Alles anzeigenSysteme zur Kontaktnachverfolgung
Pressemitteilung der Landesbeauftragten für den Datenschutz Niedersachsen vom 03.05.2021
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen, Barbara Thiel, bescheinigt der App „Luca“ eine grundsätzlich tragfähige technische Architektur zur digitalen Kontaktnachverfolgung. Zugleich weist Thiel aber darauf hin, dass weitere technische Schutzmaßnahmen notwendig sind, um einen Missbrauch des Systems zu verhindern. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) hatte am 29. April 2021 eine entsprechende Stellungnahme beschlossen.
„Ich unterstütze mit der Datenschutzkonferenz die Entwicklung und den datenschutzkonformen Einsatz von digitalen Systemen zur Kontaktnachverfolgung. Sie erleichtern Veranstaltern die Erfüllung ihrer Dokumentationspflichten und können die Kontaktnachverfolgung durch die Gesundheitsämter beschleunigen“, so Thiel. „Zudem können sie im Vergleich zu schriftlichen Listen den Vorteil bieten, dass den Veranstaltern keine Namen oder andere Angaben über ihre Gäste bekannt werden und dass diese Angaben durch Verschlüsselung geschützt werden.“ Zusätzlich zu ihrer Stellungnahme hat die Datenschutzkonferenz eine Orientierungshilfe zu digitalen Kontaktnachverfolgungssystemen veröffentlicht, welche die datenschutzrechtlichen Anforderungen an diese Systeme erläutert.
Zahlreiche Bundesländer, darunter auch Niedersachsen, haben sich dafür entschieden, Lizenzen für „Luca“ zu erwerben. Dadurch ist die App Gegenstand verschiedener Untersuchungen der Datenschutzaufsichtsbehörden geworden. Diese haben gezeigt, dass das System dem Grunde nach über eine tragfähige Konzeption verfügt. Dennoch machen Risiken, die sich durch eine missbräuchliche Nutzung ergeben können, weitere technische Schutzmaßnahmen erforderlich.
So ist es zum Beispiel notwendig, dass die culture4life GmbH, welche die App anbietet, technische Abhilfemaßnahmen umsetzt, um den Missbrauch durch Fake-Identitäten auszuschließen. Dies hat culture4life bereits gegenüber den Aufsichtsbehörden angekündigt
Darüber hinaus kann es beim Aushang ausgedruckter QR-Codes zu massenhaft missbräuchlichen Einträgen in das System kommen, ohne dass sich die eintragenden Personen tatsächlich am angegebenen Ort aufgehalten haben. Dadurch können die Gesundheitsämter mit Daten überlastet werden, die für die Kontaktnachverfolgung nutzlos sind. Es muss deshalb gewährleistet werden, dass die Gesundheitsämter missbräuchliche Einträge erkennen können.
Weitere Risiken birgt die zentrale Datenhaltung des Systems, die nicht alle durch die eingesetzten zweistufigen Verschlüsselungsmechanismen vollständig ausgeräumt werden. Ein qualifizierter Angriff gegen die zentralen IT-Systeme des Dienstes könnte dazu führen, dass die Angreifenden im schlimmsten Fall in großem Umfang Daten über die Anwesenheit von Personen bei Veranstaltungen entschlüsseln und ausleiten können.
Die culture4life GmbH hat in einem Arbeitsplan mehrere Schritte für Nachbesserungen festgelegt. Die Datenschutzkonferenz erkennt diese Anstrengungen und die Kooperationsbereitschaft des Unternehmens an und erwartet, dass der Arbeitsplan schnell und trotzdem sorgfältig in die Tat umgesetzt wird.
Das Niedersächsische Innenministerium (MI) hat die Landesdatenschutzbeauftragte inzwischen um Beratung zum datenschutzgerechten Einsatz von „Luca“ gebeten. „Ich begrüße es, dass die Landesregierung meine Behörde in diesen Prozess einbezieht und werde der Bitte gerne nachkommen“, sagt Barbara Thiel. „Gleichzeitig rate ich aber dazu, sich nicht ausschließlich auf ‚Luca‘ zu fokussieren, sondern auch andere Systeme in den Blick zu nehmen.“ Die Corona-Verordnung des Landes Niedersachsen sieht für Veranstalter bislang keine verpflichtende Nutzung von „Luca“ vor; sie können also auch Alternativen verwenden oder weiterhin die Kontaktdaten in Papierform erfassen.
Die Datenschutzkonferenz empfiehlt in einer Entschließung zudem, die Chancen der Corona-Warn-App 2.0 zur Benachrichtigung potenziell infizierter Personen und zur Clustererkennung zu nutzen. Seit dem Update auf die Version 2.0 verfügt die App über eine Registrierungsfunktion für Orte, an denen viele Menschen zusammenkommen. Auch wenn hierbei – anders als bei anderen Apps – keine personenbezogenen Daten erhoben und später an die Gesundheitsämter übermittelt werden können, kann die pseudonymisierte Clustererkennung einen erheblichen Beitrag zur Unterbrechung von Infektionsketten leisten.
Weitere Informationen
– Stellungnahme der Datenschutzkonferenz zu Kontaktnachverfolgungssystemen – insbesondere zu „Luca“ der culture4life GmbH
– Entschließung der Datenschutzkonferenz: Chancen der Corona-Warn-App 2.0 nutzen
– Orientierungshilfe: Einsatz von digitalen Diensten zur Kontaktnachverfolgung anlässlich von Veranstaltungs-, Einrichtungs-, Restaurants- und Geschäftsbesuchen zur Verhinderung der Verbreitung von Covid-19Die Pressemitteilungen der Landesbeauftragten für den Datenschutz Niedersachsen können hier abgerufen werden.
Download "Luca" mit grundsätzlich tragfähiger Konzeption, aber weitere Schutzmaßnahmen nötig als PDF
Quelle: https://www.datenschutz.de/luc…-schutzmassnahmen-noetig/