Datenpetze: Doctolib reicht deine Daten an Facebook und Outbrain weiter

Aktuell geht der Fall des französischen Anbieters Doctolib durch die Medien. Dieser stellt sowohl eine App gleichen Namens als auch eine Software zur Terminvereinbarung mit Ärzten bereit. Die App wird von Privatleuten genutzt, die Terminvereinbarungssoftware kommt bei Ärzten zum Einsatz. Nun wurde bekannt, dass die Android-App des Anbieters Daten für Online-Werbung an Facebook und Outbrain weiter reichte. Der Anbieter ist aber schon länger in der Kritik, so gab es voriges Jahr ein Datenleck. Ich habe das Ganze daher mal etwas ausführlicher beleuchtet.

Die Anwendung Doctolib ist angetreten, die Onlinebuchung von Terminen bei Ärzten zu revolutionieren. Einfach alles im Rahmen der Telemedizin digital erledigen – echt cool, so dass die Software in Berlin auch zur Terminabstimmung für COVID-19-Impfungen verwendet wird. Es gibt auch eine App für Android und für iOS, und da hat mal jemand genauer hingeschaut. Ein klein bisschen doof ist, dass diese App-Lösung für Android die persönlichen Daten für Online-Werbung gleich an Facebook und Outbrain weiter reichte. So in der Art: Du suchst gerade nach einem bestimmten Volksleiden und einem Arzt zur Behandlung? Da Du Privatpatient bist, hülfe gegen deine Hämorriden die Salbe beim Anbieter xyz. Eine echte Win-Win-Situation.

Es ist mal wieder ein Paradebeispiel für den Schlitten in Schussfahrt bergab, auf den viele Nutzer und auch Politiker und Verbandfunktionäre so ganz naiv drauf hüpfen. Denn Digitalisierung ist einfach hipp, wir haben sogar eine Staatssekretärin, Frau D. Bär von der CDU in Bayern abgeordnet, die den Datenschutz in diesem Bereich als eher nachrangig ansieht – gut die haben da eh so ihre Probleme mit (siehe Bayern: Versagen bei Digitalisierung an Schulen – der Datenschutz hat Schuld – ok, ist unfaire Dialektik).

Kleine Einordnung der Beteiligten

In nachfolgendem Text geht es um den Anbieter Doctolib, um Sicherheit und um Facebook sowie Outbrain. Zur Orientierung der Leserschaft hier ein grober Überblick, was es zu den Beteiligten zu wissen gibt. Mit dem Sozialen Netzwerk Facebook wird zwar jeder was anfangen können. Aber wer sind Dotolib und Outbrain?

Wer oder was ist Doctolib?

Doctolib SAS ist ein französisches Technologieunternehmen mit Sitz in Paris, das zufällig eine Spezialsoftware anbietet, die unter anderem die Online-Buchung von Terminen bei Ärzten, das Terminmanagement in Praxen und Gesundheitseinrichtungen sowie telemedizinische Videosprechstunden ermöglicht. Lässt sich alles auf Wikipedia mit Quellennachweis nachlesen.

Die Doctolib GmbH (Sitz: Berlin), ein Tochterunternehmen der Doctolib SAS, ist seit Sommer 2016 in Deutschland für die E-Health-Angebote des Unternehmens verantwortlich. Nach Unternehmensangaben nutzten Anfang 2017 zirka 17.000 Ärzte und 435 Gesundheitseinrichtungen in Frankreich und Deutschland die Plattform.

Im Juli 2020 wurde Doctolib zum Ziel einer Cyberattacke, die vom Unternehmen gestoppt werden konnte. Patientendaten wurden nicht entwendet. Im Sommer 2020 übernahm Doctolib zusammen mit der Kassenärztlichen Vereinigung Niedersachsen die Online-Terminvereinbarungen für Covid-19-Tests. Besonders brisant: Seit dem Jahreswechsel 2020/2021 kommt die Software des Unternehmens zudem in Berlin und Frankreich bei der Koordination von Terminen für Impfungen gegen COVID-19 zum Einsatz.

