Zyklus-Apps wissen, wann Sie menstruieren, wann Sie Eisprung haben, wann Sie Sex haben, welche Symptome Sie zeigen und ob Sie möglicherweise schwanger sind. Das sind einige der intimsten Daten, die eine App auf Ihrem Smartphone erfassen kann. Trotzdem laden die meisten Menschen eine Zyklus-App herunter, erteilen Berechtigungen und lesen nie eine einzige Zeile der Datenschutzerklärung. Nach 2022 hat sich das bei Millionen von Frauen geändert — bei nicht genug von ihnen.
Als der Oberste Gerichtshof der USA im Juni 2022 Roe v. Wade aufhob, wurden die Datenschutzpraktiken von Zyklus-Apps über Nacht zur Top-Nachricht. Die Sorge war simpel: Wenn Daten eines Trackers auf den Servern eines Unternehmens liegen, könnten Strafverfolgungsbehörden sie unter Umständen per Beschluss anfordern. Eine ausgebliebene Periode, eine plötzliche Lücke in den Einträgen, eine Notiz zu Schwangerschaftssymptomen — diese Informationen könnten theoretisch in Bundesstaaten mit eingeschränktem Schwangerschaftsabbruch als Beweis dienen.
Das war nicht hypothetisch. 2023 wurden in Nebraska eine Mutter und ihre Tochter unter anderem auf Basis von Facebook-Nachrichten angeklagt. Das Verfahren betraf zwar soziale Medien und keine Gesundheits-App, zeigte aber, dass digitale gesundheitsnahe Daten bereits von Staatsanwälten angefordert wurden. Datenschutzforschende der Electronic Frontier Foundation und der Mozilla Foundation veröffentlichten Warnungen zur Verwundbarkeit von Zyklus-App-Daten.
Die Folge war eine Welle von Deinstallationen. Millionen von Nutzerinnen entfernten Flo, den weltweit beliebtesten Tracker, trotz aller Datenschutzversicherungen des Unternehmens. Aber das Löschen der App löst das Kernproblem nicht. Die Frage ist nicht, ob eine bestimmte App vertrauenswürdig ist — sondern ob die Architektur der App Vertrauen überflüssig macht.
Die meisten Zyklus-Apps erfassen weit mehr als Ihre Zyklusdaten. Das fragt eine typische App ab:
Zusammengenommen ist das ein außerordentlich detailliertes Bild der reproduktiven Gesundheit und des Sexualverhaltens einer Person. Die Frage ist: Wo geht das alles hin?
Diese Unterscheidung ist das Wichtigste, das Sie zum App-Datenschutz wissen sollten, und gilt weit über Zyklus-Apps hinaus.
„Wir verkaufen Ihre Daten nicht" bedeutet, dass das Unternehmen Ihre Daten auf seinen Servern speichert, aber verspricht, sie nicht an Dritte zu verkaufen. Das ist eine Richtlinienentscheidung, die sich jederzeit ändern kann. Sie schützt auch nicht vor Datenpannen, behördlichen Anordnungen oder Übernahmen (wenn ein Unternehmen gekauft wird, gehören die Datenbestände zum Deal).
„Wir haben Ihre Daten nicht" bedeutet, dass die App alles lokal auf Ihrem Gerät speichert. Es gibt keine Server. Es gibt nichts, was angeordnet, gehackt oder verkauft werden könnte. Selbst wenn das Unternehmen Ihre Daten herausgeben wollte, könnte es das nicht — es besitzt sie schlicht nicht.
Das ist der Unterschied zwischen einer Richtlinien-Garantie und einer architektonischen Garantie. Richtlinien können sich ändern. Eine Architektur kann nicht rückwirkend verändert werden, um Daten freizugeben, die nie erfasst wurden.
Wenn eine App Daten „auf dem Gerät" speichert, liegen Ihre Informationen in einer lokalen Datenbankdatei auf Ihrem iPhone oder Android-Smartphone. Auf iOS sind diese Daten durch die Hardware-Verschlüsselung des Geräts geschützt — wenn Ihr Gerät mit Code oder Face ID gesperrt ist, ist die Datenbankdatei im Ruhezustand verschlüsselt. Ohne Entsperrung kann sie niemand lesen.
Wenn eine App Daten „in der Cloud" speichert, werden Ihre Informationen über das Internet an die Server des Unternehmens übertragen (oder, häufiger, an Amazon Web Services, Google Cloud oder Microsoft Azure). Das Unternehmen kann diese Daten einsehen. Seine Mitarbeitenden möglicherweise auch. Strafverfolgungsbehörden können sie mit Durchsuchungsbeschluss anfordern. Hacker können sie ins Visier nehmen.
Manche Apps bieten ein Hybridmodell: lokale Speicherung mit optionaler Cloud-Synchronisation zur Sicherung oder für mehrere Geräte. Das ist privater als Nur-Cloud, aber in dem Moment, in dem Ihre Daten einen Server berühren, ist die architektonische Garantie weg.
Wenn Sie die Datenschutzerklärung einer Zyklus-App lesen (und das sollten Sie), achten Sie auf diese Warnzeichen:
Wenn Datenschutz Priorität hat (und das sollte er angesichts der Daten), achten Sie auf diese Merkmale:
Cyla ist ein Beispiel für diesen lokalen Ansatz — sämtliche Zyklusdaten werden lokal auf dem Smartphone gespeichert, ohne Konto, ohne Cloud, ohne Analytics. Aber unabhängig davon, welche App Sie wählen: Die Architektur zählt mehr als der Markenname.
Apple hat die App-Datenschutz-Labels (oft „Nutrition Labels" genannt) im Dezember 2020 eingeführt. Sie sind nicht perfekt — sie sind Selbstauskünfte der Entwickler —, aber als erste Filterung sehr nützlich.
So prüfen Sie sie:
Zum Vergleich: Das App-Datenschutz-Label von Flo führt Gesundheits- und Fitnessdaten, Kontaktinfos, Kennungen, Nutzungsdaten und Diagnosedaten als „mit Ihnen verknüpft" auf. Eine reine On-Device-App sollte deutlich weniger Kategorien zeigen — oder gar keine.
Die Prinzipien in diesem Artikel gelten für jede Gesundheits-App auf Ihrem Smartphone — Schlaftracker, Stimmungstagebücher, Fruchtbarkeitsmonitore, Medikamentenerinnerungen. Jede App, die sensible Gesundheitsdaten verarbeitet, sollte nach denselben Kriterien bewertet werden: Hat das Unternehmen Ihre Daten oder nicht?
Die grundlegende Frage lautet nicht „Vertraue ich diesem Unternehmen?", sondern „Erfordert die Architektur dieser App überhaupt Vertrauen?" Wenn die Antwort nein ist — wenn Ihre Daten Ihr Gerät physisch nicht verlassen können — hört Datenschutz auf, ein Versprechen zu sein, und wird zu einer Tatsache.