App als milderes Mittel zu derzeitigen Maßnahmen

Auch wenn noch kein Ende der Corona-Pandemie in Sicht ist, gibt es inzwischen die ersten vorsichtigen Gedanken, wie und wann die derzeitigen Maßnahmen wie Kontaktverbote oder Schließungen diverser Einrichtungen zurückgenommen werden könnten. Eine große Rolle könnte dabei ggf. der Nutzung technischer Hilfen, wie z.B. einer sog. „Corona-App“ zukommen. Eine derartige App könnte es ermöglichen, weniger ausgeprägte Grundrechtseingriffe, als dies derzeit der Fall ist, als ausreichend anzusehen um eine weitere schnelle Ausbreitung von Corona-Neuinfektion zu verhindern.

Datenschutzrechtliche Rahmenbedingungen

Die Nutzung einer solchen App und insbesondere ein (mit-)Betrieb durch staatliche Stellen, wie etwa dem RKI, wäre aus datenschutzrechtlicher Sicht im Prinzip immer dann möglich, wenn eine (oder mehrere) der folgenden Bedingungen erfüllt ist:

  • Es findet überhauptkeine Verarbeitung personenbezogener Daten statt.
  • Die Nutzer geben ihre freiwillige und informierte Einwilligung in die Nutzung ab.
  • Es wird eine eigene gesetzliche Grundlage zur Nutzung einer derartigen App geschaffen – diese müsste ihrerseits verhältnismäßig sein und das Recht auf informationelle Selbstbestimmung wahren.

Ideal wäre es dabei, wenn bereits die erste Variante erfüllbar wäre und eine solche App auch dann ihre Funktion erfüllen könnte, ohne dass damit überhaupt personenbezogene Daten verarbeitet werden (Spoileralarm: Das wird schwierig…). Das Datenschutzrecht ist nämlich nur auf Sachverhalte anwendbar, bei denen es zu einer Verarbeitung personenbezogener Daten kommt (Art. 2 Abs. 1 DSGVO). Wenn keine personenbezogenen Daten verarbeitet werden, sind zumindest einmal nicht die strengen Regelungen der DSGVO oder des BDSG zu Datenverarbeitungen einzuhalten.

Eine Verarbeitung personenbezogener Daten auf Grundlage einer Interessenabwägung, die im Alltag die mit Abstand am häufigsten bemühte Rechtsgrundlage darstellt, dürfte hingegen nicht in Betracht kommen. Soweit eine derartige App von staatlichen Stellen betrieben wird, können diese sich nicht auf die Verfolgung berechtigter Interessen stützen (Art. 6 Abs. 1 S. 2 DSGVO).

Was muss die App aus medizinischer Sicht können?

Was eine derartige App ganz genau können muss, ist derzeit aufgrund des noch lückenhaften Wissens über das Corona-Virus schwer zu sagen. Als sichere Erkenntnis darf aber gelten, dass physische Nähe (weniger als 1,5 m) zu einer erkrankten Person über einen gewissen Zeitraum (länger als 15 Minuten) das Risiko einer Ansteckung signifikant erhöht. Die App sollte es also ermöglichen, derartige Kontakte zu identifizieren und die Betroffenen zu benachrichtigen.

Technische Umsetzung

Wie lässt sich nun erreichen, dass die App nahe Kontakte erkennen kann? Eine Funkzellenabfrage kommt hierfür aufgrund der geringen Genauigkeit jedenfalls nicht in Frage (siehe auch Beitrag unter https://www.datenschutz-notizen.de/corona-krise-uebermittlung-von-bewegungsdaten-an-das-robert-koch-institut-0725152/).

Eine Möglichkeit könnte jedoch die Nutzung der Bluetooth-Funktionalität aktueller Smartphones sein. Bei Bluetooth handelt es sich um einen Industriestandard für die Datenübertragung zwischen Geräten über kurze Distanz per Funktechnik. Die Reichweite von Bluetooth der Klasse 3, die von den meisten Smartphones genutzt wird, beträgt dabei – abhängig von diversen Standortfaktoren – ca. 1 bis 10 m (https://de.wikipedia.org/wiki/Bluetooth#Klassen_und_Reichweite).

Somit ist die Bluetooth-Technik bereits hinsichtlich ihrer Reichweite prädestiniert dafür, im Rahmen einer Corona-App zum Einsatz zu kommen. Interessant wird das Ganze nun insbesondere dann, wenn man sich vor Augen führt, dass es aus medizinischer Sicht ja gerade nicht darauf ankommt, WO Kontakte stattgefunden haben, sondern nur, DASS diese stattgefunden haben. Dementsprechend wäre es nicht erforderlich, dass eine Corona-App Standortdaten erfasst. Ausreichend wäre es, wenn lediglich eine Kennung (hier Nutzer-ID genannt) – eben per Bluetooth – verschickt würde, die dann von anderen Geräten ebenfalls per Bluetooth empfangen werden kann. Insbesondere dann, wenn eine derartige Nutzer-ID regelmäßig und automatisch gewechselt wird und ausschließlich lokal auf dem genutzten Gerät gespeichert wird, wäre diese zumindest für Außenstehende zunächst einmal anonym. Da es auch nicht erforderlich ist, Namen, Telefonnummern oder die genannten Standortdaten zu verarbeiten, wäre auch diesbezüglich ohne Zusatzwissen kein Personenbezug herstellbar.

