Der Verlauf Ihrer Herzfrequenz, Ihres Schlafs und Ihrer Herzfrequenzvariabilität (HRV) besteht aus personenbezogenen Daten, und an vielen Orten können Sie vom Unternehmen, das sie speichert, per Gesetz eine Kopie verlangen, die es innerhalb einer festen Frist liefern muss, meist kostenlos. In der EU muss diese Kopie alle personenbezogenen Daten enthalten, die das Unternehmen verarbeitet, keine Zusammenfassung. Was ein Unternehmen behält, sobald Sie nicht mehr zahlen, ist eine andere Frage: Das legen seine eigenen Bedingungen fest, und manche löschen ungenutzte Konten nach zwei oder drei Jahren.
Dieser Ratgeber zeigt, was nach Angaben der wichtigsten Dienste mit Ihren Daten geschieht, welche Rechte Ihnen das Gesetz in den einzelnen Regionen gibt, wie Sie eine Kopie anfordern und wie Sie das Erhaltene aufbewahren. Wir haben die Bedingungen, die Datenschutzerklärung und die Hilfeseiten jedes Unternehmens sowie die Rechtstexte am 22. Oktober 2026 gelesen. Zitate und Menübezeichnungen stammen aus den englischen Fassungen und sind von uns übersetzt; die deutschen Namen in den Apps haben wir nicht geprüft. Der Ratgeber ist eine allgemeine Information über das Recht, keine Rechtsberatung.
Wer Ihre Wearable-Daten speichert
Ihre Daten durchlaufen bis zu drei Stationen:
- Das Wearable. Ein Ring oder Armband speichert Messungen, bis Ihr Smartphone sie abholt. Laut RingConn speichert die Gen 3 „bis zu 10 Tage an Daten ohne Synchronisierung“ (RingConn Support).
- Ihr Smartphone. Manche Apps speichern die Daten dort. Die Health-App von Apple speichert sie auf dem iPhone und, wenn Sie iCloud nutzen, Ende-zu-Ende-verschlüsselt, sodass Apple die Schlüssel nicht hat (Apple Support, iCloud data security).
- Die Server des Unternehmens. Viele Dienste laden Ihre Messungen hoch und berechnen die Werte auf ihrer Seite. Das Hilfecenter von WHOOP bindet alle drei Schritte an die Mitgliedschaft: „Sobald Ihre Mitgliedschaft beendet ist, wird WHOOP Ihre biometrischen Daten nicht mehr erfassen, hochladen oder analysieren“ (WHOOP Support).
Das Datenschutzrecht regelt nicht, wem diese Daten gehören. Es gibt Ihnen stattdessen Rechte an ihnen: sie einzusehen und eine Kopie zu erhalten (Artikel 15 der Datenschutz-Grundverordnung, DSGVO), sie löschen zu lassen (Artikel 17) und die Daten, die Sie bereitgestellt haben, zu einem anderen Dienst mitzunehmen (Artikel 20). Manche Unternehmen gehen in ihren eigenen Worten weiter. In der Datenschutzerklärung von Ultrahuman steht „Sie besitzen Ihre Daten und kontrollieren unsere Nutzung Ihrer Daten“, und Samsung schreibt in seiner US-Erklärung: „Ihre personenbezogenen Daten gehören Ihnen.“
Was mit Ihren Daten geschieht, wenn Sie nicht mehr zahlen
Wenn Sie nicht mehr zahlen
Aus den eigenen Dokumenten jedes Unternehmens, 22. und 24. Oktober 2026
-
WHOOP Mitgliedschaft für die volle Nutzung der App nötig
- Frühere Daten, ohne Zahlung
- Die Dokumente des Unternehmens widersprechen sich. Hilfecenter: ja. Nutzungsbedingungen: Ihre Inhalte stehen „über die Dienste“ nicht mehr zur Verfügung, und Sie können eine Kopie anfordern.
- Export, ohne Zahlung
- Nicht angegeben. WHOOP sagt nicht, ob der Export in der App nach dem Ende der Mitgliedschaft noch funktioniert.
- Löschfrist
- Nicht angegeben. Keine Frist angegeben. Die Nutzungsbedingungen erlauben WHOOP, Ihre Inhalte „aus unseren Live-Datenbanken“ zu löschen, wenn die Vereinbarung endet.
- Kopie anfordern
- privacy.whoop.com · privacy@whoop.com
-
Oura Mitgliedschaft für die volle Nutzung der App nötig
- Frühere Daten, ohne Zahlung
- Teilweise. Nur die drei Tageswerte: „Readiness“, Aktivität und Schlaf.
- Export, ohne Zahlung
- Ja. CSV über den Membership Hub, „auch ohne Mitgliedschaft“. Die API setzt eine voraus.
- Löschfrist
- Nicht angegeben. Die Daten bleiben gespeichert, solange das Konto aktiv ist; für ungenutzte Konten gibt es keine Frist.
- Kopie anfordern
- dataprotection@ouraring.com
-
Garmin Connect Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Die App braucht kein Abonnement. Beim Start von Connect+ sagte Garmin, alle bestehenden Funktionen und Daten „bleiben kostenlos“.
