DSGVO-native Alternativen zu beliebten US-Gesundheits-Apps – EU-Optionen, auf die du dich verlassen kannst
Die meisten heruntergeladenen Gesundheits-Apps sind in den USA entwickelt und dort gehostet – deine Herzfrequenz, dein Schlaf, deine Aktivität könnten deshalb außerhalb der EU verarbeitet werden. Dieser Leitfaden erklärt, was DSGVO-konform wirklich bedeutet, und wie du es erkennst.
Auf dieser Seite
Die am häufigsten heruntergeladenen Gesundheits- und Wellness-Apps weltweit sind fast alle in den USA entwickelt, gehören US-Unternehmen und werden von dort aus betrieben. Für europäische Nutzer hat das eine konkrete Folge: deine Herzfrequenz, dein Schlaf, deine Aktivitätsmuster könnten über den Atlantik fließen, unter Rechtsvorschriften verarbeitet werden, die der Europäische Gerichtshof bereits einmal für ungültig erklärt hat – und die gerade wieder vor Gericht stehen.
Die App zu wechseln ist nicht immer die Antwort. Aber zu verstehen, was DSGVO-konform wirklich bedeutet – und wie du jede App daran misst – gibt dir die Grundlage für eine bewusste Entscheidung. Dieser Artikel erklärt fünf konkrete Kriterien aus der DSGVO selbst, die echte EU-native Apps von nachträglich angepasstem US-Datenschutz unterscheiden.
Warum die meisten beliebten Gesundheits-Apps von US-Architektur ausgehen
Der globale Markt für Health- und Wellness-Apps wurde überwiegend in den USA gebaut – auf US-Infrastruktur, von US-Teams, unter US-Rechtsbedingungen. Als die DSGVO im Mai 2018 in Kraft trat, war die Architektur längst etabliert: Daten, die in Europa erhoben werden, fließen auf Server in den USA und werden dort unter Rechtsmechanismen verarbeitet, die von US-amerikanischen Datenzugriffsstandards ausgehen.
Die Mechanismen, die grenzüberschreitende Datenübermittlungen erlauben – Standard Contractual Clauses, Adequacy-Beschlüsse, Binding Corporate Rules – sind nicht grundsätzlich falsch. Sie erfordern aber aktive Compliance-Arbeit. Transfer Impact Assessments müssen durchgeführt und dokumentiert werden. Subunternehmer-Ketten müssen überprüft werden. Das EDPB in seinen Recommendations 01/2020 beschreibt einen sechsstufigen Prozess, den Organisationen befolgen sollen. Viele Consumer-App-Entwickler, besonders kleinere, kennen diese Verpflichtung gar nicht – von Einhaltung ganz zu schweigen.
Gesundheitsdaten machen das noch akuter. Unter Artikel 9 der DSGVO ist Gesundheit eine Besonderheit und bekommt strengere Anforderungen als normale personenbezogene Daten. Jeder Transfer von Gesundheitsdaten außerhalb des EWR muss die Chapter-V-Bedingungen erfüllen und eine separate Artikel-9-Bedingung – typisch: explizite, informierte Zustimmung. Ein Häkchen bei der Registrierung reicht nicht aus.
Die fünf Kriterien für eine wirklich DSGVO-native App
Diese Kriterien leiten sich aus DSGVO Chapter V und EDPB-Leitlinien zu internationalen Datenübertragungen ab. Das sind die Fragen, die eine Aufsichtsbehörde stellen würde. Und das sind auch die Fragen, die du stellen kannst, bevor du eine App installierst.
Kriterium 1: Daten bleiben im EWR
Der direkteste Weg, die Komplexität und Instabilität von Drittland-Transfer-Recht zu vermeiden, ist: gar nicht erst in ein Drittland transferieren. Eine App, die deine Gesundheitsdaten ausschließlich auf Infrastruktur im Europäischen Wirtschaftsraum speichert und verarbeitet – und deren Subunternehmer das genauso tun – schließt die ganze Chapter-V-Risiko-Kategorie aus.
Was du suchst: Eine explizite Aussage zur Datenspeicherung in der Datenschutzerklärung oder Dokumentation: welches Land, welche Cloud-Region, welcher Infrastruktur-Provider. "Wir nutzen Standard-Cloud-Services" ist keine Antwort. "Deine Daten sind auf [Provider]-Infrastruktur in [konkreter EWR-Ort]" ist es.
