KontaktnachverfolgungsApp Luca auf dem Prüfstand

Artikel-Reihe: „Datenschutz steht dem Fortschritt nicht entgegen“

KontaktnachverfolgungsApps sind mit dem Datenschutz vereinbar. Der Datenschutz steht effizienten Infektionskettennachverfolgung nicht entgegen. Gleichwohl muss eine solche App verhindern, dass die von ihr erfassten Daten von Unternehmen oder Behörden ohne Einwilligung für andere Zwecke verwendet werden oder Hacker auf diese Daten zugreifen können. Aktuell sind von Datensicherheitsspezialisten der Technischen Universität in Lausanne Defizite formuliert worden. www.siehe.eu/k3057

Aktualisierungen: Siehe auch Stellungnahme der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, 26.03.2021: “Kontaktnachverfolgung in Zeiten der Corona-Pandemie. Praxistaugliche Lösungen mit einem hohen Schutz personenbezogener Daten verbinden“.

1. Der Zweck von KontaktnachverfolgungsApps

KontaktnachverfolgungsApps sollen es in Corona-Zeiten leicht machen, die Kontaktpersonen von Infizierten zu ermitteln. Mit der Luca-App, ähnlich wie die Recover App, checkt sich der App-Nutzer beim Besuch von Restaurants, Veranstaltungen und selbst bei privaten Treffen ein. Damit ist nachträglich erkennbar, wo welcher Luca-App-Nutzer wann gewesen ist. Die App speichert den Namen, die Kontaktdaten und die mobile Telefonnummer des Luca-App-Nutzers mit den Standortdaten. Die Idee ist gut, wenn man davon ausgeht, dass man auf diesem Wegen dem Coronavirus Herr werden kann.

2. Anforderungen an KontaktnachverfolgungsApps

Eine App, wie die Luca-App, hat viele Anforderungen zu erfüllen. Dazu gehören an erster Stelle, dass sie einfach bedienbar ist, stabil und schnell arbeitet und die Designwünsche der Mehrheit der Nutzer trifft. Der typische Nutzer wünscht allerdings – häufig unausgesprochen – auch, dass die App die gesetzlichen Vorschriften einhält und ihn nicht benachteiligt. Damit verlangt der Nutzer von einer KontaktnachverfolgungsApp, wie der Luca-App, vor allem, dass die Kontakt- und Standortdaten aus der App hier nur für die vorgesehene Ermittlung von Infektionsketten genutzt werden. Wenn also ein Infizierter dem Gesundheitsamt bekannt wird, sollen die bisherigen Kontaktpersonen mit Hilfe der App ermittelt werden. Der Nutzer geht ohne Fragen davon aus, dass eine datenschutz- und zweckwidrige Verwendung unterbleibt, insbesondere er auch weiterhin ohne Angst vor Überwachung Veranstaltungen besuchen kann. Weiter nimmt er an, dass Hackingangriffe auf seine Daten auf dem Server des App-Betreibers unterbleiben und die App die sonstigen Datensicherheitsanforderungen erfüllt. Damit ist der Datenschutz eine von vielen Anforderungen an Apps.

Der App-Betreiber muss und kann diese Datenschutzanforderungen, vor allem also den Schutz vor Missbrauch und vor Hackern, so implementieren, dass die Anforderungen der leichten Bedienbarkeit, Stabilität und Schnelligkeit möglichst erfüllt bleiben.

3. Konflikt zwischen schneller Nutzung und Datenschutz und Datensicherheit

Die Datenschutzgesetze lassen also KontaktnachverfolgungsApps zu, solange sie nicht leichtfertig betrieben werden. Eine solche App darf allerdings nicht betrieben werden, wenn ein Missbrauch von Standortdaten nicht bloß abwegig ist, sondern möglich erscheint, oder die Absicherung der Systeme nicht gewährleistet und Hacking möglich ist. Bei neuen datenverarbeitenden Entwicklungen wie der Luca-App wird am Anfang häufig zuerst darauf geachtet, die Entwicklung als Produkt erfolgreich zu verkaufen. Denn vielfach schafft erst der Absatz das nötige Geld, um die weiteren Anforderungen möglichst vollständig zu erfüllen. Allein die Gewährleistung der nötigen Datensicherheit ist kostspielig. Damit kann ein Konflikt bestehen zwischen schnellem Absatzinteresse und rechtlichen Anforderungen wie Datensicherheit.

