Source: https://linklaters.de/beratungsangebot/rechtsgebiete/technologie-medien-telekommunikation/tmt-microsite/neue-technologien/die-corona-app.html
Timestamp: 2020-06-02 10:58:40
Document Index: 98140581

Matched Legal Cases: ['Art. 4', 'EuG', 'Art. 9', 'Art. 9', '§ 22', '§ 22', '§ 22', '§ 26', 'Art. 13']

Die „Corona-App“ | Linklaters LLP
Die „Corona-App“
Menü Neue Technologien
Mehr zu AI und Innovation
Covid-19-Website
Die „Corona-App“ – ein Weg aus der Krise?
Je länger die derzeitigen Kontaktbeschränkungen zur Vermeidung der Ausbreitung des Corona-Virus andauern, desto lauter werden Rufe nach Exit-Strategien. Wirksame Medikamente und vor allem Impfstoffe scheinen noch in weiter Ferne. Eine Möglichkeit, den Ausstieg aus dem Lock-Down zumindest zu unterstützen, könnte die Einführung einer „Corona-App“ sein, mit der sich über digitale Technik Kontakte mit Infizierten im öffentlichen Leben vermeiden lassen. Auch das dagegen häufig ins Feld geführte Datenschutzrecht steht dem bei entsprechender Ausgestaltung der App nicht entgegen.
Welche Corona-Apps gibt es bereits?
In mehreren Ländern sind Apps zur Eindämmung der Verbreitung des Virus bereits erfolgreich im Einsatz. Auch das Robert-Koch-Institut arbeitet laut Medienberichten an einer eigenen App. Den meisten Apps gemein ist, dass diese auf unterschiedliche Arten die Daten der jeweiligen Nutzer miteinander abgleichen und im Falle der Infektion eines Nutzers andere Nutzer warnen, die sich in dessen Nähe aufhielten. Recht erfolgreich waren diese Methoden in Südkorea oder Singapur.
Singapur: "TraceTogether"
Die von den Behörden in Singapur herausgebrachte App „TraceTogether“ nutzt die Bluetooth-Technologie und identifiziert darüber andere Nutzer, die sich in der Nähe des eigenen Handys aufhalten, und auf deren Handys die App ebenfalls installiert ist. Die App vergibt zudem „Timestamps“, hält also fest, welche Person wann mit wem zusammengetroffen ist. Ist eine Kontaktperson eines Nutzers an Covid-19 erkrankt, werden alle engen Kontakte dieses Nutzers informiert. Die Aufenthaltsdaten und Kontakte des Nutzers werden nicht aufgezeichnet, alle Daten nach 21 Tagen gelöscht. Es werden zwischen den Nutzern nur „IDs“ – also Pseudonyme – weitergegeben, nicht die eigentlichen Namen oder Telefonnummern. Um die Akzeptanz der App in der Bevölkerung zu erhöhen, haben die Behörden sogar angekündigt, den Quellcode der App zu veröffentlichen.
Österreich: "Stopp Corona-App"
Die kürzlich erschienene „Stopp Corona-App“ des österreichischen Roten Kreuzes dient als Kontakttagebuch und speichert Begegnungen mit anderen Menschen. Im Falle einer Erkrankung werden alle Personen, die in den letzten 48 Stunden Kontakt mit dem Erkrankten hatten über die App informiert und gebeten, sich in Quarantäne zu begeben.
In technischer Hinsicht erfolgt die Aufzeichnung der Begegnungen mittels aktiver Suchen nach anderen Nutzern im näheren Umfeld. Ausgelegt ist die App auf Kontakte, die sich länger als 15 Minuten in einer Distanz von zwei Metern aufhalten. Bei gegenseitigem Einvernehmen wird die individuelle Kennung (ID) des anderen Nutzers zusammen mit Datum und Uhrzeit lokal auf dem Endgerät gespeichert („digitaler Handshake“). Bei einer Krankmeldung eines Nutzers wird dessen ID an alle App-Nutzer ausgesendet, wobei die ID verschlüsselt ist und nur von solchen Nutzern entschlüsselt werden kann, die zuvor einen digitalen Handshake mit dem erkrankten Nutzer durchgeführt haben.