Warum es zählt: Das EU-US Data Privacy Framework – die aktuelle Rechtsgrundlage für die meisten EU-zu-USA-Transfers von Gesundheitsdaten – wurde am 3. September 2025 vom Europäischen Gericht in der ersten Klage gegen es (Fall Latombe) bestätigt. Gegen diese Entscheidung läuft jetzt eine Berufung vor dem EuGH. NOYB hat öffentlich erklärt, den Latombe-Fall für zu eng zu halten und eigene Optionen zu prüfen. Die zwei Vorgänger-Frameworks (Safe Harbor, Privacy Shield) wurden beide gekippt. Eine App, die ihre gesamte Dateninfrastruktur im EWR hat, ist von diesen Entwicklungen nicht betroffen.
Kriterium 2: Gesundheitsdaten sind explizit eine Besonderheit
Eine App, die deine Herzfrequenz, Schlaf, Menstruationszyklus oder Aktivität verarbeitet, verarbeitet Daten, die unter Artikel 9 DSGVO fallen – die Besonderheits-Regelung. Diese Verarbeitung braucht nicht nur eine allgemeine Grundlage nach Artikel 6, sondern zusätzlich eine Bedingung nach Artikel 9, meistens explizite Zustimmung.
Was du suchst: Eine Datenschutzerklärung, die Gesundheitsdaten separat von anderen persönlichen Daten benennt, die konkrete Artikel-9-Bedingung nennt, auf die sich die App stützt, und erklärt, wie Zustimmung erfasst wird und wie du sie zurückziehen kannst. Wenn die Datenschutzerklärung alle persönlichen Daten gleich behandelt – Herzfrequenz neben E-Mail-Adresse – ist das ein Signal, dass die Besonderheits-Anforderungen nicht durchdacht wurden.
Warum es zählt: Zustimmung muss "freiwillig, spezifisch, informiert und unmissverständlich" sein nach DSGVO Artikel 7. Für Gesundheitsdaten muss sie auch explizit sein. Eine App, die die Zustimmung zu Gesundheitsdaten in Allgemeine Geschäftsbedingungen versteckt, erfüllt diesen Standard nicht.
Kriterium 3: Deine Rechte sind wirklich ausübbar
DSGVO gibt dir Rechte: Zugang zu deinen Daten (Artikel 15), sie woanders hin mitnehmen (Artikel 20), sie korrigieren (Artikel 16), sie löschen (Artikel 17). Die Verordnung schreibt vor, dass diese Rechte ohne übertriebene Hürden ausübbar sind.
Was du suchst: Ein klares, funktionierendes In-App-System für Daten-Export und Löschung – nicht bloß eine E-Mail-Adresse in der Datenschutzerklärung versteckt. Der Export sollte in einem maschinenlesbaren Standardformat erfolgen (das verlangt Artikel 20). Löschung soll endgültig und überprüfbar sein, nicht nur eine Deaktivierung, die Daten auf den Servern liegen lässt.
Warum es zählt: Rechte, die nur auf dem Papier existieren aber einen Rechtsanwalt kosten, sind keine echten Rechte. Eine App, die für EU-Nutzer gebaut wurde, investiert in diese Funktionen. Eine App, die DSGVO-Konformität nachträglich auf eine US-first-Plattform aufgesetzt hat, tut das oft nicht.
Kriterium 4: Subunternehmer sind benannt und im EWR
Die meisten Apps laufen nicht nur auf ihrer eigenen Infrastruktur. Sie nutzen Drittanbieter für Analytics, Support, Cloud-Speicher, E-Mail und mehr. Jeder dieser Services ist ein Subunternehmer nach DSGVO, und jeder, der deine Gesundheitsdaten bekommt, unterliegt denselben Transfer-Regeln wie die Haupt-App.
Was du suchst: Eine Liste der Subunternehmer – in DSGVO-konformen Datenschutzerklärungen zunehmend Standard –, mit Angabe, wo jeder die Daten verarbeitet. Wenn die App-Server in Europa sind, aber Analytics-Provider, Push-Notification-Service und Support-Tool alle US-Unternehmen sind, die deine Daten in den USA verarbeiten, ist der europäische Hauptserver nur teils hilfreich.
Warum es zählt: DSGVO Artikel 28 verlangt, dass Auftragsverarbeiter – und damit auch Subunternehmer – ausreichende DSGVO-Garantien bieten. Eine App, die ihre Subunternehmer nicht nennen will oder kann, erfüllt den Transparenzstandard nicht, den die Verordnung verlangt.
Kriterium 5: Keine totale Abhängigkeit von fragilen Transfer-Mechanismen
Manche Apps verlassen sich auf einen einzigen Transfer-Mechanismus – typisch ein Adequacy-Beschluss – als ihre ganze Rechtsgrundlage, um Gesundheitsdaten in die USA zu verschieben. Wie die Geschichte von Safe Harbor und Privacy Shield zeigt: Adequacy-Beschlüsse können gekippt werden. Eine App ohne Plan B – keine Standard Contractual Clauses parallel, keine Möglichkeit, Traffic auf europäische Infrastruktur zu leiten, wenn der Beschluss fällt – setzt ihre Nutzer einem Szenario aus, in dem Daten über Nacht ohne gültige Basis verarbeitet werden.
