Aktuell wird viel getan, um die Corona-Pandemie einzudämmen. So wurde gestern zum Beispiel die Arbeit an einer App-Technologie vorgestellt, die das Robert Koch-Institut (RKI) zur Nachverfolgung von Infektionsketten einsetzen möchte. Mit einer solchen App können die Nutzerinnen und Nutzer Daten zu ihren Kontakten erfassen und diese im Infektionsfall warnen lassen.
Welche Fragen dies im Hinblick auf Datenschutz aufwirft und wie Gesundheitsschutz, Privatheit und digitale Innovationen in Einklang gebracht werden können, erläutert Marit Hansen vom BMBF-geförderten Forum Privatheit im Interview.
Das RKI möchte zur Nachverfolgung von Infektionsketten nun eine App einsetzen, die sich möglichst viele Bürgerinnen und Bürger auf ihren Smartphones installieren sollen. Was halten Sie von einer solchen Lösung?
Ich kenne noch nicht alle Details, befürworte den Ansatz aber vom Grundgedanken her. Im Prinzip soll es über eine Art lokal gespeichertes, digitales Tagebuch funktionieren, in das bei Nahkontakten besonders generierte Nummern aus den Apps anderer Nutzer eingetragen werden. Erfährt später einer von ihnen, dass er infiziert ist, trägt er dies in seine App ein und löst damit eine Warnung an seine Kontakte der letzten Tage oder Wochen aus. Alles kommt ohne Namen aus, alles soll verschlüsselt ablaufen. Aus Datenschutzsicht stellen sich viele Fragen, und wie so oft steckt der Teufel im Detail. Aber weil die Verwendung der App freiwillig sein soll, kann man sich ja dann genau anschauen, ob einem die App gefällt und sich die angekündigte Datenschutzfunktionalität in der Realität bewährt. In meiner Dienststelle merken wir an den Nachfragen: Das Interesse der Bevölkerung daran ist groß.
Wie lässt sich eine Datenweitergabe so gestalten, dass die Privatheit von Bürgerinnen und Bürgern gewahrt bleibt?
Das Datenschutzrecht setzt beim Personenbezug an und ist nicht für vollständig anonyme Daten anwendbar. Für alle personenbezogenen Daten – also auch für Namen, Handynummern, Standortdaten oder eindeutige Identifikatoren – gelten die Datenschutzgrundsätze, insbesondere: Es ist eine Rechtsgrundlage nötig. Es dürfen nur die für den Zweck erforderlichen Daten verarbeitet werden. Die Verarbeitung muss transparent sein. Und: Man muss sich um die Informationssicherheit kümmern. Die Herausgabe personenbezogener Daten geht nicht „einfach so“, sondern erfordert eine Rechtsgrundlage, zum Beispiel ein Gesetz oder eine Einwilligung. Der Schlüssel liegt in der Gestaltung.
Schauen wir uns die konkrete Gestaltung an: Die angesprochene App soll zur Kontaktverfolgung auf Bluetooth-Technologie basieren. Wie könnte eine solche Lösung gestaltet werden und welche wesentlichen Kriterien gilt es dabei zu beachten?
Wie eine solche datenschutzfreundliche App aussehen kann, wird in einem Artikel auf Netzpolitik.org sehr gut skizziert. Vorteilhaft ist, dass über die App nur diejenigen über einen infizierten Kontakt informiert würden, die auch wirklich dem Risiko ausgesetzt waren. Und speziell aus Datenschutzsicht: Keine Institution erhält dabei die Ortsdaten. Zentrale Datensammlungen können vollständig vermieden werden, und durch einen häufigen Wechsel der Identifikatoren für die Handys sind auch die Kontakte für Dritte nicht auswertbar – so kann Datenschutz funktionieren. Natürlich muss auch die Informationssicherheit garantiert sein, und man muss potenzielle Datenabflüsse an Unbefugte verhindern – gar nicht so leicht angesichts der heutigen Smartphone-Ökosysteme, bei denen App-Programmierung dadurch charakterisiert wird, dass Komponenten anderer Anbieter integriert werden.
Gerade in einer solchen Krisensituation kann die intelligente Auswertung von Daten helfen, Menschenleben zu retten. Sollten jetzt nicht Datenschutzaspekte zugunsten digitaler Innovationen, die Menschen helfen, zurücktreten?