- Export, ohne Zahlung
- Ja. Das ganze Konto als ZIP-Datei, über das Account Management Center.
- Löschfrist
- Ja. Löschung nach 2 Jahren ohne Kontoaktivität. Das Tragen der Uhr zählt nicht.
- Kopie anfordern
- privacy@garmin.com · euprivacy@garmin.com
-
Google Health (Fitbit) Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Nicht angegeben. Google Health Premium ist optional. Die Coach-Daten bleiben nach dem Ende von Premium erhalten; was sich sonst ändert, sagt Google nicht.
- Export, ohne Zahlung
- Ja. Google Takeout, mit ausgewähltem Google Health.
- Löschfrist
- Ja. Fitbit-Konten, die nicht zu Google umgezogen sind: Google hat den 15. Juli 2026 als Beginn der Löschungen festgelegt. Ein Google-Konto, das 2 Jahre nicht genutzt wird, kann gelöscht werden.
- Kopie anfordern
- support.google.com/policies/troubleshooter/7575787
-
Samsung Health Kein Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Kein Abonnement für Samsung Health.
- Export, ohne Zahlung
- Ja. „Download personal data“ in der App. Samsung listet die Dateien nicht auf.
- Löschfrist
- Ja. Ein Samsung-Konto, das 24 Monate nicht genutzt wird, kann nach einer Benachrichtigung per E-Mail samt Daten gelöscht werden.
- Kopie anfordern
- samsung.com/request-desk
-
Apple Health Kein Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Kein Abonnement. Die Gesundheitsdaten bleiben auf dem iPhone.
- Export, ohne Zahlung
- Ja. „Export All Health Data“ als XML, auf dem iPhone.
- Löschfrist
- Ja. Ein iCloud-Konto, das 1 Jahr inaktiv ist, kann nach 30 Tagen Vorankündigung geschlossen werden.
- Kopie anfordern
- privacy.apple.com
-
Withings Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Withings+ ist optional, und die Geräte „funktionieren weiterhin normal“, auch ohne das Abo. Laut Withings haben Sie unabhängig vom Abo immer direkten Zugriff auf Ihre Daten.
- Export, ohne Zahlung
- Ja. Ein CSV-Archiv per E-Mail, aus der App.
- Löschfrist
- Die Dokumente des Unternehmens widersprechen sich. EU-Nutzungsbedingungen: Löschung nach 3 Jahren ohne Anmeldung, ohne Gerätenutzung und ohne Klick auf eine Withings-E-Mail. US-Nutzungsbedingungen: Deaktivierung nach 5 Jahren ohne Anmeldung möglich. Datenschutzerklärung: 10 Jahre.
- Kopie anfordern
- privacy@withings.com
-
Welltory Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Teilweise. Kostenloser Tarif: die letzten 30 Tage. Ältere Daten werden gelöscht, wenn Sie sie nicht vorher exportieren.
- Export, ohne Zahlung
- Ja. Ein Archiv aus der Web-App, mit demselben Login.
- Löschfrist
- Ja. Löschung nach 3 Jahren Inaktivität.
- Kopie anfordern
- support@welltory.com
-
Polar Flow Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Polar Flow ist kostenlos. Das Abo „Fitness Program“ fügt nur ein Trainingsprogramm hinzu.
- Export, ohne Zahlung
- Ja. „Download your data“ unter account.polar.com, ohne die Schlaf- und Aktivitätsdaten, die Polar mit seinen Algorithmen ableitet. Einheiten und RR-Intervalle über die Flow-Website.
- Löschfrist
- Nicht angegeben. Gespeichert, solange das Flow-Konto aktiv ist; für ungenutzte Konten gibt es keine Frist.
- Kopie anfordern
- privacy@polar.com
-
Ultrahuman Optionales Abonnement
- Frühere Daten, ohne Zahlung
- Ja. Der Ring braucht kein Abonnement: „lebenslanger Zugriff auf den Ring und Ihre Daten“. PowerPlugs und Ultrahuman Max sind optional.
- Export, ohne Zahlung
- Teilweise. Kein Download-Button. Mit einem persönlichen API-Token lassen sich die eigenen Tageswerte abrufen, ein Weg für Programmierer; auf dem iPhone bewahrt die Health-App von Apple eine Kopie auf.
- Löschfrist
- Nicht angegeben. Keine Frist für ungenutzte Konten. Wenn Sie das Konto schließen, können Ihre Daten gelöscht werden.
- Kopie anfordern
- legal@ultrahuman.com
Zehn Karten, eine pro Dienst, mit je vier Angaben: ob Sie frühere Daten ohne Zahlung weiter sehen können, ob der Export ohne Zahlung weiter funktioniert, ob das Unternehmen angibt, wann ein ungenutztes Konto gelöscht wird, und wohin Sie sich für eine Kopie wenden können. Jede Angabe beginnt mit ihrer Antwort in Worten.
