Datenschutzlücken in Gesundheitsapps

Eine Forschung der Universität Bremen zeigt eine Diskrepanz in der tatsächlichen Verarbeitung der Daten von Gesundheitsapps und deren erlaubten Verarbeitung. Die Forschenden um Dr. Mehrdad Bahrini untersuchten 20 populäre mHealth-Apps, die Menschen beim Fitnesstraining unterstützen, der Zykluskontrolle oder auch der Einnahme von Medikamenten. Die Daten sind besonders sensibel und man kann entscheiden, welche Daten weiterverarbeitet werden dürfen und welche nicht – so zumindest die Annahme.

Verfrühte Weitergabe der Daten

Doch die Analyse zeigte, dass die Daten teilweise schon weitergegeben wurden, bevor Nutzerinnen und Nutzer überhaupt darüber verfügt haben, was verarbeitet werden darf und was nicht. Die Analyse basiert auf der Untersuchung der Datenschutzrichtlinien und Einwilligungsdialoge sowie statistischen und dynamischen Analysemethoden zur Untersuchung des App-Verhaltens. „Wir wollten nicht nur sehen, ob Daten geteilt werden, sondern auch, wann und wohin sie gesendet werden – und ob die Nutzer:innen überhaupt informiert werden“, erläutert Dr. Mehrdad Bahrini.

Die größten entdeckten Diskrepanzen waren die Verarbeitung der Daten wie Werbe-IDs vor der Zustimmung der nutzenden Personen und die Weitergabe bestimmter Daten an Drittländer, insbesondere in die USA. Neben der Verbindung zu Servern in Irland (ein Datenknotenpunkt in Europa) verbindeten sich die Apps mit Servern in Australien, Schweden, China und Singapur. Dies weist auf die weltweite Verteilung der Datenflüsse hin.

Unklare Formulierungen

Aufgrund eines häufig angewendeten Design-Tricks geben viele Nutzerinnen und Nutzer ihre Zustimmung zur Datenverarbeitung, dem sogenannten „Dark Pattern“. Damit werden Personen dazu verleitet, allen Bedingungen voreilig zuzustimmen. Hinzukommt, dass in einigen Apps mit deutscher Oberfläche die Nutzungsbedingungen nur auf Englisch zur Verfügung standen. Anstelle konkrete Unternehmen zu nennen, anwelche die Daten weitergegeben werden, werdesn nur „Partner“ oder „Dienstleister“ genannt.

So genügen die Apps den offiziellen Datenschutzrichtlinien, doch die eigentliche Weiterverarbeitung sieht anders aus. Insbesondere im Bereich der Gesundheitsdienste ist Vertrauen essenziell und es bedarf klarer Vorgaben für transparente Datenschutzinformationen.

Literatur:
Bahrini M, Herbst A, Freye M, Kohn M, Sohr K, Malaka R.: Transparency and Consent Challenges in mHealth Apps: An Interdisciplinary Study of Privacy Policies, Data Sharing, and Dark Patterns. In: Nicomette, V., Benzekri, A., Boulahia-Cuppens, N., Vaidya, J. (eds) Computer Security – ESORICS 2025. ESORICS 2025 (2026). Lecture Notes in Computer Science, vol 16056. Springer, Cham. DOI: 10.1007/978-3-032-07901-5_1.

Quelle: idw