Source: https://www.datenschutzerklaerung.info/datenschutz-gesundheits-apps-wearables-mangelhaft/
Timestamp: 2018-08-15 19:14:20+00:00

Document:
Datenschutz bei Gesundheits-Apps und Wearables mangelhaft | datenschutzerklaerung.info
posted inApps	on 4. Januar 2017 by	Korbinian Zellner
Einzelinformationen wie Körpergewicht, zurückgelegte Schritte oder Dauer des Schlafes erscheinen für sich betrachtet kaum aussagekräftig und somit datenschutzrechtlich wenig bedenklich. Etwas ganz anderes gilt jedoch dann, wenn diese Daten mit eindeutigen Personenkennungen oder auch Standortdaten verknüpft werden – was fast immer der Fall ist – und sich auf diese Weise ein präzises Bild des Tagesablaufs und Gesundheitszustands der jeweiligen Nutzer ergibt.
Bei diesen Gesundheitsdaten handelt es sich um durch § 3 Abs. 9 BDSG besonders geschützte Daten (besondere Anforderungen stellen etwa § 4 Abs. 3 BDSG und § 28 Abs. 6 BDSG).
Datenschutzerklärungen häufig unverständlich
Die Datenschützer kritisierten zunächst, dass weder Hersteller, Betreiber noch Verkäufer der getesteten Geräte und Apps die Nutzer hinreichend darüber informieren, was mit ihren Daten geschieht. Dies zeige sich daran, dass fast alle der untersuchten Datenschutzerklärungen nicht die gesetzlichen Anforderungen erfüllen würden. Denn gemäß § 13 Abs. 1 TMG habe der Diensteanbieter den Nutzer über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über etwaige Weitergaben von Daten zu unterrichten. Der notwendige Inhalt der Datenschutzerklärung ist wahr und vollständig wiederzugeben, insbesondere muss er in leicht verständlicher Form verfasst sein.
Im Rahmen der Prüfaktion habe sich jedoch gezeigt, dass die Datenschutzerklärungen oftmals lang, schwer verständlich und bezüglich essentieller Datenschutzfragen lediglich pauschale Hinweise enthielten. Wiederholt werde nur auf die generelle Datenschutzerklärung des Unternehmens verwiesen, die jedoch kaum konkreten Bezug zu dem Wearables und den besonders schützenswerten Gesundheitsdaten habe. Zudem seien viele Erklärungen nicht in deutscher Sprache abgebildet.
Unbefugte Weitergabe der Daten an Dritte
Der zweite große Kritikpunkt der Datenschützer ist, dass die erhobenen Gesundheitsdaten, durch externe Dritte verarbeitet werden würden. Die unklaren Regelungen zur Datenverarbeitung würden es dabei ermöglichen, dass Daten der Kontrolle durch ihre Nutzer praktisch entzogen werden. Teilweise geben Hersteller zwar an, die Fitness-Daten der Nutzer für Forschungszwecke und Marketing zu verwenden und an verbundene Unternehmen weiterzugeben. Die Nutzer würden jedoch auch hier häufig nicht darüber informiert, um wen es sich dabei handelt. Ein Widerspruch hiergegen sei schon gar nicht möglich.
Viele der Geräte und Apps bieten des Weiteren die Möglichkeit an, aufgezeichnete Fitness-Daten mit Freunden zu teilen. Der dabei erforderliche Warnhinweis, dass die Weitergabe der sensiblen Nutzerdaten nur dann geschehen darf, wenn der Nutzer dieses ausdrücklich wünscht und bewusst hierin einwilligt, fehle jedoch auch hier.
Der dritte Punkt, der von den Datenschützern moniert wurde, ist dass die untersuchten Geräte keine Möglichkeit bieten, Daten vollständig zu löschen. Bedenken bereiten den Datenschützern gerade auch die technischen Analysetools, mit denen Hersteller nachverfolgen können, wie die Geräte oder Apps genutzt werden. Hier fehle der Nachweis, dass gesammelte Daten tatsächlich anonym sind. Es bestehe deshalb die Gefahr, dass Daten für Werbezwecke und zur Profilbildung verwendet werden.
