Kategorie: Themenreihe Datenschutz und Corona

Schulen dürfen den Impfstatus von Schülerinnen und Schülern häufig nicht erheben

9. Dezember 2021

Seit den Änderungen des Infektionsschutzgesetzes (IfSG), die seit dem 24. November deutschlandweit gelten, dürfen Arbeitgeberinnen und Arbeitgeber den Impfstatus ihrer Beschäftigten abfragen und sind zur Kontrolle und Dokumentation des jeweiligen „G-Status“ ihrer Mitarbeitenden verpflichtet. Mit der Aktualisierung des IfSG hat der Gesetzgeber die von Arbeitgeberinnen und Arbeitgebern lang ersehnte Rechtsgrundlage für eine solche Abfrage und Dokumentation geschaffen.

Eine bundesweit einheitliche Rechtsgrundlage für die Abfrage und Dokumentation des Impfstatus von Schülerinnen und Schülern fehlt jedoch auch nach den Neuerungen des IfSG. Zwar dürfen Schulen den Impf-, Genesenen- oder Teststatus ihrer Lehrkräfte und Beschäftigten abfragen und dokumentieren. Den „G-Status“ von Schülerinnen und Schülern dürfen Schulen hingegen nur dann erheben, wenn die jeweiligen landesrechtlichen Regelungen eine entsprechende Rechtsgrundlage dafür vorsehen. Dies ist in einigen Bundesländern bereits der Fall und die Landesverordnungen sehen solche Regelungen grundsätzlich vor, so z.B. in NRW. In Hessen hingegen fehlt eine solche Rechtsgrundlage.

Die hessischen Corona-Schutzverordnung, die zwar explizit die Abfrage dieser Gesundheitsdaten vorsieht, enthält keine Rechtsgrundlage für die Dokumentation, d.h. Speicherung dieser Daten in einer Liste oder digitalen Datei. Die damit einhergehenden Probleme hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in einer Stellungnahme vom 30.11.2021 verdeutlicht. Diese ergeben sich, so der Hessische Datenschutzbeauftragte insbesondere daraus, dass an den Schulen nach der Landesverordnung einerseits eine Testpflicht bestehe, um am Unterricht teilnehmen zu können, andererseits viele Schülerinnen und Schüler aber bereits über einen Impfnachweis verfügten, seitdem die STIKO im Sommer ihre Impfempfehlung für Kinder und Jugendliche ab 12 Jahren ausgesprochen hat. In diesen Fällen bestehe nach der derzeitigen Regelung in Hessen nicht die Möglichkeit, einen von den Schülerinnen und Schülern freiwillig vorgezeigten Impfausweis zu dokumentieren. Damit müssten die Schulen, sollte ein Impfausweis beispielsweise vergessen werden, auch trotz Impfung einen Test bei den betroffenen Schülern durchführen. Eine Möglichkeit für Schulen, die erneute Vorlage des Impfausweises zu vermeiden, besteht nach derzeitigen Regelungen in Hessen somit nicht.

Der HBDI ist bereits an das Hessische Kultusministerium herangetreten und hat empfohlen, eine entsprechende Lösung für dieses Problem zu finden. Es bleibt daher abzuwarten, wann diese umgesetzt wird und ob auch hier eine bundeseinheitliche Regelung getroffen wird.

Corona-Daten gelangen ins Netz

12. November 2021

In mehreren Berliner Corona-Testzentren hatten die Betreiber eine unsichere Software-Lösung benutzt. Dies hat dazu geführt hat, dass hunderttausende Nutzerdaten von Getesteten im Internet aufgetaucht sind. Betroffen sind diejenigen Kunden, die sich bei Testzentren „Schnelltest Berlin“ haben testen lassen. Das IT-Kollektiv „Zerforschung“ fand heraus, dass aufgrund einer nicht geschützten Schnittstelle verschiedener Testanbieter die Daten ins Netz gelangen konnten und somit für Dritte einsehbar waren.

Neben sensiblen, personenbezogenen Daten wie Name, Anschrift oder Telefonnummer befanden sich darunter offenbar auch Testergebnisse und Zertifikate des Robert-Koch-Instituts (RKI). Weiter fand Zerforschung heraus, dass sich auch Testzertifikate für PCR-Tests erstellen ließen. So konnten die Programmierer ein Zertifikat über ein negatives Corona-Testergebnis für einen von ihnen frei gewählten Namen ausstellen. In einem Versuch generierten sie einen PCR-Test, der mit negativem Ergebnis für einen fiktiven 177 Jahre alten Mann ausgestellt werden konnte. Hinzu kommt, dass das manipulierte Testzertifikat selbst den sogenannten BärCODE enthielt. Dieser markiert Zertifikate im Normalfall als offiziell und gilt als Sicherheitsmerkmal.

Nach Aufdeckung der Sicherheitslücken informierte Zerforschung die zuständigen Stellen. Der Betreiber der in Rede stehenden IT-Datenbank „WeCare Services“ hat auf Nachfrage gegenüber dem rbb die Datenpanne zugegeben und versichert, die Lücken seien inzwischen geschlossen. Kunden wurden bisher nicht über die Datenlücke informiert.

