Nehmt ruhig meine persönlichen Daten!

Ein Klick auf den App Store, einer auf die App, herunterladen, installieren, AGB annehmen – fertig. Der Aufwand, um eine neue App auf dem Smartphone einzurichten, ist gering. Das hat einen simplen Grund: Je mühsamer eine Installation, desto mehr Nutzer verzichten auf die App. Das wäre natürlich nicht im Sinn der Anbieter.

Das einfache Prozedere hat aber auch einen Haken: AGB und Datenschutzerklärungen werden in der Regel rasch durchgeklickt und damit angenommen. Hier ist die Bequemlichkeit der Nutzer dagegen durchaus im Sinn der App-Anbieter.

Jüngstes Beispiel dafür: die App «Pokémon Go». Die Spielidee, in der realen Welt mit Hilfe von echten Landkarten virtuelle Fantasiewesen zu fangen, hat die Massen begeistert. Über 500 Millionen Mal (!) wurde das kostenlose Game in den ersten zwei Monaten heruntergeladen. Inzwischen melden sich aber vermehrt kritische Stimmen zu Wort, wie die App mit den Daten der Spieler umgeht. Die «Stiftung Warentest» stufte «Pokémon Go» als «kritisch» ein, weil die App viele Zugriffsrechte vom User fordert, viele Daten sammelt und auch in den Nutzungsbedingungen zum Spiel etliche unzulässige Klauseln vorkommen.

So kann der App-Hersteller Niantic Daten dauerhaft speichern, selbst wenn der Nutzer bereits gekündigt hat. Bei der Art der erfassten Daten und dem Zweck der Erhebung seien die Angaben zudem oft schwammig. Vom deutschen Verbraucherzentralen-Bundesverband wurde Niantic deshalb abgemahnt. Mittels der personenbezogenen Daten und Standortinformationen sei anonymes Spielen praktisch unmöglich. Die App verstosse zum Teil gegen Verbraucherrechts- und Datenschutzstandards.

«Pokémon Go» ist aber bei weitem nicht das einzige Beispiel dafür, wie Smartphone-Apps sensible Daten in Erfahrung bringen wollen. Eine Studie des Zentrums für Europäische Wirtschaftsforschung (ZEW) ergab, dass rund 40 Prozent aller Apps mindestens ein problematisches Zugriffsrecht – wie die Identifikation des Smartphones über eine eindeutige ID oder den Aufenthaltsort – vom Nutzer verlangen.

Ist eine App kostenlos, ist die Gier nach Daten gar noch grösser. Fast jede zweite Gratis-App fordert Zugriff auf sensible Informationen ein, was verdeutlicht: Nutzer bezahlen für Apps nicht mehr mit Geld, sondern mit ihren persönlichen Daten.

«Für App-Hersteller ist es wichtig, anonyme Nutzungsdaten sammeln zu können, um zu sehen, wie eine App und ihre einzelnen Inhalte genutzt werden», sagt Michael Schranz von der Berner Digital-Agentur «Apps with love». «Wir sammeln aber nur diejenigen Daten, die wirklich notwendig sind.»

Gerade mit diesem Punkt nehmen es zahlreiche App-Anbieter jedoch nicht so genau. Sie verdienen vermehrt mit dem Handel von gesammelten Nutzerdaten oder auch mit personalisierter Werbung. Und versuchen dafür möglichst viele Informationen von den Nutzern abzugreifen.

Daran stört sich Silvia Böhlen Chiofalo vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB): «Viele Apps wollen weitreichende Zugriffsrechte, die oft gar nicht nötig sind.» Eine Analyse der Zürcher IT-Sicherheitsfirma Scip AG für «saldo» belegt das: Neun von 20 getesteten Apps wollten Daten abschöpfen, die zur Ausführung nicht notwendig waren. Und auch im Fall von «Pokémon Go» kam die «Stiftung Warentest» zum Schluss, dass die App mehr Berechtigungen einforderte als sie überhaupt braucht. 

Wann wird der Datenhunger einer App für Nutzer problematisch? «Am heikelsten sind persönliche Daten, die beispielsweise bei der Erstellung eines Benutzerprofils angegeben werden: Passwort, E-Mail-Adresse, Telefonnummer, Geburtstag und insbesondere auch Kreditkarten- und Standortinformationen», sagt Schranz. Werden diese Daten zusammengefasst, könne man direkt Rückschlüsse auf diejenige Person ziehen, von der diese sensiblen Angaben stammen. 

Den Nutzen persönlicher Daten hat auch die Gesundheitsbranche für sich entdeckt. So bietet die Krankenkasse CSS mit dem Programm «myStep» ihren Zusatzversicherten die Möglichkeit, sich mithilfe eines Schrittzählers, der die Anzahl Schritte an eine Internetplattform übermittelt, Prämienrabatte zu erarbeiten. Wer über 10’000 Schritte am Tag absolviert, erhält von der Krankenkasse 40 Rappen zurück, für 7500 Schritte gibt es 20 Rappen Gutschrift. In einem Jahr könnte also eine Prämienreduktion von 150 Franken erreicht werden.

Während die Krankenkassen argumentieren, dass gesündere Kunden weniger Krankheitskosten verursachen und somit tiefere Prämien ermöglichen, bemängeln Kritiker, dass Versicherte so auf spielerische Art daran gewöhnt werden, ihren Versicherungen ständig persönliche Gesundheitsdaten mitzuteilen. Dadurch könne viel Persönliches preisgegeben werden – nicht nur über den Kunden, den die Krankenkassen schon kennen, sondern auch über dessen Lebensweise. Was nun, wenn in Zukunft Versicherte wegen ihrer übermittelten Ernährungspläne und Blutwerte von Krankenkassen als Risiko eingestuft werden und dadurch schlechtere Versicherungskonditionen erhalten?

Gemäss CSS-Sprecherin Christina Wettstein ist das kein Thema bei «myStep»: «Es werden ausschliesslich die Schrittdaten und keine weiteren mit dem Gerät erhobenen Werte an uns übermittelt. Zudem verwendet die CSS weder aktuelle noch frühere ‹myStep›-Daten, um den Gesundheitszustand des einzelnen Versicherten zu beurteilen. Das sichern wir unseren Kunden in den Teilnahmebedingungen zu.» Wünsche von Teilnehmern des Programms – wie die Ergänzung um Sportarten wie Radfahren oder Schwimmen – würden derzeit geprüft, «die Verwendung weiterer Gesundheits- oder Fitnessdaten für ‹myStep› ist aber nicht vorgesehen», so Wettstein.

Beim EDÖB gibt es laut Radio SRF derzeit nichts gegen das Angebot der CSS einzuwenden – da sich die erreichbare Prämienreduktion in Grenzen hält. Der Druck für Versicherte, der Kasse persönliche Gesundheitsdaten zu liefern, weil man auf den Rabatt angewiesen ist, sei zu gering.