Stand: 14. September 2026 · Gilt für die Android-App Yesta ab Fassung 1.32.0; was mit ab 1.35.0, ab 1.38.0 oder ab 1.39.0 bezeichnet ist, gilt ab dieser Fassung · English · Español
Kurz gesagt: Yesta sendet nichts. Die App fordert die
Berechtigung INTERNET gar nicht erst an — sie kann technisch keine
Verbindung ins Netz aufbauen. Es gibt kein Konto, keine Anmeldung, keinen
Server und keine Werbung.
Alle Fotos, alle Notizen und alle Auswertungen bleiben auf dem Gerät — es sei denn, der Nutzer schickt selbst etwas hinaus (Abschnitt 5).
Yesta liest die Fotomediathek des Geräts und legt daraus ein eigenes Verzeichnis in einer Datenbank an, die ausschließlich auf dem Gerät liegt. Darin stehen:
| Art der Angabe | Woher |
|---|---|
| Verweis auf das Foto oder Video, Aufnahmezeitpunkt, Ordnername, Dateiname | Fotomediathek des Geräts |
| Bildmaße, Kameramodell, Ausrichtung | EXIF-Angaben der Aufnahme |
| Koordinaten der Aufnahme, sofern die Kamera sie gespeichert hat | EXIF-Angaben der Aufnahme — sie bleiben auf dem Gerät, siehe Abschnitt 3 |
| Bewertung nach Schärfe, Belichtung, Farbigkeit | von Yesta auf dem Gerät berechnet |
| Gesichtsabdrücke und Personengruppen | nur nach ausdrücklicher Zusage — siehe Abschnitt 2.1 |
| Begriffe zu dem, was auf einem Bild zu sehen ist („Strand“, „Weihnachten“) samt Sicherheit | von Yesta auf dem Gerät berechnet |
| Verkleinerte Kopien einzelner Aufnahmen, um Listen zügig anzuzeigen | von Yesta auf dem Gerät erzeugt, im privaten App-Verzeichnis, löschbar unter Einstellungen |
| Ortsname („Hamburg, Deutschland“) | siehe Abschnitt 3 |
| Selbst geschriebene Notizen zu Tagen und zu einzelnen Aufnahmen | Eingabe des Nutzers |
| Selbst eingetragene besondere Tage | Eingabe des Nutzers |
| Welche Zeiträume oder Aufnahmen ausgeblendet wurden | Eingabe des Nutzers |
| Namen, die der Nutzer Personengruppen gibt, und welche Personen er ausgeblendet hat | Eingabe des Nutzers — nur mit Gesichtserkennung, siehe Abschnitt 2.1 |
| Herzen an Aufnahmen | Eingabe des Nutzers, oder aus der Galerie übernommen |
| Selbst zugeordnete Aufnahmedaten | Eingabe des Nutzers |
| Briefe an später: der Text, der Tag, an dem er geschrieben wurde, der Tag, an dem er aufgehen soll, und wann er geöffnet wurde (ab 1.35.0) | Eingabe des Nutzers |
| An wie vielen Tagen die App geöffnet wurde, wie oft über Widget oder Meldung, wie oft eine Diashow lief und wie oft geteilt wurde — nur Zahlen | von Yesta auf dem Gerät gezählt |
Die Fotos selbst werden nicht kopiert. Yesta merkt sich Verweise auf die Aufnahmen und liest sie zum Anzeigen. Es entsteht keine zweite Sammlung. Die einzige Ausnahme ist Als Tag senden (Abschnitt 5): Dafür entstehen verkleinerte Kopien, und so empfangene Fotos legt Yesta in die Galerie.
Nichts davon wird übertragen. Die Datenbank liegt im privaten
App-Verzeichnis und ist für andere Apps nicht lesbar. Die Systemsicherung von
Android ist ausdrücklich abgeschaltet (allowBackup="false") — es
geht auch nichts automatisch zu Google Drive.
Yesta kann Gesichter auf den Fotos erkennen und Bilder derselben Person zusammenlegen. Dafür berechnet sie zu jedem gefundenen Gesicht einen Zahlenwert, einen Gesichtsabdruck.