Wer oder was ist Outbrain?

Bei Outbrain handelt es sich um eine Web-Werbeplattform, die Boxen mit Links, so genannte Chumboxes, auf Seiten innerhalb von Websites anzeigt. Über die Links zu den gesponserten Inhalten generiert Outbrain Einnahmen für den Publisher. Das Modell von Outbrain wird aber wohl mehrheitlich als minderwertig und Clickbait angesehen (so in der Art "als sie das Foto ihres Ehemannes sah und genauer hinschaute, kam die ganze Wahrheit heraus".

Es gibt Leute, die Outbrain (und andere Anbieter wie Taboola) als eine wichtige Einnahmequelle für Publisher sehen. Fusionspläne zwischen Outbrain und Taboola sind meinen Informationen nach 2020 gescheitert. Ich hatte mal in 2020 mit Taboola Kontakt, weil die hier im Blog eingebunden werden wollten – ich habe mich, aber auf Grund der vorgelegten Geschäftsbedingungen dagegen, entschieden.

Aktuell ist hier im Blog am Artikelende ein ähnlicher Mechanismus von Google Adsense eingebunden, der Artikelvorschläge aus meinen Blogs, angereichert um gekennzeichnete Werbung, einblendet. Die Einnahmen  sind arg überschaubar – aber noch bin ich mir unschlüssig, ob ich das Ganze wieder rauswerfen möchte.

Worum geht es beim Doclib-Skandal genau?

Das Problem ist, dass Doclib in seiner Software sowohl Facebook als auch den Anbieter Outbrain (für Werbezwecke) einsetzt(e). Damit werden die Daten an diese beiden Unternehmen weiter gereicht. Facebook sowie Outbrain in einer Software (hier eine Android-App), die in so sensiblen Bereichen wie Terminverwaltung für Ärzte oder Impfungen eingesetzt wird, geht erst recht nicht. Es ist also nur eine Frage der Zeit, bis es knallt. Auch sonst scheint es der Anbieter mit dem Punkt Datenschutz locker zu nehmen.

Bereits vor Monaten klagten einige französische Ärzteverbände gegen die Einbindung von Doctolib bei der Vergabe von Impfterminen in Frankreich. Die Begründung: Doctolib speichere Daten auf Servern von Amazon in den Vereinigten Staaten, die Einhaltung europäischer Datenschutzvorschriften sei nicht gewährleistet. Das Ganze poppte jetzt in den Medien auf, weil der Ansatz breiter bekannt wurde. Der Conseil d'État, das oberste Verwaltungsgericht Frankreichs, widersprach den Klägern am 12. März 2021, der Schutz der Daten sei ausreichend.

2021 erhielt das Unternehmen den Big Brother Award, weil es nach Ansicht des Vereins Digitalcourage die Vertraulichkeitspflicht missachte und Daten von Nutzern und Patienten aus Arztpraxen für Marketingzwecke nutze. Riecht irgendwie nach "die Sache hat Methode".

Jetzt geht es um die Doclib-Android App

Die Kollegen von heise adressierten es in obigem Tweet und haben weitere Details in diesem Artikel zusammen getragen. In kurz: Die Seite mobilsicher.de hat in diesem Artikel die Erfahrungen mit der Doctolib-App für Android (Version 3.2.26) öffentlich gemacht.

Wer die App installiert, bekommt bei der ersten Nutzung die nachfolgende Information, in der die Verwendung der Daten angezeigt und eine Zustimmung gefordert wird. Stimmt der Benutzer zu, was die meisten tun dürften, überträgt die App eine Reihe Daten an Facebook sowie Outbrain.

