Gesundheitsdaten in Apps: Wer Ihre Fitnessdaten wirklich bekommt

Gesundheits- und Fitness-Apps geben meist keine Messwerte an Werbepartner weiter, sondern etwas Unscheinbareres: das Signal, dass ein Gerät mit Ihrer Werbe-ID eine App aus dem Bereich Gesundheit geöffnet hat. Daraus entstehen Interessensegmente. Nach dem EuGH-Urteil C-184/20 können auch solche abgeleiteten Angaben Gesundheitsdaten sein und brauchen eine ausdrückliche Einwilligung.

Diese Unterscheidung ist der Grund, warum die üblichen Beruhigungen der Anbieter so gut klingen und so wenig bedeuten. „Wir verkaufen Ihre Gesundheitsdaten nicht" ist in vielen Fällen sogar wahr. Der Satz beschreibt nur nicht den Vorgang, der tatsächlich stattfindet. Verkauft wird nicht Ihr Ruhepuls, sondern Ihre Zugehörigkeit zu einer Gruppe, und diese Gruppe heißt im Zweifel nicht „sportlich", sondern „Blutzucker-Tracking", „Kinderwunsch" oder „Schlafstörungen".

Dieser Artikel zeichnet die drei Stationen nach, die Ihre Daten zwischen Sensor und Werbebanner durchlaufen, ordnet die Rechtslage ein und liefert zwei Checklisten, die Sie direkt anwenden können: einen Etiketten-Check im App Store, der drei Minuten dauert, und eine Aufräum-Reihenfolge für bereits installierte Apps, bei der die Reihenfolge tatsächlich über das Ergebnis entscheidet.

Was eine Gesundheits-App tatsächlich erfasst

Eine moderne Fitness-Uhr misst Herzfrequenz, Herzfrequenzvariabilität, Blutsauerstoffsättigung, Hauttemperatur, Schrittzahl, Schlafphasen und Bewegungsmuster. Die dazugehörige App ergänzt, was Sie selbst eintragen: Gewicht, Medikamente, Menstruationszyklus, Stimmung, Alkoholkonsum, Zigaretten. Schon diese Liste ist intimer als alles, was in Ihrer Patientenakte steht, denn sie wird nicht bei Beschwerden erhoben, sondern rund um die Uhr.

Entscheidend ist aber nicht der einzelne Wert, sondern der Verlauf. Ein einmalig erhöhter Ruhepuls sagt nichts. Ein über sechs Wochen steigender Ruhepuls bei gleichzeitig sinkender Schlafdauer und wegfallenden Trainingseinheiten erzählt eine Geschichte, und zwar eine medizinisch aussagekräftige. Genau deshalb sind Gesundheitsdaten aus Apps für Auswerter so viel wertvoller als ein Laborbefund: Sie sind lückenlos, zeitlich hochaufgelöst und automatisch aktuell.

Dazu kommt eine Ebene, die viele Nutzer nicht auf dem Schirm haben: die Metadaten. Wann Sie die App öffnen, wie lange Sie darin bleiben, ob Sie nachts um drei Uhr Ihre Schlafauswertung prüfen, an welchem ungefähren Ort Sie trainieren. Diese Angaben entstehen auch dann, wenn Sie kein einziges Feld ausfüllen.

Die drei Stationen: vom Sensor zum Werbesegment

Wer verstehen will, wo etwas schiefgeht, muss die Strecke kennen. Ihre Daten passieren in aller Regel drei klar unterscheidbare Stationen, und an jeder gilt eine andere Rechtslage und ein anderer Hebel.

