Fitnesstracker, welche umfangreiche Daten zur individuellen Konstitution und Gesundheit aufzeichnen werden immer häufiger genutzt. Auch Apps zur Verwaltung von krankheitsbezogenen Informationen wie etwa zum Festhalten der täglichen Blutzuckerwerte bei Diabetikern erfreuen sich zunehmender Beliebtheit. In den seltensten Fällen werfen die Nutzer der kleinen Miniprogramme dabei einen Blick auf die Datenschutzbestimmungen des jeweiligen Anbieters. Doch das Kleingedruckte ist nicht nur oft verwirrend oder schwer zu finden, sondern beinhaltet meist nicht alle wichtigen Regelungen zum Schutz der persönlichen Informationen.
Bei Gesundheitsapps werden viele sensible Daten erfasst und gespeichert. Die Sicherheit der persönlichen Informationen ist dabei oftmals unzureichend. Bild: Fotolia, © Denys Prykhodov
Datenspeicherung im Internet
Auch wenn wir wissen, dass unsere Daten nicht immer sicher sind, liefern wir sie immer wieder selbst. Jedes Mal, wenn wir im Internet surfen, hinterlassen wir einen digitalen Fingerabdruck. Beim Einkauf im Onlineshop oder dem Profil bei einem sozialen Netzwerk sind personenbezogene Informationen zu uns hinterlegt. Auch bei den Gesundheits-Apps ist es in der Regel notwendig, ein Nutzerprofil anzulegen.
Meist werden die Informationen nicht nur auf dem Smartphone oder dem Wearable gespeichert, sondern im Internet in der sogenannten Cloud hinterlegt. Dahinter stecken verschiedene Server als Speicherorte, die oftmals in ganz anderen Ländern liegen. Dabei ist vielen nicht bewusst, dass dann die jeweiligen Datenschutzbestimmungen des Landes gilt, in dem sich der Server befindet. In den seltensten Fällen befinden sich diese in Deutschland oder Europa. Die folgenden vier Unternehmen zählen zu den größten Anbietern mit den umfangreichsten Marktanteilen:
- AWS (Amazon Web Services)
- Microsoft
- IBM Cloud Services
Manche Apps umgehen bislang die rechtliche Problematik, indem die sensiblen Daten ausschließlich in der App und nicht im Internet in der Cloud gespeichert werden.
Eine Studie im Auftrag des Bundesgesundheitsministeriums ergab, dass der Datenschutz dabei oft grob vernachlässigt wird. „Gesundheits-Apps halten die datenschutzrechtlichen Anforderungen häufig nicht ein“, so das Fazit der Studie. „Bei der Datenschutzerklärung und der Einholung von Einwilligungen durch die Nutzer fehlt es oft an Transparenz. Soweit Daten im Ausland gespeichert werden, ist die Nutzung nicht dem deutschen Datenschutzrecht unterworfen.“
Neben den unzureichenden Datenschutzerklärungen wird von Experten oft bemängelt, dass Daten in vielen Fällen gesetzeswidrig an Dritte weitergegeben werden oder die Nutzer nur unzureichende Möglichkeiten zum Löschen von Informationen oder zum Widerspruch haben. In einer Pressemitteilung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein zur Überprüfung des Datenschutzes bei Wearables heißt es dazu:
„Beunruhigend sind auch die Aussagen vieler Hersteller zur Datenweitergabe. Einige Hersteller stellen klar, dass sie die Fitness-Daten der Nutzer für eigene Forschungszwecke und Marketing verwenden und an verbundene Unternehmen weitergeben. Der Nutzer erfährt weder, um wen es sich dabei handelt, noch kann er widersprechen. Ein klarer Verstoß gegen deutsches Datenschutzrecht.“
Komfort vor Datensicherheit
Viele der Apps bereichern unseren Alltag als komfortable Anwendungen. Die spielerischen Programme sind einfach zu bedienen und oftmals ist es uns nicht bewusst, wie viele Informationen wir dabei über uns preisgeben.
Diabetiker müssen beispielsweise täglich oft mehrmals Blutzucker messen und die ermittelten Werte in einem Tagebuch festhalten. Diese Aufzeichnungen dienen beim regelmäßigen Arztbesuch als Grundlage für Medikations- und Therapieempfehlungen. Moderne Blutzuckermessgeräte können heute mit verschiedenen Apps verbunden werden, um so eine Dokumentation in digitaler Form zu ermöglichen. In manchen Fällen können die Daten direkt zum Arzt übertragen werden.
Blutzuckermessdaten von Diabetikern müssen heute nicht mehr manuell in ein Tagebuch übertragen werden. Verschiedene Apps, die von den Geräten unterstützt werden dienen zur digitalen Dokumentation. Oftmals sind hier die sensiblen Daten nur unzureichend geschützt. Bild: Fotolia, © fovito
Die Apps stammen dabei meist von den Herstellern der Messgeräte selbst. Wie bei vielen Fitness-Apps wird der Datenschutz hier jedoch oft sehr stiefmütterlich behandelt. Das Problem ist, dass die Nutzer sich in der Regel nur unzureichend mit den Bestimmungen der einzelnen Anwendungen beschäftigen.
Oftmals sind die Datenschutzerklärungen auf den Webseiten oder in der App nur schwer zu finden. Umständliche oder langwierige Formulierungen machen die Texte vielfach schwer verständlich. Zudem fehlen häufig relevante Punkte, beispielweise ob die Daten vom Anbieter in irgendeiner Weise ausgewertet werden, welche Verschlüsselungsstandards eingesetzt werden oder wo die Serverstandorte sind.
