Immer häufiger frage ich mich beim Testen von Wearables: Verkauft dieser Fitness‑Tracker tatsächlich meine Gesundheitsdaten weiter — oder bleibt alles lokal und anonym? Als Journalistin und Technik‑Expertin suche ich systematisch nach Antworten. In diesem Text teile ich drei journalistische Recherche‑Methoden, die ich selbst nutze, um nachzuweisen, ob ein Hersteller Gesundheitsdaten monetarisiert oder an Dritte weitergibt. Jede Methode ist praktisch anwendbar, ergänzt die anderen und hilft, ein belastbares Gesamtbild zu zeichnen.

Was genau meine ich mit „Verkaufen“?

Bevor ich in die Methoden einsteige, definiere ich kurz, was ich unter „Verkaufen“ verstehe: Es geht nicht nur um einen direkten Vertrag, in dem ein Unternehmen Daten an Broker übergibt. Ebenso relevant sind Weitergaben an Werbenetzwerke, Versicherungen, Forschungspartner oder Datenmarktplätze — und selbstverständlich die Weitergabe in pseudonymisierter Form, die später deanonymisiert werden kann. Rechtlich und ethisch sind all diese Fälle problematisch, wenn Nutzer nicht eindeutig informiert oder nicht wirksam eingewilligt haben.

Methodenüberblick

Ich nutze drei sich ergänzende Ansätze:

  • Dokumenten‑ und Policy‑Analyse: Privacy‑Policies, AGB, Marketing‑Texte, SDK‑Lizenztexte und Rechtstexte.
  • Technische Netzwerkanalyse: Messung des Datenverkehrs zwischen Tracker, App und Drittparteien.
  • Journalistische Feldrecherche: Interviews, Whistleblower‑Tipps, Datenanfragen (DSA/GDPR) und Auswertung von App‑Store‑Metadaten.

    • 1) Dokumenten‑ und Policy‑Analyse: Lesen, was sie dir (nicht) sagen

    Meine erste Anlaufstelle ist immer die schriftliche Kommunikation des Herstellers. Das klingt banal, ist aber oft ergiebig. Ich öffne die Datenschutzrichtlinie, AGB und Marketingseiten — und suche gezielt nach Begriffen wie „Third‑party“, „Data sharing“, „analytics partners“, „health data“, „deidentified/pseudonymized“, „research“, „partners“ und „buy/sell“.

    Worauf ich achte:

  • Explizite Nennung von Partnern (z. B. Google Analytics, Firebase, Braze, Adjust): Manche SDKs senden personenbezogene oder gerätebezogene Informationen weiter.
  • Rechtliche Rechtsgrundlagen: Wird eine Einwilligung behauptet, oder beruft sich das Unternehmen auf berechtigtes Interesse? Bei Gesundheitsdaten ist die Einwilligung in der Regel erforderlich (besondere Kategorien nach DSGVO).
  • Weitergabe an „Affiliates“ oder „Business‑Partners“: Sehr weit gefasste Formulierungen erlauben oft mehr als erwartet.
  • Retention‑Fristen und Zwecke: Für welche Zwecke werden Daten gespeichert? Reine „Produktverbesserung“ kann sehr dehnbar sein.

    • Beispiel: In der Datenschutzrichtlinie eines bekannten Herstellers von Fitness‑Armbändern fand ich den Satz „We may share aggregated or de‑identified health information with research partners“. Das weckte bei mir sofort Fragen: Wie „deidentified“ ist de‑identifiziert? Wer sind die „research partners“?

    2) Technische Netzwerkanalyse: Messbar machen, was gesendet wird

    Dokumente lügen nicht unbedingt, aber sie verschweigen oft Details. Deshalb messe ich den tatsächlichen Datenstrom. Dafür gibt es zwei praktikable Wege:

  • Proxy‑Analyse: Ich leite den Datenverkehr der Smartphone‑App über einen lokalen Proxy (z. B. mit tools wie mitmproxy oder Burp Suite). So sehe ich HTTP/HTTPS‑Requests, Domains, Payloads und Header. Mit SSL‑Pinning umgehen ist oft nötig — das erfordert technisches Know‑how oder Tools wie Frida zum Umgehen der Pinning‑Restriktionen.
  • Netzwerkscan des Trackers: Manche Tracker senden Daten direkt über WLAN oder Bluetooth. Ein packet capture (z. B. mit Wireshark) am Access Point kann Verbindungen zu Drittservern sichtbar machen.