Der Zusammenschluss „Schnelltest Berlin“ ist nicht der einzige Anbieter, der Sicherheitsmängel aufweist. Auch andere Teststellen gehen unverantwortlich mit Daten um. Dementsprechend sind diese Fehler weitverbreitet, so Zerforschung gegenüber rbb24.

Digitales EU-COVID-Zertifikat auf der Zielgeraden – ein Überblick zum „CovPass“

7. Juni 2021

Die EU-Kommission veröffentlichte Anfang Juni Neuigkeiten zum länger geplanten, digitalen Zertifikat: Die Technik für das Zertifikat ist offiziell online. Mit Bulgarien, Dänemark, Griechenland, Kroatien, Tschechien und Polen haben die ersten Länder den digitalen Nachweis bereits offiziell eingeführt und teilen Zertifikate aus. Auch Deutschland hat sich bereits an das sogenannte EU-Gateway angeschlossen, auch wenn das Zertifikat noch in der Testphase ist. Das kommende Zertifikat nennt sich „CovPass“ und ist ein Projekt des Robert-Koch-Instituts. Dieses präsentiert die App bereits im Internet. Sie soll spätestens bis Ende Juni für alle Bürger nutzbar sein.

Das digitale EU-COVID-Zertifikat beruht auf einer EU-Verordnung, die ab dem 1. Juli in Kraft tritt. Den Mitgliedsstaaten bleibt es aber freigestellt, das Zertifikat auch vorher schon zu verwenden, vorausgesetzt die nationale Variante besteht die technischen Tests. Es werden drei Zertifikate umfasst: ein Impfzertifikat, ein Testzertifikat und ein Genesungszertifikat. Es soll im Sommer ein unkompliziertes Reisen und einheitliche Sicherheitsstandards innerhalb Europas gewährleisten, es ist jedoch keine notwendige Voraussetzung für eine Reise.

Wem steht das Zertifikat zu?

Alle EU-Bürger können ein solches Zertifikat erhalten. Es gilt für Geimpfte, Genesene oder negativ Getestete. Als geimpft gilt jeder, der die entsprechenden Schutzimpfungen von Moderna, Astrazeneca, BioNTech oder Johnson & Johnson erhalten hat. Die letzte Impfung muss dabei mindestens 14 Tage her sein. Genesen ist der, der einen nachweislich positiven PCR-Test hatte, dieser darf nicht älter als 6 Monate sein. Für diejenigen, die weder geimpft noch genesen sind, gibt es die Möglichkeit, ein Zertifikat als negativ-getestete Person zu bekommen. Dafür muss ein aktueller Antigen-Test vorliegen oder ein PCR-Test, der nicht älter ist als 72 Stunden.

Wo bekomme ich das Zertifikat?

Ausstellen sollen das Zertifikat zunächst Impfzentren, Hausärzte und Krankenhäuser. Ob auch Apotheken bei Vorlage eines Impfausweises ein Zertifikat ausstellen dürfen, wird zur Zeit noch diskutiert. Das Zertifikat wird in digitalem Format ausgestellt, kann aber auf einem Smartphone und auf Papier vorgelegt werden. Es wird unentgeltlich ausgestellt.

Wie funktioniert das Zertifikat und was ist mit meinen Daten?

Das Zertifikat wurde während seiner Planungsphase u.a. aufgrund datenschutzrechtlicher Bedenken kritisiert. Mittlerweile hat sich die EU geeinigt. Das Zertifikat soll einen QR-Code und eine Signatur enthalten. Angezeigt werden Name und Geburtsdatum des Inhabers. Im QR-Code selbst verbergen sich Informationen zur Impfung oder zu Testergebnissen. Gespeichert werden konkret beim Impfzertifikat Impfstoff und Hersteller, Anzahl der verabreichten Dosen und Datum der Impfung; beim Testzertifikat die Art des Tests, Datum und Uhrzeit des Tests, Testzentrum und Ergebnis; und beim Genesungszertifikat Datum des positiven Testergebnisses und Geltungsdauer. Die EU-Kommission betont, dass alle persönlichen Daten allein auf dem mobilen Endgerät gespeichert werden. Entgegen der Befürchtung von Datenschützern gibt es also keine zentrale Stelle, die diese Daten speichert.

Jede ausstellende Stelle (bspw. ein Impfzentrum) hat zusätzlich eine eigene Signatur, welche in dem Zertifikat gespeichert wird. Diese Signatur wird zu Kontrollzwecken in einer EU-weiten Datenbank gespeichert und kann über das Gateway überprüft werden. Dies betrifft den einzelnen Bürger aber nicht in seinen Daten.

Das Zertifikat kann bei Bedarf vorgelegt und gescannt werden, bspw. am Flughafen. Wird das Zertifikat erkannt, soll ein grünes Licht bei dem Scanner leuchten, die Person darf passieren. Dabei soll nicht ersichtlich sein, weswegen das Zertifikat ausgestellt wurde. Umstehende (auch bspw. Mitarbeiter am Flughafen) wissen also nicht, ob die Person geimpft, genesen oder negativ getestet ist. Leuchtet das Licht rot, ist das Zertifikat nicht gültig. Bei diesem Vorgang werden keine personenbezogenen Daten an andere EU-Staaten weitergegeben.

