Nach einer unruhigen Nacht lädst du eine Schlaf-Tracking-App herunter, verbindest dein Wearable und tippst dich durch eine Reihe von Berechtigungsbildschirmen mit „Erlauben“. Am nächsten Morgen siehst du ein übersichtliches Dashboard mit Schlafphasen, Herzfrequenzmustern und Hinweisen zur Erholung. Was du womöglich nicht siehst, ist der Weg hinter diesem Dashboard: welche Informationen auf deinem Handy bleiben, welche Daten auf die Server der App gelangen und ob externe Analyse- oder Werbepartner sie erhalten können.
Diese Unsicherheit ist das Kernproblem beim Schutz von Gesundheitsdaten. Ein Krankenhausportal und eine eigenständige Wellness-App zeigen vielleicht beide Herzfrequenz oder Symptome an, unterliegen aber womöglich ganz unterschiedlichen Gesetzen, Verträgen, technischen Systemen und Geschäftsmodellen. Dieser Ratgeber erklärt diese Ebenen in einfacher Sprache, damit du einen echten Datenschutzmechanismus von einer beruhigenden Formulierung in einer App-Beschreibung unterscheiden kannst.
Warum der Schutz von Gesundheitsdaten wichtiger ist, als du denkst
Eine Schlaf-App kann aus gewöhnlichen Messwerten ein sehr persönliches Profil machen. Die Herzfrequenzvariabilität kann auf Stress oder Erholung hindeuten. Wiederholtes nächtliches Aufwachen kann Muster einer Schlafstörung verraten. Notizen zu Symptomen können eine chronische Erkrankung, regelmäßige Medikamenteneinnahme, Fragen zur reproduktiven Gesundheit oder psychische Probleme offenlegen. Noch sensibler werden die Informationen, wenn eine App sie mit Standort, Gerätekennungen, Alter, Surfverhalten oder Kaufverhalten kombiniert.
Der Datenfluss ist oft schwer zu durchschauen. Ein Wearable zeichnet ein Signal auf, das Handy importiert es, die App analysiert es, und Software-Entwicklungskits (SDKs) senden möglicherweise Nutzungs- oder Messdaten an entfernte Dienste. Diese Dienste können Absturzberichte, Produktanalysen, Personalisierung, Werbung oder andere Funktionen unterstützen, die in einer Datenschutzerklärung beschrieben sind. Vielleicht hast du der ersten Verbindung zugestimmt, ohne zu ahnen, dass die Geschäftspartner der App – und nicht die App-Oberfläche selbst – bestimmen, wohin manche Informationen gelangen.
Warum sich diese Informationen kaum ersetzen lassen
Ein Passwort lässt sich nach einem Datenleck ändern. Ein Herzrhythmusverlauf, eine Symptomchronik oder Daten zur reproduktiven Gesundheit lassen sich nicht so einfach ersetzen. Selbst wenn ein Datensatz deinen Namen nicht enthält, können Kombinationen aus Zeitstempeln, Orten, Gerätedetails und Verhalten eine Person erkennbar machen.
Das Ausmaß der Datenpannen zeigt, warum die Architektur so wichtig ist. Eine begutachtete Übersichtsarbeit verzeichnete 2.216 Datenschutzverletzungen im Gesundheitswesen in 65 Ländern im Jahr 2018 und berichtete, dass zwischen 2005 und 2019 249,09 Millionen Menschen betroffen waren, davon 157,40 Millionen in den letzten fünf Jahren dieses Zeitraums. Dieselbe Übersichtsarbeit identifizierte in ihrem umfassenderen Datensatz von 2005 bis 2019 3.912 Datenschutzvorfälle im Gesundheitssektor. Diese Zahlen stammen aus der begutachteten Übersichtsarbeit zu Datenpannen im Gesundheitswesen.
Praktische Regel: Behandle Herzfrequenzdaten, ein Symptomtagebuch oder einen Schlafverlauf als sensibel – auch wenn sich eine App selbst als „Wellness“ bezeichnet.
Die Datenschutzgrenze, die viele übersehen
Herkömmliche Datenschutzregeln im Gesundheitswesen können Informationen schützen, die ein Krankenhaus, eine Praxis, eine Versicherung oder deren beauftragte Dienstleister speichern. Sie gehen aber nicht automatisch mit, wenn du die Daten in eine Verbraucher-App kopierst, ein Wearable verbindest oder einen Bericht in einen anderen Dienst exportierst.