Das ist ein biometrisches Datum im Sinne von Art. 9 Abs. 1 DSGVO. Seine Verarbeitung ist grundsätzlich untersagt und hier allein auf die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a gestützt.
Beim ersten Start — und auf einem Gerät, auf dem Yesta schon läuft, beim ersten Start nach dem Update auf 1.32.0 — stellt die App die Frage „Darf Yesta Gesichter zusammenfassen?“. Die Frage lässt sich nicht wegwischen; sie hat zwei Knöpfe, und einer davon muss gedrückt werden. Solange sie unbeantwortet ist, entsteht kein Gesichtsabdruck. Wer sie schließt, ohne zu antworten, bekommt sie beim nächsten Start erneut.
| Wo sie entstehen | auf diesem Gerät, mit einem mitgelieferten Modell |
| Wo sie bleiben | in der Datenbank im privaten App-Verzeichnis |
| Wohin sie gehen | nirgendwohin. Yesta hat keine INTERNET-Berechtigung |
| Wer sie sieht | nur der Nutzer, auf diesem Gerät |
| Wozu | um Bilder derselben Person zusammenzulegen. Zu nichts sonst |
Es findet keine Identifizierung gegen eine fremde Datenbank statt. Yesta weiß nicht, wer auf einem Foto zu sehen ist; sie stellt nur fest, dass zwei Gesichter einander ähneln. Einen Namen bekommt eine Gruppe erst, wenn der Nutzer ihn selbst einträgt — und dieser Name ist eine Eingabe, keine Erkennung.
Die Einwilligung lässt sich jederzeit widerrufen, unter Einstellungen → Gesichter zusammenfassen. Der Widerruf hält die Erkennung nicht nur an, sondern löscht alle Gesichtsabdrücke, alle Gruppen und die selbst vergebenen Namen. Ist eine Notizsicherung eingerichtet, schreibt Yesta sie dabei neu — ohne Namen und ohne die Lage von Gesichtern (ab 1.39.0, Abschnitt 5). Das ist endgültig; wer die Funktion später wieder einschaltet, fängt von vorn an, es sei denn, er liest eine ältere Sicherungsdatei ein, die er selbst aufbewahrt hat. Die App sagt das vor dem Abschalten. Der Widerruf berührt die Rechtmäßigkeit der Verarbeitung bis zu seinem Zeitpunkt nicht (Art. 7 Abs. 3 DSGVO).
Yesta funktioniert ohne Gesichtserkennung vollständig weiter: Rückblick, Kalender, Notizen, Suche nach Text, Datum und Begriffen. Es fehlt allein die Personenreihe in der Suche. Nichts in der App ist an die Zusage gekoppelt, außer der Funktion selbst.
Aufnahmen enthalten häufig Koordinaten. Damit statt „53.55, 9.99“ der Name
„Hamburg“ erscheint, gibt Yesta die Koordinate an den Ortsdienst von
Android (android.location.Geocoder). Dieser Dienst gehört
zum Betriebssystem und löst die Anfrage in der Regel über das Netz auf — je nach
Gerät bei Google.
Wichtig für das Verständnis: Diese Anfrage stellt nicht Yesta, sondern das System. Deshalb braucht die App keine Internet-Berechtigung. Übertragen wird allein die Koordinate, nie das Foto und nie eine Kennung des Nutzers.
Seit Fassung 1.25.1 ist das ausgeschaltet. Ohne dass jemand den Schalter umlegt, verlässt nichts das Gerät — auch keine Koordinate. Einschalten unter Einstellungen → Orte anzeigen; ausschalten jederzeit ebenda. Bereits aufgelöste Namen bleiben danach auf dem Gerät stehen. Für welche Daten Google beim Nachschlagen verantwortlich ist, richtet sich nach den Datenschutzbestimmungen von Google.
Mit den Koordinaten selbst rechnet Yesta nur auf dem Gerät — etwa für Deine Kapitel (ab 1.35.0), die an Datum und Ort der Fotos ablesen, welche Strecken jemand woanders verbracht hat als zu Hause. Dafür braucht es keinen Ortsnamen, und es wird nichts nachgeschlagen.
Notizen lassen sich diktieren statt tippen. Dafür fragt Yesta beim ersten Tippen auf das Mikrofonsymbol nach der Erlaubnis, das Mikrofon zu benutzen.
