Der Hessische Datenschutzbeauftragte beteiligte sich an einer deutschlandweiten Prüfaktion und prüfte gemeinsam mit sechs weiteren Aufsichtsbehörden Wearables. Auf dem Prüfstand standen sowohl Fitness-Armbänder als auch Smart Watches mit Gesundheitsfunktionen. Außerdem wurden die Apps der Hersteller einer technischen Analyse unterzogen. Das Ergebnis war recht eindeutig: Kein Gerät erfüllt vollständig die datenschutzrechtlichen Anforderungen.
Wearables, auch bekannt unter dem Begriff Fitness-Armbänder oder Activity-Tracker, sollen den Nutzer zu einer gesunden Lebensweise motivieren und die Bewegung im Alltag fördern. Schon lange können die Geräte Schritte zählen, zurückgelegte Kilometer messen und verbrauchte Kalorien erfassen. Doch die aktuellsten Wearables bieten noch viel mehr. Die geprüften Geräte überwachen die Herzfrequenz, bestimmen die Körpertemperatur über Sensoren auf der Haut und geben Rückmeldung über den Schlafrhythmus. Diese Angaben interessieren immer mehr Versicherer und Unternehmen der Gesundheitsbranche, sodass es sich lohnt, die Geräte genauer unter die Lupe zu nehmen.
Geprüft wurden insgesamt 16 Wearables von Herstellern, die zusammen ca. 70% des Marktanteils in Deutschland abdecken.
Es ging zum einen um rechtliche Fragestellungen, wie zum Beispiel die ausreichende Aufklärung über den Datenumgang oder die Frage, ob tatsächlich Gesundheitsdaten verarbeitet werden. Auch die Technik stand im Fokus. Die Geräte sowie die zum Gerät empfohlenen oder zum zugehörigen Smartphone mitgelieferten (Hersteller-)Apps für die Betriebssysteme iOS und Android wurden im Labor getestet. Es wurden die Datenflüsse analysiert, um festzustellen, wer auf welche Daten Zugriff bekommen kann. Außerdem war ein Blick auf die Apps notwendig. Ohne die dazugehörigen Apps sind die meisten Wearables in ihrer Funktion erheblich eingeschränkt oder sogar unbrauchbar. Diese getesteten Apps wurden durch die Nutzer zusammen mehr als 30 Mio. Mal heruntergeladen.
Die Ergebnisse der Prüfung zeigen zahlreiche Mängel auf:
Transparenz? Nachvollziehbarkeit? - Fehlanzeige!
Wer Wearables nutzt, sieht sich oftmals zahlreichen Firmen gegenüber, die die erfassten Daten erhalten können. Die Hersteller und Betreiber geben sich keine Mühe, Licht in das Dickicht aus Hardware-Hersteller, App-Betreiber, App-Shop-Anbieter und zahlreichen Dienstleistern zu bringen. Für den Nutzer bedeutet das, dass er sich oftmals nur pauschalen Datenschutzerklärungen gegenüber sieht und kein Verständnis dafür bekommt, wer für was zuständig ist und was mit den eigenen Daten bei wem passiert. Versuche, bei den Anbietern Auskunft über die gespeicherten Daten zu erhalten, wurden entweder mit pauschalen Verweisen auf Datenschutzerklärungen beantwortet oder wegen vermeintlicher Nicht-Zuständigkeit abgewiesen. Hinzu kommt, dass die Anbieter teilweise im Ausland sitzen und nur eine internationale E-Mail-Adresse als Kontaktmöglichkeit anbieten.
Besonders schützenswerte Daten
Die Aufgabe der Fitness-Tracker und Apps ist es, Gesundheitsdaten und damit besonders schützenswerte Daten der Nutzer zu verarbeiten. Zwar sind die Einzelinformationen wie zum Beispiel Körpergewicht, zurückgelegte Schritte, Dauer des Schlafes oder Herzfrequenz für sich betrachtet oftmals wenig aussagekräftig, in der Regel werden diese Daten jedoch mit eindeutig zugewiesenen Personenkennungen verbunden. Zudem fallen durch die dauerhafte Nutzung derart viele Informationen an, dass sich daraus ein erstaunlich präzises Bild des Tagesablaufs und Gesundheitszustands des Nutzers ergibt. Insbesondere bei Verknüpfung der Einzelinformationen mit Standortdaten ermöglicht dieses Annahmen über auch sehr persönliche Informationen:
- Wann ist der Nutzer morgens aufgestanden?
- Hat er unruhig geschlafen, da er wahrscheinlich am Vorabend Alkohol konsumiert hat?
- Wo beginnt und endet der Weg zur Arbeit?
- Warum ist er aufgeregt und schlägt das Herz höher, obwohl er sich seit 30 Minuten nicht bewegt?
Einige dieser Fragen lassen sich unter Umständen beantworten, wenn die Daten der Wearables ausgewertet werden. Kritisch wird dieses insbesondere dadurch, dass viele der Anbieter die Daten extern durch Dritte verarbeiten lassen und die Daten durch die unklaren Regelungen der Kontrolle durch den Nutzer entgleiten.
