Datenschutz-Test: Flo

Größtenteils ja. Von Haus aus fordert Flo Sie auf, zwei Dingen zuzustimmen, bevor Sie die App nutzen können: der Verarbeitung Ihrer Gesundheitsdaten zum Betrieb der App sowie den Standard-Datenschutzrichtlinien und Nutzungsbedingungen. Eine dritte Option – die Weitergabe grundlegender App- und Gerätedaten an die Werbe- und Analysepartner von Flo – ist optional.

Dieser letzten Frage sollte man Beachtung schenken. In unseren Tests bedeutete ein „Ja“, dass Flo Unternehmen wie AppsFlyer, Moloco und den Firebase-Dienst von Google hinzuzog, denen jeweils eine eigene Mischung aus verschlüsselten Informationen im Zusammenhang mit App-Downloads gesendet wurde. Wenn wir das Tracking deaktivierten, verschwanden diese Systeme größtenteils aus unseren Tests – was bedeutet, dass dieser Datenschutz-Schalter genau das tat, was er versprach. Insbesondere bei Zyklus-Tracking-Apps ist diese Art der konsequenten Umsetzung erwähnenswert.

Ein*e Sprecher*in von Flo betonte, dass Flo weder Gesundheitsdaten noch detaillierte, bildschirmgenaue Navigations- und Browsing-Aktivitäten innerhalb der App weitergibt.

Eine Menge. Flo ist darauf ausgelegt, so viel wie möglich über Sie zu erfahren, und bietet Ihnen reichlich Gelegenheiten, Informationen preiszugeben. Während des Tests forderte uns die App auf, Angaben zu folgenden Punkten zu machen:

• Stimmungsschwankungen
• Schmerzen und Beschwerden
• Hautausschläge
• Veränderungen des Libido
• Fruchtbarkeitszielen
• ...und einem scheinbar endlosen Strom weiterer körperlicher und emotionaler Veränderungen, die mit den verschiedenen Phasen unseres Zyklus zusammenhängen.

Die App bietet auch optionale Check-ins in Form von Chat-ähnlichen Unterhaltungen an, die Ihnen helfen sollen, „herauszufinden, was hinter den verschiedenen Symptomen stecken könnte“, die Sie an diesem Tag protokolliert haben. Diese Chats drängen Sie natürlich ebenfalls dazu, Details preiszugeben.

Als wir beispielsweise protokolliert hatten, dass wir an diesem Tag unter Krämpfen litten, hakte der KI-Chatbot mit einer neuen Kaskade von Fragen nach: Wie intensiv waren diese Krämpfe genau? Fühlte es sich wie ein dumpfer Schmerz oder ein stechender Schmerz an? Haben Schmerzmittel überhaupt geholfen? Jede Antwort führte in der Regel zu weiteren Nachfragen, zusammen mit maßgeschneiderten Antworten, die laut der App von ihren internen medizinischen Fachkräften überprüft werden.

Man muss Flo zugutehalten, dass die App ziemlich offen damit umgeht, was sie sammelt und warum – sowohl in diesen Chat-ähnlichen Check-ins als auch in der App allgemein. Laut der App werden die Vorhersagen, Erkenntnisse und Empfehlungen im Laufe der Zeit umso personalisierter – und angeblich genauer –, je mehr die Nutzer*innen protokollieren.

Flo hat eines der umfangreichsten Vorstrafenregister in Sachen Datenschutz im Bereich der Zyklus-Tracker. Ein Großteil der frühen genauen Überprüfungen geht auf eine Untersuchung des Wall Street Journal aus dem Jahr 2019 zurück, bei der festgestellt wurde, dass mehrere Gesundheits-Apps, darunter auch Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten.

Die Federal Trade Commission (FTC) griff diesen Bericht später auf und reichte 2021 eine Klage gegen Flo ein, da ähnliche Bedenken hinsichtlich des angeblichen Missmanagements der Gesundheitsdaten der Nutzer*innen bestanden. Der Fall wurde noch im selben Jahr beigelegt.

Kürzlich stimmte das Unternehmen der Zahlung eines Vergleichs in Höhe von 8 Millionen US-Dollar im Rahmen eines Verfahrens aus dem Jahr 2025 zu, in dem behauptet wurde, dass sensible Daten aus der App durch Werbe- und Analysesysteme von Unternehmen wie Google und Facebook flossen, ohne dass die Nutzer*innen angemessen darüber informiert wurden oder eine aussagekräftige Zustimmung erteilt hatten.

„Seit 2019 hat Flo erhebliche Investitionen getätigt, um sein Datenschutz- und Sicherheitsprogramm zu stärken“, sagte ein*e Sprecher*in von Flo als Antwort auf unsere Anfrage zu dem Vergleich.