• Station 1, das Gerät und die Gesundheitszentrale: Messwerte landen zunächst lokal und werden, wenn Sie es erlaubt haben, in Apple Health oder in Health Connect unter Android geschrieben. Dort liegen sie systemweit und stehen jeder weiteren App zur Verfügung, der Sie Lesezugriff geben. Das ist bequem und der Grund, warum eine harmlose Trink-Erinnerungs-App plötzlich Ihren Zyklus kennt.
• Station 2, der Anbieter-Server: Fast jede App mit Konto synchronisiert die Werte in die Cloud des Herstellers, oft außerhalb der EU. Hier gilt die Datenschutzerklärung des Anbieters, und hier entscheidet sich, ob eine Löschung überhaupt technisch vorgesehen ist.
• Station 3, die eingebauten Fremdbausteine: In der App stecken fertige Programmbausteine anderer Firmen, sogenannte SDKs, für Absturzanalyse, Nutzungsstatistik und Werbung. Diese Bausteine melden an ihre eigenen Server, unabhängig vom Hersteller der App. Das ist die Station, an der Ihr Nutzungssignal die Firma verlässt, bei der Sie sich angemeldet haben.

Für den Alltag heißt das: Eine App kann datensparsam mit Ihren Messwerten umgehen und trotzdem ein Leck in Station 3 haben. Umgekehrt nützt Ihnen eine vorbildliche Werbefreiheit wenig, wenn der Hersteller in Station 2 keine Löschfunktion anbietet. Löschschutz für Ihre Werbeprofile einrichten greift dort, wo Station 3 endet und der kommerzielle Datenhandel beginnt.

Der Trick mit dem Nutzungssignal

Hier liegt der Kern der Sache, und er wird in der öffentlichen Debatte meist übersprungen. Ein Werbenetzwerk braucht Ihren Blutdruck nicht. Es braucht eine Zuordnung. Wenn ein Baustein meldet, dass das Gerät mit der Werbe-ID a1b2c3 die App „Zyklus-Kalender XY" geöffnet hat, ist damit alles Nötige gesagt. Die Ableitung, dass diese Person menstruiert, im gebärfähigen Alter ist und sich vermutlich für ein bestimmtes Produktspektrum interessiert, entsteht auf dem Server des Empfängers, nicht auf Ihrem Handy.

Die Werbe-ID ist dabei der Klebstoff. Sie ist dieselbe Nummer, die auch Ihre Wetter-App, Ihr Handyspiel und Ihre Shopping-App melden. Erst dadurch wird aus einem isolierten Signal ein Profil, das Gesundheit, Kaufkraft, Wohnumfeld und Tagesablauf zusammenführt. Wie Sie diese Kennung unter Android und iOS entfernen statt sie nur zurückzusetzen, steht ausführlich in unserer Schritt-für-Schritt-Anleitung zum Löschen der Werbe-ID. Der Zusammenbau vieler kleiner Signale zu einer Vorhersage ist wiederum ein eigenes Thema, das wir im Beitrag über das Puzzleteil-Prinzip der Datenhändler aufgeschlüsselt haben.

Rechtslage: Warum „das sind nur Fitnessdaten" nicht trägt

Anbieter argumentieren gern mit einer Trennlinie zwischen medizinischen Daten und bloßen Lifestyle- oder Wellnessdaten. Der Europäische Gerichtshof hat diese Linie deutlich verschoben. In der Rechtssache C-184/20 (Urteil vom 1. August 2022) hat der Gerichtshof entschieden, dass es für die Einstufung als besondere Kategorie personenbezogener Daten genügt, wenn sich die geschützte Information durch gedankliche Kombination oder Ableitung aus den Daten gewinnen lässt. Die Angabe muss die sensible Eigenschaft also nicht ausdrücklich enthalten.

Übertragen auf Apps bedeutet das: Ein Datensatz, der lediglich festhält, dass Sie eine Diabetes-Tagebuch-App nutzen, kann die gleiche Schutzbedürftigkeit auslösen wie ein hinterlegter Blutzuckerwert. Für die Verarbeitung braucht es dann eine Grundlage nach Art. 9 Abs. 2 DSGVO, im Werbekontext praktisch immer die ausdrückliche Einwilligung. Ausdrücklich heißt: eine bewusste, informierte und getrennte Zustimmung, nicht das Wegtippen eines Zustimmungsdialogs beim ersten Start.