Was du suchst: Datenschutzerklärungen, die mehrere Transfer-Mechanismen nennen, oder die explizit Notfall-Arrangements adressieren. Oder besser noch: eine Architektur, die keinen Transfer braucht, weil Daten gar nicht die EU verlassen.
Warum es zählt: Dieses Risiko ist nicht abstrakt. Es passierte 2015, und es passierte 2020. Das aktuelle DPF wird gerade vor Gericht angegriffen. Eine App, deren Konformität ganz von einer Regelung abhängt, die bewiesenermaßen gekippt werden kann, ist ein strukturelles Risiko für EU-Nutzer.
Anwendung der Kriterien: wie DSGVO-native Apps aussehen
Eine App, die alle fünf Kriterien gut erfüllt, teilt typisch mehrere Merkmale: Sie wurde von einem Team entwickelt, das den EU-Datenschutz von Anfang an mitgedacht hat, nicht erst nachträglich; läuft von Anfang an auf europäischer Infrastruktur; hat eine Datenschutzerklärung, die für echte Menschen geschrieben ist, nicht nur zur Mindestzufriedenheit einer Behörde; und behandelt Gesundheitsdaten mit der zusätzlichen Sorgfalt, die Artikel 9 verlangt.
Diese Architektur ist nicht die Norm in Consumer-Health-Apps, weil sie frühzeitige Entscheidungen verlangt, die zusätzliche Komplexität und Kosten verursachen. Sie wird häufiger, je mehr europäische Digital-Health-Produkte reifen – und je stärker der Datenschutz im Gesundheitssektor in der EU durchgesetzt wird.
Sam Health als konkretes Beispiel
Sam ist eine Wellness-App, von Grund auf für europäische Nutzer gebaut. Sie liest Gesundheitsdaten aus Apple Health auf dem iPhone – das heißt, Nutzer mit Apple Watch, Garmin, Oura, WHOOP oder jedem anderen Gerät, das mit Apple Health synchronisiert, können Sam mit Daten versorgen.
Gegen die fünf Kriterien gemessen:
Datenspeicherung: Sam verarbeitet deine Gesundheitsdaten auf Google-Cloud-Infrastruktur im Europäischen Wirtschaftsraum. Chapter-V-Anforderungen gelten nicht – deine Daten verlassen den EWR nicht.
Besonderheits-Behandlung: Sam verarbeitet Gesundheitsdaten aus Apple Health und behandelt sie als Besonderheit nach Artikel 9 DSGVO, mit expliziter Zustimmung als Rechtsgrundlage.
Nutzer-Rechte: Datenzugang, Portabilität und Löschung sind direkt in der App verfügbar – eine Support-Anfrage oder Korrespondenz ist nicht nötig.
Subunternehmer: Sams Kern-Datenverarbeitung läuft auf Google-Cloud-Infrastruktur im Europäischen Wirtschaftsraum. Die aktuelle Liste der Subunternehmer und ihrer Rollen findest du in Sams Datenschutz-Dokumentation.
Transfer-Mechanismus-Abhängigkeit: Weil Sams Kern-Datenverarbeitung im EWR bleibt, verlässt sich Sam nicht auf das EU-US Data Privacy Framework oder einen anderen Adequacy-Beschluss als Haupt-Schutz für Gesundheitsdaten.
Sam ist eine Wellness-App, kein Medizinprodukt. Sie diagnostiziert, erkennt, behandelt oder screent keine Erkrankung. Bei jeder Gesundheitsfrage immer einen Arzt oder eine Ärztin konsultieren. Mehr zu Sams Umfang: Sam Health Produkt-Seite.
Quellen
- Regulation (EU) 2016/679 (DSGVO), Artikel 6, 7, 9, 15–20, Chapter V. EUR-Lex. Regulation (EU) 2016/679 (DSGVO). Abgerufen am 16. Mai 2026.
- International data transfers - EDPB Data Protection Guide for SMEs. European Data Protection Board. International data transfers - EDPB Data Protection Guide for SMEs. Abgerufen am 16. Mai 2026.
- EDPB Recommendations 01/2020 on measures that supplement transfer tools, Version 2.0. European Data Protection Board. EDPB Recommendations 01/2020 on measures that supplement transfer tools. Abgerufen am 16. Mai 2026.
