Daten­schutz und die Bekämp­fung des Coro­na­vi­rus

Der Daten­schutz steht der Pan­de­mie­be­kämp­fung und der dazu not­wen­di­gen For­schung nicht ent­ge­gen.

Daten­schutz und die Bekämp­fung des Coro­na­vi­rus

Der Coro­na­vi­rus hat die gesam­te Welt­be­völ­ke­rung in einen Aus­nah­me­zu­stand ver­setzt. Lei­der ist über die "Eigen­schaf­ten" und "Ver­hal­tens­wei­sen" des Virus noch viel zu wenig bekannt. Zur wei­te­ren Ein­däm­mung und end­gül­ti­gen Bekämp­fung sam­meln die For­scher eine Viel­zahl von Infor­ma­tio­nen, die u.a. zur Ent­wick­lung eines Impf­stof­fes bei­tra­gen kön­nen.

So hat in der Bun­des­re­pu­blik Deutsch­land vor Kur­zem das Robert Koch-Insti­tut die Bevöl­ke­rung zur Mit­hil­fe auf­ge­ru­fen: Es ist eine App bereit­ge­stellt wor­den, die mit­tels Fit­ness­arm­band und Smart­watch Daten ein­sam­melt, die tie­fe­re Ein­bli­cke in die Ver­brei­tung des Coro­na­vi­rus SARS-CoV‑2 geben soll. Als "Coro­na-Daten­spen­de" kann die App für iOS und Android-Gerä­te auf­ge­ru­fen wer­den und funk­tio­niert in Kom­bi­na­ti­on mit Fit­ness­arm­bän­dern und Smart­wat­ches ver­schie­de­ner Her­stel­ler.

Ent­wi­ckelt wur­de die­se "Daten­spen­de", da inzwi­schen eine beträcht­li­che Anzahl von Bür­gern ohne­hin ihren Ruhe­puls, Akti­vi­täts­da­ten und Schlaf ver­fol­gen und z.B. mit ihrem Fit­ness­arm­band kon­trol­lie­ren. Zur Funk­ti­ons­wei­se erklärt das Robert Koch-Insti­tut, dass sich bei einer Atem­wegs­er­kran­kung die­se Vital­zei­chen meis­tens deut­lich ändern, so dass die Sym­pto­me von COVID-19 (z.B. Fie­ber) eben­falls zu erken­nen sind. Die­se Auf­zeich­nun­gen kann der Benut­zer nun durch die Coro­na-Daten­spen­de-App an das Robert Koch-Insti­tut zur Aus­wer­tung über­mit­teln. Ledig­lich die Anga­be der jewei­li­gen Post­leit­zahl des Über­mitt­lers ist not­wen­dig. Dar­auf­hin fin­det eine wis­sen­schaft­li­che Auf­be­rei­tung statt, die im Anschluss in eine Kar­te ein­fließt. So kann eine Kar­te der regio­na­len Ver­brei­tung poten­zi­ell Infi­zier­ter nach Post­leit­zahl­re­gio­nen erstellt wer­den, die regel­mä­ßig aktua­li­siert und ver­öf­fent­licht wird. Die Genau­ig­keit der zu gewin­nen­den Erkennt­nis­se über das Coro­na­vi­rus hängt dabei nach Mit­tei­lung des Robert Koch-Insti­tuts von der Men­ge der betei­lig­ten App-Nut­zer ab.

Ent­wi­ckelt wor­den ist die App gemein­sam von dem Robert Koch-Insti­tut und dem e‑He­alth-Unter­neh­men Thry­ve. Dar­über hin­aus ist der Bundesdatenschutz­beauftragte bei der Ent­wick­lung mit ein­be­zo­gen wor­den. Das Robert Koch-Insti­tut betont, dass die Nut­zung der App frei­wil­lig und sicher ist. Vom Robert Koch-Insti­tut kön­nen kei­ne ein­zel­nen Nut­zer iden­ti­fi­ziert wer­den, da alle Daten pseud­ony­mi­siert über­tra­gen wer­den.

Es ist davon aus­zu­ge­hen, dass in der nächs­ten Zeit wei­te­re digi­ta­le Anwen­dun­gen zur Ver­fü­gung gestellt wer­den, die bei der Bekämp­fung des Coro­na­vi­rus hel­fen kön­nen. So hat die Bun­des­re­gie­rung auf die Pan-Euro­pean Pri­va­cy-Pre­ser­ving Pro­xi­mi­ty Tra­cing-Initia­ti­ve (PEPP-PT) auf­merk­sam gemacht, an der unter ande­rem das Robert Koch-Insti­tut (RKI) und das Fraun­ho­fer Hein­rich-Hertz-Insti­tut (HHI) betei­ligt sind. Dabei han­delt es sich um eine inter­na­tio­na­le Initia­ti­ve mit über 130 Mit­glie­dern, die einen anony­men und die Pri­vat­sphä­re schüt­zen­den digi­ta­len Ansatz zur Kon­takt­ver­fol­gung bezwe­cken. Wert gelegt wird bei der Anwen­dung auf die Erfül­lung aller daten­schutz­recht­li­chen Vor­ga­ben.