Welche Bestandteile sollte eine Corona-App sinnvollerweise beinhalten?
Um eine Ausbreitung des Corona-Virus mit größtmöglichem Effekt zu vermeiden und gleichzeitig rechtliche Bedenken auszuräumen, erscheint es sinnvoll, statt einer Aufzeichnung von Bewegungsabläufen direkte Mitteilungen (Warnungen) an die Endgeräte der Nutzer zu versenden, wenn diese mit einem infizierten oder sonst gefährdeten Nutzer zusammengetroffen sind, oder um diese von Orten fernzuhalten, an denen sie sich mit dem Corona-Virus infizieren können. Die Nutzung der App sollte optimalerweise verpflichtend oder zumindest mit starken staatlichen Anreizen ausgestattet sein, um einen flächendeckenden Einsatz zu gewährleisten.
1. Übermittlung von Informationen über Kontakt mit infizierten oder sonst gefährdeten Nutzer („Risikopersonen“)
Die App jedes Nutzers speichert automatisch fortlaufend, mit welchen anderen Nutzern (Kontaktpersonen) der Nutzer in den letzten Tagen, etwa zwei Wochen, in Kontakt gekommen ist, sich z.B. näher als 10 oder 15 Meter aufgehalten hat.
Ist ein Nutzer positiv auf Covid-19 getestet worden und/oder treten bei diesem entsprechende Symptome oder Verdachtsmomente auf, werden andere Nutzer nach entsprechender Eingabe des Nutzers darüber informiert, die mit dem Nutzer in letzter Zeit – z.B. zwei Wochen – in Kontakt gekommen sind (etwa näher als 10 Meter). Gleichzeitig werden auch die Nutzer informiert, die mit einer solchen Kontaktperson im gleichen Zeitraum in Kontakt gekommen und somit auch als Risikopersonen einzuordnen sind. Es entsteht also bei jedem positiven Test ein Netzwerk von benachrichtigten Personen. Per App werden ihnen dann Informationen gegeben, wie sie sich jetzt verhalten sollten. Die Benachrichtigungen – und eventuell auch etwaige Entwarnungen – können anonym erfolgen, der Name und das Gerät des Nutzers müssen also nicht offengelegt werden.
2. Warn-Mitteilungen an Nutzer, wenn sie in die Nähe von Risikoperson gelangen
Nutzer könnten außerdem automatisch per Push-Nachricht anonym gewarnt werden, wenn sie sich örtlich in die Nähe von Personen begeben, die als Risikopersonen gelten, die also etwa positiv auf Covid-19 getestet wurden (z.B. im Umkreis von 50 Metern). Ggf. könnte dies auf Orte erweitert werden, an denen sich in den letzten Tagen eine Risikoperson aufgehalten hat. Damit ließe sich vermeiden, dass Nutzer Oberflächen berühren, auf denen das Virus überlebt haben könnte.
3. Nicht erforderlich: Übermittlung von Standortdaten an Sicherheitsbehörden
Nicht erforderlich ist es bei dem vorgeschlagenen Modell, dass die Sicherheitsbehörden Zugriff auf Standortdaten der Nutzer erhalten, weder anonym noch personenbezogen. Denn die Information über die App erfolgt ausschließlich zwischen den Endgeräten der Nutzer, es ist also keine zentrale Datenspeicherung notwendig.
Den Nutzern umfassende Bewegungsprofile anderer Nutzer anzuzeigen ist ebenfalls nicht erforderlich: Diese wären bei vielen Risikopersonen – etwa in einer Großstadt oder gar im selben Gebäude – für Nutzer auch sehr komplex nachzuvollziehen und würden kaum zu einem Mehrwert führen.
4. Möglicher Zusatzbestandteil: Installierung von Zugangskontrollen an besonders gefährdeten Orten
Als zusätzliche Komponente könnte man sich vorstellen, dass zumindest an besonders gefährdeten Orten – wie etwa Konzertsälen, Bars, Theatern, U-Bahnen – eine „Eingangskontrolle“ stattfindet. Nutzer, die Risikopersonen sind, würden dann vom Betreiber entsprechender Einrichtungen nicht hereingelassen. Alternative wäre, dass die Risikoperson nur per App gewarnt wird und den Ort dann optimalerweise freiwillig nicht betritt: Denn „Türkontrollen“ könnten eine gewisse Stigmatisierungswirkung entfalten und damit als unverhältnismäßig erscheinen.
