Reizdarm-Daten sind besondere Daten. Bristol-Typ, Schmerz- Skala, Stuhlfrequenz und Trigger-Notizen sind nach Art. 9 DSGVO Gesundheitsdaten — eine Kategorie mit strengeren Regeln als Adresse oder Geburtsdatum. Wer eine Reizdarm-App installiert, lädt freiwillig eine besonders schutzwürdige Datenkategorie in fremde Infrastruktur. Dieser Beitrag zeigt, welche Fragen du vor der Installation stellen solltest — und warum die meisten Apps sie nicht sauber beantworten.
Warum Reizdarm-Einträge unter Art. 9 DSGVO fallen
Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung „besonderer Kategorien personenbezogener Daten" — darunter ausdrücklich Gesundheitsdaten. Art. 4 Nr. 15 DSGVO definiert Gesundheitsdaten als Daten, „die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen". Ein Bristol-Typ-6-Eintrag am Dienstagabend fällt darunter, ein IBS-SSS-Score von 280 auch, ein Eintrag „Blähungen 7/10 nach Zwiebel" ebenfalls.
Die Folge: eine Reizdarm-App darf diese Daten nur mit einer besonderen Rechtsgrundlage verarbeiten — in der Praxis meist Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung) oder, bei Medizinprodukten, lit. h (Gesundheitsvorsorge). „Hab ich den AGB zugestimmt, reicht" reicht nicht. Die Einwilligung muss explizit, informiert und jederzeit widerrufbar sein. Wer nicht wegklärt, was mit den Daten passiert, verstößt strukturell gegen DSGVO.
Zehn Fragen, die du jeder Reizdarm-App stellen solltest
Die folgenden zehn Fragen lassen sich meist in 5 Minuten aus einer guten Datenschutzerklärung beantworten. Wenn eine App mehr als drei davon unbeantwortet lässt, ist das kein gutes Zeichen.
- Wer ist der Verantwortliche? Firmenname, Rechtsform, Sitz, Registergericht, Handelsregisternummer, USt-IdNr. — muss nach Art. 13 DSGVO genannt sein.
- Wo stehen die Server? EU, EWR, USA, weltweit? Welches Land konkret (nicht nur „in der Cloud")?
- Welche Auftragsverarbeiter werden eingesetzt? Hosting, Datenbank, Analytics, Push-Notifications, E-Mail- Versand — jede Kategorie mit Firma, Standort, Rechtsgrundlage für Drittlandtransfer.
- Welche Rechtsgrundlage gilt für welche Daten? Art. 6 (allgemein) vs. Art. 9 (Gesundheitsdaten) — müssen getrennt aufgeführt sein.
- Welche Tracker / SDKs laufen mit? Google Analytics, Facebook SDK, Firebase Crashlytics, Hotjar, Mixpanel, Braze, Adjust, AppsFlyer — besonders bei mobilen Apps verbreitet.
- Werden Daten an Dritte weitergegeben? Werbezwecke, Forschungspartner, Verkauf an Datenbroker — und wenn ja, welche Einwilligung dafür erforderlich ist.
- Wird KI mit deinen Daten trainiert? Reizdarm-Einträge eignen sich formal für medizinische KI-Modelle. Die App muss klar ausweisen, ob deine Daten dafür genutzt werden dürfen.
- Wie lange werden die Daten gespeichert? Konkrete Fristen, nicht „so lange wie erforderlich". Auch was bei Account-Löschung passiert und wann.
- Wie kannst du deine Rechte ausüben? Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) — mit konkreter E-Mail- Adresse oder Self-Service in der App.
- Wer ist deine Aufsichtsbehörde? Bei Privatpersonen in Deutschland die Datenschutzaufsicht des jeweiligen Bundeslandes oder, bei Bundesbehörden, der BfDI.
Fünf häufige Datenschutz-Fallen bei Health-Apps
- „Cloud" ohne Länderangabe. „Wir speichern sicher in der Cloud" ist keine DSGVO-konforme Angabe. Der konkrete Server-Standort ist Pflicht. Indikator für Desinteresse der App an Transparenz.
- Google Analytics ohne IP-Anonymisierung. GA4 mit Standardkonfiguration überträgt Nutzer-IDs an Google Ireland + USA. Das ist bei Gesundheitsdaten ein massives Problem; viele Apps kennen das nicht oder ignorieren es.