Dieser Unterschied bedeutet nicht, dass jede Verbraucher-App unsicher ist. Er bedeutet, dass du genauere Fragen stellen musst: Wer erhält die Daten? Wo werden sie verarbeitet? Werden Rohdaten gespeichert? Kannst du sie löschen? Nutzt die App Analysedienste von Drittanbietern? Sobald du diese Fragen beantworten kannst, wird Datenschutz zu etwas, das du bewerten kannst, statt es einfach annehmen zu müssen.
Der Schutz durch HIPAA und DSGVO
HIPAA schafft in den USA eine wichtige Grundlage, ist aber kein allgemeines Etikett, das an jedem gesundheitsbezogenen Produkt hängt. Der Beginn der modernen Datenschutzära wird oft mit dem Inkrafttreten von HIPAA am 21. August 1996 in Verbindung gebracht. Die Privacy Rule wurde im Dezember 2000 erlassen, trat am 14. April 2001 in Kraft, und die meisten erfassten Leistungserbringer und Krankenversicherungen mussten sie bis April 2003 umsetzen, so die HIPAA-Zeitleiste der CDC.
HIPAA gilt in der Regel für sogenannte Covered Entities wie Krankenhäuser, Praxen, Krankenversicherungen und Abrechnungsstellen im Gesundheitswesen sowie für Geschäftspartner (Business Associates), die geschützte Informationen in deren Auftrag verarbeiten. Ein mit einem Krankenhaus verbundenes Patientenportal kann daher HIPAA-Pflichten unterliegen. Eine eigenständige Meditations-, Fitness- oder Symptom-App womöglich nicht – selbst wenn sie Informationen erfasst, die sich eindeutig medizinisch anfühlen.
Worauf du bei den Formulierungen einer App achten solltest
„HIPAA-konform“ sollte eine praktische Nachfrage auslösen, nicht das Gespräch beenden. Wenn eine App für eine erfasste Gesundheitsorganisation arbeitet, frag nach, ob die Beziehung durch ein Business Associate Agreement geregelt ist, das die Verantwortlichkeiten im Umgang mit geschützten Gesundheitsinformationen festlegt. „An HIPAA ausgerichtet“ oder „HIPAA-ready“ kann einen Gestaltungsansatz beschreiben, aber diese Formulierungen allein begründen keinen rechtlichen Schutz.
Die DSGVO funktioniert anders. Sie kann je nach den Umständen gelten, wenn eine Organisation personenbezogene Daten von Menschen im Europäischen Wirtschaftsraum verarbeitet. Gesundheitsdaten gelten als besondere Kategorie personenbezogener Daten, die stärker geschützt ist und für deren Verarbeitung eine passende Rechtsgrundlage und Bedingung erforderlich ist. Die DSGVO kann außerdem Rechte wie Auskunft, Löschung und Datenübertragbarkeit gewähren, auch wenn diese Rechte Grenzen haben können.
| Aspekt | HIPAA (USA) | DSGVO (EU/EWR) |
|---|---|---|
| Hauptsächlicher Geltungsbereich | Erfasste Einrichtungen des Gesundheitswesens und ihre Geschäftspartner | Organisationen, die unter den jeweiligen Umständen personenbezogene Daten erfasster Personen verarbeiten |
| Gesundheitsinformationen | Geschützte Gesundheitsinformationen, die von erfassten Einrichtungen und relevanten Geschäftspartnern gespeichert werden | Gesundheitsdaten sind eine besondere Kategorie, die zusätzlichen Schutz erfordert |
| Einwilligung | Datenschutzregeln legen zulässige Nutzungen und Offenlegungen fest; die Einwilligung ist in bestimmten Situationen relevant | Die Einwilligung kann eine Rechtsgrundlage sein, Organisationen können sich aber, wo zulässig, auf andere rechtmäßige Grundlagen stützen |
| Rechte der Nutzer | Auskunfts- und Berichtigungsrechte gelten im Rahmen von HIPAA | Auskunft, Löschung, Übertragbarkeit und weitere Rechte können gelten, mit Einschränkungen |
| Verbraucher-Apps | Oft außerhalb von HIPAA, sofern sie nicht mit einer erfassten Einrichtung verbunden sind | Können unter die DSGVO fallen, wenn deren räumliche und verarbeitungsbezogene Regeln greifen |
Eine Datenschutzerklärung kann dir helfen, die Position einer App zu verstehen, aber die Einhaltung von Gesetzen ist nur die Untergrenze. Das technische Design entscheidet, ob Rohdaten auf einem Server liegen, ob Mitarbeitende darauf zugreifen können und ob externer Code sie erhält. Die Datenschutzerklärung von Cardiogram kannst du dir als Beispiel für die Art von Angaben zu Architektur und Datenverarbeitung ansehen, nach denen du suchen solltest.
