Habit Tracker und Datenschutz: Was du prüfen solltest, bevor du dein Leben protokollierst

Überleg mal, was ein Jahr Gewohnheitsdaten über jemanden verrät. „Kein Alkohol“, und jeden Freitag reißt die Serie. Ein tägliches Häkchen für die Tablette. Schlafenszeiten. Eine Stimmungskurve, die jeden Februar absackt. „Zigaretten: 4.“ Einzeln wirkt nichts davon dramatisch, zusammen liest es sich wie eine Krankenakte. Und in vielen Apps liegt diese Akte auf einem Server, den du nie gesehen hast, direkt neben deiner E-Mail-Adresse.

In diesem Ratgeber geht es darum, herauszufinden, wohin diese Akte wandert. Er nennt und bewertet keinen Habit Tracker. Er zeigt, was bei Gesundheits- und Wellness-Apps allgemein schiefgelaufen ist, was das Datenschutzlabel im App Store verrät und was nicht, und wie du eine App mit Cloud-Sync gegen eine abwägst, die alles auf dem Handy behält.

Warum Gewohnheitsdaten als Gesundheitsdaten zählen

Das europäische Recht behandelt vieles davon bereits als Sonderfall. Nach der DSGVO gehören Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung zu den besonderen Kategorien personenbezogener Daten (DSGVO, Art. 9): Ihre Verarbeitung ist untersagt, außer eine von wenigen Ausnahmen greift, am häufigsten die ausdrückliche Einwilligung für einen festgelegten Zweck. Eine Gewohnheit namens „Antidepressivum nehmen“ ist kein Schrittzähler. Ob ein einzelner Eintrag rechtlich als Gesundheitsdatum gilt, hängt vom Zusammenhang ab, aber genau an solche Informationen haben die Verfasser der Regel gedacht.

In den USA ist die Lage lückenhafter. Im April 2024 hat die Federal Trade Commission ihre Health Breach Notification Rule aktualisiert (FTC, 2024), um klarzustellen, dass sie für Gesundheits-Apps und ähnliche Technik gilt, die nicht unter HIPAA fällt. Als „Sicherheitsverletzung“ zählt seitdem auch die unbefugte Weitergabe identifizierbarer Gesundheitsdaten, nicht nur ein Hackerangriff.

Was bei Gesundheits-Apps schon schiefgelaufen ist

Die folgenden Fälle betreffen Zyklus-, Rezept- und Therapie-Apps, keine Habit Tracker. Sie sind trotzdem relevant, weil der Mechanismus derselbe ist, den jede App nutzen kann: ein Software-Baukasten eines Analyse- oder Werbeunternehmens, eingebaut in die App, der still mitmeldet, was du tust.

• Flo Health (2021). Laut FTC versprach die Zyklus- und Eisprung-App mit mehr als 100 Millionen Nutzerinnen, Gesundheitsdaten vertraulich zu behandeln, und gab sie dann über „App Events“ weiter, darunter die Information, dass eine Nutzerin schwanger war: an die Analyseabteilungen von Facebook und Google und an weitere Marketing- und Analysefirmen. Der Vergleich verpflichtete Flo, vor jeder Weitergabe von Gesundheitsdaten eine Einwilligung einzuholen und die Empfänger anzuweisen, die Daten zu löschen (FTC, 2021).
• GoodRx (2023). Der erste FTC-Fall auf Grundlage der Health Breach Notification Rule. Der Vorwurf: Der Rabattdienst für Medikamente gab Medikamente und Erkrankungen seiner Nutzer an Facebook, Google, Criteo und andere weiter und lud 2019 die Kontaktdaten von Menschen, die Herz- und Blutdruckmittel gekauft hatten, zu Facebook hoch, um ihnen gezielt Werbung zu zeigen. GoodRx akzeptierte eine Zivilstrafe von 1,5 Millionen US-Dollar (FTC, Februar 2023).
• BetterHelp (2023). Der Online-Therapiedienst soll E-Mail-Adressen, IP-Adressen und Antworten aus einem Gesundheitsfragebogen (mit Fragen zu Depression, Suizidgedanken und Medikamenten) zu Werbezwecken an Facebook, Snapchat, Criteo und Pinterest weitergegeben haben. Er zahlte 7,8 Millionen US-Dollar für teilweise Rückerstattungen (FTC, März 2023).

Forschende finden dasselbe Muster, wenn sie Apps selbst testen. Grundy und Kolleginnen (2019) ließen 24 gut bewertete Android-Apps rund um Medikamente im Labor laufen, fütterten sie mit Testdaten und beobachteten den Netzwerkverkehr.

