- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Transparenz? Nachvollziehbarkeit? Fehlanzeige!


Datenschutzaufsichtsbehörden prüften Wearables: Datenschutz-Mängel beiFitness-Armbändern und Smart Watches
Ergebnis war eindeutig: Kein Gerät erfüllt vollständig die datenschutzrechtlichen Anforderungen

- Anzeigen -





Das Unabhängige Landeszentrum für Datenschutz (ULD) Schleswig-Holstein beteiligte sich an einer deutschlandweiten Prüfaktion und prüfte gemeinsam mit sechs weiteren Aufsichtsbehörden Wearables. Auf dem Prüfstand waren sowohl Fitness-Armbänder als auch Smart Watches mit Gesundheitsfunktionen. Außerdem wurden die Apps der Hersteller einer technischen Analyse unterzogen. Das Ergebnis war eindeutig: Kein Gerät erfüllt vollständig die datenschutzrechtlichen Anforderungen.

Wearables – dazu gehören Fitness-Armbänder oder Activity-Tracker – sollen den Nutzer zu einer gesunden Lebensweise motivieren und die Bewegung im Alltag fördern. Schon lange können die Geräte Schritte zählen, zurückgelegte Kilometer messen und verbrauchte Kalorien erfassen. Doch die aktuellsten Wearables bieten noch viel mehr. Die geprüften Geräte überwachen die Herzfrequenz, bestimmen die Körpertemperatur über Sensoren auf der Haut und geben Rückmeldung über den Schlafrhythmus. Diese Angaben interessieren immer mehr Versicherer und Unternehmen der Gesundheitsbranche, sodass es sich lohnt, die Geräte genauer unter die Lupe zu nehmen.

Das ULD Schleswig-Holstein beteiligte sich gemeinsam mit den Datenschutzaufsichtsbehörden aus Bayern, Brandenburg, Hessen, Niedersachsen und Nordrhein-Westfalen sowie der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit an einer gemeinsamen Überprüfung von insgesamt 16 Wearables von Herstellern, die ca. 70 Prozent des Marktanteils in Deutschland abdecken.

Geprüft wurden zunächst rechtliche Fragestellungen, wie z. B. die ausreichende Aufklärung über den Datenumgang oder die Frage, ob tatsächlich Gesundheitsdaten verarbeitet werden. Auch die Technik stand im Fokus. In drei Prüfzentren in Deutschland wurden die Geräte sowie deren Hersteller-Apps für die Betriebssysteme iOS und Android im Labor getestet. Es wurden die Datenflüsse analysiert, um festzustellen, wer auf welche Daten Zugriff bekommen kann. Außerdem war ein Blick auf die Apps notwendig. Ohne die dazugehörigen Apps sind die meisten Wearables in ihrer Funktion erheblich eingeschränkt oder sogar unbrauchbar. Diese getesteten Apps wurden durch die Nutzer zusammen mehr als 30 Mio. Mal heruntergeladen.

Die Ergebnisse der Prüfung zeigen zahlreiche Mängel auf:

• Transparenz? Nachvollziehbarkeit? Fehlanzeige!
Wer Wearables nutzt, sieht sich oftmals zahlreichen Firmen gegenüber, die die eigenen Daten erhalten können. Die Hersteller und Betreiber geben sich keine Mühe, Licht in das Dickicht aus Hardware-Hersteller, App-Betreiber, App-Shop-Anbieter und zahlreichen Dienstleistern zu bringen. Für den Nutzer bedeutet das, dass er oftmals nur pauschale Datenschutzerklärungen lesen kann und kein Verständnis bekommt, wer für was zuständig ist und was mit den eigenen Daten bei wem passiert. Tests, bei den Anbietern Auskunft über die gespeicherten Daten zu erhalten, wurden entweder mit pauschalen Verweisen auf Datenschutzerklärungen beantwortet oder wegen vermeintlicher Nicht-Zuständigkeit abgewiesen.

Hinzu kommt, dass die Anbieter teilweise im Ausland sitzen und nur eine internationale E-Mail-Adresse als Kontaktmöglichkeit bereitstellen.