Weitere Antworten zu Detailfragen, sowie eine aktuelle Übersicht aller Länder die bereits Zertifikate ausstellen, sind auf den Seiten der europäischen Kommission zu finden.

Verwaltungsgericht Hamburg – Testpflicht für Schüler im Klassenraum verletzt den Datenschutz

14. Mai 2021

Nach einer Entscheidung des Hamburger Verwaltungsgerichts muss sich ein Grundschüler nicht an seiner Schule auf Corona testen lassen, um am Präsenzunterricht teilnehmen zu dürfen. Laut Beschluss vom 29. April (Az.: 2 E 1710/21) reiche ein negatives Ergebnis aus einem anerkannten Schnelltestzentrum, welches maximal 24 Stunden alt sei.

Die Schulbehörde hat gegen die Eilentscheidung Beschwerde beim Oberverwaltungsgericht eingelegt, wie ein Gerichtssprecher am Mittwoch mitteilte. Der Schüler hatte sich zu Hause testen lassen und der Schule nur das Ergebnis mitteilen wollen. Einen solchen Selbsttest akzeptiere das Verwaltungsgericht nicht. Eine Bescheinigung von einem Testzentrum sei schon erforderlich.

Seit dem 6. April müssen sich Schüler in Hamburg zweimal pro Woche unter Aufsicht an der Schule testen, wenn sie am Präsenzunterricht teilnehmen wollen. Als einzige Alternative ist ein PCR-Test erlaubt, der nicht älter als 48 Stunden sein darf.

Laut Verwaltungsgericht verletzt die Testpflicht an der Schule den Datenschutz, zumindest wenn ein Test positiv ausfällt und das Ergebnis an das Gesundheitsamt weitergeleitet werden muss. „Die derzeitige Ausgestaltung der testabhängigen Zugangsbeschränkung verstößt nach summarischer Prüfung gegen die Vorschriften der Datenschutzgrundverordnung“, so laut Beschluss. Die Datenerhebung setze Freiwilligkeit voraus. Die Alternative Homeschooling bedeute allerdings einen Nachteil für den Schüler, er könne sich darum nicht freiwillig entscheiden. Damit stützt das Gericht die Linie des Thüringer Datenschutzbeauftragten Lutz Hasse. Er sieht durch die Testpflicht im Klassenraum die Rechte der betroffenen Schüler massiv beeinträchtigt und verlangt von Schulen zumindest eine Einverständniserklärung der Eltern für dieses Procedere einzuholen.

Weshalb Fotos vom Impfausweis besser nicht gepostet werden

5. Mai 2021

Die Impfung gegen das Corona-Virus ist für viele Menschen auf der ganzen Welt aktuell das Licht am Ende des Tunnels. Die Impfquote und Impf-Geschwindigkeit nimmt in Deutschland stetig zu. Viele Menschen teilen ihre Freude über die erhaltene Impfung mit einem Foto des Impfausweises in sozialen Medien. Doch das ist aus verschiedenen Gründen keine gute Idee.

Zunächst enthält der Impfausweis sensible Gesundheitsdaten. Ärztliche Befunde, Gesundheitskarten oder der Impfausweis enthalten vertrauliche Informationen, die in der Regel nicht auf sozialen Medien geteilt werden sollten. Neben den Freundinnen und Bekannten erhalten auch die Betreiber der Netzwerke die Daten. Im Zusammenspiel mit der in Deutschland bestehenden Impfpriorisierung können daraus Rückschlüsse auf bestimmte, ernste Vorerkrankungen gezogen werden. Selbst wenn diese Rückschlüsse falsch sind, weil beispielsweise eine Krankenpflegerin oder der Ehemann einer Schwangeren geimpft wurden, bleiben sie dennoch im Fundus der Netzwerke.

Außerdem können Impfpass-Fälscher die Daten nutzen, um mit Hilfe der Chargennummer oder des Impfstempels Fälschungen in Umlauf zu bringen. Vor dem Hintergrund der sich abzeichnenden Aufhebung einiger Beschränkungen für Geimpfte dürfte dies aktuell ein lukratives Geschäft sein. Das Impfzentrum in Frankfurt am Main hat deshalb bereits angekündigt, Anzeige zu erstatten.

Mit den Chargennummern können Menschen zudem Impf-Nebenwirkungen an das Paul-Ehrlich-Institut melden. Bei tatsächlichen Nebenwirkungen sind diese Angaben wichtig, um Menschleben zu schützen, allerdings können so auch falsche Nebenwirkungen gemeldet werden, die dann der Pandemiebekämpfung insgesamt großen Schaden zufügen können. Die Freude über den erhaltenen Schutz vor einer Sars-Cov2-Infektion sollte daher lieber ohne Foto des Impfausweises geteilt werden.

Coronaselbsttests – Verarbeitung von Gesundheitsdaten durch Schulen

28. April 2021

Im Rahmen der Corona-Pandemie setzt die Landesregierung Nordrhein-Westfalen zum Zweck des Gesundheitsschutzes unter anderem auf den Einsatz von Coronaselbsttests für alle an Schulen in Präsenz tätigen Personen. Über datenschutzrechtliche Grundsätze, Voraussetzungen und Grenzen bei der Durchführung dieser Selbsttests informiert die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) in einem Schreiben.

