DSGVO und Sport-Apps: Wer sieht deine Gesundheitsdaten?

Deine Sport-App weiß, wann du aufstehst, wie dein Herz im Schlaf schlägt, wo du wohnst und welche Route du jeden Dienstag läufst. Kaum eine andere App-Kategorie sammelt so viele intime Daten wie Fitness-Tracker — und kaum eine wird so sorglos installiert. Dabei gelten Herzfrequenz, Schlaf und Standortverläufe nach der DSGVO als besonders schützenswerte Daten. Dieser Artikel zeigt, welche Daten Sport-Apps tatsächlich sammeln, wohin sie fließen, welche Rechte dir die DSGVO konkret gibt — und woran du erkennst, ob eine App verantwortungsvoll mit deinen Gesundheitsdaten umgeht.

Warum deine Sportdaten besonders schützenswert sind

Die Datenschutz-Grundverordnung definiert in Artikel 9 eine Kategorie „besonderer" personenbezogener Daten — darunter ausdrücklich Gesundheitsdaten. Genau dahinein fallen die Kernmetriken jeder Sport-App: Herzfrequenz und Herzfrequenzvariabilität verraten Belastungszustand, Fitness und potenzielle Erkrankungen. Schlafdaten zeigen Schlafqualität, Schichtrhythmen und Erschöpfungszustände. Wer diese Daten über Monate auswertet, kennt deinen Gesundheitszustand teilweise besser als dein Hausarzt.

Mindestens ebenso sensibel sind die Standortdaten: Aus wiederkehrenden GPS-Tracks lassen sich Wohnung, Arbeitsplatz und Tagesablauf präzise rekonstruieren. Wie real das Risiko ist, zeigte 2018 der Fall der Strava-Heatmap — aus den aggregierten, „anonymisierten" Bewegungsdaten von Soldaten ließen sich plötzlich die Laufwege und Layouts geheimer Militärstützpunkte im Ausland ablesen. Anonymisierung von Bewegungsdaten ist weit schwerer, als die Werbung der Anbieter glauben macht.

Deshalb stellt die DSGVO an die Verarbeitung von Gesundheitsdaten strengere Anforderungen: Sie braucht in der Regel eine ausdrückliche Einwilligung — nicht ein bloßes Häkchen in den AGB —, besondere Sicherheitsmaßnahmen und eine transparente Information darüber, wer was wozu verarbeitet. Genau diese Transparenz ist es, die du als Nutzer einfordern kannst und solltest.

Was Sport-Apps typischerweise sammeln — und wohin die Daten fließen

Die Datensammlung moderner Fitness-Apps geht weit über die Trainingswerte hinaus, die du auf dem Display siehst. Fünf Kategorien sind üblich:

• Körper- und Gesundheitsdaten: Gewicht, Größe, Alter, Ruhepuls, HRV, Schlafzeiten, teils Blutdruck und Zyklusdaten.
• Trainingsdaten: Distanz, Tempo, Leistung, Trainingszeiten — daraus entstehen Fitnessverläufe über Jahre.
• Standortdaten: GPS-Tracks jeder Einheit, oft auch Hintergrund-Standort für Live-Tracking.
• Geräte- und Nutzungsdaten: Gerätemodell, IP-Adresse, App-Nutzungsverhalten, Klickpfade.
• Profil- und Kontaktdaten: Name, E-Mail, Zahlungsdaten, teils Adressbuch-Zugriff für „Freunde finden".

Kritisch wird es beim Weg der Daten: Viele Apps — vor allem kostenlose — finanzieren sich über Werbung und Analyse-Drittanbieter. Auswertungen von Datenschutzorganisationen an populären Fitness-Apps fanden regelmäßig Dutzende eingebetteter Tracker, die Gerätekennungen und Nutzungsverhalten an Werbenetzwerke weiterreichen. Dazu kommt die Serverfrage: Anbieter mit Sitz oder Cloud-Infrastruktur in den USA unterliegen dem US CLOUD Act — US-Behörden können dort unter Umständen auch auf Daten europäischer Nutzer zugreifen, ohne dass du davon erfährst.

