Gesundheits-App Vivy: Erläuterung der Kritik
Nach meinem Beitrag zur Gesundheits-App Vivy platze mein E-Mail-Postfach gestern aus allen Nähten. Ich habe längst den Überblick verloren, möchte aber kurz auf ein paar Fragen eingehen.
Weshalb die Kritik, die Datenschutzerklärung ist doch transparent?
Das sehe ich nicht so. In der Datenschutzerklärung wird der Nutzer nicht ausreichend darüber informiert, mit welchen Drittanbietern Vivy zusammenarbeitet. In der Datenschutzerklärung werden die Tracker bzw. Analysemodule von MixPanel, Branch.io, Crashlytics und Google FCM nicht genannt. Es wäre wünschenswert, wenn der Nutzer über den Zweck der Erhebung, Verarbeitung und Nutzung der Daten aufgeklärt wird, die an diese Drittanbieter übermittelt werden.
Weiterhin gebe ich zu bedenken: Noch bevor der Nutzer überhaupt in die Datenschutzerklärung einwilligen kann, werden schon Daten ungefragt an diese Drittanbieter übermittelt.
Welche Gefahr geht von Trackern bzw. Analysemodulen innerhalb von Apps aus?
Ich kritisiere an vielen Apps, die Werbe- und Analytik-Module. Das hat einen ganz einfachen Grund: Sie schaden der Privatsphäre und sind ein großer Unsicherheitsfaktor.
Grundsätzlich hat jedes Modul theoretisch Zugriff auf alles, was der App erlaubt ist. Wir vertrauen also darauf, dass Werbe- und Analytik-Module von Drittanbietern in Apps integriert werden und anschließend im Hintergrund ihre Arbeit verrichten. Welche Daten diese Module allerdings sammeln und an die Drittanbieter übermitteln, dass wissen teilweise nicht einmal die App-Entwickler selbst, die diese Module in ihre Apps integrieren. In diesem Zusammenhang wird dann gerne erwähnt, dass die (Meta-)Daten doch »pseudonymisiert« bzw. »anonymisiert« seien – beides halte ich für eine Augenwischerei. Denn durch die Korrelation mit anderen Datenbeständen, lässt sich häufig ein Personenbezug herstellen, wie etliche Beispiele belegen:
- 2012: Big Brother Award (2012) für IMS Health für »Die vollständige Analyse und Vermarktung des gläsernen Patienten«. Begründung der Jury:
Da es sich um Daten wie Geschlecht, Geburtsjahr, Krankenscheinart, Diagnose, Medikamente, Dosierung, Therapie oder Laborwerte handelt, die »anonymisiert« an IMS Health geliefert werden, lassen sich allein damit Rückschlüsse auf einzelne Personen ziehen.
- 2013: Die Studie »Re-Identifies Anonymous Volunteers In DNA Study« zeigt, dass sich allein aus der Kombination aus Geschlecht, Geburtsdatum und der Postleitzahl zwischen 84 und 97% der Teilnehmer eines DNA-Projekts identifizieren lassen.
- 2013: In der Studie »Riding with the Stars: Passenger Privacy in the NYC Taxicab Dataset« zeigt ein Master Student, wie Personen anhand von der Taxinummer, Koordinaten von Anfangs- und Endpunkt, Datum, Uhrzeit und Preis der Fahrt, unter Verwendung von Zusatzinformationen aus Presse oder Facebook, deanonymisiert werden können.
- 2016: Der vom NDR aufgedeckte Datenskandal »Nackt im Netz« demonstriert, wie Millionen von Internet-Nutzern, darunter Manager, Richter und Journalisten, im Netz ausgespäht wurden. Das Browser-Addon WOT (Web of Trust) hat die gesammelten Surf-Daten nicht ausreichend anonymisiert und dennoch weiterverkauft.
Wie schwierig es ist Daten korrekt zu anonymisieren, zeigt unter anderem der EU-Bericht »Opinion 05/2014 on Anonymisation Techniques«. Darin wird auch deutlich herausgestellt, dass Pseudonymisierung ungleich Anonymisierung ist. Das bedeutet: Selbst wenn jemand beteuert, er würde personenbeziehbare Daten vor der Speicherung bzw. Weitergabe ausreichend »anonymisieren«, so sieht die Realität oftmals wohl ganz anders aus.
In Bezug auf Gesundheits-Apps, die höchst sensible Daten verarbeiteten, bedeutet das letztendlich: Werbe- und Analytik-Module haben darin schlichtweg nichts verloren – es ist vollkommen indiskutabel, diese in Gesundheits-Apps zu integrieren. Oder allgemein formuliert: In Apps, in denen sensible Daten verarbeitet werden, darf kein proprietärer und intransparenter Fremdcode integriert werden.
Hinweis
Der Fall mySugr hat gezeigt, weshalb man bei Gesundheits-Apps besser auf App-Tracking verzichtet. In dem Fall wurden Daten wie Vor- und Nachname, Diabetes-Typ und Behandlungsart (Spritze oder Pumpe) an den Drittanbieter MixPanel in den USA übermittelt.Warum unterliegen solche Apps keiner strengen staatlichen Kontrolle?
Das kann ich leider nicht beurteilen. Dazu fehlt mir schlichtweg das Know-How. Wir können die Frage allerdings von einer anderen Seite beleuchten. Die Gesundheits-App Vivy gehört zu 70 Prozent der Allianz SE, dem Mutterkonzern der Allianz Krankenversicherung, der ich an dieser Stelle gewinnorientierte Absichten unterstelle. Wäre für die Verwaltung bzw. Verarbeitung von Gesundheitsdaten nicht jemand besser geeignet, der keine Gewinnabsichten hat bzw. seine Stakeholder nicht bei Laune halten muss? Auch wenn viele unserem Staat die IT-gestützte Verwaltung von Gesundheitsdaten ebensowenig zutrauen, so hätte ich persönlich mehr Vertrauen in unseren Staat, als in ein gewinnorientiertes Privatunternehmen.
Überhaupt lautet die alles entscheidende Frage: Ist ein (unsicheres) Smartphone wirklich der geeignete Rahmen, für die Verarbeitung von sensiblen Gesundheitsdaten?
Gesundheits-App Vivy: Datenschutz-Bruchlandung
Gesundheits-App docdirekt: Weitere Datenschutz-Bruchlandung
Gesundheits-App: Anforderungen an Sicherheit und Datenschutz
Gesundheits-App Vivy: Stimmen und Reaktionen