Es ist nicht das erste Mal, dass sich die Wiener NGO noyb rund um den Datenschutz-Aktivisten Max Schrems mit der Google-Mutter Alphabet anlegt. Anfang 2022 erzielte die Organisation etwa einen Behördenentscheid zur Nutzung von Google Analytics. Nun nahm noyb den Fitness-Tracker-Uhren-Anbieter Fitbit, der seit 2021 eine Alphabet-Tochter ist, genauer unter die Lupe. Dabei fällt die NGO ein vernichtendes Urteil.

„Einwilligung, die eindeutig nicht den Anforderungen der DSGVO entspricht“

„Fitbit zwingt seine Nutzer:innen, der Weitergabe sensibler Daten zuzustimmen, ohne klare Informationen über die möglichen Folgen oder die spezifischen Zielländer der Datentransfers bereitzustellen“, heißt es in einem Blog-Beitrag von noyb. Dies führe zu einer Einwilligung, die weder frei, informiert noch spezifisch sei und somit „eindeutig nicht den Anforderungen der Datenschutzgrundverordnung (DSGVO)“ entspreche. Ohne diese Einwilligung sei die Fitness-Uhr „nutzlos“.

Fitbit kann Daten über Essen, Gewicht, weibliche Gesundheit und Co. an unbekannte Dritte weitergeben

Bei den betroffenen Daten, die von Fitbit weitergegeben werden können, handelt es sich nicht nur um die E-Mail-Adresse, das Geburtsdatum und das Geschlecht von Nutzer:innen sondern auch um „Daten wie Protokolle über Essen, Gewicht, Schlaf, Wasser oder weibliche Gesundheit, einen Wecker und Nachrichten in Diskussionsforen oder an Freunde in den Diensten“. Dazu heißt es von noyb weiter: „Die gesammelten Daten können sogar zur Verarbeitung an Drittunternehmen weitergegeben werden, von denen wir nicht wissen, wo sie sich befinden. Darüber hinaus ist es für Nutzer:innen unmöglich herauszufinden, welche ihrer Daten überhaupt betroffen sind“.

„Keine realistische Möglichkeit, die Kontrolle über die eigenen Daten zurückzugewinnen“

Auch sei es für Nutzer:innen nicht einfach möglich, die Datentransfers zu widerrufen – eigentlich ein gemäß DSGVO zugesichertes Recht. Laut Fitbit-Datenschutzrichtlinien muss eine Person, die ihre Einwilligung widerrufen möchte, ihr Konto löschen. „Für die Verbraucher:innen bedeutet das den Verlust aller zuvor aufgezeichneten Trainings- und Gesundheitsdaten. Diese Regel greift sogar dann, wenn man ein Premium-Abonnement für 79,99 Euro pro Jahr abschließt. Es gibt also keine realistische Möglichkeit, die Kontrolle über die eigenen Daten zurückzugewinnen, ohne das Produkt unbrauchbar zu machen“, kommentiert noyb.

Laut noyb bis zu 11,28 Mrd. Euro Strafe für Alphabet wegen Fitbit möglich

noyb legte daher in Österreich, den Niederlanden und Italien jeweils Beschwerden ein. Man fordere die zuständigen Datenschutzbehörden dazu auf, Fitbit anzuweisen, alle obligatorischen Informationen über die Datenübertragungen mit seinen Nutzer:innen zu teilen, heißt es von noyb, „Die Nutzung der Fitbit-App muss auch ohne verpflichtende Datentransfers möglich sein“.

Und die NGO rechnet vor: „Ausgehend von Alphabets Jahresumsatz 2022 könnten die zuständigen Behörden eine Geldstrafe von bis zu 11,28 Milliarden Euro verhängen“. Die Facebook- und Instagram-Mutter Meta kam erst zum Jahreswechsel 2022/2023 mit einer durch noyb erwirkten 390 Millionen-Euro-Strafe vergleichsweise günstig davon.