WHOOP: Hilfecenter und Nutzungsbedingungen sagen nicht dasselbe
WHOOP hat keine kostenlose Version: Laut den Nutzungsbedingungen brauchen Sie eine aktive Mitgliedschaft, um den Dienst zu nutzen, und sobald sie endet, werden die Daten des Armbands nicht mehr hochgeladen. Zu den früheren Daten widersprechen sich die Dokumente von WHOOP selbst:
- Der Hilfeartikel vom 22. Oktober 2026 beantwortet die Frage „Kann ich meine früheren Daten nach der Kündigung noch sehen?“ mit „Ja, Sie können Ihre früheren Daten ansehen, aber nach der Kündigung werden keine neuen Daten mehr aufgezeichnet.“
- Nach den Nutzungsbedingungen vom 3. August 2026 sind Ihre Inhalte nach dem Ende der Mitgliedschaft „über die Dienste nicht mehr für Sie verfügbar“, aber Sie „können eine Kopie Ihrer Daten anfordern“. Außerdem darf WHOOP demnach bei Beendigung der Vereinbarung „Ihre damit verbundenen Inhalte aus unseren Live-Datenbanken löschen“ und hat „keinerlei Verpflichtung, Ihre Inhalte zu speichern“.
WHOOP sagt nicht, ob der Export in der App nach dem Ende der Mitgliedschaft noch funktioniert; exportieren Sie daher, bevor sie endet. Die Schritte nennt die Seite Was wird aus meinen WHOOP-Daten, wenn ich kündige?
Oura: drei Werte, aber der Export funktioniert weiter
Ohne Mitgliedschaft „sehen Sie nur Ihre drei täglichen Oura-Werte (‚Readiness‘, Aktivität und Schlaf)“, so Oura, dazu Akkustand, Profil und Einstellungen. Ihre Daten werden bei der Kündigung nicht gelöscht, und „auch ohne Mitgliedschaft können Sie alle Ihre Oura-Daten im Membership Hub im CSV-Format exportieren“. Die API setzt eine Mitgliedschaft voraus (Oura Member Care). Nach der Datenschutzerklärung von Oura werden Messdaten „nur so lange gespeichert, wie Ihr Oura-Konto aktiv ist“. Mehr auf der Seite Was wird aus meinen Oura-Daten, wenn ich kündige?
Eine Seite pro Dienst
Jede dieser Seiten zeigt, was ein Dienst nach eigener Aussage mit Ihren Daten macht, wenn Sie kündigen oder ihn nicht mehr nutzen:
- Was wird aus meinen WHOOP-Daten, wenn ich kündige?
- Was wird aus meinen Oura-Daten, wenn ich kündige?
- Was wird aus meinen Garmin-Daten, wenn ich aufhöre?
- Was wird aus meinen Fitbit-Daten, wenn ich kündige?
- Samsung Health aufgeben: Was wird aus meinen Daten?
- Withings+ kündigen: Was wird aus meinen Daten?
- Welltory kündigen: Was wird aus meinen Daten?
- Flow aufgeben: Was wird aus meinen Polar-Daten?
- Ultrahuman kündigen: Was wird aus meinen Daten?
Löschfristen für ungenutzte Konten
Mehrere Unternehmen löschen Konten, die nicht genutzt werden, oder behalten sich das vor, und „nicht genutzt“ bedeutet nicht unbedingt das, was Sie erwarten:
- Garmin: „Wenn Ihr Garmin-Konto auf allen unseren Websites und Diensten mindestens 2 Jahre lang keine Aktivität zeigt, wird Ihr Konto gelöscht.“ Als Aktivität zählen Anmeldungen, Uploads von einem Gerät, Käufe, Reaktionen auf Marketing-E-Mails von Garmin und Interaktionen in der Community; unter dem, was nicht zählt, nennt Garmin die „Nutzung eines Geräts“. Eine Uhr, die jeden Tag getragen, aber nie synchronisiert wird, hält das Konto also nicht aktiv. Garmin schickt vorher mehrere Warnungen per E-Mail, und „gelöschte Daten können nicht wiederhergestellt werden“ (Garmin Support).
- Samsung: „Konten, die 24 Monate lang nicht genutzt wurden, werden als inaktiv eingestuft.“ Nach einer E-Mail können das Konto „und alle oder einige der zugehörigen Daten gelöscht werden“ (Samsung Support).
- Welltory: „Nach drei Jahren Inaktivität werden Ihre persönlichen Daten gelöscht.“ Im kostenlosen Tarif ist der Verlauf auf die letzten 30 Tage begrenzt, und ältere Daten werden gelöscht, wenn Sie sie nicht vorher exportieren (Welltory).
- Withings: Die Dokumente von Withings nennen drei Fristen. Laut den EU-Nutzungsbedingungen „löscht WITHINGS jedes inaktive Konto“: eines ohne Anmeldung, ohne Anmeldung über seine Geräte und ohne Klick auf eine E-Mail von Withings seit mehr als drei Jahren, nach einer Vorankündigung von 90 Tagen. Nach den US-Nutzungsbedingungen „kann WITHINGS ein Konto deaktivieren, wenn sich der Nutzer fünf (5) Jahre lang nicht angemeldet hat“. Die Datenschutzerklärung setzt dafür 10 Jahre ohne solche Aktivität an, bevor ein Konto als inaktiv gilt und gelöscht wird. Alle drei Texte waren am 24. Oktober 2026 online; planen Sie mit der kürzesten Frist, die für Sie gelten kann.