Gera­de der Umfang und die Sicher­heit der gesam­mel­ten Daten sind bei jedem Vor­ha­ben zur Pan­de­mie­be­kämp­fung ein heik­les The­ma und erfor­dern beson­de­re Auf­merk­sam­keit und Schutz. So hat der Euro­päi­sche Daten­schutz­aus­schuss EDSA oder die Euro­pean Data Pro­tec­tion Board (EDPB) wei­te­re COVID-19-Leit­li­ni­en ver­ab­schie­det. Nach einer Pres­se­mit­tei­lung vom 21. April 2020 sind die Leit­li­ni­en wäh­rend der 23. Ple­nar­sit­zung des Euro­päi­schen Daten­schutz­aus­schus­ses fest­ge­legt wor­den und geben Hin­wei­se zum Umgang mit Gesund­heits­da­ten zu For­schungs­zwe­cken im Zusam­men­hang mit dem COVID-19-Aus­bruch und Leit­li­ni­en für die Geo­lo­ka­li­sie­rung und ande­re Rück­ver­fol­gungs­in­stru­men­te (Grund­sät­ze zu Tracking Tools) im Zusam­men­hang mit dem COVID-19-Aus­bruch.

Beson­ders betont der Euro­päi­sche Daten­schutz­aus­schuss die for­schungs­freund­li­che Gestal­tung der Daten­schutz-Grund­ver­ord­nung (DSGVO). So ste­he der Daten­schutz weder der Pan­de­mie­be­kämp­fung noch der dazu not­wen­di­gen For­schung ent­ge­gen. Im Gegen­teil sei erst durch die DSGVO eine recht­mä­ßi­ge Daten­ver­ar­bei­tung mög­lich.

Allein die preis­ge­ge­be­nen Daten kön­nen durch ihr Zusam­men­fü­gen mög­li­cher­wei­se mehr von der jewei­li­gen Per­son und ihren Ver­hal­tens­wei­sen ver­ra­ten als ihm lieb ist. Sogar Infor­ma­tio­nen von Drit­ten kön­nen unbe­ab­sich­tigt eben­falls preis­ge­ge­ben wer­den: Per­so­nen, die in unter der glei­chen Adres­se woh­nen (Mehr­fa­mi­li­en­haus) oder auch Per­so­nen, die den glei­chen Arbeits­platz auf­su­chen – womit dann eben­falls Daten von Unter­neh­men betrof­fen sein könn­ten. Zur Ver­mei­dung sol­cher Aus­wir­kun­gen ist es in jedem Fall sinn­voll, in allen Belan­gen des Daten­schut­zes einen Daten­schutz­be­auf­trag­ten zu Rate zu zie­hen. Nur dadurch kann eine "siche­re Erfas­sung und Auf­be­wah­rung sen­si­bler Daten" (Quel­le: Bor­n­e­mann) gewähr­leis­tet wer­den.

So sol­len auch die Leit­li­ni­en des Euro­päi­schen Daten­schutz­aus­schus­ses zur Ver­ar­bei­tung von Gesund­heits­da­ten zu For­schungs­zwe­cken im Rah­men des COVID-19-Aus­bruchs Auf­schluss über die drin­gends­ten recht­li­chen Fra­gen zur Ver­wen­dung von Gesund­heits­da­ten geben, bei­spiels­wei­se die Rechts­grund­la­ge für die Ver­ar­bei­tung und Wei­ter­ver­ar­bei­tung von Gesund­heits­da­ten zum Zwe­cke der wis­sen­schaft­li­chen For­schung, der Umset­zung ange­mes­se­ner Schutz­maß­nah­men und der Aus­übung der Rech­te der betrof­fe­nen Per­son.

Die Leit­li­ni­en besa­gen, dass die DSGVO meh­re­re Bestim­mun­gen für die Ver­ar­bei­tung von Gesund­heits­da­ten zum Zwe­cke der wis­sen­schaft­li­chen For­schung ent­hält, die auch im Zusam­men­hang mit der COVID-19-Pan­de­mie gel­ten, ins­be­son­de­re in Bezug auf die Ein­wil­li­gung und die jewei­li­gen natio­na­len Rechts­vor­schrif­ten. Die DSGVO sieht die Mög­lich­keit vor, bestimm­te spe­zi­el­le Kate­go­rien per­so­nen­be­zo­ge­ner Daten wie Gesund­heits­da­ten zu ver­ar­bei­ten, wenn dies für wis­sen­schaft­li­che For­schungs­zwe­cke erfor­der­lich ist.

