Symptom-Checker mit Datenschutzproblemen?

Neu-Isenburg. Hat die Symptom-Checker-App Ada Health personenbezogene Daten an Tracking- und Analyse-Dienstleister wie Amplitude, Adjust und Facebook weitergegeben, und das sogar, bevor ein Einblick in die Datenschutzerklärung für den Nutzer möglich war? Darauf deutet ein Bericht im aktuellen Computermagazin „c‘t“ hin, wonach bei Ada Health Datenschutzerklärung und tatsächliche Datenströme bei der App-Nutzung untersucht worden sein sollen. Der App-Anbieter Ada Health GmbH bestreitet die Vorwürfe allerdings energisch.

Die App Ada ist ein Symptom-Checker, der Nutzer nach Symptomen befragt, daraus Wahrscheinlichkeiten für mögliche Erkrankungen ermittelt und gegebenenfalls rät, einen Arzt aufzusuchen. Bekannt wurde die kostenlose App unter anderem, weil die Techniker Krankenkasse mit dem Unternehmen kooperiert. In den App-Stores von Google und Apple gehört Ada Health zu den populärsten Gesundheits-Apps.

Daten vor dem Klick aufs Kästchen versendet?

In der Datenschutzerklärung weise die App zwar auf die Nutzung der Analyse- und Tracking-Dienste hin, heißt es in dem Beitrag der „c‘t“. Allerdings seien sowohl an Facebook als auch an Amplitude Daten versendet worden, bevor die App dem Nutzer AGB und Datenschutzerklärung präsentiert habe und ihn um die Akzeptanz derselben gebeten habe, so die Recherche des IT-Sicherheits-Experten Mike Kuketz.

„Selbst wenn der Nutzer die Zustimmung verweigerte und die App beendete, waren nach Kuketz‘ Erkenntnissen bereits Daten an Facebook und Amplitude abgeflossen“, erklärt dazu laut Mitteilung von Heise Medien, dem Verlag der „c‘t“, Sylvester Tremmel, Redakteur beim „c’t“-Magazin. Nach der Datenschutzgrundverordnung sei eine solche Übertragung äußerst zweifelhaft. Unter anderem soll der Name der Krankenkasse übertragen worden sein.

Ada Health wehrt sich gegen „irreführende Anschuldigungen“

Die Ada Health GmbH sieht in dem Beitrag der „c‘t“ „irreführende Anschuldigungen“ und bestreitet die Vorwürfe. Das Unternehmen werde „eine sofortige und formelle Richtigstellung verlangen“ und ziehe „weitere rechtliche Schritte in Erwägung“.

„Der Schutz der Privatsphäre und die Sicherheit unserer Nutzer ist für uns von größter Bedeutung und absolut grundlegend für die Art und Weise wie wir unsere Technologien sowie unsere Produkte entwickeln und unser Unternehmen führen“, heißt es in einer Stellungnahme. Darüber hinaus habe das Landesamt für Gesundheit und Soziales Berlin (LaGeSo) die Ada-App geprüft und „dabei keine Verstöße gegen Qualitätsstandards und geltendes Recht festgestellt“. Das Unternehmen erfülle „selbstverständlich“ sämtliche Anforderungen der DSGVO.

Dritte hätten ohne die ausdrückliche Zustimmung der Nutzer keinen Zugang zu persönlichen Gesundheitsinformationen. „Facebook oder Amplitude erfahren folglich nicht, ob ein User beispielsweise angibt, Bluthochdruck zu haben, oder wo er versichert ist.“ Die falschen Anschuldigungen und Ungenauigkeiten werde Ada Health „im Detail herausarbeiten“.

TK: Kein Datenaustausch mit der App

Auf Nachfrage der „Ärzte Zeitung“ verweist die Techniker Krankenkasse (TK) darauf, dass „zu keiner Zeit Daten zwischen Ada und der TK ausgetauscht“ würden. Aber die Vorwürfe würden sehr ernst genommen.

Ada habe die Anforderungen an den europäischen Datenschutz zu erfüllen, heißt es weiter. „Zusätzlich zu diesen Anforderungen an Kooperationspartner legen wir größten Wert auf die Transparenz der Datenschutzhinweise, um den Nutzern eine informierte Entscheidung zu ermöglichen“, so eine TK-Sprecherin.

Basis für die Zusammenarbeit mit Ada sei die verbindliche Einhaltung der DSGVO sowie darüber hinaus die vertraglich gesicherte Zusage, dass keine personenbezogenen Daten an Dritte weitergegeben würden. „Diese Zusage wurde von uns zudem im Rahmen eines Penetrationstests durch einen externen Spezialisten überprüft“, hebt die Kasse hervor.

Und ergänzt: „Auf dieser Grundlage mussten wir bislang davon ausgehen, dass keine personenbezogenen Daten im Rahmen dieser Kooperation an Dritte weitergegeben werden.“

„Bestätigen sich die Vorwürfe, wird Kooperation beendet“

Den einzelnen Punkten der jetzt erhobenen Vorwürfe werde die TK sorgfältig und so schnell wie möglich nachgehen. Von Ada sei bereits eine vollständige Offenlegung der Datenstrukturen angefordert worden. Das Ergebnis werde dann umgehend durch von der Kasse beauftragte IT-Sicherheitsexperten gegenprüfen lassen. Im Fall der Fälle stehe die letzte Konsequenz aber schon fest: „Bestätigen sich die Vorwürfe, werden wir die Kooperation mit Ada sofort beenden.“ (ger/maw)