Mobile Frauengesundheits-Apps wie Clue, Flo oder Clover haben sich in den letzten Jahren von einfachen Zykluskalendern zu datengetriebenen Health-Plattformen entwickelt. Im Kern funktionieren sie, indem Nutzerinnen täglich Informationen eintragen – etwa Beginn und Dauer der Periode, Symptome, Stimmung oder körperliche Veränderungen. Diese Daten werden von den Apps verarbeitet, um Muster im Zyklus zu erkennen und daraus Prognosen für Menstruation, Eisprung und fruchtbare Tage abzuleiten.

Technisch basiert das meist auf einer Mischung aus statistischen Modellen und regelbasierten Algorithmen. Einige Anwendungen nutzen zusätzlich Machine Learning, um Vorhersagen zu verbessern, je mehr individuelle und anonymisierte Nutzerdaten verfügbar sind. Je nach App werden auch externe Datenquellen eingebunden, etwa von Smartwatches oder Fitness-Trackern, um Parameter wie Temperatur, Herzfrequenz oder Schlafverhalten mit einzubeziehen.

Die erfassten Daten gehen dabei oft weit über reine Zyklusinformationen hinaus: Neben körperlichen Messwerten werden auch weitere sehr persönliche Angaben wie sexuelle Aktivität, Verhütungsmethoden oder emotionale Zustände gespeichert. Diese Kombination macht die Apps einerseits besonders präzise in ihren Prognosen, andererseits aber auch zu sensiblen Datensammlungen, da sie tief in intime Lebensbereiche hineinreichen. Genau daraus entsteht das Spannungsfeld zwischen Nutzen und Datenschutz: Je genauer die Personalisierung, desto mehr Daten werden benötigt – und desto größer wird die Verantwortung im Umgang damit. Was Nutzerinnen auf jeden Fall sicher nicht sehen möchten, ist eine Weitergabe ihrer Daten an Dritte.

Die Analyse

Zu der Funktionsweise unserer Analyse haben wir bereits ausführlich in vorherigen Posts, wie etwa zur Untersuchung von Dating-Apps, berichtet. Kurz zusammengefasst geht es darum zu untersuchen, wie die Privatsphäre eines Nutzers bei der Verwendung einer bestimmten App möglicherweise negativ beeinflusst wird. Bestimmte Applikationskategorien sind naturgemäß von größerem Einfluss, da sie für die Erfüllung der angestrebten Funktionsweise zwangsläufig hochsensible Daten sammeln müssen. Umso wichtiger ist es hier aber, dass zusätzlich nicht noch etwa weitere unnötige Daten gesammelt werden und insbesondere keine sensiblen Daten an Dritte weitergegeben werden. 

Auch die Erfassung werblich genutzter Daten für die untersuchten Apps sind unnötig und nicht verhältnismäßig. In jedem Fall ist es wichtig, dass die Nutzerin ausführlich und vollumfänglich über die Datensammlung, -verarbeitung und -weitergabe informiert wird, um für sich selbst entscheiden zu können, ob die zur Verfügung gestellte Funktion, die Preisgabe ihrer Daten rechtfertigt.

Berechtigungen

Die Betrachtung der eingeforderten Berechtigungen jeder App und ein Abgleich mit der angebotenen Funktionalität, gibt im ersten Schritt bereits Hinweise auf eine mögliche, unnötige Datensammlung. Die hier betrachteten Apps benötigen theoretisch nahezu keine Berechtigungen: Der Zugriff auf den lokalen Speicher ist sinnvoll und ein Internetzugriff ist ebenfalls nötig. Sollte zur App etwa ein zusätzliches Gadget, wie etwa ein Health Tracking Armband oder ähnliches gehören, wird dazu auch Zugriff auf Bluetooth benötigt. Weitere Berechtigungen, die auch den Zugriff auf kritische Gerätefunktionen und Nutzerdaten zulassen, sollten aber nicht nötig sein.