5. Staatliche Durchsetzung oder Anreizsetzung der Nutzung der App
Problematisch bei dem hier vorgestellten Modell kann sein, dass nicht alle Smart-Phone-Nutzer die App installieren und nutzen. Wenn etwa nur die Hälfte der Bevölkerung die App nutzt, wäre die Verbreitung des Corona-Virus vermutlich nur unzureichend gehemmt. Es wäre deshalb denkbar, dass die derzeitigen Kontaktbeschränkungen nur für solche Nutzer aufgehoben werden, die die Möglichkeit haben und sich bereit erklären, die App zu installieren und zu nutzen. Eine einschneidendere und daher gut abzuwägende Maßnahme wäre, dass die Behörden die Bürger per Allgemeinverfügung zur Nutzung der App verpflichten und dies auch verfolgen.
Lässt sich das vorgeschlagene Modell einer Corona-App mit datenschutzrechtlichen Vorgaben vereinbaren?
Das vorgeschlagene Modell einer Corona-App steht in Einklang mit datenschutzrechtlichen Vorgaben. Dies gilt insbesondere dann, wenn die zwischen den Handys der Nutzer übertragenen Informationen rein anonym bleiben. Denn das europäische Datenschutzrecht gilt grundsätzlich nicht für anonyme Daten. Sollten die Nutzerdaten tatsächlich doch einmal Personenbezug aufweisen – etwa wenn man mit Eingangskontrollen an besonders risikobehafteten Orten arbeiten wollte, und der Nutzer durch das Sicherheitspersonal dann identifiziert würde (siehe Nr. 4 oben) – , so existieren doch Erlaubnisnormen, die die Verarbeitung solcher personenbezogenen Daten erlaubten. Sicherzustellen ist bei allen Maßnahmen, dass das Prinzip der Verhältnismäßigkeit beachtet wird. Einer Einwilligung der Nutzer bedarf es nach alledem aber nicht zwingend.
Zu überlegen wäre vor diesem Hintergrund außerdem, ob auch Unternehmen – etwa für ihr Betriebsgelände – entsprechende Apps einsetzen könnten, sofern ihre Mitarbeiter Firmen-Handys benutzen. Auch insofern existieren entsprechende Erlaubnisnormen im Datenschutzrecht.
Anonyme Daten sind grundsätzlich nicht geschützt
Nur wenn die Nutzerdaten für einen anderen – etwa Nutzer, Behörden, App-Betreiber – überhaupt „Personenbezug“ aufweisen, wenn dieser also die Identität des Nutzers mit verhältnismäßigem Aufwand bestimmen kann (vgl. Art. 4 Nr. 1 DS-GVO), wären sie von geltendem Datenschutzrecht geschützt. Dies ist jedoch dann nicht der Fall, wenn zwischen den Handys nur anonyme Gerätedaten ausgetauscht werden, bei denen kein Nutzer den anderen identifizieren kann. Auch für den App-Betreiber und für Behörden ist eine Kenntnis der Nutzernamen oder sonstiger identifizierender Merkmale nicht zwingend erforderlich. Allenfalls, wenn die Nutzung der App verpflichtend wäre und die Behörden die Installierung auch nachhalten würden, käme es zu einer Verarbeitung personenbezogener Daten (allerdings in diesem Fall keine Gesundheitsdaten, sondern nur die Information, ob ein Nutzer die App installiert hat).
Anders könnte man urteilen, wenn man die recht restriktive Rechtsprechung des EuGH im Verfahren „Planet49“ aus dem Oktober 2019 zu auf dem Endgerät abgelegten Cookies anlegen würde. Argument hierfür wäre, dass die App auch „Timestamps“, also durch Risikopersonen in der Vergangenheit aufgesuchte Orte, speicherte. Dagegen einwenden könnte man, dass diese auf den Endgeräten abgelegten Timestamps anders als Cookies nicht dazu dienen, von einem Verantwortlichen ausgelesen und weiterverwendet zu werden.