• Besonders schützenswerte Daten
Die Aufgabe der Fitness-Tracker und Apps ist es, Gesundheitsdaten und damit besonders schützenswerte Daten der Nutzer zu verarbeiten. Zwar sind die Einzelinformationen wie z. B. Körpergewicht, zurückgelegte Schritte, Dauer des Schlafes oder Herzfrequenz für sich betrachtet oftmals wenig aussagekräftig. In der Regel werden diese Daten jedoch mit eindeutig zugewiesenen Personenkennungen verbunden. Und bei einer dauerhaften Nutzung fallen derart viele Informationen an, dass sich daraus ein erstaunlich präzises Bild des Tagesablaufs und Gesundheitszustands des Nutzers ergibt.

Insbesondere bei Verknüpfung der Einzelinformationen mit Standortdaten können Annahmen über sehr persönliche Informationen abgeleitet werden: >> Wann ist der Nutzer morgens aufgestanden?
>> Hat er unruhig geschlafen, da er wahrscheinlich am Vorabend Alkohol konsumiert hat?
>> Wo beginnt und endet der Weg zur Arbeit?
>> Warum ist er aufgeregt und warum schlägt das Herz höher, obwohl er seit 30 Minuten auf dem Bürostuhl sitzt?

Solche Fragen lassen sich beantworten, wenn die Daten der Wearables ausgewertet werden. Kritisch wird dieses insbesondere dadurch, dass viele der Geräte die Daten extern durch Dritte verarbeiten lassen und durch die unklaren Regelungen der Kontrolle durch den Nutzer entgleiten.

• Datenschutzbestimmungen
Die meisten Datenschutzerklärungen erfüllten nicht die gesetzlichen Anforderungen. Sie sind in der Regel viele Seiten lang, schwer verständlich, enthalten zu essentiellen Datenschutzfragen nur pauschale Hinweise und sind teilweise nicht einmal in deutscher Sprache vorhanden. So erfährt der Nutzer oftmals nicht im ausreichenden Maße, wer konkret Zugriff auf die Daten hat und wie lange sie gespeichert werden. Dabei wäre es ein Leichtes, dies in wenigen kurzen Sätzen zu beschreiben. Häufig wurde auch nur auf die generelle Datenschutzerklärung des Unternehmens verwiesen, die kaum konkreten Bezug zu dem Wearable hat. Erstaunlich ist zudem, dass fast kein Gerätehersteller über die besonders schützenswerten Gesundheits- und Standortdaten aufklärt – ganz im Gegenteil: Einige Hersteller waren sogar der Auffassung, dass es sich dabei um anonyme Daten handle.

• Daten mit Freunden teilen
Viele Geräte und Apps bieten die Möglichkeit, die aufgezeichneten Fitness-Daten mit Freunden z. B. über soziale Netzwerke zu teilen. Die Funktion soll den Nutzer zu häufigem Training und Bestleistungen anspornen und das gemeinsame Training fördern. Dies darf jedoch nur dann geschehen, wenn der Nutzer dieses ausdrücklich wünscht. Da hierbei auch sehr sensible Informationen preisgegeben werden können, sollten die Hersteller vor der Veröffentlichung dem Nutzer Warnhinweise anzeigen.

• Datenweitergabe an Dritte
Beunruhigend sind auch die Aussagen vieler Hersteller zur Datenweitergabe. Einige Hersteller stellen klar, dass sie die Fitness-Daten der Nutzer für eigene Forschungszwecke und Marketing verwenden und an verbundene Unternehmen weitergeben. Der Nutzer erfährt weder, um wen es sich dabei handelt, noch kann er widersprechen. Ein klarer Verstoß gegen deutsches Datenschutzrecht.

• Reichweitenmessung
Die technische Analyse brachte mehr Licht ins Dunkel. Fast alle Hersteller setzen Tracking-Tools US-amerikanischer Unternehmen ein. Mithilfe dieser Tools können Hersteller erfassen, wie die Geräte oder Apps genutzt werden, um die Benutzungsfreundlichkeit zu verbessern. Die Daten können aber auch für Werbezwecke und zur Profilbildung verwendet werden. Zwar wird oft angegeben, dass hierzu nur anonyme Daten verwendet werden würden. Den Nachweis bleiben die Hersteller jedoch schuldig. Die Erfahrung zeigt, dass in der Regel in solchen Fällen weiterhin bei vielen Daten ein Personenbezug hergestellt werden kann.

