Infektions- und Datenschutz: Was kann die geplante Corona-App?

Die Corona-Epidemie legt fast alle Bereiche unserer Gesellschaft lahm; eine Sache aber beschleunigt sie: die Digitalisierung. Seitdem Covid-19 sich auf der ganzen Welt verbreitet, äußern Gesundheitspolitiker und Virologinnen gleichermaßen, dass sich die inzwischen berüchtigte Kurve noch besser abflachen ließe, wenn schnell alle Hochrisikokontakte eines Corona-Infizierten benachrichtigt werden könnten. Denn dann können sich die Menschen freiwillig in Quarantäne begeben. Das lässt sich in der gewünschten Schnelligkeit nicht mehr durch Kontaktlisten auf Papier realisieren, sondern nur noch digital.

Auch der inzwischen berühmte Prof. Dr. Christian Drosten von der Charité Berlin befürwortete in seinem wochentäglichen NDR-Podcast eine solche Lösung. Gesucht ist also die "Corona-App". Diese Woche wurde ein neuer vielversprechender Ansatz dazu vorgestellt, er nennt sich Pepp-PT, kurz für Pan-European Privacy-Preserving Proximity Tracing. Hinter diesem Vorstoß stecken mehrere führende europäische Forschungsinstitutionen. Ihr Ziel: Eine wirkungsvolle Corona-App, die zugleich datenschutzkonform ist. Kann sie das einhalten?

Zur Beantwortung dieser Frage lohnt es sich, einen Schritt zurück zu treten. Welche datenschutzrechtlichen Anforderungen müsste die "Corona-App" erfüllen und was müsste sie demnach technisch leisten?

Der verfassungsrechtliche Horizont ist klar: Es gilt eine staatliche Schutzpflicht für das Leben und die Gesundheit, Art. 2 Abs. 2 Satz 1 Grundgesetz (GG), potentiell sehr vieler Menschen einzulösen – ein gewichtiger Zweck. Auf der anderen Seite ist fraglich, in welchem Umfang hierzu in die informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Satz 1 GG) potentiell vieler Menschen eingegriffen werden kann. In ganz erheblichem Umfang, könnte man nun meinen. Aber weder deklassieren Leben und Gesundheit die informationelle Selbstbestimmung per se zu einem Grundrecht zweiten Ranges, noch kann sich der Staat in Krisenzeiten seiner Verpflichtung entziehen, im Sinne der Verhältnismäßigkeit unter allen geeigneten Mitteln das mildeste auszuwählen. Eingriffe in die informationelle Selbstbestimmung können also durchaus gerechtfertigt sein. Aber auch eine "Corona-App" muss so datenschutzfreundlich wie möglich ausgestaltet werden. Was heißt das nun konkret?

Was die Corona-App können muss und lassen kann

Die App müsste vor allem eines leisten: Sie muss sogenannte "Hochrisikokontakte", also physische Nähe zwischen zwei Menschen von weniger als 1,5 Metern für länger als 15 Minuten, identifizieren und die Betroffenen benachrichtigen. Dafür ist es aber gerade nicht erforderlich, Smartphonenutzer zu orten und diese Standortdaten an eine zentrale Stelle weiterzuleiten. Ob man in Berlin oder Oer-Erkenschwick, an der Bushaltestelle oder zuhause angehustet wurde, ist für die Feststellung einer Infektionsgefahr völlig egal.