Auch wenn die Durchführung von Coronaschnelltests aus datenschutzrechtlicher Sicht laut der LDI NRW nicht zu beanstanden ist, so müssen dennoch bestimmte Grundsätze beachtet werden, um datenschutzrechtliche Voraussetzungen zu erfüllen.

1. Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten

Bei der Durchführung von Coronaschnelltests werden durch die Schulen Gesundheitsdaten z.B. von Schülerinnen und Schülern, d.h. personenbezogene Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO verarbeitet. Diese Gesundheitsdaten unterliegen einem besonderen Schutz nach der DSGVO, da deren Verarbeitung grundsätzlich untersagt ist. Nur in Ausnahmefällen nach Art. 9 Abs. 2 DSGVO ist eine Verabeitung zulässig. So z.B. nach Art. 9 Abs. 2 lit. i in den Fällen, in denen die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren auf der Grundlage nationalen Rechts, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person vorsieht, erforderlich ist. Hinsichtlich einer solchen Regelung verweist die LDI NRW als Rechtsgrundlage für die Schulen auf § 1 Abs. 2 lit. b und lit. e Coronabetreuungsverordnung (CoronaBetrVO) und bejahte auch dessen Verhältnismäßigkeit.

2. Vertraulichkeit der Testergebnisse

Zudem verweist die Landesbeauftragte darauf, dass die Ergebnisse der Coronaselbsttests Unbefugten gegenüber nicht offengelegt werden dürfen. Das bedeutet, dass die Schulen die Bekanntgabe der Ergebnisse so organisieren müssen, dass sie den Schülerinnen und Schülern oder ihren Erziehungsberechtigten gegenüber einzeln erfolgt. Im Rahmen dessen sieht die LDI NRW den Ausschluss positiv getetester vom Präsensunterricht, durch den grundsätzlich auch ein Rückschluss auf das Testergebnis möglich wäre, als unumgänglich und mithin als datenschutzrechtlich hinnehmbar an.

3. Dokumentation der Testergebnisse

Schließlich müssen die Schulen die Testergebnisse nach § 1 Abs. 2 lit. e CoronaBetrVO erfassen und dokumentieren. Positive Testergebnisse müssen sie dem Gesundheitsamt übermitteln. Die Ergebnisse der durchgeführten Coronaselbsttests dürfen darüber hinaus nicht an Dritte übermittelt werden und müssen nach 14 Tagen vernichtet werden. Hinsichtlich der Vernichtung verweist die LDI NRW darauf, dass eine datenschutzkonforme Vernichtung erfolgen muss, d.h. in der Form, dass die Daten nicht wieder herstellbar sind, wofür sie ein bloßes Zerreißen von Listen und die Entsorgung über den Papiermüll als nicht ausreichend beschreibt. Auch eine Erforderlichkeit, die Testergebnisse zur Schülerakte zu nehmen, verneint die Landesbeauftragte. Sollte im Einzelfall eine Aufbewahrung für erforderlich gehalten werden, so verweist die LDI NRW darauf, dass dies nur in einem verschlossenen Umschlag, auf den nur ein eingeschränkter Personenkreis zur Aufgabenerfüllung der Schule Zugriff haben darf, erfolgen sollte. Auf dem Umschlag sei dann, so die LDI NRW, zu vermerken, wer wann und zu welchem Zweck auf das Testergebnis zugegriffen hat und wann es danach wieder im Umschlag verschlossen wurde.

Themenreihe Datenschutz und Corona – Teil 10: App zur Nachverfolgung von Corona-Kontakten in der Diskussion

1. April 2020

Nachdem zunächst im Rahmen der Novelle des Infektionsschutzgesetzes geplant war, mögliche Kontaktpersonen von am Covid-19-Virus erkrankten Personen „anhand der Auswertung von Standortdaten des Mobilfunkgerätes zu ermitteln, dadurch die Bewegung von Personen zu verfolgen und im Verdachtsfall zu kontaktieren“, dieses Vorhaben wegen Kritik aus Politik und von Datenschützern jedoch fallengelassen wurde, arbeiten das Robert-Koch-Institut (RKI) und das Heinrich-Hertz-Institut (HHI) an einer App, welche die Ermittlung von Kontaktpersonen und die Benachrichtung der Betroffenen ermöglichen soll.

Durch die App sollen Smartphones unter Aktivierung der Bluetooth-Technik scannen können, welche anderen Geräte sich in der Nähe befinden. Diese Informationen würden zunächst nur lokal auf dem Smartphone selbst gespeichert, und erst im Falle einer postiven Diagnose auf einen zentralen und sicheren Server gesendet, auf welchen nur das RKI oder das HHI Zugriff haben.

Dabei sollen jedoch keine Klarnamen oder sonstige Informationen zur Identifizierung der Betroffenen verwendet werden, sondern ausschließlich zufällig erstellte und anonyme IDs. Auch die Benachtichtigung der möglichen Kontaktpersonen erfolge anonym, für das RKI oder HHI sei nur die ID der möglichen Kontaktperson sichtbar. Diese werde dann aufgefordert, sich einem Test zu unterziehen und sich bis zum Erhalt der Diagnose in Quarantäne zu begeben.

