DSGVO einfach erklärt: Was sie für Zyklusdaten bedeutet

Die DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679) ist das EU-Gesetz, das regelt, wann Unternehmen personenbezogene Daten verarbeiten dürfen und welche Rechte Sie als betroffene Person gegenüber ihnen haben. Sie gilt nach ihrem Art. 99 Abs. 2 seit dem 25. Mai 2018 unmittelbar in allen EU-Staaten (DSGVO auf EUR-Lex). Für Sie als Nutzerin einer Zyklus-App ist sie vor allem ein Werkzeug: Sie können damit erfragen, was über Sie gespeichert ist, es korrigieren, exportieren oder löschen lassen.

Die meisten Erklärungen zur DSGVO richten sich an Firmen. Dieser Text dreht die Perspektive um. Er zeigt, was Sie mit der Verordnung konkret anfangen können, wenn Sie Basaltemperatur, Periodentage und Notizen digital festhalten.

Was die DSGVO regelt – in vier Begriffen

Wer den Gesetzestext öffnet, stößt auf 99 Artikel und 173 Erwägungsgründe (Volltext der Verordnung, EUR-Lex). Für den Alltag genügen vier Begriffe, jeweils in Art. 4 der Verordnung definiert:

• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen – Ihr Name, Ihre E-Mail-Adresse, aber auch eine Temperaturkurve, sobald sie einem Konto zugeordnet ist.
• Verarbeitung: Praktisch jeder Umgang mit diesen Daten, vom Speichern über das Auswerten bis zum Löschen.
• Verantwortlicher: Das Unternehmen, das entscheidet, wozu und wie Daten verarbeitet werden – bei einer App in der Regel der Anbieter, der im Impressum steht.
• Auftragsverarbeiter: Ein Dienstleister, der im Auftrag des Verantwortlichen arbeitet, etwa ein Hosting-Anbieter.

Ein fünfter Begriff wird für Zyklusdaten relevant. Art. 9 der Verordnung führt „Gesundheitsdaten“ unter den besonderen Kategorien personenbezogener Daten auf: Ihre Verarbeitung ist nach Art. 9 Abs. 1 grundsätzlich untersagt und nur in den Ausnahmefällen des Abs. 2 erlaubt, etwa wenn die betroffene Person nach Art. 9 Abs. 2 lit. a ausdrücklich eingewilligt hat (Art. 9 DSGVO, EUR-Lex). Ob und wie das auf eine konkrete App zutrifft, beantwortet deren Datenschutzerklärung – oder eine Anfrage an den Anbieter. Diese Einordnung sollten Sie nicht selbst vornehmen müssen.

Die 7 Grundsätze aus Art. 5 – und woran Sie sie in einer App erkennen

Art. 5 der Verordnung listet die Grundsätze, an denen sich jede Verarbeitung messen lassen soll (Art. 5 DSGVO, EUR-Lex). Abstrakt klingen sie ähnlich. Konkret lassen sie sich an sichtbaren Stellen einer App prüfen.

Die Tabelle ersetzt keine rechtliche Prüfung. Sie beantwortet eine einfachere Frage: Findet eine Nutzerin die Information überhaupt? Fehlt sie in drei oder mehr Zeilen, ist das ein Grund, nachzufragen, bevor Sie Monate an Einträgen anlegen.

Der häufigste Fehler beim Lesen einer Datenschutzerklärung

Viele lesen nur den Absatz über Cookies auf der Website. Die Verarbeitung Ihrer eigentlichen Einträge – Temperatur, Periodentage, Notizen – steht oft in einem eigenen Abschnitt zum Nutzerkonto oder zur App. Suchen Sie gezielt nach den Wörtern „Konto“, „Gesundheitsdaten“, „Server“ und „Löschung“. Wer nur den Cookie-Teil liest, prüft die Website, nicht die App. Wie Sie Werbe- und Tracking-Hinweise in einer Zyklus-App gezielt finden, zeigt der Beitrag Zyklus-App ohne Werbung: Datenschutz in 15 Minuten prüfen.