Privacy International führte ebenfalls eine eigene Analyse der Datenaustauschpraktiken von Flo durch und fand zugrunde liegende Datenströme und strukturelle Gerüste, die weitgehend mit dem übereinstimmen, was wir bei unseren Tests gesehen haben.

Die Datenschutzerklärung von Flo wurde mehrfach grundlegend überarbeitet. Laut den von Berkman Klein aufgezeichneten Momentaufnahmen nannte die Version von 2018 Facebook Analytics und Google Analytics als Empfänger; bis 2019 waren beide verschwunden und durch die Formulierung „Wir werden Ihre Gesundheitsdaten niemals weitergeben“ ersetzt worden – genau zu dem Zeitpunkt, als die Berichterstattung des WSJ über Flo und Facebook bekannt wurde.

Nach dem FTC-Vergleich von 2021 fügte Flo eine Tabelle mit Rechtsgrundlagen im Stil der DSGVO, eine Liste mit namentlich genannten Auftragsverarbeitern, die Zusage „kein Verkauf personenbezogener Daten“ sowie das Versprechen hinzu, dass „nicht einmal Ihr Arbeitgeber“ herausfinden wird, was Sie protokollieren. Bis April 2026 war die Richtlinie erneut angewachsen: TikTok Ad Manager und Firebase wurden als Werbepartner benannt, neue Partnerschaften in den Bereichen Wellness und Telemedizin wurden offengelegt, und spezielle Hinweise für US-Bundesstaaten sowie für Gesundheitsdaten von Verbraucher*innen wurden ausgegliedert.

Flo gibt keine Gesundheitsdaten der Nutzer*innen an Werbepartner weiter, und es gibt keine Anzeichen dafür, dass Flo Nutzerdaten verkauft.

Eine Nuance, die es wert ist, hervorgehoben zu werden: Flo mag zwar ein Maximalist bei der Erfassung Ihrer Daten sein, ist aber ziemlich minimalistisch bei der Weitergabe. Keine der Gesundheitsdaten, die wir Flo im Rahmen unserer anfänglichen Tests zur Verfügung stellten, wurde mit den Analyse- oder Marketingpartnern geteilt. Unsere Tests zeigten, dass eine Drittpartei im Werbebereich – AppsFlyer – beim ersten Start der App angepingt wurde, unabhängig davon, ob das Tracking erlaubt war oder nicht.

Das meiste, was empfangen wurde, war verschlüsselt: ein undurchsichtiger binärer Blob, den wir nicht öffnen konnten und der bei jedem Start gesendet wurde, den wir bei unseren Tests beobachtet haben. Wenn wir das Tracking verweigerten, erhielt AppsFlyer außerdem unseren IDFV – eine Apple-spezifische Kennung für unser Gerät – unverschlüsselt (unhashed) im Klartext.

Man muss Flo anrechnen, dass es unter der Bezeichnung „Anonymer Modus“ verschärfte Datenschutzeinstellungen anbietet. Sobald dieser aktiviert ist, ändern sich die Dinge. AppsFlyer verstummt – keine einzige Anfrage mehr für den Rest unserer Sitzung. Der eigene Datenverkehr von Flo geht nicht mehr direkt an die eigenen Server, sondern wird über ein Cloudflare-Relay geleitet, sodass Flo Ihre Daten erhält, ohne die IP-Adresse zu sehen, von der sie stammen.

Der Haken ist das Timing. Wir haben den Modus sechs Minuten nach Beginn unserer Sitzung eingeschaltet. AppsFlyer hatte die IDFV unseres Geräts bereits davor im Klartext.

Im Vergleich zu einigen anderen von uns getesteten Zyklus-Tracking-Apps schien Flo spürbar vorsichtiger zu sein, was das Senden von Daten zur reproduktiven Gesundheit in das breitere Tracking-Ökosystem angeht.

Hinter den Kulissen läuft zwar immer noch ein ziemlich umfangreicher Analyse- und Attributions-Stack, aber wir haben nicht gesehen, dass eine dieser Parteien Details wie Symptomprotokolle, Fruchtbarkeitsvorhersagen, Schwangerschaftsinformationen oder Zyklusklassifizierungen erhält. Flo gibt den Nutzer*innen auch aussagekräftigere Datenschutzkontrollen an die Hand als viele andere Verbraucher-Apps. Anstatt alles in einem einzigen, riesigen „Zustimmen“-Button zusammenzufassen, können die Nutzer*innen bestimmte Analyse- und Werbesysteme unternehmensspezifisch verwalten.

