Datenschutz in Zeiten des Coronavirus

Das Coronavirus hat die Welt fest im Griff. Das wichtigste Gegenmittel ist die Verlangsamung der unvermeidlichen Ausbreitung. Zum Nachvollziehen von Infektionsketten, der Identifizierung potenzieller Infizierter und zur Warnung Gefährdeter könnte eine Auswertung und Analyse von Bewegungsdaten unserer Smartphones dienen. Bereits früh äußerte das Robert Koch Institut (RKI) entsprechende Überlegungen. Andere Länder zögerten nicht lange mit der Umsetzung derartiger Maßnahmen: In Israel überwacht nun der Inlandsgeheimdienst Standortdaten und in Südkorea kann sich jeder per App anzeigen lassen, an welchen Orten sich zuvor Infizierte aufhielten. Die Frage nach der datenschutzrechtlichen Zulässigkeit ist also angebracht, zumal IT-Experten Zweifel an dem praktischen Nutzen derartiger Vorhaben anmelden.

Unterscheidung zwischen Funkzellen und GPS

Zunächst muss zwischen zwei verschiedenen Arten von Daten und deren Nutzen unterschieden werden: Verbindungsdaten von Funkzellen und GPS-Standortdaten.

Internetfähige Geräte verbinden sich zum Aufbau einer Internetverbindung mit nahen Funkzellen. Telekommunikationsanbieter wie die Telekom oder Telefónica speichern diese Verbindungsdaten abhängig vom jeweiligen Tarif zum Teil für mehrere Wochen. Herausfinden lässt sich jedoch nicht der konkrete Standort, sondern lediglich welche und wie viele Personen sich zu einem bestimmten Zeitpunkt im Radius der Funkzelle aufgehalten haben.

Demgegenüber erheben Smartphones Standortdaten, damit Apps wie z.B. Google Maps funktionieren. Hierzu werden primär GPS-Daten verwendet, die zur besseren Genauigkeit um WLAN- und Mobilfunk-Daten ergänzt werden. Auf diese Weise entsteht ein bis auf wenige Meter genauer Standort, der häufig über Jahre gespeichert und vom Nutzer jederzeit nachvollzogen werden kann.

Zweck der Datenerhebung

Bereits jetzt wird eine unterschiedliche Zielrichtung beider Datenkategorien deutlich. Verbindungsdaten der Funkzellen eignen sich nicht zur Analyse der Bewegungen einzelner Personen – das ist höchstens mit GPS-Daten möglich und auch hier kann die Eingrenzung auf wenige Meter für bestimmte Zwecke noch zu ungenau sein. Allerdings können die Daten aus den Funkzellenabfragen dazu genutzt werden, das Bewegungsverhalten großer Menschenmassen, etwa zur Bewertung von Ausgangssperren, zu analysieren. Zu diesem Zweck haben auch der österreichische Mobilfunkanbieter A1 und kurze Zeit später eine deutsche Telekom-Tochter mehrere Gigabyte an Verbindungsdaten an die jeweiligen staatlichen Behörden übergeben.

Anonymisierung als mögliche Lösung

Diese Handlungen, zumal nicht mit den betroffenen Nutzern abgesprochen, lassen aufhorchen. Doch selbst der Bundesbeauftragte für Datenschutz, Ulrich Kelber, beurteilte die Übermittlung dieser Daten als „in der gewählten Form datenschutzrechtlich vertretbar“. Grund dafür ist die Erklärung beider Telekommunikationsanbieter, die Daten in anonymisierter Form übermittelt zu haben. Anonymisiert sind Daten, wenn ein Rückschluss auf die konkreten Personen nicht mehr oder nur mit unverhältnismäßigem Aufwand möglich ist. In diesem Fall findet die DSGVO keine Anwendung; anonymisierte Daten dürfen also ohne Rechtsgrundlage verwendet werden. Unklar ist jedoch, wie gut die Daten tatsächlich anonymisiert sind. Die technischen Anforderungen an sichere Anonymisierungsverfahren sind hoch und seit jeher stark umstritten. Aktuell bleibt nichts anderes übrig, als auf die Angaben von Telekom und Co. zu vertrauen.

Im Falle der GPS-Daten bzw. zur Analyse von Infektionsketten und der Nachverfolgung individueller Infizierten-Bewegungen kommt eine Anonymisierung selbstverständlich nicht in Frage. Hier werden gerade die ganz konkreten personenbezogenen Standortdaten benötigt.

Rechtsgrundlage für die Datenverarbeitung

Wann immer personenbezogene Daten verarbeitet werden – und gemäß § 4 Nr. 1 DSGVO haben Standortdaten Personenbezug – bedarf es einer Rechtsgrundlage. Das schließt auch die Verbindungsdaten aus den Funkzellenabfragen nicht aus: Zwar bedarf die Verarbeitung bereits anonymisierter Datensätze keiner Rechtsgrundlage, die Anonymisierung selbst stellt jedoch auch einen Verarbeitungsvorgang dar. Ohne zulässige Rechtsgrundlage ist also bereits der Prozess der Anonymisierung rechtswidrig.

