Datenschutz in der Corona-Krise - Eine europäische Antwort auf asiatische Tracking-Apps

Die Rufe nach der Nutzung von Bewegungs- und Kontaktdaten von Smartphones zur Eindämmung des Coronavirus werden zunehmend lauter. Verwiesen wird von Befürwortern meist auf asiatische Tracking-Apps als Allheilmittel. Dass diese Apps möglicherweise auch noch ganz anderen Zwecken dienen und dafür weitere Nutzerdaten auswerten (etwa Kreditkartenbewegungen), wird dabei gerne verschwiegen.

Auch im Gesetzentwurf der Bundesregierung, unter anderem zu Änderungen des Infektionsschutzgesetzes (IfSG), befand sich ein Passus, der die Gesundheitsämter ermächtigen sollte, salopp ausgedrückt, irgendwas mit Handydaten zu machen, um irgendwie das Virus zu bekämpfen. Zum Glück konnte auch mithilfe der FDP-Bundestagsfraktion erreicht werden, dass der unbestimmte und undurchdachte Passus am Ende keinen Einzug ins Gesetz fand.

Die Erwartungen sind groß

Bedeutet das aber, dass die Möglichkeiten von Smartphones in der Krise nun nicht verwendet werden sollten? Im Gegenteil: Wir können sie genau wie alle anderen digitalen Möglichkeiten nutzen. Dafür bedarf es aber keiner neuen Gesetzesgrundlage und auch keiner neuen, weitgehenden Eingriffsbefugnisse des Staates. Bewegungs- und Kontaktdaten können durchaus im Rahmen der geltenden Gesetze und datenschutzkonform verwendet werden, um dabei zu helfen, die Verbreitung des Virus einzudämmen.

Dafür muss klar sein, welchen Zweck eine solche App erfüllen soll und was man von ihr erwarten darf: In der aktuellen Situation ist – neben der medizinischen Versorgung der Betroffenen – das Hauptziel, Infizierte möglichst schnell zu erkennen und Infektionsketten schnell zu unterbrechen. Eine auf dieses Ziel ausgerichtete App kann das unterstützen. GPS- und Verkehrsdaten sind aus verschiedenen Gründen schon nicht dazu geeignet, Infektionswege mit ausreichender Sicherheit nachzuverfolgen. Außerdem ist eine Nutzung dieser Daten nicht verhältnismäßig.

Die zielführende Lösung

Zielführender ist eine Lösung, die über die Nutzung der Bluetooth-Schnittstellen von Mobiltelefonen funktioniert. Hierfür müssen jedoch einige Grundsätze eingehalten werden: Dazu gehört erstens, dass die Datenübermittlung freiwillig, bewusst und aktiv erfolgen muss. Freiwilligkeit ist dabei ein zentraler Punkt.

Der Zwang zur Nutzung oder gar eine angeordnete automatische Installation ist weder zielführend, noch nötig. Demoskopen messen eine enorme Bereitschaft der Bürgerinnen und Bürgern eine mögliche Corona-App zu verwenden. Ein Zwang könnte sich womöglich sogar negativ auf die Bereitschaft zur Nutzung auswirken. Wichtig ist darüber hinaus, dass die Nutzung einer solchen App bewusst und aktiv erfolgt.

Keine automatische Datenübermittlung

Allein die Installation einer solchen Corona-App darf nicht bereits dazu führen, dass sofort und automatisch Daten übermittelt werden. Dies muss immer vom User selbst, aktiv veranlasst werden. Zweitens hat eine Verwendung der Daten stets im Rahmen der geltenden Gesetze datenschutzkonform zu erfolgen. Für den Zweck einer solchen App wäre es beispielsweise gar nicht notwendig, die Bewegungsdaten aller Nutzer permanent zu übermitteln.

Es geht schließlich um die Feststellung, welche Personen sich möglicherweise so nahe kamen, dass eine Infektion wahrscheinlich wird. Diese Daten können lokal auf den Smartphones der Nutzer berechnet und gespeichert werden. Man benötigt dazu weder den Aufenthaltsort aller Personen und schon gar nicht deren Bewegungsprofile.