Wie technische Datenschutzmodelle funktionieren
Die Datenschutzarchitektur bestimmt, wie viele Informationen dein Gerät verlassen müssen. Stell dir zwei Gesundheits-Apps vor, die einen Verlauf deines Ruhepulses berechnen. Die eine sendet die Rohmesswerte zur Analyse an einen Server. Die andere berechnet den Verlauf auf dem Handy und speichert das Ergebnis lokal oder in einer geschützten persönlichen Sicherung. Die Bildschirme sehen vielleicht ähnlich aus, doch die Daten laufen durch unterschiedliche Systeme und schaffen unterschiedliche Risiken.
Der Ort der Verarbeitung verändert das Risiko
Verarbeitung auf dem Gerät hält Sensordaten im Handy selbst. Das Handy liest das Signal, führt die Berechnung durch und zeigt das Ergebnis an, ohne die Rohdaten an einen Firmenserver zu senden. So gibt es weniger Systeme, die die ursprünglichen Daten erhalten und schützen müssen. Das beseitigt nicht jedes Risiko. Ein kompromittiertes Gerät, ein Screenshot, ein Export oder eine verbundene Integration kann die Informationen trotzdem offenlegen.
Apple gibt an, dass Daten aus Health und HealthKit auf dem Gerät verschlüsselt und nur zugänglich sind, wenn das Gerät mit Code, Touch ID oder Face ID entsperrt ist. Mit Zwei-Faktor-Authentifizierung und einer unterstützten iOS-Version werden über iCloud synchronisierte Health-Daten Ende-zu-Ende-verschlüsselt, sodass Apple sie nicht lesen kann. So beschreibt es Apples Hinweise zur Sicherheit von Health-Daten.
Berechtigungen sind eine weitere Schranke. Frameworks für Gesundheitsdaten können einer App erlauben, bestimmte Kategorien wie Schritte oder Herzfrequenz anzufragen, und dabei Lesezugriff von Schreibzugriff trennen. Prüfe jede Anfrage im Hinblick auf den angegebenen Zweck der App. Ein Tool, das die Herzfrequenz analysiert, braucht vielleicht Messwerte, sollte aber nicht automatisch Kontakte, einen davon unabhängigen Standortverlauf oder die Erlaubnis erhalten, deine Gesundheitsdaten zu verändern.
Verschlüsselung schützt unterschiedliche Momente
Verschlüsselung bei der Übertragung schützt Informationen, während sie durch ein Netzwerk wandern. Sie kann verhindern, dass Außenstehende die Übertragung mitlesen, aber der empfangende Dienst kann die Daten möglicherweise trotzdem öffnen und verarbeiten. Verschlüsselung im Ruhezustand schützt gespeicherte Informationen auf einem Gerät oder Server, ähnlich wie ein Tresor seinen Inhalt nach der Lieferung schützt.
Ende-zu-Ende-Verschlüsselung geht weiter. Die sendende Seite verschlüsselt die Informationen, nur das Gerät der vorgesehenen Person kann sie entschlüsseln, und der Dienstanbieter kann den Inhalt nicht einsehen. Das begrenzt, was der Anbieter mit den Daten tun kann. Die Gestaltung der Kontowiederherstellung und der Sicherungen bleibt trotzdem wichtig, weil sie beeinflussen kann, wer letztlich Zugriff hat.
Apple gibt außerdem an, dass manche Health-Werte, darunter Trends, Highlights, Ruhepuls und Prognosen der Zyklusprotokollierung, auf dem Gerät berechnet werden. Das Health-Datenschutz-Whitepaper von Apple veranschaulicht den Unterschied zwischen dem lokalen Speichern von Rohsignalen und dem Senden an einen Cloud-Dienst zur Auswertung.
