Welche Daten sammeln Perioden-Apps wirklich?

Eine Perioden-App sammelt drei verschiedene Arten von Daten, und nur die erste ist die, die du bewusst hergegeben hast. Da ist, was du eintippst: Daten, Blutung, Schmerz, Stimmung, Sex, Medikamente, Notizen. Da ist, was die App daraus errechnet, darunter Dinge, die du nie aufgeschrieben hast, etwa ein wahrscheinlicher Eisprungtag oder eine Schwangerschaft. Und da ist, was ankommt, ohne dass du den Bildschirm überhaupt berührst: dein Gerätemodell, Absturzberichte, welche Ansichten du geöffnet hast und bei manchen Apps eine Werbekennung und ein Vermerk darüber, welche Anzeige du vor der Installation angetippt hast. Welche der drei eine bestimmte App hat, kann dir von außen niemand sagen. Es steht im Store-Label und in der Datenschutzrichtlinie dieser App, und diese beiden Dokumente sind der einzige ehrliche Ort zum Nachsehen.

Es folgt die vollständige Einteilung, was das Store-Label belegt und was nicht, und was Behörden tatsächlich gefunden haben, als sie nachgesehen haben. Sammeln ist eine andere Frage als Weitergeben, und in diesem Artikel geht es um die erste.

Ebene eins: was du eintippst

Die Startdaten des Zyklus sind der Boden. Fast nichts anderes an einer App funktioniert ohne sie, und für sich genommen sind sie schon die Aufzeichnung von etwas Privatem.

Alles über dem Boden ist freiwillig, und die meisten Apps fragen viel davon ab: Stärke der Blutung, Krämpfe, Kopfschmerzen, Schmierblutung, Stimmung, Schlaf, Energie, Appetit, Haut, Sex und ob er geschützt war, Verhütung und wann sie genommen wurde, Medikamente, Gewicht, Basaltemperatur, Zervixschleim, Ergebnisse von Ovulationstests und eine freie Notiz. Manche fragen, ob du schwanger werden willst, und manche bitten dich, eine Schwangerschaft oder ihr Ende einzutragen.

Bei der freien Notiz lohnt sich ein Innehalten. Feste Felder sind mit Absicht langweilig — eine Zahl, ein Haken, eine Stufe. Eine Notiz ist, was dir um elf Uhr abends durch den Kopf ging, und sie ist das Feld, das am wenigsten wahrscheinlich von irgendetwas anonymisiert wird, weil es nicht geht. Schreib deine Notizen so, als wären sie das Empfindlichste in der App, denn das sind sie.

Ein Blatt Papier dagegen sammelt genau das, was du darauf schreibst, und sonst nichts. Deshalb gibt es auf dieser Seite den Periodenkalender zum Ausdrucken und ein längeres Symptomtagebuch zum Ausdrucken für alle, deren Ärztin ein paar Monate Aufzeichnungen sehen möchte. Papier kann nicht synchronisieren, nicht abstürzen und nicht nach Hause telefonieren.

Ebene zwei: was die App errechnet

Das ist die Ebene, die niemand zählt, und oft die vielsagendere.

• Vorhergesagt Daten, die du nicht eingetragen hast

  Deine nächste Periode, ein fruchtbares Fenster, ein geschätzter Eisprungtag. Das ist Rechnerei mit deinem eigenen Verlauf, es sind Schätzungen mit einem Zeitraum darum herum, und sie sind keine Verhütungsmethode. Aber es sind auch neue Daten über dich, die es vor der Installation nicht gab.

• Abgeleitet Zustände, die du nie eingetragen hast

  Eine Periode, die nicht pünktlich kommt, gefolgt von Stille, ist ein Muster. Eine eingetragene Schwangerschaft und danach Abbruch der Einträge auch. Eine App braucht kein Feld namens „Fehlgeburt“, um die Form einer solchen zu enthalten. Der Rückschluss steckt in den Daten, ob die App ihn dir nun zeigt oder in ihrer Richtlinie benennt oder nicht.

• Errechnet Ein Profil deines Verhaltens

  Durchschnittliche Zykluslänge, wie stark sie schwankt, welche Beschwerden zusammen auftreten, zu welcher Tageszeit du die App öffnest, an wie vielen Tagen am Stück du sie benutzt hast. Ein Teil davon macht die App nützlich. Alles davon ist trotzdem eine Aufzeichnung.

