Gesundheits-App Ada gibt offenbar IMMER Daten an Dritte
Die App nutzt Tracking- und Analyse-Dienstleister wie Amplitude, Adjust und Facebook und weist in ihrer Datenschutzerklärung darauf hin. Allerdings, so fand der Experte für IT-Sicherheit Mike Kuketz für c´t heraus, wurden an Facebook und Amplitude Daten versendet, bevor die App dem Nutzer ihre AGBs und Datenschutzerklärung präsentierte.
Selbst wenn der User die Weitergabe verweigerte, flossen Daten
Selbst wenn der Nutzer die Zustimmung verweigerte und die App beendete, waren nach Kuketz' Erkenntnissen bereits - technische und personenbezogene - Daten an Facebook und Amplitude weitergegeben, schreibt c´t in seinem investigativen Bericht.
Juristisch sei eine solche Übertragung sehr zweifelhaft. Die Datenschutz-Grundverordnung (DSGVO) schreibe nämlich vor, dass bei der Erhebung personenbezogener Daten die betroffene Person „zum Zeitpunkt der Erhebung dieser Daten“ informiert werden müsse. Die App übertrug diese jedoch schon vorher.
Die App Ada
„Ada schien hier zumindest sehr frei zu interpretieren, was ein Zeitpunkt ist,“ bilanziert c´t. Erst in einer Folgeversion (2.49.1) der getesteten Android-App waren keine Datenüberragungen an Amplitude mehr zu erkennen.
Eingegebene Krankheitssymtome wandern direkt nach Facebook
c´t hatte bereits zuvor über bedenkliche Formulierungen in der Datenschutzerklärung von Ada Health berichtet (17/2019). Kuketz hatte sich daraufhin das Verhalten und Ada angeschaut und gravierende Probleme festgestellt. Zu den übertragenen Daten gehörten nicht nur technische Informationen zum Smartphone und Betriebssystem, sondern nach dem Einloggen auch die vom Nutzer eingegebenen Symptome.
Ada Health äußerte sich auf die Nachfrage von c´t, warum die Daten an Fremdfirmen übertragen werden und wie technisch ein Zugriff von Dritten auf die Daten verhindert werden kann, nicht. Die Firma habe die Brisanz der Datenübertragung abgestritten, berichtete das Magazin. Die Datenübertragung sei laut Ada Health ein übliches Vorgehen, so das Unternehmen. Die Behauptung, dass Amplitude Personen identifiziere, sei falsch.
Die Zeitschrift c´t befragte auch die Techniker Krankenkasse (TK). Dort wurde betont, dass zu keiner Zeit Daten zwischen Ada und der TK ausgetauscht würden, hieß es in dem Bericht. Das Deutsche Ärzteblatt berichtet weiter, dass die TK den Vorwürfen sorgfältig und so schnell wie möglich nachgehen werde. Sollte sich diese bestätigen, werde die Kasse die Kooperation mit Ada sofort beenden.
