Die privateste Perioden-App: was dich wirklich schützt

Der privateste Periodentracker ist der, der deine Daten gar nicht erst hält. Eine App, die alles auf deinem Gerät behält, kein Konto braucht und keine Netzwerkanfrage mit deinem Zyklus stellt, kann ihn nicht verlieren, nicht verkaufen und nicht zur Herausgabe gezwungen werden – nicht weil die Firma vertrauenswürdig wäre, sondern weil es nirgends etwas zu geben gibt. Jede andere Art von Datenschutzversprechen ist ein Versprechen über künftiges Verhalten, und Versprechen hängen daran, dass die Firma dieselbe Firma bleibt.

Dieser Unterschied – zwischen einem Versprechen und einer Architektur – ist der ganze Artikel. Alles unten ist entweder ein Beleg dafür, dass der Unterschied zählt, oder eine Art herauszufinden, was dir angeboten wird.

Was eine Perioden-App über dich sehen kann

Ein Zyklustracker hält ein ungewöhnlich vollständiges Bild eines Lebens. Nicht nur Daten: Blutung, Schmerz, Stimmung, Sex, Verhütung, Medikamente, Schlaf, Gewicht, ob du ein Kind willst, ob du damit aufgehört hast. Genug, um auf eine Schwangerschaft, einen Verlust, eine Diagnose oder eine Beziehung zu schließen, oft bevor die Menschen um dich herum es wissen. Es ist einer der empfindlichsten Datensätze, die ein gewöhnlicher Mensch führt, und die meisten von uns geben ihn in einem Anmeldeformular her.

Ob das ein Problem ist, hängt ganz davon ab, wohin er als Nächstes geht. Es gibt drei Architekturen in diesem Markt, und sie sind längst nicht gleichwertig:

• Nur auf deinem Gerät. Die App schreibt in eine Datenbank auf dem Handy. Kein Konto, keine Synchronisierung, kein Server. Es gibt nichts zu hacken, nichts zu verkaufen, nichts zu beschlagnahmen und nichts zu erben, wenn die Firma gekauft wird.
• Auf deinem Gerät, gesichert in der Cloud. Eine Kopie liegt auf den Servern von jemandem, meistens im Ruhezustand verschlüsselt, meistens hinter einem Konto. Die Firma hält die Schlüssel, und das heißt, die Firma – oder wer sie dazu zwingt – kann mitlesen.
• Zuerst auf einem Server. Das Handy ist ein Fenster auf eine Datenbank, die der Firma gehört. Das ist das häufigste Modell, weil es Synchronisierung, Web-Zugang, Funktionen aus aggregierten Daten und Werbung ermöglicht.

Am dritten Modell ist nichts von Natur aus unehrlich. Es ist nur eine andere Wette: Du wettest auf die Richtlinien der Firma, ihre Sicherheit, ihre Käufer und die Rechtsordnungen, in denen sie arbeitet – so lange, wie deine Daten existieren.

Was Aufsichtsbehörden wirklich festgestellt haben

Hier lohnt sich Sorgfalt, denn dieses Thema zieht mehr Hitze als Belege an. Was folgt, beschränkt sich auf amtliche Verfahren mit öffentlichen Dokumenten, und auf den Wortlaut kommt es an.

Im Januar 2021 gab die US-amerikanische Federal Trade Commission einen Vergleich mit dem Entwickler einer weit verbreiteten Fruchtbarkeits-App bekannt. Die Beschwerde der FTC warf vor, die Firma habe versprochen, die Gesundheitsdaten der Nutzerinnen privat zu halten, und sie gleichzeitig an Analyse-Dienstleister weitergegeben. Die Firma verglich sich, ohne die Vorwürfe einzuräumen oder zu bestreiten, und sagte zu, künftig eine ausdrückliche Zustimmung einzuholen, bevor sie Gesundheitsinformationen teilt. Es gehört dazu, weil es in der Beschwerde der FTC selbst steht, dass gegen die Empfänger der Analysedaten nichts vorgebracht wurde und ihnen nicht gesagt worden war, dass die Daten Gesundheitsinformationen enthielten.

Im Mai 2023 klagte die FTC den Entwickler einer Eisprung-App an, empfindliche persönliche Informationen von Nutzerinnen an Dritte weitergegeben und sie nicht benachrichtigt zu haben, entgegen der Health Breach Notification Rule. Auch diese Sache endete mit einem vereinbarten Beschluss, wieder ohne Einräumen oder Bestreiten, und mit einer Geldbuße von 100.000 Dollar.