- Apple: Nach den iCloud-Bedingungen darf Apple ein Konto schließen, das ein Jahr lang inaktiv war, nach einer Ankündigung per E-Mail 30 Tage vorher, und seine Daten „nach einer gewissen Zeit“ löschen, die die Bedingungen nicht nennen.
- Google: Google „behält sich das Recht vor, ein inaktives Google-Konto samt seinen Aktivitäten und Daten zu löschen“, und zwar nach mindestens zwei Jahren ohne Aktivität bei Google (Google Account Help).
Wenn der Dienst selbst eingestellt wird
Es gab bereits Abschaltungen mit festen Terminen und kurzen Fristen:
- Fitbit-Konten sind zu Google-Konten umgezogen. „Nach dem 19. Mai 2026 können Sie mit Ihrem Fitbit-Konto nicht mehr auf Fitbit zugreifen.“ Für Konten, die nicht umgezogen wurden, hat Google den 15. Juli 2026 als den Tag festgelegt, an dem es mit dem Löschen von Daten beginnen würde (Google Health Help).
- Microsoft Health Dashboard, der Dienst hinter dem Microsoft Band: „Alle Daten im Microsoft Health Dashboard werden am 31. 5. 2019 gelöscht.“ Wer ein Band besaß, konnte es ohne dessen Webfunktionen weiter nutzen (Microsoft Support).
- Suunto Movescount wurde nach dem 10. Januar 2022 eingestellt. Danach „können Sie Movescount nicht mehr nutzen und Ihren Trainingsverlauf nicht mehr daraus importieren“ (Suunto).
- Endomondo wurde am 31. Dezember 2020 eingestellt. Übertragungen nach MapMyRun waren bis zum 15. Februar 2021 möglich, und Daten, die ihre Nutzenden nicht selbst gelöscht hatten, sollten nach dem 31. März 2021 gelöscht werden (Endomondo Support, archiviert).
- Polars polarpersonaltrainer.com wurde am 31. Dezember 2019 eingestellt: „Wenn Sie Ihre Daten nicht rechtzeitig übertragen haben, sind sie leider jetzt gelöscht und können nicht wiederhergestellt werden“ (Polar, Privacy FAQ).
Zu jeder Schließung gab es ein Datum und eine Frist zum Herunterladen; danach wurden die Daten gelöscht oder ließen sich nicht mehr übertragen.
Ihre Rechte, nach Region
EU und EWR: die DSGVO
Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen, das Menschen in der EU Waren oder Dienstleistungen anbietet, gleich wo es seinen Sitz hat und ob Sie dafür zahlen oder nicht (Artikel 3 Absatz 2). Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten (Artikel 9).
- Eine Kopie Ihrer Daten (Artikel 15). Sie können eine Bestätigung verlangen, dass das Unternehmen Ihre Daten verarbeitet, eine Kopie davon und Informationen: die Zwecke, die Empfänger, die Speicherdauer und die Herkunft der Daten, wenn sie nicht von Ihnen stammen. Wenn Sie den Antrag elektronisch stellen, kommt die Kopie „in einem gängigen elektronischen Format“, sofern Sie nichts anderes verlangen. Sie können nach den Namen der Empfänger fragen, nicht nur nach ihrer Art, es sei denn, sie lassen sich nicht ermitteln (Gerichtshof der Europäischen Union, C-154/21).
- Kostenlos, und ohne Begründung. Die erste Kopie ist kostenlos, und das Unternehmen darf nicht fragen, wozu Sie sie wollen (Gerichtshof der Europäischen Union, C-307/22). Ablehnen oder ein Entgelt verlangen darf es nur bei Anträgen, die „offenkundig unbegründet oder exzessiv“ sind, was es belegen muss (Artikel 12 Absatz 5). Auch ein erster Antrag kann exzessiv sein, hat der Gerichtshof entschieden, aber nur ausnahmsweise: Das Unternehmen muss nachweisen, dass er in missbräuchlicher Absicht gestellt wurde, etwa um künstlich einen Anspruch auf Schadensersatz zu schaffen (C-526/24). Bei begründeten Zweifeln darf es Sie bitten, Ihre Identität zu bestätigen (Artikel 12 Absatz 6).
- Ein Monat. Das Unternehmen muss „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ antworten. Es kann die Frist um zwei weitere Monate verlängern, „wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist“, muss Sie aber innerhalb des ersten Monats informieren und den Grund nennen (Artikel 12 Absatz 3).
- Datenübertragbarkeit (Artikel 20). Daten, die Sie bereitgestellt haben, können Sie „in einem strukturierten, gängigen und maschinenlesbaren Format“ erhalten und an einen anderen Dienst übermitteln lassen. Das gilt, wenn die Verarbeitung auf Ihrer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt.
- Eine Beschwerde (Artikel 77) bei der Aufsichtsbehörde des Landes, in dem Sie wohnen oder arbeiten oder in dem das Problem aufgetreten ist. Der Europäische Datenschutzausschuss führt die Behörde jedes Landes auf (EDSA).
