Datenschutz bei Zyklus-Apps: Worauf du achten kannst

Bevor du ein Periodendatum einträgst, öffne die Datenschutzinformationen der App. Prüfe, was sie erfasst, wohin die Informationen gelangen und wie du die Nutzung des Dienstes beenden kannst. Achte auf klare Erklärungen zu Zwecken, Speicherdauer und Weitergabe.

Stelle diese Fragen bei jeder Zyklus-App, bevor du persönliche Gesundheitsinformationen eingibst. Wenn eine Antwort unklar bleibt, notiere das und frag beim Anbieter nach.

Lies die Datenschutzerklärung zusammen mit den Angaben im App-Store

Suche die Datenschutzerklärung, die im Store-Eintrag oder in den Einstellungen der App verlinkt ist. Prüfe, für welche Organisation und welches Produkt sie gilt, welches Datum sie trägt und an wen du Datenschutzfragen richten kannst. Achte auf Angaben zur Datenerfassung, zu Empfängern, zur Speicherdauer und zu deinen Wahlmöglichkeiten.

Schreib jede Antwort mit einfachen Worten auf. Wenn du nur „Deine Privatsphäre ist uns wichtig“ übernehmen kannst, suche weiter. Das ICO fordert kurze, leicht zugängliche Datenschutzinformationen. Bitte den Anbieter, unklare Formulierungen zu erklären, bevor du dich darauf verlässt.

Zum Beispiel: „Wird beim Ausschalten des Backups eine vorhandene Cloud-Kopie gelöscht oder werden nur künftige Backups gestoppt?“

Datenschutz- oder Datensicherheitskennzeichnungen im App-Store können dir vor dem Download helfen. Das ICO beschreibt ihren Nutzen für die Transparenz und die Verwirrung, die uneinheitliche Formulierungen verursachen können. Vergleiche die Kennzeichnung mit der vollständigen Datenschutzerklärung und achte auf übereinstimmende Angaben zu Gesundheitsinformationen, Kennungen und Weitergabe. Wenn sie voneinander abweichen, frag, welche Erklärung für die Version und die Funktionen gilt, die du nutzen möchtest.

Entscheide, was du festhalten möchtest

Beginne mit dem, was du selbst eingeben möchtest: vielleicht Periodendaten, Blutungsstärke oder persönliche Notizen. Prüfe dann, was von deinem Gerät oder aus verbundenen Diensten stammt. Frag nach Gerätekennungen, Standort und Zugriff auf Kontakte oder Fotos. Welche Angaben sind erforderlich und welche kannst du weglassen?

Die FTC empfiehlt, Datenerfassung und Berechtigungen auf das zu beschränken, was eine App benötigt. Entscheide, wie viel du festhalten möchtest. Der Artikel Mit dem Zyklustracking beginnen kann dir bei der Auswahl helfen.

Kläre, wo Kopien auf dem Handy, in der Cloud und in Backups liegen

Frag, ob Einträge in einer Datenbank auf deinem Handy bleiben, an die Server des Anbieters gesendet werden oder an beiden Orten liegen. Was ändert sich, wenn du ein Backup aktivierst oder einen anderen Dienst verbindest? Enthalten Gerätesicherungen auch die Daten der App?

Die FTC rät App-Entwicklern, genau zu wissen, wohin Daten gelangen, und die Verantwortlichkeiten bei der Cloud-Speicherung zu klären. Frag, auf welche Kopien sich die Erklärungen des Anbieters beziehen. Bitte um getrennte Angaben zum Schutz auf dem Handy, bei der Übertragung und in jeder Cloud-Kopie. Eine Bildschirmsperre beantwortet nicht alle drei Fragen.

Prüfe, wie die Anmeldung funktioniert

Brauchst du schon für einfache Einträge eine E-Mail-Adresse, Telefonnummer oder ein verknüpftes Konto? Wenn eine Nutzung ohne Konto möglich ist, frag, welche Kennung der Dienst stattdessen verwendet. Frag auch, wie du nach einem Handywechsel wieder Zugriff bekommst.

Gesundheitsinformationen können zusammen mit Mobilgerätekennungen eine Person auch ohne Namen identifizierbar machen. Frag, was „anonym“ bei der konkreten Umsetzung des Anbieters bedeutet.

Prüfe Empfänger und eingebundene Software

Achte auf namentlich genannte Empfänger oder Kategorien wie Hosting-Anbieter, Analysedienste und Werbetreibende. Frag, welche Daten sie jeweils erhalten und warum. Prüfe, ob eine optionale Weitergabe zunächst ausgeschaltet ist und was passiert, wenn du sie ablehnst.

Prüfe Zwecke und Empfänger der Weitergabe auch dann, wenn der Anbieter erklärt, keine Informationen zu verkaufen. Das ICO fordert Erklärungen dazu, mit wem Daten geteilt werden. Frag getrennt nach Werbung und der Bereitstellung des Dienstes.

Ein SDK, kurz für Software Development Kit, ist Software, die bei der Entwicklung in eine App eingebaut werden kann. Eingebundene SDKs können Analysen oder Funktionen wie die Anmeldung unterstützen. Dabei können Informationen auf dem Gerät gespeichert oder von dort abgerufen werden.

Frag, welche SDKs verwendet werden, was sie senden und an wen. Erfassen Analysen nur ein technisches Ereignis oder möglicherweise auch den Inhalt eines Eintrags? Kannst du optionale Analysen ablehnen und deine Aufzeichnungen trotzdem behalten? Prüfe jedes Werkzeug einzeln: Allein die Tatsache, dass ein SDK vorhanden ist, sagt dir nicht, was es erfasst.