Das ist keine akademische Feinheit, sondern Ihr Ansatzpunkt. Fehlt diese ausdrückliche Einwilligung, fehlt die Rechtsgrundlage, und damit greift das Recht auf Löschung nach Art. 17 DSGVO. Was Art. 17 leisten kann und wo er an gesetzliche Aufbewahrungspflichten stößt, haben wir in der Übersicht zu den Betroffenenrechten nach Art. 17 und Art. 21 DSGVO ausführlich dargestellt.

Der Etiketten-Check: drei Minuten vor dem Installieren

Beide großen App-Stores zwingen Anbieter zu einer Selbstauskunft. Diese Angaben sind unvollständig und werden nicht flächendeckend geprüft, aber sie sind verbindlich erklärt, und eine falsche Erklärung ist ein Problem für den Anbieter. Für eine Vorauswahl reichen sie vollkommen. Gehen Sie die folgenden fünf Punkte durch, bevor Sie auf „Laden" tippen.

• iOS, der harte Ausschluss: Scrollen Sie auf der Produktseite zu „App-Datenschutz". Prüfen Sie ausschließlich den Abschnitt „Zum Tracking verwendete Daten". Steht dort „Gesundheit und Fitness", brauchen Sie nicht weiterzulesen. Diese Angabe bedeutet, dass die Kategorie über Firmen hinweg mit Ihnen verknüpft wird.
• Android, die richtige Zeile: Im Bereich „Datensicherheit" gibt es „Erfasste Daten" und „Geteilte Daten". Erfasste Daten sind fast immer viele und sagen wenig. Relevant ist ausschließlich „Geteilte Daten", denn das ist die Weitergabe nach außen. Tippen Sie den Eintrag an und lesen Sie den Zweck: Steht dort „Werbung oder Marketing", ist die Frage beantwortet.
• Die Löschzeile: Google Play verlangt die Angabe, ob Nutzer die Löschung ihrer Daten beantragen können. Fehlt diese Zusage, wissen Sie vor der Installation, dass Sie später um jeden Datensatz einzeln kämpfen werden.
• Das Geschäftsmodell: Eine Gesundheits-App, die nichts kostet, keine Werbung zeigt und kein Abo verkauft, finanziert sich anders. Fragen Sie sich bei jeder kostenlosen App ohne erkennbare Einnahmequelle, welches Produkt hier eigentlich verkauft wird.
• Der Anbietername: Tippen Sie auf den Entwicklernamen und sehen Sie sich das übrige Portfolio an. Wer neben der Zyklus-App noch fünfzehn Taschenlampen- und Rätsel-Apps betreibt, betreibt ein Werbegeschäft, kein Gesundheitsgeschäft.

Diese fünf Handgriffe schließen den größten Teil der problematischen Apps aus, bevor sie überhaupt auf Ihr Gerät kommen. Der Aufwand liegt bei drei Minuten und muss pro App genau einmal betrieben werden.

Aufräumen bei installierten Apps: die Reihenfolge entscheidet

Bei Apps, die bereits monatelang mitlaufen, ist der verbreitete Reflex „App löschen" nicht falsch, aber er kommt an der falschen Stelle. Wer zuerst deinstalliert, verliert den bequemen Weg zum eigenen Konto und muss anschließend über Support-Formulare nachfassen. Arbeiten Sie diese sechs Schritte in genau dieser Reihenfolge ab.