Vereinigtes Königreich
Die UK GDPR sieht dieselben Rechte vor, und eine Organisation „muss unverzüglich antworten, spätestens innerhalb eines Monats“ (ICO). Der Data (Use and Access) Act 2025 hat drei Dinge geändert:
- Sie haben Anspruch auf das, was das Unternehmen bei „einer angemessenen und verhältnismäßigen Suche“ findet; diese Regel gilt als seit dem 1. Januar 2024 in Kraft (Section 78).
- Seit dem 5. Februar 2026 gilt: Braucht das Unternehmen vernünftigerweise mehr Informationen, um festzustellen, was Ihr Antrag umfasst, und bittet es Sie darum, steht die Monatsfrist still, bis Sie antworten (Section 76, seit diesem Datum in Kraft nach den Commencement Regulations 2026). Der Leitfaden des ICO ergänzt: „Sie können niemanden zwingen, den Umfang des Antrags einzuschränken.“
- Seit dem 19. Juni 2026 haben Sie das Recht, sich beim Unternehmen selbst zu beschweren, das den Eingang der Beschwerde innerhalb von 30 Tagen bestätigen muss (Section 103). Sie können sich weiterhin beim ICO beschweren, das in den meisten Fällen empfiehlt, ein Anliegen zuerst beim Unternehmen vorzubringen.
Kalifornien
Der California Consumer Privacy Act gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte machen und einen von drei Schwellenwerten erreichen: einen Jahresumsatz von mehr als 25 Millionen $ (inflationsbereinigt); den Kauf, Verkauf oder die Weitergabe der personenbezogenen Daten von 100.000 oder mehr Verbraucherinnen und Verbrauchern oder Haushalten; oder mindestens die Hälfte ihres Umsatzes aus dem Verkauf oder der Weitergabe dieser Daten (Civil Code, Abschnitt 1798.140).
- Sie können „die einzelnen personenbezogenen Informationen“ verlangen, die das Unternehmen über Sie erhoben hat (Abschnitt 1798.110); auch Schlussfolgerungen, die über Sie gezogen wurden, sind personenbezogene Informationen (Abschnitt 1798.140(v)).
- Das Unternehmen hat 45 Tage, einmal um weitere 45 Tage verlängerbar, wenn das vernünftigerweise nötig ist und es Sie innerhalb der ersten 45 Tage informiert. Die Antwort ist kostenlos und „soweit technisch machbar“ maschinenlesbar (Abschnitt 1798.130).
- Standardmäßig umfasst sie die letzten 12 Monate. Sie können Daten ab dem 1. Januar 2022 verlangen; ein Unternehmen, das das für unmöglich oder unverhältnismäßig hält, muss ausführlich begründen, warum (Abschnitt 7024(h) der CCPA Regulations).
- Ein Unternehmen muss in 12 Monaten nicht öfter als zweimal antworten (Abschnitt 1798.130(b)).
Beschwerden gehen an die California Privacy Protection Agency oder an den Attorney General. Andere US-Bundesstaaten haben eigene Gesetze: Garmin sagt zum Beispiel, Einwohnerinnen und Einwohner „jedes US-Bundesstaats mit einem umfassenden Datenschutzgesetz“ könnten Auskunft, Berichtigung, Löschung oder eine übertragbare Kopie verlangen (Garmin).
Brasilien, Japan, Südkorea und Russland
| Ort und Gesetz | Was Sie verlangen können | Frist | Wenn keine Antwort kommt |
|---|---|---|---|
| Brasilien, LGPD | Auskunft, kostenlos (Art. 18). Eine vollständige elektronische Kopie bei Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags, zu Bedingungen der ANPD (Art. 19 § 3) | Eine vereinfachte Antwort sofort; eine klare und vollständige Auskunft innerhalb von 15 Tagen nach dem Antrag (Art. 19) | Eine Eingabe bei der ANPD, der Datenschutzbehörde |
| Japan, APPI | Offenlegung Ihrer Daten, auch in elektronischer Form (Art. 33). Eine angemessene Gebühr ist erlaubt (Art. 38) | „Unverzüglich“; keine Frist in Tagen | Die Beratungshotline der Personal Information Protection Commission |
| Südkorea, PIPA | Einsicht in Ihre Daten (Art. 35). Ein Recht, Daten weiterleiten zu lassen (Art. 35-2), gilt vorerst nur für eigens benannte Verantwortliche, etwa einige Gesundheitsstellen, Mobilfunkanbieter und Energieversorger, und nicht für Daten, die das Unternehmen abgeleitet hat | 10 Tage (Durchführungsverordnung Art. 41); das Unternehmen darf die Einsicht aus berechtigtem Grund mit Mitteilung aufschieben (Art. 35) | Eine Meldung an die Personal Information Protection Commission (Art. 62) |
| Russland, 152-FZ | Auskunft über die Verarbeitung, einschließlich der Daten selbst (Art. 14). Ein Recht auf eine elektronische Kopie oder auf Datenübertragbarkeit haben wir nicht gefunden | 10 Arbeitstage, dazu bis zu 5 bei begründeter Mitteilung (Art. 20) | Die zuständige Datenschutzbehörde oder ein Gericht (Art. 17) |
Der russische Text ist eine konsolidierte Fassung von ConsultantPlus, da das offizielle Portal nicht erreichbar war. In Südkorea gilt das Recht, Daten an sich weiterleiten zu lassen, ab dem 20. Februar 2027 auch für große Unternehmen, gemessen an Umsatz und Nutzerzahl (Durchführungsverordnung Art. 42-2).