Prüfe Export und Löschung getrennt

• Export: Frag, welche Einträge enthalten sind, welches Dateiformat du erhältst und ob du einen Zeitraum auswählen kannst. Entscheide vor dem Erstellen der Datei, was du für einen Arzttermin teilen möchtest. Der Artikel Notizen für einen Arzttermin vorbereiten kann dir helfen, die relevanten Angaben auszuwählen.
• Löschung: Frag, wie du einzelne Einträge oder alle Aufzeichnungen entfernen kannst, ob ein Konto geschlossen werden muss und was mit Backups und bereits weitergegebenen Kopien passiert. Bitte um Angaben zur Dauer und zu möglichen Ausnahmen.

Laut ICO sollte die Speicherdauer erklärt werden. Die FTC empfiehlt, die Schließung von Konten einzuplanen. Geh nicht davon aus, dass eine Deinstallation dem Löschverfahren des Anbieters entspricht. Prüfe, welche Möglichkeiten zum Exportieren und Löschen die App bietet.

Schütze die Daten auf deinem Handy vor fremdem Zugriff

Könnte jemand, der dein Handy benutzt, die App öffnen, Benachrichtigungen lesen oder exportierte Dateien finden? Frag nach einer separaten App-Sperre, Vorschauen von Benachrichtigungen und der Wiederherstellung des Zugriffs nach einem Geräteverlust. Wenn es ein Konto gibt, kläre, wie du dem verlorenen Handy den Zugriff entziehen kannst.

Der Leitfaden britischer Aufsichtsbehörden zur Sicherheit mobiler Apps empfiehlt, das Handy mit einem Passwort zu schützen und Apps aktuell zu halten. Prüfe die Einstellungen auf deinem Gerät, besonders wenn du es mit anderen teilst, auch wenn du mit dem Umgang des Anbieters mit deinen Daten zufrieden bist. Teste Datenschutzfunktionen nicht mit Informationen, deren Offenlegung dir unangenehm wäre.

Entscheide, was deine Partnerin oder dein Partner sehen kann

Wenn die App eine Funktion zum Teilen anbietet, frag genau, was sie umfasst: eine ausgewählte Zusammenfassung, frühere Einträge oder künftige Aktualisierungen. Gibt es eine Vorschau? Kannst du den Zugriff beenden, ohne deine eigenen Aufzeichnungen zu löschen? Frag, was mit bereits empfangenen Informationen passiert, wenn du das Teilen beendest.

Besprich vor dem Senden der Einladung, was du teilen möchtest, auch ob du Zugriff auf deine gesamten Aufzeichnungen geben willst. Die FTC empfiehlt, optionale Funktionen zum Teilen mit anderen standardmäßig auf privat zu setzen.

Lies Aussagen zum gesetzlichen Schutz von Gesundheitsdaten genau

Geh nicht davon aus, dass eine Zyklus-App für den privaten Gebrauch unter denselben HIPAA-Schutz fällt wie deine ärztlichen Unterlagen. Die interaktive Entscheidungshilfe der FTC zu mobilen Gesundheits-Apps erklärt, dass HIPAA wahrscheinlich nicht für Gesundheitsinformationen in Verbraucher-Apps gilt, die weder von einer diesem Gesetz unterliegenden Gesundheitseinrichtung noch von einem ihrer Geschäftspartner angeboten werden.

Die FTC-Informationen zur Health Breach Notification Rule beschreiben die Benachrichtigungspflichten der von dieser Regel erfassten Organisationen bei Verletzungen des Schutzes ungesicherter, einer Person zuordenbarer Gesundheitsinformationen. Eine solche Verletzung kann neben Hacking auch eine unbefugte Offenlegung umfassen. Das sind allgemeine Hintergrundinformationen. Sie legen nicht fest, welche Gesetze für eine App oder deine Situation gelten.

Frag, wie der Anbieter dich über einen Vorfall informieren würde.

Prüfe Veya nach denselben Maßstäben

Veya ist noch nicht veröffentlicht. Geplant ist, dass Einträge in einer lokalen Datenbank auf deinem Handy bleiben und du kein Konto brauchst. Wenn du deine Aufzeichnungen per Cloud-Backup auf ein neues Handy übertragen möchtest, soll das auf Wunsch unter Android über ein verknüpftes Google-Konto oder unter iOS über „Mit Apple anmelden“ möglich sein. Veya erhält dabei nur die E-Mail-Adresse, um das Konto zu erkennen; deine Zyklusdaten werden nicht mit Google oder Apple geteilt. Die Zusammenfassung für deine Partnerin oder deinen Partner und die anonyme Community sind als freiwillige Funktionen mit einer anonymen ID geplant.

Es gibt keine Werbung, alle Funktionen sind kostenlos und Veya verkauft keine Daten. Du wirst jederzeit alles herunterladen können: als JSON-Datei, die sich auf einem anderen Handy ohne Konto in Veya wiederherstellen lässt, und als CSV-Datei für Tabellenkalkulationen. Außerdem wirst du alles löschen können.

Die Datenschutzerklärung von Veya ist jetzt veröffentlicht. Prüfe ihre Antworten anhand derselben Liste, besonders zu Dienstleistern, Speicherdauer und dem Umgang mit Cloud-Kopien nach einer Löschung. Konto und Daten löschen erklärt genau, was jeder Löschschritt entfernt.

Wie einige weit verbreitete Apps diese Fragen beantworten, mit einer Quelle für jede Antwort, liest du im Vergleich von Veya mit anderen Apps.