Dieser Konflikt ist schwer zu lösen. Eine Möglichkeit bestünde darin, dass man – wie so häufig bei Softwareentwicklungen – ausdrücklich Beta-Tester anspricht und die darin einwilligen lässt, dass die App/die Software halt noch nicht ganz fertig ist und beispielsweise im Datensicherheitsbereich noch nachgearbeitet wird und beim Datenschutz ein Missbrauch nicht vermeidbar ist. Faktisch würden viele Nutzer bei solch ausdrücklichem Hinweis mit Einwilligung vermutlich zunächst abwarten, bevor sie die Software nutzen. Bei der KontaktnachverfolgungsApps wäre damit eine schnelle Verbreitung unmöglich. Oder „man drückt ein Auge zu“ angesichts gesetzlicher Vorschriften beispielsweise zur Datensicherheit („Not kennt kein Gebot“). Diese Variante würde es jedoch ermöglichen, Notsituationen zu definieren und damit an den Schutzvorschriften vorbei Software zu erlauben. Der Gesetzgeber hätte die Rechtsmacht, solche Ausnahmesituationen inhaltlich klar zu definieren und zeitlich zu beschränken. Doch er möchte andererseits auch nicht für die Risiken einstehen, die mit einer solchen Freigabe einhergehen.

4. Kern des Konflikts

Im Kern entstehen solche Konflikte, weil in einem zeitlichen Moment bestimmt Erwartungen an eine Software/App, nämlich das sie schnell einsetzbar ist, wichtiger erscheint als die Sicherheit. Diese Erwartungen haben wir in der besonderen Corona-Zeit seit 2020 für die vielen Cloud-Anwendungen, die man vielfach wenigstens mit einer groben Datenschutz- und Datensicherheitseinschätzung, erstmal unter Hinnahme von Risiken, auch für Kinder und Jugendliche beim Homeschooling, nutzte. Die Schnelligkeitswünsche tauchen auch bei KontaktnachverfolgungsApps auf. Mit solchen Konflikten zwischen Nutzen und Gefahren haben wir es in der Gesellschaft weiterhin also regelmäßig zu tun.

Das Überwiegen dieses Gesichtspunkts der Schnelligkeit ist in der Praxis allerdings schnell überholt, wenn sich für den Bürger/Verbraucher im Nachhinein Nachteile ergeben. Die Datenschutz- und Datensicherheitsspezialisten versuchen genau diese Nachteile zu ermitteln und auf ihre Korrektur zu drängen.

Schutzvorschriften, wie im Datenschutz, sehen sich dennoch weiterhin dem Vorwurf ausgesetzt, vernünftigen Lösungen entgegenzustehen. Das geht so weit, dass man beispielsweise im Bereich der Gesundheitsdaten formuliert: „Unser Datenschutz behindert epidemiologische Forschung und führt in letzter Konsequenz dazu, dass mehr Leute sterben.“ Diese am 29.03.2021 im Hamburger Abendblatt, Seite 3, wiedergegebene Formulierung eines Berliner Labormediziners steht für die Wut gegenüber den ganzen Schutzvorschriften, die unsere moderne Gesellschaft aufweist, wozu auch die Datenschutzvorschriften gehören. Sie richtet sich allerdings inhaltlich nicht wirklich gegen den Schutz, den uns der Datenschutz und die Datensicherheit bringt. Auf diesen Schutz will keiner verzichten, auch nicht der genannte Laborarzt. Denn er möchte selbst unter dem Mantel des Namenszeichens/Pseudonyms möglichst unerkannt und datengeschützt seine Meinung äußern dürfen.

5. Fazit

Konflikte zwischen Wünschen und Schutzinteressen wie Schutzvorschriften lassen sich vielfach nicht vermeiden. Ihre Beseitigung verlangt in unserer komplexen Gesellschaft eine ganze Menge Anstrengung. Gerade für kleine Unternehmen und Einheiten, doch auch für Konzerne, und selbst für Behörden sind diese Anforderungen zunehmend schwerer zu schultern. Darauf sollten die Vorschriften selbst und die Fachleute, die für ihre Auslegung und Anwendung verantwortlich sind, mehr Rücksicht nehmen.

6. Und die Luca-App

Bei der Luca-App ist jüngst erhebliche Sicherheitskritik aufgekommen (siehe nur die Stellungnahme von Datensicherheitsspezialisten der Technischen Universität in Lausanne [EPFL], www.siehe.eu/k3057). Jetzt käme es als Anbieter der App darauf an, schnell zu reagieren und klarzustellen, wie die Defizite des Luca-Sicherheitskonzepts (www.siehe.eu/k3058), des fehlenden offenen Quellcodes und der zentralen Datenhaltung aus seiner Sicht zu bewerten und bis wann sie zu beseitigen sind.