    • Was ich konkret suche:

  • Verbindungen zu Drittanbietern wie Content Delivery Networks, Analytics‑Domains, Werbe‑Domains oder bekannten Datenbrokern.
  • Payloads mit Gesundheitsmetrik‑Werten (Herzfrequenz, Schlafdaten, GPS). Werden diese in Klartext oder minimal verschlüsselt übertragen?
  • Geräte‑IDs, IMEI, Advertising ID oder andere persistenten Identifikatoren, die eine Verknüpfung von Datensätzen über Dienste hinweg erlauben.

    • Praxisbeispiel: Bei einem Test mit einer populären Smartwatch‑App entdeckte ich Requests an eine Domain eines US‑Datenanbieters, die JSON‑Payloads mit Schlaf‑Epoch‑Daten und der Advertising ID enthielten. Das ist ein starkes Indiz für Monetarisierung bzw. Weitergabe.

    3) Journalistische Feldrecherche: Quellen, Anfragen und Behavioral Experiments

    Technische Beweise und Dokumente sind wichtig — aber oft ergänze ich sie mit klassischer Recherchierarbeit:

  • Interviews: Ich kontaktiere Firmenkommunikation, Datenschutzbeauftragte, ehemalige Mitarbeiter oder Entwickler. Off‑the‑record‑Hinweise von Insider:innen können entscheidende Lücken füllen.
  • DSGVO‑/FOIA‑Anfragen: Mit einer formellen Anfrage an den Anbieter (z. B. Auskunft nach Art. 15 DSGVO) lässt sich herausfinden, welche Daten über mich gespeichert wurden und an wen sie weitergegeben wurden. Ich dokumentiere die Antworten und vergleiche sie mit meinen technischen Messungen.
  • App‑Store‑Analyse: Ich prüfe Berechtigungen, Changelogs, Herstellerangaben in Google Play und Apple App Store. Entwickler‑E‑Mails und Update‑Notizen enthalten manchmal Hinweise auf neue Partner oder geänderte Datenpraktiken.
  • Behavioral Experiments: Ich erstelle Test‑Accounts mit kontrollierten Daten: z. B. eine Testperson mit fiktiven Gesundheitswerten oder eine SIM/ein Gerät, das nur über bestimmte Netzwerke kommuniziert. So kann ich sehen, welche Informationen tatsächlich übertragen werden.

    • Beispiel: Nach einem Auskunftsbegehren erhielt ich von einem Anbieter zwar eine Liste von Partnerfirmen, aber die Antwort war so allgemein, dass ich per Follow‑up gezielt nach „breakdown by partner“ fragte. Die ergänzende Netzwerkanalyse bestätigte dann die Existenz von Verbindungen zu mindestens zwei Datenvermarktern.

    Wie ich Ergebnisse belege und verifiziere

    Als Journalistin achte ich darauf, jede Behauptung zu verifizieren und transparent zu dokumentieren:

  • Ich speichere Netzwerk‑Logs, Screenshots von Policy‑Passagen und alle Schreiben als Beweismittel.
  • Ich lasse technische Messungen, wenn möglich, von einer zweiten Person reproduzieren.
  • Ich nenne Quellen (on‑record, off‑the‑record oder anonymisiert) und dokumentiere, welche Daten direkt beobachtet wurden und welche Schlüsse ich daraus ziehe.
    • Method Stärke Schwäche
    Policy‑Analyse Einfach, rechtlich relevant Kann irreführend oder vag formuliert sein
    Netzwerk‑Analyse Konkrete, messbare Beweise Technisch aufwändig, SSL‑Pinning/ Verschlüsselung
    Feldrecherche Kontext und Bestätigung durch Dritte Braucht Zeit, mitunter rechtliche/ethische Stolperfallen

    Wenn du selbst prüfen willst: Fang mit der Policy an, ergänze mit einer einfachen Proxy‑Analyse (es gibt viele Anleitungen) und schicke im Zweifel eine DSGVO‑Auskunftsanfrage. Behalte immer die dokumentierte Kette: Was sagten die Texte, was zeigte das Netzwerk, und was bestätigten Menschen?

    Beim Recherchieren bin ich oft überrascht: Manche Hersteller sind transparent und kooperativ, andere verschweigen Partnerschaften oder nutzen schwammige Formulierungen, die es schwer machen, die monetäre Nutzung von Gesundheitsdaten auszuschließen. Ich bleibe dran — weil Gesundheitsdaten besonders sensibel sind und die Nutzer ein Recht darauf haben zu wissen, was mit ihren Daten passiert.