Laut der Ada Health GmbH soll ihre App dabei helfen „allen Menschen Zugang zur personalisierten Medizin der Zukunft verschaffen.“ Eine Analyse des Sicherheitsexperten Mike Kuketz zeigte jedoch kürzlich, dass die App eine Vielzahl personenbezogener Daten an Werbenetzwerke wie Facebook und Amplitude sendet. Die Untersuchung des Datenverkehrs zeigte dabei, das bereits beim ersten Start der Android-App umfangreiche Daten übertragen werden. Medizinische Daten, die normalerweise der ärztlichen Schweigepflicht unterliegen, werden ebenfalls sofort nach der Nutzeranmeldung mit den Trackingdiensten geteilt.
Eigentlich soll die App, die auch von Techniker Krankenkasse als „künstliche Intelligenz für eine bessere Versorgung“ beworben wird, Gesundheitsprobleme der Nutzer sammeln und anhand der persönlichen Symptomen Behandlungsempfehlungen aussprechen. Die Entwickler selbst werben auf der Webseite der App mit Sicherheitszertifizierungen vom Tüv Nord und versprechen, dass „alle Daten verschlüsselt bei Ada gespeichert sind und niemals ohne Einverständnis mit Dritten geteilt werden.“
Datenübertragung ohne Kenntnisnahme der Datenschutzbestimmungen
Wie Kuketz feststellte beginnt die Datenübertragung, die unter anderem über die Werbe-ID das Nutzertracking über verschiedene Apps ermöglicht, hingegen schon bevor der Nutzer überhaupt die Möglichkeit hat die Datenschutzbestimmungen einzusehen. Bei der anschließenden Accountregistrierung, bei der neben dem Geburtsdatum und der Krankenkasse noch weitere sensible Daten abgefragt werden, stellte Kuketz anschließend fest, dass nach jeder beantworteten Frage ein Tracking-Event von Facebook ausgelöst wurde.
Auch bei der Nutzung der Diagnosefunktion der App, bei der Kuketz zu Testzwecken das Problem „Inkontinenz“ nutzte, wurden Daten an Amplitude übertragen. Der Datensatz, der ohne Zustimmung des Nutzers erstellt und übertragen wurde umfasste neben der User-ID auch die Werbe-ID und das Krankheitsbild sowie die Symptome. Dieselben Daten wurden ebenfalls mit Facebook ausgetauscht.
Hersteller bestreitet Datenskandal
Gegenüber dem Magazin ct erklärte der Hersteller auf Nachfrage, dass „dritte keinen Zugriff auf persönliche Gesundheitsinformationen der User haben. Facebook, Adjust oder Amplitude erfahren folglich nicht, ob ein User beispielsweise angibt, Bluthochdruck zu haben oder wo er versichert ist.“
Als die Journalisten die Entwickler auf die Kommunikation mit Amplitude aufmerksam machten erklärten diese, dass „Ada einen eigenen, geschützten Bereich innerhalb von Amplitude“ habe. Amplitude selbst habe daher „keinen Zugriff auf die Daten“, was durch entsprechende Verträge abgesichert sei. Auch gegenüber Golem.de erklärte Ada, dass ein Datenzugriff aufgrund der bestehenden Verträge nicht möglich sei. Eine Antwort darauf, wie ein Datenzugriff durch Facebook oder Amplitude technisch ausgeschlossen werden kann, erteilte das Unternehmen hingegen nicht. Auch auf die Frage, warum eine Datenübermittlung überhaupt erfolgt, erfolgte keine Reaktion.
Laut Kuketz „wirft die Reaktion von Ada nun natürlich die Frage auf, ob das Unternehmen die Datenübermittlung bewusst verschweigt oder selbst keine Kenntnis darüber hat, welche Daten die Tracker-Dienste der Ada-Gesundheitsapp eigentlich übermitteln. Wie auch immer die Antwort ausfallen mag, es ist ein absolut unverantwortliches Verhalten.“
Verstoß gegen Play Store Regeln
Inzwischen ist im Google Play Store eine aktualisierte Version der App vorhanden, bei der laut Analysen keine Daten mehr an Amplitude übertragen werden. Vermutlich erfolgte diese Aktualisierung jedoch nur, weil Google die Version der App mit Datenübertragung aus dem Play Store gelöscht hatte. Dies erfolgte, weil eine Übertragung der Werbe-ID ohne Zustimmung des Nutzers gegen die von Google aufgestellten Regeln verstößt.