Maßnahmen nach dem IfSG

Das Infektionsschutzgesetz (IfSG), dessen zahlreiche Rechtsgrundlagen in den letzten Tagen für behördliche Verfügungen herhalten mussten, spricht gleich an mehreren Stellen von Datenerhebungen. Die betreffenden Paragraphen regeln jedoch allesamt primär Einzelfallmaßnahmen. Massenhafte Datenerhebungen zur Krankheitsbekämpfung und weitreichende Eingriffe zur Verhinderung großer Ansteckungswellen lassen sich nicht hineinlesen. Der Gesetzgeber des IfSG hatte keine globalen Pandemien bzw. nationale Katastrophen dieses Ausmaßes vor Augen, sondern vielmehr Szenarien wie Salmonellen, Krankenhauskeime und andere, meist örtlich beschränkte Krankheitsgefahren mit Ansteckungspotenzial.

Rechtsgrundlagen der DSGVO

Der erste Blick geht immer zur Einwilligung in Art. 6 Abs. 1 a) DSGVO. Jeder einzelne Betroffene, dessen Standortdaten erhoben werden, müsste also ausdrücklich sein Einverständnis erklären. Bei massenhaften Datenerhebungen wie im Falle der Funkzellenabfragen ist das nicht praktikabel, zumal jeder jederzeit seine Einwilligung widerrufen könnte.

Sofern es lediglich um die Standortdaten einzelner Infizierter und die Nachverfolgung deren Bewegungen zur Identifizierung möglicher Kontaktpersonen geht, sieht das anders aus. Hier ist die Einholung von Einwilligungen möglich und sinnvoll. Die Einwilligungslösung stößt jedoch an ihre Grenzen, wenn auch Daten Dritter, also etwa Standortdaten potenzieller Kontaktpersonen o.Ä. gesammelt werden. Für deren Daten kann die Einwilligung nicht als Rechtsgrundlage herhalten.

Beim Durchlesen des Art. 6 DSGVO dürfte sofort die Rechtsgrundlage zum Schutz lebenswichtiger Interessen des Betroffenen oder einer anderen Person in Abs. 1 d) ins Auge fallen. Der zugehörige Erwägungsgrund Nr. 46 nennt sogar explizit die „Überwachung von Epidemien und deren Verbreitung“ sowie „humanitäre Notfälle“ als Beispiele für solche lebenswichtigen Interessen. Zwar soll diese Norm nur restriktiv angewandt werden, sie käme angesichts der derzeitigen Lage aber durchaus in Betracht.

Verhältnismäßigkeit von Maßnahmen

Egal auf welche Rechtsgrundlage sich die Datenverarbeitung schlussendlich stützen ließe, sie müsste auch verhältnismäßig sein. Das heißt vor allem, dass sie angemessen, erheblich und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müsste. Hinsichtlich der aggregierten Funkzellendaten dürfte das unproblematisch sein – unterstellt die Anonymisierung erfolgt technisch korrekt und hinreichend transparent.

Bei den GPS-Daten werden jedoch die eingangs geäußerten Bedenken hinsichtlich des tatsächlichen Nutzens wieder relevant. Was hilft es, wenn detaillierte Daten über die Bewegungen einzelner Personen vorliegen, daraus jedoch nur hervorgeht, dass sich Person X zu bestimmten Zeiten mit dutzenden anderen Personen in einem Supermarkt aufgehalten hat? Ist eine mögliche Ungenauigkeit der GPS-Daten von mehreren Metern (laut Google sogar insgesamt 20!) überhaupt geeignet für derartige Analysen? Je mehr Personen sich in einem Gebiet aufhalten, desto schwieriger dürfte die Datenauswertung sein. Ohne ein richtiges Konzept, wie genau die Daten verwendet werden sollen, dürften erhebliche Bedenken an der Verhältnismäßigkeit bestehen.

Fazit

Unzweifelhaft ist die Bekämpfung der Pandemie von großer Bedeutung und alle dafür nötigen Mittel sollten ergriffen werden. Eingriffe in (Grund-)Rechte sind dabei jedoch wie immer nur in einem nachprüfbaren und angemessenen Umfang vorzunehmen. Auch die Etablierung eines sozialen Drucks, etwa zur Erklärung eines pauschalen Einverständnisses in die Erhebung der eigenen Daten ist – schon vor dem Hintergrund des fragwürdigen Nutzens – rechtlich zweifelhaft und auch nicht wünschenswert. Schließlich muss stets gewährleistet sein, dass mit dem Ende der Pandemie auch die Maßnahmen zurückgefahren und neu gewonnene Befugnisse wieder abgegeben werden. Krisen und Notstände dürfen nicht zur dauerhaften Absenkung des (Grund-)Rechtestandards führen.