Die Erkennung läuft auf dem Gerät. Yesta benutzt ausschließlich den geräteeigenen Erkenner von Android. Wo dieser fehlt — auf Geräten vor Android 12 oder ohne heruntergeladenes Sprachpaket — erscheint der Mikrofonknopf gar nicht erst. Es gibt bewusst keinen Rückfall auf eine Erkennung über das Netz.
Es wird keine Tonaufnahme gespeichert. Erkannt wird der Text, und der landet im Notizfeld, wo er vor dem Speichern noch geändert werden kann.
Die Tageskarte kann sich vorlesen: das Datum, wie viele Erinnerungen es je
Jahr gibt, die Namen, die der Nutzer Personen gegeben hat, und die eigene
Notiz. Gesprochen wird von der Sprachausgabe des Geräts
(Android TextToSpeech) — einer eigenen App auf dem Gerät, meist
von Google oder vom Gerätehersteller. Yesta übergibt ihr nur diesen Text.
Yesta nimmt ausschließlich Stimmen, die ohne Netz sprechen, und legt die Stimme selbst fest, statt die Wahl der Sprachausgabe zu überlassen. Gibt es für die Sprache keine solche Stimme, liest Yesta nicht vor — es gibt keinen Rückfall auf eine Stimme über das Netz. Eine neue Berechtigung braucht das Vorlesen nicht; Yesta darf nur nachsehen, ob eine Sprachausgabe installiert ist. Aufgenommen und gespeichert wird dabei nichts.
Fünf Wege führen aus der App hinaus. Alle fünf löst der Nutzer aus, und bei allen fünfen sieht er vorher, was hinausgeht.
Yesta öffnet nur Dateien, die mit Als Tag senden entstanden sind, und zeigt vor dem Übernehmen, was darin ist — über Öffnen mit oder unter Yours → Geteilten Tag öffnen. Erst mit Übernehmen legt Yesta die Fotos in das Album „Yesta“ der Galerie (ab Android 10) und trägt sie an dem Tag ein, an dem sie aufgenommen wurden; das Album kommt dafür in die Ordnerauswahl. Eine mitgeschickte Notiz wird nur mit dem Haken Notiz übernehmen übernommen und kommt unter eine eigene, nie darüber. Die Kopie der Datei im Zwischenspeicher der App wird danach gelöscht.
Wer einen Tag empfängt, bekommt die Fotos und vielleicht die Worte eines anderen Menschen auf sein Gerät. Yesta behandelt sie wie die eigenen und gibt sie nirgendwohin weiter.
In den Einstellungen steht unter dem Datenschutzhinweis ein Knopf
Kaffee ausgeben. Er öffnet die Seite ko-fi.com/yesta im
Browser des Geräts — mehr tut er nicht. Yesta selbst überträgt dabei
nichts. Die App hat keine Internet-Berechtigung; sie reicht die
Adresse nur an den Browser weiter, und der ist eine eigene App.
Ab dort gilt, was im Browser immer gilt: Der Betreiber der Seite (Ko-fi) sieht die IP-Adresse und setzt eigene Cookies, und eine Zahlung wickelt je nach Auswahl PayPal oder Stripe ab. Yesta erfährt nicht, wer dort etwas gibt — es gibt keinen Rückkanal in die App, und der Beitrag schaltet in der App nichts frei. Wer den Knopf nicht antippt, für den ändert sich nichts.
