Daten auf Rezept

Neben Tabletten und Therapien können Ärzte künftig Smartphone-Apps verschreiben. Dann müssen das sogar die Krankenkassen bezahlen. Immer wieder hat sich aber gezeigt: Solche Apps schützen vielleicht die Gesundheit des Nutzers, nicht aber seine Daten.

 

Mehr als sechs Millionen Patientengespräche, über zehn Millionen Diagnosen, das Ganze in fünf Sprachen und in 130 Ländern, solche Zahlen kann auch der größte Workaholic unter den Ärzten nicht bewerkstelligen. Ada kann. Ada ist aber auch kein Mensch, sondern eine App. Auf Smartphones geladen, fragt sie den Nutzer nach seinen Symptomen, deren Häufigkeit und Schwere und offenbart ihm, welche Krankheit diese am wahrscheinlichsten verursacht. Anschließend stellt sie Informationen über die Krankheit und die passendsten Ärzte der Umgebung bereit. 2016 von einem Berliner Start-up veröffentlicht, ist die App mittlerweile so erfolgreich, dass die Techniker Krankenkasse Ende 2018 bekanntgab, sie in ihre eigene TK-App integrieren zu wollen (siehe TR 1/19, S. 46). „Voraussichtlich
Anfang 2019“ sollte das geschehen, doch bisher wird immer noch in der Beta-Version getestet.

Dass Apps mehr und mehr zum Teil der medizinischen Versorgung werden, hat auch Gesundheitsminister Jens Spahn (CDU) erkannt. Anfang Juli billigte das Kabinett seinen Gesetzentwurf, wonach Ärzte künftig Apps sogar verschreiben dürfen. Dann zahlen die Krankenkassen etwa für das digitale Diabetes-
Tagebuch oder die Smartphone-Empfängnisverhütung. Im Herbst will der Bundestag darüber beraten, 2020 soll das Gesetz in Kraft treten. Damit die Krankenkassen die Kosten übernehmen, gibt es aber zwei Bedingungen: Erstens müssen die Hersteller binnen eines Jahres beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) nachweisen, dass ihre App auch wirklich die Versorgung der Patienten verbessert. Zweitens soll die Behörde sicherstellen, dass Datensicherheit und Datenschutz gewährleistet sind.

Keine leichte Aufgabe, denn viele bisherige Gesundheits-Apps sind erschreckend mitteilungsbedürftig. Jüngst zeigte das eine Untersuchung eines Forscherteams aus Australien, Kanada und den USA, die im „British Medical Journal“ (BMJ) veröffentlicht wurde. Bei 24 interaktiven Apps für Android-Handys aus dem Gesundheitsbereich, die besonders häufig heruntergeladen wurden, untersuchten sie, welche Daten die Apps weitergaben und an wen – darunter auch die englischsprachige Version von Ada. Um herauszufinden, welche Daten die Apps mit wem teilten, programmierten die Forscher vier Dummy-Profile: einen Doktor, einen Apotheker und zwei gewöhnliche Nutzer. Die Dummys loggten sich automatisch in die Apps ein, klickten auf allen Feldern herum, verstellten alle Einstellungsmöglichkeiten und gaben auch „persönliche“ Informationen ein. Dabei beobachteten sie den Netzwerk-Verkehr von 28 verschiedenen Datentypen wie der Android ID, dem Geburtsdatum, der E-Mail, den Ort und der Zeitzone.

19 von 24 Apps gaben Daten an Dritte außerhalb der App weiter. Mal handelte es sich lediglich um den Namen des Geräts oder das Geschlecht der Nutzer. Mal waren es aber auch Diagnosen, Symptome oder die Liste der eingenommenen Medikamente. Insgesamt erhielten 55 Unternehmen Zugang zu diesen
Daten. Darunter fielen Entwickler und Mutterorganisationen (sogenannte First Parties), aber auch fremde Dienstleistungsunternehmen (Third Parties). Die Third Parties reichten die Daten sogar erneut weiter, an insgesamt 216 „Fourth Parties“. Dazu zählten die Forscher Technologiekonzerne, digitale Werbefirmen oder Telekommunikationsunternehmen. Zehn Apps gaben die Daten direkt an Unternehmen aus dem Konglomerat der Google-Mutterfirma Alphabet weiter, weitere sieben taten dies über Umwege. Für einen ihrer Dummys schauten die Forscher nach, was der Digitalkonzern nun alles über ihn wusste: Sie fanden
neben Telefonnummer, genutzten Apps, Netzprovider, Wohnort, Geschlecht, Alter (30–45 Jahre) auch eine Liste der eingenommenen Medikamente, Hobbys (Kaffee, Joggen, Dating) sowie den Gesundheitsstatus (chronische Schmerzen, Epilepsie, Migräne). Im Facebook-Universum landeten immerhin die Daten aus fünf Apps. Sogar eine Wirtschaftsauskunft, die über die Kreditwürdigkeit von Personen urteilt, bekam Daten. Insgesamt rechneten die Forscher nur drei der 216 Fourth Parties dem Gesundheitsbereich zu.