Im ersten Schritt würde also lediglich folgendes passieren:

  1. Geräte (und deren Träger) begegnen sich in einem Abstand von ca. 1,5 m.
  2. Geräte erkennen sich gegenseitig und tauschen ihre aktuellen Nutzer-IDs aus.
  3. Nach 15 Minuten Nähe speichern beide Geräte, dass sie zur Nutzer-ID des anderen Geräts, welches von diesem im Zeitpunkt der Begegnung ausgesendet wurde, Kontakt hatten. Das Ergebnis kann zusätzlich verschlüsselt werden.

So weit, so gut – der Kontakt wurde erfasst und gespeichert. Wenn keiner der Beteiligten innerhalb der Inkubationszeit – also innerhalb von ca. zwei Wochen nach dem Kontakt erkranken sollte, kann der Kontakt durch die App wieder gelöscht werden.

Möglich wäre es jedoch auch, dass nunmehr der nächste Schritt erfolgen muss, nämlich dann, wenn einer der beiden Kontakte erkrankt. In diesem Fall müsste – damit die App ihren Nutzen erzielen kann – eine entsprechende Meldung an die o.g. Kontakte der letzten zwei Wochen erfolgen.

Hierzu ist die Bluetooth-Technik dann jedoch nicht mehr von Nutzen und es müsste folgendes passieren:

  1. Die lokalen Daten zu den Kontakten der letzten zwei Wochen werden an einen zentralen Server übermittelt.
  2. Dort wird ein Abgleich vorgenommen, zu welchen Nutzer-IDs Kontakt bestand.
  3. Anschließend kann über die App eine Push-Benachrichtigung an diejenigen Smartphone-Nutzer erfolgen, die nahen und längeren Kontakt mit einem Corona-Infizierten hatten. Diese Personen würden gebeten, sich entweder in Quarantäne zu begeben oder sich auf eine Infektion untersuchen zu lassen.

Ergebnis: Ganz ohne Personenbezug geht’s wohl nicht

Spätestens, wenn es zu Schritt 5 kommt, sieht man jedoch, dass es ganz ohne Personenbezug nicht klappen wird. Damit Push-Nachrichten an bestimmte Geräte geschickt werden können, muss klar sein, welches Gerät sich wann hinter welcher Nutzer-ID verborgen hat. Hierzu wäre es dann wohl erforderlich, dass beim Herunterladen und installieren der App eine weitere – diesmal eindeutige – Kennung (App ID) erzeugt wird. Aus datenschutzrechtlicher Sicht handelt es sich bei solchen App IDs dann um Pseudonyme, da diese einem bestimmten Gerät bzw. einer App zugeordnet wird und dieses Gerät bzw. die App sich wiederum im Besitz einer ganz bestimmten Person befindet. Derartige Pseudonyme sind daher – auch wenn keine Namen oder sonstigen Daten dazu gespeichert werden – immer noch personenbezogen.

Entsprechend wären auch bei Nutzung einer solchen App durchaus noch Datenschutz-Regelungen zu beachten. Das wäre aber tatsächlich nicht weiter problematisch. Einerseits ist die genannte Vorgehensweise sehr datensparsam. Die Zuordnung einer eindeutigen App-ID zu einer Nutzer-ID wäre nur dem Anbieter der App bzw. dem Serverbetreiber möglich. Zudem müsste natürlich jeder, der eine solche App nutzen wollte, diese aktiv herunterladen. Während dieses Prozesses können die Nutzer über die Funktionsweise der App und die Verarbeitung ihrer personenbezogenen Daten im Sinne von Art. 13 DSGVO informiert werden. Zudem könnten erforderliche Einwilligungen in die Datenverarbeitung eingeholt werden. Der Schaffung einer eigenen spezialgesetzlichen Rechtsgrundlage für eine solche App bedarf es jedenfalls nicht.

App schon bald verfügbar?

Mit dem „Pan-European Privacy-Preserving Proximity Tracing“, kurz „Pepp-PT“ wurde nun ein interessanter Ansatz für eine App vorgestellt, der auf der beschriebenen Funktionsweise beruhen soll. Die App wird gerade durch Soldaten der Bundeswehr getestet und soll möglicherweise schon bald zum Download zur Verfügung stehen.

Im Gespräch ist, dass bspw. das RKI den entsprechend erforderlichen Server betreiben könnte.

Ausblick

Damit eine derartige App einen gewissen Ausgleich zu einer Lockerung von Kontaktverboten darstellen kann, müsste diese von einer kritischen Masse von Personen genutzt werden. Da die Nutzung aus tatsächlichen (gerade ältere Menschen und somit die Angehörigen der Höchstrisikogruppe haben nicht in allen Fällen ein Smartphone) wie auch aus rechtlichen Gründen nur schwerlich verordnet werden kann, müsste wohl zumindest eine Informationskampagne über die App initiiert werden. Darin müssten die Vorteile der App (Lockerung anderer Maßnahmen) sowie die Funktionsweise transparent dargestellt werden.

Zum Gebot der Transparenz gehört hier sicherlich auch, dass der Quellcode der App – ähnlich wie bei Open Source Software – offengelegt wird. Damit würde man unabhängigen Stellen die Möglichkeit geben, Funktionen der App zu prüfen und nachzuvollziehen.

Informiert werden sollte zudem darüber, dass eine derartige App gerade in der Anfangsphase sicherlich mit Kinderkrankheiten zu kämpfen haben wird. So würde die App sicherlich auch diverse Fehlalarme auslösen, etwa weil sich Geräte zwar nahegekommen sind, die Besitzer aber bspw. durchgängig durch eine Glasscheibe getrennt waren.

Wenn Sie mich fragen: Ich würde mir eine App, die nach den oben skizzierten Vorgaben funktioniert, installieren.