Architektur-Test: Frag dich, ob der Anbieter deine Rohdaten braucht, um die Funktion bereitzustellen. Wenn nicht, bieten lokale Verarbeitung und minimale Datenerhebung in der Regel eine kleinere Angriffsfläche.
Differential Privacy kann eine weitere Schutzebene hinzufügen, indem sie gezielt Rauschen in zusammengefasste Ergebnisse einbringt. Organisationen können so allgemeine Muster untersuchen, ohne einzelne Datensätze zu veröffentlichen. Ein Zauberradierer ist das aber nicht. Umsetzung, Einstellungen, Zugriffskontrollen und Aufbewahrungsdauer bestimmen weiterhin das praktische Ergebnis.
Achte auf Belege statt auf Adjektive. Unabhängige Sicherheitsaudits, Penetrationstests, klare technische Dokumentation und überprüfbare Open-Source-Komponenten schaffen mehr Vertrauen als Formulierungen wie „Sicherheit auf Militärniveau“ allein.
Verarbeitung auf dem Gerät oder Cloud-Synchronisierung
Bei lokaler Verarbeitung bleiben die Messwerte im Handy. Bei der Cloud-Synchronisierung werden sie an die Infrastruktur eines Anbieters übertragen. Beide Ansätze können nützliche Gesundheitsfunktionen ermöglichen, bringen aber unterschiedliche Datenschutzrisiken für Herzfrequenzmessungen, Symptomnotizen und Wearable-Daten mit sich.
Der Weg der Daten ist wichtiger als das Etikett. Eine App kann ein Ergebnis auf dem Gerät berechnen, Daten über einen persönlichen Sicherungsdienst kopieren oder Rohdaten auf ihre eigenen Server hochladen. Jeder Weg verändert, wer die Daten speichern, wiederherstellen, analysieren oder bei einer Supportanfrage darauf zugreifen kann.
Das lokale Modell
Lokale Verarbeitung kann sich für Informationen eignen, die du keinem App-Unternehmen überlassen möchtest, etwa Herzfrequenzvariabilität, detaillierte Schlafmuster oder Symptomnotizen. Das Handy kann ein Muster berechnen, ohne die zugrunde liegenden Messwerte an ein entferntes System zu senden. Das kann Serverdatenbanken, Analyse-Pipelines und Zugriffe durch Mitarbeitende verringern, und die Funktion arbeitet unter Umständen auch ohne ständige Verbindung weiter.
Der Nachteil betrifft die Kontinuität. Fällt das Gerät aus und gibt es keine geschützte Sicherung, lassen sich lokal gespeicherte Informationen nur schwer oder gar nicht wiederherstellen. Lokale Apps bieten außerdem oft nur eingeschränkten Zugriff über mehrere Geräte. Möglicherweise musst du einen Export selbst erstellen, bevor du einen Bericht mit deiner Ärztin oder deinem Arzt teilst.
Eine Berechtigungseinstellung allein beweist nicht, dass die Verarbeitung lokal bleibt. Prüfe, ob die App nur ein Ergebnis erhält, etwa einen Verlauf, oder ob sie auch die Rohmesswerte hochlädt, aus denen es berechnet wird. Der Unterschied für den Datenschutz ist vergleichbar damit, ob du eine fertige Rechnung weitergibst oder jedes einzelne Rechenblatt aushändigst.
Das Cloud-Modell
Cloud-Synchronisierung erleichtert Wiederherstellung und Zugriff. Du kannst nach einem Handywechsel deinen Verlauf wiederherstellen, mehrere Geräte nutzen und eine Sicherung behalten, ohne Dateien manuell zu exportieren. Diese Annehmlichkeiten schaffen aber mehr Stellen, die geschützt werden müssen, darunter Anwendungsserver, Sicherungssysteme, Protokolle, Supportsysteme und Integrationen.
Die praktische Frage lautet: In wessen Cloud werden die Informationen gespeichert? Prüfe, welche Verschlüsselung gilt, wer die Schlüssel kontrolliert und ob der Anbieter die Inhalte lesen kann. Eine persönliche Cloud-Sicherung mit Ende-zu-Ende-Verschlüsselung folgt einem anderen Datenschutzweg als ein Speicher bei Dritten, in dem das App-Unternehmen lesbare Kopien behält. Ein Wearable sendet vielleicht Herzfrequenzdaten an das Handy, das Handy synchronisiert ausgewählte Daten mit einem persönlichen Konto, und die App lädt Symptome separat auf ihre eigenen Server hoch.