Ihre Rechte als Nutzerin: acht Hebel mit Artikelnummer

Die Betroffenenrechte stehen in Kapitel III der Verordnung, Art. 12 bis 23 (EUR-Lex). Leitlinien zur Auslegung veröffentlicht der Europäische Datenschutzausschuss (EDPB-Leitlinien). Übersetzt in konkrete Anliegen rund um ein Zyklustagebuch sieht das so aus:

Welche dieser Rechte in Ihrem Fall greifen, hängt von der Rechtsgrundlage der jeweiligen Verarbeitung ab. Das Recht auf Datenübertragbarkeit etwa knüpft Art. 20 Abs. 1 an eine Einwilligung oder einen Vertrag als Rechtsgrundlage und an eine automatisierte Verarbeitung. Prüfen Sie das im Zweifel mit der Aufsichtsbehörde Ihres Bundeslands oder einer Rechtsberatung.

Die Monatsfrist: ein Rechenbeispiel für Dezember

Nach Art. 12 Abs. 3 der Verordnung soll der Verantwortliche auf einen Antrag hin „unverzüglich, in jedem Fall aber innerhalb eines Monats“ informieren; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Über die Verlängerung und ihre Gründe muss der Verantwortliche Sie innerhalb eines Monats nach Eingang des Antrags unterrichten (Art. 12 DSGVO, EUR-Lex).

Fiktives Beispiel: Sie planen, über die Feiertage das Smartphone zu wechseln, und schicken am 1. Dezember eine Auskunfts- und Exportanfrage.

• Regelfrist: Antwort bis etwa 1. Januar.
• Mit Verlängerung um zwei Monate: Bis etwa 1. März.

Die Rechnung zeigt den eigentlichen Punkt. Wer den Export erst am Tag des Gerätewechsels anfragt, hat im ungünstigsten Fall drei Monate lang keine vollständige Kopie. Bietet die App einen Export in den Einstellungen, ist der selbst ausgelöste Export schneller als jeder Antrag. Die genaue Fristberechnung im Einzelfall klärt eine Rechtsberatung.

Eine Anfrage in fünf Sätzen

Ein formloses Schreiben per E-Mail an die Datenschutz-Kontaktadresse aus dem Impressum oder der Datenschutzerklärung genügt als Ausgangspunkt. Ein Muster, das Sie anpassen können:

Sehr geehrte Damen und Herren, ich bitte um Auskunft nach Art. 15 DSGVO über alle zu meinem Konto [E-Mail-Adresse] gespeicherten personenbezogenen Daten. Bitte nennen Sie Zwecke, Empfänger und die geplante Speicherdauer. Zusätzlich bitte ich um eine Kopie meiner Einträge in einem gängigen, maschinenlesbaren Format. Vielen Dank.

Senden Sie die Anfrage von der E-Mail-Adresse, die mit dem Konto verknüpft ist. Sonst fragt der Anbieter zur Identitätsprüfung zurück – und die Klärung verzögert sich.

Wann ein Verstoß vorliegen könnte – und wer das entscheidet

Ob tatsächlich ein Verstoß gegen die DSGVO vorliegt, entscheiden Aufsichtsbehörden und Gerichte, nicht Nutzerinnen und nicht Blogartikel. Sie können aber Anzeichen sammeln, die eine Nachfrage oder Beschwerde rechtfertigen:

1. 1Auf eine Auskunftsanfrage kommt nach Ablauf der Monatsfrist weder Antwort noch Verlängerungsmitteilung.
2. 2Die Datenschutzerklärung nennt keinen Verantwortlichen oder keine Kontaktmöglichkeit.
3. 3Nach einer Kontolöschung erhalten Sie weiter Werbe-E-Mails an die hinterlegte Adresse.
4. 4Die App zeigt Hinweise auf Werbepartner, während die Datenschutzerklärung eine Weitergabe ausschließt.

Für schwerwiegende Verstöße sieht Art. 83 Abs. 5 der Verordnung Geldbußen von bis zu 20 Millionen Euro oder, bei Unternehmen, bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO, EUR-Lex). Das ist eine Obergrenze, kein typischer Wert. Für Ihr Anliegen zählt eher Art. 77: Das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Die Beschwerde ist nach Art. 77 Abs. 1 insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes möglich.

10-Punkte-Check: eine App mit Zyklusdaten in 20 Minuten prüfen

Diesen Check nutze ich selbst als Maßstab, wenn ich Apps vergleiche – auch die eigene. Er prüft Auffindbarkeit und Kontrolle, keine Rechtmäßigkeit. Pro erfülltem Punkt gibt es einen Punkt.

