Gesundheitsdaten im Werbe-Pixel: Was droht Anbietern?

Gesundheitsdaten an Meta und Snap: FTC verklagt den Telemedizin-Anbieter Hims & Hers

Markus Seyfferth

Autor Dr. Web

29. Juli 2026

3 Min. Lesezeit

Die US-Handelsaufsicht FTC hat den Telemedizin-Anbieter Hims & Hers verklagt, weil er Angaben über die Erkrankungen seiner Kunden an Meta und Snap weitergegeben haben soll. Der Fall folgt einem Muster, das jede europäische Website mit Werbe-Tracking betrifft. Übertragen werden muss dafür kein einziger medizinischer Begriff.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Gesundheitsdaten von Kunden sind bei Hims & Hers nach Darstellung der Federal Trade Commission auf zwei Wegen bei Werbeplattformen gelandet: über hochgeladene Kundenlisten und über Ereignisse, die eine Tracking-Technik automatisch gemeldet hat. Am 29. Juli 2026 hat die Behörde gemeinsam mit dem Bundesstaat Utah und dem Los Angeles County Counsel Klage eingereicht.^[1]

Das Wichtigste in Kürze

FTC, Utah und Los Angeles County werfen Hims & Hers vor, sensible Gesundheitsdaten an Meta, Snap und weitere Dritte weitergegeben zu haben.
Im Zentrum stehen zwei Kanäle: hochgeladene Kundenlisten und Tracking-Technik, die Nutzerereignisse automatisch meldet.
Die Klage umfasst außerdem Abbuchungen vor dem Arztgespräch und eine versteckte Kündigungsschaltfläche.
In der EU gilt der strengere Maßstab: Schon Bestelldaten zählen laut Europäischem Gerichtshof als Gesundheitsdaten.

Was wirft die FTC dem Anbieter vor?

Verpackung mit Pinguinsticker und Aufschrift „Streng vertraulich“ — Hims & Hers gab Patientendaten zu Erkrankungen an Meta und Snap weiter, obwohl Datenschutz zugesichert war

Sensible Daten: Hims & Hers hat Angaben über die Erkrankungen seiner Kunden an Meta, Snap und weitere Dritte weitergegeben, obwohl das Unternehmen den Schutz der Patientendaten zugesichert hatte. So steht es in der Klageschrift der FTC.

Abo-Falle: Kunden füllen einen Aufnahmebogen aus und rechnen mit einem ärztlichen Gespräch, werden laut Klageschrift aber schon kurz darauf für ein laufendes Rezept-Abonnement abgebucht. Die Kündigungsschaltfläche hat der Anbieter zudem hinter einem Menüpunkt zum Ändern der Bestellung versteckt. Auf dasselbe Gesetz hat sich der Vergleich der FTC mit Amazon über die erschwerte Prime-Kündigung gestützt.

Behördensicht: „Die Beschwerde der FTC zeichnet ein beunruhigendes Bild: Verbraucher, die unbemerkt in laufenden Abonnements festhängen, und die Weitergabe ihrer privatesten Gesundheitsdaten an Dritte ohne deren Einwilligung“, sagt Christopher Mufarrige, Leiter des Bureau of Consumer Protection der FTC. Hims & Hers hat sich zu den Vorwürfen bislang nicht geäußert, über die Klage entscheidet das Gericht.

Warum verrät ein Werbe-Pixel mehr als gedacht?

Kontext genügt: Ein Tracking-Pixel überträgt kein Krankheitsbild, sondern ein Ereignis samt der Seite, auf der es ausgelöst wurde. Aus Produktpfad und Zeitpunkt lässt sich die Erkrankung ableiten, ohne dass je ein medizinischer Begriff mitgesendet wird.

Der zweite Kanal wirkt technisch harmloser und wiegt schwerer. Beim Abgleich von Kundenlisten lädt ein Anbieter Kontaktdaten in gehashter Form zur Plattform hoch, die diese Hashes gegen ihren eigenen Profilbestand abgleicht. Die Verschlüsselung nützt dabei nichts, und aus dem Namen der Liste ergibt sich die Diagnose ohnehin.

