Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03551.jsonl.gz/2543

Im Kampf gegen COVID-19 in der Schweiz hat das Bundesamt für Gesundheit (BAG) gegenüber Swisscom die Herausgabe von Daten zu Menschenansammlungen und Personenflüssen verfügt.
Solche Standortdaten können ohne Zweifel hilfreich sein, um zu prüfen, in welchem Rahmen die «Social Distancing»-Massnahmen in der Schweiz wirken. Die Daten stammen anscheinend aus der kommerziellen Mobility Insights Platform (MIP) von Swisscom.
Das BAG erklärt, man erhalte von Swisscom keine Standortdaten, sondern «lediglich Analysen und Visualisierungen.» Die zugrundeliegenden Daten seien aggregiert beziehungsweise anonymisiert, so dass keine Personendaten vorliegen würden.
Stimmt das wirklich?
Fehlende Transparenz: Viele Fragen an BAG und Swisscom
Die bisherige Kommunikation von BAG und Swisscom ist nicht geeignet, Vertrauen zu schaffen:
So behauptet das BAG, die Verfügung gegenüber Swisscom könne man «leider» nicht herausgeben. Da das BAG eine eigene Verfügung selbstverständlich herausgeben könnte, stellt sich die Frage, wieso das BAG die Verfügung nicht veröffentlichen möchte.
Swisscom verweist – ohne weitere Begründung – auf das BAG. Auf ihrer COVID-19-Seite schweigt Swisscom zu diesen Thema. Darf Swisscom die Verfügung nicht offenlegen oder will Swisscom die Verfügung nicht offenlegen?
Auch die offizielle Informationsseite, die das BAG veröffentlicht hat («Neues Coronavirus – Auswertung der von Swisscom gelieferten Analysen durch das BAG»), wirft Fragen auf, zum Beispiel:
- Das BAG behauptet, «Rückschlüsse auf Einzelpersonen» seien «nicht möglich», erklärt aber gleichzeitig die «Vorgaben des Datenschutzgesetzes» würden «vollumfänglich eingehalten.» Welche Vorgaben des Datenschutzgesetzes müssen eingehalten werden, wenn gar keine Personendaten bearbeitet werden?
- Das BAG verweist auf Art. 45b des Fernmeldegesetzes (FMG) als Rechtsgrundlage, schreibt aber gleichzeitig, die Daten würden nur während der Geltungsdauer der COVID-19-Verordnung zur Verfügung gestellt. Art. 45b FMG ist nur die Rechtsgrundlage für die Mobility Insights Platform von Swisscom. Worauf genau in der COVID-19-Verordnung beruft sich das BAG?
- Das BAG erklärt, die Visualisierungen würden den «zeitlichen Verlauf der Aufenthalte von Handybesitzern in 100 mal 100 Meter grossen Gebieten» zeigen, «allerdings nur, wenn mehr als 20 Mobilfunkgeräte in einem solchen Gebiet vorhanden sind.» Wie genau kommt diese Einteilung in 10’000 m2 grosse Quadrate zustande, nachdem die Abdeckung durch Mobilfunk-Antennen nicht quadratisch ist? (Die Behauptung, Swisscom weise die «ungefähre Mobilität von allen SIM-Karten eines Gebiets» aus, kann man als offensichtliche Fehlinformation gleich wieder vergessen.)
- Das BAG schreibt, dass die «Analysen […] auf 24 Stunden zurückliegenden ungefähren Standortangaben [basieren].» Wieso zeigt die beispielhafte veröffentlichte Visualisierung in bescheidener 507 × 314 Pixel-Auflösung aber Daten bis zurück zum 1. Februar 2020? Und wieso fehlt die Beschriftung der y-Achse? Was genau zeigt die Visualisierung und wieso werden keine Beispiele zur «Frequentierung von Parks, Sehenswürdigkeiten und anderen Plätzen im öffentlichen Raum», die gemäss BAG geprüft werden soll, veröffentlicht?
Swisscom Insights: Aggregierte und anonymisierte Personendaten?