Falls nicht anonym: Gesundheitsdaten besonders geschützt
Die Daten eines Covid-19 Erkrankten – sollten sie nicht anonymisiert sein – sind als Gesundheitsdaten unter der Datenschutzgrundverordnung (DS-GVO) besonders geschützt (Art. 9 Abs. 1 DS-GVO). Deren Verarbeitung ist grundsätzlich untersagt, wenn der Betroffene nicht einwilligt. Allerdings gibt es auch weitere Erlaubnistatbestände, auf die zurückgegriffen werden kann – in diesem Fall ist eine Einwilligung des Nutzers nicht erforderlich.
Erlaubnisnormen, die eine Einwilligung der Nutzer entbehrlich machen
Eine Einwilligung der Nutzer wäre nur notwendig, wenn ihre Daten erstens personenbezogen wären – dies ließe sich hier u.E. vermeiden – und zweitens keine andere Erlaubnisnorm einschlägig wäre. Vorliegend ist eine Datenverarbeitung jedoch aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit zulässig (Art. 9 Abs. 2 lit. i DS-GVO). Das unter der DS-GVO insofern notwendige nationale Gesetz hat Deutschland mit dem novellierten § 22 Abs. 1 Nr. 1 lit. c Bundesdatenschutzgesetz (BDSG) geschaffen. Für öffentliche Stellen sieht § 22 Abs. 1 Nr. 2 BDSG zudem mehrere Tatbestände vor, um personenbezogene – und zwar auch Gesundheitsdaten – zu verarbeiten, etwa „zur Abwehr erheblicher Nachteile für das Gemeinwohl“. In einer Krise wie der derzeitigen Pandemie kann kaum streitig sein, dass der deutschen Bevölkerung sowohl gesundheitlich als auch wirtschaftlich erhebliche Nachteile drohen, die eine Verarbeitung von Gesundheitsdaten rechtfertigen würden.
Notwendig ist ferner, dass der für die Datenverarbeitung Verantwortliche angemessene technische und organisatorische Maßnahmen vorsieht, um die Rechte der Nutzer zu schützen (§ 22 Abs. 2 BDSG). Dies ist eine auch sonst im Datenschutzrecht übliche Anforderung und sollte deshalb keine Hürde darstellen, eine Corona-App zu betreiben, selbst wenn wegen der zu erwartenden Datenmengen größtmögliches Augenmerk auf diese Anforderung zu legen ist.
Falls der deutsche Gesetzgeber das BDSG wegen mangelnder Bestimmtheit nicht als ausreichende Rechtsgrundlage ansehen wollte, könnte auch im bestehenden Infektionsschutzgesetz eine entsprechende Erlaubnis geschaffen werden.
Im Unternehmenskontext scheidet regelmäßig ein Rückgriff auf eine Einwilligung mangels Freiwilligkeit aus. Für die Wahrung der Schutzpflichten seitens des Arbeitgebers ist aber die Datenverarbeitung durch § 26 Abs. 3 BDSG gerechtfertigt.
Speicherbeschränkung und andere Anforderungen
Sollte es sich um personenbezogene Daten der Nutzer handeln, dürfen diese nur so lange gespeichert werden, wie sie für den Zweck der öffentlichen Gesundheit erforderlich sind. Dies dürfte vorliegend sehr kurzfristig sein – Benachrichtigungen auf den Handys anderer Nutzer dürften nur solange vorgehalten werden, bis die Nutzer diese wahrgenommen haben und entsprechend informiert sind.
Erforderlich ist – bei Personenbezug – zudem eine umfassende Information des Nutzers (Art. 13, 14 DS-GVO), etwa über Speicherdauer und Betroffenenrechte. Diese ist allerdings ohnehin sinnvoller Bestandteil der App, auch wenn diese anonym betrieben werden kann: Denn Nutzer sollten im Falle einer Warnung auch informiert werden, wie sie sich nun verhalten können.
Eine „Corona-App“ wird derzeit diskutiert und könnte in den nächsten Wochen erscheinen, um eine Aufhebung der Kontaktbeschränkungen im Zuge der Corona-Krise zu unterstützen.