Datenschutzvorgaben für Leistungserbringer gehen nicht automatisch mit, wenn Verbraucherdaten in eine App gelangen. Ein mit einem Krankenhaus verbundener Dienst verarbeitet Daten vielleicht im Rahmen einer regulierten Beziehung, während eine unabhängige Wellness-App nach ihrer eigenen Richtlinie arbeitet. Prüfe den Datenweg und die verantwortliche Organisation, statt davon auszugehen, dass alle gesundheitsbezogenen Daten gleich geschützt sind.
| Frage | Verarbeitung auf dem Gerät | Cloud-Synchronisierung |
|---|---|---|
| Speicherort der Rohdaten | Bleiben überwiegend auf dem Gerät | Können an die Infrastruktur des Anbieters übertragen werden |
| Wiederherstellung | Hängt vom Gerät und einer vorhandenen Sicherung ab | Unterstützt meist eine kontobasierte Wiederherstellung |
| Angriffsfläche | Kleinerer Fußabdruck auf Serverseite | Mehr Systeme und Integrationen müssen geschützt werden |
| Nutzung auf mehreren Geräten | Unter Umständen eingeschränkt | Meist bequemer |
| Aufwand beim Löschen | Betrifft vor allem das Gerät und persönliche Sicherungen | Muss Server, Sicherungen, Exporte und Partner berücksichtigen |
Keines der beiden Modelle ist automatisch sicher. Eine lokale App kann Daten durch übermäßige Berechtigungen oder unsichere Exporte offenlegen. Eine Cloud-App kann Informationen mit starken Zugriffskontrollen und Ende-zu-Ende-Verschlüsselung schützen und trotzdem mehr Kopien speichern und mehr Zugriffspunkte schaffen. Wähle die Architektur passend zur Sensibilität der Daten und zum Zweck der Funktion. Dieser Überblick über digitale Gesundheitslösungen bietet weiteren Kontext dazu, wie Softwaredesign Abläufe im Gesundheitsbereich beeinflusst.
Datenschutzversprechen von Gesundheits-Apps prüfen
Lies Datenschutzversprechen so, als würdest du einen Datenweg untersuchen, nicht einen Werbetext. Geh die folgenden Fragen durch, bevor du Symptome eingibst oder ein Wearable verbindest.
Beginne mit dem rechtlichen Verhältnis
Finde heraus, wer rechtlich hinter der App steht, und kläre, ob sie mit einem Krankenhaus, einer Praxis, einer Versicherung oder einer anderen erfassten Gesundheitsorganisation verbunden ist. Wenn die App angibt, unter HIPAA zu fallen, suche nach einer Erklärung der erfassten Beziehung und der entsprechenden Pflichten als Geschäftspartner. Gibt sie das nicht an, geh davon aus, dass HIPAA für den verbraucherseitigen Dienst möglicherweise nicht gilt, es sei denn, der Entwickler erklärt etwas anderes.
Das ist kein Urteil über die Qualität. Es zeigt dir, welchen Schutz du vom Gesetz erwarten kannst und welcher Schutz aus der eigenen Richtlinie und Architektur der App kommen muss.
Lies den Abschnitt zur Weitergabe sorgfältig
Suche nach Begriffen wie Analyse, Werbung, Partner, Datenhändler, Dienstleister, Forschung und anonymisierte Daten. „Vertrauenswürdige Partner“ hilft weniger als eine benannte Kategorie, ein angegebener Zweck und eine klare Erklärung, welche Datenfelder die App verlassen.
Achte auf Kombinationen. Eine App erklärt vielleicht, dass sie keine Gesundheitsdaten verkauft, erlaubt aber einem Dritten, Kennungen, Ereignisdaten oder Geräteinformationen für Werbung oder Reichweitenmessung zu erhalten. Solche Details können wichtig sein, selbst wenn die Richtlinie das Wort „verkaufen“ vermeidet.