- Facebook-SDK in mobilen Apps. Dein Reizdarm- Tracking ist sofort für Facebook-Werbetargeting verfügbar, sobald das SDK läuft — auch ohne Facebook-Account. Im Datenschutzhinweis heißt das oft harmlos „Social Sharing".
- Intransparente KI-Nutzung. „Wir nutzen künstliche Intelligenz, um Muster zu erkennen" ohne Angabe ob Trainingsdaten davon abfließen. Besonders bei „AI-powered" Health-Apps relevant.
- Keine Datenlöschung-Self-Service. Die App verlangt per E-Mail einen Antrag, statt einen „Account löschen"-Button anzubieten. Reibung = weniger ausgeübte Rechte. DSGVO-Art. 17 verlangt einfache Ausübung.
EU-Hosting vs. US-Cloud: warum es einen Unterschied macht
DSGVO-konforme Drittlandtransfers (USA) laufen seit 2023 über das EU-US Data Privacy Framework (EU-US DPF) und, bei DPF- unzertifizierten Anbietern, über Standardvertragsklauseln (SCC) nach Art. 46 DSGVO. Beides ist rechtlich erlaubt, aber mit höherem Risiko und Aufwand verbunden — und Schrems II (EuGH 2020, Schrems III potenziell vor der Tür) macht klar, dass US-Behörden-Zugriff nach FISA 702 ein ungelöstes Problem bleibt.
Für Gesundheitsdaten heißt das praktisch: wenn du die Wahl hast zwischen einer App mit EU-Hosting (Deutschland, Irland, Niederlande — z. B. auf Hetzner, IONOS, Scaleway, OVH, Supabase EU) und einer mit US-Hosting (AWS us-east-1, Google Cloud us-central1), ist die EU-Variante strukturell das geringere Risiko. Weder „wir nutzen SCC" noch „unsere Daten sind verschlüsselt" macht US-Hosting datenschutz-äquivalent — Verschlüsselung schützt gegen den Cloud-Anbieter, nicht gegen Behörden-Requests.
Cookie-Banner und TTDSG §25 — wann brauchst du einen?
Seit TTDSG § 25 (2022) ist Zustimmung erforderlich für alle nicht-technisch-notwendigen Informationen, die auf dem Endgerät gespeichert werden. Konsequenz für Reizdarm-Apps:
- Auth-Session-Cookie, Sprachwahl, UI-Präferenz — technisch notwendig (§ 25 Abs. 2 Nr. 2). Kein Banner nötig.
- Analytics, Tracking-Pixel, Werbe-Cookies — einwilligungspflichtig. Ohne aktive Zustimmung (kein Dark-Pattern, keine Vor-Auswahl) nicht zulässig.
- Local Storage für App-State — technisch notwendig solange nur für Funktionalität.
Eine Reizdarm-App, die komplett ohne Tracker und Werbung arbeitet, braucht kein Cookie-Banner — nur einen Datenschutzhinweis, der die technisch notwendigen Cookies nennt. Mehr dazu in unserer Datenschutzerklärung, die explizit auf § 25 Abs. 2 Nr. 2 abstellt.
Wie DarmKompass mit deinen Daten umgeht
Transparenz-Klarstellung, damit du uns an den gleichen Fragen misst:
- Server-Standort: Supabase in der EU (Irland + Deutschland) — keine US-Cloud. Details in unserer Datenschutzerklärung.
- Auftragsverarbeiter: Supabase (Hosting), Cloudflare (Edge-Proxy, DPF-zertifiziert), Google Ireland (optionales Sign-In), webgo (E-Mail) — alle mit AV-Vereinbarungen nach Art. 28 DSGVO.
- Tracker: keine. Kein Google Analytics, kein Meta-Pixel, kein Hotjar, kein Braze, kein SDK-Framework für mobile Tracking. Statistik über selbst-gehostetes Plausible ohne Personen-Bezug.
- KI-Training: deine Daten werden nicht für KI-Modell-Training verwendet. Kein Dritter bekommt aggregierte Daten zu Forschungs- oder Werbezwecken.
- Account-Löschung: in der App unter „Einstellungen → Daten" — 1 Klick, vollständige Löschung, keine Rückfragen. Export als CSV vor der Löschung möglich.
- Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.
Diese Praxis ist nicht Selbstlob — sie ist das Minimum, das sich aus den Regeln ableitet. Jede App, die ähnliche Antworten geben kann, ist eine valide Wahl. Der Artikel vergleicht uns offen mit fünf anderen Apps unter Reizdarm-Apps im Vergleich.