Deine Rechte nach der DSGVO — konkret für Sport-Apps

Die DSGVO ist keine Theorie: Sie gibt dir fünf handhabbare Werkzeuge, die jeder App-Anbieter in der EU — und jeder Anbieter, der EU-Nutzer bedient — erfüllen muss:

• Auskunft (Art. 15): Du darfst jederzeit erfragen, welche Daten über dich gespeichert sind, woher sie stammen, wozu sie verarbeitet werden und wer sie erhält. Eine formlose E-Mail genügt, die Antwort ist kostenlos und muss grundsätzlich binnen eines Monats kommen.
• Berichtigung (Art. 16): Falsche Einträge — etwa ein falsches Geburtsdatum oder veraltete Körperdaten — müssen korrigiert werden.
• Löschung (Art. 17): Das „Recht auf Vergessenwerden". Ziehst du die Einwilligung zurück oder löschst dein Konto, müssen Trainingsdaten, Profil und Standortverläufe entfernt werden. Ausnahmen gelten nur für gesetzliche Aufbewahrungspflichten, etwa bei Rechnungsdaten.
• Datenübertragbarkeit (Art. 20): Du kannst deine Daten in einem gängigen, maschinenlesbaren Format verlangen — praktisch relevant, wenn du mit deinem jahrelangen Trainingsarchiv zu einer anderen App wechseln willst.
• Widerspruch (Art. 21): Verarbeitungen auf Basis von „berechtigtem Interesse" — die Lieblingsklausel der Werbeindustrie — kannst du jederzeit widersprechen.

Ignoriert ein Anbieter diese Rechte, kannst du dich bei der Aufsichtsbehörde beschweren — in Österreich ist das die Datenschutzbehörde (DSB), in Deutschland die Landesdatenschutzbehörden. Die Beschwerde ist kostenlos und verpflichtet die Behörde zur Prüfung.

Woran du eine datenschutzfreundliche Sport-App erkennst

Sechs Prüfpunkte, bevor du einer App deinen Puls anvertraust:

• Sitz und Serverstandort: Anbieter mit Sitz in der EU und Servern in europäischen Rechenzentren unterliegen direkt der DSGVO — ohne Umweg über Drittland-Transfers. Ein Blick ins Impressum und in die Datenschutzerklärung genügt.
• Geschäftsmodell: Bezahlt du mit Geld oder mit Daten? Kostenlose Apps mit aggressiver Werbung finanzieren sich typischerweise über Nutzerdaten. Ein faires Abo-Modell ist oft die datenschutzfreundlichere Option.
• Verständliche Datenschutzerklärung: Seriöse Anbieter erklären in klaren Abschnitten, welche Daten wohin fließen und welche Auftragsverarbeiter eingesetzt werden. Vierzig Seiten Juristendeutsch ohne konkrete Angaben sind ein Warnsignal.
• Minimale Berechtigungen: Eine Lauf-App braucht Standort während der Einheit — nicht dauerhaft im Hintergrund, und schon gar keinen Zugriff auf Kontakte oder Mikrofon.
• Selbstbedienung bei Export und Löschung: Datenexport und Konto-Löschung sollten ohne E-Mail-Pingpong möglich sein. Wer die Löschung versteckt oder an Bedingungen knüpft, verstößt gegen den Geist von Art. 17.
• KI-Verarbeitung im Blick: Nutzt die App KI-Funktionen, sollte klar sein, welche Daten dafür an welches Modell gehen. Verantwortungsvolle Anbieter pseudonymisieren personenbezogene Angaben, bevor sie an KI-Dienste übergeben werden.

Sechs Sofort-Maßnahmen für mehr Datenschutz beim Training

Du musst nicht auf neue Anbieter warten — diese Schritte setzt du heute in zehn Minuten um:

