Neun Anbieter von Wearables und Fitness-Apps erhalten Abmahnung wegen Datenschutzmängeln

Bei der Untersuchung von 24 Fitness-Apps und Fitness-Wearables hat die Verbraucherzentrale NRW durchgehend Mängel beim Umgang mit vertraulichen Daten oder mangelhafte Kontrollmöglichkeiten über die erhobenen Daten festgestellt. Apple, Garmin, Fitbit, Jawbone, Polar, Runtastic, Striiv, UnderArmour (MyFitnessPal) und Withings haben aufgrund rechtlicher Mängel in ihren Datenschutzhinweisen und Datenschutzerklärungen sogar eine Abmahnung kassiert.

Die technische Prüfung habe insgesamt gezeigt, dass in dieser Produktkategorie die Kontrolle über Daten kaum möglich ist, wie die Verbraucherzentrale Nordrhein-Westfalen erklärt. Von den 24 geprüften Apps benötigen 20 zum Betrieb eine Verbindung zum Internet, keine von ihnen erlaubt wahlweise die Verarbeitung der Daten ausschließlich im Gerät.

Bei 15 Apps werden neben den teilweise für die Funktion erforderlichen Gesundheitsdaten werden auch Daten zum Nutzungsverhalten an den Anbieter übermittelt. Diese Daten sind nach Auffassung der Verbraucherschützer „für die reine Funktionalität der App vermutlich nicht nötig“. Bei 19 von 24 Apps werden außerdem Drittanbieter wie Analyse- und Werbedienste eingebunden. Die Nutzerdaten können in solchen Fällen weitergereicht werden. Es sei nicht nur fraglich, sondern für Nutzer auch kaum zu erkennen, inwieweit deren Dienste für die Funktionalität einer App erforderlich sind.

Auch kritisieren die Verbraucherschützer, dass bei 16 von 19 Apps technische Daten bereits an Drittanbieter gesendet werden, „bevor Nutzer überhaupt den Nutzungsbedingungen zustimmen und über den Umgang mit ihren Daten informiert werden konnten.“

Nur zwei der 12 untersuchten Wearables sind umfassend vor ungewollter Standortverfolgung (Tracking) geschützt. Dadurch sei das Erstellen von Bewegungsprofilen möglich. Die Verbraucherschützer machen dafür eine Sicherheitslücke der Bluetooth-Verbindung verantwortlich. Die soll sich allerdings in der Regel nur ausnutzen lassen, wenn Smartphone und Wearable nicht aktiv verbunden sind. Dann könnten etwa Betreiber von Einkaufszentren die Laufwege ihrer Kunden verfolgen.

Datenschutzrechtlich mag das streng genommen nicht in Ordnung sein, ob es Nutzer tatsächlich stört, bleibt aber dahingestellt. Denn in der Regel geht es bei allen derartigen Konzepten, bei denen auch andere Technologien (vor allem WLAN) zum Einsatz kommen können, den Betreiber nicht darum, Individuen zu identifizieren und zu tracken, sondern Muster im Kunden- und Besucherverhalten zu erkennen und auf dieser Grundlage ihre Angebote zu optimieren. Das „verfolgte“ Mobilgerät ist dabei mit einem Eimer weißer Farbe vergleichbar, der am Eingang aufgestellt wird und in den alle Besucher ihre Füße tauchen: Der Einzelne ist irrelevant, lediglich die aggregierten Profile (spuren) aller haben eine Aussagekraft.

[Mit Material von Peter Marwan, silicon.de]