Am 13. Mai 2020 erliess der Bundesrat eine Verordnung über den Pilotversuch mit dem Swiss Proximity-Tracing-System zur Benachrichtigung von Personen, die potenziell dem Coronavirus ausgesetzt waren (Covid-19-Verordnung Pilotversuch Proximity-Tracing). Die Verordnung ist bis zum 30. Juni 2020 befristet. Basierend darauf startet eine Testphase für die Contact-Tracing-App des Bundes. Mit der Tracing-App sollen die Ausbreitung des Coronavirus weiter eingedämmt sowie Infektionsketten durchbrochen und nachverfolgt werden. Dabei stehen insbesondere Anforderungen das Datenschutzrechts im Vordergrund.
Dieser Newsflash beleuchtet die Frage nach der Anwendbarkeit des Datenschutzrechts auf die Tracing-App, die Notwendigkeit einer gesetzlichen Grundlage sowie einzelne Anforderungen im Rahmen der Umsetzung.
1. Anwendbarkeit des Datenschutzrechts
Die Tracing-Verordnung sieht vor, dass alle angemessenen technischen und organisatorischen Massnahmen getroffen werden müssen, um zu verhindern, dass die Teilnehmenden bestimmbar sind. Obwohl die Teilnehmer somit nicht identifizierbar sein sollten (und damit eigentlich keine Personendaten im Sinne des Datenschutzrechts vorliegen), bleibt das Tracing-System nach Ansicht des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragen (EDÖB) mit Re-Identifikationsrisiken verbunden (siehe Stellungnahme des EDÖB). Entsprechend erachtet der EDÖB das Datenschutzrecht dennoch als anwendbar.
2. Datenschutzrechtliche Anforderungen an die Tracing-App
Sofern das Datenschutzrecht auf das Tracing-System anwendbar ist, sind insbesondere folgende datenschutzrechtlichen Grundsätze zu berücksichtigen:
2.1 Gesetzliche Grundlage
Da die Tracing-App durch ein Bundesorgan betrieben wird, ist hierfür eine gesetzliche Grundlage notwendig. Soweit besonders schützenswerte Personendaten (wie insbesondere die Information, dass sich jemand mit dem Coronavirus infiziert hat) betroffen sind, wird eine Regelung auf Gesetzesstufe verlangt.
In der Sommersession im Juni 2020 soll deshalb im Parlament die Schaffung einer entsprechenden Grundlage auf Gesetzesstufe beraten und verabschiedet werden. Unter gewissen Umständen kann aber der Bundesrat die Bearbeitung besonders schützenswerter Personendaten bereits vor Inkrafttreten des entsprechenden Gesetzes bewilligen.
Voraussetzung hierfür bildet unter anderem, dass vor dem Inkrafttreten des Gesetzes zwingend eine Testphase erforderlich ist, was vorliegend mit den technischen Neuerungen einer solchen App und der Evaluation von deren Auswirkungen begründet werden kann. Der EDÖB qualifiziert die Tracing-Verordnung als hinreichende gesetzliche Grundlage für die Durchführung des Pilotbetriebs.
2.2 Verhältnismässigkeit und Zweckbindung
Die Datenbearbeitung im Rahmen des Tracing-Systems ist zeitlich und umfangmässig auf das Mass zu beschränken, das für die Leistung eines signifikanten Beitrags zur Bewältigung der aktuellen Krise nötig ist. Die Tracing-Verordnung sieht dazu vor, dass keine Standortdaten erhoben werden, dass möglichst viele Daten dezentral auf den Geräten der Teilnehmer (d.h. nicht auf einem zentralen Server) gespeichert werden und dass die Aufbewahrungsdauer der Daten begrenzt ist.
Generell in Frage gestellt werden kann die Eignung der Tracing-App zur Zweckerreichung (und damit ihre Verhältnismässigkeit). Dies deshalb, weil die Tracing-App für einen effektiven Einsatz von einem signifikanten Teil der Bevölkerung installiert und aktiviert werden muss, weil die Betroffenen eine allfällige Infektion freiwillig in die App eingetragen müssen, und weil mit einer gewissen - schwer abzuschätzenden - Anzahl von "Fehlalarmen" zu rechnen ist.
Trotz dieser Vorbehalte erachtet der EDÖB das Tracing-System aktuell als geeignet, um (zumindest) einen Teilbetrag zur Verhinderung lebensbedrohender Ansteckungen zu leisten. Er behält sich in seiner Stellungnahme aber eine spätere Empfehlung an das Bundesamt für Gesundheit vor, auf die Aufnahme des Vollbetriebs oder dessen Fortführung zu verzichten, falls sich im Rahmen des Pilot- oder Vollbetriebs abzeichnen sollte, dass die Tracing-App die in sie gesetzten Erwartungen nicht erfüllen kann.
2.3 Privacy by Design
Die Vorgaben zur weitest möglichen Anonymisierung und zur dezentralen Datenspeicherung, die bezüglich der Erstellung der Tracing-App gemacht werden, stellen zudem ein gutes Beispiel dafür dar, wie Privacy by Design umgesetzt werden kann. Dieser in der EU-Datenschutzgrundverordnung und im aktuellen Entwurf des revidierten Schweizer Datenschutzgesetzes vorgesehene Grundsatz verlangt, dass der Datenschutz bei der Auswahl, Festlegung und Einrichtung der Systeme für eine Datenverarbeitung zu einem möglichst frühen Zeitpunkt berücksichtigt und in das "technische Setup" einbezogen wird.
3. Fazit
Soweit eine vollständige Anonymisierung der mit der Tracing-App bearbeiteten Daten erreicht wird - was gemäss Tracing-Verordnung angestrebt werden soll - müsste das Datenschutzrecht eigentlich nicht beachtet werden. Aber auch im Falle der Anwendbarkeit des Datenschutzrechts genügt gemäss EDÖB die Tracing-Verordnung vorerst - d.h. bis zur Inkraftsetzung eines entsprechenden Bundesgesetzes und für die Dauer des Pilotbetriebs - als gesetzliche Grundlage.
Das Tracing-System ist gemäss EDÖB aus datenschutzrechtlicher Sicht zulässig. Offen bleibt hingegen zum jetzigen Zeitpunkt, ob die Tracing-App künftig die in sie gesetzten Hoffnungen zur Bewältigung der Coronakrise wird erfüllen können.