• Datenlöschung
Die Geräte sind schnell verloren oder technisch überholt, sodass viele Nutzer ihre gebrauchten Geräte weiterverkaufen wollen. Das birgt ein enormes Risiko. Viele Nutzer glauben, dass mit dem Löschen der App alle Daten vernichtet sind. Das ist falsch! Viele Geräte bieten dem Nutzer keine Möglichkeit, seine Daten selbstständig vollständig zu löschen. Weder im Gerät selbst noch im Nutzerkonto gibt es eine Löschfunktion. Einige Hersteller weisen sogar darauf hin, dass eine Löschung nicht möglich ist. Wie lange die Hersteller die Daten speichern, bleibt verborgen. Fakt ist, dass es sich hierbei um einen gravierenden Verstoß handelt.

Marit Hansen, die Leiterin des ULD Schleswig-Holstein, kommentiert die Prüfergebnisse: "Wer denkt, bei Fitness-Trackern und Smart Watches seine eigenen Daten stets unter Kontrolle zu haben, liegt leider meistens falsch. Selbst wenn man alle Beipackzettel zu den Geräten liest, kann man oft nicht verstehen, welche Daten an den Hersteller übermittelt werden und vor allem, warum dies notwendig sein soll. Solche Datenweiterleitungen sind besonders kritisch, wenn es sich um Gesundheitsdaten handelt oder wenn sich aus Ortsinformationen Bewegungsprofile erstellen lassen. Wir brauchen eine bessere Aufklärung der Nutzerinnen und Nutzer durch die Hersteller und Anbieter."

Einige Mängel ließen sich problemlos dadurch beheben, dass die Fitnessdaten der Wearables lediglich auf das Smartphone weitergeleitet und lokal verarbeitet werden. Eine permanente Übermittlung aller Daten vom Smartphone an Server diverser Firmen ist aus Sicht der Datenschützer in der Regel mit Risiken verbunden, derer sich die Nutzer bewusst sein sollten.

Marit Hansen betont: "In unserer vernetzten Welt verarbeiten immer mehr Geräte personenbezogene Daten nicht mehr lokal, sondern leiten sie zu Servern weiter, wo sie zu allen möglichen Zwecken ausgewertet werden können. Häufig ist es aber gar nicht nötig, dass die persönlichen Daten den eigenen Bereich verlassen. Am besten wäre es, wenn Datenschutz von Anfang an eingebaut wäre, damit kein Nutzer Angst vor einem Missbrauch seiner persönlichen Daten zu haben braucht."

Im April 2016 hatte sich die Konferenz der unabhängigen Datenschutzbehörden mit einer Entschließung an die Hersteller von Wearables und Gesundheits-Apps gewandt und Datensparsamkeit, Transparenz, korrekte Einwilligungserklärungen und Verantwortungsübernahme eingefordert.

Die aktuellen Prüfungsergebnisse unterstreichen noch einmal die Dringlichkeit dieser Forderungen:
https://www.datenschutz-mv.de/datenschutz/themen/beschlue/91_DSK/Entschl-Wearables.pdf
Im Rahmen der Zuständigkeit werden die Datenschutzaufsichtsbehörden nun an die Hersteller herantreten und diese dazu auffordern, die Mängel zu beseitigen. (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein; ULD: ra)

eingetragen: 02.11.17
Home & Newsletterlauf: 23.01.17

ULD: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • EuGH verhandelt über Facebook-Seitenbetreiber

