Wo die Daten Ihrer Gesundheits-App wirklich landen

Ihre Werte liegen an einem von zwei Orten: nur auf Ihrem Handy oder auf einem Server dessen, der die App geschrieben hat. Nichts an einem Blutdruck- oder Schlaftagebuch braucht das Zweite. Ein Jahr Messwerte sind ein paar Kilobyte und die Arithmetik ist ein Mittelwert — eine App, die auf einem Konto besteht, hat also eine Entscheidung getroffen und keine Beschränkung vorgefunden. Beide Stores zwingen Entwickler dazu, anzugeben, welches von beidem gilt, und die Angabe steht auf der Store-Seite.

Diese Formulare füllen wir für eine eigene Gesundheits-App aus, das Folgende beschreibt also Unterlagen, die wir eingereicht haben, und keine Vermutung darüber.

Warum „braucht ein Konto“ der Hinweis ist

Fragen Sie, wofür der Server da ist. Es gibt ehrliche Antworten: Abgleich zwischen Geräten, eine geteilte Ansicht für die Praxis, eine Sicherung, die Sie nach dem Verlust eines Handys zurückspielen können. Jede davon ist eine echte Funktion, und jede ist optional.

Speichern ist keine ehrliche Antwort. Ein Telefon führt seit fünfzehn Jahren Zahlenlisten ohne fremde Hilfe. Wenn ein Tagebuch also ein Konto verlangt, bevor es einen einzigen Wert notiert, ist das Konto für etwas anderes da — und dieses andere ist meist ein Nutzerdatensatz, der Ihr Interesse an der App überlebt.

Wie man die Angaben liest

Google Play — Datensicherheit. Eine Karte auf der Store-Seite, über den Bewertungen. Drei Dinge, der Reihe nach:

• Erhobene Daten gegen weitergegebene Daten. Erhoben heißt, sie verlassen das Gerät Richtung Entwickler; weitergegeben heißt, sie gehen weiter an Dritte. Ernst ist das Zweite.
• Ob Gesundheit und Fitness überhaupt auftaucht. Es ist eine eigene Kategorie, sie lässt sich also nicht unter einer vageren Überschrift verstecken.
• „Daten können nicht gelöscht werden“ als ausdrückliche Zeile. Werden Daten erhoben und gibt es keinen Weg, die Löschung zu verlangen, ist diese Kombination ernst zu nehmen.

App Store — App-Datenschutz. Dieselbe Idee in drei Töpfen:

• Zum Tracking verwendete Daten — das stärkste Signal der Seite. Bei einer Gesundheits-App sollte das leer sein.
• Mit Ihnen verknüpfte Daten — erhoben und an Ihre Identität gebunden.
• Nicht mit Ihnen verknüpfte Daten — erhoben, aber nicht an Sie gebunden. Absturzberichte und zusammengefasste Nutzungszahlen leben hier üblicherweise, zu Recht.

Beides sind Selbstauskünfte, geprüft per Stichprobe und nicht per Inspektion. Das zählt trotzdem etwas, denn eine falsche Angabe ist ein Richtlinienverstoß mit echten Folgen. Lesen Sie sie aber als Angabe, die jemand unterschrieben hat, und nicht als Tatsache, die jemand überprüft hat. Der Flugmodus-Test ist die Hälfte, die Sie selbst prüfen können.

Zu achten ist nicht auf die Länge der Liste. Sondern darauf, ob die Kategorie darin auftaucht, auf die es Ihnen ankommt, und ob irgendwo weitergegeben statt erhoben steht.

Das Recht der Schweigepflicht gilt vermutlich nicht

Das überrascht, deshalb sei es klar gesagt. Regeln, die für Patientenakten geschrieben wurden — HIPAA in den Vereinigten Staaten und die Entsprechungen anderswo —, erfassen Leistungserbringer und die Unternehmen, die in deren Auftrag Daten verarbeiten. Eine App, die Sie in einem Store gefunden und selbst installiert haben, erfassen sie nicht.

Stattdessen gilt das allgemeine Datenschutzrecht und die Richtlinie des Stores. Beides ist spürbar schwächer als das medizinische Regime, unter dem sich die meisten wähnen. In der Praxis heißt das: Ihr Schutz kommt daher, wie die App gebaut wurde, und nicht aus einem Rechtsgebiet, außerhalb dessen sie steht.

Mit Health oder Fit zu synchronisieren ist etwas anderes

„Synchronisieren“ wird für zwei unzusammenhängende Verhaltensweisen benutzt.

In Apple Health oder Google Fit schreiben legt die Daten in einen Speicher auf Ihrem eigenen Gerät, den andere Apps lesen dürfen, sobald Sie es erlauben. Der Entwickler sieht davon nichts. Das ist die gute Sorte und lohnt sich, denn sie sorgt dafür, dass ein Wert neben allem anderen auftaucht, was Ihr Handy weiß.

Mit der Cloud eines Unternehmens synchronisieren sendet die Daten an dessen Server. Das ist völlig legitim, wenn Sie eine Sicherung wollten. Und es bedeutet etwas völlig anderes.

Wenn auf einer Store-Seite „synchronisiert“ steht, ohne zu sagen wohin, ist genau das die Frage, die vor der ersten Eingabe zu beantworten ist.

Was wir tun

Blood Pressure Diary behält die Werte auf dem Gerät. Es gibt keine Anmeldung und nichts anzulegen, und die ganze App funktioniert mit dem Handy im Flugmodus. Dieser letzte Teil ist die Fassung des Versprechens, die Sie in einer Minute selbst prüfen können.

Seine Datensicherheitsangabe ist die aus der Frage oben: Kaufhistorie, Absturzprotokolle, App-Interaktionen und eine Gerätekennung, alles erhoben und nichts weitergegeben, ohne Kontoerstellung und mit einem Weg, die Löschung zu verlangen. Daten der Kategorie Gesundheit und Fitness sind nicht angegeben, weil keine erhoben werden. Das ist die vollständige Liste, und sie steht auf der Play-Seite und nicht nur in diesem Absatz.

Somnia hat nichts zu senden: Die fünfzehn Tonschleifen reisen im Download mit, und eine Mischung ist eine lokale Einstellung.

Keine von beiden gibt etwas an Dritte weiter, und über unsere Apps hinweg wird nichts zusammengeführt. Es gibt keine gemeinsame Kennung, über die man es zusammenführen könnte. Die weitergehende Aussage darüber, was wir behaupten und was nicht, steht auf der Über-uns-Seite.

Wenn Sie Werte für einen Termin zusammenstellen, behandelt ein Blutdrucktagebuch, mit dem die Praxis arbeiten kann was zu notieren und wie es vorzulegen ist, und wie man Einschlafgeräusche mischt, die Lärm überdecken tut dasselbe für Somnia. Was wir sonst für Aufzeichnung und Schlaf machen, steht auf der Gesundheits- und Schlafseite.