Doctolib hat empfindliche Daten an Facebook und Outbrain weitergeleitet

Steht uns ein neuer Datenskandal ins Haus? Auf den ersten Blick scheint dies so zu sein. Zwar geht es wieder um Gesundheitsdaten, aber diesmal hat die Bekämpfung der Corona-Pandemie nichts damit zu tun. Stattdessen steht das Ärzteportal Doctolib im Fokus. Der Online-Vermittler für Arzttermine soll für Werbezwecke empfindliche Daten an Facebook und Outbrain weitergereicht haben.

App im Google Play Store betroffen

In unserem vernetzten Internetzeitalter hat Datenschutz eine große Bedeutung. Doch wer sich im World Wide Web herumtreibt, schafft es nur in wenigen Ausnahmefällen, keine Datenspuren zu hinterlassen. Aus diesem Grund unterscheidet man mittlerweile auch zwischen normalen Nutzerdaten und empfindlichen Daten. Gesundheitsdaten einer Person gehören definitiv zur Gruppe der empfindlichen Daten.

Nach eigenen Angaben hat Datenschutz für Doctolib höchste Priorität. Von diesem Vorsatz scheint das Unternehmen aber dann Abstand zu nehmen, wenn es um Werbepartner geht. So haben die Kollegen von „Mobilsicher“ berichtet, dass Daten an Facebook und Outbrain weitergeleitet worden – Zumindest auf Android-Geräten. Schließlich hat Mobilsicher das Weiterleiten der Daten bei der Doctolib-App aus dem Google Play Store (Version 2.2.26) beobachten können.

Vorsicht vor Einwilligungen

Die App leitet die Gesundheitsdaten nicht einfach so weiter. Hierfür musst du zunächst dein Einverständnis abgeben. Sobald du die App von Doctolib zum ersten Mal öffnest, weist dich das Unternehmen im Rahmen eines Dialogfensters darauf hin, dass Datenschutz eine große Bedeutung für sie habe. Sobald du aber bereits hier deine Zustimmung ablieferst, beginnt Doctolib mit der Weiterleitung deiner Daten. Gegenüber Mobilsicher hat sich Patrick Breyer (Jurist und Mitglied der Piratenpartei) zu diesem Vorgehen wie folgt geäußert:

 „Wenn das die einzige Einwilligung ist, deckt das natürlich nicht die Übermittlung von Inhalten und Schlüsselworten ab.“

Es ist nicht die reine Übermittlung von Daten, die das Vorgehen der Doctolib-App für betroffene User so verstörend macht. Vielmehr sorgt das Gewicht der weitergeleiteten Daten für Entsetzen – zu Recht. So werden beispielsweise die Suchbegriffe übermittelt, die der Nutzer in der App eintippt. Auch Behandlungswünsche werden weitergereicht. Damit müssen Facebook und Outbrain nur noch eins und eins zusammenzählen und können sich ein umfassendes Gesundheitsbild des Nutzers schaffen. Als wäre das noch nicht genug, werden auch weitere Daten wie der Versichertenstatus und die IP-Adresse des Users weitergereicht. Gebuchte Arzttermine, die über die App gemacht wurden, sollen hingegen nicht weitergeleitet worden sein. Das wäre aber auch noch schöner gewesen.

Doctolib hat sofort reagiert

Wie eingangs bereits erwähnt, konnte Mobilsicher das Problem bislang nur auf Android-Geräten feststellen. Ob auch im Browser oder der iOS-App derartig gravierende Datenschutzbedenken bestehen bzw. bestanden, ist bislang noch ungewiss. Laut Meinung von Mobilsicher muss man aber davon ausgehen, dass auch hier ein Weiterreichen entsprechender Daten stattfand. Das Vermittlungsportal hat natürlich im Zuge der Berichterstattung sofort reagiert und die Übertragung eingestellt. Mobilsicher hat dies im Rahmen eines zweiten Tests überprüft und sogleich auch bestätigt. Obendrein verspricht Doctolib, dass die weitergeleiteten Daten auf Facebook und Outbrain gelöscht werden.

Marketing ist wichtiger als Datenschutz?!

Doch warum hat Doctolib diesen groben Fehler begangen? Nach eigenen Angaben habe man entsprechende Nutzerdaten übertragen, um den Erfolg einer bestimmten Kampagne zu messen. Wieso aus diesen Marketingzwecken jedoch Suchbegriffe übertragen werden mussten, ist eine Frage, die bislang noch unbeantwortet bleibt. Weiterhin erklärt sich Dr. Ilias Tsimpoulis (Geschäftsführer bei Doctolib) wie folgt:

„Wir hätten das besser erklären können – aber dann wäre es auch komplexer geworden. Wir haben uns daher entschieden, die Kampagnenmessung über die beiden Drittanbieter ganz einzustellen.“

Die Rolle von Facebook sollte man in diesem Konstrukt jedoch nicht außer Acht lassen. Schließlich scheint das soziale Netzwerk die Daten ja mit Kusshand entgegengenommen zu haben. Dies ist scheinbar nur auf den ersten Blick der Fall. Schließlich betonte das Unternehmen, dass man sich an das geltende Verbot einer Weitergabe von Gesundheitsdaten halte. Dementsprechend habe das System eine Verarbeitung der Daten von Doctolib bereits automatisch abgebrochen.