| Berechtigung | Wofür |
|---|---|
READ_MEDIA_IMAGES, READ_MEDIA_VIDEO | Die Fotomediathek lesen. Das ist der Zweck der App |
READ_MEDIA_VISUAL_USER_SELECTED | Damit die Freigabe einzelner Fotos ab Android 14 nicht als Ablehnung gilt |
READ_EXTERNAL_STORAGE | Dasselbe auf Android 12 und älter, wo es die beiden oberen Berechtigungen noch nicht gibt |
ACCESS_MEDIA_LOCATION | Ohne sie entfernt Android ab Version 10 die Koordinaten aus jedem Foto, das die App öffnet |
RECORD_AUDIO | Nur für die gesprochene Notiz. Wird erst beim ersten Tippen auf das Mikrofon erfragt |
POST_NOTIFICATIONS | Für die Erinnerung des Tages und — ab 1.35.0 — für einen Brief an später, der heute aufgeht. Diese Meldung nennt nur, wann er geschrieben wurde, nie seinen Text. Aus, bis der Nutzer zustimmt |
RECEIVE_BOOT_COMPLETED | Damit das Widget nach einem Neustart wieder den richtigen Tag zeigt |
ACCESS_NETWORK_STATE, WAKE_LOCK, FOREGROUND_SERVICE | Von der Systembibliothek WorkManager mitgebracht, die Durchläufe im Hintergrund steuert. Keine davon erlaubt eine Netzverbindung |
…DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION | Von der Systembibliothek AndroidX angelegt. Sie sorgt dafür, dass nur Yesta selbst ihre internen Nachrichten empfängt. Keine Daten, kein Dialog |
Nicht angefordert: INTERNET. Ohne diese
Berechtigung kann eine Android-App keine Netzverbindung öffnen.
Yesta enthält keine Werbenetzwerke, keine Analysedienste, keine Absturzdienste von Dritten und keine Werkzeuge zur Nutzerverfolgung. Es werden keine Daten an Dritte weitergegeben, verkauft oder ausgewertet.
Der Zähler unter Wie läuft es? zählt ausschließlich auf dem Gerät und übermittelt von sich aus nichts.
Unabhängig davon erhebt Google Play beim Herunterladen und Aktualisieren eigene Daten (etwa Installationszahlen und, sofern der Nutzer dem zugestimmt hat, Absturzberichte). Darauf hat Yesta keinen Einfluss; es gelten die Datenschutzbestimmungen von Google.
Alle Daten bleiben so lange auf dem Gerät, wie die App installiert ist.
Deinstallieren löscht alles, was Yesta in der App angelegt hat — Datenbank, Notizen, Briefe, Einstellungen und Zähler. Die Fotos selbst sind davon nicht berührt; sie gehören der Fotomediathek.
Von sich aus verändert oder löscht Yesta kein Foto. Zwei Wege tun es auf Wunsch, beide ab Android 11, und bei beiden fragt Android in einem eigenen Dialog nach, bevor etwas geschieht:
Einzelne Notizen und Briefe lassen sich in der App löschen. Wer nur den Index neu bauen will, findet das unter Einstellungen.
Fotos, die über Als Tag senden empfangen wurden (Abschnitt 5), liegen im Album „Yesta“ der Galerie. Sie bleiben dort auch nach dem Deinstallieren, wie jedes andere Foto, und lassen sich in der Galerie löschen.
Gesichtsabdrücke lassen sich einzeln löschen, ohne die App zu deinstallieren: Einstellungen → Gesichter zusammenfassen abschalten löscht sie samt Gruppen und Namen (Abschnitt 2.1) — ab 1.39.0 auch die Namen in der Notizsicherung. Dasselbe gilt für die verkleinerten Kopien, die dort ebenfalls geleert werden können.
Eine Sicherungsdatei in einem selbst gewählten Ordner bleibt nach dem Deinstallieren bestehen — sie gehört dem Nutzer und liegt außerhalb der App.
Da keine personenbezogenen Daten an den Verantwortlichen übermittelt werden, liegen dort auch keine vor, über die Auskunft erteilt werden könnte. Die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit (Art. 15–21 DSGVO) bestehen gleichwohl; für Anfragen gilt die Adresse in Abschnitt 1.
Wer eine Rückmeldung oder einen Fehlerbericht geschickt hat, kann dessen Löschung verlangen — das ist die einzige Lage, in der überhaupt etwas vorliegen kann.
Es besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.
Yesta richtet sich nicht an Kinder unter 13 Jahren und erhebt wissentlich keine Daten von ihnen. Da die App keine Daten überträgt, entsteht auch bei Benutzung durch Kinder keine Datenverarbeitung außerhalb ihres Geräts.
Ändert sich an der Verarbeitung etwas, wird diese Erklärung angepasst und das Datum oben aktualisiert. Wesentliche Änderungen — insbesondere eine Übertragung von Daten, die es heute nicht gibt — werden zusätzlich in der App angekündigt.