Weitreichende Datentransfers: Bürgerrechtler machen gegen Fitbit mobil

Max Schrems und die von ihm gegründete Bürgerrechtsorganisation Noyb ziehen gegen Fitbit zu Felde. Die Aktivisten haben gegen den Fitnesstracker-Hersteller am Donnerstag drei Beschwerden bei den nationalen Datenschutzbehörden in Österreich, den Niederlanden und in Italien eingereicht. Sie werfen dem 2021 von Google für 2,1 Milliarden US-Dollar übernommenen Unternehmen vor, den Nutzern einen Blankoscheck für Transfers hochsensibler Gesundheitsdaten in die ganze Welt abzuverlangen. Dabei versuche es nicht einmal, die Verwendung dieser persönlichen Informationen gesetzeskonform zu erklären.

Zwang zur Datenweitergaben in die USA

Fitbit zwinge die Anwender der App dazu, der Weitergabe erhobener Daten in die USA und andere Länder mit teils ganz anderen Datenschutzbestimmungen als in der EU zustimmen, erklärt Noyb. Klare Informationen über die möglichen Folgen oder auch nur die spezifischen Zielstaaten seien Fehlanzeige. Das führe zu einer Einwilligung, "die weder frei, informiert noch spezifisch ist". Damit verstoße das Unternehmen eindeutig gegen die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Seit diesem Jahr lassen sich Fitbit-Geräte nur noch mit Google-Konto aktivieren.

Unter den mehr oder weniger zwangsweise geteilten Daten befinden sich laut Fitbits Datenschutzrichtlinie nicht nur die E-Mail-Adresse, das Geburtsdatum und das Geschlecht. Die Google-Tochter kann demnach auch "Daten wie Protokolle über Essen, Gewicht, Schlaf, Wasser oder weibliche Gesundheit, einen Wecker und Nachrichten in Diskussionsforen oder an Freunde in den Diensten" weitergeben. Die Firma behält sich auch vor, die Informationen zur Verarbeitung an nicht genannte oder eindeutig verortete Dritte weiterzugeben. Ferner sei es für User unmöglich herauszufinden, "welche ihrer Daten überhaupt betroffen sind", moniert Noyb. Alle drei Beschwerdeführer hätten vorab bei Fitbits Datenschutzbeauftragten von ihrem Auskunftsrecht Gebrauch gemacht – aber keine Antwort erhalten.

Widerruf nur mit Kontolöschung möglich

"Zuerst kauft man eine Fitbit-Uhr für mindestens 100 Euro", gibt Maartje de Graaf, Datenschutzjuristin bei Noyb, zu bedenken: "Dann meldet man sich für ein kostenpflichtiges Abonnement an – nur um festzustellen, dass man 'freiwillig' der Datenweitergabe an Empfänger:innen auf der ganzen Welt zustimmen muss. Fünf Jahre nach Inkrafttreten der DSGVO versucht Fitbit immer noch, einen 'take it or leave it'-Ansatz durchzusetzen." Dieser mache sich etwa auch darin bemerkbar, ein Nutzer seine Einwilligung nur widerrufen könne, indem er sein Konto lösche.

Für Verbraucher bedeutet das Noyb zufolge, den Verlust aller zuvor aufgezeichneten Trainings- und Gesundheitsdaten in Kauf zu nehmen. Diese Regel greife sogar, wenn man ein Premium-Abonnement für 79,99 Euro pro Jahr abschließe. So gebe es keine realistische Möglichkeit, "die Kontrolle über die eigenen Daten zurückzugewinnen, ohne das Produkt unbrauchbar zu machen". Für die Bürgerrechtler steht fest: "Die Nutzung der Fitbit-App muss auch ohne verpflichtende Datentransfers möglich sein." Ausgehend von dem hohen Jahresumsatz der Google-Mutter Alphabet könnten die zuständigen Behörden eine Geldstrafe von bis zu 11,28 Milliarden Euro verhängen.

(mho)