Zwei Verfahren sind kein Urteil über eine Branche, und das ehrliche Gegengewicht gehört in denselben Absatz: Als die britische Datenschutzbehörde, das Information Commissioner's Office, 2024 Perioden- und Fruchtbarkeits-Apps prüfte, berichtete sie, dass keine ernsthaften Verstöße und keine Belege für Schäden festgestellt wurden, und forderte die Entwickler zugleich auf, dem Datenschutz Vorrang zu geben. Gegen eine Perioden-App gab es im Vereinigten Königreich kein Verfahren.

Das weitere Bild bei Gesundheits-Apps allgemein ist unbequemer. Eine begutachtete Scoping-Review zu Gesundheits-Apps fand, dass die meisten der untersuchten – 20 von 23 – Nutzerdaten an Dritte weitergaben. Das ist die Kategorie, in der diese Gattung steht, und das ist der Grund, nach der Architektur zu fragen, statt bei einem bestimmten Namen das Schlimmste anzunehmen.

Das Gesetz schützt dich wahrscheinlich weniger, als du denkst

Die meisten nehmen an, Gesundheitsdaten in einer App fielen unter das Medizindatenschutzrecht. In den USA tun sie das in der Regel nicht. Der Leitfaden der FTC sagt es deutlich: Viele Firmen, die Gesundheitsinformationen erheben – ein Fitness-Tracker, eine Ernährungs-App, ein vernetztes Blutdruckmessgerät –, fallen nicht unter HIPAA. HIPAA regelt Leistungserbringer, Kassen und ihre Auftragnehmer. Eine App, die du selbst gefunden und geladen hast, ist meistens nichts davon.

Was gilt, ist das allgemeine Verbraucherschutzrecht: der FTC Act und die Health Breach Notification Rule, die Apps mit Gesundheitsdaten verpflichtet, Nutzerinnen zu sagen, wenn Daten ohne Erlaubnis weitergegeben wurden. Das ist real, und beide Verfahren oben stützten sich darauf. Es ist auch eine Regel darüber, es dir hinterher zu sagen – eine andere Art von Schutz, als wenn die Daten das Handy nie verlassen.

Ein Versprechen oder eine Architektur

Liest man genug Datenschutzerklärungen, fällt auf, dass sie geschrieben sind, um wahr zu sein, und nicht, um klar zu sein. „Wir verkaufen deine Daten nicht" kann neben einer Weitergabe für Werbung stehen, denn Weitergeben ist kein Verkaufen. „Deine Daten sind verschlüsselt" heißt meistens: verschlüsselt auf dem Weg und im Ruhezustand auf einem Server, den die Firma entschlüsseln kann. „Wir geben möglicherweise an vertrauenswürdige Partner weiter" ist der Satz, der die Arbeit macht, und er nennt sie nie.

Nichts davon ist zwangsläufig gelogen. Es ist ein Versprechen darüber, wie eine Firma sich zu verhalten gedenkt, und ein Versprechen hat drei Arten zu scheitern, die mit der Absicht nichts zu tun haben: Die Firma wird gekauft, und die Richtlinie der neuen Eigentümer gilt; die Firma wird gehackt; oder die Firma wird von einem Gericht gezwungen. Kein Versprechen übersteht eines davon. Eine Architektur, bei der die Daten das Gerät nie verlassen haben, übersteht alle drei, weil es keine Kopie gibt, an die die neuen Eigentümer, die Angreifer oder das Gericht herankommen.

Die Frage, die sich lohnt, lautet nicht „würden sie es weitergeben?", sondern „könnten sie es, wenn sie wollten oder gezwungen würden?"

Sieben Fragen, um jeden Periodentracker zu beurteilen

Diese Liste läuft in etwa fünf Minuten durch, größtenteils aus dem Store-Eintrag der App und ihrer Datenschutzerklärung, bevor du ein einziges Datum eintippst.