Die Rechnerei hinter der ersten Zeile ist kein Geheimnis, und du kannst ihr zusehen: Der Zykluslängen-Rechner nimmt ein paar Startdaten und ermittelt deinen Durchschnitt und wie weit deine eigenen Zyklen darum herum schwanken, ohne Konto. Das ist ungefähr die Rechnung, die eine App durchführt. Der Unterschied zwischen dem Werkzeug und einer App ist nicht die Mathematik. Es ist, wo die Mathematik läuft und was sie hinterlässt.

Ebene drei: was ankommt, ohne dass du tippst

Der klarste Beleg dafür, dass es diese Ebene gibt, ist, dass beide App-Stores Entwicklerinnen zwingen, sie anzugeben. Apples Hilfeseite beschreibt den Datenschutzabschnitt im App Store in zwei Kategorien, die man langsam lesen sollte. „Mit dir verknüpfte Daten“ heißt Daten, die so erhoben werden, dass sie mit deiner Identität verknüpft sind, etwa mit deinem Konto oder Gerät. „Daten, die zum Tracking verwendet werden“ heißt Daten aus der App, die mit Daten aus Apps, Websites oder Offline-Beständen anderer Firmen verknüpft und für Werbung genutzt oder an einen Datenhändler weitergegeben werden. Google sagt, Entwicklerinnen beschrieben im Abschnitt „Datensicherheit“, wie ihre App Daten erhebt, weitergibt und behandelt, samt ihren Sicherheitsmaßnahmen und ihren Löschmöglichkeiten.

In der Praxis landet auf dieser Ebene das gewöhnliche Mobiliar der App-Entwicklung: Gerätemodell und Betriebssystemversion, Absturzberichte, welche Funktionen wie lange genutzt werden, eine Installationskennung und — wo die App Werbung trägt oder misst, woher ihre Installationen kamen — eine Werbekennung und Zuordnungsdaten, die deine Installation mit der angetippten Anzeige verbinden.

Nichts davon ist für sich genommen finster; ein Absturzbericht ist, wie Fehler behoben werden. Der Punkt, der sich der Art nach unterscheidet, ist die Werbekennung, denn sie ist dafür gemacht, in Apps anderer Firmen dieselbe Kennung zu sein. Ob eine bestimmte App eine trägt, können wir für dich nicht prüfen. Ihr eigenes Store-Label ist der Ort, an dem das angegeben wird.

Was ein Store-Datenschutzlabel belegt und was nicht

Beide Label sind nützlich und beide werden oft falsch gelesen, hier also die Grenze in den Worten der jeweiligen Firma.

Apple hält fest, dass die Angaben im Datenschutzabschnitt des App Store Selbstauskünfte der Entwicklerin sind. Googles Abschnitt „Datensicherheit“ ist ebenso die eigene Erklärung der Entwicklerin über ihre App. Google geht weiter und sagt, dass eine unabhängige Sicherheitsprüfung, wenn eine App sie anzeigt, die Richtigkeit und Vollständigkeit der Datensicherheitsangaben der Entwicklerin nicht bestätigt.

Ein Datenschutzlabel ist eine Aussage, die die Entwicklerin über sich selbst gemacht hat. Es ist keine Prüfung, und keiner der beiden Stores behauptet das.

Das macht Label nicht wertlos. Eine Erklärung ist eine Zusage, an der sich eine Firma messen lassen muss, und eine zu lesen dauert eine Minute. Es heißt aber, dass das Label an den Anfang deiner Prüfung gehört und nicht ans Ende. Wenn du das Vorgehen willst statt des Grundsatzes: Der Zehn-Minuten-Datenschutzcheck ist die Übung — was zu öffnen ist, in welcher Reihenfolge, und was jede Antwort wert ist.

Was Behörden tatsächlich gefunden haben

Dieses Thema zieht weit mehr Hitze als Belege an, deshalb beschränkt sich das Folgende auf amtliche Verfahren mit öffentlichen Dokumenten, und die Wortwahl ist die Wortwahl.

Im Januar 2021 gab die US-Handelsbehörde FTC einen Vergleich mit der Entwicklerin einer viel genutzten Zyklus- und Fruchtbarkeits-App bekannt. Die Beschwerde der FTC warf der Firma vor, versprochen zu haben, die Gesundheitsdaten der Nutzerinnen privat zu halten, und sie zugleich an Analyseanbieter weitergegeben zu haben. Die Firma einigte sich, ohne die Vorwürfe zuzugeben oder zu bestreiten, und sagte zu, künftig vor der Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung einzuholen.

Im Mai 2023 klagte die FTC die Entwicklerin einer Eisprung-App an, sensible persönliche Daten der Nutzerinnen an Dritte weitergegeben und sie nicht benachrichtigt zu haben, entgegen der Health Breach Notification Rule. Der Fall endete mit einem vereinbarten Beschluss, wieder ohne dass die Firma die Vorwürfe zugab oder bestritt, und mit einer Geldbuße von hunderttausend Dollar.