Obwohl diese Vorgehensweise und technische Ausgestaltung einen möglichst weitgehenden Schutz der personenbezogenen Daten der Nutzer sowie deren Privatsphäre ermöglichen soll, wird auch hier Kritik geäußert. Von Seiten der FDP wird eine vorherige Überprüfung der App durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie durch das Bundesamt für Sicherheit in der Informationstechnik gefordert, um den Abbau der Bürgerrechte auch in Zeiten der Coronakrise zu verhindern. Auch der Hamburgische Datenschutzbeauftragte, Johannes Caspar, warnte, dass eine Überwachung aller Infizierten zu einem nicht hinnehmbaren Generalverdacht führe. Eine Nutzung der App auf der Grundlage einer Einwilligung sei jedoch denkbar, doch müsse noch geprüft werden, wie weit die Anonymisierung der verarbeiteten Daten tatsächlich erfolge.

Wann eine entsprechende App zur Nachverfolgung der Infektionsketten und zur Benachrichtigung möglicher Betroffener zum Einsatz kommen kann, bleibt somit abzuwarten. Die Epidemiologen hoffen im Falle eines Einsatzes, dass möglichst viele Bürger die App auf freiwilliger Basis nutzen. So könne eine bessere Nachverfolgung der Infektionen und somit auch eine Ausbreitung des Virus verhindert werden.

Themenreihe Datenschutz und Corona – Teil 9: Gesellschaftliche Einschätzung zur Wichtigkeit des Datenschutzes

27. März 2020

Die Corona-Krise stellt nicht nur das Gesundheitssystem, die Wirtschaft und jeden Einzelnen vor Schwierigkeiten. Menschen in den sogenannten ‚systemrelevanten‘ Berufen arbeiten seit Tagen sowohl körperlich als auch psychisch am Limit und sind ständig dem Virus und seinen Folgen ausgesetzt.

Die zu befürchtenden wirtschaftlichen Schäden sind bislang nur zu erahnen und führen zu zusätzlichen Sorgen. Das Thema ist derzeit allgegenwärtig. Die Bevölkerung ist in Sorge, sich oder andere Menschen anzustecken und ob Sie selbst, Familie, Freunde und Bekannte die Krise gesundheitlich und wirtschaftlich überstehen.

In diesen Zeiten fällt es verständlicher Weise schwer sich auch weiterhin mit Datenschutz zu beschäftigen. Nicht Wenige haben gerade in Zeiten des Coronavirus schlicht keine Lust auf die „leidigen“ datenschutzrechtlichen Themen und Einige sehen den Datenschutz sogar als zusätzliche Hürde, wenn es zum Beispiel darum geht im Home-Office arbeiten zu können.

Gesellschaftliche Einschätzung zum Datenschutz

In den letzten zwei Wochen haben wir uns die größte Mühe gegeben, Ihnen, mit Hilfe unserer Themenreihe Datenschutz und Corona, datenschutzrechtliche Vorgaben und Maßnahmen sowie die Besonderheiten der aktuellen Situation näher zu bringen. Mit diesem Beitrag möchten wir noch die allgemeine gesellschaftliche Haltung gegenüber dem Thema Datenschutz und seine nicht mindergeringe Bedeutung zu Zeiten des Coronavirus diskutieren.

Bereits Anfang März hat die FAZ einen Artikel veröffentlicht, der die Ergebnisse einer repräsentativen Umfrage zum Thema hatte, die das Marktforschungsunternehmen Innofact im Auftrag von Usercentrics durchgeführt hat. Ergebnis dieser Studie war, dass ein großer Teil der deutschen Bevölkerung zur Bekämpfung der Corona-Krise bereit ist, Einschränkungen beim Datenschutz und damit des Rechts auf informationelle Selbstbestimmung hinzunehmen. Darüber hinaus spricht sich die Mehrheit der Befragten auch für die Ausweitung der Vorratsdatenspeicherung (beispielsweise von Flug- und Reisedaten) aus, um die Verbreitung der Pandemie nachvollziehen zu können. Zudem sind mehr als 50% der Befragten bereit, ihre Gesundheitsdaten freiwillig preiszugeben.

Als das Robert-Koch-Institut (RKI) bekannt gab, dass es von einer Tochterfirma der Deutschen Telekom AG mehrere Terrabyte anonymisierter Daten bekommen hat, um Bewegungsmuster von Telekom-Nutzern nachzuvollziehen und so die Wirksamkeit der bislang verhängten Maßnahmen zu bewerten, gab es ebenfalls kaum Stimmen, die eine solche Datenweitergabe kritisch sahen. Dies mag daran liegen, dass es sich um anonymisierte Daten handelt. In anderen Ländern ist es aber nicht bei einer anonymisierten Datenweitergabe geblieben. In China, Südkorea und Taiwan zum Beispiel wurden Phone-tracking-Technologien und Handy-Apps eingesetzt, um die Bewegungsmuster auf Individuen herunterbrechen zu können.