Dar­über hin­aus befas­sen sich die Leit­li­ni­en mit recht­li­chen Fra­gen im Zusam­men­hang mit der inter­na­tio­na­len Daten­über­tra­gung von Gesund­heits­da­ten zu For­schungs­zwe­cken im Zusam­men­hang mit der Bekämp­fung von COVID-19, ins­be­son­de­re wenn kei­ne Ange­mes­sen­heits­ent­schei­dung oder ande­re ange­mes­se­ne Schutz­maß­nah­men getrof­fen wur­den.

Die Richt­li­ni­en zur Geo­lo­ka­li­sie­rung und ande­ren Rück­ver­fol­gungs­in­stru­men­ten im Zusam­men­hang mit dem COVID-19-Aus­bruch zie­len dar­auf ab, die Bedin­gun­gen und Grund­sät­ze für die ange­mes­se­ne Ver­wen­dung von Stand­ort­da­ten und Kon­takt­ver­fol­gungs­werk­zeu­gen für zwei spe­zi­fi­sche Zwe­cke zu klä­ren:

1. Ver­wen­dung von Stand­ort­da­ten zur Unter­stüt­zung der Reak­ti­on auf die Pan­de­mie durch Model­lie­rung der Aus­brei­tung des Virus, um die Gesamt­wirk­sam­keit von Maß­nah­men zur Begren­zung zu bewer­ten;

2. Ver­wen­den der Kon­takt­ver­fol­gung, um Per­so­nen zu benach­rich­ti­gen, die sich mög­li­cher­wei­se in unmit­tel­ba­rer Nähe zu jeman­dem befan­den, der schließ­lich als Trä­ger des Virus bestä­tigt wur­de, um die Kon­ta­mi­na­ti­ons­ket­ten so früh wie mög­lich zu durch­bre­chen.

In den Leit­li­ni­en wird betont, dass sowohl die DSGVO als auch die Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on spe­zi­fi­sche Bestim­mun­gen ent­hal­ten, die die Ver­wen­dung anony­mer oder per­so­nen­be­zo­ge­ner Daten ermög­li­chen, um Behör­den und ande­re Akteu­re auf natio­na­ler und EU-Ebe­ne bei ihren Bemü­hun­gen zur Über­wa­chung und Ein­däm­mung der Ver­brei­tung von COVID-19 zu unter­stüt­zen. Die all­ge­mei­nen Grund­sät­ze der Wirk­sam­keit, Not­wen­dig­keit und Ver­hält­nis­mä­ßig­keit müs­sen alle Maß­nah­men der Mit­glied­staa­ten oder EU-Insti­tu­tio­nen lei­ten, die die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten zur Bekämp­fung von COVID-19 beinhal­ten.

Nach Auf­fas­sung des Euro­päi­schen Daten­schutz­aus­schus­ses soll­te die Ver­wen­dung von Kon­takt­ver­fol­gungs-Apps frei­wil­lig sein und nicht auf der Ver­fol­gung ein­zel­ner Bewe­gun­gen beru­hen, son­dern auf Infor­ma­tio­nen zur Nähe der Benut­zer.

Die Vor­sit­zen­de des Aus­schus­ses beton­te, dass Apps nie­mals Kran­ken­schwes­tern und Ärz­te erset­zen kön­nen. Zwar kön­nen Daten und Tech­no­lo­gie wich­ti­ge Werk­zeu­ge sein, es muss jedoch berück­sich­tigt wer­den, dass sie Ein­schrän­kun­gen auf­wei­sen. Apps kön­nen nur die Wirk­sam­keit von Maß­nah­men im Bereich der öffent­li­chen Gesund­heit und das Enga­ge­ment von Mit­ar­bei­tern des Gesund­heits­we­sens ergän­zen, die zur Bekämp­fung von COVID-19 erfor­der­lich sind. Auf jeden Fall soll­ten sich die Men­schen nicht zwi­schen einer effi­zi­en­ten Reak­ti­on auf die Kri­se und dem Schutz der Grund­rech­te ent­schei­den müs­sen.

Dar­über hin­aus hat der Aus­schuss einen Leit­fa­den für Kon­takt­ver­fol­gungs-Apps als Anhang zu den Richt­li­ni­en ver­ab­schie­det. Der Zweck die­ses Leit­fa­dens, der nicht erschöp­fend ist, besteht dar­in, Desi­gnern und Imple­men­tie­rern von Kon­takt­ver­fol­gungs-Apps all­ge­mei­ne Anlei­tun­gen zu geben und zu unter­strei­chen, dass jede Bewer­tung von Fall zu Fall durch­ge­führt wer­den muss.