Wie die Gesellschaft für Freiheitsrechte in ihren FAQs zu Corona und Grundrechten sowie deren Vorsitzender, der Co-Autor, und Generalsekretär Malte Spitz bereits öffentlich klargestellt haben, wäre ein solches Sammeln von Standortdaten an zentraler Stelle nicht erforderlich. Aus diesem Grund wurde ein vom Gesundheitsministerium erarbeiteter und zwischenzeitlich zurückgezogener Gesetzesentwurf, der den Gesundheitsbehörden ermöglichen sollte, "zum Zwecke der Nachverfolgung von Kontaktpersonen … technische Mittel" einzusetzen und von den Anbietern von Telekommunikationsdiensten Verkehrs- und Standortdaten heraus zu verlangen, zu Recht als unverhältnismäßig kritisiert. Für den Fall, dass diese Standortdaten über Funkzellenabfragen zustande kommen sollten – der Gesetzesentwurf ließ das mit dem unterbestimmten Begriff "technische Daten" offen – wäre der Eingriff in die informationelle Selbstbestimmung sogar evident ungeeignet gewesen: Funkzellendaten bestätigen nur, ob sich jemand in einem oft mehrere Quadratkilometer großen Gebiet befunden hat – das wären meist tausende Personen. Es wäre ein datenschutzfeindliches Wimmelbild entstanden, das keinen Beitrag zur Bekämpfung der Pandemie hätte leisten können.

Infektionsschutz: Aber datensparsam

Erfahrungen mit einer ähnlichen App aus Singapur zeigen: Ein viel eleganterer, dezentraler Weg ist möglich. Dieser Weg führt über die oft unterschätzte Technologie "Bluetooth Low Energy".

Eine auf Bluetooth basierende Corona-App könnte in regelmäßigen Abständen eine anonyme und regelmäßig wechselnde Kennung (sogenannte TempID) aussenden, die andere Apps im näheren physischen Umfeld empfangen und lokal auf dem jeweiligen Smartphone speichern könnten. Das Charmante hierbei: Es werden keine Klarnamen oder Telefonnummern gespeichert. Wenn zwei Smartphones einander nah genug kommen, empfangen beide Telefone lediglich die TempID der jeweils anderen App-Installation und speichern sie in verschlüsselter Form. Erst wenn nun eine Ärztin bei dem Nutzer eine Corona-Infektion diagnostizieren würde, würde dieser gebeten, die lokal gespeicherten Daten an einen zentralen Server – etwa beim Robert-Koch-Institut (RKI) – zu übertragen. Falls die Nutzerin zustimmt, erführe das RKI, mit welchen anderen temporären IDs dieses Mobiltelefon in Kontakt war.

Die Benachrichtigung wäre nun zentral gesteuert: Das RKI könnte über eine Push-Benachrichtigung alle Smartphone-Nutzer kontaktieren, die Hochrisikokontakte mit dem Corona-Infizierten hatten. Betroffene würden gebeten, einen Corona-Test mit dem lokalen Gesundheitsamt zu vereinbaren und sich in Quarantäne zu begeben. Um eine Nachricht auf dem Handy anzeigen zu können, genügt ein sogenanntes PushToken. Personenbezogene Daten sind nicht erforderlich – auch das RKI erführe nicht namentlich, um welche Kontaktpersonen es geht.

Zusammengefasst also: Alle Hochrisikokontakte werden zeitnah gewarnt. Im gesamten Prozess erfährt dabei niemand die Identität der Kontaktpersonen: Nicht die Hochrisikokontakte, nicht das lokale Gesundheitsamt und nicht einmal der zentrale Server des RKI, da die App nicht mit einer Identität verbunden ist. Standortdaten werden zu keiner Zeit erhoben oder gespeichert.

Die Eingriffe in die informationelle Selbstbestimmung lassen sich weiter dadurch ganz erheblich mindern, dass die Installation freiwillig wäre. Ineffektiv, könnte man meinen. Aber die Empirie spricht eine andere Sprache: In einer repräsentativen Umfrage gaben 70 Prozent der Befragten an, dass sie eine solche App auf ihrem Handy installieren würden. Die in Umfragen am häufigsten genannte Sorge – nämlich Angst vor staatlicher Überwachung – wäre durch die vorgestellte vollständig anonyme Lösung glaubhaft entkräftet. Der Einsatz einer solchen App könnte rechtsstaatlich sogar geboten sein: Wenn sie flächendeckend freiwillig genutzt würde, könnten die Lockdown-Maßnahmen vermutlich bald gelockert werden. Das wäre ein wesentlich milderes Mittel als die derzeitigen Kontakt- und Ausgangssperren.

