Der Datenschutz ist in Zeiten von Corona weiter in den Schlagzeilen: Juristen, Politiker und Informatiker liefern sich eine medienwirksame Debatte darum, was in einem Notfall wie diesem möglich sein kann, darf und muss.
Nutzung von Funkzellendaten “datenschutzrechtlich vertretbar”
In Rede steht vor allem die technische Rückverfolgung von Infizierten durch Smartphone-Standortdaten. So sollten potentielle Infektionsketten aufgedeckt und womöglich bereits Infizierte gefunden und informiert werden. Eine entsprechende Gesetzesnovelle von Gesundheitsminister Jens Spahn scheiterte ohne Abstimmung schon am Widerstand des Justizministeriums.
Diese Methode habe, so Spahn zur Begründung des Vorschlags, bereits in Südkorea gut funktioniert. Dabei lässt er unerwähnt, dass in Südkorea keine individuellen Standortdaten verarbeiten wurden. Nur Funkzellendaten, das heißt Informationen darüber, wie viele Telefone wann mit welchem Funkturm verbunden waren, werden dort verarbeitet. Auch das wird in Deutschland aber bereits praktiziert – und zwar rechtskonform.
Das Robert-Koch-Institut (RKI) nutzt diese anonymisierten Standortdaten von immerhin 46 Millionen Handy-Nutzern, zur Verfügung gestellt durch die Deutsche Telekom, bereits. Bundesdatenschutzbeauftragter Ulrich Kelber hält das für “datenschutzrechtlich vertretbar“:
Tweet vom Bundesdatenschutzbeauftragten Ulrich Kelber vom 18. März 2020.
Entsteht ein “diffus bedrohliches Gefühl des Beobachtetseins”?
Damit könnte Kelber Recht haben: Die Nutzung anonymisierter Standortdaten wäre jedenfalls rechtmäßig, denn hier greift der Anwendungsbereich des Datenschutzrechts gar nicht: Es werden keine “personenbezogenen” Daten im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet. Wirklich “anonym” im Rechtssinne sind Daten aber nur, wenn der Rückschluss auf eine einzelne Person vollkommen ausgeschlossen ist – eine extrem hohe rechtliche und technische Hürde. Dementsprechend musste sich Kelber Skepsis und Kritik auf Twitter gefallen lassen. Auch die schleswig-holsteinische Datenschutzbeauftragte Marit Hansen mahnt, trotz des hohen Tempos die Verhältnismäßigkeit im Auge zu Behalten.
Spätestens seit der hitzigen Debatte um polizeiliche Überwachung vor einigen Jahren bringt auch das Stichwort “Funkzellenabfrage” Datenschützer und Bürgerrechtler auf die Barrikaden – zu Recht: Denn das Bundesverfassungsgericht stellte schon in seinem Urteil zur Vorratsdatenspeicherung 2010 fest, dass Grundrechte der Bürger nicht erst durch die Überwachung ihrer selbst, sondern schon durch die Tatsache, dass man beobachtet werden könnte, bedroht werden: Es entstünde ein “diffus bedrohliches Gefühl des Beobachtetseins, […] das eine unbefangene Wahrnehmung der Grundrechte in vielen bereichen beeinträchtigen [kann]”. Genau das scheint nun die Sorge viele Bürger und Datenschutzrechtler zu sein, die vor den Gefahren massenhafter Verarbeitung von Standortdaten warnen.
Neuer Ansatz aus Singapur und Israel: “Freiwillige Selbstkontrolle”?
Eine andere Methode kommt aus Singapur und setzt auf die Bereitschaft des einzelnen Smartphone-Besitzers an der Teilnahme: Mit der App “TraceTogether” bietet die singapurische Regierung ihren Bürgern seit dem 25. März eine neuartige Methode, den Virus einzudämmen:
Konzept der TraceTogether-App. Quelle: https://www.tech.gov.sg/.
Statt auf GPS-Tracking über Satellit (oder auf die ungenauere Funkzellenabfrage) setzt die App dabei auf den im jedem Smartphone verbauten Bluetooth-Sensor, um die Nähe zu anderen Geräten zu bestimmen. Das hat den Vorteil, dass die App auch unterirdisch und in dicht bebauten Gebieten wie Singapur oder anderen Großstädten funktioniert. Haben zwei Geräte die App installiert und Bluetooth aktiviert, senden sie sich bei Kontaktaufnahme gegenseitig nur vier Daten zu: Zeit, Bluetooth-Signalstärke, Smartphone-Modell-Nummer, und eine ID.
Dabei handelt es sich freilich nicht um anonyme Daten, da sich aus ihnen Rückschlüsse auf die Person hinter der ID ziehen lassen. Diese “Dechifrierbarkeit” der Daten ist auch Teil des Designs der App: Infiziert sich ein Nutzer mit dem Virus, soll er das dem Gesundheitsministerium melden, welches dann die Verbindungsdaten der App abgleicht und “betroffene” Nutzer, also solche, die sich vor kurzem noch in der Nähe des Infizierten aufgehalten haben, informiert.