• Schritt 1, Daten sichern: Wenn Sie Ihre Trainings- oder Zyklushistorie behalten wollen, exportieren Sie sie jetzt. Nach der Kontolöschung ist sie weg, und das ist ja auch der Sinn der Übung.
• Schritt 2, Konto löschen statt abmelden: Suchen Sie in den App-Einstellungen nach „Konto löschen". Abmelden reicht nicht, es beendet nur die Sitzung. Findet sich keine Funktion, schreiben Sie den Anbieter mit einem Löschantrag nach Art. 17 DSGVO an; er hat dafür einen Monat Zeit.
• Schritt 3, die Gesundheitszentrale leeren: Unter iOS in der Health-App über das Profilbild zu „Apps und Dienste", dort die betreffende App auswählen und deren Schreibzugriff sowie die von ihr eingetragenen Daten entfernen. Unter Android öffnen Sie Health Connect, gehen auf „Datenverwaltung" und löschen dort die von dieser App stammenden Einträge. Das wird fast immer vergessen, und diese Werte bleiben sonst systemweit lesbar.
• Schritt 4, Berechtigungen entziehen: Erst jetzt nehmen Sie der App die Lese- und Schreibrechte auf Gesundheitsdaten, Standort und Bewegungssensoren. In Health Connect finden Sie unter „App-Berechtigungen" zusätzlich ein Zugriffsprotokoll, das anzeigt, welche App in den letzten dreißig Tagen welche Daten gelesen hat. Dieser Blick lohnt sich, er fördert regelmäßig Apps zutage, an die niemand mehr gedacht hat.
• Schritt 5, den Klebstoff entfernen: Löschen Sie die Werbe-ID (Android: Einstellungen, Sicherheit und Datenschutz, weitere Datenschutzeinstellungen, Anzeigen) und schalten Sie unter iOS in „Datenschutz & Sicherheit", „Tracking" die Abfrage für Apps aus. Das trennt künftige Signale von Ihrem bisherigen Profil.
• Schritt 6, jetzt erst deinstallieren: Die App vom Gerät nehmen ist der letzte, nicht der erste Handgriff. Vorher ist sie Ihr bequemster Zugang zu allem, was gelöscht werden soll.

Bleibt eine Erkenntnis, die viele beim vierten Schritt machen: Auf dem Gerät liegen Konten von Apps, die seit Jahren niemand mehr geöffnet hat, die aber weiterhin Zugriff besitzen. Genau solche Altlasten spürt unser Tiefenscan auf, und zwar auch dort, wo die App längst gelöscht, das Konto beim Anbieter aber noch aktiv ist. Vergessene Konten und Schattenprofile aufspüren lassen ist der naheliegende nächste Schritt, wenn Ihnen beim Durchgehen der Berechtigungen Namen begegnen, die Sie nicht mehr einordnen können.

DiGA und BSI TR-03161: die einzige geprüfte Hürde

In Deutschland gibt es genau einen Bereich, in dem eine Gesundheitsapp eine staatlich kontrollierte Prüfung bestehen muss: die Digitalen Gesundheitsanwendungen, umgangssprachlich „Apps auf Rezept". Sie sind im Verzeichnis des Bundesinstituts für Arzneimittel und Medizinprodukte gelistet und können von der gesetzlichen Krankenversicherung erstattet werden. Für die Aufnahme neuer Anwendungen ist seit dem 1. Januar 2025 ein Nachweis nach der technischen Richtlinie BSI TR-03161 erforderlich; die maßgeblichen Datensicherheitskriterien des BfArM sind öffentlich einsehbar.

Für Ihre Entscheidung heißt das nicht, dass jede DiGA perfekt ist. Es heißt aber, dass dort jemand hingeschaut hat, während bei der frei verkäuflichen Schlaf-App aus dem Store niemand hingeschaut hat. Wenn es für Ihr Anliegen eine gelistete Anwendung gibt, ist sie datenschutzrechtlich die belastbarere Wahl. Für alles darunter bleibt der Etiketten-Check aus dem vorigen Abschnitt Ihr einziges Werkzeug.

Wearables: was oft übersehen wird

Die Uhr selbst ist der unauffälligste Teil der Kette und wird entsprechend selten abgesichert. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinen Verbraucherhinweisen unter anderem, die Berechtigungen des Wearables auf die Daten des gekoppelten Smartphones zu prüfen und gegebenenfalls zu deaktivieren, das zugehörige Benutzerkonto nach Möglichkeit mit Zwei-Faktor-Authentisierung zu schützen und Updates umgehend zu installieren.