Die Gefahr des Datenmissbrauchs

Vielmehr geht es „nur“ um infektionsrelevante Kontakte zu anderen, also um Daten von nachweislich positiv getesteten Personen für einen Abgleich und um Menschen entlang der Kontaktkette zu informieren. Es genügt auch, wenn ausschließlich die pseudonymisierten Daten und Kontakte dieser nachweislich infizierten Personen zeitweise auf einem Server gespeichert werden.

Alle Nutzer können an diesem Datenbestand abgleichen, ob sie relevanten Kontakt zu einem positiv Getesteten hatten, denn auf ihrem Smartphone befände sich lokal ja ebenfalls diese pseudonyme ID. Sie sind dann in der Lage, selbst entsprechende Maßnahmen zu ergreifen. Selbstverständlich werden Datenübertragungen verschlüsselt und jede Art des Missbrauchs oder gar der Weitergabe der Daten gilt es zudem sicher auszuschließen.

Gesundheitsschutz und Datenschutz

Das alles führt zum zentralen Erfolgsfaktor einer solchen App: Dem Vertrauen der Bürgerinnen und Bürger. Denn je mehr Menschen eine solche App nutzen, umso wirksamer kann sie sein. Genau aus diesem Grund sind die oben genannten Punkte nicht nur Grundvoraussetzungen für die Technik, sondern gleichzeitig auch die Grundvoraussetzungen für den Erfolg einer möglichen Corona-App. Die Rufe nach einer Aufweichung des Datenschutzes sind deshalb doppelt schädlich.

Denn abgesehen davon, dass es unnötig ist, Gesundheitsschutz und Datenschutz gegeneinander auszuspielen, sind diejenigen, die jetzt genau das fordern, die Gleichen, die in anderen Zeiten den Datenschutz für die Strafverfolgung oder für Geschäftsmodelle aufweichen wollen. Dabei geht es ihnen meist nicht um das vorgetragene Ziel, sondern am Ende ist ihnen einfach nur der Datenschutz ein Dorn im Auge. Für unsere Bürgerrechte bedeutet das nie etwas Gutes.

Es geht auch anders

In der Coronakrise schaden sie der Problemlösung aber gleich doppelt: Denn sie wollen die Situation nicht nur für Bürgerrechtseinschränkung nutzen, die nach der Krise nur schwer wieder einzufangen wären. Sie torpedieren zudem das Vertrauen der Bürgerinnen und Bürger in eine nützliche und gleichzeitig die Privatsphäre schützende Technologie. Da diese aber auf das Mitmachen möglichst Vieler angewiesen ist, zerstören sie so nicht nur Vertrauen in eine mögliche Corona-App, sondern damit auch die Aussicht auf den Erfolg dieser Technik.

Dass es auch anders geht, zeigte diese Woche ein zivilgesellschaftlicher Zusammenschluss von Universitäten, Forschungsinstituten, Epidemiologen, Psychologen und IT-Experten aus acht europäischen Ländern. Mit PEPP-PT stellten sie das Framework – sozusagen einen Baukasten – für mögliche europäische Corona-Apps vor. Dieses Framework ist gut geeignet, um die oben genannten Grundvoraussetzungen zu erfüllen.

Die Aufgabe einer lebendigen Demokratie

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesdatenschutzbeauftragte, welche frühzeitig eingebunden wurden, erheben keine grundsätzlichen Einwände. Das zeigt: Gesundheitsschutz und Datenschutz dürfen und müssen nicht gegeneinander ausgespielt werden. Daten von Smartphones können durchaus datenschutzkonform verwendet werden, um dabei zu helfen, die Verbreitung des Virus einzudämmen.

Ob die Bundesregierung sich tatsächlich von ihren ersten, sehr fragwürdigen Handytracking-Plänen verabschiedet, wird sich zeigen, wenn eine mögliche Corona-App vorgestellt wird. Dann wird klar, ob sie nach wie vor an Gesetzesänderungen festhält, oder ob sie einsichtig ist und das vorgestellte europäische Modell unterstützt. Es wäre ein starkes Zeichen an die Welt, wenn wir als lebendige Demokratie eigenverantwortlicher Bürger diese Krise meistern könnten, ohne unsere Freiheit zu opfern – und eine starke europäische Antwort auf die asiatischen Tracking-Apps.