Verarbeitung ohne Einwilligung? Art. 9 DSGVO sieht Ausnahmen vor
Dazu kommt, dass es sich bei sog. Gesundheitsdaten um eine von der DSGVO besonders geschützte Datenkategorie handelt: Nach Art. 9 Abs. 1 DSGVO ist ihre Verarbeitung, d.h. schon die Erhebung, grundsätzlich verboten. Es kommen aber Ausnahmen in Betracht, etwa eine auf einen einzelnen Zweck beschränkte, informierte Einwilligung des Nutzers (Art. 9 Abs. 2 lit. a). Es käme also entscheidend auf die Freiwilligkeit der App-Nutzung an. Ist diese gegeben, wäre die mit der App verbundene Datenverarbeitung datenschutzrechtlich zulässig – solange die Daten nicht später für andere Zwecke erneut verwendet werden. Eine Zweckänderung müsste also ausgeschlossen sein.
Möglich scheint auch eine Rechtfertigung nach Art. 9 Abs. 2 lit. i) DSGVO: hier würde statt einer (widerruflichen) Einwilligung auch “Gründ[e] des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren” eine Datenverarbeitung ermöglichen. Die EU-Norm ist allerdings nur eine “Öffnungsklausel”, sie muss noch durch nationales Recht im Detail ausgestaltet werden. Deutschland hat das durch § 22 Abs. 1 Nr. 1 c) BDSG – mit der gleichen Formulierung wie oben – auch getan. Trotzdem muss die Verarbeitung immer “erforderlich”, das heißt insbesondere geeignet und vergleichsweise milde, sein – auch das stellt rechtlich regelmäßig eine hohe Hürde dar. Die Geeignetheit von nicht-anonymisierten Standortdaten für die Bekämpfung der Corona-Pandemie hält auch Kelber für nicht gegeben: Schließlich zeigten dieser nur den Standort des Handys, nicht dessen Besitzers.
Geht Deutschland den singapurischen, israelischen, oder einen ganz eigenen Weg?
Auch in Deutschland scheint der Weg für die Nutzung einer freiwilligen App wie TraceTogether (datenschutzrechtlich) also frei. Daher scheint der politische Impuls auch in diese Richtung zu gehen. Der Nutzen und die gesellschaftliche Akzeptanz einer solchen App wird aber noch zu bewerten sein.
Singapur plant nun, den Algorithmus hinter der App unter einer Open-Source-Lizenz zu veröffentlichen. Auch in Israel wird eine ähnliche App eingesetzt: “HaMagen” (“der Schild”) warnt den Nutzer, falls sein Pfad sich mit einem Corona-Infizierten gekreuzt hat. Auch diese App setzt dabei nicht auf freiwillige Angaben des Nutzers, sondern auf Standortdaten des Gesundheitsministeriums. Dieses scheint also entgegen datenschutzrechtlicher Bedenken umgesetzt zu haben, woran Jens Spahn zuletzt scheiterte.
Update (2. April): Die “Pan-European Privacy-Preserving Proximity Tracing”-Initiative
Mittlerweile hat sich ein Zusammenschluss aus 130 europäischen Unternehmen und öffentlichen Einrichtungen mit der “PEPP-PT”-Initiative gemeldet: Nach dem selben Prinzip wie TraceTogether (freiwilliger Abgleich von Bluetooth-Signalstärken der App-Nutzer) soll der Ausbreitung des Coronavirus in Europa entgegengewirkt werden – mit europäischen Datenschutzstandards als Maßstab, ganz nach dem Motto: “Proximity Tracing YES, Giving Up Privacy NO!”
Das Prinzip der App soll dabei dabei auf Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und Verschlüsselung setzen: Die Smartphones tauschen erst Daten miteinander aus, wenn sie über einen “epidemiologisch relevanten Zeitraum” miteinander in nahem Kontakt waren – und selbst dann werden die übertragenen Daten (eine App-spezifische ID) nach der Übertragung lokal verschlüsselt gespeichert. Nicht einmal der Nutzer des Smartphones hat Zugriff auf seine eigene “Kontakthistorie”. Auch die Gesundheitsbehörden sollen nur mittels einer an den Nutzer gesendeten TAN die Möglichkeit erhalten, eine Push-Mitteilung an dessen “Kontatkpersonen” zu senden.
Damit geht der PEPP-PT Ansatz noch einen Schrittweiterals TraceTogether und setzt europäische Datenschutzstandards, zumindest in der Konzeptphase, konsequent um. Es bleibt abzuwarten, wann die App verfügbar sein wird und ob sie sich im Alltag bewährt.