Ist die Pepp-PT-App die Lösung?

Soviel also zur Theorie und nun zur Praxis: Kann eine App nach dem kürzlich vorgeschlagenen Standard Pepp-PT diese Anforderungen erfüllen? Vorab sei gesagt: Wir haben den Quellcode des Systems nicht analysieren können. Unsere Einschätzung basiert auf dem von Pepp-PT  publizierten Manifest. Hieran anknüpfend können wir sagen: Wir sind vorsichtig optimistisch.

Die App wurde von einem Team aus rund 130 Mitarbeiter aus 17 Institutionen wie dem Fraunhofer Heinrich-Hertz-Institut in Berlin und der Technischen Universität Dresden entwickelt und gilt dezidiert als Gegenentwurf zu den invasiveren und mitunter auf staatlichem Zwang basierenden asiatischen Modellen. Die Abstandsmessung soll mithilfe der besagten Bluetooth Low Energy-Technologie durchgeführt werden. Es sollen keine Standortdaten, keine Bewegungsprofile, keine Kontaktinformationen und keine identifizierbaren Merkmale der Endgeräte erhoben, sondern erst nach einer Diagnose eine Kontaktliste (nämlich die empfangenen TempIDs) an einen zentralen Server übermittelt werden, beispielsweise betrieben vom RKI. Nur offizielle Stellen sollen in der Lage sein, eine Meldung einer infizierten Person an Pepp-PT zu autorisieren. Der Bundesdatenschutzbeauftragte signalisierte, seine Behörde habe bei der Entwicklung als "Lotsin" zur Erfüllung datenschutzrechtlicher Anforderungen mitgewirkt. Man setze stark auf Freiwilligkeit, so der Mitinitiator des neuen Standards Marcel Salathé.

Auch wenn sich eine abschließende Bewertung derzeit noch nicht treffen lässt, so spricht zur Zeit nichts dagegen, dass eine auf dem Standard Pepp-PT basierende App den oben dargestellten Anforderungen entsprechen wird. Wichtig ist allerdings, dass das Gremium hinter Pepp-PT seinen eigenen Ansprüchen auch in Zukunft genügen wird. Jede Form der Kooperation mit geheimdienstnahen Datenkraken wie dem US-Konzern Palantir – dem konkretes Interesse an Corona-Apps nachgesagt wird – dürften sich etwa von selbst verbieten.

Diese vorläufige Einschätzung stimmt auf jeden Fall hoffnungsfroh. Es ist zu begrüßen, dass in Europa ein Wettbewerb um datenschutzkonforme Apps gegen Corona anläuft. Dies entspricht der Vision, die auch den Autoren der Datenschutzgrundverordnung vorschwebte: Europa als Standort zu etablieren, an dem digitaler Fortschritt Hand in Hand geht mit dem Schutz personenbezogener Daten. Unsere Antwort auf die Corona-Epidemie – auch im Digitalen – wird zeigen, ob wir es schaffen, den hohlen Phrasen vom Ausnahmezustand eine konsequente Orientierung an Rechtsstaatlichkeit und europäischer Kooperation entgegenzusetzen.

Dr. Ulf Buermeyer (Twitter) ist ehrenamtlicher Vorsitzender der Gesellschaft für Freiheitsrechte e.V. (GFF) und im Hauptberuf Referent der Senatsverwaltung für Justiz, Verbraucherschutz und Antidiskriminierung des Landes Berlin, wo er ein Transparenz-System für Funkzellenabfragen entwickelt.

Christian Thönnes (Twitter) ist wissenschaftlicher Mitarbeiter bei der Gesellschaft für Freiheitsrechte. Für deren FAQs zu Corona und Grundrechten hat er sich mit den Auswirkungen der Corona-Epidemie auf die informationelle Selbstbestimmung befasst.