Besonders hervorzuheben ist ein Punkt, der in keiner Bedienungsanleitung steht: Die Erstkopplung von Wearable und Smartphone sollte laut BSI in einer vertrauenswürdigen Umgebung stattfinden, also zu Hause und nicht im Fitnessstudio oder im Zug. Beim Koppeln werden Schlüssel ausgetauscht, und wer in Reichweite mithört, hört genau diesen Moment mit. Wer sein Gerät im Laden einrichten lässt, sollte die Kopplung zu Hause einmal zurücksetzen und neu vornehmen.

Zweiter Punkt aus der Praxis: Prüfen Sie, welche Benachrichtigungen die Uhr vom Telefon spiegeln darf. Standardmäßig gibt das Handy oft sämtliche Nachrichteninhalte an das Wearable weiter, inklusive Einmalcodes aus SMS. Ein Gerät, das am Handgelenk baumelt und dessen Display auch aus zwei Metern lesbar ist, ist dafür der ungeeignetste Ort.

Wo das Aufräumen in der App aufhört zu wirken

Alle bisherigen Schritte betreffen die Zukunft. Sie unterbinden neue Signale. Was bereits abgeflossen ist, liegt außerhalb Ihres Geräts, und dort hilft kein Schalter mehr, sondern nur noch ein Rechtsanspruch. Die folgende Übersicht trennt sauber, was womit erreichbar ist, weil an dieser Stelle die meisten Missverständnisse entstehen.

Die beiden oberen Zeilen sind der Bereich, in dem sich tatsächlich etwas bewegen lässt, und sie sind zugleich der Bereich, in dem ein einzelner Nutzer regelmäßig scheitert: Die Empfänger Ihres Nutzungssignals stehen in keinem Impressum, und wer sie anschreiben will, muss sie erst einmal benennen können. Löschanträge an über 100 Werbedatenbanken auf den Weg bringen nimmt Ihnen genau diese Recherche ab.

Schutz vor Gesundheitsprofilen: welchen Vorteil bietet Datenputzer

Unser Ansatz setzt an Station 3 und dahinter an, also dort, wo Ihr Handy keinen Schalter mehr hat. Wir stellen Löschanträge nach Art. 17 DSGVO an die Werbe-, Adress- und Adtech-Datenbanken aus unserer Broker-Liste, halten die gesetzliche Monatsfrist nach und fassen nach, wenn eine Antwort ausbleibt. Für reines Werbeprofiling ohne fortbestehende Rechtsgrundlage ist das der wirksame Hebel, und bei abgeleiteten Gesundheitsmerkmalen ist die Anforderung an diese Rechtsgrundlage nach der oben zitierten EuGH-Entscheidung besonders hoch.

Ebenso wichtig ist, was wir nicht behaupten. Wir löschen keine Behandlungsdaten bei Ärzten, Kliniken oder Krankenkassen, und wir entfernen keine Einträge bei Auskunfteien. Wo Sie gezielt einen einzelnen App-Anbieter ins Visier nehmen wollen, geht das über die individuellen Löschanfragen, mit denen Sie ein konkretes Unternehmen selbst benennen.

Der zweite Baustein ist die Altlastenbeseitigung. Gesundheits-Apps sind ein typischer Fall von Konten, die man einmal in einer motivierten Woche anlegt und danach nie wieder öffnet. Der Tiefenscan findet solche Konten und macht sichtbar, welche Anmeldungen unter Ihrer Adresse noch existieren. Löschanträge und digitale Inventur zusammen einrichten deckt beide Seiten ab: die Bestände, die schon gehandelt werden, und die Konten, die weiter neue Daten nachliefern.

Häufige Fragen zu Gesundheitsdaten in Apps