Grindr übermittelt sensible Gesundheitsdaten der Nutzer an externe Dienstleister

Es ist kein Geheimnis, dass Smartphone Apps im Hintergrund mehr Daten an den Anbieter wie auch an eingebundene Marketing-Unternehmen übermitteln als dem Nutzer zumeist bekannt ist. Zum Teil belauschen die Apps den Nutzer sogar, um beispielsweise Hintergrundgeräusche für Werbezwecke auszuwerten und meistens werden auch Standortdaten ungefragt ausgewertet.

Doch der vor wenigen Tagen aufgedeckte Skandal rund um die Dating-App Grindr könnte einer der größten dieses Jahres werden. Denn die norwegische unabhängige Forschungsorganisation SINTEF stellte bei Ihren Untersuchungen fest, dass die vor allem unter Homosexuellen beliebte Anwendung mit täglich rund 3,5 Millionen aktiven Nutzern sehr sensible Informationen der Mitglieder an die zwei externen Unternehmen Apptimize und Localytics, die sich auf die Optimierung von Apps fokussieren, ohne Kenntnis des Betroffenen übermittelt. Ob und inwiefern die übermittelten Daten seitens dieser Unternehmen analysiert oder für weitere Zwecke verarbeitet werden, ist nicht ersichtlich. Es kann jedoch darüber spekuliert werden, ob diese zum Teil unverschlüsselten Daten nicht doch mittelbar für Werbezwecke verwendet werden.

Der Schutz von Gesundheitsdaten

Konkret handelt es sich neben den allgemeinen Profilangaben des Grindr Nutzers wie z.B. dem Alter oder Gewicht sogar um Informationen zum HIV-Status und dem letzten Aidstest. Verknüpft wird dies mit der ID des Geräts. Aber auch die Standortdaten (GPS-Daten) würden beide Dienstleister empfangen. Diese Gesundheitsdaten zählen hierzulande zu den besonderen Kategorien der personenbezogenen Daten (im Sinne von Art. 9 DSGVO) und dürften danach nur mit ausdrücklicher Einwilligung des Betroffenen verarbeitet und letztlich übermittelt werden (Art. 9 Abs. 2 lit. a) DSGVO). Dies setzt voraus, dass den Betroffenen die tatsächlichen Prozesse überhaupt bekannt sind – also dieser zuvor vom Verantwortlichen umfassend, beispielsweise in den Datenschutzbestimmungen informiert worden ist (Art. 12 DSGVO). Hieran bestehen bei Grindr ernsthafte Zweifel. Und selbst die freiwillige Angabe dieser Informationen im Profil im Rahmen der eigenen Privatsphäreneinstellung umfasst nicht den Prozess der Übermittlung dieser personenbezogenen Daten an externe (unbekannte) Dienstleister.

Das Unternehmen selbst hatte erst vor wenigen Tagen diese Funktion implementiert, um – nach eigenen Angaben – dem Nutzer eine „Erinnerung“ für den regelmäßigen HIV-Test und eine in der Nähe befindliche Teststelle anzuzeigen. Damit wolle man HIV-Erkrankungen vorbeugen bzw. auf das Thema hinweisen.

Trotz dieser vermeintlich positiven Vorstellung seitens der Geschäftsleitung fehlt es offenbar an der Sensibilität im Umgang mit derartigen Gesundheitsdaten, ansonsten würde hierfür erst gar kein solches Eingabefeld in einer Flirt-App vorgesehen werden. Ohnehin stellt sich die Frage, ob derartige sensible Gesundheitsdaten (Auswahlfeld: „positiv und zurzeit in Behandlung“) etwas in einer Flirt-App zu suchen haben und publik gemacht werden dürften und inwiefern der Einzelne freiwillig diese Informationen von sich Preis gibt. Selbst in deutschen Arztpraxen und Krankenhäusern werden die Fragen nach „HIV-positiv“ äußerst diskret und teils anonymisiert behandelt. Erst recht dürfen diese Angaben nicht ohne Weiteres an Marktforschungen oder Unternehmen der Werbebranche personenbezogen übermittelt werden.

Die App verrät den Nutzer

Der Fall erinnert auch an frühere bekanntgewordene Datenübermittlungen, beispielsweise von Nutzern über ihre Fitness-Armbänder mit der App von Strava. Durch die Veröffentlichung von „Heatmaps“ der gespeicherten Läufe der angeschlossenen Teilnehmer der Fitness-Apps offenbarten sich plötzlich geheime Militärbasen. Und auch Grindr wurde vor einigen Jahren für die Ortung der aktiven Nutzer kritisiert, da so in einigen Ländern wie z.B. in Ägypten Nutzer verfolgt wurden, insbesondere wenn sich die Standortdaten der Mitglieder mit leichten Mitteln auslesen lassen.

Nach dem Medienecho reagierte Grindr und will zügig mit dem nächsten Update der App diese Funktion wieder deaktivieren und die Übermittlung stoppen. Viele Fragen bleiben jedoch offen.