Die Studie bestätigte, worauf in der Vergangenheit auch schon andere Untersuchungen hinwiesen. 2017 zeigte die Verbraucherzentrale Nordrhein-Westfalens, dass 24 untersuchte Wearables und Fitness-Apps Daten an Drittanbieter weitergeben. Im April dieses Jahres ermittelten australische und US-amerikanische Forscher, dass von 36 untersuchten Apps zu Depressionen oder Raucherentwöhnung ganze 29 Daten an
Facebook oder Google weiterleiteten. Nur 12 davon hatten das auch für Nutzer sichtbar angegeben. Und Ende Februar erregte das „Wall Street Journal“ die Gemüter, als es über eine Studie mit 70 Apps berichtete: Elf davon leiteten sensible Daten ohne das Wissen der Nutzer an Facebook weiter.

Die untersuchten Apps fallen zwar nicht unter die europäische Datenschutz-Grundverordnung (DSGVO) – sie bieten ihre Dienste außerhalb der EU an. Doch auch mit der neuen EU-Regelung sind Nutzer nicht automatisch auf der sicheren Seite. Erstens können Apps die Daten weiterleiten, wenn die Nutzer
dem zustimmen – und wie weit die Erlaubnis reicht, ist nicht immer klar zu erkennen. Zweitens dürfen die erhobenen Daten unter bestimmten Bedingungen die EU verlassen – obwohl die EU-Regel die Weitergabe prinzipiell verbietet. Eine Ausnahme ist etwa das EU-US Privacy Shield mit den USA.

Datenschutzbehörden sollten berücksichtigen, dass der Verlust der Privatsphäre keine angemessenen Kosten für die Nutzung digitaler Gesundheitsdienste darstellt“, warnt daher Quinn Grundy von der University of Toronto, Autorin der aktuellen BMJ-Studie. Bei ausreichend vielen Daten hilft nämlich auch
deren Anonymisierung nicht mehr. Denn durch die Verknüpfung von Daten aus den verschiedensten Lebensbereichen lassen sich diese wieder repersonalisieren.

Dennoch wird Big Data eher noch bigger. Vergangenes Jahr hat sich der Sachverständigenrat für Verbraucherfragen, ein das Justizministerium beratendes Expertengremium, mit der Frage beschäftigt, ob so erworbene Daten unter anderem auch bei Krankenversicherern eine Rolle spielen. Zwar gibt es
einige Versicherer, die Boni gewähren, wenn man ihre App benutzt. Dass jedoch über die Versicherten gesammelte Daten genutzt werden, um individuelle Risikokalkulationen durchzuführen und anhand dieser die Kosten der Versicherung zu bestimmen, scheint noch nicht der Fall zu sein. Bei den gesetzlichen
Kassen fehlt dazu bisher der finanzielle Anreiz: Ihre Tarife werden schließlich nur nach dem Einkommen
bemessen.

Für die Zukunft ist der Schritt allerdings wahrscheinlich. 37 Prozent der befragten Versicherer können sich laut dem Gutachten vorstellen, „Daten aus der elektronischen Patientenakte für den Bereich Bonusprogramme oder verhaltensbasierte Tarife zu nutzen.“ Außerhalb Deutschlands lasse sich die Entwicklung bereits beobachten. Im Herbst 2018 verkündete der US-Versicherungskonzern John Hancock etwa, künftig nur noch Lebensversicherungen zu vergeben, wenn die Versicherten verpflichtend
an einem Programm teilnehmen, das eine gesundheitsfördernde Lebensweise belohnt – etwa den Sport mit
der Smartwatch zu tracken. Ist es also Zufall, dass ausgerechnet die von der TK getestete App Ada die Hitliste der Datenschleudern in der BMJ-Studie anführt?

 

Dies ist ein Artikel aus der Technology Review 9/2019