Eine beispielhafte Offerte der Swisscom zeigt, dass die Möglichkeiten der Mobility Insights Platform wesentlich weiter gehen, als sie das BAG beschreibt.
Die Standortdaten von Swisscom sind grundsätzlich Personendaten, weil sie sich auf bestimmte oder bestimmbare Personen beziehen (Art. 3 lit. a DSG). Die genau gleichen Daten werden mit der Vorratsdatenspeicherung während mindestens sechs Monate gespeichert, damit sie von Geheimdiensten und Strafverfolgungsbehörden verwendet werden können.
Bei Bedarf wäre auch eine Echt-Zeit-Überwachung aller Menschen in der Schweiz, die mit einem Handy in einem Mobilfunk-Netz eingebucht sind, denkbar. Die Rechtsgrundlagen für COVID-19-Massenüberwachung wären vorhanden.
Unabhängig davon ist es möglich, solche Standortdaten in aggregierter und anonymisierter Form für Analysen und Visualisierungen zu verwenden, so dass eine Re-Personalisierung unwahrscheinlich (aber nicht unmöglich) ist. So weit, so (weitgehend) harmlos …
Insofern wäre es für das BAG und die Swisscom einfach, Transparenz und damit Vertrauen zu schaffen. Dazu gehören die Herausgabe der erwähnten Verfügung sowie die Veröffentlichung von Informationen über die Nutzung von Standortdaten ohne offensichtliche Fehler und Widersprüche.
Wieso sind das BAG und die Swisscom nicht freiwillig bereit, Transparenz zu schaffen?
Anwaltskollege Sylvain Métille vermutet , dass es etwas zu vergeben gibt:
«On dirait qu’il y a quelque chose à cacher, peut être parce que cela ne fonctionne pas ou n’est pas légal.»
BAG: Vertrauen durch transparente Behördenkommunikation?
BAG und andere Behörden benötigen in der aktuellen COVID-19-Krise das Vertrauen der Bevölkerung.
Das BAG hat beim informierten Teil der Bevölkerung bereits viel Vertrauen verspielt. Beispiele sind anfängliche wochenlange Verharmlosung der COVID-19-Pandemie, die zur Schau gestellte digitale Inkompetenz und die hartnäckigen Falschinformationen zum Nutzen von Hygienemasken.
Das BAG sollte deshalb endlich auf eine transparente Behördenkommunikation umschwenken. Die Schweiz kann ihren digitalen Rückstand bei der Bekämpfung von COVID-19 aufholen, ohne den Datenschutz zu gefährden. Privatwirtschaft, Wissenschaft und Zivilgesellschaft stehen bereit, die Behörden zu unterstützen.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erklärt, «unterdessen vom BAG wie auch von der Swisscom sachdienliche Dokumente […]erhalten» zu haben, die nun analysiert würden. BAG und Swisscom hätten «zugesichert, den EDÖB künftig laufend über die datenschutzrelevanten Projekte zur Pandemiebekämpfung ins Bild zu setzen.»
Bilder: Swisscom Insights.
Immerhin hat Swisscom einige weitere Visualisierungen – in vergleichsweise hoher Auflösung – veröffentlicht. Ein Beispiel zeigt mit dem seit dem 14. März 2020 geschlossenen Zoo Zürich ein bestimmte Lokalität:
Ein weiteres Beispiel zeigt die Reiseaktivitäten seit Anfang Februar 2020 in der Schweiz sowie in den Kantonen Genf, Tessin, Waadt und Zürich:
Dadurch ist nun klar, wofür die y-Achse steht, nämlich für die gereisten Kilometer.
Bilder: Swisscom Brand Portal.
Nachtrag 3: Daniel Hürlimann, Professor an der Universität St.Gallen (HSG), hat dokumentiert, dass BAG und Swisscom ursprünglich sogar behauptet hatten, die Daten fielen gar nicht unter das Datenschutzgesetz.
Nachtrag 4: BAG und Swisscom mussten doch noch Transparenz schaffen, auch nach einer Prüfung durch den EDÖB sowie Druck von Medien und Zivilgesellschaft.