Diese Empfänger warben zudem damit, Daten an 216 weitere Firmen, sogenannte „Fourth Parties“, weitergeben zu können. Das Fazit der Autorinnen und Autoren: Datenweitergabe ist „Routine, aber alles andere als transparent“. Als das Team von Mozillas *Privacy Not Included 2022 insgesamt 32 Apps für psychische Gesundheit und Gebet prüfte, bekamen 28 das Datenschutz-Warnlabel und 25 fielen bei den Mindeststandards für Sicherheit durch (Mozilla Foundation, 2022). Ein Jahr später hatte sich knapp ein Drittel verbessert, 40 % hatten sich verschlechtert, und 59 % der geprüften Apps erhielten das Warnlabel (Mozilla Foundation, 2023).

Habit Tracker mit Datenschutz: sieben Punkte zum Prüfen

Das alles geht über die App-Store-Seite und die Datenschutzerklärung, noch bevor du etwas installierst.

1. Braucht die App ein Konto? Ein Konto verknüpft deine Einträge mit einer E-Mail-Adresse und bedeutet meist, dass eine Kopie auf den Servern des Anbieters liegt. Für Sync kann sich ein Login lohnen, aber eine App, die dich ohne Konto gar nicht starten lässt, sammelt ab der ersten Minute etwas.
2. Wo liegen die Daten? Such in der Datenschutzerklärung einen klaren Satz: nur auf dem Gerät, auf den Servern des Anbieters oder über dein eigenes iCloud synchronisiert. Liegen sie beim Anbieter, achte darauf, ob „Ende-zu-Ende-verschlüsselt“ dasteht (dann kann er sie nicht lesen) oder nur „verschlüsselt“, was heißen kann, dass er die Schlüssel hat.
3. Welche Dritten stecken in der App? Such in der Erklärung nach „Analyse“, „Werbung“, „Partner“ und „SDK“. Jedes Analyse- oder Werbe-SDK ist ein weiteres Unternehmen, dessen Code in der App läuft, genau der Weg, den die Beschwerde gegen Flo beschreibt.
4. Was steht im Datenschutzlabel? Bei einer App mit Gesundheitsbezug lies zuerst „Daten, die zum Tracking verwendet werden“. Alles aus den Bereichen Gesundheit, Fitness oder sensible Daten unter „Mit dir verknüpfte Daten“ verlässt dein Handy verknüpft mit deiner Identität. Mehr zum Label weiter unten.
5. Welche Berechtigungen will sie? Ein Habit Tracker braucht Mitteilungen für Erinnerungen. Standort, Kontakte oder deine Health-Daten sollten mit einem Grund kommen, den du nachvollziehen kannst.
6. Kannst du alles exportieren? Ein lesbarer Export (CSV oder JSON) lässt dich gehen, ohne Jahre an Verlauf zu verlieren. Ohne Export gehört dein Protokoll praktisch der App.
7. Kannst du alles löschen? Die App zu löschen räumt nur das Handy auf. Gibt es ein Konto, such in der App nach „Konto löschen“ und nach einem Satz, dass Kopien auf Servern und in Backups entfernt werden. In der EU hast du nach der DSGVO außerdem ein Recht auf Löschung.

Noch eine Klausel zum Überfliegen: die zu Fusionen und Übernahmen. Sie sagt dir, ob deine Einträge beim Verkauf des Unternehmens an den Käufer gehen würden.

So liest du das Datenschutzlabel im App Store, und wo es versagt

Auf der App-Store-Seite einer App ordnet der Abschnitt „App-Datenschutz“ die Daten unter bis zu vier Überschriften. Apples Übersicht (Apple, Datenschutzlabels) beschreibt sie ungefähr so:

• Daten, die zum Tracking verwendet werden: mit Daten aus Apps, Websites oder Offline-Quellen anderer Firmen kombiniert, um gezielt Werbung zu zeigen, oder an einen Datenhändler weitergegeben.
• Mit dir verknüpfte Daten: so erfasst, dass sie an deine Identität gebunden sind, über dein Konto, dein Gerät oder Angaben wie deine Telefonnummer.
• Nicht mit dir verknüpfte Daten: erfasst, aber ohne Kennungen und ohne Rückverknüpfung zu dir.
• Keine Daten erfasst: Der Entwickler gibt an, dass die App gar keine Daten erfasst.

Die Definitionen sind strenger, als sie klingen. Apple erklärt Entwicklern, dass „erfassen“ heißt, Daten vom Gerät zu senden und länger aufzubewahren als für die Anfrage nötig, dass rein auf dem Gerät verarbeitete Daten nicht zählen und dass das Label auch erfassen muss, was Drittanbieter-SDKs in der App sammeln (Apple, App privacy details). Eine App mit Werbe-SDKs kann also nicht ehrlich „Keine Daten erfasst“ angeben.