Forderung der Datenschützer
Stichpunktartige Anfragen der Datenschützer nach Auskunft zu gespeicherten Daten wurden mit pauschalen Verweisen auf Datenschutzerklärungen beantwortet oder wegen Nicht-Zuständigkeit abgewiesen. Grund hierfür ist, dass viele Hersteller in Deutschland nur mit Serviceniederlassungen präsent sind, während ihr Hauptsitz in anderen EU- oder Dritt-Staaten liegt. Erst unter der ab Mai 2018 EU-weit gültigen Datenschutzgrundverordnung können deutsche Aufsichtsbehörden Beschwerden deutscher Verbraucher wirksamer bearbeiten.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hatte bereits im April 2016 (in Form ihrer Entschließung zur 91. Konferenz unabhängigen Datenschutzbehörden des Bundes und der Länder) von den Herstellern von Gesundheits-Apps und Wearables mehr Transparenz, sowie korrekte Einwilligungserklärungen und ein Bekenntnis zur Datensparsamkeit gefordert. Darüber hinaus forderten die Datenschutzbehörde den Gesetzgeber auf zu prüfen, ob und inwieweit im Zusammenhang mit Wearables und Gesundheits-Apps die Möglichkeit beschränkt werden sollte, materielle Vorteile von der Einwilligung in die Verwendung von Gesundheitsdaten abhängig zu machen. Die jetzt vorliegenden Untersuchungsergebnisse unterstreichen nach Ansicht der Datenschützer die Dringlichkeit der Forderungen.
Die Daten, die nötig sind um Gesundheits-Apps und die entsprechenden Wearables in Gebrauch zu nehmen, geben sehr viel über das Leben und die Gesundheit ihrer Nutzer preis. Fakt ist jedoch, dass diese Daten aktuell nicht ausreichend geschützt werden. Vor dem Kauf von Wearables und der Nutzung der dazugehörigen Apps auf dem Smartphone sollte sich deshalb dringend darüber informiert werden, wie mit den erhobenen Daten umgegangen wird. Es bleibt abzuwarten, ob der Gesetzgeber der Forderung der Datenschutzbehörde nachkommt.
Analysetool, Anbieter, Andrea Voßhoff, Apps, Aufsichtsbehörden, Bayern, Beschwerden, Besonders geschützte Daten, Betreiber, BfDI, Bund und Länder, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Bundesländer, Datenschutz, Datenschutzbehörde, Datenschützer, Datenschutzerklärung, Datenschutzgrundverordnung, Datenschutzrechtliche Anforderungen, Datensparsamkeit, Datenverarbeitung, Deutschland, Diensteanbieter, Dritt-Staaten, Einwilligungserklärungen, Einzelinformationen, Entschließung zur 91. Konferenz unabhängigen Datenschutzbehörden des Bundes und der Länder, EU-Staaten, Fitness-Apps, Fitness-Daten, Forschungszwecke, Gesetzgeber, Gesundheits-Apps, Gesundheitsdaten, Gesundheitszustand, Hauptsitz, Hersteller, Körpergewicht, Marketing, Nutzer, Nutzerdaten, personenbezogene Daten, Personenkennung, Persönliche Daten, Pressemitteilung, Profilbildung, Prüfaktion, Sport, Standortdaten, Tagesablauf, Teilen, Unternehmen, Verbraucher, Verkäufer, Wearables, Weitergabe an Dritte, Werbezwecke, Widerspruch, zurückgelegte Schritte, § 13 Abs. 1 TMG, § 28 Abs. 6 BDSG, § 3 Abs. 9 BDSG, § 4 Abs. 3 BDSG
← Hamburger Datenschutzbeauftragter erlässt Verwaltungsanordnung gegen Facebook
Achtung Online-Skimming: 1000 deutsche Online-Shops betroffen →

References: § 3
 § 4
 § 28
 § 13
 § 13
 § 28
 § 3
 § 4