Der Weg aus der Corona-Pandemie wird wohl nur durch ein Zusammenspiel verschiedener Faktoren erreicht werden können. Einer dieser Faktoren ist sicherlich die Kontaktnachverfolgung.

Getreu dem Grundsatz: „Es gibt für alles eine App!“, haben mehrere Unternehmen in den letzten Monaten entsprechende Programme auf den Weg oder sogar schon auf den Markt gebracht. Die bekannteste dürfte die App „luca“ der culture4life GmbH, nicht zuletzt wegen ihres Fürsprechers Smudo, sein.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat kürzlich zur Kontaktnachverfolgung mittels App Stellung genommen.

Elektronische Kontaktnachverfolgung im Allgemeinen

Nach ihrer Ansicht bietet eine App erhebliche Vorteile gegenüber einer Kontaktnachverfolgung mittels Papierformularen. Diese, das hat die Vergangenheit gezeigt, öffnen Tür und Tor für Missbrauchsszenarien. Einige Beispiele hierzu haben wir in unserem Blog erwähnt. Weitere Vorteile einer App sind nach Ansicht der Datenschützer:

  • Umsetzung einer automatisierten und fristgemäßen Datenlöschung
  • abgesicherter Weg der Bereitstellung der Daten an das Gesundheitsamt (fern von Fax und Mail)
  • unverzügliche Unterrichtung der Betroffenen nach Identifikation eines Infektionsrisikos

Die DSK präferiert ein System, bei dem die Daten so verschlüsselt sind, dass sie auch für den Betreiber des Kontaktnachverfolgungssystems nicht lesbar sind. Ferner sieht die DSK folgende Punkte als elementar an:

  • klare Verteilung der datenschutzrechtlichen Verantwortung für die Verarbeitung der personenbezogenen Daten
  • Transparenz der Datenverarbeitung
  • effektive Gewährleistung der Betroffenenrechte
  • kein Zwang zur Nutzung
  • Einhaltung der strengen Zweckbindung der Datenverarbeitung

Hier sieht die DSK den Betreiber in der Verantwortung, der durch technische und organisatorische Maßnahmen die vorgenannten Punkte gewährleisten muss.

Die luca-App im Speziellen

Die DSK bescheinigt der culture4life GmbH (nach derzeitigem Kenntnisstand), dass die oben genannten Vorteile realisiert und bisher identifizierte Risiken teilweise behandelt wurden. Gleichwohl wird noch Anpassungsbedarf gesehen:

Gegenwärtig werden alle Daten zentral gespeichert. Das führt dazu, dass eine große Datenbank die Anwesenheit der NutzerInnen in Einrichtungen verschiedenster Art und ihre Teilnahme an Veranstaltungen unterschiedlichster Natur erfasst. So können beispielsweise auch die Teilnahme an Gottesdiensten oder der Besuch von Gesundheitseinrichtungen erfasst werden. In diesem Fall würde die Verarbeitung besonders sensibler Daten erfolgen. In der zentralen Datenspeicherung sieht die DSK die Gefahr, dass bei einer unbefugten Einsichtnahme eine schwere Beeinträchtigung der persönlichen Rechte und Freiheiten der NutzerInnen erfolgen kann. (Die DSK steht mit dem Betreiber im Dialog um die Möglichkeit einer dezentralen Speicherung zu erörtern).

Die zentral gespeicherten Daten sind verschlüsselt. Im Falle einer notwendigen Entschlüsselung der Daten muss der Veranstalter mit dem jeweiligen Gesundheitsamt zusammenwirken. Das Problem ist, dass alle Ämter die gleichen Schlüssel für die Entschlüsselung der Kontaktdaten haben. Die Verwaltung der Schlüssel erfolgt durch die culture4life GmbH, also dem Betreiber der App. Die DSK sieht hier die Gefahr, dass durch ein Ausspionieren oder durch Missbrauch dieser Schlüssel auf sämtliche zentral gespeicherten Daten zugegriffen werden kann. Auch ist der Veranstalter (z.B. das Restaurant oder das Krankenhaus) kaum in der Lage, zu überprüfen, ob eine Entschlüsselungsanforderung berechtigt ist. Ein mögliches Missbrauchsszenario könnte hier das Social Engineering sein (Social Engineering steht für zwischenmenschliche Beeinflussungen, um unberechtigten Zugang zu vertraulichen Informationen oder IT-Systemen zu erlangen).

Letztlich begrüßt die DSK die angekündigte Offenlegung des Quellcodes, damit dieser auf etwaige Fehler von unabhängigen Dritten überprüft werden kann.

Zudem wurde angekündigt, dass die DSK zeitnah eine eigenständige Orientierungshilfe für den Betrieb von Kontaktverfolgungssysteme mit allgemeinen Anforderungen für die digitale Kontaktnachverfolgung erarbeiten und veröffentlichen wird. In diesem Zusammenhang wurde der Gesetzgeber auf Landes- und Bundesebene aufgefordert, bundeseinheitliche gesetzliche Regelungen zur digitalen Kontaktnachverfolgung zu schaffen.

Die Stellungnahme der DSK kann hier abgerufen werden.

| | | , , ,