1. Kannst du sie ohne Konto benutzen? Ein Konto gibt es, damit Daten woanders liegen können als auf deinem Handy. Wenn die App direkt im Tracker öffnet, ohne E-Mail und ohne Anmeldewand, hat sie dir etwas Konkretes gesagt, bevor du irgendetwas eingegeben hast.
2. Funktioniert sie im Flugmodus? Schalte die Verbindung ab und benutz sie einen Tag lang. Wenn alles weiter geht – Eintragen, Vorhersagen, Verlauf –, passiert die Rechnerei auf dem Gerät. Wenn es hängt, nicht.
3. Werden Gesundheitsdaten in der Erklärung eigens genannt? Gute Erklärungen unterscheiden deine Zyklusdaten von Absturzprotokollen und Nutzungsdaten. Vage werfen alles in „Informationen, die wir erheben", und das Interessante versteckt sich in der Lücke.
4. Werden Dritte namentlich oder nur als Kategorie genannt? „Analyse-Partner" kann alles heißen. Eine Erklärung, die die Firmen nennt, kannst du tatsächlich nachprüfen.
5. Was passiert, wenn die Firma verkauft wird? Fast jede Erklärung hat diese Klausel, und fast niemand liest sie. Meistens steht dort, dass deine Daten mit dem Geschäft übergehen – was still alles darüber aufhebt.
6. Kannst du alles exportieren, in einem lesbaren Format? Das ist der Ausgang. Eine App, die von ihrem eigenen Wert überzeugt ist, lässt dich mit deinem Verlauf gehen; eine App, die deine Daten als Pfand hält, hat dir gesagt, wofür sie diese Daten hält.
7. Löscht das Löschen der App die Daten? Bei einer App, die nur auf dem Gerät arbeitet, ja, weil es nirgendwo sonst etwas gibt. Bei einer kontenbasierten App entfernt das Löschen die Kopie auf deinem Handy und lässt die Kopie auf dem Server stehen. Such nach einer Löschfunktion in der App, die die Serverkopie ausdrücklich benennt.

Gegen die Uhr gelaufen wird aus dieser Liste eine Übung von zehn Minuten auf deinem eigenen Handy, und die Frage, was ein Tracker überhaupt hält, beantwortet was Perioden-Apps wirklich erheben. Wenn du die Karte davon willst, wohin es danach gehen kann, ist das wer deine Periodendaten sehen kann.

Zwei weitere Dinge lohnen sich zu prüfen, die keine Fragen an die Erklärung sind. Erstens, ob die App eine Sperre hat – eine PIN oder Face ID –, denn der wahrscheinlichste Weg, wie ein Periodenprotokoll von jemand anderem gelesen wird, ist, dass jemand dein entsperrtes Handy in die Hand nimmt. Zweitens, was die Meldungen auf dem Sperrbildschirm sagen, denn eine hilfreiche Erinnerung ist auch eine Ankündigung.

Was „keine Werbung, kein Abo, kein Konto" wirklich wert ist

Diese drei Wendungen werden in Suchen zusammengeworfen, und es lohnt sich, sie zu trennen.

Keine Werbung zählt am meisten, denn Werbung ist das Geschäftsmodell, das überhaupt einen Grund schafft, Daten weiterzugeben. Eine App, die sich über Werbung finanziert, hat einen Anreiz, der von dir wegzeigt; eine App, die sich über einen einmaligen Kauf oder ein freiwilliges Upgrade finanziert, nicht.

Kein Abo betrifft die Kosten, nicht den Datenschutz, und beides steht manchmal im Widerspruch. Eine kostenlose App ohne Werbung und ohne Abo muss irgendwie bezahlt werden, und es ist fair zu fragen, wie.

Kein Konto ist das, was die Architektur ändert statt der Anreize, und deshalb ist es die erste Frage auf der Liste oben.

Wo Athena steht

Athena ist die App, für die es diese Seite gibt. It is on the App Store and Google Play. Nichts auf dieser Seite ist zu verkaufen, und es gibt nichts, wofür man sich anmelden müsste. Was folgt, beschreibt, wie sie gebaut ist, und die App selbst ist das, woran du es prüfst.

Sie ist nach der ersten Architektur auf dieser Seite gebaut. Perioden, Beschwerden, Notizen und Temperaturen werden in eine private Datenbank auf dem Handy geschrieben. Vorhersagen werden auf dem Gerät berechnet. Es gibt kein Konto, also gibt es nichts, wo man sich einloggen könnte, und nichts auf einem Server, das gehackt, verkauft oder herausgegeben werden könnte. Alles lässt sich exportieren, und das Löschen der App löscht die Daten, weil es keine zweite Kopie gibt. Wie du das alles prüfst, steht in Frage zwei: Schalte die Verbindung ab und sieh, ob etwas aufhört zu funktionieren.

In der Zwischenzeit machen die Tools auf dieser Seite die Rechnung ohne die Aufzeichnung. Der Zykluslängen-Rechner liest aus ein paar Anfangsdaten deinen eigenen Durchschnitt und seine Streuung, und der Periodenrechner macht daraus einen Zeitraum statt eines Datums. Wenn du Software überhaupt nicht trauen willst, erzeugt der Periodenkalender zum Ausdrucken ein Blatt Papier, das sich nicht synchronisieren, hacken oder von jemandem anfordern lässt.

Drei Seiten wenden diese Liste auf die Apps an, die Leute wirklich in ein Suchfeld tippen. Clue-Alternativen und Flo-Alternativen arbeiten aus dem, was jede Firma über sich selbst veröffentlicht, und einen ersten Tracker wählen tut dasselbe für eine Leserin, die dreizehn ist und noch nie einen hatte.