In der Grafik unten ist ein Monat mit 30 Tagen gezeichnet und sind die Arbeitstage in Russland mit fünf pro Woche und ohne Berücksichtigung von Feiertagen gerechnet, sodass 10 Arbeitstage als 14 Kalendertage erscheinen und 15 als 21.
Ein Balkendiagramm der Antwortfristen in Kalendertagen, ein Balken pro Rechtsraum, von 0 bis 90 Tagen. EU und EWR (DSGVO): 1 Monat, bis zu 3 bei Bedarf wegen komplexer oder zahlreicher Anfragen. Vereinigtes Königreich (UK GDPR): 1 Monat, bis zu 3 bei Bedarf wegen komplexer oder zahlreicher Anfragen. Kalifornien (CCPA): 45 Tage, bis zu 90, wenn vernünftigerweise nötig, mit Mitteilung. Brasilien (LGPD): 15 Tage für die vollständige Auskunft. Südkorea (PIPA): 10 Tage; Aufschub mit angegebenem Grund möglich. Russland (152-FZ): 10 Arbeitstage, bis zu 15 mit begründeter Mitteilung. Japan (APPI): „Unverzüglich“: keine Zahl von Tagen.
Eine Kopie umfasst alle Ihre Daten, nicht die Zusammenfassung der App
Zeigt eine App Ihnen die Herzfrequenz Minute für Minute über Jahre zurück und bezieht sie diese Werte von den Servern des Unternehmens, dann hat das Unternehmen diese Daten und verarbeitet sie. Unserer Auffassung nach sollte die Kopie, die Sie nach der DSGVO verlangen, sie dann in diesem Detailgrad enthalten, nicht als Tagesmittelwerte. Drei Quellen stützen diese Auffassung:
- Der Gerichtshof der Europäischen Union. Eine Kopie ist „die originalgetreue Wiedergabe oder Abschrift eines Originals“, daher genügt „eine rein allgemeine Beschreibung der Daten“ nicht. „Die Kopie muss daher alle verarbeiteten personenbezogenen Daten enthalten“ (C-487/21, Randnummern 21 und 32), und sie muss „diese Daten vollständig und originalgetreu wiedergeben“ (Randnummer 39). Zu den personenbezogenen Daten gehören „alle Informationen, die sich aus der Verarbeitung ergeben“ (Randnummer 26); nach derselben Logik gehören dazu auch die Werte, die aus Ihren Messungen berechnet werden.
- Gesundheitsdaten in zusammengefasster Form. In einem Fall zu Patientenakten sagte der Gerichtshof, eine „einfache Zusammenfassung oder Zusammenstellung dieser Daten … in aggregierter Form“ könne die Gefahr bergen, dass „einige relevante Daten ausgelassen oder falsch wiedergegeben werden“ (C-307/22, Randnummer 78).
- Der Europäische Datenschutzausschuss. Auskunft „darf nicht so verstanden werden, dass nur eine Zusammenfassung der Daten gewährt wird“ (Leitlinien 01/2022, Randnummer 23). Die Auskunft umfasst Rohdaten vernetzter Geräte und „Ergebnisse einer Gesundheitsbeurteilung“ (Randnummer 97). Und „die Nutzung von Self-Service-Tools sollte den Umfang der erhaltenen personenbezogenen Daten niemals einschränken“ (Randnummer 138): Ein Export-Button ersetzt keine vollständige Kopie.
Die Entwicklerdokumentation von Oura zeigt, warum das wichtig ist. Danach beruht die durchschnittliche Herzfrequenz der Nacht „auf 30-Sekunden-Messwerten“, während „die App den Durchschnitt aus aggregierten 5-Minuten-Messwerten der Herzfrequenz zeigt“ (Oura API). Das Unternehmen arbeitet mit feineren Daten, als die App zeigt, und nach dieser Auffassung sollte eine vollständige Kopie alles davon enthalten, was Oura noch hat. Wie lange Oura die 30-Sekunden-Daten aufbewahrt, sagt das Unternehmen nicht.