Datenschutzbestimmungen
Die meisten Datenschutzerklärungen erfüllten nicht die gesetzlichen Anforderungen. Sie sind in der Regel viele Seiten lang, schwer verständlich, enthalten zu essentiellen Datenschutzfragen nur pauschale Hinweise und sind teilweise nicht einmal in deutscher Sprache vorhanden. So erfährt der Nutzer oftmals nicht im ausreichenden Maße, wer konkret Zugriff auf die Daten hat und wie lange sie gespeichert werden. Dabei wäre es ein Leichtes, dies in wenigen kurzen Sätzen zu beschreiben. Oftmals wurde auch nur auf die generelle Datenschutzerklärung des Unternehmens verwiesen, die kaum konkreten Bezug zu dem Wearable hat.
Erstaunlich ist auch, dass fast kein Gerätehersteller über die besonders schützenswerten Gesundheits- und Standortdaten aufklärt - ganz im Gegenteil: einige Hersteller waren sogar der Auffassung, dass es sich dabei um anonyme Daten handle.
Daten mit Freunden teilen
Viele Geräte und Apps bieten die Möglichkeit, die aufgezeichneten Fitness-Daten mit Freunden zum Beispiel über soziale Netzwerke zu teilen. Die Funktion soll den Nutzer zu häufigem Training und Bestleistungen anspornen und das gemeinsame Training fördern. Dies darf jedoch nur dann geschehen, wenn der Nutzer dieses ausdrücklich wünscht. Da hierbei auch sehr sensible Informationen preisgegeben werden können, sollten die Hersteller vor der Veröffentlichung dem Nutzer Warnhinweise anzeigen. Dies ist in der Regel jedoch nicht vorgesehen.
Datenweitergabe an Dritte
Beunruhigend sind auch die Aussagen vieler Hersteller zur Datenweitergabe: Einige Hersteller stellen klar, dass sie die Fitness-Daten der Nutzer für eigene Forschungszwecke und Marketing verwenden und an verbundene Unternehmen weitergeben. Der Nutzer erfährt weder, um wen es sich dabei handelt, noch kann er widersprechen. Dies widerspricht den Regelungen im deutschen Datenschutzrecht.
Reichweitenmessung
Die technische Analyse brachte mehr Licht ins Dunkel: Fast alle Hersteller setzen Tracking-Tools US-amerikanischer Unternehmen ein. Mithilfe dieser Tools können Hersteller erfassen, wie die Geräte oder Apps genutzt werden, um die Benutzerfreundlichkeit zu verbessern. Die Daten können aber auch für Werbezwecke und zur Profilbildung verwendet werden. Zwar wird oft angegeben, dass hierzu nur anonyme Daten verwendet werden würden. Den Nachweis bleiben die Hersteller jedoch schuldig. Die Erfahrung zeigt, dass in der Regel in solchen Fällen weiterhin bei vielen Daten ein Personenbezug hergestellt werden kann.
Datenlöschung
Die Geräte sind schnell verloren oder technisch überholt, sodass viele Nutzer ihre gebrauchten Geräte weiterverkaufen wollen. Das birgt ein enormes Risiko. Viele Nutzer glauben, dass mit dem Löschen der App alle Daten vernichtet sind. Das ist falsch! Viele Geräte bieten dem Nutzer keine Möglichkeit, seine Daten selbstständig vollständig zu löschen. Weder im Gerät selbst noch im Nutzerkonto gibt es eine Löschfunktion. Einige Hersteller weisen sogar darauf hin, dass eine Löschung nicht möglich ist. Wie lange die Hersteller die Daten speichern, bleibt verborgen. Fakt ist, dass es sich hierbei um einen gravierenden Verstoß handelt. Solche wichtigen Informationen gehören auf jeden Fall in die Datenschutzerklärung!
Einige Mängel ließen sich problemlos dadurch beheben, dass die Fitnessdaten der Wearables lediglich auf das Smartphone weitergeleitet und lokal verarbeitet werden. Eine permanente Übermittlung aller Daten vom Smartphone an Server diverser Firmen ist aus Sicht der Datenschützer in der Regel mit Risiken verbunden, denen sich die Nutzer bewusst sein sollten.
Bereits im April 2016 hatte sich die Konferenz der unabhängigen Datenschutzbehörden mit einer Entschließung an die Hersteller von Wearables und Gesundheits-Apps gewandt und Datensparsamkeit, Transparenz, korrekte Einwilligungserklärungen und Verantwortungsübernahme eingefordert.
Die aktuellen Prüfungsergebnisse unterstreichen noch einmal die Dringlichkeit dieser Forderungen.
Der Hessische Datenschutzbeauftragte wird sich im Rahmen seiner Zuständigkeiten mit den Anbietern der von ihm geprüften Wearables in Verbindung setzen und auf Verbesserungen dringen.