Die Datensicherheit spielt bei der Auswahl der Apps meist eine untergeordnete Rolle. Individuelle Formulierungen machen einen Vergleich der einzelnen Datenschutzerklärungen allerdings auch sehr schwer.
Verschiedene Regelungen zur Datensicherheit
Für den Schutz sensibler personenbezogener Daten, wie sich vor allem im gesundheitlichen Bereich auftreten gelten verschiedenste gesetzliche Regelungen. Vor allem durch die Digitalisierung des Gesundheitswesens sind hier verschiedene neue Verordnungen notwendig geworden.
Für eine digitale Anwendung wie eine Gesundheits-App sind dabei verschiedene Gesetze zu berücksichtigen:
- Bundesdatenschutzgesetz: Diese Verordnung beinhaltet umfassende Regelungen zum Umgang mit der Sicherung von Daten durch die Verantwortlichen (§ 9 BDSG). Auch Verstöße bei der Datenverarbeitung sind mit gesetzlichen Sanktionen berücksichtigt (§§ 43, 44 BDSG).
- IT-Sicherheitsgesetz: Hier sind Mindeststandards für die IT-Sicherheit für alle Betreiber von Infrastrukturen zur Verarbeitung und Speicherung kritischer Daten festgelegt. Zudem ist geregelt, dass bei verschiedenen Vorfällen das Bundesamt für Sicherheit und Informationstechnik (BSI) informiert werden muss.
- E-Health Gesetz: Apps die als Anwendung oder zum Datenaustausch von Informationen im Rahmen des Gesundheitswesens benutzt werden, müssen sich an Vorgaben des neu geschaffenen E-Health Gesetz zur sicheren digitalen Kommunikation und Datenspeicherung halten.
Abhilfe durch die Europäische Datenschutzgrundverordnung
2018 soll endlich ein für ganz Europa verbindliches Gesetz in Kraft treten. Die veränderten Anforderungen durch neue Technik und digitale Angebote haben eine Überarbeitung der bisher gültigen Regelungen dringend notwendig gemacht. Solange können die Behörden nur an die Nutzer appellieren, vorsichtig mit vertraulichen Informationen umzugehen. Momentan können die offiziellen Stellen die Anbieter bei Mängeln nur anmahnen und zur Nachbesserung auffordern. Ab Mai 2018 soll es dann endlich auch entsprechende Gesetzesgrundlagen zum wirksamen Vorgehen gegen Verstöße beim Datenschutz geben.
Der Bundesgerichtshof muss wie jedes der europäischen Länder für die Bildung einer Aufsichtsbehörde zur Überwachung der Anwendung der neuen Verordnung sorgen. Bild: Fotolia, © Blackosaka
Verschiedene Punkte werden dann verpflichtend für die Hersteller von Wearables und Anbieter von Apps der europäischen Länder gültig sein:
- Mindestanforderungen und Regelungen bei der Verarbeitung personenbezogener Daten
- Definition von Bereichen mit besonders sensiblen Daten
- Informationspflicht bei der Erhebung, Speicherung, Verarbeitung und Weitergabe von personenbezogenen Daten
- Rechte der Nutzer beim Umgang mit personenbezogenen Daten
- Mindestanforderungen zur Datensicherheit
- Richtlinien zur Weitergabe personenbezogener Daten
@ART4010:anwaltsregister[Kritik an der Verordnung][Kritik an der Verordnung]@ kommt vom österreichischen Datenschützer Max Schrems. Für viele kleinere Unternehmen könnten die unzähligen Einzelregelungen zu einer Belastung werden. Zwar sind für Verstöße hohe Strafen von bis zu 25 Millionen Euro vorgesehen, verschiedene Formulierungen seien jedoch auch „schwammig“ und nicht konkret genug.
Einheitliche Qualitätskriterien zur Beurteilung von Gesundheits-Apps
Mehr als 100.000 Gesundheits-Apps sind derzeit auf den Downloadplattformen verfügbar. Neben der zukünftigen umfassenden Datenschutzgrundverordnung werden zudem auch einheitlich verbindliche Qualitätsstandards entwickelt.
Einheitliche Qualitätskriterien sollen dabei helfen, Fitness-Apps von Anwendungen, die für den medizinischen Einsatz geeignet sind, zu unterscheiden. Bild: Fotolia, © Kaspars Grinvalds
Der Markt für die digitalen Anwendungen ist hier bislang noch weitestgehend unreguliert. Anbieter von Apps müssen sich bislang vor allem an technische Mindestanforderungen halten. Bezüglich der Nutzerfreundlichkeit oder des Datenschutzes sind hier bestimmte Minimalkriterien ebenfalls notwendig. Auf Initiative der EU-Kommission werden dazu momentan verschiedene Qualitätskriterien zur Beurteilung von Gesundheits-Apps erarbeitet.
Sie sollen es dem Nutzer beispielsweise einfacher machen, relevante Angaben zum Datenschutz und der Sicherheit personenbezogener Informationen zu finden. Diese offiziellen Orientierungshilfen sollen für Verbraucher in Zukunft dabei als wichtiges Instrument weiterhelfen. So lassen sich beispielsweise auch leichter Lifestyle-Apps von solchen, die für den medizinischen Einsatz geeignet sind unterscheiden.
