ist die vernünftige Voreinstellung, wenn dir lieber wäre, es existierte keine Kopie, wenn deine Lage eine Serverkopie eher zum Risiko als zur Bequemlichkeit macht, oder wenn du je gezögert hast, etwas ehrlich einzutragen. Auf dieses Zögern lohnt es sich zu hören: Ein Verlauf, den du aus Sicherheitsgründen beschönigst, nützt weder dir noch einer Ärztin.

So oder so ist der Verlauf nur so viel wert, wie du aus ihm herauslesen kannst. Der Zykluslängen-Rechner macht aus einer Handvoll Startdaten deinen eigenen Durchschnitt und das Maß seiner Schwankung, und der Periodenrechner macht daraus ein geschätztes Fenster mit der Unsicherheit daneben. Der NHS setzt den üblichen Bereich auf eine Periode etwa alle 28 Tage an, häufig irgendwo zwischen alle 21 und alle 35 — wo du darin liegst, zeigt nur dein eigener Verlauf. Vorhersagen aus beiden Werkzeugen sind Schätzungen, keine Gewissheiten.

Wo Athena steht

Athena ist die App hinter dieser Seite. It is on the App Store and Google Play. Auf dieser Seite steht nichts zum Verkauf, und es gibt nichts, wofür du dich anmelden musst.

Sie hat keine Synchronisierung. Perioden, Symptome, Notizen und Temperaturen werden in eine private Datenbank auf dem Handy geschrieben, Vorhersagen werden auf dem Gerät berechnet, und es gibt kein Konto und keine Serverkopie von Gesundheitsdaten — was den ganzen oben beschriebenen Schutz und die ganze Zerbrechlichkeit bedeutet. Wenn das Handy weg ist und nichts exportiert wurde, ist der Verlauf weg, und niemand kann ihn dir zurückholen. Deshalb ist Export in einer so gebauten App kein Extra, und deshalb steht die Export-Gewohnheit mitten auf dieser Seite und nicht am Ende.

Eines verlässt das Handy sehr wohl, und diese Seite täte genau das, was sie kritisiert, wenn sie es wegließe. Die App schickt anonyme Diagnosedaten an Firebase — welche Funktionen genutzt werden, Absturzberichte, Gerätemodell und Betriebssystemversion — und nichts, was du einträgst, ist darin. Sie trägt keine Zyklusdaten, weil es keine zu tragen gibt. Was mit der Kopie auf dem Gerät passiert, wenn du die App entfernst, ist eine eigene Frage mit einer eigenen Antwort: löscht das Entfernen der App deine Daten.