Der Haken steckt im Wort „ehrlich“. Apple sagt klar, dass die Angaben vom Entwickler selbst stammen. Als Koch und Kollegen (2022) den Netzwerkverkehr von 1.687 Apps aus dem deutschen App Store mitschnitten, übertrugen mindestens 276 Daten, die ihr Label nicht angab. Das spricht dafür, dass die Richtigkeit des Labels bei der App-Prüfung nicht kontrolliert wird. Nimm das Label als unterschriebene Erklärung des Entwicklers. Ein Label voller Tracking ist ein verlässliches Warnsignal; ein sauberes Label ist ein gutes Zeichen, das die Datenschutzerklärung noch bestätigen muss.

Auf dem Gerät oder in der Cloud: was du gewinnst und was du aufgibst

Cloud-Sync löst echte Probleme. Dein Verlauf zieht mit aufs neue Handy oder aufs Tablet, er übersteht ein Handy, das im See landet, und an Backups musst du nie denken. Der Preis ist eine zweite Kopie, für den Anbieter lesbar, sofern sie nicht Ende-zu-Ende verschlüsselt ist. Diese Kopie kann bei einem Datenleck abfließen, nach einer späteren Änderung der Datenschutzerklärung geteilt oder mit dem Unternehmen verkauft werden.

Wer die Daten nur auf dem Handy speichert, hat diese Kopie nicht, und damit fallen die meisten Wege weg, auf denen in den Fällen oben etwas schiefging. Die Verantwortung liegt dann aber bei dir, und das sollte man offen sagen:

• Verlierst oder zerstörst du das Handy ohne Backup, ist der Verlauf weg. Niemand kann ihn für dich wiederherstellen.
• Wenn du die App löschst, sind meist auch ihre Daten gelöscht.
• Es gibt keinen automatischen Sync zwischen Handy und einem anderen Gerät.
• Backups sind deine Sache: das Backup des Handys selbst oder ein manueller Export, an den du denken musst.

Wisse auch, was dein Handy-Backup eigentlich ist. Auf dem iPhone landen die lokalen Daten einer App normalerweise im iCloud- oder Computer-Backup. Mit Apples voreingestelltem „Standard-Datenschutz“ ist das iCloud-Backup verschlüsselt, die Schlüssel liegen aber in Apples Rechenzentren; erst mit aktiviertem „Erweiterten Datenschutz“ ist es Ende-zu-Ende verschlüsselt (Apple, iCloud-Datensicherheit). Das ist eine andere Vertrauensfrage als der Server eines App-Anbieters, weil du Apple beim Handy ohnehin vertraust, aber es heißt nicht „niemand kann es je sehen“.

Eine Faustregel: Je sensibler die Gewohnheiten, desto mehr spricht für Speicherung auf dem Gerät plus regelmäßigen Export an einen Ort, den du selbst kontrollierst. Wenn du Wasser und Lesen trackst, darf der Komfort von Sync gewinnen. Bei Alkohol, Medikamenten oder Stimmung eher nicht.

Was diese Checkliste dir nicht sagen kann

Label und Datenschutzerklärung zeigen, was ein Unternehmen behauptet. Was eine App tatsächlich sendet, zeigt nur eine Verkehrsanalyse wie bei Grundy oder Koch, und die macht kaum jemand zu Hause. Auch die Forschung hat Lücken. Grundys Studie umfasste 24 Android-Apps aus einer einzigen Kategorie, getestet im Labor mit fiktiven Nutzern. Mozillas Prüfungen betrafen Apps für psychische Gesundheit und Gebet, keine Habit Tracker, und stützen sich teils darauf, wie Unternehmen Fragen beantwortet haben. Die FTC-Fälle sind Vorwürfe, die per Vergleich beigelegt wurden: Sie zeigen, was passieren kann, nicht wie häufig es passiert.

Datenschutzerklärungen ändern sich außerdem. Eine heute saubere App kann mit dem Update im nächsten Monat ein SDK bekommen, und das Label ändert sich nur, wenn der Entwickler es anpasst. Einmal im Jahr nachzusehen, oder wenn eine App plötzlich ein Konto verlangt, ist selbst eine gute Gewohnheit.

Datenschutz ist ein Grund, sich für einen Tracker zu entscheiden. Ob Tracking überhaupt hilft, ist eine andere Frage, die hilft Gewohnheitstracking wirklich? beantwortet. Und wie eine App mit einem verpassten Tag umgeht, zählt auch: siehe was ein verpasster Tag mit deiner Serie macht.