Die App erklärt außerdem – in einer für die durchschnittliche App ungewöhnlich klaren Sprache –, was Tools wie AppsFlyer oder Firebase mit den gesammelten Daten machen und welche Arten von Informationen laut Flo intern bleiben. Es gibt sogar eine optionale PIN-Sperre, falls Sie eine zusätzliche Barriere zwischen Ihren reproduktiven Gesundheitsdaten und jeder Person wünschen, die Ihr Smartphone in die Hand nimmt. Flo lässt Sie diese Einstellungen auch jederzeit wieder aufrufen und anpassen.

Dass Flo bei der Weitergabe reproduktiver Gesundheitsdaten vorsichtiger ist, bedeutet nicht, dass Flo weniger davon sammelt.

Im Kern funktioniert die App nur, indem sie im Laufe der Zeit ein sehr detailliertes Langzeitmodell Ihrer reproduktiven Gesundheit aufbaut und pflegt. Und während der Großteil dieser Modellierung anscheinend innerhalb der eigenen Systeme von Flo blieb, anstatt direkt in Werbeplattformen geleitet zu werden, befindet sich die App dennoch in einem viel größeren Netz von Analyse-, Tracking- und Attributionssystemen, als ihr Branding zunächst vermuten lässt.

Die Grenze zwischen „internen Gesundheitserkenntnissen“ und externen Analysesystemen kann ziemlich schnell verschwimmen.

Unsere Tests haben gezeigt, dass Flo im Hintergrund bereits extrem granulare reproduktive Gesundheitsinformationen in hochstrukturierte, maschinenlesbare Kategorien umwandelt, um seine Vorhersage- und Personalisierungsfunktionen zu betreiben. Wir haben diese Klassifizierungen zwar jetzt nicht aus der App herausgehen sehen, aber die Art und Weise, wie Flo seine Datensätze strukturiert hat, würde diese Art der Weitergabe viel einfacher machen, sollte Flo jemals seine Meinung in der Zukunft ändern.

• Sagen Sie Nein zum App-Tracking. Als wir dies taten, stellten wir fest, dass Flo weit weniger Werbe-, Mess- und Monetarisierungsmaschinerie einbezog.
  
• Überprüfen Sie die Datenschutzeinstellungen von Flo nach der Einrichtung. Flo bietet Nutzer*innen mehr Datenschutzkontrollen als viele andere Apps in diesem Bereich, sodass es sich lohnt, ab und zu ein paar Minuten für deren Überprüfung aufzuwenden. Die Einschränkung von optionalen Analyse-, Werbe- oder Personalisierungseinstellungen kann dazu beitragen, die Menge an langfristigen Verhaltensdaten zu reduzieren, die im Laufe der Zeit mit Ihrem Konto verknüpft werden. (Hinweis: Der Tippfehler „optiq aonal“ im Original wurde korrekt als „optional“ übersetzt.)
  
• Seien Sie wählerisch bei dem, was Sie protokollieren. Flo wird umso personalisierter, je mehr Informationen Sie der App geben. Das bedeutet aber auch, dass die App nach und nach ein tief detailliertes Langzeitprofil Ihrer reproduktiven Gesundheit und Ihrer Gewohnheiten aufbaut. Wenn Ihnen bestimmte Kategorien, wie sexuelle Aktivitäten oder der Gebrauch von Medikamenten, besonders sensibel erscheinen, sollten Sie in Erwägung ziehen, einige dieser Informationen aus der App herauszuhalten.
  
• Nutzen Sie die PIN-Sperre von Flo. Wenn Sie Geräte mit anderen teilen, häufig auf Reisen sind oder einfach nicht möchten, dass jemand beiläufig die App auf Ihrem Smartphone öffnet, kann die optionale PIN dazu beitragen, Ihre Informationen zur reproduktiven Gesundheit etwas privater zu halten.

Von allen von uns getesteten Zyklus-Trackern ist Flo vielleicht diejenige App, die uns am meisten überrascht hat. Wir gingen mit der Erwartung heran, das übliche Chaos vorzufinden: Gesundheitsdaten, die ungehindert in Werbesysteme fließen, Gerätekennungen, die bei einem Dutzend Drittanbieter-Trackern aufleuchten. Was wir stattdessen fanden, war ein Unternehmen, das sich die Mühe gemacht hat, seine Modellierung der reproduktiven Gesundheit unter Verschluss zu halten. In dieser Kategorie darf man so etwas nicht als selbstverständlich ansehen.

Aber das bedeutet nicht, dass es nicht andere Arten von Kompromissen beim Datenschutz gibt. Bei Flo ist die wichtigere Frage nicht nur, ob Daten überhaupt weitergegeben werden, sondern wie viel ein einziges Unternehmen darauf ausgelegt ist, über Sie zu wissen, und für wie lange.