Bei den von uns untersuchten Applikationen mussten wir allerdings feststellen, dass diese natürlich mehr als das einfordern. Wenig überraschend fällt auf, dass fast alle Applikationen, bis auf zwei (Premom und Read Your Body) auf die Ad-ID zugreifen. Diese ID ist eine pseudonyme Werbe-Kennung auf Android-Geräten, mit der Apps Nutzer für personalisierte Werbung wiedererkennen. Sie wird genutzt, um relevantere Anzeigen auszuspielen und deren Erfolg zu messen, ohne direkt personenbezogene Daten, wie Name oder E-Mail, zu verwenden.

Die ID ermöglicht somit Tracking über Apps hinweg und damit detaillierte Nutzungsprofile, auch ohne Klarnamen. Zwar ist sie rücksetzbar und personalisierte Werbung deaktivierbar, aber bei aktivierter Nutzung besteht weiterhin Profilbildung; deshalb verlagert Android mit AdServices/Privacy Sandbox vieles auf das genutzte Endgerät, um Datenabfluss und Cross-App-Tracking zu reduzieren. Hier kann man feststellen, dass die untersuchten Apps fast alle ebenfalls die neuen Berechtigungen für die Privatsphären-freundlicheren Adservices aufweisen. Nur die beiden schon eben genannten, Premom und Read Your Body, verzichten vollständig auf die Verwendung der Adservices und auch der "alten" Ad-ID. Zwei Apps, Lady Cycle und Ada verwenden nur die veraltete Ad-ID. Zum Betrieb unbedingt notwendig wären aber keine von beiden. Überraschend für uns, ist hier aber, dass es in der Untersuchung tatsächlich 2 Kandidaten (Premom und Read Your Body) gab, die auf die Analyse ihrer Nutzerinnen zu Werbezwecken verzichten.

Außerdem auffällig ist, dass eine relativ hohe Zahl der Applikationen - immerhin 4 von 17 - die Berechtigung auf die Standortermittlung zumindest vorsehen: Die Apps Maya, Read Your Body, Premom und Ovy behalten sich jeweils das Recht vor, sowohl den groben Standort (ACCESS_COARSE_LOCATION) als auch den exakten GPS-Standort (ACCESS_FINE_LOCATION) der Nutzerinnen zu ermitteln.

Nur bei der App Maya weist zumindest auch die Datenschutzerklärung auf die Sammlung von Standortdaten hin - wozu wird allerdings nicht erläutert. Wir konnten zwar während der Untersuchung keine aktive Standortdatensammlung während des Betriebs beobachten, d.h. aber nicht, dass dies nicht trotzdem in bestimmten Fällen geschieht. Unserer Meinung nach ist die Standortermittlung für diese Art von Applikation unnötig.

Third-Party Tracker

Generell enthalten heute nahezu alle Android-Applikationen eine gewisse Anzahl von Drittanbieter-Softwarekomponenten, die zu einer Vielzahl von Aufgaben in die entsprechenden Applikationen eingebaut werden. Klassischer Anwendungsfall sind dabei die fast allgegenwärtigen Google-Komponenten CrashLytics und FirebaseAnalytics, die Sammlung von Daten zur Absturzanalyse und der Meldung von Anwendungsfehlern im Betrieb liefern. Es gibt aber auch jede Menge dieser Komponenten, die sich auf die Analyse des Nutzerverhaltens spezialisieren (wie etwa AppsFlyer, AppLovin oder Facebook). Diese im allgemeinen Tracker genannten Softwarekomponenten sammeln also während des Betriebs alle möglichen Daten über etwa die Hardware und Software des Nutzers, wie und welche Apps er verwendet, mit welchen Werbeanzeigen er interagiert usw.. Diese Daten sind für werbetreibende Plattformen, wie etwa Facebook, in Gold kaum aufzuwiegen. Für Entwickler ist dies, in Verbindung mit der direkten Schaltung von Werbeanzeigen, eine lukrative Gelegenheit, mit einer vermeintlich kostenlos angebotenen App Geld zu verdienen. Dabei erhöht die Integration möglichst vieler verschiedener Tracker auch die Verdienstmöglichkeiten.