Drei Orte, von oben nach unten: am Wearable, auf Ihrem Smartphone und auf den Servern des Unternehmens. Die Server enthalten drei Schichten, jede mit weniger Strichen gezeichnet als die davor. Für jede Schicht sind drei Wege markiert: der Export-Button, eine Kopie nach Art. 15 und die Datenübertragbarkeit nach Art. 20. Am Wearable, Messwerte, die auf die Synchronisierung warten: Ein Ring oder Armband speichert Daten, bis das Smartphone sie abholt: bis zu 10 Tage bei einem RingConn Gen 3. Noch hält kein Unternehmen sie. Export-Button: Nicht erreichbar. Kopie: Nicht erreichbar. Datenübertragbarkeit: Nicht erreichbar. Auf Ihrem Smartphone, Nur auf dem Smartphone gespeicherte Daten: Apple Health speichert seine Daten auf dem iPhone und Ende-zu-Ende-verschlüsselt in iCloud. Exportieren Sie sie vom Smartphone aus: Ein Unternehmen kann nur kopieren, was es hält. Export-Button: Erreichbar. Kopie: Kommt darauf an. Datenübertragbarkeit: Kommt darauf an. Auf den Servern des Unternehmens, Fein aufgelöste Messwerte: Das, womit das Unternehmen arbeitet. Die API von Oura beschreibt die Herzfrequenz im Schlaf „auf Basis von 30-Sekunden-Messwerten“. Export-Button: Kommt darauf an. Kopie: Erreichbar. Datenübertragbarkeit: Erreichbar. Auf den Servern des Unternehmens, Was die App zeigt: Aus den Messwerten berechnete Werte. Oura sagt, die App zeige eine „auf 5 Minuten aggregierte“ Herzfrequenz. Export-Button: Kommt darauf an. Kopie: Erreichbar. Datenübertragbarkeit: Kommt darauf an. Auf den Servern des Unternehmens, Scores: Eine Zahl pro Tag, vom Unternehmen berechnet: „Readiness“, „Recovery“, ein Schlafwert. Export-Button: Kommt darauf an. Kopie: Erreichbar. Datenübertragbarkeit: Nicht erreichbar.
Wo das Argument an seine Grenzen stößt
- Noch kein Fall zu einem Wearable. C-487/21 betraf eine Wirtschaftsauskunftei und C-307/22 eine Zahnarztpraxis. Die Urteile auf einen Ring oder eine Uhr anzuwenden, ist ein Analogieschluss, keine gerichtliche Entscheidung, und ein Unternehmen oder eine Behörde kann es anders sehen.
- Nur Daten, die das Unternehmen noch hat. Ein Unternehmen muss keine Daten liefern, die es nicht mehr hat, etwa nach Ablauf seiner Speicherfrist. Es darf keine Daten löschen, um einem Antrag zu entgehen (EDSA, Randnummern 37 und 39).
- Nur Daten, die das Unternehmen verarbeitet. Wenn die Detaildaten nur auf Ihrem Smartphone liegen, wie bei der Health-App von Apple, gibt es auf der Seite des Unternehmens nichts zu kopieren. Exportieren Sie sie stattdessen vom Smartphone.
- Große Anträge. Hat ein Unternehmen große Datenmengen über Sie, darf es Sie vor der Herausgabe bitten, die Informationen oder Verarbeitungsvorgänge zu präzisieren, auf die sich Ihr Antrag bezieht (Erwägungsgrund 63 der DSGVO). Der EDSA nennt Unternehmen, die „Daten über häufige Aktivitäten der betroffenen Person über einen längeren Zeitraum erheben“ (Randnummer 35). Wenn Sie in Ihrem Antrag die Daten und Zeiträume nennen, sparen Sie sich diese Rückfrage.
- Format. Artikel 15 verlangt ein gängiges elektronisches Format; der EDSA lässt für die Auskunft sogar ein PDF genügen (Randnummer 156). Ein Recht auf eine maschinenlesbare Datei gibt Artikel 20, und es betrifft Daten, die Sie bereitgestellt haben, etwa „den von einem Wearable aufgezeichneten Herzschlag“, aber keine Werte, die das Unternehmen ableitet. Für diese Daten forderte die Artikel-29-Datenschutzgruppe, wo in der Branche kein Format üblich ist, offene Formate wie XML, JSON und CSV „mit dem bestmöglichen Detailgrad“ (WP242).
- Geschäftsgeheimnisse. Ein Unternehmen darf seinen Algorithmus schützen, aber „das Ergebnis dieser Erwägungen sollte nicht sein, dass jegliche Auskunft verweigert wird“ (Erwägungsgrund 63 der DSGVO).
- Außerhalb der EU. Das Vereinigte Königreich begrenzt die Suche auf das Angemessene und Verhältnismäßige. Kalifornien deckt standardmäßig „die einzelnen personenbezogenen Informationen“ der letzten 12 Monate ab, und ein Unternehmen muss in 12 Monaten nicht öfter als zweimal antworten.
So fordern Sie eine Kopie an
Schreiben Sie an die Adresse in der Datenschutzerklärung des Unternehmens (die Grafik oben nennt sie für zehn Dienste) oder nutzen Sie sein Datenschutzformular, und bewahren Sie eine datierte Kopie Ihres Schreibens auf. Der Briefgenerator für Datenanfragen auf dieser Website macht aus diesen Punkten einen Brief.
Dann:
- Notieren Sie die Frist. Ein Monat in der EU und im Vereinigten Königreich; 45 Tage in Kalifornien. Gerechnet wird ab dem Tag, an dem das Unternehmen den Antrag erhält; im Vereinigten Königreich ab dem Tag, an dem es hat, was es zur Prüfung Ihrer Identität braucht.