Zum Thema Handy-Apps gibt es auch Neuigkeiten aus Österreich. Das Österreichische Rote Kreuz hat die App „Stopp Corona“ entwickelt. Ziel der App ist, es dass die Nutzer der App tracken sollen, mit wem sie Kontakt hatten. Im Falle einer Infektion soll der Nutzer diese in der App angeben, um die Kontakte der letzten 48 Stunden automatisiert über die Infektion zu unterrichten und diese aufzufordern, sich selbst zu isolieren. Auch hier soll die Datenverarbeitung laut Angaben des Roten Kreuzes anonymisiert erfolgen. Die App ist seit Dienstag, 24.03.2020, in Österreich für Android-Geräte verfügbar. Ob und mit welchem Erfolg diese und ähnliche Apps bei der Ausbreitung der Pandemie helfen können bleibt abzuwarten.

Ansicht des BfDI

Der Bundesbeauftragte für Datenschutz und Informationssicherheit (BfDI), Dr. Ulrich Kelber, wiederholt dieser Tage jedenfalls immer wieder, dass der Verhältnismäßigkeitsgrundsatz gewahrt werden muss. Das bedeutet, dass zu ergreifende Maßnahmen wirksam sein müssen, um überhaupt aus datenschutzrechtlicher Sicht, gerechtfertigt werden zu können.

Darüber hinaus betont der BfDI, dass seine Behörde in ständigem Kontakt mit dem RKI sei und bereit für datenschutzrechtliche Prüfungen möglicherweise zu ergreifender Maßnahmen. Den Einsatz einer App, ähnlich der „Stopp Corona“ App, schließt er grundsätzlich nicht aus, bringt in die Diskussion aber ein, dass die Datenverarbeitung an eine Einwilligung des Betroffenen geknüpft werden sollte.

Handelt es sich um neue Erkenntnisse?

Aber sind diese Erkenntnisse wirklich neu, oder erscheinen sie durch den Bezug zur Corona-Krise nur in einem anderen Licht?

Der überwiegende Teil der Bevölkerung nutzt die Social Media Dienste Facebook und Instagram. Darüber hinaus erfreuen sich auch Messenger wie WhatsApp nach wie vor großer Beliebtheit in der Gesellschaft und stehen weltweit genauso hoch im Kurs wie der Kartendienst Google Maps. Was all diese Dienste gemein haben ist, dass sie bereits alle wegen Konflikten mit datenschutzrechtlichen Vorgaben in den Medien waren. Nutzern muss also bewusst sein, dass sie sehr viel über sich persönlich, Interessen, Hobbies, Aufenthaltsorte usw. preisgeben. Dies wird gerne in Kauf genommen, um die vermeintlich kostenlosen Vorteile, die sich ihnen durch die Verwendung der oben genannten Dienste ergeben, zu nutzen. Die Betreiber dieser Dienste lassen sich jedoch allzu gerne mit den freiwillig bereit gestellten Daten der Nutzer entschädigen, beispielsweise um auf den Einzelnen zugeschnittene Werbung zu platzieren.

Die Erkenntnis, dass personenbezogene Daten freiwillig zur Verfügung gestellt werden, ist also eigentlich gar nicht neu. In der derzeitigen Situation erscheint der zweifelsohne wichtige Zweck der Pandemiebekämpfung nur als willkommene Ausrede, weil es ‚erstrebenswert‘ erscheint den Datenschutz gegenüber einem höheren Ziel hintanzustellen.

Aber auch, wenn gewisse Maßnahmen, insbesondere bei anonymisierter Verwendung von Daten zur Bekämpfung des Corona Virus sinnvoll zu sein scheinen, so sollten Eingriffe in die informationellen Selbstbestimmung jedes Einzelnen auch jetzt nur nach behutsamer Abwägung erfolgen, damit sich jeder Mensch im Rahmen seiner Freiheiten und Rechte auch weiterhin frei entfalten kann. Deshalb ist es auch in Zeiten der Corona-Krise wichtig, die datenschutzrechtlichen Voraussetzungen der DSGVO und der anderen Datenschutzgesetze des Bunds sowie der Länder, die den Gedanken der informationellen Selbstbestimmung in sich tragen, zu wahren, auch und vor allem, wenn sensible Daten wie Gesundheitsdaten verarbeitet werden sollen.

Mit diesem Beitrag enden die täglichen Beiträge zur Themenreihe Datenschutz und Corona. Von Zeit zu Zeit werden wir diese Reihe selbstverständlich um neue Beiträge aus dem Bereich ergänzen und Sie natürlich auch weiterhin über datenschutzrechtliche Neuigkeiten auf dem Laufenden halten, die keinen Bezug zur Corona-Krise haben.

Für aktuelle Informationen können Sie uns auch gerne auf Twitter folgen.

Wir wünschen Ihnen nur das Beste, bleiben Sie gesund und schützen sich und andere.

Themenreihe Datenschutz und Corona – Teil 8: Homeschooling und Datenschutz

26. März 2020

Die Corona Krise hat das gesellschaftliche Leben fest im Griff. Auch das Schulwesen ist hiervon nicht verschont geblieben. Die Schulen in ganz Deutschland wurden geschlossen. Im Saarland greift diese Maßnahme sogar bis zum 24. April. Dies stellt Lehrer, Schüler und Eltern vor neue und schwierige Herausforderungen. Lehrer sind gezwungen Wege und Mittel zu finden den Lernstoff von zuhause aus zu vermitteln. Eltern müssen es wiederum schaffen, den Heimunterricht ihrer Kinder mit der eigenen Arbeit zu vereinbaren. Aber auch Schüler sind dazu angehalten den Unterrichtstoff selbstständig auf- und nachzuarbeiten.