Vergleiche die Berechtigungen mit der Funktion
Eine Berechtigungsanfrage sollte einen klaren Bezug zur Funktion der App haben. Eine Meditations-App, die Zugriff auf Kontakte möchte, verdient einen kritischen Blick. Ein Zyklustracker, der einen sachfremden Standortzugriff verlangt, sollte das erklären. Ein Tool zur Herzfrequenzanalyse, das reinen Lesezugriff auf die Herzfrequenz anfragt, lässt sich leichter rechtfertigen als eines, das umfassenden Schreibzugriff auf deine gesamten Gesundheitsdaten verlangt.
Nutze die Berechtigungseinstellungen des Betriebssystems, um Kategorien abzulehnen, die die Funktion nicht braucht. Sieh dir diese Berechtigungen nach Updates erneut an, denn die angefragten Zugriffe einer App können sich ändern.
Prüfe das Versprechen selbst
Bevor du dich auf eine App verlässt, prüfe, ob sie Folgendes bietet:
- Datenexport: Kannst du eine brauchbare Kopie deiner Daten erhalten, ohne den Support zu kontaktieren?
- Kontolöschung: Wird beim Löschen erklärt, was mit aktiven Daten, Sicherungen, Protokollen und gesetzlich aufzubewahrenden Informationen passiert?
- Einwilligungseinstellungen: Kannst du eine Berechtigung widerrufen, ohne davon unabhängige Funktionen zu verlieren?
- Angaben zur Verarbeitung: Steht in der Hilfe, ob die Analyse auf dem Gerät oder auf entfernten Servern stattfindet?
- Sicherheitsnachweise: Beschreibt der Entwickler Audits, Penetrationstests, Verschlüsselung und Zugriffskontrollen so detailliert, dass du sie beurteilen kannst?
Ein nützliches Warnsignal: Vage Verweise auf „Dienstleister“ sind nicht automatisch unzulässig, sollten dich aber dazu bringen, nachzufragen, was diese Dienstleister erhalten, warum sie es erhalten und wie lange sie es behalten.
Eine App, die nach dem Prinzip Privacy by Design entwickelt wurde, erhebt standardmäßig möglichst wenige Daten, trennt Berechtigungen, verzichtet auf unnötige Software von Drittanbietern und erklärt den Lebenszyklus der Daten. Diese Entscheidungen garantieren keinen perfekten Schutz, sind aber ein stärkerer Beleg als ein Siegel oder ein Slogan.
Deinen persönlichen Datenschutzrahmen aufbauen
Der Schutz von Gesundheitsdaten ist keine Frage von alles oder nichts. Er besteht aus einer Reihe von Entscheidungen, die sich nach der Sensibilität der Informationen, dem Nutzen der Funktion und den Folgen richten, falls die Daten jemand anderem zugänglich werden.
Beginne mit hochsensiblen Daten wie detaillierten Notizen zur psychischen Gesundheit, Informationen zur reproduktiven Gesundheit oder Daten zu einer chronischen Erkrankung. Bevorzuge hier Analyse auf dem Gerät, reinen Lesezugriff, wo es praktikabel ist, eingeschränkte Exporte und keine unnötige Kopie in der Cloud. Wenn du eine Synchronisierung nutzt, prüfe das Verschlüsselungsmodell und kläre, wer die Schlüssel zur Entschlüsselung kontrolliert.
Zu den Daten mittlerer Sensibilität können Schlaf-Tracking, Trainingsverlauf und allgemeine Fitnesswerte gehören. Eine verschlüsselte Cloud-Synchronisierung kann eine vernünftige Wahl sein, wenn dir Wiederherstellung und Zugriff von mehreren Geräten wichtig sind. Prüfe aber die Weitergaberichtlinie des Anbieters und entferne alte Integrationen, die du nicht mehr nutzt.
Bei weniger sensiblen Wellness-Daten darf Bequemlichkeit durchaus mehr Gewicht haben. Gewähre aber auch dann nur die Berechtigungen, die die Funktion braucht, schütze dein Handy mit einem starken Code und gib keine identifizierenden Angaben ein, wenn die App sie nicht braucht.
Die Schutzmaßnahmen kombinieren
Verlass dich nicht auf ein einzelnes Etikett, sondern nutze drei Ebenen:
- Rechtliche Ebene: Kläre, ob eine erfasste Beziehung im Gesundheitswesen oder ein anwendbares Datenschutzgesetz die Verarbeitung regelt.