Datenschutzzustimmung der Doctolib-App

Die Leute von mobilsicher.de haben sich die ausgetauschten Ergebnisse im Detail angesehen. Und die haben es in sich, denn die folgenden Daten können dort im Austausch auftauchen:

• eine marketerID von Outbrain oder die Facebook-ID
• der Link von doctolib.de
• die in der App verwendeten Suchworte wie urologie etc.
• unter „insuranceSector=private" ist vermerkt, wenn man sich als privat versichert ausgibt
• die gewünschte Behandlung

Für den letzten Punkt geben die Leute von mobilsicher.de folgendes an: "motiveKey=Vorgespräch Vasektomie/Sterilisation Mann". Also richtig nett, was die App mitsamt der IP-Adresse des App-Benutzers an Facebook oder Outbrain so ausplaudert.

Facebook verbietet m.W. übrigens seinen Vertragspartner die Übertragung persönlicher Daten aus dem Medizinbereich. Da hat Doclib wohl nicht richtig gelesen.

Allerdings bleibt im konkreten Fall festzuhalten, dass keine Informationen über tatsächlich gebuchte Termine ausgetauscht werden, sondern nur das, was der Benutzer in der Suche nach einem Arzt so alles eingibt. Da aber die IP-Adresse von Datenschützern als privates Datum angesehen wird, und die Informationen aus der Suche sehr sensibel sein können, ist das eher ein Fall von No-Go.

DSGVO-Zustimmung gültig oder nicht?

Der Jurist und Politiker Patrick Breyer, der für die Piratenpartei im Europäischen Parlament sitzt, hat gegenüber mobilsicher.de seine Einschätzung bezüglich der oben angezeigten "Einwilligung" abgegeben::

Wenn das die einzige Einwilligung ist, deckt das natürlich nicht die Übermittlung von Inhalten und Schlüsselworten ab.

Was Beyer vom Berliner Senat (die sind auch bei der Luca-App vorne mit dabei) und dessen Beauftragung für die Vergabe von Impfterminen hält, lässt sich in einem Satz zusammen fassen:

Die öffentliche Hand sollte die Finger davon lassen, siehe BigBrother-Award …

Doctolib hat reagiert

Die Leute von mobilsicher.de geben aber an, dass sie das Unternehmen Doctolib kontaktiert hatten. Am Freitag, den 18.06.2021, reagierte Doctolib und entfernte die kritisierten Cookies von der Webseite. Beim erneuten Test am 21.06.2021 fand keine Übermittlung von Daten an Facebook oder Outbrain statt. Dr. Ilias Tsimpoulis, Geschäftsführer von Dotolib, führte gegenüber mobilsicher.de als Zweck folgendes aus:

Die beiden Cookies dienten dazu, den Erfolg unserer Marketing-Kampagnen zu messen.

Beantwortet nicht, warum die Suchwörter sowie die Angaben zum Versicherungsstatus mitsamt der IP erfasst wurden. Jetzt wurde entschieden, die Kampagnenmessung über die beiden Drittanbieter ganz einzustellen. Dazu sagt der Unternehmensvertreter:

Wir haben bei Facebook und bei Outbrain veranlasst, dass alle über die Cookies erfassten Daten aus der Vergangenheit gelöscht werden.

Meine zwei Cents: Es stinkt

Mein Problem bei dem ganzen Ansatz: Der Anbieter ist in einem äußerst sensiblen Bereich unterwegs – da hätte ich eigentlich erwartet, dass da eine sehr hohe Sensitivität in Sachen Privatsphäre und Datenschutz herrscht. Lese ich mir die Unternehmensaussagen hier bezüglich Datenschutz durch, heißt es unter Punkt 4:

Wir sind der Meinung, dass Informationen, die unsere Gesundheit betreffen, persönlich sind und dass Datenschutz unerlässlich ist.

Wir halten alle europäischen und nationalen Vorschriften ein, insbesondere die Datenschutzgrundverordnung (DSGVO). Wir arbeiten Hand in Hand mit öffentlichen und privaten Institutionen, um den strengsten Regeln des Datenschutzes zu entsprechen.