- Beantworten Sie Rückfragen zur Identität zügig. Ein Unternehmen darf Sie bitten, Ihre Identität zu bestätigen, und bis dahin kann die Frist ruhen.
- Prüfen Sie, was ankommt, anhand Ihrer Liste. Fehlen Datenarten oder Zeiträume, schreiben Sie zurück und nennen Sie sie.
- Kommt bis zum Ablauf der Frist keine Antwort, schicken Sie eine Erinnerung, die Ihren ersten Antrag und dessen Datum nennt. Beschweren Sie sich dann in der EU bei Ihrer Datenschutzbehörde; im Vereinigten Königreich beim Unternehmen und danach beim ICO, wie das ICO es empfiehlt; in Kalifornien bei der California Privacy Protection Agency oder beim Attorney General.
Was Sie erhalten und wie Sie es öffnen
Die meisten Unternehmen schicken ein ZIP-Archiv, per Link in einer E-Mail oder in ihrem Datenschutzportal. Laden Sie es herunter, bevor der Link abläuft: Die Export-Links von WHOOP laufen nach 7 Tagen ab (WHOOP Support).
- CSV: eine Tabelle, die sich in jeder Tabellenkalkulation öffnen lässt. Achten Sie auf die Einheiten: Oura gibt Zeitdauern in Sekunden an.
- JSON: strukturierter Text, den Sie in einem Texteditor oder einem Browser lesen können.
- FIT: das Binärformat von Garmin für Aktivitäten und tägliche Wellness-Dateien. Zu den FIT-SDK-Tools von Garmin gehört FitCSVTool, „ein Kommandozeilenprogramm, das binäre FIT-Dateien in lesbare Textdateien umwandelt“ (Garmin Developers). Die Tools stehen unter der FIT Protocol License von Garmin.
- XML: der Export der Health-App von Apple. Seine Hauptdatei,
export.xml, kann sehr groß sein.
Was der Export jeder Plattform enthält, erklärt der Ratgeber So exportieren Sie Ihre HRV-Daten von jedem Gerät. Der RR-Konverter macht aus einer Datei mit Schlag-zu-Schlag-Intervallen in Ihrem Browser eine einfache Liste, ohne sie hochzuladen.
So bewahren Sie ein Archiv auf, damit es nutzbar bleibt
- Lassen Sie das Original unverändert. Speichern Sie das Archiv genau so, wie es angekommen ist, benannt nach Datum und Dienst, etwa
2026-10-22_whoop_export.zip, und arbeiten Sie nur mit Kopien. - Legen Sie daneben eine Prüfsumme ab, zum Beispiel mit
shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, und prüfen Sie sie von Zeit zu Zeit. Eine Prüfsumme zeigt, ob sich eine Datei verändert hat (NDSA, Leitfaden zur Integritätsprüfung). - Halten Sie eine Arbeitskopie in offenen Formaten bereit. Entpacken Sie das Archiv, wandeln Sie FIT-Dateien in CSV um und behalten Sie CSV, JSON und XML, wie sie geliefert wurden.
- Nutzen Sie für jeden Export einen datierten Ordner:
| Ordner oder Datei | Was hineingehört |
|---|---|
health-data/whoop/2026-10-22/ | Ein Export, nach Dienst und Datum |
original/ | Das Archiv wie geliefert und seine .sha256-Datei |
extracted/ | Die entpackten und umgewandelten Dateien |
README.txt | Was die Dateien sind |
- Schreiben Sie in jeden Ordner eine README: das Gerät und die Version der App, die Einheiten, welche HRV-Kenngröße die Zahlen darstellen (bei WHOOP der RMSSD RMSSD Quadratwurzel aus dem Mittelwert der quadrierten Differenzen aufeinanderfolgender Intervalle: eine HRV-Messgröße in ms, die zeigt, wie stark sich jeder Herzschlagabstand vom nächsten unterscheidet. Spiegelt vor allem die Vagusaktivität wider. Mehr zu RMSSD , bei Apple der SDNN SDNN Die Standardabweichung aller NN-Intervalle einer Aufzeichnung, in Millisekunden. Sie misst die Gesamtvariabilität, und ihr Wert hängt stark von der Dauer der Aufzeichnung ab. Mehr zu SDNN ) und die Zeitzone (WHOOP Support, Health-App von Apple). Ohne diese Notiz lassen sich Werte verschiedener Dienste nicht vergleichen.
- Sichern Sie in drei Kopien: „Bewahren Sie 3 Kopien jeder wichtigen Datei auf: 1 Hauptkopie und 2 Sicherungen“, auf zwei Arten von Speichermedien, eine Kopie außer Haus (US-CERT, Data Backup Options).
- Verschlüsseln Sie die Sicherungen. Diese Dateien sind Gesundheitsdaten.
- Exportieren Sie nach einem festen Plan, alle paar Monate, nicht erst, wenn Sie den Dienst verlassen. Löschfristen, Abschaltungen und ablaufende Links lassen Ihnen nur die Kopien, die Sie schon gemacht haben.
Dieser Ratgeber ist eine allgemeine Information über das Datenschutzrecht, keine Rechtsberatung.