    Rückblick: Am 25. Februar 2016 hat das Bundesverwaltungsgericht in dem Verwaltungsrechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein GmbH (WAK) und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) sechs Vorlagefragen an den Gerichtshof der Europäischen Union (EuGH) gerichtet. Die mündliche Verhandlung fand am 27. Juni vor dem Gerichtshof in Luxemburg statt. Das Verfahren beruht auf einer Anordnung des ULD gegen die WAK aus dem Jahre 2011, wonach die Facebook-Seite (Fanpage) der WAK deaktiviert werden sollte. Hintergrund ist die Rechtsauffassung des ULD, dass der Betrieb der Facebook-Seite gegen deutsches und europäisches Datenschutzrecht verstößt. An der mündlichen Verhandlung nahmen neben den Parteien (WAK und ULD) auch Facebook Ireland Limited als Beigeladene und Vertreter der Regierungen von Belgien, Deutschland, Finnland und Irland sowie der Europäischen Kommission teil.

  • Datenspeicherung und Datenschutz im Auto

    Auf Einladung der Bundesdatenschutzbeauftragten Andrea Voßhoff haben am 1. Juni rund 130 Gäste über Datenschutzaspekte der automatisierten und vernetzten Mobilität diskutiert. In einem zum Symposium veröffentlichten Positionspapier formuliert die BfDI 13 Empfehlungen für den Datenschutz in digitalisierten Verkehrssystemen. Als Gastgeberin des Symposiums Datenschutz im automatisierten und vernetzten Fahrzeug begrüßte die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, am 1. Juni 2017 Vertreter aus Politik, Wirtschaft und Zivilgesellschaft in der niedersächsischen Landesvertretung in Berlin. In ihrer Eröffnungsrede erläuterte Andrea Voßhoff grundlegende Datenschutzanforderungen für die Mobilität der Zukunft.

  • EU-weit gültige DSGVO

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, hat am 30. Mai den 26. Tätigkeitsbericht ihres Hauses an Bundestagspräsident Prof. Dr. Norbert Lammert übergeben. Mehr als 20.000 Bürgerinnen und Bürger wandten sich in den Jahren 2015 und 2016 mit Beschwerden und Fragen an die BfDI. Neben dieser Beratungstätigkeit standen vor allem die Reform des deutschen und europäischen Datenschutzrechts und die seit 2016 geltende Unabhängigkeit als Oberste Bundesbehörde im Fokus. Hierzu erklärte Andrea Voßhoff: Der Berichtszeitraum des 26. Tätigkeitsberichts der BfDI (2014/2015) wurde maßgeblich von der Reform des Europäischen Datenschutzrechts geprägt.

  • Ähnlich wie eine Blackbox in Flugzeugen

    Die Bundesdatenschutzbeauftragte Andrea Voßhoff begrüßt Nachbesserungen am Entwurf zur Änderung des Straßenverkehrsgesetzes, der vom Bundestag verabschiedet wurde. Vorschläge der BfDI wurden dabei teilweise übernommen. Der Gesetzesentwurf zur Änderung des Straßenverkehrsgesetzes soll die rechtlichen Grundlagen für das automatisierte Fahren auf Deutschlands Straßen schaffen und Haftungsfragen nach Unfällen klären. Hierzu sollen Daten aufgezeichnet werden, aus denen hervorgeht, ob ein Auto durch eine sogenannte automatisierte Fahrfunktion oder durch eine Fahrerin oder einen Fahrer gesteuert wurde. Gespeichert wird auch, wann er oder sie zur Übernahme der Steuerung aufgefordert wurde und ob es technische Störungen gab. Dazu sollen, ähnlich wie in einer Blackbox in Flugzeugen, in Zukunft elektronische Speicher zur Aufzeichnung dieser Daten verpflichtend eingeführt werden.

  • Datenschutz im Internet

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, begrüßt das am 16.05.2017 verkündete Urteil des Bundesgerichtshofes (BGH), wonach dynamische IP-Adressen für Anbieter von Online-Diensten ein personenbezogenes Datum sind. Andrea Voßhoff sagte: "Wie zu erwarten, ist der BGH in seinem heutigen Urteil dem Europäischen Gerichtshof gefolgt und hat dynamische IP-Adressen als personenbezogenes Datum eingestuft. Vor diesem Hintergrund begrüße ich das Urteil ausdrücklich. Es bestätigt meine langjährige Position und stärkt den europäischen Datenschutz."