Im Falle der hier betrachteten Apps ist es so, dass durchweg alle ein monatliches Abo benötigen, um den vollen Funktionsumfang nutzen zu können. Die App von Read Your Body etwa, lässt sich ohne Abo überhaupt nicht benutzen. Auf ein Nutzer-Retargeting zu Werbezwecken könnte also verzichtet werden. Wie man in der Übersicht allerdings sieht, verzichten wirklich nur eine kleine Zahl von Entwicklern darauf. Positiv fallen die Apps Read Your Body, Clue, Lady Cycle und Ada auf, die erstens nur sehr wenige Drittanbieterkomponenten enthalten und diese auch lediglich dem Zweck der Absturzanalyse und -meldung dienen. Ein explizites Werbetracking kann hier nicht festgestellt werden. Alle anderen Applikationen enthalten mindestens einen Tracker bei dem sich die Aktivität auch ohne Zweifel nachweisen lässt. 

Ein Problem, welches wir aber leider immer wieder feststellen und auch hier bei allen hier untersuchten Apps auftritt, ist die Kommunikation und erste Datensammlung von Drittanbieterkomponenten (aber streng genommen auch von der App selbst) bevor die Datenschutzerklärung vom Nutzer gelesen und bestätigt wurde - Formal kann dies eine Verletzung der DSGVO sein.

Nutzerinformation

Einen, wie immer, wichtigen Teil unserer Analyse stellt die Auswertung der den Nutzerinnen zur Verfügung gestellten Informationen zur Datensammlung, -verarbeitung und -weitergabe, in Form der Datenschutzerklärung, dar. Nur so kann sichergestellt werden kann, dass die Nutzerinnen die Möglichkeit haben a) die Konsequenzen der Nutzung einer bestimmten App abschätzen und b) eine Entscheidung darüber zu treffen, ob sie die Implikationen für ihre Privatsphäre eingehen oder eben nicht. Eine vollständige und klare Information muss also in jedem Fall stattfinden.

Hier erscheinen alle untersuchten Apps als insofern vorbildlich, dass sie eine ausführliche Datenschutzerklärung zur Verfügung stellen - ohne welche heutzutage aber auch die Listung im Playstore nicht mehr möglich wäre. Auch das Detailniveau der wichtigsten Punkte zur Datensammlung ist im Allgemeinen ausreichend. Ein Problem, welches wir auch hier wieder feststellen, ist der Fakt, dass die Nennung alle integrierten und auch nachgewiesen aktiven Tracker in vielen Fällen nicht vollständig stattfindet. Gerade wenn es sich dabei um Tracker handelt, die explizit für eine Datensammlung zu Werbezwecken dienen, ist das eine wichtige Information, die der Nutzerin nicht vorenthalten werden darf. Wir unterstellen hier keine böse Absicht, allerdings unzureichende Sorgfalt.

Vorbildlich in diesem Punkt sind die Apps My Period Calendar (beide), Premom, Ovy, Clue und Lady Cycle. Diese enthalten zwar, wie im Fall von Ovy, durchaus eine beträchtliche Menge von Drittanbieterkomponenten, erwähnen aber auch jede einzelne in ihrer Datenschutzerklärung.

Negativ fallen hier vor allem die Apps Maya und Musa auf, die offensichtlich vergessen haben, auch nur einen der enthaltenen Tracker zu erwähnen.

Fazit

Insgesamt können wir für diese App-Kategorie feststellen, dass auch Vertreter dabei sind, die ihre Sache grundsätzlich gut machen. Namentlich die Apps von Lady Cycle, mit quasi keinem Tracking, und die Apps von Clue und Ada sind uns dabei positiv aufgefallen. Auch diese sind zwar rein formal nicht frei von kleineren Schwächen, die aber insgesamt nicht besonders kritisch ins Gewicht fallen.