Der Datenschutz steht nicht im Widerspruch zu guten Lösungen. Damit meine ich, dass die Datenverarbeitung für den Zweck geeignet ist, überprüfbar ist, nicht in unverhältnismäßigem Maße in die Rechte der Menschen eingreift und solche Maßnahmen auch reversibel sind in der Zeit nach der Krise. Bei den kürzlich zurückgezogenen Vorschlägen, dass der Staat auf die personenbezogenen Positionsdaten von Handynutzern zugreift, um Kontakte nachzuverfolgen, hatte ich erhebliche Bedenken: Die Daten hätten lediglich Auskunft über die Funkzelle gegeben, wären also viel zu ungenau und damit auch ungeeignet für eine Kontaktnachverfolgung gewesen. Dennoch wäre der grundrechtliche Eingriff, bei der gesamten Bevölkerung auf Positionen und Bewegungen zugreifen zu können, unverhältnismäßig groß gewesen. Denn solche Daten bergen detaillierte Informationen über unser Leben und lassen sich zu vielfältigen Zwecken auswerten.
Grundrechte wie die Versammlungsfreiheit sind bereits eingeschränkt. Ist es aus Ihrer Sicht zu rechtfertigen, in Krisensituationen auch das Recht auf informationelle Selbstbestimmung temporär auszusetzen?
Nein! Grundrechte kann man nicht einfach beiseiteschieben und in besseren Zeiten wieder hervorkramen. Gerade in der Krise müssen sie sich bewähren. Das Recht auf informationelle Selbstbestimmung besagt, dass jeder wissen können soll, wer was über ihn weiß. Es bleibt dabei, dass es keine heimliche und unüberprüfbare Verarbeitung personenbezogener Daten geben darf.
Welche konkreten Gefahren sehen Sie, wenn wir Datenschutzstandards in einer Krise, wie wir sie aktuell erleben, absenken?
Akute Probleme entstehen jetzt schon, wenn gesammelte Daten nicht gegen die unbefugte Nutzung geschützt sind. Das betrifft schon Daten in ausliegenden Listen in Restaurants, aber erst recht Gesundheitsdaten. Man muss sich bewusstmachen, dass es um Leben und Tod gehen kann, wenn Daten manipuliert oder fragwürdig ausgewertet werden. Das Szenario, dass anhand von Daten entschieden wird, wer später ein Beatmungsgerät erhält und wer nicht, ist nicht fernliegend.
Mittelfristig wachsen die gesellschaftlichen und psychologischen Probleme, wenn Menschen sich sorgen, dass um sie herum ein Überwachungsstaat entsteht oder untaugliche Maßnahmen vorangetrieben werden, ohne dass ihre Rechte ernst genommen werden. Dagegen tragen gute Datenschutzstandards zur Akzeptanz bei.
In China und Südkorea werden sogar einzelne Personen per Smartphone überwacht, beispielsweise um sicherzugehen, dass sie die häusliche Quarantäne einhalten. Wären solche Maßnahmen auch hierzulande denkbar?
Es gibt in Deutschland keine Pflicht, ein Smartphone zu besitzen, es mit sich zu führen und auch keiner anderen Person zu geben – es ist eben keine staatlich angeordnete „Fußfessel“. Eine Smartphone-Überwachung wäre ungeeignet, eine Fußfessel für Covid-Patienten wäre rechtsstaatlich höchst bedenklich – es sind doch keine Straftäter! Die Grundregel lautet, bei allen Vorschlägen ihre Geeignetheit und Verhältnismäßigkeit zu prüfen.
Die EU-Datenschutz-Grundverordnung hat einen hohen Standard gesetzt in Bezug auf den Schutz personenbezogener Daten. Ist dieses hohe Datenschutzlevel aus Ihrer Sicht durch die jüngsten Entwicklungen im Zuge der Coronakrise in Gefahr?
Im Gegenteil! In der Krise zeigt sich, wie wichtig unsere Grundwerte und auch die Datenschutzgrundsätze sind. Es geht wie stets um faire, transparente und sichere Datenverarbeitung zu einem legitimen Zweck. Der Zweck – Infektionsschutz – heiligt keineswegs alle Mittel.
Wir danken Ihnen für das Gespräch.