Drittes Verfahren: Neu ist der Vorgang nicht. GoodRx hat sich 2023 mit der FTC auf 1,3 Millionen Euro verglichen, BetterHelp im selben Jahr auf 6,8 Millionen Euro, weil der Therapie-Anbieter Nutzerdaten unter anderem an Facebook, Snapchat und Pinterest weitergereicht hatte.^[2] Beide Beträge sind aus US-Dollar zum Kurs von 0,87 umgerechnet (Stand Juli 2026). Dass Gesundheitsdaten auch abseits der Werbetechnik wandern, zeigt der Fall der Medicaid-Daten bei Palantir gezeigt.

Ein Tracking-Pixel kennt keine Diagnose, aber er kennt die Seite, auf der jemand danach sucht. Genau deshalb behandelt das europäische Recht solche Ereignisdaten längst als Gesundheitsdaten, und die Beweislast liegt beim Betreiber der Website.
— Michael Dobler, Herausgeber Dr. Web

Die Fälle der FTC im Überblick

1,3 Mio. €

GoodRx, 2023

Vergleich wegen weitergegebener Rezept- und Telemedizin-Daten. Umgerechnet aus 1,5 Mio. US-Dollar.

6,8 Mio. €

BetterHelp, 2023

Daten von Therapie-Nutzern an Facebook, Snapchat, Criteo und Pinterest. Umgerechnet aus 7,8 Mio. US-Dollar.

29.07.2026

Hims & Hers

Klage von FTC, Utah und Los Angeles County. Höhe der Forderung offen, das Gericht entscheidet.

Der Maßstab diesseits und jenseits des Atlantiks

USA

Grundlage sind FTC Act und der Restore Online Shoppers’ Confidence Act
Geahndet wird die gebrochene Zusage, nicht die Datenverarbeitung als solche, und das erst im Einzelfall Jahre nach dem Vorgang

EU und DACH

Artikel 9 DSGVO verlangt vorab eine ausdrückliche Einwilligung
Paragraf 25 TDDDG gilt für jeden Tracker, unabhängig vom Zweck
Der Kündigungsbutton ist seit 1. Juli 2022 Pflicht (Paragraf 312k BGB)
Wettbewerber dürfen Verstöße abmahnen (EuGH, C-21/23)

Was bedeutet der Fall für europäische Anbieter?

Strengerer Maßstab: Der Europäische Gerichtshof hat am 4. Oktober 2024 entschieden, dass bereits die Bestelldaten apothekenpflichtiger Arzneimittel Gesundheitsdaten im Sinne von Artikel 9 DSGVO sind, und zwar unabhängig davon, ob ein Rezept nötig ist.^[3]

Damit steht der europäische Maßstab quer zur amerikanischen Praxis. In den USA muss die FTC den Bruch eines Versprechens nachweisen, in der EU ist die Verarbeitung ohne ausdrückliche Einwilligung schon für sich verboten. Wie schwer sich Websites mit dieser Einwilligung tun, zeigt die Debatte über ein zentrales Browsersignal statt einzelner Banner.

Doppeltes Risiko: Dasselbe EuGH-Urteil erlaubt den Mitgliedstaaten, Wettbewerbern ein eigenes Klagerecht bei Datenschutzverstößen einzuräumen. In Deutschland kann also neben der Aufsichtsbehörde die Konkurrenz abmahnen. Beim zweiten Klagepunkt liegt Europa ohnehin vorn: Was die FTC gerichtlich durchsetzen muss, schreibt Paragraf 312k BGB seit dem 1. Juli 2022 vor, wie das Urteil zur Kündigungsstrecke von Sky gezeigt hat.

Zu tun: Betreiber sollten prüfen, welche Ereignisse ihr Werbe-Tag tatsächlich überträgt, denn die Standardkonfiguration meldet Seitenpfade und Warenkorbinhalte oft ungefiltert weiter. Hochgeladene Kundenlisten brauchen eine eigene Einwilligung; den technischen Rahmen liefert der Google Consent Mode v2, die Anforderungen an das Banner selbst fasst unser Beitrag zu Cookie-Bannern und DSGVO zusammen.