So lesen Sie das Ergebnis:

• 8 bis 10 Punkte: Die wichtigsten Informationen sind auffindbar. Offene Punkte per E-Mail nachfragen.
• 5 bis 7 Punkte: Vor dem Anlegen vieler Einträge gezielt nachfragen und die Antwortzeit notieren.
• 0 bis 4 Punkte: Zu viel bleibt unklar. Die Antwort auf eine Auskunftsanfrage abwarten, bevor Sie dort Monate an Daten sammeln.

Der typische Fehler beim Check: Punkt 9 wird mit „Konto deaktivieren“ verwechselt. Deaktivieren und Löschen sind unterschiedliche Vorgänge. Lesen Sie den Bestätigungstext vor dem Tippen.

Wie Basaltemperatur diese Punkte beantwortet

Für die Basaltemperatur-Web-App gilt laut ihrer Datenschutzerklärung: Nutzerinnen legen ein Konto mit Name und E-Mail an, die Einträge liegen in einer selbst betriebenen Datenbank auf einem Server in Deutschland, eine Weitergabe an Dritte zu Werbezwecken findet nicht statt. Basaltemperatur, Periodendaten und Zyklusnotizen werden dort als Gesundheitsdaten eingeordnet und nur auf Grundlage einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO verarbeitet. Die Premium-Analyse bietet einen PDF-Export der Temperaturkurve und Zyklusstatistiken. Prüfen Sie diese Angaben trotzdem selbst in der aktuellen Datenschutzerklärung – genau dafür ist der Check da. Und: Die App ist ein Zyklustagebuch, kein Medizinprodukt; gesundheitliche Fragen gehören zu Ihrer Frauenärztin oder Ihrem Frauenarzt.

Vor dem Jahreswechsel: drei Handgriffe für Ihre Daten

November und Dezember sind für viele die Zeit für ein neues Smartphone oder das Aufräumen alter Konten. Drei Schritte, die in diese Wochen passen:

1. 1Export zuerst. Lösen Sie den Export Ihrer Zyklusdaten aus, bevor Sie das alte Gerät zurücksetzen – nicht danach.
2. 2Verwaiste Konten löschen. Apps, die Sie seit Monaten nicht mehr öffnen, speichern Ihre Einträge womöglich weiter. Löschen statt deinstallieren: Das Entfernen der App vom Gerät löscht das Konto beim Anbieter in der Regel nicht.
3. 3Offene Anfragen notieren. Wer eine Auskunft anfragt, notiert Datum und Empfänger. Mit dem Rechenbeispiel oben wissen Sie, ab wann Sie nachhaken können.

FAQ

Was ist DSGVO einfach erklärt?

Die DSGVO ist das EU-weite Gesetz zum Schutz personenbezogener Daten, gültig seit dem 25. Mai 2018. Sie legt fest, unter welchen Bedingungen Unternehmen Daten verarbeiten dürfen, und gibt Ihnen Rechte wie Auskunft, Berichtigung und Löschung. Für App-Nutzerinnen heißt das vor allem: Sie können nachfragen, was gespeichert ist, und darüber mitentscheiden.

Wann liegt ein Verstoß gegen die DSGVO vor?

Ob ein Verstoß vorliegt, entscheiden Aufsichtsbehörden und Gerichte im Einzelfall. Anzeichen, die eine Nachfrage oder Beschwerde nach Art. 77 rechtfertigen können, sind etwa eine unbeantwortete Auskunftsanfrage nach Ablauf der Monatsfrist oder fehlende Angaben zum Verantwortlichen. Lassen Sie konkrete Fälle von der zuständigen Aufsichtsbehörde oder einer Rechtsberatung einschätzen.

Was sind die 7 Grundsätze der DSGVO?

Art. 5 nennt Rechtmäßigkeit, Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit sowie in Absatz 2 die Rechenschaftspflicht. Die Tabelle weiter oben zeigt, woran Sie jeden Grundsatz in einer App konkret prüfen können.

Ist WhatsApp DSGVO-konform?

Das lässt sich nicht pauschal beantworten, und eine abschließende Bewertung steht Behörden und Gerichten zu. Sie können dieselben Prüffragen stellen wie bei jeder App: Wer ist verantwortlich, welche Daten werden zu welchem Zweck verarbeitet, an wen gehen sie und wie löschen Sie Ihr Konto? Aktuelle Einschätzungen veröffentlichen die Datenschutz-Aufsichtsbehörden und der Europäische Datenschutzausschuss.