Der Austausch zwischen den Lehrern und den Schülern zuhause findet dabei über Emails, Social Media Kanäle oder verschiedene Lernportale statt. In unserem heutigen Beitrag wollen wir in Kürze zusammenstellen, welche datenschutzrechtlichen Aspekte beim sog. Homeschooling beachtet werden müssen, welche sicheren Austauschmöglichkeiten zwischen Schule und Schüler bestehen und welche Lernportale den Anforderungen der DSGVO am ehesten gerecht werden.

DSGVO gilt auch für Schulen

Die Schule hat sich an die Vorgaben und Richtlinien der DSGVO zu halten. Sie ist als Verantwortlicher anzusehen und hat beispielweise einen Datenschutzbeauftragten zu bestellen oder muss darauf achten, dass jede Datenverarbeitung oder -übermittlung aufgrund der entsprechenden Rechtsgrundlage erfolgt. Dies erfordert auch einen verantwortungsvollen Umgang mit Informations- und Kommunikationstechnologien, vgl. Art. 32 DSGVO.

Um den Schutz von Schülerdaten zu gewährleisten haben Schulen und Lehrkörper, gerade auch in Bezug auf Homeschooling, hier einiges zu beachten:

  • Sollte für eine Datenverarbeitung keine Rechtsgrundlage vorliegen, z.B. zur Veröffentlichung von Bildern von Personen, ist eine entsprechende Einwilligung der Betroffenen erforderlich, vgl. Art. 7 Abs. 1 DSGVO,
  • Bei der Verarbeitung von Schülerdaten sind Schulen und Lehrer dazu angehalten, auf die Datensicherheit zu achten. Es ist daher auf ein angemessenes Schutzniveau zu achten, vgl. Art 32 DSGVO. Dies z.B. durch regelmäßige Datensicherungen oder das Updaten eigener Geräte,
  • Unbefugte Dritte müssen vom Zugriff auf die Daten ausgeschlossen werden. Eine Datenübermittlung an Dritte ist ohne Weiteres nicht gestattet,
  • Sind die verarbeiteten Daten nicht mehr erforderlich, sind diese zu löschen.

Der Austausch zwischen Lehrer, Schüler & Eltern

Immer wieder problematisch ist die Frage, welche Kommunikationskanäle ausreichenden Datenschutz und Datensicherheit bieten. Whatsapp, Facebook und Instagram gelten als Datensammler und sind für die Kommunikation zwischen Schüler und Lehrer in einigen Bundesländern, wie z.B. in Hamburg, sogar komplett untersagt. In anderen Bundesländern werden lediglich Empfehlungen ausgesprochen. Der Bundesbeauftragte Für Datenschutz Ulrich Kleber rät von der Nutzung von WhatsApp ab.

Rheinland-Pfalz nutzt zur Kommunikation hingegen eine auf Moodle basierende Lernplattform. Diese ist kostenfrei und läuft auf landeseigenen Servern. Eine Datenübermittlung an Drittländer findet nicht statt. Daneben empfiehlt der Landesdatenschutzbeauftragte europäische Messenger-Anbieter wie (z. B. Pidgin/OTR, Hoccer, Chiffry, Wire oder Threema).

Darüber hinaus unterscheidet sich die externe Kommunikation zwischen Schule und Schüler von Bundesland zu Bundesland sehr. Auch unter den Schulen gibt es immer wieder Unterschiede.

Eine allgemeine Untersuchung einzelner Messenger-Dienste hat die Verbraucherzentrale NRW vorgenommen. Gerade Threema und Hoccer stechen als anonym nutzbare Messenger heraus.

Online-Lernplattformen

Online-Lernangebote gibt es viele. Bei der Auswahl sollte folgendes beachtet werden:

  • werden durch die Applikation (freiwillige) Daten erfragt, sollte dem Grundsatz der Datensparsamkeit gefolgt, d.h. so weinige Angaben wie möglich gemacht werden.
  • im Allgemeinen sollten Eltern die Privatsphäre ihrer Kinder so gut es geht schützen. Das heißt, sie sollten kontrollieren, welche Lernprogramme genutzt werden und Kinder bei der Installation und Anmeldung unterstützen.

Zur Frage, welche Online-Lernplattformen zu empfehlen sind, hat die Seite Datenschutzbeauftragter-info.de kürzlich verschiedene Anbieter vorgestellt und auf ihren Datenschutz untersucht.

Dabei scheint besonders StudySmart zu überzeugen. Neben einem umfangreichen Angebot für Schüler und Studenten, ist für die Anmeldung nur eine Emailadresse erforderlich. Zur Verwendung der Applikation ist nur noch das jeweilige Bundesland anzugeben. Eine Verarbeitung von Nutzerdaten soll lediglich zur Optimierung der Plattform und der Auswertung von Lernzeit und -fortschritt erfolgen. Problematisch ist, dass StudySmart u.a. Applikationen von Google und Facebook nutzt. Der damit verbundene Datentransfer in die USA soll zwar pseudonymisiert erfolgen, eine Herausgabe an US-Behörden kann aber nicht ausgeschlossen werden.