- Judgment of the Court of Justice (Grand Chamber), Case C-311/18 (Schrems II), 16 July 2020. CURIA. Case C-311/18 (Schrems II), CJEU judgment of 16 July 2020. Abgerufen am 16. Mai 2026.
Häufige Fragen
Was heißt eigentlich DSGVO-konform bei einer Gesundheits-App?+
Eine DSGVO-native App ist von Grund auf für die Anforderungen der DSGVO entwickelt, nicht nachträglich daran angepasst. Das heißt konkret: Daten werden nur im EU-Wirtschaftsraum gespeichert und verarbeitet, Gesundheitsdaten sind explizit als Besonderheit nach Artikel 9 DSGVO behandelt, es gibt eine klare Rechtsgrundlage dafür, keine fragilen Drittlandtransfer-Mechanismen, transparente Dokumentation, und deine Rechte lassen sich tatsächlich ausüben – nicht nur auf dem Papier.
Warum ist es wichtig, wo meine Gesundheitsdaten gespeichert sind?+
Gesundheitsdaten sind nach Artikel 9 DSGVO eine Besonderheit und bekommen deshalb besonderen Schutz. Wenn deine Daten die EU verlassen, muss die Verlagerung unter strengen Bedingungen ablaufen – Adequacy-Beschlüsse, Standard Contractual Clauses mit Transfer Impact Assessment, oder Binding Corporate Rules. Die Transfer-Regelungen für die USA wurden zweimal vom Europäischen Gerichtshof gekippt (2015 und 2020). Daten, die in der EU bleiben, haben dieses ganze Risiko nicht.
Kann ich aus einer Datenschutzerklärung sehen, wo meine Daten liegen?+
Ja, das kannst du herausfinden. Nach Artikel 15 DSGVO kannst du diese Angaben auch formell anfordern, wenn die Datenschutzerklärung unklar ist. Achte auf: In welchem Land und in welcher Cloud-Region genau werden die Daten gespeichert? Welcher Rechts-Mechanismus regelt die Verlagerung außerhalb der EU? Werden Gesundheitsdaten separat behandelt? Sätze wie 'wir können Daten möglicherweise international verlegen' ohne konkrete Nennung des Mechanismus sind ein Warnsignal.
Sind europäische Unternehmen automatisch datenschutzfreundlicher?+
Nein. Ein europäischer Sitz garantiert nicht, dass Daten hier verarbeitet werden, dass alle Subunternehmer in der EU sitzen, oder dass die Praktiken konform sind. Es kommt darauf an: Wo gehen die Daten physisch hin und unter welcher Rechtsordnung? Ein US-Unternehmen, das EU-Infrastruktur mit korrekten Verträgen nutzt, kann datenschutzfreundlicher sein als ein europäisches Unternehmen, das Daten über US-Subunternehmer leitet.
Was ist Apple Health und warum ist das relevant?+
Apple Health ist Apples Plattform für Gesundheitsdaten auf dem iPhone – lokal auf deinem Gerät. Viele Wellness-Apps (von Garmin, Oura, WHOOP) können ihre Daten mit Apple Health synchronisieren und machen Apple Health zur zentralen Sammelstelle für deine Messwerte. Apps, die nur aus Apple Health lesen, übernehmen dessen lokales Datenschutzmodell. Aber wenn eine App die Daten dann in die Cloud hochlädt oder mit Dritten teilt, entscheidet die Datenschutzerklärung dieser App – nicht die von Apple – wo deine Daten landen.
Was sollte ich konkret vor Installation einer Gesundheits-App in der EU checken?+
Fünf Punkte: (1) Wo sind die Daten gespeichert – EU oder außerhalb? (2) Welcher Rechtsmechanismus regelt einen Datentransfer außerhalb der EU? (3) Sind Gesundheitsdaten als Besonderheit nach Artikel 9 behandelt, mit klarer Rechtsgrundlage? (4) Kannst du deine Rechte – Zugang, Portabilität, Löschung – ohne Rechtsstreit ausüben? (5) Ist das Unternehmen transparent über Subunternehmer und deren Standorte? Wenn die Datenschutzerklärung diese Punkte nicht klar beantwortet, ist das selbst aussagekräftig.
Funktioniert Sam Health mit Garmin, Oura oder WHOOP?+
Ja. Sam liest Gesundheitsdaten aus Apple Health auf dem iPhone – das heißt, jedes Gerät oder jede App, die mit Apple Health synchronisiert, kann Sam mit Daten versorgen: Apple Watch, Garmin, Oura, WHOOP und weitere. Sam verarbeitet diese Daten auf Google-Cloud-Infrastruktur im Europäischen Wirtschaftsraum.