Wir bemühen uns, die höchsten Sicherheitsstandards für die Daten der Doctolib-Nutzer:innen aufrechtzuerhalten, dank sicherer, für das Gesundheitswesen zertifizierter Rechenzentren in Frankreich und in Deutschland, Verschlüsselung auf mehreren Ebenen und den fortschrittlichsten Sicherheitsmaßnahmen. Wir schützen unsere Dienste mit fortschrittlichen Algorithmen, die in der Lage sind, Cyberangriffe abzuwehren. Wir wissen, dass es 100 % sichere IT-Systeme nicht gibt, aber wir arbeiten unermüdlich an diesem Ziel.

Bei Doctolib geben wir unseren Nutzer:innen:innen die volle Kontrolle über ihre Gesundheitsdaten. Sie sind vertraulich und nur Patient:innen und Gesundheitsfachkräfte können darauf zugreifen. Doctolib ist nicht in Besitz der Gesundheitsdaten der Nutzer:innen und kann und wird diese nicht verwenden. Es steht den Nutzer:innen frei ihre Daten wiederzuerlangen oder zu vernichten. Wenn das Doctolib-Konto nicht mehr genutzt werden soll, können die Nutzer:innen die an Doctolib übermittelten Daten (einschließlich ihrer Dokumente) jederzeit eigenständig löschen.

Doctolib verwendet diese Daten nicht für andere Zwecke, verkauft sie nicht und gibt sie unter keinen Umständen an kommerzielle Anbieter weiter. Dies ist unethisch, durch europäische und nationale Gesetze verboten und wird mit Geld- und Freiheitsstrafen geahndet. Das Geschäftsmodell von Doctolib basiert nicht auf der Nutzung dieser Daten oder auf der Einblendung von Werbung, sondern auf einem Abonnement-System für unsere medizinische Software, das von den ÄrztInnen und den Gesundheitsfachkräften bezahlt wird.

Spiegele ich das an dem, was weiter oben ausgebreitet wird, passt das alles hinten und vorne nicht zusammen. Die eingangs skizzierten Sachverhalte mit Klagen französischer Ärztevertreter und der jetzt aufgeflogene Fall zeigen, dass das wohl hehre Ansprüche auf Papier stehen, die in der Praxis nicht gelten.

Politik wäscht die Hände in Unschuld

Ob ein Einsatz in Arztpraxen, gedeckt durch die Kassenärztliche Vereinigung ,oder die Verwendung bei der Impfterminvergabe im Auftrag eines Bundeslandes beibehalten werden darf, mag ich nicht beurteilen. Zumindest herrscht da in Berlin eine ziemliche Blauäugigkeit, denn mobilsicher.de zitiert die Presseabteilung des Berliner Gesundheitssenats, auf die Frage, ob man die Einwilligung für das beschriebene Verhalten des Dienstes für ausreichend halte:

Wir haben die Bestätigung von Doctolib, dass alle Applikationen DSGVO konform betrieben werden. Eine genaue Analyse dieses spezifischen Falles wurde nicht durchgeführt.

Eine tiefergehende technische Prüfung aller Aspekte der Datensicherheit und des Datenschutzes konnte zum damaligen Zeitpunkt nicht erfolgen und es gab angesichts der vorgelegten Unterlagen und Erklärungen auch keinen akuten Anlass dazu. Sollte es einen Anlass geben, wird die Senatsverwaltung für Gesundheit, Pflege und Gleichstellung die nötigen Maßnahmen ergreifen.

Klar, es ist nachvollziehbar, dass man nicht alles und jedes kontrolliert (der Anbieter wirbt am Ende seiner Homepage mit ips-Güte- und TÜV Saarland geprüftem Datenschutz-Siegel) – aber stichprobenartig könnte man schon nachschauen – speziell, wenn man sich über den Anbieter informiert. Ich drücke es mal so aus: Ich habe kein gutes Gefühl und würde einen weiten Bogen um diesen Anbieter machen. Leider besteht die Befürchtung – ich sehe es als Gewissheit – das es nicht lange braucht, bis der nächste Datenschutzvorfall zu vermelden ist – denn diese Blau- oder Hemdsärmeligkeit scheint Usus in der Branche zu sein. Ich weiß schon, warum ich einen Bogen um Gesundheits-Apps mache.

