Mittlerweile bieten verschiedene Unternehmen digitale Lösungen zur Verarbeitung der Kontaktdaten von Kunden, Gästen oder Veranstaltungsteilnehmern an. Die App „luca“ des Unternehmens culture4life GmbH hat dabei in den vergangenen Wochen besonderes mediales Interesse erfahren. Culture4life hat bei mehreren Aufsichtsbehörden um ein datenschutzrechtliches Votum zu der Lösung ersucht. Darüber hinaus haben einige Länder und Landkreise die Absicht bekundet, diese App einzuführen und dann eine Verbindung zu den jeweiligen Gesundheitsämtern herzustellen.
GESETZLICHE REGELUNGEN FEHLEN ZUR DIGITALEN KONTAKNACHVERFOLUNG
Die Digitalisierung der Kontaktnachverfolgung erlaubt nicht nur, die Arbeit der Gesundheitsämter effizienter zu gestalten und es Veranstalterinnen und Veranstaltern zu erleichtern, ihren Dokumentationspflichten nachzukommen. Sie kann auch im Hinblick auf den Datenschutz zu positiven Effekten führen:
Eine digitale Erhebung und Speicherung kann bei entsprechender technischer Ausgestaltung durch eine geeignete dem Stand der Technik entsprechende Verschlüsselung inklusive eines geeigneten sicheren Schlüsselmanagements einen im Vergleich mit Papierformularen besseren Schutz der Kontaktdaten vor unbefugter Kenntnisnahme und Missbrauch gewährleisten. Ideal ist, wenn die Daten auf eine Weise Ende-zu-Ende verschlüsselt werden, dass auch der Betreiber des Kontaktnachverfolgungssystems sie nicht lesen kann. Ein gutes Kontaktnachverfolgungssystem stellt darüber hinaus automatisiert die fristgemäße und datenschutzkonforme Datenlöschung sicher. Ein weiterer Vorteil wird erzielt, wenn das System seinen Nutzerinnen und Nutzern beziehungsweise den Veranstalterinnen und Veranstaltern einen Weg zur sicheren Übermittlung von Daten zur Verfügung stellt, sobald das Gesundheitsamt die Daten zur Kontaktnachverfolgung benötigt. Die vielfach praktizierte Übermittlung per E-Mail oder Fax kann dann minimiert werden. Schließlich können betroffene Personen unverzüglich per App unterrichtet werden, wenn nach einem Besuch einer Einrichtung oder Veranstaltung ein Infektionsrisiko bekannt wird. Auch diese Benachrichtigung erfolgt in idealer Weise so, dass Systembetreiber und Veranstalter sowie deren Dienstleister keine Rückschlüsse auf das Verhalten einzelner Personen, ihre Anwesenheit bei Veranstaltungen oder ihren Gesundheitszustand ziehen können.
KLARE VERTEILUNG DER DATENSCHUTZRECHTLICHEN VERANTWORTUNG IST GRUNDVORAUSSETZUNG
Die Gewährung von Betroffenenrechten muss transparent und eindeutig geregelt sein und die Freiwilligkeit der Teilnahme an einer digitalen Erhebung sichergestellt werden. Auch gilt wie bei der papiergebundenen Erhebung die im Infektionsschutzgesetz festgelegte strenge Zweckbindung, wonach eine Nutzung der Kontakt- und Anwesenheitsdaten zu anderen Zwecken als der Kontaktnachverfolgung untersagt ist. Dies muss von den Systembetreibern durch technische und organisatorische Maßnahmen abgesichert werden.
Die culture4life GmbH hat nach derzeitiger Kenntnis der DSK in dem Luca-System die oben genannten Vorteile realisiert und bisher identifizierte Risiken teilweise behandelt. Die DSK fordert das Unternehmen dennoch auf, weitere Anpassungen an dem System vorzunehmen, um den Schutz der teilnehmenden Personen weiter zu erhöhen.
Der derzeitigen Ausgestaltung des Luca-Systems zufolge werden die in dem Kontaktnachverfolgungssystem gesammelten Daten an einer zentralen Stelle
gespeichert. Es wird dort also eine große Zahl von Informationen über die Anwesenheit von Bürgerinnen und Bürgern in Einrichtungen verschiedenster Art und
über ihre Teilnahme an Veranstaltungen unterschiedlichster Natur vorgehalten. Die unbefugte Einsicht in diesen großen Datenbestand kann je nach Umfang zu einer schweren Beeinträchtigung für die Einzelnen und das Gemeinwesen führen. Aufgrund dieses Risikos werden die Mitglieder der DSK mit dem Betreiber des Luca-Systems erörtern, inwieweit mit einer dezentralen Speicherung, die von der DSK prinzipiell für vorzugswürdig erachtet wird, den fachlichen Belangen der Pandemiebekämpfung und den gesetzlichen Vorgaben in gleichem Umfang und mit gleicher Effizienz nachgekommen werden kann.