Die Flo-Zyklus-Tracker-Klage, erklärt

Zwei zusammenhängende Verfahren, die in Schlagzeilen oft vermischt werden.

Erstens der FTC-Fall. Im Januar 2021 behauptete die Federal Trade Commission, dass Flo Health von Juni 2016 bis Februar 2019 die Gesundheitsdaten von Millionen Nutzerinnen — einschließlich Menstruationsdetails und Schwangerschaftsstatus — mit externen Analyse- und Marketingfirmen geteilt habe, darunter die Analyseabteilungen von Facebook und Google, AppsFlyer und Flurry. Der Mechanismus waren eingebettete Software-Entwicklungskits (SDKs): Flo übermittelte sensible Informationen wie "pregnancy" innerhalb benutzerdefinierter App-Ereignisdaten. Flos Datenschutzrichtlinie versprach damals, dass diese Daten nicht weitergegeben würden. Flo stellte die Weitergabe an Facebook einen Tag nach einer Enthüllung des Wall Street Journal im Februar 2019 ein, die die Übertragungen abgefangen hatte.

Zweitens die Sammelklage: Frasco v. Flo Health, 2021 bei einem Bundesgericht in Kalifornien gegen Flo, Google, Meta und Flurry eingereicht, umfasst Nutzerinnen, die zwischen dem 1. November 2016 und dem 28. Februar 2019 Menstruations- oder Schwangerschaftsdaten in die App eingegeben haben. Die Klage umfasste Verstöße gegen kalifornische Gesetze zur medizinischen Vertraulichkeit und zum Abhörschutz. Dieser Fall führte zu den 2025er-Vergleichen und dem unten beschriebenen Jury-Urteil gegen Meta.

Wichtige Präzisierung: Flo hat beide Angelegenheiten beigelegt, ohne dass ein Gericht festgestellt hätte, dass es gegen das Gesetz verstoßen hat, und bestreitet alle Vorwürfe.

Beide Zahlen sind real; sie zählen nur unterschiedliche Dinge. Drei Beklagte einigten sich 2025 in der Sammelklage: Google erklärte sich bereit, 48 Millionen Dollar zu zahlen, Flo 8 Millionen und die Analysefirma Flurry 3,5 Millionen Dollar. Der gesamte Vergleichsfonds beträgt somit 59,5 Millionen Dollar.

Die im September 2025 vielfach berichteten "56 Millionen Dollar" (u. a. über Reuters) sind die Summe der Vergleiche von Google und Flo — die gleichzeitig angekündigt wurden — ohne die frühere 3,5-Millionen-Dollar-Einigung von Flurry. Also: 56 Mio. Dollar sind Google + Flo; 59,5 Mio. Dollar ist der volle Fonds. Flos eigener Anteil betrug zur Klarstellung 8 Millionen Dollar.

Zwei Dinge, die die Zahlen nicht verraten. Alle sich einigenden Unternehmen bestreiten Fehlverhalten — die offizielle Vergleichsmitteilung stellt fest, dass das Gericht nicht entschieden hat, ob Flo, Google oder Flurry gegen das Gesetz verstoßen haben; sie einigten sich, um den Rechtsstreit zu beenden. Und Meta ist in keiner der beiden Zahlen enthalten: Das Unternehmen weigerte sich, sich zu einigen, ging vor Gericht und verlor stattdessen ein Jury-Urteil, wobei der Schadenersatz noch ungeklärt ist.

Meta war der einzige Beklagte, der sich nicht einigte. Der Fall ging im Juli 2025 vor Gericht, und am 1. August 2025 stellte eine einstimmige Bundes-Jury fest, dass Meta gegen den California Invasion of Privacy Act (CIPA) — das Abhörgesetz des Bundesstaates — verstoßen hatte, indem es über sein SDK ohne Zustimmung Menstruationsdaten von Flo-Nutzerinnen sammelte. Es war der erste bedeutende CIPA-Fall, der zu einem Jury-Urteil führte, und gilt für die kalifornische Nutzer-Untergruppe.

Was das finanziell bedeutet, ist noch offen. CIPA sieht einen gesetzlichen Schadenersatz von 5.000 Dollar pro Verstoß vor; die Kläger haben dies pro Gruppenmitglied gefordert, und Presseberichten zufolge deutete der Richter an, dass die Gesamtsumme mehrere Milliarden Dollar erreichen könnte — Meta selbst teilte dem Gericht mit, das Risiko könne ein "Vielfaches von Milliarden" betragen. Bis Mitte 2026 stand kein endgültiger Schadenersatzbetrag fest, der Richter hatte Metas Anträge nach dem Prozess abgelehnt, und Meta hatte erklärt, es sei mit dem Ergebnis "entschieden nicht einverstanden" und eine Berufung angekündigt, wobei es darauf beharrt, dass seine Bedingungen Entwicklern grundsätzlich verbieten, ihm Gesundheitsdaten zu senden.

