Seit nun mehr als einem Jahr stellt die Corona-Pandemie auch den Gesetzgeber vor die Aufgabe, die Erkennung und Unterbindung von Infektionsketten effizient und zugleich datenschutzgerecht auszugestalten. Auf Grundlage bundesrechtlicher Ermächtigungen in § 28a Abs. Nr. 17 des Infektionsschutzgesetzes (IfSG) regelt § 2 der 12. Bayerischen Infektionsschutzmaßnahmenverordnung (12. BayIfSMV) den genauen Umfang der Kontaktdatenerfassung, die je nach Pandemieentwicklung z.B. von Verantwortlichen wie Gaststätten oder Friseuren gefordert wird. Diese Kontaktdaten werden im Falle von Hinweisen auf erkannte Corona-Infektionen von Gesundheitsämtern im Rahmen des sog. Corona-Tracings dann bei den diesen Verantwortlichen angefordert.
Diese Besuchs- oder Gästedaten wurden bislang überwiegend in Papierform aufgenommen, so dass die Bearbeitung durch die Gesundheitsämter regelmäßig zeitintensiv war und die für ein erfolgreiches Corona-Tracing elementar wichtige schnelle Kontaktaufnahme mit Kontaktpersonen vielfach nicht erreicht werden konnte. Zugleich kam es zu einer Zunahme von Datenschutzbeschwerden, , in denen eine missbräuchliche Verwendung oder sonstige datenschutzwidrige Behandlung der abgegebenen Adressen festgestellt wurde.
Zwischenzeitlich gestattet § 2 S. 2 12. BayIfSMV ausdrücklich, dass Kontaktdaten auch in elektronischer Form erfasst werden dürfen, soweit dabei eine hinreichend präzise Dokumentation der gesetzlich geforderten Daten sichergestellt wird.
EINSATZ IN BAYERN
Das Unternehmen culture4life GmbH hat das elektronisches Kontakterfassungssystem „Luca“ entwickelt, mit dem von Luca-Nutzen meist per App bei Betreten einer Veranstaltung elektronisch deren verschlüsselte Adressdaten erfasst und im Falle eines Corona-Tracings an das Gesundheitsamt übermittelt und entschlüsselt werden können. Nachdem einige deutsche Bundesländer sich schon in den letzten Monaten festgelegt haben, das Produkt „Luca“ durch Beschaffung von Nutzungslizenzen kostenlos in ihren Bundesländern bereit zu stellen, hat die bayerische Staatsregierung sich Anfang April 2021 ebenfalls für dieses Produkt entschieden.
Im Rahmen dieses Ausschreibungsverfahrens wurde das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mit der Bitte um datenschutzrechtliche Beratung eingebunden. Dabei wurde die technische Grundarchitektur des Luca-Systems und insbesondere das durchgängige Verschlüsselungskonzept der Kontaktdaten als grundsätzlich belastbar eingeschätzt und im Weiteren zumindest bei einer ersten Konzeptprüfung keine Anhaltspunkte für den Einsatz hinderliche datenschutzrechtliche Mängel gefunden.
PRÜFUNG DURCH DAS BAYLDA
Das Produkt „Luca“ wird aufgrund seines weitreichenden Einsatzes zur Bekämpfung der Pandemie, insbesondere als Baustein in sog. Öffnungsstrategien mit hohem öffentlichem Interesse verfolgt. Nachdem in den Medien und sozialen Netzwerken von vermeintlichen Sicherheitslücken berichtet wurde, hat sich das BayLDA entschieden, neben der Konzeptprüfung des Luca-Systems die Implementierung genauer zu untersuchen. Dazu wurde zum einen das Luca-System, das mittlerweile auch als Source-Code für jeden verfügbar ist, im technischen Labor der Behörde komplett nachgebaut. Weiterhin wertet das BayLDA ihm auf Grundlage der Vertragsbeziehungen zwischen culture4life und der Staatsregierung bereitgestellte unternehmensinterne Dokumente zur IT-Sicherheitskonzeption, zum Kryptokonzept sowie zur Datenschutzfolgenabschätzung aus. Die Untersuchungen werden im Austausch mit dem Bayerischen Landesbeauftragten für den Datenschutz und weiteren mit dem System befassten deutschen Datenschutzbehörden durchgeführt.
Zielsetzung ist es dabei, derzeit auch öffentlich erörterte Risiken mit einem genauen Blick auf spezifische Einsatzszenarien abzuschätzen, datenschutzrechtlich zu bewerten und ggf. zusätzlich erforderliche technische und organisatorische Maßnahmen zu ermitteln.
FOLGEN FÜR VERANTWORTLICHE IN BAYERN
Das BayLDA stuft insbesondere die durchgängige Verschlüsselung der Kontaktdaten als wichtiges Merkmal zur Sicherstellung eines erforderlichen Schutzniveaus ein. Bislang bekannt gewordene Nachbesserungserfordernisse, die noch nicht bereits abgestellt wurden, werden von Luca im Rahmen eines den Datenschutzaufsichtsbehörden vorgestellten Arbeitsplans mit hohem Zeitdruck nachgebessert.
Bei der Bewertung des BayLDA wird der häufig diskutierte zentrale Architekturansatz nicht als Verstoß gegen datenschutzrechtliche Anforderungen eingeordnet. Mögliche grundsätzliche Nachteile dieses Ansatzes können insbesondere durch spezifische technische und organisatorische Maßnahmen, vor allem durch geeignetem Einsatz von kryptografischen Verfahren so ausgeglichen werden, dass ein hinreichendes, risikoadäquates Schutzniveau erreicht werden kann. Wie in der Stellungnahme der DSK dargestellt, arbeitet die culture4life GmbH zudem an zusätzlichen Schutzmaßnahmen, die insbesondere veränderte Risiken eines nahezu flächendeckenden Einsatzes von Luca minimieren sollen. Hierzu steht auch das Bayerische Landesamt für Datenschutzaufsicht im Rahmen der Vertragsdurchführung der Bayerischen Staatsregierung in unmittelbarem laufenden Kontakt mit dem Unternehmen culture4life GmbH.
Die bislang in der Öffentlichkeit dargestellten Kritikpunkte sind nach derzeitiger Einschätzung des BayLDA entweder durch organisatorische Anpassungen beim Veranstalter, durch bessere Informationen der Luca-Nutzer sowie durch weiteren Ausbau der Cybersicherheitsmaßnahmen des Anbieters auszuräumen oder werden durch die dargestellten Schritte und Maßnahmen der Nachbesserung und Fortentwicklung berücksichtigt. Das BayLDA sieht daher im Rahmen seiner Zuständigkeiten für die Wahrnehmung der Datenschutzaufsicht bei nicht öffentlichen Stellen in Bayern weder Anlass, den Einsatz von Luca in Bayern im Rahmen aufsichtlicher Maßnahmen entgegenzutreten oder von ihm abzuraten. Ziel ist es, durch weitere Hilfestellungen und Materialien den Einsatz von Luca zu ergänzen, um seinen datenschutzgerechten Einsatz im Alltag zu unterstützen.