Übermittlung von Gesundheitsdaten bei der App Ada Health
Der Beitrag »Massive Datenschutzmängel in der Gesundheits-App Ada« der ct beginnt mit folgendem Satz:
Gesundheits-Apps verarbeiten sensible Daten, die Anbieter versichern, auf die Privatsphäre der Nutzer zu achten. Eine Analyse des Datenverkehrs belegt anderes.
Das trifft den Nagel leider auf den Kopf. Vordergründig wird dem Nutzer versichert, dass seine Privatsphäre gewahrt bleibt – bei genauerem Hinsehen ist allerdings oftmals genau das Gegenteil der Fall, wie aktuell die Gesundheits-App Ada Health beweist.
Sylvester Tremmel von der ct hat meine Analyse »Ada: Gesundheits-App mit Facebook-Tracker« genau gelesen. Daraufhin kontaktierte er mich. Nachdem wir ein paar E-Mails und ein Telefonat ausgetauscht hatten, konnte die ct die Übertragung der Gesundheitsdaten an die Drittanbieter Facebook und Amplitude ebenfalls nachvollziehen.
Die Übertragung sensibler Gesundheitsdaten vor dem Hintergrund EU-DSGVO Art. 9 ist schon schlimm genug. Noch schlimmer ist allerdings die Reaktion von Ada, nachdem sie mit der Analyse konfrontiert wurden:
Dritte haben keinen Zugriff auf persönliche Gesundheitsinformationen der User. Facebook, Adjust oder Amplitude erfahren folglich nicht, ob ein User beispielsweise angibt, Bluthochdruck zu haben oder wo er versichert ist.
Doch aber genau das ist der Fall. Gesundheitsinformationen werden an Facebook und auch Amplitude in die USA übermittelt. Die Reaktion von Ada wirft nun natürlich die Frage auf, ob das Unternehmen die Datenübermittlung bewusst verschweigt oder selbst keine Kenntnis darüber hat, welche Daten die Tracker-Dienste der Ada-Gesundheits-App eigentlich übermitteln. Wie auch immer die Antwort ausfallen mag, es ist ein absolut unverantwortliches Verhalten.
Aus dem ct-Artikel geht weiterhin hervor, dass der Hersteller mittlerweile wohl nachgebessert hat:
Kurz vor Redaktionsschluss überschlugen sich daraufhin die Ereignisse – offenbar durch die Recherche von c’t: Zuerst verschwand die Ada-App aus dem Play-Store, am 4. Oktober tauchte sie dann wieder auf – in der neuen Version 2.49.1. In einem kurzen Check konnten wir keine Datenübertragungen an Amplitude mehr feststellen.
Wer mit Gesundheitsdaten arbeitet, kann sich solche Schnitzer allerdings nicht erlauben. Ebenso wie die App Vivy, die ebenfalls durch eklatante Mängel aufgefallen ist, kann ich jedem Nutzer nur raten: Deinstallieren. Für solche Pannen gibt es keine Entschuldigung.
Ada: Gesundheits-App mit Facebook-Tracker
Ada Health GmbH: Anfrage an die Techniker Krankenkasse versendet
Wie Tracking in Apps die Sicherheit und den Datenschutz unnötig gefährdet
Gesundheits-App: Anforderungen an Sicherheit und Datenschutz