Zwei Verfahren sind kein Urteil über eine ganze Branche, und das Gegengewicht gehört in denselben Atemzug. Als das britische Information Commissioner's Office 2024 Perioden- und Fruchtbarkeits-Apps prüfte, berichtete es, es seien keine ernsten Verstöße und keine Belege für Schäden festgestellt worden, und rief Entwicklerinnen zugleich dazu auf, dem Datenschutz Vorrang zu geben.

Das größere Bild für Gesundheits-Apps allgemein ist unbequemer, und es ist der Grund, zu prüfen statt anzunehmen. Eine begutachtete Übersichtsarbeit zu Gesundheits-Apps fand, dass die meisten der untersuchten, zwanzig von dreiundzwanzig, Nutzerdaten an Dritte weitergaben.

Noch etwas, das viele überrascht: In den USA fallen Gesundheitsdaten in einer App, die du selbst geladen hast, meist nicht unter das Recht zum Schutz medizinischer Daten. Die FTC schreibt in ihren eigenen Hinweisen, dass viele Firmen, die Gesundheitsdaten sammeln — ein Fitness-Tracker, eine Diät-App, eine vernetzte Blutdruckmanschette —, nicht unter HIPAA fallen und stattdessen das FTC-Gesetz und die Health Breach Notification Rule gelten.

Haben und Senden sind verschiedene Fragen

Alles oben handelt davon, was eine App hat. Wohin es als Nächstes geht, ist eine eigene Karte mit eigenen Wegen: die Firma, ihre Anbieter für Analyse und Absturzberichte, Werbetreibende, wo es ein Werbemodell gibt, eine Käuferin, wenn das Geschäft verkauft wird, und die Person, die dein entsperrtes Handy in die Hand nimmt. Diese Karte wird in wer deine Zyklusdaten sehen kann gezeichnet, und sie lohnt sich neben dieser hier, denn eine App kann sehr viel sammeln und fast nichts senden oder wenig sammeln und alles senden.

Das strukturelle Argument, warum beide Fragen zu einer werden, wenn Daten das Handy nie verlassen, steht in der Unterschied zwischen einem Datenschutzversprechen und einer Bauweise. Kurz: Ein Versprechen hat drei Arten zu scheitern, die nichts mit Absicht zu tun haben, und eine App, die nichts hat, übersteht alle drei.

Vier Dinge, die du diese Woche tun kannst

1. Lies das Label deiner eigenen App. Es steht im Store-Eintrag unter „App-Datenschutz“ oder „Datensicherheit“. Merk dir, ob dort etwas unter Tracking oder Werbung auftaucht.
2. Schalt die Verbindung aus und nutze die App einen Tag lang. Wenn Eintragen, Verlauf und Vorhersagen im Flugmodus weiter funktionieren, passiert die Arbeit auf deinem Gerät.
3. Leere das Notizfeld von allem, was du nicht vorgelesen hören möchtest. Feste Felder dürfen langweilig sein. Freier Text ist es nie.
4. Finde den Export, bevor du ihn brauchst. Eine App, die du mit deinem Verlauf verlassen kannst, ist eine, bei der du es dir anders überlegen darfst.

Wie Athena das hält

Athena ist die App hinter dieser Seite. It is on the App Store and Google Play. Nichts auf dieser Seite ist zu verkaufen, und es gibt nichts, wofür man sich anmelden müsste. Es folgt eine Beschreibung ihrer Bauweise; die App selbst ist das, woran man sie misst.

Ebene eins wird in eine private Datenbank auf dem Handy geschrieben. Ebene zwei wird auf dem Gerät aus Ebene eins berechnet. Es gibt kein Konto, also hat keine der beiden Ebenen eine Serverkopie. Ebene drei ist nicht nichts, und etwas anderes zu behaupten würde am eigenen Test dieses Artikels scheitern: Die App schickt anonyme Diagnosedaten an Firebase — welche Funktionen genutzt werden, Absturzberichte, Gerätemodell —, ohne etwas, was du einträgst, und ohne Werbekennung. Das ist die ganze Liste.

Der Preis dieser Bauweise gehört klar gesagt, denn er ist echt. Daten, die nur auf deinem Handy leben, haben keine automatische Sicherung. Geht das Handy verloren und hast du nie etwas exportiert, ist der Verlauf weg. Eine so gebaute App schuldet dir einen ordentlichen Export, und du schuldest dir die Gewohnheit, ihn zu nutzen.