Eher kritischer bewertet wird die Plattform SimpleClub. Diese bietet Lernvideos für Schüler der 8. Bis 13. Klasse an. Sie erhebt jedoch wesentlich mehr Daten als StudySmart und nutzt ebenso Applikationen wie zum Beispiel Facebook.

Auch LernAttack erhebt viele Daten zur Anmeldung. Die von Duden entwickelte Lernplattform bietet Videos und Aufgaben für Schüler ab der vierten Klasse. Auch hier werden Applikationen von beispielsweise Facebook genutzt. Anders als SimpleClub wird hier aber ausdrücklich über die Datenverarbeitungen informiert.

Chance zur Digitalisierung des Schulwesens

Die Digitalisierung der Schulen schreitet in den Bundesländern mit unterschiedlichem Tempo voran. Je nach Schule gibt es hier immense Unterschiede. Die aktuelle Krise kann hier jedoch als Chance verstanden werden die Schulen ins digitale Zeitalter voranzutreiben und gleichsam für einen hohen Datenschutzstandard sorgen.

Unsere Themenreihe Datenschutz und Corona endet morgen mit unserem neunten und letzten Beitrag zum Thema Gesellschaftliche Einschätzung zur Wichtigkeit des Datenschutzes in Zeiten der Corona-Krise.

Für aktuelle Informationen können Sie uns auch gerne auf Twitter folgen.

Wir wünschen Ihnen nur das Beste, bleiben Sie gesund und schützen Sie sich und andere.

Themenreihe Datenschutz und Corona – Teil 7: Kooperation der Deutschen Telekom mit dem Robert-Koch-Institut

25. März 2020

Im Kampf gegen die Ausbreitung des Coronavirus stellt die Deutsche Telekom dem Robert-Koch-Institut (RKI) kostenlos anonymisierte Handydaten ihrer Kunden zur Verfügung. Die Datensätze dienen der Erforschung der Ansteckungsrate des Coronavirus sowie der Beurteilung der verhängten Maßnahmen.

Die Deutsche Telekom AG bestätigte gegenüber „Tagesspiegel Background Digitalisierung & KI“ ihre Zusammenarbeit mit der Bundesoberbehörde. Das Telekommunikationsunternehmen hat bereits am 17.03.2020 einen ersten Handydatensatz im Umfang von fünf Gigabyte aus dem letzten Quartal 2019 dem RKI übermittelt. Rund 46 Millionen Handykunden sind hiervon betroffen. Eine zweite Lieferung von Datensätzen, die aktuelle Bewegungsdaten bis zum 19. März 2020 enthält, erhielt das RKI in dieser Woche.

Betroffene Telekom-Kunden könnten sich nun die Frage stellen, welche Erkenntnisse das RKI aus ihren Handydaten im Kampf gegen das Coronavirus schöpfen? Dazu erklärt RKI-Präsident Lothar Wieler auf einer Pressekonferenz am 18.03.2020: „Diese aggregierten und anonymisierten Daten werden uns zeigen, wie sehr die Mobilität tatsächlich nachgelassen hat.“ Die Sprecherin der Deutschen Telekom führt dazu weiter aus: „Damit lassen sich Bewegungsströme modellieren – bundesweit, auf Bundesland-Ebene sowie auf die Kreis-Gemeinde-Ebene heruntergebrochen.“

Die Deutsche Telekom versichert auf Twitter, keine individuellen Handydaten freizugeben. Mit den übermittelten Handydaten sei eine digitale Beobachtung einzelner Bürger oder infizierter Menschen ausgeschlossen. Vielmehr handle es sich hierbei um sogenannte „Schwarmdaten“.

Der BfDI Ulrich Kelber erklärte dazu auf Twitter: „Die Weitergabe von Standortdaten durch die Deutsche Telekom an das Robert-Koch-Institut ist in der gewählten Form datenschutzrechtlich vertretbar. Vor allem unter den aktuellen Umständen spricht nichts gegen die Weitergabe dieser Daten zum Zweck des Gesundheitsschutzes. (…) Es handelt sich vorliegend um Daten, die keine Rückschlüsse auf einzelne Personen ermöglichen.“

Auch andere Länder erhoffen sich mit dem Erfassen von Bewegungsdaten neue Erkenntnisse über das Verbreitungsverhalten des Coronavirus zu erhalten. In Österreich übermittelt der Mobilfunkanbieter A1 nach eigenen Angaben der Regierung die Bewegungsdaten aller österreichischen Bürger. In China, Südkorea und Taiwan greift die Regierung zu härteren Überwachungstechniken, wie z.B. Phone-tracking-Technologie und Handy-Apps.

Die Themenreihe zu Datenschutz und Corona wird morgen mit einem Beitrag zum Thema „Datenschutz und Homeschooling“ fortgesetzt.

Für aktuelle Informationen können Sie uns auch gerne auf Twitter folgen.

Wir wünschen Ihnen nur das Beste, bleiben Sie gesund und schützen sich und andere.

1 2