Die präzise Kurzfassung lautet also: Eine Jury befand Meta für das Abhören der Daten von Flo-Nutzerinnen haftbar; wie viel Meta zahlen wird, falls das Urteil eine Berufung übersteht, ist noch nicht entschieden.

Yes, at the time this page was last updated. The official settlement website is PeriodTrackerDataPrivacyLitigation.com, administered by A.B. Data (phone 1-866-778-9626). Be wary of lookalike sites — claims are free to file and no legitimate party asks you to pay.

Who qualifies: anyone in the United States who used the Flo app between November 1, 2016 and February 28, 2019 and entered menstruation and/or pregnancy information during that window.

Key dates: claims must be submitted online by October 15, 2026 (11:59 p.m. Pacific) or postmarked by that date; the final approval hearing is scheduled for October 29, 2026 in San Francisco. Payments are pro rata — the amount per person depends on how many valid claims come in — and California class members who submit documentation receive double the base share, reflecting the state-law claims.

One more nuance worth knowing: any money from the Meta verdict is separate from this settlement fund. Eligible California users will be contacted later about that process, and filing a settlement claim now does not waive Meta-verdict rights. Check the official site for current status, since deadlines and details can change.

Weniger, als die meisten Menschen annehmen — was an sich schon aufschlussreich dafür ist, wie schwach die US-Regulierung von Gesundheits-Apps ist. Die im Juni 2021 finalisierte Unterlassungsverfügung enthielt keine Geldstrafe. Sie verlangte von Flo: die falsche Darstellung seiner Datenpraktiken einzustellen; die ausdrückliche, positive Zustimmung der Nutzerinnen einzuholen, bevor Gesundheitsinformationen mit irgendjemandem geteilt werden, mit klarer Offenlegung, was geteilt wird, mit wem und warum; die Dritten, die Nutzerdaten erhalten hatten, anzuweisen, diese zu vernichten; betroffene Nutzerinnen zu benachrichtigen; und sich einer unabhängigen Überprüfung seiner Datenschutzpraktiken zu unterziehen.

Zwei FTC-Kommissare stimmten teilweise nicht zu und argumentierten, Flo hätte auch nach der Health Breach Notification Rule angeklagt werden müssen — der Regel, die die Behörde später 2023 gegen die Eisprung-App Premom anwandte und dort eine Strafe von 100.000 Dollar durchsetzte.

Die strukturelle Lehre liegt unter der rechtlichen: Jeder Mechanismus in der Beschwerde beinhaltete Daten, die vom Telefon zu Servern und SDKs flossen. Regulierung bestrafte das gebrochene Versprechen im Nachhinein; sie machte die Datenweitergabe nicht rückgängig und kann das auch nicht. Eine Architektur, die Zyklusdaten niemals vom Gerät weg sendet, ist die einzige Version von "privat", die nicht davon abhängt, dass ein Unternehmen sein Wort hält.

Fairness verlangt, auch die andere Seite zu hören. Flo hat konsequent alle Vorwürfe bestritten. Seine Position: Es habe niemals Nutzerdaten verkauft; die betreffenden SDKs seien standardmäßige Analysetools gewesen, die für die App-Leistung genutzt wurden, nicht für Werbung; und im Rechtsstreit sei es um die Transparenz gegangen, wie diese Tools funktionierten. Bei der Ankündigung des Vergleichs von 2025 erklärte Flo, es habe sich "ausschließlich zur Beseitigung der Unsicherheiten, der Belastung, der Kosten und der Verzögerung" des Rechtsstreits geeinigt, und seine öffentlichen Erklärungen behaupten, "jede Behauptung", es habe unrechtmäßig Daten geteilt, "entbehre jeder Grundlage".

Flo verweist zudem auf Änderungen seit 2019: Es habe die betreffenden SDKs entfernt, 2022 ein externes Datenschutzaudit in Auftrag gegeben, die ISO-27001-Sicherheitszertifizierung erhalten, einen "Anonymen Modus" eingeführt, der die Nutzung von der Identität entkoppelt (später als Open Source veröffentlicht), und einen Datenschutz-Beirat eingerichtet. Das sind reale Verbesserungen, und die Formulierung der Vergleichsmitteilung selbst gilt: Kein Gericht hat festgestellt, dass Flo gegen das Gesetz verstoßen hat.

Zwei Vorbehalte der Vollständigkeit halber: Der Anonyme Modus speichert weiterhin Zyklusdaten auf Flos Servern — er entfernt die Identitätsverknüpfung, nicht die Serverkopie — und Presseberichte im Juni 2026 stellten fest, dass eine niederländische Gruppe für digitale Rechte bei der niederländischen Datenschutzbehörde eine Beschwerde über Flos Umgang mit Daten eingereicht hatte, sodass die genaue Prüfung nicht beendet ist. Nutzerinnen, die wechseln möchten, finden unsere Schritt-für-Schritt-Migrationsanleitung unter /leave-flo.