Was sagen die Datenschutzbeauftragten?

Offen ist für mich auch die Frage, wie eigentlich der Bundesdatenschutzbeauftragte, und beispielsweise der Landesdatenschutzbeauftragte Berlins, die "DSGVO-Konformität" des obigen Falls sieht. Da herrscht bisher m.W. noch Schweigen. Falls wer aus der Leserschaft die App genutzt hat, könnte sich diesen Artikel bei heise zu den Auskunftsrechten zu Gemüte führen und nachhaken sowie Beschwerde beim zuständigen Bundes- oder Landesdatenschutzbeauftragten einreichen.

Und was war mit der Sicherheitslücke?

Ich muss leider was ergänzen: Was ich auch noch nicht thematisiert habe: Heute, am 23. Juni 2021, berichtet Zeit Online in diesem Artikel erneut von einem alten Flop. Nach Recherchen konnten auch Dritte wegen einer Sicherheitslücke bis 2020 auf Arzt- oder Impftermine sowie Daten von Ärzten zugreifen – das ist etwas außerhalb des obigem Falls mit der App. Zitat:

Bis Mitte 2020 soll ein Datensatz von 150 Millionen Terminvereinbarungen für Unbefugte frei im Internet zugänglich gewesen sein. Teils ließen sich Sprechstundenbesuche bis ins Jahr 1990 zurückverfolgen. Mitgliedern des Chaos Computer Clubs sind diese Daten sowie Informationen über die Sicherheitslücke anonym zugespielt worden.

Mutmaßlich scheinen die Daten über die Software von Doctolib abgeflossen zu sein. Leider ist der Zeit-Online-Artikel teilweise hinter einer Paywall – der Fall ging im Dezember 2020 schon mal durch die Medien (siehe diesen SPON-Beitrag). Warum Zeit Online das Thema jetzt wieder hochholt? Eine Doctolib-Sprecherin hatte Ende 2020 den Umfang des Datenlecks gegenüber Zeit Online klein geredet. Laut Unternehmen sei die Anschuldigung über ein Leck von 150 Millionen Terminen zu 100 Prozent falsch. Es wären nur 45 Termine betroffen gewesen. Zeit Online konnte nun die zu Beweiszwecken von einem unbekannten Entdecker heruntergeladenen Datensätze einsehen und auf Plausibilität prüfen. Laut dem Medium handelt es sich nicht um 45 Einzelfälle, sondern um "einige Tausend Datensätze". Das Ende der Fahnenstange ist noch nicht erreicht, aber abwiegeln ist beim Anbieter wohl Programm. An dieser Stelle möchte ich rufen: Was denn noch?

Vor 28 Jahren habe ich über meine Tätigkeit in der Prozessdatenverarbeitung im Chemiebereich auch im Labor- und Pharmabereich gearbeitet. Wenn solche Abweichung zwischen Dokumentation und durchgeführten Prozessen dort aufgetreten wären, hätten die Aufsichtsbehörden die gesamte Produktion oder die Labors rigoros wegen Unzuverlässigkeit des Anbieters dicht gemacht. Aber im Gesundheitswesen darf jeder Anbieter offenbar fröhlich weiter werkeln. Da passt doch was nicht.

Ähnliche Artikel:
Corona-Tests: Datenleck legt persönliche Daten und Ergebnisse offen
Übermittelt die Corona-Warn-App des RKI ungewollt Benutzerdaten an Google?
Sicherheitslücke in Corona-Warn-App-Server gefunden
Der CCC und der Hack der digitalen "Corona-Listen"
Hack dein Gesundheitsamt, die Luca-App machte es möglich
Lizenzärger: Die Luca-App und die Open Source-Klippen
Der Schweizer Impfpass: Gescheitert an der Sicherheit
Datenschutz-GAU: Finger weg von der Gesundheits-App Vivy