- Technische Ebene: Prüfe Geräteverschlüsselung, App-Berechtigungen, lokale Verarbeitung, Ende-zu-Ende-Verschlüsselung und Speicherdauer auf Servern.
- Verhaltensebene: Überprüfe Berechtigungen, verfolge Änderungen der Richtlinien, exportiere wichtige Daten und stelle bei Bedarf Löschanträge.
Ein persönliches Bedrohungsmodell macht diese Ebenen praktisch umsetzbar. Wer mit einer sensiblen Diagnose lebt, legt vielleicht mehr Wert darauf, möglichst wenige Kopien zu haben, als auf bequemen Zugriff. Wer allgemeine Aktivität trackt, akzeptiert vielleicht eine seriöse Sicherung im Austausch für Kontinuität. Keine der beiden Entscheidungen ist allgemein richtig.
Entscheidungsprinzip: Teile die am wenigsten sensiblen Informationen, mit denen die gewünschte Funktion noch funktioniert, und überdenke diese Entscheidung, wenn sich die App, das Gerät, deine gesundheitliche Situation oder die Richtlinie ändert.
Wenn du strukturierte Berichte oder anpassbare Zusammenfassungen brauchst, lies in diesem Ratgeber zur Anpassung von Berichten, wie sich die Anpassung auf die erfassten und exportierten Daten auswirkt. Es gilt derselbe Rahmen: Verstehe die Eingabedaten, den Ort der Verarbeitung, die Empfänger und die entstehenden Kopien.
Häufige Irrtümer über die Einwilligung bei Gesundheitsdaten
Ein Tippen auf „Ich stimme zu“ gibt dir keine dauerhafte Kontrolle über jede künftige Nutzung deiner Informationen. In Verbraucher-Apps erlaubt die Einwilligung vielleicht die erste Erhebung, während separate Abschnitte der Richtlinie Analyse, Dienstleister, Forschung, Werbung oder spätere Änderungen regeln. Betrachte die Einwilligung als Beginn einer Prüfung, nicht als Datenschutzschild.
Eine App zu löschen, ist außerdem nicht dasselbe, wie die Daten zu löschen. Wenn du die App von deinem Handy entfernst, können Serverdaten, synchronisierte Sicherungen, Exporte, Protokolle oder bereits an eine andere Organisation weitergegebene Informationen bestehen bleiben. Frag den Entwickler, was die Löschung umfasst und ob für zusammengefasste oder gesetzlich aufzubewahrende Informationen ein anderes Verfahren gilt.
Bei „anonym“ ist ähnliche Vorsicht angebracht. Ein Datensatz ohne deinen Namen kann trotzdem Daten, Orte, Gerätedetails und unverwechselbare Muster enthalten, die in Kombination mit einem anderen Datensatz eine erneute Identifizierung ermöglichen. Der Schutz von Gesundheitsdaten hängt vom gesamten Kontext ab, nicht nur davon, ob eine direkte Kennung entfernt wurde.
Die Einwilligung ist auch nach der DSGVO nicht die einzige mögliche Rechtsgrundlage. In manchen Situationen darf eine Organisation Informationen auf einer anderen rechtmäßigen Grundlage verarbeiten, etwa aufgrund berechtigter Interessen, wenn die jeweiligen Voraussetzungen erfüllt sind. Deshalb kann dir ein Berechtigungsbildschirm nicht die ganze Geschichte erzählen.
Besser ist es, regelmäßig Berechtigungen, Freigabeeinstellungen, verbundene Dienste und Zusagen zur Aufbewahrung zu überprüfen. Daten, die du heute teilst, können weiterhin verfügbar sein, kopiert oder zu anderen Zwecken genutzt werden – unter Bedingungen, die du selbst nie erneut gelesen hast.
Cardiogram analysiert Herzfrequenzdaten aus Apple Health direkt auf dem Gerät mit reinem Lesezugriff auf HealthKit und synchronisiert App-Daten anschließend über dein eigenes iCloud-Konto, statt Nutzerkonten auf eigenen Servern zu führen. Wenn diese Architektur zu deinen Bedürfnissen passt, besuche Cardiogram und sieh dir an, wie die App Herzfrequenzmuster, Symptome und Verläufe in Zusammenfassungen für deine Ärztin oder deinen Arzt verwandelt und dabei den Datenschutz im Blick behält.