• Berechtigungen prüfen: In den Systemeinstellungen Standort auf „nur während der Nutzung" setzen und Kontakte-, Mikrofon- und Foto-Zugriffe entziehen, die die App nicht zwingend braucht.
• Profil auf privat stellen: Die meisten Fitness-Plattformen starten mit öffentlichen Profilen. Wer nicht explizit umstellt, teilt Trainingszeiten, Strecken und Wohnumfeld mit dem Internet.
• Heatmaps und Flyby-Funktionen deaktivieren: Öffentliche Karten und „wer war sonst noch hier"-Features verraten Startpunkte und Routen — abschalten oder auf Follower beschränken.
• Privatsphäre-Zonen einrichten: Viele Apps bieten Zonen, in denen GPS-Tracks verschleiert werden — etwa 500 Meter rund um Wohnung und Arbeitsplatz. Aktivieren kostet eine Minute.
• Pseudonym nutzen: Für die Trainingsanalyse braucht niemand deinen echten Namen. Ein Spitzname schützt dich vor dem Zusammenführen deiner Sportdaten mit anderen Profilen.
• Altkonten aufräumen: Apps, die du nicht mehr nutzt, weiter Daten horten lassen ist unnötiges Risiko. Exportieren, was du behalten willst — dann Konto und Daten löschen.

Wie Peakora Datenschutz konkret umsetzt

Peakora wird in Österreich entwickelt und auf Servern in der EU betrieben — die DSGVO gilt hier nicht nur auf dem Papier, sondern technisch: Es gibt keine Werbenetzwerke in der App, keine Tracker von Drittanbietern und keinen Verkauf oder Weitergabe von Nutzerdaten. Die Finanzierung läuft ausschließlich über das Abo-Modell — du zahlst mit Geld, nicht mit deinen Trainingsdaten.

Bei den KI-Funktionen gilt ein strenges Prinzip: Bevor Trainingsinhalte an das Sprachmodell gehen, werden personenbezogene Angaben pseudonymisiert, und die Verarbeitung erfolgt über einen EU-Endpunkt mit Auftragsverarbeitungsvertrag. Dein Name, deine E-Mail und andere Identifikatoren verlassen die EU dabei nicht. Wie der KI-Trainingsplan im Vergleich zum klassischen Plan technisch funktioniert, beschreibt ein eigener Artikel — die Datenschutz-Architektur dahinter ist in der Datenschutzerklärung öffentlich dokumentiert.

Auch die DSGVO-Rechte sind als Selbstbedienung gebaut: Deine Trainingsdaten bleiben über den Server-Sync geräteübergreifend verfügbar, und die Konto-Löschung entfernt Konto, Synchronisationsdaten und verknüpfte Tokens vollständig — ohne Rückfragen, ohne Wartezeit. Die Löschung funktioniert direkt in der App oder über die öffentliche Seite peakora.at/konto-loeschen.

Häufige Fragen zu DSGVO und Sport-Apps

Zählen die Daten meiner Sportuhr als Gesundheitsdaten?

Ja, sobald sie Rückschlüsse auf deine Gesundheit zulassen. Herzfrequenz, Herzfrequenzvariabilität, Schlafzeiten und Blutdruck aus Fitness-Apps fallen unter Art. 9 DSGVO und genießen besonderen Schutz. Auch GPS-Tracks sind heikel, weil sie Wohnort und Arbeitsplatz verraten.

Darf eine Sport-App meine Daten in die USA übertragen?

Ja, aber nur unter Auflagen. Die Übertragung braucht eine Rechtsgrundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. Der Anbieter muss dich in seiner Datenschutzerklärung darüber informieren, welche Daten wohin fließen und auf welcher Grundlage.

Wie bekomme ich alle Daten, die eine App über mich gespeichert hat?

Über das Auskunftsrecht nach Art. 15 DSGVO: Schreibe dem Anbieter eine formlose E-Mail und bitte um vollständige Auskunft inklusive aller gespeicherten Daten und Empfänger. Die Antwort muss grundsätzlich innerhalb eines Monats kostenlos erfolgen.

Was passiert mit meinen Daten, wenn ich mein Konto lösche?

Der Anbieter muss deine personenbezogenen Daten nach Art. 17 DSGVO vollständig löschen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen — etwa für Rechnungsdaten. Trainingsdaten, Profil und Standortverläufe haben danach nichts mehr auf den Servern zu suchen.

Muss ich in Sport-Apps meinen echten Namen angeben?

Nein, das Prinzip der Datenminimierung erlaubt Pseudonyme. Für das Training braucht keine App deinen echten Namen — relevant ist er höchstens bei kostenpflichtigen Abos für die Rechnungsstellung. Öffentliche Profile funktionieren mit jedem beliebigen Namen.